Contratto di elaborazione dati Rocket Software - Fornitori

Ultimo aggiornamento: 21 ottobre 2024

Il presente contratto di elaborazione dati (il "Contratto di elaborazione dati" ) è stipulato tra Rocket Software, Inc. e/o le sue affiliate ( "Rocket Software" ) e l'utente, fornitore di beni o servizi di Rocket Software (il "Fornitore") ed è efficace a partire dalla data di efficacia (la "Data di efficacia" ) di tale contratto di servizi del fornitore, contratto quadro di servizi o altro contratto simile stipulato dalle parti (il "Contratto" ). Il presente Contratto di elaborazione dati costituisce parte integrante del Contratto ed è incorporato in esso.

I. Definizioni. I termini in maiuscolo non definiti nel presente documento hanno il significato loro attribuito nel Contratto. Le seguenti definizioni si applicano al presente Contratto di Trattamento dei Dati:

A. Per "Leggi applicabili sulla protezione dei dati" si intendono tutte le leggi e i regolamenti applicabili al trattamento dei dati personali ai sensi del presente Contratto di elaborazione dati, in ogni caso come modificato di volta in volta, inclusi, a titolo esemplificativo ma non esaustivo, le Leggi europee sulla protezione dei dati, il California Consumer Privacy Act come modificato dal California Privacy Rights Act (insieme, "CCPA") e la Legge generale sulla protezione dei dati del Brasile, Lei Geral de Proteção de Dados.

B. “CCPA” indica il California Consumer Privacy Act (CCPA), come modificato.

C. “titolare del trattamento”, “interessato”, “dati personali”, “violazione dei dati personali”, “trattamento”, “responsabile del trattamento” e “autorità di controllo” hanno ciascuno il significato attribuito loro dalle Leggi applicabili in materia di protezione dei dati.

D. "Leggi europee sulla protezione dei dati" indica il Regolamento generale sulla protezione dei dati dell'UE 2016/679 (il "GDPR UE"), il GDPR UE nella forma incorporata nella legislazione di Inghilterra e Galles, Scozia e Irlanda del Nord e il Data Protection Act 2018 del Regno Unito (il "GDPR UK" ), e la legge federale svizzera sulla protezione dei dati, e qualsiasi altra legge, statuto, dichiarazione, decreto, direttiva, atto legislativo, ordine, ordinanza, regolamento, norma o altro strumento vincolante applicabile che attui quanto sopra (in ogni caso come modificato, consolidato, riemanato o sostituito di volta in volta).

E. Per "Servizi" si intendono i servizi e/o i prodotti che il Fornitore deve fornire a Rocket Software ai sensi del Contratto, inclusi tutti i metodi richiesti, usuali, appropriati o accettabili per svolgere attività correlate ai Servizi, tra cui (a) l'esecuzione dei Servizi o dell'attività di cui i Servizi fanno parte, (b) l'esecuzione di eventuali benefici, diritti e obblighi correlati ai Servizi, (c) la tenuta dei registri relativi ai Servizi e (d) il rispetto di eventuali obblighi legali o di autoregolamentazione correlati ai Servizi.

F. “Sub-responsabile del trattamento” indica un subappaltatore terzo incaricato dal Fornitore o per suo conto che tratterà i dati personali come parte della fornitura dei Servizi.

G. “Clausole contrattuali tipo” indica le clausole contrattuali tipo della Commissione europea per il trasferimento di dati personali dall’Unione europea a responsabili del trattamento stabiliti in paesi terzi ai sensi del regolamento (UE) 2016/679, come stabilito nell’allegato alla decisione di esecuzione (UE) 2021/914 della Commissione europea.

II. Natura del trattamento, obblighi generali, sub-responsabili e trasferimenti transfrontalieri

A. Natura del trattamento.

Le parti riconoscono e concordano che, ai fini delle Leggi applicabili sulla protezione dei dati, Rocket Software è il titolare del trattamento e il Fornitore è il responsabile del trattamento, in relazione al seguente trattamento: (i) ambito, natura e finalità del trattamento: trattamento effettuato dal Fornitore nella fornitura dei Servizi; (ii) durata: per il Termine; e (iii) tipi di dati personali e categorie di interessati: interessati i cui dati personali vengono trattati dal Fornitore nell'esecuzione dei Servizi.

