Condizioni di Vendita

Per visualizzare l'informativa privacy fai clic su questo link: Informativa Privacy.

 

 

 

ALLEGATO A – CONDIZIONI GENERALI DI VENDITA

NOMINA DI RESPONSABILE DEL TRATTAMENTO

La presente Nomina di Responsabile del trattamento integra le Condizioni Generali di Vendita tra April e il Cliente, disponibili all'indirizzo https://www.corsiassicurativi.it/condizioni-di-vendita-e-diritto-di-recesso, come aggiornato di volta in volta tra il Cliente e April, oppure qualsiasi altro accordo tra il Cliente e April che disciplini l'utilizzo dei Servizi da parte del Cliente (l'"Accordo").

La presente Nomina costituisce un accordo tra voi ("Cliente", "voi", “Titolare del trattamento”) e April Italia s.r.l. (”April", “Responsabile del trattamento”).

Premesso che:

Il Cliente ha affidato ad April l’esecuzione di servizi di formazione Ivass/OAM.

a) il Responsabile dichiara di aver implementato misure organizzative e tecniche adeguate, atte a garantire la conformità alla normativa in materia di tutela dei dati personali e la tutela degli interessati, in particolare al Regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati

b) con la presente nomina il Cliente ricorre al Responsabile del trattamento per l’esecuzione di specifiche attività di (ai sensi dell’Art. 28, par. 4 Regolamento UE 2016/679).

Ciò premesso, si conviene e si stipula quanto segue:

1. Premesse

1.1   Le premesse costituiscono parte integrante e sostanziale del presente Nomina.

2. Obblighi del Titolare

2.1   Il Titolare dichiara e garantisce di trattare i dati personali nel pieno rispetto della normativa applicabile.

2.1   Il Titolare è responsabile del coordinamento, della revisione e dell'invio al Responsabile di istruzioni.

2.2   Il Titolare si impegna ad informare il Responsabile di qualsiasi circostanza che possa avere un impatto sulle previsioni della presente Nomina.

3. Obblighi del Responsabile

3.1   Il Responsabile è tenuto a trattare i dati personali solo ed esclusivamente ai fini dell’esecuzione dei servizi oggetto dell’Accordo, restando espressamente escluso ogni e qualunque altro utilizzo, nel rispetto di quanto disposto dalla normativa applicabile in materia di protezione dei dati personali nonché dalle istruzioni e di ogni altra indicazione scritta pervenuta dal Titolare, salvo che lo richieda il diritto dell'Unione Europea; in tal caso, il Responsabile si impegna ad informare il Titolare circa tale obbligo giuridico prima dell’inizio delle attività di trattamento.

3.2   Le attività di trattamento saranno limitate alle categorie di dati personali e alle categorie di soggetti interessati come specificato nell'Allegato 1 della presente Nomina, salvo diversa indicazione del Titolare.

3.3   Il Responsabile si impegna a rispettare in ogni fase del trattamento le finalità, le modalità, gli ambiti di comunicazione dei trattamenti stessi e le misure di sicurezza convenuti.

3.4   Il Responsabile si impegna ad avvertire il Titolare qualora ritenga che le istruzioni impartite si pongano in violazione delle disposizioni di Legge applicabili in materia di Protezione dei Dati Personali.

4. Misure di sicurezza

4.1   Il Responsabile, ai sensi dell’articolo 32 del Regolamento UE 2016/679, individua ed adotta, in base ai servizi contrattualizzati e indicati alla premessa a), misure tecniche ed organizzative idonee per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento.

4.2   Il Responsabile, nel valutare l'adeguato livello di sicurezza, tiene conto dei rischi relativi all'accesso, alla divulgazione, alla modifica, alla perdita o alla distruzione, accidentale o in modo illecito, di dati personali trasmessi, conservati o comunque trattati.

4.3   In particolare, il Responsabile del trattamento dovrà rispettare le misure di sicurezza di cui all'Allegato 2.

4.4   Il Responsabile si impegna a comunicare immediatamente al Titolare gli eventuali nuovi trattamenti da intraprendere nel proprio settore di competenza, provvedendo alle necessarie formalità di legge.

5. Violazione di dati personali

5.1   Il Responsabile deve segnalare tempestivamente al Titolare ogni incidente o sospetta violazione della sicurezza dei dati e/o delle informazioni, di ogni genere e natura, entro e non oltre le 24 ore dal momento in cui ha qualificato l’evento.

