Introduzione
Le parti convengono che il presente Accordo sulla Protezione dei Dati ("DPA") stabilisce i diritti e gli obblighi di ciascuna di esse in relazione al trattamento e alla sicurezza dei Dati Personali del Cliente in relazione al Software e ai Servizi forniti da MetaCompliance Ireland Ltd.. Il DPA è incorporato per riferimento nelle Condizioni commerciali (le "Condizioni commerciali"). Le parti concordano inoltre che, a meno che non esista un DPA separato firmato dalle parti, il presente DPA disciplina il trattamento e la sicurezza dei Dati Personali del Cliente.
Le disposizioni dei Termini del DPA sostituiscono qualsiasi disposizione contrastante della Dichiarazione sulla Privacy di MetaCompliance che altrimenti potrebbe essere applicata al trattamento dei Dati Personali del Cliente. Per chiarezza, in linea con le Clausole Contrattuali Standard 2021 definite di seguito, quando le Clausole Contrattuali Standard 2021 sono applicabili, le Clausole Contrattuali Standard 2021 prevalgono su qualsiasi altro termine del Contratto di Trattamento dei Dati.
ACCORDO SUL TRATTAMENTO DEI DATI EFFETTIVO DAL22 marzo 2024
1. Parti
1.1 Il Cliente è definito nelle Condizioni commerciali (il "Cliente") e
1.2 MetaCompliance Ireland Limited costituita e registrata nella Repubblica d'Irlanda con numero di società 640228 la cui sede legale è presso Unit 21, Block 1, Clonshaugh Business and Technology Park, Dublin 17, D17 YY31 (il "Fornitore").
2. Contesto
2.1 Il Cliente e il Fornitore hanno stipulato un Contratto che può richiedere al Fornitore di trattare i Dati personali per conto del Cliente.
2.2 Il presente Accordo per il trattamento dei dati ("DPA") stabilisce i termini, i requisiti e le condizioni supplementari in base ai quali il Fornitore tratterà i Dati personali durante la fornitura dei Servizi ai sensi del Contratto. Il presente DPA contiene le clausole obbligatorie richieste dall'articolo 28(3) del Regolamento generale sulla protezione dei dati ((UE) 2016/679 (e dalle leggi sulla protezione dei dati dal 1988 al 2018, e successive modifiche) per i contratti tra responsabili e incaricati del trattamento.
2.3 Il presente DPA è soggetto ai termini del Contratto ed è incorporato nel Contratto. I termini utilizzati nel presente DPA hanno il significato indicato nel presente DPA. I termini in maiuscolo non altrimenti definiti nel presente documento avranno il significato loro attribuito nelle Condizioni commerciali del Contratto.
2.4 Gli Allegati costituiscono parte integrante del presente DPA e avranno effetto come se fossero riportati integralmente nel presente DPA. Qualsiasi riferimento al presente DPA include gli Allegati.
2.5 In caso di conflitto tra qualsiasi disposizione del presente DPA e qualsiasi altro termine del Contratto, relativamente all'oggetto del presente DPA, prevarranno le disposizioni del presente DPA.
