Accordo sul trattamento dei dati (DPA)

Accordo ai sensi dell'art. 28 del GDPR · Versione del DPA: Versione 1

Tra [Titolare del trattamento]

— di seguito il « Titolare del trattamento » —

e Trust Center

— di seguito il « Responsabile del trattamento » —

Traduzione automatica – non vincolante. Fanno fede le versioni EN/FR. In preparazione, revisione legale in corso.

Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati (« DPA ») costituisce parte integrante del contratto tra il Cliente (« Titolare del trattamento ») e Fotosoft SA, società costituita in Belgio (n. di impresa BE 0721.709.989), che gestisce la piattaforma fotostudio.io (« Responsabile del trattamento »), e disciplina il trattamento dei dati personali ai sensi dell'articolo 28 del GDPR.

1. Ruoli e oggetto

Il Cliente (un fotografo professionista o uno studio fotografico) è il Titolare del trattamento dei dati personali che carica o genera nella piattaforma. Fotosoft agisce esclusivamente in qualità di Responsabile del trattamento, trattando tali dati secondo le istruzioni documentate del Titolare al fine di fornire il servizio (CRM, prenotazioni, gallerie, contratti, fatturazione, e-mail).

2. Natura, finalità e durata

Fotosoft si impegna a trattare i dati esclusivamente nell'ambito di tali finalità (« Fotosoft tratta i dati solo per gestire il servizio »). Il trattamento dura per l'intera durata dell'abbonamento del Titolare.

3. Categorie di dati e interessati

Interessati: i clienti e i contatti del Titolare, nonché il personale del Titolare.
Categorie: dati di identificazione e di contatto, dati di prenotazione e di contratto, dati di fatturazione e materiale fotografico caricato.

4. Obblighi del Responsabile del trattamento

Fotosoft si impegna a: trattare i dati esclusivamente secondo istruzioni documentate; garantire che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza; attuare le misure di cui all'Allegato 1 (Misure tecniche e organizzative); assistere il Titolare nelle richieste degli interessati e nell'adempimento degli obblighi di cui agli articoli 32–36 del GDPR; e cancellare o restituire i dati al termine del rapporto (cfr. §8).

5. Sub-responsabili del trattamento

5.1 Autorizzazione generale. Il Titolare concede a Fotosoft un'autorizzazione generale scritta ai sensi dell'art. 28, par. 2, secondo periodo, del GDPR a ricorrere ad altri responsabili («sub-responsabili del trattamento»). I sub-responsabili autorizzati alla data di conclusione sono elencati nell'Allegato 2.

5.2 Elenco dinamico. L'elenco aggiornato di tutti i sub-responsabili del trattamento — comprensivo di nome, finalità, ubicazione e categorie di dati — è tenuto e versionato da Fotosoft in modo continuativo nel Trust Center, nella sezione «Sub-responsabili del trattamento». Tale elenco dinamico prevale e forma parte integrante del presente AVV; l'Allegato 2 ne riflette lo stato alla data di conclusione.

5.3 Informazione preventiva. Qualora Fotosoft intenda aggiungere o sostituire un sub-responsabile del trattamento, ne informa il Titolare con un ragionevole preavviso rispetto alla data di efficacia prevista. L'informazione è fornita attivamente via e-mail all'indirizzo del Titolare registrato per l'AVV concluso; inoltre, il Titolare può abbonarsi alle notifiche di modifica nel Trust Center. È onere del Titolare mantenere un indirizzo e-mail di contatto valido e aggiornato.

5.4 Diritto di opposizione. Il Titolare può opporsi a una modifica prevista per un legittimo motivo attinente alla protezione dei dati fino alla data di efficacia annunciata. In assenza di opposizione entro tale data, la modifica si considera approvata e ha effetto alla data annunciata.

5.5 Conseguenze dell'opposizione. In caso di opposizione, le parti ricercano in buona fede una soluzione amichevole. Qualora non sia possibile trovarla entro un termine ragionevole, il Titolare può recedere, per la parte del Servizio che richiede il sub-responsabile, in via straordinaria. La rimozione di un sub-responsabile del trattamento senza sostituzione non costituisce una modifica soggetta ad approvazione e non richiede autorizzazione preventiva.

5.6 Trasferimento degli obblighi. Fotosoft impone a ciascun sub-responsabile del trattamento, per contratto, obblighi di protezione dei dati sostanzialmente identici a quelli previsti nel presente AVV, e resta responsabile nei confronti del Titolare del rispetto da parte del sub-responsabile.

6. Misure tecniche e organizzative (TOM)

6.1 Misure. Fotosoft attua e mantiene le misure tecniche e organizzative di cui all'articolo 32 del GDPR che garantiscono un livello di sicurezza adeguato al rischio. Le misure in vigore alla data di conclusione sono indicate nell'Allegato 1.

6.2 Documento dinamico. La versione aggiornata delle misure tecniche e organizzative — comprensiva della loro portata e del loro contenuto — è tenuta e versionata da Fotosoft in modo continuativo nel Trust Center. Tale versione prevale e forma parte integrante del presente AVV; l'Allegato 1 ne riflette lo stato alla data di conclusione.

6.3 Aggiornamenti. Fotosoft può adeguare le misure tecniche e organizzative in linea con gli sviluppi tecnici e organizzativi, purché il livello di protezione convenuto non sia sostanzialmente ridotto. Diversamente da quanto previsto per i sub-responsabili del trattamento (§5), a tale riguardo non si applica alcun diritto di consenso o di opposizione.

6.4 Informazione. Le modifiche alle misure tecniche e organizzative sono rese tracciabili mediante versionamento nel Trust Center, dove il Titolare può abbonarsi alle notifiche di modifica. A tal fine non è richiesta una comunicazione individuale attiva via e-mail.

7. Trasferimenti internazionali

Fotosoft non trasferisce dati personali al di fuori dello Spazio economico europeo, salvo nei casi coperti da una decisione di adeguatezza o da garanzie adeguate quali le Clausole contrattuali tipo dell'UE. Tutti i dati sono ospitati esclusivamente in Europa.

Review note (EN): some sub-processors (Heroku/Salesforce, AWS, Stripe, PayPal, SMTP2GO) have US parent companies. Confirm transfer mechanisms with counsel even though storage is in the EU.

8. Cancellazione

In caso di risoluzione, tutti i dati personali sono cancellati definitivamente dai server entro 30 giorni; i backup sono cancellati alla scadenza del relativo periodo di conservazione.

9. Incidenti di sicurezza

Fotosoft notifica il Titolare senza ingiustificato ritardo e, qualora la violazione riguardi dati personali, entro 72 ore.

10. Audit

Fotosoft mette a disposizione le informazioni necessarie per dimostrare la conformità all'articolo 28 del GDPR.

11. Legge applicabile

Il presente DPA è disciplinato dal diritto belga; i tribunali competenti sono quelli di Liège.

Allegato 1 — Misure tecniche e organizzative

Riflette lo stato del documento Misure tecniche e organizzative alla data di conclusione. La versione aggiornata è tenuta e versionata nel Trust Center (§6.2).

Allegato 2 — Sub-responsabili del trattamento autorizzati

Si veda l'elenco Sub-responsabili del trattamento separato, che prevale e riflette lo stato aggiornato (§5.2). L'Allegato 2 ne riflette lo stato alla data di conclusione.