Accordo tra processori

Introduzione

Autosoft BV tratta, tra l'altro, i dati personali per e per conto del cliente. Autosoft BV e il cliente sono quindi obbligati ai sensi del regolamento generale sulla protezione dei dati (GDPR) a concludere un accordo per il responsabile. Secondo il GDPR, Autosoft BV è un "processore" e il cliente è un "controllore". Questo Contratto per il Responsabile descrive anche come Autosoft BV gestisce l'obbligo di notifica della violazione dei dati.

Accordo tra processori

Composto da:
Parte 1: Dichiarazione di Data Pro
Parte 2: Clausole di elaborazione standard

Parte 1: Dichiarazione di Data Pro

Informazioni generali

1). La presente Informativa Data Pro è stata redatta dal seguente responsabile del trattamento (responsabile del trattamento):

• Autosoft BV
  Hengelosestraat 547
  7521 AG Enschede

Per domande su questa Informativa sui dati o sulla protezione dei dati, si prega di contattare:
Arthur van der Lek: arthur@autosoft.eu / +31 (0)53 – 428 00 98

2). La presente Informativa sui dati pro si applica dal 1° agosto 2021
Adeguiamo regolarmente questa Dichiarazione di Data Pro e le misure di sicurezza ivi descritte per assicurarci di essere sempre preparati e aggiornati per quanto riguarda la protezione dei dati. Vi terremo informati sulle nuove versioni attraverso i nostri normali canali.

3). La presente Dichiarazione per i professionisti dei dati si applica ai seguenti prodotti e servizi del processore di dati

• Sito web automatico
• Commercio automatico

4). Descrizione Sito web dell'auto
Le case automobilistiche utilizzano Autowebsite. Con Autowebsite le case automobilistiche possono presentarsi su internet.

5). Destinazione d'uso Sito web dell'auto
Autowebsite è progettato e attrezzato per trattare i seguenti tipi di dati:
I visitatori dei siti web sviluppati da Autosoft con Autowebsite hanno la possibilità di lasciare lì i propri dati di contatto in modo che la casa automobilistica abbia l'opportunità di contattare il visitatore per ulteriori servizi. Questi dettagli di contatto non vengono memorizzati con Autosoft, ma vengono inoltrati direttamente via e-mail all'indirizzo e-mail della casa automobilistica.

• Questo servizio non tiene conto del trattamento di dati personali speciali, o dati relativi a condanne penali e reati o numeri personali rilasciati dal governo.

6). Descrizione Autocommerce
Le case automobilistiche utilizzano l'Autocommerce. Con Autocommerce le case automobilistiche possono gestire e presentare i propri veicoli sul proprio sito web e sui portali di ricerca internet di terzi.

7). Destinazione d'uso Autocommerce
Autocommerce è progettato e attrezzato per elaborare i seguenti tipi di dati:
Le case automobilistiche possono inserire i propri veicoli registrati tramite Autocommerce sul proprio sito Web di auto. Tali veicoli immatricolati non contengono alcun dato riconducibile in qualsiasi forma a dati personali. I visitatori del sito web di Car hanno la possibilità di lasciare lì i loro dettagli di contatto in modo che la casa automobilistica abbia l'opportunità di contattare il visitatore per ulteriori servizi. I dati di contatto lasciati dal visitatore sul proprio sito Auto sono memorizzati in Autocommerce.

• Questo servizio non tiene conto del trattamento di dati personali speciali, o dati relativi a condanne penali e reati o numeri personali rilasciati dal governo.

8). Il Responsabile del trattamento utilizza le Clausole Standard per l'elaborazione per Autowebsite e Autocommerce, che possono essere trovate in appendice al Contratto.

9). Il responsabile del trattamento tratta i dati personali dei propri clienti all'interno dell'UE/SEE per Autowebsite e Autocommerce.

10). Il Responsabile del trattamento utilizza per Autocommerce i seguenti sub-responsabili:
In alcuni casi, Autosoft invia i suoi veicoli immatricolati tramite Autocommerce ai portali di ricerca Internet di terzi o sub-incaricati per conto della Casa automobilistica. Un elenco dei sub-responsabili è disponibile su richiesta all'indirizzo support@autosoft.eu.

