Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati (“DPA”) è parte integrante, ed è soggetto ai termini e alle condizioni, dell'Accordo tra UAB Ocoya (“Ocoya”) e l'entità cliente che è parte dell'Accordo in qualità di Membro (“Cliente”). Tutti i termini con iniziale maiuscola non definiti nel presente DPA hanno il significato loro attribuito nell'Accordo. A scanso di equivoci, tutti i riferimenti all'“Accordo” includono il presente DPA (comprese le CCT (ove applicabili), come di seguito definite).

1. Definizioni

“Affiliata” indica un'entità che, direttamente o indirettamente, Controlla un'entità, è Controllata da essa o è soggetta a Controllo comune con essa.

“Accordo” indica i nostri Termini di servizio, o altro accordo scritto o elettronico, che disciplinano la fornitura del Servizio al Cliente, come tali termini o accordo possono essere aggiornati di volta in volta.

“Controllo” indica una partecipazione al capitale, un diritto di voto o un interesse analogo che rappresenti il cinquanta per cento (50%) o più del totale delle partecipazioni in essere dell'entità in questione. Il termine “Controllata” deve essere interpretato di conseguenza.

“Dati del Cliente” indica qualsiasi dato personale che trattiamo per conto del Cliente tramite il Servizio, come descritto più dettagliatamente nel presente DPA.

“Normativa sulla protezione dei dati” indica tutte le leggi e i regolamenti in materia di protezione dei dati applicabili al trattamento dei Dati del Cliente da parte di una delle parti ai sensi dell'Accordo, inclusi, ove applicabili, la Normativa europea sulla protezione dei dati e la Normativa extraeuropea sulla protezione dei dati.

“Normativa europea sulla protezione dei dati” indica tutte le leggi e i regolamenti in materia di protezione dei dati applicabili in Europa, tra cui (i) il Regolamento 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (regolamento generale sulla protezione dei dati) (“GDPR”); (ii) la Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche; (iii) le pertinenti normative nazionali di attuazione di (i) e (ii); (iv) il GDPR in quanto parte del diritto del Regno Unito in virtù della sezione 3 dello UK European Union (Withdrawal) Act 2018 e lo UK Data Protection Act 2018 (congiuntamente, la “Normativa del Regno Unito sulla protezione dei dati”); e (v) la Legge federale svizzera sulla protezione dei dati del 19 giugno 1992 e la relativa Ordinanza (“LPD svizzera”).

“Europa” indica, ai fini del presente DPA, lo Spazio economico europeo e i suoi Stati membri (“SEE”), la Svizzera e il Regno Unito (“Regno Unito”).

“Normativa extraeuropea sulla protezione dei dati” indica il California Consumer Privacy Act (“CCPA”); il Personal Information Protection and Electronic Documents Act canadese (“PIPEDA”); la Legge generale brasiliana sulla protezione dei dati (“LGPD”), Legge federale n. 13,709/2018; e il Privacy Act 1988 (Cth) australiano, come modificato (“Normativa australiana sulla privacy”).

“CCT” indica (i) le clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento adottate dalla Commissione europea con la Decisione di esecuzione (UE) 2021/91 del 4 giugno 2021; oppure (ii) le clausole contrattuali tipo tra responsabili del trattamento adottate dalla Commissione europea con la Decisione di esecuzione (UE) 2021/91 del 4 giugno 2021; a seconda di quanto applicabile ai sensi della Sezione 6.3.

“Incidente di sicurezza” indica qualsiasi violazione della sicurezza non autorizzata o illecita che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato ai Dati del Cliente presenti su sistemi gestiti o altrimenti controllati da Ocoya.

“Dati sensibili” indica (a) il numero di previdenza sociale, il codice fiscale, il numero di passaporto, il numero di patente di guida o un identificativo analogo (o qualsiasi parte di essi); (b) il numero di carta di credito o di debito (diverso dalla forma troncata (ultime quattro cifre) di una carta di credito o di debito); (c) informazioni relative all'impiego, finanziarie, creditizie, genetiche, biometriche o sanitarie; (d) l'origine razziale o etnica, le opinioni politiche o le convinzioni religiose, l'appartenenza sindacale, informazioni relative alla vita sessuale o all'orientamento sessuale, o i precedenti penali; (e) le password degli account; o (f) altre informazioni che rientrano nella definizione di “categorie particolari di dati” ai sensi della Normativa sulla protezione dei dati applicabile.

“Sub-responsabile del trattamento” indica qualsiasi responsabile del trattamento incaricato da Ocoya o dalle sue Affiliate per assisterla nell'adempimento dei propri obblighi relativi alla fornitura del Servizio ai sensi dell'Accordo o del presente DPA. I Sub-responsabili del trattamento possono includere terzi o Affiliate di Ocoya, ma escludono i dipendenti, i collaboratori o i consulenti di Ocoya.

