Common use of Obblighi del Responsabile del trattamento Clause in Contracts

Obblighi del Responsabile del trattamento. Laddove il Responsabile del trattamento (operando come Responsabile) elabora i Dati personali per conto del Cliente (operando come Titolare dei dati), dovrà: a. Elaborare o avere elaborato tali Dati personali nel rispetto delle Leggi vigenti sulla protezione dei dati come Responsabile dei dati. b. Elaborare - e indirizzare qualsiasi persona che agisca sotto la sua autorità a elaborare - i Dati Personali per conto del Titolare del trattamento, in conformità alle relative istruzioni documentate, salvo espressamente richiesto dalle norme UE o di uno stato membro dell’UE a cui è soggetto il Responsabile. In tal caso, il Responsabile dovrà informare il Titolare di tale requisito di legge prima di procedere al trattamento, a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite dal Titolare del trattamento al Responsabile. Inoltre, su istruzione del Titolare, il Responsabile corregge, rettifica o blocca i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la natura del trattamento e delle informazioni disponibili al Responsabile, fornisce al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche e organizzative, come richiesto dalla Legge sulla protezione dei dati, al fine di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma di trattamento illecito adottando almeno le seguenti misure di sicurezza in modo adeguato: i. Pseudonimizzazione e crittografia; ii. Misure finalizzate a mantenere costantemente la riservatezza, l’integrità, la disponibilità e il recupero dei servizi e dei sistemi di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali in caso di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o dati. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro

Obblighi del Responsabile del trattamento. Laddove il Responsabile del trattamento Transics (operando come Responsabile) elabora i Dati personali per conto del Cliente (operando come Titolare dei dati), dovrà: a. Elaborare o avere elaborato tali Dati personali nel rispetto delle Leggi vigenti sulla protezione dei dati come Responsabile dei dati. b. Elaborare - i Xxxx personali, e indirizzare qualsiasi garantire che ogni persona che agisca sotto la sua autorità a elaborare - i Dati Personali autorizzata da Transics ad elaborare, per conto del Titolare del trattamento, in conformità alle relative istruzioni documentate, salvo espressamente richiesto dalle norme UE o di uno stato membro dell’UE a cui è soggetto il Responsabile. In tal caso, il Responsabile dovrà informare il Titolare di tale requisito di legge prima di procedere al trattamento, a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono Il presente Addendum costituisce le istruzioni documentate fornite dal Titolare del trattamento al Responsabile. Inoltre, su istruzione del Titolare, il Responsabile corregge, rettifica o blocca i Dati personali e fornisce l'accesso a tali dati soltanto al personali; garantire che solo personale qualificatoadeguatamente formato abbia accesso ai Dati personali. c. Tenendo in considerazione la natura del trattamento e delle informazioni disponibili al Responsabile, fornisce al assistere il Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche e organizzative, come richiesto dalla Legge sulla protezione dei dati, al fine di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma di trattamento illecito adottando almeno le seguenti misure di sicurezza in modo adeguatosicurezza: i. Pseudonimizzazione La pseudonimizzazione e crittografiala crittografia dei Dati personali; ii. Misure finalizzate a mantenere costantemente La capacità di garantire la riservatezza, l’integrità, la disponibilità e il recupero dei servizi e dei sistemi di elaborazione; iii. Misure finalizzate a La capacità di ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali in caso di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezzasicurezza dell’elaborazione. Nell'Appendice In Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione del Titolare del trattamento tutte le informazioni ragionevoli necessarie qualsiasi informazione necessaria a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o dati. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattroquattro (4) settimane prima dell’audit. f. Riguardo al punto (e) precedente, informare immediatamente il Titolare del trattamento nel caso in cui un’istruzione ricevuta dal Titolare violi le Leggi sulla protezione dei dati. g. Tenendo conto della natura del trattamento e delle informazioni a disposizione, assistere il Titolare del trattamento con adeguate misure tecniche e organizzative, nella misura in cui possibile, per adempiere ai suoi obblighi di fornire informazioni sulla raccolta, trattamento e uso dei Dati personali agli Interessati e nel rispondere alle richieste di esercizio dei Titolare del trattamento) o dovrà provvedere ad altri adeguati meccanismi di trasferimento dei dati in conformità con le Leggi di protezione dei dati. A tal fine il Cliente autorizza espressamente Transics ad adottare per conto del Cliente le Clausole contrattuali standard con il Subcontraente elencato nella rispettiva Appendice.

Obblighi del Responsabile del trattamento. Laddove il Var Hub S.r.l., in qualità di Responsabile del Trattamento ed in considerazione del presente contratto, provvede a: a) Conformarsi alle prescrizioni contenute nel presente contratto e a rispettare gli obblighi di legge previsti in materia di trattamento e sicurezza dei dati personali con riferimento alle attività di propria pertinenza. In particolare, i dati personali andranno trattati nel pieno rispetto dei principi generali previsti ai sensi dell’art. 5 del Regolamento UE: di conseguenza, i dati personali devono essere trattati in modo lecito, corretto e secondo trasparenza, provvedendo, se del caso, alla correzione ed aggiornamento dei dati medesimi. I dati personali sono trattati per scopi determinati, espliciti e legittimi in conformità a quanto stabilito da [RAGIONE SOCIALE CLIENTE], in qualità di Titolare del Trattamento. I dati personali devono essere pertinenti, completi e non eccedenti rispetto alle finalità individuate dal Titolare del Trattamento; la conservazione dei dati medesimi va limitata al periodo di tempo necessario al raggiungimento degli scopi per cui i dati personali sono stati raccolti e trattati. Il trattamento avviene, altresì, riducendo al minimo l'utilizzo dei dati personali in conformità al principio di minimizzazione dei dati personali di cui al Regolamento UE. In ogni caso, Var Hub S.r.l. si astiene dall’adottare autonome decisioni in merito alle finalità e alle modalità del trattamento; in caso di urgenza e necessità, Var Hub S.r.l. provvede a informare, senza ingiustificato ritardo, il Titolare del Trattamento affinché quest’ultimo assuma le opportune decisioni; b) Trattare i dati personali esclusivamente all’interno del territorio italiano; in particolare, Var Hub S.r.l. si astiene dal trasferire i dati personali al di fuori dell’Unione Europea (operando come ResponsabileUE) elabora i Dati personali per conto del Cliente o dello Spazio economico europeo (operando come Titolare dei datiSEE), dovrà:se non in presenza di apposita istruzione rilasciata dal Titolare del Trattamento; a. Elaborare