Accordo sul trattamento dei dati (DPA)

Il presente testo è una traduzione fornita per comodità. In caso di divergenza prevale il testo inglese, disponibile all'indirizzo /dpa/.

Finalità e utilizzo dei dati

EuroVPS descriverà sempre la natura e la finalità di qualsiasi raccolta, trattamento o utilizzo di dati alle parti interessate dalla raccolta, dal trattamento o dall'utilizzo di tali dati. Nel caso di un rapporto con un cliente, l'utilizzo dei dati sarà descritto in conformità con l'Accordo sulla protezione dei dati tra EuroVPS e il Cliente.

Il trattamento avviene nel centro dati EuroVPS scelto dal Cliente: Atene o Amsterdam (UE), oppure Toronto (Canada, soggetto alla decisione di adeguatezza della Commissione europea). Qualsiasi altro trasferimento dei dati richiederà il previo consenso delle persone/organizzazioni a cui tali dati si riferiscono e avverrà soltanto se sono soddisfatte le Condizioni particolari definite all'articolo 44 (e articoli analoghi) del Regolamento generale sulla protezione dei dati (GDPR).

Garanzia di qualità

Oltre a rispettare tutte le disposizioni qui indicate, rispetteremo anche gli obblighi di legge previsti dagli articoli da 28 a 33 del GDPR. Garantiremo in particolare la conformità ai seguenti requisiti:

Un Responsabile della protezione dei dati è nominato nel ruolo di Data Protection Officer. Informeremo immediatamente le persone interessate di qualsiasi cambiamento in questo ruolo. I recapiti del Data Protection Officer saranno facilmente accessibili sul nostro sito web.

Ci atterremo a rigorosi protocolli di riservatezza e garantiremo che soltanto determinati dipendenti abbiano accesso al processo di raccolta dei dati. Tali dipendenti soddisferanno già i requisiti di riservatezza e avranno familiarità con la sicurezza della protezione dei dati. Chiunque abbia accesso a dati personali potrà trattarli esclusivamente secondo le istruzioni delle persone interessate dall'utilizzo di tali dati (incluse quelle indicate nel presente documento), salvo che la legge disponga diversamente.

Ove necessario, le persone/organizzazioni di cui raccogliamo, trattiamo o utilizziamo i dati possono essere tenute a cooperare con un'Autorità di controllo. Anche noi possiamo essere tenuti a cooperare con essa su richiesta.

Tali persone/organizzazioni saranno informate immediatamente di qualsiasi ispezione o misura adottata dall'Autorità di controllo in relazione alla raccolta, al trattamento o all'utilizzo dei loro dati. Ciò vale qualora fossimo oggetto di indagine per eventuali violazioni relative al trattamento di dati personali.

Se uno dei nostri Clienti è oggetto di un'ispezione da parte dell'Autorità di controllo in relazione a un illecito, a un procedimento penale o al reclamo di una parte lesa, faremo tutto il possibile per sostenerlo al meglio delle nostre capacità.

Monitoreremo regolarmente tutti i processi interni, insieme alle misure tecniche e organizzative, per garantire che tutto sia conforme alla normativa applicabile in materia di protezione dei dati e che i diritti di tutte le parti interessate siano tutelati.

La documentazione che attesta le misure adottate in tal senso sarà messa a disposizione di tutte le parti interessate su richiesta.

Misure tecniche e organizzative ai sensi dell'articolo 32 del GDPR

Prima dell'avvio di qualsiasi servizio che richieda la raccolta o il trattamento di dati, presenteremo alle persone interessate le misure tecniche e organizzative adottate per proteggere tali dati. Qualsiasi ulteriore utilizzo di tali dati sarà limitato alle finalità concordate tra EuroVPS e la parte interessata, e tali misure e finalità costituiranno parte integrante dei termini di servizio che vincolano EuroVPS e la parte interessata. Qualsiasi modifica a tali misure o finalità sarà discussa e attuata soltanto previo accordo reciproco tra EuroVPS e la parte interessata.

Adotteremo le misure di sicurezza necessarie in conformità con tutti gli articoli pertinenti del GDPR. Tutte le misure garantiranno un livello di protezione dei dati adeguato al livello di rischio di ciascuna situazione, con particolare riguardo alla riservatezza, all'integrità, alla disponibilità e alla resilienza dei sistemi in uso. La valutazione di tali misure terrà conto dei costi di attuazione, dell'ambito e della finalità dei dati raccolti, dello stato della tecnologia e del potenziale rischio per i diritti e le libertà di una persona o organizzazione e dei relativi dati.

Potremo sviluppare ulteriormente le misure tecniche e organizzative adottate per proteggere i dati raccolti, inclusa l'attuazione di misure alternative, purché non compromettano i livelli di sicurezza delle misure tecniche e organizzative in essere. Tutte le modifiche sostanziali saranno documentate.

