Accordo sul trattamento dei dati personali (DPA)

stipulato tra:

il soggetto definito come “Cliente”, che ha deciso di acquistare e utilizzare i servizi offerti dall’agenzia RYS SP. Z O.O.,

di seguito denominato nel presente Accordo “Titolare”

e

RYS spółka z ograniczoną odpowiedzialnością (società a responsabilità limitata) con sede a Bielsko-Biała (43-300), ul. Podwale 47, Polonia, iscritta nel registro delle imprese tenuto dal Tribunale distrettuale di Bielsko-Biała, VIII Sezione economica del Registro giudiziario nazionale, con il numero KRS: 0001006923, NIP (partita IVA): 5472234742, REGON: 523865502, con capitale sociale pari a 5.000,00 PLN,

di seguito denominata nel presente Accordo “Responsabile del trattamento”

di seguito denominati congiuntamente “Parti” e ciascuno singolarmente “Parte”

Premesso che:

1. le Parti hanno stipulato un contratto di prestazione di servizi in data (di seguito: Contratto Principale), nell’ambito della cui esecuzione il Titolare affiderà al Responsabile del trattamento il trattamento dei dati personali, nella misura definita dal presente Accordo,
2. le Parti, stipulando il presente Accordo, intendono disciplinare le regole del trattamento dei dati personali in modo che corrispondano pienamente alle disposizioni del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (di seguito: GDPR),

le Parti hanno deciso di stipulare un Accordo del seguente tenore:

§ 1. Disposizioni generali

1. Alle condizioni stabilite dal presente Accordo e dal Contratto Principale, il Titolare affida al Responsabile del trattamento i dati personali di persone fisiche (di seguito: Dati personali).
2. Il Titolare dichiara di trattare tutti i Dati personali in qualità di titolare del trattamento di tali dati e che il trattamento avviene in conformità alla legge.
3. Il Titolare affida al Responsabile del trattamento i Dati personali di persone fisiche appartenenti alle seguenti categorie:
   a) dipendenti del Titolare,
   b) collaboratori del Titolare,
   c) clienti del Titolare,
4. L’affidamento dei Dati personali avviene al fine della prestazione, da parte del Responsabile del trattamento a favore del Titolare, dei servizi connessi all’esecuzione del Contratto Principale, in particolare dei servizi di gestione completa delle vendite sulle piattaforme marketplace, assistenza post-vendita ai clienti (reclami e resi) nonché gestione e ottimizzazione delle campagne pubblicitarie.
5. Il trattamento dei Dati personali da parte del Responsabile del trattamento, per quanto riguarda la natura del trattamento:
   a) avverrà presso la sede del Responsabile del trattamento,
   b) avverrà in modo continuativo, fino alla cessazione del contratto.
6. Il trattamento dei dati personali da parte del Responsabile del trattamento avverrà esclusivamente su istruzione documentata del Titolare. Affinché le Parti considerino documentata una determinata istruzione, essa deve risultare direttamente dal presente Accordo o dal Contratto Principale oppure deve essere trasmessa sotto forma di messaggio di posta elettronica, in conformità alle regole di comunicazione stabilite al § 8, comma 2, dell’Accordo.
7. Il Responsabile del trattamento tratterà, sulla base del presente Accordo, in particolare i seguenti tipi di Dati personali:

8. Il Titolare può affidare al Responsabile del trattamento anche altri Dati personali, non indicati al § 1, comma 7, dell’Accordo, nonché Dati personali di categorie di persone diverse da quelle indicate al § 1, comma 3, dell’Accordo, compresi i dati non strutturati, ossia quelli che derivano da contenuti che potenzialmente e probabilmente contengono dati personali (post, documenti di testo, registrazioni, immagini, video). L’affidamento di tali Dati personali richiede la loro trasmissione in conformità alla regola di comunicazione stabilita al § 8, comma 2, dell’Accordo e non sarà considerato una modifica del presente Accordo che richieda un addendum scritto.
9. Il presente Accordo entra in vigore alla data della sua sottoscrizione da parte di entrambe le Parti (di seguito “Data di Efficacia”).
10. Nei casi in cui ciò sia applicabile, in particolare quando il Titolare agisce a sua volta in qualità di responsabile del trattamento rispetto ai dati personali che affida al Responsabile del trattamento, il presente Accordo sul trattamento dei dati personali sarà considerato anche come accordo di sub-affidamento del trattamento dei dati personali.

