Contratto di elaborazione dei dati (AVV)

Clausole contrattuali standard

Testo ufficiale secondo EUR-Lex (CELEX 32021D0915), allegato alla decisione. Le opzioni selezionate sono contrassegnate con [Scelta: …], quelle non selezionate sono barrate; per il resto, il testo rimane invariato.

Sezione II: Obblighi delle parti

Clausola 6: Descrizione del trattamento

I dettagli delle operazioni di ### trattamento, in particolare le categorie di dati personali e le finalità per le quali i dati personali vengono trattati per conto del titolare del trattamento, sono riportati nell’Allegato II.

Clausola 7: Obblighi delle parti

7.1. Istruzioni

a) Il responsabile del trattamento tratta i dati personali solo su istruzione documentata del titolare del trattamento, a meno che non sia tenuto a farlo in virtù del diritto dell’Unione o della legislazione di uno Stato membro a cui è soggetto. In tal caso, il responsabile del trattamento comunica al titolare del trattamento tali requisiti giuridici prima del trattamento, a meno che la normativa in questione non lo vieti per motivi di importante interesse pubblico. Il titolare del trattamento può impartire ulteriori istruzioni per tutta la durata del trattamento dei dati personali. Tali istruzioni devono essere sempre documentate.

b) Il responsabile del trattamento informa senza indugio il titolare del trattamento qualora ritenga che le istruzioni impartite dal titolare del trattamento violino il regolamento (UE) 2016/679, al regolamento (UE) 2018/1725 o alle disposizioni vigenti in materia di protezione dei dati dell’Unione o degli Stati membri.

7.2. Limitazione delle finalità

Il responsabile del trattamento tratta i dati personali esclusivamente per la o le finalità specifiche indicate nell’allegato II, salvo che non riceva ulteriori istruzioni dal titolare del trattamento.

7.3. Durata del trattamento dei dati personali

I dati vengono trattati dal responsabile del trattamento solo per la durata indicata nell’Allegato II.

7.4. Sicurezza del trattamento

a) Il responsabile del trattamento adotta almeno le misure tecniche e organizzative elencate nell’Allegato III al fine di garantire la sicurezza dei dati personali. Ciò comprende la protezione dei dati da una violazione della sicurezza che, sia essa accidentale o illecita, comporti la distruzione, la perdita, l’alterazione o la divulgazione non autorizzata dei dati o l’accesso non autorizzato agli stessi (di seguito «violazione della protezione dei dati personali»). Nel valutare il livello di protezione adeguato, le parti tengono debitamente conto dello stato dell’arte, dei costi di implementazione, della natura, dell’ambito, delle circostanze e delle finalità del trattamento, nonché dei rischi connessi per gli interessati.

b) Il responsabile del trattamento concede al proprio personale l’accesso ai dati personali oggetto del trattamento solo nella misura in cui ciò sia strettamente necessario per l’esecuzione, la gestione e il controllo del contratto. Il responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate a rispettare la riservatezza o siano soggette a un adeguato obbligo di riservatezza previsto dalla legge.

7.5. Dati sensibili

Qualora il trattamento riguardi dati personali da cui risultino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l’appartenenza sindacale, oppure dati genetici o dati biometrici finalizzati all’identificazione univoca di una persona fisica, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale di una persona, oppure dati relativi a condanne penali e reati (di seguito «dati sensibili»), il responsabile del trattamento applica restrizioni specifiche e/o garanzie supplementari.

7.6. Documentazione e rispetto delle clausole

a) Le parti devono essere in grado di dimostrare il rispetto delle presenti clausole.

b) Il responsabile del trattamento deve rispondere alle richieste del titolare del trattamento relative al trattamento dei dati ai sensi delle presenti clausole in modo tempestivo e adeguato.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e derivanti direttamente dal Regolamento (UE) 2016/679 e/o dal Regolamento (UE) 2018/1725. Su richiesta del titolare del trattamento, il responsabile del trattamento consente inoltre la verifica delle attività di trattamento disciplinate dalle presenti clausole a intervalli adeguati o in presenza di indizi di inosservanza e collabora a tale verifica. Nel decidere in merito a una verifica o a un controllo, il titolare del trattamento può tenere conto delle certificazioni pertinenti del responsabile del trattamento.

d) Il titolare del trattamento può effettuare la verifica autonomamente o incaricare un verificatore indipendente. Le verifiche possono comprendere anche ispezioni presso i locali o le strutture fisiche del responsabile del trattamento e vengono effettuate, se del caso, con un preavviso adeguato.

e) Le parti mettono a disposizione dell’autorità o delle autorità di controllo competenti, su richiesta, le informazioni di cui alla presente clausola, compresi i risultati delle verifiche.

