/Card-Page%20Previews-AI.png?width=1200&height=800&name=Card-Page%20Previews-AI.png)
In vigore: 1 aprile 2025
QUESTO SUPPLEMENTO PER IL TRATTAMENTO DEI DATI SI APPLICA SE HA ADERITO AI SERVIZI NITRO COME CLIENTE AZIENDALE AI SENSI DEL CONTRATTO DI SERVIZIO NITRO E IL GDPR DEL REGNO UNITO SI APPLICA AL TRATTAMENTO DEI DATI PERSONALI NEL CONTESTO DEL CONTRATTO. NEL CASO IN CUI HA ADERITO COME SINGOLO, VISITI LA POLITICA SULLA PRIVACY DI NITRO PER MAGGIORI INFORMAZIONI SU COME NITRO TRATTA I SUOI DATI PERSONALI.
1. AMBITO; RUOLI DELLE PARTI
Nitro riceverà e tratterà i Dati Personali per il beneficio e per conto del Cliente quando fornisce il Servizio, in conformità con le istruzioni e gli scopi definiti dal Cliente nei Dettagli del Trattamento dei Dati. Con questo Addendum per il Trattamento dei Dati, le Parti desiderano stabilire i propri accordi specifici riguardo il trattamento dei Dati Personali nel quadro del Contratto.
Di default, Nitro agirà come un Responsabile e il Cliente agirà come un Titolare riguardo ai Servizi forniti da Nitro al Cliente in conformità ai Termini di Servizio Nitro. Questo Addendum per il Trattamento dei Dati sostituisce e annulla tutti i precedenti accordi (se presenti) riguardo il trattamento dei Dati Personali e la protezione dei dati tra le Parti relativi ai Servizi offerti da Nitro.
Questo Addendum per il Trattamento dei Dati integra e costituisce parte dei Termini di Servizio, e insieme i Termini di Servizio e questo Addendum per il Trattamento dei Dati costituiscono un unico accordo legale tra le Parti. In caso di discrepanze o contraddizioni tra questo Addendum sul Trattamento dei Dati e i Termini di Servizio, l'Addendum sul Trattamento dei Dati avrà la precedenza.
2. DEFINIZIONI
“Allegato” indica qualsiasi allegato al presente Supplemento per il Trattamento dei Dati;
“Responsabile” si riferisce al Cliente come identificato nei Termini di Servizio e nel Modulo d'Ordine applicabile;
“Dettagli del Trattamento dei Dati” indicano l'Allegato 1 al presente Supplemento per il Trattamento dei Dati che include ulteriori dettagli sulle istruzioni del Cliente riguardanti il trattamento dei Dati Personali, come lo scopo, l'oggetto e la natura del trattamento e il tipo di Dati Personali trattati;
“GDPR dell'UE” significa il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, e che abroga la Direttiva 95/46/CE (Regolamento Generale sulla Protezione dei Dati);
“Dati Personali” significano i dati personali come definiti nel GDPR del Regno Unito che Nitro tratta per il beneficio e per conto del Cliente quando fornisce i Servizi in conformità con le istruzioni e gli scopi definiti dal Cliente nei Dettagli del Trattamento dei Dati;
“Titolare del trattamento” si riferisce a Nitro Software Inc., fornitore dei Servizi al Cliente e come identificato nei Termini di Servizio;
“Lista dei Sub-responsabili” fa riferimento alla lista dei Sub-responsabili resa disponibile online da Nitro che include i Sub-responsabili coinvolti da Nitro per la fornitura dei Servizi e per l’adempimento degli obblighi di Nitro ai sensi del Contratto in generale. Nitro può aggiornare la Lista dei Sub-responsabili di volta in volta come previsto dal processo stabilito in questo Supplemento per il Trattamento dei Dati;
“Sub-responsabile” significa qualsiasi elaboratore di terze parti ingaggiato da Nitro per il trattamento dei Dati Personali relativi alla fornitura dei Servizi al Cliente;
“GDPR del Regno Unito” significa il GDPR dell'UE tramutato nel diritto domestico del Regno Unito ai sensi della sezione 3 del European Union Withdrawal Act 2018 e come modificato dal Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019 (come modificato);
“Dati Personali del Regno Unito” significano i Dati Personali ai quali si applica il GDPR del Regno Unito;
“Clausole Contrattuali Standard del Regno Unito” significano il Supplemento per il Trasferimento Internazionale dei Dati alle Clausole Contrattuali Standard della Commissione UE emesso dal Commissario per l'Informazione ai sensi della Sezione 119A(1) del Data Protection Act 2018, nella forma e nel modo stabiliti nell'Allegato 2 a questo Supplemento per il Trattamento dei Dati.
Tutti gli altri termini e definizioni scritti in maiuscolo e che non sono definiti espressamente in questo Supplemento per il Trattamento dei Dati, sono definiti come indicato nella legislazione applicabile in materia di protezione dei dati o nei Termini di Servizio di Nitro.
3. OGGETTO DEL PRESENTE ALLEGATO SUL TRATTAMENTO DEI DATI
3.1 Questo Allegato sul Trattamento dei Dati determina le condizioni del trattamento dei Dati Personali comunicati dal Cliente o su iniziativa dello stesso nel contesto dell'Accordo. 3.2 Il trattamento avverrà esclusivamente a beneficio del Cliente e per lo scopo definito dal Cliente nei Dettagli del Trattamento dei Dati. Nitro informerà immediatamente il Cliente se, a suo avviso, un'istruzione viola la legislazione applicabile in materia di protezione dei dati. Nitro tratterà i Dati Personali solamente secondo le istruzioni documentate del Cliente e non utilizzerà questi Dati Personali per scopi propri, a meno che non sia esplicitamente consentito nei Termini di Servizio. Se Nitro è legalmente obbligato a procedere con qualsiasi trattamento di Dati Personali, Nitro informererà il Cliente di tale obbligo, a meno che ciò non violi le norme imperative applicabili.
