Contratto di Incarico di Trattamento di HEYDIGA in qualità di Responsabile del Trattamento

Parti

Da una parte, il soggetto identificato come TITOLARE nel Contratto Principale (come definito di seguito).

Dall'altra parte, il soggetto HEYDIGA TECH, S.L., identificato nel Contratto Principale come prestatore dei servizi (di seguito, il RESPONSABILE DEL TRATTAMENTO).

Il TITOLARE e il RESPONSABILE DEL TRATTAMENTO, congiuntamente denominati le “Parti” e individualmente la “Parte”.

Le Parti, agendo nell'ambito del rapporto giuridico derivante dal contratto di prestazione di servizi da esse sottoscritto (di seguito, il “Contratto Principale”), e riconoscendosi reciprocamente la capacità legale necessaria ad obbligarsi,

Premesse

1. Che il TITOLARE, nell'ambito della propria attività, tratta dati personali di clienti, potenziali clienti e altri interessati, essendo responsabile della determinazione delle finalità e dei mezzi di tale trattamento in conformità alla normativa applicabile in materia di protezione dei dati.
2. Che il RESPONSABILE DEL TRATTAMENTO, HEYDIGA TECH, S.L., è una società tecnologica specializzata nello sviluppo e nell'esercizio di soluzioni digitali che consentono la gestione automatizzata delle comunicazioni, prenotazioni, appuntamenti e processi di assistenza alla clientela attraverso diversi canali (incluse integrazioni tramite API, assistenti conversazionali e altri sistemi digitali).
3. Che le Parti hanno sottoscritto un contratto principale di prestazione di servizi (di seguito, il “Contratto Principale”), in virtù del quale il RESPONSABILE DEL TRATTAMENTO presta determinati servizi al TITOLARE che possono comportare l'accesso e il trattamento di dati personali di titolarità del TITOLARE.
4. Che, nell'ambito dell'esecuzione di tali servizi, il RESPONSABILE DEL TRATTAMENTO potrà trattare dati personali per conto del TITOLARE, agendo in tale veste come responsabile del trattamento ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR).
5. Che le Parti riconoscono che, in funzione della specifica operatività dei servizi e delle integrazioni, il trattamento dei dati personali potrà implicare, tra l'altro, l'accesso remoto a sistemi, l'archiviazione in cloud, la sincronizzazione dei dati tra piattaforme, l'utilizzo di API e il trattamento automatizzato delle informazioni.
6. Che, in adempimento di quanto disposto dalla normativa applicabile in materia di protezione dei dati, e in particolare dal Regolamento (UE) 2016/679 (GDPR) e dalla Legge Organica 3/2018 (LOPDGDD), le Parti concordano di formalizzare il presente Contratto di Incarico di Trattamento dei Dati, che sarà disciplinato dalle seguenti:

Prima. – Definizioni

Ai fini del presente Contratto, i seguenti termini avranno il significato loro attribuito di seguito:

• Contratto Principale: il contratto di prestazione di servizi sottoscritto tra le Parti, in virtù del quale il RESPONSABILE DEL TRATTAMENTO presta determinati servizi al TITOLARE.
• Titolare del Trattamento o TITOLARE: il soggetto identificato come tale nel Contratto Principale, che determina le finalità e i mezzi del trattamento dei dati personali.
• Responsabile del Trattamento o RESPONSABILE DEL TRATTAMENTO: HEYDIGA TECH, S.L., che tratta dati personali per conto del TITOLARE nell'ambito della prestazione dei servizi.
• Dati Personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile, ai sensi dell'articolo 4 del GDPR.
• Trattamento dei Dati: qualsiasi operazione o insieme di operazioni eseguite su Dati Personali, sia mediante procedure automatizzate sia non, quali la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, la consultazione, l'utilizzo, la comunicazione, la cancellazione o la distruzione.
• Interessato: persona fisica i cui dati personali sono oggetto di trattamento.
• Violazione della sicurezza dei dati personali: qualsiasi violazione della sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato ai dati personali.
• Sub-responsabile: qualsiasi terzo incaricato dal RESPONSABILE DEL TRATTAMENTO che abbia accesso ai Dati Personali per la prestazione di parte dei servizi.
• Normativa in materia di protezione dei dati: il Regolamento (UE) 2016/679 (GDPR), la Legge Organica 3/2018 (LOPDGDD), nonché qualsiasi altra normativa applicabile in materia di protezione dei dati personali.
• Servizi: i servizi prestati dal RESPONSABILE DEL TRATTAMENTO in virtù del Contratto Principale, che possono includere, tra l'altro, la gestione automatizzata delle comunicazioni, prenotazioni, appuntamenti, integrazioni tecniche e trattamento dei dati tramite sistemi digitali.

