L'esportatore dei dati garantisce di aver compiuto sforzi ragionevoli per determinare che l'importatore dei dati è in grado, attraverso l'attuazione di misure tecniche e organizzative adeguate, di soddisfare i propri obblighi ai sensi delle presenti Clausole.
(a) L'importatore dovrà trattare i dati personali solo su istruzioni documentate dell'esportatore. L'esportatore di dati può impartire tali istruzioni per tutta la durata del contratto.
(b) L'importatore di dati dovrà informare immediatamente l'esportatore se non è in grado di seguire tali istruzioni.
L'importatore dovrà trattenere i dati personali solo per le finalità specifiche del trasferimento, come indicato nell'Allegato I.B, salvo ulteriori istruzioni dell'esportatore.
Su richiesta, l'esportatore di dati dovrà mettere gratuitamente a disposizione dell'interessato una copia delle presenti Clausole, compresa l'Appendice compilata dalle Parti. Nella misura in cui è necessario proteggere i segreti aziendali o altre informazioni riservate, comprese le misure descritte nell'Allegato II e i dati personali, l'esportatore di dati può censurare parte del testo dell'Appendice alle presenti Clausole prima di condividerne una copia, ma deve fornire una sintesi significativa qualora l'interessato non sia altrimenti in grado di comprenderne il contenuto o di esercitare i propri diritti. Su richiesta, le Parti dovranno fornire all'interessato i motivi delle censure, per quanto possibile senza rivelare le informazioni oscurate. La presente Clausola non pregiudica gli obblighi dell'esportatore di dati ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679.
Se l'importatore si rende conto che i dati personali ricevuti sono inesatti o sono diventati obsoleti, dovrà informare l'esportatore senza indugi. In questo caso, l'importatore dei dati dovrà collaborare con l'esportatore per cancellare o rettificare i dati.
Il trattamento da parte dell'importatore di dati dovrà avvenire solo per la durata specificata nell'Allegato I.B. Al termine della fornitura dei servizi di trattamento, l'importatore di dati dovrà, a discrezione dell'esportatore, eliminare tutti i dati personali trattati per conto dell'esportatore di dati e certificare all'esportatore di averlo fatto, oppure restituire all'esportatore di dati tutti i dati personali trattati per suo conto ed eliminare le copie esistenti. Finché i dati non saranno eliminati o restituiti, l'importatore di dati dovrà continuare a garantire la conformità alle presenti Clausole. In caso di leggi locali applicabili all'importatore di dati che vietino la restituzione o l'eliminazione dei dati personali, l'importatore di dati garantisce che continuerà a garantire il rispetto delle presenti Clausole e tratterà i dati solo nella misura e per il tempo stabiliti dalla legge locale. Ciò non pregiudica la Clausola 14, in particolare l'obbligo per l'importatore di dati ai sensi della Clausola 14(e) di notificare all'esportatore di dati per tutta la durata del contratto se ha motivo di credere che sia o sia diventato soggetto a leggi o prassi non in linea con i requisiti di cui alla Clausola 14(a).
(a) L'importatore dei dati e, durante la trasmissione, anche l'esportatore dei dati devono attuare misure tecniche e organizzative adeguate per garantire la sicurezza dei dati, compresa la protezione contro una violazione della sicurezza che comporti la distruzione accidentale o illegale, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso a tali dati (di seguito "violazione dei dati personali"). Nel valutare il livello di sicurezza adeguato, le Parti tengono in debita considerazione lo stato dell'arte, i costi di attuazione, la natura, l'ambito, il contesto e le finalità del trattamento, nonché i rischi che il trattamento comporta per gli interessati. Le Parti valutano in particolare la possibilità di ricorrere alla crittografia o alla pseudonimizzazione, anche durante la trasmissione, qualora la finalità del trattamento possa essere soddisfatta in tal modo. In caso di pseudonimizzazione, le informazioni aggiuntive per l'attribuzione dei dati personali a un soggetto specifico rimarranno, ove possibile, sotto il controllo esclusivo dell'esportatore dei dati. Nell'adempiere agli obblighi di cui al presente paragrafo, l'importatore di dati deve almeno attuare le misure tecniche e organizzative specificate nell'Allegato II. L'importatore di dati deve effettuare controlli regolari per garantire che tali misure continuino a fornire un livello di sicurezza adeguato.
