CONDIZIONI GENERALI CLOUD
CONDIZIONI GENERALI CLOUD
Definizioni
Nelle presenti condizioni generali di contratto (le “Condizioni Generali”), i termini e le espressioni di seguito elencati, quando riportati con iniziale maiuscola, devono intendersi con il significato ad essi attribuito nel presente paragrafo.
I termini indicati al singolare si intendono anche al plurale e viceversa.
Aggiornamenti e Sviluppi: significa tutti gli aggiornamenti, supplementi, adattamenti, sviluppi, migliorie e modifiche in genere apportate da TeamSystem e/o dai terzi titolari ai Software. Gli Aggiornamenti e Sviluppi non comprendono quelli resi necessari dalla modifica, integrazione, abrogazione o emissione di leggi, decreti, regolamenti, direttive, ordini o decisioni, italiani, comunitari o stranieri che, a insindacabile giudizio di TeamSystem, abbiano un impatto significativo sull’operatività e/o sui costi di TeamSystem e/o sulla struttura dei Software o apportino modifiche sostanziali o strutturali alla normativa in vigore alla data del Contratto.
Assistenza: significa il servizio di supporto tecnico volto a suggerire al Cliente, su richiesta di quest’ultimo e laddove possibile, soluzioni tecniche per assicurare la corretta fruizione dei Servizi Cloud.
Cliente: significa la società indicata nell’Ordine.
Codice di Condotta Anti-Corruzione: significa il codice di condotta anti-corruzione adottato da TeamSystem e consultabile al sito xxxxxxxxxx.xxx.
Codice Etico: significa il codice etico adottato da TeamSystem e consultabile al sito xxxxxxxxxx.xxx.
Comunicazione di Ritiro: ha il significato di cui al paragrafo 12.1(b).
Condizioni Integrative: significa le autonome condizioni contrattuali disciplinanti la fornitura, da parte di TeamSystem, di determinati specifici Servizi Cloud le quali prevarranno sulle Condizioni Generali.
Connettività: significa la connessione al Data Center effettuata dal Cliente mediante collegamento a una rete di telecomunicazioni o a internet.
Contratto: significa le presenti Condizioni Generali, i relativi allegati, le Condizioni Integrative, l’Ordine, la documentazione tecnica eventualmente consegnata al Cliente, gli eventuali moduli di sottoscrizione e le eventuali istruzioni online per l’utilizzo dei Software.
Controllate: significa le società direttamente o indirettamente controllate dal Cliente ai sensi dell’art. 2359, primo comma, numeri 1 e 2, c.c. eventualmente elencate nell’Ordine.
Corrispettivi: significa le somme, indicate nell’Ordine, che il Cliente corrisponderà a TeamSystem o, se diversamente indicato nell’Ordine, al Distributore TS, in ragione della fornitura dei Servizi Cloud.
Credenziali di Accesso: significa il sistema di autenticazione attraverso il quale è possibile accedere e utilizzare il Software per fruire dei Servizi Cloud, inclusi i codici di identificazione e le chiavi di accesso forniti da TeamSystem al Cliente ed associati a ciascun Utente e gli eventuali token.
Data Center: significa i centri servizi che ospitano i server interconnessi, di proprietà di TeamSystem o di terzi, sui quali risiede l’Infrastruttura Cloud.
Distributore TS: significa il soggetto che, in virtù di un valido contratto sottoscritto con TeamSystem, ha il diritto di commercializzare i Servizi Cloud.
GDPR: indica il Regolamento generale europeo sulla protezione dei dati del 27 aprile 2016 n. 679.
Gruppo TeamSystem: indica TeamSystem S.p.A. (con C.F. e P. IVA n. 01035310414) e tutte le società direttamente o indirettamente controllate da, o collegate a, TeamSystem ai sensi dell’art. 2359 c.c.
Legislazione in materia di Protezione dei Dati Personali: indica il GDPR, e ogni eventuale ulteriore norma e/o regolamento di attuazione emanati ai sensi del GDPR o comunque vigenti in Italia, nonché ogni provvedimento vincolante che risulti emanato dalle autorità di controllo competenti in materia (es. Garante per la protezione dei dati personali) e conservi efficacia vincolante (ivi inclusi i requisiti delle Autorizzazioni generali al trattamento dei dati sensibili e giudiziari, se applicabili e ove mantengano la propria efficacia vincolante successivamente al 25 maggio 2018).
Infrastruttura Cloud: significa il sistema cloud di titolarità di TeamSystem o di terzi che ospita i Software.
Licenza: ha il significato di cui al paragrafo 10.2.
MDPA: indica l'Accordo Principale per il Trattamento dei Dati Personali e il documento DPA – Condizioni Speciali applicabile, allegati al presente Contratto.
Modello Organizzativo: significa il modello di organizzazione, gestione e controllo adottato da TeamSystem ai sensi del d.lgs. 231/2001 e consultabile al sito xxxxxxxxxx.xxx.
Nuovo Prodotto: ha il significato di cui al paragrafo 12.1(b).
Ordine: significa il modulo o coupon, in formato elettronico o cartaceo, compilato e accettato (anche on-line) dal Cliente e contenente alcuni termini e le condizioni specificamente applicabili ai Servizi Cloud indicati nell’Ordine medesimo. Resta inteso che in caso di discordanza tra i termini e le condizioni indicate nell’Ordine e le disposizioni delle Condizioni Generali e/o delle Condizioni Integrative, prevarranno le disposizioni dell’Ordine.
Parti: significa, congiuntamente, TeamSystem e il Cliente.
Partner: significa il/i soggetto/i individuato/i da TeamSystem (anche, eventualmente, tra i Distributori TS) e che
collabora/no con quest’ultima allo scopo di fornire al Cliente i Servizi Cloud e/o l’Assistenza.
PEC: significa posta elettronica certificata.
Prodotto Obsoleto: ha il significato di cui al paragrafo 12.1(a).
Proprietà Intellettuale: significa ogni diritto di proprietà intellettuale e/o industriale, registrato o non registrato, in tutto o in parte, ovunque nel mondo, quali - a titolo esemplificativo e non esaustivo - marchi, brevetti, modelli di utilità, disegni e modelli, nomi a dominio, know-how, opere coperte dal diritto d’autore, database e software (ivi inclusi, ma non limitatamente a, le sue derivazioni, il codice sorgente, il codice oggetto e le interfacce).
Saas: significa software-as-a-service.
Servizi Cloud: significa i servizi forniti da TeamSystem al Cliente attraverso l’accesso e l’utilizzo, da parte di quest’ultimo, dei Software.
Software: significa i prodotti software di titolarità di TeamSystem o di una delle società parte del Gruppo TeamSystem o di terzi, specificamente individuati nelle Condizioni Integrative e ospitati sull’Infrastruttura Cloud, eventualmente aggiornati e/o modificati a seguito degli Aggiornamenti e Sviluppi.
Sub-Licenza: ha il significato di cui al paragrafo 10.3.
TeamSystem: significa la società TeamSystem S.p.A. (C.F. e P. IVA n. 01035310414), con sede in xxx Xxxxxx Xxxxxxx 00, 00000 – Xxxxxx (XX), ovvero la diversa società del Gruppo TeamSystem indicata nell’Ordine.
Utente: significa ciascun dipendente e/o collaboratore del Cliente, da quest’ultimo autorizzato ad utilizzare le Credenziali di Accesso per accedere e utilizzare i Software al fine di fruire dei Servizi Cloud.
1. Ambito di applicazione delle Condizioni Generali
1.1. Le presenti Condizioni Generali si applicano all’utilizzo, da parte del Cliente, dei Software e alla fornitura, da parte di TeamSystem, dei Servizi Cloud specificamente indicati nell’Ordine, attraverso l’accesso e l’utilizzo, da parte del Cliente, di ciascuno dei Software indicati nell’Ordine. Le presenti Condizioni Generali si applicano, inoltre, a tutti gli Aggiornamenti e Sviluppi, salvo essi siano regolati da separate e autonome Condizioni Integrative.
2. Servizi Cloud
2.1. Con il Contratto, a fronte del puntuale pagamento dei Corrispettivi, TeamSystem fornirà al Cliente, che accetta, i Servizi Cloud indicati nell’Ordine. Il Cliente potrà fruire dei Servizi Cloud esclusivamente attraverso l’accesso e l’utilizzo in modalità Saas dei relativi Software.
2.2. Fermo restando quanto previsto al paragrafo 10.3, a fronte della corresponsione degli eventuali Corrispettivi aggiuntivi specificamente indicati nell’Ordine ovvero determinati in base a separati accordi scritti, TeamSystem si impegna a fornire i Servizi Cloud indicati nell’Ordine anche in favore delle Controllate. Ciascuna Controllata potrà fruire dei Servizi Cloud esclusivamente attraverso l’accesso e l’utilizzo in modalità Saas dei relativi Software.
3.1. Con il Contratto, il Cliente si impegna a:
(a) corrispondere a TeamSystem o, se diversamente indicato nell’Ordine, al Distributore TS i Corrispettivi dovuti ai sensi dell’articolo 7;
(b) dotarsi autonomamente di materiale hardware e software, nonché di una Connettività adeguata al fine di poter accedere al Data Center e utilizzare i Software per fruire dei Servizi Cloud;
(c) adeguare autonomamente le caratteristiche dei propri sistemi informatici e della Connettività alle modifiche, alle sostituzioni e ai correttivi eventualmente apportati ai Software e ai Servizi Cloud successivamente alla conclusione del Contratto;
(d) usare i Software e/o i Servizi Cloud in maniera conforme alla Licenza ed esclusivamente per gli scopi cui essi sono destinati;
(e) fornire a TeamSystem tutte le informazioni necessarie per consentire a TeamSystem un corretto e completo adempimento delle obbligazioni assunte ai sensi del presente Contratto, nonché a comunicare immediatamente le eventuali relative variazioni, ivi inclusa qualsiasi variazione relativa agli Utenti e/o alle Controllate;
(f) fare prendere visione a ciascun Utente delle presenti Condizioni Generali;
(g) fare prendere visione e accettare a ciascuna Controllata le presenti Condizioni Generali.
4.1. Il Cliente e/o ciascun Utente e/o ciascuna Controllata potranno utilizzare il Software e fruire dei Servizi Cloud attivati mediante le Credenziali di Accesso che verranno fornite da TeamSystem.
4.2. Il Cliente è consapevole del fatto che la conoscenza delle Credenziali di Accesso da parte di soggetti terzi consentirebbe a questi ultimi l’utilizzo non autorizzato del Software, la fruizione non autorizzata dei Servizi Cloud e l’accesso alle eventuali informazioni ivi memorizzate. Il Cliente sarà in ogni caso ritenuto esclusivo responsabile per ogni utilizzo, autorizzato o meno, del Software mediante le Credenziali di Accesso.
xxxxx non espressamente autorizzati.
4.4. TeamSystem e/o gli eventuali Partner non potranno in alcun caso essere ritenuti responsabili di qualsiasi danno, diretto e/o indiretto, che dovesse derivare al Cliente, a ciascun Utente e/o a terzi in conseguenza della mancata osservanza da parte del Cliente e/o di ciascun Utente delle previsioni di cui al presente articolo 4.
5. Assistenza
5.1. A fronte del puntuale pagamento dei Corrispettivi, TeamSystem si impegna a mettere a disposizione del Cliente un servizio di Assistenza, in conformità alle tempistiche e alle modalità pubblicate sul sito internet di TeamSystem.
5.2. Il Cliente prende atto ed accetta che il servizio di Assistenza verrà erogato esclusivamente da remoto, rimanendo espressamente escluso qualsiasi intervento diretto sui sistemi informatici del Cliente e/o delle Controllate.
6. Aggiornamenti e Sviluppi
6.1. Il Cliente prende atto e accetta che, laddove ritenuto opportuno a insindacabile giudizio di TeamSystem, gli Aggiornamenti e Sviluppi potranno: (i) determinare la modifica o l’eliminazione di alcune funzionalità dei Software; oppure (ii) consistere in sostituzioni o migrazioni (anche parziali) dei Software e dei relativi Servizi Cloud.
6.2. Il Cliente esonera TeamSystem da qualsivoglia responsabilità connessa ad eventuali danni derivanti da potenziali Aggiornamenti e Sviluppi, salvo tali danni derivino da dolo o colpa grave di TeamSystem.
6.3. Gli Aggiornamenti e Sviluppi non comprendono gli aggiornamenti, supplementi, adattamenti, sviluppi, migliorie e modifiche in genere resi necessari dalla modifica, integrazione, abrogazione o emissione di leggi, decreti, regolamenti, direttive, ordini o decisioni, italiani, comunitari o stranieri che, a insindacabile giudizio di TeamSystem, abbiano un impatto significativo sull’operatività e/o sui costi di TeamSystem e/o sulla struttura dei Software o apportino modifiche sostanziali o strutturali alla normativa in vigore alla data del Contratto.
7.2. Tutti i Corrispettivi devono intendersi al netto di I.V.A. e degli eventuali altri oneri di legge.
7.3. Il Cliente prende atto e accetta espressamente che i Corrispettivi sono soggetti ad aggiornamento annuale nella misura del 100% della variazione in aumento dell’indice ISTAT dei prezzi della produzione dei servizi, calcolato come media degli ultimi dodici mesi.
7.4. Il Cliente prende atto che i Software e i relativi Servizi Cloud sono soggetti, per loro stessa natura, ad una costante evoluzione tecnologica e normativa che richiede continue e onerose attività di aggiornamento, sviluppo e, in alcuni casi, di sostituzione, necessarie al fine di garantire la loro funzionalità. In ragione di quanto precede, TeamSystem avrà il diritto di modificare i Corrispettivi anche in misura superiore all’indice ISTAT con le modalità di cui all’articolo 15.
7.5. Fermo restando quanto previsto al paragrafo 7.4 che precede, qualora, durante l’esecuzione del Contratto, dovessero verificarsi circostanze imprevedibili tali da rendere maggiormente onerosa l’erogazione dei Servizi Cloud da parte di TeamSystem, quest’ultima avrà diritto di percepire un equo compenso una tantum ovvero di modificare unilateralmente i Corrispettivi con le modalità di cui all’articolo 15.
