Convenzione per nomina a Responsabile del trattamento (art. 28 GDPR)

Tra Bookli S.r.l. con sede legale in Cologno Monzese, Viale Brianza, n. 80, cap 20093, p.iva 13989710960, pec: bookli@pec.it. (di seguito anche "Fornitore" o "Gestore piattaforma" o "Responsabile")

E il cliente di Bookli S.r.l., che ha acquistato il servizio di marketing usufruibile per mezzo della piattaforma Bookli.ai (di seguito denominato "Titolare" oppure "Cliente")

di seguito denominate congiuntamente le "Parti",

Premesso che

Il Regolamento UE 2016/679, conosciuto comunemente come GDPR (General Data Protection Regulation), del 27 aprile 2016, pubblicato sulla Gazzetta Ufficiale dell'Unione Europea il 4 maggio 2016 è divenuto direttamente applicabile il 25 maggio 2018;
Il Decreto Legislativo 30 giugno 2003, n. 196. "Codice in materia di protezione dei dati personali", di seguito definito "Codice", è stato integrato con le modifiche introdotte dal D.lgs. 101/2018, recante "Disposizioni per l'adeguamento della normativa nazionale alle disposizioni del regolamento UE 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)";
L'art. 4, paragrafo 1, n. 1, del GDPR, definisce «dato personale»: qualsiasi informazione riguardante una persona fisica identificata o identificabile («interessato»); si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all'ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale;
L'art. 4, paragrafo 1, n. 2, del GDPR, definisce «trattamento»: qualsiasi operazione o insieme di operazioni, compiute con o senza l'ausilio di processi automatizzati e applicate a dati personali o insiemi di dati personali, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione;
L'art. 4, paragrafo 1, n. 7, del GDPR definisce il «titolare del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o insieme ad altri, determina le finalità e i mezzi del trattamento di dati personali; quando le finalità e i mezzi di tale trattamento sono determinati dal diritto dell'Unione o degli Stati membri, il titolare del trattamento o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell'Unione o degli Stati membri;
L'art. 4, paragrafo 1, n. 8, del GDPR, definisce il «responsabile del trattamento»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del titolare del trattamento;
L'art. 4, paragrafo 1, n. 10 del GDPR, definisce «terzo»: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che non sia l'interessato, il titolare del trattamento, il responsabile del trattamento e le persone autorizzate al trattamento dei dati personali sotto l'autorità diretta del titolare o del responsabile;
L'art. 2-bis del D.lgs. 196/2003, novellato dal D.lgs. 101/2018, individua l'Autorità di controllo, di cui all'art. 51 del GDPR, nel Garante per la protezione dei dati personali;
L'art. 28 del GDPR, ai paragrafi 1 e 3, prevede che: «Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest'ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell'interessato». «I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento […]».
Ai fini della presente convenzione si intende:

a) per «cliente di Bookli S.r.l.»: il soggetto, persona fisica o persona giuridica, che acquista da Bookli S.r.l. il servizio consistente nell'utilizzo della piattaforma Bookli.ai, funzionale all'attività di marketing, previa creazione di un apposito account sul sito internet della stessa Bookli S.r.l.;

b) per «Bookli.ai»: software che tramite sistema di intelligenza artificiale conversazionale gestisce processi di digital marketing;

c) per «contatti»: soggetti a cui è rivolta l'attività di marketing effettuata dai clienti Bookli S.r.l. per mezzo della piattaforma Bookli.ai.

Considerato che

Le Parti hanno stipulato un contratto di fornitura di servizio avente ad oggetto l'utilizzo della Piattaforma Bookli.ai consistente in un software che tramite sistema di intelligenza artificiale conversazionale gestisce processi di digital marketing ;
Le Parti, con la sottoscrizione del presente atto intendono regolare i loro reciproci rapporti in relazione alle attività di trattamento di dati personali effettuate dal Responsabile per conto del Titolare del trattamento;
con la sottoscrizione del presente atto, nel quadro degli accordi stipulati, le parti si impegnano a rispettare la regolamentazione in vigore applicabile al trattamento dei dati a carattere personale e, in particolare, il GDPR;
Il Responsabile, sottoscrivendo il presente atto, dichiara e garantisce di possedere la competenza e le conoscenze tecniche in relazione alle finalità e modalità delle operazioni di trattamento, alle misure di sicurezza da adottare a garanzia della riservatezza, completezza e integrità dei dati trattati, nonché alla normativa applicabile in materia di tutela dei dati personali;
Il Titolare, sulla base delle referenze e competenze attestate, ha valutato che il Responsabile presenti garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate a far sì che il trattamento effettuato per conto del Titolare soddisfi i requisiti del GDPR, e della normativa vigente in materia di tutela dei dati personali, e sia in grado di garantire la tutela dei diritti dell'interessato.