c) Nominare, per iscritto, il proprio personale aziendale autorizzato a provvedere al trattamento dei dati personali, nonché ad istruire il personale medesimo con riferimento alle attività di trattamento connesse all’esecuzione dell’accordo di servizio. In particolare, Var Hub S.r.l. s’impegna a fornire al personale autorizzato al trattamento tutte le istruzioni volte a preservare i dati personali oggetto di trattamento dai rischi di distruzione, perdita, modifica, divulgazione non autorizzata, accesso accidentale o avere elaborato tali Dati illegale. Inoltre, Var Hub S.r.l. limita l’accesso ai dati personali nel rispetto delle Leggi vigenti sulla al solo personale aziendale che sia stato vincolato alla riservatezza, garantendo, peraltro, la conoscenza, da parte dei soggetti autorizzati al trattamento, della normativa in materia di protezione dei dati come Responsabile personali. Con riferimento al proprio personale aziendale autorizzato al trattamento, Var Hub S.r.l. provvede a verificare, periodicamente, la conformità delle operazioni svolte alle istruzioni ricevute e alla normativa in materia di protezione dei dati. b. Elaborare - e indirizzare qualsiasi persona che agisca sotto la sua autorità a elaborare - i Dati Personali per conto dati personali. Su richiesta del Titolare del trattamentoTrattamento, Var Hub S.r.l. esibisce il documento contenente la lista aggiornata dei soggetti autorizzati al trattamento dei dati personali; d) Identificare e designare per iscritto, in conformità a quanto statuito dal Provvedimento del Garante per la Protezione dei Dati Personali del 27 novembre 2008, così come modificato in base al provvedimento del 25 giugno 2009, gli amministratori di sistema, previa valutazione in ordine alle relative istruzioni documentatecaratteristiche di capacità, salvo espressamente richiesto dalle norme UE affidabilità ed esperienza dei soggetti designati. Var Hub S.r.l. provvede, almeno annualmente, a verificare le attività svolte dagli amministratori di sistema al fine di valutarne la rispondenza rispetto alle misure organizzative, tecniche e di sicurezza predisposte a garanzia dei trattamenti dei dati personali. Inoltre, Var Hub S.r.l. provvede a conservare il documento recante gli estremi identificativi delle persone fisiche preposte alla funzione di amministratori di sistema, per qualsiasi evenienza e ad aggiornarlo ad ogni modifica. E’ garantita, altresì, la tracciabilità e la registrazione dell’attività di accesso da parte degli amministratori di sistema; le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità. Le registrazioni, inoltre, devono comprendere i riferimenti allo “username” utilizzato, i riferimenti temporali e la descrizione dell'evento (log in e log out) che le ha generate e devono essere conservate per un periodo congruo, non inferiore a sei mesi; e) Accedere alle banche dati elettroniche del Titolare del Trattamento solo ed esclusivamente ai fini dell’esecuzione delle attività oggetto dell’accordo di servizio ed astenersi dalla creazione di banche dati ulteriori in assenza di espressa autorizzazione del Titolare del Trattamento. In assenza di espressa autorizzazione, la creazione di nuove banche dati da parte di Var Hub S.r.l. è consentita solo laddove ciò sia strettamente indispensabile allo scopo di adempiere agli obblighi contrattuali e fermo restando il rispetto dell’obbligo di comunicazione preventiva dell’attività medesima nei confronti del Titolare del Trattamento; f) Controllare che i dati personali siano custoditi e trattati in modo da ridurre al minimo il rischio di distruzione e perdita, anche accidentale, degli stessi, nonché di accesso non autorizzato e trattamento non consentito o non conforme alle finalità per cui i dati personali sono raccolti e trattati. Pertanto, Var Hub S.r.l., nel rispetto di uno quanto statuito ai sensi dell’art. 32 del Regolamento UE, adotta le misure di sicurezza ritenute necessarie ed adeguate allo scopo di proteggere i dati personali oggetto di trattamento e parametrate in considerazione dell’oggetto dell’accordo di servizio. Ai fini dell’adozione delle misure di sicurezze, Var Hub S.r.l. prenderà in considerazione lo stato membro dell’UE a cui è soggetto il Responsabiledell'arte, i costi di attuazione, la natura, la portata e le finalità del trattamento nonché la probabilità di accadimento e la gravità del rischio per i diritti e le libertà delle persone fisiche. Resta inteso che le misure di sicurezza sono soggette al progresso tecnico e all'ulteriore sviluppo. In tal casosenso, il Responsabile dovrà informare il Titolare Var Hub S.r.l. potrà provvedere all’implementazione delle misure di tale requisito sicurezza applicate. In ogni caso Var Hub S.r.l. assicura la predisposizione di legge prima un livello di procedere al trattamento, misure di sicurezza almeno equipollente a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite quello messo in atto dal Titolare del trattamento Trattamento; g) Comunicare al ResponsabileTitolare del Trattamento la verificazione dell’eventuale data breach; la comunicazione medesima è effettuata senza ingiustificato ritardo dal momento dell’avvenuta conoscenza della violazione dei dati personali. InoltreIn particolare, su istruzione Var Hub S.r.l. s’impegna, ove possibile, a comunicare al Titolare del TitolareTrattamento le seguenti informazioni: • la natura della violazione dei dati personali, le categorie e il numero approssimativo dei soggetti interessati coinvolti, nonché le categorie e il numero approssimativo di registrazione dei dati in questione, • il nome e i dati di contatto del Responsabile correggedella protezione dei dati personali, rettifica • le probabili conseguenze della violazione dei dati personali, • le misure adottate o blocca di cui si propone l’adozione al fine di porre rimedio alla violazione dei dati personali o al fine di attenuarne i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la possibili effetti negativi. Var Hub S.r.l. assiste il Titolare del Trattamento, tenendo conto della natura del trattamento medesimo e delle informazioni disponibili al Responsabilein suo possesso, fornisce nell’adempimento degli obblighi previsti dal Regolamento UE in materia di sicurezza del trattamento, data breach, valutazione d’impatto e consultazione preventiva all’Autorità Garante per la protezione dei dati personali; h) Collaborare con il Titolare del Trattamento ai fini dell’esercizio, da parte dei soggetti interessati, dei diritti di cui agli artt. 15 e ss. del Regolamento UE. In particolare, Var Hub S.r.l. si impegna a dare tempestiva comunicazione, per iscritto, al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione Trattamento delle richieste avanzate dai soggetti interessati e ad essa pervenute, nonché ad evadere le richieste dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche soggetti interessati senza ingiustificato ritardo e organizzative, come richiesto dalla Legge sulla protezione dei daticomunque, al fine più tardi, entro un mese dal ricevimento delle relative richieste; i) Comunicare tempestivamente a [RAGIONE SOCIALE CLIENTE] tutte le informazioni da questa richieste in relazione al trattamento dei dati personali, nonché ad informare spontaneamente il Titolare del Trattamento in ordine a qualsiasi situazione di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma particolare rilievo in materia di trattamento illecito adottando almeno le seguenti misure dei dati personali e di sicurezza sicurezza. In particolare, se del caso, Var Hub S.r.l. provvede a comunicare al Titolare del Trattamento che una sua istruzione si pone in modo adeguato: i. Pseudonimizzazione e crittografiaviolazione delle previsioni in materia di trattamento dei dati personali; in tal caso, peraltro, Var Hub S.r.l. si asterrà dal porre in essere operazioni di trattamento che siano in violazione della relativa normativa; iij) Var Hub S.r.l. Misure finalizzate a mantenere costantemente la riservatezza, l’integrità, la disponibilità si astiene dal creare copie o duplicati dei dati personali e il recupero dei servizi e dei sistemi dall’asportare supporti informatici contenenti i dati personali oggetto di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali trattamento in caso assenza di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione specifica indicazione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o datiTrattamento. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro

Obblighi del Responsabile del trattamento. Laddove 3.1 Salvo i casi espressamente consentiti dall'articolo 28, paragrafo 3, lettera a) del GDPR, il Responsabile del trattamento (operando come Responsabile) elabora tratta i Dati personali degli Interessati solo nell'ambito delle disposizioni della presente Nomina e delle condizioni impartite dal Titolare in esecuzione del Contratto. Qualora il Responsabile ritenga che un'istruzione impartitagli costituisca violazione di una legge vigente, dovrà darne immediata informazione scritta al Titolare. Il Responsabile avrà il diritto di sospendere l’esecuzione di tale istruzione fino a quando il Titolare non confermi o modifichi per conto iscritto l’anzidetta istruzione. 3.2 Nell'ambito del Cliente (operando come Titolare dei dati)proprio settore di competenza, dovrà: a. Elaborare o avere elaborato tali Dati personali nel rispetto delle Leggi vigenti sulla il Responsabile si obbliga a predisporre la propria organizzazione interna in modo da soddisfare le specifiche esigenze di protezione dei Dati. Pertanto, il Responsabile dà atto di aver adottato misure tecniche e organizzative idonee a garantire un'adeguata protezione dei Dati forniti dal Titolare, che soddisfino i requisiti dell'articolo 32 GDPR e successive modifiche e integrazioni. In particolare, il Responsabile si obbliga ad adottare misure tecnico-organizzative che assicurino la riservatezza, l'integrità, la disponibilità e la resilienza nel tempo di sistemi e servizi di trattamento. Il Titolare conferma di aver verificato la conformità delle misure adottate dal Responsabile ai requisiti previsti dall’art. 32 del Regolamento Eu 2016/679 e si impegna per quanto di sua competenza affinché anche la propria organizzazione adotti le predette misure tecnico-organizzative per garantire un effettivo livello di sicurezza adeguato al rischio. Il Responsabile si riserva il diritto di modificare le misure e le salvaguardie attuate, a condizione che il livello di sicurezza non sia inferiore a quello concordato e accettato dal Titolare e che venga mantenuta nel tempo un adeguata protezione dei Dati, anche attuando una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. In caso di trattamento di dati come di cui alle categorie previste dall’art. 9 GDPR, il Responsabile dei datisi obbliga al rispetto di tutte le misure ivi previste per garantire la loro sicurezza e riservatezza anche mediante l’adozione di ulteriori cautele, quali la separata conservazione degli stessi e la nomina di un professionista ai sensi dell’art. 9, comma 3 GDPR. b. Elaborare - 3.3 Il Responsabile si obbliga a cooperare con il Titolare nell'adempimento delle richieste e indirizzare qualsiasi persona dei reclami degli Interessati come specificato nel capitolo III del GDPR, nonché nell'adempimento degli obblighi elencati negli articoli 33-36 GDPR e successive modifiche e integrazioni. 3.4 Il Responsabile garantisce che agisca sotto la sua autorità a elaborare - tutti i propri dipendenti, collaboratori o altri soggetti autorizzati coinvolti nel trattamento dei Dati, effettuino tale trattamento solo ed esclusivamente nell’ambito delle finalità e delle istruzioni ricevute. Il Responsabile garantisce inoltre che tutti i propri dipendenti, collaboratori o altri soggetti autorizzati al trattamento dei Dati Personali per conto del Titolare siano strettamente vincolati alla riservatezza o ad un adeguato obbligo legale di riservatezza, anche successivamente all’estinzione del rapporto intrattenuto con il Responsabile, in relazione alle operazioni di trattamento da esse eseguite. 3.5 Il Responsabile si impegna a rispettare tutte le misure indicate nei provvedimenti del Garante del 27/11/2008 e 25/06/2009 in relazione agli adempimenti imposti per gli Amministratori di Sistema, provvedendo a individuare i soggetti autorizzati che, in base alle loro specifiche capacità e/o conoscenza tecniche, potranno avere permessi e/o accessi o credenziali di livello superiore, conservando l’elenco dei loro nominativi in apposito registro. Il Responsabile provvederà a conservare e a tracciare i log di accesso di questi soggetti e si impegna con cadenza annuale ad una revisione ed aggiornamento delle credenziali fornite e dell’attività svolta dagli stessi. 3.6 Il Responsabile si obbliga ad informare immediatamente il Titolare, qualora venga a conoscenza di violazioni dei Dati personali. Il Responsabile, in coordinamento con il Titolare, si impegna altresì ad attuare tutte le più idonee misure che garantiscano la sicurezza dei Dati e, al contempo, mitighino le potenziali conseguenze negative per gli Interessati. 3.7 Il Responsabile è tenuto all’adempimento degli obblighi di cui all'articolo 32, paragrafo 1 GDPR e successive modifiche e integrazioni. 3.8 Il Responsabile è tenuto a fornire al Titolare un Punto di Contatto cui rivolgersi per qualsiasi questione relativa alla protezione dei Dati che consegua o sia in qualche modo connesso al Contratto o alla presente Nomina. 3.9 In caso di specifica richiesta del Titolare, compatibilmente con le istruzioni da questo impartite, il Responsabile provvederà alla correzione ovvero alla cancellazione dei Dati oggetto del trattamento, salvo i casi in conformità alle relative istruzioni documentate, salvo espressamente richiesto dalle norme UE o di uno stato membro dell’UE a cui è soggetto il Responsabile. In tal caso, il Responsabile dovrà informare il Titolare di tale requisito richiesta non risulti incompatibile con obblighi di legge prima di procedere al trattamento, a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite dal Titolare o contrattuali. 