Il presente Accordo sul trattamento dei dati (“DPA”) costituisce parte dell'accordo che disciplina l'utilizzo della Piattaforma e dei Servizi KWIGA, inclusi i Termini e condizioni di KWIGA (l'“Accordo”), tra:
TUTERIA VCC, con sede legale in 17A Vrabcha Street, Piano 1, Appartamento 3, 1000 Sofia, Bulgaria (“KWIGA”, “TUTERIA”, “noi”, “ci” o il “Responsabile del trattamento”),
e
la persona fisica, società, organizzazione, scuola, Esperto, creatore di corsi o altra entità che utilizza i Servizi KWIGA e determina le finalità e i mezzi del trattamento dei dati personali tramite la Piattaforma KWIGA (il “Cliente”, l'“Utente della Piattaforma” o il “Titolare del trattamento”).
Il presente DPA si applica qualora e nella misura in cui TUTERIA VCC tratti i Dati personali per conto del Cliente in relazione alla fornitura dei Servizi KWIGA.
Il presente DPA integra l'Accordo e deve essere interpretato congiuntamente all'Informativa sulla privacy di KWIGA Informativa sulla privacy e ad altri documenti contrattuali applicabili.
Ai fini del presente DPA:
“Leggi applicabili in materia di protezione dei dati” indica tutte le leggi sulla protezione dei dati e sulla privacy applicabili al trattamento dei Dati personali ai sensi del presente DPA, incluso, ove applicabile, il Regolamento (UE) 2016/679 (“GDPR”).
“Titolare del trattamento”, “Responsabile del trattamento”, “Interessato”, “Dati personali”, “Trattamento”, “Violazione dei dati personali” e “Autorità di controllo” hanno il significato loro attribuito dal GDPR o da altre Leggi applicabili in materia di protezione dei dati.
“Cliente” indica l'Utente della Piattaforma che utilizza i Servizi KWIGA e determina le finalità e i mezzi del Trattamento dei Dati di servizio.
“Dati di servizio” indica i Dati personali caricati, raccolti tramite, generati all'interno o altrimenti trattati tramite la Piattaforma KWIGA dal Cliente o per suo conto in relazione al suo utilizzo dei Servizi.
I Dati di servizio possono includere Dati personali trattati tramite il CRM, l'LMS, i corsi, i programmi educativi, le funzionalità di gestione degli studenti e dei clienti, gli strumenti di comunicazione, le automazioni, le valutazioni e altre funzionalità della Piattaforma utilizzate dal Cliente.
“Sub-responsabile del trattamento” indica una terza parte incaricata da KWIGA di Trattare i Dati di servizio per conto del Cliente.
Qualora il Cliente determini le finalità e i mezzi del Trattamento dei Dati di servizio, il Cliente agisce in qualità di Titolare del trattamento di tali Dati personali.
Il Cliente è responsabile delle proprie attività di Trattamento e del rispetto degli obblighi applicabili ai Titolari del trattamento ai sensi delle Leggi applicabili in materia di protezione dei dati.
Qualora TUTERIA VCC Tratti i Dati di servizio per conto del Cliente e in conformità alle istruzioni del Cliente, TUTERIA VCC agisce in qualità di Responsabile del trattamento.
TUTERIA VCC tratterà tali Dati di servizio in conformità al presente DPA, all'Accordo, alle istruzioni documentate del Cliente e alle Leggi applicabili in materia di protezione dei dati.
Alcune attività di Trattamento possono essere svolte da TUTERIA VCC per finalità determinate indipendentemente da TUTERIA VCC.
Tali finalità possono includere, ove applicabile:
amministrazione e gestione della Piattaforma KWIGA;
sicurezza e integrità della Piattaforma;
prevenzione di frodi e abusi;
rilevamento e indagine su accessi non autorizzati e incidenti di sicurezza;
conformità agli obblighi di legge o regolamentari;
gestione dei rapporti contrattuali propri di TUTERIA VCC;
accertamento, esercizio o difesa di diritti in sede giudiziaria; e
altre finalità descritte nell'Informativa sulla privacy di KWIGA.
Qualora TUTERIA VCC determini autonomamente le finalità e i mezzi di tale Trattamento, TUTERIA VCC agisce in qualità di Titolare del trattamento indipendente rispetto a tale Trattamento.
Tale Trattamento è disciplinato dall'Informativa sulla privacy di KWIGA Informativa sulla privacy e dalle Leggi Applicabili in materia di Protezione dei Dati e non costituisce un Trattamento effettuato da TUTERIA VCC in qualità di Responsabile del trattamento ai sensi del presente DPA.
Il fatto che il Cliente e TUTERIA VCC possano Trattare determinate informazioni relative allo stesso Interessato non implica, di per sé, che le parti agiscano in qualità di contitolari del trattamento.
Il ruolo di ciascuna parte sarà determinato con riferimento alle finalità e ai mezzi della relativa attività di Trattamento.
Il Cliente è tenuto a rispettare le Leggi Applicabili in materia di Protezione dei Dati in relazione alla raccolta, all'uso, alla divulgazione e ad altri Trattamenti dei Dati del Servizio.
