KORE - Data Processing Agreement

01Definizioni e gerarchia

1.1 I termini del GDPR hanno il significato attribuito dal Regolamento (UE) 2016/679. "Sub-responsabile" indica il soggetto incaricato da ONE di specifiche attività di trattamento per conto del Titolare. Gli ulteriori termini con iniziale maiuscola hanno il significato loro attribuito dalle Condizioni Contrattuali Centralizzate.

1.2 Il DPA prevale sugli altri documenti contrattuali esclusivamente per le materie di protezione dei dati personali trattati da ONE quale Responsabile. Per livelli di servizio prevale lo SLA; per il resto l'Order Form e le Condizioni Contrattuali Centralizzate.

02Oggetto, ruoli e finalità

2.1 Il Titolare nomina ONE Responsabile per i trattamenti descritti nell'Allegato A e ONE accetta la nomina.

2.2 ONE tratta i dati personali soltanto per erogare i Servizi e secondo le istruzioni documentate del Titolare. Non vende i dati personali, non li utilizza per contattare autonomamente gli interessati per finalità commerciali e non li impiega per addestrare modelli di intelligenza artificiale destinati a finalità proprie o di terzi, salvo specifica istruzione scritta del Titolare e previa verifica della relativa liceità.

2.3 ONE può operare quale autonomo Titolare per trattamenti distinti e propri, quali gestione dei rapporti commerciali e fatturazione, tutela dei propri diritti, prevenzione di frodi o abusi e sicurezza dei propri sistemi nella misura in cui ne determini autonomamente finalità e mezzi essenziali. Tali trattamenti sono disciplinati dalle informative applicabili e non dal presente DPA.

03Durata

3.1 Il DPA ha efficacia per la durata dei trattamenti svolti da ONE per conto del Titolare. Gli obblighi che per natura sopravvivono, inclusi riservatezza, restituzione/cancellazione e cooperazione su eventi anteriori alla cessazione, restano efficaci sino al loro adempimento.

04Istruzioni documentate

4.1 Costituiscono istruzioni documentate il presente DPA e i relativi Allegati, le disposizioni dell'Order Form espressamente attinenti al trattamento, incluso l'Allegato A-bis, e le successive istruzioni scritte provenienti dai referenti autorizzati del Titolare.

4.2 Se una disposizione di legge impone a ONE un trattamento ulteriore, ONE ne informa preventivamente il Titolare salvo divieto di legge.

4.3 Se ONE ritiene che un'istruzione violi la normativa applicabile, ne informa senza ingiustificato ritardo il Titolare e, ove necessario per evitare una violazione, sospende l'esecuzione della sola istruzione interessata sino a conferma, modifica o revoca.

4.4 Istruzioni che richiedano sviluppi, modifiche architetturali, attività straordinarie o assistenza eccedente gli obblighi dell'art. 28 possono essere subordinate a tempi tecnici e corrispettivi ragionevoli previamente comunicati, fermo l'adempimento degli obblighi inderogabili.

05Personale autorizzato e riservatezza

5.1 ONE limita l'accesso ai dati al personale che ne abbia necessità, secondo principi di least privilege e segregazione dei ruoli, e assicura che le persone autorizzate siano adeguatamente istruite e soggette a obblighi di riservatezza contrattuali o legali.

5.2 ONE mantiene misure organizzative ragionevoli di formazione e sensibilizzazione in materia di protezione dati e sicurezza coerenti con i ruoli svolti.

06Sicurezza

6.1 ONE adotta e mantiene le misure tecniche e organizzative descritte nell'Allegato B, tenendo conto dell'art. 32 GDPR, dello stato dell'arte, dei costi di attuazione, della natura, ambito, contesto e finalità del trattamento e dei rischi per gli interessati.

6.2 ONE può aggiornare o sostituire le misure purché il livello complessivo di sicurezza non sia sostanzialmente ridotto. L'Allegato B descrive esclusivamente misure effettivamente operative o impegni espressamente contrattualizzati; roadmap e remediation interne non fanno parte del DPA salvo addendum scritto.

07Sub-responsabili

7.1 Il Titolare autorizza in via generale ONE a ricorrere ai Sub-responsabili indicati nell'Allegato C, il cui elenco aggiornato è pubblicato nella sezione Sub-responsabili del Trust Center KORE (trustcenter.kore.otech.one).

7.2 ONE comunica l'intenzione di aggiungere o sostituire un Sub-responsabile almeno 15 giorni prima dell'avvio del relativo trattamento, mediante comunicazione al referente privacy del Titolare indicato nell'Order Form e pubblicazione nella sezione Sub-responsabili del Trust Center, salvo urgenze di sicurezza o continuità che rendano necessario un termine inferiore. Il Titolare può opporsi entro 10 giorni per motivi ragionevoli e documentati inerenti alla protezione dei dati.

7.3 In caso di opposizione, le Parti cooperano in buona fede per individuare una soluzione ragionevole. Se non è tecnicamente o commercialmente praticabile evitare il Sub-responsabile senza incidere sostanzialmente sul Servizio, il Titolare può cessare la sola componente direttamente interessata prima dell'avvio del nuovo trattamento, senza penali ulteriori rispetto ai corrispettivi maturati.

7.4 ONE impone ai Sub-responsabili, per le attività affidate, obblighi di protezione dati sostanzialmente equivalenti a quelli applicabili a ONE ai sensi dell'art. 28 GDPR e resta responsabile verso il Titolare dell'adempimento degli obblighi del Sub-responsabile nei termini previsti dalla legge.

