Il presente Addendum sull'elaborazione dei dati ("DPA") fa parte dell'Accordo tra Push Engage LLC d/b/a PushEngage ("PushEngage") e il Cliente ("Cliente") e sarà efficace alla data in cui entrambe le parti eseguono il presente DPA (la "Data di Efficacia"). Tutti i termini in maiuscolo non definiti nel presente DPA avranno i significati stabiliti nell'Accordo.

1. Definizioni

"Affiliato" indica un'entità che Controlla direttamente o indirettamente, è Controllata da o è sotto il Controllo comune di un'entità.

"Accordo" indica i Termini di Utilizzo di PushEngage, che disciplinano la fornitura dei Servizi al Cliente, come tali termini possono essere aggiornati da PushEngage di volta in volta.

"Controllo" indica una partecipazione di proprietà, di voto o simile che rappresenta il cinquanta percento (50%) o più degli interessi totali allora in circolazione dell'entità in questione. Il termine "Controllato" sarà interpretato di conseguenza.

"Dati del Cliente" indica qualsiasi Dato Personale che PushEngage elabora per conto del Cliente in qualità di Responsabile del trattamento dei dati nel corso della fornitura dei Servizi, come descritto più dettagliatamente nel presente DPA.

"Leggi sulla protezione dei dati" indica tutte le leggi sulla protezione dei dati e sulla privacy applicabili all'elaborazione dei Dati Personali ai sensi dell'Accordo, inclusa, ove applicabile, la Legge UE sulla protezione dei dati.

"Titolare del trattamento" indica un'entità che determina le finalità e i mezzi dell'elaborazione dei Dati Personali.

"Responsabile del trattamento" indica un'entità che elabora Dati Personali per conto di un Titolare del trattamento.

"Legge UE sulla protezione dei dati" indica (i) prima del 25 maggio 2018, la Direttiva 95/46/CE del Parlamento europeo e del Consiglio relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati di carattere personale, nonché alla libera circolazione di tali dati ("Direttiva") e dal 25 maggio 2018 in poi, il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati) ("GDPR"); e (ii) la Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della privacy nel settore delle comunicazioni elettroniche e le relative attuazioni nazionali applicabili (come possono essere modificate, sostituite o aggiornate).

"SEE" indica, ai fini del presente DPA, lo Spazio Economico Europeo, il Regno Unito e la Svizzera.

"Gruppo" indica qualsiasi Affiliato che fa parte del gruppo aziendale di un'entità.

"Rete PushEngage" indica le strutture del data center di PushEngage, i server, le apparecchiature di rete e i sistemi software host (ad es. firewall virtuali) che sono sotto il controllo di PushEngage e vengono utilizzati per fornire i Servizi.

“Dati Personali” indica qualsiasi informazione relativa a una persona fisica identificata o identificabile.

“Trattamento” ha il significato attribuito dal GDPR e, di conseguenza, verranno interpretati anche i termini “trattare”, “tratta” e “trattati”.

“Violazione della sicurezza” indica qualsiasi violazione dell’integrità o della riservatezza dei dati accidentale o illecita che comporti la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai Dati del Cliente.

“Servizi” indica qualsiasi prodotto o servizio fornito da PushEngage al Cliente ai sensi dell’Accordo.

“Clausole contrattuali standard” indica l’Allegato C allegato al presente Addendum e che ne costituisce parte integrante.

“Sub-responsabile del trattamento” indica qualsiasi Responsabile del trattamento incaricato da PushEngage o dalle sue Affiliate per assistere nell’adempimento dei propri obblighi relativi alla fornitura dei Servizi ai sensi dell’Accordo o del presente DPA. I sub-responsabili del trattamento possono includere terze parti o membri del Gruppo PushEngage.

2. Rapporto con l’Accordo

2.1 Le parti concordano che il DPA sostituirà qualsiasi DPA esistente che le parti potrebbero aver precedentemente stipulato in relazione ai Servizi.

2.2 Ad eccezione delle modifiche apportate dal presente DPA, l’Accordo rimane invariato e pienamente valido ed efficace. In caso di conflitto tra il presente DPA e l’Accordo, il presente DPA prevarrà nella misura di tale conflitto.

2.3 Qualsiasi reclamo presentato ai sensi o in connessione con il presente DPA sarà soggetto ai termini e alle condizioni, incluse, ma non limitate a, le esclusioni e le limitazioni stabilite nell’Accordo.

2.4 Qualsiasi reclamo nei confronti di PushEngage o delle sue Affiliate ai sensi del presente DPA dovrà essere presentato esclusivamente nei confronti dell’entità che è parte dell’Accordo. In nessun caso alcuna parte limiterà la propria responsabilità per quanto riguarda i diritti di protezione dei dati di qualsiasi individuo ai sensi del presente DPA o altrimenti. Il Cliente accetta inoltre che eventuali sanzioni normative inflitte a PushEngage in relazione ai Dati del Cliente che derivano da, o sono in connessione con, l’inadempimento da parte del Cliente dei propri obblighi ai sensi del presente DPA o di qualsiasi Legge applicabile sulla protezione dei dati, saranno conteggiate e ridurranno la responsabilità di PushEngage ai sensi dell’Accordo come se fossero responsabilità nei confronti del Cliente ai sensi dell’Accordo.

2.5 Nessuno, ad eccezione di una parte del presente DPA, dei suoi successori e cessionari autorizzati, avrà il diritto di far valere alcuno dei suoi termini.

2.6 Il presente DPA sarà disciplinato e interpretato in conformità con le disposizioni sulla legge applicabile e sulla giurisdizione contenute nell’Accordo, salvo quanto diversamente richiesto dalle Leggi applicabili sulla protezione dei dati.