Il Cliente è responsabile di garantire che:
a. disponga di un'adeguata base giuridica per il Trattamento dei Dati del Servizio;
b. i Dati del Servizio siano stati raccolti lecitamente;
c. i Dati del Servizio siano comunicati lecitamente o altrimenti messi a disposizione di KWIGA per il Trattamento;
d. gli Interessati ricevano tutte le informative sulla privacy e le informazioni richieste ai sensi delle Leggi Applicabili in materia di Protezione dei Dati;
e. sia stato validamente ottenuto qualsiasi consenso richiesto per le attività di Trattamento del Cliente;
f. le istruzioni del Cliente a KWIGA siano conformi alle Leggi Applicabili in materia di Protezione dei Dati;
g. il Cliente tratti esclusivamente i Dati Personali necessari per le proprie finalità legittime e lecite; e
h. siano stabiliti periodi di conservazione appropriati per i Dati del Servizio sotto il controllo del Cliente.
Il Cliente non deve utilizzare i Servizi per raccogliere o Trattare Categorie particolari di Dati Personali ai sensi dell'Articolo 9 del GDPR, salvo che il Cliente abbia stabilito una valida base giuridica e, ove richiesto, una condizione applicabile ai sensi dell'Articolo 9 del GDPR per tale Trattamento.
Qualora il Cliente utilizzi questionari, moduli, campi personalizzati, contenuti caricati o altre funzionalità dei Servizi per raccogliere o Trattare tali dati, il Cliente agisce in qualità di Titolare del trattamento ed è responsabile di determinare la liceità, le finalità e l'ambito di tale Trattamento, di fornire agli Interessati tutte le informazioni richieste, di ottenere il consenso esplicito qualora si faccia affidamento sul consenso e di rispettare tutti gli altri requisiti applicabili delle Leggi Applicabili in materia di Protezione dei Dati.
KWIGA Tratta tali Dati del Servizio per conto del Cliente e in conformità alle istruzioni documentate del Cliente e al presente DPA.
Il Cliente incarica KWIGA di Trattare i Dati del Servizio nella misura necessaria per:
fornire i Servizi selezionati e configurati dal Cliente;
ospitare e mantenere i Dati del Servizio;
fornire funzionalità CRM, LMS e altre funzionalità della Piattaforma;
fornire accesso a corsi e altri prodotti;
amministrare le funzionalità selezionate dal Cliente;
fornire supporto tecnico;
mantenere e proteggere i Servizi; e
eseguire altrimenti il Contratto e le istruzioni documentate del Cliente.
L’utilizzo e la configurazione della Piattaforma KWIGA da parte del Cliente, comprese le impostazioni, le azioni e le funzionalità attivate dal Cliente, nonché la creazione e la pubblicazione da parte del Cliente di pagine web, moduli, informative e altri materiali mediante la Piattaforma, possono essere considerati istruzioni documentate ai fini del presente DPA.
Il Cliente determina autonomamente il contenuto della propria Informativa sulla privacy, delle informative sulla privacy, dei moduli e degli altri materiali forniti agli Interessati mediante la Piattaforma ed è responsabile di garantire che tali materiali siano conformi alla Normativa Applicabile in materia di Protezione dei Dati e riflettano l’effettivo trattamento dei dati personali del Cliente. KWIGA non è tenuta a verificare o approvare il contenuto di tali materiali.
Qualora KWIGA ritenga ragionevolmente che un'istruzione del Cliente violi le Leggi applicabili in materia di protezione dei dati, KWIGA informerà il Cliente senza indebito ritardo.
KWIGA potrà sospendere il Trattamento pertinente nella misura ragionevolmente necessaria fino a quando l'istruzione non sarà modificata, chiarita o confermata come lecita.
KWIGA tratterà i Dati del Servizio esclusivamente in base alle istruzioni documentate del Cliente, salvo che il Trattamento sia richiesto dal diritto applicabile dell'Unione o di uno Stato membro.
Qualora KWIGA sia tenuta per legge a Trattare i Dati del Servizio diversamente dalle istruzioni del Cliente, KWIGA informerà il Cliente di tale obbligo legale prima del Trattamento, salvo che la legge vieti tale informazione per importanti motivi di interesse pubblico.
KWIGA garantirà che le persone autorizzate a Trattare i Dati del Servizio:
Trattino tali dati solo nella misura necessaria per l'esecuzione delle proprie mansioni;
siano soggette a adeguati obblighi di riservatezza; e
ricevano accesso solo ove ragionevolmente necessario.
KWIGA implementerà misure tecniche e organizzative adeguate, concepite per proteggere i Dati del Servizio in conformità alla Sezione 7 e all'Appendice B del presente DPA.
Tenendo conto della natura del Trattamento e delle informazioni a disposizione di KWIGA, KWIGA fornirà ragionevole assistenza al Cliente nell'adempimento dei propri obblighi ai sensi delle Leggi applicabili in materia di protezione dei dati, inclusi gli obblighi relativi a:
richieste degli Interessati;
sicurezza del Trattamento;
Violazioni dei Dati Personali;
valutazioni d'impatto sulla protezione dei dati; e
consultazioni con le Autorità di controllo, ove applicabile.
KWIGA manterrà registri e informazioni relativi alle proprie attività di Trattamento nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati.
Il Cliente, in qualità di Titolare del trattamento, è il principale responsabile della risposta alle richieste degli Interessati relative ai Dati del Servizio Trattati da KWIGA per conto del Cliente.
KWIGA fornisce al Cliente funzionalità e/o meccanismi adeguati per accedere, gestire ed esportare i Dati del Servizio sotto il controllo del Cliente e, ove supportato dalla funzionalità pertinente, per correggere o cancellare tali Dati del Servizio, fatti salvi i requisiti legali applicabili.
Tenendo conto della natura del Trattamento, KWIGA fornirà ragionevole assistenza al Cliente mediante misure tecniche e organizzative adeguate, nella misura del possibile, per l'adempimento degli obblighi del Cliente di rispondere alle richieste degli Interessati.