“Addendum del Regno Unito” indica l'International Data Transfer Addendum (versione B1.0) emesso dall'Information Commisioners Office ai sensi della sezione 119(A) dello UK Data Protection Act 2018, come aggiornato o modificato di volta in volta.

I termini “dati personali”, “titolare del trattamento”, “interessato”, “responsabile del trattamento” e “trattamento” hanno il significato loro attribuito dalla Normativa sulla protezione dei dati applicabile o, se ivi non definiti, dal GDPR, e i termini “trattare”, “tratta” e “trattato”, con riferimento a qualsiasi Dato del Cliente, devono essere interpretati di conseguenza.

2. Ruoli e responsabilità

Ruoli delle parti — Qualora la Normativa europea sulla protezione dei dati o la LGPD si applichi al trattamento dei Dati del Cliente da parte di una delle parti, le parti riconoscono e convengono che, con riguardo al trattamento dei Dati del Cliente, Ocoya è un responsabile del trattamento che agisce per conto del Cliente (sia esso a sua volta titolare del trattamento o responsabile del trattamento). A scanso di equivoci, il presente DPA non si applica ai casi in cui Ocoya è titolare del trattamento (come definito dalla Normativa europea sulla protezione dei dati), salvo quanto diversamente descritto nell'Allegato C (Condizioni specifiche per giurisdizione) del presente DPA.

Limitazione della finalità — Ocoya tratta i Dati del Cliente, come ulteriormente descritto nell'Allegato A (Dettagli del trattamento dei dati) del presente DPA, esclusivamente in conformità alle istruzioni lecite documentate del Cliente stabilite nel presente DPA, nella misura necessaria per conformarsi alla legge applicabile, o come altrimenti concordato per iscritto (“Finalità consentite”). Le parti convengono che l'Accordo, incluso il presente DPA, unitamente alla configurazione o all'utilizzo da parte del Cliente di eventuali impostazioni, funzionalità o opzioni del Servizio (che il Cliente può avere facoltà di modificare di volta in volta), costituiscono le istruzioni complete e definitive del Cliente a Ocoya in relazione al trattamento dei Dati del Cliente (anche ai fini delle CCT), e qualsiasi trattamento al di fuori dell'ambito di tali istruzioni (se presente) richiede un preventivo accordo scritto tra le parti.

Dati vietati — Il Cliente non fornirà (né farà sì che vengano forniti) Dati sensibili a Ocoya per il trattamento ai sensi dell'Accordo, e Ocoya non avrà alcuna responsabilità di sorta in relazione ai Dati sensibili, sia in connessione con un Incidente di sicurezza sia in altro modo. A scanso di equivoci, il presente DPA non si applica ai Dati sensibili.

Conformità del Cliente — Il Cliente dichiara e garantisce di (i) aver rispettato, e di continuare a rispettare, tutte le leggi applicabili, inclusa la Normativa sulla protezione dei dati, in relazione al proprio trattamento dei Dati del Cliente e a qualsiasi istruzione di trattamento impartita a Ocoya; e (ii) aver fornito, e di continuare a fornire, tutte le informative e di aver ottenuto, e di continuare a ottenere, tutti i consensi e i diritti necessari ai sensi della Normativa sulla protezione dei dati affinché Ocoya possa trattare i Dati del Cliente per le finalità descritte nell'Accordo. Il Cliente è l'unico responsabile dell'esattezza, della qualità e della liceità dei Dati del Cliente e dei mezzi con cui il Cliente ha acquisito i Dati del Cliente. Fatto salvo il carattere generale di quanto precede, il Cliente accetta di essere responsabile del rispetto di tutte le leggi (inclusa la Normativa sulla protezione dei dati) applicabili a qualsiasi Campagna (come definita nell'Accordo) o ad altri contenuti creati, inviati o gestiti tramite il Servizio.

Liceità delle istruzioni del Cliente — Il Cliente garantirà che il trattamento dei Dati del Cliente da parte di Ocoya in conformità alle istruzioni del Cliente non comporti per Ocoya la violazione di alcuna legge, regolamento o norma applicabile, inclusa, a titolo esemplificativo e non esaustivo, la Normativa sulla protezione dei dati. Ocoya informerà tempestivamente per iscritto il Cliente, salvo che ciò le sia vietato dalla Normativa europea sulla protezione dei dati, qualora venga a conoscenza o ritenga che un'istruzione di trattamento dei dati impartita dal Cliente violi la Normativa europea sulla protezione dei dati. Qualora il Cliente agisca in qualità di responsabile del trattamento per conto di un titolare del trattamento terzo (o di altro intermediario rispetto al titolare del trattamento finale), il Cliente garantisce che le proprie istruzioni di trattamento come stabilite nell'Accordo e nel presente DPA, incluse le autorizzazioni concesse a Ocoya per la nomina di Sub-responsabili del trattamento in conformità al presente DPA, sono state autorizzate dal pertinente titolare del trattamento. Il Cliente fungerà da unico punto di contatto per Ocoya e Ocoya non è tenuta a interagire direttamente (anche al fine di inviare notifiche o richiedere autorizzazioni) con alcun titolare del trattamento terzo se non attraverso la regolare fornitura del Servizio nella misura richiesta dall'Accordo. Il Cliente è responsabile dell'inoltro al pertinente titolare del trattamento, ove opportuno, di qualsiasi notifica ricevuta ai sensi del presente DPA.