3.10 Al termine del trattamento al Responsabile. Inoltredei Dati, ovvero alla cessazione del Contratto e su istruzione del Titolare, il Responsabile correggecancellerà definitivamente o restituirà al Titolare tutti i Dati, rettifica i supporti informatici ed eventuali altri materiali che contengano i predetti Dati o blocca informazioni rilevanti sugli stessi, ivi compresi i Dati personali trattati in formato cartaceo. Nel caso dovessero insorgere costi aggiuntivi nella consegna o nella cancellazione dei Dati, dovuti a divergenze tra le istruzioni impartite e fornisce l'accesso l’adempimento alle stesse, tali costi saranno a tali dati soltanto al personale qualificatocarico del Titolare. c. Tenendo 3.11 Nell’eventualità in considerazione la natura cui l'Interessato agisca nei confronti del trattamento Titolare per il risarcimento del danno ai sensi dell'articolo 82 GDPR e delle informazioni disponibili al Responsabilesuccessive modifiche e integrazioni, fornisce al Titolare del trattamento un'assistenza commercialmente ragionevole il Responsabile si impegna a sostenere, per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche e organizzative, come richiesto dalla Legge sulla protezione dei dati, al fine di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma di trattamento illecito adottando almeno le seguenti misure di sicurezza in modo adeguato: i. Pseudonimizzazione e crittografia; ii. Misure finalizzate a mantenere costantemente la riservatezza, l’integritàquanto possibile, la disponibilità e il recupero dei servizi e dei sistemi di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali in caso di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile difesa del trattamento documenta l’attuazione delle misure tecniche e organizzativeTitolare. e. Mettere a disposizione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o dati. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro

Obblighi del Responsabile del trattamento. Laddove Il Responsabile è tenuto, in forza di legge e di contratto, per sé, per i propri dipendenti e per chiunque collabori con la sua attività, al rispetto della riservatezza, integrità e qualità dei dati e ad utilizzarli esclusivamente per le finalità specificate e nell’ambito delle attività connesse all’esecuzione del contratto. In particolare il Responsabile del trattamento (operando come Responsabile) elabora i Dati personali per conto del Cliente (operando come Titolare dei dati), dovrà: a. Elaborare o avere elaborato tali Dati personali nel rispetto delle Leggi vigenti sulla 1. Ottemperare agli obblighi previsti dal Codice in materia di protezione dei dati come Responsabile personali e del Regolamento UE 2016/679; 2. Eseguire il trattamento dei dati solo per le finalità connesse allo svolgimento delle attività contrattuali, con divieto di qualsiasi altra diversa utilizzazione. 3. Garantire la riservatezza dei dati a carattere personale trattati nell’ambito del contratto. 4. Controllare che le persone autorizzate a trattare i dati personali (incaricati) si impegnino a rispettare la riservatezza o siano sottoposti ad un obbligo legale appropriato di segretezza e ricevano la formazione necessaria in materia di protezione dei dati. b. Elaborare - e indirizzare qualsiasi persona che agisca sotto la sua autorità a elaborare - i Dati Personali per 5. Tenere conto di ogni aspetto del Titolare del trattamento, GDPR fin dalla fase di prima progettazione in conformità alle relative istruzioni documentate, salvo espressamente richiesto dalle norme UE o di uno stato membro dell’UE a cui è soggetto il Responsabile. In tal caso, il Responsabile dovrà informare il Titolare di tale requisito di legge prima di procedere al trattamento, a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite dal Titolare del trattamento al Responsabile. Inoltre, su istruzione del Titolare, il Responsabile corregge, rettifica o blocca i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la natura del trattamento e delle informazioni disponibili al Responsabile, fornisce al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche e organizzative, come richiesto dalla Legge sulla protezione dei dati, al fine di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma ogni progetto di trattamento illecito adottando almeno le seguenti misure di sicurezza in modo adeguato: i. Pseudonimizzazione e crittografia; ii. Misure finalizzate a mantenere costantemente la riservatezza, l’integrità, la disponibilità e il recupero dei servizi e dei sistemi di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali in caso di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati che gli venga richiesto dal Titolare. Il Responsabile del trattamento fornirà informazioni può ricorrere ad un altro Responsabile del trattamento, per gestire attività di trattamento specifiche. In questo caso, informa in precedenza e per iscritto il Titolare del trattamento di ogni cambiamento ravvisato riguardante l’aggiunta o la sostituzione di altri Responsabili. • garantire che ciascun eventuale Subappaltatore presti garanzie adeguate ai sensi fini della presente sezione solo nella misura in cui tali informazioni riguardino Normativa Privacy con riferimento alle misure tecniche e organizzative adottate per il Trattamento dei Dati Personali, assicurandosi che il Subappaltatore cessi immediatamente il Trattamento dei Dati Personali qualora dette garanzie non siano più prestate; • garantire che ciascun eventuale Subappaltatore sia soggetto ad adeguati obblighi di riservatezza e Il Titolare potrà rifiutare l’autorizzazione al Trattamento dei Dati Personali da parte del di un Subappaltatore dell’eventuale Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi od opporsi all’esecuzione di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità attività di Trattamento dei suoi sistemi o datiDati Personali da parte di un Subappaltatore, anche successivamente all’attribuzione dell’incarico al Subappaltatore, a propria discrezione. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro

Obblighi del Responsabile del trattamento. Laddove 3.1. Il Responsabile del Trattamento, per quanto di competenza, è tenuto, in forza di legge e di contratto, per sé e per gli Incaricati e per qualunque soggetto collabori con la sua attività, al rispetto delle Leggi applicabili in materia di protezione dei Dati Personali. 3.2. Fatti salvi gli obblighi stabiliti da altre disposizioni del presente Accordo TDP, il Responsabile del trattamento (operando come ResponsabileTrattamento è obbligato a: a) elabora trattare i Dati personali Personali solo per conto quanto strettamente necessario all’erogazione del Cliente (operando come Servizio e solo limitatamente alla conduzione tecnico funzionale dei sistemi/servizi oggetto del Contratto; b) rispettare le istruzioni impartite dal Titolare dei dati)per iscritto con il presente Accordo TDP e con eventuali accordi scritti successivi, dovrà: a. Elaborare o avere elaborato tali Dati personali nel rispetto avvertendo il Titolare qualora ritenga che le istruzioni impartite si pongano in violazione delle Leggi vigenti sulla applicabili in materia di protezione dei Dati Personali; c) contestualmente alla designazione, fornire adeguate istruzioni scritte agli Incaricati circa le modalità del Trattamento dei Dati Personali in ottemperanza a quanto disposto dalle Leggi applicabili in materia di protezione dei Dati Personale e dal presente Accordo TDP. A titolo esemplificativo e non esaustivo, il Responsabile del Trattamento, nel designare per iscritto gli Incaricati, dovrà prescrivere che essi abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria per adempiere ai compiti loro assegnati. Inoltre, ove occorrer possa, per i Trattamenti effettuati per fornire il Servizio dagli Incaricati con mansioni di “Amministratore di Sistema”, il Responsabile