APPENDICE NDR.IAAS.ORD.REV.09.2020

APPENDICE NDR.IAAS.ORD.REV.09.2020

NOMINA DEL RESPONSABILE PER IL TRATTAMENTO DEI DATI PERSONALI

Tra

Il CLIENTE, come indicato nel contratto di servizio e di seguito denominato anche “Committente” e

Reevo MSP S.r.l., con sede in Xxx Xxxxx, x. 0, Xxxxxx (XX), PIVA 10256830968, di seguito denominato anche “Fornitore” Committente e Fornitore sono denominati di seguito singolarmente “Parte” e congiuntamente “Parti”

PREMESSE:

• Il presente Accordo si prefigge di definire gli obblighi delle Parti in relazione alla protezione dei dati personali, in conformità a quanto prescritto dall’art. 28 del Regolamento UE 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito anche “GDPR”).

• Ai fini del presente Accordo come “Normativa Rilevante” si intende il GDPR e qualsiasi provvedimento normativo e/o regolamentare adottato da autorità pubbliche nazionali in materia di trattamento di dati personali (ivi compresi i provvedimenti assunti dalle Autorità di controllo), applicabile durante il periodo di validità del presente Accordo, cui si fa riferimento anche per le definizioni di “trattamento di dati” e “dato personale”.

• Il presente Accordo è espressamente collegato al Contratto di servizio o ai Contratti di servizio in essere tra le suddette Parti (di seguito anche solo “Contratto di servizio”).

• Per ogni aspetto non espressamente disciplinato dal presente Accordo, si rinvia al Contratto di servizio e alla Normativa Rilevante.

• In caso di contrasto tra le disposizioni del Contratto di servizio e quelle contenute nel presente Accordo, prevarranno queste ultime.

• Il Committente ritenuto che il Fornitore presenti garanzie sufficienti, in particolare in merito a conoscenze specialistiche, risorse e affidabilità nonché abbia adottato misure tecniche ed organizzative che soddisfano i requisiti della Normativa Rilevante per il trattamento dei dati personali, nomina il Fornitore “Responsabile del Trattamento” relativamente a quelle attività di trattamento connesse al Contratto di Servizio.

1. OGGETTO DELL’ACCORDO

1.1 Le premesse sono parte integrante e sostanziale dell’Accordo.

1.2 Il Committente, con il presente Accordo, ai sensi e per gli effetti dell’art. 28 GDPR, nomina il Fornitore “Responsabile del trattamento dei dati personali”.

1.3 Il Fornitore accetta la nomina e si impegna a rispettare le prescrizioni della Normativa Rilevante e ad adempiere a tutte le clausole del presente Accordo.

1.4 Qualora il Committente sia a sua volta “Responsabile del trattamento”, col presente Accordo il Fornitore si intenderà nominato come “altro responsabile del trattamento” ai sensi dell’art. 28 GDPR, cd. “Sub - responsabile”.

1.5 Nel caso di cui all’articolo 1.4, le Parti riconoscono e si danno atto che ai sensi dell’art. 28 GDPR, il presente Accordo sarà valido ed efficace fintanto che il Committente sia legittimato a nominare il Fornitore quale “altro responsabile del trattamento” e salvo eventuali opposizioni alla presente nomina.

1.6 La definizione della natura e della finalità dei trattamenti affidati nonché la tipologia di dati personali e le categorie di interessati cui i dati oggetto dell’Accordo si riferiscono, sono decisi dal Committente e indicati nell’Art.8.

2. DIRITTI E OBBLIGHI DEL COMMITTENTE

2.1 Diritti e obblighi generali

2.1.1. Il Committente determina le finalità e le modalità del trattamento dei dati personali eseguiti dal Fornitore nello svolgimento del Contratto di servizio.

