DPA - Data Processing Agreement

1.01Como parte integral de este acuerdo, CORETECH y el CLIENTE acuerdan las siguientes premisas fácticas:

• (a) como se indica en el contrato de servicio, CORETECH proporciona servicios informaticos (IaaS, SaaS, servicios de mantenimiento relacionados) que involucran la necesidad de acceder, incluso potencialmente, a los datos del CLIENTE, como prerrequisito técnico para poder prestar los servicios o prestar la asistencia correspondiente;
• (b) questo comporta quindi che la CORETECH svolga trattamenti sui dati personali gestiti dal CLIENTE tramite i servizi forniti, operando questi trattamenti esclusivamente per conto di quest'ultimo;
• (c) los datos personales gestionados por el CLIENTE a través de los servicios en cuestión pueden ser de cualquier tipo, comunes, particulares o incluso relacionados con condenas penales o delitos, siendo únicamente el CLIENTE quien decide cómo utilizar los servicios y por tanto qué datos personales ingresar y qué procesamiento, limitándose CORETECH a brindar únicamente los servicios informaticos;
• (d) el CLIENTE también puede llevar a cabo el procesamiento de datos personales decidiendo los fines y los medios de procesamiento o puede, a su vez, procesar los datos en nombre de otro sujeto, del cual recibe instrucciones sobre el procesamiento de dichos datos personales;
• (e) el CLIENTE puede, por tanto, ser directamente responsable del tratamiento (o copropietario) o encargado del tratamiento o subadministrador según el tipo de servicio que el CLIENTE a su vez preste a terceros;
• (f) dadas estas premisas, es necesario regular las formas en que CORETECH gestiona el tratamiento de los datos personales por cuenta del CLIENTE, con el fin de asegurar que el tratamiento respeta la normativa de privacidad y garantiza la protección de los derechos y libertades de los interesados;
• (g) il presente accordo intende disciplinare gli obblighi e i diritti spettanti alle parti, CORETECH e il CLIENTE, relativamente al rispetto degli adempimenti previsti dalla normativa privacy, in particolare il regolamento (UE) 2016/679 (d'ora innanzi GDPR) e il codice della privacy di cui al D.lgs. 30.06.2003 n. 196, come modificato D.lgs. 10.08.2018 n. 101 ed eventuali successive modificazioni o integrazioni nonché la relativa disciplina regolamentare da essa derivante;
• (h) CORETECH ha adottato le misure tecniche ed organizzative al fine di garantire che i servizi offerti ai propri clienti abbiano un'adeguata protezione, secondo standard tecnici di mercato, al fine di assicurare una efficiente tutela dei diritti e delle libertà degli interessati in relazione ai loro dati personali.

1.02 Il presente accordo deve intendersi come parte integrante del contratto di fornitura di servizi CORETECH, avendo ad oggetto la disciplina dei conseguenti adempimenti di cui all'art. 28 GDPR, ripartendoli tra CORETECH e il CLIENTE secondo il principio di responsabilità condivisa come di seguito precisato.

2.01 Al fine dell'applicazione ed interpretazione del presente accordo i termini e le espressioni utilizzati dovranno intendersi secondo quanto di seguito indicato:

• (a) Se tomarán las definiciones que se hayan indicado en el contrato de servicios celebrado entre CORETECH y el CLIENTE. en cuenta;
• (b) Si terrà contro altresì delle definizioni normative previste dalla disciplina sulla privacy, tra cui in primo luogo quanto stabilito dall'art. 4 § 1 GDPR nonché quanto consolidato dalla prassi applicativa proposta dagli organi europei competenti in materia e dall'Autorità Garante per la protezione dei dati personali italiana, oltre alla giurisprudenza europea e italiana pertinente;
• (c) Per comodità espositiva si considera "responsabile del trattamento" colui che tratta di dati per conto di un titolare del trattamento, mentre si considera "sub-responsabile" colui che tratta dati per conto di un responsabile del trattamento o un altro sub-responsabile del trattamento;
• (d) En este acuerdo, por sencillez en la exposición, CORETECH se indica como el responsable del tratamiento, incluso sea clasificable como un sub-responsable en relación con el papel desempeñado por el CLIENTE.

