Accordo sul trattamento dei dati per MSP

Il presente Accordo sul trattamento dei dati ("Accordo") fa parte dell'Accordo per Managed Service Provider (l'"Accordo principale") tra Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Svizzera, numero di identificazione aziendale CHE-354.686.492 (denominata "Responsabile del trattamento") e l'MSP identificato nell'Accordo principale (denominato "Società", da intendersi come il fornitore di servizi gestiti che utilizza i Servizi per fornire, fatturare e supportare i propri Clienti gestiti, indipendentemente dalla sua forma giuridica).

Il presente Accordo disciplina i requisiti specifici delle normative sulla protezione dei dati nella misura in cui l'uso dei Servizi da parte della Società, inclusa la fornitura dei Servizi ai Clienti gestiti da parte della Società, comporti il Trattamento di Dati personali soggetti alle normative sulla protezione dei dati.

La durata di questo Accordo seguirà la durata del Accordo principale. I termini non definiti nel presente documento avranno il significato stabilito nell'Accordo principale.

PREMESSO CHE

A) La Società agisce in qualità di Titolare del trattamento o, laddove un Cliente gestito disponga autonomamente il Trattamento dei propri Dati personali, in qualità di Responsabile del trattamento per conto di tale Cliente gestito (in entrambi i casi, il "Titolare").

B) La Società desidera subappaltare determinati Servizi, che implicano il Trattamento di Dati personali, a Proton AG, che agisce in qualità di Responsabile del trattamento (il "Responsabile").

C) Le Parti intendono stipulare un accordo sul trattamento dei dati conforme ai requisiti del quadro normativo vigente in materia di trattamento dei dati, inclusi il Regolamento (UE) 2016/679 (il "GDPR") e la Legge federale svizzera sulla protezione dei dati ("FADP"), nonché altre normative applicabili sulla protezione dei dati.

D) Le Parti desiderano stabilire i rispettivi diritti e obblighi.

SI CONVIENE QUANTO SEGUE:

1. Definizioni, ruoli e ambito di applicazione

1.1 Definizioni. Salvo diversamente definito nel presente documento, i termini con l'iniziale maiuscola hanno il significato attribuito nell'Accordo principale o, ove non definiti, il seguente significato:

• "Dati personali della Società" indica qualsiasi Dato personale relativo alla Società, ai Clienti gestiti della Società o ai loro rispettivi clienti o dipendenti, trattato in relazione all'Accordo principale.
• "Responsabile del trattamento a contratto" indica un Sub-responsabile del trattamento.
• "Normative sulla protezione dei dati" indica il GDPR, la FADP e, nella misura in cui sono applicabili, le leggi sulla protezione dei dati o sulla privacy di qualsiasi altro Paese.
• "Trasferimento di dati" indica (i) un trasferimento di Dati personali della Società dalla Società al Responsabile o a un Responsabile a contratto, oppure (ii) un successivo trasferimento di Dati personali della Società dal Responsabile a un Sub-responsabile, o tra due stabilimenti di un Sub-responsabile.
• "Cliente gestito" ha il significato attribuito nell'Accordo principale: un'entità utente finale a cui la Società fornisce ed eroga i Servizi come parte della propria offerta di servizi gestiti.
• “Sub-responsabile” indica qualsiasi persona nominata da o per conto del Responsabile per trattare i Dati personali in relazione all'Accordo.
• I termini "Commissione", "Titolare", "Interessato", "Stato membro", "Dati personali", "Violazione dei dati personali", "Trattamento" e "Autorità di controllo" hanno lo stesso significato attribuito nel GDPR o in altre normative applicabili sulla protezione dei dati.

1.2 Ruoli delle Parti. Nei rapporti tra Proton e la Società, la Società è il Titolare (o, a seconda dei casi, il Responsabile che agisce su istruzioni di un Cliente gestito) e Proton è il Responsabile del trattamento, rispetto a tutti i Dati personali della Società trattati ai sensi dell'Accordo principale, compresi i Dati personali di o relativi ai Clienti gestiti e ai loro rispettivi utenti finali. Il presente Accordo costituisce l'intesa completa ed esclusiva sul trattamento dei dati tra Proton e qualsiasi parte nella catena dei Clienti gestiti. Proton non intrattiene alcun rapporto contrattuale diretto, Titolare-Responsabile o Responsabile-Sub-responsabile con alcun Cliente gestito e nessun Cliente gestito è parte o terzo beneficiario del presente Accordo. La Società è l'unica responsabile dei propri accordi con i Clienti gestiti e degli obblighi nei loro confronti, inclusi eventuali termini di protezione dei dati dovuti dalla Società ai sensi della legge applicabile o del contratto.

