Common use of Obblighi del Responsabile del trattamento Clause in Contracts

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – − una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – − una descrizione delle probabili conseguenze della violazione dei dati personali; – − una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi4.1 Ai fini di un corretto trattamento dei Dati Personali, il Fornitore si impegna a: a) trattare i svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi e alla regolamentazione previsti dalla normativa vigente in materia di protezione dei dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)personali; b) garantire la riservatezza eseguire fedelmente ed esclusivamente le istruzioni impartite dal Titolare, evitando attività di trattamento non conformi alle predette istruzioni o volte a perseguire finalità diverse da parte delle persone autorizzate al trattamentoquelle correlate all'esecuzione del Contratto di servizi; c) adottare tutte le misure non effettuare copie dei Dati Personali diverse da quelle strettamente necessarie alla corretta esecuzione del Contratto di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriservizi; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il pieno rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisioneil Fornitore, comprese le ispezioni, realizzate dal Titolare quale responsabile del trattamento, è tenuto in virtù della normativa vigente; e) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a terzi i Dati Personali e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle attività oggetto della presente designazione; f) garantire che l’accesso ai Dati Personali da un altro soggetto da questi incaricatoparte del personale avvenga solo sulla base del principio di stretta necessità, provvedendo a individuare e designare quali incaricati del trattamento, anche ai fini di cui all’art. Il Responsabile 32 del Regolamento Privacy, le persone fisiche (dipendenti e/o collaboratori) autorizzate al trattamento informa immediatamente il Titolare del trattamento qualoradei dati personali per le suddette finalità, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei datiimpegnando gli stessi con idonei vincoli di riservatezza; g) provvedere, ove necessario, alla nomina per iscritto formare adeguatamente il personale addetto all'esecuzione del Contratto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatiservizi fornendo loro istruzioni precise e vigilando sulla loro osservanza; h) fornire agli autorizzati precise istruzioni operative, anche sotto collaborare con il profilo delle misure minime Committente per l’attuazione di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento qualsiasi misura che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda strettamente necessaria al fine di garantire la conservazione conformità del trattamento dei dati Dati Personali con la normativa applicabile; i) effettuare, ai sensi e dell’art. 32 del Regolamento UE 2016/679, regolari analisi dei rischi per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, adottare misure tecniche organizzative adeguate rispetto alle prescrizioni di legge in caso materia di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione protezione dei dati personali; – una descrizione delle misure adottate, o di informatica giuridica e amministrazione digitale di cui si propone l'adozioneal CAD e disciplina applicabile, nonché dei provvedimenti del Garante per porre rimedio alla violazione la protezione dei dati personali e anchedell'Agenzia per l'Italia Digitale (AGID) o altra Autorità di controllo competente; j) stabilire, se del casonell'ambito della propria organizzazione, per attenuarne i possibili effetti negativic.d. Qualora mezzi non essenziali, quali misure di sicurezza di dettaglio, e sulla base delle proprie competenze tecniche specifiche, collaborare, anche manifestando un’autonomia propositiva, nell’adozione di misure adeguate e nella misura verifica sistematica dell’efficacia delle stesse tramite una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche ed organizzative al fine di garantire la sicurezza del trattamento; k) effettuare analisi che esplicitino i rischi e le eventuali possibili misure di attenuazione degli stessi da proporre al Titolare, propedeutiche a valutazioni di impatto, informando quest’ultimo e fornendo copia degli elaborati finali. l) mantenere informato il Committente riguardo alle operazioni di trattamento trasmettendo un rapporto scritto sull’attività svolta in cui esecuzione dei compiti attribuiti con il presente accordo, con particolare riguardo, ma non sia possibile fornire le informazioni contestualmenteesclusivamente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso alle misure di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze sicurezza adottate, nonché riguardo a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedioqualsiasi circostanza o criticità eventualmente riscontrata; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamentoinformare il Committente, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere entro 48 ore dal momento in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentalicui ne è venuto a conoscenza, di distruzione qualsiasi violazione o perdita rischio di violazione concernente i Dati Personali di cui il Fornitore è venuto a conoscenza nello svolgimento dei datiServizi e collaborare, a proprie spese, con il Committente per attuare qualsiasi misura che si renda strettamente necessaria al fine di accesso non autorizzato o di garantire la conformità del trattamento non consentito o non conforme alle finalità della raccoltadei Dati Personali con la normativa applicabile; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto adottare le misure di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte sicurezza previste dall'articolo 7 del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionepresente accordo.

Obblighi del Responsabile del trattamento. Il 6.1. Ai fini di un corretto trattamento dei Dati Personali, il Responsabile assume i seguenti obblighisi impegna a: a) trattare svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi della normativa vigente in materia di protezione dei dati personali, ivi inclusi i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità principi di cui al precedente punto bcapo II del Regolamento (artt. 5 -11); b) garantire la riservatezza da parte effettuare il trattamento dei Dati Personali in esecuzione del vigente Accordo Quadro e per le finalità relative all’erogazione dei servizi ivi previsti, per il tempo strettamente necessario al perseguimento delle persone autorizzate al trattamentosuddette finalità nonché delle finalità strettamente connesse e strumentali alla gestione delle problematiche tecniche collegate; c) adottare tutte le misure garantire il pieno rispetto degli obblighi imposti dal Regolamento direttamente al Responsabile del trattamento, ivi inclusi a titolo meramente esemplificativo, l'obbligo di sicurezza richieste tenuta del registro delle attività di trattamento svolte per conto di un titolare ai sensi dell’articolo dell'art. 30, par. 2 del Regolamento e, ove richiesto, l'obbligo di nomina di un Responsabile della protezione dei dati (Data Protection Officer) ai sensi dell'art. 37, par. 1 del Regolamento; d) mettere in atto, in conformità all’art. 32 del Regolamento mettendo in atto Regolamento, misure tecniche e organizzative idonee volte a garantire un adeguato livello di sicurezza dei trattamenti svolti per conto del Titolare, nonché a collaborare con il Titolare fornendo allo stesso le informazioni e la documentazione dallo stesso richiesta al fine di poter valutare e verificare di tempo in tempo se il Responsabile abbia adottato misure tecnico organizzative adeguate; e) attenersi, nell’esecuzione dei trattamenti dei dati per conto del Titolare, alle previsioni ed istruzioni contenute dal presente Contratto Trattamento Dati; f) in relazione alla raccolta dei Dati Personali degli interessati, ove prevista, il Responsabile vi provvede nel rispetto delle specifiche modalità concordate con il Titolare al fine di garantire che la raccolta di Dati Personali ed il loro successivo trattamento, siano conformi alla legge (es. privacy policy e richieste di consenso al trattamento dei dati forniti dal Titolare; tracciamento e conservazione dei consensi prestati dagli interessati); g) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a terzi i Dati Personali senza il preventivo consenso scritto del Titolare e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle attività oggetto della presente designazione; h) non trasferire i Dati Personali fuori dalla Unione Europea, direttamente o indirettamente (per il tramite di eventuali fornitori terzi che siano stati autorizzati per iscritto dal Titolare) senza la preventiva autorizzazione scritta del Titolare e nel rispetto dei principi generali e delle condizioni applicabili al trasferimento previsti dal capo V del Regolamento, informando il Titolare circa le misure adottate al fine di assicurare un livello di protezione adeguato ai dati trasferiti e ai diritti degli interessati (a titolo esemplificativo decisioni di adeguatezza, clausole tipo, norme vincolanti d’impresa, codice di condotta, certificazioni, etc); i) garantire che l’accesso ai Dati Personali da parte del personale avvenga solo sulla base del principio di necessità e che i trattamenti connessi all’esecuzione dell’Accordo Quadro vengano effettuati solo da persone autorizzate che agiscono sotto l’autorità del Responsabile sulla base di adeguate istruzioni; j) formare adeguatamente le persone autorizzate, incaricati dell'esecuzione dell’Accordo Quadro fornendo alle stesse istruzioni precise e vigilando sulla loro osservanza. L’elenco aggiornato del personale autorizzato al trattamento dei Dati Personali sarà reso disponibile al Titolare su richiesta di quest’ultimo; k) garantire che tutte le persone fisiche (dipendenti e/o collaboratori) autorizzate al trattamento dei dati personali per le suddette finalità, siano impegnate alla riservatezza o abbiano un obbligo legale di riservatezza; l) adottare, mantenere aggiornate e valutare regolarmente tutte le misure tecniche e organizzative necessarie per garantire un livello di sicurezza adeguato al rischio tra cuirischio, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento conformità a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 quanto previsto dall’art. 32 del Regolamento, tenendo conto della natura nonché le ulteriori misure sicurezza previste dall'articolo 10 del trattamento e delle informazioni a disposizione del Responsabile del trattamentopresente Contratto Trattamento Dati; fm) mettere a disposizione designare, ove applicabile, il Rappresentante nell’Unione ai sensi dell’art. 27 del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente Regolamento; n) collaborare con il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto l’attuazione di propri dipendenti o eventuali altre persone fisiche qualsiasi ulteriore misura che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda necessaria al fine di garantire la conservazione conformità del trattamento dei dati ai sensi e per i termini previsti dalle norme applicabiliDati Personali con la normativa applicabile; lo) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare Titolare, senza ingiustificato ritardo dopo essere e comunque non oltre 24 ore dal momento in cui ne è venuto a conoscenza della violazioneconoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla qualsiasi violazione dei dati personali e anche, se collaborare con il Titolare in relazione alle analisi e valutazioni da svolgere al fine della notifica nei confronti dell’autorità di controllo ex art. 33 del caso, per attenuarne i possibili effetti negativiRegolamento e della comunicazione agli interessati ex art. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami 34 del Regolamento, effettuare l’autovalutazione nonché per la predisposizione della relativa documentazione, ivi inclusa la notifica di cui all’art. 35, par. 3; p) mantenere informato il Titolare per iscritto, su richiesta scritta di quest’ultimo, sui dettagli relativi all'adempimento di quanto previsto dalla normativa applicabile e dal presente Contratto Trattamento Dati; q) il Responsabile informa, senza ritardo, il Titolare di ogni questione rilevante ai fini del presente Contratto Trattamento Dati, quali, a titolo meramente indicativo: - Richieste del Garante; - Esiti delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, ispezioni; - Richiesta di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i ai dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizioneautorità pubbliche.