Tenuto conto degli accordi previamente assunti tra le parti, il Cliente con il presente contratto

designa

Bookli S.r.l., quale Responsabile del trattamento dei dati ai sensi dell'art. 28 GDPR (di seguito "Responsabile"), con la facoltà di avvalersi di strumenti elettronici e per l'espletamento di attribuzioni, competenze e funzioni assegnate, disciplinando, in tal modo, i trattamenti effettuati dal Responsabile per conto del Titolare in esecuzione del contratto sopra indicato.

Bookli S.r.l., in qualità di Responsabile del trattamento dei dati, assume il compito e la responsabilità di adempiere a tutto quanto necessario per il rispetto delle disposizioni normative vigenti in materia e di osservare scrupolosamente quanto in esse previsto, nonché le istruzioni impartite dal Titolare.

Tutto quanto sopra premesso, le Parti convengono quanto segue:

1. Premessa

Le premesse formano parte integrante del presente atto.

2. Natura e finalità del trattamento

Il Responsabile effettuerà trattamenti di dati personali per conto del Titolare all'unico scopo di:

a) espletare le attività oggetto del contratto di fornitura di servizi di cui in Premessa, cui il presente accordo di nomina costituisce parte integrante come allegato;

b) garantire il corretto funzionamento della piattaforma Bookli AI;

c) permettere la creazione di appositi account;

d) svolgere attività di aggiornamento e manutenzione della piattaforma;

e) tutelare gli interessi di Bookli S.r.l.

3. Dati trattati e categorie di interessati coinvolti

Per garantire la corretta erogazione del servizio il Responsabile è autorizzato a trattare i dati personali dei soggetti interni all'azienda del Titolare e i dati dei contatti inseriti sulla piattaforma Bookli.ai dal Cliente/Titolare del trattamento, consistenti in: nome, cognome, indirizzo e-mail, numero di telefono, oggetto di conversazioni tra cliente e consumatore, dati di utilizzo.

4. Durata del trattamento

Il trattamento avrà durata pari al periodo previsto o dedotto nel contratto di fornitura esplicitato in premessa o in ogni caso avrà durata pari all'esecuzione delle attività previste nell'ambito del sopracitato contratto.

Le parti convengono, inoltre, che il trattamento cesserà al manifestarsi della volontà di recesso del contratto intercorrente tra le Parti.

I dati trattai da Bookli S.r.l. in qualità di Responsabile del trattamento verranno cancellati o resi anonimi entro i sei mesi successivi all'estinzione del contratto

5. Obblighi e diritti del Titolare del trattamento

Il Titolare del trattamento determina le finalità e i mezzi del trattamento dei dati personali trattati per suo conto dal Responsabile e mette in atto, con l'ausilio del Responsabile, misure tecniche e organizzative adeguate a garantire che il trattamento sia effettuato conformemente alla normativa europea e nazionale.

Il Titolare e il Responsabile – sulla base delle istruzioni impartite dal Titolare – provvedono a riesaminare e aggiornare le misure tecniche e organizzative impiegate, qualora necessario.

Qualora, ai fini dell'adeguamento alla normativa in materia di protezione dei dati, si rendano necessarie ulteriori attività o misure specifiche, o nel caso di modifiche della Convenzione con impatto sul trattamento dei dati personali, ove necessario, il Titolare trasmetterà al Responsabile ulteriori istruzioni in merito alle finalità, modalità e procedure per l'utilizzo e il trattamento dei dati personali, e concorderà con il Responsabile le misure tecniche e organizzative più idonee.

6. Principi applicabili al trattamento

Ai sensi dell'art. 5 del GDPR, il trattamento di dati personali deve essere svolto nel rispetto delle norme di legge in materia di protezione dei dati personali. In particolare:

i dati devono essere trattati in modo lecito, corretto e trasparente nei confronti degli interessati e se necessario i medesimi devono essere aggiornati;
il trattamento dei dati personali deve rispettare il principio di pertinenza e non eccedenza rispetto alle finalità del medesimo;
è consentito l'accesso ai soli dati personali la cui conoscenza sia strettamente indispensabile per adempiere ai compiti affidati.

7. Autorizzati al trattamento e Amministratori di Sistema e Responsabili del trattamento

Il Titolare autorizza il Responsabile a individuare e nominare sia autorizzati al trattamento ex art. 29 GDPR e art. 2-quaterdecies del D.lgs. n. 196/2003, sia Responsabili del trattamento dei dati ex art. 28 GDPR.

Il Titolare autorizza, altresì, il Responsabile a individuare e nominare gli amministratori di sistema.

Tali soggetti dovranno agire nel rispetto della normativa vigente in materia di trattamento dei dati e degli standard di sicurezza definiti dal presente contratto.