3. Sub-trattamento

Sub-responsabili del trattamento autorizzati — Il Cliente accetta che Ocoya possa ricorrere a Sub-responsabili del trattamento per trattare i Dati del Cliente per conto del Cliente. I Sub-responsabili del trattamento attualmente incaricati da Ocoya e autorizzati da Ocoya informeranno il Cliente qualora vengano aggiunti o rimossi Sub-responsabili del trattamento almeno 10 giorni prima di tali modifiche, se il Cliente ha scelto di ricevere tali notifiche.

Obblighi dei Sub-responsabili del trattamento — Ocoya: (i) stipulerà con ciascun Sub-responsabile del trattamento un accordo scritto contenente obblighi in materia di protezione dei dati che garantiscano per i Dati del Cliente un livello di protezione almeno pari a quello previsto dal presente DPA, nella misura applicabile alla natura del servizio fornito da tale Sub-responsabile del trattamento; e (ii) resterà responsabile del rispetto, da parte di tale Sub-responsabile del trattamento, degli obblighi del presente DPA e di qualsiasi atto od omissione di tale Sub-responsabile del trattamento che comporti la violazione da parte di Ocoya di uno qualsiasi dei propri obblighi ai sensi del presente DPA. Il Cliente riconosce e accetta che, ove applicabile, Ocoya adempie ai propri obblighi di cui alla Clausola 9 delle Clausole 2021 da titolare a responsabile del trattamento e delle Clausole 2021 da responsabile a responsabile del trattamento (a seconda dei casi) rispettando la presente Sezione 3, e che a Ocoya potrebbe essere impedito di divulgare al Cliente gli accordi con i Sub-responsabili del trattamento a causa di vincoli di riservatezza; tuttavia Ocoya, su richiesta, compirà ragionevoli sforzi per fornire al Cliente tutte le informazioni pertinenti che può ragionevolmente fornire in relazione agli accordi con i Sub-responsabili del trattamento.

4. Sicurezza

Misure di sicurezza — Ocoya attuerà e manterrà misure di sicurezza tecniche e organizzative adeguate, concepite per proteggere i Dati del Cliente dagli Incidenti di sicurezza e per preservare la sicurezza e la riservatezza dei Dati del Cliente in conformità agli standard di sicurezza di Ocoya descritti nell'Allegato B (“Misure di sicurezza”) del presente DPA.

Riservatezza del trattamento — Ocoya garantirà che qualsiasi persona autorizzata da Ocoya a trattare i Dati del Cliente (inclusi il proprio personale, i propri agenti e subappaltatori) sia soggetta a un adeguato obbligo di riservatezza (di natura contrattuale o legale).

Aggiornamenti delle misure di sicurezza — Il Cliente è responsabile dell'esame delle informazioni messe a disposizione da Ocoya in materia di sicurezza dei dati e di una valutazione indipendente circa la rispondenza del Servizio ai requisiti e agli obblighi di legge del Cliente ai sensi della Normativa sulla protezione dei dati. Il Cliente riconosce che le Misure di sicurezza sono soggette al progresso e allo sviluppo tecnico e che Ocoya può aggiornare o modificare di volta in volta le Misure di sicurezza, a condizione che tali aggiornamenti e modifiche non comportino una riduzione della sicurezza complessiva del Servizio fornito al Cliente.

Risposta agli Incidenti di sicurezza — Una volta venuta a conoscenza di un Incidente di sicurezza, Ocoya: (i) ne darà notifica al Cliente senza ingiustificato ritardo e, ove possibile, entro 48 ore dall'averne avuto conoscenza; (ii) fornirà tempestivamente le informazioni relative all'Incidente di sicurezza man mano che diventano note o secondo quanto ragionevolmente richiesto dal Cliente; e (iii) adotterà tempestivamente misure ragionevoli per contenere e indagare su qualsiasi Incidente di sicurezza. La notifica o la risposta di Ocoya a un Incidente di sicurezza ai sensi della presente Sezione 4.4 non deve essere interpretata come un riconoscimento da parte di Ocoya di qualsivoglia colpa o responsabilità in relazione all'Incidente di sicurezza.

