DATA PROCESSING ADDENDUM (tra Responsabile RE Valuta e Sub-responsabile)
Premesse
A. Il presente Addendum sul tra amento dei da personali (di seguito anche “Addendum”) cos tuisce parte integrante e sostanziale dell’Accordo sul tra amento dei da personali ai sensi dell‘art. 28 del Regolamento (UE) 2016/679, so oscri o tra RE VALUTA Spa, con sede legale in Via Meravigli, 7 – 20123 MILANO - C.F. e P.IVA 07234690969, in persona del rappresentante legale pro tempore (di seguito il “Responsabile”) e la società che, in base alle circostanze e ai rappor contra uali di volta in volta applicabili e vigen , pone in essere, per conto del Responsabile, a vità di tra amento dei da personali in qualità di Sub-responsabile del tra amento, così come definito dalla norma va in materia di data protec on (di seguito la “Società” o il “Sub-Responsabile”);
B. Il presente Addendum, in conformità al Regolamento (UE) n. 2016/679 (di seguito “Regolamento”) e alla norma va in materia di data protec on pro tempore applicabile, definisce gli obblighi del Sub-Responsabile, le modalità e le condizioni del tra amento dei da personali da parte del Responsabile nell’esecuzione delle a vità che comportano il tra amento di da personali in relazione ai quali la Società ha assunto - tramite la so oscrizione di apposito accordo ai sensi dell’art. 28 del Regolamento (di seguito l’”Accordo”) - il ruolo di Sub- Responsabile del tra amento per conto del Responsabile. Ai fini del presente Addendum, il Responsabile e il Sub- Responsabile potranno essere riferi colle vamente come “ParƟ”.
C. Le cara eris che e le finalità del tra amento effe uato dal Sub-Responsabile per conto del Responsabile, nonché le categorie di interessa e di da personali coinvol sono descri e nell’Accordo s pulato dalle Par , di cui il presente Addendum cos tuisce parte integrante e sostanziale.
D. La disciplina e gli obblighi del Responsabile saranno, pertanto, determina dal complesso delle disposizioni di cui all’Accordo e al presente Addendum (l’Accordo e l’Addendum, complessivamente, le “PaƩuizioni”).
1. Premesse
1.1 Le premesse cos tuiscono parte integrante e sostanziale del presente Addendum.
2. Ambito di applicazione dell’Addendum
2.1. Il presente Addendum si applica nella misura in cui la Società tra a in qualità di Sub-responsabile del tra amento come definito dalla norma va sulla protezione dei da , tempo per tempo vigente, i Da personali di cui RE Valuta è Responsabile del tra amento.
2.2. Il presente Addendum si applica alle Par nella versione vigente al momento della so oscrizione dell’Accordo tra il Responsabile e la Società.
3. Ambito di applicazione dell’Addendum
3.1. Il presente Addendum si applica nella misura in cui la Società tra a in qualità di Sub-responsabile del tra amento come definito dalla norma va sulla protezione dei da , tempo per tempo vigente, i Da personali di cui RE Valuta è Responsabile del tra amento.
3.2. Il presente Addendum si applica alle Par nella versione vigente al momento della so oscrizione dell’Accordo tra il Responsabile e la Società.