4. TERMINE
4.1 Questo Allegato sul Trattamento dei Dati si applica a tutto il trattamento dei Dati Personali eseguito nel contesto della fornitura dei Servizi al Cliente da parte di Nitro e si applica finché Nitro tratta Dati Personali per conto del Cliente nel contesto dell'Accordo. Questo Supplemento per il Trattamento dei Dati integra i Termini di Servizio di Nitro ed è destinato a garantire la conformità delle Parti ai requisiti imposti dalle leggi e normative sulla protezione dei dati applicabili per l'uso da parte del Cliente dei Servizi.
4.2 Questo Supplemento per il Trattamento dei Dati termina automaticamente alla risoluzione del Contratto (o nel momento in cui il trattamento da parte di Nitro viene terminato). Le disposizioni di questo Addendum sul Trattamento dei Dati che sono espressamente o implicitamente (data la loro natura) destinate a avere effetto dopo la cessazione dell'Addendum sul Trattamento dei Dati sopravvivranno alla fine dell'Accordo riguardo ai Dati Personali comunicati dal o per iniziativa del Cliente nel contesto dell'Accordo.
5. MISURE TECNICHE E ORGANIZZATIVE
5.1 Nitro offre garanzie adeguate riguardo all'implementazione di appropriate misure tecniche e organizzative (“TOMs”) per garantire un trattamento sicuro dei Dati Personali e la protezione dei diritti del Soggetto Interessato. Le TOM implementate da Nitro sono quelle indicate nei Dettagli del Trattamento dei Dati. Le TOM possono essere aggiornate da Nitro di volta in volta, tuttavia Nitro assicurerà di non degradare la sicurezza complessiva implementata al momento dell'esecuzione dell'Addendum sul Trattamento dei Dati. Il Cliente riconosce che le TOMs sono adeguate per il trattamento dei propri Dati Personali al momento della firma o dell'accettazione di questo Supplemento per il Trattamento dei Dati.
5.2 Nitro adotterà tutte le misure tecniche e organizzative appropriate come indicato nell'articolo 32 GDPR del Regno Unito per garantire un livello di sicurezza adeguato al rischio.
5.3 Se il Cliente fornisce Dati Personali sensibili come indicato negli articoli 9 e 10 GDPR del Regno Unito a Nitro nel contesto del Contratto, il Cliente dovrà notificarlo a Nitro per iscritto via privacy@gonitro.com.
5.4 Nel caso in cui il Cliente richieda specifiche misure tecniche e organizzative da attuare da Nitro (che Nitro non ha implementato per impostazione predefinita), il Cliente rimborserà Nitro per l'implementazione di tali misure aggiuntive secondo la Sezione 14 “Costi” di questo Supplemento per il Trattamento dei Dati.
5.5 Il rispetto da parte di Nitro di un codice di condotta approvato come indicato nell'articolo 40 GDPR del Regno Unito, o di un meccanismo di certificazione approvato come indicato nell'articolo 42 GDPR del Regno Unito può essere utilizzato come elemento di prova di garanzie sufficienti come indicate nel GDPR del Regno Unito. RETENZIONE
6.1 Nitro non conserverà i Dati Personali più a lungo di quanto richiesto per il trattamento di tali Dati Personali nel contesto del Contratto. Il Cliente non istruirà Nitro a conservare alcun Dato Personale più a lungo del necessario. Il periodo di conservazione applicabile (come definito dal Cliente) è indicato nei Dettagli del Trattamento dei Dati.
6.2 Su scelta del Cliente, Nitro dovrà eliminare o restituire tutti i Dati Personali al Cliente dopo la conclusione della fornitura dei Servizi e dovrà cancellare le copie esistenti a meno che la legge applicabile non richieda la conservazione dei Dati Personali. Il Cliente riconosce che i Servizi potrebbero includere funzionalità di download a disposizione del Cliente per consentire al Cliente di scaricare i propri dati. Nella misura in cui tali funzionalità sono disponibili, il Cliente dovrà utilizzare tali funzionalità per estrarre o eliminare i propri dati.
7. RISERVATEZZA
7.1 Le parti hanno concordato su una clausola di riservatezza nei Termini di Servizio che si applica al trattamento dei Dati Personali nel contesto del Contratto.
7.2 Nitro riconosce e concorda che solo quei dipendenti, appaltatori o agenti di Nitro coinvolti nel trattamento dei Dati Personali possono essere informati riguardo ai Dati Personali e solo nella misura ragionevolmente necessaria per l'adempimento del Contratto. Nitro assicura che le persone autorizzate a trattare i Dati Personali sono vincolate alla riservatezza per contratto o sono soggette a un'adeguata obbligazione legale di riservatezza.
8. DIRITTI DEI SOGGETTI INTERESSATI
8.1 Tenendo conto della natura del trattamento, Nitro adotterà tutti i ragionevoli sforzi, prendendo misure tecniche e organizzative appropriate, per assistere il Cliente nell'adempimento del suo obbligo di rispondere a richieste da parte dei Soggetti Interessati.
8.2 Per tutta l'assistenza fornita da Nitro nel contesto del trattamento di tali richieste dai Soggetti Interessati, il Cliente rimborserà Nitro in conformità con la Sezione 14 “Costi” di questo Supplemento per il Trattamento dei Dati. Tale rimborso da parte del Cliente non si applicherà (i) nel caso in cui il Soggetto dei Dati invocasse i propri diritti a causa di una Violazione di Dati Personali dimostrabilmente attribuibile a Nitro o (ii) nel caso in cui tale assistenza da parte di Nitro non superi le quattro (4) ore di lavoro durante la durata dell'Accordo.