7.6. In caso di mancato o ritardato pagamento di una qualsiasi somma dovuta ai sensi del Contratto, il Cliente decadrà automaticamente dal beneficio del termine e sulle somme dovute matureranno interessi di mora nella misura prevista dal d.lgs. 231/2002. In tal caso, fermo quanto previsto dai successivi paragrafi 19.1 e 19.2, TeamSystem avrà altresì diritto di (i) sospendere ogni prestazione dovuta ai sensi di eventuali altri contratti in essere con il Cliente (ivi incluso il diritto di inibire l’uso dei software licenziati ai sensi di tali contratti e di sospendere la prestazione di qualsivoglia servizio ad essi relativo) e/o (ii) recedere in qualsiasi momento da tali eventuali altri contratti.
7.7. Il Cliente rinuncia a proporre eccezioni senza avere preventivamente adempiuto alle proprie obbligazioni di pagamento ai sensi del presente articolo 7.
7.8. Il Cliente accetta che il rapporto contrattuale intercorrente tra TeamSystem e il Distributore TS ed avente ad oggetto la commercializzazione dei Servizi Cloud potrebbe cessare nel corso della durata del presente Contratto e che, in tal caso:
(a) TeamSystem comunicherà al Cliente la cessazione del rapporto contrattuale intercorrente tra la medesima TeamSystem e il Distributore TS;
(b) a decorrere dalla data di ricezione della comunicazione di cui alla lettera (a) che precede, il Cliente dovrà pagare i Corrispettivi direttamente a TeamSystem secondo i termini e le modalità indicate nella medesima comunicazione;
(c) ogni contratto intercorrente tra il Cliente e il Distributore TS con riferimento ai Servizi Cloud sarà ceduto, ai sensi e per gli effetti dell’art. 1406 c.c., dal Distributore a TeamSystem;
(d) il Cliente presta sin da ora, ai sensi e per gli effetti dell’art. 1407 c.c., il proprio consenso alla cessione di cui alla lettera (c) che precede.
8.1. È tassativamente vietata alle Parti ogni forma di comunicazione e/o divulgazione o comunque di utilizzazione, anche per interposta persona e/o ente, di qualsiasi notizia, informazione e documentazione comunque appresa e ottenuta in occasione dell’esecuzione del Contratto e che TeamSystem abbia classificato come “riservata” o “confidenziale”, anche ove non si tratti di veri e propri segreti industriali, tanto se attinente alle Parti, quanto se riguardante imprese loro clienti e/o fornitrici, salvo:
(a) quanto espressamente richiesto dall’esecuzione del Contratto;
(b) espressa autorizzazione scritta dell’altra Parte;
(c) quando le Parti siano a ciò obbligate per legge e/o per provvedimento dell’autorità amministrativa e/o giudiziaria.
8.2. Fatto salvo il caso in cui le informazioni e/o documenti di cui al paragrafo 8.1 costituiscano informazioni segrete ai sensi dell’articolo 98 del D.Lgs. n. 30/2005, il divieto di cui al precedente paragrafo resterà incondizionatamente fermo anche dopo la cessazione del Contratto, per qualsiasi causa intervenuta, per il successivo periodo di 3 (tre) anni, ritenuto congruo da entrambe le Parti, fatta salva la caduta in pubblico dominio dell’informazione che non sia imputabile alle Parti.
9. Partner
9.1. TeamSystem, nell’adempiere alle proprie obbligazioni di cui al Contratto, potrà avvalersi, a propria insindacabile discrezione, della cooperazione tecnica, organizzativa e commerciale di propri Partner, ai quali potrà affidare la prestazione di alcune o tutte le attività elencate nelle presenti Condizioni Generali e/o nell’Ordine.
10.3. A parziale deroga di quanto previsto al paragrafo 10.2 che precede, a fronte della corresponsione degli eventuali Corrispettivi aggiuntivi di cui al paragrafo 2.2, al Cliente è concessa la facoltà di concedere alle Controllate una sub-licenza d’uso del Software (“Sub-Licenza”), fermo restando che, in ogni caso, il Cliente non potrà concedere Sub-Licenze per un numero di Utenti superiore a quanto espressamente indicato nell’Ordine.
10.4. Il Cliente si impegna, anche ai sensi dell’art. 1381 c.c. per ciascun Utente e per le Controllate, ad utilizzare i Software e gli Aggiornamenti e Sviluppi negli stretti limiti della Licenza (o della Sub-Licenza, per quanto riguarda le Controllate) e nel rispetto dei diritti di Proprietà Intellettuale di TeamSystem o di terzi. Pertanto, a titolo esemplificativo e non esaustivo e fatti in ogni caso salvi gli inderogabili limiti di Xxxxx, il Cliente non potrà:
(a) aggirare le limitazioni tecniche e le misure tecnologiche di protezione presenti nel Software e/o negli Aggiornamenti e Sviluppi, ivi incluso il sistema di autenticazione;
(b) decodificare, decompilare o disassemblare il Software e/o gli Aggiornamenti e Sviluppi;
(c) eseguire o far eseguire copie del Software e/o degli Aggiornamenti e Sviluppi;
(d) pubblicare o far pubblicare il Software e/o gli Aggiornamenti e Sviluppi;
(e) utilizzare il Software e/o gli Aggiornamenti e Sviluppi al di fuori dell’Infrastruttura Cloud;
(f) commercializzare a qualsivoglia titolo il Software e/o gli Aggiornamenti e Sviluppi.
10.5. Restano altresì in capo a TeamSystem (e/o, se del caso, ai terzi proprietari di cui al precedente paragrafo 10.1) o a terzi tutti i diritti sui marchi, loghi, nomi, nomi a dominio e altri segni distintivi comunque associati all’Infrastruttura Cloud, al Software, agli Aggiornamenti e Sviluppi e/o ai Servizi Cloud, con la conseguenza che il Cliente non potrà in alcun modo utilizzarli senza la preventiva autorizzazione scritta di TeamSystem (e/o del terzo titolare).
11. Responsabilità e dichiarazioni del Cliente
11.1. Con l’accettazione delle presenti Condizioni Generali, il Cliente dichiara di (i) avere tutti i diritti e poteri necessari per concludere e dare esecuzione piena ed efficace al Contratto e di (ii) voler utilizzare i Software (ivi inclusi gli eventuali Aggiornamenti e Sviluppi) e i Servizi Cloud nell’ambito della propria attività imprenditoriale, artigianale, commerciale o professionale e che, pertanto, non si applicano nei suoi confronti le disposizioni del D.Lgs. 206/2005 a protezione dei consumatori.
considerato esclusivo responsabile dell’operato di tali soggetti e garantisce altresì il rispetto di tutte le normative applicabili, ivi incluse quelle in materia fiscale e civile.
(a) siano in contrasto o violino i diritti di Proprietà Intellettuale di titolarità di TeamSystem e/o di terzi;
(b) abbiano contenuti discriminatori, diffamatori, calunniosi o minacciosi;
(c) contengano materiali pornografico, pedopornografico, osceno o comunque contrario alla pubblica morale;
(d) contengano virus, worm, trojan horse o, comunque, altri elementi informatici di contaminazione o distruzione;
(e) costituiscano attività di spamming, phishing e/o simili;
(f) siano in ogni caso in contrasto con le disposizioni normative e/o regolamentari applicabili.
11.4. TeamSystem si riserva il diritto di sospendere la fornitura dei Servizi Cloud e l’accesso ai Software al Cliente, a ciascun Utente e/o a ciascuna Controllata, ovvero di impedire l’accesso ai dati ivi memorizzati, qualora venga a conoscenza di una violazione di quanto previsto nel presente articolo e/o venga avanzata espressa richiesta in tal senso da un organo giurisdizionale o amministrativo in base alle norme vigenti. In tal caso, TeamSystem provvederà a comunicare al Cliente le motivazioni dell’adozione della sospensione all’accesso, salva la facoltà di risolvere il Contratto ai sensi del successivo articolo 19.
11.5. Il Cliente prende atto che i Software, gli Aggiornamenti e Sviluppi e/o i Servizi Cloud possono contenere e/o necessitare l’uso di software cosiddetti open source e si impegna, anche ai sensi dell’art. 1381 c.c. per ciascun Utente e per ciascuna Controllata, ad osservare i termini e le condizioni ad essi specificamente applicabili. Ove necessario, tali condizioni verranno rese idoneamente conoscibili al Cliente da parte di TeamSystem.
12. Ritiro dal mercato e sostituzione
12.1. Il Cliente prende atto che i Software, i Servizi Cloud e gli ambienti nei quali essi operano sono soggetti, per loro natura, ad una costante evoluzione tecnologica che può determinare la loro obsolescenza e, in alcuni casi, l’opportunità di un ritiro dal mercato e, eventualmente, di una sostituzione con nuove soluzioni tecnologiche. Pertanto, TeamSystem potrebbe decidere, a suo insindacabile giudizio, nel corso della durata del presente Contratto, di ritirare dal mercato i Servizi Cloud e/o i relativi Software (eventualmente sostituendoli con nuove soluzioni tecnologiche). In tal caso:
(b) la comunicazione di cui al punto (a) che precede (“Comunicazione di Ritiro”) conterrà una descrizione dell’eventuale nuovo Servizio Cloud e/o Software (il “Nuovo Prodotto”) che sostituirà ciascun Prodotto Obsoleto, restando inteso che il Nuovo Prodotto potrà basarsi su tecnologie diverse rispetto a quelle del Prodotto Obsoleto;
(c) laddove il Prodotto Obsoleto non fosse sostituito da alcun Nuovo Prodotto, il Contratto cesserà di produrre effetti con riferimento al Prodotto Obsoleto nella data che sarà indicata da TeamSystem nella Comunicazione di Ritiro (comunque non precedente all’ultimo giorno del sesto mese successivo alla data della Comunicazione di Ritiro); a partire da tale data, il Prodotto Obsoleto cesserà di essere fornito e il Cliente avrà diritto alla restituzione della quota dei Corrispettivi eventualmente già pagata per il periodo in cui non potrà godere del Prodotto Obsoleto;
(d) laddove il Prodotto Obsoleto fosse sostituito con un Nuovo Prodotto, il Cliente avrà il diritto, esercitabile entro 15 giorni dalla data della Comunicazione di Ritiro, di recedere dal Contratto con riferimento al solo Prodotto Obsoleto con efficacia dall’ultimo giorno del sesto mese successivo alla data della Comunicazione di Ritiro (data dalla quale il Prodotto Obsoleto cesserà di essere fornito) restando inteso che, in caso contrario, il Contratto continuerà ad esplicare i propri effetti (fatta espressa eccezione per quanto specificatamente indicato nella Comunicazione di Ritiro) con riferimento al Nuovo Prodotto e ogni riferimento al Prodotto Obsoleto dovrà intendersi riferito al Nuovo Prodotto.
13.1. Il Cliente si impegna a manlevare e tenere indenne TeamSystem da qualsiasi danno, pretesa, responsabilità e/o onere, diretti o indiretti e comprese le ragionevoli spese legali, che TeamSystem dovesse subire o sopportare in conseguenza dell’inadempimento da parte del Cliente e/o di ciascun Utente e/o di ciascuna Controllata di ciascuno degli obblighi previsti dal Contratto e, in particolare, di quanto previsto dagli articoli 3 (Obblighi del Cliente), 4 (Credenziali di Accesso), 8 (Riservatezza), 10 (Proprietà Intellettuale), 11 (Responsabilità e dichiarazioni del Cliente), 12 (Ritiro dal mercato e sostituzione dei prodotti), 21 (Codice Etico, Codice di Condotta Anti-Corruzione e Modello Organizzativo) e 24 (Cessione del contratto e autorizzazione preventiva ex art. 1407 c.c.).
14. Responsabilità di TeamSystem
14.1. TeamSystem non rilascia dichiarazioni e garanzie espresse o implicite sul fatto che i Servizi Cloud, il Software e/o gli Aggiornamenti e Sviluppi siano adatti a soddisfare le specifiche esigenze del Cliente, che siano esenti da errori o che abbiano funzionalità non previste nelle specifiche tecniche e nella documentazione relativa.
14.2. TeamSystem non potrà essere ritenuta responsabile per danni, diretti o indiretti, di qualsiasi natura ed entità, che dovessero derivare al Cliente e/o a ciascun Utente e/o alle Controllate e/o a terzi in conseguenza dell’uso dei Servizi Cloud, dei Software e/o degli Aggiornamenti e Sviluppi in maniera non conforme a quanto previsto dal Contratto e/o dalle leggi vigenti.
14.3. TeamSystem non sarà in alcun modo responsabile di eventuali malfunzionamenti e/o mancata fruizione dei Servizi Cloud, dei Software e/o degli Aggiornamenti e Sviluppi che derivino da una Connettività inadeguata rispetto alle relative caratteristiche tecniche.
14.4. In nessun caso TeamSystem potrà essere ritenuta responsabile per eventuali danni o perdite, di qualunque natura o entità, derivanti dalle elaborazioni effettuate dal Cliente e/o da ciascun Utente e/o da ciascuna Controllata mediante i Servizi Cloud, i Software e/o gli Aggiornamenti e Sviluppi, essendo in ogni caso il Cliente e/o l’Utente e/o la Controllata tenuto a verificare la correttezza di tali elaborazioni.
14.5. Salvo che ciò sia necessario per adempiere a disposizioni di legge e/o a richieste dell’autorità giudiziaria, TeamSystem non è tenuta in alcun modo alla verifica dei dati e dei contenuti immessi dal Cliente e/o da ciascun Utente e/o da ciascuna Controllata nell’Infrastruttura Cloud attraverso i Servizi Cloud e, pertanto, non potrà in alcun modo essere ritenuta responsabile per danni e/o perdite, diretti o indiretti e di qualsiasi natura, derivanti da errori e/o omissioni di tali dati o connessi alla loro natura e/o caratteristiche.
14.6. TeamSystem, fatti salvi gli inderogabili limiti di legge, non potrà in nessun caso essere ritenuta responsabile per qualsiasi danno (diretto o indiretto), costo, perdita e/o spesa che il Cliente e/o terzi dovessero subire in conseguenza di attacchi informatici, attività di hacking e, in generale, accessi abusivi e non autorizzati da parte di terzi al Data Center, all’Infrastruttura Cloud, ai Software e, in generale, ai sistemi informatici del Cliente e/o di TeamSystem, dai quali possano derivare, senza pretesa di esaustività, le seguenti conseguenze: (i) mancata fruizione dei Servizi Cloud; (ii) perdite di dati di titolarità o comunque nella disponibilità del Cliente; e
(iii) danneggiamento dei sistemi hardware e/o software e/o alla Connettività del Cliente.