11). Dopo la risoluzione del contratto con un cliente, il responsabile del trattamento rimuoverà in linea di principio i dati personali che elabora per il cliente entro 3 mesi in modo tale che non possano più essere utilizzati e non siano più accessibili (rendere inaccessibili).

Politica di sicurezza

Riepiloga le seguenti misure di sicurezza che il Responsabile del trattamento ha adottato per proteggere il proprio prodotto o servizio:

Gestione degli incidenti e politica di risposta
Le politiche di gestione e risposta agli incidenti nel campo della sicurezza delle informazioni includono il monitoraggio e il rilevamento di incidenti di sicurezza su un computer o su un'infrastruttura IT, ma anche l'osservazione di attività sospette da parte del personale e l'implementazione delle risposte corrette a questi eventi.

L'obiettivo principale di questa policy è sviluppare una risposta ben compresa e prevedibile agli eventi dannosi e alle intrusioni informatiche nel senso più ampio del termine.

La politica di gestione e risposta agli incidenti è il processo di gestione e protezione di computer, reti e sistemi informativi e le informazioni ivi memorizzate. Autosoft è consapevole delle proprie responsabilità quando si tratta di proteggere queste informazioni a vantaggio dei propri clienti e dei partner della catena di approvvigionamento. Questa responsabilità si estende all'avere una procedura di incidente. La gestione degli incidenti è un insieme di attività che definiscono e implementano un processo che un'organizzazione può utilizzare per promuovere il proprio benessere e la sicurezza del pubblico.

Informatica e sicurezza
La struttura ICT di Autosoft BV è adeguatamente protetta con un firewall e il software di scansione antivirus è aggiornato. Ogni dipendente ha un profilo di accesso. Quando si avvia un computer, i dipendenti devono inserire un nome di accesso e una password e, ove possibile, con l'autenticazione in 2 passaggi.

Alcuni software richiedono anche un nome di accesso e una password e, ove possibile, con l'autenticazione in due passaggi. Viene stimolata la consapevolezza tra i dipendenti sul lavoro in sicurezza, ad esempio richiamando l'attenzione sul non aprire e-mail sospette, sul non fare clic su collegamenti sospetti, sul disconnettersi quando si lascia il posto di lavoro per un lungo periodo e così via.

I file vengono salvati durante i giorni e ogni notte. Per motivi di sicurezza, l'ulteriore procedura di archiviazione relativa al backup è riservata. Autosoft BV ha stipulato contratti di servizio per questo con fornitori di computer e provider di hosting Internet.

Politica di protezione dei dati
Autosoft BV adotta misure tecniche e organizzative adeguate per proteggere i dati personali del cliente contro la perdita o qualsiasi forma di trattamento illecito. Queste misure tecniche e organizzative sono considerate un livello di sicurezza appropriato ai sensi dell'articolo 1 del GDPR e sono archiviate come documenti nel Basecamp centrale (Progetto: Organizzazione / Politica sulla protezione dei dati) di Autosoft BV

Tecnico e organizzativo

1. Misure per garantire che solo il personale autorizzato abbia accesso ai Dati Personali trattati nel contesto dell'Accordo del Responsabile;
2. Misure per proteggere i Dati Personali, in particolare, contro la distruzione, la perdita, l'alterazione accidentale o illecita, l'archiviazione, l'accesso o la divulgazione non autorizzati o illeciti;
3. Misure per proteggere i Dati Personali, in particolare, contro distruzione accidentale o illecita, perdita, alterazione accidentale, conservazione, accesso o divulgazione non autorizzati o illeciti durante lo scambio/trasporto di dati;
4. Misure per garantire la capacità di garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di editing su base continuativa;
5. Misure per ripristinare la disponibilità e l'accesso ai Dati Personali in modo tempestivo in caso di incidente fisico o tecnico;
6. Misure per identificare vulnerabilità in relazione al trattamento dei Dati Personali nei sistemi utilizzati per fornire i servizi oggetto del contratto;

Organizzativi come:

• Limitare la cerchia dei funzionari che hanno accesso a determinati dati personali a quelle persone che hanno bisogno dei dati per l'esercizio delle loro funzioni;
• concedere a queste persone l'accesso ai soli dati personali di cui hanno bisogno per l'adempimento dei loro doveri;
• concordare una clausola di riservatezza con clausola penale con tutti i soggetti ai quali sarà concesso l'accesso ai dati personali;
• memorizzazione dei dati personali su server in uno spazio chiuso;
• tenere archivi cartacei in armadietti con serratura;
• creare consapevolezza sulla sicurezza delle informazioni tra i dipendenti;
• stabilire protocolli e procedure chiari per la gestione tempestiva ed efficace degli incidenti di sicurezza delle informazioni e delle vulnerabilità della sicurezza;

Il Responsabile del trattamento utilizza proprie metodologie e procedure di gestione che si inseriscono nel metodo di lavoro dell'organizzazione:

• I documenti rilevanti sono gestiti e valutati periodicamente all'interno di Basecamp.