9. OBBLIGO DI NOTIFICA
9.1 Nel caso in cui Nitro venga a conoscenza di una Violazione dei Dati Personali, quest'ultima notificherà ciò al Cliente senza indebito ritardo contattando il referente indicato nell'Accordo o nel Modulo d'Ordine pertinente (o alternativamente tramite l'Indirizzo Email di Notifica del Cliente o (se applicabile) qualsiasi altro indirizzo e-mail condiviso dal Cliente nel portale admin come contatto per la privacy). La persona di contatto di Nitro per qualsiasi questione relativa alla protezione dei dati può essere contattata via email: privacy@gonitro.com.
9.2 Su richiesta del Cliente, Nitro informerà il Cliente di qualsiasi nuovo sviluppo riguardante qualsiasi Violazione di Dati Personali e delle misure adottate per limitarne le conseguenze e prevenire la ripetizione di tali Violazioni di Dati Personali. It is the responsibility of the Customer to report any Personal Data Breach to the Supervisory Authority or the Data Subject(s), as required.
10. SUB-TRATTAMENTO
10.1 Il Cliente autorizza espressamente Nitro ad ingaggiare Sub-responsabili per il trattamento dei Dati Personali per l'adempimento del Contratto e per facilitare la fornitura dei Servizi in generale. A tal fine, il Cliente concede un'autorizzazione scritta generale a Nitro per decidere con quali Sub-Processore(i) Nitro collabora per l'adempimento dei suoi obblighi ai sensi dell'Accordo. Nitro pubblica un Elenco dei Sottotrattatori riguardante i Sottotrattatori ingaggiati da Nitro.
10.2 Nitro informerà il Cliente di eventuali modifiche programmate riguardanti l'aggiunta o la sostituzione di Sottotrattatori contattando la persona di contatto indicata nel Contratto o nel Modulo d'Ordine pertinente (o tramite l'indirizzo email di notifica del Cliente o (se applicabile) qualsiasi altro indirizzo email che il Cliente ha condiviso nel portale amministrativo come contatto privacy). Il Cliente avrà il diritto di opporsi all'aggiunta o alla sostituzione rivolgendosi a Nitro per iscritto. Le Parti discuteranno in tal caso l'aggiunta, la sostituzione o l'alternativa in buona fede e il prima possibile dopo la notifica scritta di opposizione da parte del Cliente.
10.3 Nel caso in cui Nitro ingaggi un Sub-responsabile per lo svolgimento di specifiche attività di trattamento, gli stessi o simili obblighi in materia di protezione dei dati indicati nel presente Supplemento per il Trattamento dei Dati saranno imposti a tale Sub-responsabile mediante un contratto scritto, fornendo in particolare garanzie sufficienti per implementare misure tecniche e organizzative appropriate (e rispettando le misure tecniche e organizzative pertinenti). Se un Sub-responsabile non adempie ai suoi obblighi in materia di protezione dei dati, Nitro rimarrà pienamente responsabile nei confronti del Cliente per l'adempimento degli obblighi di tale Sub-responsabile. TRASFERIMENTI INTERNAZIONALI DI DATI
11.1 Il Cliente riconosce che Nitro è stabilita negli Stati Uniti d'America e autorizza quindi i trasferimenti internazionali di dati personali per fornire i Servizi. 11.2 Se, in qualsiasi momento durante il periodo di validità del presente Allegato sul Trattamento dei Dati, (i) Nitro è certificata ai sensi dell'estensione UK alle SCC UE-U.S. Il Data Privacy Framework (noto anche come ‘ponte dei dati’ tra Regno Unito e Stati Uniti) (“Framework”); e (ii) che il Framework costituisce una decisione di adeguatezza valida ai fini dell'articolo 45 del Regolamento Generale sulla Protezione dei Dati del Regno Unito, le Parti riconoscono che non sono richieste appropriate garanzie in relazione ai trasferimenti tra il Cliente e Nitro.
11.3 Qualora le condizioni stabilite nella Sezione 11.2 non siano applicabili, le Parti stipulano le Clausole Contrattuali Standard del Regno Unito nella forma e modalità stabilite nell'Allegato 2 a questo Allegato sul Trattamento dei Dati, tali Clausole Contrattuali Standard del Regno Unito siano incorporate e costituiscono parte di questo Allegato sul Trattamento dei Dati.
11.4 Il Cliente riconosce che i Sottoprocessori autorizzati ai sensi della clausola 10 possono anche trattare Dati Personali in paesi terzi. Il Cliente consente tali trasferimenti, a condizione che Nitro adotti tutte le misure necessarie per garantire che tali trasferimenti siano conformi alle disposizioni del Capitolo V del GDPR del Regno Unito e ad altre legge sulla protezione dei dati applicabili.
11.5 Nel caso in cui il trasferimento di Dati Personali verso un paese terzo o un'organizzazione internazionale sia obbligatorio ai sensi di legge applicabile alla quale Nitro è soggetto, Nitro sarà autorizzato a effettuare tale trasferimento e dovrà informare il Cliente di tale obbligo legale prima di tale Trattamento, a meno che quella legge non vieti tali informazioni per importanti motivi di interesse pubblico.