Qualora KWIGA riceva una richiesta di un Interessato relativa principalmente a Dati del Servizio per i quali il Cliente è il Titolare del trattamento, KWIGA potrà indirizzare l'Interessato al Cliente e, ove appropriato, informare il Cliente della richiesta.
KWIGA non risponderà autonomamente a tale richiesta per conto del Cliente, salvo che:
riceva istruzioni dal Cliente;
sia consentito ai sensi del Contratto; oppure
sia richiesto dalla legge applicabile.
Accettando il presente DPA, il Cliente fornisce a KWIGA un'istruzione documentata permanente per trattare e, ove applicabile, cancellare o anonimizzare i Dati del Servizio in risposta alle richieste di cancellazione presentate dagli Interessati.
Qualora KWIGA riceva una richiesta da parte di un Interessato relativa ai Dati del Servizio per i quali il Cliente agisce in qualità di Titolare del Trattamento, KWIGA informerà il Cliente di tale richiesta e gli offrirà la possibilità di fornire ulteriori istruzioni documentate o istruzioni documentate contrarie a quelle iniziali.
Se il Cliente non fornisce istruzioni documentate contrarie a quelle iniziali entro quattordici (14) giorni di calendario dalla data della notifica di KWIGA, KWIGA è autorizzata e incaricata di procedere alla cancellazione o all'anonimizzazione dei relativi Dati del Servizio in conformità al presente DPA e alla Normativa Applicabile in materia di Protezione dei Dati. Il periodo di quattordici (14) giorni di calendario costituisce un termine contrattuale entro il quale il Cliente può fornire istruzioni a KWIGA e non stabilisce né modifica alcun termine previsto dalla legge applicabile al Cliente o a KWIGA ai sensi della Normativa Applicabile in materia di Protezione dei Dati, incluso il GDPR, il California Consumer Privacy Act, come modificato, o il Texas Data Privacy and Security Act.
KWIGA può procedere a tale cancellazione o anonimizzazione salvo che il Cliente abbia fornito istruzioni documentate contrarie a quelle iniziali entro il termine applicabile di quattordici (14) giorni di calendario. I Dati Personali non saranno cancellati né anonimizzati nella misura in cui la loro ulteriore conservazione o il loro trattamento siano richiesti dalla Normativa Applicabile in materia di Protezione dei Dati o dal presente DPA.
Il Cliente, in qualità di Titolare del trattamento, è responsabile di determinare periodi di conservazione adeguati per i Dati del Servizio Trattati per finalità determinate dal Cliente, fatti salvi gli accordi di conservazione e cancellazione stabiliti ai sensi del presente DPA e del Contratto.
Ai Dati del Servizio possono applicarsi periodi di conservazione diversi a seconda della natura e della finalità dei dati interessati e della funzionalità attraverso la quale tali dati vengono Trattati.
A seguito della cessazione o della scadenza dell’abbonamento del Cliente, i Dati del Servizio relativi al Cliente interessato possono essere conservati per un periodo massimo di novanta (90) giorni dalla data di conclusione del periodo di abbonamento del Cliente, al fine di consentire la riattivazione, il recupero dei dati e la cessazione ordinata dell’utilizzo dei Servizi.
Alla scadenza del suddetto periodo di 90 giorni, l’account e/o la scuola interessati possono essere disattivati, nascosti o altrimenti resi inaccessibili tramite l’interfaccia ordinaria della Piattaforma KWIGA, senza eliminare o modificare i Dati del Servizio ivi contenuti.
I relativi Dati del Servizio possono essere conservati per un ulteriore periodo massimo di novanta (90) giorni al fine di consentirne il ripristino, risolvere questioni tecniche o contrattuali e garantire la conclusione ordinata della fornitura dei Servizi.
Alla scadenza di un periodo complessivo di centottanta (180) giorni dalla cessazione o dalla scadenza dell’abbonamento, i relativi Dati del Servizio saranno eliminati dai sistemi attivi della Piattaforma KWIGA in conformità alle procedure applicabili di conservazione e cancellazione dei dati.
La procedura di cui sopra si applica nel rispetto delle istruzioni documentate del relativo Titolare del trattamento, del presente DPA e delle Leggi Applicabili in materia di Protezione dei Dati. Essa non si applica ai Dati Personali che TUTERIA VCC Tratta autonomamente e lecitamente in qualità di Titolare del trattamento indipendente ai sensi della Sezione 5.7.
I Dati del Servizio sono generalmente conservati per la durata dell'utilizzo da parte del Cliente dei Servizi KWIGA pertinenti e in conformità a:
le istruzioni documentate del Cliente;
il presente DPA;
il Contratto; e
Leggi applicabili in materia di protezione dei dati.
Nulla in questa Sezione solleva il Cliente dalla propria responsabilità, in qualità di Titolare del trattamento, di determinare se specifici Dati del Servizio rimangano necessari e debbano continuare a essere conservati.
KWIGA fornisce al Cliente funzionalità e/o meccanismi appropriati per accedere, gestire ed esportare i Dati del Servizio sotto il controllo del Cliente e, ove supportato dalla funzionalità pertinente, per eliminare tali Dati del Servizio, fatti salvi i requisiti legali applicabili.
Qualora il Cliente elimini manualmente un contatto o altri Dati del Servizio tramite la Piattaforma KWIGA, i relativi dati saranno inizialmente sottoposti a cancellazione logica (soft deletion) e rimarranno recuperabili per un periodo massimo di trenta (30) giorni dalla data della cancellazione. Trascorso tale periodo, i relativi Dati Personali saranno eliminati in modo permanente dai sistemi attivi della Piattaforma KWIGA, fatti salvi i requisiti di legge applicabili e la conservazione dei dati che il Responsabile del trattamento è legalmente autorizzato o tenuto a conservare.