Obblighi del Responsabile del trattamento. Il 5.1. Ai fini di un corretto trattamento dei Dati Personali, il Responsabile assume i seguenti obblighisi impegna a: a) trattare svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi della Normativa in materia di protezione dei dati personali, ivi inclusi i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità principi di cui al precedente punto bcapo II del Regolamento (artt. 5 -11); b) garantire la riservatezza da parte effettuare il Trattamento dei Dati Personali in esecuzione del vigente Contratto di servizi e per le finalità relative all’erogazione dei servizi ivi previsti, per il tempo strettamente necessario al perseguimento delle persone autorizzate al trattamentosuddette finalità nonché delle finalità strettamente connesse e strumentali alla gestione delle problematiche tecniche collegate; c) adottare garantire il pieno rispetto degli obblighi imposti dal Regolamento direttamente al Responsabile del trattamento, ivi inclusi a titolo meramente esemplificativo, l'obbligo di tenuta del registro delle attività di trattamento svolte per conto di un titolare ai sensi dell'art. 30, par. 2 del Regolamento e, ove richiesto, l'obbligo di nomina di un Responsabile della protezione dei dati (Data Protection Officer) ai sensi dell'art. 37, par. 1 del Regolamento; d) eseguire fedelmente ed esclusivamente le istruzioni impartite dal Titolare contenute nel presente Contratto Trattamento Dati, evitando attività di trattamento non conformi alle predette istruzioni o volte a perseguire finalità diverse da quelle indicate nel presente Contratto Trattamento Dati; e) informare il Titolare qualora dovesse ragionevolmente ritenere che le istruzioni impartite possano comportare la violazione della Normativa in materia di protezione dei dati personali; f) non trasferire i Dati Personali fuori dalla Unione Europea, direttamente o indirettamente (per il tramite di eventuali fornitori Terzi che siano stati autorizzati per iscritto dal Titolare) senza la preventiva autorizzazione scritta del Titolare e nel rispetto dei principi generali e delle condizioni applicabili al trasferimento previsti dal capo V del Regolamento, informando il Titolare circa le misure adottate al fine di assicurare un livello di protezione adeguato ai dati trasferiti e ai diritti degli interessati (a titolo esemplificativo decisioni di adeguatezza, clausole tipo, norme vincolanti d’impresa, codice di condotta, certificazioni, ecc. …); resta inteso che l’elenco dei Sub responsabili già Nominati da Italiaonline riportato in Allegato 1 viene approvato con la sottoscrizione del presente Contratto Trattamento Dati; g) garantire che l’accesso ai Dati Personali da parte del personale avvenga solo sulla base del principio di necessità e che i trattamenti connessi all’esecuzione del Contratto di servizi vengano effettuati solo da persone autorizzate che agiscono sotto l’autorità del Responsabile sulla base di adeguate istruzioni; h) garantire che tutte le misure persone fisiche (dipendenti e/o collaboratori) autorizzate al Trattamento dei Dati Personali per le suddette finalità, siano impegnate alla riservatezza o abbiano un obbligo legale di sicurezza richieste ai sensi dell’articolo 32 riservatezza; i) formare adeguatamente le persone autorizzate, incaricati dell'esecuzione del Regolamento mettendo in atto Contratto di servizi fornendo alle stesse istruzioni precise e vigilando sulla loro osservanza. L’elenco aggiornato del personale autorizzato al Trattamento dei Dati Personali sarà reso disponibile al Titolare su richiesta di quest’ultimo; j) adottare, mantenere aggiornate e valutare regolarmente tutte le misure tecniche e organizzative idonee a necessarie per garantire un livello di sicurezza adeguato al rischio tra cuirischio, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento conformità a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 quanto previsto dall’art. 32 del Regolamento, tenendo conto della natura nonché le ulteriori misure sicurezza previste dall'articolo 11 del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazioneContratto Trattamento Dati; k) anche collaborare con il Titolare fornendo allo stesso le informazioni e la documentazione dallo stesso richiesta al fine di poter valutare e verificare di tempo in relazione alle conoscenze acquisite in base al progresso tempo se il Responsabile abbia adottato misure tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni organizzative adeguate; l) collaborare con il Titolare per l’attuazione di trattamento, deve assicurarsi qualsiasi ulteriore misura che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda necessaria al fine di garantire la conservazione conformità del Trattamento dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, Dati Personali con la Normativa in caso materia di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione protezione dei dati personali; m) in relazione alla raccolta dei Dati Personali degli Interessati, ove prevista, il Responsabile vi provvede nel rispetto delle specifiche modalità concordate con il Titolare al fine di garantire che la raccolta di Dati Personali ed il loro successivo trattamento, siano conformi alla legge (es. lettura dei testi di informativa sul Trattamento dei Dati Personali forniti dal Titolare; – una descrizione tracciamento e conservazione dei consensi prestati dagli Interessati); n) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a Terzi i Dati Personali e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle misure adottateattività oggetto della presente designazione; o) designare, o ove applicabile, il Rappresentante nell’Unione ai sensi dell’art. 27 GDPR; p) informare, anche tramite il modulo “PB Salute - Allegato 18.4 Annex A (modulo data breach)”, il Titolare prontamente, e comunque entro 36 ore dal momento in cui ne è venuto a conoscenza, di cui si propone l'adozione, per porre rimedio alla violazione qualsiasi Violazione dei dati personali e anchecollaborare con il Titolare in relazione alle analisi e valutazioni da svolgere al fine della notifica nei confronti dell’Autorità di controllo ex art. 33 del Regolamento e della comunicazione agli interessati ex art. 34 del Regolamento, se del casononché per la predisposizione della relativa documentazione, ivi inclusa la notifica di cui all’art. 33, par. 3; q) mantenere informato il Titolare per attenuarne i possibili effetti negativi. Qualora e nella misura iscritto, su richiesta scritta ed entro 30 giorni dalla richiesta, sui dettagli relativi all’adempimento di quanto previsto dalla Normativa in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso materia di violazione protezione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimediodal presente Contratto Trattamento Dati; mr) qualora necessario informare prontamente per iscritto e trasmettere al Titolare la natura dei dati trattati e comunque secondo documentazione relativa ad eventuali richieste, ordini o provvedimenti riguardanti i dettami del RegolamentoDati Personali provenienti dall’Autorità di controllo, effettuare l’autovalutazione delle sopra citate misure dall'autorità giudiziaria, dall'autorità di sicurezzapubblica sicurezza o, l’eventuale analisi del rischio ein generale, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione da ogni altra autorità o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionesoggetto legittimati.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi4.1 Ai fini di un corretto trattamento dei Dati Personali, il Fornitore si impegna a: a) trattare i svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi e alla regolamentazione previsti dalla normativa vigente in materia di protezione dei dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)personali; b) garantire la riservatezza eseguire fedelmente ed esclusivamente le istruzioni impartite dal Titolare, evitando attività di trattamento non conformi alle predette istruzioni o volte a perseguire finalità diverse da parte delle persone autorizzate al trattamentoquelle correlate all'esecuzione del Contratto di servizi; c) adottare tutte le misure non effettuare copie dei Dati Personali diverse da quelle strettamente necessarie alla corretta esecuzione del Contratto di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriservizi; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il pieno rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisioneil Fornitore, comprese le ispezioni, realizzate dal Titolare quale responsabile del trattamento, è tenuto in virtù della normativa vigente; e) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a terzi i Dati Personali e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle attività oggetto della presente designazione; f) garantire che l’accesso ai Dati Personali da un altro soggetto da questi incaricatoparte del personale avvenga solo sulla base del principio di stretta necessità, provvedendo a individuare e designare quali incaricati del trattamento, anche ai fini di cui all’art. Il Responsabile 32 del Regolamento Privacy, le persone fisiche (dipendenti e/o collaboratori) autorizzate al trattamento informa immediatamente il Titolare del trattamento qualoradei dati personali per le suddette finalità, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei datiimpegnando gli stessi con idonei vincoli di riservatezza; g) provvedere, ove necessario, alla nomina per iscritto formare adeguatamente il personale addetto all'esecuzione del Contratto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatiservizi fornendo loro istruzioni precise e vigilando sulla loro osservanza; h) fornire agli autorizzati precise istruzioni operative, anche sotto collaborare con il profilo delle misure minime Committente per l’attuazione di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento qualsiasi misura che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda strettamente necessaria al fine di garantire la conservazione conformità del trattamento dei dati ai sensi e per i termini previsti dalle norme applicabiliDati Personali con la normativa applicabile; li) anche ai sensi dell’articolo 33 del Regolamentomantenere informato il Committente riguardo alle operazioni di trattamento trasmettendo un rapporto scritto sull’attività svolta in esecuzione dei compiti attribuiti con il presente contratto, con particolare riguardo, ma non esclusivamente, alle misure di sicurezza adottate, nonché riguardo a qualsiasi circostanza o criticità eventualmente riscontrata; j) informare il Committente, entro 48 ore dal momento in caso cui ne è venuto a conoscenza, di qualsiasi violazione o rischio di violazione dei dati personali (da intendersi quale la violazione concernente i Dati Personali di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare cui il Titolare senza ingiustificato ritardo dopo essere Fornitore è venuto a conoscenza della violazionenello svolgimento dei Servizi e collaborare, a meno proprie spese, con il Committente per attuare qualsiasi misura che sia improbabile che si renda strettamente necessaria al fine di garantire la violazione conformità del trattamento dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedioDati Personali con la normativa applicabile; mk) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate adottare le misure di sicurezza, l’eventuale analisi sicurezza previste dall'articolo 7 del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccoltapresente contratto; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighidel trattamento è tenuto, ai sensi dell’art. 28 terzo comma GDPR, a: aA) trattare i dati personali soltanto su istruzione documentata trasmessi dal Titolare o comunque acquisiti in ragione della partecipazione all'iniziativa dei Buoni Spesa