1. Obblighi del Sub-responsabile
1.1. Fa salvi gli altri obblighi previs dalle disposizioni di legge e regolamentari applicabili, ivi inclusi i provvedimen delle Autorità di controllo in materia di da personali, il Sub-responsabile è obbligato a rispe are le Pa uizioni e pertanto si impegna a:
1.1.1. tra are i da personali nel pieno rispe o del Regolamento e della norma va privacy tempo per tempo vigente, soltanto sulla base delle Pa uizioni e dei rela vi allega e su istruzione documentata impar ta dal Responsabile (o da questo su indicazione del tolare), salvo che lo richieda il diri o dell’Unione o nazionale cui è sogge o il Sub-responsabile. In tal caso, il Sub-responsabile informa il Responsabile circa tale obbligo giuridico prima di effe uare l’ulteriore tra amento, a meno che il diri o applicabile lo vie per rilevan mo vi di interesse pubblico. Il Responsabile può anche impar re istruzioni successive per tu a la durata del tra amento dei da personali. Tali istruzioni sono sempre documentate;
1.1.2. informare immediatamente il Responsabile qualora, ad avviso del Sub-responsabile, un’istruzione impar ta dal Responsabile sia in violazione del Regolamento o di altre disposizioni di legge applicabili in materia di protezione dei da personali;
1.1.3. tra are i da personali soltanto per le finalità specifiche del tra amento di cui all’Accordo, salvo ulteriori istruzioni del Responsabile;
1.1.4. tra are i da personali soltanto per la durata specificata nell’Accordo;
1.1.5. ado are tu e le misure di sicurezza richieste ai sensi dell‘art. 32 del Regolamento (anche a raverso la valutazione di liceità, di minimizzazione dei tra amen e la valutazione stru urata dei rischi), incluse le misure di a uazione dei principi di privacy by design e by default, e me ere in a o almeno le misure tecniche e organizza ve specificate nell’Accordo per garan re la sicurezza dei da personali e adempiere agli obblighi previs dalle Pa uizioni. Ciò include la protezione da ogni violazione di sicurezza che compor accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai da (violazione dei da personali). Nel valutare l’adeguato livello di sicurezza, le par tengono debitamente conto dello stato dell’arte, dei cos di a uazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del tra amento, come anche dei rischi per gli Interessa ;
1.1.6. ado are idonei sistemi informa ci per il tra amento dei da personali;
1.1.7. concedere l’accesso ai da personali ogge o di tra amento ai membri del suo personale o a suoi collaboratori debitamente nomina autorizza del tra amento soltanto nella misura stre amente necessaria per l’a uazione e la ges one del Contra o e/o la realizzazione dei servizi richies dal Responsabile. Il Sub-responsabile garan sce che le persone autorizzate al tra amento dei da personali si sono impegnate alla riservatezza o hanno un adeguato obbligo legale di riservatezza;
1.1.8. applicare limitazioni specifiche e/o garanzie supplementari qualora il tra amento riguardi da personali che rivelino l’origine razziale o etnica, le opinioni poli che, le convinzioni religiose o filosofiche o l’appartenenza sindacale, da gene ci o da biometrici intesi a iden ficare in modo univoco una persona fisica, da rela vi alla salute o alla vita sessuale o all’orientamento sessuale della persona, o da rela vi a condanne penali e a rea (“DaƟ sensibili” o “DaƟ parƟcolari”);
1.1.9. ado are delle misure che gli perme ano di dimostrare in ogni momento il rispe o delle Pa uizioni e delle ulteriori istruzioni eventualmente impar te dal Responsabile;
1.1.10. rispondere prontamente e adeguatamente alle richieste di informazioni del Responsabile rela ve al tra amento dei da e me ere a disposizione del Responsabile tu e le informazioni necessarie per dimostrare il rispe o da parte del Sub-responsabile degli obblighi di cui alle Pa uizioni e di quelli che derivano dire amente dal Regolamento e/o dalla norma va data protec on applicabile. Su richiesta del Responsabile, il Sub-responsabile consente e contribuisce alle a vità di revisione delle a vità di tra amento di cui alle Pa uizioni, a intervalli ragionevoli o se vi sono evidenze o indizi di inosservanza.
