Il presente accordo sul trattamento dei dati personali («DPA») ») è un allegato alle Condizioni Generali ed è parte integrante del Contratto applicabile tra Signitic SAS e Il cliente. In caso di contraddizione tra le Condizioni Generali e il DPA, quest'ultimo prevale.

1. Ambito e qualità delle parti

Lo scopo del presente DPA è definire le condizioni alle quali Signitic, in qualità di subappaltatore, si impegna a eseguire per conto e su istruzioni del Cliente, le operazioni di trattamento dei dati personali in relazione ai Servizi e definire gli obblighi e i diritti di Signitic e del Cliente. Il presente Accordo non si applica quando Signitic agisce in qualità di titolare del trattamento. Il presente accordo risolve e sostituisce tutte le condizioni e i contratti precedenti tra le Parti per lo stesso scopo.

Ai sensi del presente DPA, si presume che il Cliente agisca in qualità di titolare del trattamento dei dati. Nel caso in cui il Cliente agisca per conto di un Titolare del trattamento terzo, in qualità di Subappaltatore, garantisce:

• Di disporre di tutte le autorizzazioni necessarie per la conclusione del presente DPA e per il trattamento dei dati personali da parte di Signitic in qualità di subappaltatore;
• Che il contratto stipulato con il Titolare del trattamento interessato è conforme ai termini del Contratto;
• Che le istruzioni fornite dal Cliente in relazione all'esecuzione del presente DPA siano strettamente conformi alle istruzioni del Titolare del trattamento e si impegnano a fornirgli le informazioni comunicate da Signitic, quando richiesto dal RGPD.

Il Cliente rimane davanti a Signitic, che è l'unico responsabile del corretto adempimento degli obblighi del Titolare del trattamento ai sensi del presente DPA.

Le Parti si impegnano a rispettare le disposizioni imposte dal RGPD e, più in generale, le normative ad esse applicabili in termini di protezione dei dati personali.

2. Definizioni

Ai fini del DPA, i termini che iniziano con una lettera maiuscola avranno il seguente significato. Quando un termine in maiuscolo non è definito in questo elenco, la definizione è quella specificata nel Contratto. Le definizioni dei termini «Titolare del trattamento», «Subappaltatore», «Subappaltatore», «Processori successivi», «Trattamento», «Autorità di vigilanza», «Violazione dei dati personali» sono quelle stabilite dal GDPR.

Dati personali o dati personali : si riferisce a qualsiasi informazione relativa a una persona fisica identificata o identificabile; è considerata una «persona fisica identificabile» una persona fisica che può essere identificata, direttamente o indirettamente, in particolare facendo riferimento a un numero di identificazione o a uno o più elementi che la riguardano, che Signitic elabora per conto del Cliente, al fine di fornire i Servizi previsti dal Contratto.

Persona interessata : si riferisce a una persona fisica i cui Dati personali vengono trattati.

RGPD : si riferisce al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali e sulla libera circolazione di tali dati.

3. Descrizione delle operazioni di trattamento

Signitic è autorizzata a trattare per conto del Cliente, i Dati personali necessari per fornire i Servizi previsti nel Contratto, secondo la seguente descrizione:

a. Tipi di dati personali: Dati identificativi, dati di navigazione, dati di accesso.

B. Categorie di soggetti interessati: dipendenti del Titolare e loro contatti;

c. Scopo e natura del trattamento: lo scopo del trattamento dei dati personali da parte di Signitic è la fornitura di Servizi al Cliente che comporta il trattamento dei dati personali. Ciò è particolarmente vero per il servizio di firme e-mail personalizzate, l'organizzazione di campagne mirate agli utenti e l'hosting di biglietti da visita digitali. La natura del Trattamento comporta la raccolta, l'estrazione, la registrazione, la registrazione, l'organizzazione, l'organizzazione, la conservazione, la conservazione, la conservazione, la modifica, la consultazione, l'uso, la comunicazione mediante trasmissione, la strutturazione, l'interconnessione, l'interconnessione, l'interconnessione, la distruzione e la cancellazione dei Dati personali. I dati personali sono soggetti alle attività di trattamento come specificato nell'Accordo.