B. Obblighi generali.

Nella misura in cui le informazioni divulgate da Rocket Software al Fornitore in relazione all'esecuzione dei Servizi contengono dati personali, il Fornitore (che agisce in qualità di responsabile del trattamento) dovrà: (i) agire solo in base alle istruzioni di Rocket Software stabilite nel presente Contratto di elaborazione dati o nel Contratto o come altrimenti documentato da Rocket Software, a meno che le Leggi sulla protezione dei dati applicabili non richiedano diversamente, nel qual caso, il Fornitore dovrà notificare a Rocket Software tale requisito legislativo prima di elaborare tali dati personali (a meno che al Fornitore non sia impedito di notificare a Rocket Software ai sensi delle Leggi sulla protezione dei dati applicabili); (ii) non appena ragionevolmente possibile (e in ogni caso entro due (2) Giorni lavorativi) informare Rocket Software se, a suo avviso, un'istruzione ricevuta da loro viola le Leggi sulla protezione dei dati applicabili; (iii) adottare misure tecniche e organizzative appropriate per proteggere tali dati personali da distruzione accidentale o illecita o perdita accidentale, alterazione, divulgazione o accesso non autorizzati, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, della portata, del contesto e delle finalità del trattamento; (iv) garantire che qualsiasi persona a cui il Fornitore divulga tali dati personali si sia impegnata alla riservatezza o sia soggetta a un adeguato obbligo legale di riservatezza in relazione a tali dati personali; (v) fornire una ragionevole cooperazione come richiesto da Rocket Software nel rispondere a qualsiasi richiesta da parte di un interessato e nel garantire la conformità ai propri obblighi ai sensi delle Leggi applicabili sulla protezione dei dati in materia di sicurezza, notifiche di violazione (inclusa la notifica a Rocket Software senza indebito ritardo e in ogni caso entro quarantotto (48) ore, dal momento in cui si viene a conoscenza del verificarsi di una violazione dei dati personali), valutazioni di impatto sulla protezione dei dati e consultazioni con le autorità di vigilanza; (vi) alla risoluzione o scadenza del presente Contratto di protezione dei dati per qualsiasi motivo, (a scelta di Rocket Software) eliminare o restituire a Rocket Software tutti tali dati personali, a meno che non sia necessario per il Fornitore o i suoi Sub-processori conservare determinate copie di tali dati personali per conformarsi a qualsiasi Legge applicabile sulla protezione dei dati, nel qual caso dovrà conformarsi alle proprie politiche di backup e conservazione; e (vii) previo preavviso scritto di trenta (30) giorni da parte di Rocket Software (non più di una volta all'anno solare): (a) rendere disponibili a Rocket Software tutte le informazioni ragionevolmente necessarie per dimostrare la conformità del Fornitore al presente Contratto di protezione dei dati; e (b) consentire audit e ispezioni da parte di Rocket Software o del suo revisore designato.

C. Sub-responsabili del trattamento

Rocket Software acconsente che il Fornitore incarichi un Sub-responsabile terzo per il trattamento dei dati personali per conto di Rocket Software nella misura necessaria a fornire i Servizi e in conformità con il Contratto, a condizione che: (i) il Fornitore informi Rocket Software di eventuali nuovi Sub-responsabili assunti dopo la data del presente Contratto e ottenga l'autorizzazione scritta di Rocket Software a farlo; e (ii) il subappalto imponga al Sub-responsabile sostanzialmente gli stessi obblighi a cui è soggetto il Fornitore ai sensi del presente Contratto di elaborazione dati. Il Fornitore fornirà un elenco dei Sub-responsabili a Rocket Software all'indirizzo [email protected] su richiesta.

D. Trasferimenti transfrontalieri di dati personali

Qualora il Fornitore trasferisca dati personali a un destinatario non coperto da un quadro riconosciuto dalle Leggi applicabili sulla protezione dei dati come in grado di fornire un livello adeguato di protezione dei dati personali, il Fornitore dovrà garantire che tale trasferimento di dati personali sia conforme alle Leggi applicabili sulla protezione dei dati.