(b) L'importatore di dati dovrà concedere l'accesso ai dati personali ai membri del suo personale solo nella misura strettamente necessaria per l'attuazione, la gestione e il monitoraggio del contratto. Dovrà garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un obbligo di riservatezza previsto dalla legge.
(c) In caso di violazione dei dati personali trattati dall'importatore ai sensi delle presenti Clausole, l'importatore di dati dovrà adottare le misure appropriate per affrontare la violazione, comprese le misure per attenuarne gli effetti negativi. L'importatore di dati dovrà inoltre notificare all'esportatore di dati, senza indugi, il fatto di essere venuto a conoscenza della violazione. Tale notifica dovrà contenere gli estremi di un punto di contatto presso il quale ottenere maggiori informazioni, una descrizione della natura della violazione (comprese, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni di dati personali interessati), le sue probabili conseguenze e le misure adottate o proposte per affrontare la violazione, comprese, eventualmente, le misure per attenuarne i possibili effetti negativi. Se e nella misura in cui non è possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale dovrà contenere le informazioni disponibili in quel momento e le ulteriori informazioni, man mano che si rendono disponibili, dovranno essere fornite successivamente senza indebito ritardo.
(d) L'importatore di dati dovrà collaborare con l'esportatore e assisterlo per consentirgli di adempiere agli obblighi previsti dal Regolamento (UE) 2016/679, in particolare di notificare l'autorità di controllo competente e gli interessati, tenendo conto della natura del trattamento e delle informazioni a disposizione dell'importatore.
Qualora il trasferimento riguardi dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale, dati genetici o biometrici al fine di identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale di una persona, o dati relativi a condanne penali e reati (di seguito "dati sensibili"), l'importatore dei dati dovrà applicare le restrizioni specifiche e/o le garanzie supplementari descritte nell'Allegato I.B.
L'importatore di dati dovrà divulgare i dati personali a terzi solo su istruzioni documentate dell'esportatore di dati. Inoltre, i dati possono essere comunicati a terzi situati al di fuori dell'Unione Europea (4) (nello stesso Paese dell'importatore dei dati o in un altro Paese terzo, di seguito "trasferimento successivo") solo se il terzo è o accetta di essere vincolato dalle presenti Clausole, in base al Modulo appropriato, o se:
(a) il trasferimento successivo è verso un Paese che beneficia di una decisione di adeguatezza ai sensi dell'articolo 45 del Regolamento (UE) 2016/679 in materia di trasferimento successivo;
(b) il terzo assicura altrimenti salvaguardie adeguate ai sensi degli articoli 46 o 47 del Regolamento (UE) 2016/679 rispetto al trattamento in questione;
(c) il trasferimento successivo è necessario per l'accertamento, l'esercizio o la difesa di diritti legali nell'ambito di specifici procedimenti amministrativi, regolamentari o giudiziari; oppure
(d) il trasferimento successivo è necessario per proteggere gli interessi vitali dell'interessato o di un'altra persona fisica.
Qualsiasi trasferimento successivo è soggetto al rispetto da parte dell'importatore dei dati di tutte le altre garanzie previste dalle presenti Clausole, in particolare la limitazione delle finalità.
(a) L'importatore di dati dovrà trattare prontamente e adeguatamente le richieste dell'esportatore di dati relative al trattamento ai sensi delle presenti Clausole.
(b) Le Parti dovranno essere in grado di dimostrare la conformità alle presenti Clausole. In particolare, l'importatore di dati dovrà conservare una documentazione adeguata sulle attività di trattamento svolte per conto dell'esportatore di dati.
(c) L'importatore dei dati dovrà mettere a disposizione dell'esportatore tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti Clausole e, su richiesta dell'esportatore, dovrà consentire e contribuire alle verifiche delle attività di trattamento oggetto delle presenti Clausole, a intervalli ragionevoli o in caso di indizi di non conformità. Nel decidere in merito a una revisione o un'ispezione, l'esportatore di dati può tenere conto delle certificazioni pertinenti in possesso dell'importatore di dati.