Responsabilità del Cliente — Fermo restando quanto sopra, il Cliente accetta che, salvo quanto previsto dal presente DPA, il Cliente è responsabile dell'utilizzo sicuro del Servizio, inclusa la protezione delle proprie credenziali di autenticazione dell'account, la protezione della sicurezza dei Dati del Cliente durante il transito verso e dal Servizio e l'adozione di qualsiasi misura appropriata per cifrare in modo sicuro o eseguire il backup di qualsiasi Dato del Cliente caricato nel Servizio.

5. Rapporti di sicurezza e audit

Diritti di audit — Ocoya metterà a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA e consentirà e contribuirà alle attività di audit, comprese le ispezioni da parte del Cliente, al fine di valutare il rispetto del presente DPA. Il Cliente riconosce e accetta che eserciterà i propri diritti di audit ai sensi del presente DPA (inclusa la presente Sezione 5.1 e, ove applicabili, le CCT) e qualsiasi diritto di audit conferito dalla Normativa sulla protezione dei dati, dando istruzione a Ocoya di conformarsi alle misure di audit descritte nelle sezioni seguenti.

Rapporti di sicurezza — Il Cliente riconosce che Ocoya è sottoposta regolarmente ad audit rispetto agli standard SSAE 16 e PCI, rispettivamente da parte di revisori terzi indipendenti e di revisori interni. Su richiesta scritta, Ocoya fornirà al Cliente (su base riservata) una copia sintetica del/i proprio/i rapporto/i di audit più recente/i (“Rapporto”), affinché il Cliente possa verificare il rispetto da parte di Ocoya degli standard di audit rispetto ai quali è stata valutata e del presente DPA.

Due diligence in materia di sicurezza — Oltre al Rapporto, Ocoya risponderà a tutte le ragionevoli richieste di informazioni avanzate dal Cliente per confermare il rispetto del presente DPA da parte di Ocoya, comprese le risposte a questionari in materia di sicurezza delle informazioni, due diligence e audit, mettendo a disposizione ulteriori informazioni relative al proprio programma di sicurezza delle informazioni su richiesta scritta del Cliente inviata a support@ocoya.com, a condizione che il Cliente non eserciti tale diritto più di una volta per anno solare.

6. Trasferimenti internazionali

Ubicazione dei data center — Fatto salvo quanto previsto nella Sezione seguente, il Cliente riconosce che Ocoya può trasferire e trattare i Dati del Cliente verso e negli Stati Uniti e in qualsiasi altro luogo del mondo in cui Ocoya, le sue Affiliate o i suoi Sub-responsabili del trattamento svolgono operazioni di trattamento dei dati. Ocoya garantirà in ogni momento che tali trasferimenti siano effettuati in conformità ai requisiti della Normativa sulla protezione dei dati e del presente DPA.

Dati australiani. Nella misura in cui Ocoya sia destinataria di Dati del Cliente protetti dalla Normativa australiana sulla privacy, le parti riconoscono e convengono che Ocoya può trasferire tali Dati del Cliente al di fuori dell'Australia secondo quanto consentito dai termini concordati tra le parti e a condizione che Ocoya rispetti il presente DPA e la Normativa australiana sulla privacy.

Trasferimenti di dati dal SEE. Nella misura in cui Ocoya sia destinataria di Dati del Cliente protetti dal GDPR in un paese al di fuori del SEE che non sia riconosciuto come in grado di garantire un livello di protezione adeguato dei dati personali (come descritto nella Normativa europea sulla protezione dei dati applicabile), le parti convengono di rispettare le CCT e di trattare tali Dati del Cliente in conformità alle stesse, le quali sono incorporate nel presente DPA e ne costituiscono parte integrante.

Trasferimenti di dati dal Regno Unito. Con riferimento ai trasferimenti ai quali si applica la Normativa del Regno Unito sulla protezione dei dati, si applicano le CCT, che si intendono modificate come specificato dall'Addendum del Regno Unito. L'Addendum del Regno Unito si intende sottoscritto dalle parti, incorporato nel presente DPA e parte integrante dello stesso. Inoltre: le Tabelle da 1 a 3 della Parte 1 dell'Addendum del Regno Unito si intendono compilate con le informazioni riportate negli Allegati I e II delle pertinenti CCT; e la Tabella 4 della Parte 1 dell'Addendum del Regno Unito si intende compilata selezionando “nessuna delle parti”.