3.01 Il CLIENTE nomina CORETECH responsabile del trattamento dei dati personali i quali vengono trattati tramite i servizi informatici, oggetto del contratto di fornitura concluso con la seconda, autorizzando quest'ultima al trattamento, per conto del primo, dei relativi dati personali e solo in quanto necessario per l'erogazione dei servizi informatici stessi, nel rispetto dei termini contrattuali di fornitura e secondo quanto stabilito nel presente accordo.

3.02 En relación con el nombramiento, se acuerda que:

• (a) Le finalità del trattamento dei dati personali trasmessi dal CLIENTE sono esclusivamente quelle di erogare i servizi informatici di cui al precedente comma e sono effettuate per conto del CLIENTE da parte di CORETECH, quale responsabile del trattamento, secondo le indicazioni del presente accordo od anche su specifica istruzione scritta di quest'ultimo, sempre se conforme alla disciplina sulla privacy e nel rispetto dei termini contrattuali del servizio;
• (b) Nell'ambito dei trattamenti consentiti al responsabile del trattamento di cui alla lettera precedente, è compresa anche l'attività di assistenza tecnica, l'aggiornamento e la manutenzione dei sistemi informatici richiesta dal CLIENTE, se del caso anche in modalità "on premise", e possono consistere in tutte le relative operazioni di supporto e quindi a titolo esemplificativo:
  • - attività di migrazione dati finalizzata all'installazione ed al collaudo di software o servizi informatici;
  • - servizi di assistenza e aggiornamento che comportano (ancorché occasionalmente) l'accesso remoto ai dati del CLIENTE (es. tramite strumenti di accesso remoto, per es. TeamViewer, VPN, etc.);
  • - análisis de datos (DB, pantallas, exportación de datos, etc.) del CLIENTE para verificar problemas técnicos y realizar actividades de mantenimiento o soporte técnico;
• (c) El responsable del tratamiento podrá realizar los tratamientos de forma automatizada o en papel, siempre que sea necesario para las finalidades anteriormente indicadas;
• (d) El CLIENTE decide el tipo de datos personales a tratar a través de los servicios informáticos proporcionados por el responsable del tratamiento, que pueden ser datos personales comunes, de una categoría particular o relacionados con condenas o delitos;
• (e) La categoria di interessati si riferisce a persone fisiche come clienti, fornitori o dipendenti del CLIENTE, dipendendo dal tipo di attività o servizi offerti a sua volta da quest'ultimo a terzi, direttamente o indirettamente;
• (f) La durata del trattamento è limitata alla durata del servizio come descritto nelle condizioni generali di fornitura ed al termine i dati personali saranno cancellati secondo quanto contrattualmente stabilito, salvo diversa istruzione scritta dal CLIENTE, sempre se conforme alla disciplina sulla privacy e nel rispetto dei termini contrattuali del servizio. Resta salva l'ipotesi prevista dall'art. 28 § 3 lett. g) GDPR relativa al caso in cui il diritto dell'Unione Europea o il diritto italiano preveda la conservazione dei dati;
• g) Il CLIENTE dichiara e garantisce di avere tutti i poteri necessari per effettuare la nomina del responsabile in relazione ai dati personali che quest'ultimo tratterà per suo conto, nel rispetto della normativa sulla privacy.

4.01 Las partes reconocen que el CLIENTE puede tomar diferentes posiciones en relación a la normativa de privacidad, pudiendo ser el titular (o copropietario) del tratamiento para el datos para los que él decide los fines y los medios de procesamiento o si procesa datos personales por instrucción y en nombre de otros, el controlador de datos o subprocesador, según sea el caso.

4.02 En el caso de que el CLIENTE realice las operaciones de tratamiento por cuenta de un responsable o encargado del tratamiento o un subprocesador, el CLIENTE garantiza que este acuerdo cumple con las instrucciones recibidas y las facultades conferidas, habiendo verificado la regularidad de su cargo ante firma de las condiciones de suministro de CORETECH y este contrato.