7.7. Ricorso a subresponsabili del trattamento

a) OPZIONE 2: AUTORIZZAZIONE GENERALE PER ISCRITTA: Il responsabile del trattamento dispone dell’autorizzazione generale del titolare del trattamento a ricorrere a subcommissari elencati in un elenco concordato. Il responsabile del trattamento informa espressamente il titolare del trattamento, per iscritto e con almeno 30 giorni di anticipo, in merito a tutte le modifiche previste a tale elenco, mediante l’aggiunta o la sostituzione di subappaltatori, concedendo così al titolare del trattamento tempo sufficiente di sollevare eventuali obiezioni a tali modifiche prima dell’incarico del/i subcommissario/i in questione. Il responsabile del trattamento mette a disposizione del titolare del trattamento le informazioni necessarie affinché quest’ultimo possa esercitare il proprio diritto di opposizione. [Scelta: Opzione 2, termine di 30 giorni; l’elenco concordato è riportato nell’Allegato IV]

b) Qualora il responsabile del trattamento incarichi un sub-responsabile del trattamento di eseguire determinate operazioni di trattamento (per conto del titolare del trattamento), tale incarico deve avvenire mediante un contratto che imponga al subcommissario, sostanzialmente, gli stessi obblighi in materia di protezione dei dati previsti per il commissario ai sensi delle presenti clausole. Il responsabile del trattamento garantisce che il subcommissario adempia agli obblighi a cui il responsabile del trattamento è soggetto ai sensi delle presenti clausole e del Regolamento (UE) 2016/679 e/o del Regolamento (UE) 2018/1725.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento, su richiesta di quest’ultimo, una copia di tale accordo di subappalto e di eventuali successive modifiche. Nella misura in cui ciò sia necessario per la tutela dei segreti commerciali o di altre informazioni riservate, compresi i dati personali, il responsabile del trattamento può rendere illeggibile il testo dell’accordo prima di trasmetterne una copia.

d) Il responsabile del trattamento risponde pienamente nei confronti del titolare del trattamento dell’adempimento da parte del sub-responsabile del trattamento degli obblighi previsti dal contratto stipulato con il responsabile del trattamento. Il responsabile del trattamento informa il titolare del trattamento qualora il sub-responsabile del trattamento non adempia ai propri obblighi contrattuali.

e) Il responsabile del trattamento concorda con il sub-responsabile del trattamento una clausola a favore di terzi, in base alla quale il titolare del trattamento - nel caso in cui il responsabile del trattamento cessi di esistere di fatto o di diritto o sia insolvente - abbia il diritto di recedere dal contratto di subappalto e di ordinare al subappaltatore di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali di dati

a) Qualsiasi trasferimento di dati da parte del responsabile del trattamento verso un paese terzo o un’organizzazione internazionale avviene esclusivamente sulla base di istruzioni documentate del titolare del trattamento o al fine di ottemperare a una disposizione specifica prevista dal diritto dell’Unione o dal diritto di uno Stato membro a cui il responsabile del trattamento è soggetto, e deve essere conforme al capo V del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725.

b) Il titolare del trattamento acconsente a che, nei casi in cui il responsabile del trattamento ricorra a un subresponsabile del trattamento ai sensi della clausola 7.7 per l’esecuzione di determinate operazioni di trattamento (per conto del titolare del trattamento) e tali operazioni di trattamento comportino un trasferimento di dati personali ai sensi del capitolo V del regolamento (UE) 2016/679, il responsabile del trattamento e il subcommissario garantiscano il rispetto del capitolo V del regolamento (UE) 2016/679 ricorrendo alle clausole contrattuali tipo adottate dalla Commissione ai sensi dell’articolo 46, paragrafo 2, del Regolamento (UE) 2016/679, purché siano soddisfatti i presupposti per l’applicazione di tali clausole contrattuali tipo.

