DPA

Il presente accordo sul trattamento dei dati personali («DPA»)«) è un'appendice ai Termini e condizioni generali e costituisce parte integrante del Contratto applicabile tra Signitic SAS e il Cliente. In caso di contraddizione tra i Termini e condizioni generali e il DPA, quest'ultimo prevarrà.

‍

1. Ambito di applicazione e status delle parti

Lo scopo del presente DPA è definire le condizioni alle quali Signitic, in qualità di subappaltatore, si impegna a svolgere le operazioni di trattamento dei dati personali in relazione ai Servizi per conto e su istruzioni del Cliente e a definire gli obblighi e i diritti di Signitic e del Cliente. Il presente accordo non si applica quando Signitic agisce in qualità di titolare del trattamento. Il presente accordo annulla e sostituisce qualsiasi condizione o contratto precedente tra le parti relativo allo stesso oggetto.

Nel contesto del presente DPA, si presume che il Cliente agisca in qualità di titolare del trattamento dei dati. Nel caso in cui il Cliente agisca per conto di un Titolare del trattamento terzo, in qualità di Subappaltatore, garantisce:

• Di disporre di tutte le autorizzazioni necessarie per la conclusione del presente DPA e per il trattamento dei dati personali da parte di Signitic in qualità di subappaltatore successivo;
• Che il contratto stipulato con il Titolare del trattamento interessato è conforme ai termini del Contratto;
• Che le istruzioni fornite dal Cliente in relazione all'esecuzione del presente DPA siano rigorosamente conformi alle istruzioni del Titolare del trattamento e si impegnino a fornire al Titolare del trattamento le informazioni comunicate da Signitic, quando imposte dal RGPD.

Il Cliente rimane l'unico responsabile nei confronti di Signitic per il corretto adempimento degli obblighi del Titolare del trattamento ai sensi del presente DPA.

Le Parti si impegnano a rispettare le disposizioni imposte dal RGPD e, più in generale, le normative ad esse applicabili in termini di protezione dei dati personali.

‍

2. Definizioni

Ai fini del DPA, i termini in maiuscolo avranno i significati indicati di seguito. Se un termine in maiuscolo non è definito in questo elenco, la definizione sarà quella specificata nel Contratto. Le definizioni dei termini «Titolare», «Subappaltatore», «Subappaltatori successivi», «Trattamento», «Autorità di vigilanza», «Violazione dei dati personali» sono quelle determinate dal RGPD.

Dati personali: indica qualsiasi informazione relativa a una persona fisica identificata o identificabile; una «persona fisica identificabile» è una persona fisica che può essere identificata, direttamente o indirettamente, in particolare facendo riferimento a un numero di identificazione o a uno o più fattori specifici, che Signitic elabora per conto del Cliente al fine di fornire i Servizi previsti dal Contratto.

Soggetto dei dati: si riferisce a una persona fisica i cui Dati personali vengono trattati.

RGPD: si riferisce al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali e sulla libera circolazione di tali dati.

‍

3. Descrizione delle operazioni di trattamento

Signitic è autorizzata a trattare, per conto del Cliente, i Dati personali necessari per fornire i Servizi previsti dal Contratto, secondo la seguente descrizione:

a. Tipi di dati personali: dati identificativi, dati di navigazione, dati di connessione.

b. Categorie di interessati: dipendenti del Titolare del trattamento e loro contatti;

c. Scopo e natura del trattamento: lo scopo del trattamento dei dati personali da parte di Signitic è la fornitura di Servizi al Cliente che comporta il trattamento dei dati personali. Ciò vale in particolare per il servizio di firma elettronica personalizzato, l'organizzazione di campagne mirate in base agli utenti e l'hosting di biglietti da visita digitali. La natura del Trattamento comporta la raccolta, l'estrazione, la registrazione, l'organizzazione, la conservazione, la modifica, la consultazione, l'uso, la comunicazione mediante trasmissione, la strutturazione, l'interconnessione, la distruzione e la cancellazione dei dati personali. I Dati Personali sono soggetti alle attività di Trattamento specificate nel Contratto.

d. Durata del trattamento: le attività di trattamento sono svolte per la durata specificata nel Contratto.

