Accordo sul trattamento dei dati

Il presente accordo (“DPA”) fa parte del contratto tra l’organizzazione che utilizza EUlabel (il “Cliente”) e Búzios e Tartarugas, Lda., Rua Gil Vicente, 2, 2775-198 Parede, Portogallo (“EUlabel”). Soddisfa i requisiti dell’articolo 28 del regolamento (UE) 2016/679 (GDPR). I termini definiti nel GDPR hanno qui lo stesso significato.

Il Cliente accetta il presente DPA insieme ai Termini della Piattaforma. Non è necessaria alcuna firma. Il testo portoghese prevale su qualsiasi traduzione. Per ricevere una copia controfirmata, scriva a legal@eulabel.eu.

1. Ruoli e ambito di applicazione

1.1 Per i dati personali contenuti nei Dati del Cliente, il Cliente è il titolare del trattamento, o un responsabile del trattamento per conto di un altro titolare del trattamento, ed EUlabel è il responsabile del trattamento, o un sub-responsabile del trattamento. Il Cliente conferma che ogni titolare del trattamento per conto del quale agisce ha autorizzato il presente DPA.

1.2 L’allegato 1 descrive la materia disciplinata, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati.

1.3 EUlabel è un titolare autonomo del trattamento per i dati che la sua informativa sulla privacy descrive come propri: sito web, newsletter, accesso, sicurezza degli account e registri contrattuali. Il presente DPA non riguarda tali dati.

2. Istruzioni

2.1 EUlabel tratta i dati personali soltanto su istruzione documentata del Cliente, anche per quanto riguarda i trasferimenti. Le istruzioni del Cliente sono il presente DPA, i Termini della Piattaforma, l’utilizzo del pannello di controllo e dell’API da parte del Cliente e ogni ulteriore istruzione scritta concordata tra le parti.

2.2 Se il diritto dell’Unione o degli Stati membri impone un trattamento diverso, EUlabel ne informa preventivamente il Cliente, salvo che tale diritto lo vieti.

2.3 EUlabel informa immediatamente il Cliente se ritiene che un’istruzione violi la normativa in materia di protezione dei dati, e può sospendere l’esecuzione di tale istruzione finché il Cliente non la confermi o la modifichi.

2.4 EUlabel non vende dati personali e non li utilizza per finalità proprie.

3. Responsabilità del Cliente

Il Cliente è responsabile di disporre di una base giuridica, di informare gli interessati, dell’esattezza dei dati e della decisione su cosa pubblicare. I campi pubblici dei passaporti sono visibili a chiunque, pertanto il Cliente non deve inserirvi dati personali salvo che intenda pubblicarli. Il Cliente non deve inserire categorie particolari di dati personali né dati relativi a condanne penali. Ogni pagina di prodotto contiene un link all’informativa di EUlabel e il Cliente può aggiungere la propria in Settings → Data and legal.

4. Riservatezza

EUlabel garantisce che tutte le persone autorizzate al trattamento dei dati personali siano vincolate alla riservatezza, per contratto o per legge.

5. Sicurezza

5.1 EUlabel mantiene le misure tecniche e organizzative di cui all’allegato 2, come richiesto dall’articolo 32 del GDPR.

5.2 EUlabel può aggiornare tali misure a condizione che il livello di protezione non diminuisca.

5.3 Il Cliente è responsabile delle misure sotto il proprio controllo, compresa la gestione di membri, ruoli, chiavi API e autorizzazioni di accesso.

6. Sub-responsabili del trattamento

6.1 Il Cliente concede a EUlabel un’autorizzazione generale a ricorrere a sub-responsabili del trattamento. Quelli utilizzati alla data di accettazione sono elencati nell’allegato 3.

6.2 EUlabel dà ai proprietari dell’organizzazione del Cliente un preavviso di almeno 30 giorni via email prima di aggiungere o sostituire un sub-responsabile del trattamento. L’email indicherà il nome del sub-responsabile del trattamento e preciserà che il Cliente acconsente salvo che si opponga in tempo utile. Un termine più breve si applica solo se il Cliente lo accetta via email.