Clausola 8: Assistenza al titolare del trattamento

a) Il responsabile del trattamento informa senza indugio il titolare del trattamento in merito a ogni richiesta ricevuta dall’interessato. Egli non risponde direttamente alla richiesta, a meno che non sia stato autorizzato dal titolare del trattamento a farlo.

b) Tenendo conto della natura del trattamento, il responsabile del trattamento assiste il titolare del trattamento nell’adempimento del suo obbligo di rispondere alle richieste degli interessati relative all’esercizio dei propri diritti. Nell’adempimento dei propri obblighi di cui alle lettere a) e b), il responsabile del trattamento segue le istruzioni del titolare del trattamento.

c) Oltre all’obbligo del responsabile del trattamento di assistere il titolare del trattamento ai sensi della clausola 8, lettera b), il responsabile del trattamento, tenendo conto della natura del trattamento dei dati e delle informazioni a sua disposizione, assiste inoltre il titolare del trattamento nell’adempimento dei seguenti obblighi:

• 1) l’obbligo di effettuare una valutazione d’impatto sulla protezione dei dati personali (di seguito «valutazione d’impatto sulla protezione dei dati») in relazione alle operazioni di trattamento previste, qualora una forma di trattamento possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche;
• 2) l’obbligo di consultare l’autorità o le autorità di controllo competenti prima del trattamento, qualora da una valutazione d’impatto sulla protezione dei dati emerga che il trattamento comporterebbe un rischio elevato, a meno che il titolare del trattamento non adotti misure volte a mitigare tale rischio;
• 3) Obbligo di garantire che i dati personali siano esatti e aggiornati, mediante la comunicazione immediata da parte del responsabile del trattamento al titolare del trattamento qualora il primo constati che i dati personali da lui trattati siano inesatti o non aggiornati;
• 4) Obblighi ai sensi dell’articolo 32 del Regolamento (UE) 2016/679. [Scelta: Opzione 1]

d) Le parti definiscono nell’Allegato III le misure tecniche e organizzative adeguate volte a garantire il supporto del responsabile del trattamento da parte del responsabile del trattamento nell’applicazione della presente clausola, nonché l’ambito di applicazione e la portata del supporto richiesto.

Clausola 9: Notifica delle violazioni della protezione dei dati personali

In caso di violazione ### della protezione dei dati personali, il responsabile del trattamento collabora con il titolare del trattamento e gli fornisce il supporto necessario affinché quest’ultimo possa adempiere ai propri obblighi ai sensi degli articoli 33 e 34 del Regolamento (UE) 2016/679 o, se del caso, agli articoli 34 e 35 del Regolamento (UE) 2018/1725, tenendo conto della natura del trattamento e delle informazioni a sua disposizione.

9.1. Violazione della protezione dei dati trattati dal titolare del trattamento

In caso di violazione della protezione dei dati personali in relazione ai dati trattati dal titolare del trattamento, il responsabile del trattamento assiste il titolare del trattamento come segue:

a) nella segnalazione immediata della violazione della protezione dei dati personali all’autorità o alle autorità di controllo competenti, non appena il Titolare venga a conoscenza della violazione, se del caso (a meno che la violazione della protezione dei dati personali non comporti, secondo ogni probabilità, un rischio per i diritti e le libertà personali delle persone fisiche);

b) nel reperimento delle seguenti informazioni, che ai sensi dell’articolo 33, paragrafo 3, del Regolamento (UE) 2016/679 devono essere indicate nella notifica del Titolare del trattamento, fermo restando che tali informazioni devono comprendere almeno quanto segue: [Scelta: Opzione 1]

• 1) la natura dei dati personali, per quanto possibile, specificando le categorie e il numero approssimativo di persone interessate, nonché le categorie e il numero approssimativo di record di dati personali interessati;
• 2) le probabili conseguenze della violazione della protezione dei dati personali;
• 3) le misure adottate o proposte dal titolare del trattamento per porre rimedio alla violazione della protezione dei dati personali e, se del caso, le misure volte ad attenuare i suoi possibili effetti negativi.

Qualora e nella misura in cui non sia possibile fornire tutte queste informazioni contemporaneamente, la notifica iniziale conterrà le informazioni disponibili in quel momento, mentre ulteriori informazioni saranno fornite senza indebito ritardo non appena disponibili;

c) nell’adempimento dell’obbligo di cui all’articolo 34 del Regolamento (UE) 2016/679, di informare senza indugio l’interessato della violazione della protezione dei dati personali, qualora tale violazione comporti presumibilmente un rischio elevato per i diritti e le libertà delle persone fisiche. [Scelta: Opzione 1]