5.2   È onere del Responsabile verificare se l’incidente di sicurezza ha comportato o meno, accidentalmente o in modo illecito, l'accesso, la divulgazione, la modifica, la perdita o la distruzione dei dati personali e/o delle informazioni trasmesse, memorizzate o comunque trattate.

5.3   Il Responsabile supporterà il Titolare in relazione all’adempimento degli obblighi su quest’ultimo gravanti di notifica delle suddette violazioni all’Autorità di controllo o di comunicazione della stessa agli “Interessati” a cui i dati personali fanno riferimento, ai sensi dell’articolo 34 del Regolamento UE 2016/679.

6. Valutazione d’impatto sulla protezione dei dati

6.1   Il Responsabile s’impegna, nei limiti dei servizi contrattualizzati, a fornire al Titolare ogni elemento utile all’effettuazione della valutazione di impatto sulla protezione dei dati, qualora lo stesso sia tenuto ad effettuarla ai sensi dell’articolo 35 del Regolamento UE 2016/679.

6.2   Il Responsabile si impegna, inoltre, in ogni collaborazione nell’effettuazione dell’eventuale consultazione preventiva dell’Autorità di controllo ai sensi dell’articolo 36 del Regolamento UE 2016/679 stesso.

7. Personale del Responsabile

7.1   Il Responsabile è tenuto a identificare, per iscritto, i propri dipendenti designati a trattare i dati personali tramite apposite lettere di incarico, individuando l’ambito di trattamento consentito e fornendo loro le istruzioni idonee allo scopo, in particolare vincolandoli alla riservatezza su tutte le informazioni acquisite nello svolgimento della loro attività, anche per il periodo successivo alla cessazione del rapporto di lavoro.

7.2   Il Responsabile si assume ogni responsabilità derivante da fatti o omissioni dei propri dipendenti.

8. Amministratori di sistema

8.1   Gli obblighi previsti da questo articolo 8. si applicano in caso di affidamento al Responsabile di attività di assistenza e manutenzione che possano permettere al personale del Responsabile di intervenire sui dati personali con profili e attributi superiori agli operatori tecnici e in modo continuativo e non sporadico (“amministratori di sistema”).

8.2   Il Responsabile si impegna, in particolare, a:

• designare individualmente i singoli amministratori di sistema, a mezzo di un atto che deve elencare analiticamente gli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato
• riportare in un documento interno gli estremi identificativi delle persone fisiche amministratori di sistema, con l’elenco delle funzioni ad esse attribuite
• comunicare al Titolare, su richiesta dello stesso, l’elenco aggiornato degli amministratori di sistema
• verificare annualmente l'operato degli amministratori di sistema
• adottare sistemi idonei alla registrazione degli accessi logici, c.d. “access log”, da parte degli amministratori ai sistemi di elaborazione e agli archivi elettronici. L’accesso di ciascun amministratore deve essere registrato e conservato per almeno 6 mesi, con caratteristiche di completezza, integrità ed inalterabilità e deve comprendere anche i riferimenti temporali, la descrizione dell’evento e del sistema coinvolto.

9. Supervisione e controllo

9.1   Il Responsabile si impegna a verificare periodicamente l’efficacia delle misure tecniche e organizzative adottate per garantire la sicurezza dei trattamenti di dati personali.

10. Responsabile della protezione dei dati (DPO)

Il D.P.O. del Responsabile del trattamento è Security Lab SA, Corso Pestalozzi n. 21/A – 6900 – Lugano (CH) e può essere contattato scrivendo all’indirizzo di posta elettronica dpo.april@sec-lab.com

11. Rapporti con le Autorità

11.1   Ove necessario ed ove espressamente richiesto dal Titolare, il Responsabile assiste il Titolare stesso al fine di consentirgli di assolvere agli obblighi di cui agli articoli 33-34 del Regolamento UE 2016/679 e di cooperare con l’Autorità di Controllo nell’esecuzione dei suoi compiti.

12. Istanze degli Interessati

12.1   Laddove tecnicamente possibile in base ai servizi contrattualizzati di cui alla premessa a), il Responsabile è tenuto ad assistere il Titolare ed a fornire informazioni per consentire al Titolare di evadere eventuali istanze degli Interessati.

