Dati Personali di Terzi

MDPA

Il presente accordo principale (“MDPA” o “Accordo”) riguarda la protezione dei dati personali di soggetti terzi immessi o comunque trattati dal Cliente attraverso il Software oggetto di Licenza (“Dati Personali di Terzi”) ed è concluso tra la Licenziante e il Cliente.

1) RUOLO DELLE PARTI

Le Parti riconoscono e convengono che la Licenziante agisce quale Responsabile del trattamento in relazione ai Dati Personali di Terzi e il Cliente agisce quale titolare del trattamento dei Dati Personali.
Qualora il Cliente svolga operazioni di trattamento per conto di altro titolare, il Cliente potrà agire come responsabile del trattamento. In tal caso, il Cliente garantisce che le istruzioni impartite e le attività intraprese in relazione al trattamento dei Dati Personali di Terzi, inclusa la nomina, da parte del Cliente, della Licenziante quale ulteriore responsabile del trattamento, è stata autorizzata dal relativo titolare del trattamento e si impegna ad esibire alla Licenziante, dietro sua semplice richiesta scritta, la documentazione attestante quanto sopra.
Ciascuna delle Parti si impegna a conformarsi, nel trattamento dei Dati Personali di Terzi, ai rispettivi obblighi derivanti dalla legislazione in materia di protezione dei dati personali applicabile.
La Licenziante ha nominato un responsabile della protezione dei dati (DPO), domiciliato presso la sede della Licenziante, che può essere contattato al seguente indirizzo: privacy@digitalideators.com.

2) TRATTAMENTO DEI DATI PERSONALI DI TERZI
Con la stipulazione del presente Accordo, il Cliente affida alla Licenziante l’incarico di trattare i Dati Personali di Terzi ai fini della prestazione dei servizi, così come meglio dettagliato nel Contratto.
La Licenziante si impegna a conformarsi alle istruzioni fornite dal Cliente, fermo restando che, qualora il Cliente richieda variazioni rispetto alle istruzioni iniziali, la Licenziante valuterà gli aspetti di fattibilità e concorderà con il Cliente le predette variazioni ed i costi connessi.
In caso di richieste del Cliente che comportino il trattamento di dati che siano, ad avviso della Licenziante, in violazione della legislazione in materia di protezione dei dati personali, la Licenziante è autorizzata ad astenersi dall’eseguire tali istruzioni e ne informerà prontamente il Cliente. In tali casi il Cliente potrà valutare eventuali variazioni alle istruzioni impartite o contattare l’autorità di controllo per verificare la liceità delle richieste avanzate.

3) LIMITAZIONI ALL’UTILIZZO DEI DATI PERSONALI DI TERZI

Nell’eseguire il trattamento dei Dati Personali di Terzi, la Licenziante si impegna a eseguire il trattamento dei Dati Personali soltanto nella misura e con le modalità necessarie per adempiere opportunamente i propri obblighi, previsti dalla Licenza, dal presente Accordo ovvero imposti dalla legge o da un’autorità di controllo competente. 

4) MISURE DI SICUREZZA

Nell’eseguire il trattamento dei Dati Personali di Terzi, la Licenziante si impegna ad adottare misure tecnico-organizzative adeguate per evitare il trattamento illecito o non autorizzato, la distruzione accidentale o illecita, il danneggiamento, la perdita accidentale, l’alterazione e la divulgazione non autorizzata di, o l’accesso ai, Dati Personali di Terzi (“Misure di Sicurezza”). Segnatamente:

• Controllo degli accessi e autenticazione: accesso ai sistemi e ai Dati Personali di Terzi consentito esclusivamente a soggetti autorizzati, secondo i principi di necessità e minimizzazione dei privilegi (need-to-know e least privilege), mediante credenziali individuali e politiche di autenticazione adeguate (incluse, ove tecnicamente possibile, misure di autenticazione forte/MFA), con revisione periodica delle autorizzazioni e revoca tempestiva degli accessi non più necessari.
• Cifratura e protezione dei dati: utilizzo, ove appropriato, di misure di cifratura dei dati in transito (es. protocolli TLS/HTTPS o equivalenti) e a riposo (es. cifratura dello storage/database o misure equivalenti), nonché adeguata protezione delle chiavi e delle credenziali; ove possibile, applicazione di pseudonimizzazione/minimizzazione dei dati trattati.
• Sicurezza infrastrutturale e applicativa: adozione di configurazioni sicure e misure di hardening dei sistemi, protezioni perimetrali (es. firewall e/o sistemi equivalenti), segmentazione logica ove pertinente, protezioni anti-malware/endpoint, nonché gestione delle vulnerabilità e applicazione regolare di aggiornamenti e patch di sicurezza.
• Backup, disponibilità e resilienza: esecuzione di backup periodici con adeguate misure di protezione e conservazione, preferibilmente separati dagli ambienti di produzione, nonché predisposizione e verifica periodica delle procedure di ripristino al fine di garantire, in misura proporzionata al rischio, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.
• Monitoraggio, logging e gestione degli incidenti: attivazione di sistemi di tracciamento/logging degli accessi e degli eventi di sicurezza, monitoraggio delle anomalie e procedure interne di gestione degli incidenti, incluse misure di contenimento e mitigazione; ove applicabile, gestione degli eventi potenzialmente riconducibili a violazioni dei dati personali secondo procedure documentate.
• Misure organizzative e vincoli di riservatezza: imposizione di obblighi di riservatezza a dipendenti e collaboratori autorizzati, formazione periodica in materia di sicurezza e protezione dei dati, adozione di policy interne pertinenti (es. gestione credenziali, uso dispositivi, gestione accessi), nonché selezione e gestione dei fornitori/sub-fornitori eventualmente coinvolti mediante garanzie contrattuali adeguate e controlli proporzionati al rischio.
•  

Il Cliente dichiara che le Misure di Sicurezza sono commisurate al livello dei rischi presenti con riferimento ai Dati Personali di Terzi.

La Licenziante potrà aggiornare e modificare nel tempo le Misure di Sicurezza sopra indicate, fermo restando che tali aggiornamenti e modifiche non potranno comportare una riduzione del livello di sicurezza complessivo. Di tali aggiornamenti e modifiche sarà fornita notifica al Cliente mediante invio di comunicazione scritta. Qualora il Cliente richieda di adottare misure di sicurezza aggiuntive rispetto alle Misure di Sicurezza sopra indicate, la Licenziante si riserva il diritto di valutarne la fattibilità e potrà applicare costi aggiuntivi a carico del Cliente per tale implementazione.
Il Cliente riconosce e accetta che, nella fruizione del Software, rimane responsabilità esclusiva del Cliente l’adozione di adeguate misure di sicurezza in relazione alla fruizione medesima da parte del proprio personale e di coloro che sono autorizzati ad accedere al Software.

A tal fine il Cliente si impegna ad utilizzare il Software in modo da garantire un livello di protezione adeguato al rischio effettivo.

5) OBBLIGHI DEL CLIENTE

Il Cliente si impegna ad assolvere a tutti gli obblighi posti in capo al titolare del trattamento dalla legislazione in materia di protezione dei dati personali, ivi inclusi gli obblighi di informativa nei confronti dei terzi interessati. Il Cliente si impegna inoltre a garantire che il trattamento dei Dati Personali effettuato mediante l’utilizzo dei Servizi avvenga solo in presenza di idonea base giuridica.

 

6) RESPONSABILITA’

Ciascuna Parte è responsabile per l’adempimento dei propri obblighi previsti dal presente Accordo. Fatti salvi i limiti inderogabili di legge, la Licenziante sarà tenuta a risarcire il Cliente in caso di violazione del presente Accordo entro i limiti massimi del Canone corrisposto previsto dal Contratto.

 

7) DISPOSIZIONI VARIE

Il presente Accordo sostituisce qualsiasi altro accordo, contratto o intesa tra le Parti con riferimento al suo oggetto. In caso di conflitto tra le previsioni del presente Accordo e quanto previsto nella Licenza, prevarrà quanto previsto nel presente Accordo.