DPA - Contratto di elaborazione dei dati

Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati (DPA) definisce i termini in base ai quali Magileads, in qualità di responsabile del trattamento, elabora i dati personali per conto del Cliente. Nel presente DPA, Magileads si basa sulle clausole contrattuali standard della Commissione europea (disponibili al seguente indirizzo: https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32021D0915 ).

Il presente documento integra il contratto tra Magileads e il Cliente ed è incorporato nel Contratto stipulato con l'accettazione da parte del Cliente delle Condizioni Generali di Utilizzo (accessibili al seguente indirizzo: https://www.magileads.com/cgu-conditions-generales-d-utilisation/ ), inclusa l'Informativa sulla Privacy di Magileads (accessibile al seguente indirizzo: https://www.magileads.com/accord-de-confidenzialite/ ).

In caso di conflitto con il Contratto, prevale il DPA.

Poiché Magileads agisce in qualità di subappaltatore, si presume che il Cliente agisca in qualità di Titolare del trattamento per tutti i trattamenti diversi da quelli effettuati da Magileads per le proprie esigenze, come specificato nella Politica sulla privacy di Magileads.

Qualora il Cliente agisca in qualità di responsabile del trattamento dei dati su istruzioni di un titolare del trattamento terzo, il Cliente si impegna a:

Ottenere dal Titolare del trattamento tutte le autorizzazioni necessarie per concludere il presente DPA;
Dichiarare Magileads come subappaltatore successivo del Titolare del trattamento dei dati;
Avendo stipulato un contratto con il Titolare del trattamento dei dati ai sensi dell'articolo 28 del GDPR e in linea con il presente Accordo sul trattamento dei dati e con il Contratto concluso tra Magileads e il Cliente;
Dare a Magileads istruzioni coerenti con quelle ricevute dal Titolare del trattamento, senza che Magileads riceva istruzioni direttamente dal Titolare del trattamento, salvo nei casi in cui il Cliente abbia trasferito i propri diritti e obblighi al Titolare del trattamento, il quale dovrà fornirne prova.
Rendere disponibile il presente DPA al Titolare del trattamento.

Il Cliente rimane pienamente responsabile nei confronti di Magileads per l'attuazione del presente Contratto di Elaborazione dei Dati (DPA) da parte del Titolare del Trattamento. Il Cliente esonera Magileads da ogni responsabilità per qualsiasi violazione da parte del Titolare del Trattamento dei Dati della legge applicabile, nonché per qualsiasi azione, reclamo o contestazione da parte del Titolare del Trattamento dei Dati relativa al presente DPA, al Contratto tra Magileads e il Cliente o alle istruzioni impartite dal Cliente a Magileads.

SEZIONE I

Clausola 1

Scopo e ambito

Lo scopo delle presenti clausole contrattuali tipo (di seguito "clausole") è garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).
I titolari e i responsabili del trattamento hanno accettato tali clausole al fine di garantire il rispetto delle disposizioni dell'articolo 28, paragrafi 3 e 4, del Regolamento (UE) 2016/679.
Le presenti clausole si applicano al trattamento dei dati personali come descritto nell'Allegato I.
Gli allegati da I a III costituiscono parte integrante delle clausole.
Le presenti clausole lasciano impregiudicati gli obblighi a cui è soggetto il titolare del trattamento ai sensi del Regolamento (UE) 2016/679.
Le clausole da sole non sono sufficienti a garantire il rispetto degli obblighi relativi ai trasferimenti internazionali ai sensi del Capo V del Regolamento (UE) 2016/679.

Clausola 2

Invariabilità delle clausole

Le parti convengono di non modificare le clausole, salvo che per quanto riguarda l'aggiunta di informazioni agli allegati o l'aggiornamento delle informazioni in essi contenute.
Non è impedito alle parti di includere le clausole contrattuali standard definite nelle presenti clausole in un contratto più ampio, né di aggiungere altre clausole o garanzie supplementari, a condizione che queste non contraddicano direttamente o indirettamente le clausole o non violino i diritti e le libertà fondamentali delle persone interessate.

Clausola 3

Interpretazione

Laddove nelle clausole compaiano termini definiti rispettivamente nel Regolamento (UE) 2016/679, essi devono essere intesi come quelli previsti dal Regolamento in questione.
Le presenti clausole devono essere lette e interpretate alla luce delle disposizioni del Regolamento (UE) 2016/679.
Le presenti clausole non devono essere interpretate in modo contrario ai diritti e agli obblighi previsti dal regolamento (UE) 2016/679 o in modo tale da violare i diritti o le libertà fondamentali delle persone interessate.