Alimentari in corrispondenza alle istruzioni del Titolare del trattamento oe agli obblighi previsti dal presente Accordo, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa informando comunque immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta impartita violi il presente regolamento GDPR o altre disposizioni, nazionali o dell’Unione, relative alla la normativa italiana sulla protezione dei dati; gB) provvedere, ove necessario, alla nomina individuare e nominare per iscritto le persone autorizzate al trattamento all’interno della propria struttura (“incaricati”) e garantire che i predetti Incaricati si impegnino alla riservatezza dei dati o abbiano un adeguato obbligo legale di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i riservatezza e si impegnino altresì all’adozione delle misure di sicurezza adottate e al rispetto dei principi del trattamento dei dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatidi cui al Capo II del GDPR; hC) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità adottare e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente descrivere al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che tutte le misure di sicurezza predisposte ed adottate siano richieste dall’art. 32 GDPR, ritenute idonee a al fine di ridurre al minimo i rischi di: di distruzione o perdita, intenzionale od anche accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; nD) fornire ampie garanzie collaborare con il Titolare, con misure tecniche organizzative adeguate, ove possibile, al fine di soddisfare l’obbligo del Titolare di dare seguito alle richieste per l’esercizio dei diritti dell’interessato descritti negli artt. da 15 a 22 GDPR, con le modalità di cui all’art. 12 GDPR e assicurazioni circa le tempistiche indicate nell’art. 12 terzo comma GDPR. A tal fine, il fatto Responsabile trasmette le eventuali richieste degli interessati, all’indirizzo mail xxxxxxxxxx@xxxxxx.xxxxx.xx.xx entro 24 ore dal ricevimento della richiesta; E) in relazione al trattamento svolto, assistere e collaborare con il Titolare ai fini del rispetto degli obblighi imposti al Titolare dagli artt. da 33 a 36 GDPR, e in particolare: - informare il Titolare, senza ingiustificato ritardo, e comunque al più tardi entro 24 ore dal momento in cui ne è venuto a conoscenza, all’indirizzo mail xxxxxxxxxx@xxxxxx.xxxxx.xx.xx di ogni violazione di dati personali, al fine di permettere al Titolare la notifica al Garante per la Protezione dei Dati Personali ai sensi dell’art. 33 GDPR e, se del caso, la comunicazione all’interessato ai sensi dell’art. 43 GDPR, fornendo tutte le informazioni sulla predetta violazione che siano a sua conoscenza tra quelle indicate dall’art. 33 comma 3 GDPR; - assistere e collaborare con il Titolare nel processo di eventuale valutazione d’impatto sulla protezione dei dati (“DPIA – Data Protection Impact Assessment”) di cui all’art. 35 GDPR, nonché nella eventuale fase di consultazione preventiva con l’Autorità di controllo ai sensi dell’art. 36 GDPR, qualora la valutazione d’impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal Titolare per attenuare il rischio; F) cancellare o restituire tutti i dati personali una volta cessata in via definitiva l’esecuzione dei Servizi e cancellare le copie esistenti secondo le istruzioni ricevute dal Titolare, salvo che la conservazione dei dati sia prevista dal diritto dell’Unione o dalla normativa italiana; G) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto, da parte del Responsabile, degli obblighi di cui al presente Accordo e contribuire alle attività di revisione, comprese le ispezioni, poste in essere dal Titolare. Il Responsabile del trattamento è altresì tenuto: - ove compia una autonoma valutazione d’impatto sulla protezione dei dati (“DPIA Data Protection Impact Assessment”) di cui all’art. 35 GDPR in relazione ai propri servizi, prodotti, asset che coinvolgano i trattamenti compiuti per conto del Titolare, a comunicare tempestivamente al Titolare il report finale della DPIA svolta; - a informare tempestivamente il Titolare qualora intenda avvalersi di servizi “Cloud” per il trattamento dei dati personali, assicurandosi altresì che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamentostessi vengano conservati all’interno dell’Unione Europea. Il Titolare Responsabile si riserva impegna altresì a valutare, ai fini della dimostrazione della propria idoneità all’incarico, l’adesione a eventuali codici di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionecondotta o a un meccanismo di certificazione approvati ai sensi dell’art. 40 e 42 GDPR.

Obblighi del Responsabile del trattamento. (1) Il Responsabile assume i seguenti obblighi: a) fornitore si obbliga a trattare i dati personali soltanto su istruzione documentata del Titolare ed i risultati del trattamento ostesso esclusivamente nell’ambito degli accordi scritti intercorsi con il cliente. Nel caso in cui il fornitore sia obbligata a rendere accessibili per norma di legge – fintantoché in regola con le disposizioni di legge in vigore - alle Autorità i dati del cliente, comunquesi obbliga a comunicarlo tempestivamente al cliente. Sempre per gli stessi motivi, unicamente è necessaria una specifica autorizzazione scritta del cliente per perseguire una elaborazione dei dati per utilizzi di tipo di verso o propri. (2) Il fornitore dichiara altresì che tutte le finalità persone da lei incaricate al trattamento dei dati del cliente abbiamo sottoscritto una conforme dichiarazione di riservatezza o che si siano vincolati ad un obbligo di segretezza. In modo particolare, l’obbligo di segretezza per le persone convolte nel trattamento dei dati rimane in vigore anche dopo una eventuale interruzione del rapporto di lavoro. (3) Il fornitore dichiara inoltre di avere dato luogo ad adempiere a tutti gli obblighi di legge derivanti dalla messa in sicurezza dei dati e di offrire la possibilità al cliente di effettuare debiti accertamenti in merito (ulteriori informazioni sono contenute nell´allegato1). Le disposizioni di cui al precedente punto b); b) garantire sopra del fornitore possono variare nel tempo e durante la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure durata del rapporto contrattuale a causa di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo aggiornamenti tecnici ed organizzativi ma che in atto misure tecniche e organizzative idonee a garantire un alcun modo posso diminuire il livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso garantito. (4) Il fornitore si adopera affinché il cliente possa adempiere ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio propri obblighi nei confronti dei diritti dell’interessato;degli interessati nel rispetto delle tempistiche previste dalle leggi in vigore e lascia al cliente la divulgazione delle informazioni. e(5) assistere Il fornitore si obbliga a coadiuvare il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie cliente per dimostrare il rispetto degli obblighi di cui al presente atto legge (rispetto degli obiettivi minimi di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità messa in sicurezza dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso denuncia di violazione della protezione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmentealle Autorità competenti, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la comunicazione alle persone coinvolte nella violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei loro dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze consultazione preventiva). (6) Il fornitore è obbligato al termine della validità contrattuale a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o distruggere ogni tipo di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che di dati eseguito ed i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte stessi in suo possesso su incarico del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo cliente e nel rispetto della suddetta prescrizionenormativa europea e nazione vigente al momento e fintantoché non sussista un obbligo alla conservazione.

Obblighi del Responsabile del trattamento. Il In virtù della designazione attribuita, i partner della co- progettazione, quali Responsabili, hanno il potere di compiere tutto quanto sia necessario per il rispetto delle vigenti disposizioni in materia. Al riguardo, è necessario che il Responsabile assume i seguenti obblighidel trattamento: a) trattare tratti i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)trattamento; b) garantire la riservatezza da parte delle garantisca che le persone autorizzate al trattamentotrattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; c) adottare adotti tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo UE 679/2016; d) rispetti le condizioni indicate precedentemente per ricorrere ad un altro responsabile del trattamento. Qualora ricorra ad un altro responsabile del trattamento per l’esecuzione di specifiche attività, su tale altro responsabile siano imposti, mediante un contratto o altro atto giuridico a norma, gli stessi obblighi in materia di protezione dei dati, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali adeguate in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire modo tale che il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare soddisfi i requisiti del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriRegolamento UE 679/2016; de) tenendo conto della natura del trattamento, assistere assista il Titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento titolare di dare seguito alle richieste per l’esercizio dei diritti dell’interessatodell’interessato di cui al capo III del Regolamento UE 679/2016; ef) assistere assista il Titolare del trattamento nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art cui agli articoli da 32 a 36 del RegolamentoRegolamento UE 679/2016, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile Responsabile; g) su scelta del Titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati; fh) mettere metta a disposizione del Titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina documento e al Regolamento nonché consentire consenta e contribuire contribuisca alle attività di revisione, comprese le ispezioni, realizzate realizzati dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa è tenuto ad informare immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioniqualsiasi disposizione, nazionali nazionale o dell’Unione, relative relativa alla protezione dei dati; gi) provvederesi attivi per garantire che l’esercizio delle proprie attività sia conforme alle normative vigenti in tema di sicurezza e protezione dei dati personali, ove necessario, alla nomina adottando idonee misure tecnologiche e organizzative per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura garantire la sicurezza dei dati trattati; i) assicurare il rispetto della riservatezza. In tale ambito, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o sarà compito del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o fare in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento vengano: - trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); - raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; - adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); - esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità stabilite nella Convenzione per le quali sono trattati («esattezza»); - conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono né saranno oggetto di comunicazione trattati; - trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o diffusione a soggetti terziilleciti e dalla perdita, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionedalla distruzione o dal danno accidentali («integrità e riservatezza»).