14.7. Salvo il caso di dolo o colpa grave, la responsabilità di TeamSystem non potrà mai eccedere l’ammontare dei Corrispettivi pagati dal Cliente ai sensi del presente Contratto nell’anno in cui si è verificato l’evento dal quale discende la responsabilità di TeamSystem. TeamSystem non potrà essere ritenuta responsabile per eventuali danni da lucro cessante, mancato guadagno o danni indiretti, perdita o danneggiamento di dati, fermo fabbrica, perdita di opportunità commerciali o di benefici di altro genere, pagamento di penali, ritardi o altre responsabilità del Cliente e/o delle Controllate verso terzi.
15.1. Considerata l’elevata complessità tecnica e normativa del settore in cui TeamSystem opera e dei prodotti e servizi offerti da quest’ultima, considerato altresì che tale settore è caratterizzato da continue evoluzioni tecnologiche, normative e delle esigenze di mercato, e considerato infine che, in conseguenza di quanto sopra, sorge periodicamente la necessità che TeamSystem adegui la propria organizzazione e/o struttura tecnica e funzionale dei prodotti e servizi offerti alla propria clientela (anche nell’interesse di quest’ultima), il Cliente accetta che il Contratto potrà essere modificato da TeamSystem in qualsiasi momento, dandone semplice comunicazione scritta (anche via e-mail o con l’ausilio di programmi informatici) al Cliente. Le modifiche potranno consistere in: (i) modifiche connesse agli adeguamenti apportati alla struttura tecnica e/o funzionale dei prodotti e servizi offerti; (ii) modifiche connesse agli adeguamenti apportati alla struttura organizzativa di TeamSystem; (iii) modifiche relative ai corrispettivi dovuti dal Cliente, che tengano conto degli adeguamenti di cui ai punti (i) e (ii) che precedono.
15.2. In tal caso, il Cliente avrà la facoltà di recedere dal Contratto con comunicazione scritta inviata a TeamSystem a mezzo raccomandata con ricevuta di ritorno nel termine di 15 giorni dal ricevimento della comunicazione scritta da parte di TeamSystem di cui al paragrafo che precede.
15.3. In mancanza di esercizio della facoltà di recesso da parte del Cliente, nei termini e nei modi sopra indicati, le modifiche al Contratto si intenderanno da quest’ultimo definitivamente conosciute e accettate e diverranno definitivamente efficaci e vincolanti.
16. Sospensione e interruzione
16.1. TeamSystem compirà ogni ragionevole sforzo per garantire la massima disponibilità dei Servizi Cloud. Il Cliente, tuttavia, prende atto ed accetta che TeamSystem potrà sospendere e/o interrompere la fornitura dei Servizi Cloud, previa comunicazione scritta al Cliente, qualora si dovessero rendere necessari interventi di manutenzione ordinaria o straordinaria al Data Center e/o all’Infrastruttura Cloud e/o ai Software. In tali casi, TeamSystem si impegna a ripristinare la disponibilità dei Servizi Cloud nel minor tempo possibile.
16.2. Fatto salvo quanto previsto ai paragrafi 11.4 e 19.2, TeamSystem si riserva altresì la facoltà di sospendere o interrompere la fornitura dei Servizi Cloud:
(a) in caso di mancato o ritardato pagamento, totale o parziale, dei Corrispettivi;
(b) qualora ricorrano ragioni di sicurezza e/o riservatezza;
(c) in caso di violazione, da parte del Cliente e/o di ciascun Utente e/o di ciascuna Controllata, agli obblighi di legge in materia di utilizzo dei servizi informatici e della rete internet;
(d) nel caso in cui si verifichino problematiche al Data Center e/o all’Infrastruttura Cloud e/o ai Software che non siano rimediabili senza sospendere il relativo accesso, ivi inclusa l’ipotesi di relativa sostituzione e/o migrazione anche parziale, in ogni caso previo avviso scritto al Cliente circa le ragioni della sospensione
e le tempistiche di intervento previste.
17. Durata
17.1. Fatto salvo quanto eventualmente e diversamente previsto nelle Condizioni Integrative o nell’Ordine, il Contratto rimarrà efficace tra le Parti fino al 31 dicembre dell’anno di sottoscrizione e si intenderà automaticamente rinnovato alla scadenza per successivi periodi di un anno ciascuno, salvo disdetta da inviarsi con le modalità tecniche tempo per tempo indicate da TeamSystem oppure, in mancanza di diversa indicazione, a mezzo raccomandata A/R e/o PEC, almeno 6 (sei) mesi prima della scadenza.
18. Recesso
18.1. TeamSystem si riserva il diritto di recedere dal presente Contratto in ogni momento, con comunicazione a mezzo raccomandata A/R e/o PEC da inviarsi al Cliente con almeno 6 (sei) mesi di preavviso.
18.2. Nel caso in cui TeamSystem eserciti il proprio diritto di recesso per motivi diversi rispetto a quelli di cui al paragrafo 18.3 che segue, il Cliente avrà diritto alla restituzione della quota di corrispettivo per il periodo di mancata fruizione dei Servizi Cloud, qualora essa sia già stata versata.
19. Clausola risolutiva espressa e interdizione dall’Infrastruttura Cloud
19.1. Fatto salvo il risarcimento del danno, TeamSystem si riserva il diritto di risolvere il Contratto ai sensi dell’art. 1456 c.c. a seguito di invio di semplice comunicazione scritta a mezzo PEC ovvero lettera raccomandata A/R in caso di mancato adempimento da parte del Cliente e/o di ciascun Utente anche di una sola delle previsioni: 3 (Obblighi del Cliente), 4.3 (Credenziali di Accesso), 7.1-7.5 (Corrispettivi), 8 (Riservatezza), 10 (Proprietà Intellettuale), 11.1-11.2-11.3 (Responsabilità e dichiarazioni del Cliente), 12 (Ritiro dal mercato e sostituzione dei prodotti), 13 (Manleva), 21 (Codice Etico, Codice di Condotta Anti-Corruzione e Modello Organizzativo) e 24 (Cessione del contratto e autorizzazione preventiva ex. art. 1407 c.c.).
19.2. Fermo restando l’obbligo per il Cliente di versare i Corrispettivi di cui all’articolo 7, TeamSystem si riserva altresì la facoltà di interrompere in ogni momento la fornitura dei Servizi Cloud in favore del Cliente e/o di ciascuna Controllata in caso di: (i) inadempimento del Cliente e/o di ciascun Utente e/o di ciascuna Controllata ad una delle obbligazioni di cui al paragrafo 19.1; (ii) inadempimento di una delle obbligazioni assunte dal Cliente in uno qualsiasi degli eventuali ulteriori contratti conclusi tra il medesimo Cliente e TeamSystem (o una qualsiasi società del Gruppo TeamSystem o un distributore ufficiale TeamSystem), obbligazioni il cui inadempimento costituisca causa di risoluzione di tali eventuali ulteriori contratti. In tali ipotesi, TeamSystem comunicherà al Cliente l’intenzione di interrompere la fornitura dei Servizi Cloud, invitando il Cliente, ove possibile, a porre rimedio all’inadempimento entro un determinato termine. Il Cliente rimane in ogni caso obbligato a versare quanto dovuto anche in caso di interruzione della fornitura dei Servizi Cloud.
20. Effetti della cessazione del Contratto e restituzione
20.2. Fermo restando quanto previsto al paragrafo 20.1, a seguito della cessazione del Contratto, per qualsiasi ragione intervenuta, il Cliente avrà la facoltà di estrarre copia dei propri dati, documenti e/o contenuti tramite le funzionalità del Software per un periodo di 60 (sessanta) giorni dalla data di cessazione del Contratto. In alternativa, la restituzione di tali dati, documenti e/o contenuti potrà essere richiesta dal Cliente attraverso modalità di consegna automatizzata da concordare, a fronte del pagamento di corrispettivi specificamente previsti.
20.3. Fatti salvi diversi accordi fra le Parti, laddove il Cliente e/o le eventuali Controllate non abbiano scaricato o richiesto la restituzione dei dati, documenti e/o contenuti nel termine di cui al paragrafo 20.2, TeamSystem provvederà a cancellarli in maniera permanente nel rispetto degli obblighi di legge rilevanti.
20.4. Resta in ogni caso inteso che le seguenti previsioni sopravvivranno alla cessazione del Contratto, per qualsiasi causa intervenuta: 1 (Ambito di applicazione delle Condizioni Generali), 7 (Corrispettivi), 8 (Riservatezza), 10 (Proprietà Intellettuale), 11 (Responsabilità e dichiarazioni del Cliente), 12 (Ritiro dal mercato e sostituzione dei prodotti), 13 (Manleva), 14 (Responsabilità di TeamSystem), 21 (Codice Etico, Codice di Condotta Anti- Corruzione e Modello Organizzativo), 22 (Comunicazioni), 23 (Legge applicabile e foro esclusivo), 25 (Effetto novativo), 26 (Tolleranza), 27 (Invalidità e inefficacia parziale).
21. Codice Etico, Codice di Condotta Anti-corruzione e Modello Organizzativo di TeamSystem S.p.A.
21.1. Il Cliente dichiara di essere a conoscenza delle disposizioni di cui al Decreto Legislativo 8 giugno 2001 n. 231, e successive integrazioni in materia di responsabilità amministrativa degli enti, nonché delle norme del Codice Etico, del Codice di Condotta Anti-corruzione e del Modello Organizzativo adottati da TeamSystem S.p.A., disponibili sul sito xxx.xxxxxxxxxx.xxx e si impegna a rispettarne i contenuti, per quanto applicabili alla propria attività, e ad astenersi da comportamenti ad essi contrari. L’inosservanza da parte del Cliente dell’obbligo assunto ai sensi del presente articolo 21, ovvero la non correttezza o veridicità delle dichiarazioni ivi contenute, determinano un inadempimento grave, in presenza del quale TeamSystem avrà il diritto di
risolvere il presente Contratto ai sensi dell’art. 1456 c.c.
22.1. Tutte le comunicazioni al Cliente inerenti al Contratto potranno essere effettuate all’indirizzo email comunicato dal Cliente medesimo nell’Ordine. Resta inteso che sarà cura e responsabilità del Cliente comunicare ogni variazione in relazione all’indirizzo email identificato dal Cliente per tutte le comunicazioni.
23. Legge applicabile e foro esclusivo
23.1. Il presente contratto è regolato e deve essere interpretato in conformità alla legge italiana.
23.2. Sarà devoluta alla cognizione di un collegio di tre arbitri, nominati in conformità al Regolamento della Camera Arbitrale di Milano, che deciderà secondo diritto, qualsiasi controversia inerente il, o derivante dal Contratto, fatta eccezione per (i) i procedimenti d’ingiunzione di cui agli artt. 633 ss. c.p.c. e le relative fasi di opposizione e (ii) i procedimenti, cautelari o di merito, relativi alla violazione, da parte del Cliente e/o di ciascun Utente e/o di ciascuna Controllata, della Proprietà Intellettuale di titolarità di TeamSystem, degli eventuali Partner e/o del Gruppo TeamSystem, per i quali sarà esclusivamente competente il Foro di Milano.
24. Cessione del contratto e autorizzazione preventiva ex. art. 1407 c.c.
24.1. Salva preventiva autorizzazione scritta di TeamSystem, è fatto divieto al Cliente di cedere, in tutto o in parte, il Contratto.
24.2. Il Cliente acconsente sin da ora, ai sensi e per gli effetti dell’art. 1407 c.c., alla cessione dal Distributore TS a TeamSystem (o ad altro Distributore TS indicato da TeamSystem) del contratto avente ad oggetto i Servizi Cloud eventualmente intercorrente tra il Cliente e il Distributore TS che abbia cessato, per qualsivoglia motivo, di essere un distributore autorizzato TeamSystem.
25.1. È escluso qualsiasi rilievo di eventuali precedenti accordi individuali tra le Parti con riferimento a quanto forma oggetto del Contratto, che si intendono assorbiti ed esaustivamente superati dalla disciplina del Contratto.
26.1. L’eventuale omissione di far valere uno o più dei diritti previsti dal Contratto non potrà comunque essere intesa come definitiva rinuncia a tali diritti e non impedirà, quindi, di esigerne in qualsiasi altro momento il puntuale e rigoroso adempimento.
27. Invalidità ed inefficacia parziale
27.1. L’eventuale invalidità o inefficacia di una qualsiasi delle pattuizioni del Contratto lascerà intatte le altre pattuizioni giuridicamente e funzionalmente indipendenti, salvo quanto previsto dall’art. 1419, primo comma, c.c.
28. Trattamento dati personali
28.1. Le Parti riconoscono e si danno reciprocamente atto che la sottoscrizione del presente Contratto e l’esecuzione dei Servizi Cloud comporteranno la raccolta e il trattamento di dati personali del Cliente (nonché di parti ad essi correlate, quali procuratori, legali rappresentanti, etc.) da parte di TeamSystem per le finalità necessarie all’esecuzione del predetto Contratto e in conformità alla Legislazione in materia di protezione dei Dati Personali e alle altre eventuali previsioni di legge applicabili. TeamSystem, in qualità di titolare del trattamento, si impegna a trattare tali dati secondo quanto riportato nell'informativa rilasciata da TeamSystem ai sensi dell’articolo 13 del GDPR e disponibile sul sito web aziendale.
28.2. Ad ogni modo, le Parti convengono che TeamSystem potrà trattare su base aggregata e previa anonimizzazione, informazioni cui avrà accesso in ragione dell’utilizzo dei Servizi Cloud da parte del Cliente, per finalità di ricerca statistica anche finalizzata al miglioramento dei servizi offerti attraverso il Contratto.