Clausola 4

Gerarchia

In caso di conflitto tra le presenti clausole e le disposizioni di accordi correlati in vigore tra le parti al momento in cui le presenti clausole vengono concordate o successivamente stipulate, prevarranno le presenti clausole.

Clausola 5

Clausola di ormeggio

Qualsiasi entità che non sia parte di queste clausole può, con l'accordo di tutte le parti, aderirvi in qualsiasi momento, sia in qualità di titolare del trattamento che di responsabile del trattamento, compilando gli allegati.
Una volta compilati e firmati gli allegati di cui al punto a), l'ente aderente è considerato parte delle presenti clausole e gode dei diritti ed è soggetto agli obblighi di un titolare del trattamento o di un responsabile del trattamento.
Tali clausole non creano alcun diritto o obbligo per la parte aderente per il periodo precedente all'adesione.

SEZIONE II – OBBLIGHI DELLE PARTI

Clausola 6

Descrizione del/i trattamento/i

I dettagli delle operazioni di trattamento, e in particolare le categorie di dati personali e le finalità del trattamento per cui i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell'allegato I.

Clausola 7

Obblighi delle parti

7.1. Istruzioni

Il responsabile del trattamento tratta i dati personali solo su istruzione documentata del titolare del trattamento, salvo che ciò sia richiesto dal diritto dell'Unione o degli Stati membri. In tali casi, il responsabile del trattamento informa il titolare del trattamento di tale obbligo legale prima del trattamento, salvo che ciò sia vietato dalla legge per motivi rilevanti di interesse pubblico. Il titolare del trattamento può inoltre impartire ulteriori istruzioni in qualsiasi momento durante il trattamento dei dati personali. Tali istruzioni devono sempre essere documentate.
Il subappaltatore informa immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione impartita dal titolare del trattamento costituisca una violazione del regolamento (UE) 2016/679 o di altre disposizioni del diritto dell'Unione o degli Stati membri relative alla protezione dei dati.

7.2. Limitazione dello scopo

Il subappaltatore tratta i dati personali solo per le finalità specifiche del trattamento, come definite nell'allegato I, salvo diversa istruzione del titolare del trattamento.

7.3. Durata del trattamento dei dati personali

Il trattamento da parte del subappaltatore avviene solo durante il periodo specificato nell'allegato I.

7.4. Sicurezza dell'elaborazione

Il responsabile del trattamento attua almeno le misure tecniche e organizzative specificate nell'Allegato II per garantire la sicurezza dei dati personali. Tali misure includono la protezione dei dati da qualsiasi violazione della sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali (violazione dei dati personali). Nel valutare l'adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per gli interessati.
Il subappaltatore concede al proprio personale l'accesso ai dati personali trattati solo nella misura strettamente necessaria all'esecuzione, alla gestione e al monitoraggio del contratto. Il subappaltatore garantisce che le persone autorizzate al trattamento dei dati personali siano vincolate da obblighi di riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

7.5. Dati sensibili

Se il trattamento riguarda dati personali che rivelano l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, nonché dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, o dati relativi a condanne penali e reati ("dati sensibili"), il subappaltatore applica limitazioni specifiche e/o garanzie aggiuntive.

7.6 Documentazione e conformità

Le parti devono essere in grado di dimostrare il rispetto di tali clausole.
Il subappaltatore elaborerà le richieste del titolare del trattamento relative al trattamento dei dati in modo tempestivo e appropriato, in conformità con le presenti clausole.
Il responsabile del trattamento fornisce al titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dalle presenti clausole e derivanti direttamente dal Regolamento (UE) 2016/679. Su richiesta del titolare del trattamento, il responsabile del trattamento consente e contribuisce agli audit delle attività di trattamento coperte dalle presenti clausole, a intervalli ragionevoli o quando vi sono indicazioni di non conformità. Nel decidere in merito a una revisione o un audit, il titolare del trattamento può tenere conto di eventuali certificazioni pertinenti detenute dal responsabile del trattamento.
Il titolare del trattamento può decidere di condurre l'audit direttamente o di nominare un revisore indipendente. Gli audit possono anche includere ispezioni presso i locali o le strutture fisiche del responsabile del trattamento e, ove opportuno, vengono effettuati con ragionevole preavviso.
Le parti mettono a disposizione delle autorità di vigilanza competenti, su richiesta, le informazioni di cui alla presente clausola, compresi i risultati di eventuali audit.