12. VALUTAZIONE DELL' IMPATTO SULLA PROTEZIONE DEI DATI E CONSULTAZIONE PREVENTIVA
12.1 Se il Cliente esegue una Valutazione dell'Impatto sulla Protezione dei Dati (“DPIA”) (articolo 35 GDPR del Regno Unito) o una consultazione preventiva (articolo 36 GDPR del Regno Unito) collegata al trattamento dei Dati Personali nel contesto dell'adempimento del Contratto, Nitro assisterà ragionevolmente il Cliente fornendo assistenza su richiesta scritta del Cliente. Il Cliente rimborserà Nitro per l'assistenza fornita ai sensi della Sezione 14 “Costi” di questo Addendum sul Trattamento dei Dati. Tale rimborso dei costi non si applicherà in caso (i) l'assistenza richiesta a Nitro è inferiore a quattro (4) ore lavorative durante il termine dell'Accordo, o (ii) la DPIA o la consultazione precedente è attivata da una violazione dei Dati Personali dimostratamente attribuibile a Nitro.
13. DIRITTO DI AUDIT
13.1 Il Cliente ha il diritto di effettuare audit riguardo alla conformità di Nitro con i suoi obblighi ai sensi di questo Allegato sul Trattamento dei Dati e della normativa applicabile in materia di protezione dei dati. Nitro farà il possibile per collaborare con tali audit e per mettere a disposizione tutte le informazioni necessarie a dimostrare la propria conformità con i propri obblighi. Il Cliente deve notificare a Nitro tale audit almeno un (1) mese prima della data in cui l'audit verrà effettuato, fornendo notifica scritta a Nitro tramite privacy@gonitro.com.
13.2 Nel caso venga effettuato un audit, tutte le parti coinvolte devono prima firmare un accordo specifico di riservatezza emesso da Nitro riguardo a tale audit e ai relativi risultati prima dell'inizio dell'audit. Durante l'esecuzione di tale audit, devono essere tenuti in considerazione gli obblighi di riservatezza delle Parti nei confronti di terzi. Entrambe le Parti e i loro auditor devono mantenere riservate le informazioni raccolte in connessione con un audit e utilizzarle esclusivamente per verificare la propria conformità con questo Addendum al Trattamento dei Dati e le leggi e normative applicabili in materia di protezione dei dati. Il Cliente ha la possibilità di effettuare l'audit direttamente o di affidarlo a un auditor indipendente, tuttavia tale auditor indipendente deve firmare adeguatamente l'accordo di riservatezza di cui a questa Sezione.
13.3 Entrambe le Parti e, se applicabile, i loro rappresentanti, devono ragionevolmente collaborare, su richiesta, con l'Autorità di Controllo nello svolgimento dei compiti di quest'ultima. Si intende, tale rimborso non si applicherà nel caso in cui (i) l'audit sia il risultato di una Violazione di Dati Personali dimostrabilmente attribuibile a Nitro o, (ii) nel caso in cui l'assistenza di Nitro non superi le quattro (4) ore lavorative durante la durata dell'Accordo.
14. COSTI
14.1 L'assistenza da fornire ai sensi di questo Allegato sul Trattamento dei Dati per la quale Nitro può addebitare al Cliente, sarà addebitata sulla base delle ore lavorate e delle tariffe orarie standard applicabili di Nitro (USD 295/ora tasse escluse). Nitro fatturerà tali importi su base mensile ma ha anche il diritto di richiedere una tassa di anticipo. RESPONSABILITÀ
15.1 Soggetta all'estensione massima consentita dalla legge applicabile, le disposizioni dei Termini di Servizio riguardanti la limitazione di responsabilità si applicano anche a questo Allegato sul Trattamento dei Dati e ai danni nascenti da esso. VARIE
16.1 Le disposizioni dei Termini di Servizio riguardanti modifiche, accordo completo, divisibilità, legge applicabile e tribunali competenti si applicano a questo Allegato sul Trattamento dei Dati. In caso di discrepanze o contraddizioni tra questo Allegato sul Trattamento dei Dati e le Clausole Contrattuali Standard UK, se applicabile, le Clausole Contrattuali Standard UK prevalgono.
ALLEGATO 1 – DETTAGLI DEL TRATTAMENTO DEI DATI
A. ELENCO DELLE PARTI
1. Esportatore di dati:
Nome: Cliente, come identificato nell'Accordo e nel Modulo d'Ordine pertinente.
Indirizzo: L'indirizzo dell'esportatore di dati è indicato nell'Accordo e nel Modulo d'Ordine pertinente.
Nome della persona di contatto, posizione e dettagli di contatto: I dettagli di contatto della persona di contatto per l'esportatore di dati sono impostati. nell'Accordo, nel Modulo d'Ordine pertinente (e se applicabile nel portale admin del Cliente).
Attività relative ai dati trasferiti: Le attività che sono rilevanti per i dati trasferiti ai sensi di queste Clausole Contrattuali Standard UK sono descritte di seguito nella Sezione B “Descrizione del trattamento/trasferimento”.
Firma e data: Firmando o accettando il Modulo d'Ordine pertinente, l'esportatore di dati sarà considerato aver firmato questo Allegato I.
Ruolo (titolare/controllore): Titolare
2. Importatore(i) dei dati:
Nome: Nitro Software Inc.
Indirizzo: 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Stati Uniti.
Nome della persona di contatto, posizione e dettagli di contatto: privacy@gonitro.com, 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Stati Uniti.
Attività rilevanti per i dati trasferiti: Le attività rilevanti per i dati trasferiti ai sensi di queste Clausole Contrattuali Standard del Regno Unito sono descritte di seguito nella Sezione B “Descrizione del trattamento/trasferimento”.
Firma e data: Firmando o accettando il Modulo d'Ordine pertinente, l'importatore di dati sarà considerato aver firmato questo Allegato I.
Ruolo (titolare/trattatore): Trattatore
B. DESCRIZIONE DEL TRATTAMENTO/TRASFERIMENTO
1. OGGETTO DEL TRATTAMENTO DEI DATI PERSONALI
Il soggetto è determinato dal Cliente come stabilito nell'Accordo e nel Modulo d'Ordine pertinente.
