CED

Contratto di Elaborazione dei Dati

Stato: settembre 2023

Il presente Contratto di Elaborazione dei Dati regola gli obblighi in materia di protezione dei dati nelle relazioni contrattuali tra il fornitore PassSecurium, ALPEIN Software SWISS AG, Obergass 23, CH-8260 Stein am Rhein (di seguito denominato "Fornitore") e gli utenti del prodotto o clienti (di seguito denominati "Responsabile del trattamento"), ciascuno indicato singolarmente come "Parte" e congiuntamente come le "Parti".
In caso di divergenze tra la versione tedesca e quella inglese del presente documento, fa sempre fede la versione tedesca. La lingua contrattuale è il tedesco.

1. Oggetto
1.1. Tra le Parti esiste un rapporto giuridico che riguarda la trasmissione di dati personali dal cliente al responsabile del trattamento ("Contratto principale"). Alle relazioni giuridiche tra le Parti si applicano le Condizioni Generali di Contratto ("CG") del Fornitore. Il presente contratto è stipulato tra le Parti per garantire una protezione adeguata durante la trasmissione dei dati personali.
1.2. Salvo diversa definizione nel presente accordo, tutti i termini utilizzati hanno lo stesso significato previsto dalla Legge svizzera sulla protezione dei dati ("LPD"). Inoltre, il presente accordo aiuta le Parti a rispettare il Regolamento generale sulla protezione dei dati dell'UE ("GDPR") qualora i dati personali riguardino clienti dell'UE.

2. Descrizione del trattamento dei dati
2.1. Il Fornitore tratta i dati personali per conto del Responsabile del trattamento. Contenuto e durata del rapporto contrattuale, così come natura e scopo del trattamento, risultano di norma dalle CG e dall'Allegato A del presente contratto. Ulteriori dettagli sulle operazioni di trattamento dei dati sono riportati nell’informativa sulla privacy disponibile sul sito del prodotto del Fornitore.
2.2. Compilando il modulo d’ordine e creando un account utente nel portale clienti di PassSecurium, il Responsabile del trattamento incarica formalmente il Fornitore del relativo trattamento dei dati. I clienti possono aggiungere, modificare o revocare i propri incarichi tramite il portale clienti o notificando il Fornitore. Le richieste che modificano il servizio e che non sono regolate nelle CG sono considerate richieste speciali. Gli incarichi verbali devono essere confermati immediatamente per iscritto o registrati nel portale clienti.

3. Obblighi del Fornitore
3.1. Il Fornitore organizza internamente le proprie attività in modo tale da rispettare i requisiti della normativa sulla protezione dei dati. A tal fine, adotta le misure tecniche e organizzative ("TOM") adeguate, come descritto nell’Allegato C, per supportare il Responsabile del trattamento nell’adempimento dei propri obblighi ai sensi della LPD e del GDPR.
3.2. In base alla natura del trattamento e alle informazioni a sua disposizione, il Fornitore supporta il Responsabile del trattamento nell'adempimento dei suoi obblighi, tra cui: sicurezza del trattamento, notifica delle violazioni all’autorità di controllo, comunicazione agli interessati, valutazione d'impatto sulla protezione dei dati e consultazione dell'autorità competente.
3.3. Il Fornitore incarica solo personale vincolato alla riservatezza e precedentemente istruito sulle normative applicabili in materia di protezione dei dati.
3.4. Il Fornitore supporta il Responsabile del trattamento, nei limiti delle sue possibilità, nell’evasione delle richieste degli interessati e nell’adempimento degli obblighi legali sulla protezione dei dati.
3.5. Qualora venga a conoscenza di violazioni della protezione dei dati personali, il Fornitore adotta misure ragionevoli per garantire la sicurezza dei dati e ridurre al minimo eventuali danni per gli interessati. Si impegna inoltre a rispettare integralmente la normativa applicabile in materia di notifiche delle violazioni.
3.6. Se un interessato o un'autorità di controllo contatta direttamente il Fornitore in relazione ai dati personali oggetto del presente accordo, il Fornitore ne informa immediatamente il Responsabile del trattamento e concorda con lui i prossimi passi.
3.7. Inoltre, il Fornitore garantisce, in relazione al trattamento dei dati personali del Cliente, che:

• i dati personali saranno trattati conformemente al contratto di elaborazione dei dati stipulato e esclusivamente per gli scopi perseguiti dal Responsabile del trattamento;
• gli scopi perseguiti dal Responsabile derivano dall’Allegato A (punto 1.2), da istruzioni esplicite del Responsabile oppure da altri accordi stipulati con lo stesso;
• relativamente agli strumenti di lavoro, ai prodotti, all'infrastruttura IT e ai servizi del Fornitore, vengono rispettati i principi di “Data Privacy by Design” e “Data Privacy by Default”;
• il Responsabile del trattamento sarà informato nel caso in cui il Fornitore non sia più in grado di rispettare gli accordi;
• il Fornitore, qualora necessario, coopererà con le autorità di controllo competenti nel rispetto del quadro normativo vigente, in coordinamento e secondo le istruzioni del Responsabile del trattamento.

4. Obblighi del Titolare del trattamento
4.1. Nell’ambito del rapporto contrattuale, il Titolare del trattamento è responsabile del rispetto delle disposizioni in materia di protezione dei dati personali, in particolare per quanto riguarda la legittimità del trasferimento dei dati al Fornitore e della relativa elaborazione.
4.2. Il Titolare del trattamento ha verificato che le misure tecniche e organizzative (TOM) adottate dal Fornitore e descritte nell'Allegato C siano sufficienti a garantire una protezione adeguata dei dati personali trasmessi.
4.3. Il Titolare del trattamento è tenuto a comunicare tempestivamente e in modo esaustivo al Fornitore, per iscritto o tramite il sito web o il portale clienti PassSecurium, eventuali errori o anomalie nei dati elaborati nell’ambito concordato.
4.4. Il Titolare del trattamento fornisce al Fornitore il nominativo della persona di contatto per le questioni legate alla protezione dei dati derivanti dal rapporto contrattuale, qualora differisca dal referente già indicato.
4.5. Il Titolare dichiara di assumersi la piena responsabilità per l'informazione delle persone interessate dal trattamento riguardo alla possibile memorizzazione, utilizzo, elaborazione e comunicazione dei dati da parte del Fornitore, secondo quanto stabilito nelle CG, nell’informativa sulla privacy e nel presente contratto. Qualora singole persone interessate, ossia terzi o clienti del Titolare, non acconsentano al trattamento previsto, sarà responsabilità del Titolare cancellare tali dati dal rispettivo account cliente PassSecurium.
4.6. Con l'accettazione delle Condizioni Generali e del presente contratto, il Titolare del trattamento acconsente alla comunicazione dei propri dati al Fornitore stesso, nonché a terzi o subappaltatori incaricati dall’azienda. Il Titolare solleva il Fornitore da qualsiasi responsabilità. È responsabilità del Titolare ottenere il consenso delle persone interessate.

5. Subappaltatori (ulteriori Responsabili del trattamento)
5.1. Il Fornitore può avvalersi di subappaltatori o terzi per l'esecuzione dei servizi contrattuali concordati con il Titolare, secondo quanto stabilito nel contratto.
5.2. Il Fornitore garantisce contrattualmente che i principi contenuti nel presente accordo si applichino anche ai subappaltatori. I contratti tra Fornitore e subappaltatori devono essere stipulati per iscritto o in formato elettronico.
5.3. L’assegnazione di incarichi a subappaltatori situati in paesi terzi avverrà esclusivamente se sono rispettati i requisiti specifici previsti dal DSG e dal GDPR.
5.4. Se necessario, il Fornitore stipula contratti con subappaltatori o terzi coinvolti nell'esecuzione dell'incarico per garantire la piena conformità alle misure di protezione dei dati e di sicurezza delle informazioni. In caso di inadempienza del subappaltatore rispetto ai propri obblighi in materia di protezione dei dati, il Fornitore ne sarà responsabile nei confronti del Titolare e, se del caso, perseguibile.
5.5. Il Titolare acconsente alla collaborazione con i subappaltatori elencati nell'Allegato B. Qualora venga coinvolto un nuovo subappaltatore, il Fornitore è tenuto a informarne tempestivamente il Titolare. Il Titolare può opporsi a modifiche all’elenco dei subappaltatori per motivi rilevanti di protezione dei dati entro 14 giorni dalla presa visione. In assenza di opposizione entro tale termine, il consenso è considerato concesso. Se vi sono motivi rilevanti di natura legale e non si raggiunge un accordo, il Titolare può esercitare un diritto di recesso straordinario.
5.6. Anche i subappaltatori o terzi non avranno accesso ai dati personali. Se non elaborano dati personali, le disposizioni sui subappaltatori non si applicano.