3. Definizioni
I seguenti termini del presente DPA avranno il seguente significato:
| "Leggi sulla protezione dei dati" | indica tutte le leggi e i regolamenti applicabili relativi al Trattamento dei Dati Personali in qualsiasi momento durante la durata del presente DPA, tra cui (1) il Regolamento Generale sulla Protezione dei Dati (GDPR, UE 2016/679); (2) le Leggi sulla Protezione dei Dati dal 1988 al 2018, come modificate; (3) la Direttiva ePrivacy 2002/58/CE come implementata dagli Stati membri dell'UE, e qualsiasi legislazione successiva e qualsiasi altro regolamento, guida e codice di pratica relativi alla protezione dei dati e alla privacy, in ogni caso come modificato, aggiornato o sostituito di volta in volta. |
| "Dati personali del cliente" | indica i Dati Personali trattati da MetaCompliance esclusivamente ai fini della fornitura dei Servizi e come indicato dal Cliente. |
| "Clausole contrattuali standard | indica le Clausole contrattuali standard della Commissione europea per il trasferimento di dati personali dall'Unione europea a incaricati del trattamento stabiliti in paesi terzi (trasferimenti da responsabile del trattamento a incaricato del trattamento), di cui all'allegato della decisione 2021/914/UE della Commissione del4 giugno 2021. |
| "Decisione di adeguatezza" | indica la Decisione di adeguatezza della Commissione europea in merito al trasferimento di dati personali nel Regno Unito, adottata il 28 giugno 2021. |
| "Sottoprocessore" | indica un subappaltatore terzo ingaggiato dal Fornitore che, nell'ambito del ruolo del subappaltatore di fornire i servizi, tratterà i Dati personali per conto del Cliente. |
| "Titolare del trattamento", "Interessato", "Responsabile del trattamento", "Trattamento", "Dati personali", "Violazione dei dati personali". | hanno il significato loro attribuito dal GDPR. |
4. Trattamento dei Dati personali
4.1 Le parti riconoscono e concordano che, ai fini delle Leggi sulla protezione dei dati e per quanto riguarda il Trattamento dei Dati personali del Cliente, il Fornitore è il Responsabile del trattamento e il Cliente è il Titolare del trattamento.
4.2 Il Cliente garantisce e dichiara che: (i) il trasferimento dei Dati personali del Cliente al Fornitore è conforme sotto tutti gli aspetti alle Leggi sulla protezione dei dati (inclusi, senza limitazioni, i termini di raccolta e utilizzo); e (ii) il trattamento equo e tutti gli altri avvisi appropriati sono stati forniti ai Soggetti dei Dati personali del Cliente (e tutti i consensi necessari da parte di tali Soggetti sono stati ottenuti e mantenuti in ogni momento) nella misura richiesta dalle Leggi sulla protezione dei dati in relazione a tutte le attività di trattamento che possono essere intraprese dal Fornitore e dai suoi Subprocessori in conformità con il presente Accordo;
4. Il Fornitore si impegna a elaborare i Dati personali del Cliente in conformità con il presente Accordo.3 Il Fornitore si impegna a trattare i Dati Personali del Cliente solo: (i) nella misura necessaria a fornire i Servizi; (ii) in conformità alle istruzioni scritte del Cliente; e (iii) in conformità ai requisiti delle Leggi sulla Protezione dei Dati.
4.4 Il Cliente, nell'utilizzo dei Servizi, tratterà i Dati personali in conformità ai requisiti delle Leggi sulla protezione dei dati. Il Cliente dovrà garantire che qualsiasi istruzione al Fornitore in relazione al Trattamento dei Dati personali del Cliente sia conforme alle Leggi sulla protezione dei dati.
4.5 Le istruzioni del Cliente al Fornitore in merito all'oggetto e alla durata del Trattamento, alla natura e allo scopo del Trattamento, ai tipi di Dati personali e alle categorie di Soggetti interessati sono descritte nell'Allegato A. A scanso di equivoci, le parti riconoscono e concordano che, fatta salva la clausola 5, le istruzioni per il Trattamento indicate nel presente DPA e nell'Allegato A costituiscono l'insieme completo delle istruzioni del Cliente al Fornitore in quanto applicabili.
4.6 Il Fornitore informerà immediatamente il Cliente se, a ragionevole giudizio del Fornitore, qualsiasi istruzione impartita dal Cliente è suscettibile di violare le Leggi sulla protezione dei dati.
4.7 Il Fornitore non elaborerà, trasferirà, modificherà, modificherà o altererà i Dati personali del Cliente, né divulgherà o consentirà di divulgare i Dati personali del Cliente a terzi al di fuori delle istruzioni dettagliate all'interno del presente DPA.
4.8 Il personale del Fornitore impegnato nell'elaborazione dei Dati personali del Cliente sarà informato della natura riservata dei Dati personali del Cliente e riceverà una formazione adeguata sulle proprie responsabilità. Tale personale sarà soggetto ad appropriati impegni di riservatezza.
