Accordo di nomina a responsabile del trattamento

Tra il Cliente — la persona giuridica o il professionista che sottoscrive il Contratto SAAS FLUSIA ovvero attiva il Servizio accettando i Termini e Condizioni di Servizio, come identificato in fase di registrazione o nel relativo contratto (di seguito, il "Titolare") — e Obly Srls, con sede legale in Piazza Martiri della Libertà 2, 15033 Casale Monferrato (AL), C.F. e P.IVA 02730180060, in persona del legale rappresentante pro tempore (di seguito, il "Responsabile"), congiuntamente, le "Parti".

Art. 1 – Oggetto e durata

1.1 Il Titolare nomina il Responsabile quale responsabile del trattamento dei dati personali ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR), in relazione ai dati trattati nell'ambito della fornitura del servizio SaaS "Flusia", disciplinato dai relativi Termini e Condizioni e, qualora sottoscritto, dal Contratto SAAS FLUSIA (di seguito, complessivamente, "Contratto FLUSIA").

1.2 La durata del presente accordo coincide con la durata del Contratto FLUSIA, incluse eventuali proroghe, e si estende al periodo strettamente necessario per le attività di chiusura del rapporto e gestione della restituzione/cancellazione dei dati.

Art. 2 – Natura, finalità, dati e interessati

2.1 La natura del trattamento comprende, a titolo esemplificativo: raccolta, registrazione, organizzazione, conservazione, consultazione, utilizzo, comunicazione su istruzione del Titolare, interconnessione, limitazione, cancellazione e distruzione di dati personali mediante sistemi informatici e telematici connessi al servizio "Flusia". 2.2 Le finalità del trattamento sono esclusivamente l'erogazione, gestione tecnica, manutenzione, assistenza e miglioramento del servizio "Flusia", nonché l'adempimento di obblighi di legge connessi al Contratto FLUSIA.

2.3 I dati personali trattati possono includere, nella misura in cui siano immessi o generati tramite "Flusia": a) dati identificativi e di contatto (es. nome, cognome, recapiti); b) dati relativi al ruolo o all'attività svolta presso l'organizzazione del Titolare; c) dati relativi agli ordini/comande, alle attività e ai flussi gestiti tramite "Flusia"; d) eventuali altre categorie di dati personali che il Titolare decida di trattare tramite il servizio, nel rispetto della normativa applicabile.

2.4 Le categorie di interessati possono includere: dipendenti, collaboratori, utenti, clienti, fornitori e altri soggetti i cui dati siano trattati dal Titolare attraverso "Flusia". La scelta dei dati e degli interessati effettivamente trattati tramite il servizio resta nella esclusiva responsabilità del Titolare.

Art. 3 – Istruzioni del Titolare

3.1 Il Responsabile tratta i dati personali esclusivamente su istruzioni documentate del Titolare, contenute nel presente accordo, nel Contratto SAAS FLUSIA, nei Termini e Condizioni "Flusia" e in eventuali ulteriori istruzioni scritte fornite dal Titolare. 3.2 Qualora il trattamento sia imposto dal diritto dell'Unione o nazionale cui è soggetto il Responsabile, questi ne informa il Titolare prima del trattamento, salvo divieto di legge. 3.3 Qualora il Responsabile utilizzi i dati personali per finalità proprie, ciò avverrà secondo le modalità e i limiti di quanto indicato nell'Informativa Privacy accettata dal Cliente.

3.4 Restano espressamente esclusi dall'ambito del presente accordo i trattamenti che Obly Srls effettua in qualità di titolare autonomo del trattamento, come descritti nell'Informativa sulla Privacy di Obly relativa alla piattaforma Flusia (inclusi, a titolo esemplificativo, trattamenti di analisi, profilazione e marketing relativi ai propri prodotti e servizi). Per tali trattamenti Obly determina autonomamente finalità e mezzi ed assume i correlati obblighi di titolare ai sensi del GDPR.

Art. 4 – Persone autorizzate e riservatezza

4.1 Il Responsabile garantisce che le persone da lui autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. 4.2 Il Responsabile assicura che tali persone trattino i dati personali solo nei limiti necessari all'esecuzione del Contratto FLUSIA e del presente accordo.

Art. 5 – Sicurezza del trattamento

5.1 Il Responsabile adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, tenendo conto di quanto previsto dall'art. 32 GDPR, della natura dei dati trattati e delle caratteristiche del servizio "Flusia". 5.2 Su richiesta del Titolare, il Responsabile fornisce una descrizione sintetica delle principali misure di sicurezza applicate al servizio.