6. Riservatezza
6.1. Il Fornitore conferma di conoscere le disposizioni pertinenti del DSG e del GDPR necessarie per l’esecuzione del presente contratto e si impegna a rispettare la riservatezza nel trattamento dei dati personali del Titolare. Questo obbligo rimane valido anche dopo la cessazione del contratto.
6.2. Il Fornitore garantisce che i dipendenti coinvolti nelle attività di trattamento siano a conoscenza delle norme sulla protezione dei dati a loro applicabili. Tali dipendenti devono essere vincolati per iscritto a mantenere la riservatezza e la segretezza durante e dopo la durata del contratto di lavoro, a meno che non siano soggetti per legge all’obbligo di riservatezza. Il Fornitore vigila sul rispetto delle normative sulla protezione dei dati all'interno della propria organizzazione.
6.3. Il Fornitore può trasmettere informazioni a terzi o soggetti interessati solo previa autorizzazione scritta del Titolare.

7. Misure tecniche e organizzative
7.1. Il Fornitore implementa le misure tecniche e organizzative (TOM) necessarie affinché il trattamento sia conforme ai requisiti del DSG e del GDPR, garantendo al contempo la protezione dei diritti delle persone interessate. L’organizzazione interna del Fornitore deve essere progettata in modo da soddisfare i requisiti specifici della protezione dei dati e garantire un livello adeguato di sicurezza. In particolare, il Fornitore deve garantire un livello sufficiente di sicurezza dei dati trattati, tenendo conto dello stato dell’arte, inclusi riservatezza (pseudonimizzazione e cifratura), disponibilità, integrità e resilienza contro attacchi e interruzioni.
7.2. Le TOM possono essere adattate all’evoluzione tecnologica durante la durata del contratto. Tuttavia, le misure aggiornate devono mantenere almeno lo stesso livello di sicurezza di quelle specificate nell’Allegato C.

8. Obblighi informativi del Provider e violazioni della protezione dei dati personali
8.1. Il Provider informerà immediatamente il Titolare del trattamento (Auftraggeber) in merito a qualsiasi violazione o sospetta violazione del presente accordo o dei principi relativi alla protezione dei dati personali.
8.2. Il Provider assisterà il Titolare nell’indagine, nella limitazione dei danni e nella risoluzione delle violazioni.
8.3. Qualora i dati personali trattati nell’ambito del presente accordo siano messi a rischio a causa di pignoramenti, sequestri, fallimento, procedure di insolvenza o altri eventi o interventi da parte di terzi, il Provider è tenuto a informare tempestivamente il Titolare. Il Provider informerà senza indugio tutte le parti coinvolte che il controllo dei dati rimane in capo al Titolare.
8.4. In caso di ispezione da parte di un’autorità di controllo della protezione dei dati, il Provider si impegna a comunicare al Titolare i risultati del trattamento dei dati personali effettuato in conformità al presente accordo. Il Provider eliminerà immediatamente eventuali carenze riscontrate nel rapporto di verifica e informerà il Titolare dell’avvenuta risoluzione.