del Trattamento è tenuto altresì al rispetto del provvedimento del Garante per la protezione dei dati come personali del 27 novembre 2008 (modificato in base al provvedimento del 25 giugno 2009) e delle Leggi applicabili in materia di protezione dei Dati Personali pro tempore applicabili relative alla disciplina sugli amministratori di sistema. La versione aggiornata dell’elenco contenente gli estremi identificativi (nome, cognome, funzione o area organizzativa di appartenenza) degli Amministratori di Sistema dovrà essere consegnato senza indugio a semplice richiesta anche solo verbale di WBS, a quest’ultimo e/o alle competenti Autorità e ad eventuali ulteriori terzi aventi diritto; d) vincolare gli Incaricati alla riservatezza, anche per il periodo successivo all’estinzione del rapporto di collaborazione intrattenuto, in relazione alle operazioni di Trattamento da essi eseguite; e) verificare che gli Incaricati di cui al punto precedente applichino tutte le disposizioni in materia di sicurezza adottate ai sensi dell’art. 32 del Regolamento (per quanto di loro competenza) e in conformità ai principi generali di cui all’art. 5 del Regolamento. In particolare, il Responsabile dei dati.del Trattamento dovrà verificare che gli Incaricati applichino tutte le disposizioni in materia di sicurezza relativa alla custodia delle parole chiave (trattamenti elettronici) e che conservino in luogo sicuro i supporti non informatici contenenti eventuali atti o documenti con categorie particolari di dati (dati sensibili o giudiziari) o la loro riproduzione, adottando contenitori con serratura (trattamenti cartacei di dati sensibili); b. Elaborare - f) assicurare l’adozione, l’implementazione e indirizzare qualsiasi persona l’utilizzo delle misure tecniche ed organizzative di cui all’Appendice 2 del presente Accordo TDP, nonché di tutte le ulteriori misure tecniche ed organizzative che agisca sotto la sua autorità a elaborare - si dovessero rendere necessarie per proteggere i Dati Personali per conto (compresi i Dati Giudiziari e le Categorie Particolari di Dati Personali, qualora presenti) ai sensi degli artt. 25 e 32 del Titolare del trattamentoRegolamento, in conformità particolare contro: • distruzione, perdita, modifica, divulgazione non autorizzata o accesso, in modo accidentale o illegale, a Dati Personali trasmessi, conservati o comunque trattati. • Trattamento dei Dati Personali non consentito o non conforme alle relative istruzioni documentate, salvo espressamente richiesto dalle norme UE o finalità delle operazioni di uno stato membro dell’UE a cui è soggetto Trattamento; Al fine in particolare di prevenire il Responsabile. In tal casoTrattamento non consentito di Dati Personali, il Responsabile dovrà informare si impegna a comunicare tempestivamente al Titolare la necessità di revocare il Titolare di tale requisito di legge prima di procedere al trattamento, a meno profilo autorizzativo del proprio personale che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite dal Titolare del trattamento al Responsabile. Inoltre, su istruzione ha più accesso ai sistemi del Titolare, il Responsabile corregge, rettifica o blocca i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la natura del trattamento e delle informazioni disponibili g) applicare le misure di sicurezza di cui al Responsabile, fornisce al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche e organizzative, come richiesto dalla Legge sulla protezione dei dati, punto precedente al fine di proteggere i Dati personali contro distruzione accidentale garantire: • se del caso, la pseudonimizzazione o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma la cifratura dei dati personali; • la capacità di trattamento illecito adottando almeno le seguenti misure di sicurezza in modo adeguato: i. Pseudonimizzazione e crittografia; ii. Misure finalizzate a mantenere costantemente assicurare su base permanente la riservatezza, l’integritàl'integrità, la disponibilità e il recupero la resilienza dei sistemi e dei servizi e dei sistemi di elaborazione; iii. Misure finalizzate a trattamento; • la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai Dati l'accesso dei dati personali in caso di incidente fisico e o tecnico; iv. Un regolare processo h) adottare ed aggiornare, secondo criteri di diligenza professionale, protocolli di disaster recovery e business continuity, garantendo, in ogni caso, che i Dati Personali siano conservati con regolari operazioni di backup cifrati; i) implementare una procedura per testare, accertare verificare e valutare l’efficacia regolarmente l'efficacia delle misure tecniche e organizzative per al fine di garantire la sicurezza. Nell'Appendice 1 sicurezza del Trattamento, trasmettendo tempestivamente al Titolare la documentazione tecnica relativa sia alle misure di sicurezza in atto sia alle modifiche in seguito adottate; a tal fine, il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative.Trattamento informerà immediatamente il Titolare qualora, a suo parere, un'istruzione violi le Leggi applicabili in materia di protezione dei Dati Personali; e. Mettere j) mettere a disposizione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a per dimostrare la sua conformità agli il rispetto degli obblighi imposti al Responsabile di cui all’art. 28 del trattamento dalla Legge sulla protezione dei dati in vigoreRegolamento; inoltre, acconsentire consentirà e contribuire agli auditcontribuirà alle attività di revisione, ispezioni compresecomprese eventuali ispezioni, condotti realizzati dal Titolare o da altri auditor nominati dal Titolareun altro soggetto da questi incaricato. Il A tale scopo il Responsabile del trattamento fornirà Trattamento riconosce al Titolare, e agli incaricati dal medesimo, il diritto di accedere ai locali di sua pertinenza ove hanno svolgimento le operazioni di Trattamento o dove sono custoditi dati o documentazione relativi al presente Accordo TDP. In ogni caso il Titolare si impegna a mantenere la riservatezza sulle informazioni raccolte durante le operazioni di verifica e pertanto a non comunicarle a soggetti terzi salvo sia necessario in adempimento di un obbligo previsto dalla legge o dal presente Accordo TDP; k) cooperare con il Titolare del Trattamento nel riscontro alle richieste degli interessati ai sensi della presente sezione solo nella misura dell’articolo 28, par. 3, lett. e), fornendo tempestivamente le informazioni eventualmente in cui tali informazioni riguardino il proprio possesso; l) comunicare tempestivamente, senza indebito ritardo, ogni contatto o comunicazione ricevuta da un’Autorità di Controllo in relazione al Trattamento dei Dati Personali da parte Personali. In difetto, la responsabilità del Responsabile per conto del Titolare del trattamento e tali informazioni siano mancato riscontro alle suddette richieste resterà esclusivamente in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o dati. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa capo al Responsabile del trattamento almeno quattroTrattamento; m) comunicare tempestivamente, senza indebito ritardo, ogni contatto, richiesta di informazioni o di accesso proveniente da qualunque soggetto, ente o Autorità salvo che sia imposto il segreto per legge entro 24 ore e comunque prima di dare acceso ai contenuti.