A seguito della cessazione o della scadenza dell’abbonamento del Cliente, i Dati del Servizio possono essere conservati secondo i periodi e le condizioni stabiliti nella Sezione 5.2.
Durante i primi novanta (90) giorni, al Cliente può essere concessa una ragionevole possibilità di recuperare o esportare i Dati del Servizio, compatibilmente con le funzionalità dei relativi Servizi.
Alla scadenza di tale periodo, l’account e/o la scuola interessati possono essere disattivati, nascosti o resi inaccessibili tramite l’interfaccia ordinaria della Piattaforma KWIGA. I Dati del Servizio possono essere conservati per un ulteriore periodo massimo di novanta (90) giorni in conformità alla Sezione 5.2.
Alla scadenza di un periodo complessivo di centottanta (180) giorni dalla cessazione o dalla scadenza dell’abbonamento, i relativi Dati del Servizio saranno eliminati dai sistemi attivi della Piattaforma KWIGA in conformità alle procedure di cancellazione applicabili, al presente DPA, alle istruzioni documentate del Titolare del trattamento e alle Leggi Applicabili in materia di Protezione dei Dati.
Qualora i Dati del Servizio rimangano temporaneamente in sistemi di backup, ripristino di emergenza o sistemi analoghi dopo l'eliminazione dai sistemi attivi, tali dati resteranno soggetti ad adeguate misure di sicurezza e non saranno ripristinati né utilizzati per il Trattamento ordinario, salvo ove necessario per il ripristino di emergenza, la sicurezza, la conformità legale o altri legittimi scopi tecnici.
Tali copie saranno eliminate o sovrascritte in conformità alle procedure applicabili di conservazione dei backup di KWIGA.
Qualora i Dati del Servizio siano eliminati manualmente dal Cliente e successivamente eliminati in modo permanente dai sistemi attivi, copie di tali dati potranno rimanere nei sistemi di backup creati prima della cancellazione permanente per un ulteriore periodo massimo di sette (7) giorni. Trascorso tale periodo, tali copie saranno eliminate o sovrascritte in conformità alle procedure applicabili di conservazione dei backup.
La presente Sezione si applica ai Dati del Servizio Trattati da TUTERIA VCC in qualità di Responsabile del trattamento.
Non richiede a TUTERIA VCC di eliminare i Dati Personali che TUTERIA VCC Tratta in modo indipendente e lecito in qualità di Titolare del trattamento.
Tali dati possono essere conservati ove necessario per le finalità descritte nella Informativa sulla privacy e in conformità alle Leggi applicabili in materia di protezione dei dati.
Il Cliente fornisce un'autorizzazione generale a KWIGA affinché ricorra a Sub-responsabili del trattamento ove ragionevolmente necessario per la fornitura, la manutenzione, il supporto, il funzionamento o la sicurezza dei Servizi KWIGA.
Prima di consentire a un Sub-responsabile del trattamento di Trattare i Dati del Servizio, KWIGA garantirà che il Sub-responsabile del trattamento sia soggetto a obblighi contrattuali di protezione dei dati che forniscano un livello adeguato di protezione per i Dati del Servizio e siano conformi ai requisiti applicabili ai sub-responsabili del trattamento ai sensi delle Leggi applicabili in materia di protezione dei dati.
KWIGA rimarrà responsabile dell'adempimento dei propri obblighi di protezione dei dati da parte dei suoi Sub-responsabili del trattamento nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati.
KWIGA metterà a disposizione dei Clienti informazioni riguardanti i Sub-responsabili del trattamento pertinenti attraverso un meccanismo appropriato.
Ove richiesto dalle Leggi applicabili in materia di protezione dei dati, KWIGA fornirà un ragionevole preavviso delle modifiche sostanziali previste riguardanti l'aggiunta o la sostituzione di Sub-responsabili del trattamento.
Il Cliente può sollevare ragionevoli obiezioni relative specificamente a problematiche di protezione dei dati derivanti dal Sub-responsabile del trattamento proposto.
Le parti collaboreranno in buona fede per affrontare tali ragionevoli obiezioni.
Qualora un Cliente abiliti o colleghi autonomamente un'integrazione di terze parti utilizzando il proprio account, le proprie credenziali o chiavi API, TUTERIA tratta e trasmette i Dati del Servizio a tale terza parte su istruzioni documentate del Cliente.
Il Cliente è responsabile di determinare se il proprio utilizzo di tale servizio di terze parti sia conforme alle Leggi applicabili in materia di protezione dei dati, inclusa la definizione di eventuali accordi contrattuali richiesti e garanzie per il trasferimento internazionale dei dati con tale terza parte.
Tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'ambito, del contesto e delle finalità del Trattamento, nonché dei rischi di probabilità e gravità variabili per i diritti e le libertà delle persone fisiche, KWIGA implementerà e manterrà misure tecniche e organizzative adeguate volte a garantire un livello di sicurezza appropriato al rischio.