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi4.1 Ai fini di un corretto trattamento dei Dati Personali, il Fornitore si impegna a: a) trattare i svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi e alla regolamentazione previsti dalla normativa vigente in materia di protezione dei dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)personali; b) garantire la riservatezza eseguire fedelmente ed esclusivamente le istruzioni impartite dal Titolare, evitando attività di trattamento non conformi alle predette istruzioni o volte a perseguire finalità diverse da parte delle persone autorizzate al trattamentoquelle correlate all'esecuzione del Contratto di servizi; c) adottare tutte le misure non effettuare copie dei Dati Personali diverse da quelle strettamente necessarie alla corretta esecuzione del Contratto di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriservizi; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il pieno rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisioneil Fornitore, comprese le ispezioni, realizzate dal Titolare quale responsabile del trattamento, è tenuto in virtù della normativa vigente; e) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a terzi i Dati Personali e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle attività oggetto della presente designazione; f) garantire che l’accesso ai Dati Personali da un altro soggetto da questi incaricatoparte del personale avvenga solo sulla base del principio di stretta necessità, provvedendo a individuare e designare quali incaricati del trattamento, anche ai fini di cui all’art. Il Responsabile 32 del Regolamento Privacy, le persone fisiche (dipendenti e/o collaboratori) autorizzate al trattamento informa immediatamente il Titolare del trattamento qualoradei dati personali per le suddette finalità, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei datiimpegnando gli stessi con idonei vincoli di riservatezza; g) provvedere, ove necessario, alla nomina per iscritto formare adeguatamente il personale addetto all'esecuzione del Contratto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatiservizi fornendo loro istruzioni precise e vigilando sulla loro osservanza; h) fornire agli autorizzati precise istruzioni operative, anche sotto collaborare con il profilo delle misure minime Committente per l’attuazione di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento qualsiasi misura che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda strettamente necessaria al fine di garantire la conservazione conformità del trattamento dei dati ai sensi e per i termini previsti dalle norme applicabiliDati Personali con la normativa applicabile; li) anche ai sensi dell’articolo 33 del Regolamentomantenere informato il Committente riguardo alle operazioni di trattamento trasmettendo un rapporto scritto sull’attività svolta in esecuzione dei compiti attribuiti con il presente contratto, con particolare riguardo, ma non esclusivamente, alle misure di sicurezza adottate, nonché riguardo a qualsiasi circostanza o criticità eventualmente riscontrata; j) informare il Committente, entro 48 ore dal momento in caso cui ne è venuto a conoscenza, di qualsiasi violazione o rischio di violazione dei dati personali (da intendersi quale la violazione concernente i Dati Personali di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare cui il Titolare senza ingiustificato ritardo dopo essere Fornitore è venuto a conoscenza della violazionenello svolgimento dei Servizi e collaborare, a meno proprie spese, con il Committente per attuare qualsiasi misura che sia improbabile che si renda strettamente necessaria al fine di garantire la violazione conformità del trattamento dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedioDati Personali con la normativa applicabile; mk) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate adottare le misure di sicurezza, l’eventuale analisi sicurezza previste dall'articolo 8 del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccoltapresente contratto; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi3.1 Nonostante qualsiasi previsione contraria contenuta nel Contratto di servizi, in relazione ai Dati personali del Cliente, HP dovrà: a) 3.1.1 trattare i dati Dati personali soltanto su istruzione documentata del Titolare Cliente solo in conformità con le istruzioni documentate del trattamento oCliente (che possono essere di natura specifica o generale come stabilito nel Contratto di servizi o come altrimenti concordato tra le Parti). Senza limitazioni alla generalità di quanto sopra, comunquenella misura in cui si applica il CCPA ai Dati personali del Cliente, unicamente HP non conserverà, userà o divulgherà i Dati personali del Cliente in modo non coerente con il CCPA per perseguire le finalità scopi diversi dallo scopo commerciale specifico di eseguire i Servizi o altrimenti rispettare gli obblighi di cui al precedente punto b)all'Accordo, nel contesto della relazione commerciale diretta tra le Parti, né combinerà i Dati personali del Cliente con i Dati personali di altre fonti. Nella misura in cui il CCPA è applicabile ai Dati personali del Cliente, HP avviserà il Cliente nel caso in cui non riesca a rispettare i suoi obblighi ai sensi del CCPA in merito ai Dati personali del Cliente. Fermo restando quanto sopra, HP può trattare i Dati personali del Cliente come richiesto dalla legge applicabile. In questa situazione, HP adotterà misure ragionevoli per informare il Cliente di tale requisito prima che HP tratti i dati, a meno che la legge non lo vieti; b) garantire 3.1.2 assicurare che solo il personale autorizzato che abbia seguito l'adeguata formazione in materia di protezione e trattamento dei Dati Personali e sia tenuto a rispettare la riservatezza da parte delle persone autorizzate al trattamentodei Dati personali del Cliente abbia accesso agli stessi; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto 3.1.3 implementare misure tecniche e organizzative idonee appropriate per proteggersi dalla distruzione, perdita, alterazione, divulgazione non autorizzata o illecita o accesso ai Dati personali del Cliente. Queste misure saranno adeguate al danno che potrebbe derivare da qualsiasi trattamento non autorizzato o illecito, perdita accidentale, distruzione, danno o furto dei Dati personali del Cliente e tenendo conto della natura dei Dati personali del Cliente che deve essere protetta. 3.1.4 senza indebito ritardo e nella misura consentita dalla legge, notificare al Cliente qualsiasi eventuale richiesta da parte degli Interessati che intendono esercitare i loro diritti ai sensi delle Leggi applicabili in materia di privacy e protezione dei dati e, su richiesta scritta e a garantire un livello di sicurezza adeguato al rischio tra cuispese del Cliente, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con Cliente implementando adeguate misure tecniche e organizzative adeguateorganizzative, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessatonella risposta a tali richieste; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza 3.1.5 su richiesta scritta e a spese del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del RegolamentoCliente, tenendo conto della natura del trattamento e delle informazioni a disposizione di HP, assistere il Cliente nei suoi obblighi ai sensi degli articoli da 32 a 36 del Responsabile GDPR o disposizioni equivalenti ai sensi delle leggi applicabili sulla protezione dei dati e sulla privacy, per assistere il Cliente nel rispetto dei suoi obblighi ai sensi del trattamentoPIPL, e degli obblighi ai sensi del CPRA; f3.1.6 su richiesta scritta del Cliente, eliminare o restituire al Cliente tali Dati personali del Cliente dopo la fine della fornitura dei Servizi, a meno che la legge applicabile non richieda la conservazione dei Dati personali del Cliente e a scelta di HP tra l’eliminazione e la restituzione dei Dati personali del Cliente. 4 SUB-TRATTAMENTO 4.1 Il Cliente autorizza HP a trasferire i Dati personali del Cliente o a dare accesso ai Dati personali del Cliente alle entità del Gruppo HP e a terzi in qualità di Sub-responsabili del trattamento (e consente ai Sub- responsabili del trattamento di farlo in conformità alla Clausola 4.1) allo scopo di fornire i Servizi o altri scopi identificati nella sezione "Attività di trattamento" dell'Allegato 1. HP rimarrà responsabile della conformità del proprio Sub-responsabile del trattamento agli obblighi del presente DPA. HP garantirà che tutti i Sub-responsabili del trattamento a cui HP trasferisce i Dati personali del Cliente stipulino accordi scritti con HP che richiedono che i Sub-responsabili del trattamento rispettino termini non meno protettivi di quelli stabiliti nel presente DPA. HP metterà a disposizione del Cliente l'elenco aggiornato dei Sub- responsabili del trattamento per i Servizi compresi dal Contratto di servizio. 4.2 HP può nominare in qualsiasi momento e senza giustificazione un nuovo Sub-responsabile del trattamento a condizione che il Cliente riceva un preavviso di dieci (10) giorni e che quest’ultimo non si opponga legittimamente alle suddette modifiche entro tale periodo di tempo. Le obiezioni legittime devono contenere motivi ragionevoli e documentati relativi alla non conformità di un Sub-responsabile del trattamento con le leggi applicabili sulla protezione dei dati e sulla privacy. Se, a ragionevole parere di HP, tali obiezioni sono legittime, HP si asterrà dall'utilizzare tale Sub-responsabile del trattamento nel contesto del trattamento dei Dati personali del Cliente. In tali casi, HP applicherà ogni ragionevole sforzo per (i) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, Cliente una modifica dei Servizi HP o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento (ii) raccomandare una modifica alla configurazione o altre disposizioni, nazionali o dell’Unione, relative alla protezione all'utilizzo dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione Servizi da parte del Titolare Cliente per evitare il trattamento dei Dati personali del trattamentoCliente da parte del Sub-responsabile del trattamento contestato. Se HP non è in grado di rendere disponibile tale Modifica entro un periodo di tempo ragionevole, che non deve superare novanta (90) giorni, il Cliente, fornendo una notifica scritta ad HP, può interrompere il Servizio che non può essere fornito da HP senza l'uso del Sub-responsabile del trattamento contestato fornendo una comunicazione scritta ad HP. Ove si applichi il PIPL, HP richiederà la previa autorizzazione del Cliente per nominare un nuovo Sub-responsabile. Il Titolare Cliente deve rispondere alla richiesta di HP entro dieci (10) giorni. Se il Cliente si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.oppone al cambiamento, HP si asterrà dall'utilizzare tale Sub- responsabile del trattamento nel contesto del trattamento dei Dati personali del Cliente. In tali casi, HP applicherà ogni ragionevole sforzo per (i) mettere a disposizione del Cliente una modifica dei Servizi HP o

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: Fornitore si impegna a) trattare i dati personali soltanto su istruzione documentata del Titolare del : • effettuare le operazioni di trattamento o, comunque, unicamente dei Dati solo per perseguire le finalità connesse allo svolgimento delle attività oggetto del Contratto; • implementare le misure tecniche ed organizzative ritenute adeguate dal Titolare; • attenersi alle istruzioni comunicate dal Titolare; • effettuare le operazioni di trattamento dei Dati per un periodo di tempo non superiore alla durata del Contratto. Al termine del Contratto, il Fornitore si impegna a cancellare o distruggere, su scelta ed indicazione scritta del Titolare, tali Xxxx, salva la possibilità di conservarli per periodi più lunghi a fini di archiviazione nel pubblico interesse o a fini statistici. • assistere e collaborare con il Titolare nell’adempimento degli obblighi di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art agli artt. 32-36 del Regolamento, tenendo GDPR tenuto conto della natura del trattamento e delle informazioni nella misura ragionevolmente necessaria, quali a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; titolo esemplificativo: (i) assicurare la notifica all’Autorità Garante di una eventuale violazione dei Dati; (ii) l’effettuazione dell’analisi del rischio dei trattamenti posti in essere; • informare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali Dati, entro 48 (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo quarantotto) ore dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che (includendo, se possibile, la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibileviolazione, le categorie di Dati violati e il numero approssimativo di interessati nonché le categorie e interessati). • informare il numero approssimativo Titolare di registrazioni qualsiasi richiesta legalmente vincolante, ricevuta da un'Autorità incaricata dell'applicazione della legge, di divulgazione dei dati personali coinvolti; – una descrizione delle probabili conseguenze oggetto del trattamento tenuto conto della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora natura dello stesso e nella misura in cui ragionevolmente necessaria, fatto salvo che tale divulgazione non sia possibile fornire espressamente vietata delle norme di legge in vigore. Così come specificato nelle linee guida n.8 di ANAC sull’acquisizione di software, per scongiurare la possibilità di lock-in il Fornitore si impegna altresì ad esportare gratuitamente, in ogni momento e a richiesta dell’Ente con preavviso di dieci giorni, l’intera base di dati (inclusi di ogni tipo di indice o metadato utilizzato per implementare le informazioni contestualmentefunzionalità del software stesso) in formato standard, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze aperto e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionedocumentato.