2.1.2. Il Committente dovrà far presente eventuali esigenze contrattuali specifiche inerenti al trattamento dei dati personali in sede di trattativa. Il Fornitore, per eseguire il presente contratto, si atterrà a quanto previsto nel Contratto di servizio e alle istruzioni ivi contenute. Non saranno prese in considerazione istruzioni non fornite per iscritto.

2.1.3. Eventuali istruzioni non previste nel contratto di servizio potranno essere oggetto di rinegoziazione tra le parti.

2.1.4. Il Committente dichiara e garantisce che i dati personali affidati al Fornitore in esecuzione del presente Accordo, sono stati raccolti e trattati dal Committente in conformità alla Normativa Rilevante.

2.1.5. Il Committente garantisce altresì di essere legittimato, in base alla Normativa Rilevante, a sottoscrivere il presente contratto (in qualità di autonomo Titolare, Contitolare o – a sua volta – di Responsabile).

2.1.6. Il Committente ha diritto di verificare che il Fornitore adempia alle istruzioni impartite e rispetti la Normativa Rilevante ad esempio verificando i) le misure di sicurezza adottate, ii) il corretto svolgimento delle operazioni di trattamento, in applicazione delle istruzioni di cui al presente Accordo iii) il rispetto delle finalità individuate e perseguite dal Committente.

2.1.7. Le verifiche di cui al punto 2.1.6 potranno essere eseguite nella sede del Fornitore ovvero dove quest’ultimo tratta i dati personali, anche per mezzo di professionisti o soggetti terzi, concordando con il Fornitore una data che non interrompa o rechi pregiudizio alla attività lavorativa di quest’ultimo secondo le modalità del punto 2.2.

2.1.8. Il Committente è tenuto ad informare tempestivamente il Fornitore di eventuali utilizzi impropri degli account o delle credenziali di autenticazione nonché ogni eventuale incidente di sicurezza di cui abbia cognizione e che riguardi i dati oggetto del presente Accordo o i sistemi informatici utilizzati per darvi esecuzione.

2.2 Diritti e obblighi del committente – ispezioni e verifiche

2.2.1. Eventuali ispezioni o verifiche svolte dal Committente, anche per mezzo di terzi professionisti da Lui nominati, non dovranno in alcun modo recare pregiudizio all’attività del Fornitore.

2.2.2. Il Committente, eventuali Suoi collaboratori o professionisti terzi da Lui incaricati dovranno trattare ogni informazione o dato conosciuto in ragione delle ispezioni e delle verifiche condotte in esecuzione del presente Accordo, come strettamente confidenziale.

2.2.3. Le Parti concorderanno con congruo anticipo le date, le modalità, l’oggetto dell’ispezione affinché lo svolgimento delle attività avvenga nel pieno rispetto delle norme sulla sicurezza, in conformità alle procedure e alle misure di sicurezza del Fornitore e dei suoi sub-responsabili.

2.2.4. Qualora l’ispezione comporti costi o pregiudizi non previsti dalle Parti che rendano la prestazione troppo onerosa per il Fornitore, le Parti concorderanno un equo compenso.

3. OBBLIGHI DEL FORNITORE

3.1 Obblighi generali

3.1.1. Il Fornitore tratta, per conto del Committente, i dati personali in esecuzione del Contratto di servizio ed esclusivamente nel quadro del presente Accordo, salvo quanto diversamente previsto dal diritto dell’Unione Europea o di uno Stato membro a cui il Fornitore è soggetto.

3.1.2. I dati forniti non vengono usati per nessun’altra finalità, in particolare non vengono usati dal Fornitore per proprie finalità non previste dall’Art.8. Fermo quanto previsto al punto 3.4, il Fornitore può comunicare i dati a terze parti, che svolgono servizi strumentali, qualora sia necessario per dare esecuzione al Contratto di servizio. Il Fornitore non è autorizzato a fornire i dati a terze parti, diverse da quelle suddette, senza la preventiva approvazione scritta del Committente.

