Accordo sul Trattamento dei Dati

• tra il Cliente e Compri è stato stipulato un Accordo Commerciale (di seguito “Accordo”) del quale il presente Contratto sul Trattamento dei Dati (di seguito “DPA”) forma parte integrante e sostanziale;
• oggetto dell’Accordo è la fornitura, secondo le modalità e i termini definiti nell’Accordo stesso, del SaaS Compri (di seguito “SaaS”), volto alla gestione e all’efficientamento della catena di approvvigionamento del Cliente, nonché l’erogazione di servizi consulenziali accessori;
• l’utilizzo del SaaS comporta il trattamento di dati personali, come definiti ai sensi dell’art. 4(1)(1) del Regolamento (UE) 2016/679 (di seguito “GDPR”);
• le Parti intendono concordare ai sensi e per gli effetti dell’art. 28(2) del GDPR, la natura, la finalità, la durata, il tipo di dati personali, le categorie di interessati, nonché i propri diritti e obblighi derivanti dal trattamento di dati personali effettuato mediante il SaaS.

Tutto ciò premesso, le Parti convengono quanto segue:

Nel presente DPA, i termini infra indicati hanno il significato attribuito loro a seguire. Per tutto quanto non espressamente definito ai sensi della presente clausola si rimanda alle definizioni di cui all’art. 4 del GDPR.

“Normativa applicabile”: il GDPR, il d. lgs. 196/2003 e qualsiasi altra normativa in materia di protezione dei dati di volta in volta applicabile al trattamento dei dati personali;

“Titolare”: il titolare del trattamento dei dati personali, ossia soggetto che determina concretamente i mezzi e le modalità del trattamento, indipendentemente dal fatto che sia parte del presente accordo;

“Incaricati del Trattamento”: i dipendenti, gli incaricati o qualsiasi altra persona fisica autorizzata dalle Parti a svolgere operazioni di trattamento dei dati personali ai sensi dell’art. 29 del GDPR e dell’art. 2-quaterdecies del d. lgs. 196/2003;

“Sub-Responsabile”: si intendono i terzi autorizzati ai sensi del presente Accordo per il Trattamento dei Dati a trattare i Dati Personali del Cliente al fine di fornire, in tutto o in parte, i Servizi del Responsabile e/o qualsiasi supporto tecnico correlato;

“SEE”: lo Spazio Economico Europeo;

“Moduli”: i moduli di cui è composto il SaaS, che il Cliente acquista e implementa anche singolarmente; ciascun Modulo è dotato di un proprio funzionamento e il suo utilizzo comporta il trattamento di autonome e differenti categorie di dati personali, collegate alle finalità perseguite tramite esso.

“Istruzioni”: le istruzioni impartite dal Titolare del trattamento e dettagliate nella clausola 3.2. del presente DPA.

Se il presente DPA fosse tradotto in un’altra lingua e vi fosse una discrepanza tra il testo in italiano e il testo tradotto, prevarrà il testo in italiano.

2.1 Lo scopo del presente DPA è garantire il rispetto dell’articolo 28 del GDPR, secondo l’interpretazione del Comitato Europeo per la protezione dei dati personali nell’Opinione 14/2019.

2.2 Nell’ambito delle attività descritte, le parti concordano e accettano che:

• Compri agisce come Responsabile per i Dati Personali del Cliente ai sensi della Normativa Applicabile;
• il Cliente agisce come titolare o responsabile, a seconda dei casi, dei Dati personali del Cliente ai sensi della Normativa Applicabile;
• ciascuna parte si conformerà agli obblighi ad essa applicabili ai sensi della Legislazione europea e nazionale rispetto al Trattamento dei Dati Personali del Cliente.

2.3 Il presente DPA si applica ai trattamenti elencati e descritti nell’Allegato 1. Le Parti riconoscono che il SaaS ha natura modulare e che, pertanto, il trattamento dei dati personali effettuato dal Responsabile è quello indicato nell’Allegato 1:

• nella Parte 1, in ogni caso e relativamente a qualsiasi erogazione del SaaS;
• nella Parte 2, relativamente ai soli moduli che formano oggetto dell’Offerta Commerciale;
• nella Parte 3, in caso di attivazione dei servizi consulenziali di Compri.