Trasferimenti di dati dalla Svizzera. Con riferimento ai trasferimenti ai quali si applica la LPD svizzera, le CCT si applicano in conformità alla Sezione 6.3 con le seguenti modifiche: (i) i riferimenti al “regolamento (UE) 2016/679” devono essere interpretati come riferimenti alla LPD svizzera; (ii) i riferimenti a specifici articoli del “regolamento (UE) 2016/679” sono sostituiti dall'articolo o dalla sezione equivalente della LPD svizzera; (iii) i riferimenti a “UE”, “Unione” e “diritto dello Stato membro” sono sostituiti da “Svizzera”; (iv) la Clausola 13(a) e la Parte C dell'Allegato II sono soppresse; (v) i riferimenti all'“autorità di controllo competente” e agli “organi giurisdizionali competenti” sono sostituiti da “l'Incaricato federale della protezione dei dati e della trasparenza” e “i tribunali competenti in Svizzera”; (vi) la Clausola 17 è sostituita dalla seguente: “Le Clausole sono disciplinate dal diritto svizzero”; e (vii) la Clausola 18 è sostituita dalla seguente: “Qualsiasi controversia derivante dalle presenti Clausole è risolta dai tribunali competenti della Svizzera. Le parti convengono di sottoporsi alla giurisdizione di tali tribunali”.

Rispetto delle CCT. Le parti convengono che, qualora Ocoya non sia in grado di garantire il rispetto delle CCT, essa informerà tempestivamente il Cliente della propria impossibilità di conformarvisi. Qualora il Cliente intenda sospendere il trasferimento dei Dati europei e/o risolvere le parti interessate del Servizio, dovrà prima darne comunicazione a Ocoya e concedere a Ocoya un periodo di tempo ragionevole per porre rimedio a tale inadempienza, durante il quale Ocoya e il Cliente coopereranno ragionevolmente per concordare quali eventuali garanzie o misure aggiuntive possano essere ragionevolmente necessarie. Il Cliente avrà diritto di sospendere il trasferimento dei dati e/o risolvere le parti interessate del Servizio per mancato rispetto delle CCT soltanto qualora Ocoya non abbia posto o non possa porre rimedio all'inadempienza entro un periodo ragionevole.

Meccanismo di trasferimento alternativo. Nella misura in cui Ocoya adotti, per il trasferimento dei Dati europei, un meccanismo di trasferimento dei dati lecito alternativo non descritto nel presente DPA (“Meccanismo di trasferimento alternativo”), il Meccanismo di trasferimento alternativo si applica in luogo dei meccanismi di trasferimento descritti nel presente DPA (ma soltanto nella misura in cui tale Meccanismo di trasferimento alternativo sia conforme alla Normativa europea sulla protezione dei dati applicabile e si estenda ai paesi verso i quali i Dati europei sono trasferiti). Inoltre, se e nella misura in cui un organo giurisdizionale competente o un'autorità di controllo disponga (per qualsiasi ragione) che non è possibile fare affidamento sulle misure descritte nel presente DPA per trasferire lecitamente i Dati europei (ai sensi della Normativa europea sulla protezione dei dati applicabile), Ocoya può attuare qualsiasi misura o garanzia aggiuntiva che possa essere ragionevolmente necessaria per consentire il trasferimento lecito dei Dati europei.

7. Restituzione o cancellazione dei dati

Cancellazione o restituzione al termine. Alla risoluzione o alla scadenza dell'Accordo, Ocoya (a scelta del Cliente) cancellerà o restituirà al Cliente tutti i Dati del Cliente (comprese le copie) in suo possesso o sotto il suo controllo; tale obbligo non si applica nella misura in cui Ocoya sia tenuta dalla legge applicabile a conservare una parte o la totalità dei Dati del Cliente, né ai Dati del Cliente archiviati su sistemi di backup, Dati del Cliente che Ocoya isolerà in modo sicuro, proteggerà da qualsiasi ulteriore trattamento e infine cancellerà in conformità alle politiche di cancellazione di Ocoya, salvo nella misura richiesta dalla legge applicabile. Le parti convengono che la certificazione della cancellazione dei Dati del Cliente di cui alle Clausole 8.5 e 16(d) delle Clausole 2021 da titolare a responsabile del trattamento e delle Clausole 2021 da responsabile a responsabile del trattamento (a seconda dei casi) sarà fornita da Ocoya al Cliente soltanto su richiesta scritta del Cliente.