4.03 Nel caso previsto dai commi precedenti, CORETECH assumerà il ruolo di responsabile del trattamento o sub-responsabile a seconda del ruolo rivestito dal CLIENTE

4.04 All'atto della sottoscrizione del contratto di fornitura dei servizi offerti da CORETECH, il CLIENTE dovrà specificare nel modulo d'ordine il proprio ruolo rispetto ai dati personali che verranno trattati con i servizi ordinati ed in mancanza di indicazione si intenderà che questi assuma il ruolo di titolare del trattamento.

4.05 Si durante el transcurso del contrato de suministro cambia el rol del CLIENTE, éste será obligado a comunicarlo al responsable del tratamiento, en la forma allí indicada.

4.06 CORETECH compilerà il registro del responsabile del trattamento ex art. 30 co. 2 GDPR, indicando il ruolo del CLIENTE, rispetto ai dati personali oggetto del contratto di fornitura, secondo quanto da quest'ultimo dichiarato come innanzi indicato.

5.01 Nell'ambito dell'esecuzione del presente accordo, CORETECH, quale responsabile del trattamento si adeguerà alle istruzioni del CLIENTE, in relazione ai dati personali oggetto di trattamento, salvo che le operazioni richieste con le istruzioni non siano previste dal presente accordo o comportino variazioni di risorse informatiche e organizzative non comprese nel contratto di fornitura dei servizi.

5.02 In quest'ultima ipotesi, CORETECH valuterà la fattibilità delle istruzioni e, se fattibile, concorderà con il CLIENTE le suddette variazioni e costi relativi. In mancanza di accordo, le istruzioni non saranno attuate, valendo quanto disciplinato dal presente accordo.

5.03Se entiende que las instrucciones del CLIENTE también comprendidas en este contrato y en todo caso los tratamientos que se realicen como responsable del tratamiento, se llevarán a cabo siempre que no supongan, a juicio de CORETECH, una vulneración de la legislación sobre privacidad o una orden impuesta por una autoridad pública.

5.04 In quest'ultimo caso CORETECH invierà senza ritardo motivazione scritta al CLIENTE, fatto salvo i divieti previsti dalla legge.

6.01 IL CLIENTE autorizza in via generale CORETCH, quale responsabile del trattamento, a nominare sub-responsabili del trattamento per l'esplicazione di parte dei propri compiti purché nel rispetto del contratto di fornitura e del presente accordo.

6.02 L'autorizzazione suddetta comporta il potere di aggiungere nuovi sub-responsabili o sostituirli, e modificare i relativi accordi contrattuali.

6.03L'autorizzazione generale conferita è così disciplinata:

• (a) La persona designada deberá presentar adecuadas garantías de adecuación tanto en relación a la seguridad del tratamiento como en relación a la protección de los derechos y libertades de los interesados ​​y en todo caso respetuoso de los estándares de mercado del sector;
• (b)I trattamenti dei dati personali svolti dal sub-responsabile saranno limitati solo a quanto necessario per la fornitura di servizi subappaltati e in quanto rilevanti e utili per l'esplicazione di una parte dei servizi oggetto del contratto di fornitura di CORETECH;
• (c)La nomina del sub-responsabile sarà effettuata per iscritto, imponendo obblighi di tutela non inferiore a quelli previsti dal presente accordo e dall'art. 28 GDPR;
• (d) El CLIENTE será notificado con anticipación y por escrito del nombramiento dentro del término de 30 (treinta) días, que dentro del referido término podrá oponerse por escrito. En caso de oposición por parte del CLIENTE, CORETECH podrá rescindir el contrato de suministro con 30 días de preaviso, sin proceder al nombramiento del subgerente en relación a los servicios a prestar con el CLIENTE;
• (e)L'elenco dei sub-responsabili nominati da CORETECH si trova nell'area riservata del CLIENTE, nell'area "comunicazioni contrattuali".