A seconda della natura e dei rischi del Trattamento pertinente, tali misure possono includere:
a. meccanismi di controllo degli accessi e autorizzazione;
b. misure volte a mantenere un'adeguata separazione e autorizzazione tra gli ambienti e i dati del Cliente;
c. misure di autenticazione e gestione degli accessi;
d. registrazione e monitoraggio;
e. misure progettate per rilevare attività sospette, abusi e accessi non autorizzati;
f. controlli del traffico e delle richieste, inclusi controlli delle tariffe ove appropriato;
g. gestione delle vulnerabilità;
h. test di sicurezza;
i. procedure di rilevamento e risposta agli incidenti;
j. misure di backup e ripristino;
k. controlli relativi all'accesso da parte di appaltatori, fornitori di servizi e altre persone autorizzate;
l. procedure per la revisione degli eventi e degli incidenti di sicurezza; e
m. revisione e test periodici dei pertinenti controlli tecnici e organizzativi di sicurezza.
Ulteriori informazioni sulle categorie di misure tecniche e organizzative implementate da KWIGA sono riportate in Appendice B.
KWIGA può aggiornare periodicamente le proprie misure tecniche e organizzative per riflettere:
sviluppi tecnologici;
rischi identificati;
modifiche ai Servizi;
risultati delle revisioni di sicurezza;
incidenti di sicurezza; e
modifiche alla legge applicabile.
Tali modifiche non ridurranno sostanzialmente il livello complessivo di protezione fornito ai Dati del Servizio.
KWIGA notificherà al Cliente senza indebito ritardo dopo essere venuta a conoscenza di una Violazione dei Dati Personali che interessi i Dati del Servizio Trattati da KWIGA per conto del Cliente.
Nella misura in cui le informazioni pertinenti siano ragionevolmente disponibili per KWIGA, la notifica includerà:
a. una descrizione della natura della Violazione dei Dati Personali;
b. le categorie di Dati Personali interessati;
c. le categorie di Interessati coinvolti;
d. il numero approssimativo di Interessati coinvolti, ove noto;
e. il numero approssimativo di registrazioni di Dati Personali interessate, ove noto;
f. le probabili conseguenze della Violazione dei Dati Personali, ove ragionevolmente determinabili;
g. le misure adottate o proposte per contenere, indagare e porre rimedio alla Violazione dei Dati Personali; e
h. i recapiti o un altro canale di contatto appropriato attraverso cui ottenere ulteriori informazioni.
Qualora tutte le informazioni pertinenti non siano disponibili al momento della notifica iniziale, KWIGA potrà fornire inizialmente le informazioni disponibili e integrarle in fasi man mano che l'indagine procede.
KWIGA adotterà misure appropriate per:
indagare sull'incidente;
identificarne la natura e la portata;
contenere l'incidente;
mitigare gli effetti negativi ragionevolmente prevedibili;
preservare le prove pertinenti;
porre rimedio alle vulnerabilità individuate, ove appropriato; e
adottare misure ragionevoli volte a ridurre il rischio di recidiva.
Tenendo conto della natura del Trattamento e delle informazioni disponibili a KWIGA, KWIGA fornirà ragionevole assistenza al Cliente nell'adempimento degli obblighi applicabili relativi a:
notifica a un'Autorità di controllo;
comunicazione agli Interessati coinvolti;
valutazione dei rischi per i diritti e le libertà delle persone fisiche; e
documentazione della Violazione dei Dati Personali.
Il Cliente rimane responsabile, nella sua qualità di Titolare del trattamento, di determinare se una Violazione dei Dati Personali che interessa i Dati del Servizio richieda:
notifica a un'Autorità di controllo;
comunicazione agli Interessati coinvolti; oppure
qualsiasi altra azione richiesta dalle Leggi Applicabili in materia di Protezione dei Dati.
Ciò non pregiudica alcun obbligo legale indipendente di TUTERIA VCC relativo ai Dati Personali per i quali TUTERIA VCC agisce in qualità di Titolare del trattamento.
La notifica di una Violazione dei Dati Personali o la cooperazione in relazione ad essa non costituisce, di per sé, un'ammissione di colpa o responsabilità da parte di nessuna delle parti.
Qualora i Dati del Servizio siano Trattati all'interno dello Spazio economico europeo (“SEE”), tale Trattamento non costituisce un trasferimento verso un paese terzo ai fini del Capitolo V del GDPR.
Qualora KWIGA o un Subresponsabile autorizzato trasferisca i Dati del Servizio al di fuori del SEE verso una giurisdizione che non sia stata riconosciuta come in grado di garantire un livello di protezione adeguato ai sensi della legge applicabile, KWIGA garantirà l'attuazione di un meccanismo di trasferimento appropriato, ove richiesto.
Tali meccanismi possono includere:
una decisione di adeguatezza adottata dalla Commissione europea;
Clausole contrattuali standard approvate dalla Commissione europea;
Norme vincolanti d'impresa, ove applicabili; oppure
un altro meccanismo di trasferimento lecito riconosciuto dalle Leggi Applicabili in materia di Protezione dei Dati.
Ove richiesto dalle Leggi Applicabili in materia di Protezione dei Dati, KWIGA implementerà misure supplementari adeguate al trasferimento pertinente e ai rischi associati.
KWIGA fornirà, su richiesta del Cliente e ove richiesto dalle Leggi Applicabili in materia di Protezione dei Dati, informazioni ragionevoli in merito alle garanzie applicabili per i trasferimenti internazionali.
KWIGA metterà a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare la conformità agli obblighi di KWIGA in qualità di Responsabile del trattamento ai sensi delle Leggi Applicabili in materia di Protezione dei Dati.
Su ragionevole richiesta scritta, KWIGA fornirà informazioni pertinenti riguardo a:
il proprio Trattamento dei Dati del Servizio;
le misure tecniche e organizzative applicabili;
i Subresponsabili pertinenti; e
altre questioni ragionevolmente necessarie affinché il Cliente possa valutare la conformità di KWIGA al presente DPA.