§ 2. Durata del trattamento dei Dati personali

1. Il Responsabile del trattamento tratterà i Dati personali per il periodo di validità del Contratto Principale.
2. La durata del presente Accordo coincide con il periodo di validità del Contratto Principale e il presente Accordo si estinguerà automaticamente al momento della risoluzione del Contratto Principale.

§ 3. Sub-affidamento

1. Il Responsabile del trattamento può sub-affidare specifiche operazioni di trattamento dei Dati personali ad altri responsabili del trattamento, a condizione che il Titolare abbia preventivamente accettato il soggetto al quale i Dati personali devono essere sub-affidati.
2. Il sub-affidamento del trattamento dei Dati personali di cui al § 3, comma 1, dell’Accordo richiede che tale circostanza sia comunicata al Titolare, al fine di consentirgli di opporsi. La comunicazione del sub-affidamento deve avvenire in conformità alle regole di contatto tra le Parti indicate al § 8, comma 2, dell’Accordo. Il Titolare può, per motivi giustificati, opporsi al sub-affidamento dei dati a uno specifico responsabile del trattamento entro 7 giorni dalla data di ricevimento della comunicazione di cui alla frase precedente. In caso di opposizione, il Responsabile del trattamento non ha il diritto di affidare i Dati personali al responsabile del trattamento oggetto dell’opposizione. Qualora il Titolare non risponda in alcun modo al messaggio di posta elettronica del Responsabile del trattamento relativo al sub-affidamento previsto, le Parti considereranno il silenzio come consenso del Titolare all’esecuzione del sub-affidamento. Il Responsabile del trattamento comunicherà al Titolare i dubbi circa la fondatezza dell’opposizione e le eventuali conseguenze negative in tempo utile per garantire la continuità del trattamento dei Dati personali.
3. Il Titolare acconsente con il presente Accordo al sub-affidamento dei Dati personali da parte del Responsabile del trattamento ai seguenti soggetti:
4. • fornitori di servizi di hosting e di infrastruttura server e cloud,
   • fornitori di sistemi informatici per la gestione delle relazioni con i clienti (CRM), l’automazione dei processi aziendali e l’analisi di marketing,
   • fornitori di strumenti nel campo della sicurezza informatica, compresi i sistemi per la gestione cifrata di credenziali e password (gestori di password),
   • fornitori di sistemi avanzati di analisi, reportistica e SEO nonché di strumenti per l’aggregazione, l’integrazione e l’elaborazione dei dati di marketing,
   • fornitori di servizi e software per la firma elettronica dei documenti e la gestione del flusso digitale dei contratti.
4. Nell’effettuare il sub-affidamento, il Responsabile del trattamento è tenuto a obbligare il soggetto al quale sub-affida il trattamento dei Dati personali ad applicare misure adeguate di protezione di tali Dati.
5. Il Responsabile del trattamento non ha il diritto di trasferire integralmente al sub-responsabile l’esecuzione del presente Accordo.