Seconda. – Oggetto

Il presente Contratto ha per oggetto disciplinare le condizioni in cui il RESPONSABILE DEL TRATTAMENTO tratterà, per conto del TITOLARE, i Dati Personali necessari per la corretta prestazione dei Servizi nell'ambito del Contratto Principale.

Il trattamento dei Dati Personali da parte del RESPONSABILE DEL TRATTAMENTO sarà limitato alle finalità strettamente necessarie per l'esecuzione dei Servizi e sarà effettuato in ogni momento seguendo le istruzioni documentate del TITOLARE e in conformità alla Normativa in materia di protezione dei dati applicabile.

L'accesso ai Dati Personali da parte del RESPONSABILE DEL TRATTAMENTO avrà carattere di accesso per conto di terzi, non costituendo in alcun caso una cessione o comunicazione di dati, mantenendo il TITOLARE in ogni momento la titolarità, il controllo e la responsabilità su detti dati.

Il trattamento potrà implicare, tra l'altro, l'accesso remoto a sistemi, l'archiviazione in cloud, la sincronizzazione dei dati tra piattaforme, l'utilizzo di API e integrazioni tecniche, nonché il trattamento automatizzato delle informazioni, nella misura necessaria per la prestazione dei Servizi.

Terza. – Durata

Il presente Contratto rimarrà in vigore per tutta la durata del Contratto Principale.

Di conseguenza, il trattamento dei Dati Personali da parte del RESPONSABILE DEL TRATTAMENTO si estenderà per il tempo necessario alla prestazione dei Servizi e cesserà automaticamente una volta concluso il rapporto contrattuale tra le Parti, salvo che il loro trattamento risulti necessario per un periodo aggiuntivo ai fini dell'adempimento di obblighi legali o per la proposizione, l'esercizio o la difesa di pretese.

Alla risoluzione del Contratto Principale, il RESPONSABILE DEL TRATTAMENTO procederà alla destinazione dei Dati Personali conformemente a quanto stabilito nella clausola corrispondente del presente Contratto.

Quarta. – Trattamento di Dati di Carattere Personale

4.1. Ambito del trattamento

Mediante il presente Contratto, il RESPONSABILE DEL TRATTAMENTO è autorizzato a trattare, per conto del TITOLARE, i Dati Personali strettamente necessari per la prestazione dei Servizi.

Tale trattamento sarà effettuato in conformità alle istruzioni documentate del TITOLARE, a quanto disposto nel Contratto Principale e alla Normativa in materia di protezione dei dati applicabile.

4.2. Natura e finalità del trattamento

Il trattamento avrà come finalità la prestazione dei Servizi, che potranno includere, tra l'altro:

• la gestione delle comunicazioni con clienti e potenziali clienti;
• la gestione di prenotazioni, appuntamenti e agende;
• l'automatizzazione dei processi di assistenza alla clientela;
• l'integrazione e sincronizzazione dei dati tra sistemi tramite API o altre soluzioni tecniche;
• l'archiviazione, l'organizzazione e il trattamento delle informazioni in ambienti digitali.

4.3. Categorie di dati personali

I Dati Personali oggetto di trattamento potranno includere, tra gli altri, i seguenti:

• dati identificativi (nome, cognome, numero di telefono, indirizzo e-mail);
• dati di contatto;
• informazioni relative a prenotazioni, appuntamenti o interazioni;
• dati derivanti dall'utilizzo dei servizi;
• qualsiasi altro dato necessario per la corretta prestazione dei Servizi.

In via generale, non è previsto il trattamento di categorie particolari di dati personali, salvo che risulti strettamente necessario e sia debitamente autorizzato dal TITOLARE in conformità alla normativa applicabile.

4.4. Categorie di interessati

Gli interessati i cui dati potranno essere trattati sono principalmente:

• clienti del TITOLARE;
• potenziali clienti;
• utenti dei servizi del TITOLARE.

4.5. Operazioni di trattamento

Il trattamento potrà includere, tra le altre, le seguenti operazioni:

• raccolta, registrazione e archiviazione dei dati;
• organizzazione, strutturazione e conservazione;
• consultazione, utilizzo e accesso alle informazioni;
• comunicazione dei dati nei casi previsti nel presente Contratto o su istruzione del TITOLARE;
• cancellazione, blocco o distruzione dei dati.

Il trattamento potrà implicare l'accesso remoto a sistemi, l'utilizzo di infrastrutture cloud, la sincronizzazione dei dati tra piattaforme, l'utilizzo di API e il trattamento automatizzato delle informazioni.