4. Obblighi del cliente

Il Cliente si impegna a:

1. Assicurati che i Servizi a cui si abbonano da Signitic abbiano le caratteristiche e le condizioni richieste per il Trattamento previsto. A tale riguardo, le informazioni messe a disposizione del Cliente hanno lo scopo di consentirgli di valutare la conformità di tali misure in relazione al Trattamento previsto;

2. Raccogli sotto la propria responsabilità, in modo lecito, equo e trasparente, i Dati personali forniti a Signitic per l'esecuzione dei Servizi. In particolare, verificherà la base giuridica di tale raccolta, nonché il rispetto delle disposizioni relative alla fornitura di informazioni agli interessati, di cui rimane responsabile;

3. Fornire a Signitic i dati personali necessari per l'esecuzione dei Servizi, con l'esclusione di qualsiasi dato personale irrilevante, sproporzionato o non necessario e con l'esclusione di qualsiasi dato «speciale» ai sensi del RGPD, compresi i dati sensibili;

4. Documenta eventuali istruzioni relative al trattamento dei dati personali. Resta inteso che i termini di utilizzo dei Servizi e il presente Contratto costituiranno istruzioni a Signitic in merito al Trattamento da implementare. Istruzioni aggiuntive o divergenti richiedono un accordo tra le Parti. Devono essere inizialmente specificate per iscritto al momento dell'ordine dei Servizi e possono, in qualsiasi momento, con il previo consenso scritto di Signitic, essere modificate, integrate o sostituite su richiesta del Cliente, in istruzioni scritte separate, anche elettroniche;

5. Garantire, prima e durante l'elaborazione, che Signitic rispetti gli obblighi stabiliti nel RGPD;

6. Per ottemperare agli obblighi che incombono al Titolare del trattamento ai sensi del RGPD, in particolare per rispettare i diritti degli interessati.

‍

5. Obblighi di Signitic

Signitic si impegna a:

1. Trattare i dati personali in conformità con i termini del Contratto;
2. Trattare i dati personali solo su istruzione documentata del Cliente, ai sensi dell'articolo 4.4, a meno che Signitic non sia tenuta a farlo ai sensi della legge applicabile al Contratto. In questo caso, Signitic informerà il Cliente di tale obbligo legale, a meno che la legge pertinente non vieti tali informazioni per motivi di interesse pubblico. Se Signitic ritiene che un'istruzione costituisca una violazione del GDPR o di qualsiasi altra disposizione del diritto dell'Unione o degli Stati membri relativa alla protezione dei dati, informerà immediatamente il Cliente per iscritto;
3. Tenere conto dei principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default per i suoi strumenti, prodotti, applicazioni e servizi;
4. Formare e sensibilizzare il personale sulla protezione dei dati personali;
5. Mantenere la riservatezza dei Dati personali e non divulgarli in alcuna forma, tranne (i) ai fini dell'esecuzione dei Servizi, delle finalità e del Contratto; (ii) in applicazione di una disposizione legale o regolamentare; (iii) per rispondere alle richieste di informazioni delle autorità giudiziarie e/o amministrative; (iv) con il previo consenso, richiesta o azione del Cliente.

A tale riguardo, Signitic assicura che le persone autorizzate al trattamento dei Dati personali (personale, partner, subappaltatori, ecc.) si impegnino a rispettare la riservatezza o siano soggette a un adeguato obbligo legale di riservatezza;

6. Tenere un registro delle categorie di attività di trattamento svolte per conto del Cliente, alle condizioni dell'articolo 30.2 del RGPD;
7. Rispondere a qualsiasi ragionevole richiesta di assistenza da parte del Cliente in merito all'esecuzione delle analisi di impatto relative alla protezione dei dati personali e all'esecuzione della consultazione preventiva dell'Autorità di vigilanza, nella misura in cui il Cliente è tenuto a farlo ai sensi del regolamento/legge sulla protezione dei dati applicabili e se tale assistenza è necessaria e si riferisce al trattamento dei dati personali operato da Signitic.

6. Periodo di conservazione dei dati personali

Alla scadenza o alla risoluzione del Contratto, Signitic si impegna a distruggere o rendere irreversibilmente anonimi i Dati personali secondo i termini dell'Accordo, a meno che la legge applicabile all'Accordo non richieda la conservazione dei Dati personali.

A seconda del tipo di trattamento, i dati personali possono essere cancellati o resi anonimi in modo irreversibile durante la durata del Contratto. Ciò è particolarmente vero quando Signitic fornisce al Cliente, nell'ambito dei suoi Servizi, funzionalità che gli consentono di eliminare ed esportare i Dati personali, o quando i Dati personali hanno un periodo di conservazione limitato per quanto riguarda lo scopo del Trattamento in questione.