4.9 Tenendo conto della natura del Trattamento dei dati personali nei Servizi forniti, il Fornitore dovrà, come richiesto dall'Articolo 32 del GDPR, mantenere adeguate misure tecniche e organizzative, per garantire la sicurezza del Trattamento, inclusa la protezione contro il Trattamento non autorizzato o illegale, e contro la distruzione, la perdita o l'alterazione o il danneggiamento accidentali o illegali, la divulgazione non autorizzata o l'accesso ai Dati personali del Cliente. Le parti riconoscono e concordano che le misure di sicurezza specificate nel presente DPA e più specificamente nell'Allegato B costituiscono misure di sicurezza tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio.
4.10 Il Fornitore assisterà il Cliente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile e tenendo conto della natura del Trattamento dei Dati Personali del Cliente, nell'adempimento degli obblighi di conformità del Cliente ai sensi delle Leggi sulla Protezione dei Dati, anche in relazione ai diritti degli Interessati, alle valutazioni d'impatto sulla protezione dei dati (relative all'uso dei Servizi MetaCompliance da parte del Cliente) e alla segnalazione e consultazione delle autorità di vigilanza (in relazione a una valutazione d'impatto sulla protezione dei dati relativa ai Servizi MetaCompliance).
4.11 Qualora i Soggetti interessati, le autorità competenti o qualsiasi altra terza parte richiedano al Fornitore informazioni relative al Trattamento dei Dati Personali del Cliente, il Fornitore riferirà tale richiesta al Cliente, a meno che non sia richiesto diversamente per conformarsi alle Leggi sulla Protezione dei Dati, nel qual caso il Fornitore fornirà una notifica preventiva al Cliente di tale requisito legale, a meno che tale legge non vieti tale divulgazione per importanti motivi di interesse pubblico.
5. Subprocessori
5.1 Il Cliente riconosce e accetta che il Fornitore possa, in relazione alla fornitura dei Servizi, ingaggiare Subprocessori che possono essere affiliati del Fornitore e/o terzi, come più specificamente descritto negli Allegati A e C. L'ingaggio di tali parti da parte del Fornitore sarà soggetto a un contratto scritto (anche in forma elettronica) coerente con i termini del presente DPA, in relazione al trattamento richiesto dei Dati personali.
5.2 Il Cliente riconosce che il Fornitore è autorizzato in via generale ad assumere nuovi Subprocessori senza dover ottenere un'ulteriore autorizzazione scritta e specifica da parte del Cliente. Ciò è subordinato alla notifica scritta da parte del Processore al Cliente dell'identità di ogni nuovo Subprocessore, con 30 giorni di anticipo rispetto all'elaborazione dei Dati personali del Cliente.
5.3 Se il Cliente desidera opporsi al relativo Subprocessore, dovrà darne comunicazione scritta entro dieci (10) giorni lavorativi dal ricevimento della notifica da parte del Fornitore. L'assenza di obiezioni da parte del Cliente sarà considerata un consenso all'utilizzo del Subprocessore in questione.
5.4 Nel caso in cui il Cliente si opponga a un nuovo Subprocessore, il Fornitore si impegnerà in modo ragionevole per mettere a disposizione del Cliente una modifica dei Servizi o raccomandare una modifica commercialmente ragionevole dei Servizi per evitare l'elaborazione dei Dati personali del Cliente da parte del nuovo Subprocessore in questione. Se non è possibile alcuna alternativa, le parti hanno il diritto di risolvere il Contratto tra loro.
5.5 La notifica del Fornitore di un nuovo Subprocessore al Cliente dovrà includere la fornitura di un Allegato C aggiornato. Il Fornitore dovrà mantenere aggiornato l'Allegato C.
5.6 Il Fornitore rimarrà responsabile nei confronti del Cliente per l'adempimento degli obblighi dei Subprocessori.
6. Trasferimenti di dati
6.1 Ai sensi dell'articolo 28(3)(a) del GDPR, il Fornitore non trasferirà, e non consentirà ad alcun Subprocessore di trasferire, i Dati Personali del Cliente al di fuori del SEE, se non nei termini previsti dal presente Contratto. A scanso di equivoci, il Cliente acconsente al trasferimento e al trattamento dei Dati personali come specificato nell'Allegato A, in quanto applicabile.