9.2. Violazione della protezione dei dati trattati dal responsabiledel trattamento

In caso di violazione della protezione deidati personali in relazione ai datitrattati dal responsabiledel trattamento, quest’ultimo ne dà comunicazione al titolare del trattamento senza indugio dopo averne preso conoscenza. Tale comunicazione deve contenere almeno le seguenti informazioni:

a) una descrizione della natura della violazione (indicando, se possibile, le categorie e il numero approssimativo di persone interessate, nonché il numero approssimativo di record di dati interessati);

b) i dati di contatto di un punto di contatto presso il quale è possibile ottenere ulteriori informazioni sulla violazione della protezione dei dati personali;

c) le conseguenze previste e le misure adottate o proposte per porre rimedio alla violazione della protezione dei dati personali, comprese le misure volte ad attenuare i suoi possibili effetti negativi.

Qualora e nella misura in cui non sia possibile fornire tutte queste informazioni contemporaneamente, la notifica iniziale conterrà le informazioni disponibili in quel momento e ulteriori informazioni saranno successivamente fornite, non appena disponibili, senza indebito ritardo.

Le parti stabiliscono nell’Allegato III tutte le altre informazioni che il responsabile del trattamento deve fornire per assistere il titolare del trattamento nell’adempimento dei propri obblighi ai sensi degli articoli 33 e 34 del Regolamento (UE) 2016/679. [Scelta: Opzione 1]

Allegato I: Elenco delle parti

Responsabile del trattamento

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Svizzera, NIF CHE-220.381.580, rappresentata da Günter Reichelt, presidente del consiglio di amministrazione. Contatto: privacy@mail.transpareo.com.

Responsabile della protezione dei dati e rappresentante nell’UE ai sensi dell’art. 27 del GDPR: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Monaco di Baviera, Germania, info@mail.dg-datenschutz.de.

Transpareo ha sede in Svizzera, per la quale esiste una decisione di adeguatezza della Commissione (2000/518/CE). I dati sono conservati in Germania.

Titolari del trattamento

Transpareo stipula le presenti clausole individualmente con ciascun titolare del trattamento. Il titolare del trattamento è:

1. un cliente che utilizza la piattaforma Transpareo in conformità alle Condizioni generali di contratto (CGC). Il nome, l’indirizzo e la persona di contatto sono i dati che il cliente fornisce al momento della stipula del contratto tramite la piattaforma e che aggiorna nel proprio account; la persona di contatto è il titolare dell’account. Le clausole si considerano concordate con la stipula del presente contratto (punto 14 delle CGC).
2. un fornitore che inoltra una richiesta ai propri fornitori tramite la pagina dedicata ai fornitori. Il titolare del trattamento è l’azienda a cui è indirizzato il link tramite il quale avviene l’inoltro, come indicato nella richiesta stessa. La persona di contatto è colui che inoltra la richiesta, con il nome e l’indirizzo e-mail da lui indicati in tale occasione. Il fornitore accetta le clausole accettandole per conto della propria azienda al momento dell’inoltro; Transpareo salva la versione accettata e l’ora insieme al link inoltrato. A suo carico si applicano inoltre le Condizioni d’uso per i fornitori.

Transpareo gestisce il responsabile della protezione dei dati di un titolare del trattamento non appena questi lo designa.

Le Condizioni generali di contratto o le Condizioni d’uso per i fornitori costituiscono, a seconda dei casi, il contratto principale. Le clausole vengono stipulate per via elettronica (art. 28, comma 9, del GDPR); la data di adesione corrisponde al momento della stipula.

Allegato III: Misure tecniche e organizzative

Crittografia e pseudonimizzazione

• Tutte le connessioni sono crittografate con TLS.
• I dati di accesso e altre informazioni riservate (PIN, chiavi per codici monouso, credenziali SMTP, chiavi API) sono memorizzati nel database in forma crittografata con AES-256-GCM, con una chiave dedicata per ogni area di lavoro.
• I backup sono crittografati.
• Le statistiche sui visitatori memorizzano gli indirizzi IP solo come valori hash con chiave segreta. Le visite alla pagina dei fornitori non vengono incluse in tali statistiche.

Separazione

• Ogni cliente dispone di un proprio database.

Sicurezza fisica

• I server e i dispositivi di archiviazione si trovano nei centri dati di Hetzner Online GmbH a Falkenstein, in Germania, certificati secondo la norma ISO 27001.