E. Trasferimenti transfrontalieri di dati personali – UE

i. Per quanto riguarda il trasferimento di dati personali da Rocket Software al Fornitore ai sensi delle Leggi europee sulla protezione dei dati, laddove tale trasferimento avvenga da un paese dell'Unione europea a un paese terzo non coperto da un quadro riconosciuto dalle Leggi applicabili sulla protezione dei dati come fornitore di un livello adeguato di protezione dei dati personali, le parti concordano di rispettare le clausole generali del presente Contratto di elaborazione dati e il "Modulo due" (Trasferimento dal titolare al responsabile del trattamento) delle Clausole contrattuali standard si applicherà al trattamento di tali dati personali da parte del Fornitore, che sono qui incorporati per riferimento

ii. In forza di quanto precede, le parti concordano che, ai fini delle Clausole Contrattuali Standard:

a. Rocket Software agirà e rispetterà gli obblighi in qualità di "esportatore di dati" e il Fornitore agirà e rispetterà gli obblighi in qualità di "importatore di dati";

b. Si applica la clausola 7 (clausola di docking) delle clausole contrattuali standard;

c. Si applica l'opzione 1 della clausola 9(a) (utilizzo di sub-responsabili del trattamento), l'elenco dei sub-responsabili del trattamento non ancora autorizzati dall'esportatore dei dati deve essere notificato a [email protected] (a cui devono essere forniti anche eventuali aggiornamenti proposti) e il periodo di tempo pertinente è di 45 giorni;

d. la formulazione facoltativa della clausola 11(a) (Risarcimento) delle clausole contrattuali standard non si applica;

e. ai fini della clausola 17 delle clausole contrattuali standard, le clausole contrattuali standard sono regolate dalle leggi dei Paesi Bassi; e

f. ai fini della clausola 18(b) delle clausole contrattuali standard, le parti concordano di sottoporsi alla giurisdizione dei tribunali dei Paesi Bassi.

iii. L'allegato I alle clausole contrattuali standard deve essere compilato come segue:

a. Ai fini della Sezione A (Elenco delle Parti) dell'Allegato I, l'identità e i dettagli di contatto di Rocket Software in qualità di esportatore e titolare del trattamento dei dati e del Fornitore in qualità di importatore e responsabile del trattamento dei dati e, ove applicabile, le informazioni sui rispettivi responsabili della protezione dei dati e/o rappresentanti nell'Unione Europea sono quelli stabiliti nell'Accordo o come altrimenti comunicati da ciascuna parte all'altra parte;

b. La Sezione B (Descrizione del trasferimento) dell'Allegato I si considera completata con le informazioni indicate nella Clausola II.A del presente Contratto di elaborazione dati, laddove la frequenza del trasferimento sarà continua e, fatto salvo quanto previsto dalla Clausola II.B(vi) del presente Contratto di elaborazione dati, i dati personali saranno conservati per il periodo di tempo necessario ai fini dell'elaborazione.

c. Ai fini della Sezione C (Autorità di controllo competente) dell'Allegato I, l'autorità di controllo competente individuata ai sensi della Clausola 13 è quella dei Paesi Bassi.

iv. Le parti hanno concordato le misure tecniche e organizzative fornite dal Fornitore a Rocket Software ai fini dell'Allegato II alle Clausole contrattuali standard.

v. L'Allegato III delle Clausole Contrattuali Standard (Elenco dei Sub-responsabili) è qui considerato completato con riferimento all'elenco fornito dal Fornitore a Rocket Software ai sensi della Clausola II.E(ii)(c) di cui sopra, come aggiornato in conformità a tale clausola.

F. Trasferimenti transfrontalieri di dati personali – Resto del mondo

Per quanto riguarda il trasferimento di Dati personali da Rocket Software al Fornitore ai sensi di altre Leggi applicabili sulla protezione dei dati:

i. Le parti convengono di rispettare i requisiti di cui sopra nella misura in cui le clausole contrattuali standard siano necessarie per soddisfare gli obblighi di legge relativi ai trasferimenti transfrontalieri ai sensi delle Leggi Applicabili in materia di Protezione dei Dati. In tal caso, (i) i riferimenti al GDPR nelle Clausole Contrattuali Standard si intendono avere lo stesso significato del riferimento equivalente nelle Leggi Applicabili in materia di Protezione dei Dati; (ii) i riferimenti a "Stato Membro" o "Unione" nelle Clausole Contrattuali Standard si intendono riferiti alla giurisdizione competente in cui sono in vigore le Leggi Applicabili in materia di Protezione dei Dati; e (iii) qualsiasi altro obbligo nelle Clausole Contrattuali Standard determinato dallo Stato Membro in cui è stabilito l'esportatore di dati si intendono riferiti a un obbligo ai sensi delle Leggi Applicabili in materia di Protezione dei Dati.