Protocollo di violazione dei dati

Nel caso in cui qualcosa vada storto, il responsabile del trattamento utilizza il seguente protocollo di fuga di dati per garantire che il cliente sia a conoscenza degli incidenti:

Autosoft BV – Procedura di violazione dei dati

Che cos'è una violazione dei dati e quando devo segnalarla all'AP?
Una violazione dei dati è un incidente di sicurezza delle informazioni che comporta una violazione della sicurezza dei dati personali attraverso l'esposizione a perdite o trattamenti illeciti come (ma non in modo esaustivo):

• Modifica e/o modifica dei dati personali e accesso non autorizzato a tali dati personali;
• In caso di effrazione da parte di un hacker;
• Perdita di una chiavetta USB, furto di un laptop;
• Invio di dati sensibili a un indirizzo email errato;

Secondo la legge, una violazione dei dati "grave" deve essere segnalata all'Autorità olandese per la protezione dei dati senza indebito ritardo e, se possibile, entro 72 ore dalla scoperta.

Autosoft BV non è tenuta a riferire all'Autorità olandese per la protezione dei dati se è ragionevolmente esclusa l'identificazione effettiva delle singole persone fisiche.
Tutti i sospetti di un incidente di sicurezza delle informazioni saranno affrontati in prima istanza support@autosoft.eu denunciato e registrato. Il supporto segnala l'incidente al team di gestione e determina quali azioni di follow-up dovrebbero essere intraprese.

Procedura di follow-up

Quando devo informare gli interessati?
Una violazione dei dati deve essere segnalata all'interessato se, in caso di violazione, sussiste un rischio elevato che la violazione abbia conseguenze negative per la sua vita privata. Conseguenze sfavorevoli per l'interessato sono: danno all'onore e alla reputazione, frode d'identità o discriminazione. Se Autosoft BV ha adottato misure tecniche di protezione adeguate, rendendo incomprensibili o inaccessibili i dati personali interessati, la notifica all'interessato non è necessaria. La notifica all'interessato deve contenere una descrizione, in un linguaggio chiaro e semplice, della natura della violazione dei dati personali e almeno:

• il nome e i dati di contatto del responsabile della protezione dei dati o altro punto di contatto presso il quale è possibile ottenere maggiori informazioni;
• le probabili conseguenze della violazione dei dati personali;
• le misure proposte o adottate dal responsabile del trattamento per far fronte alla violazione dei dati personali, comprese, se del caso, misure per mitigare eventuali effetti negativi della stessa. La valutazione se una violazione dei dati debba essere segnalata all'autorità olandese per la protezione dei dati e/o alle persone interessate spetta sempre ad Autosoft BV. Al fine di determinare se un incidente debba essere segnalato, l'autorità olandese per la protezione dei dati ha elaborato regole politiche (https://autoriteitpersoonsgegevens.nl/nl/zelf-doen/thematic-beleidsreglement/beleidsreglement-meldspraak-datareken-2015) e il gruppo di lavoro 29 delle linee guida delle autorità di vigilanza europee pubblicate sull'obbligo di segnalazione nel GDPR. Se Autosoft BV non ha segnalato la violazione dei dati, l'Autorità olandese per la protezione dei dati può richiedere che Autosoft BV effettui comunque una segnalazione. La mancata segnalazione può essere punita con una sanzione amministrativa.