1.3 Responsabilità a valle della Società. La Società stipulerà un accordo scritto con ciascun Cliente gestito che imponga alla Società obblighi di protezione dei dati non meno protettivi dei Dati personali di tale Cliente gestito rispetto agli obblighi assunti da Proton nei confronti della Società ai sensi del presente Accordo, nella misura applicabile alla natura dei Servizi forniti dalla Società a tale Cliente gestito. Gli obblighi di Proton ai sensi del presente Accordo sussistono unicamente nei confronti della Società; la Società rimane l'unica responsabile nei confronti dei propri Clienti gestiti per il Trattamento dei loro Dati personali, compresi eventuali atti od omissioni di Proton, nei rapporti tra la Società e i suoi Clienti gestiti.

2. Trattamento dei dati personali della società

Il Responsabile è tenuto a:

• rispettare tutte le normative applicabili sulla protezione dei dati nel Trattamento dei Dati personali della Società; e
• non trattare i Dati personali della Società se non in base alle istruzioni documentate della Società, come indicato di seguito.

La Società istruisce il Responsabile a trattare i Dati personali della Società per:

• fornire i Servizi e il relativo supporto tecnico alla Società e, tramite la Società, ai Clienti gestiti;
• adempiere agli obblighi legali o risolvere controversie;
• eseguire qualsiasi attività interna volta a ottimizzare la sicurezza, la privacy, la riservatezza e le funzionalità dei Servizi; e
• eseguire reportistica interna, reportistica finanziaria e altre simili attività interne.

3. Personale del responsabile

Il Responsabile adotterà misure ragionevoli per garantire l'affidabilità di qualsiasi dipendente, agente o collaboratore di qualsiasi Responsabile a contratto che possa avere accesso ai Dati personali della Società, assicurando in ogni caso che l'accesso sia strettamente limitato a coloro che hanno la necessità di conoscere o accedere ai Dati personali della Società pertinenti, per quanto strettamente necessario ai fini dell'Accordo principale e/o per ottemperare alle normative sulla protezione dei dati, e assicurando che tutte queste persone siano soggette a impegni di riservatezza o a obblighi di riservatezza professionali o di legge.

4. Sicurezza

In conformità all'articolo 32(1) del GDPR, il Responsabile implementerà misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del Trattamento. Tali misure sono concepite per proteggere i diritti e le libertà delle persone fisiche, tenendo conto dei rischi aventi probabilità e gravità variabili, compreso il rischio di una Violazione dei dati personali. La Società implementerà misure tecniche e organizzative adeguate per il proprio Trattamento dei Dati personali della Società, inclusa la gestione degli account dei Clienti gestiti tramite Licenze di amministrazione MSP, e garantirà che l'accesso a tali account sia limitato al personale della Società che ne ha necessità, protetto da adeguati controlli di autenticazione e tempestivamente revocato quando non più necessario.

5. Subappalto

Subordinatamente al presente Accordo, la Società concede l'autorizzazione generale al Responsabile a ricorrere a Sub-responsabili e a divulgare o trasferire loro i Dati personali della Società. La Società riconosce e approva l'elenco dei Sub-responsabili indicato nell'Informativa sulla privacy del Responsabile, fermo restando che tale elenco può essere aggiornato periodicamente dal Responsabile, nel qual caso la Società sarà informata secondo la procedura di notifica dell'Informativa sulla privacy. La Società autorizza inoltre il Responsabile a divulgare e trasferire i Dati personali a qualsiasi società facente parte del proprio gruppo aziendale. Il Responsabile garantisce che i Sub-responsabili siano vincolati da un accordo con il Responsabile non meno restrittivo e tutelante rispetto al presente Accordo per quanto riguarda la protezione dei Dati personali della Società, nella misura applicabile alla natura dei servizi forniti da tale Sub-responsabile. A scanso di equivoci, la Società non è un Sub-responsabile di Proton e la presente Sezione non si applica al coinvolgimento da parte della Società di alcun Cliente gestito o di terze parti.

6. Diritti del soggetto dei dati

Tenuto conto della natura del Trattamento, il Responsabile assisterà ragionevolmente la Società nell'adempiere ai propri obblighi di riscontro alle richieste di esercizio dei diritti dell'Interessato ai sensi delle normative sulla protezione dei dati, comprese le richieste che la Società riceve da, o per conto di, un Cliente gestito o dei rispettivi utenti finali di tale Cliente gestito.