2. LA NATURA E LO SCOPO DEL TRATTAMENTO DEI DATI PERSONALI
La natura e lo scopo del trattamento sono determinati dal Cliente come stabilito nell'Accordo e nel Modulo d'Ordine pertinente.
Per default, tale trattamento avrà come scopo quello di rendere disponibili i Servizi, inclusi tutte le loro caratteristiche e funzionalità, al Cliente e ai suoi Utenti e, più in generale, di consentire a Nitro di adempiere ai propri obblighi contrattuali ai sensi dell'Accordo. Tale scopo può essere quello di rendere disponibili i Servizi Cloud (ad esempio, ma senza limitazione, rendere disponibile il portale cloud del cliente, i servizi di firma elettronica, i servizi di analisi ecc.) così come la fornitura di Supporto.
La natura del trattamento deve, tra le altre istruzioni fornite dal Cliente nell'Accordo e nel Modulo d'Ordine pertinente, includere il trattamento, la raccolta, la conservazione, la comunicazione e il trasferimento di Dati Personali.
3. DATI PERSONALI TRATTATI
A seconda delle funzionalità utilizzate all'interno dei Servizi (ad es. portale admin, servizi di firma elettronica, servizi di analisi ecc.) e del contenuto dei Dati del Cliente caricati dal Cliente e dai suoi Utenti nei Servizi, Nitro tratta diversi tipi di Dati Personali.
In generale, i Dati Personali trattati da Nitro includono, senza limitazione:
- Dettagli di identificazione (ad esempio, dettagli sull'Utente e utilizzo)
- Dati documentali (ad esempio, Dati Personali inclusi in documenti PDF trattati)
Una panoramica dettagliata del tipo di Dati Personali trattati quando si utilizzano i Servizi è disponibile tramite il Trust Center di Nitro: https://www.gonitro.com/security-compliance/data-protection/processing-of-personal-data
4. DATI SENSIBILI
L'esportatore di dati potrebbe includere Dati Personali sensibili nei dati personali in conformità con la Sezione 5.3 di questo Allegato sul Trattamento dei Dati. I dati sensibili trasferiti (se applicabile) e le restrizioni o misure di sicurezza applicate che prendono pienamente in considerazione la natura dei dati e i rischi coinvolti, come ad esempio, limitazione rigorosa dello scopo, restrizioni di accesso (incluso l'accesso solo per il personale che ha seguito una formazione specializzata), mantenere un record di accesso ai dati, restrizioni per trasferimenti successivi o ulteriori misure di sicurezza: si fa riferimento ai TOMs come indicato o citato nei Dettagli del Trattamento dei Dati qui sotto. CATEGORIA DEI SOGGETTI DEI DATI
Le seguenti categorie di Soggetti dei Dati sono, di default, incluse:
- Tutti gli Utenti con accesso ai Servizi (che includono utenti admin, utenti generali o utenti invitati come firmatari).
- Tutti i Soggetti dei Dati inclusi nei Dati del Cliente caricati nei Servizi dal Cliente o dai suoi Utenti.
Il Cliente conferma che quei Soggetti dei Dati saranno considerati, di default, una delle seguenti categorie:
- Personale del Cliente
- Clienti del Cliente
- Potenziali clienti del Cliente
- Fornitori del Cliente
6. SUB-PROCESSORI
Nitro si avvale di Sub-processori per garantire che tutte le funzionalità siano disponibili all'interno dei Servizi. Quali Sottosupplier sono applicabili dipende dall'uso dei Servizi e dalle funzionalità e dal set-up richiesti dal Cliente. Un elenco dettagliato dei Sub-processori impiegati da Nitro (inclusa la procedura applicata quando si ingaggiano nuovi Sub-processori) è disponibile nel nostro Trust Center: https://www.gonitro.com/security-compliance/data-protection/subprocessors-and-subcontractors
7. MISURE TECNICHE E ORGANIZZATIVE (TOMs)
Nitro implementa misure tecniche e organizzative appropriate per garantire una sicurezza adeguata nell'utilizzo dei Servizi. Aggiorniamo continuamente tali misure. Una panoramica dettagliata delle misure adottate è disponibile tramite il nostro Trust Center nella sezione Sicurezza: https://www.gonitro.com/security-compliance/security e nella nostra politica di sicurezza delle informazioni. Il nostro Trust Center elenca anche le certificazioni che Nitro detiene nella sezione Compliance: https://www.gonitro.com/security-compliance/compliance.
8. PERIODO DI CONSERVAZIONE
Nitro non conserverà Dati Personali per un periodo più lungo del necessario per la fornitura dei Servizi. A seconda dei Servizi e delle funzionalità che sta utilizzando come Cliente, i periodi di conservazione applicabili potrebbero differire. Ogni Cliente può richiedere a Nitro di configurare periodi di conservazione specifici nel proprio ambiente (finché ciò è tecnicamente fattibile).
Nel caso in cui non siano stati configurati periodi di conservazione specifici, i Dati Personali saranno per default memorizzati da Nitro fino alla cancellazione da parte del Cliente o fino alla risoluzione dell'Accordo tra Nitro e il Cliente (più un massimo di 30 giorni), a seconda di quale delle due situazioni si verifichi per prima. Una panoramica dettagliata dei periodi di conservazione è disponibile nel nostro Trust Center: https://www.gonitro.com/security-compliance/data-protection/processing-of-personal-data
9. FREQUENZA DEI TRASFERIMENTI INTERNAZIONALI
In modo continuativo, secondo necessità, per fornire i Servizi al Cliente.