7.7. Utilizzo di subappaltatori successivi

Il responsabile del trattamento è autorizzato in via generale dal titolare del trattamento a ricorrere a successivi sub-responsabili del trattamento sulla base di un elenco concordato. Il responsabile del trattamento deve informare specificamente per iscritto il titolare del trattamento di eventuali modifiche proposte a tale elenco, come l'aggiunta o la sostituzione di successivi sub-responsabili del trattamento, con almeno 30 (trenta) giorni di anticipo, dando così al titolare del trattamento tempo sufficiente per opporsi a tali modifiche prima dell'assunzione del/i successivo/i sub-responsabile/i del trattamento. Il responsabile del trattamento deve fornire al titolare del trattamento le informazioni necessarie per esercitare il proprio diritto di opposizione.
Quando il responsabile del trattamento incarica un sub-responsabile del trattamento di svolgere specifiche attività di trattamento (per conto del titolare del trattamento), lo fa tramite un contratto che impone al sub-responsabile, in sostanza, gli stessi obblighi in materia di protezione dei dati imposti al responsabile del trattamento ai sensi delle presenti clausole. Il responsabile del trattamento garantisce che il sub-responsabile del trattamento rispetti gli obblighi a cui è soggetto ai sensi delle presenti clausole e del Regolamento (UE) 2016/679.
Su richiesta del titolare del trattamento, il responsabile del trattamento fornisce al titolare del trattamento una copia del contratto concluso con il successivo responsabile del trattamento e di eventuali successive modifiche. Nella misura necessaria a proteggere segreti commerciali o altre informazioni riservate, inclusi i dati personali, il responsabile del trattamento può redigere il testo del contratto prima di distribuirne una copia.
Il responsabile del trattamento rimane pienamente responsabile nei confronti del titolare del trattamento per l'adempimento degli obblighi del successivo responsabile del trattamento ai sensi del contratto concluso con quest'ultimo. Il responsabile del trattamento è tenuto a informare il titolare del trattamento di qualsiasi violazione da parte del successivo responsabile del trattamento dei propri obblighi contrattuali.
Il subappaltatore concorda con il subappaltatore successivo una clausola di terzo beneficiario in base alla quale, nel caso in cui il subappaltatore sia materialmente scomparso, abbia cessato di esistere giuridicamente o sia diventato insolvente, il titolare del trattamento ha il diritto di recedere dal contratto concluso con il subappaltatore successivo e di ingiungere al subappaltatore successivo di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali

Qualsiasi trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del responsabile del trattamento è effettuato solo sulla base di istruzioni documentate del titolare del trattamento o per conformarsi a un requisito specifico del diritto dell'Unione o dello Stato membro cui è soggetto il responsabile del trattamento ed è effettuato in conformità al capo V del regolamento (UE) 2016/679.
Il titolare del trattamento accetta che, qualora il responsabile del trattamento incarichi un successivo responsabile del trattamento in conformità alla clausola 7.7 per svolgere specifiche attività di trattamento (per conto del titolare del trattamento) e qualora tali attività di trattamento comportino un trasferimento di dati personali ai sensi del capo V del regolamento (UE) 2016/679, il responsabile del trattamento e il successivo responsabile del trattamento possano garantire la conformità al capo V del regolamento (UE) 2016/679 utilizzando le clausole contrattuali tipo adottate dalla Commissione sulla base dell'articolo 46, paragrafo 2, del regolamento (UE) 2016/679, a condizione che siano soddisfatte le condizioni per l'utilizzo di tali clausole contrattuali tipo.