3. Ambito di applicazione e applicabilità del presente DPA

3.1 Il presente DPA si applica laddove e solo nella misura in cui PushEngage tratta Dati del Cliente che hanno origine dallo SEE e/o che sono altrimenti soggetti alla Legge UE sulla protezione dei dati per conto del Cliente in qualità di Responsabile del trattamento nel corso della fornitura dei Servizi ai sensi dell’Accordo.

3.2 La Parte A (costituita dalla Sezione 4 – 8 (inclusi) del presente DPA, nonché dagli Allegati A, B e C del presente DPA) si applicherà all'elaborazione dei Dati del Cliente nell'ambito del presente DPA a partire dalla Data di Efficacia.

3.3 La Parte B (costituita dalle Sezioni 9-12 (inclusi) del presente DPA) si applicherà all'elaborazione dei Dati del Cliente nell'ambito del DPA a partire dal 25 maggio 2018 incluso. Per evitare dubbi, la Parte B si applicherà in aggiunta ai termini della Parte A, e non in sostituzione degli stessi.

Parte A: Obblighi generali di protezione dei dati

4. Ruoli e Ambito di Elaborazione

4.1 Ruolo delle Parti. Tra PushEngage e il Cliente, il Cliente è il Titolare del trattamento dei Dati del Cliente e PushEngage elaborerà i Dati del Cliente solo in qualità di Responsabile del trattamento che agisce per conto del Cliente.

4.2 Elaborazione dei Dati del Cliente da parte del Cliente. Il Cliente accetta che (i) rispetterà i propri obblighi di Titolare del trattamento ai sensi delle Leggi sulla protezione dei dati in relazione alla propria elaborazione dei Dati del Cliente e a qualsiasi istruzione di elaborazione che impartisce a PushEngage; e (ii) ha fornito notifica e ottenuto (o otterrà) tutti i consensi e i diritti necessari ai sensi delle Leggi sulla protezione dei dati affinché PushEngage possa elaborare i Dati del Cliente e fornire i Servizi ai sensi dell'Accordo e del presente DPA.

4.3 Elaborazione dei Dati del Cliente da parte di PushEngage. PushEngage elaborerà i Dati del Cliente solo per gli scopi descritti nel presente DPA e solo in conformità con le istruzioni legali documentate del Cliente. Le parti concordano che il presente DPA e l'Accordo stabiliscono le istruzioni complete e definitive del Cliente a PushEngage in relazione all'elaborazione dei Dati del Cliente e che qualsiasi elaborazione al di fuori dell'ambito di tali istruzioni (se presente) richiederà un accordo scritto preventivo tra il Cliente e PushEngage.

4.4 Dettagli dell'elaborazione dei dati.

1. Oggetto: L'oggetto dell'elaborazione dei dati ai sensi del presente DPA sono i Dati del Cliente.
2. Durata: Tra PushEngage e il Cliente, la durata dell'elaborazione dei dati ai sensi del presente DPA è fino alla risoluzione dell'Accordo in conformità con i suoi termini.
3. Scopo: Lo scopo dell'elaborazione dei dati ai sensi del presente DPA è la fornitura dei Servizi al Cliente e l'adempimento degli obblighi di PushEngage ai sensi dell'Accordo (incluso il presente DPA) o come altrimenti concordato dalle parti.
4. Natura dell'elaborazione: PushEngage fornisce un servizio di notifica push web e altri servizi correlati, come descritto nell'Accordo.
5. Categorie di interessati: Qualsiasi individuo che accede e/o utilizza i Servizi tramite l'account del Cliente ("Utenti"); e qualsiasi individuo: (i) il cui indirizzo email è incluso nell'Elenco di distribuzione del Cliente; (ii) le cui informazioni sono memorizzate o raccolte tramite i Servizi, o (iii) a cui gli Utenti inviano email o con cui altrimenti interagiscono o comunicano tramite i Servizi (collettivamente, "Iscritti").
6. Tipi di Dati del Cliente:
7. Clienti e Utenti: dati identificativi e di contatto (nome, indirizzo, titolo, recapiti, nome utente); informazioni finanziarie (dettagli carta di credito, dettagli conto, informazioni di pagamento); dettagli lavorativi (datore di lavoro, titolo professionale, ubicazione geografica, area di responsabilità);
8. Iscritti: dati identificativi e di contatto (nome, data di nascita, sesso, informazioni generali, occupazione o altre informazioni demografiche, indirizzo, titolo, recapiti, incluso indirizzo email), interessi o preferenze personali (inclusa cronologia acquisti, preferenze di marketing e informazioni del profilo sui social media pubblicamente disponibili); informazioni IT (indirizzi IP, dati di utilizzo, dati cookie, dati di navigazione online, dati di localizzazione, dati del browser); informazioni finanziarie (dettagli carta di credito, dettagli conto, informazioni di pagamento).
9. Nonostante qualsiasi disposizione contraria contenuta nell'Accordo (inclusa la presente DPA), il Cliente riconosce che PushEngage avrà il diritto di utilizzare e divulgare dati relativi all'operatività, al supporto e/o all'utilizzo dei Servizi per i propri legittimi scopi commerciali, quali fatturazione, gestione account, supporto tecnico, sviluppo prodotti e vendite e marketing. Nella misura in cui tali dati siano considerati Dati Personali ai sensi delle Leggi sulla Protezione dei Dati, PushEngage è il Titolare del Trattamento di tali dati e, di conseguenza, li tratterà in conformità con l'Informativa sulla Privacy di PushEngage e le Leggi sulla Protezione dei Dati.
10. Tecnologie di Tracciamento. Il Cliente riconosce che, in relazione all'erogazione dei Servizi, PushEngage impiega l'uso di cookie, identificatori univoci, web beacon e tecnologie di tracciamento simili ("Tecnologie di Tracciamento"). Il Cliente manterrà meccanismi appropriati di notifica, consenso, opt-in e opt-out, come richiesto dalle Leggi sulla Protezione dei Dati, per consentire a PushEngage di distribuire legalmente le Tecnologie di Tracciamento su, e raccogliere dati da, i dispositivi degli Iscritti (definiti di seguito) in conformità e come descritto nella Dichiarazione sui Cookie di PushEngage.