Qualora le informazioni messe a disposizione da KWIGA non siano ragionevolmente sufficienti a dimostrare la conformità e qualora un audit sia richiesto dalle Leggi Applicabili in materia di Protezione dei Dati, KWIGA consentirà e contribuirà a ragionevoli audit o ispezioni relativi al Trattamento dei Dati del Servizio.
Salvo diversa richiesta da parte di un'Autorità di controllo o delle Leggi Applicabili in materia di Protezione dei Dati, il Cliente dovrà:
fornire un ragionevole preavviso scritto di un audit;
limitare l'audit alle questioni pertinenti al Trattamento ai sensi del presente DPA;
condurre l'audit durante il normale orario lavorativo, ove ragionevolmente possibile;
evitare inutili perturbazioni alle operazioni di KWIGA; e
garantire che i revisori siano soggetti ad adeguati obblighi di riservatezza.
Un audit non darà diritto al Cliente o al suo revisore di accedere a:
Dati personali appartenenti a un altro Cliente;
informazioni riservate di un altro Cliente;
informazioni che comprometterebbero la sicurezza dei sistemi KWIGA;
codice sorgente o altra proprietà intellettuale protetta, salvo ove specificamente richiesto dalla legge applicabile; o
informazioni non correlate alle attività di Trattamento del Cliente.
Le parti coopereranno in buona fede in merito a ragionevoli richieste di audit da parte delle competenti Autorità di controllo.
Tenendo conto della natura del Trattamento e delle informazioni a disposizione di KWIGA, KWIGA fornirà ragionevole assistenza al Cliente per le valutazioni d'impatto sulla protezione dei dati qualora il Cliente sia tenuto a effettuare tale valutazione ai sensi delle Leggi applicabili in materia di protezione dei dati.
Ove richiesto dalle Leggi applicabili in materia di protezione dei dati, KWIGA fornirà ragionevole assistenza in relazione alla consultazione preventiva con un'Autorità di controllo competente riguardo al Trattamento effettuato tramite i Servizi.
Ciascuna parte proteggerà i Dati personali e le informazioni riservate ricevuti in relazione al presente DPA dalla divulgazione non autorizzata.
KWIGA garantirà che appaltatori, fornitori di servizi e altre persone autorizzate a Trattare i Dati dei Servizi siano soggetti ad adeguati obblighi di riservatezza o a un applicabile obbligo legale di riservatezza.
Il Cliente garantirà che le credenziali, i diritti di accesso e le funzionalità amministrative rese disponibili tramite la Piattaforma KWIGA siano utilizzati esclusivamente da persone debitamente autorizzate.
Ciascuna parte manterrà registri relativi alle proprie attività di Trattamento nella misura richiesta dalle Leggi applicabili in materia di protezione dei dati.
Le parti coopereranno ragionevolmente tra loro, ove necessario, per rispondere a richieste legittime delle Autorità di controllo relative al Trattamento disciplinato dal presente DPA.
Nessuna disposizione del presente DPA richiede a una delle parti di divulgare informazioni qualora la divulgazione sia vietata dalla legge applicabile.
Ciascuna parte sarà responsabile della propria conformità alle Leggi applicabili in materia di protezione dei dati e degli obblighi ad essa attribuiti ai sensi del presente DPA.
La responsabilità tra le parti derivante dal presente DPA o a esso connessa sarà soggetta alle limitazioni ed esclusioni di responsabilità contenute nell'Accordo, nella misura consentita dalle Leggi applicabili in materia di protezione dei dati.
Nessuna disposizione del presente DPA esclude o limita la responsabilità qualora tale esclusione o limitazione sia vietata dalla legge applicabile.
Il presente DPA diventa efficace quando il Cliente è vincolato dall'Accordo e KWIGA inizia a Trattare i Dati dei Servizi per conto del Cliente.
Il presente DPA rimane efficace finché KWIGA Tratta i Dati dei Servizi per conto del Cliente.
La risoluzione o la scadenza dell'Accordo non pregiudica le disposizioni del presente DPA che, per loro natura, sono destinate a sopravvivere alla risoluzione, incluse le disposizioni relative alla riservatezza, alla cancellazione o restituzione dei Dati dei Servizi, alla responsabilità e alla legge applicabile.
Il presente DPA costituisce parte dell'Accordo tra il Cliente e TUTERIA VCC che disciplina l'uso dei Servizi KWIGA.
In caso di conflitto tra il presente DPA e un'altra disposizione dell'Accordo relativa al Trattamento dei Dati dei Servizi da parte di TUTERIA VCC in qualità di Responsabile del trattamento, il presente DPA prevarrà con riferimento alla questione confliggente in materia di protezione dei dati.
L'Informativa sulla privacy di KWIGA Informativa sulla privacy disciplina le attività di Trattamento per le quali TUTERIA VCC agisce in qualità di Titolare del trattamento.
Il presente DPA disciplina il Trattamento dei Dati dei Servizi effettuato da TUTERIA VCC per conto del Cliente in qualità di Responsabile del trattamento.
Il presente DPA sarà disciplinato dalla legge applicabile all'Accordo tra il Cliente e TUTERIA VCC, fatti salvi gli obblighi inderogabili delle Leggi applicabili in materia di protezione dei dati.
Nessuna disposizione del presente DPA limita l'applicazione del GDPR o i poteri e la competenza di un'Autorità di controllo competente qualora tale legge o competenza si applichi.