28.3. Resta inteso che il Cliente è titolare del trattamento ai sensi del GDPR rispetto ai dati personali di terzi soggetti (i “Dati Personali di Terzi”) a cui TeamSystem avrà accesso per la fornitura dei Servizi Cloud. Rispetto a tali dati TeamSystem agirà quale responsabile del trattamento ai sensi dell’art. 28 del GDPR (il “Responsabile”) e le Parti accettano di conformarsi a quanto previsto nel MDPA allegato al presente Contratto (Allegato A). Qualora il Cliente agisca, a propria volta, quale responsabile del trattamento dei dati per conto di un terzo titolare, il Cliente garantisce che quest'ultimo ha autorizzato il ricorso a TeamSystem quale sub-responsabile del trattamento (il "Sub-Responsabile") ai sensi degli artt. 28 e 29 GDPR.
28.4. Rispetto ai Dati Personali di Terzi, il Cliente resterà pienamente responsabile dell’adempimento nei confronti degli interessati di tutti gli obblighi previsti dal GDPR e dalla Legislazione in materia di protezione dei Dati Personali ad esso applicabili in qualità di titolare del trattamento. TeamSystem non assume alcuna responsabilità in merito alle conseguenze derivanti dall’inosservanza da parte del Cliente degli obblighi sul medesimo gravanti in qualità di titolari del trattamento, se non per effetto e nei limiti di eventuali violazioni commesse da TeamSystem stessa in qualità di responsabile del trattamento ovvero violazioni dell'MDPA.
ALLEGATO A MDPA
ACCORDO PRINCIPALE PER IL TRATTAMENTO DI DATI PERSONALI – MASTER DATA PROCESSING AGREEMENT
(ex art. 28 del Regolamento UE 2016/679)
TRA
Il presente accordo per la protezione di dati personali è concluso tra il Fornitore, come di seguito definito, e il cliente che accetta il presente accordo. Per “Fornitore” si intende uno o più dei seguenti soggetti:
(i) TeamSystem S.p.A., con sede legale in Pesaro (PU), xxx Xxxxxx Xxxxxxx 00, codice fiscale e partita IVA n. 01035310414; e/o
(ii) la società appartenente al gruppo facente capo a TeamSystem e indicata nel Contratto;
E
il soggetto indicato nel Contratto quale cliente (di seguito il “Cliente”), di seguito, congiuntamente, le “Parti” o disgiuntamente la “Parte”
PREMESSO CHE
a) il Cliente ha sottoscritto uno o più contratti con il Fornitore (di seguito il “Contratto”);
b) le Parti intendono disciplinare nel presente “accordo principale per il trattamento dei dati personali – Master Data Processing Agreement” (nel seguito “MDPA” o “Accordo”) le condizioni e le modalità del trattamento dei dati personali eseguito dal Fornitore nell’ambito del Contratto e della prestazione dei Servizi e le responsabilità connesse al trattamento medesimo, ivi incluso l'impegno assunto dal Fornitore quale Responsabile del trattamento dei dati personali ai sensi dell'art. 28 del Regolamento generale europeo sulla protezione dei dati del 27 aprile 2016 n. 679 (nel seguito “GDPR”);
c) le caratteristiche specifiche del trattamento dei Dati Personali sono descritte, con riferimento a ciascun Servizio, nelle “condizioni speciali di trattamento dei Dati Personali” disponibili sul sito xxx.xxxxxxxxxx.xxx/XXXX/XXX (di seguito “DPA - Condizioni Speciali”) le quali costituiscono parte integrante ed essenziale del presente Accordo.
Tutto quanto sopra premessole Parti convengono quanto segue:
1. DEFINIZIONI E INTERPRETAZIONE
1.1. Le premesse costituiscono parte integrante del presente Accordo. Nell'Accordo i seguenti termini ed espressioni avranno il significato associato ad essi qui di seguito:
“Data di Decorrenza dell'Accordo” indica la data in cui il Cliente sottoscrive o accetta il presente Accordo; “Dati Personali” ha il significato di cui alla Legislazione in materia di Protezione dei Dati Personali e includerà, a titolo puramente esemplificativo, tutti i dati forniti, archiviati, inviati, ricevuti o altrimenti elaborati, o creati dal Cliente, o dall'Utente Finale in relazione alla fruizione dei Servizi, nella misura in cui siano oggetto di trattamento da parte del Fornitore, sulla base del Contratto. Un elenco delle categorie di Dati Personali è riportata nei DPA – Condizioni Speciali;
“Decisione di Adeguatezza” indica una decisione della Commissione Europea sulla base dell’Articolo 45(3) del GDPR in merito al fatto che le leggi di un certo paese garantiscano un adeguato livello di protezione, come previsto dalla Legislazione in materia di Protezione dei Dati Personali;
“Giorni Lavorativi” indica ciascun giorno di calendario, a eccezione del sabato, della domenica e dei giorni nei quali le banche di credito ordinarie non sono di regola aperte sulla piazza di Milano, per l’esercizio della loro attività;
“Email di notifica” si intende l'indirizzo (o gli indirizzi) email fornito/i dal Cliente, all'atto della sottoscrizione del Servizio o fornito tramite altro canale ufficiale al Fornitore, a cui il Cliente intende ricevere le notifiche da parte del Fornitore;
“Istruzioni” indica le istruzioni scritte impartite dal Titolare nel presente Accordo (inclusivo dei relativi DPA
– Condizioni Speciali) e, eventualmente, nel Contratto;
“Legislazione in materia di Protezione dei Dati Personali” indica il GDPR, e ogni eventuale ulteriore norma e/o regolamento sul trattamento dei dati personali emanati ai sensi del GDPR o comunque vigenti in Italia, incluso il Decreto Legislativo no. 196/2003, come modificato e integrato dal Decreto no. 101/2018, nonché ogni provvedimento vincolante che risulti emanato dalle autorità di controllo competenti in materia (es. Garante per la protezione dei dati personali) anche prima del 25 maggio 2018 e conservi efficacia vincolante.
“Personale del Fornitore” indica i dirigenti, dipendenti consulenti, e altro personale del Fornitore, con esclusione del personale dei Responsabili Ulteriori del Trattamento;
“Richiesta” indica una richiesta di accesso di un Interessato, una richiesta di cancellazione o correzione dei Dati Personali, o una richiesta di esercizio di uno degli altri diritti previsti dal GDPR;
“Responsabile Ulteriore del Trattamento” indica qualunque subappaltatore cui il Fornitore abbia subappaltato uno qualsiasi degli obblighi assunti contrattualmente e che, nell’adempiere tali obblighi, potrebbe dover raccogliere, accedere, ricevere, conservare o altrimenti trattare Dati Personali;
“Servizio/i” indica il servizio o i servizi oggetto dei Contratti sottoscritti tempo per tempo tra il Cliente e il Fornitore;
“Utente Finale” si intende l'eventuale fruitore finale del Servizio, Titolare del Trattamento; e
“Violazione della Sicurezza dei Dati Personali” indica la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati Personali occorsa su sistemi gestiti dal Fornitore o comunque sui quali il Fornitore abbia un controllo.
1.2. I termini “ivi compreso/a/i/e” e “incluso/a/i/e” saranno interpretati come se fossero seguiti dall'espressione “a titolo puramente esemplificativo”, così da fornire un elenco non esaustivo di esempi.
1.3. Per le finalità del presente Accordo, i termini “Interessato”, “Trattamento”, “Titolare del trattamento”, “Responsabile del trattamento”, “Trasferimento” e “Misure tecnico-organizzative adeguate” saranno interpretati in conformità alla Legislazione in materia di Protezione dei Dati Personali applicabile.
2. RUOLO DELLE PARTI
2.1. Le Parti riconoscono e convengono che il Fornitore agisce quale Responsabile del trattamento in relazione ai Dati Personali e il Cliente agisce di regola quale Titolare del trattamento dei Dati Personali.
2.2. Qualora il Cliente svolga operazioni di trattamento per conto di altro Titolare, il Cliente potrà agire come Responsabile del trattamento. In tal caso, il Cliente garantisce che le istruzioni impartite e le attività intraprese in relazione al trattamento dei Dati Personali, inclusa la nomina, da parte del Cliente, del Fornitore quale ulteriore Responsabile del trattamento derivante dalla stipulazione del presente Accordo è stata autorizzata dal relativo Titolare del trattamento e si impegna ad esibire al Fornitore, dietro sua semplice richiesta scritta, la documentazione attestante quanto sopra.
2.3. Ciascuna delle Parti si impegna a conformarsi, nel trattamento dei Dati Personali, ai rispettivi obblighi derivanti dalla Legislazione in materia di Protezione dei Dati Personali applicabile.
2.4. Il Fornitore ha nominato un Responsabile della protezione dei dati (DPO), domiciliato presso la sede di TeamSystem S.p.A., in xxx Xxxxxx Xxxxxxx, 00 x Xxxxxx, che può essere contattato al seguente indirizzo: xxx@xxxxxxxxxx.xxx o al numero 0721/42661.
3. TRATTAMENTO DEI DATI PERSONALI
3.3. Nei casi di cui all'art. 3.2 e in caso di richieste del Cliente che comportino il trattamento di Dati Personali che siano, ad avviso del Fornitore, in violazione della Legislazione in materia di Protezione dei Dati Personali, il Fornitore è autorizzato ad astenersi dall'eseguire tali Istruzioni e ne informerà prontamente il Cliente. In tali casi il Cliente potrà valutare eventuali variazioni alle Istruzioni impartite o contattare l'Autorità di controllo per verificare la liceità delle richieste avanzate.
4. LIMITAZIONI ALL’UTILIZZO DEI DATI PERSONALI
4.1. Nell'eseguire il trattamento dei Dati Personali ai fini della prestazione dei Servizi, il Fornitore si impegna a eseguire il trattamento dei Dati Personali:
4.1.1. soltanto nella misura e con le modalità necessarie per erogare i Servizi o per adempiere opportunamente i propri obblighi, previsti dal Contratto e dal presente Accordo ovvero imposti dalla legge o da un organo di vigilanza o controllo competente, ovvero da specifiche richieste del Cliente e/o dell’Utente Finale. In tale ultima circostanza il Fornitore ne informerà il Cliente (salvo il caso in cui ciò sia vietato dalla legge per ragioni di pubblico interesse) mediante comunicazione trasmessa all'Email di notifica;
4.1.2. in conformità alle Istruzioni del Cliente.
4.2 Il Personale del Fornitore che accede, o comunque tratta i Dati Personali, è preposto al trattamento di tali dati sulla base di idonee autorizzazioni e ha ricevuto la necessaria formazione anche in merito al trattamento dei dati personali. Tale personale è altresì vincolato da obblighi di riservatezza e dal Codice Etico aziendale e deve attenersi alle policy di riservatezza e di protezione dei dati personali adottate dal Fornitore.
5. AFFIDAMENTO A TERZI
5.1. In relazione all'affidamento a Responsabili Ulteriori del Trattamento di operazioni di trattamento di Dati
Personali, le Parti convengono quanto segue:
5.1.1. il Cliente acconsente espressamente che alcune operazioni di trattamento di Dati Personali siano affidate dal Fornitore ad altre società del gruppo TeamSystem e/o a soggetti terzi individuati nei DPA
– Condizioni Speciali.
5.1.2. Il Cliente acconsente altresì all'affidamento di operazioni di Trattamento dei Dati Personali a ulteriori soggetti terzi secondo le modalità previste al successivo articolo 5.1.4.
5.1.3. Resta inteso che la sottoscrizione delle Clausole Contrattuali Tipo (prevista dal successivo punto 7 in caso di trasferimento all’estero dei Dati Personali) da parte del Cliente con un Responsabile Ulteriore del trattamento deve intendersi quale consenso all'affidamento al terzo delle operazioni di trattamento.
5.1.4.1. si impegna ad avvalersi di Responsabili Ulteriori del Trattamento che garantiscono misure tecniche e organizzative adeguate e garantisce che l'accesso ai Dati Personali, e il relativo trattamento, sarà effettuato esclusivamente nei limiti di quanto necessario per l'erogazione dei servizi subappaltati;
5.1.4.2. almeno 15 (quindici) giorni prima della data di avvio delle operazioni di trattamento dei Dati Personali da parte del Responsabile Ulteriore del Trattamento informa il Cliente dell'affidamento al terzo (nonché dei dati identificativi del terzo, della sua ubicazione – ed eventualmente, dell'ubicazione dei server sui quali saranno conservati i dati, se applicabile - e delle attività affidate) mediante invio di Email di notifica o altro mezzo ritenuto idoneo dal Fornitore. Il Cliente potrà recedere dal Contratto entro 15 (quindici) giorni dal ricevimento della comunicazione, fermo restando l'obbligo di corrispondere al Fornitore gli importi dovuti alla data di cessazione del Contratto.
5.1.5. Eventuali informazioni aggiuntive sull'elenco dei Responsabili Ulteriori del Trattamento, dei trattamenti loro affidati e della loro ubicazione, sono contenuti nei DPA - Condizioni Speciali relativi ai Servizi attivati dal Cliente.
6. DISPOSIZIONI IN MATERIA DI SICUREZZA
6.1. MISURE DI SICUREZZA DEL FORNITORE – Xxxx'eseguire il trattamento dei Dati Personali ai fini della prestazione dei Servizi il Fornitore si impegna ad adottare misure tecnico-organizzative adeguate per evitare il trattamento illecito o non autorizzato, la distruzione accidentale o illecita, il danneggiamento, la perdita accidentale, l'alterazione e la divulgazione non autorizzata di, o l’accesso ai, Dati Personali, come descritte nell'Allegato 1 al presente Accordo (“Misure di Sicurezza”).
6.1.3. Qualora il Cliente richieda di adottare misure di sicurezza aggiuntive rispetto alle Misure di Sicurezza, il Fornitore si riserva il diritto di valutarne la fattibilità e potrà applicare costi aggiuntivi a carico del Cliente per tale implementazione.
6.1.4. Il Cliente riconosce e accetta che il Fornitore, tenuto conto della natura dei Dati Personali e delle informazioni disponibili al Fornitore stesso secondo quanto specificamente riportato nei relativi DPA
– Condizioni Particolari, presterà assistenza al Cliente nel garantire il rispetto degli obblighi di sicurezza di cui agli artt. 32-34 del GDPR nei modi seguenti:
6.1.4.1. implementando e mantenendo aggiornate le Misure di Sicurezza secondo quanto previsto ai precedenti punti 6.1.1, 6.1.2, 6.1.3;
6.1.4.2. conformandosi agli obblighi di cui al punto 6.3.
