1. Definizioni
Ai fini del presente accordo sul trattamento dei dati:
- "Dati personali" indica qualsiasi informazione relativa a una persona fisica identificata o identificabile, come definito dall'articolo 4, paragrafo 1, del GDPR
- "Trattamento" indica qualsiasi operazione eseguita sui dati personali, inclusa la raccolta, la conservazione, l'uso, la divulgazione o la cancellazione, come definito dall'articolo 4, paragrafo 2, del GDPR
- "Titolare del trattamento" indica il cliente che determina le finalità e i mezzi del trattamento dei dati personali
- "Responsabile del trattamento" indica Morlivo, che tratta i dati personali per conto del titolare del trattamento
- "Sub-responsabile" indica qualsiasi terza parte incaricata dal responsabile del trattamento di trattare i dati personali per conto del titolare del trattamento
- "Interessato" indica una persona fisica identificata o identificabile i cui dati personali sono oggetto di trattamento
2. Dettagli del trattamento
Il responsabile del trattamento tratterà i dati personali solo su istruzioni documentate del titolare, anche per quanto riguarda i trasferimenti di dati personali verso un paese terzo, salvo che ciò sia richiesto dal diritto dell'Unione o dello Stato membro cui è soggetto il responsabile.
I dettagli del trattamento sono i seguenti:
- Oggetto: Fornitura di servizi di traduzione, trascrizione ed elaborazione linguistica
- Durata: Per la durata del contratto di servizio sottostante
- Natura e finalità: Trattamento del contenuto del cliente per fornire traduzioni, trascrizioni e servizi linguistici correlati
- Categorie di interessati: Utenti finali e persone i cui dati sono contenuti nel contenuto del cliente
- Tipi di dati personali: Nomi, informazioni di contatto e qualsiasi altro dato personale contenuto nei materiali inviati per il trattamento
3. Misure di sicurezza
Il responsabile del trattamento implementerà misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, in conformità con l'articolo 32 del GDPR. Tali misure includono:
- Crittografia dei dati personali inattivi (AES-256) e in transito (TLS 1.2+)
- Capacità di garantire la riservatezza, l'integrità, la disponibilità e la resilienza continue dei sistemi e dei servizi di trattamento
- Capacità di ripristinare la disponibilità e l'accesso ai dati personali in modo tempestivo in caso di incidente fisico o tecnico
- Test, valutazione e verifica periodici dell'efficacia delle misure tecniche e organizzative
- Pseudonimizzazione dei dati personali ove tecnicamente fattibile e appropriato
- Controlli di accesso rigorosi basati sul principio del privilegio minimo
- Registrazione completa degli audit e monitoraggio dell'accesso ai dati
Il responsabile del trattamento garantirà che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.
4. Sub-responsabili del trattamento
Il titolare del trattamento fornisce un'autorizzazione generale al responsabile del trattamento per l'utilizzo di sub-responsabili. Il responsabile del trattamento manterrà un elenco aggiornato dei sub-responsabili e lo metterà a disposizione del titolare su richiesta. L'elenco attuale dei sub-responsabili è pubblicato nella nostra pagina dell'informativa sulla privacy.
Il responsabile del trattamento informerà il titolare di qualsiasi modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili, concedendo al titolare una ragionevole opportunità di opporsi a tali modifiche. Qualora il responsabile del trattamento si avvalga di un sub-responsabile, imporrà a tale sub-responsabile, mediante contratto, gli stessi obblighi di protezione dei dati stabiliti nel presente DPA.
Il responsabile del trattamento rimarrà pienamente responsabile nei confronti del titolare per l'adempimento degli obblighi di qualsiasi sub-responsabile ai sensi del presente DPA.
5. Diritti dell'interessato
Il responsabile del trattamento assisterà il titolare nell'adempimento del suo obbligo di rispondere alle richieste degli interessati che esercitano i loro diritti ai sensi del Capo III del GDPR, tra cui:
- Diritto di accesso (Articolo 15)
- Diritto di rettifica (Articolo 16)
- Diritto alla cancellazione (Articolo 17)
- Diritto alla limitazione del trattamento (Articolo 18)
- Diritto alla portabilità dei dati (Articolo 20)
- Diritto di opposizione (Articolo 21)
Se il responsabile del trattamento riceve una richiesta direttamente da un interessato, il responsabile inoltrerà tempestivamente la richiesta al titolare del trattamento e non risponderà direttamente all'interessato salvo autorizzazione del titolare.
6. Trasferimenti internazionali
Il responsabile del trattamento non trasferirà i dati personali verso un paese terzo o un'organizzazione internazionale a meno che non siano in atto le adeguate garanzie richieste dal Capo V del GDPR. I meccanismi di trasferimento approvati includono:
- Clausole contrattuali tipo (SCC) adottate dalla Commissione Europea (Decisione di esecuzione della Commissione (UE) 2021/914)
- Decisioni di adeguatezza ai sensi dell'articolo 45 del GDPR
- Norme vincolanti d'impresa approvate da un'autorità di controllo competente
I clienti enterprise possono configurare le impostazioni di residenza dei dati per limitare il trattamento e l'archiviazione dei dati personali a specifiche regioni geografiche (UE, US o APAC), riducendo al minimo la necessità di trasferimenti transfrontalieri.
7. Notifica di violazione
Il responsabile del trattamento notificherà il titolare senza indebito ritardo e in ogni caso entro quarantotto (48) ore dal momento in cui viene a conoscenza di una violazione dei dati personali, come definita dall'articolo 4, paragrafo 12, del GDPR.
La notifica includerà:
- Una descrizione della natura della violazione dei dati personali, comprese le categorie e il numero approssimativo degli interessati e dei record coinvolti
- Il nome e i dati di contatto del referente per la protezione dei dati del responsabile del trattamento
- Una descrizione delle probabili conseguenze della violazione
- Una descrizione delle misure adottate o proposte per affrontare la violazione, comprese le misure per attenuarne gli effetti negativi
8. Audit e ispezioni
Il responsabile del trattamento metterà a disposizione del titolare tutte le informazioni necessarie per dimostrare la conformità agli obblighi previsti dall'articolo 28 del GDPR. Il responsabile del trattamento consentirà e contribuirà ad audit, comprese ispezioni, condotti dal titolare o da un revisore incaricato dal titolare, previo ragionevole preavviso e nel rispetto degli obblighi di riservatezza.
9. Durata e cancellazione dei dati
Il presente DPA rimarrà in vigore per la durata del contratto di servizio sottostante. Alla cessazione del contratto di servizio, il responsabile del trattamento, a scelta del titolare, cancellerà o restituirà tutti i dati personali ed eliminerà le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro imponga la conservazione dei dati personali. Il responsabile del trattamento certificherà per iscritto di aver adempiuto a tale obbligo su richiesta del titolare.