Obblighi del Responsabile del trattamento. Laddove il Var Hub S.r.l., in qualità di Responsabile del Trattamento ed in considerazione del presente contratto, provvede a: a) Conformarsi alle prescrizioni contenute nel presente contratto e a rispettare gli obblighi di legge previsti in materia di trattamento e sicurezza dei dati personali con riferimento alle attività di propria pertinenza. In particolare, i dati personali andranno trattati nel pieno rispetto dei principi generali previsti ai sensi dell’art. 5 del Regolamento UE: di conseguenza, i dati personali devono essere trattati in modo lecito, corretto e secondo trasparenza, provvedendo, se del caso, alla correzione ed aggiornamento dei dati medesimi. I dati personali sono trattati per scopi determinati, espliciti e legittimi in conformità a quanto stabilito da [RAGIONE SOCIALE CLIENTE], in qualità di Titolare del Trattamento. I dati personali devono essere pertinenti, completi e non eccedenti rispetto alle finalità individuate dal Titolare del Trattamento; la conservazione dei dati medesimi va limitata al periodo di tempo necessario al raggiungimento degli scopi per cui i dati personali sono stati raccolti e trattati. Il trattamento avviene, altresì, riducendo al minimo l'utilizzo dei dati personali in conformità al principio di minimizzazione dei dati personali di cui al Regolamento UE. In ogni caso, Var Hub S.r.l. si astiene dall’adottare autonome decisioni in merito alle finalità e alle modalità del trattamento; in caso di urgenza e necessità, Var Hub S.r.l. provvede a informare, senza ingiustificato ritardo, il Titolare del Trattamento affinché quest’ultimo assuma le opportune decisioni; b) Trattare i dati personali esclusivamente all’interno del territorio italiano; in particolare, Var Hub S.r.l. si astiene dal trasferire i dati personali al di fuori dell’Unione Europea (operando come ResponsabileUE) elabora i Dati personali per conto del Cliente o dello Spazio Economico Europeo (operando come Titolare dei datiSEE), dovrà:se non in presenza di apposita istruzione rilasciata dal Titolare del Trattamento; a. Elaborare c) Nominare, per iscritto, il proprio personale aziendale autorizzato a provvedere al trattamento dei dati personali, nonché ad istruire il personale medesimo con riferimento alle attività di trattamento connesse all’esecuzione dell’accordo di servizio. In particolare, Var Hub S.r.l. s’impegna a fornire al personale autorizzato al trattamento tutte le istruzioni volte a preservare i dati personali oggetto di trattamento dai rischi di distruzione, perdita, modifica, divulgazione non autorizzata, accesso accidentale o avere elaborato tali Dati illegale. Inoltre, Var Hub S.r.l. limita l’accesso ai dati personali nel rispetto delle Leggi vigenti sulla al solo personale aziendale che sia stato vincolato alla riservatezza, garantendo, peraltro, la conoscenza, da parte dei soggetti autorizzati al trattamento, della normativa in materia di protezione dei dati come Responsabile personali. Con riferimento al proprio personale aziendale autorizzato al trattamento, Var Hub S.r.l. provvede a verificare, periodicamente, la conformità delle operazioni svolte alle istruzioni ricevute e alla normativa in materia di protezione dei dati. b. Elaborare - e indirizzare qualsiasi persona che agisca sotto la sua autorità a elaborare - i Dati Personali per conto dati personali. Su richiesta del Titolare del trattamentoTrattamento, Var Hub S.r.l. esibisce il documento contenente la lista aggiornata dei soggetti autorizzati al trattamento dei dati personali; d) Identificare e designare per iscritto, in conformità a quanto statuito dal Provvedimento del Garante per la Protezione dei Dati Personali del 27 novembre 2008, così come modificato in base al provvedimento del 25 giugno 2009, gli amministratori di sistema, previa valutazione in ordine alle relative istruzioni documentatecaratteristiche di capacità, salvo espressamente richiesto dalle norme UE affidabilità ed esperienza dei soggetti designati. Var Hub S.r.l. provvede, almeno annualmente, a verificare le attività svolte dagli amministratori di sistema al fine di valutarne la rispondenza rispetto alle misure organizzative, tecniche e di sicurezza predisposte a garanzia dei trattamenti dei dati personali. Inoltre, Var Hub S.r.l. provvede a conservare il documento recante gli estremi identificativi delle persone fisiche preposte alla funzione di amministratori di sistema, per qualsiasi evenienza e ad aggiornarlo ad ogni modifica. E’ garantita, altresì, la tracciabilità e la registrazione dell’attività di accesso da parte degli amministratori di sistema; le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità. Le registrazioni, inoltre, devono comprendere i riferimenti allo “username” utilizzato, i riferimenti temporali e la descrizione dell'evento (log in e log out) che le ha generate e devono essere conservate per un periodo congruo, non inferiore a sei mesi; e) Accedere alle banche dati elettroniche del Titolare del Trattamento solo ed esclusivamente ai fini dell’esecuzione delle attività oggetto dell’accordo di servizio ed astenersi dalla creazione di banche dati ulteriori in assenza di espressa autorizzazione del Titolare del Trattamento. In assenza di espressa autorizzazione, la creazione di nuove banche dati da parte di Var Hub S.r.l. è consentita solo laddove ciò sia strettamente indispensabile allo scopo di adempiere agli obblighi contrattuali e fermo restando il rispetto dell’obbligo di comunicazione preventiva dell’attività medesima nei confronti del Titolare del Trattamento; f) Controllare che i dati personali siano custoditi e trattati in modo da ridurre al minimo il rischio di distruzione e perdita, anche accidentale, degli stessi, nonché di accesso non autorizzato e trattamento non consentito o non conforme alle finalità per cui i dati personali sono raccolti e trattati. Pertanto, Var Hub S.r.l., nel rispetto di uno quanto statuito ai sensi dell’art. 32 del Regolamento UE, adotta le misure di sicurezza ritenute necessarie ed adeguate allo scopo di proteggere i dati personali oggetto di trattamento e parametrate in considerazione dell’oggetto dell’accordo di servizio. Ai fini dell’adozione delle misure di sicurezze, Var Hub S.r.l. prenderà in considerazione lo stato membro dell’UE a cui è soggetto il Responsabiledell'arte, i costi di attuazione, la natura, la portata e le finalità del trattamento nonché la probabilità di accadimento e la gravità del rischio per i diritti e le libertà delle persone fisiche. Resta inteso che le misure di sicurezza sono soggette al progresso tecnico e all'ulteriore sviluppo. In tal casosenso, il Responsabile dovrà informare il Titolare Var Hub S.r.l. potrà provvedere all’implementazione delle misure di tale requisito sicurezza applicate. In ogni caso Var Hub S.r.l. assicura la predisposizione di legge prima un livello di procedere al trattamento, misure di sicurezza almeno equipollente a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite quello messo in atto dal Titolare del trattamento Trattamento; g) Comunicare al ResponsabileTitolare del Trattamento la verificazione dell’eventuale data breach; la comunicazione medesima è effettuata senza ingiustificato ritardo dal momento dell’avvenuta conoscenza della violazione dei dati personali. InoltreIn particolare, su istruzione Var Hub S.r.l. s’impegna, ove possibile, a comunicare al Titolare del TitolareTrattamento le seguenti informazioni: • la natura della violazione dei dati personali, le categorie e il numero approssimativo dei soggetti interessati