Accordo sul Trattamento dei Dati

Il presente Contratto per il trattamento dei dati UE e UK (il "Contratto") integra i Termini di Servizio (i "TOS") stipulati tra il cliente che sottoscrive il presente Contratto ("Cliente") e Vocations ("Organizzazione").

Sottoscrivendo il Contratto, il Cliente accetta il presente Contratto per conto proprio e, nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati (definite di seguito).

Il presente Contratto include i termini dei TOS e qualsiasi termine non definito nel presente Contratto avrà il significato indicato nei TOS.

1. Definizioni

"Sub-Responsabile Autorizzato" indica un soggetto terzo che ha la necessità di conoscere o accedere ai Dati Personali del Cliente per consentire all'Organizzazione di adempiere ai propri obblighi ai sensi del presente Contratto o dei TOS.

"Dati dell'Account Cliente" indica le informazioni personali relative al rapporto del Cliente con l'Organizzazione, inclusi i nomi o i recapiti delle persone autorizzate dal Cliente ad accedere all'account del Cliente e le informazioni di fatturazione delle persone che il Cliente ha associato al proprio account. I Dati dell'Account Cliente includono anche qualsiasi informazione che l'Organizzazione potrebbe dover raccogliere ai fini della gestione del rapporto con il Cliente, della verifica dell'identità o come altrimenti richiesto dalle leggi e dai regolamenti applicabili.

"Dati di Utilizzo del Cliente" indica le informazioni sull'utilizzo dei Servizi raccolte e trattate dall'Organizzazione in relazione alla fornitura dei Servizi, come le informazioni utilizzate per identificare l'origine e la destinazione di una comunicazione, i registri delle attività e le informazioni utilizzate per ottimizzare e mantenere le prestazioni dei Servizi e per indagare e prevenire abusi del sistema.

"Dati dei Lead del Cliente" indica le informazioni personali che il Cliente fornisce all'Organizzazione in relazione ai Servizi o le informazioni personali raccolte dal Cliente all'interno dei Servizi, come nomi, indirizzi email, numeri di telefono e altri recapiti dei potenziali clienti del Cliente.

"Leggi sulla Protezione dei Dati" indica tutte le leggi e i regolamenti applicabili in qualsiasi giurisdizione pertinente relativi all'uso o al trattamento dei Dati Personali, per l'area geografica del nostro servizio il Regolamento Generale sulla Protezione dei Dati (Regolamento (UE) 2016/679) ("GDPR UE" o "GDPR").

"CCS UE" indica le clausole contrattuali standard approvate dalla Commissione Europea nella Decisione 2021/914 del 4 giugno 2021, per i trasferimenti di informazioni personali verso paesi non altrimenti riconosciuti come offrenti un livello adeguato di protezione delle informazioni personali da parte della Commissione Europea (come modificato e aggiornato di volta in volta).

"Trasferimento ex-SEE" indica il trasferimento di Dati Personali, trattati conformemente al GDPR, dall'Esportatore di Dati all'Importatore di Dati (o ai suoi locali) al di fuori dello Spazio Economico Europeo (il "SEE"), e tale trasferimento non è regolato da una decisione di adeguatezza adottata dalla Commissione Europea ai sensi delle disposizioni pertinenti del GDPR.

"Dati del Profilo" indica i Dati Personali raccolti e trattati dall'Organizzazione da pagine web pubbliche utilizzando il robot dell'Organizzazione per la fornitura dei Servizi.

"Servizi" avrà il significato indicato nei TOS.

"Clausole Contrattuali Standard" indica le CCS UE e l'Addendum sul Trasferimento Internazionale dei Dati alle CCS UE emanato dall'Ufficio del Commissario per le Informazioni in data 21 marzo 2022.

2. Rapporto tra le Parti; Trattamento dei Dati

2.1 Le parti riconoscono e concordano che per quanto riguarda il trattamento dei Dati Personali, il Cliente può agire sia come titolare del trattamento che come responsabile del trattamento e, salvo quanto espressamente previsto nel presente Contratto o nei TOS, l'Organizzazione è un responsabile del trattamento. Il Cliente incarica l'Organizzazione di trattare i Dati Personali conformemente al presente Contratto ed è responsabile di fornire tutte le informative e ottenere tutti i consensi, le licenze e le basi giuridiche necessarie per consentire all'Organizzazione di trattare i Dati Personali. Il Cliente garantirà che il trattamento dei Dati Personali secondo le istruzioni del Cliente non ponga l'Organizzazione in violazione delle Leggi sulla Protezione dei Dati. Il Cliente non fornirà né renderà disponibili all'Organizzazione Dati Personali in violazione dei TOS o comunque inappropriati per la natura dei Servizi e manleverà l'Organizzazione da tutte le rivendicazioni e perdite in relazione ad essi.