3.1 Il Cliente si impegna a rispettare la Normativa applicabile, nonché a trattare i dati in conformità a qualsiasi altra disposizione di legge applicabile che abbia o possa avere effetti di natura obbligatoria circa le modalità e le garanzie da applicare al trattamento di dati personali.

3.2 Con il presente Accordo per il Trattamento di Dati, il Cliente incarica Compri di trattare i dati personali oggetto del presente DPA: (a) solo in conformità alla legge applicabile; (b) per fornire il SaaS e qualsiasi supporto tecnico correlato, ferma restando la facoltà del Responsabile di trattarli in forma anonimizzata e/o aggregata per finalità statistiche e di miglioramento dei servizi; (c) come ulteriormente specificato/indicato dal Cliente attraverso l’uso da parte sua dei Servizi del Responsabile (incluse modifiche alle impostazioni e/o alle funzionalità dei Servizi del Responsabile) e di qualsiasi supporto tecnico correlato; (d) come documentato nell’Accordo, incluso il presente DPA; ed (e) come ulteriormente documentato in qualsiasi comunicazione scritta fornita dal Cliente a Compri da intendersi come ulteriore istruzione ai fini del presente Accordo per il Trattamento di Dati.

3.3 In nessun caso, è imputabile al Responsabile la violazione della Normativa Applicabile derivante da un comportamento del Cliente o del Titolare, nonché dall’applicazione delle Istruzioni da essi impartite.

3.4 Il Cliente si impegna a verificare e dimostrare che i dati inseriti all’interno del SaaS siano raccolti e trattati nel rispetto di ogni altro obbligo imposto dalla Normativa Applicabile e ad ogni altra disposizione di legge.

3.5 Se il Cliente agisce come responsabile, il Cliente garantisce a Compri che le istruzioni e le azioni del Cliente in relazione ai dati personali, compresa la nomina di Compri come ulteriore Responsabile, sono state autorizzate dal rispettivo Titolare.

4.1 Compri tratta i dati personali in conformità alle Istruzioni, salvo che lo richieda il diritto dell’Unione o nazionale cui è soggetto il Responsabile.

4.2 Il Responsabile informa immediatamente il Cliente qualora, a suo parere, le Istruzioni violino la Normativa Applicabile. In nessun caso il Responsabile sarà onerato dell’obbligo di procedere ad un esame giuridico esaustivo delle istruzioni scritte impartite dal Cliente o dal Titolare.

4.3 Il Responsabile tiene e aggiorna il Registro delle Attività di trattamento di cui all’art. 30(2) GDPR, con speciale riferimento alle attività svolte per conto del Titolare. Il Responsabile, su richiesta del Titolare, mette a disposizione una copia delle sezioni del suddetto registro riguardanti il trattamento svolto per conto del Titolare.

4.4 Il Responsabile informa il Titolare senza ingiustificato ritardo circa l’obbligo di consultazione e/o acquisizione dei dati personali del Titolare imposto da un’Autorità pubblica, salvo vincoli diversi da parte della suddetta Autorità dovuti a segreto investigativo.

5.1 Il Responsabile del trattamento risponde prontamente e adeguatamente alle richieste di informazioni del Cliente relative al trattamento dei dati oggetto del presente DPA e mette a disposizione del Cliente la documentazione idonea a comprovare il rispetto del presente DPA e della Normativa applicabile.

5.2 Il Responsabile può adempiere all’obbligo di cui alla precedente clausola 5.1. mettendo a disposizione materiale informativo e documentazione utile all’interno di pagine web dedicate e/o dell’area personale disponibile nell’interfaccia del SaaS.

5.3 Il Responsabile offre ragionevole assistenza al Cliente nell’esecuzione delle valutazioni d’impatto sulla protezione dei dati e nelle consultazioni preventive con le Autorità di controllo o altre autorità competenti in materia di protezione dei dati personali, che si rendano necessarie affinché il Titolare sia conforme agli articoli 35 e 36 del GDPR.

5.4 Il Responsabile acconsente a che il Cliente o un auditor da questi incaricato svolga degli audit, incluse ispezioni, in relazione al Trattamento dei dati personali effettuato dal Responsabile, a condizione che al Responsabile venga dato un preavviso ragionevole di almeno 30 giorni. La richiesta di audit dovrà contenere l’identità dell’auditor, la data di inizio nonché la portata e la durata, i controlli su sicurezza e riservatezza in relazione ad ogni audit.

