Data Processing Agreement (DPA)

Questo è il testo standard B2B del DPA Fresco. I dati identificativi del singolo Cliente/Titolare vengono completati nell’Order Form o nella copia del DPA applicabile al rapporto; questa pagina non costituisce una copia sottoscritta per uno specifico Cliente.

Parti

1. Oggetto e durata

Il Responsabile tratta i Dati Personali esclusivamente per fornire Fresco al Cliente e secondo le istruzioni documentate contenute nel contratto, nel presente DPA, nell’Order Form e nelle configurazioni del Servizio. Il trattamento dura per il periodo di erogazione e per il tempo strettamente necessario a restituzione, export, cancellazione e naturale scadenza dei backup secondo policy e legge.

2. Istruzioni documentate

Il Responsabile tratta i Dati Personali soltanto su istruzione documentata del Titolare, inclusi eventuali trasferimenti, salvo obblighi di legge applicabili. Se ritiene che un’istruzione violi il GDPR o altra norma applicabile, informa senza ritardo il Titolare nei limiti consentiti dalla legge.

3. Riservatezza

Il Responsabile assicura che le persone autorizzate al trattamento siano vincolate alla riservatezza o soggette a un adeguato obbligo legale di riservatezza e accedano ai dati soltanto nella misura necessaria alle loro mansioni.

4. Misure di sicurezza

Il Responsabile adotta e mantiene misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR, descritte nell’Allegato B. Le misure possono evolvere con il progresso tecnico purché non venga ridotto in modo sostanziale il livello complessivo di protezione. Non viene promessa sicurezza assoluta.

5. Sub-responsabili

Il Titolare concede autorizzazione generale all’impiego dei sub-responsabili indicati nell’Allegato C e nella lista pubblica aggiornata. Per aggiunte o sostituzioni materiali, Fresco informa preventivamente il Cliente quando ragionevolmente possibile. Il Cliente può presentare un’obiezione motivata relativa alla protezione dei dati entro 15 giorni dalla comunicazione.

Le parti cooperano in buona fede per individuare una soluzione ragionevole. Per sostituzioni urgenti necessarie a sicurezza, continuità, cessazione improvvisa del provider o obblighi di legge, la comunicazione può avvenire con preavviso ridotto o subito dopo il cambiamento, con motivazione. Fresco impone ai sub-responsabili obblighi di protezione sostanzialmente equivalenti a quelli richiesti dall’art. 28(4) GDPR per il trattamento loro affidato.

6. Trasferimenti internazionali

Quando il trattamento comporta un trasferimento verso un paese terzo, Fresco documenta un meccanismo conforme al Capo V GDPR, inclusi ove necessari decisioni di adeguatezza, SCC 2021/914 e misure supplementari appropriate. La clausola non sostituisce la verifica delle configurazioni effettive dei provider e dei relativi sub-responsabili.

7. Diritti degli interessati

Tenuto conto della natura del trattamento, Fresco assiste il Titolare con misure tecniche e organizzative appropriate per rispondere alle richieste di esercizio dei diritti. Se una richiesta relativa ai dati del Cliente viene ricevuta direttamente da Fresco, salvo obbligo di legge viene inoltrata al Cliente e Fresco non decide autonomamente nel merito per il perimetro in cui opera quale Responsabile.

8. Assistenza, DPIA e autorità

Fresco assiste ragionevolmente il Titolare negli obblighi relativi a sicurezza, violazioni di dati personali, valutazioni d’impatto e consultazione preventiva, tenendo conto della natura del trattamento e delle informazioni disponibili.

9. Violazioni di dati personali

Fresco informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che interessi dati trattati per conto del Cliente e fornisce le informazioni ragionevolmente disponibili per consentire al Titolare di adempiere ai propri obblighi.

10. Audit e informazioni

Fresco mette a disposizione le informazioni ragionevolmente necessarie a dimostrare la conformità all’art. 28 GDPR. In via ordinaria le parti fanno affidamento su documentazione, report, evidenze di sicurezza e risposte scritte. Salvo incidente, richiesta dell’autorità o ragionevole sospetto di non conformità, si propone non più di un audit diretto per anno, con preavviso ragionevole, tutela di sicurezza e riservatezza e costi a carico del Cliente salvo non conformità sostanziale imputabile a Fresco.

11. Restituzione e cancellazione

Alla cessazione, secondo scelta o istruzione del Titolare e salvo obblighi di legge, Fresco rende esportabili i dati supportati per una finestra di 30 giorni e successivamente avvia cancellazione o anonimizzazione dei dati primari. I backup non sono normalmente modificati per singolo record: i dati decadono secondo la retention, restano isolati e non vengono riutilizzati per finalità diverse dal disaster recovery.

12. Responsabilità privacy

Ciascuna parte risponde dei propri obblighi ai sensi del GDPR. Il presente DPA non modifica i criteri legali di responsabilità previsti dal GDPR e deve essere coordinato con le limitazioni di responsabilità contrattuali nella misura consentita dalla legge.

Allegato A — Dettagli del trattamento

I dati di fatturazione, prospect e gestione contrattuale determinati autonomamente da Fresco sono fuori dal perimetro di Responsabile quando Fresco agisce quale Titolare autonomo.

Allegato B — Misure tecniche e organizzative

Allegato C — Sub-responsabili e fornitori

Allegato D — Cambi dei sub-responsabili

Fresco mantiene aggiornata la lista pubblica e comunica ai referenti contrattuali aggiunte o sostituzioni materiali con preavviso ragionevole ove possibile. Il Cliente dispone di 15 giorni per un’obiezione privacy motivata. Le sostituzioni urgenti necessarie a sicurezza o continuità possono essere comunicate con preavviso ridotto o appena possibile.