Obblighi del Responsabile del trattamento. Il In virtù della designazione attribuita, il Gestore quale Responsabile, ha il potere di compiere tutto quanto sia necessario per il rispetto delle vigenti disposizioni in materia. Al riguardo, è necessario che il Responsabile assume i seguenti obblighidel trattamento: a) trattare tratti i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)trattamento; b) garantire la riservatezza da parte delle garantisca che le persone autorizzate al trattamentotrattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; c) adottare adotti tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo UE 679/2016; d) rispetti le condizioni indicate precedentemente per ricorrere ad un altro responsabile del trattamento. Qualora ricorra ad un altro responsabile del trattamento per l’esecuzione di specifiche attività, su tale altro responsabile siano imposti, mediante un contratto o altro atto giuridico a norma, gli stessi obblighi in materia di protezione dei dati, prevedendo in particolare garanzie sufficienti per mettere in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali adeguate in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire modo tale che il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare soddisfi i requisiti del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriRegolamento UE 679/2016; de) tenendo conto della natura del trattamento, assistere assista il Titolare del trattamento con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessatodell’interessato di cui al capo III del Regolamento UE 679/2016; ef) assistere assista il Titolare del trattamento nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art cui agli articoli da 32 a 36 del RegolamentoRegolamento UE 679/2016, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile Responsabile; g) su scelta del Titolare del trattamento, cancelli o gli restituisca tutti i dati personali, in formato intellegibile, dopo che è terminata la prestazione dei servizi relativi al trattamento e cancelli le copie esistenti, salvo che il diritto dell’Unione o degli Stati membri preveda la conservazione dei dati; fh) mettere metta a disposizione del Titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina documento e al Regolamento nonché consentire consenta e contribuire contribuisca alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa è tenuto ad informare immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioniqualsiasi disposizione, nazionali nazionale o dell’Unione, relative relativa alla protezione dei dati; gi) provvederesi attivi per garantire che l’esercizio delle proprie attività sia conforme alle normative vigenti in tema di sicurezza e protezione dei dati personali, ove necessario, alla nomina adottando idonee misure tecnologiche e organizzative per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura garantire la sicurezza dei dati trattati; i) assicurare il rispetto della riservatezza. In tale ambito, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o sarà compito del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o fare in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento vengano: - trattati in modo lecito, corretto e trasparente nei confronti dell’interessato («liceità, correttezza e trasparenza»); - raccolti per finalità determinate, esplicite e legittime, e successivamente trattati in modo che non sia incompatibile con tali finalità; - adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»); - esatti e, se necessario, aggiornati; devono essere adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati inesatti rispetto alle finalità stabilite nella Convenzione per le quali sono trattati («esattezza»); - conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono né saranno oggetto di comunicazione trattati; - trattati in maniera da garantire un’adeguata sicurezza dei dati personali, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o diffusione a soggetti terziilleciti e dalla perdita, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionedalla distruzione o dal danno accidentali («integrità e riservatezza»).

Obblighi del Responsabile del trattamento. Il 3.1. Nell'eseguire le operazioni di trattamento dei dati personali, come meglio descritto nell’Allegato A, il Responsabile assume i seguenti obblighidichiara e garantisce quanto segue: a) di rispettare i principi e adempiere agli obblighi previsti dalla normativa nazionale e sovranazionale vigente in materia, nonché, nello specifico, i principi di liceità, correttezza, trasparenza, limitazione, minimizzazione, esattezza, integrità e riservatezza; b) di trattare i dati personali soltanto con esclusivo e limitato riferimento a quanto necessario all'esecuzione del Contratto ed alla prestazione dei Servizi; c) di trattare i dati personali esclusivamente su istruzione documentata del Titolare del trattamento oTitolare, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali anche in caso di incidente fisico trasferimento di dati verso un paese terzo o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamentoun’organizzazione internazionale, salvo che lo richieda il diritto dell’Unione o degli Stati membrinazionale cui è soggetto il Responsabile; in tal caso il Responsabile informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico; d) tenendo informare il Titolare del trattamento dell’eventualità in cui un’istruzione ricevuta dal Titolare del trattamento costituisca una violazione del regolamento europeo sulla protezione dei dati personali o di tutte le altre disposizioni delle leggi dell’Unione o delle leggi nazionali in materia. Una volta informato, se il Titolare del trattamento non rimuove l’istruzione illecita, il Titolare si impegna a manlevare e tenere indenne il Responsabile del trattamento da ogni eventuale danno, spesa, costo, sanzione amministrativa o richiesta di risarcimento subita dal Responsabile a seguito di una violazione dei dati personali causata dall’istruzione illecita; e) di garantire che le persone autorizzate al trattamento dei dati si impegnino alla riservatezza o abbiano un adeguato obbligo legale di riservatezza; f) di identificare e designare per iscritto, in conformità a quanto previsto dal Provvedimento dell’Autorità Garante del 27 novembre 2008, così come modificato in base al provvedimento del 25 giugno 2009, gli amministratori di sistema, previa valutazione in ordine alle caratteristiche di capacità, affidabilità ed esperienza dei soggetti designati, fornendo loro specifiche istruzioni, sempre sulla base di quanto prescritto nei Provvedimenti citati; g) tenuto conto della natura del trattamento, di assistere il Titolare con misure tecniche e ed organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessatodell’interessato di cui al capo III. Il Titolare del trattamento con la stipula del presente contratto approva le misure di sicurezza tecniche e organizzative descritte nell’Allegato C quali proprie istruzioni al trattamento; eh) di assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamentocui agli artt. da 32 a 36, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamentoResponsabile; fi) di impegnarsi a mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricatoaccordo. Il Responsabile del trattamento informa immediatamente consente al Titolare del trattamento o a soggetto da egli delegato di condurre attività di audit presso la propria sede. In tali casi, il Titolare del trattamento qualoraha l’obbligo di concordare con il Responsabile del trattamento la data in cui effettuare l’attività ispettiva e/o l’audit, con preavviso di almeno 60 giorni, con indicazione delle attività di ispezione da condurre e le bancadati interessate. Il Titolare del trattamento si impegna a suo parere, un’istruzione ricevuta violi condurre l’ispezione e/o l’audit esclusivamente per quanto strettamente necessario a verificare il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo rispetto delle misure minime di sicurezzasicurezza previste nel presente contratto, conformemente alle prescrizioni durante il normale orario di lavoro e secondo modalità idonee a non disturbare irragionevolmente la normale attività del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato Responsabile del trattamento. Ogni costo relativo all’attività ispettiva e/o posto in pericolo la riservatezza o l’integrità dei dati medesimi;audit sarà a carico del Titolare. j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora mantenere il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro Registro di tutte le categorie attività di attività, relative al trattamento, trattamento svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizioneTitolare.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi3.1 Nonostante qualsiasi previsione contraria contenuta nel Contratto di servizi, in relazione ai Dati personali del Cliente, HP dovrà: a) 3.1.1 trattare i dati Dati personali soltanto su istruzione documentata del Titolare Cliente solo in conformità con le istruzioni documentate del trattamento oCliente (che possono essere di natura specifica o generale come stabilito nel Contratto di servizi o come altrimenti concordato tra le Parti). Senza limitazioni alla generalità di quanto sopra, comunquenella misura in cui si applica il CCPA, unicamente HP non cederà i Dati personali del Cliente per perseguire le finalità scopi diversi dallo scopo specifico di cui al precedente punto b)eseguire i Servizi. Fermo restando quanto sopra, HP può trattare i Dati personali del Cliente come richiesto dalla legge applicabile. In questa situazione, HP adotterà misure ragionevoli per informare il Cliente di tale requisito prima che HP tratti i dati, a meno che la legge non lo vieti; b) garantire 3.1.2 assicurare che solo il personale autorizzato che abbia seguito l'adeguata formazione in materia di protezione e trattamento dei Dati Personali e sia tenuto a rispettare la riservatezza da parte delle persone autorizzate al trattamentodei Dati personali del Cliente abbia accesso agli stessi; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto 3.1.3 implementare misure tecniche e organizzative idonee appropriate per proteggersi dalla distruzione, perdita, alterazione, divulgazione non autorizzata o illecita o accesso ai Dati personali del Cliente. Queste misure saranno adeguate al danno che potrebbe derivare da qualsiasi trattamento non autorizzato o illecito, perdita accidentale, distruzione, danno o furto dei Dati personali del Cliente e tenendo conto della natura dei Dati personali del Cliente che deve essere protetta. 3.1.4 senza indebito ritardo e nella misura consentita dalla legge, notificare al Cliente qualsiasi eventuale richiesta da parte degli Interessati che intendono esercitare i loro diritti ai sensi delle Leggi applicabili in materia di privacy e protezione dei dati e, su richiesta scritta e a garantire un livello di sicurezza adeguato al rischio tra cuispese del Cliente, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con Cliente implementando adeguate misure tecniche e organizzative adeguateorganizzative, nella misura in cui ciò sia possibile, nella risposta a tali richieste. Nella misura in cui i Dati personali del Cliente non siano accessibili al fine Cliente tramite i Servizi forniti nell'ambito del Contratto di soddisfare l’obbligo fornitura di servizi, HP dovrà, se legalmente consentito e su richiesta del Titolare del trattamento di dare seguito alle richieste Cliente, compiere sforzi commerciali ragionevoli per l’esercizio dei diritti dell’interessato; e) assistere il Titolare Cliente nel garantire il rispetto degli obblighi rispondere a tali richieste se le risposte a tali richieste sono prescritte dalle Leggi applicabili in materia di sicurezza privacy e protezione dei dati; 3.1.5 su richiesta scritta e a spese del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del RegolamentoCliente, tenendo conto della natura del trattamento e delle informazioni a disposizione di HP, assistere il Cliente nei suoi obblighi ai sensi degli articoli da 32 a 36 del Responsabile GDPR o disposizioni equivalenti ai sensi delle leggi applicabili sulla protezione dei dati e sulla privacy; e 3.1.6 su richiesta scritta del Cliente, eliminare o restituire al Cliente tali Dati personali del Cliente dopo la fine della fornitura dei Servizi, a meno che la legge applicabile non richieda la conservazione dei Dati personali del Cliente. 4 SUB-TRATTAMENTO 4.1 Il Cliente autorizza HP a trasferire i Dati personali del Cliente o a dare accesso ai Dati personali del Cliente alle entità del Gruppo HP e a terzi in qualità di Sub-responsabili del trattamento (e consente ai Sub- responsabili del trattamento di farlo in conformità alla Clausola 4.1) allo scopo di fornire i Servizi o altri scopi identificati nella sezione "Attività di trattamento;" dell'Allegato 1. HP rimarrà responsabile della conformità del proprio Sub-responsabile del trattamento agli obblighi del presente DPA. HP garantirà che tutti i Sub-responsabili del trattamento a cui HP trasferisce i Dati personali del Cliente stipulino accordi scritti con HP che richiedono che i Sub-responsabili del trattamento rispettino termini non meno protettivi di quelli stabiliti nel presente DPA. HP metterà a disposizione del Cliente l'elenco aggiornato dei Sub- responsabili del trattamento per i Servizi compresi dal Contratto di servizio. f4.2 HP può nominare in qualsiasi momento e senza giustificazione un nuovo Sub-responsabile del trattamento a condizione che il Cliente riceva un preavviso di dieci (10) giorni e che quest’ultimo non si opponga legittimamente alle suddettei modifiche entro tale periodo di tempo. Le obiezioni legittime devono contenere motivi ragionevoli e documentati relativi alla non conformità di un Sub-responsabile del trattamento con le leggi applicabili sulla protezione dei dati e sulla privacy. Se, a ragionevole parere di HP, tali obiezioni sono legittime, HP si asterrà dall'utilizzare tale Sub-responsabile del trattamento nel contesto del trattamento dei Dati personali del Cliente. In tali casi, HP applicherà ogni ragionevole sforzo per (i) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, Cliente una modifica dei Servizi HP o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento (ii) raccomandare una modifica alla configurazione o altre disposizioni, nazionali o dell’Unione, relative alla protezione all'utilizzo dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione Servizi da parte del Titolare Cliente per evitare il trattamento dei Dati personali del trattamentoCliente da parte del Sub-responsabile del trattamento contestato. Il Titolare si riserva Se HP non è in grado di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionerendere disponibile tale modifica entro un periodo di tempo ragionevole, che non deve superare novanta (90) giorni, il Cliente, fornendo una notifica scritta ad HP, può interrompere il Servizio che non può essere fornito da HP senza l'uso del Sub-responsabile del trattamento contestato fornendo una comunicazione scritta ad HP.