8. Diritti degli interessati e cooperazione

Richieste degli interessati — Nell'ambito del Servizio, Ocoya mette a disposizione del Cliente una serie di funzionalità self-service, che il Cliente può utilizzare per recuperare, rettificare, cancellare o limitare l'utilizzo dei Dati del Cliente, e di cui il Cliente può avvalersi, senza costi aggiuntivi, per adempiere ai propri obblighi (o a quelli del proprio titolare del trattamento terzo) ai sensi della Normativa sulla protezione dei dati relativi al riscontro alle richieste degli interessati tramite l'account del Cliente. Inoltre, Ocoya, tenuto conto della natura del trattamento, fornirà al Cliente un'ulteriore ragionevole assistenza, nella misura possibile, per consentire al Cliente (o al suo titolare del trattamento terzo) di adempiere ai propri obblighi in materia di protezione dei dati relativi ai diritti degli interessati ai sensi della Normativa sulla protezione dei dati. Qualora una tale richiesta sia rivolta direttamente a Ocoya, Ocoya non risponderà direttamente a tale comunicazione senza la preventiva autorizzazione del Cliente, salvo ove opportuno (ad esempio, per invitare l'interessato a contattare il Cliente) o richiesto dalla legge. Qualora Ocoya sia tenuta a rispondere a una tale richiesta, Ocoya, ove il Cliente sia identificato o identificabile dalla richiesta, ne darà tempestiva notifica al Cliente e gli fornirà una copia della richiesta, salvo che ciò le sia vietato dalla legge. A scanso di equivoci, nessuna disposizione dell'Accordo (incluso il presente DPA) limita o impedisce a Ocoya di rispondere a qualsiasi richiesta di interessati o di autorità di protezione dei dati in relazione a dati personali per i quali Ocoya è titolare del trattamento.

Valutazione d'impatto sulla protezione dei dati — Nella misura richiesta dalla Normativa sulla protezione dei dati applicabile, Ocoya (tenuto conto della natura del trattamento e delle informazioni a disposizione di Ocoya) fornirà tutte le informazioni ragionevolmente richieste in merito al Servizio per consentire al Cliente di effettuare valutazioni d'impatto sulla protezione dei dati o consultazioni preventive con le autorità di protezione dei dati, come richiesto dalla Normativa sulla protezione dei dati. Ocoya adempirà a quanto precede: (i) rispettando la Sezione 5 (Rapporti di sicurezza e audit); (ii) fornendo le informazioni contenute nell'Accordo, incluso il presente DPA; e (iii) qualora i precedenti punti (i) e (ii) non siano sufficienti a consentire al Cliente di adempiere a tali obblighi, fornendo, su richiesta, un'ulteriore ragionevole assistenza (a spese del Cliente).

9. Condizioni specifiche per giurisdizione

Nella misura in cui Ocoya tratti Dati del Cliente provenienti da una delle giurisdizioni elencate nell'Allegato C e protetti dalla Normativa sulla protezione dei dati di tale giurisdizione, le condizioni specificate nell'Allegato C con riferimento alla/e giurisdizione/i applicabile/i (“Condizioni specifiche per giurisdizione”) si applicano in aggiunta alle condizioni del presente DPA. In caso di conflitto o ambiguità tra le Condizioni specifiche per giurisdizione e qualsiasi altra condizione del presente DPA, prevarranno le Condizioni specifiche per giurisdizione applicabili, ma soltanto nella misura in cui le Condizioni specifiche per giurisdizione siano applicabili a Ocoya.

10. Limitazione di responsabilità

La responsabilità complessiva di ciascuna parte e di tutte le sue Affiliate, considerate congiuntamente, derivante dal o connessa al presente DPA (incluse le CCT) è soggetta alle esclusioni e alle limitazioni di responsabilità stabilite nell'Accordo. Qualsiasi pretesa avanzata nei confronti di Ocoya o delle sue Affiliate ai sensi del o in relazione al presente DPA (incluse, ove applicabili, le CCT) potrà essere fatta valere esclusivamente dall'entità del Cliente che è parte dell'Accordo. In nessun caso una parte potrà limitare la propria responsabilità con riferimento ai diritti in materia di protezione dei dati di qualsiasi persona fisica ai sensi del presente DPA o in altro modo.

11. Rapporto con l'accordo

Il presente DPA resta in vigore per tutto il tempo in cui Ocoya svolge operazioni di trattamento dei Dati del Cliente per conto del Cliente o fino alla risoluzione dell'Accordo (e fino a quando tutti i Dati del Cliente siano stati restituiti o cancellati in conformità alla Sezione 7.1 che precede). Le parti convengono che il presente DPA sostituisce qualsiasi accordo sul trattamento dei dati o documento analogo esistente che le parti possano aver precedentemente stipulato in relazione al Servizio. In caso di conflitto o incoerenza tra il presente DPA e le Condizioni d'uso standard, prevarranno le disposizioni dei seguenti documenti (in ordine di precedenza): (i) le CCT; quindi (ii) il presente DPA; e quindi (iii) le Condizioni d'uso standard. Fatta eccezione per le modifiche apportate dal presente DPA, l'Accordo rimane invariato e pienamente valido ed efficace. Nessun soggetto diverso da una parte del presente DPA, dai suoi successori e cessionari autorizzati avrà il diritto di far valere alcuna delle sue condizioni. Il presente DPA è disciplinato e interpretato in conformità alle disposizioni in materia di legge applicabile e di giurisdizione contenute nell'Accordo, salvo quanto diversamente richiesto dalla Normativa sulla protezione dei dati applicabile.