9. Possibilità di verifica
9.1. Il Provider dimostrerà al Titolare il rispetto degli obblighi elencati nel presente allegato attraverso mezzi adeguati, quali autovalutazioni, audit interni e/o certificazioni ISO.
9.2. Qualora, in casi specifici, sia necessaria una verifica da parte del Titolare o di un revisore da lui incaricato (ad esempio in relazione alla LPD o al GDPR), questa avverrà di norma durante l’orario lavorativo e previo preavviso, secondo modalità concordate. Il Provider può subordinare la verifica alla comunicazione anticipata con un preavviso ragionevole e alla stipula di un accordo di riservatezza per la protezione dei dati di altri clienti e delle misure tecniche e organizzative. Se il revisore designato si trova in concorrenza con il Provider, quest’ultimo ha il diritto di rifiutare la nomina e proporre un revisore neutrale. Il Provider può addebitare al cliente i costi derivanti dalla verifica, in particolare se non vengono riscontrate violazioni.
9.3. In caso di ispezione da parte di un’autorità di controllo della protezione dei dati o di un'altra autorità pubblica competente del Titolare, si applicano le disposizioni del presente capitolo. Non è necessario un accordo di riservatezza se l’autorità di controllo è soggetta all’obbligo di segretezza professionale o legale, la cui violazione è punibile ai sensi del codice penale.

10. Durata e cessazione
10.1. Il Provider tratta e conserva i dati personali per tutta la durata del contratto principale tra le Parti. Il Provider corregge o cancella i dati contrattuali su istruzione del Titolare, purché rientri nell’ambito delle istruzioni ammissibili. Sono esclusi i dati necessari per l’adempimento di obblighi legali o per scopi interni. Il Provider ha il diritto di sospendere l'esecuzione di istruzioni abusive fino a che non sia dimostrata la loro legittimità. Per la fornitura dei dati e la relativa remunerazione si applicano le Condizioni Generali (CG).

11. Responsabilità
11.1. Il Provider è responsabile, nei limiti previsti dalla legge, dei danni derivanti da violazioni colpose delle normative sulla protezione dei dati o del presente accordo. È inoltre responsabile del comportamento colposo dei suoi subappaltatori e incaricati.
11.2. La responsabilità è regolata dalle disposizioni contenute nelle Condizioni Generali (CG).

12. Disposizioni finali
12.1. In aggiunta, si applicano le disposizioni delle Condizioni Generali e dell’Informativa sulla Privacy di PassSecurium. In caso di conflitto tra il presente contratto di trattamento dati e le CG, prevalgono le disposizioni delle CG. Qualora singole clausole del contratto risultino nulle, ciò non pregiudica la validità delle restanti disposizioni delle CG o del presente accordo.
12.2. Gli allegati A, B e C costituiscono parte integrante del presente contratto di trattamento dei dati.

1. Allegato A: Oggetto, natura e finalità
2. Allegato B: Subappaltatori
3. Allegato C: Misure tecniche e organizzative (TOM)

1. Allegato A – Oggetto, natura e finalità
1.1. Oggetto dell’incarico:
Trattamento dei dati personali del Titolare nell’ambito dell’utilizzo dei servizi di tipo Software-as-a-Service (SaaS).
1.2. Ambito e finalità del trattamento dei dati:
I dati personali trattati dal Titolare vengono trasmessi al Provider nell’ambito dell’offerta Software-as-a-Service. Il Provider tratta tali dati esclusivamente in conformità con le Condizioni Generali (CG) e le descrizioni dei servizi presenti sul sito web del Provider.
1.3. Tipologia di dati personali:

1.4. Categoria degli interessati:

2. Allegato B – Subappaltatori
2.1. Elenco dei subappaltatori:

3. Allegato C: Misure tecniche e organizzative (TOM)
3.1. Controllo degli accessi fisici
Impedire l’accesso non autorizzato agli impianti di elaborazione dei dati personali attraverso:

• Sistema di controllo degli accessi
• Porte con serrature di sicurezza e maniglie solo all’interno
• Assegnazione controllata e documentata delle chiavi, chiavi non duplicabili
• Inferriate alle finestre
• Registro dei visitatori
• Selezione accurata dei servizi di pulizia
• I dati dei clienti sono archiviati esclusivamente su server in data center ad alta sicurezza
• I data center dispongono di controlli d’accesso separati con standard di sicurezza elevati (es. scanner dell’iride, porte girevoli, videosorveglianza, ecc.)