6.2 Il Fornitore riconosce che, in conformità con il GDPR, deve esistere un'adeguata protezione dei Dati personali dopo qualsiasi trasferimento al di fuori del SEE (direttamente o tramite il trasferimento successivo di un subprocessore) e stipulerà un accordo appropriato con il Cliente e/o qualsiasi subprocessore per disciplinare tale trasferimento. Tale accordo includerà le Clausole contrattuali standard applicabili o si baserà sulla Decisione di adeguatezza, a meno che non esista un altro meccanismo di adeguatezza per il trasferimento.
7. Violazione dei Dati Personali
7.1 In caso di violazione dei Dati Personali che coinvolga i Dati Personali del Cliente, il Fornitore dovrà:
7.1.1 Notificare al Cliente senza indebito ritardo (entro un massimo di 48 ore) per consentire al Cliente di adempiere agli obblighi di comunicazione del GDPR e fornire un'assistenza ragionevole al Cliente quando è tenuto a comunicare una violazione dei Dati Personali a un Soggetto interessato.
7.1.2 Adoperarsi ragionevolmente per identificare la causa di tale violazione dei Dati Personali e adottare le misure che il Fornitore ritiene ragionevolmente praticabili per porre rimedio alla causa di tale violazione dei Dati Personali.7.1.2 Compiere ragionevoli sforzi per identificare la causa di tale violazione dei dati personali e adottare le misure che il Fornitore ritiene ragionevolmente praticabili per rimediare alla causa di tale violazione dei dati personali.
7.1.3 Nel rispetto dei termini del presente DPA, fornire ragionevole assistenza e cooperazione come richiesto dal Cliente, per portare avanti qualsiasi correzione o rimedio di qualsiasi violazione dei dati personali.
8. Registri del Trattamento
8.1 Nella misura in cui è applicabile al Trattamento del Fornitore per il Cliente, il Fornitore manterrà tutti i registri richiesti dall'Articolo 30(2) GDPR e li metterà a disposizione del Cliente su richiesta.
9. Diritti di audit
9.1 Il Fornitore, e farà in modo che i suoi Subprocessori mettano a disposizione del Cliente, su richiesta, le informazioni ragionevoli necessarie a dimostrare il rispetto dei suoi obblighi di protezione dei dati ai sensi del presente DPA e consentirà e contribuirà agli audit, compresa l'ispezione presso i suoi locali, da parte del Cliente o di un auditor incaricato dal Cliente in relazione al Trattamento dei Dati personali del Cliente, a condizione che tale auditor non sia un concorrente del Fornitore.
10. Durata
10.1 Il presente DPA rimarrà in vigore a tutti gli effetti finché:
10.1.1 Il Contratto rimane in vigore; o
10.1.2 Il Fornitore conserva qualsiasi Dato personale dell'utente in suo possesso o controllo.
10.2 Qualsiasi disposizione del presente DPA che, espressamente o implicitamente, dovrebbe entrare o rimanere in vigore al momento o dopo la risoluzione del Contratto al fine di proteggere i Dati personali dell'utente rimarrà in vigore a tutti gli effetti.
11. Restituzione e distruzione dei dati
11.1 Il Fornitore, a discrezione del Cliente e su richiesta scritta del Cliente, cancellerà o restituirà tutti i Dati personali del Cliente al termine della fornitura dei Servizi relativi all'Elaborazione e cancellerà le copie esistenti, a meno che la legge SEE o dello Stato membro richieda la conservazione dei Dati personali del Cliente. In assenza di richiesta scritta da parte del Cliente, il Fornitore cancellerà i Dati personali del Cliente 90 giorni dopo la cessazione del Contratto.
11.2 Su richiesta del Cliente, il Fornitore fornirà una comunicazione scritta delle misure adottate in merito ai Dati personali del Cliente.
12. Indennizzo
12.1 Nella misura richiesta dall'Articolo 82 del GDPR e subordinatamente alla clausola 12.1 del presente DPA, il Fornitore accetta di indennizzare il Cliente da tutti i costi diretti, le richieste di risarcimento, i danni o le spese sostenute dal Cliente a causa di qualsiasi inadempienza da parte del Fornitore o dei suoi dipendenti, subprocessori, subappaltatori o agenti nell'adempimento di uno qualsiasi dei suoi obblighi ai sensi del presente DPA o delle Leggi sulla protezione dei dati.