ALLEGATO 2 – CLAUSOLE CONTRATTUALI STANDARD UK
Allegato al Trasferimento Internazionale di Dati alle Clausole Contrattuali Standard della Commissione UE
VERSIONE B1.0, in vigore dal 21 Marzo 2022
Questo Allegato è stato emesso dal Commissario per le Informazioni per le Parti che effettuano Trasferimenti Riservati. Il Commissario per le Informazioni considera che fornisca Appropriate Safeguards per i Trasferimenti Ristetti quando è stipulato come contratto legalmente vincolante.
Parte 1: Tabelle
Tabella 1: Parti
|
Data di inizio |
La data dell'Allegato sul Trattamento dei Dati |
|
|
Le Parti |
Esportatore (che invia il Trasferimento Ristretto) Cliente |
Importatore (che riceve il Trasferimento Ristretto) Nitro |
|
Dettagli delle Parti |
Nome legale completo: Cliente, come identificato nell'Accordo e nel Modulo d'Ordine pertinente. Nome commerciale (se diverso): Indirizzo principale (se un indirizzo di registrazione della società): L'indirizzo dell'esportatore di dati è stabilito nell'Accordo e nel Modulo d'Ordine pertinente. Numero di registrazione ufficiale (se presente) (numero della società o identificatore simile): Come identificato nell'Accordo e nel Modulo d'Ordine pertinente, o altrimenti N/A |
Nome legale completo: Nitro Software Inc. Nome commerciale (se diverso): Indirizzo principale (se un indirizzo di registrazione della società): 447 Sutter St, STE 405 #1015, San Francisco, CA 94108, Stati Uniti. Numero di registrazione ufficiale (se presente) (numero della società o identificatore simile): N/A |
|
Contatto chiave |
Nome completo (opzionale): Il nome completo della persona di contatto per l'esportatore di dati è stabilito nell'Accordo e nel Modulo d'Ordine pertinente. Posizione: Il titolo di lavoro della persona di contatto per l'esportatore di dati è stabilito nell'Accordo e nel Modulo d'Ordine pertinente. Dettagli di contatto, inclusa l'e-mail: I dettagli di contatto della persona di contatto per l'esportatore di dati sono stabiliti nell'Accordo e nel Modulo d'Ordine pertinente. |
privacy@gonitro.com |
|
Firma (se richiesta ai fini della Sezione 2) |
Non richiesta – questo Allegato 2 fa parte e viene incorporato nell'Allegato sul Trattamento dei Dati |
Non richiesta – questo Allegato 2 fa parte e viene incorporato nell'Allegato sul Trattamento dei Dati |
Tabella 2: SCC selezionate, Moduli e Clausole selezionate
|
Allegato SCC dell'UE |
La versione delle SCC dell'UE approvate a cui è allegato questo Allegato, dettagliata di seguito, incluso le Informazioni dell'Allegato: Data: Riferimento (se presente): Altro identificatore (se presente): Oppure le SCC dell'UE approvate, incluse le informazioni dell'Appendice e con solo i seguenti moduli, clausole o disposizioni opzionali delle SCC dell'UE approvate in vigore ai fini di questo Allegato: |
|
Modulo |
Modulo in operazione |
Clausola 7 (Clausola di collegamento) |
Clausola 11 |
Clausola 9a (Autorizzazione preventiva o Autorizzazione generale) |
Clausola 9a (Periodo di tempo) |
I dati personali ricevuti dall'Importatore vengono combinati con i dati personali raccolti dall'Esportatore? |
|
1 |
|
|
|
|
|
|
|
2 |
X |
Non applicabile |
Non applicabile |
Autorizzazione generale |
30 giorni |
No |
|
3 |
|
|
|
|
|
|
|
4 |
|
|
|
|
|
|
Tabella 3: Informazioni dell'Appendice
“Informazioni dell'Appendice” significa le informazioni che devono essere fornite per i moduli selezionati come stabilito nell'Appendice delle SCC dell'UE approvate (diverse dalle Parti), e che per questo Allegato sono stabilite in:
|
Allegato 1A: Elenco delle Parti: Vedi Tabella 1 sopra. |
|
Allegato 1B: Descrizione del Trasferimento: Vedi Allegato 1 a questo Allegato sul Trattamento dei Dati. |
|
Allegato II: Misure tecniche e organizzative, comprese le misure tecniche e organizzative per garantire la sicurezza dei dati: Vedi clausola 5 di questo Allegato sul Trattamento dei Dati. |
|
Allegato III: Elenco dei Sottoprocessori (solo Moduli 2 e 3): Vedi clausola 10.1 di questo Allegato sul Trattamento dei Dati. |
Tabella 4: Terminazione di questo Allegato quando l'Allegato Approvato cambia
|
Terminazione di questo Allegato quando l'Allegato Approvato cambia |
Quali Parti possono terminare questo Allegato come stabilito nella Sezione 19: Importatore Esportatore Nessuna delle Parti |
Parte 1: Clausole Obbligatorie
Entrare in questo Allegato
- Ogni Parte accetta di essere vincolata dai termini e dalle condizioni stabilite in questo Allegato, in cambio dell'altra Parte che accetta di essere vincolata a sua volta da questo Allegato.
- Sebbene l'Allegato 1A e la Clausola 7 delle SCC dell'UE approvate richiedano la firma delle Parti, ai fini delle Trasferimenti Ristetti, le Parti possono entrare in questo Allegato in qualsiasi modo che li renda legalmente vincolanti per le Parti e consenta ai soggetti dei dati di far valere i loro diritti come stabilito in questo Allegato. Entrare in questo Addendum avrà lo stesso effetto della firma degli SCC dell'UE approvati e di qualsiasi parte degli SCC dell'UE approvati.