3.1.3. Qualunque trasferimento di dati personali oggetto del presente Accordo verso un Paese o una organizzazione internazionale può avere luogo soltanto se avviene nel pieno rispetto delle garanzie di cui al Capo V del GDPR e della Normativa Rilevante. Eventuali trasferimenti non eseguiti nel rispetto delle garanzie suddette dovranno essere autorizzati dal Committente.

3.1.4. Il Fornitore fornisce al Committente tutta l’assistenza necessaria e richiesta da quest’ultimo nell’assicurare il rispetto degli obblighi di cui agli articoli 32 “Sicurezza del Trattamento”, 33 “Notifica di una violazione dei dati personali all'autorità di controllo”, 34 “Comunicazione di una violazione dei dati personali all'interessato”, 35 “Valutazione d'impatt o sulla protezione dei dati” e 36 “Consultazione Preventiva” del GDPR.

3.1.5. Il Fornitore mette a disposizione del Committente le informazioni necessarie a dimostrare il rispetto degli obblighi e delle prescrizioni della Normativa Rilevante e collabora con il Committente in caso di ispezioni o controlli di ogni genere da parte delle Autorità o in caso di controversie con l’Interessato.

3.1.6. Il Fornitore coadiuva il Committente nel riscontrare le eventuali richieste degli interessati avanzate al fine di esercitare i diritti dell’interessato definiti al capo III del GDPR, secondo le modalità previste dal presente Accordo e le eventuali istruzioni aggiuntive impartite dal Committente per specifiche esigenze.

3.1.7. Il Fornitore deve designare le persone autorizzate al trattamento di dati personali, garantendo che queste abbiano la necessaria competenza e formazione in relazione alle attività di trattamento di dati personali da porre in essere, provvedendo altresì a vincolarle a idonei impegni di riservatezza circa i dati personali trattati e le relative informa zioni di cui vengano a conoscenza in esecuzione delle attività.

3.1.8. Il Fornitore informa il Committente se nota che un’istruzione impartita dal Committente viola un obbligo legale prescritto dalla Normativa Rilevante o qualsiasi altro obbligo derivante dal presente Accordo. Il Fornitore è autorizzato a sospendere l’esecuzione di tale istruzione od obbligo fino a quando non viene confermata o corretta dal Committente.

3.1.9. Qualora il Committente, nonostante la segnalazione di cui al punto 3.1.8 decida di confermare l’istruzione impartita al Fornitore si assume la totale responsabilità della decisione intrapresa e si obbliga a tenere indenne il Fornitore di ogni pretesa, danno, pregiudizio o onere trovi causa in tale istruzione.

3.2 Obblighi del fornitore - Misure tecniche e organizzative

3.2.1. Il Fornitore adotta le misure richieste ai sensi dell'art. 32 GDPR ed in particolare, tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, si impegna a mettere in atto misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio.

3.2.2. Resta in ogni caso fermo quanto previsto al punto 2.1 in merito ad eventuali istruzioni aggiuntive del Committente.

3.3 Obblighi del Fornitore - Rapporti con terzi

3.3.1. Qualora gli interessati, le Autorità di controllo o qualsiasi altro terzo (ivi compresi, a titolo esemplificativo e non esaustivo, Autorità giurisdizionali e amministrative diverse dalle Autorità di controllo) avanzassero richieste nei confronti del Fornitore (ivi comprese anche richieste per l’esercizio dei diritti riconosciuti agli interessati, quali il diritto di accesso e gli altri diritti riconosciuti dal GDPR), questo informerà senza ritardo per iscritto il Committente.

3.3.2. Il Fornitore avrà cura, in particolare, di trasmettere al Committente copia delle richieste pervenute, allegando altresì ogni ulteriore eventuale informazione o circostanza ritenuta utile.

3.3.3. Il Fornitore non darà riscontro a richieste di terzi senza averne preventivamente informato il Committente fatta eccezione nei casi in cui sia tenuto per legge a fornire immediato riscontro nonché qualora la richiesta dovesse pervenire da Autorità di Pubblica Sicurezza o Autorità di Controllo.