Il Responsabile può scegliere di condurre l’a vità di revisione autonomamente o incaricare un consulente indipendente. Il Sub-responsabile, inoltre, riconosce ed acce a che tale a vità, se del caso, potrebbe essere condo a anche dire amente dal tolare del tra amento o da consulen dallo stesso incarica . A tale riguardo, il Sub-responsabile si impegna all’ordinata e diligente tenuta della documentazione inerente alle a vità di tra amento e alla prestazione dei Servizi di cui all’Accordo, rendendola accessibile al Responsabile, al tolare del tra amento, o ai sogge da ques designa per eventuali ispezioni. Le a vità di revisione possono comprendere anche ispezioni nei locali o nelle stru ure fisiche del Sub-responsabile. In tal caso, con un preavviso minimo di 24 (ven qua ro) ore - non dovuto in caso di indizi o evidenza di potenziali violazioni di da personali -, il Responsabile - e/o, se del caso, il tolare del tra amento - potrà disporre un accesso presso la sede del Sub-responsabile o altro luogo nella disponibilità giuridica del Sub-responsabile in cui sia conservata la documentazione rela va alle a vità di tra amento, sostenendone i rela vi cos e dando preven va comunicazione al Sub-responsabile delle generalità dei sogge incarica delle verifiche. I cos delle verifiche di cui al presente paragrafo saranno addebita al Sub-responsabile qualora, all’esito delle stesse, risul un inadempimento anche di solo uno degli obblighi di cui alle Pa uizioni ovvero violazioni del Regolamento e/o della norma va data protec on applicabile. Su richiesta, le Par me ono a disposizione della o delle Autorità di controllo competen le informazioni di cui al presente paragrafo, compresi i risulta di eventuali a vità di revisione;
1.1.11. assistere il Responsabile con misure tecniche e organizza ve adeguate, per l’adempimento degli obblighi connessi all’esercizio dei diri degli Interessa , previs dagli ar . 15-22 del Regolamento. Al riguardo, il Sub-responsabile (i) no fica prontamente (entro e non oltre 72 ore dal suo ricevimento) qualunque richiesta proveniente dagli Interessa che dovesse aver ricevuto; (ii) si as ene dal fornire alcun po di riscontro all’Interessato, a meno che sia stato autorizzato in tal senso dal Responsabile;
(iii) assiste il Responsabile nell’adempimento degli obblighi di rispondere alle richieste degli Interessa per l’esercizio dei loro diri , a enendosi alle istruzioni del Responsabile;
1.1.12. assistere il Responsabile - e/o, se del caso, il tolare del tra amento - nelle eventuali a vità connesse alla valutazione d‘impa o sulla protezione dei da personali di cui all‘art. 35 del Regolamento e, se richiesto, cooperare con il Responsabile - e/o, se del caso, con il tolare del tra amento - nell‘ambito delle consultazioni preven ve di cui all‘art. 36 del Regolamento;
1.1.13. assistere il Responsabile - e/o, se del caso, il tolare del tra amento - nell’obbligo di garan re che i da personali siano esa e aggiorna , informando senza indugio il Responsabile qualora il Sub-
responsabile venga a conoscenza del fa o che i da personali che sta tra ando sono inesa o obsole ;
1.1.14. assistere il Responsabile - e/o, se del caso, il tolare del tra amento -nell‘adempimento degli obblighi in materia di misure di sicurezza tecniche ed organizza ve di cui all‘art. 32 del Regolamento;
1.1.15. ado are e aggiornare un registro delle violazioni dei da personali, stabilire le procedure interne che disciplinano il processo di ges one del “data breach”, assistere il Responsabile - e il tolare del tra amento - nell‘adempimento degli obblighi in materia di no ficazione dei da personali di cui agli ar . 33 e 34 del Regolamento e, in par colare, informare il Responsabile di qualsiasi evento che possa condurre o rischiare di condurre a una violazione di da personali, entro e non oltre 24 (ven qua ro) ore decorren dal momento in cui il Sub-responsabile ne è venuto a conoscenza. In questo contesto, il Sub-responsabile si impegna a offrire il più ampio supporto al Responsabile - e al tolare del tra amento - nel contesto della ges one dell’incidente di sicurezza e in tu e le sue fasi, dalle analisi forensi all’eventuale no fica all’Autorità di controllo e/o comunicazione agli interessa e nelle a vità a ciò correlare. In par colare:
a. in caso di violazione di da personali subita dal Responsabile o dal tolare del tra amento, il Sub-responsabile assiste il Responsabile e/o il tolare del tra amento: (i) nel no ficare, ove opportuno/necessario ai sensi del GDPR, la violazione dei da personali alla o alle Autorità di controllo competen , senza ingius ficato ritardo dopo che il Responsabile o il tolare del tra amento ne è venuto a conoscenza; (ii) nell’o enere le informazioni che, in conformità dell’ar colo 33, paragrafo 3, del Regolamento, devono essere indicate nella no fica del Responsabile o del tolare del tra amento in merito a: (x) la natura dei da personali e, ove possibile, le categorie e il numero approssima vo di Interessa coinvol , nonché le categorie e il numero approssima vo di registrazioni dei da personali in ques one; (y) le probabili conseguenze della violazione dei da personali; (z) le misure ado ate o di cui si propone l’adozione da parte del Responsabile e/o del responsabile del tra amento per porre rimedio alla violazione dei da personali e, se del caso, per a enuarne i possibili effe nega vi. Qualora, e nella misura in cui, non sia possibile fornire tu e le informazioni contemporaneamente, la no fica iniziale con ene le informazioni disponibili in quel momento, potendo le altre informazioni essere fornite successivamente, non appena disponibili e senza ingius ficato ritardo; (iii) nell’adempiere, in conformità dell’ar colo 34 del Regolamento, all’obbligo di comunicare senza ingius ficato ritardo la violazione dei da personali agli Interessa , qualora la violazione dei da personali sia susce bile di presentare un rischio elevato per i diri e le libertà delle persone fisiche.