5. Sub-processori

5.1 Sub-processori Autorizzati. Il Cliente accetta che PushEngage possa avvalersi di Sub-processori per elaborare i Dati del Cliente per conto del Cliente. I Sub-processori attualmente impiegati da PushEngage e autorizzati dal Cliente sono elencati nell'Allegato A.

5.2 Obblighi dei Sub-processori. PushEngage dovrà: (i) stipulare un accordo scritto con il Sub-processore che imponga termini di protezione dei dati che richiedano al Sub-processore di proteggere i Dati del Cliente allo standard richiesto dalle Leggi sulla Protezione dei Dati; e (ii) rimanere responsabile della propria conformità agli obblighi della presente DPA e di eventuali atti od omissioni del Sub-processore che causino a PushEngage la violazione di uno qualsiasi dei propri obblighi ai sensi della presente DPA.

6. Sicurezza

6.1 Misure di sicurezza. PushEngage implementerà e manterrà misure di sicurezza tecniche e organizzative appropriate per proteggere i Dati del Cliente da Incidenti di Sicurezza e per preservare la sicurezza e la riservatezza dei Dati del Cliente, in conformità con gli standard di sicurezza di PushEngage descritti nell'Allegato B ("Misure di Sicurezza").

6.2 Aggiornamenti alle Misure di Sicurezza. Il Cliente è responsabile della revisione delle informazioni rese disponibili da PushEngage relative alla sicurezza dei dati e della determinazione autonoma se i Servizi soddisfano i requisiti del Cliente e gli obblighi legali ai sensi delle Leggi sulla Protezione dei Dati. Il Cliente riconosce che le Misure di Sicurezza sono soggette al progresso e allo sviluppo tecnico e che PushEngage può aggiornare o modificare le Misure di Sicurezza di volta in volta, a condizione che tali aggiornamenti e modifiche non comportino un degrado della sicurezza complessiva dei Servizi acquistati dal Cliente.

6.3 Responsabilità del Cliente. Nonostante quanto sopra, il Cliente accetta che, salvo quanto previsto dalla presente DPA, il Cliente è responsabile dell'uso sicuro dei Servizi, inclusa la protezione delle credenziali di autenticazione del proprio account, la protezione della sicurezza dei Dati del Cliente durante il transito da e verso i Servizi e l'adozione di tutte le misure appropriate per crittografare o eseguire il backup in modo sicuro di eventuali Dati del Cliente caricati sui Servizi.

7. Rapporti di Sicurezza e Audit

7.1 Il Cliente riconosce che PushEngage viene regolarmente sottoposta ad audit rispetto agli standard SSAE 16 e PCI da parte di revisori indipendenti terzi e revisori interni, rispettivamente.

7.2 PushEngage fornirà inoltre risposte scritte (su base confidenziale) a tutte le richieste ragionevoli di informazioni avanzate dal Cliente, incluse le risposte ai questionari sulla sicurezza delle informazioni e sugli audit necessari per confermare la conformità di PushEngage alla presente DPA, a condizione che il Cliente non eserciti tale diritto più di una volta all'anno.

8. Trasferimenti Internazionali

8.1 Sedi dei data center. PushEngage può trasferire ed elaborare i Dati del Cliente in qualsiasi parte del mondo in cui PushEngage, le sue Affiliati o i suoi Sub-fornitori mantengano operazioni di elaborazione dati. PushEngage fornirà in ogni momento un adeguato livello di protezione per i Dati del Cliente elaborati, in conformità con i requisiti delle Leggi sulla Protezione dei Dati.

8.2 Meccanismo di Trasferimento Alternativo. Le parti concordano che la soluzione di esportazione dati identificata nella Sezione 8.2 non si applicherà se e nella misura in cui PushEngage adotti una soluzione di esportazione dati alternativa per il trasferimento lecito di Dati Personali (come riconosciuto dalle Leggi UE sulla Protezione dei Dati) al di fuori dello SEE ("Meccanismo di Trasferimento Alternativo"), nel qual caso, si applicherà invece il Meccanismo di Trasferimento Alternativo (ma solo nella misura in cui tale Meccanismo di Trasferimento Alternativo si estenda ai territori verso cui vengono trasferiti i Dati Personali).

Parte B: Obblighi GDPR dal 25 maggio 2018

9. Sicurezza Aggiuntiva

9.1 Riservatezza dell'elaborazione. PushEngage garantirà che qualsiasi persona autorizzata da PushEngage a elaborare i Dati del Cliente (inclusi il suo personale, agenti e subappaltatori) sia soggetta a un appropriato obbligo di riservatezza (sia esso un dovere contrattuale o legale).

9.2 Risposta agli incidenti di sicurezza. Una volta venuto a conoscenza di un incidente di sicurezza, PushEngage informerà il Cliente senza indebito ritardo e fornirà informazioni tempestive relative all'incidente di sicurezza non appena saranno note o ragionevolmente richieste dal Cliente.

10. Modifiche ai sub-elaboratori

10.1 PushEngage (i) fornirà un elenco aggiornato dei sub-elaboratori da essa nominati su richiesta scritta del Cliente; e (ii) informerà il Cliente (a tal fine sarà sufficiente un'e-mail) se aggiunge o rimuove sub-elaboratori almeno 10 giorni prima di tali modifiche.

10.2 Il Cliente può opporsi per iscritto alla nomina di un nuovo sub-elaboratore da parte di PushEngage entro trenta (30) giorni di calendario da tale notifica, a condizione che tale opposizione si basi su motivi ragionevoli relativi alla protezione dei dati. In tal caso, le parti discuteranno tali preoccupazioni in buona fede al fine di raggiungere una soluzione. Se ciò non fosse possibile, il Cliente potrà sospendere o risolvere l'Accordo (senza pregiudizio per gli importi dovuti dal Cliente prima della sospensione o risoluzione).