KWIGA può aggiornare il presente DPA ove ragionevolmente necessario per:
conformarsi alle modifiche delle Leggi applicabili in materia di protezione dei dati;
riflettere le modifiche ai Servizi KWIGA;
aggiornare le misure tecniche o organizzative;
aggiornare le modalità di Trattamento; oppure
chiarire i diritti e gli obblighi delle parti.
Qualora una modifica incida materialmente sul Trattamento dei Dati di Servizio o sui diritti e obblighi del Cliente in materia di protezione dei dati, KWIGA fornirà un ragionevole preavviso ove richiesto dalla legge applicabile o dal Contratto.
Le domande riguardanti il presente DPA o il Trattamento dei Dati di Servizio da parte di KWIGA per conto di un Cliente possono essere inviate a:
TUTERIA VCC
Via Vrabcha 17A, Piano 1, App. 3
1000 Sofia, Bulgaria
Email: support@kwiga.com
La presente Appendice costituisce parte integrante dell'Accordo sul Trattamento dei Dati.
Trattamento dei Dati di Servizio da parte di KWIGA nella misura necessaria a fornire, mantenere, supportare e proteggere i Servizi KWIGA selezionati e configurati dal Cliente.
Per la durata dell'utilizzo da parte del Cliente dei relativi Servizi KWIGA. A seguito della cessazione o della scadenza dell'abbonamento del Cliente, i Dati di Servizio specifici del Cliente possono essere conservati per un massimo di novanta (90) giorni dalla fine del periodo di abbonamento del Cliente, al fine di consentire la riattivazione, il recupero dei dati e la cessazione ordinata dei Servizi.
Alla scadenza di tale periodo, i Dati Personali contenuti nei Dati di Servizio specifici del Cliente, compresi i dati relativi agli ordini associati, saranno anonimizzati in conformità alla Sezione 5 del DPA e alle procedure di conservazione applicabili di KWIGA. Trascorsi ulteriori novanta (90) giorni da tale anonimizzazione, i dati corrispondenti saranno eliminati in modo permanente dai sistemi attivi della Piattaforma KWIGA in conformità alle procedure applicabili di conservazione ed eliminazione, salvo che la conservazione continuativa sia richiesta dalla legge applicabile o altrimenti consentita ai sensi del DPA. Qualora TUTERIA VCC Tratti Dati Personali per conto del Cliente in qualità di Responsabile del trattamento, il presente processo di conservazione ed eliminazione si applicherà nel rispetto delle istruzioni documentate del Cliente, dell'accordo sul trattamento dei dati applicabile e delle Leggi Applicabili in materia di Protezione dei Dati.
I Dati Personali Trattati da TUTERIA VCC nella sua qualità di Titolare del trattamento indipendente sono soggetti ai periodi di conservazione applicabili a tale Trattamento.
A seconda dei Servizi selezionati e configurati dal Cliente, il Trattamento può includere:
raccolta;
registrazione;
organizzazione;
strutturazione;
conservazione;
hosting;
adattamento;
recupero;
consultazione;
utilizzo;
trasmissione;
messa a disposizione;
amministrazione;
analisi secondo le istruzioni del Cliente;
limitazione;
esportazione;
eliminazione;
anonimizzazione; e
altro Trattamento necessario per fornire i Servizi selezionati.
Trattamento dei Dati di Servizio per le finalità determinate dal Cliente, incluse, a seconda dell'uso di KWIGA da parte del Cliente:
gestione di studenti e clienti;
funzionalità CRM;
funzionalità LMS;
erogazione e amministrazione di corsi e programmi educativi;
amministrazione dell'accesso ai prodotti digitali;
test, quiz e compiti;
monitoraggio dei progressi del corso;
certificati;
comunicazione con studenti e clienti;
funzionalità di e-mail e notifiche;
automazioni;
amministrazione degli ordini;
funzionalità di integrazione;
assistenza clienti;
reportistica e analisi selezionate dal Cliente; e
altre funzionalità abilitate o configurate dal Cliente.
A seconda dell'uso dei Servizi da parte del Cliente, gli Interessati possono includere:
studenti;
discenti;
clienti;
potenziali clienti;
abbonati;
partecipanti ai corsi;
dipendenti e collaboratori del Cliente;
docenti;
amministratori;
assistenti;
rappresentanti del Cliente; e
altre persone i cui Dati Personali sono inviati o trattati tramite la Piattaforma KWIGA dal Cliente o per suo conto.
A seconda dei Servizi utilizzati dal Cliente, i Dati di Servizio possono includere:
Informazioni sull'identità e sul profilo
nome;
secondo nome;
cognome;
immagine del profilo;
identificatori dell'account o del profilo.
Informazioni di contatto
indirizzo email;
numero di telefono;
altri dettagli di contatto forniti dal Cliente o dall'Interessato.
Informazioni educative e di apprendimento
corsi e programmi;
iscrizione;
informazioni di accesso;
avanzamento del corso;
completamento della lezione;
risposte a quiz e test;
risultati dei test;
punteggi;
compiti;
commenti;
certificati;
traguardi;
punti e stati.
Informazioni sul CRM e sulla gestione dei clienti
tag;
gruppi;
stato del cliente;
note;
cronologia del cliente;
cronologia delle comunicazioni;
campi personalizzati configurati dal Cliente.
Informazioni relative a ordini e transazioni
identificatori degli ordini;
prodotti;
importi;
valute;
sconti;
coupon;
stato del pagamento;
date delle transazioni;
informazioni sui rimborsi;
parametri di rateizzazione o abbonamento;
altre informazioni sugli ordini trattate per conto del Cliente.