Obblighi del Responsabile del trattamento. (1) Il Responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Trattamento non può far uso dei Dati Personali del Titolare del trattamento oTrattamento per finalità diverse da quelle descritte nel Contratto, comunque, unicamente nonché per perseguire le finalità di cui al precedente punto b);adempiere gli obblighi previsti dallo stesso. b(2) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del In qualsiasi momento durante il trattamento e per impedire dopo il trattamento a soggetti chesuo completamento, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo su istruzione del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere Trattamento, il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere Trattamento è tenuto a disposizione rettificare, cancellare o bloccare i Dati Personali nell’ambito di applicazione della presente Appendice; oppure, su istruzioni del Titolare tutte le informazioni necessarie per dimostrare del Trattamento, il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente Trattamento è tenuto a restituirgli tali dati e a distruggere eventuali copie esistenti, e il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione Trattamento rifonderà al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite Trattamento i suoi costi di congruo importo, calcolati in base al progresso tecnico alla durata e tecnologicoai materiali, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, salvo se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui la legge applicabile richieda la conservazione dei Dati Personali. (3) Il personale del Responsabile del Trattamento che svolge operazioni di Trattamento ai sensi della presente Appendice è vincolato al rispetto della riservatezza o assoggettato ad adeguati obblighi legali di riservatezza. (4) Il Responsabile del Trattamento comunica al Titolare del Trattamento il punto di contatto per ogni questione relativa alla riservatezza e alla protezione dei dati nell’ambito di applicazione del Contratto. (5) Il Responsabile del Trattamento monitora periodicamente i processi interni e le misure tecniche e organizzative al fine di assicurare che il Trattamento nell’ambito della sua sfera di competenza sia conforme alla normativa applicabile in materia di protezione dei dati. (6) Il Responsabile del Trattamento fornisce ragionevole assistenza al Titolare del Trattamento nell’adempimento degli obblighi previsti a suo carico dagli articoli 32-36 del GDPR, a spese del Titolare del Trattamento (secondo le tariffe applicate dal Responsabile del Trattamento in base alla durata e ai materiali utilizzati). (7) Il Responsabile del Trattamento può Trattare i Dati Personali all’interno o al di fuori di uno Stato membro dell’Unione Europea (“UE”) o dello Spazio Economico Europeo (“SEE”). Ogni trasferimento di Dati Personali verso uno stato che non sia possibile fornire uno Stato membro dell’UE o dello SEE potrà aver luogo solo nel caso in cui ricorrano le informazioni contestualmentespecifiche condizioni previste dagli articoli 44 e ss. del GDPR. A tali fini, il Responsabile potrà fornire le informazioni del Trattamento può stipulare – se necessario, in fasi successive senza ulteriore ingiustificato ritardo. Nel caso qualità di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte rappresentante o per conto del Titolare del trattamentoTrattamento – clausole tipo di protezione dei dati adottate dalla Commissione ai sensi della Direttiva UE 95/46/CE o del GDPR (“Clausole Tipo”) con ogni sub-responsabile del trattamento stabilito in paesi terzi (che non assicuri un adeguato livello di protezione dei dati) che effettua il Trattamento dei Dati Personali ai sensi della presente Appendice. Tali adempimenti dovranno Clausole Tipo possono essere finalizzati ad evitare integrate nella misura necessaria a soddisfare i rischi, anche accidentali, requisiti previsti dalla normativa applicabile in materia di distruzione o perdita protezione dei dati, tra cui l’articolo 28(3) del GDPR, fintanto che tali integrazioni non contraddicano il Contratto (Appendice inclusa) e le Clausole Tipo nella loro versione originale. Il Responsabile del Trattamento ha il diritto di accesso non autorizzato o esercitare i diritti di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie controllo e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del impartire istruzioni previsti in capo al Titolare del trattamentoTrattamento dalle Clausole Tipo stipulate per conto di quest’ultimo. Il I sub-responsabili che hanno stipulato le Clausole Tipo con il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto del Trattamento saranno terzi beneficiari ai sensi degli articoli 8(1) e 10 della suddetta prescrizionepresente Appendice.

Obblighi del Responsabile del trattamento. Il Responsabile responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Titolare titolare del trattamento o, comunque, o comunque unicamente per perseguire le finalità di cui al precedente punto b); b) garantire che la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento ovvero mettendo in atto misure tecniche e organizzative idonee a adeguate per garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: , pseudonomizzazione e cifratura dati personali; , riservatezza; integrità; disponibilità; , l’integrità, la disponibilità dei dati, ripristino tempestivo della disponibilità e e dell’accesso ai dei dati personali in caso di incidente fisico o tecnico; tecnico attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per trattamento, impedire il trattamento a soggetti che, che pur autorizzati all’accesso, all’accesso non abbiano avuto istruzioni in tal senso dal Titolare titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, è tenuto ad assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, personali come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e di cui al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate realizzati dal Titolare titolare del trattamento, trattamento o da un altro soggetto da questi incaricato. Il Responsabile il responsabile del trattamento informa immediatamente il Titolare titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, disposizioni nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, il Responsabile provvede ove necessario, necessario alla nomina per iscritto di come autorizzati del trattamento dei dati personali i propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire il Responsabile del trattamento fornisce agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il Responsabile assicura il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi;; ACCORDO PER LA DESIGNAZIONE DEL RESPONSABILE DEL TRATTAMENTO DEI DATI ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ALLEGATO B) AL DISCIPLINARE j) il Responsabile è tenuto a comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, Garante provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida decidesse di riscontrare direttamente le istanze, istanze ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) il Responsabile, anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve inoltre assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo minimo, i rischi di: di distruzione o perdita, intenzionale od accidentale, dei dati; di accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) inoltre, anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, accidentalmente o in modo illecito, illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve il Responsabile dovrà informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – − una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvoltiin questione; – − una descrizione delle probabili conseguenze della violazione dei dati personali; – − una descrizione delle misure adottate, adottate o di cui si propone l'adozione, l'adozione per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. − Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. − Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) il Responsabile, qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare realizza, l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere tiene in forma scritta un registro di tutte le categorie di attività, attività relative al trattamento, trattamento svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire il Responsabile fornisce ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione nel contratto non sono né saranno oggetto di comunicazione o diffusione a soggetti terziterzi ancorché facenti parte del medesimo gruppo societario in qualità di controllante, controllata o collegata, con sede giuridica in un paese al di fuori dello Spazio Economico Europeo (SEE) senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighidel trattamento è tenuto, ai sensi dell’art. 28 terzo comma GDPR, a: a) trattare i dati personali soltanto su istruzione documentata trasmessi dal Titolare o comunque acquisiti in relazione ai Servizi da svolgere, in corrispondenza alle istruzioni del Titolare del trattamento oe agli obblighi previsti dalla presente convenzione, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa informando comunque immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta impartita violi il presente regolamento GDPR o altre disposizioni, nazionali o dell’Unione, relative alla la normativa italiana sulla protezione dei dati; gb) provvedere, ove necessario, alla nomina individuare e nominare per iscritto le persone autorizzate al trattamento all’interno della propria struttura (“incaricati”) e garantire che i predetti Incaricati si impegnino alla riservatezza dei dati o abbiano un adeguato obbligo legale di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i riservatezza e si impegnino altresì all’adozione delle misure di sicurezza adottate e al rispetto dei principi del trattamento dei dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatidi cui al Capo II del GDPR; hc) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità adottare e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente descrivere al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che tutte le misure di sicurezza predisposte ed adottate siano richieste dall’art. 32 GDPR, ritenute idonee a al fine di ridurre al minimo i rischi di: di distruzione o perdita, intenzionale od anche accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; nd) fornire ampie garanzie informare il Titolare della nomina di propri Responsabili al trattamento (“sub-Responsabili”) nonché della loro successiva sostituzione con nuovi Responsabili, al fine di permettere al Titolare di valutare l’idoneità degli stessi ed eventualmente opporsi alla nomina o sostituzione. In caso di nomina autorizzata di altro Responsabile, a individuare le specifiche attività di trattamento del Responsabile e assicurazioni circa a stipulare con il fatto Responsabile apposito contratto con il quale il Responsabile assuma, in relazione ai trattamenti svolti, gli stessi obblighi previsti nel presente Accordo; e) collaborare con il Titolare, con misure tecniche organizzative adeguate, ove possibile, al fine di soddisfare l’obbligo del Titolare di dare seguito alle richieste per l’esercizio dei diritti dell’interessato