Accordo sulla protezione
dei dati personali

Ai sensi del presente accordo, il Responsabile del trattamento, Nemorius, ha accesso ai dati personali e li tratta per conto del Cliente, che è considerato il “Titolare del trattamento”. In tale veste, il Responsabile del trattamento si impegna a rispettare le leggi e i regolamenti applicabili in materia di protezione dei dati personali, in particolare il Regolamento UE n. 2016/679 del 27 aprile 2016, noto come “GDPR”, e alla Legge n. 78-17 del 6 gennaio 1978, nota come “Legge sulla protezione dei dati”, e successive modifiche, in conformità con i termini di seguito indicati.

Articolo 1. Definizioni specifiche

«Dati personali»: qualsiasi informazione relativa a una persona fisica identificata o identificabile (di seguito denominata «interessato»); si considera «persona fisica identificabile» una persona fisica che può essere identificata, direttamente o indirettamente, in particolare mediante riferimento a un identificativo quale un nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più fattori specifici inerenti all’identità fisica, fisiologica, genetica, mentale, economica, culturale o sociale della persona fisica. 

“Per «trattamento» si intende qualsiasi operazione o insieme di operazioni compiute su dati personali o insiemi di dati personali, con o senza l’ausilio di mezzi automatizzati, quali la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, l’allineamento o l’interconnessione, la limitazione, la cancellazione o la distruzione. 

«Titolare del trattamento»: la persona fisica o giuridica, l’autorità pubblica, l’agenzia o altro organismo che, da solo o insieme ad altri, determina le finalità e i mezzi del trattamento; qualora le finalità e i mezzi di tale trattamento siano determinati dal diritto dell’Unione o dal diritto di uno Stato membro, il titolare del trattamento può essere designato o i criteri specifici applicabili alla sua designazione possono essere stabiliti dal diritto dell’Unione o dal diritto di uno Stato membro. 

«Responsabile del trattamento»: una persona fisica o giuridica, un’autorità pubblica, un’agenzia o altro organismo che tratta dati personali per conto del titolare del trattamento. 

«Violazione dei dati personali»: una violazione della sicurezza che comporta la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso non autorizzato, in modo accidentale o illecito, ai dati personali trasmessi, conservati o altrimenti trattati. 

«Leggi e regolamenti applicabili»: si riferisce a tutte le leggi e i regolamenti relativi alla protezione dei dati personali e alla privacy, compresa la Legge n. 78-17 sull’informatica, dei file di dati e delle libertà civili del 6 gennaio 1978, e successive modifiche, nonché al Regolamento europeo n. 2016/679 del 27 aprile 2016, noto come “Regolamento generale sulla protezione dei dati” (GDPR), con efficacia a partire dalla sua entrata in vigore. Nell’ambito del loro rapporto contrattuale, le Parti si impegnano a rispettare la normativa vigente applicabile al trattamento dei dati personali e, in particolare, al Regolamento (UE) 2016/679 del 27 aprile 2016 (di seguito, il “GDPR”) e alla legge francese sulla protezione dei dati del 6 gennaio 1978, come modificata.

Articolo 2. Principi generali

Nell’ambito del loro rapporto contrattuale, le Parti si impegnano a rispettare le leggi e i regolamenti applicabili in materia di protezione dei dati personali.

Il Responsabile del trattamento agirà esclusivamente su istruzione del Titolare del trattamento, al fine di trattare i Dati Personali per suo conto. A tal fine, il Responsabile del trattamento si impegna a trattare i Dati Personali di competenza del Titolare del trattamento esclusivamente ai fini dell’esecuzione dei servizi derivanti dai termini del contratto principale a cui si riferisce la presente clausola.

Articolo 3. Obblighi generali del Responsabile del trattamento

Nello svolgimento dei propri compiti, il Responsabile del trattamento si impegna a:

1. trattare i dati personali esclusivamente per le finalità previste dall’accordo di subappalto, come descritto di seguito;
2. informare immediatamente il Titolare del trattamento qualora ritenga che un’istruzione costituisca una violazione delle leggi e dei regolamenti applicabili o di qualsiasi altra disposizione del diritto dell’Unione europea o del diritto degli Stati membri in materia di protezione dei dati personali;
3. Garantire la riservatezza, l’integrità e la disponibilità dei Dati Personali trattati;
4. garantire che il personale autorizzato al trattamento dei Dati Personali sia soggetto a un adeguato obbligo di riservatezza e riceva la formazione necessaria in materia di protezione dei Dati Personali;
5. Tenere conto, per quanto riguarda i propri servizi, dei principi di protezione dei dati fin dalla progettazione e per impostazione predefinita;
6. Non trasferire i Dati Personali al di fuori dell’Unione Europea senza il previo ed espresso consenso del Titolare del trattamento e fornire adeguate garanzie in relazione a tale trasferimento, ivi inclusa una informativa standard da fornire agli interessati coinvolti nel trattamento. Qualora il Responsabile del trattamento sia tenuto a trasferire i Dati Personali verso un paese terzo o un’organizzazione internazionale ai sensi del diritto dell’Unione Europea o della legislazione dello Stato Membro a cui è soggetto, dovrà informare il Titolare del trattamento di tale obbligo legale prima dell’inizio del trattamento, a meno che la legge applicabile non vieti tale notifica per motivi imperativi di interesse pubblico;
7. Assistere il Titolare del trattamento nell’adempimento dei suoi obblighi in materia di sicurezza dei dati, tenendo conto della natura del trattamento e delle informazioni a sua disposizione;
8. Adottare tutte le misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato ai rischi connessi, al fine di prevenire qualsiasi distruzione, perdita, alterazione, divulgazione o accesso non autorizzato — sia accidentale che intenzionale — nonché qualsiasi altra forma di trattamento illecito dei dati personali. Il responsabile del trattamento si impegna, in particolare, ad attuare tutte le misure di sicurezza descritte di seguito;
   1. Gestione degli accessi 
   2. Autenticazione degli utenti 
   3. Registrazione delle connessioni
   4. Verificabilità dei registri 
   5. Misure di sicurezza fisica e hardware 
   6. Sicurezza dell'accesso fisico ai server 
   7. Sicurezza dell'accesso logico ai server e alle applicazioni 
   8. Sicurezza della rete informatica interna
   9. Crittografia/pseudonimizzazione dei dati
   10. Gestione delle vulnerabilità e backup
   11. Attuazione di misure di sicurezza fisiche, tecniche e organizzative in conformità con la norma ISO 27001 — Nemorius è certificata. 
9. Tenere un registro scritto di tutte le attività di trattamento svolte per conto del Titolare del trattamento, in conformità con le leggi e i regolamenti applicabili;
10. Mettere a disposizione del Titolare del trattamento la documentazione necessaria a dimostrare l’adempimento di tutti i suoi obblighi e a consentire lo svolgimento di verifiche, comprese le ispezioni, da parte del Titolare del trattamento o di qualsiasi altro verificatore da esso designato, e collaborare a tali verifiche. Il Responsabile del trattamento si impegna inoltre a garantire la piena trasparenza in merito alla politica di sicurezza e/o alle misure organizzative e tecniche attuate per proteggere i Dati Personali trattati per conto del Titolare del trattamento. In particolare, il Responsabile del trattamento si impegna a fornire, non appena possibile, qualsiasi informazione relativa a tale politica e a tali misure su richiesta del Titolare del trattamento.
     

Articolo 4. Obblighi del Responsabile del trattamento in caso di subappalto

In caso di ricorso a ulteriori subcommissari al trattamento, il Responsabile del trattamento imporrà loro gli stessi obblighi descritti nella presente clausola e garantirà che forniscano tutte le garanzie richieste dalle leggi e dai regolamenti applicabili.

Il Responsabile del trattamento dovrà informare preventivamente il Titolare del trattamento in merito a qualsiasi ricorso a un nuovo sub-responsabile del trattamento. Il Titolare del trattamento avrà 14 giorni lavorativi per opporsi.

Il Responsabile del trattamento metterà a disposizione del Titolare del trattamento un elenco completo e aggiornato dei propri sub-responsabili del trattamento. Tale elenco è disponibile nell’Allegato 2 del presente accordo.  

Articolo 5. Obblighi di assistenza e collaborazione

1. Violazione dei dati personali
   
   Il Responsabile del trattamento dovrà notificare al Titolare del trattamento qualsiasi violazione dei dati personali entro un massimo di 24 ore dal momento in cui ne venga a conoscenza, utilizzando l’indirizzo e-mail fornito al Titolare del trattamento nel contratto principale.
   