6.3 Il Cliente può opporsi per qualsiasi motivo ragionevole entro 14 giorni dalla comunicazione. Le parti cercheranno quindi di risolvere l’opposizione, ed EUlabel non utilizzerà il nuovo sub-responsabile del trattamento per i dati di tale Cliente finché l’opposizione non sia risolta o il contratto non sia cessato. Se l’opposizione non viene risolta, il Cliente può porre fine al contratto senza costi ed EUlabel può porvi fine ai sensi della sezione 13 dei Termini della Piattaforma.

6.4 EUlabel vincola contrattualmente ciascun sub-responsabile del trattamento a obblighi in materia di protezione dei dati sostanzialmente non meno protettivi di quelli previsti dal presente DPA e conserva nei confronti del Cliente l’intera responsabilità per l’adempimento del sub-responsabile del trattamento, come spiega la clausola 13.1.

6.5 I sub-responsabili del trattamento si avvalgono di propri sub-responsabili, in base ai propri elenchi pubblicati, i cui link figurano nella pagina dei sub-responsabili.

7. Trasferimenti al di fuori del SEE

7.1 EUlabel trasferisce dati personali al di fuori dello Spazio economico europeo solo su istruzione del Cliente e ai sensi del capo V del GDPR. L’allegato 3 indica i trasferimenti e le relative garanzie. Con l’accettazione del presente DPA, il Cliente dà istruzione a EUlabel di effettuare tali trasferimenti.

7.2 Ove un trasferimento si basi sulle clausole contrattuali tipo (decisione di esecuzione (UE) 2021/914 della Commissione), EUlabel ha sottoscritto il Modulo Tre con il sub-responsabile del trattamento tramite le condizioni sul trattamento dei dati di quest’ultimo. EUlabel ne fornisce copia su richiesta, previa rimozione delle condizioni commerciali.

7.3 Se una garanzia cessa di essere valida, le parti si avvarranno di un’altra garanzia lecita. Se non ne è disponibile alcuna, EUlabel ne informa il Cliente, che può porre fine al contratto senza costi.

7.4 Se il Cliente è stabilito al di fuori del SEE, tra le parti si applica il Modulo Quattro delle medesime clausole, e per tale modulo sono scelti la legge e i tribunali portoghesi.

7.5 Se EUlabel riceve da un’autorità pubblica una richiesta di dati personali, rinvia l’autorità al Cliente ove possibile, ne informa il Cliente salvo che la legge lo vieti e comunica solo quanto richiesto dalla legge.

8. Assistenza per le richieste degli interessati

8.1 Se EUlabel riceve da un interessato una richiesta relativa ai Dati del Cliente, la trasmette al Cliente senza ingiustificato ritardo e non vi risponde, se non per rinviare la persona al Cliente.

8.2 EUlabel aiuta il Cliente a rispondere tramite il pannello di controllo, l’API e l’esportazione, e fornendo un’ulteriore ragionevole assistenza ove tali strumenti non siano sufficienti.

9. Violazioni dei dati personali

9.1 EUlabel invia una notifica via email ai proprietari dell’organizzazione del Cliente senza ingiustificato ritardo e in ogni caso entro 48 ore dal momento in cui è venuta a conoscenza di una violazione dei dati personali che riguarda i Dati del Cliente.

9.2 La notifica indica, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le probabili conseguenze, le misure adottate o di cui si propone l’adozione e un punto di contatto. Ulteriori informazioni possono essere fornite in fasi successive.

9.3 EUlabel adotta misure ragionevoli per contenere la violazione e porvi rimedio, e ne conserva una registrazione. La notifica di una violazione non costituisce ammissione di colpa.

10. Assistenza per la conformità

Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, EUlabel assiste ragionevolmente il Cliente in materia di sicurezza, notifica delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva (articoli da 32 a 36 del GDPR).

11. Cancellazione o restituzione dei dati

11.1 Durante il contratto il Cliente può esportare e cancellare autonomamente i Dati del Cliente.

11.2 Alla cessazione del contratto si applica il periodo di recupero previsto dai Termini della Piattaforma. EUlabel cancella quindi i Dati del Cliente, e i backup vengono sovrascritti entro 30 giorni, salvo che il diritto dell’Unione o degli Stati membri le imponga di conservare i dati.