2.2 L'Organizzazione non tratterà i Dati Personali (i) per finalità diverse da quelle indicate nei TOS e/o nell'Allegato A, (ii) in modo non conforme ai termini e alle condizioni di cui al presente Contratto o ad altre istruzioni documentate fornite dal Cliente, anche per quanto riguarda i trasferimenti di informazioni personali verso un paese terzo o un'organizzazione internazionale, salvo che sia tenuta a farlo da un'Autorità di Controllo a cui l'Organizzazione è soggetta; in tal caso, l'Organizzazione informerà il Cliente di tale obbligo legale prima del trattamento, salvo che la legge proscriva tale informazione per rilevanti motivi di interesse pubblico, o (iii) in violazione delle Leggi sulla Protezione dei Dati. Il Cliente con il presente atto incarica l'Organizzazione di trattare i Dati Personali conformemente a quanto precede e come parte di qualsiasi trattamento avviato dal Cliente nell'utilizzo dei Servizi. Tali istruzioni saranno sempre documentate.

2.3 L'oggetto, la natura, la finalità e la durata di tale trattamento, nonché i tipi di Dati Personali raccolti e le categorie di Interessati, sono descritti nell'Allegato A al presente Contratto.

2.4 Al completamento dei Servizi, a scelta del Cliente, l'Organizzazione cancellerà i Dati Personali del Cliente, salvo che l'ulteriore conservazione di tali Dati Personali sia richiesta o autorizzata dalla legge applicabile. Se il Cliente e l'Organizzazione hanno stipulato le Clausole Contrattuali Standard come descritto nella Sezione 6 (Trasferimenti di Dati Personali), le parti concordano che la certificazione della cancellazione dei Dati Personali descritta nella Clausola 8.1(d) e Clausola 8.5 delle CCS UE (a seconda dei casi) sarà fornita dall'Organizzazione al Cliente solo su richiesta del Cliente.

2.5 CCPA. Ad eccezione dei Dati dell'Account Cliente e dei Dati di Utilizzo del Cliente, le parti riconoscono e concordano che l'Organizzazione è un fornitore di servizi ai fini del CCPA (nella misura in cui si applica) e riceve informazioni personali dal Cliente al fine di fornire i Servizi ai sensi dei TOS, il che costituisce una finalità commerciale. L'Organizzazione non venderà tali informazioni personali. L'Organizzazione non conserverà, utilizzerà o divulgherà alcuna informazione personale fornita dal Cliente ai sensi dei TOS se non come richiesto per lo scopo specifico di eseguire i Servizi per il Cliente ai sensi dei TOS, o come altrimenti indicato nei TOS o consentito dal CCPA. I termini "informazioni personali", "fornitore di servizi", "vendita" e "vendere" sono come definiti nella Sezione 1798.140 del CCPA. L'Organizzazione certifica di comprendere le restrizioni della presente Sezione 2.5.

3. Riservatezza

L'Organizzazione garantirà che qualsiasi persona da essa autorizzata a trattare i Dati Personali si sia impegnata a proteggere i Dati Personali conformemente agli obblighi di riservatezza dell'Organizzazione nei TOS. Il Cliente accetta che l'Organizzazione possa divulgare i Dati Personali ai propri consulenti, revisori o altri soggetti terzi come ragionevolmente richiesto in relazione all'adempimento dei propri obblighi ai sensi del presente Contratto, dei TOS o della fornitura dei Servizi al Cliente.

4. Sub-Responsabili Autorizzati

4.1 Il Cliente riconosce e accetta che l'Organizzazione possa (1) incaricare i Sub-Responsabili Autorizzati presenti nell'Elenco (definito di seguito) di accedere e trattare i Dati Personali in relazione ai Servizi e (2) di volta in volta incaricare ulteriori soggetti terzi allo scopo di fornire i Servizi, incluso il trattamento dei Dati Personali. Mediante il presente Contratto, il Cliente fornisce un'autorizzazione scritta generale all'Organizzazione a incaricare sub-responsabili del trattamento nella misura necessaria per eseguire i Servizi.

4.2 Un elenco degli attuali Sub-Responsabili Autorizzati dell'Organizzazione (l'"Elenco") sarà messo a disposizione del Cliente. Tale Elenco può essere aggiornato dall'Organizzazione di volta in volta. L'Organizzazione fornirà un meccanismo per iscriversi alle notifiche (che possono includere, a titolo esemplificativo, l'email) di nuovi Sub-Responsabili Autorizzati almeno quattordici (14) giorni prima di consentire a qualsiasi soggetto terzo diverso dai Sub-Responsabili Autorizzati esistenti di accedere o partecipare al trattamento dei Dati Personali; l'Organizzazione aggiungerà tale soggetto terzo all'Elenco e informerà il Cliente tramite le suddette notifiche. Il Cliente può opporsi a tale incarico informando l'Organizzazione per iscritto entro sette (7) giorni dal ricevimento della suddetta notifica da parte del Cliente, a condizione che tale opposizione sia per iscritto e basata su motivi ragionevoli relativi alla protezione delle informazioni. Il Cliente riconosce che determinati sub-responsabili sono essenziali per fornire i Servizi e che opporsi all'utilizzo di un sub-responsabile potrebbe impedire all'Organizzazione di offrire i Servizi al Cliente.