descritti negli artt. da 15 a 22 GDPR, con le modalità di cui all’art. 12 GDPR e le tempistiche indicate nell’art. 12 terzo comma GDPR. A tal fine, il Responsabile trasmette le eventuali richieste degli interessati, all’indirizzo mail xxxxxxxxxx@xxxxxx.xxxxx.xx.xx entro 24 ore dal ricevimento della richiesta; f) in relazione al trattamento svolto, assistere e collaborare con il Titolare ai fini del rispetto degli obblighi imposti al Titolare dagli artt. da 33 a 36 GDPR, e in particolare: - informare il Titolare, senza ingiustificato ritardo, e comunque al più tardi entro 24 ore dal momento in cui ne è venuto a conoscenza, all’indirizzo mail xxxxxxxxxx@xxxxxx.xxxxx.xx.xx di ogni violazione di dati personali, al fine di permettere al Titolare la notifica al Garante per la Protezione dei Dati Personali ai sensi dell’art. 33 GDPR e, se del caso, la comunicazione all’interessato ai sensi dell’art. 43 GDPR, fornendo tutte le informazioni sulla predetta violazione che siano a sua conoscenza tra quelle indicate dall’art. 33 comma 3 GDPR; - assistere e collaborare con il Titolare nel processo di eventuale valutazione d’impatto sulla protezione dei dati (“DPIA – Data Protection Impact Assessment”) di cui all’art. 35 GDPR, nonché nella eventuale fase di consultazione preventiva con l’Autorità di controllo ai sensi dell’art. 36 GDPR, qualora la valutazione d’impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal Titolare per attenuare il rischio; g) cancellare o restituire tutti i dati personali una volta cessata in via definitiva l’esecuzione dei Servizi e cancellare le copie esistenti secondo le istruzioni ricevute dal Titolare, salvo che la conservazione dei dati sia prevista dal diritto dell’Unione o dalla normativa italiana; h) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto, da parte del Responsabile, degli obblighi di cui al presente Accordo e contribuire alle attività di revisione, comprese le ispezioni, poste in essere dal Titolare. Il Responsabile del trattamento è tenuto, ove sussistano le condizioni di cui all’art. 30 comma 5 GDPR, alla redazione e al costante aggiornamento di un “Registro delle attività di trattamento” svolte per conto del Titolare, in forma scritta, anche in formato elettronico, da tenere a disposizione in ogni momento del Titolare, con il contenuto di cui all’art. 30 comma2 GDPR. Il Responsabile del trattamento è altresì tenuto: - ove compia una autonoma valutazione d’impatto sulla protezione dei dati (“DPIA Data Protection Impact Assessment”) di cui all’art. 35 GDPR in relazione ai propri servizi, prodotti, asset che coinvolgano i trattamenti compiuti per conto del Titolare, a comunicare tempestivamente al Titolare il report finale della DPIA svolta; - a informare tempestivamente il Titolare qualora intenda avvalersi di servizi “Cloud” per il trattamento dei dati personali, assicurandosi altresì che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamentostessi vengano conservati all’interno dell’Unione Europea. Il Titolare Responsabile si riserva impegna altresì a valutare, ai fini della dimostrazione della propria idoneità all’incarico, l’adesione a eventuali codici di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionecondotta o a un meccanismo di certificazione approvati ai sensi dell’art. 40 e 42 GDPR.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: del trattamento è tenuto, ai sensi dell’art. 28 terzo comma GDPR, a) : trattare i dati personali soltanto su istruzione documentata trasmessi dal Titolare o comunque acquisiti in relazione al Servizio da svolgere in corrispondenza alle istruzioni del Titolare del trattamento oe agli obblighi previsti dal presente Accordo, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa informando comunque immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta impartita violi il presente regolamento GDPR o altre disposizioni, nazionali o dell’Unione, relative alla la normativa italiana sulla protezione dei dati; g) provvedere, ove necessario, alla nomina ; individuare e nominare per iscritto le persone autorizzate al trattamento all’interno della propria struttura (“Autorizzati/Incaricati”) e garantire che si impegnino alla riservatezza dei dati o abbiano un adeguato obbligo legale di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo riservatezza e si impegnino altresì all’adozione delle misure minime di sicurezza, conformemente alle prescrizioni sicurezza adottate e al rispetto dei principi del Regolamento tenuto anche conto della natura trattamento dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità di cui al Capo II del GDPR; adottare e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente descrivere al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che tutte le misure di sicurezza predisposte ed adottate siano richieste dall’art. 32 GDPR, ritenute idonee a al fine di ridurre al minimo i rischi di: di distruzione o perdita, intenzionale od anche accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione dei dati personali; – una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n; informare il Titolare della nomina di propri Responsabili al trattamento (“sub-Responsabili”) fornire ampie garanzie nonché della loro successiva sostituzione con nuovi Responsabili, al fine di permettere al Titolare di valutare l’idoneità degli stessi ed eventualmente opporsi alla nomina o sostituzione. In caso di nomina autorizzata di altro Responsabile, a individuare le specifiche attività di trattamento del Responsabile e assicurazioni circa a stipulare con il fatto Responsabile apposito contratto con il quale il Responsabile assuma, in relazione ai trattamenti svolti, gli stessi obblighi previsti nel presente Accordo; collaborare con il Titolare, con misure tecniche e organizzative adeguate, ove possibile, al fine di soddisfare l’obbligo del Titolare di dare seguito alle richieste per l’esercizio dei diritti dell’interessato descritti negli artt. da 15 a 22 GDPR, con le modalità di cui all’art. 12 GDPR e le tempistiche indicate nell’art. 12 terzo comma GDPR. A tal fine, il Responsabile trasmette le eventuali richieste degli interessati, all’indirizzo mail del Titolare ____________________ entro 24 ore dal ricevimento della richiesta; in relazione al trattamento svolto, assistere e collaborare con il Titolare ai fini del rispetto degli obblighi imposti al Titolare dagli artt. da 33 a 36 GDPR, ed in particolare: informare il Titolare, senza ingiustificato ritardo, e comunque al più tardi entro 24 ore dal momento in cui ne è venuto a conoscenza, all’indirizzo mail del Titolare ______________ di ogni violazione di dati personali, al fine di permettere al Titolare la notifica al Garante per la Protezione dei Dati Personali ai sensi dell’art. 33 GDPR e, se del caso, la comunicazione all’interessato ai sensi dell’art. 43 GDPR, fornendo tutte le informazioni sulla predetta violazione che siano a sua conoscenza tra quelle indicate dall’art. 33 comma 3 GDPR; assistere e collaborare con il Titolare nel processo di eventuale valutazione d’impatto sulla protezione dei dati (“DPIA – Data Protection Impact Assessment”) di cui all’art. 35 GDPR, nonché nella eventuale fase di consultazione preventiva con l’Autorità di controllo ai sensi dell’art. 36 GDPR, qualora la valutazione d’impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal Titolare per attenuare il rischio; cancellare o restituire tutti i dati personali una volta cessata in via definitiva l’esecuzione dei Servizi e cancellare le copie esistenti secondo le istruzioni ricevute dal Titolare, salvo che la conservazione dei dati sia prevista dal diritto dell’Unione o dalla normativa italiana; mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto, da parte del Responsabile, degli obblighi di cui al presente Accordo e contribuire alle attività di revisione, comprese le ispezioni, poste in essere dal Titolare. Il Responsabile del trattamento è tenuto, ove sussistano le condizioni di cui all’art. 30 comma 5 GDPR, alla redazione e al costante aggiornamento di un “Registro delle attività di trattamento” svolte per conto del Titolare, in forma scritta, anche in formato elettronico, da tenere a disposizione in ogni momento del Titolare, con il contenuto di cui all’art. 30 comma2 GDPR. Il Responsabile del trattamento è altresì tenuto: ove compia una autonoma valutazione d’impatto sulla protezione dei dati (“DPIA Data Protection Impact Assessment”) di cui all’art. 35 GDPR in relazione ai propri servizi, prodotti, asset che coinvolgano i trattamenti compiuti per conto del Titolare, a comunicare tempestivamente al Titolare il report finale della DPIA svolta; ad informare tempestivamente il Titolare qualora intenda avvalersi di servizi “Cloud” per il trattamento dei dati personali, assicurandosi altresì che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamentostessi vengano conservati all’interno dell’Unione Europea. Il Titolare Responsabile si riserva impegna altresì a valutare, ai fini della dimostrazione della propria idoneità all’incarico, l’adesione ad eventuali codici di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizionecondotta o ad un meccanismo di certificazione approvati ai sensi dell’art. 40 e 42 GDPR.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi: a) trattare i dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b); b) garantire la riservatezza da parte delle persone autorizzate al trattamento; c) adottare tutte le misure di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisione, comprese le ispezioni, realizzate dal Titolare del trattamento, o da un altro soggetto da questi incaricato. Il Responsabile del trattamento informa immediatamente il Titolare del trattamento qualora, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei dati; g) provvedere, ove necessario, alla nomina per iscritto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominati; h) fornire agli autorizzati precise istruzioni operative, anche sotto il profilo delle misure minime di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche al fine di garantire la conservazione dei dati ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 del Regolamento, in caso di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – − una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – categorie e il numero − una descrizione delle probabili conseguenze della violazione dei dati personali; – − una descrizione delle misure adottate, o di cui si propone l'adozione, per porre rimedio alla violazione dei dati personali e anche, se del caso, per attenuarne i possibili effetti negativi. Qualora e nella misura in cui non sia possibile fornire le informazioni contestualmente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedio; m) qualora necessario per la natura dei dati trattati e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentali, di distruzione o perdita dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta; n) fornire ampie garanzie e assicurazioni circa il fatto che i dati personali oggetto di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto di comunicazione o diffusione a soggetti terzi, senza la preventiva autorizzazione da parte del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizione.

