Data Processing Agreement

Versione 1.0 del 24/11/2023

Nomina a Responsabile del trattamento

Con il presente documento viene identificato il Responsabile esterno al trattamento dei dati ai sensi e per gli effetti dell’articolo 28 paragrafi 3 e 4 del Regolamento Europeo 2016/679 (GDPR).

Premesso che

• Bognini Francesco, con sede legale in Via Tadino, 3 – 20124 Milano (MI) – Italia è la società che ha realizzato e gestisce il servizio software denominato Voucherly (di seguito, “Servizio”);
• il Merchant è il soggetto che, previa sottoscrizione al servizio, utilizza Voucherly per scopi riferibili all’attività commerciale o professionale svolta;
• il Merchant e Bognini Francesco hanno stipulato un contratto (di seguito, “Contratto”) riguardo alle condizioni economiche e di utilizzo dei servizi forniti da Bognini Francesco al Merchant;
• il Merchant agisce in qualità di Titolare del trattamento (di seguito, “Titolare”) ai sensi dell’articolo 4, paragrafo 1, numero 7) del GDPR con riferimento ai dati personali che saranno trattati per suo conto da Francesco Bognini per dare esecuzione al Contratto;
• il Merchant ha verificato che Francesco Bognini presenta garanzie sufficienti, in particolare in termini di esperienza, risorse, capacità e affidabilità, per mettere in atto le misure tecniche e organizzative necessarie affinché il trattamento dei dati personali, nell’esecuzione del Contratto, avvenga in conformità al GDPR

Si identifica

Bognini Francesco quale Responsabile del trattamento (di seguito, “Responsabile”) in relazione al trattamento dei dati personali da effettuarsi come esecuzione del Contratto, secondo le modalità e nei limiti di seguito specificati.

1. Sezione I

   Scopo e ambito di applicazione

   • Scopo delle presenti clausole è garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del Reg. UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati);

   • Il Titolare e il Responsabile hanno accettato le presenti clausole al fine di garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del Reg. UE 2016/679;

   • Le presenti clausole si applicano al trattamento dei dati personali specificato all'Allegato I;

   • Gli Allegati I, II e III costituiscono parte integrante delle clausole;

   • Le presenti clausole lasciano impregiudicati gli obblighi cui è soggetto il Titolare a norma del Reg. UE 2016/679;

   • Le presenti clausole non garantiscono, di per sé, il rispetto degli obblighi connessi ai trasferimenti internazionali conformemente al capo V del Reg. UE 2016/679.

   Invariabilità delle clausole

   • Le parti si impegnano a non modificare le clausole se non per aggiungere o aggiornare informazioni negli allegati;

   • Ciò non impedisce alle parti di aggiungere alle clausole contrattuali stabilite altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

   Interpretazione delle clausole

   • Quando le presenti clausole utilizzano i termini definiti, rispettivamente, nel Reg. UE 2016/679, tali termini hanno lo stesso significato di cui al regolamento interessato;

   • Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del Reg. UE 2016/679;

   • Le presenti clausole non devono essere interpretate in un senso che non sia conforme ai diritti e agli obblighi previsti dal Reg. UE 2016/679, o che pregiudichi i diritti o le libertà fondamentali degli interessati;

   Gerarchia

   In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati, vigenti tra le parti al momento dell'accettazione delle presenti clausole, o conclusi successivamente, prevalgono le presenti clausole.

   Si precisa che nessuna maggiorazione del corrispettivo pattuito per l’esecuzione del Contratto è dovuta in conseguenza del presente Atto di nomina e che, in caso di incongruenze o discrepanze in materia di protezione di dati personali tra quanto contenuto nel presente Atto di nomina e quanto descritto nel Contratto, quanto contenuto nel presente Atto di nomina prevale sempre rispetto a quanto descritto nel Contratto e si applica tra le Parti.

2. Sezione II

   Descrizione del trattamento

   I dettagli dei trattamenti, in particolare le categorie di dati personali e le finalità del trattamento per le quali i dati personali sono trattati per conto del Titolare, sono specificati nell'Allegato I.