‍

7. Sicurezza

Signitic implementa misure tecniche e organizzative per proteggere i Dati personali dalla distruzione accidentale o illegale, dalla perdita accidentale, dall'alterazione, dalla diffusione o dall'accesso non autorizzato ai Dati personali, e ciò nei limiti del suo ambito di intervento e dei mezzi sotto il suo controllo ai sensi del Contratto. Queste misure sono specificate sul sito web Signitic. Possono cambiare di volta in volta. In questo caso, Signitic si impegna a non ridurre il livello di protezione in atto e a garantire che il livello di sicurezza fornito ai Dati personali sia equivalente o superiore a quello in vigore al momento della sottoscrizione ai Servizi. Tutte le modifiche di impatto significativo saranno pubblicate sul Sito e portate all'attenzione del Cliente tramite questo mezzo. È responsabilità del Cliente verificare regolarmente l'adeguatezza delle misure in atto per il trattamento dei propri dati personali.

Il Cliente si impegna ad adottare le misure di sicurezza necessarie per proteggere i Dati personali di cui è responsabile all'interno del suo perimetro, e in particolare:

1. garantire la riservatezza di qualsiasi chiave API, identificatore e password o qualsiasi altro mezzo che consenta l'accesso o l'uso dei Servizi e utilizzare password conformi alle regole di buona pratica;
2. garantire la sicurezza delle postazioni di lavoro, delle apparecchiature e delle reti da cui il suo personale e qualsiasi persona da esso autorizzata accede ai Servizi;
3. garantire l'applicazione di patch e aggiornamenti di sistema e l'aggiornamento dei sistemi antivirus e firewall o simili;
4. incoraggiando la conservazione dei dati personali in luoghi adeguati;
5. proteggendo i propri locali, in particolare con sistemi antintrusione e controlli degli accessi periodicamente testati, differenziando le zone dei locali in base al rischio (ad esempio sala computer), garantendo l'accesso al personale in base alle esigenze operative e rispettando il principio del privilegio minimo;
6. formare il proprio personale, gli utenti e le altre persone autorizzate alla protezione dei dati personali; ecc.

8. Responsabilità

Signitic può essere ritenuta responsabile solo per i danni causati dal trattamento per il quale (i) non ha rispettato gli obblighi previsti dal RGPD, che incombono specificamente sui Subappaltatori o per i quali (ii) ha agito al di fuori o in contrasto con le legittime istruzioni del Cliente. In tali casi, si specifica che si applicano le clausole di cui al Contratto relative alla responsabilità di Signitic.‍

‍‍

9. Revisione

Signitic rende disponibili sul suo sito web le principali misure che attua per dimostrare il rispetto dei suoi obblighi. Il Cliente può richiedere qualsiasi ragionevole informazione aggiuntiva contattando i servizi di Signitic. Il Cliente può effettuare, o far eseguire da una terza parte autorizzata che non sia un concorrente del Gruppo di cui Signitic è membro e che è vincolato da un obbligo di riservatezza, qualsiasi verifica (audit), inclusa in particolare l'implementazione del pentesting, che possa essere ragionevolmente utile per accertare l'effettiva conformità al presente DPA. In questo contesto, Signitic e il Cliente si incontreranno preventivamente per concordare le condizioni operative e di sicurezza di un'ispezione tecnica in loco o a distanza. Il Cliente sosterrà da solo tutti i costi associati agli audit/ispezioni. In tutti i casi, le condizioni di audit non devono influire sulla sicurezza dei dati degli altri clienti di Signitic e non devono causare alcuna interruzione al normale funzionamento delle attività di Signitic.

‍

10. Diritti delle persone interessate

Diritto all'informazione. È responsabilità del Cliente informare le persone interessate dalle operazioni di trattamento alle condizioni previste dal RGPD e in particolare dai suoi articoli 13 e 14.

Esercizio dei diritti. È responsabilità del Cliente rispondere alle richieste di esercizio dei diritti degli interessati (diritto di accesso, rettifica, cancellazione e opposizione, limitazione del trattamento, portabilità dei dati, non essere soggetti a una decisione individuale automatizzata, ecc.).

Per quanto possibile, data la natura del Trattamento e le informazioni a sua disposizione, Signitic si impegna nei confronti del Cliente e su richiesta di quest'ultimo ad assisterlo nell'adempimento del suo obbligo di rispondere alle richieste di esercizio dei diritti delle Persone interessate dal Trattamento, nella misura in cui il Cliente non disponga delle informazioni o degli strumenti tramite i Servizi. Il Cliente rimane l'unico responsabile per la risposta fornita e per le azioni risultanti, nei confronti e verso gli interessati.