6.1.5. Resta inteso che, nei Contratti aventi ad oggetto prodotti installati presso il Cliente o presso fornitori del Cliente (installazioni on premises), le Misure di Sicurezza sopra indicate troveranno applicazione esclusivamente in relazione ai Servizi che prevedono il Trattamento dei Dati Personali da parte del Fornitore o di suoi affidatari (es. supporto e assistenza da remoto, servizi di migrazione).
6.1.6. Qualora il prodotto consenta l'integrazione con applicativi di terze parti, il Fornitore non sarà responsabile dell'applicazione delle Misure di Sicurezza relative alle componenti delle terze parti o delle modalità di funzionamento del prodotto derivanti dall'integrazione effettuata dalle terze parti.
6.2. MISURE DI SICUREZZA DEL CLIENTE – Xxxxx restando gli obblighi di cui al precedente punto 6.1 in capo al Fornitore, il Cliente riconosce e accetta che, nella fruizione dei Servizi, rimane responsabilità
esclusiva del Cliente l'adozione di adeguate misure di sicurezza in relazione alla fruizione dei Servizi da parte del proprio personale e di coloro che sono autorizzati ad accedere a detti Servizi.
6.2.1. A tal fine il Cliente si impegna ad utilizzare i Servizi e le funzionalità di trattamento dei Dati Personali in modo da garantire un livello di protezione adeguato al rischio effettivo.
6.2.2. Il Cliente si impegna altresì ad adottare tutte le misure idonee per proteggere le credenziali di autenticazione, i sistemi e i dispositivi utilizzati dal Cliente o dai fruitori presso l'Utente Finale per accedere ai Servizi, e per effettuare i salvataggi e backup dei Dati Personali al fine di garantire il ripristino dei Dati Personali nel rispetto delle norme di legge.
6.2.3. Resta escluso qualsiasi obbligo o responsabilità in capo al Fornitore circa la protezione dei Dati Personali che il Cliente o l'Utente Finale, se applicabile, conservino o trasferiscano fuori dai sistemi utilizzati dal Fornitore e dai suoi Responsabili Ulteriori del Trattamento (ad esempio, in archivi cartacei, o presso propri data center, come nel caso di Contratti aventi ad oggetto prodotti installati presso il Cliente o presso fornitori del Cliente).
6.3. VIOLAZIONI DI SICUREZZA – Fatta eccezione per il caso di Contratti aventi ad oggetto prodotti installati presso il Cliente o presso fornitori del Cliente per i quali non trova applicazione il presente punto 6.3, qualora il Fornitore venga a conoscenza di una Violazione di Sicurezza dei Dati Personali, lo stesso:
6.3.1. informerà senza ingiustificato ritardo il Cliente mediante comunicazione inoltrata all'Email di notifica;
6.3.2. adotterà misure ragionevoli per limitare i possibili danni e la sicurezza dei Dati Personali;
6.3.3. fornirà al Cliente, per quanto possibile, una descrizione della Violazione della Sicurezza dei Dati Personali ivi incluse le misure adottate per evitare o mitigare i potenziali rischi e le attività raccomandate dal Fornitore al Cliente per la gestione della Violazione di Sicurezza;
6.3.4. considererà informazioni confidenziali ai sensi di quanto previsto nel Contratto, le informazioni attinenti alle eventuali Violazioni della Sicurezza, i relativi documenti, comunicati e avvisi e non comunicherà a terzi dati informazioni, fuori dai casi strettamente necessari all'assolvimento degli obblighi del Cliente derivanti dalla Legislazione in materia di Protezione dei Dati Personali senza il previo consenso scritto del Titolare del Trattamento.
6.4. Nei casi di cui al precedente punto 6.3, è responsabilità esclusiva del Cliente adempiere, nei casi previsti dalla Legislazione in materia di Trattamento di Dati Personali, agli obblighi di notificazione della Violazione di Sicurezza ai terzi (all'Utente Finale qualora il Cliente sia un Responsabile del Trattamento) e, se il Cliente è Titolare del Trattamento, all'Autorità di controllo e agli interessati.
6.5. Resta inteso che la notificazione di una Violazione di Sicurezza o l'adozione di misure volte a gestire una Violazione di Sicurezza non costituisce riconoscimento di inadempimento o di responsabilità da parte del Fornitore in relazione a detta Violazione di Sicurezza.
6.6. Il Cliente dovrà comunicare tempestivamente al Fornitore eventuali utilizzi impropri degli account o delle credenziali di autenticazione oppure eventuali Violazioni di Sicurezza di cui abbia avuto conoscenza riguardanti i Servizi.
7. LIMITAZIONI AL TRASFERIMENTO DEI DATI PERSONALI AL DI FUORI DELLO SPAZIO ECONOMICO EUROPEO (SEE)
7.1. Il Fornitore non trasferirà i Dati Personali al di fuori dello SEE se non in accordo con il Cliente.
7.2. Se, ai fini della conservazione o del trattamento dei Dati Personali da parte di un Responsabile Ulteriore del trattamento, è necessario effettuare il trasferimento dei Dati Personali fuori dallo SEE in un paese che non gode di una decisione di adeguatezza da parte della Commissione Europea ai sensi dell'art. 45 del GDPR, il Fornitore:
7.2.1. farà in modo che il Responsabile Ulteriore del trattamento stipuli le clausole contrattuali tipo previste nella Decisione della Commissione europea 2010/87/UE, del 5 febbraio 2010, per il trasferimento di dati personali a incaricati del trattamento stabiliti in paesi terzi (le “Clausole Contrattuali Tipo”), o loro equivalente, se modificate nel tempo. Copia delle Clausole Contrattuali Tipo sottoscritte dal Fornitore per conto del Cliente saranno rese disponibili al Cliente; e/o
7.2.2. potrà proporre al Cliente altre modalità di trasferimento dei Dati Personali conformi a quanto previsto dalla Legislazione in materia di Protezione dei Dati Personali (es. Privacy Shield in caso di Responsabili Ulteriori del trattamento situati negli Stati Uniti e per cui sia verificabile l'aderenza tramite i canali e registri ufficiali, o trasferimenti infragruppo del Responsabile Ulteriore del Trattamento che sia parte di un gruppo societario che ha ottenuto l'approvazione delle BCR per i Responsabili del trattamento).
7.3. Nei casi di cui al precedente punto 7.2.1 con il presente Accordo il Cliente conferisce espressamente mandato al Fornitore a sottoscrivere le Clausole Contrattuali Tipo con i Responsabili Ulteriori del Trattamento riportati nei relativi DPA – Condizioni Particolari. Qualora Titolare del trattamento sia l'Utente Finale, il Cliente si impegna a informare l'Utente Finale di tale trasferimento e dichiara che l'autorizzazione ad avvalersi del Responsabile Ulteriore del Trattamento situato fuori dallo SEE equivale al mandato di cui sopra.
8. VERIFICHE E CONTROLLI
8.1. Il Fornitore sottopone ad audit periodici la sicurezza dei sistemi e degli ambienti di elaborazione dei Dati Personali dallo stesso utilizzati per l'erogazione dei Servizi e le sedi in cui avviene tale trattamento. Il
Fornitore avrà la facoltà di incaricare dei professionisti indipendenti selezionati dal Fornitore per lo svolgimento di audit secondo standard internazionali e/o best practice, i cui esiti saranno riportati in specifici report (“Report”). Tali Report, che costituiscono informazioni confidenziali del Fornitore, potranno essere resi disponibili al Cliente per consentirgli di verificare la conformità del Fornitore agli obblighi di sicurezza di cui al presente Accordo.
8.2. Nei casi previsti dall’art. 8.1, il Cliente concorda che il proprio diritto di verifica sarà esercitato attraverso la verifica dei Report messi a disposizione dal Fornitore.
8.3. Il Fornitore riconosce il diritto del Cliente, con le modalità e nei limiti di seguito indicati, ad effettuare audit indipendenti per verificare la conformità del Fornitore agli obblighi previsti nel presente Accordo e nei rispettivi DPA – Condizioni Speciali, e di quanto previsto dalla normativa. Il Cliente potrà avvalersi per tali attività di proprio personale specializzato o di revisori esterni, purché tali soggetti siano previamente vincolati da idonei impegni alla riservatezza.
8.5. Il Fornitore potrà opporsi per iscritto alla nomina da parte del Cliente di eventuali revisori esterni che siano, ad insindacabile giudizio del Fornitore, non adeguatamente qualificati o indipendenti, siano concorrenti del Fornitore o che siano evidentemente inadeguati. In tali circostanze il Cliente sarà tenuto a nominare altri revisori o a condurre le verifiche in proprio.
8.6. Il Cliente si impegna a corrispondere al Fornitore gli eventuali costi calcolati dal Fornitore e comunicati al Cliente nella fase di cui al precedente punto 8.4, con le modalità e nei tempi ivi concordati. Restano a carico esclusivo del Cliente i costi delle attività di verifica dallo stesso commissionate a terzi.
8.7. Resta fermo quanto previsto in relazione ai diritti di ispezione del Titolare del trattamento e delle autorità nelle Clausole Contrattuali Tipo eventualmente sottoscritte ai sensi del precedente punto 7, che non potranno considerarsi modificate da alcuna delle previsioni contenute nel presente Accordo o nei relativi DPA – Condizioni Speciali.
8.8. Il presente punto 8 non è applicabile ai Contratti aventi ad oggetto prodotti installati presso il Cliente o presso fornitori del Cliente.
8.9. Le attività di verifica che interessino eventuali Responsabili Ulteriori dovranno essere svolte nel rispetto delle regole di accesso e delle politiche di sicurezza dei Responsabili Ulteriori.
9. ASSISTENZA A FINI DI CONFORMITÀ
9.1. Il Fornitore presterà assistenza al Cliente e coopererà nei modi di seguito indicati al fine di consentire al Cliente il rispetto degli obblighi previsti dalla Legislazione in materia di Protezione dei Dati Personali.
9.2. Qualora il Fornitore riceva Richieste o reclami da un Interessato in relazione ai Dati Personali, il Fornitore raccomanderà all'Interessato di rivolgersi al Cliente o all'Utente Finale, nel caso in cui quest'ultimo sia il Titolare del Trattamento. In tali casi il Fornitore informerà tempestivamente il Cliente del ricevimento della Richiesta mediante invio di Email di notifica e fornirà al Cliente le informazioni ad esso disponibili unitamente a copia della Richiesta o del reclamo. Resta inteso che tale attività di cooperazione sarà svolta in via eccezionale, in quanto la gestione dei rapporti con gli Interessati resta esclusa dai Servizi ed è responsabilità del Cliente gestire eventuali reclami in via diretta e garantire che il punto di contatto per l'esercizio dei diritti da parte degli Interessati sia il Cliente stesso, o l'Utente Finale se Titolare del Trattamento. Sarà responsabilità del Cliente, o dell'Utente Finale qualora questi sia Titolare del Trattamento, provvedere a dar seguito a tali Richieste o reclami.
9.3. Il Fornitore provvederà a informare tempestivamente il Cliente, salvo il caso in cui ciò sia vietato dalla legge, con avviso all'Email di notifica di eventuali ispezioni o richieste di informazioni presentate da autorità di controllo e forze di polizia rispetto a profili che riguardano il trattamento dei Dati Personali.
9.4. Qualora, ai fini dell'evasione delle Richieste di cui ai precedenti punti, il Cliente abbia necessità di ricevere informazioni dal Fornitore circa il trattamento dei Dati Personali, il Fornitore presterà la necessaria assistenza nei limiti di quanto ragionevolmente possibile, a condizione che tali richieste siano presentate con congruo preavviso.
9.6. Il Fornitore si impegna a rendere Servizi improntati ai principi di minimizzazione del trattamento (privacy by design & by default), fermo restando che è responsabilità esclusiva del Cliente, o dell'Utente Finale, se
Titolare del Trattamento, assicurare che il trattamento sia condotto poi concretamente nel rispetto di detti principi e verificare che le misure tecniche e organizzative di un Servizio soddisfano i requisiti di conformità della Società, ivi inclusi i requisiti previsti dalla Legislazione in materia di protezione dei dati personali.
9.8. I precedenti punti 9.5 e 9.7 non sono applicabili in caso di Contratti aventi ad oggetto prodotti installati presso il Cliente o presso fornitori del Cliente.
10. OBBLIGHI DEL CLIENTE E LIMITAZIONI
10.1. Il Cliente si impegna a impartire Istruzioni conformi alla normativa e a utilizzare i Servizi in modo conforme alla Legislazione in materia di Protezione dei Dati Personali e solo per trattare Dati Personali che siano stati raccolti in conformità alla Legislazione in materia di Protezione dei Dati Personali.
10.2. L'eventuale trattamento di Dati Personali di cui agli artt. 9 e 10 del GDPR sarà consentito solo ove espressamente previsto nel DPA - Condizioni Particolari; fuori da tali casi, l'eventuale trattamento di tali Dati Personali sarà consentito solo previo accordo scritto tra le Parti ai sensi di quanto previsto al punto 3.2.
10.3. Il Cliente si impegna ad assolvere a tutti gli obblighi posti in capo al Titolare del Trattamento (e, nei casi in cui tali obblighi sono in capo all'Utente Finale, garantisce che analoghi obblighi sono imposti a carico dell'Utente Finale) dalla Legislazione in materia di Protezione dei Dati Personali, ivi inclusi gli obblighi di informativa nei confronti degli Interessati. Il Cliente si impegna inoltre a garantire che il trattamento dei Dati Personali effettuato mediante l'utilizzo dei Servizi avvenga solo in presenza di idonea base giuridica.
10.4. Qualora il rilascio dell'informativa e l'ottenimento del consenso debbano avvenire per il tramite del prodotto oggetto del Contratto, il Cliente dichiara di aver valutato il prodotto e che esso risponde alle esigenze del Cliente. Resta altresì a carico del Cliente valutare se l'eventuale modulistica resa disponibile dal Fornitore per agevolare l'assolvimento degli obblighi di informativa e consenso (es. modello di privacy policy per App o informative presenti negli applicativi), quando disponibile, sia conforme alla Legislazione in materia di Protezione dei Dati Personali e adattare la stessa ove ritenuto opportuno.
