Data Processing Agreement (DPA)

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di fornire il Servizio ai sensi dei Termini di servizio. La durata del trattamento corrisponde alla durata del Contratto, fatti salvi gli obblighi di conservazione di legge.

• Natura: hosting, archiviazione, recupero, consultazione, strutturazione, trasmissione, cancellazione dei dati personali.
• Finalità: erogazione della piattaforma SaaS Duckday.
• Tipi di dati: come da Allegato 1 (tipicamente identificativi, contatto, dati di lavoro, presenze, commesse, fatturazione, dati tecnici/log; geolocalizzazione se attivata dal Titolare).
• Categorie di interessati: dipendenti, collaboratori, utenti, contatti commerciali del Titolare.

Il Responsabile tratta i dati esclusivamente sulla base di istruzioni documentate del Titolare, anche con riferimento al trasferimento di dati personali verso paesi terzi o organizzazioni internazionali, salvo che la legge UE o italiana cui il Responsabile è soggetto lo richieda. In tal caso il Responsabile informa preventivamente il Titolare, salvo che la legge vieti tale informazione.

Il Responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

Il Responsabile attua misure tecniche e organizzative adeguate al rischio, in coerenza con la certificazione ISO/IEC 27001 del proprio sub-responsabile Oncode S.r.l. Le misure includono crittografia in transito e a riposo, controlli di accesso, audit logging, backup e gestione degli incidenti. L'Allegato 2 riporta dettagli ulteriori.

Il Titolare autorizza il Responsabile ad avvalersi dei sub-responsabili elencati alla pagina /sub-processors (Allegato 3). Il Responsabile informerà il Titolare dei previsti inserimenti o sostituzioni con preavviso di almeno 30 giorni, lasciando al Titolare la possibilità di opporsi.

Ai sub-responsabili sono imposti contrattualmente i medesimi obblighi del presente DPA.

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative appropriate, nei limiti del possibile, per l'evasione delle richieste di esercizio dei diritti di cui agli artt. 15-22 GDPR.

Il Responsabile notifica al Titolare senza ingiustificato ritardo, e comunque entro 24 ore, l'eventuale violazione di dati personali che riguardi i dati del Titolare. La notifica include le informazioni indicate dall'art. 33, par. 3 GDPR, nei limiti delle informazioni disponibili.

Ove il Responsabile trasferisca dati al di fuori del SEE, lo farà adottando le garanzie del Capo V GDPR (decisioni di adeguatezza, Standard Contractual Clauses 2021/914, Data Privacy Framework). Sono effettuate Transfer Impact Assessments ove necessarie.

Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR, e consente e contribuisce ad attività di audit, comprese le ispezioni, condotte dal Titolare o da un revisore da questi incaricato. Gli audit sono effettuati con ragionevole preavviso e a spese del Titolare.

Alla cessazione del Contratto, a scelta del Titolare, il Responsabile restituirà o cancellerà tutti i dati personali trattati per conto del Titolare, fatti salvi gli obblighi legali di conservazione.

Ciascuna parte risponde dei danni cagionati dalla propria violazione del GDPR. Si applica il limite di responsabilità previsto nei Termini di servizio, fatte salve le norme inderogabili di legge.

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Milano.

• Allegato 1 — Descrizione del trattamento (categorie di dati, interessati, frequenza, durata).
• Allegato 2 — Misure tecniche e organizzative.
• Allegato 3 — Elenco sub-responsabili (vedi /sub-processors).