(d) L'esportatore di dati può scegliere di condurre l'accertamento da solo o di incaricare un revisore indipendente. Gli accertamenti possono comprendere ispezioni presso i locali o le strutture fisiche dell'importatore di dati e dovranno, se del caso, essere effettuati con un ragionevole preavviso.
(e) Le Parti dovranno mettere a disposizione dell'autorità di vigilanza competente, su richiesta, le informazioni di cui ai paragrafi (b) e (c), compresi i risultati di eventuali accertamenti.
(a) L'importatore di dati dispone dell'autorizzazione generale dell'esportatore per l'assunzione di sub-responsabili da un elenco concordato. L'importatore di dati dovrà informare specificamente per iscritto l'esportatore di dati di qualsiasi modifica che si intenda apportare a tale elenco attraverso l'aggiunta o la sostituzione di sub-responsabili con almeno quattordici giorni di anticipo, dando così all'esportatore di dati il tempo sufficiente per potersi opporre a tali modifiche prima dell'assunzione del o dei sub-responsabili. L'importatore di dati dovrà fornire all'esportatore le informazioni necessarie per consentirgli di esercitare il proprio diritto di opposizione.
(b) Qualora l'importatore di dati incarichi un sub-responsabile di svolgere specifiche attività di trattamento (per conto dell'esportatore di dati), dovrà farlo mediante un contratto scritto che preveda, in sostanza, gli stessi obblighi di protezione dei dati che vincolano l'importatore di dati ai sensi delle presenti Clausole, anche in termini di diritti di terzi beneficiari per gli interessati. (8) Le Parti convengono che, rispettando la presente Clausola, l'importatore di dati adempie ai propri obblighi ai sensi della Clausola 8.8. L'importatore di dati dovrà garantire che il sub-responsabile rispetti gli obblighi a cui è soggetto l'importatore di dati ai sensi delle presenti Clausole.
(c) L'importatore di dati dovrà fornire all'esportatore, su richiesta di quest'ultimo, una copia di tale accordo con il sub-responsabile e di ogni successiva modifica. Nella misura necessaria a proteggere i segreti aziendali o altre informazioni riservate, compresi i dati personali, l'importatore di dati può censurare il testo dell'accordo prima di condividerne una copia.
(d) L'importatore di dati dovrà rimanere pienamente responsabile nei confronti dell'esportatore per l'adempimento degli obblighi del sub-responsabile ai sensi del contratto con l'importatore di dati. L'importatore di dati dovrà notificare all'esportatore di dati l'eventuale inadempimento da parte del sub-responsabile degli obblighi previsti dal contratto.
(e) L'importatore dovrà concordare con il sub-responsabile una clausola di terzo beneficiario in base alla quale, nel caso in cui l'importatore sia scomparso di fatto, abbia cessato di esistere giuridicamente o sia diventato insolvente, l'esportatore avrà il diritto di risolvere il contratto di subappalto del trattamento e di ordinare al sub-responsabile di cancellare o restituire i dati personali.
(a) L'importatore di dati dovrà notificare tempestivamente all'esportatore qualsiasi richiesta ricevuta da un interessato. Non risponderà direttamente a tale richiesta, a meno che non sia stato autorizzato dall'esportatore dei dati.
(b) L'importatore di dati dovrà assistere l'esportatore nell'adempimento degli obblighi di risposta alle richieste degli interessati per l'esercizio dei loro diritti ai sensi del Regolamento (UE) 2016/679. A questo proposito, le Parti stabiliscono nell'Allegato II le misure tecniche e organizzative adeguate, tenendo conto della natura del trattamento, con cui fornire l'assistenza, nonché la portata e l'entità dell'assistenza richiesta.
(c) Nell'adempimento degli obblighi di cui ai paragrafi (a) e (b), l'importatore di dati dovrà osservare le istruzioni dell'esportatore di dati.
(a) L'importatore di dati dovrà informare gli interessati in modo trasparente e facilmente accessibile, tramite una comunicazione individuale o sul proprio sito web, di un punto di contatto autorizzato a gestire i reclami. Dovrà gestire tempestivamente eventuali reclami ricevuti da un soggetto interessato.
(b) In caso di controversia tra un soggetto interessato e una delle Parti per quanto riguarda l'osservanza delle presenti Clausole, la Parte in questione dovrà fare del suo meglio per risolvere la questione in via amichevole in modo tempestivo. Le Parti dovranno tenersi reciprocamente informate su tali controversie ed eventualmente collaborare alla loro risoluzione.