Interpretazione di questo Addendum
- Dove questo Addendum usa termini che sono definiti negli SCC dell'UE approvati, quegli termini avranno lo stesso significato che negli SCC dell'UE approvati. Inoltre, i seguenti termini hanno i seguenti significati:
|
Addendum |
Questo Addendum ai Trasferimenti di Dati Internazionali, composto da questo Addendum che incorpora gli SCC approvati dell'UE. |
|
Addendum SCC dell'UE |
Le versioni degli SCC approvati dell'UE a cui è allegato questo Addendum, come indicato nella Tabella 2, comprese le Informazioni dell'Appendice. |
|
Informazioni dell'Appendice |
Come indicato nella Tabella 3. |
|
Garanzie Appropriate |
Lo standard di protezione dei dati personali e dei diritti dei soggetti dei dati, richiesto dalle leggi sulla protezione dei dati del Regno Unito quando si effettuano Trasferimenti Riservati basati sulle clausole standard per la protezione dei dati ai sensi dell'Articolo 46(2)(d) del Regolamento generale sulla protezione dei dati del Regno Unito. |
|
Addendum Approvato |
Il modello di Addendum emesso dall'ICO e presentato al Parlamento in conformità con la s119A del Data Protection Act 2018 del 2 febbraio 2022, come revisionato ai sensi della Sezione 18. |
|
SCC approvato dell'UE |
Le Clausole Contrattuali Standard indicate nell'Allegato della Decisione di Esecuzione della Commissione (UE) 2021/914 del 4 giugno 2021. |
|
ICO |
Il Commissario per l'Informazione. |
|
Trasferimento Riservato |
Un trasferimento coperto dal Capitolo V del GDPR del Regno Unito. |
|
Regno Unito |
Il Regno Unito di Gran Bretagna e Irlanda del Nord. |
|
Leggi sulla Protezione dei Dati del Regno Unito |
Tutte le leggi relative alla protezione dei dati, all'elaborazione dei dati personali, alla privacy e/o alle comunicazioni elettroniche in vigore di volta in volta nel Regno Unito, incluso il GDPR del Regno Unito e il Data Protection Act 2018. |
|
GDPR del Regno Unito |
Come definito nella sezione 3 del Data Protection Act 2018. |
- Questo Addendum deve sempre essere interpretato in un modo che sia coerente con le Leggi sulla Protezione dei Dati del Regno Unito e in modo da soddisfare l'obbligo delle Parti di fornire le Garanzie Appropriate.
- Se le disposizioni incluse nell'Addendum SCC dell'UE modificano gli SCC approvati in qualsiasi modo che non è consentito dagli SCC approvati dell'UE o dall'Addendum Approvato, tali modifiche non saranno incorporate in questo Addendum e la corrispondente disposizione degli SCC approvati prenderà il loro posto.
- Se c'è qualsiasi incoerenza o conflitto tra le Leggi sulla Protezione dei Dati del Regno Unito e questo Addendum, si applicano le Leggi sulla Protezione dei Dati del Regno Unito.
- Se il significato di questo Addendum non è chiaro o ci sono più di un significato, si applica il significato che più si avvicina alle Leggi sulla Protezione dei Dati del Regno Unito.
- Qualsiasi riferimento alla legislazione (o a specifiche disposizioni di legislazione) significa quella legislazione (o disposizione specifica) secondo il suo eventuale cambiamento nel tempo. Questo include dove quella legislazione (o disposizione specifica) è stata consolidata, rinnovata e/o sostituita dopo che questo Addendum è stato stipulato.
Gerarchia
- Sebbene la Clausola 5 degli SCC dell'UE approvati stabilisca che gli SCC dell'UE approvati prevalgano su tutti gli accordi correlati tra le Parti, le Parti concordano che, per trasferimenti ristretti, la gerarchia nella Sezione 10 prevarrà.
- Dove c'è qualche incoerenza o conflitto tra l'Addendum approvato e l'Addendum SCC dell'UE (se applicabile), l'Addendum approvato ha la precedenza sull'Addendum SCC dell'UE, tranne dove (e nella misura in cui) i termini incoerenti o conflittuali dell'Addendum SCC dell'UE forniscono una maggiore protezione per i soggetti interessati, nel qual caso quei termini prevarranno sull'Addendum approvato.
- Dove questo Addendum incorpora Addendum SCC dell'UE che sono stati stipulati per proteggere i trasferimenti soggetti al Regolamento generale sulla protezione dei dati (UE) 2016/679, le Parti riconoscono che nulla in questo Addendum influisce sugli Addendum SCC dell'UE.
Incorporazione e modifiche agli SCC dell'UE
- Questo Addendum incorpora gli Addendum SCC dell'UE che sono modificati nella misura necessaria affinché:
- insieme operino per trasferimenti di dati effettuati dall'esportatore di dati all'importatore di dati, nella misura in cui le leggi sulla protezione dei dati del Regno Unito si applicano al trattamento dell'esportatore di dati al momento dell'effettuazione di quel trasferimento, e forniscono Misure Appropriate per quei trasferimenti di dati;
- Le Sezioni 9-11 prevalgono sulla Clausola 5 (Gerarchia) dell'Addendum SCC dell'UE; e
- questo Addendum (inclusi gli SCC dell'UE incorporati in esso) è (1) regolato dalle leggi dell'Inghilterra e del Galles e (2) qualsiasi controversia derivante da esso è risolta dai tribunali dell'Inghilterra e del Galles, in ciascun caso a meno che le leggi e/o i tribunali della Scozia o dell'Irlanda del Nord non siano stati espressamente selezionati dalle Parti.
- A meno che le Parti non abbiano concordato modifiche alternative che soddisfano i requisiti della Sezione 12, si applicheranno le disposizioni della Sezione 15.
- Non possono essere apportate modifiche agli SCC dell'UE approvati, se non per soddisfare i requisiti della Sezione 12.