Clausola 8

Assistenza al titolare del trattamento

Il responsabile del trattamento informa senza indugio il titolare del trattamento di ogni richiesta ricevuta dall'interessato. Il responsabile del trattamento non dà seguito alla richiesta stessa se non autorizzato dal titolare del trattamento.
Il responsabile del trattamento assiste il titolare del trattamento nell'adempimento del suo obbligo di rispondere alle richieste degli interessati di esercitare i propri diritti, tenendo conto della natura del trattamento. Nell'adempimento dei propri obblighi di cui ai punti (a) e (b), il responsabile del trattamento si conforma alle istruzioni del titolare del trattamento.
Oltre all'obbligo del responsabile del trattamento di assistere il titolare del trattamento ai sensi della clausola 8(b), il responsabile del trattamento deve anche assistere il titolare del trattamento nel garantire il rispetto dei seguenti obblighi, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento:
L'obbligo di effettuare una valutazione dell'impatto delle operazioni di trattamento previste sulla protezione dei dati personali ("valutazione d'impatto sulla protezione dei dati") quando un tipo di trattamento è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche;
L'obbligo di consultare l'autorità di controllo competente prima del trattamento quando una valutazione d'impatto sulla protezione dei dati indica che il trattamento presenterebbe un rischio elevato se il titolare del trattamento non adottasse misure per attenuare il rischio;
L'obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza ritardo il titolare del trattamento qualora il responsabile del trattamento venga a conoscenza che i dati personali da lui trattati sono inesatti o sono diventati obsoleti;
Gli obblighi previsti dall'articolo 32 del regolamento (UE) 2016/679.
Le parti definiscono nell'allegato II le misure tecniche e organizzative appropriate mediante le quali il subappaltatore è tenuto ad assistere il titolare del trattamento nell'applicazione della presente clausola, nonché l'ambito e la portata dell'assistenza richiesta.

Clausola 9

Notifica delle violazioni dei dati personali

In caso di violazione dei dati personali, il responsabile del trattamento coopera con il titolare del trattamento e lo assiste nell'adempimento degli obblighi a lui incombenti ai sensi degli articoli 33 e 34 del regolamento (UE) 2016/679, tenendo conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento.

9.1 Violazione dei dati relativi ai dati trattati dal titolare del trattamento

In caso di violazione dei dati personali relativi ai dati trattati dal titolare del trattamento, il responsabile del trattamento deve fornire assistenza al titolare del trattamento:

al fine di notificare alle autorità di controllo competenti la violazione dei dati personali il prima possibile dopo che il titolare del trattamento ne è venuto a conoscenza, ove opportuno (a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);
al fine di ottenere le seguenti informazioni che, conformemente all'articolo 33(3) del regolamento (UE) 2016/679, devono essere incluse nella notifica del titolare del trattamento e devono includere almeno:
la natura dei dati personali, comprese, ove possibile, le categorie e il numero approssimativo di persone interessate dalla violazione nonché le categorie e il numero approssimativo di registrazioni di dati personali interessate;
le probabili conseguenze della violazione dei dati personali;
le misure adottate o proposte dal titolare del trattamento per porre rimedio alla violazione dei dati personali, comprese, se del caso, le misure per attenuarne le possibili conseguenze negative.

Quando e nella misura in cui non è possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento e, non appena disponibili, ulteriori informazioni vengono successivamente comunicate il prima possibile;

al fine di adempiere, ai sensi dell'articolo 34 del Regolamento (UE) 2016/679, all'obbligo di comunicare all'interessato la violazione dei dati personali senza ingiustificato ritardo, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

9.2 Violazione dei dati relativa ai dati trattati dal subappaltatore

In caso di violazione dei dati personali relativi ai dati trattati dal subappaltatore, quest'ultimo ne informa il titolare del trattamento il prima possibile dopo averne avuto conoscenza. Tale notifica contiene almeno:

una descrizione della natura della violazione riscontrata (comprese, ove possibile, le categorie e il numero approssimativo di persone interessate dalla violazione e dei dati personali interessati);
i dati di contatto di un punto di contatto presso il quale è possibile ottenere ulteriori informazioni in merito alla violazione dei dati personali;
le sue probabili conseguenze e le misure adottate o proposte per porre rimedio alla violazione, compresa l'attenuazione di eventuali conseguenze negative.

Le parti definiscono nell'allegato III tutti gli altri elementi che il subappaltatore deve comunicare quando assiste il titolare del trattamento nell'adempimento degli obblighi di quest'ultimo ai sensi degli articoli 33 e 34 del regolamento (UE) 2016/679.