coinvolti, nonché le categorie e il numero approssimativo di registrazione dei dati in questione, • il nome e i dati di contatto del Responsabile correggedella protezione dei dati personali, rettifica • le probabili conseguenze della violazione dei dati personali, • le misure adottate o blocca di cui si propone l’adozione al fine di porre rimedio alla violazione dei dati personali o al fine di attenuarne i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la possibili effetti negativi. Var Hub S.r.l. assiste il Titolare del Trattamento, tenendo conto della natura del trattamento medesimo e delle informazioni disponibili al Responsabilein suo possesso, fornisce nell’adempimento degli obblighi previsti dal Regolamento UE in materia di sicurezza del trattamento, data breach, valutazione d’impatto e consultazione preventiva all’Autorità Garante per la protezione dei dati personali; h) Collaborare con il Titolare del Trattamento ai fini dell’esercizio, da parte dei soggetti interessati, dei diritti di cui agli artt. 15 e ss. del Regolamento UE. In particolare, Var Hub S.r.l. si impegna a dare tempestiva comunicazione, per iscritto, al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione Trattamento delle richieste avanzate dai soggetti interessati e ad essa pervenute, nonché ad evadere le richieste dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche soggetti interessati senza ingiustificato ritardo e organizzative, come richiesto dalla Legge sulla protezione dei daticomunque, al fine più tardi, entro un mese dal ricevimento delle relative richieste; i) Comunicare tempestivamente a [RAGIONE SOCIALE CLIENTE] tutte le informazioni da questa richieste in relazione al trattamento dei dati personali, nonché ad informare spontaneamente il Titolare del Trattamento in ordine a qualsiasi situazione di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma particolare rilievo in materia di trattamento illecito adottando almeno le seguenti misure dei dati personali e di sicurezza sicurezza. In particolare, se del caso, Var Hub S.r.l. provvede a comunicare al Titolare del Trattamento che una sua istruzione si pone in modo adeguato: i. Pseudonimizzazione e crittografiaviolazione delle previsioni in materia di trattamento dei dati personali; in tal caso, peraltro, Var Hub S.r.l. si asterrà dal porre in essere operazioni di trattamento che siano in violazione della relativa normativa; iij) Var Hub S.r.l. Misure finalizzate a mantenere costantemente la riservatezza, l’integrità, la disponibilità si astiene dal creare copie o duplicati dei dati personali e il recupero dei servizi e dei sistemi dall’asportare supporti informatici contenenti i dati personali oggetto di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali trattamento in caso assenza di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione specifica indicazione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o datiTrattamento. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro

Obblighi del Responsabile del trattamento. Laddove il Var Hub S.r.l., in qualità di Responsabile del Trattamento ed in considerazione del presente contratto, provvede a: a) conformarsi alle prescrizioni contenute nel presente contratto e a rispettare gli obblighi di legge previsti in materia di trattamento e sicurezza dei dati personali con riferimento alle attività di propria pertinenza. In particolare, i dati personali andranno trattati nel pieno rispetto dei principi generali previsti ai sensi dell’art. 5 del Regolamento UE: di conseguenza, i dati personali devono essere trattati in modo lecito, corretto e secondo trasparenza, provvedendo, se del caso, alla correzione ed aggiornamento dei dati medesimi. I dati personali sono trattati per scopi determinati, espliciti e legittimi in conformità a quanto stabilito da [RAGIONE SOCIALE CLIENTE], in qualità di Titolare del Trattamento. I dati personali devono essere pertinenti, completi e non eccedenti rispetto alle finalità individuate dal Titolare del Trattamento; la conservazione dei dati medesimi va limitata al periodo di tempo necessario al raggiungimento degli scopi per cui i dati personali sono stati raccolti e trattati. Il trattamento avviene, altresì, riducendo al minimo l'utilizzo dei dati personali in conformità al principio di minimizzazione dei dati personali di cui al Regolamento UE. In ogni caso, Var Hub S.r.l. si astiene dall’adottare autonome decisioni in merito alle finalità e alle modalità del trattamento; in caso di urgenza e necessità, Var Hub S.r.l. provvede a informare, senza ingiustificato ritardo, il Titolare del Trattamento affinché quest’ultimo assuma le opportune decisioni; b) trattare i dati personali esclusivamente all’interno del territorio italiano; in particolare, Var Hub S.r.l. si astiene dal trasferire i dati personali al di fuori dell’Unione Europea (operando come ResponsabileUE) elabora i Dati personali per conto del Cliente o dello Spazio Economico Europeo (operando come Titolare dei datiSEE), dovrà:se non in presenza di apposita istruzione rilasciata dal Titolare del Trattamento; a. Elaborare c) nominare, per iscritto, il proprio personale aziendale autorizzato a provvedere al trattamento dei dati personali, nonché ad istruire il personale medesimo con riferimento alle attività di trattamento connesse all’esecuzione dell’accordo di servizio. In particolare, Var Hub S.r.l. s’impegna a fornire al personale autorizzato al trattamento tutte le istruzioni volte a preservare i dati personali oggetto di trattamento dai rischi di distruzione, perdita, modifica, divulgazione non autorizzata, accesso accidentale o avere elaborato tali Dati illegale. Inoltre, Var Hub S.r.l. limita l’accesso ai dati personali nel rispetto delle Leggi vigenti sulla al solo personale aziendale che sia stato vincolato alla riservatezza, garantendo, peraltro, la conoscenza, da parte dei soggetti autorizzati al trattamento, della normativa in materia di protezione dei dati come Responsabile personali. Con riferimento al proprio personale aziendale autorizzato al trattamento, Var Hub S.r.l. provvede a verificare, periodicamente, la conformità delle operazioni svolte alle istruzioni ricevute e alla normativa in materia di protezione dei dati. b. Elaborare - e indirizzare qualsiasi persona che agisca sotto la sua autorità a elaborare - i Dati Personali per conto dati personali. Su richiesta del Titolare del trattamentoTrattamento, Var Hub S.r.l. esibisce il documento contenente la lista aggiornata dei soggetti autorizzati al trattamento dei dati personali; d) identificare e designare per iscritto, in conformità a quanto statuito dal Provvedimento del Garante per la Protezione dei Dati Personali del 27 novembre 2008, così come modificato in base al provvedimento del 25 giugno 2009, gli amministratori di sistema, previa valutazione in ordine alle relative istruzioni documentatecaratteristiche di capacità, salvo espressamente richiesto dalle norme UE affidabilità ed esperienza dei soggetti designati. Var Hub S.r.l. provvede, almeno annualmente, a verificare le attività svolte dagli amministratori di sistema al fine di valutarne la rispondenza rispetto alle misure organizzative, tecniche e di sicurezza predisposte a garanzia dei trattamenti dei dati personali. Inoltre, Var Hub S.r.l. provvede a conservare il documento recante gli estremi identificativi delle persone fisiche preposte alla funzione di amministratori di sistema, per qualsiasi evenienza e ad aggiornarlo ad ogni modifica. È garantita, altresì, la tracciabilità e la registrazione dell’attività di accesso da parte