6.1 Nel caso in cui il Responsabile sia destinatario di richieste sui diritti degli interessati al trattamento, lo stesso ha l’obbligo di comunicare tali richieste al Cliente, allegando copia alla comunicazione.

6.2 Il Responsabile si impegna ad assistere il Cliente attuando misure tecniche e organizzative adeguate al fine di dare seguito alle richieste dei Soggetti Interessati.

6.3 Il Responsabile dà seguito alle richieste di esercizio dei diritti attenendosi alle istruzioni specificatamente impartite dal Titolare per iscritto.

7.1 Il Responsabile mette in atto almeno le misure tecniche e organizzative specificate all’Allegato 2 per garantire la sicurezza dei dati personali.

7.2 Nel valutare l’adeguato livello di sicurezza, le Parti tengono debitamente conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli Interessati.

7.3 Compri adotterà misure adeguate per garantire il rispetto delle Misure di Sicurezza da parte di tutti coloro che operano sotto la sua autorità compresi i propri dipendenti, agenti, appaltatori e Sub-responsabili nella misura a loro applicabile secondo la prestazione effettivamente svolta, inclusa l’assicurazione sul fatto che tutte le persone autorizzate a trattare i Dati Personali del Cliente si sono impegnate alla riservatezza o sono soggette a un adeguato obbligo di riservatezza in conformità con la Legislazione europea e nazionale.

8.1 Il Responsabile concede l’accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l’attuazione, la gestione e il controllo dei trattamenti oggetto del presente DPA.

8.2 Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali ricevuti:

• si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
• abbiano ricevuto idonea autorizzazione al trattamento dei dati personali.

9.1 Il Responsabile ha l’autorizzazione generale a ricorrere ai Sub-responsabili di cui all’Allegato 3.

9.2 Il Responsabile ha diritto a ricorrere a nuovi Sub-responsabili. In tal caso, il Responsabile informa il Cliente delle modifiche con un anticipo di almeno 15 giorni, dando così al Cliente tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai Sub-Responsabili del trattamento in questione.

9.3 Compri si impegna a ingaggiare Sub-Responsabili che presentino garanzie sufficienti a garantire un adeguato livello di protezione dei dati personali e a sottoscrivere con ciascun Sub-Responsabile un accordo scritto che imponga al Sub-Responsabile, in sostanza, gli stessi obblighi cui il Responsabile è tenuto in forza del DPA.

9.4 In caso di opposizione del Cliente a qualsiasi dei nuovi Sub-responsabili, le Parti si impegnano a collaborare in buona fede per individuare soluzioni idonee a consentire la prosecuzione del Contratto e, ove ciò non sia possibile, è fatto salvo il diritto di ciascuna Parte di recedere dal Contratto e dall’Accordo per il Trattamento dei Dati dandone comunicazione scritta all’altra Parte entro 30 giorni dall’opposizione del Cliente all’impiego dei nuovi Sub-responsabili.

10.1 In caso di una violazione della sicurezza che possa avere impatti sui dati personali, trattati da Compri per conto del Cliente, Compri: (a) notificherà il Cliente entro 48h dalla scoperta; (b) adotterà tempestivamente misure ragionevoli per ridurre al minimo le conseguenze e proteggere i dati personali del Cliente.

10.2 La notifica contiene le informazioni sommarie, utili al Cliente per adempiere agli obblighi di cui agli articoli 33 e 34 del GDPR, tra cui almeno una descrizione della violazione che comprenda l’indicazione della natura dei dati violati e della loro entità.

10.3 Nella pendenza degli accertamenti tecnici necessari per determinare le caratteristiche e l’entità della violazione, Compri ha diritto di effettuare una notifica parziale dell’incidente. Al termine di tali accertamenti tecnici, il Responsabile dovrà rendere al Cliente una notifica integrativa.

10.4 Il Cliente è l’unico responsabile per l’osservanza delle obbligazioni relative alle notifiche di incidenti applicabili al Cliente e dell’adempimento di qualsiasi obbligo di notifica/comunicazione nei confronti di terzi in relazione a qualsiasi Incidente.

10.5 La notifica o la risposta di Compri a un Incidente ai sensi della presente clausola non sarà interpretata come un riconoscimento da parte di Compri di alcuna colpa o responsabilità in relazione all’Incidente.