7.01 Sempre nel rispetto della normativa privacy, il responsabile potrà trasferire i dati personali del CLIENTE, se possibile tecnicamente tramite sistemi di cifratura secondo standard tecnici riconosciuti a livello internazionale, anche fuori dallo Spazio Economico Europeo (SEE) o da un paese che non goda di una decisione di adeguatezza da parte della Commissione Europea ai sensi dell'art. 45 del GDPR, esclusivamente qualora nomini un sub-responsabile ai sensi del precedente art. 6 e rispettando una delle seguenti condizioni:

• (a)vengano stipulate le clausole contrattuali tipo previste nella Decisione della Commissione Europea 2010/87/UE, del 5 febbraio 2010, con il sub-responsabile del trattamento nominato da CORETECH, la quale è autorizzata fin d'ora dal CLIENTE a sottoscriverle;
• (b)oppure nel caso il sub-responsabile sia situato negli Stati Uniti, anche tramite applicazione del "Privacy Shield", www.privacyshield.gov, mencionado en la Decisión de la Comisión Europea 2016/1250 / EU de 12 de julio de 2016;
• (c)oppure, se il sub-responsabile del trattamento sia parte di un gruppo societario in relazione a trasferimenti infragruppo, quest'ultimo abbia ottenuto l'approvazione delle BCR (norme vincolanti d'impresa).

7.02 El responsable del tratamiento facilita al CLIENTE la información y documentación adecuada en relación con lo anterior.

7.03 Nel modulo d'ordine, il CLIENTE può scegliere di non applicare la presente clausola, barrando la relativa opzione e in questo caso i dati personali saranno trattati da CORETECH esclusivamente all'interno dello Spazio Economico Europeo (SEE).

7.04 Queda un acuerdo diferente entre las partes.

8.01 Le parti si danno atto che l'efficienza, sicurezza e conformità alla normativa sulla privacy dei servizi cloud forniti da CORETECH, sono oggetto di una responsabilità condivisa tra quest'ultima e il CLIENTE, che obbliga entrambe le parti ad attivarsi con la dovuta diligenza per la gestione dell'ambito informatico di propria competenza e sotto la propria responsabilità.

8.02 Como ejemplo, con el fin de comprender el concepto de responsabilidad compartida, se resume en la página web gdpr.php, del cual se extrajo el archivo pdf correspondiente y se envió a las partes del pie de imprenta
sha256 5c548cea59adc7229b8b3e9d7
c85a63b13ae7fc998562dbcb84ce586c7199 la asignación de tareas al CLIENTE, relativo a los servicios ofrecidos por CORETECH. Los contenidos de la citada página pueden ser actualizados con el tiempo en relación al desarrollo tecnológico de los servicios ofertados.

8.03 Ognuna delle parti si impegna inoltre a rispettare i propri obblighi derivanti dalla disciplina sulla privacy ed a collaborare secondo buona fede nell'ambito dell'applicazione del presente accordo al fine di garantire i diritti e le libertà degli interessati.

9.01 La modalidad de comunicación se realiza con las mismas formas previstas en las condiciones generales de suministro.

10.01 En cuanto a la ley aplicable, el idioma aplicable y el tribunal aplicable, se hace referencia a las condiciones generales de suministro.

11.01 CORETECH, quale responsabile del trattamento, si impegna nell'ambito dei trattamenti previsti dal presente accordo, relativi alla fornitura dei servizi informatici sopra descritti, ad adottare le misure tecniche ed organizzative adeguate, secondo standard tecnici di mercato, al fine di consentire la tutela della liceità dei trattamenti dei dati personali, la loro riservatezza, integrità, disponibilità e la resilienza dei servizi forniti.

11.02CORETECH declara haber elaborado un plan de gestión del cumplimiento por la seguridad y privacidad de la información, que resume las medidas de protección para gestionar sus servicios en cumplimiento del párrafo anterior.

11.03 Un resumen de las medidas de protección adoptadas se encuentran contenidas en la ficha técnica A) adjunta al presente contrato.

11.04 CORETECH potrà aggiornare le misure di protezione per mantenere o aumentare i livelli di sicurezza dei servizi e all'uopo troverà applicazione il contratto di servizi circa le modalità operative.

11.05 En todo caso, se entiende que CORETECH, con el fin de proteger los datos personales que le son encomendados en este contrato, podrá tomar todas las medidas, incluidas las extraordinarias, previstas en el contrato de suministro, incluida la suspensión de los servicios.

11.06 Si el CLIENTE solicita adoptar medidas técnicas y organizativas adicionales, CORETECH se reserva el derecho de verificar la viabilidad de la solicitud y acordar, si es necesario, los métodos y costos relativos.