§ 4. Dichiarazioni e obblighi del Responsabile del trattamento

1. Il Responsabile del trattamento dichiara con il presente Accordo:
   1) di aver attuato procedure che garantiscono la conformità del trattamento dei dati personali al GDPR,
   2) di disporre delle conoscenze specialistiche e delle risorse che garantiscono la corretta attuazione delle procedure di protezione dei dati personali, in conformità al GDPR,
   3) di applicare le misure organizzative e tecniche per il trattamento dei dati personali in conformità al GDPR descritte nell’Allegato n. 1 al presente Accordo,
2. Il Responsabile del trattamento, sulla base del presente Accordo, è tenuto a:
   1) trattare i Dati personali affidati esclusivamente in conformità alle istruzioni documentate del Titolare,
   2) collaborare nell’esercizio dei diritti degli interessati, fermo restando che l’unico responsabile dell’esame delle richieste delle persone fisiche è il Titolare e che il Responsabile del trattamento deve informare il Titolare di tutte le richieste ricevute; inoltre le Parti devono informarsi reciprocamente di controversie o pretese, al fine di risolverle in via amichevole il più rapidamente possibile,
   3) collaborare con il Titolare nell’adempimento degli obblighi in materia di protezione dei dati personali di cui agli articoli 32-36 del GDPR,
   4) informare il Titolare, senza ingiustificato ritardo, dei dubbi circa la conformità alla legge delle istruzioni impartite dal Titolare, a pena di decadenza dalla possibilità di far valere pretese nei confronti del Titolare a tale titolo,
3. Il Titolare è tenuto a cooperare con il Responsabile del trattamento nell’esecuzione del presente Accordo. È inoltre tenuto a fornire al Responsabile del trattamento i chiarimenti necessari, in particolare in caso di dubbi sulla legittimità delle istruzioni del Titolare, nonché ad adempiere ai propri obblighi.

§ 5. Sicurezza dei Dati personali

1. Il Responsabile del trattamento ha effettuato un’analisi dei rischi del trattamento dei Dati personali affidati e si attiene ai suoi risultati per quanto riguarda le misure organizzative e tecniche di protezione dei Dati personali.
2. Il Responsabile del trattamento informerà il Titolare di ogni sospetta violazione dei Dati personali entro e non oltre 24 ore dalla prima segnalazione, consentendo al Titolare di partecipare alle attività di accertamento e informandolo delle conclusioni non appena raggiunte, in particolare dell’accertamento della violazione o della sua assenza.
3. Il Responsabile del trattamento è tenuto a trasmettere al Titolare la notifica della violazione accertata, unitamente a tutta la documentazione necessaria relativa alla violazione, per consentire al Titolare di adempiere all’obbligo di notifica all’autorità di controllo.

§ 6. Vigilanza sul trattamento dei Dati personali

1. Il Titolare ha il diritto di effettuare un controllo delle modalità di trattamento dei dati personali da parte del Responsabile del trattamento esclusivamente nella misura necessaria a verificare la conformità del trattamento al presente Accordo e all’articolo 28 del GDPR.
2. Il controllo programmato viene effettuato previa comunicazione al Responsabile del trattamento con almeno 7 giorni di anticipo, in forma documentale, con indicazione dell’ambito del controllo, della sua durata prevista e della composizione del team di controllo.
3. Il controllo programmato può essere effettuato non più di una volta per anno solare e si svolge durante l’orario di lavoro del Responsabile del trattamento, in modo da non pregiudicare ingiustificatamente la continuità della sua attività operativa.
4. Le limitazioni di cui ai commi 2–3 non si applicano in caso di:
   1) accertamento di una violazione dei dati personali,
   2) fondato sospetto di violazione delle disposizioni del presente Accordo,
   3) richiesta o raccomandazioni dell’autorità di controllo.
5. Il controllo può essere effettuato dal Titolare o da un soggetto terzo che agisce su suo incarico, a condizione che tale soggetto si sia preventivamente impegnato a mantenere la riservatezza almeno al livello risultante dal presente Accordo e che non sussista un conflitto di interessi con il Responsabile del trattamento.
6. L’ambito del controllo non comprende:
   1) le informazioni che costituiscono segreto aziendale del Responsabile del trattamento, nella misura in cui non siano direttamente connesse al trattamento dei dati personali del Titolare,
   2) i dati personali o le informazioni di altri clienti del Responsabile del trattamento.
   La tutela di cui sopra è attuata in particolare mediante anonimizzazione, pseudonimizzazione o consultazione della documentazione sotto supervisione.
7. Il Responsabile del trattamento garantisce al Titolare l’accesso alle informazioni necessarie per dimostrare l’adempimento degli obblighi derivanti dall’articolo 28 del GDPR, in primo luogo mediante:
   1) la messa a disposizione della documentazione aggiornata relativa alla protezione dei dati personali,
   2) i rapporti degli audit interni o delle certificazioni,
   3) le risposte alle richieste scritte del Titolare.
   L’esecuzione di un audit in loco costituisce l’ultima risorsa, applicata esclusivamente qualora non sia possibile effettuare la verifica secondo le modalità sopra indicate.
8. Il controllo documentale standard o da remoto viene effettuato a titolo gratuito. In caso di controllo in loco o di controllo che ecceda l’ambito standard e richieda un impegno significativo delle risorse del Responsabile del trattamento, il Titolare sostiene i costi organizzativi giustificati ed effettivi di tale controllo, preventivamente concordati tra le Parti.
9. Le Parti confermano concordemente che i controlli si svolgono nel rispetto dei principi di proporzionalità, minimizzazione e responsabilizzazione di cui all’articolo 5, paragrafi 1 e 2, del GDPR.