   La notifica deve descrivere la natura della violazione dei dati personali, comprese le categorie e il numero degli interessati, il nome del responsabile del trattamento in questione, le conseguenze della violazione per gli interessati, le misure adottate per porvi rimedio e i tempi stimati per l’attuazione di tali misure al fine di limitare l’impatto sugli interessati e prevenire il ripetersi della violazione. Tale notifica dovrà essere accompagnata da tutta la documentazione pertinente per consentire al Titolare del trattamento di segnalare la violazione dei dati personali all’autorità di controllo competente e, se del caso, agli interessati.
   
   Il Responsabile del trattamento si impegna inoltre a indagare sulla causa della violazione dei dati personali e ad attuare tutte le misure correttive necessarie per risolverla, limitarne le conseguenze e prevenirne il ripetersi.
   
   Il Responsabile del trattamento si impegna inoltre ad assistere il Titolare del trattamento nell’effettuare le necessarie notifiche alle autorità competenti e/o agli interessati.
    
2. Informazione e gestione delle richieste degli interessati
   
   relative all’esercizio dei propri diritti Il Titolare del trattamento fornirà agli interessati, al momento della raccolta, le informazioni relative alle finalità e alle caratteristiche del trattamento dei dati personali oggetto del presente accordo.
   
   Su specifica istruzione scritta del Titolare del trattamento, al Responsabile del trattamento potrà tuttavia essere affidata la responsabilità di fornire tali informazioni. In tal caso, il contenuto delle informazioni e le modalità di fornitura saranno determinati dal Titolare del trattamento. Il Responsabile del trattamento si impegna a fornire al Titolare del trattamento la prova dell’avvenuta comunicazione delle informazioni, con qualsiasi mezzo.
   
   Gli interessati devono esercitare i propri diritti di accesso, rettifica, cancellazione, limitazione e opposizione al trattamento, nonché il diritto alla portabilità dei dati, direttamente presso gli uffici del Titolare del trattamento.
   
   Per quanto possibile, il Responsabile del trattamento deve assistere il Titolare del trattamento nell’adempimento del suo obbligo di rispondere alle richieste degli interessati volte all’esercizio dei propri diritti, in particolare attuando tutte le misure tecniche e organizzative pertinenti per garantire l’effettiva attuazione di tali richieste.
   
   Quando gli interessati presentano richieste al Responsabile del trattamento per esercitare i propri diritti, il Responsabile del trattamento deve inoltrare tali richieste, non appena ricevute, tramite e-mail all’indirizzo specificato nel contratto principale o a gdpr@nemorius.com.
    

3. Valutazioni d’impatto e rapporti con l’Autorità di controllo
   
   Il Responsabile del trattamento si impegna a collaborare con il Titolare del trattamento e ad assisterlo nell’adempimento dei suoi obblighi. Più specificamente, il Responsabile del trattamento dovrà assistere il Titolare del trattamento nella conduzione delle valutazioni d’impatto sulla protezione dei dati, sia prima che dopo l’attuazione di un trattamento, fornendo tutte le informazioni necessarie relative al trattamento. Il Responsabile del trattamento fornirà la stessa assistenza in relazione alla consultazione preventiva obbligatoria con la CNIL nei casi in cui la valutazione d’impatto riveli rischi residui elevati.

   In caso di ispezione e/o richiesta da parte di un’autorità di controllo, il Responsabile del trattamento collaborerà con il Titolare del trattamento e lo assisterà fornendo tutta la documentazione necessaria a dimostrare la conformità alle leggi e ai regolamenti applicabili.
    

Articolo 6. Portabilità dei dati personali

Alla cessazione del contratto, il Responsabile del trattamento deve restituire al Titolare del trattamento, tramite un mezzo sicuro, tutti i Dati Personali trattati, in un formato utilizzabile. Una volta ricevuta la conferma di ricezione, il Responsabile del trattamento deve distruggere tutte le copie esistenti dei Dati Personali dal proprio sistema informatico e, se del caso, dai sistemi dei suoi successivi sub-responsabili del trattamento. Il Responsabile del trattamento attesta per iscritto che i Dati personali sono stati distrutti, fatti salvi eventuali obblighi di conservazione previsti dalla legge e dai regolamenti a cui è soggetto.