12. Contatti

Per qualsiasi domanda sui presenti Termini, ci contatti all'indirizzo support@ocoya.com.

Allegato A — Dettagli del trattamento dei dati

(a) Categorie di interessati: le categorie di interessati i cui dati personali sono trattati comprendono (i) i Membri (ossia i singoli utenti finali con accesso a un account Ocoya) e (ii) i Contatti (ossia gli iscritti del Membro e le altre persone fisiche in merito alle quali un Membro ci ha fornito informazioni o che hanno altrimenti interagito con un Membro tramite il Servizio).

(b) Categorie di dati personali: il Cliente può caricare, inviare o altrimenti fornire al Servizio determinati dati personali, la cui portata è di norma determinata e controllata dal Cliente a sua esclusiva discrezione, e che possono includere i seguenti tipi di dati personali:

• Membri: dati identificativi e di contatto (nome, indirizzo, titolo, recapiti, nome utente); informazioni finanziarie (dati della carta di credito, dati del conto, informazioni di pagamento); dati relativi all'impiego (datore di lavoro, qualifica professionale, posizione geografica, area di responsabilità).
• Contatti: dati identificativi e di contatto (nome, data di nascita, genere, informazioni generali, professione o altre informazioni demografiche, indirizzo, titolo, recapiti, compreso l'indirizzo e-mail); interessi o preferenze personali (inclusi lo storico degli acquisti, le preferenze di marketing e le informazioni del profilo social media pubblicamente disponibili); informazioni informatiche (indirizzi IP, dati di utilizzo, dati dei cookie, dati di navigazione online, dati di localizzazione, dati del browser); informazioni finanziarie (dati della carta di credito, dati del conto, informazioni di pagamento).

(c) Dati sensibili trattati (se applicabile): Ocoya non intende raccogliere o trattare, né raccoglie o tratta intenzionalmente, alcun Dato sensibile in relazione alla fornitura del Servizio.

(d) Frequenza del trattamento: continuativa e secondo quanto determinato dal Cliente.

(e) Oggetto e natura del trattamento: Ocoya fornisce un servizio di social media, una piattaforma di automazione e marketing e altri servizi correlati, come descritto più dettagliatamente nell'Accordo. L'oggetto del trattamento dei dati ai sensi del presente DPA sono i Dati del Cliente. I Dati del Cliente saranno trattati in conformità all'Accordo (incluso il presente DPA) e possono essere soggetti alle seguenti attività di trattamento: conservazione e altri trattamenti necessari per fornire, mantenere e migliorare il Servizio fornito al Cliente ai sensi dell'Accordo; e/o comunicazioni in conformità all'Accordo e/o secondo quanto imposto dalla legge applicabile.

(f) Finalità del trattamento: Ocoya tratta i Dati del Cliente esclusivamente per le Finalità consentite, che comprendono: (i) il trattamento necessario per fornire il Servizio in conformità all'Accordo; (ii) il trattamento avviato dal Cliente nell'utilizzo del Servizio; e (iii) il trattamento volto a conformarsi a qualsiasi altra ragionevole istruzione fornita dal Cliente (ad esempio, tramite e-mail o ticket di assistenza) che sia coerente con le condizioni dell'Accordo.

(g) Durata del trattamento e periodo di conservazione dei dati personali: Ocoya tratterà i Dati del Cliente come indicato nella Sezione 7 (Restituzione o cancellazione dei dati) del presente DPA.

Allegato B — Condizioni specifiche per giurisdizione

Europa

Opposizione ai Sub-responsabili del trattamento. Il Cliente può opporsi per iscritto alla nomina da parte di Ocoya di un nuovo Sub-responsabile del trattamento entro cinque (5) giorni di calendario dal ricevimento della comunicazione ai sensi della Sezione 3.1 del DPA, a condizione che tale opposizione sia fondata su motivi ragionevoli relativi alla protezione dei dati. In tal caso, le parti discuteranno tali preoccupazioni in buona fede al fine di pervenire a una soluzione commercialmente ragionevole. Qualora non sia possibile raggiungere tale soluzione, Ocoya, a sua esclusiva discrezione, non nominerà tale Sub-responsabile del trattamento oppure consentirà al Cliente di sospendere o risolvere il Servizio interessato in conformità alle disposizioni in materia di risoluzione dell'Accordo, senza responsabilità per alcuna delle parti (ma fermi restando eventuali corrispettivi maturati a carico del Cliente prima della sospensione o della risoluzione).