11.07 Il CLIENTE prima di accettare il presente accordo, ha verificato le misure di sicurezza sopra indicate, riscontrandole idonee all'ambito del trattamento dati da esso effettuato.

12.01 El responsable del tratamiento audita periódicamente su sistema de gestión de la información y plan de cumplimiento de la privacidad, del que elabora un informe escrito. Si lo considera oportuno, el mismo también realizará auditorías de terceros de acuerdo con los estándares y prácticas internacionales.

12.02 Para demostrar el cumplimiento de este contrato, el responsable del tratamiento también podrá mostrar al CLIENTE, en su sede, la documentación a que se refiere el párrafo anterior, sin extraer copia y se registrará la verificación y los resultados.

12.03 Resta salva la facoltà del CLIENTE di poter effettuare, a proprie spese, degli audit di terze parti al fine di verificare gli adempimenti al presente accordo, tramite proprio personale specializzato o professionisti di provata esperienza, in ogni caso vincolati per iscritto ad obblighi di riservatezza. CORETECH potrà opporsi alla nomina di professionisti che siano in conflitto di interesse, non sufficientemente qualificati o non indipendenti e in questo caso il CLIENTE dovrà proporre un diverso nominativo o svolgere direttamente l'audit. La relazione dell'audit, sarà messa a disposizione del responsabile del procedimento gratuitamente.

12.04 Le modalità di svolgimento dell'audit di cui al punto precedente saranno concordate dalle parti, e CORETECH comunicherà il costo orario del proprio personale incaricato di assistervi, comunque non inferiore alla tariffa oraria per l'assistenza tecnica.

12.05 Las actividades de verificación que involucren a los subprocesadores designados por CORETECH se llevarán a cabo en la forma acordada con este último, en cumplimiento de sus políticas de cumplimiento de privacidad.

13.01 El CLIENTE es consciente de que el uso y seguridad de los servicios adquiridos por CORETECH requiere una adecuada configuración de los servicios, la cual es decidida de forma autónoma por el CLIENTE según las condiciones generales de suministro.

13.02 El CLIENTE se compromete a configurar, en la medida de su competencia, los servicios antes mencionados con el fin de garantizar un nivel adecuado de protección en relación con su área de tratamiento de datos personales en conformidad con la legislación de privacidad.

13.03 En todo caso, el CLIENTE informará puntualmente a CORETECH en caso de sospecha o constatación de violaciones de seguridad de los servicios adquiridos, aportando la documentación adecuada al respecto.

4.01 Resta inteso tra le parti che nel caso vengano utilizzati dal CLIENTE sui servizi di CORETECH componenti o servizi di terze parti, quest'ultima non sarà responsabile della loro gestione anche in relazione alle misure di protezione per la conformità alla normativa privacy.

15.01 En caso de que CORETECH tenga conocimiento de un evento que esté dando lugar o pueda haber dado lugar a una violación de los datos personales a los que se refiere este acuerdo, informará al CLIENTE lo antes posible , con los métodos previstos en el contrato de asistencia, transfiriendo la información a su disposición.

In ogni caso CORETECH invierà al CLIENTE, senza ritardo e per quanto ragionevolmente possibile, una relazione scritta che descriva i possibili danni cagionati e le cause se conosciute, le misure di protezione adottate per evitare o mitigare i potenziali rischi e suggerendo al CLIENTE le misure opportune a tutela dei dati personali trattati. Quest'ultimo verrà comunque tenuto sempre costantemente aggiornato.

15.02 Se entiende que la comunicación anterior no constituye reconocimiento de un incumplimiento o responsabilidades del responsable del tratamiento, en relación con la infracción denunciada en la misma.

15.03 Le parti concordano che nel rispetto dell'art. 33 e 34 del GDPR, spetti al CLIENTE effettuare le comunicazioni ivi previste all'Autorità Garante sotto la sua esclusiva responsabilità.

16.01 El responsable del tratamiento se compromete en ayudar al CLIENTE a garantizar el cumplimiento de las obligaciones establecidas por la legislación sobre privacidad en relación con los servicios prestados, en particular también con respecto a las obligaciones relativas a la principios de minimización del tratamiento de datos personales (privacidad por diseño y privacidad por defecto), así como con respecto a la evaluación de impacto de protección de datos (DPIA) y consulta previa.