11. Restituzione o cancellazione dei dati

11.1 Alla scadenza o risoluzione dell'Accordo, PushEngage (a scelta del Cliente) cancellerà o restituirà al Cliente tutti i Dati del Cliente (incluse le copie) in suo possesso o controllo, salvo che tale requisito non si applichi nella misura in cui PushEngage sia tenuta dalla legge applicabile a conservare alcuni o tutti i Dati del Cliente, o ai Dati del Cliente archiviati sui sistemi di backup, che PushEngage isolerà in modo sicuro e proteggerà da qualsiasi ulteriore elaborazione, salvo nella misura richiesta dalla legge applicabile.

12. Cooperazione

12.1 I Servizi forniscono al Cliente una serie di controlli che il Cliente può utilizzare per recuperare, correggere, eliminare o limitare i Dati del Cliente, che il Cliente può utilizzare per assisterlo in relazione ai propri obblighi ai sensi del GDPR, inclusi i propri obblighi relativi alla risposta alle richieste degli interessati o delle autorità di protezione dei dati applicabili. Nella misura in cui il Cliente non sia in grado di accedere autonomamente ai Dati del Cliente pertinenti all'interno dei Servizi, PushEngage (a spese del Cliente) fornirà una ragionevole cooperazione per assistere il Cliente nel rispondere a qualsiasi richiesta di individui o autorità di protezione dei dati applicabili relative all'elaborazione di Dati Personali ai sensi dell'Accordo. Nel caso in cui tale richiesta venga fatta direttamente a PushEngage, PushEngage non risponderà a tale comunicazione direttamente senza la previa autorizzazione del Cliente, a meno che non sia legalmente obbligata a farlo. Se PushEngage è tenuta a rispondere a tale richiesta, PushEngage informerà tempestivamente il Cliente e gli fornirà una copia della richiesta, a meno che non sia legalmente proibito farlo.

12.2 Se un'agenzia di forze dell'ordine invia a PushEngage una richiesta di Dati del Cliente (ad esempio, tramite un mandato o un'ordinanza del tribunale), PushEngage tenterà di reindirizzare l'agenzia di forze dell'ordine a richiedere tali dati direttamente al Cliente. Come parte di questo sforzo, PushEngage può fornire le informazioni di contatto di base del Cliente all'agenzia di forze dell'ordine. Se obbligata a divulgare i Dati del Cliente a un'agenzia di forze dell'ordine, PushEngage darà al Cliente un preavviso ragionevole della richiesta per consentire al Cliente di richiedere un'ordinanza protettiva o un altro rimedio appropriato, a meno che PushEngage non sia legalmente proibita di farlo.

12.3 Nella misura in cui PushEngage sia richiesta ai sensi della Legge UE sulla protezione dei dati, PushEngage (a spese del Cliente) fornirà le informazioni ragionevolmente richieste in merito ai Servizi per consentire al Cliente di effettuare valutazioni d'impatto sulla protezione dei dati o consultazioni preliminari con le autorità di protezione dei dati come richiesto dalla legge.

ALLEGATO A – Elenco dei Sub-processori di PushEngage

PushEngage utilizza le proprie Affiliata e una serie di Sub-processori terzi per assisterla nella fornitura dei Servizi (come descritto nell'Accordo). Questi Sub-processori elencati di seguito forniscono servizi di hosting e archiviazione cloud; servizi di consegna e revisione dei contenuti; assistenza nella fornitura di supporto clienti; nonché servizi di tracciamento, risposta, diagnosi e risoluzione degli incidenti.
Sub-processori utilizzati da noi quando operiamo come elaboratore

Sub-processore	Scopo	Posizione	Ulteriori Commenti
Amazon Web Services	Servizio Cloud Sicuro per Infrastruttura di Hosting e Database	USA	https://aws.amazon.com/compliance/gdpr-center/

Allegato B – Misure di Sicurezza

Le Misure di Sicurezza applicabili ai Servizi sono descritte di seguito e qui https://PushEngage.com/security/ (come aggiornate di volta in volta in conformità con la Sezione 6.2 del presente DPA).

1. Programma di Sicurezza delle Informazioni. PushEngage manterrà un programma di sicurezza delle informazioni (inclusa l'adozione e l'applicazione di politiche e procedure interne) progettato per (a) aiutare il Cliente a proteggere i Dati del Cliente da perdita, accesso o divulgazione accidentale o illegale, (b) identificare rischi prevedibili e interni per la sicurezza e accessi non autorizzati alla Rete PushEngage, e (c) minimizzare i rischi per la sicurezza, anche attraverso la valutazione dei rischi e test regolari. PushEngage designerà uno o più dipendenti per coordinare e essere responsabili del programma di sicurezza delle informazioni. Il programma di sicurezza delle informazioni includerà le seguenti misure:

1.1 Sicurezza della Rete. La Rete PushEngage sarà accessibile elettronicamente a dipendenti, collaboratori e qualsiasi altra persona necessaria per fornire i Servizi. PushEngage manterrà controlli di accesso e politiche per gestire quale accesso è consentito alla Rete PushEngage da ogni connessione di rete e utente, inclusi l'uso di firewall o tecnologia funzionalmente equivalente e controlli di autenticazione. PushEngage manterrà piani di azione correttiva e di risposta agli incidenti per rispondere a potenziali minacce alla sicurezza.