4.6. Garanzie del RESPONSABILE DEL TRATTAMENTO

Il RESPONSABILE DEL TRATTAMENTO dichiara di essere stato selezionato dal TITOLARE in quanto offre garanzie sufficienti per attuare misure tecniche e organizzative adeguate, affinché il trattamento sia conforme alla Normativa in materia di protezione dei dati e sia garantita la tutela dei diritti degli interessati.

Quinta. – Obblighi del RESPONSABILE DEL TRATTAMENTO

Il RESPONSABILE DEL TRATTAMENTO si impegna ad adempiere ai seguenti obblighi:

5.1. Trattamento conforme alle istruzioni

Trattare i Dati Personali esclusivamente in conformità alle istruzioni documentate del TITOLARE, salvo che vi sia obbligato in virtù del diritto dell'Unione Europea o degli Stati membri, nel qual caso ne informerà previamente il TITOLARE, salvo divieto di legge.

5.2. Limitazione della finalità

Non utilizzare i Dati Personali per finalità proprie né diverse da quelle previste nel presente Contratto e nel Contratto Principale.

5.3. Riservatezza

Garantire che le persone autorizzate a trattare i Dati Personali si impegnino a rispettare la riservatezza o siano soggette a un obbligo legale di riservatezza.

5.4. Controllo degli accessi

Adottare le misure necessarie per garantire che qualsiasi persona che agisca sotto la propria autorità e abbia accesso ai Dati Personali possa trattarli esclusivamente seguendo le istruzioni del TITOLARE.

5.5. Misure di sicurezza

Applicare le misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio, includendo, tra le altre:

• controllo degli accessi e autenticazione;
• cifratura o pseudonimizzazione ove applicabile;
• protezione contro accessi non autorizzati;
• sistemi di backup e ripristino;
• registrazione degli accessi e delle attività (log);
• valutazione e revisione periodica delle misure di sicurezza.

5.6. Sub-responsabili del trattamento

Il TITOLARE autorizza in via generale il RESPONSABILE DEL TRATTAMENTO a ricorrere a sub-responsabili del trattamento per la prestazione dei Servizi.

Il RESPONSABILE DEL TRATTAMENTO si impegna a:

• selezionare sub-responsabili che offrano garanzie sufficienti in materia di protezione dei dati;
• sottoscrivere con essi contratti che impongano obblighi equivalenti a quelli stabiliti nel presente Contratto;
• mantenere un elenco aggiornato dei sub-responsabili, che metterà a disposizione del TITOLARE.

5.7. Assistenza al TITOLARE

Assistere il TITOLARE, tenendo conto della natura del trattamento, mediante misure tecniche e organizzative adeguate, affinché possa adempiere ai propri obblighi in materia di:

• esercizio dei diritti da parte degli interessati;
• sicurezza del trattamento;
• notifica delle violazioni della sicurezza;
• valutazioni d'impatto (DPIA) e consultazioni preventive.

In particolare, qualora il RESPONSABILE DEL TRATTAMENTO riceva una richiesta di esercizio dei diritti, la comunicherà al TITOLARE senza ingiustificato ritardo.

5.8. Notifica delle violazioni della sicurezza

Notificare al TITOLARE, senza ingiustificato ritardo e, in ogni caso, entro un termine massimo di 48 ore, qualsiasi violazione della sicurezza dei dati personali di cui venga a conoscenza, includendo le informazioni rilevanti per la sua gestione.

5.9. Trasferimenti internazionali

Non effettuare trasferimenti internazionali di dati personali al di fuori dello Spazio Economico Europeo senza disporre delle garanzie adeguate in conformità alla normativa applicabile.

5.10. Dimostrazione del rispetto degli obblighi

Mettere a disposizione del TITOLARE le informazioni necessarie per dimostrare il rispetto degli obblighi stabiliti nel presente Contratto e consentire audit ragionevoli, con preavviso sufficiente e senza interferire indebitamente con la propria attività.