4.3 Se il Cliente si oppone ragionevolmente a un incarico ai sensi della Sezione 4.2, e l'Organizzazione non può fornire un'alternativa commercialmente ragionevole entro un periodo di tempo ragionevole, il Cliente può interrompere l'utilizzo del Servizio interessato dandone comunicazione scritta all'Organizzazione. L'interruzione non esonera il Cliente da eventuali commissioni dovute all'Organizzazione ai sensi dei TOS.

4.4 Se il Cliente non si oppone all'incarico di un soggetto terzo ai sensi della Sezione 4.2 entro sette (7) giorni dalla notifica dell'Organizzazione, tale soggetto terzo sarà considerato un Sub-Responsabile Autorizzato ai fini del presente Contratto.

4.5 L'Organizzazione stipulerà un accordo scritto con il Sub-Responsabile Autorizzato che imponga a quest'ultimo obblighi di protezione delle informazioni comparabili a quelli imposti all'Organizzazione ai sensi del presente Contratto per quanto riguarda la protezione dei Dati Personali. Nel caso in cui un Sub-Responsabile Autorizzato non adempia ai propri obblighi di protezione delle informazioni ai sensi di tale accordo scritto con l'Organizzazione, l'Organizzazione rimarrà responsabile nei confronti del Cliente per l'adempimento degli obblighi del Sub-Responsabile Autorizzato ai sensi di tale accordo.

4.6 Se il Cliente e l'Organizzazione hanno stipulato le Clausole Contrattuali Standard come descritto nella Sezione 6 (Trasferimenti di Dati Personali), (i) le autorizzazioni di cui sopra costituiranno il consenso scritto preventivo del Cliente al subappalto da parte dell'Organizzazione del trattamento dei Dati Personali se tale consenso è richiesto ai sensi delle Clausole Contrattuali Standard, e (ii) le parti concordano che le copie degli accordi con i Sub-Responsabili Autorizzati che devono essere forniti dall'Organizzazione al Cliente ai sensi della Clausola 9(c) delle CCS UE possono avere informazioni commerciali, o informazioni non correlate alle Clausole Contrattuali Standard o al loro equivalente, rimosse dall'Organizzazione in anticipo, e che tali copie saranno fornite dall'Organizzazione solo su richiesta del Cliente.

4.7 L'Organizzazione concorderà una clausola di terzo beneficiario con il Sub-Responsabile Autorizzato attraverso la quale - nel caso in cui l'Organizzazione sia di fatto scomparsa, abbia cessato di esistere legalmente o sia diventata insolvente - il Cliente avrà il diritto di risolvere il contratto del Sub-Responsabile Autorizzato e di incaricare il Sub-Responsabile Autorizzato di cancellare o restituire le informazioni personali.

5. Sicurezza dei Dati Personali

5.1 Tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito, del contesto e delle finalità del trattamento nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, l'Organizzazione manterrà misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio del trattamento dei Dati Personali. Ciò include la protezione delle informazioni contro una violazione della sicurezza che comporti la distruzione, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso alle informazioni, in modo accidentale o illecito (violazione delle informazioni personali). Nel valutare il livello appropriato di sicurezza, le Parti terranno debitamente conto dello stato dell'arte, dei costi di implementazione, della natura, dell'ambito, del contesto e delle finalità del trattamento e dei rischi connessi per gli interessati. L'Allegato B stabilisce ulteriori informazioni sulle misure di sicurezza tecniche e organizzative dell'Organizzazione.

6. Trasferimenti di Dati Personali

6.1 Le parti concordano che l'Organizzazione può trasferire i Dati Personali trattati ai sensi del presente Contratto al di fuori del SEE, del Regno Unito o della Svizzera nella misura necessaria per fornire i Servizi. Il Cliente riconosce che le principali operazioni di trattamento dell'Organizzazione hanno luogo nell'Unione Europea, tuttavia, l'Organizzazione può incaricare Sub-Responsabili con sede negli Stati Uniti come indicato nella clausola 4.2, nel qual caso saranno implementate adeguate garanzie contrattuali per garantire la conformità alle Leggi sulla Protezione dei Dati. Se l'Organizzazione trasferisce i Dati Personali protetti ai sensi del presente Contratto a una giurisdizione per la quale la Commissione Europea non ha emesso una decisione di adeguatezza, l'Organizzazione garantirà che siano state implementate garanzie adeguate per il trasferimento dei Dati Personali conformemente alle Leggi sulla Protezione dei Dati.

6.2 Trasferimenti ex-SEE. Le parti concordano che i trasferimenti ex-SEE sono effettuati ai sensi delle CCS UE, che si considerano stipulate (e incorporate nel presente Contratto mediante questo riferimento) e completate come segue:

6.2.1 Il Modulo Uno (Titolare a Titolare) delle CCS UE si applica quando l'Organizzazione tratta i Dati Personali come titolare del trattamento ai sensi della Sezione 10 del presente Contratto.

