Accordo sul trattamento dei dati (DPA)

1. Definizioni

Ai fini del presente Accordo sul trattamento dei dati:

• <strong>"Dati personali"</strong> indica qualsiasi informazione relativa a una persona fisica identificata o identificabile, come definito dall'articolo 4(1) del GDPR.
• <strong>"Trattamento"</strong> indica qualsiasi operazione eseguita sui Dati personali, inclusa la raccolta, la conservazione, l'uso, la comunicazione o la cancellazione, come definito dall'articolo 4(2) del GDPR.
• <strong>"Titolare"</strong> indica il cliente che determina le finalità e i mezzi del trattamento dei Dati personali.
• <strong>"Responsabile"</strong> indica Morlivo, che tratta i Dati personali per conto del Titolare.
• <strong>"Sub-responsabile"</strong> indica qualsiasi terza parte incaricata dal Responsabile di trattare i Dati personali per conto del Titolare.
• <strong>"Interessato"</strong> indica una persona fisica identificata o identificabile i cui Dati personali sono trattati.

2. Dettagli del trattamento

Il Responsabile tratterà i Dati personali solo su istruzioni documentate del Titolare, anche con riferimento ai trasferimenti di Dati personali verso un paese terzo, salvo che non sia tenuto a fare diversamente dal diritto dell'Unione o dello Stato membro cui è soggetto il Responsabile.

I dettagli del trattamento sono i seguenti:

• <strong>Oggetto:</strong> Fornitura di servizi di traduzione, trascrizione e elaborazione linguistica.
• <strong>Durata:</strong> Per la durata del contratto di servizio sottostante.
• <strong>Natura e finalità:</strong> Trattamento dei Contenuti del cliente per fornire traduzioni, trascrizioni e servizi linguistici correlati.
• <strong>Categorie di interessati:</strong> utenti finali e persone i cui dati sono contenuti nei Contenuti del cliente.
• <strong>Tipi di dati personali:</strong> nomi, informazioni di contatto e qualsiasi altro dato personale contenuto nei materiali inviati per il trattamento.

3. Misure di sicurezza

Il Responsabile adotterà misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, in conformità con l'articolo 32 del GDPR. Tali misure includono:

• Crittografia dei Dati Personali a riposo (AES-256) e in transito (TLS 1.2+).
• Capacità di garantire la riservatezza, l'integrità, la disponibilità e la resilienza continuative dei sistemi e dei servizi di elaborazione.
• Capacità di ripristinare disponibilità e accesso ai dati personali in modo tempestivo in caso di incidente fisico o tecnico.
• Test regolari, valutazioni e analisi dell'efficacia delle misure tecniche e organizzative.
• Pseudonimizzazione dei dati personali quando tecnicamente fattibile e appropriata.
• Controlli di accesso rigorosi basati sul principio del minimo privilegio.
• Registrazione e monitoraggio completi degli accessi ai dati.

Il Responsabile garantirà che le persone autorizzate a trattare i Dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo di riservatezza previsto dalla legge.

4. Sub-responsabili

Il Titolare fornisce un'autorizzazione generale al Responsabile per ricorrere a sub-responsabili. Il Responsabile manterrà un elenco aggiornato di sub-responsabili e lo renderà disponibile al Titolare su richiesta. L'elenco corrente dei sub-responsabili è pubblicato sulla nostra pagina dell'informativa sulla privacy.

Il Responsabile informerà il Titolare di qualsiasi modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili, concedendo al Titolare un'opportunità ragionevole di opporsi a tali modifiche. Qualora il Responsabile coinvolga un sub-responsabile, il Responsabile imporrà a tale sub-responsabile, per contratto, gli stessi obblighi in materia di protezione dei dati previsti nel presente DPA.

Il Responsabile rimarrà pienamente responsabile nei confronti del Titolare per l'adempimento degli obblighi di qualsiasi sub-responsabile ai sensi del presente DPA.

5. Diritti degli interessati

Il Responsabile assisterà il Titolare nell'adempimento dell'obbligo di rispondere alle richieste degli Interessati che esercitano i loro diritti ai sensi del Capo III del GDPR, tra cui:

• Diritto di accesso (Articolo 15).
• Diritto alla rettifica (Articolo 16).
• Diritto alla cancellazione (Articolo 17).
• Diritto alla limitazione del trattamento (Articolo 18).
• Diritto alla portabilità dei dati (Articolo 20).
• Diritto di opposizione (Articolo 21).

Se il Responsabile del trattamento riceve direttamente una richiesta da un Interessato, il Responsabile inoltrerà prontamente la richiesta al Titolare del trattamento e non risponderà direttamente all'Interessato salvo autorizzazione del Titolare.

6. Trasferimenti internazionali

Il Responsabile non trasferirà Dati personali verso un paese terzo o un'organizzazione internazionale a meno che non siano in essere garanzie adeguate come richiesto dal Capo V del GDPR. I meccanismi di trasferimento approvati includono:

• Clausole contrattuali standard (SCCs) adottate dalla Commissione europea (Decisione di esecuzione della Commissione (UE) 2021/914).
• Decisioni di adeguatezza ai sensi dell'articolo 45 del GDPR.
• Binding Corporate Rules approvate da un'autorità di vigilanza competente.

I clienti Enterprise possono configurare le impostazioni di data residency per limitare il trattamento e l'archiviazione dei Dati personali a specifiche regioni geografiche (UE, Stati Uniti o APAC), riducendo al minimo la necessità di trasferimenti transfrontalieri.

7. Notifica di violazione

Il Responsabile notificherà il Titolare senza ingiustificato ritardo e, in ogni caso, entro e non oltre quarantotto (48) ore dal momento in cui venga a conoscenza di una violazione dei Dati personali, come definita dall'articolo 4(12) del GDPR.

La notifica dovrà includere:

• Una descrizione della natura della violazione di dati personali, comprese le categorie e il numero approssimativo di interessati e record coinvolti.
• Il nome e i dettagli di contatto del referente per la protezione dei dati del Responsabile del trattamento.
• Una descrizione delle probabili conseguenze della violazione.
• Una descrizione delle misure adottate o proposte per affrontare la violazione, comprese le misure per mitigare i suoi effetti negativi.

8. Audit e ispezioni

Il Responsabile renderà disponibile al Titolare tutte le informazioni necessarie a dimostrare la conformità agli obblighi previsti dall'articolo 28 del GDPR. Il Responsabile consentirà e contribuirà a verifiche, incluse ispezioni, condotte dal Titolare o da un revisore incaricato dal Titolare, previo congruo preavviso e nel rispetto degli obblighi di riservatezza.

9. Durata ed eliminazione dei dati

Il presente DPA resterà in vigore per la durata del contratto di servizio sottostante. Alla cessazione del contratto di servizio, il Processor dovrà, a scelta del Controller, cancellare o restituire tutti i Dati Personali e cancellare le copie esistenti, salvo che la normativa dell'Unione o dello Stato membro richieda la conservazione dei Dati Personali. Il Processor certificherà per iscritto di aver adempiuto a tale obbligo su richiesta del Controller.