Art. 6 – Sub-responsabili

6.1 Il Titolare autorizza sin d'ora, in via generale, il ricorso da parte del Responsabile a sub-responsabili per attività tecniche o di servizio connesse all'erogazione di "Flusia" (inclusi, a titolo esemplificativo, fornitori di infrastrutture cloud, servizi di hosting, backup, monitoraggio, assistenza).

6.2 Il Responsabile vincola i sub-responsabili con un contratto o altro atto giuridico che imponga obblighi in materia di protezione dei dati personali almeno equivalenti a quelli previsti dal presente accordo e resta pienamente responsabile nei confronti del Titolare dell'operato dei sub-responsabili.

6.3 Su richiesta del Titolare, il Responsabile mette a disposizione un elenco aggiornato dei principali sub-responsabili coinvolti nel trattamento dei dati personali per conto del Titolare.

Art. 7 – Diritti degli interessati e assistenza al Titolare

7.1 Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, il Responsabile assiste il Titolare, per quanto di propria competenza, nel dare seguito alle richieste di esercizio dei diritti degli interessati ai sensi del Capo III GDPR. 7.2 Il Responsabile assiste inoltre il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento, notifica di violazioni di dati personali all'autorità di controllo, comunicazione di tali violazioni agli interessati, valutazioni d'impatto sulla protezione dei dati e consultazioni preventive, nei limiti di quanto ragionevolmente richiesto e sulla base delle informazioni disponibili.

Art. 8 – Violazioni di dati personali (data breach)

8.1 Il Responsabile informa il Titolare senza ingiustificato ritardo di qualsiasi violazione di dati personali relativa ai trattamenti effettuati per conto del Titolare di cui venga a conoscenza. 8.2 Il Responsabile fornisce al Titolare le informazioni disponibili per consentirgli di valutare l'evento e adempiere agli eventuali obblighi di notifica o comunicazione previsti dalla normativa applicabile, collaborando alla gestione e alla mitigazione degli effetti della violazione.

Art. 9 – Cancellazione o restituzione dei dati

9.1 Al termine della prestazione dei servizi relativi al trattamento, secondo quanto previsto dal Contratto SAAS FLUSIA, il Responsabile, su scelta del Titolare da comunicarsi per iscritto entro i termini contrattuali, provvede a: a) restituire al Titolare tutti i dati personali in un formato ragionevolmente strutturato; oppure b) cancellare i dati personali e le relative copie dai propri sistemi, salvo che la conservazione sia richiesta dal diritto dell'Unione o nazionale.

9.2 In mancanza di istruzioni diverse del Titolare, decorso il periodo eventualmente previsto nel Contratto FLUSIA per l'esportazione dei dati, il Responsabile procede alla cancellazione secondo le proprie policy interne di conservazione, fermo l'obbligo di riservatezza.

Art. 10 – Informazioni e verifiche

10.1 Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui al presente accordo e consente, nei limiti di ragionevolezza, lo svolgimento di eventuali verifiche o audit concordati, anche tramite terzi incaricati dal Titolare, purché ciò non comporti la divulgazione di informazioni riservate relative ad altri clienti o alla sicurezza complessiva dei sistemi. 10.2 Le modalità operative, la frequenza e gli eventuali costi delle verifiche potranno essere definiti di comune accordo tra le Parti.

Art. 11 – Trasferimenti verso Paesi terzi

11.1 Eventuali trasferimenti di dati personali verso Paesi terzi o organizzazioni internazionali effettuati dal Responsabile o dai suoi sub-responsabili avvengono nel rispetto del Capo V GDPR, sulla base di decisioni di adeguatezza, clausole contrattuali tipo o altre garanzie adeguate previste dalla normativa applicabile. 11.2 Su richiesta del Titolare, il Responsabile fornisce informazioni sintetiche sui trasferimenti extra-UE connessi all'erogazione del servizio "Flusia" e sulle relative garanzie.

Art. 12 – Coordinamento con il Contratto FLUSIA, legge applicabile e foro

12.1 Il presente accordo costituisce parte integrante del Contratto FLUSIA. 12.2 In caso di contrasto tra il presente accordo e il Contratto FLUSIA in materia di trattamento dei dati personali, prevale il presente accordo limitatamente a tali aspetti. Per ogni altro profilo contrattuale prevale il Contratto FLUSIA. 12.3 Il presente accordo è regolato dalla legge italiana. Per ogni controversia relativa alla sua validità, interpretazione o esecuzione è competente in via esclusiva il foro previsto nel Contratto FLUSIA.