b. In caso di violazione di da personali subita dal Sub-responsabile, quest’ul mo ne dà no fica al Responsabile senza ingius ficato ritardo entro e non oltre 24 (ven qua ro) ore decorren dal momento in cui il Sub-responsabile ne è venuto a conoscenza. La no fica del Sub-responsabile al Responsabile con ene almeno: (x) una descrizione della natura della violazione (con indicazione, ove possibile, delle categorie e del numero approssima vo di Interessa e di registrazioni dei da in ques one); (y) i recapi di un punto di conta o del Sub-responsabile presso il quale possono essere o enute maggiori informazioni sulla violazione dei da personali; (z) le probabili
conseguenze della violazione dei da personali e le misure ado ate o di cui si propone l’adozione per porre rimedio alla violazione o per a enuarne i possibili effe nega vi. Qualora, e nella misura in cui, non sia possibile fornire tu e le informazioni contemporaneamente, la no fica iniziale del Sub-responsabile al Responsabile con ene le informazioni disponibili in quel momento; le altre informazioni sono fornite successivamente, non appena disponibili e senza ingius ficato ritardo.
1.1.16. tenere aggiornato un registro dei tra amen dei da personali effe ua per conto del Responsabile ai sensi delle Pa uizioni, me endolo a disposizione del Responsabile, del tolare del tra amento e/o delle Autorità di controllo previa richiesta;
1.1.17. laddove applicabile, adempiere alle prescrizioni impar te dal Garante per la protezione dei da personali rela vamente alle a ribuzioni di amministratore di sistema, con il Provv. del 27.11.2008. Il Sub-responsabile si impegna, in par colare, a nominare gli amministratori di sistema e verificare le a vità svolte dagli stessi, in modo da assicurarne la conformità con (i) gli obblighi assun nella nomina; (ii) le misure di sicurezza tecniche e organizza ve richieste dal Regolamento e (iii) i provvedimen del Garante e le altre disposizioni di legge applicabili;
1.1.18. ove applicabile in ragione delle documentate istruzioni rese dal Responsabile, fornire agli Interessa l‘informa va predisposta dal Responsabile;
1.1.19. non comunicare a terzi, salvo quanto previsto dal successivo ar colo 4 dell’Addendum ovvero in caso di consenso espresso in forma scri a dal Responsabile, i da personali ogge o di tra amento.
2. Designazione di sub-responsabili
2.1. Il Sub-responsabile non può affidare a ulteriori sub--responsabili del tra amento (“Sub-responsabile aggiunƟvo”) i tra amen da effe uare per conto del Responsabile senza la preven va autorizzazione specifica e scri a del Responsabile. Il Sub-responsabile presenta la richiesta di autorizzazione specifica almeno ven (20) giorni prima di ricorrere al Sub- responsabile aggiun vo del caso, unitamente alle informazioni necessarie per consen re al Responsabile di decidere in merito alla concessione o meno dell’autorizzazione. L’elenco dei Sub- responsabili aggiun vi autorizza dal Responsabile del tra amento dovrà essere fornito contemporaneamente alla so oscrizione dell’Accordo, fermo restando l’obbligo in carico al Responsabile di comunicare al Titolare qualunque variazione del prede o elenco in conformità a quanto previsto ai sensi della presente clausola.. Le Par tengono aggiornato tale elenco.