   Obblighi delle parti

   • Istruzioni

     • Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il Responsabile. In tal caso, il Responsabile informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico. Il Titolare può anche impartire istruzioni successive per tutta la durata del trattamento dei dati personali. Tali istruzioni sono sempre documentate;
     • Il Responsabile informa immediatamente il Titolare qualora, a suo parere, le istruzioni del Titolare violino il Reg. UE 2016/679 o le disposizioni applicabili, nazionali o dell'Unione, relative alla protezione dei dati.

   • Limitazione delle Finalità - Il Responsabile tratta i dati personali soltanto per le finalità specifiche del trattamento di cui all'Allegato I, salvo ulteriori istruzioni del Titolare.

   • Durata del trattamento dei dati personali - Il Responsabile tratta i dati personali soltanto per la durata specificata nel contratto sottoscritto, come meglio identificato in premessa e nell’Allegato I.

   • Sicurezza del trattamento

     • Il Responsabile mette in atto almeno le misure tecniche e organizzative specificate nell'Allegato II per garantire la sicurezza dei dati personali. Ciò include la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati (violazione dei dati personali). Nel valutare l'adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli interessati;
     • Il Responsabile concede l'accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l'attuazione, la gestione e il controllo del contratto. Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

   • Dati particolari - Se il trattamento riguarda dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, o dati relativi a condanne penali e a reati («dati particolari»), il Responsabile applica limitazioni specifiche e/o garanzie supplementari.

   • Documentazione e rispetto

     • Le parti devono essere in grado di dimostrare il rispetto delle presenti clausole;
     • Il Responsabile risponde prontamente e adeguatamente alle richieste di informazioni del Titolare relative al trattamento dei dati conformemente alle presenti clausole;
     • Il Responsabile redige il registro di cui all’Art. 30, comma 2 del Regolamento Europeo, contenente le informazioni ivi specificate. Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e che derivano direttamente dal Reg. UE 2016/679. Il Responsabile fornirà esclusivamente le informazioni pertinenti ai dati forniti dal Titolare. Non saranno comunicati al Titolare dati riservati o altre informazioni non pertinenti. Su richiesta del Titolare, il Responsabile consente e contribuisce alle attività di revisione delle attività di trattamento di cui alle presenti clausole, a intervalli ragionevoli o se vi sono indicazioni di inosservanza. Nel decidere in merito a un riesame o a un'attività di revisione, il Titolare può tenere conto delle pertinenti certificazioni in possesso del Responsabile;
     • Il Titolare può scegliere di condurre l'attività di revisione autonomamente o incaricare un revisore indipendente. Le attività di revisione possono comprendere anche ispezioni nei locali o nelle strutture fisiche del Responsabile e, se del caso, sono effettuate con un preavviso ragionevole di 15 giorni;
     • Su richiesta, le parti mettono a disposizione della o delle autorità di controllo competenti le informazioni di cui alla presente clausola, compresi i risultati di eventuali attività di revisione.

   • Ricorso a sub-responsabili del trattamento

     • Autorizzazione scritta generale: Il Responsabile ha l'autorizzazione generale del Titolare per ricorrere a sub-responsabili del trattamento sulla base di un elenco concordato ed esplicitato nell'Allegato III. Il Responsabile informa specificamente per iscritto il Titolare di eventuali modifiche previste di tale elenco riguardanti l'aggiunta o la sostituzione di sub-responsabili del trattamento con un anticipo di almeno tre mesi, dando così al Titolare tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai sub-responsabili del trattamento in questione. Il Responsabile fornisce al Titolare le informazioni necessarie per consentirgli di esercitare il diritto di opposizione;
     • Qualora il Responsabile ricorra a un sub-responsabile del trattamento per l'esecuzione di specifiche attività di trattamento (per conto del Responsabile), stipula un contratto che impone al sub-responsabile del trattamento, nella sostanza, gli stessi obblighi in materia di protezione dei dati imposti al Responsabile conformemente alle presenti clausole. Il Responsabile si assicura che il sub-responsabile del trattamento rispetti gli obblighi cui il Responsabile è soggetto a norma delle presenti clausole e del Reg. UE 2016/679;
     • Su richiesta del Titolare, il Responsabile gli fornisce copia del contratto stipulato con il sub-responsabile del trattamento e di ogni successiva modifica. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, il Responsabile può espungere informazioni dal contratto prima di trasmetterne una copia;
     • Il Responsabile rimane pienamente responsabile nei confronti del Titolare dell'adempimento degli obblighi del sub-responsabile del trattamento derivanti dal contratto che questi ha stipulato con il Responsabile. Il Responsabile notifica al Titolare qualunque inadempimento, da parte del sub-responsabile del trattamento, degli obblighi contrattuali;
     • Il Responsabile concorda con il sub-responsabile del trattamento una clausola del terzo beneficiario secondo la quale, qualora il Responsabile sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, il Titolare ha diritto di risolvere il contratto con il sub-responsabile del trattamento e di imporre a quest'ultimo di cancellare o restituire i dati personali.