16.02 En relación con el punto anterior, el responsable del tratamiento únicamente estará obligado a facilitar información relativa a los servicios prestados que puedan ser de utilidad al CLIENTE y que representen los métodos estándar con los que se configuran y facilitan.

16.03 Nel caso il CLIENTE richieda un'assistenza personalizzata in relazione al tipo di servizio che intende configurare nell'ambito della propria autonomia, CORETECH avrà diritto ad un corrispettivo che sarà concordato con il CLIENTE insieme con le relative modalità di svolgimento dell'assistenza richiesta.

17.01 Nel caso in cui il responsabile del trattamento riceva richieste per l'esercizio di diritti da parte di interessati in relazione a dati personali che tratta per conto del CLIENTE in base al presente accordo, sarà tenuto ad inviarle senza ritardo al CLIENTE, il quale si occuperà di gestire le suddette richieste, direttamente o anche tramite il titolare del trattamento se diverso dal CLIENTE stesso.

17.02 Il responsabile del trattamento assisterà il CLIENTE fornendogli tutte le informazioni in relazione ai servizi gestiti da CORETECH sulla base di quanto previsto dal presente accordo ed inviterà l'interessato a rivolgersi al CLIENTE al fine di esercitare i propri diritti, evidenziando la propria posizione di responsabile del trattamento.

17.03 El CLIENTE asume, por tanto, todos los cumplimientos en cuanto a la gestión de los derechos de los interesados, salvo lo indicado en los dos párrafos anteriores relativos al responsable del tratamiento.

18.01 Nel caso in cui il CLIENTE debba soddisfare richieste relative ad interessati per l'esercizio dei loro diritti in relazione a dati personali oggetto del presente accordo, il responsabile del trattamento fornirà le informazioni richieste dal CLIENTE per quanto inerenti al presente accordo, in relazione ai servizi acquistati dal CLIENTE.

18.02 En todo caso, el CLIENTE atenderá directamente la solicitud antes mencionada, limitando al responsable del tratamiento en cumplir con lo anterior.

19.01 En el caso de que sea necesario que el CLIENTE satisfaga solicitudes de portabilidad de datos personales, el responsable del tratamiento proporcionará, exclusivamente en relación con los servicios adquiridos por el CLIENTE, únicamente la información útil para extraerlos en un formato que cumpla con la legislación de privacidad y siempre que esto sea razonablemente posible.

19.02 Nel caso in cui il CLIENTE richieda invece l'assistenza tecnica necessaria per effettuare la suddetta estrazione, CORETECH ne valuterà la fattibilità tecnica e concorderà con il primo, se del caso, le modalità relative e i costi a carico del CLIENTE.

20.01 CORETECH se reserva el derecho a modificar las condiciones previstas para este contrato en cumplimiento a la legislación de privacidad, de acuerdo con las condiciones generales de suministro, con el derecho del CLIENTE a poder desistir.

21.01 Per tutte le attività svolte in violazione della normativa sulla privacy, colposamente o dolosamente commesse dal CLIENTE utilizzando i servizi forniti dalla CORETECH, dalle quali possa derivare a carico di quest'ultima qualsivoglia pretesa stragiudiziale o giudiziale, anche correlata alla violazione delle presenti condizioni da parte del CLIENTE, questi si impegna ad assumersi ogni responsabilità ed a manlevarla e tenerla indenne il prima possibile, liberandola dalle suddette pretese.

21.02 El CLIENTE deberá asumir directamente cualquier tipo de coste, indemnización por daños y perjuicios, incluidos los gastos profesionales que pudieran derivarse de tales reclamaciones, además de cualquier daño ulterior que sufra CORETECH.

21.03 El CLIENTE tiene derecho a probar la responsabilidad de CORETECH por la violación de este acuerdo.

21.04 El CLIENTE informará a CORETECH de las acciones que se le puedan acusar e intentar.

22.01 Este acuerdo reemplaza cualquier otro acuerdo o instrucción anterior relacionado con la gestión de datos personales en relación con los servicios prestados por CORETECH.