Richieste di accesso ai dati da parte delle autorità pubbliche. Come prassi generale, Ocoya non fornisce volontariamente ad agenzie o autorità pubbliche (incluse le autorità di contrasto) l'accesso agli account Ocoya (inclusi i Dati del Cliente) o informazioni sugli stessi. Qualora Ocoya riceva una richiesta vincolante (mediante citazione, ordine del giudice, mandato di perquisizione o altro procedimento legale valido) da parte di qualsiasi agenzia o autorità pubblica (incluse le autorità di contrasto) per l'accesso a un account Ocoya (inclusi i Dati del Cliente) o per informazioni sullo stesso, appartenente a un Cliente i cui dati di contatto principali indichino che il Cliente si trova in Europa, Ocoya: (i) esaminerà la legittimità della richiesta; (ii) informerà l'agenzia pubblica che Ocoya è responsabile del trattamento dei dati; (iii) cercherà di indirizzare l'agenzia a richiedere i dati direttamente al Cliente; (iv) informerà il Cliente della richiesta tramite e-mail inviata all'indirizzo e-mail di contatto principale del Cliente, per consentire al Cliente di richiedere un provvedimento cautelare o altro rimedio appropriato; e (v) fornirà la quantità minima di informazioni consentita nel rispondere all'agenzia o all'autorità, sulla base di un'interpretazione ragionevole della richiesta. Nell'ambito di tale attività, Ocoya può fornire all'agenzia i dati di contatto principali e di fatturazione del Cliente. Ocoya non sarà tenuta a conformarsi al presente paragrafo 2 qualora ciò le sia vietato dalla legge, o qualora ritenga ragionevolmente e in buona fede che un accesso urgente sia necessario per prevenire un rischio imminente di danno grave a qualsiasi persona fisica, alla sicurezza pubblica o ai beni di Ocoya, al Sito Ocoya o al Servizio; tuttavia, qualora a Ocoya sia vietato per legge informare il Cliente delle richieste, essa compirà i massimi sforzi per ottenere una deroga a tale divieto.

California

Salvo quanto diversamente indicato, la definizione di: “titolare del trattamento” comprende “Business”; “responsabile del trattamento” comprende “Service Provider”; “interessato” comprende “Consumer”; “dati personali” comprende “Personal Information”; in ciascun caso come definiti ai sensi del CCPA.

Esclusivamente ai fini della presente sezione “California” dell'Allegato B, le “Finalità consentite” comprendono il trattamento dei Dati del Cliente esclusivamente per le finalità descritte nel presente DPA e in conformità alle istruzioni lecite documentate del Cliente stabilite nel presente DPA, nella misura necessaria per conformarsi alla legge applicabile, come altrimenti concordato per iscritto, incluso, a titolo esemplificativo e non esaustivo, nell'Accordo, o come altrimenti consentito ai “service provider” ai sensi del CCPA.

Gli obblighi di Ocoya relativi alle richieste degli interessati, come descritti nella Sezione 8 (Diritti degli interessati e cooperazione) del presente DPA, si estendono alle richieste di esercizio dei diritti ai sensi del CCPA.

Nonostante qualsiasi limitazione d'uso contenuta altrove nel presente DPA, Ocoya tratterà i Dati del Cliente per eseguire il Servizio, per le Finalità consentite e/o in conformità alle istruzioni lecite documentate del Cliente, o come altrimenti consentito o richiesto dalla legge applicabile.

Nonostante qualsiasi limitazione d'uso contenuta altrove nel presente Allegato B, Ocoya può de-identificare o aggregare i Dati del Cliente nell'ambito dell'esecuzione del Servizio specificato nel presente DPA e nell'Accordo.

Qualora i Sub-responsabili del trattamento trattino le Personal Information dei contatti del Cliente, Ocoya adotta misure per garantire che tali Sub-responsabili del trattamento siano Service Provider ai sensi del CCPA con i quali Ocoya ha stipulato un contratto scritto contenente condizioni sostanzialmente analoghe alla presente sezione “California” dell'Allegato B, o siano altrimenti esclusi dalla definizione di “vendita” (sale) del CCPA. Ocoya svolge un'adeguata due diligence sui propri Sub-responsabili del trattamento.

Canada

Ocoya adotta misure per garantire che i Sub-responsabili del trattamento di Ocoya, come descritti nella Sezione 3 (Sub-trattamento) del DPA, siano terzi ai sensi del PIPEDA con i quali Ocoya ha stipulato un contratto scritto contenente condizioni sostanzialmente analoghe al presente DPA. Ocoya svolge un'adeguata due diligence sui propri Sub-responsabili del trattamento.

Ocoya attuerà misure tecniche e organizzative come stabilito nella Sezione 4 (Sicurezza) del DPA.