   • Trasferimenti internazionali

     • Qualunque trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del Responsabile è effettuato soltanto su istruzione documentata del Titolare o per adempiere a un requisito specifico a norma del diritto dell'Unione o degli Stati membri cui è soggetto il Responsabile, e nel rispetto del capo V del Reg. UE 2016/679;
     • Il Titolare conviene che, qualora il Responsabile ricorra a un sub-responsabile del trattamento conformemente alla clausola 6.7 per l'esecuzione di specifiche attività di trattamento (per conto del Titolare) e tali attività di trattamento comportino il trasferimento di dati personali ai sensi del capo V del Reg. UE 2016/679, il Responsabile e il sub-responsabile del trattamento possono garantire il rispetto del capo V del Reg. UE 2016/679 utilizzando le clausole contrattuali tipo adottate dalla Commissione conformemente all'articolo 46, paragrafo 2, del Reg. UE 2016/679, purché le condizioni per l'uso di tali clausole contrattuali tipo siano soddisfatte.

   Assistenza al titolare del trattamento

   • Il Responsabile notifica prontamente (entro 24 ore) al Titolare qualunque richiesta ricevuta dall'interessato. Non risponde egli stesso alla richiesta, a meno che sia stato autorizzato in tal senso dal Titolare;

   • Il Responsabile assiste il Titolare nell'adempimento degli obblighi di rispondere alle richieste degli interessati per l'esercizio dei loro diritti, tenuto conto della natura del trattamento. Nell'adempiere agli obblighi di cui ai punti 7.1 e 7.2, il Responsabile si attiene alle istruzioni del Titolare;

   • Oltre all'obbligo di assistere il Titolare in conformità della clausola 7, punto 7.2, il Responsabile assiste il Titolare anche nel garantire il rispetto dei seguenti obblighi, tenuto conto della natura del trattamento dei dati e delle informazioni a disposizione del Responsabile;

     • l'obbligo di effettuare una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali («valutazione d'impatto sulla protezione dei dati») qualora un tipo di trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche;
     • l'obbligo, prima di procedere al trattamento, di consultare la o le autorità di controllo competenti qualora la valutazione d'impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal Titolare per attenuare il rischio;
     • l'obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza indugio il Titolare qualora il Responsabile venga a conoscenza del fatto che i dati personali che sta trattando sono inesatti o obsoleti;
     • gli obblighi di cui all'articolo 32 Reg. UE 2016/679;

   • Le parti stabiliscono nell'Allegato II le misure tecniche e organizzative adeguate con cui il Responsabile è tenuto ad assistere il Titolare nell'applicazione della presente clausola, nonché l'ambito di applicazione e la portata dell'assistenza richiesta.

   Notifica di una violazione dei dati personali

   In caso di violazione dei dati personali, il Responsabile coopera con il Titolare e lo assiste nell'adempimento degli obblighi che incombono a quest'ultimo a norma degli articoli 33 e 34 del Reg. UE 2016/679, ove applicabile, tenuto conto della natura del trattamento e delle informazioni a disposizione del Responsabile.