10.5. E' altresì onere esclusivo del Cliente provvedere alla gestione dei Dati Personali in conformità alle Richieste avanzate dagli Interessati, e pertanto provvedere ad esempio agli eventuali aggiornamenti, integrazioni, rettifiche e cancellazioni dei Dati Personali.
10.6. E' onere del Cliente mantenere l'account collegato all'Email di notifica attivo ed aggiornato.
10.7. Il Cliente prende atto che, ai sensi dell'art. 30 del GDPR, il Fornitore è tenuto a mantenere un registro delle attività di trattamento eseguite per conto dei Titolari (o Responsabili) del Trattamento e a raccogliere a tal fine i dati identificativi e di contatto di ciascun Titolare (e/o Responsabile) del Trattamento per conto del quale il Fornitore agisce e che tali informazioni devono essere rese disponibili all'autorità competente, su richiesta. Pertanto, quando richiesto, il Cliente si impegna a dare al Fornitore i dati identificativi e di contatto sopra indicati con le modalità individuate dal Fornitore nel tempo e a mantenere aggiornate tali informazioni tramite i medesimi canali.
10.8. Il Cliente dichiara pertanto che le attività di trattamento dei Dati Personali, come descritte nei Contratti, nel presente Accordo e nei relativi DPA – Condizioni Particolari, sono lecite.
11. DURATA
11.1. Il presente Accordo avrà efficacia a decorrere dalla Data di Decorrenza dell'Accordo e cesserà automaticamente, alla data di cancellazione di tutti i Dati Personali da parte del Fornitore, come previsto nel presente Accordo e, se previsto, nei relativi DPA – Condizioni Particolari.
12. DISPOSIZIONI PER LA RESTITUZIONE O LA CANCELLAZIONEDEI DATI PERSONALI
12.1. Alla cessazione del Servizio, per qualunque causa intervenuta, il Fornitore
12.1.1. provvederà alla cancellazione dei Dati Personali (ivi incluse eventuali copie) dai sistemi del Fornitore o da quelli su cui lo stesso abbia controllo entro il termine previsto nel Contratto, tranne il caso in cui la conservazione dei dati da parte del Fornitore sia necessaria o consentita al fine di assolvere ad una disposizione di legge italiana o europea;
12.1.2. distruggerà eventuali Dati Personali conservati in formato cartaceo in suo possesso, tranne il caso in cui la conservazione dei dati da parte del Fornitore sia necessaria ai fini del rispetto di norme di legge italiane o europee; e
12.2. Il Cliente riconosce di poter estrarre i Dati Personali, alla cessazione del Servizio, nei modi convenuti nel Contratto e conviene che è sua responsabilità provvedere all'estrazione totale o parziale dei soli Dati Personali che ritenga utile conservare e che tale estrazione dovrà essere effettuata prima della scadenza del termine di cui al punto 12.1.3.
12.3. Resta inteso che quanto previsto ai punti 12.1 e 12.2 non si applica ai Contratti aventi ad oggetto prodotti
installati presso il Cliente o presso fornitori del Cliente. In tali casi, è responsabilità del Cliente estrarre, entro e non oltre il termine previsto dal Contratto, i Dati Personali che ritenga utile conservare; il Cliente riconosce che successivamente al predetto termine i Dati Personali potrebbero non essere più accessibili. Nei casi di cui al presente punto 12.3 resta altresì responsabilità del Cliente provvedere alla cancellazione dei Dati Personali nel rispetto delle norme di legge.
12.4. Restano ferme eventuali ulteriori o diverse disposizioni circa la cancellazione dei Dati Personali previste dal Contratto e nei rispettivi DPA – Condizioni Speciali.
13. RESPONSABILITA'
13.1. Ciascuna Parte è responsabile per l'adempimento dei propri obblighi previsti dal presente Accordo e dai relativi DPA –Condizioni Particolari e dalla Legislazione in materia di protezione dei Dati Personali.
13.2. Fatti salvi i limiti inderogabili di legge, il Fornitore sarà tenuto a risarcire il Cliente in caso di violazione del presente Accordo e/o dei relativi DPA – Condizioni Particolari entro i limiti massimi convenuti nel Contratto.
14. DISPOSIZIONI VARIE
14.1. Il presente Accordo sostituisce qualsiasi altro accordo, contratto o intesa tra le Parti con riferimento al suo oggetto nonché qualsivoglia istruzione fornita in qualsiasi forma dal Cliente al Fornitore precedentemente alla data del presente Accordo in merito ai Dati Personali trattati nell’ambito dell’esecuzione del Contratto.
14.2. Il presente Accordo potrà essere modificato dal Fornitore dandone comunicazione scritta (anche via e-mail o con l’ausilio di programmi informatici) al Cliente. In tal caso, il Cliente avrà il diritto di recedere dal Contratto con comunicazione scritta inviata al Fornitore a mezzo raccomandata con ricevuta di ricevimento nel termine di 15 giorni dal ricevimento della comunicazione del Fornitore. In mancanza di esercizio del diritto di recesso da parte del Cliente, nei termini e nei modi sopra indicati, le modifiche al presente Accordo si intenderanno da questi definitivamente conosciute e accettate e diverranno definitivamente efficaci e vincolanti.
14.3. In caso di conflitto tra le previsioni del presente Accordo e quanto previsto nel Contratto per la prestazione dei Servizi, o in documenti del Cliente non espressamente accettati dal Fornitore in deroga al presente Accordo e/ ai rispettivi DPA – Condizioni Speciali, prevarrà quanto previsto nel presente Accordo e nelle clausole dei relativi DPA – Condizioni Speciali.
Allegato1
Misure tecnico-organizzative
In aggiunta alle misure di sicurezza previste nel Contratto e nel MDPA il Responsabile del Trattamento applica le seguenti misure di sicurezza organizzative a seconda della tipologia di Servizio con cui viene erogato o licenziato il prodotto:
A – Cloud SaaS B – Servizi Iaas
C – BPO (Business Process Outsourcing) D – BPI (Business Process Insourcing)
E – On premises
A – CLOUD SaaS
Misure di sicurezza organizzative | Policy e Disciplinari utenti – Il Fornitore applica dettagliate policy e disciplinari, ai quali tutta l’utenza con accesso ai sistemi informativi ha l’obbligo di conformarsi e che sono finalizzate a garantire comportamenti idonei ad assicurare il rispetto dei principi di riservatezza, disponibilità ed integrità dei dati nell’utilizzo delle risorse informatiche. Autorizzazione accessi logici – il Fornitore definisce i profili di accesso nel rispetto del least privilege necessari all’esecuzione delle mansioni assegnate. I profili di autorizzazione sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. Tali profili sono oggetto di controlli periodici finalizzati alla verifica della sussistenza delle condizioni per la conservazione dei profili attribuiti. Gestione interventi di assistenza – Gli interventi di assistenza sono regolamentati allo scopo di garantire l’esecuzione delle sole attività previste contrattualmente e impedire il trattamento eccessivo di dati personali la cui titolarità è in capo al Cliente o all’Utente Finale. Valutazione d'impatto sulla protezione dei dati (DPIA) – In conformità agli artt. 35 e 36 del GDPR e sulla base del documento WP248 – Linee guida sulla valutazione d’impatto nella protezione dei dati adottate dal Gruppo di lavoro ex art. 29, il Fornitore ha predisposto una propria metodologia per l’analisi e la valutazione dei trattamenti che, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, presentino un rischio elevato per i diritti e le libertà delle persone fisiche allo scopo di procedere con la valutazione dell’impatto sulla protezione dei dati personali prima di iniziare il trattamento. Incident Management – Il Fornitore ha realizzato una specifica procedura di Incident Management allo scopo di garantire il ripristino delle normali operazioni di servizio nel più breve tempo possibile, garantendo il mantenimento dei livelli migliori di servizio. Data Breach – Il Fornitore ha implementato un’apposita procedura finalizzata alla gestione degli eventi e degli incidenti con un potenziale impatto sui dati personali che definisce ruoli e responsabilità, il processo di rilevazione (presunto o accertato), l’applicazione delle azioni di contrasto, la risposta e il contenimento dell’incidente / violazione nonché le modalità attraverso le quali effettuare le comunicazioni delle violazioni di dati personali al Cliente. Formazione: Il Fornitore eroga periodicamente ai propri dipendenti coinvolti nelle attività di trattamento corsi di formazione sulla corretta gestione dei dati personali |
Misure di sicurezza tecniche | Firewall, IDPS - I dati personali sono protetti contro il rischio d'intrusione di cui all'art. 615- quinquies del codice penale mediante sistemi di Intrusion Detection & Prevention, mantenuti aggiornati in relazione alle migliori tecnologie disponibili. Sicurezza linee di comunicazione- Per quanto di propria competenza, sono adottati dal Fornitore protocolli di comunicazione sicuri e in linea con quanto la tecnologia rende disponibile. Protection from malware– I sistemi sono protetti contro il rischio di intrusione e dell'azione di programmi mediante l'attivazione di idonei strumenti elettronici aggiornati con cadenza periodica. Sono in uso strumenti antivirus mantenuti costantemente aggiornati. Credenziali di autenticazione – I sistemi sono configurati con modalità idonee a consentirne l’accesso unicamente a soggetti dotati di credenziali di autenticazione che ne consentono la loro univoca identificazione. Fra questi, codice associato a una parola chiave, riservata e conosciuta unicamente dallo stesso; dispositivo di autenticazione in possesso e uso esclusivo dell’utente, eventualmente associato a un codice identificativo o a una parola chiave. Parola chiave – Relativamente alle caratteristiche di base ovvero obbligo di modifica al primo accesso, lunghezza minima, assenza di elementi riconducibili agevolmente al soggetto, regole di complessità, scadenza, history, valutazione contestuale della robustezza, visualizzazione e archiviazione, la parola chiave è gestita conformemente alle best practice. Ai soggetti ai quali sono attribuite le credenziali sono fornite puntuali istruzioni in relazione alle modalità da adottare per assicurarne la segretezza. Logging – I sistemi sono configurabili con modalità che consentono il tracciamento degli accessi e, ove appropriato, delle attività svolte in capo alle diverse tipologie di utenze (Amministratore, Super Utente, etc.) protetti da adeguate misure di sicurezza che ne garantiscono l’integrità. Backup & Restore – Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati. Ove gli accordi contrattuali lo prevedono è posto in uso un piano di continuità operativa integrato, ove necessario, con il piano di disaster recovery; essi garantiscono la disponibilità e l’accesso ai sistemi anche nel caso di eventi negativi di portata rilevante che dovessero perdurare nel tempo. Vulnerability Assessment & Penetration Test – Il Fornitore effettua periodicamente attività di analisi delle vulnerabilità finalizzate a rilevare lo stato di esposizione alle vulnerabilità note, sia in relazione agli ambiti infrastrutturali sia a quelli applicativi, considerando i sistemi in esercizio o in fase di sviluppo. Ove ritenuto appropriato in relazione ai potenziali rischi identificati, tali verifiche sono integrate periodicamente con apposite tecniche di Penetration Test, mediante simulazioni di intrusione che utilizzano diversi scenari di attacco, con l’obiettivo di verificare il livello di sicurezza di applicazioni/sistemi/reti attraverso attività che mirano a sfruttare le vulnerabilità rilevate per eludere i meccanismi di sicurezza fisica/logica ed avere accesso agli stessi. I risultati delle verifiche sono puntualmente e dettagliatamente esaminati per identificare e porre in essere i punti di miglioramento necessari a garantire l’elevato livello di sicurezza |
richiesto. Amministratori di Sistema – Relativamente a tutti gli utenti che operano in qualità di Amministratori di Sistema, il cui elenco è mantenuto aggiornato e le cui funzioni attribuite sono opportunamente definite in appositi atti di nomina, è gestito un sistema di log management finalizzato al puntuale tracciamento delle attività svolte ed alla conservazione di tali dati con modalità inalterabili idonee a consentirne ex post il monitoraggio. L’operato degli Amministratori di Sistema è sottoposto ad attività di verifica in modo da controllarne la rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previsti dalle norme vigenti. Data Center – L’accesso fisico al Data Center è limitato ai soli soggetti autorizzati. Per il dettaglio delle misure di sicurezza adottate con riferimento ai servizi di data center erogati dai Responsabili Ulteriori del Trattamento, così come individuati nei DPA Condizioni Speciali, si fa rinvio alle misure di sicurezza indicate descritte dai medesimi Responsabili Ulteriori e rese disponibili nei relativi siti istituzionali ai seguenti indirizzi (o a quelli che saranno successivamente resi disponibili dai Responsabili Ulteriori): Per i servizi di Data Center erogati da Amazon Web Services: xxxxx://xxx.xxxxxx.xxx/xx/xxxxxxxxxx/xxxx-xxxxxx/xxxxxxxx/ Per i servizi di Data Center erogati da Microsoft: |
B – Servizi Iaas
Misure di sicurezza organizzative | Certificazioni – il Fornitore ha ottenuto le seguenti certificazioni/attestazioni: • ISO/IEC 27001:2013: “Erogazione dei servizi di progettazione e gestione dell’infrastruttura ICT, di gestione delle applicazioni interne al Gruppo e di gestione dell’infrastruttura Cloud (IaaS)” • ISO/IEC 27018:2014 per la protezione dei dati personali nei servizi Public Cloud. Autorizzazione accessi logici – Il Fornitore definisce i profili di accesso all’infrastruttura nel rispetto del least privilege necessari all’esecuzione delle mansioni assegnate. I profili di autorizzazione sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. Tali profili sono oggetto di controlli periodici finalizzati alla verifica della sussistenza delle condizioni per la conservazione dei profili attribuiti. Resta inteso che i profili di accesso alla macchina virtuale, aggiuntivi rispetto a quelli configurati al momento della consegna, devono essere definiti a cura del Cliente, sulla base delle proprie politiche di autorizzazione. Utenze – Le VM sono configurate con modalità idonee a consentirne l’accesso unicamente a soggetti dotati di credenziali di autenticazione che ne consentono la loro univoca identificazione. |
Sicurezza linee di comunicazione- Per quanto di propria competenza, limitatamente all’infrastruttura di virtualizzazione, il Fornitore adotta protocolli di comunicazione sicuri e in linea con quanto la tecnologia rende disponibile in relazione al processo di autenticazione. | ||