ii. Laddove il trattamento dei Dati Personali sia soggetto alle Leggi sulla Protezione dei Dati Applicabili nel Regno Unito, si applicherà il Modello Addendum B.1.0 emesso dall'ICO del Regno Unito e presentato al Parlamento in conformità con l'articolo 119A del Data Protection Act 2018 il 2 febbraio 2022 ( "Addendum del Regno Unito" ), unitamente alle Clausole Contrattuali Standard. Ai fini della Parte 1 dell'Addendum del Regno Unito, le parti concordano che:

a. Tabella 1. La "data di inizio" sarà la data di entrata in vigore del Contratto. Le "Parti" sono Rocket Software in qualità di esportatore e il Fornitore in qualità di importatore.

b. Si applica la Tabella 2. Modulo due delle Clausole contrattuali standard.

c. Tabella 3. Le “Informazioni in Appendice” sono le informazioni stabilite nella Clausola II.E(ii)-(iii) del presente Contratto di elaborazione dati.

d. Tabella 4. La parte che può porre fine all'Addendum del Regno Unito in conformità con la Sezione 19 dell'Addendum del Regno Unito è Rocket Software.

ii. Nella misura necessaria per conformarsi alle Leggi applicabili in materia di protezione dei dati, le parti concordano di sottoscrivere tali documenti aggiuntivi (inclusi gli aggiornamenti agli Allegati delle Clausole contrattuali standard) e di applicare protezioni aggiuntive, come potrebbe essere necessario per il trasferimento e l'archiviazione dei dati personali trasferiti ai sensi delle Clausole contrattuali standard, dell'Addendum del Regno Unito o di altri requisiti equivalenti ai sensi delle Leggi applicabili in materia di protezione dei dati.

G. CCPA

In alcuni casi, ai sensi del Contratto, il Fornitore agirà come Azienda ai sensi del CCPA, mentre in altri agirà come Fornitore di Servizi ai sensi del CCPA. I Dati Personali che Rocket Software ha comunicato al Fornitore sono forniti al Fornitore per uno Scopo Commerciale; il Fornitore non venderà né condividerà i Dati Personali, come definiti nel CCPA, e il trasferimento dei Dati Personali al Fornitore non sarà considerato una "vendita" ai sensi del CCPA.

Laddove il Fornitore agisca come Fornitore di Servizi, non venderà Dati Personali né conserverà, utilizzerà o divulgherà Dati Personali (a) per scopi diversi da quello specifico di fornitura dei Servizi; (b) al di fuori del rapporto commerciale diretto tra Rocket Software e il Fornitore; o (c) combinerà i Dati Personali ricevuti da Rocket Software con i Dati Personali che il Fornitore riceve da, o per conto di, un'altra persona o azienda, salvo quanto consentito dalle Leggi sulla Protezione dei Dati Applicabili; o (d) come altrimenti vietato dal CCPA.

III. Generale

I termini e le condizioni inclusi nel presente Contratto di Elaborazione Dati annullano e sostituiscono qualsiasi precedente contratto di protezione dei dati o versioni precedenti delle Clausole Contrattuali Standard o termini di privacy o protezione dei dati inclusi in qualsiasi altro contratto tra le parti relativo all'oggetto del presente Contratto di Elaborazione Dati. Rocket Software può modificare il presente Contratto di Elaborazione Dati secondo quanto richiesto al fine di conformarsi alle Leggi Applicabili in materia di Protezione dei Dati o in seguito a una decisione di un'autorità competente ai sensi delle Leggi Applicabili in materia di Protezione dei Dati, anche in relazione a (a) modifiche nella struttura aziendale e (b) il rilascio di nuove funzionalità, prodotti o servizi o modifiche a uno qualsiasi dei Servizi esistenti. A scanso di equivoci, Rocket Software può cedere liberamente il Contratto e il presente Contratto di Elaborazione Dati.