6.2.2 Il Modulo Due (Titolare a Responsabile) delle CCS UE si applica quando il Cliente è un titolare del trattamento e l'Organizzazione tratta i Dati Personali per il Cliente come responsabile del trattamento ai sensi della Sezione 2 del presente Contratto.

6.2.3 Il Modulo Tre (Responsabile a Sub-Responsabile) delle CCS UE si applica quando il Cliente è un responsabile del trattamento e l'Organizzazione tratta i Dati Personali per conto del Cliente come sub-responsabile del trattamento.

6.3 Per ciascun modulo, ove applicabile, si applica quanto segue:

6.3.1 La clausola di adesione facoltativa di cui alla Clausola 7 non si applica.

6.3.2 Nella Clausola 9, si applica l'Opzione 2 (autorizzazione scritta generale) e il periodo minimo di preavviso per le modifiche dei sub-responsabili sarà come stabilito nella Sezione 4.2 del presente Contratto;

6.3.3 Nella Clausola 11, la formulazione facoltativa non si applica;

6.3.4 Tutte le parentesi quadre nella Clausola 13 sono con il presente atto rimosse. Le disposizioni applicabili saranno quelle corrispondenti alla situazione dell'esportatore di informazioni descritta tra parentesi quadre;

6.3.5 Nella Clausola 17 (Opzione 1), le CCS UE saranno regolate dalla legge francese;

6.3.6 Nella Clausola 18(b), le controversie saranno risolte dinanzi ai tribunali francesi;

6.3.7 L'Allegato B al presente Contratto contiene le informazioni richieste nell'Allegato I delle CCS UE;

6.3.8 L'Allegato C al presente Contratto contiene le informazioni richieste nell'Allegato II delle CCS UE; e

6.3.9 Sottoscrivendo il presente Contratto, le parti si considerano aver firmato le CCS UE in esso incorporate, inclusi i loro Allegati.

6.4 Trasferimenti ex-Regno Unito. Le parti concordano che i trasferimenti ex-Regno Unito sono effettuati ai sensi delle CCS UE e dell'Addendum sul Trasferimento Internazionale dei Dati alle CCS UE, che si considerano stipulati e incorporati nel presente Contratto mediante riferimento, e completati come segue:

6.4.1 I riferimenti al GDPR saranno considerati riferimenti al GDPR del Regno Unito e al Data Protection Act 2018 del Regno Unito, i riferimenti alle "autorità di controllo" saranno considerati riferimenti al Commissario per le Informazioni del Regno Unito e i riferimenti a "Stato(i) Membro(i)" o all'UE saranno considerati riferimenti al Regno Unito.

6.4.2 L'Addendum sul Trasferimento Internazionale dei Dati alle CCS UE si applica quando l'Organizzazione tratta i Dati Personali del Cliente come responsabile del trattamento e comporta un trasferimento coperto dal Capitolo V del GDPR del Regno Unito.

6.5 Trasferimenti dalla Svizzera. Le parti concordano che i trasferimenti dalla Svizzera sono effettuati ai sensi delle CCS UE con le seguenti modifiche:

6.5.1 I termini "Regolamento Generale sulla Protezione dei Dati" o "Regolamento (UE) 2016/679" come utilizzati nelle CCS UE saranno interpretati in modo da includere la Legge Federale sulla Protezione dei Dati del 19 giugno 1992 (la "FAPD", e come rivista al 25 settembre 2020, la "FAPD Rivista") per quanto riguarda i trasferimenti di informazioni regolati dalla FAPD.

6.5.2 I termini delle CCS UE saranno interpretati in modo da proteggere le informazioni delle persone giuridiche fino alla data di entrata in vigore della FAPD Rivista.

6.5.3 La Clausola 13 delle CCS UE è modificata per prevedere che l'Incaricato Federale della Protezione dei Dati e della Trasparenza ("IFPDT") della Svizzera avrà autorità sui trasferimenti di informazioni regolati dalla FAPD e l'autorità di controllo UE competente avrà autorità sui trasferimenti di informazioni regolati dal GDPR. Fatto salvo quanto precede, tutti gli altri requisiti della Sezione 13 saranno osservati.

6.5.4 Il termine "Stato Membro dell'UE" come utilizzato nelle CCS UE non sarà interpretato in modo da escludere gli Interessati in Svizzera dall'esercizio dei loro diritti nel loro luogo di residenza abituale conformemente alla Clausola 18(c) delle CCS UE.