Obblighi del Responsabile del trattamento. Il Responsabile assume i seguenti obblighi4.1 Ai fini di un corretto trattamento dei Dati Personali, il Fornitore si impegna a: a) trattare i svolgere qualsiasi operazione di trattamento di Dati Personali in conformità ai principi e alla regolamentazione previsti dalla normativa vigente in materia di protezione dei dati personali soltanto su istruzione documentata del Titolare del trattamento o, comunque, unicamente per perseguire le finalità di cui al precedente punto b)personali; b) garantire la riservatezza eseguire fedelmente ed esclusivamente le istruzioni impartite dal Titolare, evitando attività di trattamento non conformi alle predette istruzioni o volte a perseguire finalità diverse da parte delle persone autorizzate al trattamentoquelle correlate all'esecuzione del Contratto di servizi; c) adottare tutte le misure non effettuare copie dei Dati Personali diverse da quelle strettamente necessarie alla corretta esecuzione del Contratto di sicurezza richieste ai sensi dell’articolo 32 del Regolamento mettendo in atto misure tecniche e organizzative idonee a garantire un livello di sicurezza adeguato al rischio tra cui, se del caso: pseudonomizzazione e cifratura dati personali; riservatezza; integrità; disponibilità; ripristino tempestivo della disponibilità e dell’accesso ai dati personali in caso di incidente fisico o tecnico; attuazione di procedure per testare l’efficacia delle misure di sicurezza del trattamento e per impedire il trattamento a soggetti che, pur autorizzati all’accesso, non abbiano avuto istruzioni in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membriservizi; d) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l’obbligo del Titolare del trattamento di dare seguito alle richieste per l’esercizio dei diritti dell’interessato; e) assistere il Titolare nel garantire il rispetto degli obblighi in materia di sicurezza del trattamento dei dati personali, come specificati dall’art.32 all’art 36 del Regolamento, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile del trattamento; f) mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il pieno rispetto degli obblighi di cui al presente atto di nomina e al Regolamento nonché consentire e contribuire alle attività di revisioneil Fornitore, comprese le ispezioni, realizzate dal Titolare quale responsabile del trattamento, è tenuto in virtù della normativa vigente; e) fuori dai casi strettamente necessari per l'erogazione dei Servizi, non divulgare o rendere noti a terzi i Dati Personali e adottare le misure organizzative e tecniche necessarie per assicurare la massima riservatezza dei Dati Personali acquisiti e utilizzati nello svolgimento delle attività oggetto della presente designazione; f) garantire che l’accesso ai Dati Personali da un altro soggetto da questi incaricatoparte del personale avvenga solo sulla base del principio di stretta necessità, provvedendo a individuare e designare quali incaricati del trattamento, anche ai fini di cui all’art. Il Responsabile 32 del Regolamento, le persone fisiche (dipendenti e/o collaboratori) autorizzate al trattamento informa immediatamente il Titolare del trattamento qualoradei dati personali per le suddette finalità, a suo parere, un’istruzione ricevuta violi il presente regolamento o altre disposizioni, nazionali o dell’Unione, relative alla protezione dei datiimpegnando gli stessi con idonei vincoli di riservatezza; g) provvedere, ove necessario, alla nomina per iscritto formare adeguatamente il personale addetto all'esecuzione del Contratto di propri dipendenti o eventuali altre persone fisiche che siano deputati a trattare i dati messi a disposizione dal Titolare, comunicando a quest’ultimo, su specifica richiesta, l’elenco aggiornato degli autorizzati nominatiservizi fornendo loro istruzioni precise e vigilando sulla loro osservanza; h) fornire agli autorizzati precise istruzioni operative, anche sotto collaborare con il profilo delle misure minime Committente per l’attuazione di sicurezza, conformemente alle prescrizioni del Regolamento tenuto anche conto della natura dei dati trattati; i) assicurare il rispetto della riservatezza, dell’integrità e della disponibilità dei dati, nonché il loro utilizzo esclusivo per le finalità in base alle quali il trattamento è stato autorizzato, comunicando immediatamente al Titolare qualunque evento qualsiasi misura che abbia violato o posto in pericolo la riservatezza o l’integrità dei dati medesimi; j) comunicare al Titolare, al momento della ricezione, eventuali richieste di informazioni o comunicazioni degli interessati o del Garante, provvedendo al relativo riscontro previa consultazione del Titolare del trattamento medesimo. Qualora il Titolare decida di riscontrare direttamente le istanze, ne darà comunicazione al Responsabile del trattamento il quale dovrà comunque fornire al Titolare del trattamento le necessarie informazioni e/o collaborazione; k) anche in relazione alle conoscenze acquisite in base al progresso tecnico e tecnologico, alla natura dei dati, alle caratteristiche delle operazioni di trattamento, deve assicurarsi che le misure di sicurezza predisposte ed adottate siano idonee a ridurre al minimo i rischi di: distruzione o perdita, intenzionale od accidentale, dei dati; accesso non autorizzato ai dati e di trattamento dei dati non consentito o non conforme alle finalità delle operazioni di trattamento. Il Responsabile del trattamento applicherà le prescritte misure di sicurezza anche si renda strettamente necessaria al fine di garantire la conservazione conformità del trattamento dei dati Dati Personali con la normativa applicabile; i) effettuare, ai sensi e per i termini previsti dalle norme applicabili; l) anche ai sensi dell’articolo 33 dell’art. 32 del Regolamento, regolari analisi dei rischi per adottare misure tecniche organizzative adeguate rispetto alle prescrizioni di legge in caso materia di violazione dei dati personali (da intendersi quale la violazione di sicurezza che comporta accidentalmente, o in modo illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trasmessi, conservati o comunque trattati), deve informare il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza della violazione, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti delle persone fisiche interessate. Le informazioni dovute dal Responsabile al Titolare includono almeno: – una descrizione della natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati nonché le categorie e il numero approssimativo di registrazioni dei dati personali coinvolti; – una descrizione delle probabili conseguenze della violazione protezione dei dati personali; – una descrizione delle misure adottate, o di informatica giuridica e amministrazione digitale di cui si propone l'adozioneal CAD e disciplina applicabile, nonché dei provvedimenti del Garante per porre rimedio alla violazione la protezione dei dati personali e anchedell'Agenzia per l'Italia Digitale (AGID) o altra Autorità di controllo competente; j) stabilire, se del casonell'ambito della propria organizzazione, per attenuarne i possibili effetti negativic.d. Qualora mezzi non essenziali, quali misure di sicurezza di dettaglio, e sulla base delle proprie competenze tecniche specifiche, collaborare, anche manifestando un’autonomia propositiva, nell’adozione di misure adeguate e nella misura verifica sistematica dell’efficacia delle stesse tramite una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche ed organizzative al fine di garantire la sicurezza del trattamento; k) effettuare analisi che esplicitino i rischi e le eventuali possibili misure di attenuazione degli stessi da proporre al Titolare, propedeutiche a valutazioni di impatto, informando quest’ultimo e fornendo copia degli elaborati finali. l) mantenere informato il Committente riguardo alle operazioni di trattamento trasmettendo un rapporto scritto sull’attività svolta in cui esecuzione dei compiti attribuiti con il presente accordo, con particolare riguardo, ma non sia possibile fornire le informazioni contestualmenteesclusivamente, il Responsabile potrà fornire le informazioni in fasi successive senza ulteriore ingiustificato ritardo. Nel caso alle misure di violazione dei dati personali il Responsabile dovrà comunque documentare le circostanze sicurezza adottate, nonché riguardo a essa relative, le sue conseguenze e i provvedimenti adottati per porvi rimedioqualsiasi circostanza o criticità eventualmente riscontrata; m) qualora necessario per la natura dei dati trattati informare il Committente, tempestivamente e comunque secondo i dettami del Regolamento, effettuare l’autovalutazione delle sopra citate misure di sicurezza, l’eventuale analisi del rischio e, ai sensi dell’articolo 30 del Regolamento, tenere non oltre le 48 ore dal momento in forma scritta un registro di tutte le categorie di attività, relative al trattamento, svolte per conto del Titolare del trattamento. Tali adempimenti dovranno essere finalizzati ad evitare i rischi, anche accidentalicui ne è venuto a conoscenza, di distruzione qualsiasi violazione o perdita rischio di violazione concernente i Dati Personali di cui il Fornitore è venuto a conoscenza nello svolgimento dei datiServizi e collaborare, a proprie spese, con il Committente per attuare qualsiasi misura che si renda strettamente necessaria al fine di accesso non autorizzato o di garantire la conformità del trattamento non consentito o non conforme alle finalità della raccoltadei Dati Personali con la normativa applicabile; n) fornire ampie garanzie e assicurazioni circa adottare le misure di sicurezza previste dall'articolo 7 del presente accordo. o) reindirizzare verso il fatto che i dati personali oggetto titolare per gli obblighi di trattamento per le finalità stabilite nella Convenzione non sono né saranno oggetto dar seguito ad eventuali domande di comunicazione o diffusione esercizio dei diritti delle persone interessate di cui articoli da 12 a soggetti terzi, senza la preventiva autorizzazione da parte 23 del Titolare del trattamento. Il Titolare si riserva di effettuare delle verifiche circa l’effettivo rispetto della suddetta prescrizioneRegolamento.