Accordo sul Trattamento dei Dati

KS Agents tratterà i dati personali solo su istruzioni documentate del Titolare, anche in merito ai trasferimenti di dati personali verso un paese terzo o un'organizzazione internazionale, salvo che non sia richiesto dal diritto dell'Unione o dello Stato membro cui è soggetto KS Agents; in tal caso, KS Agents informerà il Titolare di tale obbligo legale prima del trattamento, a meno che tale legge non vieti tale informazione per motivi di interesse pubblico.

I Termini di Servizio e il presente DPA costituiscono l'insieme completo delle istruzioni documentate. Il Titolare può impartire ulteriori istruzioni tramite l'interfaccia amministrativa della piattaforma o per iscritto a [email protected]. KS Agents informerà tempestivamente il Titolare se, a suo ragionevole parere, un'istruzione viola la normativa applicabile sulla protezione dei dati.

KS Agents garantisce che le persone autorizzate a trattare i dati personali per suo conto si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. L'accesso ai contenuti dei clienti è limitato al personale di KS Agents e ai sub-responsabili che necessitano di accesso per fornire i Servizi.

KS Agents implementerà e manterrà le misure tecniche e organizzative stabilite nell'Allegato C. Tali misure tengono conto dello stato dell'arte, dei costi di attuazione e della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche. KS Agents può aggiornare di volta in volta le misure di cui all'Allegato C, a condizione che le misure aggiornate mantengano almeno un livello di sicurezza equivalente.

Accettando il presente DPA, il Titolare concede a KS Agents l'autorizzazione scritta generale a ricorrere ai sub-responsabili elencati nell'Allegato B (Registro dei Sub-responsabili).

Ai fini della presente clausola, sub-responsabile indica una terza parte incaricata dagli Agenti KS che ha accesso ai contenuti del cliente in relazione alla fornitura dei Servizi. I servizi accessori che non implicano tale accesso, tra cui telecomunicazioni e connettività, fornitori postali e di spedizione, strumenti di manutenzione e supporto per gli utenti finali e altre misure intese a salvaguardare la riservatezza, la disponibilità, l'integrità e la resilienza dei sistemi di KS Agents, non sono subresponsabili del trattamento ai sensi della presente clausola e non richiedono notifica ai sensi della presente sezione.

KS Agents informerà il Titolare con almeno 30 giorni di anticipo prima di aggiungere o sostituire qualsiasi sub-responsabile che possa accedere ai contenuti dei clienti, aggiornando il registro dei sub-responsabili su ks-agents.com/legal/subprocessors/ e inviando una notifica via email all'indirizzo email registrato dal Titolare.

Il Titolare può opporsi per iscritto a tale aggiunta o sostituzione entro il periodo di preavviso di 30 giorni, per fondati motivi di protezione dei dati. Se un'obiezione non viene risolta entro il periodo di preavviso, il Titolare può terminare i Servizi interessati senza penali fornendo un preavviso scritto prima della data di entrata in vigore prevista per il nuovo sub-responsabile.

Qualora KS Agents ricorra a un sub-responsabile, imporrà a tale sub-responsabile gli stessi obblighi in materia di protezione dei dati stabiliti nel presente DPA, in particolare fornendo garanzie sufficienti per l'implementazione di misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del GDPR.

KS Agents assisterà il Titolare nel rispondere alle richieste degli interessati che esercitano i loro diritti ai sensi del Capo III del GDPR (compresi i diritti di accesso, rettifica, cancellazione, limitazione di trattamento, portabilità dei dati e opposizione).

KS Agents fornisce strumenti self-service per i diritti sui dati (cancellazione ed esportazione) accessibili agli utenti all'interno della piattaforma. KS Agents informerà il Titolare di qualsiasi richiesta diretta di un interessato ricevuta entro 5 giorni lavorativi e non risponderà a tale richiesta senza la preventiva autorizzazione del Titolare, a meno che non sia richiesto dalla legge applicabile.

L'assistenza di KS Agents è fornita gratuitamente per le richieste che possono essere soddisfatte utilizzando gli strumenti standard della piattaforma. KS Agents può addebitare una tariffa ragionevole per le richieste che richiedono estrazioni personalizzate o uno sforzo insolito.