degli amministratori di sistema; le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità. Le registrazioni, inoltre, devono comprendere i riferimenti allo “username” utilizzato, i riferimenti temporali e la descrizione dell'evento (log in e log out) che le ha generate e devono essere conservate per un periodo congruo, non inferiore a sei mesi; e) accedere alle banche dati elettroniche del Titolare del Trattamento solo ed esclusivamente ai fini dell’esecuzione delle attività oggetto dell’accordo di servizio ed astenersi dalla creazione di banche dati ulteriori in assenza di espressa autorizzazione del Titolare del Trattamento. In assenza di espressa autorizzazione, la creazione di nuove banche dati da parte di Var Hub S.r.l. è consentita solo laddove ciò sia strettamente indispensabile allo scopo di adempiere agli obblighi contrattuali e fermo restando il rispetto dell’obbligo di comunicazione preventiva dell’attività medesima nei confronti del Titolare del Trattamento; f) controllare che i dati personali siano custoditi e trattati in modo da ridurre al minimo il rischio di distruzione e perdita, anche accidentale, degli stessi, nonché di accesso non autorizzato e trattamento non consentito o non conforme alle finalità per cui i dati personali sono raccolti e trattati. Pertanto, Var Hub S.r.l., nel rispetto di uno quanto statuito ai sensi dell’art. 32 del Regolamento UE, adotta le misure di sicurezza ritenute necessarie ed adeguate allo scopo di proteggere i dati personali oggetto di trattamento e parametrate in considerazione dell’oggetto dell’accordo di servizio. Ai fini dell’adozione delle misure di sicurezze, Var Hub S.r.l. prenderà in considerazione lo stato membro dell’UE a cui è soggetto il Responsabiledell'arte, i costi di attuazione, la natura, la portata e le finalità del trattamento nonché la probabilità di accadimento e la gravità del rischio per i diritti e le libertà delle persone fisiche. Resta inteso che le misure di sicurezza sono soggette al progresso tecnico e all'ulteriore sviluppo. In tal casosenso, il Responsabile dovrà informare il Titolare Var Hub S.r.l. potrà provvedere all’implementazione delle misure di tale requisito sicurezza applicate. In ogni caso Var Hub S.r.l. assicura la predisposizione di legge prima un livello di procedere al trattamento, misure di sicurezza almeno equipollente a meno che la legge non vieti tali informazioni sulla base di importanti motivi di pubblico interesse. I presenti Termini costituiscono istruzioni documentate fornite quello messo in atto dal Titolare del trattamento Trattamento; g) comunicare al ResponsabileTitolare del Trattamento la verificazione dell’eventuale data breach; la comunicazione medesima è effettuata senza ingiustificato ritardo dal momento dell’avvenuta conoscenza della violazione dei dati personali. InoltreIn particolare, su istruzione Var Hub S.r.l. s’impegna, ove possibile, a comunicare al Titolare del TitolareTrattamento le seguenti informazioni: • la natura della violazione dei dati personali, le categorie e il numero approssimativo dei soggetti interessati coinvolti, nonché le categorie e il numero approssimativo di registrazione dei dati in questione, • il nome e i dati di contatto del Responsabile correggedella protezione dei dati personali, rettifica • le probabili conseguenze della violazione dei dati personali, • le misure adottate o blocca di cui si propone l’adozione al fine di porre rimedio alla violazione dei dati personali o al fine di attenuarne i Dati personali e fornisce l'accesso a tali dati soltanto al personale qualificato. c. Tenendo in considerazione la possibili effetti negativi. Var Hub S.r.l. assiste il Titolare del Trattamento, tenendo conto della natura del trattamento medesimo e delle informazioni disponibili al Responsabilein suo possesso, fornisce nell’adempimento degli obblighi previsti dal Regolamento UE in materia di sicurezza del trattamento, data breach, valutazione d’impatto e consultazione preventiva all’Autorità Garante per la protezione dei dati personali; h) collaborare con il Titolare del Trattamento ai fini dell’esercizio, da parte dei soggetti interessati, dei diritti di cui agli artt. 15 e ss. del Regolamento UE. In particolare, Var Hub S.r.l. si impegna a dare tempestiva comunicazione, per iscritto, al Titolare del trattamento un'assistenza commercialmente ragionevole per aiutarlo a garantire la conformità agli obblighi legali previsti dalla Legge sulla protezione Trattamento delle richieste avanzate dai soggetti interessati e ad essa pervenute, nonché ad evadere le richieste dei dati, includendo una valutazione d’impatto sulla protezione dei Dati personali. d. Implementare appropriate misure tecniche soggetti interessati senza ingiustificato ritardo e organizzative, come richiesto dalla Legge sulla protezione dei daticomunque, al fine più tardi, entro un mese dal ricevimento delle relative richieste; i) comunicare tempestivamente a [RAGIONE SOCIALE CLIENTE] tutte le informazioni da questa richieste in relazione al trattamento dei dati personali, nonché ad informare spontaneamente il Titolare del Trattamento in ordine a qualsiasi situazione di proteggere i Dati personali contro distruzione accidentale o dolosa, perdita, alterazione, divulgazione, accesso, trasmissione, uso improprio non autorizzati e contro qualsiasi altra forma particolare rilievo in materia di trattamento illecito adottando almeno le seguenti misure dei dati personali e di sicurezza sicurezza. In particolare, se del caso, Var Hub S.r.l. provvede a comunicare al Titolare del Trattamento che una sua istruzione si pone in modo adeguato: i. Pseudonimizzazione e crittografiaviolazione delle previsioni in materia di trattamento dei dati personali; in tal caso, peraltro, Var Hub S.r.l. si asterrà dal porre in essere operazioni di trattamento che siano in violazione della relativa normativa; iij) Var Hub S.r.l. Misure finalizzate a mantenere costantemente la riservatezza, l’integrità, la disponibilità si astiene dal creare copie o duplicati dei dati personali e il recupero dei servizi e dei sistemi dall’asportare supporti informatici contenenti i dati personali oggetto di elaborazione; iii. Misure finalizzate a ripristinare tempestivamente la disponibilità e l’accesso ai Dati personali trattamento in caso assenza di incidente fisico e tecnico; iv. Un regolare processo per testare, accertare e valutare l’efficacia delle misure tecniche e organizzative per garantire la sicurezza. Nell'Appendice 1 il Responsabile del trattamento documenta l’attuazione delle misure tecniche e organizzative. e. Mettere a disposizione specifica indicazione del Titolare del trattamento tutte le informazioni ragionevoli necessarie a dimostrare la sua conformità agli obblighi imposti al Responsabile del trattamento dalla Legge sulla protezione dei dati in vigore, acconsentire e contribuire agli audit, ispezioni comprese, condotti dal Titolare o da altri auditor nominati dal Titolare. Il Responsabile del trattamento fornirà informazioni ai sensi della presente sezione solo nella misura in cui tali informazioni riguardino il Trattamento dei Dati Personali da parte del Responsabile per conto del Titolare del trattamento e tali informazioni siano in possesso del Responsabile e non violino la legge vigente o gli obblighi di riservatezza o le protezioni legali del Responsabile o compromettano in altro modo la sicurezza o l'integrità dei suoi sistemi o datiTrattamento. f. Il diritto di audit del Titolare del trattamento è soggetto a una notifica trasmessa al Responsabile del trattamento almeno quattro