Come faccio a segnalare una violazione dei dati?
L'autorità olandese per la protezione dei dati mette a disposizione un modulo web che deve essere utilizzato per segnalare violazioni dei dati (https://dataleks.autoriteitpersoonsgegevens.nl/). L'autorità olandese per la protezione dei dati tiene un registro delle notifiche di violazione dei dati ricevute. Questo registro non è pubblico. Se l'autorità olandese per la protezione dei dati infligge un'ammenda a seguito della violazione dei dati, questa decisione sarà resa pubblica. Una violazione dei dati viene resa pubblica anche quando gli interessati devono essere informati della violazione dei dati. La comunicazione all'interessato deve comunque indicare la natura della violazione e le autorità presso le quali l'interessato può ottenere maggiori informazioni in merito alla violazione. Occorre inoltre precisare cosa può fare l'interessato stesso per limitare le conseguenze negative della violazione dei dati. Ad esempio, modifica di nomi utente e password quando potrebbero essere stati compromessi dalla violazione.

Cosa devo segnalare?
Una notifica all'autorità olandese per la protezione dei dati include:

• Il giornalista della violazione dei dati.
• La persona che l'autorità olandese per la protezione dei dati può contattare per ulteriori informazioni sulla segnalazione.
• Un riepilogo dell'incidente in cui si è verificata la violazione della sicurezza dei dati personali.
• Il momento dell'infrazione.
• La natura dell'infrazione.
• Il tipo di dati personali interessati.
• Le conseguenze che la violazione può avere per la privacy delle persone coinvolte.
• Le misure tecniche e organizzative che Autosoft BV ha adottato per contrastare la violazione e prevenire ulteriori violazioni.
• Se Autosoft BV ha segnalato la violazione dei dati agli interessati e, in caso negativo, se Autosoft BV intende farlo:
• In caso affermativo, il contenuto della notifica agli interessati.
• In caso negativo, il motivo per cui Autosoft BV si astiene dal segnalare la violazione dei dati agli interessati.
• I dati personali sono stati crittografati, sottoposti ad hashing o resi in altro modo incomprensibili o inaccessibili a persone non autorizzate?

Parte 2: Clausole di elaborazione standard

Versione: settembre 2019
Insieme alla dichiarazione di Data Pro, costituisce l'accordo di elaborazione ed è un'appendice all'accordo e alle appendici di accompagnamento come i termini e le condizioni generali applicabili.

Articolo 1. Definizioni

I termini seguenti hanno i seguenti significati nelle presenti Clausole standard per l'elaborazione, nell'Informativa Data Pro e nel contratto:

• 1.1 Autorità olandese per la protezione dei dati (AP): autorità di controllo, come descritto nell'articolo 4, sub 21 del Avg.
• 1.2 MEDIA: il regolamento generale sulla protezione dei dati.
• 1.3 Responsabile del trattamento: parte che, in qualità di fornitore ICT, tratta Dati Personali a vantaggio del proprio Cliente nell'ambito dell'esecuzione del Contratto.
• 1.4 Dichiarazione Pro dati: dichiarazione del Responsabile del trattamento in cui fornisce informazioni in merito alla destinazione d'uso del proprio prodotto o servizio, misure di sicurezza adottate, sub-responsabili, fughe di dati, certificazioni e trattamento dei diritti degli Interessati.
• 1.5 Interessato (interessato): una persona fisica identificata o identificabile.
• 1.6 Cliente: soggetto per conto del quale il Responsabile tratta i dati personali. Il Cliente può essere un titolare del trattamento ("controllore") o un altro responsabile.
• 1.7 Accordo: il contratto tra Cliente e Responsabile del trattamento, in base al quale il fornitore ICT fornisce servizi e/o prodotti al Cliente, di cui fa parte il contratto del responsabile.
• 1.8 Dati personali: tutte le informazioni su una persona fisica identificata o identificabile, come descritto nell'Articolo 4, comma 1 AVG, che il Responsabile del trattamento elabora nel contesto dell'adempimento dei propri obblighi derivanti dal Contratto.
• 1.9 Contratto di trattamento: le presenti Clausole Standard per il trattamento, che insieme alla Dichiarazione Pro (o informazioni comparabili) del Responsabile del trattamento costituiscono il contratto di trattamento di cui all'articolo 28, paragrafo 3 del GDPR.