Articolo 7. Obblighi del Titolare del trattamento

Il Titolare del trattamento si impegna a:

1. Fornire al Responsabile del trattamento l’accesso ai Dati Personali oggetto del presente Accordo;
2. documentare per iscritto eventuali istruzioni relative al trattamento dei Dati Personali in cui è coinvolto il Responsabile del trattamento;
3. garantire, preventivamente e per tutta la durata del trattamento, che il Responsabile del trattamento rispetti gli obblighi previsti dal GDPR;
4. supervisionare il trattamento, ivi compresa l’esecuzione di audit e ispezioni nei confronti del Responsabile del trattamento.
    

Articolo 8. Provvedimenti giudiziari o amministrativi

Il Responsabile del trattamento si impegna a notificare al Titolare del trattamento qualsiasi richiesta di divulgazione o ispezione dei dati personali emessa da un’autorità giudiziaria o amministrativa entro 24 ore dalla suddetta richiesta, prima di fornire qualsiasi risposta.

Articolo 9. Rapporti con le autorità di controllo 

Il Responsabile del trattamento si impegna a informare immediatamente il Titolare del trattamento di qualsiasi richiesta o verifica emessa da un’Autorità di controllo.

Articolo 10. Risoluzione automatica per inadempimento 

Il Titolare del trattamento dichiara che le disposizioni relative ai Dati Personali costituiscono obblighi essenziali del presente accordo, senza i quali non avrebbe stipulato il presente accordo con il Responsabile del trattamento

Di conseguenza, il Titolare del trattamento potrà far valere qualsiasi violazione accertata di tali disposizioni o qualsiasi violazione dei Dati Personali, che costituirà in tal caso motivo di risoluzione di diritto.

Gli obblighi in materia di protezione dei Dati Personali derivanti dal presente Accordo sopravvivranno alla risoluzione del contratto principale al quale le presenti clausole sono allegate.

Allegato 1. Tabella delle attività di trattamento

Il presente contratto, comprese le clausole sopra riportate, costituisce le istruzioni del Titolare del trattamento relative alle operazioni di trattamento che il Responsabile del trattamento deve effettuare per conto del Titolare del trattamento (da duplicare secondo necessità).

A. Tabella applicabile al trattamento effettuato per il servizio «Accorciamento dei link e codice QR»

B. Tabella applicabile al trattamento effettuato per il servizio “Moduli”

Appendice 2. Elenco dei responsabili del trattamento successivi

Per l’abbreviazione degli URL e i codici QR:

• Matomo, pubblicato da InnoCraft Limited (InnoCraft), con sede al seguente indirizzo: HLB Mann Judd, Level 8, 57 Symonds Street, Grafton, Auckland 1010, Nuova Zelanda. La Nuova Zelanda è un paese adeguato. I trasferimenti di dati personali verso questi paesi non richiedono un quadro normativo di riferimento.
   
• AMAZON WEB SERVICES EMEA SARL, la cui sede centrale globale si trova al 440 Terry Avenue North, WA 98109, Seattle, Stati Uniti. Gli Stati Uniti beneficiano di una decisione di adeguatezza parziale. Amazon Web Services è certificata ai sensi del Data Privacy Framework. Oltre a tale garanzia, le Clausole Contrattuali Standard regolano il rapporto tra il Titolare del trattamento e il Responsabile del trattamento in relazione ai servizi di Amazon Web Services.
   
• Scaleway SAS, con sede legale in 8 rue de la Ville-l'Évêque, 75008 Parigi, Francia. I dati sono ospitati in data center situati nell’Unione Europea. Il trattamento dei dati è pertanto soggetto al Regolamento (UE) 2016/679 (GDPR).

Nessun ulteriore sub-responsabile del trattamento

Per i moduli:

• AMAZON WEB SERVICES EMEA SARL, con sede centrale globale in 440 Terry Avenue North, WA 98109, Seattle, Stati Uniti. Gli Stati Uniti beneficiano di una decisione di adeguatezza parziale. Amazon Web Services è certificata nell’ambito del Data Privacy Framework. Oltre a tale garanzia, il rapporto tra il Titolare del trattamento e il Responsabile del trattamento nell’ambito dei servizi di Amazon Web Services è disciplinato dalle Clausole contrattuali standard.
   
• Scaleway SAS, con sede legale in 8 rue de la Ville-l’Évêque, 75008 Parigi, Francia. I dati sono ospitati in data center situati nell’Unione Europea. Il trattamento dei dati è pertanto soggetto al Regolamento (UE) 2016/679 (GDPR).

Non vi sono ulteriori sub-incaricati del trattamento.

Ultimo aggiornamento: 27 luglio 2026