3.4 Obblighi del Fornitore - Rapporti di Sub-responsabilità

3.4.1. Il Committente, qualora il Contratto di servizio lo permetta e nel rispetto delle prescrizioni ivi contenute, autorizza in via generale il Fornitore a ricorrere ad un altro Responsabile del trattamento (d’ora in poi anche solo Sub-responsabile) ai sensi e per gli effetti dell’art. 28 del GDPR esclusivamente per lo svolgimento di specifiche attività di trattamento di dati personali necessarie all’esecuzione del Contratto di servizio. Resta in ogni caso salvo il diritto del Committente di opporsi alle specifiche nomine nei termini di seguito indicate.

3.4.2. Il Fornitore all’articolo 8 del presente documento informa il Committente dei Sub-Responsabili di cui attualmente si avvale per svolgere attività necessarie o strumentali per eseguire il Contratto di servizio, e che il Committente, con la sottoscrizione del presente Accordo, approva. Il Fornitore deve informare il Committente di eventuali modifiche riguardanti l’aggiunta e/o la sostituzione di altri Sub - Responsabili del trattamento almeno 15 (quindici) giorni prima di operare le predette modifiche, dando così al Committente l’opportunità di opporsi.

3.4.3. L’eventuale opposizione dovrà essere adeguatamente motivata e comunicata per iscritto mediante posta elettronica certificata (PEC) entro 15 giorni dalla comunicazione.

3.4.4. In caso di opposizione le Parti si attiveranno per trovare, di comune accordo, una soluzione alternativa. Qualora non si addivenisse ad un accordo sul punto e, nonostante l’opposizione manifestata dal Committente, il Fornitore confermi la variazione di cui al punto 3.4.2, il Committente avrà diritto di recedere dal presente contratto, fermo restando l’obbligo di corrispondere al Fornitore gli importi dovuti fino alla data di cessazione del Contratto di servizio.

3.4.5. Qualora il Fornitore ricorra, sotto la propria responsabilità, alla nomina di un Sub-responsabile, il Fornitore deve prevedere nel contratto con il nuovo Sub-Responsabile garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del GDPR.

3.4.6. Le comunicazioni di cui al presente paragrafo potranno essere eseguite dal Fornitore con i mezzi ritenuti più opportuni, incluso l’invio a mezzo posta elettronica.

3.5 Obblighi del fornitore - Notifica delle violazioni da parte del Fornitore (c.d. data breach)

3.5.1. Qualora si verifichi un incidente di sicurezza (a titolo esemplificativo e non esaustivo, qualsiasi evento di distruzione, perdita, alterazione, divulgazione o accesso imprevisto o non autorizzato ai dati personali), riguardante i propri sistemi o quelli dei Sub-Responsabili, il Fornitore dovrà notificare al Committente per iscritto mediante posta elettronica certificata (PEC) tale evento nel minor tempo possibile, dal momento in cui ne sia venuto a conoscenza e comunque senza ingiustificato ritardo.

3.5.2. La comunicazione sarà ritenuta correttamente eseguita qualora contenga:

a) descrivere nel dettaglio la natura della violazione dei dati personali, ivi compresi, ove possibile, le categorie, il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di dati personali coinvolti;

b) contenere il nominativo e i dati di contatto dell’eventuale responsabile della protezione dei dati o altro punto di contatto ove sia possibile ottenere maggiori informazioni;

c) descrivere le probabili conseguenze della violazione dei dati personali;

d) descrivere le misure adottate per far fronte alla violazione e le misure di cui si propone l’adozione per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuare i possibili effetti negativi.

3.5.3. Il Fornitore presterà assistenza e la collaborazione eventualmente richiesta dal Committente al fine di porre rimedio alla violazione di dati personali e al fine di fornire all’Autorità di controllo ogni informazione o chiarimento richiesto.