Articolo 2. Generale

• 2.1 Le presenti clausole di elaborazione standard si applicano a tutti i trattamenti di dati personali che il responsabile del trattamento esegue nel contesto della fornitura dei suoi prodotti e servizi e a tutti gli accordi e le offerte. L'applicabilità dei contratti di trattamento del Cliente è espressamente respinta.
• 2.2 La Dichiarazione di Data Pro, e in particolare le misure di sicurezza in essa contenute, possono essere modificate dal Responsabile del trattamento di volta in volta per riflettere le circostanze mutevoli. Il Responsabile del trattamento informerà il Cliente di modifiche significative. Se il Cliente non può ragionevolmente concordare con gli adeguamenti, il Cliente ha il diritto di rescindere il contratto di elaborazione per iscritto entro 30 giorni dalla notifica degli adeguamenti.
• 2.3 Il Responsabile del trattamento elabora i Dati personali per conto e per conto del Cliente in conformità con le istruzioni scritte del Cliente concordate con il Responsabile del trattamento.
• 2.4 Il Cliente, o il suo cliente, è il titolare del trattamento ai sensi del GDPR, ha il controllo sul trattamento dei Dati Personali e ha determinato lo scopo e i mezzi del trattamento dei Dati Personali.
• 2.5 Il Responsabile del trattamento è un responsabile ai sensi del GDPR e pertanto non ha alcun controllo sulle finalità e sui mezzi del trattamento dei Dati Personali e pertanto non prende alcuna decisione in merito, tra l'altro, all'utilizzo dei Dati Personali.
• 2.6 Il Responsabile del trattamento dei dati implementa il GDPR come stabilito nelle presenti Clausole standard per il trattamento, nell'Informativa Data Pro e nell'Accordo. Spetta al Cliente valutare sulla base di queste informazioni se il Responsabile del trattamento offre garanzie sufficienti in merito all'applicazione di misure tecniche e organizzative adeguate affinché il trattamento soddisfi i requisiti del GDPR e la protezione dei diritti degli interessati è sufficiente garantito.
• 2.7 Il Cliente garantisce al Responsabile del trattamento che agisce in conformità al GDPR, che protegge in ogni momento adeguatamente i propri sistemi e infrastrutture e che il contenuto, l'utilizzo e/o il trattamento dei Dati Personali non sono illeciti e non violano alcun diritto di un terzo.
• 2.8 Una sanzione amministrativa imposta al Cliente dall'AP non può essere recuperata dal Responsabile del trattamento.

Articolo 3. Sicurezza

• 3.1 Il Responsabile del trattamento dei dati adotta le misure di sicurezza tecniche e organizzative, come descritto nella sua Dichiarazione per i professionisti dei dati. Nell'adottare le misure di sicurezza tecniche e organizzative, il Responsabile del trattamento ha tenuto conto dello stato dell'arte, dei costi di attuazione delle misure di sicurezza, della natura, della portata e del contesto del trattamento, delle finalità e dell'uso previsto dei suoi prodotti e servizi , i rischi di trattamento e i rischi che differiscono per probabilità e gravità per i diritti e le libertà degli Interessati che potrebbe aspettarsi in vista dell'uso previsto dei suoi prodotti e servizi.
• 3.2 Se non diversamente specificato nella Dichiarazione Pro Dati, il prodotto o il servizio del Responsabile del trattamento non è progettato per elaborare categorie speciali di Dati personali o dati relativi a condanne penali o reati o numeri personali rilasciati dal governo.
• 3.3 Il Responsabile del trattamento si impegna a garantire che le misure di sicurezza da adottare siano appropriate per l'uso previsto del prodotto o servizio da parte del Responsabile del trattamento.
• 3.4 A giudizio del Cliente, le misure di sicurezza descritte offrono un livello di sicurezza adeguato al rischio del trattamento dei Dati Personali utilizzati o forniti dal Cliente, tenendo conto dei fattori di cui all'Articolo 3.1.
• 3.5 Il Responsabile del trattamento può apportare modifiche alle misure di sicurezza adottate qualora a suo giudizio ciò sia necessario per continuare a fornire un livello di sicurezza adeguato. Il Responsabile del trattamento registrerà modifiche importanti, ad esempio in un'Informativa Data Pro modificata, e informerà il Cliente di tali modifiche, se del caso.
• 3.6 Il Cliente può richiedere al Responsabile del trattamento di adottare ulteriori misure di sicurezza. Il Responsabile del trattamento non ha l'obbligo di apportare modifiche alle proprie misure di sicurezza su tale richiesta. Il Responsabile può addebitare al Cliente i costi relativi alle modifiche apportate su richiesta del Cliente. Solo dopo che le misure di sicurezza modificate desiderate dal Cliente sono state concordate per iscritto e firmate dalle Parti, il Responsabile del trattamento è obbligato ad attuare effettivamente tali misure di sicurezza.