12.2 Nonostante qualsiasi cosa contraria contenuta nel presente DPA o nel Contratto (inclusi, a titolo esemplificativo, gli obblighi di indennizzo di una delle parti), nessuna delle parti sarà responsabile di eventuali multe GDPR emesse o riscosse ai sensi dell'Articolo 83 del GDPR nei confronti dell'altra parte da parte di un'autorità di regolamentazione o di un ente governativo in relazione alla violazione del GDPR da parte di tale altra parte.
12.3 Nella misura consentita dalle Leggi sulla protezione dei dati e fatte salve le esclusioni dettagliate nella clausola 12.2 del presente DPA, la responsabilità totale di ciascuna parte ai sensi del presente DPA o in relazione ad esso, a prescindere dalla causa, sarà soggetta alle esclusioni e alle limitazioni di responsabilità stabilite nel Contratto.
Allegato A
Finalità e dettagli del trattamento dei dati personali
| Oggetto del trattamento | Dettagli | Si applica a: |
| Scopo Specificare tutte le finalità per le quali i Dati Personali saranno trattati dal Fornitore. | Accesso al sistema Amministrazione del sistema Consegna dei contenuti del sistema in base ai moduli sottoscritti. Vedi sotto: | Tutti i clienti |
| Politiche, valutazioni delle conoscenze | Clienti che si abbonano ai moduli Policy (PolicyLite, MetaEngage e MetaPolicy) | |
| eLearning, altri media | Clienti che si abbonano a moduli di Elearning (MetaLearning Fusion) | |
| Indagini sulla privacy | Clienti che sottoscrivono il modulo MetaPrivacy | |
| Recensioni sull'incidente | Clienti che sottoscrivono il modulo MetaIncident | |
| Campagne di phishing simulate | Clienti abbonati a MetaPhish | |
| Trasferimento SCORM all'LMS del cliente | Clienti che si iscrivono al trasferimento SCORM | |
| Tipi di dati personali Specificare i Dati Personali che saranno trattati dal Fornitore | Nome, cognome, indirizzo e-mail, reparto, registro di formazione | Tutti i clienti |
| Unità organizzativa (OU) di Active Directory | Clienti che utilizzano Azure AD o AD on premise | |
| ID LMS | I clienti con abbonamenti al trasferimento SCORM | |
| Categorie di soggetti interessati Specificare le categorie di soggetti i cui dati personali saranno trattati dal Fornitore. | Dipendenti del cliente, appaltatori, fornitori, partner e/o affiliati. | Tutti i clienti in conformità con i dati dell'interessato forniti al Fornitore. Il Cliente può limitare questo aspetto a seconda dell'uso che intende fare dei Servizi. |
| Operazioni di lavorazione Specificare tutte le attività di lavorazione che il Fornitore deve condurre | Elaborazione e archiviazione dei Dati Personali del Cliente al fine di creare e mantenere gli account degli Utenti Autorizzati sulla piattaforma MyCompliance. Distribuzione di varie e-mail di notifica avviate dal sistema MyCompliance di MetaCompliance. | Tutti i clienti |
| Distribuzione di e-mail di phishing simulato specificate avviate dal Cliente tramite la piattaforma MyCompliance di MetaCompliance. | Clienti che si iscrivono al modulo MetaPhish | |
| Memorizzazione dei dati personali inseriti dal cliente tramite il modulo MetaPrivacy di MetaCompliance. | Clienti che sottoscrivono il modulo MetaPrivacy | |
| Comunicare con l'LMS del cliente e valutare il numero di licenze. | Clienti che si iscrivono al trasferimento SCORM | |
| Ubicazione delle operazioni di trattamento Specificare tutti i luoghi in cui i Dati personali saranno trattati dal Fornitore. | Regno Unito (Gruppo MetaCompliance) Danimarca (Gruppo MetaCompliance) Portogallo (Gruppo MetaCompliance) Irlanda (Gruppo MetaCompliance ALSO da Microsoft Azure e Amazon Web Services) Olanda (Microsoft Azure) | Tutti i clienti, a seconda dei casi. Per ulteriori dettagli si rimanda all'Allegato C. |
| Requisiti di conservazione Se applicabile, specificare il tempo di conservazione dei Dati personali del cliente conservati dal Fornitore. | Quando un abbonamento del Cliente è scaduto o è terminato, tutti i Dati personali del Cliente associati vengono conservati per 90 giorni prima di essere effettivamente cancellati, al fine di recuperare una cancellazione accidentale dell'abbonamento. | Tutti i clienti |
Allegato B
Disposizioni di sicurezza Il Fornitore, al fine di assistere il Cliente nell'adempimento dei suoi obblighi legali, tra cui, a titolo esemplificativo e non esaustivo, le misure di sicurezza e le valutazioni dei rischi per la privacy, è tenuto ad adottare misure tecniche e organizzative adeguate per proteggere i Dati personali del Cliente che vengono trattati. Tali misure dovranno garantire almeno un livello di sicurezza adeguato, tenendo conto di quanto segue:- possibilità tecniche esistenti;
- i costi di realizzazione delle misure;
- i rischi particolari associati al Trattamento dei Dati Personali del Cliente; e
- la sensibilità dei Dati Personali del Cliente che vengono trattati.