6.6 Misure Supplementari. Per quanto riguarda qualsiasi trasferimento ex-SEE o ex-Regno Unito, si applicheranno le seguenti misure supplementari:

6.6.1 Alla data del presente Contratto, l'Importatore di Dati non ha ricevuto alcuna richiesta legale formale da parte di servizi/agenzie di intelligence o sicurezza governativa nel paese verso il quale i Dati Personali vengono esportati, per l'accesso (o per copie) dei Dati Personali del Cliente ("Richieste di Agenzie Governative");

6.6.2 Se, dopo la data del presente Contratto, l'Importatore di Dati riceve Richieste di Agenzie Governative, l'Organizzazione tenterà di reindirizzare l'agenzia governativa o di polizia a richiedere tali informazioni direttamente al Cliente. Nell'ambito di questo sforzo, l'Organizzazione può fornire le informazioni di contatto di base del Cliente all'agenzia governativa. Se obbligata a divulgare i Dati Personali del Cliente a un'agenzia governativa o di polizia, l'Organizzazione darà al Cliente un ragionevole preavviso della richiesta e coopererà per consentire al Cliente di richiedere un ordine di protezione o altro rimedio appropriato, a meno che l'Organizzazione non sia legalmente obbligata a non farlo. L'Organizzazione non divulgerà volontariamente i Dati Personali a qualsiasi agenzia governativa o di polizia. L'Esportatore di Dati e l'Importatore di Dati discuteranno e determineranno (non appena ragionevolmente possibile) se tutti o alcuni trasferimenti di Dati Personali ai sensi del presente Contratto debbano essere sospesi alla luce di tali Richieste di Agenzie Governative;

6.6.3 L'Esportatore di Dati e l'Importatore di Dati si incontreranno secondo necessità per valutare se: (i) la protezione offerta dalle leggi del paese dell'Importatore di Dati agli interessati i cui Dati Personali sono trasferiti sia sufficiente a fornire una protezione sostanzialmente equivalente a quella offerta nel SEE o nel Regno Unito, a seconda dei casi; (ii) siano ragionevolmente necessarie misure aggiuntive per consentire che il trasferimento sia conforme alle Leggi sulla Protezione dei Dati; e (iii) sia ancora opportuno che i Dati Personali siano trasferiti al relativo Importatore di Dati, tenendo conto di tutte le informazioni pertinenti disponibili alle parti, unitamente agli orientamenti forniti dalle autorità di controllo.

6.6.4 Se le Leggi sulla Protezione dei Dati richiedono all'Esportatore di Dati di eseguire le Clausole Contrattuali Standard applicabili a un particolare trasferimento di Dati Personali a un Importatore di Dati come accordo separato, l'Importatore di Dati, su richiesta dell'Esportatore di Dati, eseguirà prontamente tali Clausole Contrattuali Standard incorporando le modifiche che potrebbero essere ragionevolmente richieste dall'Esportatore di Dati per riflettere le appendici e gli allegati applicabili, i dettagli del trasferimento e i requisiti delle pertinenti Leggi sulla Protezione dei Dati.

6.6.5 Se (i) uno qualsiasi dei mezzi di legittimazione dei trasferimenti di Dati Personali al di fuori del SEE o del Regno Unito di cui al presente Contratto cessa di essere valido o (ii) qualsiasi autorità di controllo richiede la sospensione dei trasferimenti di Dati Personali ai sensi di tali mezzi, allora l'Importatore di Dati può, mediante notifica all'Esportatore di Dati, con effetto dalla data indicata in tale notifica, modificare o predisporre accordi alternativi in relazione a tali trasferimenti, come richiesto dalle Leggi sulla Protezione dei Dati.

7. Diritti degli Interessati

7.1 L'Organizzazione, nella misura consentita dalla legge, informerà il Cliente al ricevimento di una richiesta da parte di un Interessato di esercitare il diritto di: accesso, rettifica, cancellazione, portabilità delle informazioni, limitazione o cessazione del trattamento, revoca del consenso al trattamento e/o opposizione all'essere soggetto a un trattamento che costituisca un processo decisionale automatizzato (tali richieste individualmente e collettivamente "Richiesta(e) dell'Interessato"). Se l'Organizzazione riceve una Richiesta dell'Interessato in relazione alle informazioni del Cliente, l'Organizzazione consiglierà all'Interessato di presentare la propria richiesta al Cliente e il Cliente sarà responsabile di rispondere a tale richiesta, anche, ove necessario, utilizzando le funzionalità dei Servizi. Il Cliente è l'unico responsabile di garantire che le Richieste dell'Interessato di cancellazione, limitazione o cessazione del trattamento, o revoca del consenso al trattamento di qualsiasi Dato Personale siano comunicate all'Organizzazione e, se del caso, di garantire che sia mantenuta una registrazione del consenso al trattamento per ciascun Interessato.

7.2 L'Organizzazione, su richiesta del Cliente e tenendo conto della natura del trattamento applicabile a qualsiasi Richiesta dell'Interessato, applicherà misure tecniche e organizzative appropriate per assistere il Cliente nel conformarsi all'obbligo del Cliente di rispondere a tale Richiesta dell'Interessato e/o nel dimostrare tale conformità, ove possibile, a condizione che (i) il Cliente stesso non sia in grado di rispondere senza l'assistenza dell'Organizzazione e (ii) l'Organizzazione sia in grado di farlo conformemente a tutte le leggi, norme e regolamenti applicabili. Il Cliente sarà responsabile, nella misura consentita dalla legge, per eventuali costi e spese derivanti da tale assistenza da parte dell'Organizzazione.