§ 7. Responsabilità

1. La responsabilità delle Parti per l’inadempimento o l’inesatto adempimento del presente Accordo è soggetta alle limitazioni, alle esclusioni e ai massimali di responsabilità stabiliti nel Contratto Principale, fatte salve le disposizioni di legge inderogabili, compreso l’articolo 82 del GDPR.
2. Fatti salvi i commi 4–6, la responsabilità complessiva del Responsabile del trattamento nei confronti del Titolare, indipendentemente dal fondamento giuridico della pretesa, è limitata all’importo corrispondente al compenso netto complessivo dovuto al Responsabile del trattamento dal Titolare nei 12 mesi precedenti l’evento che ha dato origine alla responsabilità.
3. Il Responsabile del trattamento risponde esclusivamente dei danni causati con dolo o colpa grave, mentre la responsabilità per i danni causati per colpa lieve è esclusa nella misura massima consentita dalla legge.
4. Le limitazioni di responsabilità stabilite nel presente Accordo non si applicano alla responsabilità del Responsabile del trattamento nei confronti degli interessati derivante dall’articolo 82, paragrafi 1–2, del GDPR.
5. Il Responsabile del trattamento non risponde delle sanzioni amministrative pecuniarie né di altre sanzioni di diritto pubblico inflitte al Titolare, salvo che siano state inflitte a seguito di una violazione delle norme sulla protezione dei dati personali imputabile al Responsabile del trattamento.
6. È esclusa la responsabilità del Responsabile del trattamento per il lucro cessante e per i danni indiretti nel rapporto contrattuale con il Titolare, nella misura massima consentita dalla legge.
7. Al termine della validità dell’Accordo il Responsabile del trattamento restituisce o cancella i dati personali, in conformità all’articolo 28, paragrafo 3, lettera g), del GDPR, fatti salvi gli obblighi di conservazione previsti dalla legge o la necessità di tutelare eventuali pretese.
8. Qualora riceva un’istruzione contraria alla legge, il Responsabile del trattamento ha il diritto di sospenderne l’esecuzione fino al chiarimento della questione e non risponde delle conseguenze di tale sospensione, nei limiti consentiti dalla legge.
9. Le pretese del Titolare nei confronti del Responsabile del trattamento derivanti dal presente Accordo si estinguono se non vengono fatte valere entro 12 mesi dal giorno in cui il Titolare è venuto a conoscenza dell’evento, ad eccezione delle pretese derivanti dall’articolo 82 del GDPR.