Change Management – Per quanto di propria competenza, il Fornitore ha in essere una specifica procedura attraverso la quale regolamenta il processo di Change Management in considerazione dell'introduzione di eventuali innovazioni tecnologiche o cambiamenti della propria impostazione e della propria struttura organizzativa. | ||
Formazione: Il Fornitore eroga periodicamente ai propri dipendenti coinvolti nelle attività di trattamento corsi di formazione sulla corretta gestione dei dati personali. | ||
Protection from malware – Le VM sono dotate di default di sistemi Antivirus/Antimalware/WebReputation preconfigurati a livello infrastrutturale, aggiornati con cadenza periodica. Resta inteso che, coerentemente con il modello di servizio iaas ed in conformità alle condizioni generali di Contratto, è onere il Cliente valutare la congruità di tali soluzioni e la necessità di adottare, a propria cura e spese, sistemi di sicurezza e protezione ulteriori in base all’effettivo utilizzo della Macchina Virtuale ed alle proprie politiche di gestione dei rischi. | ||
Misure sicurezza tecniche | di | Backup & Restore – Sono adottate idonee misure per garantire il back up dei dati ed il ripristino degli stessi in caso di danneggiamento o perdita, in conformità con le previsioni del Contratto. In tali evenienze, è previsto che il restore sia eseguito attraverso il ripristino dell’ultima copia di back up disponibile anteriormente al danneggiamento. È comunque demandata al Titolare del trattamento la facoltà di eseguire autonomamente il backup dei propri dati per l'intera durata del contratto e per i 60 giorni successivi al termine dello stesso. |
Logging – La piattaforma di virtualizzazione e la relativa consolle sono dotate di misure di tracciamento degli accessi e, ove appropriato, delle attività svolte in capo alle diverse tipologie di utenze (Amministratore, Super Utente, etc.) protetti da adeguate misure di sicurezza che ne garantiscono l’integrità. | ||
Firewall, IDS/IPS – L’infrastruttura cloud che ospita le VM è dotata di sistemi anti- intrusione, quali Firewall, nonché da sistema di protezione del traffico AntiDDOS. Resta inteso che, coerentemente con il modello di servizio Iaas ed in conformità alle condizioni generali di Contratto, il Cliente ha l’onere di proteggere con adeguati sistemi di sicurezza e protezione la propria Macchina Virtuale. | ||
Incident Management– Per quanto di propria competenza, il Fornitore ha in essere una specifica procedura di Incident Management allo scopo di garantire il ripristino delle normali operazioni di servizio nel più breve tempo possibile, in conformità a quanto previsto dal Contratto. | ||
Alta affidabilità – il Fornitore garantisce l’alta affidabilità nei seguenti termini: L’architettura di rete è disegnata per proteggere i sistemi che erogano il servizio IaaS da Internet mediante l’utilizzo di un Firewall perimetrale e sistemi anti DDOS; l’architettura di rete è disegnata per proteggere le VM dei clienti IaaS da Internet attraverso l’utilizzo di una coppia di Firewall. Le VM dei clienti IaaS sono segregate le une dalle altre attraverso sistemi di microsegmentazione fornite dall’Hypervisor. |
Data center – L'ambiente di virtualizzazione (inclusa la SAN – Storage Area network) è presente su server ospitati in un data center sito in Italia la cui gestione è demandata ad un fornitore certificato ISO 27001. In particolare, le misure di sicurezza fisica poste a protezione del Data Center sono di seguito elencate: • Perimetro di sicurezza esterno: • Recinzione perimetrale che delimita il confine di proprietà composta da una protezione passiva anti scavalcamento con altezza minima di 3 m; • Le aree esterne sono monitorate da barriere infrarossi e/o sistemi di videoanalisi e sistemi di videosorveglianza con videoregistrazione; • Accesso pedonale selettivo/singolo; • Accesso veicolare selettivo; • Ronda armata; • Perimetro di sicurezza interno: • Presidio di vigilanza per controlli aree interne ed esterne, supervisione; • Xxxxxxx, gestione visitatori con consegna badge in osservanza a disposizioni aziendali e specifiche per i Data Center; • Presidio di reception per la gestione degli accessi; • Xxxxxxxx a braccio triplice prospicienti al locale del presidio vigilanza e reception; • Perimetro di massima sicurezza interno: • Varco di accesso sala sistemi dotato di protezione passiva interbloccato; • Sistema di controllo accessi con gestione delle liste ABILITATI; • Sensori magnetici stato porta in grado di rilevare lo stato della porta; • Uscite d’emergenza dotate di sensori stato porta. Tutti gli allarmi sono remotizzati al presidio di vigilanza. |
C – BUSINESS PROCESS OUTSOURCING (BPO)
Misure di sicurezza organizzative | Certificazioni – Il Fornitore ha ottenuto le seguenti certificazioni/attestazioni: • ISO/IEC 27001:2013: “Erogazione dei servizi di progettazione e gestione dell’infrastruttura ICT, di gestione delle applicazioni interne al Gruppo e di gestione dell’infrastruttura Cloud (IaaS)”. • ISO/IEC 27018:2014 per la protezione dei dati personali nei servizi Public Cloud. Policy e Disciplinari utenti – Sono in essere dettagliate policy e disciplinari, ai quali tutta l’utenza con accesso ai sistemi informativi ha l’obbligo di conformarsi, finalizzate a garantire comportamenti idonei ad assicurare il rispetto dei principi di riservatezza, disponibilità ed integrità dei dati nell’utilizzo delle risorse informatiche. Autorizzazione accessi logici – Il Fornitore definisce i profili di accesso nel rispetto del least privilege necessario all’esecuzione delle mansioni assegnate. I profili di autorizzazione sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. Tali profili sono oggetto di controlli periodici finalizzati alla verifica della sussistenza delle condizioni per la conservazione dei profili attribuiti. Gestione interventi di assistenza – Il Fornitore regolamenta la gestione degli interventi di assistenza allo scopo di garantire l’esecuzione delle sole attività disciplinate contrattualmente e impedire il trattamento eccessivo di dati personali la cui titolarità è in capo al Cliente o all’Utente Finale. Change Management – Il Fornitore ha in essere una specifica procedura attraverso la quale regolamenta il processo di Change Management in considerazione dell'introduzione di eventuali innovazioni tecnologiche o cambiamenti della propria impostazione e della propria struttura organizzativa. Valutazione d'impatto sulla protezione dei dati (DPIA) – In conformità agli artt. 35 e 36 del GDPR e sulla base del documento WP248 – Linee guida sulla valutazione d’impatto nella protezione dei dati adottate dal Gruppo di lavoro ex art. 29, il Fornitore ha predisposto una propria metodologia per l’analisi e la valutazione dei trattamenti che, considerati la natura, l'oggetto, il contesto e le finalità del trattamento, presentino un rischio elevato per i diritti e le libertà delle persone fisiche allo scopo di procedere con la valutazione dell’impatto sulla protezione dei dati personali prima di iniziare il trattamento. Incident Management – Il Fornitore ha realizzato una specifica procedura di Incident Management allo scopo di garantire il ripristino delle normali operazioni di servizio nel più breve tempo possibile, garantendo il mantenimento dei livelli migliori di servizio. Data Breach – Il Fornitore ha implementato un’apposita procedura finalizzata alla gestione degli eventi e degli incidenti con un potenziale impatto sui dati personali che definisce ruoli e responsabilità, il processo di rilevazione (presunto o accertato), l’applicazione delle azioni di contrasto, la risposta e il contenimento dell’incidente / violazione nonché le modalità attraverso le quali effettuare le comunicazioni delle violazioni di dati personali al Cliente. Formazione: Il Fornitore eroga periodicamente ai propri dipendenti coinvolti nelle attività di trattamento, corsi di formazione sulla corretta gestione dei dati personali. |
Misure di | Alta affidabilità – Il Fornitore garantisce l’alta affidabilità nei seguenti termini: |
sicurezza tecniche | • L’architettura Server è completamente basata sull’utilizzo della soluzione di virtualizzazione VMWare applicata mediante duplicazione fisica e virtuale dei singoli sistemi, al fine di garantire la tolleranza ai guasti e l’eliminazione dei single point of failure. In particolare in caso di failure di un sistema, il software di gestione dell’ambiente virtuale è in grado di ridistribuire le attività in corso verso gli altri sistemi (high availabilty e load balancing), riducendo al minimo i disservizi e garantendo la persistenza delle connessioni esistenti. • Ciascun Server è attestato su una SAN mediante connessione iSCSI ad alta velocità. • Tutte le componenti dell’infrastruttura, tra i quali server, apparati di rete e sicurezza, sistemi Storage ed infrastruttura SAN, sono completamente ridondate per eliminare ogni single point of failure. • L’architettura di rete è progettata per proteggere i sistemi di front-end da Internet e dalle reti interne mediante l’utilizzo di una DMZ protetta da due livelli di firewalling distinti (defense-in-depth): un firewall di frontiera connesso ad Internet ed un secondo firewall, che integra anche funzionalità di Intrusion Prevention e antimalware, di proprietà dell’organizzazione, è messo a protezione della DMZ e dei sistemi di backend. Hardening – Sono in essere apposite attività di hardening finalizzate a prevenire il verificarsi di incidenti di sicurezza minimizzando le debolezze architetturali dei sistemi operativi, delle applicazioni e degli apparati di rete considerando - in particolare - le diminuzione dei rischi connessi alle vulnerabilità di sistema, la diminuzione dei rischi connessi al contesto applicativo presente sui sistemi e l’aumento dei livelli di protezione dei servizi erogati dai sistemi stessi. Firewall, IDS/IPS – I sistemi anti-intrusione, quali Firewall e IDS/IPS, sono posizionati all’interno del segmento di rete che collega l’infrastruttura cloud con Internet, al fine di intercettare ogni eventuale azione malevola volta a degradare, parzialmente o totalmente, l’erogazione del servizio. Nello specifico gli apparati adottati sono del tipo UTM SourceFire (Cisco), che includono sia la componente Firewall sia la componente IDS/IPS. Sicurezza linee di comunicazione - Per quanto di propria competenza, sono adottati dal Fornitore protocolli di comunicazione sicuri e in linea con quanto la tecnologia rende disponibile. Protection from malware – Le VM sono protette contro il rischio di intrusione e dell'azione di programmi mediante l'attivazione di idonei strumenti elettronici aggiornati con cadenza periodica. Tutte le VM sono gestite tramite funzionalità antivirus (sia a livello hypervisor che infrastrutturale). Credenziali di autenticazione – I sistemi sono configurati con modalità idonee a consentirne l’accesso unicamente a soggetti dotati di credenziali di autenticazione che ne consentono la loro univoca identificazione. Fra questi, codice associato a una parola chiave, riservata e conosciuta unicamente dallo stesso; dispositivo di autenticazione in possesso e uso esclusivo dell’utente, eventualmente associato a un codice identificativo o a una parola chiave.. Parola chiave – Relativamente alle caratteristiche di base ovvero, obbligo di modifica al primo accesso, lunghezza minima, assenza di elementi riconducibili agevolmente al soggetto, regole di complessità, scadenza, history, valutazione contestuale della robustezza, visualizzazione e archiviazione, la parola chiave è gestita conformemente alle best practice. Ai soggetti ai quali sono attribuite le credenziali sono fornite puntuali istruzioni in relazione alle modalità da adottare per assicurarne la segretezza. Logging – I sistemi sono configurabili con modalità che consentono il tracciamento degli |
accessi e, ove appropriato, delle attività svolte in capo alle diverse tipologie di utenze (Amministratore, Super Utente, etc.) protetti da adeguate misure di sicurezza che ne garantiscono l’integrità. Backup & Restore – Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati. È comunque demandata al Titolare la facoltà di eseguire autonomamente il backup dei propri dati per l'intera durata del contratto e per i 60 giorni successivi al termine dello stesso. Ove gli accordi contrattuali lo prevedono è posto in uso un piano di continuità operativa integrato, ove necessario, con il piano di disaster recovery i quali garantiscono la disponibilità e l’accesso ai sistemi anche nel caso di eventi negativi di portata rilevante che dovessero perdurare nel tempo. Vulnerability Assessment & Penetration Test – Il Fornitore effettua periodicamente attività di analisi delle vulnerabilità finalizzata a rilevare lo stato di esposizione alle vulnerabilità note, sia in relazione agli ambiti infrastrutturali sia a quelli applicativi, considerando i sistemi in esercizio o in fase di sviluppo. Ove ritenuto appropriato in relazione ai potenziali rischi identificati, tali verifiche sono integrate periodicamente con apposite tecniche di Penetration Test, mediante simulazioni di intrusione che utilizzano diversi scenari di attacco, con l’obiettivo di verificare il livello di sicurezza di applicazioni / sistemi / reti attraverso attività che mirano a sfruttare le vulnerabilità rilevate per eludere i meccanismi di sicurezza fisica / logica ed avere accesso agli stessi. I risultati delle verifiche sono puntualmente e dettagliatamente esaminati per identificare e porre in essere i punti di miglioramento necessari a garantire l’elevato livello di sicurezza richiesto. Amministratori di Sistema – Relativamente a tutti gli utenti che operano in qualità di Amministratori di Sistema, il cui elenco è mantenuto aggiornato e le cui funzioni attribuite sono opportunamente definite in appositi atti di nomina, è gestito un sistema di log management finalizzato al puntuale tracciamento delle attività svolte ed alla conservazione di tali dati con modalità inalterabili idonee a consentirne ex post il monitoraggio. L’operato degli Amministratori di Sistema è sottoposto ad attività di verifica in modo da controllarne la rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previsti dalle norme vigenti. Data Center – L'ambiente di virtualizzazione (inclusa la SAN – Storage Area network) è presente su server ospitati in un data center sito in Italia la cui gestione è demandata ad un fornitore certificato ISO 27001. In particolare le misure di sicurezza fisica poste a protezione del Data Center sono di seguito elencate: • Perimetro di sicurezza esterno: ✓ recinzione perimetrale che delimita il confine di proprietà composta da una protezione passiva anti scavalcamento con altezza minima di 3 m; ✓ le aree esterne sono monitorate da barriere infrarossi e/o sistemi di videoanalisi e sistemi di videosorveglianza con videoregistrazione; ✓ accesso pedonale selettivo/singolo; ✓ accesso veicolare selettivo; ✓ ronda armata. • Perimetro di sicurezza interno: ✓ presidio di vigilanza per controlli aree interne ed esterne, supervisione; ✓ allarmi, gestione visitatori con consegna badge in osservanza a disposizioni aziendali e specifiche per i Data Center; ✓ presidio di reception per la gestione degli accessi; ✓ tornelli a braccio triplice prospicienti al locale del presidio vigilanza e reception. |