3.5.4. Resta inteso fra le parti che l’onere di comunicare la violazione all’Autorità di controllo, per i trattamenti di cui al presente Accordo, è del Committente.

4. RISERVATEZZA

4.1. Tutti i dati personali ricevuti dal Fornitore da parte del Committente e/o raccolti dal Fornitore nell’ambito dell’esecuzione di questo Accordo sono soggetti a un obbligo di riservatezza nei confronti di terzi.

4.2. Tale obbligo di riservatezza non sussisterà nel caso in cui il Committente abbia espressamente autorizzato la rivelazione di tali informazioni a terzi, nel caso in cui la rivelazione delle informazioni a terzi sia ragionevolmente necessaria alla luce delle disposizioni e dell’esecuzione del presente Accordo, oppure ove ricorra un obbligo giuridico di rendere disponibili le informazioni a terzi.

5. DURATA DELL’ACCORDO

5.1. Il presente Accordo decorre dalla data di sottoscrizione e rimarrà in vigore ed efficace fino al termine o alla cessazione (per qualsivoglia ragione) del Contratto di servizio o di eventuali altri Contratti vigenti tra le Parti e aventi il medesimo oggetto. Qualora al termine del Contratto di servizio vi siano trattamenti o attività ancora in corso, il Fornitore, d’accordo con il Committente, può portarli a termine rimanendo obbligato, per tali attività, ad ogni istruzione o obbligo derivante dal presente Accordo.

5.2. Al termine del Contratto di Servizio i dati trattati, in esecuzione del presente Accordo, saranno a disposizione del Committente nei 60 giorni successivi alla cessazione del Contratto, o nel diverso termine definito nel Contratto di servizio.

5.3. Trascorso tale termine, compatibilmente con i sistemi di Business Continuity e disaster recovery del Fornitore, i dati verranno cancellati, salvo che la conservazione non sia richiesta da specifici obblighi di legge.

6. RESPONSABILITÀ E MANLEVE

6.1. Il Committente manleverà e terrà indenne il Fornitore da ogni perdita, costo, spesa, sanzione pecuniaria, danno da risarcire e in generale da ogni responsabilità direttamente o indirettamente derivante dalla esecuzione da parte del Fornitore delle disposizioni del presente Accordo con riferimento alle attività di trattamento di dati personali svolte per conto del Committente sotto sua istruzione. Il Fornitore risponderà nei confronti di Xxxxx e del Committente di eventuali danni che trovino causa nel mancato rispetto delle istruzioni del Titolare o della Normativa Rilevante.

6.2. Il Fornitore sarà manlevato e tenuto indenne da ogni perdita, costo, spesa, sanzione pecuniaria danno da risarcire, pregiudizio che sia derivato o abbia trovato causa nella violazione da parte del Committente di una delle clausole del presente Accordo. In particolare, qualora il Committente raccolga o tratti dati personali oggetto del presente Accordo in violazione della Normativa Rilevante e dell’art 2.1.4 del presente Accordo terrà indenne il Fornitore da qualsivoglia responsabilità, danno, onere, pretesa e pregiudizio che trovi causa in suddetta violazione

7. DISPOSIZIONI FINALI

7.1. L’Accordo annulla e sostituisce ogni precedente Accordo o intesa tra le Parti in relazione al trattamento di dati personali svolti dal Fornitore per conto del Committente.

7.2. Le Parti dichiarano che tutte le clausole contenute nel presente Accordo sono state oggetto di attenta e singola valutazione e riflettono la comune volontà delle Parti.

7.3. Qualora una qualsiasi clausola del presente Accordo venisse dichiarata invalida, tale dichiarazione non inficerà la validità di tutte le altre clausole ivi contenute. In tale eventualità e per quanto possibile, tale clausola invalida dovrà venire sostituita da altra il cui effetto sia il più possibile equivalente a ciò che le Parti intendevano al momento della stipula dell’Accordo.