1.2 Sicurezza Fisica

1.2.1 Controlli di Accesso Fisico. I componenti fisici della Rete PushEngage sono ospitati in strutture anonime (le “Strutture”). Vengono utilizzati controlli di barriera fisica per impedire l'ingresso non autorizzato alle Strutture sia al perimetro che ai punti di accesso dell'edificio. Il passaggio attraverso le barriere fisiche presso le Strutture richiede la validazione del controllo di accesso elettronico (ad es. sistemi di accesso con badge, ecc.) o la validazione da parte di personale di sicurezza umano (ad es. servizio di guardie di sicurezza contrattuali o interne, receptionist, ecc.). Ai dipendenti e ai collaboratori vengono assegnati badge identificativi con foto che devono essere indossati mentre i dipendenti e i collaboratori si trovano in una qualsiasi delle Strutture. I visitatori sono tenuti a registrarsi con il personale designato, devono mostrare un'identificazione appropriata, ricevono un badge identificativo per visitatori che deve essere indossato mentre il visitatore si trova in una qualsiasi delle Strutture e sono continuamente accompagnati da dipendenti o collaboratori autorizzati durante la visita alle Strutture.

1.2.2 Accesso Limitato a Dipendenti e Collaboratori. PushEngage fornisce l'accesso alle Strutture a quei dipendenti e collaboratori che hanno una legittima esigenza aziendale per tali privilegi di accesso. Quando un dipendente o collaboratore non ha più un'esigenza aziendale per i privilegi di accesso assegnati, i privilegi di accesso vengono prontamente revocati, anche se il dipendente o collaboratore continua ad essere un dipendente di PushEngage o delle sue affiliate.

1.2.3 Protezioni fisiche di sicurezza. Tutti i punti di accesso (diversi dalle porte d'ingresso principali) sono mantenuti in uno stato sicuro (chiusi a chiave). I punti di accesso alle Strutture sono monitorati da telecamere di videosorveglianza progettate per registrare tutti gli individui che accedono alle Strutture. PushEngage mantiene inoltre sistemi elettronici di rilevamento intrusioni progettati per rilevare accessi non autorizzati alle Strutture, inclusi punti di monitoraggio della vulnerabilità (ad es. porte d'ingresso primarie, porte di uscita di emergenza, botole sul tetto, porte dei vani di carico, ecc.) con contatti porta, dispositivi di rilevamento rottura vetri, rilevamento movimento interno o altri dispositivi progettati per rilevare individui che tentano di accedere alle Strutture. Tutto l'accesso fisico alle Strutture da parte di dipendenti e appaltatori viene registrato e regolarmente verificato.

2. Valutazione Continua. PushEngage condurrà revisioni periodiche della sicurezza della sua Rete PushEngage e dell'adeguatezza del suo programma di sicurezza delle informazioni, misurate rispetto agli standard di sicurezza del settore e alle sue politiche e procedure. PushEngage valuterà continuamente la sicurezza della sua Rete PushEngage e dei Servizi associati per determinare se sono necessarie misure di sicurezza aggiuntive o diverse per rispondere a nuovi rischi di sicurezza o a risultati generati dalle revisioni periodiche.

Allegato C – Clausole contrattuali standard

Ai fini dell'articolo 26, paragrafo 2, della direttiva 95/46/CE per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi che non garantiscono un livello adeguato di protezione dei dati

L'entità identificata come “Cliente” nell'Addendum (l'“esportatore di dati”) e PushEngage (l'“importatore di dati”), ciascuna una “parte”; insieme “le parti”,

HANNO CONVENUTO le seguenti Clausole Contrattuali (le Clausole) al fine di fornire garanzie adeguate in materia di protezione della privacy e dei diritti e libertà fondamentali degli individui per il trasferimento dall'esportatore di dati all'importatore di dati dei dati personali specificati nell'Appendice 1.

Clausola 1

Definizioni

Ai fini delle Clausole:

•  «dati personali», «categorie particolari di dati», «trattamento/trattare», «titolare del trattamento», «responsabile del trattamento», «interessato» e «autorità di controllo» avranno lo stesso significato della direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 1995 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati;
• «l'esportatore di dati» indica il titolare del trattamento che trasferisce i dati personali;
• «l'importatore di dati» indica il responsabile del trattamento che accetta di ricevere dall'esportatore di dati dati personali destinati a essere trattati per suo conto dopo il trasferimento in conformità alle sue istruzioni e ai termini delle Clausole e che non è soggetto a un sistema di un paese terzo che garantisce un'adeguata protezione ai sensi dell'articolo 25, paragrafo 1, della direttiva 95/46/CE;
• «sub-processore» indica qualsiasi processore incaricato dal data importer o da qualsiasi altro sub-processore del data importer che accetta di ricevere dal data importer o da qualsiasi altro sub-processore del data importer dati personali esclusivamente destinati ad attività di elaborazione da svolgere per conto del data exporter dopo il trasferimento in conformità alle sue istruzioni, ai termini delle Clausole e ai termini del subcontratto scritto;
• «legge applicabile in materia di protezione dei dati» indica la legislazione che protegge i diritti e le libertà fondamentali degli individui e, in particolare, il loro diritto alla privacy in relazione all'elaborazione dei dati personali applicabile a un titolare del trattamento nello Stato membro in cui è stabilito il data exporter;
• «misure tecniche e organizzative di sicurezza» indica le misure volte a proteggere i dati personali contro la distruzione accidentale o illecita o la perdita accidentale, l'alterazione, la divulgazione o l'accesso non autorizzati, in particolare quando l'elaborazione comporta la trasmissione di dati su una rete, e contro tutte le altre forme illecite di elaborazione.

Clausola 2

Dettagli del trasferimento

I dettagli del trasferimento e in particolare le categorie speciali di dati personali, ove applicabile, sono specificati nell'Appendice 1 che costituisce parte integrante delle Clausole.