Sesta. – Obblighi del TITOLARE

Spetta al TITOLARE:

1. Liceità del trattamento. Garantire che il trattamento dei Dati Personali sia lecito e venga effettuato in conformità alla Normativa in materia di protezione dei dati.
2. Informazione agli interessati. Informare gli interessati, in modo chiaro e trasparente, sul trattamento dei loro dati personali, incluso il coinvolgimento del RESPONSABILE DEL TRATTAMENTO.
3. Base giuridica. Disporre di una base giuridica valida per il trattamento dei Dati Personali e, ove necessario, raccogliere il consenso quando richiesto.
4. Istruzioni al RESPONSABILE DEL TRATTAMENTO. Fornire al RESPONSABILE DEL TRATTAMENTO le istruzioni necessarie per il trattamento dei Dati Personali e garantire che tali istruzioni siano conformi alla normativa applicabile.
5. Esattezza dei dati. Garantire che i Dati Personali forniti al RESPONSABILE DEL TRATTAMENTO siano esatti e aggiornati.
6. Sicurezza e conformità interna. Adottare le misure tecniche e organizzative necessarie per garantire la sicurezza dei Dati Personali nell'ambito della propria sfera di azione.
7. Responsabilità in merito al trattamento. Assumere la responsabilità in merito alle finalità del trattamento e all'adempimento degli obblighi che gli competono in qualità di Titolare del Trattamento.

Settima. – Notifica delle Violazioni della Sicurezza e Supporto all'Adempimento

7.1. Notifica delle violazioni della sicurezza

Il RESPONSABILE DEL TRATTAMENTO notificherà al TITOLARE, senza ingiustificato ritardo e, in ogni caso, entro un termine massimo di quarantotto (48) ore da quando ne sia venuto a conoscenza, qualsiasi violazione della sicurezza dei Dati Personali che rientri nella propria responsabilità.

Tale notifica includerà, per quanto possibile:

• la natura della violazione della sicurezza;
• le categorie e il numero approssimativo di interessati coinvolti;
• le categorie e il numero approssimativo di registrazioni interessate;
• le possibili conseguenze della violazione;
• le misure adottate o proposte per rimediare alla situazione e mitigarne gli effetti.

Qualora non sia possibile fornire tutte le informazioni simultaneamente, queste saranno fornite in modo graduale senza ingiustificato ritardo.

7.2. Valutazione del rischio

La notifica non sarà necessaria qualora sia improbabile che la violazione della sicurezza costituisca un rischio per i diritti e le libertà degli interessati, fermo restando l'obbligo del RESPONSABILE DEL TRATTAMENTO di documentare internamente tale circostanza.

7.3. Cooperazione con il TITOLARE

Il RESPONSABILE DEL TRATTAMENTO presterà al TITOLARE l'assistenza necessaria per:

• valutare l'impatto della violazione della sicurezza;
• adempiere agli obblighi di notifica all'autorità di controllo;
• comunicare la violazione agli interessati, ove applicabile.

7.4. Valutazioni d'impatto e consultazioni preventive

Il RESPONSABILE DEL TRATTAMENTO assisterà il TITOLARE, ove necessario, nella conduzione delle valutazioni d'impatto sulla protezione dei dati (DPIA) e nelle consultazioni preventive con l'autorità di controllo, tenendo conto della natura del trattamento e delle informazioni disponibili.

Ottava. – Destinazione dei Dati alla Scadenza del Contratto

8.1. Cessazione del trattamento

Una volta scaduto il Contratto Principale, il RESPONSABILE DEL TRATTAMENTO cesserà di trattare i Dati Personali, salvo nei casi in cui sia necessario conservarli per l'adempimento di obblighi legali o per la proposizione, l'esercizio o la difesa di pretese.

8.2. Opzioni sui dati

A scelta del TITOLARE, il RESPONSABILE DEL TRATTAMENTO dovrà:

• restituire i Dati Personali al TITOLARE; oppure
• trasferirli a un altro responsabile designato dal TITOLARE; oppure
• procedere alla loro cancellazione sicura.

8.3. Cancellazione e certificazione

In caso di cancellazione, il RESPONSABILE DEL TRATTAMENTO eliminerà i Dati Personali in modo sicuro, inclusa qualsiasi copia esistente, e potrà certificare tale eliminazione su richiesta del TITOLARE.

8.4. Conservazione bloccata

Il RESPONSABILE DEL TRATTAMENTO potrà conservare, debitamente bloccati, i Dati Personali necessari per far fronte a eventuali responsabilità derivanti dal rapporto contrattuale, per i periodi legalmente previsti.

8.5. Formato di restituzione

La restituzione dei dati, ove applicabile, avverrà in un formato strutturato, di uso comune e leggibile meccanicamente, ove tecnicamente possibile.

Nona. – Responsabilità

9.1. Responsabilità individuale

Ciascuna Parte sarà responsabile dell'adempimento degli obblighi che le competono in conformità al presente Contratto e alla Normativa in materia di protezione dei dati.