11.3 Durante il contratto EUlabel cancella le registrazioni secondo quanto previsto dall’allegato 1.

12. Attività di revisione e informazioni

12.1 EUlabel mette a disposizione tutte le informazioni necessarie per dimostrare il rispetto dell’articolo 28 del GDPR e risponde a ragionevoli domande scritte entro 30 giorni.

12.2 EUlabel consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un revisore da esso incaricato e vincolato alla riservatezza. Il Cliente dà un preavviso di 30 giorni, salvo dopo una violazione dei dati personali o qualora un’autorità di controllo disponga diversamente, ed evita interferenze irragionevoli.

12.3 Ove le informazioni di cui al punto 12.1 non siano sufficienti per dimostrare la conformità, può aver luogo un’attività di revisione. Le attività di revisione non si estendono ai locali o ai sistemi dei sub-responsabili del trattamento oltre quanto consentito dalle loro condizioni. Le certificazioni e le relazioni da essi pubblicate costituiscono la prova principale.

12.4 Ciascuna parte sostiene i propri costi di revisione.

13. Responsabilità, durata e ordine di prevalenza

13.1 La responsabilità tra le parti ai sensi del presente DPA, anche per l’adempimento di un sub-responsabile del trattamento (clausola 6.4) e per l’azione di regresso ai sensi dell’articolo 82(5) del GDPR, è disciplinata dalla sezione 18 dei Termini della Piattaforma, con le eccezioni ivi elencate e nella misura consentita dalla legge. Nessuna disposizione del presente DPA limita la responsabilità di ciascuna parte nei confronti degli interessati o delle autorità di controllo.

13.2 Il presente DPA ha effetto finché EUlabel tratta i Dati del Cliente.

13.3 In materia di protezione dei dati, il presente DPA prevale sui Termini della Piattaforma. Le clausole contrattuali tipo, ove applicabili, prevalgono su entrambi.

13.4 EUlabel può modificare il presente DPA come previsto dalla sezione 19 dei Termini della Piattaforma, oppure ove richiesto dalla legge o da un’autorità di controllo. Le modifiche non possono ridurre la protezione del Cliente senza il suo accordo.

13.5 Il presente DPA è disciplinato dalla legge portoghese, e sono competenti i tribunali indicati nei Termini della Piattaforma.

Allegato 1: Descrizione del trattamento

Materia disciplinata. Ospitare e pubblicare passaporti digitali di prodotto ed etichette elettroniche del vino, risolvere gli identificativi di prodotto, controllare gli accessi riservati e, ove il Cliente lo scelga, conteggiare le scansioni.

Durata. La durata del contratto e il periodo di recupero, e successivamente fino alla sovrascrittura dei backup.

Natura e finalità. Conservazione, organizzazione, recupero, pubblicazione, trasmissione e cancellazione dei Dati del Cliente, al fine di fornire il servizio.

Categorie di interessati.

• Persone indicate nei registri di fornitori, operatori o stabilimenti, come imprenditori individuali e referenti
• Persone indicate nei passaporti, come rappresentanti autorizzati o riparatori
• Persone o organizzazioni a cui è concesso un accesso riservato, indicate nelle autorizzazioni di accesso
• Persone che scansionano una pagina di prodotto, ove il Cliente abbia attivato il conteggio, per il tempo in cui un indirizzo IP e i dati della richiesta vengono trattati per determinare un Paese ed escludere il traffico automatizzato. Le registrazioni delle scansioni memorizzate non sono destinate a identificare alcuno
• Membri dell’organizzazione del Cliente, come indicati negli eventi e nei registri

Tipi di dati personali.