Clausola 3

Clausola di terzi beneficiari

• L'interessato può far valere nei confronti del data exporter la presente Clausola, le Clausole da 4(b) a (i), da 5(a) a (e) e da (g) a (j), 6(1) e (2), 7, 8(2) e da 9 a 12 in qualità di terzo beneficiario.
• L'interessato può far valere nei confronti del data importer la presente Clausola, da 5(a) a (e) e (g), 6, 7, 8(2) e da 9 a 12, nei casi in cui il data exporter sia effettivamente scomparso o abbia cessato di esistere legalmente, a meno che una qualsiasi entità successore non abbia assunto per contratto o per legge tutti gli obblighi legali del data exporter, assumendo di conseguenza i diritti e gli obblighi del data exporter, nel qual caso l'interessato può farli valere nei confronti di tale entità.
• L'interessato può far valere nei confronti del sub-processore la presente Clausola, da 5(a) a (e) e (g), 6, 7, 8(2) e da 9 a 12, nei casi in cui sia il data exporter sia il data importer siano effettivamente scomparsi o abbiano cessato di esistere legalmente o siano diventati insolventi, a meno che una qualsiasi entità successore non abbia assunto per contratto o per legge tutti gli obblighi legali del data exporter, assumendo di conseguenza i diritti e gli obblighi del data exporter, nel qual caso l'interessato può farli valere nei confronti di tale entità. Tale responsabilità del sub-processore nei confronti di terzi sarà limitata alle proprie operazioni di elaborazione ai sensi delle Clausole.
• Le parti non si oppongono a che un interessato sia rappresentato da un'associazione o da un altro organismo se l'interessato lo desidera espressamente e se consentito dalla legge nazionale.

Clausola 4

Obblighi del data exporter

Il data exporter accetta e garantisce:

• che il trattamento, inclusi i trasferimenti veri e propri, dei dati personali è stato ed è tuttora effettuato in conformità con le disposizioni pertinenti della normativa applicabile in materia di protezione dei dati (e, ove applicabile, è stato notificato alle autorità competenti dello Stato membro in cui è stabilito l'esportatore dei dati) e non viola le disposizioni pertinenti di tale Stato;
•  che ha impartito e impartirà per tutta la durata dei servizi di trattamento dei dati personali istruzioni all'importatore dei dati di trattare i dati personali trasferiti solo per conto dell'esportatore dei dati e in conformità con la normativa applicabile in materia di protezione dei dati e le Clausole;
• che l'importatore dei dati fornirà garanzie sufficienti in merito alle misure di sicurezza tecniche e organizzative specificate nell'allegato 2 del presente contratto;
• che, dopo la valutazione dei requisiti della normativa applicabile in materia di protezione dei dati, le misure di sicurezza sono appropriate per proteggere i dati personali contro la distruzione accidentale o illecita o la perdita accidentale, l'alterazione, la divulgazione o l'accesso non autorizzati, in particolare quando il trattamento comporta la trasmissione di dati su una rete, e contro tutte le altre forme illecite di trattamento, e che tali misure garantiscono un livello di sicurezza adeguato ai rischi presentati dal trattamento e alla natura dei dati da proteggere, tenendo conto dello stato dell'arte e dei costi della loro attuazione;
• che garantirà la conformità alle misure di sicurezza;
• che, qualora il trasferimento implichi categorie particolari di dati, l'interessato è stato informato o sarà informato prima, o non appena possibile dopo, il trasferimento che i suoi dati potrebbero essere trasmessi a un paese terzo che non fornisce una protezione adeguata ai sensi della direttiva 95/46/CE;
• di inoltrare all'autorità di vigilanza sulla protezione dei dati qualsiasi notifica ricevuta dall'importatore dei dati o da qualsiasi subappaltatore ai sensi della clausola 5, lettera b), e della clausola 8, paragrafo 3), qualora l'esportatore dei dati decida di proseguire il trasferimento o di revocare la sospensione;
• di rendere disponibile agli interessati, su richiesta, una copia delle Clausole, ad eccezione dell'allegato 2, e una descrizione sintetica delle misure di sicurezza, nonché una copia di qualsiasi contratto per i servizi di subappalto che debba essere stipulato conformemente alle Clausole, a meno che le Clausole o il contratto non contengano informazioni commerciali, nel qual caso tali informazioni commerciali possono essere omesse;
• che, in caso di subappalto, l'attività di trattamento è svolta conformemente alla clausola 11 da un subappaltatore che fornisce almeno lo stesso livello di protezione dei dati personali e dei diritti dell'interessato che l'importatore dei dati fornisce ai sensi delle Clausole;
• che garantirà la conformità alle clausole da 4, lettera a), a i).

Clausola 5

Obblighi dell'importatore dei dati

L'importatore dei dati accetta e garantisce:

• di trattare i dati personali solo per conto dell'esportatore dei dati e in conformità con le sue istruzioni e le Clausole; se non è in grado di fornire tale conformità per qualsiasi motivo, si impegna a informare tempestivamente l'esportatore dei dati della sua incapacità di conformarsi, nel qual caso l'esportatore dei dati ha il diritto di sospendere il trasferimento dei dati e/o risolvere il contratto;
• di non avere motivo di credere che la legislazione a essa applicabile le impedisca di adempiere alle istruzioni ricevute dall'esportatore dei dati e ai propri obblighi ai sensi del contratto e che, in caso di modifica di tale legislazione che possa avere un impatto negativo sostanziale sulle garanzie e sugli obblighi previsti dalle Clausole, ne informerà tempestivamente l'esportatore dei dati non appena ne sarà a conoscenza, nel qual caso l'esportatore dei dati ha il diritto di sospendere il trasferimento dei dati e/o risolvere il contratto;
• di aver implementato le misure di sicurezza tecniche e organizzative specificate nell'Appendice 2 prima di trattare i dati personali trasferiti;
• di informare tempestivamente l'esportatore dei dati riguardo a:
• qualsiasi richiesta legalmente vincolante di divulgazione dei dati personali da parte di un'autorità di contrasto, a meno che non sia altrimenti proibito, come un divieto ai sensi del diritto penale di preservare la riservatezza di un'indagine di contrasto,
• qualsiasi accesso accidentale o non autorizzato, e
• qualsiasi richiesta ricevuta direttamente dagli interessati senza rispondere a tale richiesta, a meno che non sia stato altrimenti autorizzato a farlo;
• di gestire tempestivamente e correttamente tutte le richieste dell'esportatore dei dati relative al trattamento dei dati personali oggetto del trasferimento e di attenersi ai pareri dell'autorità di controllo per quanto riguarda il trattamento dei dati trasferiti;
• su richiesta dell'esportatore dei dati, di sottoporre le proprie strutture di elaborazione dati a un audit delle attività di elaborazione coperte dalle Clausole, che sarà condotto dall'esportatore dei dati o da un organismo ispettivo composto da membri indipendenti e in possesso delle qualifiche professionali richieste, vincolato da un dovere di riservatezza, selezionato dall'esportatore dei dati, ove applicabile, in accordo con l'autorità di controllo;
• di rendere disponibile all'interessato, su richiesta, una copia delle Clausole, o di qualsiasi contratto esistente per il subappalto, a meno che le Clausole o il contratto non contengano informazioni commerciali, nel qual caso può rimuovere tali informazioni commerciali, ad eccezione dell'Appendice 2 che sarà sostituita da una descrizione sintetica delle misure di sicurezza nei casi in cui l'interessato non sia in grado di ottenere una copia dall'esportatore dei dati;
• che, in caso di subappalto, abbia preventivamente informato l'esportatore dei dati e ottenuto il suo previo consenso scritto;
• che i servizi di elaborazione del subappaltatore saranno eseguiti in conformità con la Clausola 11;
• di inviare tempestivamente una copia di qualsiasi accordo di subappalto che concluda ai sensi delle Clausole all'esportatore dei dati.

I requisiti obbligatori della legislazione nazionale applicabile all'esportatore di dati che non vanno oltre quanto necessario in una società democratica sulla base di uno degli interessi elencati all'articolo 13, paragrafo 1, della direttiva 95/46/CE, vale a dire se costituiscono una misura necessaria per salvaguardare la sicurezza nazionale, la difesa, la sicurezza pubblica, la prevenzione, l'indagine, l'accertamento e la perseguibilità di reati o violazioni dell'etica per le professioni regolamentate, un importante interesse economico o finanziario dello Stato o la protezione dell'interessato o i diritti e le libertà altrui, non sono in contraddizione con le clausole contrattuali standard. Alcuni esempi di tali requisiti obbligatori che non vanno oltre quanto necessario in una società democratica sono, tra gli altri, sanzioni riconosciute a livello internazionale, requisiti di rendicontazione fiscale o requisiti di rendicontazione antiriciclaggio.

Clausola 6

Responsabilità

1. Le parti concordano che qualsiasi interessato che abbia subito un danno a seguito di una violazione degli obblighi di cui alla Clausola 3 o alla Clausola 11 da parte di qualsiasi parte o sub-responsabile ha diritto a ricevere un risarcimento dall'esportatore di dati per il danno subito.
2. Se un interessato non è in grado di presentare una richiesta di risarcimento ai sensi del paragrafo 1 nei confronti dell'esportatore di dati, derivante da una violazione da parte dell'importatore di dati o del suo sub-responsabile di uno qualsiasi dei loro obblighi di cui alla Clausola 3 o alla Clausola 11, perché l'esportatore di dati è effettivamente scomparso o ha cessato di esistere legalmente o è diventato insolvente, l'importatore di dati accetta che l'interessato possa presentare una richiesta nei confronti dell'importatore di dati come se fosse l'esportatore di dati, a meno che una qualsiasi entità successore non abbia assunto tutti gli obblighi legali dell'esportatore di dati per contratto o per legge, nel qual caso l'interessato può far valere i propri diritti nei confronti di tale entità. L'importatore di dati non può invocare una violazione da parte di un sub-responsabile dei propri obblighi per evitare le proprie responsabilità.
3. Se un interessato non è in grado di presentare una richiesta nei confronti dell'esportatore di dati o dell'importatore di dati di cui ai paragrafi 1 e 2, derivante da una violazione da parte del sub-responsabile di uno qualsiasi dei loro obblighi di cui alla Clausola 3 o alla Clausola 11, perché sia l'esportatore di dati che l'importatore di dati sono effettivamente scomparsi o hanno cessato di esistere legalmente o sono diventati insolvente, il sub-responsabile accetta che l'interessato possa presentare una richiesta nei confronti del sub-responsabile per quanto riguarda le proprie operazioni di elaborazione ai sensi delle Clausole come se fosse l'esportatore di dati o l'importatore di dati, a meno che una qualsiasi entità successore non abbia assunto tutti gli obblighi legali dell'esportatore di dati o dell'importatore di dati per contratto o per legge, nel qual caso l'interessato può far valere i propri diritti nei confronti di tale entità. La responsabilità del sub-responsabile sarà limitata alle proprie operazioni di elaborazione ai sensi delle Clausole.

Clausola 7

Mediazione e giurisdizione

1. L'esportatore di dati accetta che, se l'interessato esercita nei suoi confronti diritti di terzo beneficiario e/o richiede un risarcimento danni ai sensi delle Clausole, l'esportatore di dati accetterà la decisione dell'interessato:

• di sottoporre la controversia a mediazione, da parte di una persona indipendente o, ove applicabile, dall'autorità di controllo;
• di sottoporre la controversia ai tribunali dello Stato membro in cui è stabilito l'esportatore di dati.

Le parti concordano che la scelta operata dall'interessato non pregiudicherà i suoi diritti sostanziali o procedurali di ricorrere a rimedi conformemente ad altre disposizioni del diritto nazionale o internazionale.