D. Durata del trattamento: Le attività di Trattamento sono svolte per la durata prevista dal Contratto.

4. Obblighi del cliente

Il Cliente si impegna a:

1. Garantire che i Servizi a cui si abbona da Signitic abbiano le caratteristiche e le condizioni richieste per il Trattamento previsto. Pertanto, le informazioni messe a disposizione del Cliente hanno lo scopo in particolare di consentirgli di valutare la conformità di tali misure in relazione al Trattamento previsto;

2. Raccogli sotto la propria responsabilità, in modo lecito, leale e trasparente, i Dati personali forniti a Signitic per l'esecuzione dei Servizi. In particolare, verificherà la base giuridica di tale raccolta nonché il corretto rispetto delle disposizioni relative alle informazioni delle persone interessate, di cui rimane responsabile;

3. Fornire a Signitic i dati personali necessari per l'esecuzione dei Servizi, escludendo qualsiasi dato personale irrilevante, sproporzionato o non necessario ed escludendo qualsiasi dato «particolare» ai sensi del GDPR, in particolare i dati sensibili;

4. Documenta eventuali istruzioni relative al trattamento dei dati personali. Resta inteso che i termini di utilizzo dei Servizi e il presente accordo costituiranno istruzioni inviate a Signitic in merito al Trattamento da implementare. Ulteriori istruzioni o deroghe richiedono un accordo tra le Parti. Esse devono essere inizialmente specificate per iscritto al momento dell'ordine dei Servizi e possono, in qualsiasi momento, con il previo consenso scritto di Signitic, essere modificate, integrate o sostituite su richiesta del Cliente, in istruzioni scritte separate, comprese quelle elettroniche;

5. Garantire, in anticipo e per tutta la durata del Trattamento, che Signitic rispetti gli obblighi previsti dal RGPD;

6. Rispetta gli obblighi che incombono al Titolare del trattamento ai sensi del GDPR, in particolare rispetta i diritti degli interessati.

5. Obblighi significativi

Signitic si impegna a:

1. Trattare i dati personali alle condizioni previste dal Contratto;
2. Trattare i dati personali solo su istruzioni documentate del Cliente, ai sensi dell'articolo 4.4, a meno che Signitic non sia tenuta a farlo ai sensi della legge applicabile al Contratto. In tal caso, Signitic informerà il Cliente di tale obbligo legale, a meno che la legge in questione non vieti tali informazioni per motivi di interesse pubblico. Se Signitic ritiene che un'istruzione costituisca una violazione del RGPD o di qualsiasi altra disposizione del diritto dell'Unione o del diritto degli Stati membri relativa alla protezione dei dati, ne informerà immediatamente il Cliente per iscritto;
3. Tenere conto, quando si tratta dei suoi strumenti, prodotti, applicazioni o servizi, dei principi della protezione dei dati fin dalla progettazione e della protezione dei dati di default;
4. Formare e sensibilizzare il proprio personale in termini di protezione dei dati personali;
5. Mantenere la riservatezza dei Dati personali, non divulgarli, in alcuna forma, tranne (i) ai fini dell'esecuzione dei Servizi, delle finalità e del Contratto; (ii) in applicazione di una disposizione legale o regolamentare; (iii) per rispondere alle richieste di comunicazione delle autorità giudiziarie e/o amministrative; (iv) con il previo accordo, richiesta o azione del Cliente.

Pertanto, Signitic garantisce che le persone autorizzate al trattamento dei dati personali (personale, partner, subappaltatori, ecc.) si impegnino a rispettare la riservatezza o siano soggette a un adeguato obbligo legale di riservatezza;

6. Tenere un registro delle categorie di attività di trattamento svolte per conto del Cliente, alle condizioni dell'articolo 30.2 del RGPD;
7. Rispondere a qualsiasi ragionevole richiesta di assistenza da parte del Cliente nell'effettuare valutazioni d'impatto relative alla protezione dei dati personali e nell'effettuare la consultazione preventiva dell'Autorità di vigilanza, nella misura in cui il Cliente è tenuto a farlo ai sensi del regolamento/legge sulla protezione dei dati applicabili e se tale assistenza è necessaria e si riferisce al trattamento dei dati personali operato da Signitic.

6. Periodo di conservazione dei dati personali

Alla scadenza o alla risoluzione del Contratto, Signitic si impegna a distruggere o rendere anonimi in modo irreversibile i Dati personali secondo i termini dell'Accordo, a meno che la legge applicabile al Contratto non richieda la conservazione dei Dati personali.

A seconda del trattamento, i dati personali possono essere cancellati o resi anonimi in modo irreversibile durante il Contratto. Ciò è particolarmente vero quando Signitic fornisce al Cliente, nell'ambito dei suoi Servizi, funzionalità che gli consentono di eliminare ed esportare i Dati personali, o quando i Dati personali hanno un periodo di conservazione limitato in relazione allo scopo del Trattamento in questione.