Il Responsabile è tenuto a:

• notificare prontamente alla Società se riceve una richiesta da un Soggetto dei dati ai sensi di qualsiasi normativa sulla protezione dei dati in relazione ai Dati personali della società; e

• garantire di non rispondere a tale richiesta se non in base a istruzioni documentate della Società o come richiesto dalla legge applicabile, nel qual caso il Responsabile, nella misura legalmente consentita, informerà la Società di tale requisito legale prima di rispondere.

La Società è l'unica responsabile del riscontro e del coordinamento con qualsiasi Cliente gestito in merito a qualsiasi richiesta dell'Interessato relativa ai Dati personali di tale Cliente gestito; il Responsabile non ha alcun obbligo di identificare o comunicare direttamente con alcun Cliente gestito.

7. Violazione dei dati personali

Il Responsabile gestirà qualsiasi Violazione dei dati personali in conformità con le normative applicabili sulla protezione dei dati e con le proprie procedure interne relative alle Violazioni dei dati personali. In caso di Violazione dei dati personali che奥行interessi i Dati personali della Società, il Responsabile informerà la Società senza ritardo, fornendo informazioni sufficienti per consentire alla Società di adempiere ai propri obblighi previsti dalle normative sulla protezione dei dati, compreso, ove applicabile, informare i Clienti gestiti e gli Interessati coinvolti. Il Responsabile coopererà con la Società e adotterà misure commerciali ragionevoli secondo le istruzioni della Società per assisterla nell'indagine, nella mitigazione e nella risoluzione di ciascuna Violazione dei dati personali. Ciascuna Parte sosterrà i costi di indagine, risoluzione, mitigazione e altri costi correlati nella misura in cui una Violazione dei dati personali sia causata da tale Parte. Ciascuna Parte sosterrà i costi di eventuali multe, sanzioni, risarcimenti danni o altri importi correlati imposti da un'autorità di regolamentazione competente nella misura in cui derivino dalla violazione dei propri obblighi ai sensi del presente Accordo. La Società è l'unica responsabile delle notifiche di violazione ai propri Clienti gestiti e ai loro Interessati, nonché della tempistica e del contenuto di tali notifiche.

8. Valutazione d'impatto sulla protezione dei dati e consultazione preliminare

Il Responsabile fornirà un'assistenza ragionevole alla Società per le valutazioni d'impatto sulla protezione dei dati e le consultazioni preventive con le autorità di controllo che la Società ritenga ragionevolmente richieste dall'Articolo 35 o 36 del GDPR o da disposizioni equivalenti di qualsiasi altra normativa sulla protezione dei dati, in ciascun caso unicamente in relazione al Trattamento dei Dati personali della Società da parte dei Responsabili a contratto e tenendo conto della natura del Trattamento e delle informazioni a loro disposizione.

9. Cancellazione o restituzione dei Dati personali della Società

Alla cessazione di qualsiasi Servizio che comporti il Trattamento dei Dati personali della Società, il Responsabile eliminerà tutti i Dati personali della Società nella misura consentita dalla legge applicabile e in conformità con i Termini e condizioni e l'Informativa sulla privacy del Responsabile. Qualora la Società richieda una copia dei Dati personali della Società, deve richiederla prima dell'eliminazione; le richieste effettuate dopo l'eliminazione non potranno più essere prese in considerazione. Alla risoluzione dell'Accordo principale, la Società rimane l'unica responsabile della gestione dell'eliminazione, della restituzione o della transizione dei Dati personali di qualsiasi Cliente gestito nei rapporti tra la Società e tale Cliente gestito, in conformità con la Sezione 5.4 dell'Accordo principale (Assistenza alla transizione).

10. Diritti di audit

Subordinatamente alla presente Sezione 10, il Responsabile metterà a disposizione della Società, su richiesta, tutte le informazioni necessarie per dimostrare la conformità al presente Accordo e consentirà e contribuirà alle attività di audit, comprese le ispezioni, condotte dalla Società o da un revisore incaricato dalla Società, in relazione al Trattamento dei Dati personali della Società da parte dei Responsabili a contratto. La Società non eserciterà i propri diritti di audit ai sensi della presente Sezione più di una volta per anno solare, salvo a seguito di una Violazione dei dati personali o di un'ingiunzione di un'autorità di regolamentazione. La Società fornirà al Responsabile un preavviso scritto di almeno sessanta (60) giorni della propria intenzione di eseguire un audit. L'audit sarà condotto durante il normale orario di lavoro del Responsabile, non dovrà interrompere le operazioni del Responsabile e garantirà la protezione dei Dati personali della Società, del Responsabile e degli altri Interessati. Le Parti concorderanno reciprocamente in anticipo la data, l'ambito, la durata e i controlli di sicurezza e riservatezza applicabili all'audit; il Responsabile può richiedere un accordo di riservatezza prima dell'audit. I diritti di informazione e di audit ai sensi della presente Sezione sorgono solo nella misura in cui il presente Accordo non conferisca altrimenti alla Società diritti di informazione e di audit che soddisfino i requisiti pertinenti della normativa sulla protezione dei dati. Qualora un Cliente gestito richieda informazioni sul Trattamento effettuato da Proton nell'ambito degli obblighi di due diligence della Società nei confronti di tale Cliente gestito, la Società può avvalersi della presente Sezione per ottenere le informazioni necessarie dal Responsabile e trasmetterle, ma il Cliente gestito non ha alcun diritto di audit autonomo nei confronti del Responsabile.