Rettifica, limitazione e cancellazione dei dati

Non siamo autorizzati a cancellare o limitare il trattamento dei dati per conto di terzi. Se veniamo contattati in merito a una questione di raccolta dati, inoltreremo immediatamente la richiesta alla parte interessata.

Eseguiremo senza indugio qualsiasi richiesta relativa al «diritto all'oblio», alle politiche di cancellazione, alla rettifica dei dati, alla portabilità e alla comunicazione.

Subappalti

In generale non distribuiamo i dati raccolti a terzi, ma qualora ci avvalessimo di un servizio esternalizzato che possa avere accesso a tali dati, stipuleremo accordi contrattuali giuridicamente vincolanti e attueremo le misure necessarie a garantire la protezione e la sicurezza dei dati raccolti.

Diritti di ispezione

Le persone/organizzazioni di cui abbiamo raccolto i dati avranno il diritto di effettuare ispezioni previa consultazione con noi, oppure di farle effettuare da ispettori in singoli casi specifici. Avranno il diritto di verificare la conformità al presente documento mediante ispezioni a campione, che dovranno essere annunciate con ragionevole preavviso.

Garantiremo che la nostra conformità agli obblighi previsti dall'articolo 28 del GDPR possa essere verificata. Forniremo alle persone/organizzazioni interessate le informazioni pertinenti su richiesta, insieme alla documentazione sull'attuazione delle misure tecniche e organizzative in essere per proteggere i loro dati.

La documentazione delle misure che riguardano (a titolo non esaustivo) il rapporto con la persona/organizzazione di cui raccogliamo i dati potrà essere fornita in conformità con i codici di condotta e le certificazioni approvati, indicati negli articoli pertinenti del GDPR. Potrà inoltre essere fornita documentazione relativa a relazioni, incluse quelle redatte da organismi indipendenti (quali un Data Protection Officer, un reparto di sicurezza IT, un auditor della qualità ecc.), insieme a un'idonea certificazione da parte di un reparto di sicurezza IT o a un audit sulla protezione dei dati.

Potremo richiedere corrispettivi aggiuntivi per supportare un'ispezione e per finanziare la fornitura di documentazione e/o certificazioni.

Comunicazione in caso di violazione

Rispetteremo i nostri obblighi relativi alla sicurezza dei dati personali e qualsiasi requisito in materia di violazioni dei dati, valutazioni d'impatto e consultazioni preventive di cui agli articoli da 32 a 36 del GDPR.

Tali obblighi includono:

1. garantire livelli di protezione sufficienti con misure tecniche e organizzative che tengano conto delle diverse circostanze e finalità del trattamento dei dati, nonché della probabilità e della gravità di eventuali violazioni della legge dovute a vulnerabilità di sicurezza. Saranno inoltre adottate misure per individuare il più rapidamente possibile eventuali violazioni della legge;
2. segnaleremo immediatamente alle parti interessate qualsiasi violazione di dati personali riscontrata;
3. ove applicabile, assisteremo le parti interessate nell'adempimento dei loro obblighi di informazione verso le parti lese. Ricorderemo inoltre alle parti interessate i loro obblighi in tale scenario;
4. assisteremo le parti interessate nella loro valutazione d'impatto sulla protezione dei dati;
5. assisteremo le parti interessate prima della loro consultazione con l'autorità di controllo;
6. potremo addebitare un corrispettivo per la fornitura di supporto in tal senso, qualora non rientri nei servizi di assistenza che offriamo normalmente ai nostri clienti e non sia reso necessario da nostre inadempienze.

Impartizione delle istruzioni

Qualsiasi istruzione impartitaci dalle parti interessate deve essere confermata immediatamente per iscritto dalla parte stessa.

Informeremo immediatamente la parte interessata qualora ritenessimo che un'istruzione impartita violi la normativa sulla protezione dei dati. Saremo quindi autorizzati a sospendere l'esecuzione di tale istruzione finché non sarà modificata in modo da poter essere ritenuta conforme alla normativa sulla protezione dei dati.

Cancellazione e restituzione dei dati personali

Non creeremo copie o duplicati di dati personali senza la previa conoscenza delle persone/organizzazioni di cui raccogliamo i dati, fatta eccezione per le copie di backup necessarie a garantire un corretto trattamento dei dati e per i dati necessari all'adempimento dei vari obblighi di legge.

Distruggeremo tutti i documenti e gli insiemi di dati relativi a una determinata persona/organizzazione in conformità con la normativa sulla protezione dei dati al termine del rapporto di servizio con tale persona/organizzazione o su richiesta della stessa. Forniremo inoltre alla persona/organizzazione ogni informazione pertinente sulla natura e sul momento della cancellazione di tali dati.

Conserveremo, anche dopo la conclusione del rapporto di servizio, qualsiasi documentazione che possa dimostrare che il trattamento dei dati è avvenuto in modo corretto, in conformità con i rispettivi periodi di conservazione. Potremo essere esonerati da questo obbligo consegnando tale documentazione alle parti interessate al termine del rapporto di servizio.