7. sicurezza

Signitic implementa misure tecniche e organizzative per proteggere i Dati personali dalla distruzione accidentale o illegale, dalla perdita accidentale, dall'alterazione, dalla diffusione o dall'accesso non autorizzato ai Dati personali, nei limiti del suo ambito di intervento e dei mezzi sotto il suo controllo ai sensi del Contratto. Queste misure sono specificate sul sito web Signitic. Potrebbero dover evolversi. In questo caso, Signitic si impegna a non ridurre il livello di protezione messo in atto e a garantire che il livello di sicurezza fornito ai Dati personali sia equivalente o superiore a quello in vigore al momento dell'abbonamento ai Servizi. Tutte le modifiche di impatto significativo saranno pubblicate sul Sito e portate all'attenzione del Cliente in questo modo. È responsabilità di quest'ultimo verificare regolarmente l'adeguatezza delle misure per il trattamento dei suoi dati personali.

Da parte sua, il Cliente si impegna ad adottare le misure di sicurezza necessarie per proteggere i Dati personali che gli spettano sul suo perimetro e in particolare:

1. garantire la riservatezza delle sue eventuali chiavi API, dei suoi identificatori e password, o di qualsiasi mezzo che le consenta di accedere o utilizzare i Servizi e di utilizzare password conformi alle regole di buona pratica;
2. garantire la sicurezza delle postazioni di lavoro, delle apparecchiature e delle reti da cui il suo personale e qualsiasi persona da essi autorizzata accede ai Servizi;
3. garantendo l'applicazione di patch e aggiornamenti di sistema, disponendo di antivirus e firewall o sistemi simili aggiornati;
4. promuovendo i backup dei dati personali in luoghi appropriati;
5. proteggendo i propri locali, in particolare disponendo di sistemi antintrusione e controlli degli accessi periodicamente testati, differenziando le aree dei locali in base ai rischi (esempio: sala computer), garantendo l'accesso al personale in base alle esigenze operative e rispettando il principio del privilegio minimo;
6. per formare il proprio personale, gli utenti e le altre persone autorizzate alla protezione dei dati personali; ecc.

8. Responsabilità

Signitic può essere ritenuta responsabile solo per i danni causati dal trattamento per il quale (i) non ha rispettato gli obblighi previsti dal GDPR, che incombono specificamente sui Subappaltatori o per i quali (ii) ha agito al di fuori o in contrasto con le legittime istruzioni del Cliente. In tali casi, si specifica che si applicano le disposizioni di cui all'Accordo relative alla responsabilità di Signitic.

9. Revisione

Sul suo sito web, Signitic fornisce le principali misure adottate per dimostrare il rispetto dei suoi obblighi. Il Cliente può richiedere qualsiasi ragionevole informazione aggiuntiva contattando i servizi di Signitic. Il Cliente può effettuare o far eseguire da una terza parte incaricata, non un concorrente del Gruppo di cui Signitic è membro, e vincolato da un obbligo di riservatezza, qualsiasi verifica (audit), inclusa in particolare l'implementazione del pentest, ragionevolmente utile per accertare l'effettiva conformità al presente DPA. In questo contesto, Signitic e il Cliente si incontreranno preventivamente per concordare insieme le condizioni operative e di sicurezza per un'ispezione tecnica in loco o a distanza. Il Cliente sosterrà da solo tutti i costi associati agli audit/ispezioni. In ogni caso, le condizioni di audit non dovrebbero influire sulla sicurezza dei dati di altri clienti Signitic e non dovrebbero causare disturbi al normale funzionamento delle attività di Signitic.

10. Diritti delle persone interessate

Diritto all'informazione. È responsabilità del Cliente informare le persone interessate dalle operazioni di trattamento alle condizioni previste dal RGPD e in particolare nei suoi articoli 13 e 14.

Esercizio dei diritti. È responsabilità del Cliente rispondere alle richieste di esercizio dei diritti delle persone interessate (diritto di accesso, rettifica, cancellazione e opposizione, limitazione del trattamento, portabilità dei dati, non essere oggetto di una decisione individuale automatizzata, ecc.).

Per quanto possibile, tenendo conto della natura del Trattamento e delle informazioni a sua disposizione, Signitic si impegna ad assistere il Cliente, e su richiesta del Cliente, nell'adempimento del suo obbligo di rispondere alle richieste di esercizio dei diritti delle persone interessate dal trattamento, nella misura in cui il Cliente non disponga delle informazioni o degli strumenti disponibili tramite i Servizi. Il Cliente rimane l'unico responsabile della risposta fornita e delle azioni che ne derivano, nei confronti e nei confronti delle Persone interessate.