Tenendo conto della natura del trattamento e delle informazioni disponibili, KS Agents assisterà il Titolare nel garantire il rispetto dei propri obblighi ai sensi degli Articoli 32–36 del GDPR, inclusi: (a) sicurezza del trattamento; (b) notifica delle violazioni dei dati personali all'autorità di controllo; (c) comunicazione delle violazioni dei dati personali agli interessati; (d) valutazioni d'impatto sulla protezione dei dati; e (e) consultazione preventiva con le autorità di controllo.

Al momento della risoluzione dei Termini di Servizio per qualsiasi motivo, KS Agents, a scelta del Titolare e su richiesta scritta presentata entro 30 giorni dalla risoluzione: (a) cancellerà tutti i contenuti del cliente e fornirà certificazione scritta dell'avvenuta cancellazione; oppure (b) restituirà tutti i contenuti del cliente in formato leggibile da dispositivo automatico (JSON/CSV).

Se non viene ricevuta alcuna istruzione entro 30 giorni dalla risoluzione, KS Agents eliminerà tutti i contenuti del cliente. KS Agents può conservare i dati personali ove richiesto dal diritto dell'Unione o dello Stato membro applicabile; in tal caso KS Agents informerà il Titolare dell'obbligo di conservazione e della base giuridica.

Eliminazione del backup. L'obbligo di eliminazione di cui sopra non si estende alle copie di backup che esistono esclusivamente per scopi di ripristino di emergenza. Tali backup vengono conservati per un periodo di tempo massimo di 7 giorni dalla loro creazione, non sono accessibili per il recupero o il ripristino normalmente e scadono automaticamente. Gli agenti KS non ripristineranno i contenuti del cliente eliminati dal backup tranne quando richiesto dalla legge. Anche i dati personali che devono essere conservati per adempiere agli obblighi di legge (ad esempio la normativa fiscale) non rientrano nell’ambito dell’obbligo di cancellazione, ma sono soggetti ad adeguate limitazioni del trattamento per la durata del periodo di conservazione.

KS Agents metterà a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto dei propri obblighi di responsabile del trattamento e consentirà e contribuirà alle attività di revisione (audit), comprese le ispezioni, condotte dal Titolare o da un revisore terzo incaricato.

Gli agenti KS possono dimostrare la conformità attraverso una delle seguenti forme di prova:

• adesione ad un codice di condotta approvato ai sensi dell'art. 40 GDPR;
• un meccanismo di certificazione approvato ai sensi dell’art. 42 GDPR;
• valutazioni attuali, relazioni o estratti delle stesse da parte di soggetti indipendenti (revisori esterni, revisori interni, responsabile della protezione dei dati, sicurezza informatica, controllo qualità);
• certificazioni dei sub-responsabili nell'ambito di quadri riconosciuti come ISO 27001, ISO 27017, ISO 27018, ISO 27701, SOC 2 Tipo II o audit di sicurezza IT equivalenti;
• l'albo pubblico dei subresponsabili e le Misure Tecniche e Organizzative di cui all'Allegato C del presente DPA.

Il titolare del trattamento dovrà fornire un preavviso scritto di almeno 30 giorni in merito a qualsiasi audit in loco. Gli audit in loco saranno condotti: (a) durante il normale orario lavorativo; (b) non più di una volta per anno solare, a meno che una violazione confermata dei dati personali non giustifichi un'ulteriore revisione; (c) a spese del Titolare, compreso il tempo ragionevole del personale degli Agenti KS; e (d)soggetto a un accordo di riservatezza che protegge i dati e i segreti commerciali degli altri clienti di KS Agents. Laddove il Titolare incarichi un revisore dei conti terzo, gli Agenti KS possono opporsi per motivi ragionevoli, anche nel caso in cui la terza parte sia un concorrente diretto degli Agenti KS.

Le parti concordano che la revisione da parte del Titolare di questo DPA, del registro dei sub-responsabili, dell'Allegato C (TOMs) e delle certificazioni di sicurezza applicabili dei sub-responsabili costituirà una prova di audit sufficiente ai fini della compliance di routine.