Articolo 4. Violazione dei dati personali

• 4.1 Il Responsabile del trattamento non garantisce che le misure di sicurezza siano efficaci in ogni circostanza. Se il Responsabile del Trattamento scopre una violazione in relazione ai Dati Personali (di cui all'Articolo 4 sub 12 Avg), informerà il Cliente senza indebito ritardo. La Dichiarazione di Data Pro (in base al protocollo sulla perdita di dati) stabilisce come il Responsabile del trattamento informa il Cliente delle violazioni in relazione ai Dati personali.
• 4.2 Spetta al responsabile del trattamento (Cliente o suo cliente) valutare se la violazione dei Dati personali di cui ha informato il Responsabile del trattamento debba essere segnalata all'AP o all'interessato. La segnalazione di violazioni in relazione ai Dati Personali, che devono essere segnalate all'AP e/o agli Interessati ai sensi degli articoli 33 e 34 GDPR, rimane in ogni momento a carico del titolare del trattamento (Cliente o suo cliente). Il Responsabile del trattamento non è obbligato a segnalare violazioni dei dati personali all'AP e/o all'interessato.
• 4.3 Il Responsabile del trattamento, se necessario, fornirà ulteriori informazioni sulla violazione in relazione ai Dati personali e coopererà nella fornitura di informazioni necessarie al Cliente ai fini di una notifica di cui agli articoli 33 e 34 Avg.
• 4.4 Il Responsabile del trattamento può addebitare al Cliente i costi ragionevoli che sostiene in questo contesto alle tariffe allora applicabili.

Articolo 5. Riservatezza

• 5.1 Il Responsabile del trattamento garantisce che le persone che trattano i Dati Personali sotto la sua responsabilità hanno un obbligo di riservatezza.
• 5.2 Il Responsabile del Trattamento ha il diritto di fornire i Dati Personali a terzi, se e nella misura in cui la fornitura è necessaria ai sensi di una decisione del tribunale, di un regolamento legale o sulla base di un ordine autorizzato da un'autorità governativa.
• 5.3 Tutti i codici di accesso e/o identificazione, i certificati, le informazioni riguardanti l'accesso e/o la politica delle password fornite dal Responsabile del trattamento al Cliente e tutte le informazioni fornite dal Responsabile del trattamento al Cliente che implementano le misure di sicurezza tecniche e organizzative incluse nell'Informativa Data Pro sono riservate. e saranno trattati come tali dal Cliente e resi noti solo ai dipendenti autorizzati del Cliente. Il Cliente garantisce che i propri dipendenti rispettino gli obblighi di cui al presente articolo.

Articolo 6. Durata e risoluzione

• 6.1 Questo accordo del processore fa parte dell'Accordo e qualsiasi nuovo o ulteriore accordo che ne derivi, entra in vigore al momento della conclusione dell'Accordo ed è concluso per un periodo di tempo indefinito.
• 6.2 Il presente contratto del processore termina per effetto di legge al momento della risoluzione del Contratto o di qualsiasi nuovo o ulteriore accordo tra le parti.
• 6.3 In caso di cessazione del contratto di trattamento, il Responsabile del trattamento cancellerà tutti i Dati Personali in suo possesso e ricevuti dal Cliente entro il termine incluso nell'Informativa Data Pro in modo tale che non possano più essere utilizzati e non siano più accessibile (rendere inaccessibile). , o, se concordato, restituirlo al Cliente in un formato leggibile dalla macchina.
• 6.4 Il Responsabile del trattamento può addebitare al Cliente eventuali costi sostenuti nell'ambito delle disposizioni dell'articolo 6.3. Ulteriori accordi al riguardo possono essere stabiliti nell'Informativa Data Pro.
• 6.5 Le disposizioni dell'articolo 6.3 non si applicano se una norma di legge impedisce al Responsabile del trattamento di rimuovere o restituire in tutto o in parte i Dati Personali. In tal caso, il Responsabile del trattamento continuerà a trattare i Dati personali solo nella misura necessaria ai sensi dei suoi obblighi legali. Le disposizioni dell'articolo 6.3 non si applicano inoltre se il Responsabile del trattamento è il titolare del trattamento ai sensi del GDPR in relazione ai Dati personali.