• Nomi, recapiti professionali, partite IVA e numeri di localizzazione di persone fisiche nei registri di fornitori e stabilimenti
• Tutto ciò che il Cliente inserisce nei campi dei passaporti, delle unità e degli eventi
• Nome e numero di localizzazione del beneficiario, documentazione a supporto dell’autorizzazione e utente che l’ha creata
• Registrazioni delle letture riservate: autorizzazione, prodotto, numero di serie, destinatari e ora
• Registrazioni delle scansioni: prodotto, GTIN, Paese e giorno. Non vengono memorizzati indirizzi IP, dati del browser o identificativi. Il conteggio è disattivato, salvo che il Cliente lo attivi in Settings → Data and legal, dopo aver fornito un link alla propria informativa sulla privacy. Ciò costituisce una sua istruzione e una sua decisione in qualità di titolare del trattamento. I prodotti vinicoli non sono mai conteggiati
• Identificativi utente associati agli eventi dei passaporti e delle unità

Categorie particolari. Nessuna. La clausola 3 le vieta.

Frequenza. Continua.

Conservazione.

Allegato 2: Misure tecniche e organizzative

Localizzazione e hosting. Le funzioni applicative sono eseguite nella regione di Francoforte. Il database è archiviato nella regione di Francoforte. Le pagine sono distribuite attraverso una rete globale, come descritto nell’allegato 3.

Cifratura. Tutto il traffico utilizza TLS, con HTTP Strict Transport Security. Il fornitore del database cifra i dati a riposo con AES-256.

Segreti. Le password sono memorizzate come hash scrypt e verificate rispetto alle violazioni note al momento dell’impostazione. Le chiavi API e i token di accesso sono memorizzati come hash SHA-256 e mostrati una sola volta. I segreti a due fattori sono cifrati, e i token di Google o Microsoft non vengono conservati dopo l’accesso.

Controllo degli accessi. Quattro ruoli di organizzazione, con autorizzazioni verificate a ogni richiesta e azione nel pannello di controllo. L’accesso ai Dati del Cliente tramite pannello di controllo e API è verificato rispetto all’organizzazione del Cliente. Le chiavi API possono essere limitate per autorizzazione e a un progetto, e possono essere revocate. I membri possono utilizzare passkey e autenticazione a due fattori, e possono esaminare e terminare le proprie sessioni. I campi riservati dei passaporti sono filtrati sul server, e i token di accesso possono essere limitati nel tempo e revocati.

Sicurezza delle applicazioni. Limiti di frequenza agli accessi, controlli dell’origine delle richieste sulle modifiche autenticate tramite cookie, una Content Security Policy e altre intestazioni di sicurezza su ogni applicazione, e convalida degli input sulle rotte API.

Gestione delle modifiche e delle vulnerabilità. Le modifiche al codice sono sottoposte a controlli automatici dei tipi, test e audit delle dipendenze, e gli aggiornamenti delle dipendenze sono monitorati automaticamente. Le segnalazioni di vulnerabilità vanno inviate a security@eulabel.eu.

Registrazione. Ogni lettura riservata è registrata. Le modifiche di stato dei passaporti e gli eventi delle unità sono registrati con la relativa data e, se effettuati da una persona, con l’utente. Non esiste ancora un registro di audit completo delle attività degli amministratori.

Disponibilità. Il fornitore del database offre il ripristino a un determinato momento (point-in-time restore). EUlabel non promette alcun tempo di ripristino. L’hosting include la mitigazione DDoS della piattaforma.

Minimizzazione dei dati. Le registrazioni delle scansioni non contengono indirizzi IP né dati del browser. I prodotti vinicoli non sono conteggiati. Nessun sito utilizza script di analisi o pubblicitari. Un processo giornaliero cancella i dati il cui periodo di conservazione è scaduto.

Personale. L’accesso ai sistemi di produzione è limitato a chi ne ha necessità, e tali persone sono vincolate alla riservatezza.

Limiti. EUlabel non possiede alcuna certificazione ISO 27001 o SOC 2 e non ha ancora commissionato un test di penetrazione esterno. I suoi fornitori di hosting e di database possiedono proprie certificazioni, elencate nella pagina dei sub-responsabili del trattamento.

Allegato 3: Sub-responsabili del trattamento e trasferimenti

L’elenco aggiornato e i link agli elenchi di ciascun sub-responsabile del trattamento sono disponibili nella pagina dei sub-responsabili del trattamento.