Clausola 8

Cooperazione con le autorità di controllo

1. L'esportatore di dati accetta di depositare una copia del presente contratto presso l'autorità di controllo se quest'ultima lo richiede o se tale deposito è richiesto dalla normativa applicabile in materia di protezione dei dati.
2. Le parti concordano che l'autorità di controllo ha il diritto di condurre un audit dell'esportatore di dati e di qualsiasi sub-processore, con lo stesso ambito e alle stesse condizioni che si applicherebbero a un audit dell'esportatore di dati ai sensi della normativa applicabile in materia di protezione dei dati.
3. L'esportatore di dati informerà tempestivamente l'esportatore di dati dell'esistenza di una legislazione applicabile ad esso o a qualsiasi sub-processore che impedisca la conduzione di un audit dell'esportatore di dati, o di qualsiasi sub-processore, ai sensi del paragrafo 2. In tal caso, l'esportatore di dati avrà il diritto di adottare le misure previste dalla Clausola 5 (b).

Clausola 9

Legge applicabile

Le Clausole sono disciplinate dalla legge dello Stato membro in cui è stabilito l'esportatore di dati.

Clausola 10

Modifica del contratto

Le parti si impegnano a non variare o modificare le Clausole. Ciò non impedisce alle parti di aggiungere clausole relative a questioni commerciali ove richiesto, purché non contraddicano la Clausola.

Clausola 11

Sub-elaborazione

1. L'esportatore di dati non potrà subappaltare alcuna delle sue operazioni di elaborazione effettuate per conto dell'esportatore di dati ai sensi delle Clausole senza il previo consenso scritto dell'esportatore di dati. Qualora l'esportatore di dati subappalti i propri obblighi ai sensi delle Clausole, con il consenso dell'esportatore di dati, lo farà solo mediante un accordo scritto con il sub-processore che imponga al sub-processore gli stessi obblighi imposti all'esportatore di dati ai sensi delle Clausole. Qualora il sub-processore non adempia ai propri obblighi di protezione dei dati ai sensi di tale accordo scritto, l'esportatore di dati rimarrà pienamente responsabile nei confronti dell'esportatore di dati per l'adempimento degli obblighi del sub-processore ai sensi di tale accordo.
2. Il contratto scritto precedente tra l'importatore di dati e il sub-processore prevederà anche una clausola a favore di terzi, come stabilito nella Clausola 3, per i casi in cui il soggetto interessato non sia in grado di presentare il reclamo per il risarcimento di cui al paragrafo 1 della Clausola 6 contro l'esportatore di dati o l'importatore di dati perché questi sono materialmente scomparsi o hanno cessato di esistere legalmente o sono diventati insolventi e nessuna entità successore ha assunto per contratto o per legge tutti gli obblighi legali dell'esportatore di dati o dell'importatore di dati. Tale responsabilità di terzi del sub-processore sarà limitata alle proprie operazioni di elaborazione ai sensi delle Clausole.
3. Le disposizioni relative agli aspetti di protezione dei dati per il sub-processing del contratto di cui al paragrafo 1 saranno disciplinate dalla legge dello Stato membro in cui è stabilito l'esportatore di dati.
4. L'esportatore di dati terrà un elenco degli accordi di sub-processing conclusi ai sensi delle Clausole e notificati dall'importatore di dati ai sensi della Clausola 5 (j), che sarà aggiornato almeno una volta all'anno. L'elenco sarà a disposizione dell'autorità di vigilanza sulla protezione dei dati dell'esportatore di dati.

Clausola 12

Obbligo dopo la cessazione dei servizi di elaborazione dei dati personali

1. Le parti concordano che alla cessazione della fornitura dei servizi di elaborazione dei dati, l'importatore di dati e il sub-processore, a scelta dell'esportatore di dati, restituiranno all'esportatore di dati tutti i dati personali trasferiti e le relative copie, oppure distruggeranno tutti i dati personali e certificheranno all'esportatore di dati di averlo fatto, a meno che la legislazione imposta all'importatore di dati non gli impedisca di restituire o distruggere tutti o parte dei dati personali trasferiti. In tal caso, l'importatore di dati garantisce che manterrà la riservatezza dei dati personali trasferiti e non elaborerà più attivamente i dati personali trasferiti.
2. L'importatore di dati e il sub-processore garantiscono che, su richiesta dell'esportatore di dati e/o dell'autorità di vigilanza, sottoporranno le proprie strutture di elaborazione dati a un audit delle misure di cui al paragrafo 1.

ALLEGATO 1 ALLE CLAUSOLE CONTRATTUALI STANDARD

Esportatore di dati

L'esportatore di dati è l'entità identificata come "Cliente" nell'Addendum.

Importatore di dati

L'importatore di dati è PushEngage, un fornitore di servizi web.

Soggetti interessati

I soggetti interessati includono i clienti e gli utenti finali dell'esportatore di dati.

Categorie di dati

I dati personali relativi a individui che vengono caricati sui Servizi PushEngage dall'esportatore di dati.

Operazioni di elaborazione

I dati personali trasferiti saranno soggetti alle seguenti attività di elaborazione di base (ove applicabile):

Calcolo, Archiviazione e Distribuzione Contenuti sulla Rete PushEngage

ALLEGATO 2 ALLE CLAUSOLE CONTRATTUALI STANDARD

Questo Allegato fa parte delle Clausole e deve essere completato e firmato dalle parti. Firmando la pagina delle firme a pagina 1 di questo Addendum, le parti saranno considerate aver firmato questo Allegato 2.

Descrizione delle misure di sicurezza tecniche e organizzative attuate dal titolare del trattamento dei dati ai sensi delle clausole 4(d) e 5(c) (o documento/legislazione allegata):

Le misure di sicurezza tecniche e organizzative attuate dal titolare del trattamento dei dati sono descritte nell'Addendum.

Ultimo aggiornamento: 24 dicembre 2025