3.2. Controllo degli accessi logici e dei diritti
Prevenzione della lettura, copia, modifica o rimozione non autorizzata all’interno del sistema di trattamento dei dati:

• Account personalizzati (ID utente univoco), nessun account condiviso
• Configurazione individuale dei diritti di accesso (limitati ai compiti assegnati)
• Numero minimo necessario di amministratori di sistema
• Login con ID utente, password e MFA
• Policy sulle password (elevati requisiti di sicurezza, cambio periodico)
• Utilizzo di un gestore di password centralizzato, secondo il principio del minimo privilegio
• Blocco automatico della sessione (timeout / blocco schermo)
• Crittografia dei supporti dati
• Separazione delle reti e accessi legati all’identità
• Formazione e sensibilizzazione del personale
• Controllo e documentazione delle autorizzazioni (es. profili, ruoli, transazioni)
• Misure per trasmissione, archiviazione o trasporto dei dati, incluso uso di crittografia / VPN / firma elettronica / protocollazione

3.3. Controllo degli input
Garantire che si possa verificare successivamente chi ha inserito, modificato o cancellato i dati:

• Registrazione degli accessi e disconnessioni
• Documentazione delle attività di manutenzione (in loco o da remoto)
• Verifica dell’integrità dei programmi e aggiornamenti (uso di MDM, aggiornamenti solo da amministratore)
• Controllo antivirus sui dispositivi di input/output
• Backup completo dei sistemi prima di interventi tecnici importanti

3.4. Controllo del trattamento su incarico
Assicurare che il trattamento dei dati avvenga esclusivamente secondo le istruzioni ricevute:

• Criteri rigorosi per la selezione dei subappaltatori
• Contratti chiari e dettagliati, istruzioni scritte
• Documentazione delle istruzioni, obblighi contrattuali dei dipendenti
• Contratti di trattamento dati su incarico
• Verifica delle TOM dei fornitori
• Controllo periodico dei subappaltatori
• Eliminazione dei dati al termine del contratto
• Verifica annuale del livello di protezione dei subappaltatori attivi per oltre un anno

3.5. Controllo della separazione
Assicurare che i dati raccolti per scopi diversi siano trattati separatamente:

• Separazione dei dati tra clienti diversi
• Separazione dei dati per finalità differenti
• Sistemi multi-tenant o separati per cliente
• Separazione tra ambienti di sviluppo, test e produzione
• Separazione fisica o logica
• Rispetto delle scadenze di cancellazione secondo la LPD svizzera

3.6. Controllo della trasmissione
Impedire lettura, copia, modifica o rimozione non autorizzata dei dati durante il trasferimento elettronico o fisico:

• Crittografia
• Connessioni VPN
• Protocollazione
• Trasmissione dei dati solo tramite sistema cloud criptato proprietario

3.7. Disponibilità e resilienza
Protezione contro distruzione o perdita accidentale o dolosa:

• Infrastruttura server propria in data center certificati
• Piano di emergenza per IT e violazioni della protezione dati
• Backup online/offline, procedure di backup
• Sistemi ridondanti
• Mirroring dei dischi (RAID)
• Alimentazione ininterrotta (UPS)
• Separazione fisica dei supporti dati
• Antivirus e firewall

3.8. Controllo organizzativo
Organizzazione efficace della protezione dei dati e della sicurezza IT:

• Impegno scritto dei dipendenti alla riservatezza
• Linee guida sull’uso dell’accesso a Internet e della posta aziendale
• Formazione regolare, manuali e policy interne
• Responsabili interni ed esterni per la protezione dei dati
• Audit dei processi interni
• Presenza di un concetto strutturato di protezione dei dati
• Piano di sicurezza IT
• Linee guida per il lavoro da remoto e utilizzo dispositivi privati (BYOD)

3.9. Impostazioni predefinite favorevoli alla privacy (Privacy by Default / Privacy by Design)
Raccolta solo dei dati strettamente necessari per lo scopo

• Progettazione del software per richiedere il minimo indispensabile di dati
• Misure tecniche per agevolare l’esercizio del diritto di revoca
• Principio del "Zero Knowledge" – nessun accesso ai dati dei clienti

3.10. Controllo dell’efficacia
Garantire che le misure tecniche e organizzative siano efficaci:

• Verifica periodica delle misure tecniche e organizzative
• Controllo regolare della funzionalità di antivirus e firewall
• Verifica e documentazione regolare della gestione delle autorizzazioni
• Certificazione ISO:27001
• Audit da parte di provider esterni
• Test di penetrazione