13. Altri Responsabili

13.1   Il Responsabile potrà ricorrere a sua volta ad altri Fornitori (di seguito “Sub-responsabili”) per l'esecuzione delle attività di trattamento (o parte delle stesse) oggetto dei servizi, imponendo ai Sub-responsabili i medesimi obblighi in materia di protezione dei dati cui è soggetto il Responsabile stesso, in particolare in relazione alle misure di sicurezza.

13.2   Nel caso di modifiche o sostituzioni dei Sub-responsabili durante l’erogazione dei servizi, il nominativo dei Sub-responsabili verrà comunicato al Titolare del trattamento, che ha 15 giorni dalla comunicazione del nominativo per sollevare eventuali obiezioni per iscritto. Decorsi 15 giorni dalla comunicazione delle modifiche/sostituzioni senza che sia stata sollevata opposizione da parte del Titolare, le stesse si intenderanno approvate dal Titolare stesso.

14. Trattamento dati in Paesi Extra-UE

14.1   Il Responsabile si impegna a non trasmettere o conservare i dati in Paesi Extra-UE o fornire l’accesso a tali dati a personale sito in Paesi Extra-UE, che non siano compresi nella lista dei paesi “garantiti” emessa dalla Commissione Europea, salvo che lo richieda il diritto dell'Unione Europea o il diritto di uno Stato membro.

14.2   Tale limitazione si estende anche ai Sub-responsabili del Responsabile.

15. Ulteriori obblighi

15.1   Il Responsabile mette a disposizione del Titolare qualsiasi informazione necessaria allo scopo di dimostrare la conformità e il rispetto degli obblighi stabiliti dalle normative in materia di protezione dei dati personali e/o delle istruzioni impartite dal Titolare.

15.2   Il Responsabile, inoltre, consente al Titolare l’esercizio del potere di controllo ed ispezione, prestando ogni collaborazione alle attività di audit effettuate dal Titolare o da altro soggetto da questi incaricato o autorizzato, con lo scopo di controllare l’adempimento degli obblighi e delle istruzioni di cui alla presente Nomina. Resta inteso che qualsiasi verifica condotta ai sensi del presente paragrafo dovrà essere eseguita in maniera tale da non interferire con il normale corso delle attività del Responsabile e fornendo a quest’ultimo un ragionevole preavviso. Resta inteso che Il Titolare avrà la facoltà di incaricare dei professionisti indipendenti per lo svolgimento di audit secondo standard internazionali e/o best practice, i cui esiti saranno riportati in specifici report (“Report”). Tali Report, che costituiscono informazioni confidenziali, potranno essere resi disponibili al Responsabile/Sub-responsabile per consentirgli di verificare le eventuali azioni correttive da implementare in funzione al presente Accordo. Il Titolare dovrà previamente inviare richiesta scritta di Audit all’indirizzo del Responsabile. Successivamente alla richiesta di audit o ispezione il Responsabile e il Titolare concorderanno, prima dell'avvio delle attività, i dettagli di tali verifiche (data di inizio e durata), le tipologie di controllo e l'oggetto delle verifiche, i vincoli di riservatezza a cui devono essere vincolati il Titolare e coloro che effettuano le verifiche. Restano a carico esclusivo del Titolare i costi delle attività di verifica dallo stesso commissionate a terzi.

16. Manleva

16.1   Il Responsabile dovrà manlevare e tenere indenne il Titolare in merito a eventuali danni che potranno derivare dalle seguenti circostanze o essere ad esse collegati:

• qualsivoglia violazione da parte del Responsabile o di qualsivoglia Sub-responsabile del trattamento degli obblighi previsti in capo agli stessi in base alla presenta Nomina;

oppure

• atti messi in opera dal Responsabile o da qualsivoglia Sub-responsabile del trattamento esorbitanti le legittime istruzioni relative al trattamento dei dati protetti indicate dal Titolare o contrari alle stesse.