- Le seguenti modifiche all'Addendum SCC dell'UE (ai fini della Sezione 12) sono state apportate:
- I riferimenti alle “Clausole” significano questo Addendum, che incorpora gli Addendum SCC dell'UE;
- Nella Clausola 2, eliminare le parole:
“e, per quanto riguarda i trasferimenti di dati dai controllori ai processori e/o dai processori ai processori, clausole contrattuali standard ai sensi dell'articolo 28(7) del Regolamento (UE) 2016/679”; - La Clausola 6 (Descrizione del/i trasferimento/i) è sostituita con:
“I dettagli del/i trasferimento/i e in particolare le categorie di dati personali che vengono trasferiti e gli scopi per i quali vengono trasferiti sono quelli specificati nell'Allegato I.B dove le leggi sulla protezione dei dati del Regno Unito si applicano al trattamento dell'esportatore di dati al momento dell'effettuazione di quel trasferimento.”; - La Clausola 8.7(i) del Modulo 1 è sostituita con:
“è verso un paese che beneficia di regolamenti di adeguatezza ai sensi della Sezione 17A del GDPR del Regno Unito che copre il trasferimento successivo”; - La Clausola 8.8(i) dei Moduli 2 e 3 è sostituita con:
“il trasferimento successivo è verso un paese che beneficia di regolamenti di adeguatezza ai sensi della Sezione 17A del GDPR del Regno Unito che copre il trasferimento successivo;” - I riferimenti a “Regolamento (UE) 2016/679”, “Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 sulla protezione delle persone fisiche in relazione al trattamento dei dati personali e sulla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati)” e “quello Regolamento” sono tutti sostituiti da “Leggi sulla protezione dei dati del Regno Unito”. I riferimenti agli specifici articoli del “Regolamento (UE) 2016/679” sono sostituiti con l'equivalente articolo o sezione delle Leggi sulla protezione dei dati del Regno Unito;
- I riferimenti al Regolamento (UE) 2018/1725 sono rimossi;
- I riferimenti all'“Unione europea”, “Unione”, “UE”, “Stato membro dell’UE”, “Stato membro” e “UE o Stato membro” sono tutti sostituiti con il “Regno Unito”;
- Il riferimento a “Clausola 12(c)(i)” alla Clausola 10(b)(i) del Modulo uno, è sostituito con “Clausola 11(c)(i)”;
- La Clausola 13(a) e la Parte C dell'Allegato I non sono usate;
- Le “autorità di vigilanza competenti” e “autorità di vigilanza” sono entrambe sostituite con il “Commissario per l’informazione”;
- Nella Clausola 16(e), il comma (i) è sostituito con:
“il Segretario di Stato emette regolamenti ai sensi della Sezione 17A della Legge sulla protezione dei dati del 2018 che coprono il trasferimento di dati personali a cui si applicano queste clausole;”; - La Clausola 17 è sostituita con:
“Queste Clausole sono regolate dalle leggi dell'Inghilterra e del Galles.”; - La Clausola 18 è sostituita con:
“Qualsiasi controversia derivante da queste Clausole sarà risolta dai tribunali dell'Inghilterra e del Galles. Un soggetto interessato può anche intraprendere azioni legali contro l'esportatore di dati e/o l'importatore di dati presso i tribunali di qualsiasi paese nel Regno Unito. Le Parti concordano di sottoporsi alla giurisdizione di tali tribunali.”; e - Le note a piè di pagina degli SCC dell'UE approvati non fanno parte dell'Addendum, eccetto per le note a piè di pagina 8, 9, 10 e 11.
Modifiche a questo Addendum
- Le Parti possono concordare di modificare le Clausole 17 e/o 18 degli SCC dell'UE addendum per riferirsi alle leggi e/o ai tribunali della Scozia o dell'Irlanda del Nord.
- Se le Parti desiderano cambiare il formato delle informazioni incluse nella Parte 1: Tabelle dell'Addendum approvato, possono farlo concordando la modifica per iscritto, a condizione che la modifica non riduca le Misure Appropriate.
- Di tanto in tanto, l'ICO può emettere un Addendum approvato rivisto che:
- apporti modifiche ragionevoli e proporzionate all'Addendum approvato, inclusi la correzione di errori nell'Addendum approvato; e/o
- riflettano le modifiche alle leggi sulla protezione dei dati del Regno Unito;
l'Addendum approvato rivisto specificerà la data di inizio dalla quale le modifiche all'Addendum approvato sono efficaci e se le Parti devono rivedere questo Addendum, comprese le Informazioni dell'Appendice. Questo Allegato è automaticamente modificato come stabilito nell'Allegato Approvato rivisto a partire dalla data di inizio specificata.
- Se l'ICO emette un Allegato Approvato rivisto ai sensi della Sezione 18, se una qualsiasi Parte selezionata nella Tabella 4 “Terminazione dell'Allegato quando l'Allegato Approvato cambia”, avrà a seguito delle modifiche dell'Allegato Approvato un aumento sostanziale, sproporzionato e dimostrabile in: i suoi
- costi diretti per l'adempimento dei suoi obblighi ai sensi dell'Allegato; e/o
- il suo rischio ai sensi dell'Allegato,
e in entrambi i casi ha prima adottato misure ragionevoli per ridurre tali costi o rischi in modo che non siano sostanziali e sproporzionati, allora quella Parte può terminare questo Allegato al termine di un periodo di preavviso ragionevole, fornendo comunicazione scritta per quel periodo all'altra Parte prima della data di inizio dell'Allegato Approvato rivisto.
- Le Parti non hanno bisogno del consenso di alcuna terza parte per apportare modifiche a questo Allegato, ma eventuali modifiche devono essere effettuate conformemente ai suoi termini.