08Trasferimenti internazionali

8.1 ONE non trasferisce dati personali verso Paesi terzi o organizzazioni internazionali se non su istruzione del Titolare o tramite Sub-responsabili autorizzati e in presenza di un valido meccanismo del Capo V GDPR.

8.2 Ove necessario, ONE utilizza decisioni di adeguatezza, Clausole Contrattuali Tipo o altro strumento valido e adotta le misure supplementari ragionevolmente richieste dall'esito della valutazione del trasferimento. Le informazioni rilevanti sono riportate nell'Allegato C.

09Assistenza al Titolare

9.1 Tenuto conto della natura del trattamento e delle informazioni a disposizione, ONE assiste il Titolare nell'adempimento degli obblighi relativi ai diritti degli interessati, sicurezza, DPIA e consultazione preventiva.

9.2 Se ONE riceve direttamente una richiesta relativa a dati trattati per conto del Titolare, la inoltra senza ingiustificato ritardo e non risponde nel merito salvo istruzione o obbligo di legge.

9.3 L'assistenza ordinariamente necessaria all'art. 28 è inclusa nei Servizi. Attività straordinarie, ripetitive o derivanti da istruzioni specifiche del Titolare possono essere oggetto di corrispettivo ragionevole se non dipendono da un inadempimento di ONE.

10Violazioni dei dati personali

10.1 ONE notifica al Titolare una violazione dei dati personali di cui abbia acquisito conoscenza senza ingiustificato ritardo e comunque entro quarantotto (48) ore dalla conoscenza, fornendo le informazioni disponibili necessarie al Titolare per adempiere agli artt. 33 e 34 GDPR. Le informazioni possono essere integrate progressivamente.

10.2 La notifica di ONE non costituisce riconoscimento di responsabilità. Le decisioni sulla notifica all'Autorità o comunicazione agli interessati competono al Titolare, salvo obblighi autonomi di ONE previsti dalla legge.

11Audit e dimostrazione della conformità

11.1 ONE mette a disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto dell'art. 28 GDPR. Ove disponibili, report indipendenti, certificazioni, questionari di sicurezza e documentazione equivalente sono utilizzati in via prioritaria per evitare audit duplicativi.

11.2 Il Titolare può effettuare un audit, direttamente o tramite terzo indipendente vincolato alla riservatezza, non più di una volta per anno, con almeno 15 Giorni Lavorativi di preavviso, durante l'orario ordinario e senza interferire irragionevolmente con i Servizi. Tali limiti non si applicano quando un audit ulteriore sia imposto da un'Autorità competente o ragionevolmente necessario a seguito di una violazione rilevante imputabile a ONE.

11.3 L'audit non può comportare accesso a dati di altri clienti, segreti commerciali, codice sorgente o informazioni la cui divulgazione comprometterebbe la sicurezza. I costi sono a carico del Titolare, salvo accertamento di un inadempimento materiale di ONE.

11.4 Eventuali diritti ulteriori richiesti da discipline settoriali o di vigilanza del Cliente, inclusi accessi diretti ai Sub-responsabili, sono applicabili solo se espressamente accettati da ONE in un addendum regolamentare e nella misura in cui ONE disponga dei corrispondenti diritti verso i fornitori interessati.

12Restituzione e cancellazione

12.1 Alla cessazione dei Servizi, salvo diversa istruzione documentata impartita entro 30 giorni, ONE rende disponibili i dati nei formati standard previsti dal Servizio per un periodo di uscita di 30 giorni e successivamente procede alla cancellazione dei dati personali attivi, fatti salvi obblighi di legge.

12.2 Su richiesta tempestiva del Titolare, ONE restituisce o esporta i dati nei formati standard disponibili. Migrazioni, conversioni o assistenza ulteriori sono disciplinate dal Contratto e possono essere a pagamento.

12.3 Le copie residue nei backup sono eliminate secondo i cicli ordinari di rotazione indicati nell'Allegato B e, fino alla cancellazione, restano isolate e non sono ulteriormente trattate salvo necessità di ripristino o obbligo di legge.

13Responsabilità

13.1 Ciascuna Parte risponde delle violazioni ad essa imputabili secondo il GDPR e la normativa applicabile. I rapporti con gli interessati e i diritti di regresso restano disciplinati dall'art. 82 GDPR e dalle norme inderogabili.

13.2 Nei rapporti interni tra le Parti, la responsabilità contrattuale di ONE derivante dal presente DPA è soggetta ai limiti e alle esclusioni previsti dall'art. 15 delle Condizioni Contrattuali Centralizzate, salvo dolo, colpa grave o altra responsabilità non limitabile per legge. Il DPA non introduce massimali autonomi o cumulativi.

13.3 Nessuna disposizione costituisce garanzia di conformità del Titolare ai propri obblighi privacy. Il Titolare resta responsabile della liceità delle finalità, delle basi giuridiche, delle informative, dell'esercizio dei diritti e delle istruzioni impartite a ONE.

14Modifiche del DPA

14.1 Le modifiche del presente DPA che incidono sugli obblighi ex art. 28 sono comunicate direttamente al Titolare e richiedono accettazione secondo le modalità contrattuali applicabili; la mera pubblicazione sul sito non è sufficiente a renderle efficaci nei rapporti in corso.

14.2 Gli aggiornamenti dell'Allegato C relativi ai Sub-responsabili seguono la procedura dell'art. 7 e non richiedono una nuova sottoscrizione dell'intero DPA.

15Legge e foro

15.1 Si applicano legge e foro previsti dalle Condizioni Contrattuali Centralizzate, ferme le competenze inderogabili delle Autorità di controllo e dell'autorità giudiziaria previste dalla normativa privacy.