In caso di richieste di esercizio dei diritti o reclami da parte degli interessati inviate direttamente a Signitic, quest'ultima si impegna, nel più breve tempo possibile, a inviarli al Cliente.

11. Violazione dei dati personali

Se Signitic è a conoscenza di una violazione dei dati personali, informerà il Cliente via e-mail il prima possibile. La notifica effettuata al Cliente contiene almeno:

• la natura della violazione dei dati personali, compresi, ove possibile, le categorie e il numero approssimativo di persone interessate dalla violazione e le categorie e il numero approssimativo di record di dati personali interessati;
• il nome e i dati di contatto del responsabile della protezione dei dati o di altro punto di contatto presso il quale è possibile ottenere ulteriori informazioni;
• le probabili conseguenze della violazione dei dati personali;
• le misure adottate o che possono essere attuate in risposta alla situazione.

12. Subappalto successivo

Signitic può utilizzare altri subappaltatori per svolgere specifiche attività di trattamento («Processori successivi» - Appendice 1), che il Cliente accetta. Il Cliente accetta e approva che Signitic utilizzi ciascun Subappaltatore in questo elenco o in altri documenti in quanto tali.

Signitic ha stipulato un contratto con ciascuno dei suoi subappaltatori contenente sostanzialmente gli stessi obblighi a cui è soggetta ai sensi del DPA. Se il Subappaltatore non rispetta i propri obblighi di protezione dei dati, Signitic rimane pienamente responsabile nei confronti del Cliente.

A Signitic può essere richiesto di apportare modifiche riguardanti l'aggiunta o la sostituzione di altri subappaltatori. In questo caso, Signitic informerà il Cliente via e-mail almeno 30 giorni di calendario prima della modifica effettiva, specificando il nome, l'indirizzo e il ruolo dei nuovi Subappaltatori Successivi. Il Cliente può opporsi a tale modifica, interrompendo il/i Servizio/i in questione, entro e non oltre 30 giorni dalla data di invio della notifica che informa il Cliente della modifica imminente. In caso di risoluzione per questo motivo ed entro tale termine, il Cliente riceverà un rimborso delle commissioni pagate in anticipo ma non utilizzate per il periodo residuo del/i Servizio/i interessato/i dopo la data di entrata in vigore della cancellazione, quest'ultima avvenuta al ricevimento della notifica da parte di Signitic. Prima di procedere con tale risoluzione, il Cliente può presentare eventuali obiezioni a Signitic. Le Parti discuteranno delle alternative ragionevolmente possibili per escludere i Subappaltatori interessati dalle obiezioni. In ogni caso, queste trattative non estendono il periodo di risoluzione concesso al Cliente. Signitic non ha inoltre l'obbligo nei confronti del Cliente di rinunciare al previsto cambio del/dei subappaltatore/i. Se il Cliente non annulla entro il termine previsto, si ritiene che abbia accettato l'aggiunta o la sostituzione del/i subappaltatore/i subappaltatore/i.

Qualsiasi obiezione/notifica di risoluzione prevista nel presente articolo deve essere inviata al seguente indirizzo: rgpd@signitic.com.

13. Trasferimenti di dati

Il Cliente è informato e accetta che, nell'ambito dell'esecuzione dei Servizi, Signitic può trasferire i Dati personali alle società del suo Gruppo. Questi trasferimenti sono strettamente necessari per fornire i Servizi e sono limitati a scopi amministrativi interni.

Se, ai sensi del Contratto, i Dati personali vengono trasferiti al di fuori dell'Unione Europea in un paese che non è oggetto di una decisione di adeguatezza, viene quindi implementato un accordo in conformità con le Clausole contrattuali standard o, a scelta di Signitic, qualsiasi altro meccanismo di garanzia appropriato previsto dal GDPR.

14. Informazioni di contatto - Notifica

Per qualsiasi domanda riguardante i suoi dati personali, il Cliente può contattare a sua scelta:

‍

- Servizio clienti, oppure

- l'ufficio legale via e-mail: rgpd@signitic.com, oppure

- il DPO, per posta: SIGNITIC, responsabile della protezione dei dati, responsabile della protezione dei dati, Parc d'Activites des Quatre Vents, 3 Avenue Antoine Pinay, 59510 HEM o via e-mail: dpo@signitic.com.

Se il Cliente desidera ricevere una notifica relativa all'esecuzione del presente DPA a un indirizzo e-mail specifico, può inviare la sua richiesta all'indirizzo e-mail: rgpd@signitic.com. Altrimenti, qualsiasi comunicazione in relazione al presente DPA verrà inviata all'indirizzo email di contatto principale del Cliente noto a Signitic come parte dei Servizi.