8. Valutazioni d'Impatto sulla Protezione dei Dati; Audit

8.1 L'Organizzazione, tenendo conto della natura del trattamento e delle informazioni a disposizione dell'Organizzazione, fornirà al Cliente una ragionevole cooperazione e assistenza ove necessario affinché il Cliente possa adempiere ai propri obblighi ai sensi del GDPR di condurre una valutazione d'impatto sulla protezione delle informazioni e/o di dimostrare tale conformità. Il Cliente sarà responsabile, nella misura consentita dalla legge, per eventuali costi e spese derivanti da tale assistenza da parte dell'Organizzazione.

8.2 L'Organizzazione, tenendo conto della natura del trattamento e delle informazioni a disposizione dell'Organizzazione, fornirà al Cliente una ragionevole cooperazione e assistenza per quanto riguarda la cooperazione e/o la consultazione preventiva del Cliente con qualsiasi Autorità di Controllo, ove necessario e ove richiesto dal GDPR. Il Cliente sarà responsabile, nella misura consentita dalla legge, per eventuali costi e spese derivanti da tale assistenza da parte dell'Organizzazione.

8.3 L'Organizzazione manterrà registri sufficienti a dimostrare la propria conformità agli obblighi ai sensi del presente Contratto. Il Cliente, con ragionevole preavviso all'Organizzazione, avrà il diritto di esaminare, verificare e copiare tali registri presso gli uffici dell'Organizzazione durante l'orario lavorativo.

8.4 Su richiesta scritta del Cliente a intervalli ragionevoli e disciplinata da ragionevoli controlli di riservatezza, l'Organizzazione, (i) metterà a disposizione per la revisione del Cliente copie di certificazioni o rapporti che dimostrino la conformità dell'Organizzazione agli standard di sicurezza delle informazioni prevalenti applicabili al trattamento dei Dati Personali del Cliente, oppure (ii) se la fornitura di rapporti o certificazioni ai sensi del punto (i) non è ragionevolmente sufficiente ai sensi delle Leggi sulla Protezione dei Dati, consentirà a un rappresentante terzo indipendente del Cliente di condurre un audit o un'ispezione dell'infrastruttura e delle procedure di sicurezza delle informazioni dell'Organizzazione che sia sufficiente a dimostrare la conformità dell'Organizzazione ai propri obblighi ai sensi delle Leggi sulla Protezione dei Dati, a condizione che (a) il Cliente fornisca un ragionevole preavviso scritto di qualsiasi richiesta di audit e tale ispezione non sia irragionevolmente dirompente per l'attività dell'Organizzazione; (b) tale audit sarà eseguito solo durante l'orario lavorativo e non più di una volta per anno solare; e (c) tale audit sarà limitato alle informazioni pertinenti al Cliente. Il Cliente sarà responsabile dei costi di tali audit o ispezioni, come un rimborso all'Organizzazione per il tempo impiegato per gli audit in loco. Se il Cliente e l'Organizzazione hanno stipulato le Clausole Contrattuali Standard come descritto nella Sezione 6 (Trasferimenti di Dati Personali), le parti concordano che gli audit descritti nella Clausola 8.9 delle CCS UE saranno eseguiti conformemente alla presente Sezione 8.4.

8.5 L'Organizzazione informerà immediatamente il Cliente se un'istruzione, a giudizio dell'Organizzazione, viola le Leggi sulla Protezione dei Dati o l'Autorità di Controllo. Le parti renderanno disponibili le informazioni di cui all'Articolo 8, inclusi i risultati di qualsiasi audit, all'Autorità di Controllo su richiesta.

9. Violazioni dei Dati Personali

9.1 In caso di Violazione dei Dati Personali, l'Organizzazione, senza indebito ritardo e comunque non oltre 48 ore dall'esserne venuta a conoscenza, informerà il Cliente della Violazione dei Dati Personali e adotterà le misure che l'Organizzazione, a sua esclusiva discrezione, ritiene necessarie e ragionevoli per porre rimedio a tale violazione (nella misura in cui la riparazione sia sotto il ragionevole controllo dell'Organizzazione). In particolare, la notifica includerà almeno: (i) la descrizione della natura della violazione delle informazioni personali, compresi, ove possibile, le categorie e il numero approssimativo di interessati coinvolti e le categorie e il numero approssimativo di registrazioni di informazioni personali coinvolte; (ii) il nome e i recapiti del responsabile della protezione delle informazioni o di altro punto di contatto dove ottenere maggiori informazioni; (iii) la descrizione delle probabili conseguenze della violazione delle informazioni personali; la descrizione delle misure adottate o proposte dal titolare del trattamento per affrontare la violazione delle informazioni personali, comprese, ove opportuno, le misure per attenuarne i possibili effetti negativi. Qualora, e nella misura in cui, non sia possibile fornire le informazioni contemporaneamente, le informazioni potranno essere fornite in fasi successive senza ulteriore indebito ritardo.