11. Trasferimento dei dati

Per quanto possibile, il Responsabile trasferirà o autorizzerà il trasferimento dei Dati personali della Società esclusivamente verso Paesi all'interno della Svizzera, dell'UE e/o Paesi soggetti a una decisione di adeguatezza, come previsto dall'Articolo 45 del GDPR e dall'Articolo 16 della FADP svizzera. Qualora i Dati personali della Società trattati ai sensi del presente Accordo siano trasferiti dalla Svizzera, dall'UE o da un Paese soggetto a una decisione di adeguatezza verso un Paese al di fuori di tale ambito, le Parti garantiranno che i Dati personali siano adeguatamente protetti, basandosi, salvo diverso accordo, su clausole contrattuali tipo approvate da Svizzera, UE e/o Regno Unito e vigenti al momento, o su altri meccanismi di trasferimento previsti dalle normative sulla protezione dei dati. Il Responsabile sarà autorizzato a eseguire tali trasferimenti a Sub-responsabili a condizione che siano implementate garanzie adeguate tenuto conto della natura del trasferimento.

12. Condizioni generali

12.1 Conformità alle normative applicabili. Il Responsabile tratterà i Dati personali della Società in conformità con il presente Accordo e con le normative sulla protezione dei dati applicabili al suo ruolo ai sensi del presente Accordo. Il Responsabile non è responsabile dell'osservanza delle normative sulla protezione dei dati applicabili esclusivamente alla Società o a qualsiasi Cliente gestito in virtù della rispettiva attività o del rispettivo settore.

12.2 Riservatezza. Ciascuna Parte manterrà riservata qualsiasi informazione ricevuta sull'altra Parte in relazione al presente Accordo e non la utilizzerà né la divulgherà senza il preventivo consenso scritto dell'altra Parte, salvo nella misura in cui (a) la divulgazione sia richiesta dalla legge, o (b) l'informazione sia già di pubblico dominio senza alcuna colpa delle Parti.

12.3 Comunicazioni. Le comunicazioni ai sensi del presente Accordo saranno effettuate in conformità con le disposizioni in materia di comunicazioni dell'Accordo principale. Le comunicazioni al Responsabile riguardanti questioni di protezione dei dati dovranno essere inviate in copia anche a legal@proton.ch

12.4 Responsabilità. La responsabilità di ciascuna Parte derivante da o correlata al presente Accordo è soggetta alle disposizioni sulla limitazione di responsabilità dell'Accordo principale ed è limitata in conformità ad esse, compreso qualsiasi massimale specifico ivi stabilito per violazioni degli obblighi di riservatezza e protezione dei dati. Nulla nel presente Accordo limita la responsabilità di ciascuna Parte per sanzioni pecuniarie o amministrative imposte direttamente a essa da un'autorità di controllo competente derivanti dalla violazione di tale Parte delle normative applicabili sulla protezione dei dati. La Società riconosce che, in qualità di unica parte che si interfaccia come Titolare nei confronti dei propri Clienti gestiti, la Società si assume la responsabilità esclusiva per qualsiasi obbligazione o danno subito nei confronti di un Cliente gestito che ecceda quanto la Società è in grado di recuperare dal Responsabile in base al massimale di responsabilità dell'Accordo principale.

12.5 Legge applicabile e foro competente. Il presente Accordo è regolato dal diritto svizzero, indipendentemente dalle norme sui conflitti di legge o di scelta del foro di qualsiasi altra giurisdizione, e le controversie derivanti da o correlate al presente Accordo sono soggette alla giurisdizione esclusiva dei tribunali di Ginevra, Svizzera.

12.6 Ordine di prevalenza. In caso di discrepanza tra il presente Accordo e l'Accordo principale relativamente al Trattamento dei Dati personali, il presente Accordo prevarrà, in conformità con la Sezione 10.1 dell'Accordo principale. In caso di discrepanza tra la versione inglese del presente Accordo e qualsiasi versione tradotta, prevarrà la versione inglese.