16.2   L’articolo 16.1 dovrà ritenersi applicabile al processo di ripartizione della responsabilità in capo al Titolare e al Responsabile, a seconda dei casi, compreso quello relativo al risarcimento a favore degli Interessati, ai sensi di quanto disposto dall’art. 82, comma 5, del GDPR:

• entro i limiti consentiti dalla Legge applicabile; e
• ferma restando la responsabilità delle parti nei confronti dell’Interessato

17. Durata e Cessazione

17.1   La presente Nomina decorre dalla data in cui viene sottoscritta dalle Parti ed è valida fino alla cessazione, per qualunque motivo, dei servizi sopra citati, fermo restando che i diritti e gli obblighi delle Parti ai sensi della presente Nomina sopravvivono alla risoluzione, cancellazione o scadenza di qualsiasi altro accordo stipulato e/o in esecuzione dalle Parti, fintantoché il Responsabile ha accesso a dati ed informazioni del Titolare.

18. Restituzione e/o distruzione dei dati

18.1   All’atto della scadenza o cessazione della fornitura dei servizi, il Responsabile, salvo la sussistenza di un obbligo di legge o di regolamento nazionale e/o comunitario che preveda la conservazione dei dati personali, dovrà interrompere ogni operazione di trattamento degli stessi e dovrà provvedere, a scelta del Titolare, alla restituzione allo stesso dei dati personali in un formato leggibile, oppure alla loro integrale cancellazione. In caso di richiesta scritta del Titolare, il Responsabile è tenuto a indicare le modalità tecniche e le procedure utilizzate per la cancellazione/distruzione.

19. Disposizioni finali

19.1   Per tutto quanto non previsto dal presente atto di nomina si rinvia alle disposizioni generali vigenti ed applicabili in materia di protezione dei dati personali.

20. Foro competente

20.1   Le Parti che hanno sottoscritto il presente atto stabiliscono che per ogni eventuale e futura controversia derivante dal presente accordo, o connesse allo stesso, è competente il Tribunale di Milano.

21. Allegati

21.1   I seguenti allegati fanno parte integrante della Nomina di Responsabile del trattamento:

• Allegato 1 - DETTAGLI DEL TRATTAMENTO
• Allegato 2 - MISURE DI SICUREZZA ADOTTATE DAL RESPONSABILE DEL TRATTAMENTO

 

Allegato 1 - DETTAGLI DEL TRATTAMENTO

Descrizione	Dettagli
Titolare del trattamento:	Il Cliente
Responsabile del trattamento:	April Italia Srl
Natura e finalità del trattamento:	esecuzione servizi di formazione, generazione di attestati, assistenza tecnica
Categorie di interessati:	utenti corsi di formazione
Categorie di dati personali:	dati anagrafici dati di contatto
Categorie particolari di dati personali (se presenti):	nessuno
Operazioni di trattamento:	raccolta, registrazione, organizzazione, conservazione, utilizzo, comunicazione, cancellazione e distruzione.
Durata del trattamento:	Sino alla conclusione del contratto di servizi, salvo obblighi di legge a cui è sottoposto il Responsabile del trattamento (art. 67 del Regolamento Ivass n. 40/2018)
Luogo del trattamento:	UE

 

Allegato 2 - MISURE DI SICUREZZA ADOTTATE DAL RESPONSABILE DEL TRATTAMENTO

Il Responsabile del trattamento adotta misure tecniche e organizzative adeguate, considerando i rischi derivanti dal trattamento per per i diritti e le libertà delle persone interessate. Tali misure tengono conto dello stato della tecnica, dei costi di attuazione, nonché del tipo di dati trattati, del contesto e delle finalità del trattamento.

Il Responsabile del trattamento adotta misure tecniche e organizzative affinché́ i dati trattati:

• siano accessibili solo alle persone autorizzate (confidenzialità̀);

• siano disponibili quando necessario (disponibilità̀);
• non siano modificati indebitamente o inavvertitamente (integrità̀);
• siano trattati in modo tracciabile (tracciabilità̀).

Per garantire la riservatezza, l'integrità, la disponibilità e la tracciabilità dei dati personali, le misure tecniche e organizzative da adottare sono qui di seguito raggruppate:

X       Controllo dell’accesso ai dati

X       Controllo dell’accesso ai locali e agli impianti

X       Controllo dei supporti di dati

X       Controllo di memoria

X       Controllo dei dati durante la loro trasmissione e il trasporto

X       Sicurezza del sistema

X       Ripristino della disponibilità e dell'accesso ai dati personali

X       Individuazione delle violazioni della sicurezza ed eliminazione delle conseguenze

X       Controllo di comunicazione dei dati

X       Gestione dei cambiamenti

X       Gestione dei fornitori

X       Gestione degli asset

X       Gestione delle reti e delle minacce