§ 8. Disposizioni finali

1. Ciascuna Parte si impegna a informare senza indugio l’altra Parte di tutte le violazioni della riservatezza a essa note relative al presente Accordo. Il Responsabile del trattamento si impegna ad adottare le misure opportune per recuperare e mettere in sicurezza i Dati personali o le Informazioni Riservate e per prevenire ulteriori azioni non autorizzate o violazioni del presente Accordo.
   a) Ai fini dell’esecuzione del presente Accordo le Parti comunicheranno tramite gli indirizzi e-mail delle persone designate per i contatti e il coordinamento della collaborazione, indicati nel Contratto Principale o comunicati all’altra Parte durante l’avvio del servizio (onboarding).
2. In caso di controversia tra le Parti derivante dal presente Accordo, sarà competente il tribunale del luogo principale di esercizio dell’attività d’impresa del Responsabile del trattamento.
3. Per quanto non disciplinato dal presente Accordo si applicano le disposizioni del GDPR e le altre disposizioni di legge polacche generalmente applicabili.

Allegato n. 1 Descrizione delle misure tecniche e organizzative di sicurezza dei dati personali

1. Misure organizzative

1. I dati personali sono trattati esclusivamente da persone in possesso di autorizzazioni scritte al loro trattamento.
2. Le persone autorizzate sono tenute a mantenere la riservatezza dei dati personali e delle modalità della loro protezione.
3. Il Responsabile del trattamento tiene un registro delle persone autorizzate al trattamento dei dati personali.
4. I dipendenti e i collaboratori ricevono una formazione in materia di protezione dei dati personali e GDPR.
5. I dati personali sono trattati esclusivamente nella misura necessaria al conseguimento delle finalità stabilite (principio di minimizzazione).
6. Il Responsabile del trattamento ha attuato procedure di risposta alle violazioni dei dati personali, comprese le regole per la loro segnalazione e documentazione.

2. Misure tecniche

1. L’accesso ai sistemi informatici è protetto mediante:
2. • login e password individuali,
   • password robuste,
   • autenticazione a due fattori,
   • gestione delle autorizzazioni (si applica il principio del privilegio minimo – i dipendenti/collaboratori hanno accesso solo agli strumenti e ai dati dei clienti necessari allo svolgimento dei loro compiti).
2. I sistemi IT dispongono di meccanismi di controllo degli accessi che limitano l’accesso ai dati esclusivamente agli utenti autorizzati.
3. Si utilizzano account nominativi, senza account condivisi, se la piattaforma lo consente.
4. I dati personali trattati nei sistemi informatici sono protetti mediante:
5. • cifratura della trasmissione dei dati (SSL/TLS),
   • firewall,
   • software antivirus e antimalware aggiornato,
   • MFA/2FA (in particolare per l’accesso remoto e gli account privilegiati),
   • blocco automatico degli account dopo tentativi di accesso non riusciti,
   • cifratura e pseudonimizzazione – cifratura dei dati a riposo (AES-256) e in transito (TLS 1.2+), pseudonimizzazione dei dati negli ambienti di test e di analisi.
5. Vengono eseguite regolarmente copie di sicurezza (backup) dei dati, conservate in un ambiente sicuro.
6. I dispositivi utilizzati per il trattamento dei dati (computer, laptop) sono:
7. • protetti da password,
   • protetti dall’accesso di terzi,
   • bloccati in caso di inattività dell’utente.

3. Misure che garantiscono la continuità e l’integrità dei dati

1. Il Responsabile del trattamento applica procedure che garantiscono la continuità operativa dei sistemi IT.
2. I dati sono protetti da:
3. • distruzione accidentale o non autorizzata,
   • perdita,
   • modifica,
   • divulgazione non autorizzata.
3. Copie di sicurezza e continuità operativa:
4. • backup regolari (regola 3-2-1),
   • test di ripristino dei dati.

4. Verifica periodica delle misure di sicurezza

1. Il Responsabile del trattamento effettua una verifica e un aggiornamento periodici delle misure tecniche e organizzative applicate.
2. Le misure di sicurezza sono adeguate:
3. • alla natura dei dati trattati,
   • alla portata del trattamento,
   • al rischio di violazione dei diritti o delle libertà degli interessati.