Identificazione e autorizzazione

• Le password vengono memorizzate esclusivamente come hash bcrypt.
• È disponibile per tutti gli utenti un accesso a due fattori tramite codice monouso o chiave di sicurezza; il cliente può richiederlo per la propria area di lavoro.
• Una sessione termina dopo un periodo di inattività impostato dal cliente (impostazione predefinita: otto ore).
• All’interno dell’area di lavoro si applicano i ruoli e le autorizzazioni assegnati dal cliente.
• I collaboratori di Transpareo accedono a un’area di lavoro solo effettuando l’accesso per conto del cliente; tale operazione viene registrata nel log della piattaforma e nel log di sicurezza dell’area di lavoro.
• Pagina del fornitore: il link contiene una chiave casuale di 16 caratteri (80 bit); senza PIN, la pagina non mostra alcuna parte del record di dati. Dopo cinque tentativi con PIN errato, il link viene bloccato per 15 minuti. Per ogni indirizzo IP, la pagina accetta al massimo 120 accessi al minuto. Al momento dello sblocco, alla sessione viene assegnato un nuovo identificativo. La pagina è bloccata per i motori di ricerca e non trasmette il proprio indirizzo a siti esterni.

Registrazione

• Le modifiche ai record di dati e le operazioni effettuate dalla pagina dei fornitori vengono registrate con indicazione della data e dell’ora, dell’autore e dell’indirizzo IP e conservate per cinque anni; gli accessi e gli altri eventi di sicurezza vengono conservati per un anno.
• I log del server vengono cancellati dopo 14 giorni.

Integrità

• Le immagini dei fornitori vengono conservate senza metadati in un’area protetta al di fuori dell’archivio pubblico, fino a quando non vengono accettate a seguito di una verifica. Una risposta modifica il record solo dopo la verifica.
• Le versioni delle password pubblicate sono firmate crittograficamente.

Disponibilità e ripristino

• Ogni quattro ore, il database e i file di ogni area di lavoro attiva vengono sottoposti a backup, crittografati e archiviati separatamente dai server nell’archivio a oggetti in Germania. Le copie locali vengono cancellate dopo quattro giorni. I backup nell’archivio a oggetti vengono conservati per 90 giorni e cancellati definitivamente entro ulteriori 30 giorni.
• I servizi e i server sono costantemente monitorati; gli aggiornamenti di sicurezza vengono installati regolarmente.
• Transpareo verifica regolarmente tali misure e le adegua allo stato dell’arte.

Assistenza al titolare del trattamento (clausole 8 e 9)

• Un cliente può visualizzare, rettificare ed eliminare i dati relativi alla propria area di lavoro sulla piattaforma. Un fornitore può visualizzare le risposte alle proprie richieste di condivisione nella pagina dedicata ai fornitori e può revocare qualsiasi link condiviso.
• Le richieste degli interessati pervenute a Transpareo vengono immediatamente inoltrate da quest’ultima al Titolare del trattamento.
• Le comunicazioni ai sensi delle clausole 7.7 e 9.2 vengono inviate via e-mail al titolare dell’account di un cliente e all’indirizzo e-mail indicato da un fornitore al momento della condivisione. Il punto di contatto ai sensi della clausola 9.2, lettera b) è privacy@mail.transpareo.com.
• Una segnalazione ai sensi della clausola 9.2 deve inoltre indicare il momento in cui si è verificata la violazione e quello in cui è stata individuata, nonché le aree di lavoro o i link interessati.

Integrazione svizzera

La presente integrazione costituisce un’ulteriore clausola ai sensi della clausola 2, lettera b). Nella misura in cui il trattamento sia soggetto alla legge federale svizzera sulla protezione dei dati (LPD):

1. i riferimenti al regolamento (UE) 2016/679 si intendono al contempo come riferimenti alle corrispondenti disposizioni della LPD, in particolare l’art. 28 del GDPR all’art. 9 della LPD, l’art. 32 all’art. 8, gli articoli 33 e 34 all’articolo 24, gli articoli 35 e 36 agli articoli 22 e 23, il capitolo V all’art. 16-18, i diritti degli interessati agli art. 25-32 della DSG e i dati sensibili di cui alla clausola 7.5 ai dati personali particolarmente sensibili ai sensi dell’art. 5 lett. c della DSG;
2. l’autorità di controllo competente è l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT); resta impregiudicata la competenza delle autorità di controllo ai sensi del GDPR;
3. è considerato diritto di uno Stato membro anche il diritto svizzero.

Aggiornato all’8 ottobre 2026