   • Violazione riguardante dati trattati dal titolare del trattamento - In caso di una violazione dei dati personali trattati dal Titolare, il Responsabile assiste il Titolare:
     • nel notificare la violazione dei dati personali alla o alle autorità di controllo competenti, senza ingiustificato ritardo (entro 24 ore) dopo che il Titolare ne è venuto a conoscenza, se del caso (a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);
     • nell'ottenere le seguenti informazioni che, in conformità dell'articolo 33, paragrafo 3, del Reg. UE 2016/679, devono essere indicate nella notifica del Titolare e includere almeno:
       • la natura dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
       • le probabili conseguenze della violazione dei dati personali;
       • le misure adottate o di cui si propone l'adozione da parte del Titolare per porre rimedio alla violazione dei dati personali, se del caso anche per attenuarne i possibili effetti negativi. Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo;
     • nell'adempiere, in conformità dell'articolo 34 del regolamento (UE) 2016/679, all'obbligo di comunicare senza ingiustificato ritardo la violazione dei dati personali all'interessato, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche (entro 24 ore).
   • Violazione riguardante dati trattati dal responsabile del trattamento - In caso di una violazione dei dati personali trattati dal Responsabile, quest'ultimo ne dà notifica al Titolare senza ingiustificato ritardo (entro 24 ore) dopo esserne venuto a conoscenza. La notifica contiene almeno:
     • una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati in questione);
     • i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni sulla violazione dei dati personali;
     • le probabili conseguenze della violazione dei dati personali e le misure adottate o di cui si propone l'adozione per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi. Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo. Le parti stabiliscono nell'Allegato II tutti gli altri elementi che il Responsabile è tenuto a fornire quando assiste il Titolare nell'adempimento degli obblighi che incombono al Titolare a norma degli articoli 33 e 34 del Reg. UE 2016/679.

3. Sezione III

   Inosservanza delle clausole e risoluzione

   • Fatte salve le disposizioni del Reg. UE 2016/679, qualora il Responsabile violi gli obblighi che gli incombono a norma delle presenti clausole, il Titolare può dare istruzione al Responsabile di sospendere il trattamento dei dati personali fino a quando quest'ultimo non rispetti le presenti clausole o non sia risolto il contratto. Il Responsabile informa prontamente il Titolare qualora, per qualunque motivo, non sia in grado di rispettare le presenti clausole.

   • Il Titolare ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali conformemente alle presenti clausole qualora:

     • il trattamento dei dati personali da parte del Responsabile sia stato sospeso dal Titolare in conformità al punto 9.1 e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;
     • il Responsabile violi in modo sostanziale o persistente le presenti clausole o gli obblighi che gli incombono a norma del Reg. UE 2016/679;
     • il Responsabile non rispetti una decisione vincolante di un organo giurisdizionale competente o della o delle autorità di controllo competenti per quanto riguarda i suoi obblighi in conformità delle presenti clausole o del Reg. UE 2016/679;

   • Il Responsabile ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole qualora, dopo aver informato il Titolare che le sue istruzioni violano i requisiti giuridici applicabili in conformità della clausola 6.1, punto 6.1.2, il Titolare insista sul rispetto delle istruzioni.

   • Dopo la risoluzione del contratto il Responsabile, a scelta del Titolare, cancella tutti i dati personali trattati per conto del Titolare e certifica a quest'ultimo di averlo fatto, oppure restituisce al Titolare tutti i dati personali e cancella le copie esistenti, a meno che il diritto dell'Unione o dello Stato membro non richieda la conservazione dei dati personali. Finché i dati non sono cancellati o restituiti, il Responsabile continua ad assicurare il rispetto delle presenti clausole.

Per tutto quanto qui non espressamente previsto si rinvia alle disposizioni del combinato disposto del Regolamento Europeo n. 2016/679 e del D.lgs. 196/2003 e s.m.i. (D.lgs. 101/2018).

Allegati

• Allegato I - Descrizione del trattamento
• Allegato II - Descrizione delle misure tecniche e organizzative adottate
• Allegato III - Elenco dei sub-responsabili del trattamento