Articolo 7. Diritti degli interessati, valutazione dell'impatto sulla protezione dei dati (DPIA) e diritti di audit

• 7.1 Il Responsabile del trattamento, ove possibile, coopererà con richieste ragionevoli del Cliente relative ai diritti degli Interessati invocati dal Cliente dagli Interessati. Se il Responsabile del trattamento viene contattato direttamente da un Interessato, riferirà tale persona al Cliente ove possibile.
• 7.2 Se il Cliente è obbligato a farlo, il Responsabile del trattamento coopererà con una valutazione d'impatto sulla protezione dei dati (DPIA) o una successiva consultazione preventiva di cui agli articoli 35 e 36 Avg.
• 7.3 Il Responsabile del trattamento coopererà con le richieste del Cliente per la rimozione dei dati personali nella misura in cui il Cliente non può eseguirlo da solo.
• 7.4 Su richiesta del Cliente, il Responsabile del trattamento metterà inoltre a disposizione tutte le ulteriori informazioni ragionevolmente necessarie per dimostrare il rispetto degli accordi presi nel presente contratto di trattamento. Qualora il Cliente abbia comunque motivo di ritenere che il trattamento dei Dati Personali non avvenga in conformità al contratto di trattamento, può essere consultato al massimo una volta all'anno da un esperto esterno indipendente, certificato, che abbia una comprovata esperienza del tipo di elaborazione che viene effettuata sulla base del Contratto. , far eseguire una verifica a spese del Cliente. L'audit sarà limitato alla verifica del rispetto degli accordi relativi al trattamento dei Dati Personali come stabilito nel presente Accordo del Responsabile. L'esperto avrà un obbligo di riservatezza riguardo a ciò che trova e riferirà al Cliente solo ciò che comporta una mancanza nell'adempimento degli obblighi che il Responsabile del trattamento ha ai sensi del presente contratto di elaborazione. L'esperto fornirà una copia della sua relazione al Responsabile del trattamento. Il Responsabile del trattamento può rifiutare una verifica o un'istruzione dell'esperto se, a suo parere, ciò viola il GDPR o altra legislazione o costituisce una violazione inammissibile delle misure di sicurezza adottate.
• 7.5 Le parti si consulteranno quanto prima sui risultati del rapporto. Le parti seguiranno le misure di miglioramento proposte stabilite nella relazione nella misura in cui ciò è ragionevolmente prevedibile da loro. Il Responsabile del trattamento attuerà le misure di miglioramento proposte nella misura in cui ritiene appropriate, tenendo conto dei rischi di elaborazione associati al suo prodotto o servizio, dello stato dell'arte, dei costi di implementazione, del mercato in cui opera e l'uso previsto del prodotto o servizio il servizio.
• 7.6 Il Responsabile del trattamento ha il diritto di addebitare al Cliente i costi sostenuti nell'ambito delle disposizioni del presente articolo.

Articolo 8. Sub-responsabili

• 8.1 Il Responsabile del trattamento ha dichiarato nella Dichiarazione di Data Pro se, e in caso affermativo, quali terze parti (sub-responsabili o sub-responsabili) Responsabile del trattamento si impegnano nel trattamento dei Dati personali.
• 8.2 Il Cliente autorizza il Responsabile del trattamento a incaricare altri sub-incaricati di adempiere ai propri obblighi derivanti dal Contratto.
• 8.3 Il Responsabile del trattamento informerà il Cliente di un cambiamento nelle terze parti incaricate dal Responsabile del trattamento, ad esempio mediante una Dichiarazione Pro Dati modificata. Il Cliente ha diritto di opporsi alla suddetta modifica da parte del Responsabile del trattamento. Il Responsabile del trattamento garantisce che le terze parti da esso incaricate si impegnino allo stesso livello di sicurezza per quanto riguarda la protezione dei Dati personali del livello di sicurezza a cui il Responsabile del trattamento è vincolato nei confronti del Cliente sulla base della Dichiarazione Pro dei dati.

Articolo 9. Altro

Queste clausole di elaborazione standard, insieme alla dichiarazione di Data Pro, costituiscono parte integrante dell'accordo. Tutti i diritti e gli obblighi derivanti dal Contratto, inclusi i termini e le condizioni generali applicabili e/o le limitazioni di responsabilità, si applicano pertanto anche al contratto di trattamento.