(c) Qualora l'interessato invochi un diritto di terzo beneficiario ai sensi della Clausola 3, l'importatore di dati dovrà accettare la decisione dell'interessato di:
(i) presentare un reclamo all'autorità di vigilanza dello Stato membro in cui risiede abitualmente o lavora, o all'autorità di vigilanza competente ai sensi della Clausola 13;
(ii) deferire la controversia ai tribunali competenti ai sensi della Clausola 18.
(d) Le Parti accettano che l'interessato possa essere rappresentato da un ente, un'organizzazione o un'associazione senza scopo di lucro alle condizioni di cui all'articolo 80, paragrafo 1, del Regolamento (UE) 2016/679.
(e) L'importatore di dati dovrà attenersi a una decisione vincolante ai sensi del diritto dell'UE o degli Stati membri.
(f) L'importatore di dati accetta che la scelta effettuata dall'interessato non pregiudichi i suoi diritti sostanziali e procedurali di ricorso in conformità alle leggi applicabili.
(a) Ciascuna Parte sarà responsabile nei confronti di ciascuna altra Parte per qualsiasi danno causato all'altra Parte da qualsiasi violazione delle presenti Clausole.
(b) L'importatore di dati sarà responsabile nei confronti dell'interessato, e quest'ultimo avrà diritto a ricevere un risarcimento, per qualsiasi danno materiale o morale che l'importatore di dati o il suo sub-responsabile causino all'interessato violando i diritti del terzo beneficiario ai sensi delle presenti Clausole.
(c) In deroga al paragrafo (b), l'esportatore di dati sarà responsabile nei confronti dell'interessato, e quest'ultimo avrà diritto a ricevere un risarcimento, per qualsiasi danno materiale o morale che l'esportatore di dati o l'importatore di dati (o il suo sub-responsabile) provochi all'interessato violando i diritti del terzo beneficiario ai sensi delle presenti Clausole. Ciò non pregiudica la responsabilità dell'esportatore di dati e, qualora l'esportatore di dati sia un responsabile del trattamento che agisce per conto di un titolare del trattamento, la responsabilità del titolare del trattamento ai sensi del Regolamento (UE) 2016/679 o del Regolamento (UE) 2018/1725, a seconda dei casi.
(d) Le Parti convengono che se l'esportatore di dati è ritenuto responsabile ai sensi del paragrafo (c) per i danni causati dall'importatore di dati (o dal suo sub-responsabile), avrà il diritto di richiedere all'importatore di dati la parte del risarcimento corrispondente alla responsabilità dell'importatore di dati per il danno.
(e) Nel caso in cui più di una Parte sia responsabile di eventuali danni causati all'interessato a seguito di una violazione delle presenti Clausole, tutte le Parti responsabili saranno responsabili in solido e l'interessato avrà il diritto di intentare un'azione legale contro una qualsiasi di queste Parti.
(f) Le Parti convengono che se una Parte è ritenuta responsabile ai sensi del paragrafo (e), essa avrà il diritto di richiedere all'altra Parte/alle altre Parti la percentuale del risarcimento corrispondente alla sua responsabilità per il danno.
(g) L'importatore di dati non può invocare la condotta di un sub-responsabile per evitare la propria responsabilità.
(a) Le parti convengono che l'autorità di controllo responsabile di garantire il rispetto del Regolamento (UE) 2016/679 da parte dell'esportatore di dati per quanto riguarda il trasferimento dei dati sarà l'Autorità olandese garante della protezione dei dati (Autoriteit Persoonsgegevens), che agirà come autorità di controllo competente.
(b) L'importatore dei dati si impegna a sottoporsi alla giurisdizione dell'autorità di controllo competente e a collaborare con essa in tutte le procedure volte a garantire il rispetto delle presenti Clausole. In particolare, l'importatore di dati si impegna a rispondere alle richieste di informazioni, a sottoporsi a verifiche e a rispettare le misure adottate dall'autorità di controllo, comprese le misure correttive e compensative. Dovrà fornire all'autorità di vigilanza una conferma scritta che le azioni necessarie sono state intraprese.