KWIGA non richiede ai Clienti di inserire dati di sicurezza delle carte di pagamento, quali numeri completi delle carte o codici CVC, nei normali campi dei Dati di servizio CRM o LMS.
Comunicazioni
messaggi;
email;
commenti;
informazioni relative all'assistenza;
altre comunicazioni elaborate tramite le funzionalità selezionate dal Cliente.
Informazioni tecniche
Nella misura in cui sono Trattati per conto del Cliente:
indirizzo IP;
informazioni di accesso/attività;
informazioni sul dispositivo o sul browser;
identificatori tecnici;
marche temporali.
I Servizi KWIGA non richiedono al Cliente di Trattare Categorie particolari di dati personali. Tuttavia, i Dati di servizio possono includere Categorie particolari di dati personali qualora il Cliente scelga di raccogliere o altrimenti Trattare tali dati tramite questionari, moduli, campi personalizzati, contenuti caricati, comunicazioni o altre funzionalità configurabili dei Servizi.
Il Cliente determina il contenuto e le finalità di tale Trattamento ed è responsabile di stabilire una base giuridica applicabile e, ove richiesto, una condizione applicabile ai sensi dell'articolo 9 del GDPR.
Il Trattamento può avvenire in modo continuo o periodico per la durata dell'utilizzo da parte del Cliente dei Servizi pertinenti, a seconda delle funzionalità selezionate e delle istruzioni del Cliente.
TUTERIA VCC implementa misure tecniche e organizzative progettate per fornire un livello di sicurezza adeguato ai rischi associati al Trattamento dei Dati di servizio.
Le misure descritte di seguito rappresentano categorie di misure di sicurezza e possono essere adattate o integrate di volta in volta in base alla natura del Trattamento, agli sviluppi tecnologici, ai rischi individuati e alle modifiche ai Servizi KWIGA.
KWIGA implementa misure progettate per limitare l'accesso ai Dati personali e alle funzionalità della Piattaforma a utenti, persone e sistemi autorizzati.
Tali misure possono includere:
autenticazione degli utenti;
gestione di ruoli e autorizzazioni;
controlli di autorizzazione;
restrizioni di accesso basate sul contesto pertinente dell'utente o del Cliente;
gestione e revisione dei diritti di accesso interni; e
misure progettate per prevenire accessi non autorizzati tra gli ambienti dei Clienti.
KWIGA implementa controlli tecnici progettati per garantire che l'accesso ai dati dei Clienti sia adeguatamente limitato in base al Cliente, all'account, alla scuola, al progetto o ad altro contesto di autorizzazione applicabile.
I controlli di autorizzazione vengono riesaminati e testati in modo appropriato rispetto alle funzionalità pertinenti.
KWIGA utilizza meccanismi di registrazione e monitoraggio adeguati al funzionamento e alla sicurezza dei Servizi.
Tali misure possono includere:
registrazione dell'applicazione e del sistema;
monitoraggio degli eventi di sicurezza;
rilevamento di attività sospette;
monitoraggio degli errori;
monitoraggio del traffico;
analisi di attività insolite o potenzialmente abusive; e
conservazione dei registri pertinenti relativi agli incidenti di sicurezza.
KWIGA implementa misure progettate per rilevare, limitare e rispondere ad abusi, accessi non autorizzati e uso improprio automatizzato delle funzionalità della Piattaforma.
A seconda del servizio o dell'endpoint pertinente, tali misure possono includere:
controlli delle richieste;
controlli della frequenza;
restrizioni di accesso;
meccanismi di blocco automatizzati o manuali;
rilevamento di attività sospette; e
ulteriori controlli di verifica o autorizzazione.
KWIGA mantiene processi per identificare, valutare e correggere le vulnerabilità di sicurezza.
Tali misure possono includere:
revisioni della sicurezza;
test dei controlli di autorizzazione;
test automatizzati, ove appropriato;
correzione delle vulnerabilità;
revisione dei risultati di sicurezza;
test di regressione; e
verifica delle misure correttive.
KWIGA mantiene processi progettati per rilevare, escalare, indagare, contenere e risolvere gli incidenti di sicurezza e le violazioni dei dati personali.
Tali processi possono includere:
escalation degli incidenti;
indagine tecnica;
conservazione e analisi dei log pertinenti;
misure di contenimento;
correzione;
valutazione dei rischi;
valutazione delle notifiche alle autorità di regolamentazione e ai Clienti;
revisione post-incidente; e
attuazione di azioni correttive.
Le persone autorizzate ad accedere ai Dati del Servizio sono soggette a obblighi di riservatezza appropriati.
L'accesso ai Dati personali è fornito in base alle esigenze operative ed è limitato ove ragionevolmente praticabile.
KWIGA mantiene processi di backup e ripristino adeguati ai Servizi e all'infrastruttura pertinenti.
I dati di backup sono soggetti ad adeguati controlli di accesso e sicurezza.
I Dati Personali eliminati possono rimanere temporaneamente nei sistemi di backup fino alla loro eliminazione o sovrascrittura in conformità alle procedure applicabili di conservazione dei backup.
KWIGA implementa misure volte a supportare la disponibilità e la resilienza dei Servizi adeguate alla natura e al rischio del Trattamento pertinente.
Le misure tecniche e organizzative possono essere riesaminate e aggiornate in base a:
modifiche alla Piattaforma;
rischi per la sicurezza identificati;
risultati delle valutazioni delle vulnerabilità;
incidenti;
modifiche ai requisiti legali applicabili; e
sviluppi tecnologici.
Gli aggiornamenti non ridurranno sostanzialmente il livello complessivo di protezione fornito ai Dati del Servizio.