8. DETTAGLI DEL TRATTAMENTO E SUB-RESPONSABILI

CODICE	NOME DEL SERVIZIO	Finalità del trattamento	Categorie di soggetti interessati	TIPOLOGIA DI DATI	SUB- RESPONSABILI
CL4AGO	CLOUD per AGO	La finalità del trattamento dei dati personali consiste nell’erogare i servizi tecnici, oggetto del contratto di servizio, secondo le modalità descritte nell’allegato 1 al Contratto di fornitura servizi informatici - cloud	I dati personali trattati sono quelli oggetto delle prestazioni tecniche relative al contratto di servizio. A titolo di esempio si possono indicare: • dati anagrafici • dati di contatto • dati fiscali • dati economici e finanziari • dati relativi ad acquisti e vendite	I dati personali possono riguardare tutte le categorie di soggetti interessati trattati dal Titolare tramite i servizi oggetto del contratto di servizio. A titolo di esempio si possono indicare: • Clienti • Fornitori • Dipendenti e collaboratori	Reevo S.r.l.
CL4MIP	CLOUD per MIP
CL4OMNIA	CLOUD per Omnia
ABBGESTAGO ABBGESTMIP ABBGESTOM	Canone installazione aggiornamenti applicativi
CL4PAGHE	CLOUD per paghe web	La finalità del trattamento dei dati personali consiste nell’erogare i servizi tecnici, oggetto del contratto di servizio, secondo le modalità descritte nell’allegato 1 al Contratto di fornitura servizi informatici - cloud	I dati personali trattati sono quelli oggetto delle prestazioni tecniche relative al contratto di servizio. A titolo di esempio si possono indicare: • dati anagrafici • dati di contatto • dati retributivi • Dati “particolari”, limitatamente a quanto necessario alla gestione del rapporto di lavoro	I dati personali possono riguardare tutte le categorie di soggetti interessati trattati dal Titolare tramite i servizi oggetto del contratto di servizio. A titolo di esempio si possono indicare: • Dipendenti e collaboratori	Reevo S.r.l.
CL4HR	CLOUD per HR
CL4HRANA	CLOUD per HR- ANALITYCS
CL4HRNWEB	CLOUD per HR non web
ABBGESTPAGHE ABBGESTHR	Canone installazione aggiornamenti applicativi

CL4AHI	CLOUD per AD HOC INFINITY	La finalità del trattamento dei dati personali consiste nell’erogare i servizi tecnici, oggetto del contratto di servizio, secondo le modalità descritte nell’allegato 1 al Contratto di fornitura servizi informatici - cloud	I dati personali trattati sono quelli oggetto delle prestazioni tecniche relative al contratto di servizio. A titolo di esempio si possono indicare: • dati anagrafici • dati di contatto • dati fiscali • dati economici e finanziari • dati relativi ad acquisti e vendite	I dati personali possono riguardare tutte le categorie di soggetti interessati trattati dal Titolare tramite i servizi oggetto del contratto di servizio. A titolo di esempio si possono indicare: • Clienti • Fornitori • Dipendenti e collaboratori	Reevo S.r.l.
CL4AHRE	CLOUD per AD HOC REVOLUTION/ENTER XXXXX
XX0X0	CLOUD per Gestionale 0
XXX0X XXX0X XXX0X XXX0X XXX0X XXX0X	Virtual Private Server gestiti	La finalità del trattamento dei dati personali consiste nell’erogare i servizi tecnici, oggetto del contratto di servizio, secondo le modalità descritte nell’allegato 1 al Contratto di fornitura servizi informatici - cloud	I dati personali trattati sono quelli oggetto delle prestazioni tecniche relative al contratto di servizio.	I dati personali possono riguardare tutte le categorie di soggetti interessati trattati dal Titolare tramite i servizi oggetto del contratto di servizio.	Reevo S.r.l.