8. Compiti del Responsabile

Il Responsabile del trattamento dei dati personali, operando nell'ambito dei principi sopra ricordati, deve attenersi ai seguenti compiti:

a) rispettare la normativa vigente in materia di trattamento dei dati personali, ivi comprese le norme che saranno emanate nel corso della durata della Convenzione;

b) trattare i dati per le sole finalità specificate e nei limiti dell'esecuzione delle attività oggetto della Convenzione e, quindi, allo scopo di adempiere al contratto di fornitura avente ad oggetto i servizi usufruibili per mezzo della piattaforma Bookli.ai;

c) trattare i dati dei soggetti indicati dell'art. 4 della presente convenzione conformemente alle istruzioni documentate provenienti dal Titolare del trattamento. Il Responsabile si impegna a far osservare le suddette istruzioni anche alle persone da questi autorizzate ad effettuare il trattamento di dati personali oggetto della presente Convenzione e ad informare immediatamente il Titolare nel caso in cui ritenga che un'istruzione costituisca una violazione del GDPR o di altre disposizioni nazionali o dell'Unione, relative alla protezione dei dati personali;

d) nel caso in cui sia tenuto a procedere ad un trasferimento di dati verso un paese terzo o un'organizzazione internazionale, in virtù delle leggi dell'Unione Europea o delle leggi dello stato membro al quale è sottoposto, il Responsabile deve informare il Titolare prima del trattamento, sempre che le leggi interessate vietino tale informazione per rilevanti motivi di interesse pubblico;

e) garantire la riservatezza dei dati personali trattati nell'ambito della presente Convenzione e a verificare che gli Autorizzati al trattamento si impegnino a rispettare la riservatezza o siano sottoposti ad un obbligo legale appropriato di segretezza, ricevano la formazione necessaria in materia di protezione di dati personali e trattino i dati osservando le istruzioni impartite dal Responsabile del trattamento;

f) comunicare al Titolare del trattamento il nome e i dati del proprio Responsabile della protezione dei dati, qualora ne abbia designato uno conformemente all'articolo 37 del GDPR;

g) adottare misure tecniche e organizzative adeguate – anche tramite il supporto tecnico degli Amministratori di Sistema – al fine di garantire un livello di sicurezza parametrato al rischio di una lesione dei diritti e delle libertà degli interessati, valutato in considerazione dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento. Siffatte misure devono essere quelle ritenute idonee a prevenire e ridurre al minimo i rischi di distruzione, o perdita, anche accidentale, dei dati personali, nonché di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità del trattamento;

h) assistere il Titolare del trattamento, con misure tecniche e organizzative adeguate, a dare seguito alle legittime richieste formulate dagli interessati nell'esercizio dei diritti che gli sono riconosciuti dal GDPR (artt. 15-22);

i) mettere a disposizione del Titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi su di esso gravanti e a contribuire attivamente alle attività di revisione e ispezione realizzate e predisposte dal Titolare del trattamento;

j) adottare, ai sensi dell'art. 30 del GDPR e nei limiti di quanto esso prescrive, e tenere aggiornato un Registro delle attività di trattamento effettuate sotto la propria responsabilità. Il Responsabile, inoltre, si impegna a cooperare con il Titolare, mettendo a disposizione il predetto Registro a disposizione del Titolare e delle Autorità, nei casi in cui ne venga fatta richiesta;

k) rilevare, identificare e classificare gli eventi che potrebbero comportare una violazione dei dati personali e porre in essere, di concerto con il Titolare, tutte le attività di contenimento necessarie;

Nel caso di autorizzazione scritta del Titolare alla nomina di un altro Responsabile, il Responsabile, si impegna a sottoscrivere con il Sub-responsabile un accordo dove siano chiaramente illustrati obblighi e garanzie a carico del Sub-responsabile in materia di tutela dei dati personali, che preveda a carico del Sub-responsabile così individuato, i medesimi obblighi qui esternalizzati, mettendo a disposizione del Titolare l'identità e i recapiti dei Sub-responsabili.

9. Misure di sicurezza

Allo scopo di garantire la protezione dei dati trattati il Responsabile del trattamento si impegna a predisporre un adeguato assetto di misure di sicurezza tecniche ed organizzative, consistente in:

1) protezione avanzata di AWS;

2) misure certificate ISO 27001 Compliance, tra cui sono ricompresi a titolo esemplificativo: procedure organizzative e sistemi informatici finalizzati all'identificazione e alla gestione dei rischi per garantire la sicurezza dei dati, misure tecniche finalizzate alla mitigazione dei rischi (es. antivirus, anti-malware, ecc.), definizione di ruoli e responsabilità di sicurezza; monitoraggio e monitoraggio continuo dei processi; formazione dei dipendenti per promuovere la cultura e la consapevolezza della sicurezza delle informazioni;

3) Data Breach Policy e Data Retention Policy.

La piattaforma Bookli.ai è dotata di sistemi di criptazione e di offuscamento di dati.

10. Legge applicabile e Foro competente

Per qualsiasi controversia che dovesse sorgere in relazione al presente accordo, sarà competente in via esclusiva il Foro di Milano.

Per tutto quanto non espressamente previsto nel presente atto, si fa espresso rinvio alle disposizioni generali vigenti in materia di protezione dei dati personali, nonché al Contratto.