SEZIONE III – DISPOSIZIONI FINALI

Clausola 10

Mancato rispetto dei termini e risoluzione

Fatto salvo quanto previsto dal Regolamento (UE) 2016/679, qualora il responsabile del trattamento non adempia ai propri obblighi ai sensi delle presenti condizioni, il titolare del trattamento può istruire il responsabile del trattamento a sospendere il trattamento dei dati personali fino al rispetto delle presenti condizioni o fino alla risoluzione del contratto. Il responsabile del trattamento informa tempestivamente il titolare del trattamento qualora non sia in grado di adempiere alle presenti condizioni per qualsiasi motivo.
Il titolare del trattamento ha il diritto di recedere dal contratto nella misura in cui riguarda il trattamento dei dati personali ai sensi delle presenti clausole se:
il trattamento dei dati personali da parte del subappaltatore è stato sospeso dal titolare del trattamento conformemente al punto a) e la conformità a tali clausole non è ripristinata entro un termine congruo e, in ogni caso, entro un mese dalla sospensione;
il subappaltatore viola gravemente o persistentemente le presenti clausole o gli obblighi a lui incombenti ai sensi del regolamento (UE) 2016/679;
il subappaltatore non rispetta una decisione vincolante di un tribunale competente o delle autorità di controllo competenti in merito agli obblighi che gli incombono ai sensi delle presenti clausole o del regolamento (UE) 2016/679.
Il subappaltatore ha il diritto di recedere dal contratto nella misura in cui riguarda il trattamento dei dati personali ai sensi delle presenti clausole qualora, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti legali applicabili in conformità alla clausola 7.1(b), il titolare del trattamento insista affinché le sue istruzioni vengano seguite.
A seguito della risoluzione del contratto, il responsabile del trattamento, a discrezione del titolare del trattamento, cancellerà tutti i dati personali trattati per conto del titolare del trattamento e certifica al titolare del trattamento che tale cancellazione è stata effettuata, oppure restituirà tutti i dati personali al titolare del trattamento e distruggerà le copie esistenti, a meno che il diritto dell'Unione o nazionale non ne richieda la conservazione per un periodo più lungo. Il responsabile del trattamento continuerà a garantire il rispetto di tali termini fino alla cancellazione o alla restituzione dei dati.

ALLEGATO I

Descrizione dei trattamenti

Categorie di dati personali trattati e interessati

La tipologia di Dati Personali e le categorie di soggetti interessati sono determinate e controllate dal Cliente, a sua esclusiva discrezione, attraverso l'utilizzo della Piattaforma Magileads.

Al fine di garantire la sicurezza della Piattaforma, la gestione degli errori e la registrazione degli accessi, Magileads tratterà i seguenti dati personali per conto del Cliente: indirizzo IP e User Agent delle connessioni alla Piattaforma (incluso l'accesso alle applicazioni ospitate sulla Piattaforma dal Cliente), gli indirizzi delle risorse a cui si accede (URL).

Natura dei trattamenti

Le operazioni di trattamento effettuate da Magileads in relazione ai Dati Personali possono includere il calcolo, la classificazione, l'organizzazione dei dati, l'archiviazione, la protezione e/o qualsiasi altra elaborazione effettuata dal Cliente nel contesto del suo utilizzo della Piattaforma Magileads.

Durata dei trattamenti

Il trattamento oggetto del presente DPA viene effettuato per la durata del contratto o per un periodo più breve sotto l'esclusivo controllo del Cliente.

ALLEGATO II

Misure tecniche e organizzative, comprese misure tecniche e organizzative per garantire la sicurezza dei dati

Magileads adotta misure organizzative e tecniche per garantire la sicurezza e la riservatezza dei dati trattati per conto del Cliente. Tali misure includono, in particolare, l'utilizzo di:

Misure di crittografia dei dati in transito e durante l'archiviazione;
Misure di sicurezza fisica (inclusa la verifica dell'identità) e controllo logico dei diritti di accesso ai server Magileads e alle sale del data center che ospitano tali server;
Processi di autenticazione migliorati per tutti gli accessi ai dati appartenenti a Magileads e ai suoi clienti;
Isolamento fisico e/o logico dei dati personali e non personali dei vari clienti Magileads;
Procedure per l'applicazione sistematica, il più rapidamente possibile, delle patch di sicurezza documentate dal CERT-FR;
Accordi di riservatezza richiesti a tutti i dipendenti e fornitori di servizi che agiscono per conto di Magileads;
Un registro delle azioni eseguite sui sistemi informativi di Magileads.

Di seguito viene indicato il titolare del trattamento dei dati:
Francois KOLLI DPO – dp*@*******ds.eu
KA-Groupe – MAGILEADS
40 Rue de Plaisance, 75014 Parigi

Numero RC/SIRET: 848746632
Codice APE: 7022Z