10.6 Il Cliente notifica a Compri eventuali violazioni della sicurezza, anche non riguardanti dati personali, che possano compromettere la sicurezza dell’infrastruttura del SaaS, quali, a titolo meramente esemplificativo, la perdita di controllo sulle credenziali assegnate agli utenti.

11.1 Il Cliente accetta e autorizza affinché Compri possa trattare (anche tramite Sub-responsabili) i Dati Personali del Cliente all’interno e all’esterno dello SEE purché tali Trattamenti siano sorretti da idonei meccanismi di trasferimento ai sensi del Capo V del GDPR.

11.2 Qualora Compri intenda avvalersi di uno o più Sub-responsabili stabiliti al di fuori del SEE e non siano disponibili altri meccanismi di trasferimento diversi dalle Clausole Contrattuali Standard di cui all’art. 46(2)(c) del GDPR e della Decisione di esecuzione (UE) 2021/914 della Commissione, le Parti convengono che: (a) il Responsabile e il suo o i suoi Sub-responsabili saranno considerati “parti” ai sensi del “MODULO TRE: Trasferimento da responsabile a responsabile” delle Clausole Contrattuali Standard; (b) gli Allegati 1-3 del presente DPA sostituiranno o saranno sostanzialmente riflessi negli allegati delle Clausole Contrattuali Standard.

12.1 La durata del DPA ha efficacia dalla data di entrata in vigore dell’Accordo e si applica fin tanto che sono in essere trattamenti di dati personali svolti dal Responsabile per conto del Cliente.

13.1 Compri garantisce per tutta la durata del presente DPA la possibilità per il Cliente di esportare e/o cancellare i dati automaticamente o dietro richiesta da presentare a mezzo mail. In tale seconda ipotesi, Compri darà seguito alla richiesta del Cliente non appena ragionevolmente possibile.

13.2 Compri potrà mantenere i Dati Personali del Cliente che siano stati conservati con regolari operazioni di backup nel rispetto dei protocolli di disaster recovery e business continuity propri o dei propri Sub-responsabili, purché Compri — fatto salvo quanto previsto dalla clausola 3.2.(b) — non tratti, e non consenta ai propri Subresponsabili di trattare, in maniera attiva o intenzionale tali dati personali per qualsivoglia finalità ulteriore rispetto a quelle oggetto del presente DPA.

13.3 All’atto della cessazione, per qualsiasi causa, del presente DPA, il Responsabile sarà tenuto, salvo diverse istruzioni scritte da parte del Cliente, alternativamente a:

• cessare ogni attività di trattamento avente ad oggetto i dati personali;
• anonimizzare i dati personali in suo possesso tramite cancellazione non reversibile delle righe di database associate ai Soggetti Interessati.

13.4 Le Parti riconoscono e accettano che oltre il termine di cessazione dell’Accordo avranno comunque luogo i trattamenti di dati personali necessari per finalità strettamente tecniche quali, a titolo meramente esemplificativo, l’espletamento delle operazioni di cancellazione dei dati personali, la gestione delle copie di back-up o l’adempimento di obblighi di legge o regolamento.

14.1 Il Responsabile ha facoltà di modificare il DPA al fine di:

• recepire le modifiche tecniche all’interno del SaaS e dei Moduli rilevanti per mantenere aggiornato e esatto il contenuto dell’Allegato 1 (ad es., nel caso di introduzione di nuove funzionalità all’interno di un modulo o dell’inserimento di un nuovo Modulo nell’offerta commerciale di Compri);
• aggiornare o modificare l’elenco delle misure di sicurezza di cui all’Allegato 2, fermo restando il mantenimento di livelli di sicurezza adeguati allo stato dell’arte e idonei a ridurre i rischi per i diritti e le libertà degli interessati;
• aggiornare o modificare l’elenco dei Sub-responsabili di cui all’Allegato 3, fermo restando il rispetto degli obblighi di notifica e del diritto del Cliente di opposizione di cui alla clausola 9.

14.2 Le Modifiche saranno comunicate al Cliente con un preavviso di almeno 30 giorni dal momento della loro entrata in vigore, fatta eccezione per quelle di cui alla clausola 14.1(b) le quali saranno immediatamente efficaci al termine del periodo di opposizione concesso al Cliente ai sensi della clausola 9.2.