In caso di richieste di esercizio dei diritti o reclami da parte degli interessati che raggiungano direttamente Signitic, Signitic si impegna a inoltrarli al Cliente il prima possibile.

‍

11. Violazione dei dati personali

Se Signitic viene a conoscenza di una violazione dei dati personali, informerà il Cliente via e-mail il prima possibile. La notifica al Cliente deve contenere almeno:

• la natura della violazione dei dati personali, comprese, se possibile, le categorie e il numero approssimativo di persone interessate dalla violazione e le categorie e il numero approssimativo di record di dati personali interessati;
• il nome e i dati di contatto del responsabile della protezione dei dati o altro punto di contatto presso il quale è possibile ottenere ulteriori informazioni;
• le probabili conseguenze della violazione dei dati personali;
• misure adottate o che possono essere attuate in risposta alla situazione.

‍12. Subappalto successivo

Signitic può utilizzare altri subappaltatori per svolgere specifiche attività di trattamento («Subappaltatori successivi» - Appendice 1), che il Cliente accetta. Il Cliente accetta e approva l'uso da parte di Signitic di ciascun Subappaltatore in questo elenco o in altri documenti in tale veste.

Signitic ha stipulato un contratto con ciascuno dei suoi subappaltatori contenente sostanzialmente gli stessi obblighi a cui è soggetta ai sensi del DPA. Se il Subappaltatore non rispetta i propri obblighi di protezione dei dati, Signitic rimane pienamente responsabile nei confronti del Cliente.

A Signitic può essere richiesto di apportare modifiche riguardanti l'aggiunta o la sostituzione di altri subappaltatori successivi. In questo caso, Signitic avviserà il Cliente via e-mail almeno 30 giorni di calendario prima della modifica effettiva, specificando il nome, l'indirizzo e il ruolo dei nuovi Subappaltatori Successivi. Il Cliente può opporsi a tale modifica interrompendo il/i Servizio/i in questione, entro e non oltre 30 giorni dalla data di invio della notifica che informa il Cliente della modifica imminente. In caso di risoluzione per questo motivo ed entro tale termine, il Cliente riceverà un rimborso delle commissioni pagate in anticipo ma non utilizzate per il periodo residuo del/i Servizio/i interessato/i dopo la data di efficacia della risoluzione, quest'ultima avvenuta al ricevimento della notifica da parte di Signitic. Prima di tale risoluzione, il Cliente può sollevare qualsiasi obiezione a Signitic. Le Parti discuteranno delle alternative ragionevolmente possibili per rimuovere il Subappaltatore o i Subappaltatori interessati dalle obiezioni. In ogni caso, tali trattative non estenderanno il periodo di risoluzione concesso al Cliente. Signitic non è inoltre obbligata nei confronti del Cliente a rinunciare alla proposta di modifica del/dei subappaltatore/i. Se il Cliente non risolve il contratto entro il termine specificato, si considera che abbia accettato l'aggiunta o la sostituzione del/i subappaltatore/i.

Qualsiasi obiezione/notifica di risoluzione ai sensi del presente articolo deve essere inviata al seguente indirizzo: rgpd@signitic.com.

‍

13. Trasferimento dati

Il Cliente è informato e accetta che, nell'ambito della prestazione dei Servizi, Signitic può trasferire i Dati personali alle società del suo Gruppo. Questi trasferimenti sono strettamente necessari per fornire i Servizi e sono limitati a scopi amministrativi interni.

Se, ai sensi del Contratto, i Dati personali vengono trasferiti al di fuori dell'Unione Europea in un paese che non è oggetto di una decisione di adeguatezza, sarà implementato un accordo in conformità alle Clausole contrattuali standard o, a scelta di Signitic, qualsiasi altro meccanismo di garanzia appropriato previsto dal RGPD.

‍

14. Dati di contatto - Notifica

In caso di domande sui tuoi dati personali, puoi contattare:

- Servizio clienti, oppure

- l'ufficio legale via e-mail: rgpd@signitic.com, oppure

- il DPO, per posta: SIGNITIC, Délégué à la protection des données, Parc d'activités des Quatre Vents, 3 Avenue Antoine Pinay, 59510 HEM o via e-mail: dpo@signitic.com.

‍

Se il Cliente desidera ricevere una notifica relativa all'esecuzione di questo PAD a un indirizzo e-mail specifico, può inviare la sua richiesta all'indirizzo e-mail: rgpd@signitic.com. In caso contrario, qualsiasi comunicazione relativa al presente PAD verrà inviata all'indirizzo e-mail di contatto principale del Cliente noto a Signitic come parte dei Servizi.

‍