2.2. Qualora il Sub-responsabile ricorra a un Sub-responsabile aggiun vo per l’esecuzione di specifiche a vità di tra amento, il contra o che disciplina i rappor tra Sub-responsabile e Sub- responsabile aggiun vo dovrà prevedere:
2.2.1. l’imposizione, nei confron del Sub-responsabile aggiun vo, dei medesimi obblighi gravan sul Sub- responsabile ai sensi delle Pa uizioni;
2.2.2. garanzie sufficien in merito alla conformità al Regolamento - e a ogni altra disposizione di legge o regolamentare applicabile in materia di protezione di da personali - delle misure tecniche e organizza ve ado ate.
2.3. Il Sub-responsabile si assicura che il Sub-responsabile aggiun vo rispe gli obblighi a cui il Sub-responsabile è sogge o a norma delle Pa uizioni e del Regolamento.
2.4. Su richiesta del Responsabile, il Sub-responsabile fornisce copia del contra o s pulato con il Sub-responsabile aggiun vo e di ogni successiva modifica. Nella misura necessaria a proteggere segre aziendali o altre informazioni riservate, compresi i da personali, il Sub-responsabile può espungere informazioni dal contra o prima di trasme erne una copia.
2.5. Resta ferma la piena e integrale responsabilità del Sub-responsabile nei confron del Responsabile in caso di inadempimento del Sub-responsabile aggiun vo agli obblighi previs nelle Pa uizioni e/o in caso di sua violazione degli obblighi previs ai sensi del Regolamento e/o della norma va data protec on applicabile. Il Sub-responsabile no fica al Responsabile qualunque inadempimento da parte del Sub-responsabile aggiun vo degli obblighi contra uali.
2.6. Il Sub-responsabile concorda con il Sub-responsabile una clausola secondo la quale, qualora il Sub-responsabile sia scomparso di fa o, abbia giuridicamente cessato di esistere o sia divenuto insolvente, il Responsabile avrà diri o di risolvere il contra o tra il Sub-responsabile e il Sub-responsabile aggiun vo e di imporre a quest’ul mo di cancellare o res tuire i da personali.
3. TrasferimenƟ internazionali
3.1. Qualunque trasferimento di da verso un paese terzo o un’organizzazione internazionale da parte del Sub- responsabile è effe uato soltanto su istruzione documentata o autorizzazione scri a del Responsabile o per adempiere a un requisito specifico a norma del diri o dell’Unione o degli Sta membri cui è sogge o il Sub- responsabile, e nel rispe o del capo V del Regolamento.
3.2. Il Responsabile conviene che, qualora il Sub-responsabile ricorra a un Sub-responsabile aggiun vo conformemente a quanto previsto dal presente Addendum per l’esecuzione di specifiche a vità di tra amento per conto del Responsabile e tali a vità di tra amento compor no il trasferimento di da personali ai sensi del capo V del Regolamento, il Sub-responsabile e il Sub-responsabile aggiun vo possono garan re il rispe o del capo V del Regolamento u lizzando le clausole contra uali po ado ate dalla Commissione conformemente all’ar colo 46, paragrafo 2, del Regolamento, purché le condizioni per l’uso di tali clausole contra uali po siano soddisfa e.
4. Inosservanza delle PaƩuizioni, recesso e risoluzione
4.1. Qualora il Sub-responsabile violi gli obblighi che gli incombono a norma delle Pa uizioni, il Responsabile può dare istruzione al Sub-responsabile di sospendere il tra amento dei da personali fino a quando quest’ul mo non rispe le prescrizioni impar te o non siano risol i rappor contra uali alla base del tra amento. Il Sub- responsabile informa prontamente il Responsabile qualora, per qualunque mo vo, non sia in grado di rispe are l’Accordo e/o l’Addendum.
4.2. Il Responsabile ha il diri o di recedere dalle Pa uizioni in qualsiasi momento, comunicando la propria intenzione al Sub-responsabile a mezzo posta ele ronica cer ficata o le era raccomandata a.r., ai recapi di cui al Contra o. Tale recesso sarà efficace alla data di ricevimento della prede a comunicazione da parte del Sub- responsabile. Il recesso del Titolare comporta automa camente il venir meno dell’Addendum e/o dell’Accordo.