9.2 In caso di Violazione dei Dati Personali, l'Organizzazione, tenendo conto della natura del trattamento e delle informazioni a disposizione dell'Organizzazione, fornirà al Cliente una ragionevole cooperazione e assistenza necessaria affinché il Cliente possa adempiere ai propri obblighi ai sensi del GDPR per quanto riguarda la notifica (i) all'Autorità di Controllo competente e (ii) agli Interessati colpiti da tale Violazione dei Dati Personali senza indebito ritardo.

9.3 Gli obblighi descritti nelle Sezioni 9.1 e 9.2 non si applicheranno nel caso in cui una Violazione dei Dati Personali derivi da azioni od omissioni del Cliente. L'obbligo dell'Organizzazione di segnalare o rispondere a una Violazione dei Dati Personali ai sensi delle Sezioni 9.1 e 9.2 non sarà interpretato come un riconoscimento da parte dell'Organizzazione di alcuna colpa o responsabilità in relazione alla Violazione dei Dati Personali.

10. Ruolo dell'Organizzazione come Titolare del Trattamento

10.1 Le parti riconoscono e concordano che, per quanto riguarda i Dati del Profilo, i Dati dell'Account Cliente e le informazioni sull'Utilizzo del Cliente, l'Organizzazione è un titolare del trattamento indipendente, non un contitolare del trattamento con il Cliente. Il Cliente ottiene i Dati del Profilo dall'Organizzazione per il proprio scopo e utilizzo e sarà considerato un Titolare del Trattamento separato e indipendente rispetto ai Dati del Profilo. Ciascuna Parte è individualmente e separatamente responsabile del rispetto degli obblighi che le competono come Titolare del Trattamento ai sensi di qualsiasi Legge sulla Protezione dei Dati applicabile in relazione ai Dati del Profilo.

10.2 L'Organizzazione tratterà i Dati dell'Account Cliente e i Dati di Utilizzo del Cliente come Titolare del Trattamento (i) per gestire il rapporto con il Cliente; (ii) per svolgere le operazioni aziendali principali dell'Organizzazione, quali contabilità, audit, preparazione e deposito fiscale e finalità di conformità; (iii) per monitorare, indagare, prevenire e rilevare frodi, incidenti di sicurezza e altri usi impropri dei Servizi, e per prevenire danni al Cliente; (iv) a fini di verifica dell'identità; (v) per conformarsi agli obblighi legali o normativi applicabili al trattamento e alla conservazione dei Dati Personali a cui l'Organizzazione è soggetta; e (vi) come altrimenti consentito dalle Leggi sulla Protezione dei Dati e conformemente al presente Contratto e ai TOS. L'Organizzazione può inoltre trattare i Dati di Utilizzo del Cliente come titolare del trattamento per fornire, ottimizzare e mantenere i Servizi, nella misura consentita dalle Leggi sulla Protezione dei Dati. Qualsiasi trattamento da parte dell'Organizzazione come titolare del trattamento sarà conforme all'informativa sulla privacy dell'Organizzazione.

11. Conflitto

In caso di conflitto o incoerenza tra i seguenti documenti, l'ordine di precedenza sarà: (1) i termini applicabili delle Clausole Contrattuali Standard; (2) i termini del presente Contratto; (3) i TOS; e (4) l'informativa sulla privacy dell'Organizzazione. Qualsiasi rivendicazione proposta in relazione al presente Contratto sarà regolata dai termini e condizioni, inclusi, a titolo esemplificativo, le esclusioni e limitazioni stabilite nei TOS.

12. Inadempimento del presente Contratto e risoluzione

12.1 Fatte salve le disposizioni del Regolamento (UE) 2016/679 e/o del Regolamento (UE) 2018/1725, nel caso in cui l'Organizzazione violi i propri obblighi ai sensi del presente Contratto, il Cliente può incaricare l'Organizzazione di sospendere il trattamento delle informazioni personali fino a quando quest'ultima non si conformi al presente Contratto o il contratto non venga risolto. L'Organizzazione informerà prontamente il Cliente nel caso in cui non sia in grado di conformarsi al presente Contratto, per qualsiasi motivo.

12.2 Il Cliente avrà diritto di risolvere il presente Contratto nella misura in cui riguarda il trattamento di informazioni personali ai sensi del presente Contratto se: (1) il trattamento delle informazioni personali da parte dell'Organizzazione è stato sospeso dal Cliente ai sensi del punto (a) e se la conformità al presente Contratto non viene ripristinata entro un periodo di tempo ragionevole e in ogni caso entro un mese dalla sospensione; (2) l'Organizzazione è in violazione sostanziale o persistente del presente Contratto o dei propri obblighi ai sensi del Regolamento (UE) 2016/679 e/o del Regolamento (UE) 2018/1725; (3) l'Organizzazione non si conforma a una decisione vincolante di un tribunale competente o della/e Autorità di Controllo competente/i in merito ai propri obblighi ai sensi del presente Contratto o del Regolamento (UE) 2016/679 e/o del Regolamento (UE) 2018/1725.