9.2. Responsabilità del RESPONSABILE DEL TRATTAMENTO

Il RESPONSABILE DEL TRATTAMENTO risponderà esclusivamente per i danni derivanti dalla propria condotta qualora abbia violato gli obblighi che gli competono in qualità di responsabile del trattamento o abbia agito al di fuori o in contrasto con le lecite istruzioni del TITOLARE.

9.3. Responsabilità del TITOLARE

Il TITOLARE sarà responsabile di:

• la liceità del trattamento dei Dati Personali;
• la raccolta dei dati e le informazioni fornite agli interessati;
• la base giuridica che legittima il trattamento;
• le istruzioni fornite al RESPONSABILE DEL TRATTAMENTO.

9.4. Sanzioni e reclami

Nel caso in cui un'autorità di controllo irroghi una sanzione o derivi un reclamo di terzi a seguito dell'inadempimento da parte di una delle Parti dei propri obblighi in materia di protezione dei dati, tale Parte assumerà integralmente la responsabilità che le compete.

9.5. Limitazione di responsabilità

Nella misura consentita dalla normativa applicabile, la responsabilità del RESPONSABILE DEL TRATTAMENTO sarà limitata ai danni diretti effettivamente causati, rimanendo esclusi in ogni caso i danni indiretti, il mancato guadagno o la perdita di attività.

Decima. – Controllo del Rispetto degli Obblighi e Audit

10.1. Diritto di verifica

Il RESPONSABILE DEL TRATTAMENTO metterà a disposizione del TITOLARE le informazioni necessarie per dimostrare il rispetto degli obblighi stabiliti nel presente Contratto.

10.2. Audit

Il TITOLARE potrà effettuare, direttamente o tramite un terzo indipendente, audit ragionevoli per verificare il rispetto del presente Contratto, purché:

• vengano effettuati con un preavviso minimo di quindici (15) giorni;
• siano limitati allo strettamente necessario;
• non interferiscano in modo significativo con l'attività del RESPONSABILE DEL TRATTAMENTO;
• vengano rispettati gli obblighi di riservatezza e sicurezza del RESPONSABILE DEL TRATTAMENTO.

10.3. Costi dell'audit

Salvo che l'audit riveli una grave inadempienza da parte del RESPONSABILE DEL TRATTAMENTO, i costi derivanti dallo stesso saranno a carico del TITOLARE.

10.4. Misure alternative

Il RESPONSABILE DEL TRATTAMENTO potrà, ove ragionevole, sostituire audit in presenza con la consegna di certificazioni, rapporti di audit o documentazione equivalente che attesti il rispetto dei propri obblighi.

Undicesima. – Riservatezza

Le Parti si obbligano a mantenere la riservatezza di tutte le informazioni a cui abbiano accesso nell'ambito del presente Contratto, inclusi, in particolare, i Dati Personali e qualsiasi altra informazione di carattere riservato.

Tale informazione potrà essere utilizzata esclusivamente per la corretta esecuzione del presente Contratto e del Contratto Principale, non potendo essere comunicata a terzi senza il previo consenso scritto dell'altra Parte, salvo obbligo di legge.

Il RESPONSABILE DEL TRATTAMENTO si impegna ad applicare le misure tecniche e organizzative necessarie per garantire la riservatezza, l'integrità e la disponibilità delle informazioni trattate.

Il presente obbligo di riservatezza ha carattere indefinito e rimarrà in vigore anche dopo la cessazione del presente Contratto, per qualsiasi causa essa avvenga.

Dodicesima. – Inadempimento e Risoluzione

L'inadempimento da parte di una delle Parti degli obblighi stabiliti nel presente Contratto conferirà all'altra Parte la facoltà di risolverlo, fatte salve le azioni legali che ne possano conseguire.

La risoluzione del presente Contratto non esimerà le Parti dall'adempimento di quegli obblighi che, per loro natura, debbano sussistere dopo la sua cessazione, inclusi, in particolare, gli obblighi in materia di protezione dei dati e riservatezza.

In ogni caso, la cessazione del presente Contratto comporterà l'applicazione di quanto disposto nella clausola relativa alla destinazione dei Dati Personali.

Tredicesima. – Legislazione Applicabile e Foro Competente

Il presente Contratto sarà disciplinato e interpretato in conformità alla legislazione spagnola.

Per la risoluzione di qualsiasi controversia derivante dal presente Contratto, le Parti, con espressa rinuncia a qualsiasi altro foro che potesse loro competere, si sottomettono alla giurisdizione dei Tribunali di Barcellona.

Qualora una delle disposizioni del presente Contratto fosse dichiarata nulla, invalida o inapplicabile, tale circostanza non pregiudicherà la validità del resto del Contratto, che rimarrà in pieno vigore ed effetto.