4.3. Il Responsabile ha diri o di risolvere le Pa uizioni, qualora:
4.3.1. il tra amento dei da personali da parte del Sub-responsabile sia stato sospeso dal Responsabile in conformità al precedente ar colo 6.1 e il rispe o delle clausole dell’Accordo e/o dell’Addendum non sia ripris nato entro un termine ragionevole e in ogni caso entro 10 giorni lavora vi dalla sospensione;
4.3.2. il Sub-responsabile violi in modo sostanziale o persistente le clausole dell’Accordo e/o dell’Addendum e di ogni obbligo che incombe a norma del Regolamento e/o della norma va data protec on pro tempore applicabile;
4.3.3. il Sub-responsabile non rispe una decisione vincolante di un organo giurisdizionale competente o della o delle Autorità di controllo competen per quanto riguarda i suoi obblighi in conformità all’Accordo o al Regolamento e/o della norma va data protec on applicabile.
4.4. Le Par convengono che il verificarsi anche di una sola delle circostanze di seguito indicate cos tuisce un grave inadempimento del Sub-responsabile agli obblighi previs nelle Pa uizioni. Fa salvi gli altri rimedi previs dalla legge, le Pa uizioni si intenderanno risolte di diri o con effe o immediato, ai sensi dell’art. 1456, c.c., con semplice comunicazione scri a da parte del Responsabile al Sub-responsabile, da inviarsi ai recapi di cui all’Accordo, in caso di violazione degli obblighi di cui agli ar . 3, 4 e 5 del presente Addendum.
4.5. Dopo la risoluzione o comunque la cessazione degli effe delle Pa uizioni, il Sub-responsabile, a scelta del Responsabile, cancella tu i da personali tra a per conto del Responsabile e ne cer fica a quest'ul mo l’avvenuta cancellazione, oppure res tuisce al Responsabile tu i da personali e cancella le copie esisten , a meno che il diri o dell'Unione o dello Stato membro non richieda la conservazione dei da personali. Finché i da non sono cancella o res tui , il Sub-responsabile con nua ad assicurare il rispe o delle Pa uizioni.
5. Manleva
5.1. Nel caso in cui il Sub-responsabile violi gli ar . 3, 4 e 5 dell’Addendum o le prescrizioni in merito al tra amento contenute nell’Accordo, lo stesso Sub-responsabile si impegna a manlevare e tenere indenne il Responsabile da qualsiasi danno, pregiudizio, costo, spesa (incluse le spese legali), sanzione o qualsivoglia altro onere derivante dalla sudde a violazione, ivi comprese eventuali pretese o azioni giudiziarie, arbitrali o amministra ve intentate da parte di qualsiasi terzo, ivi incluse le pubbliche amministrazioni, nazionali o internazionali.
6. Clausola di adesione successiva
6.1. Qualunque en tà che non sia una Parte può, con l’accordo di tu e le Par , aderire alle Pa uizioni in qualunque momento, in qualità di Responsabile del tra amento o di Sub-responsabile del tra amento.
6.2. L’en tà aderente è considerata Parte delle Pa uizioni e ha i diri e gli obblighi di un Responsabile del tra amento o di un Sub-responsabile del tra amento.
6.3. L’en tà aderente non ha diri od obblighi derivan a norma delle Pa uizioni per il periodo precedente all’adesione.
7. Disposizioni finali
7.1. Per tu o quanto non espressamente in questa sede previsto, si rinvia integralmente all’Accordo so oscri o dalle Par , le cui disposizioni avranno efficacia gerarchicamente sovraordinata rispe o all’Addendum. Ad ogni modo, ogni deroga al presente Addendum rinvenibile nell’Accordo dovrà essere espressamente disposta dalle Par , rimanendo in ogni altro caso efficaci le disposizioni del presente Addendum, in quanto aven efficacia complementare e integra va dell’Accordo.
7.2. L’invalidità, inefficacia o inapplicabilità di talune disposizioni del presente Addendum non inficia la validità, efficacia o applicabilità delle altre disposizioni del presente Addendum né di quelle contenute nell’Accordo.
Versione 2022.05