12.3 L'Organizzazione avrà diritto di risolvere il contratto nella misura in cui riguarda il trattamento di informazioni personali ai sensi del presente Contratto qualora, dopo aver informato il Cliente che le sue istruzioni violano i requisiti legali applicabili, il Cliente insista nel conformarsi alle istruzioni.

12.4 A seguito della risoluzione del contratto, l'Organizzazione, a scelta del Cliente, cancellerà tutte le informazioni personali trattate per conto del Cliente e certificherà al Cliente di averlo fatto, oppure restituirà tutte le informazioni personali al Cliente e cancellerà le copie esistenti, a meno che la legge dell'Unione o dello Stato Membro non richieda la conservazione delle informazioni personali. Fino a quando le informazioni non saranno cancellate o restituite, l'Organizzazione continuerà ad aderire al presente Contratto.

Allegato A

Natura e Finalità del Trattamento

L'Organizzazione tratterà i Dati Personali del Cliente nella misura necessaria per fornire i Servizi ai sensi dei TOS, per le finalità specificate nei TOS e nel presente Contratto, e conformemente alle istruzioni del Cliente come stabilito nel presente Contratto.

Durata del Trattamento

L'Organizzazione tratterà i Dati Personali del Cliente per tutto il tempo necessario (i) a fornire i Servizi al Cliente ai sensi dei TOS; (ii) per le legittime esigenze aziendali dell'Organizzazione; o (iii) come richiesto dalla legge o dai regolamenti applicabili. I Dati dell'Account Cliente, i Dati dei Lead del Cliente e i Dati di Utilizzo del Cliente saranno trattati e conservati come stabilito nell'Informativa sulla Privacy dell'Organizzazione.

Categorie di Interessati

• Dipendenti, consulenti, appaltatori e/o agenti del Cliente.
• Contatti professionali del Cliente contenuti nei Dati dei Lead del Cliente.

Categorie di Dati Personali

L'Organizzazione tratta i Dati Personali contenuti nei Dati dell'Account Cliente, nei Dati di Utilizzo del Cliente e qualsiasi Dato Personale fornito dal Cliente o raccolto dall'Organizzazione al fine di fornire i Servizi o come altrimenti stabilito nei TOS o nel presente Contratto.

L'Organizzazione tratta inoltre i Dati Personali contenuti nei Dati dei Lead del Cliente. Le categorie di Dati Personali includono nomi, indirizzi email, titoli professionali, numeri di telefono e altre informazioni contenute nei Dati dei Lead del Cliente.

Dati Sensibili o Categorie Particolari di Dati

Ai Clienti è vietato fornire informazioni personali sensibili o categorie particolari di informazioni all'Organizzazione, comprese qualsiasi informazione che riveli precedenti penali.

Allegato B

Di seguito sono riportate le informazioni richieste dall'Allegato I e dall'Allegato III delle CCS UE, e dall'Allegato 1A e dall'Allegato 1B dell'Addendum sul Trasferimento Internazionale dei Dati.

1. Le Parti

Esportatore(i) di dati

Nome: La parte dei Termini di Servizio con Vocations o la sua Affiliata (a seconda dei casi). Indirizzo: L'indirizzo dell'Esportatore di Dati. Nome, posizione e recapiti della persona di contatto: Il nome, la posizione e i recapiti forniti dall'Esportatore di Dati. Attività pertinenti alle informazioni trasferite ai sensi delle presenti Clausole: Come descritto nella Sezione 2 dei TOS. Firma e data: Utilizzando i Servizi per trasferire i Dati Personali all'Importatore di Dati, l'Esportatore di Dati si considererà aver firmato il presente Allegato B. Ruolo (titolare/responsabile): Titolare

Importatore(i) di dati

Nome: Vocations S.R.L. Indirizzo: Via Milano 37/C, Gorgonzola (MI), 20064, Italia. Attività pertinenti alle informazioni trasferite ai sensi delle presenti Clausole: Come descritto nella Sezione 2 dei TOS. Firma e data: L'importatore di informazioni si considererà aver firmato il presente Allegato B al momento del trasferimento dei Dati Personali da parte dell'Esportatore di Dati in relazione ai Servizi. Ruolo (titolare/responsabile): Responsabile del trattamento

2. Descrizione del Trasferimento

3. Autorità di Controllo Competente

L'autorità di controllo sarà l'autorità di controllo dell'Esportatore di Dati, come determinato conformemente alla Clausola 13.

Allegato C

Descrizione delle Misure di Sicurezza Tecniche e Organizzative implementate dall'Importatore di Dati

Di seguito sono riportate le informazioni richieste dall'Allegato II delle CCS UE e dall'Allegato 2 dell'Addendum sul Trasferimento Internazionale dei Dati.