15.1 Le Parti riconoscono e accettano che qualora una persona fisica interessata al trattamento lamenti, contro le Parti, di aver subito un danno – materiale o immateriale – causato da una violazione della Legislazione europea e nazionale:

• la Parte a cui risulti direttamente imputabile la responsabilità della violazione, ai sensi dell’art. 82(2) GDPR, risponderà interamente per il danno materiale o immateriale cagionato all’Interessato dichiarando sin d’ora di manlevare e tenere indenne l’altra Parte, qualora non abbia adempiuto agli obblighi della Legislazione europea e nazionale ad essa specificamente diretti;
• qualora Compri e il Cliente siano coinvolti nello stesso Trattamento e siano entrambi responsabili del danno causato, ai sensi dei commi 2 e 3 dell’art. 82 GDPR, ciascuno dei due sarà responsabile in solido per l’intero ammontare del danno, fermo, per entrambi, il diritto di rivalsa sull’altro per la quota di risarcimento allo stesso spettante in base al danno causato, come definito alla clausola 15.2;
• nel caso in cui il danno causato al Danneggiato sia dovuto alla violazione delle disposizioni del presente Accordo per il Trattamento di Dati o della Legislazione europea e nazionale e sia imputabile interamente al Responsabile, Compri è tenuto a risarcire interamente il Cliente, qualora quest’ultimo abbia provveduto, in tutto o in parte, al risarcimento del danno al Danneggiato;
• ciascuna Parte dovrà indennizzare o risarcire l’altra Parte qualora e nella misura in cui abbia contribuito a causare il danno lamentato dal Danneggiato o non abbia adottato appropriate misure di mitigazione, o abbia violato disposizioni del presente Accordo per il Trattamento di Dati o della Legislazione europea e nazionale.

15.2 Nel caso indicato alla clausola 15.1(c), la misura dell’indennizzo o del risarcimento, parametrata alla porzione di responsabilità in merito all’entità del danno cagionato è stabilita congiuntamente dalle Parti mediante accordo negoziato in buona fede.

16.1 Le Parti assoggettano il DPA alla legge e alla giurisdizione scelte nell’Accordo. Pertanto, eventuali controversie o pretese che dovessero sorgere ai termini del presente DPA, incluse controversie relative alla sua esistenza, validità o cessazione o alle conseguenze della sua nullità, sono soggette al foro scelto nell’Accordo.

17.1 In caso di conflitto tra il presente DPA e l’Accordo, il primo prevale per le questioni attinenti al trattamento dei dati personali.

17.2 Per tutto quanto non espressamente previsto nel presente DPA, si rinvia alla Normativa Applicabile.

17.3 L’eventuale invalidità o inapplicabilità di una disposizione del presente DPA non incide sulle disposizioni restanti, che rimangono pienamente valide e vigenti. La disposizione invalida o inapplicabile viene (i) modificata nella misura necessaria ad assicurarne la validità e applicabilità, preservando per quanto possibile le intenzioni originarie delle Parti o, se ciò non fosse possibile, (ii) interpretata come se non fosse mai stata inserita nel corpo contrattuale.

17.4 Il Responsabile ha facoltà di espungere dalla documentazione e dalle informazioni fornite a seguito di richieste rivolte dal Cliente in forza del DPA, quelle informazioni la cui rivelazione potrebbe comportare, anche astrattamente, una violazione degli obblighi in materia di protezione dei dati personali cui è sottoposto il Responsabile o la divulgazione di informazioni sottoposte segreto industriale o comunque suscettibili di ledere il know-how aziendale del Responsabile.

Parte 1 – Caratteristiche generali del trattamento dei dati personali

Le seguenti informazioni si riferiscono a tutti i trattamenti di dati effettuati tramite il SaaS, indipendentemente dal modulo acquistato.

Le seguenti informazioni si riferiscono ai trattamenti di dati effettuati tramite specifici moduli del SaaS, da verificare sulla base di quelli effettivamente acquistati dal Cliente, e si devono considerare aggiuntive rispetto a quelle indicate nella Parte 1.

Items: l’utilizzo del modulo “Items” non comporta il trattamento di dati personali.

Budget: l’utilizzo del modulo “Budget” non comporta il trattamento di dati personali.

Le seguenti informazioni si riferiscono ai trattamenti di dati effettuati nel caso in cui il Cliente attivi i servizi consulenziali e di supporto.

Sezione 1 – Certificazioni

• ISO/IEC: 27001 Information security, cybersecurity and privacy protection — Information security management systems — Requirements

Sezione 2 – Elenco delle misure di sicurezza in essere