- la pseudonimizzazione e la crittografia dei dati personali del cliente;
- la capacità di garantire la costante riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi che trattano i dati personali dei clienti;
- la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai Dati personali del cliente in caso di incidente fisico o tecnico; e
- un processo per testare, valutare e valutare regolarmente l'efficacia delle misure tecniche e organizzative per garantire la sicurezza del Trattamento.
- protezione dell'accesso fisico, in base alla quale le apparecchiature informatiche e i dati rimovibili contenenti i Dati personali del cliente presso i locali del Fornitore saranno chiusi a chiave quando non sono sotto controllo, al fine di proteggere dall'uso non autorizzato, dall'impatto e dal furto.
- un processo di verifica della lettura dopo il ripristino dei Dati personali del cliente da copie di backup.
- controllo delle autorizzazioni, in base al quale l'accesso del Fornitore ai Dati personali del Cliente è gestito attraverso un sistema tecnico di controllo delle autorizzazioni. L'autorizzazione sarà limitata a coloro che hanno bisogno dei Dati personali del cliente per il loro lavoro. Gli ID utente e le password saranno personali e non potranno essere trasferiti a terzi. Esistono procedure per l'assegnazione e la rimozione delle autorizzazioni.
- tenere un registro dei soggetti che hanno accesso ai Dati personali del cliente.
- comunicazione sicura, in base alla quale le connessioni esterne per la comunicazione dei dati devono essere protette utilizzando funzioni tecniche che assicurino che la connessione sia autorizzata, nonché la crittografia dei contenuti per i dati in transito nei canali di comunicazione al di fuori dei sistemi controllati dal Fornitore.
- un processo per garantire la distruzione sicura dei dati quando i supporti di memorizzazione fissi o rimovibili non devono più essere utilizzati per il loro scopo.
- routine per la stipula di accordi di riservatezza con i fornitori che forniscono servizi di riparazione e assistenza per le apparecchiature utilizzate per memorizzare i dati personali del cliente.
- routine per la supervisione del servizio svolto dai fornitori presso i locali del Fornitore. I supporti di memorizzazione contenenti i Dati personali del Cliente dovranno essere rimossi se la supervisione non è possibile.
Allegato C
Subprocessori approvati:| Sottoprocessore | Posizione |
| Microsoft Azure (contratto tramite Microsoft Operations Ireland Ltd, ospita i servizi nel cloud) | Olanda Dublino |
| Amazon Web Services (contratto con "AWS Europe", come fornitore di e-mail transazionali) | Dublino |
| MetaCompliance Limited, un'entità del Gruppo MetaCompliance (fornitura di servizi di account per i clienti e servizi di supporto ai clienti) | Regno Unito |
| Increase Your Skills GmbH (fornitura di servizi di assistenza ai clienti e servizi di supporto) | Germania |
| MOCH A/S, un'entità del Gruppo MetaCompliance (fornitura di servizi di contabilità clienti e servizi di supporto ai clienti) | Danimarca |
| MetaCompliance Ireland Ltd Sucursal Portugal un'entità del Gruppo MetaCompliance (fornitura di servizi di account e assistenza ai clienti) | Portogallo |