• Perimetro di massima sicurezza interno: ✓ varco di accesso sala sistemi dotato di protezione passiva interbloccato; ✓ sistema di controllo accessi con gestione delle liste ABILITATI; ✓ sensori magnetici stato porta in grado di rilevare lo stato della porta; ✓ uscite d’emergenza dotate di sensori stato porta. Tutti gli allarmi sono remotizzati al presidio di vigilanza. |
D - BPI – BUSINESS PROCESS INSOURCING
Misure di sicurezza organizzative | Policy e Disciplinari utenti – Sono in essere dettagliate policy e disciplinari, ai quali tutta l’utenza con accesso ai sistemi informativi ha l’obbligo di conformarsi, finalizzate a garantire comportamenti idonei ad assicurare il rispetto dei principi di riservatezza, disponibilità ed integrità dei dati nell’utilizzo delle risorse informatiche. Autorizzazione accessi logici – Il Fornitore definisce i profili di accesso el rispetto del least privilege necessario all’esecuzione delle mansioni assegnate. I profili di autorizzazione sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. Tali profili sono oggetto di controlli periodici finalizzati alla verifica della sussistenza delle condizioni per la conservazione dei profili attribuiti. Data Breach – Il Fornitore ha implementato un’apposita procedura finalizzata alla gestione degli eventi e degli incidenti con un potenziale impatto sui dati personali che definisce ruoli e responsabilità, il processo di rilevazione (presunto o accertato), l’applicazione delle azioni di contrasto, la risposta e il contenimento dell’incidente / violazione nonché le modalità attraverso le quali effettuare le comunicazioni delle violazioni di dati personali al Cliente. Formazione: Il Fornitore eroga periodicamente ai propri dipendenti coinvolti nelle attività di trattamento corsi di formazione sulla corretta gestione dei dati personali. |
Misure di sicurezza tecniche | Sicurezza linee di comunicazione - Per quanto di propria competenza, sono adottati dal Fornitore protocolli di comunicazione sicuri e in linea con quanto la tecnologia rende disponibile in relazione al processo di autenticazione. Backup & Restore – Ove previsto dagli accordi contrattuali, sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati. |
E – ON PREMISES
Misure di sicurezza organizzative | Policy e Disciplinari utenti – Sono in essere dettagliate policy e disciplinari, ai quali tutta l’utenza con accesso ai sistemi informativi ha l’obbligo di conformarsi, finalizzate a garantire comportamenti idonei ad assicurare, in fase di assistenza tecnica, il rispetto dei principi di riservatezza, disponibilità ed integrità dei dati nell’utilizzo delle risorse informatiche. Autorizzazione accessi logici – Il Fornitore definisce i profili di accesso nel rispetto del least privilege necessario all’esecuzione delle mansioni assegnate. I profili di autorizzazione sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento. |
Tali profili sono oggetto di controlli periodici finalizzati alla verifica della sussistenza delle condizioni per la conservazione dei profili attribuiti. Gestione interventi di assistenza – Il Fornitore regolamenta la gestione degli interventi di assistenza allo scopo di garantire l’esecuzione delle sole attività previste contrattualmente e impedire il trattamento eccessivo di dati personali la cui titolarità è rivestita dal Cliente. Incident Management & Data Breach – Il Fornitore ha implementato un’apposita procedura finalizzata alla gestione degli eventi e degli incidenti con un potenziale impatto sui dati personali che definisce ruoli e responsabilità, il processo di rilevazione (presunto o accertato), l’applicazione delle azioni di contrasto, la risposta e il contenimento dell’incidente / violazione nonché le modalità attraverso le quali effettuare le comunicazioni delle violazioni di dati personali al Cliente. Formazione: Il Fornitore eroga periodicamente ai propri dipendenti coinvolti nelle attività di trattamento corsi di formazione sulla corretta gestione dei dati personali | |
Misure di sicurezza tecniche | Sicurezza linee di comunicazione- Per quanto di propria competenza, in fase di gestione di interventi di assistenza, sono adottati dal Fornitore protocolli di comunicazione sicuri e in linea con quanto la tecnologia rende disponibile. Protection from malware– Le postazioni di lavoro adottate in fase di Assistenza tecnica, sono protette contro il rischio di intrusione e dell'azione di programmi mediante l'attivazione di idonei strumenti elettronici aggiornati con cadenza periodica. Tutte le VM sono gestite tramite funzionalità antivirus (sia a livello hypervisor che infrastrutturale). Amministratori di Sistema – Relativamente a tutti gli utenti che operano in qualità di Amministratori di Sistema, il cui elenco è mantenuto aggiornato e le cui funzioni attribuite sono opportunamente definite in appositi atti di nomina, è gestito un sistema di log management finalizzato al puntuale tracciamento delle attività svolte ed alla conservazione di tali dati con modalità inalterabili idonee a consentirne ex post il monitoraggio. L’operato degli Amministratori di Sistema è sottoposto ad attività di verifica in modo da controllarne la rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previsti dalle norme vigenti. |
CRM in Cloud CONDIZIONI INTEGRATIVE
Le presenti condizioni integrative (“Condizioni Integrative”) modificano e integrano le “Condizioni Generali Cloud” di TeamSystem (“Condizioni Generali”) allo scopo di disciplinare i termini e le condizioni di utilizzo della soluzione software denominata “CRM in Cloud” (il “Software”).
Tutti i diritti relativi al Software sono di titolarità della società TeamSystem S.p.A., con P. IVA n. 01035310414.
Ove non specificamente definiti nelle presenti Condizioni Integrative, i termini indicati nel prosieguo con lettera maiuscola devono intendersi con il significato ad essi attribuito nelle Condizioni Generali.
1. Utenti e upgrade
1.1 “CRM in Cloud” è una piattaforma informatica Customer Relationship Management fruibile in modalità Saas che raccoglie le strategie di rapporto con i clienti. Al momento della sottoscrizione del Contratto, il Cliente può decidere di abilitare l’accesso ai Servizi Cloud ad un numero definito di Utenti, pagando il Corrispettivo per Utente descritto nell’apposita sezione della pagina web del sito internet del TeamSystem Store dedicata al Software (il “Sito CRM in Cloud”). Per ciascun Utente il Cliente avrà la possibilità, tramite l’apposita funzionalità all’interno del Software, di creare Credenziali di Accesso specifiche. Non sono consentiti accessi concorrenti, cioè contemporanei, al Software con le stesse Credenziali di Accesso. I Servizi Cloud possono essere utilizzati da postazioni differenti; fino a quando un Utente, identificato con le Credenziali di Accesso, ha avuto accesso al Software e lo sta utilizzando, non sarà possibile per altri Utenti accedere al Software utilizzando le medesime Credenziali di Accesso.
1.2 Il Cliente prende atto ed accetta che durante la vigenza del Contratto potrà incrementare in qualsiasi momento e con effetto immediato il numero di Utenti abilitati all’utilizzo dei Servizi Cloud tramite l’apposita funzionalità all’interno del Software. I relativi Corrispettivi aggiuntivi saranno addebitati al Cliente nella fattura successiva, che includerà anche l’ammontare dovuto per il periodo già fruito dagli Utenti aggiuntivi. Il Cliente prende atto ed accetta che durante la vigenza del Contratto potrà ridurre in qualsiasi momento il numero di Utenti abilitati all’utilizzo dei Servizi Cloud, tramite l’apposita funzionalità all’interno del Software, con effetto dal successivo rinnovo del Contratto.
1.3 Ove il Cliente abbia sottoscritto il Contratto per una versione base del Software, potrà effettuare in qualsiasi momento l’upgrade alla versione più evoluta del Software, con addebito dei relativi Corrispettivi nella fattura successiva, che includerà anche l’ammontare dovuto per il periodo già fruito dal Cliente. Resta inteso che l’eventuale upgrade alla versione più evoluta del Software riguarderà tutti gli Utenti attivati dal Cliente. Il Cliente potrà effettuare in qualsiasi momento il downgrade alla versione base del Software, con effetto dal successivo rinnovo del Contratto.
2. Controllate
2.1 In deroga a quanto previsto dalle Condizioni Generali, e in particolare a quanto previsto dagli artt. 2.2 e 10.3 delle stesse, il Software non potrà essere sub-licenziato dal Cliente alle Controllate. Nel caso in cui le Controllate del Cliente intendano fruire dei Servizi Cloud, le stesse dovranno sottoscrivere un autonomo contratto.
3. Pagamenti
3.1 Fermo restando quanto previsto dall’art. 7 delle Condizioni Generali, il Cliente prende atto ed accetta che i pagamenti dei Corrispettivi verranno effettuati secondo le modalità indicate nell’Ordine e/o nel Sito CRM in Cloud. I Corrispettivi, salvo diversamente indicato nell’Ordine, verranno fatturati da TeamSystem ogni 30 giorni, in via anticipata rispetto al periodo di competenza.
3.2 Nel caso in cui alla data di rinnovo del Contratto TeamSystem non riesca ad incassare i Corrispettivi dovuti dal Cliente (e.g. ove il saldo della carta di credito non sia sufficiente), le Parti convengono che, decorsi 10 (dieci) giorni, TeamSystem interromperà la fornitura dei Servizi Cloud e l’accesso al Software per un periodo di 90 giorni (il “Periodo di Stand-By”), trascorsi i quali il Contratto si intenderà automaticamente risolto. Nel corso del Periodo di Stand-By TeamSystem conserverà i dati immessi dal Cliente nel Software e li renderà nuovamente accessibili al Cliente nel caso in cui, nel corso del Periodo di Stand-By, questi provveda al pagamento dei Corrispettivi maturati. Scaduto il Periodo di Stand-By, TeamSystem avrà facoltà di cancellare in maniera permanente tutti i dati immessi dal Cliente nel Software.
4. Limitazione di responsabilità di TeamSystem
4.1 L’articolo 14.7 delle Condizioni Generali è sostituito dal seguente:
“14.7. Salvo il caso di dolo o colpa grave, la responsabilità di TeamSystem non potrà mai eccedere l’ammontare del Corrispettivi pagati dal Cliente ai sensi del presente Contratto. TeamSystem non potrà essere ritenuta responsabile per eventuali danni da lucro cessante, mancato guadagno o danni indiretti, perdita o danneggiamento di dati, fermo fabbrica, perdita di opportunità commerciali o di benefici di altro genere, pagamento di penali, ritardi o altre responsabilità del Cliente verso terzi.”
5. Durata.
5.1 L’articolo 17.1 delle Condizioni Generali è sostituito dal seguente:
“17.1 Fatto salvo quanto eventualmente e diversamente previsto nell’Ordine e quanto previsto dall’art. 9.1 delle Condizioni Integrative, il Contratto è valido ed efficace dalla data di sottoscrizione dello stesso e resta in vigore per i 30 (trenta) giorni successivi. Alla scadenza, il Contratto si rinnoverà automaticamente per periodi successivi di 30 (trenta) giorni, salvo che il Cliente non manifesti la sua intenzione di non rinnovare il Contratto e di cancellare il proprio “accoun t” tramite l’apposita funzionalità presente sul Software, prima della scadenza del Contratto. Inoltre, ove il Cliente abbia pre- acquistato un “pacchetto” di Servizi Cloud per una durata prestabilita, ai termini e alle condizioni previste nell’Ordine, alla scadenza di detto “pacchetto”, il Contratto tornerà a rinnovarsi per ulteriori periodi di 30 (trenta) giorni ai sensi delle previsioni che precedono.”
6. Recesso
6.1 L’articolo 18.1 delle Condizioni Generali è sostituito dal seguente:
“TeamSystem si riserva il diritto di recedere dal presente Contratto in ogni momento, con comunicazione a mezzo mail e/o PEC da inviarsi al Cliente con almeno 1 (un) mese di preavviso.”
7. Effetti della cessazione del Contratto e restituzione
7.1 In deroga a quanto previsto dall’art. 20.2 e dall’art. 12.1 MDPA, il Cliente avrà la facoltà di effettuare il download dei propri dati, documenti e/o contenuti nel corso del Periodo di Stand-by con le modalità indicate da TeamSystem. Il Cliente prende atto ed accetta che, decorso tale periodo, i dati saranno definitivamente cancellati.
8. API
8.1 Il Software è dotato di specifiche API che permettono lo scambio di dati e informazioni tra il Software e applicativi terzi (“Software Connessi”). Ferme restando le limitazioni di responsabilità a favore di TeamSystem di cui all’articolo 14 delle Condizioni Generali, TeamSystem, negli inderogabili limiti di legge, non potrà in alcun modo essere ritenuta responsabile per danni diretti o indiretti e/o perdite, di qualunque natura o entità, che il Cliente o terzi dovessero subire in conseguenza di malfunzionamenti e/o elaborazioni errate del Software che siano conseguenza di (i) errori e/o malfunzionamenti nell’elaborazione e/o nella trasmissione di dati e informazioni imputabili a ciascuno dei Software Connessi e/o (ii) di uno scorretto utilizzo dell’API da parte del Cliente.
9 Prova Gratuita
9.1 Ove previsto nell’Ordine, al Cliente è concesso un periodo d’uso gratuito del Software della durata indicata nel Sito CRM in Cloud (“Periodo di Prova”). Il Cliente, nel caso in cui intenda continuare ad utilizzare il Software successivamente alla scadenza del Periodo di Prova, dovrà procedere al pagamento dei Corrispettivi secondo quanto previsto dal Contratto. Alla scadenza del Periodo di Prova, ove il Cliente non abbia proceduto al pagamento dei Corrispettivi ai sensi del Contratto, la fornitura dei Servizi Cloud e l’accesso al Software saranno interrotti e troveranno applicazione le previsioni di cui all’art.
3.2 delle Condizioni Integrative. Il Cliente prende atto ed accetta che alla scadenza del Periodo di Xxxxx non potrà più usufruire di altri Periodi di Prova, anche in caso di successiva stipula di un nuovo Contratto, per i 90 giorni successivi alla scadenza del primo Periodo di Prova.