La presente è una traduzione della versione originale in inglese, fornita a soli fini informativi. In caso di discrepanza tra la presente traduzione e la versione inglese, prevarrà la versione inglese.
Il presente Accordo sul Trattamento dei Dati ("Accordo") costituisce parte integrante del Contratto di Servizi ("Accordo Principale") tra
Viqal (Localpepper B.V.)
Barbara Strozzilaan 201
1083HN Amsterdam
(il "Responsabile del trattamento")
e
[Denominazione e indirizzo del Cliente]
(il "Titolare del trattamento")
congiuntamente le "Parti".
PREMESSO CHE
(A) Il Cliente agisce in qualità di Titolare del trattamento.
(B) Il Titolare del trattamento intende affidare in subappalto determinati Servizi, che comportano il trattamento di dati personali, al Responsabile del trattamento (Viqal).
(C) Le Parti intendono adottare un accordo sul trattamento dei dati conforme ai requisiti del quadro normativo vigente in materia di trattamento dei dati e al Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati).
(D) Le Parti intendono definire i rispettivi diritti e obblighi.
SI CONVIENE QUANTO SEGUE:
1.1 Salvo ove diversamente definito nel presente documento, i termini e le espressioni con iniziale maiuscola utilizzati nel presente Accordo hanno il seguente significato:
1.1.1 "Accordo" indica il presente Accordo sul Trattamento dei Dati e tutti i relativi Allegati.
1.1.2 "Sub-responsabile" indica qualsiasi fornitore di servizi terzo nominato dal Responsabile del trattamento per assisterlo nel trattamento dei dati personali per conto del Titolare del trattamento.
1.1.3 "Dati Personali" indica qualsiasi informazione relativa a una persona fisica identificata o identificabile, laddove tale informazione sia contenuta nei contenuti del Responsabile del trattamento.
1.1.4 "Normativa sulla Protezione dei Dati" indica la normativa UE sulla protezione dei dati e, nella misura applicabile, le leggi in materia di protezione dei dati o di riservatezza di qualsiasi altro Paese.
1.1.5 "SEE" indica lo Spazio economico europeo.
1.1.6 "Normativa UE sulla Protezione dei Dati" indica la Direttiva UE 95/46/CE, come recepita nella legislazione nazionale di ciascuno Stato membro e come di volta in volta modificata, sostituita o superata, anche dal GDPR e dalle leggi di attuazione o integrazione del GDPR.
1.1.7 "GDPR" indica il Regolamento generale sulla protezione dei dati dell'UE 2016/679.
1.1.8 "Trasferimento di Dati" indica: (i) un trasferimento di Dati Personali dal Responsabile del trattamento a un Sub-responsabile; oppure (ii) un trasferimento successivo di Dati Personali da un Sub-responsabile a un altro Sub-responsabile, o tra due stabilimenti di un Sub-responsabile, in ciascun caso laddove tale trasferimento sia vietato dalla Normativa sulla Protezione dei Dati.
1.1.9 "Servizi" indica i servizi di concierge forniti da Viqal.
1.1.10 "Violazione" indica un trattamento non autorizzato o illecito di Dati Personali, incluso a titolo esemplificativo l'accesso, la divulgazione, la modifica o la distruzione non autorizzati di Dati Personali, come definito dall'articolo 4, paragrafo 12, del GDPR. Non costituiscono violazione gli errori, le inesattezze o le omissioni nell'erogazione dei servizi o nelle comunicazioni fornite dal concierge basato sull'IA del Responsabile del trattamento, inclusi a titolo esemplificativo prezzi errati, salvo che tali errori comportino una violazione di Dati Personali.
1.2 I termini "Commissione", "Titolare del trattamento", "Interessato", "Stato membro", "Dati Personali", "Violazione dei dati personali", "Trattamento" e "Autorità di controllo" hanno il medesimo significato loro attribuito dal GDPR e i termini affini sono interpretati di conseguenza.
2.1 Il Responsabile del trattamento si impegna a:
2.2 Il Titolare del trattamento incarica il Responsabile del trattamento di trattare i Dati Personali.
2.3 Il Responsabile del trattamento non risponde di inesattezze, errori od omissioni nelle risposte generate dal concierge basato sull'IA, salvo che tali errori costituiscano una Violazione ai sensi della Sezione 1.1.10. In particolare:
Il Responsabile del trattamento adotta misure ragionevoli per garantire l'affidabilità di qualsiasi dipendente, agente o collaboratore di un Sub-responsabile che possa avere accesso ai Dati Personali, assicurando in ogni caso che l'accesso sia rigorosamente limitato alle persone che necessitano di conoscere o accedere ai Dati Personali in questione, nella misura strettamente necessaria alle finalità dell'Accordo Principale. Il Responsabile del trattamento garantisce che tutte tali persone siano soggette a impegni di riservatezza o a obblighi professionali o di legge in materia di riservatezza.
4.1 Viqal gestisce le comunicazioni via chat tra i nostri clienti e i loro ospiti. Ciò comporta la raccolta, il trattamento e la conservazione dei dati delle chat, che possono includere informazioni personali fornite dagli ospiti durante le interazioni con i nostri servizi di concierge virtuale.
4.2 Tipologie di informazioni raccolte:
4.3 Finalità della raccolta dei dati:
4.4 Conservazione dei dati: la conservazione dei dati delle chat è determinata dalle istruzioni documentate del Titolare del trattamento o dagli obblighi di legge applicabili. In assenza di tali istruzioni, il Responsabile del trattamento conserva i dati delle chat per un periodo predefinito di 12 mesi dalla data di raccolta. Trascorso il periodo di conservazione, il Responsabile del trattamento cancella i dati in modo sicuro, salvo che ne sia richiesta la conservazione in forza di obblighi di legge applicabili.
4.5 Dati analitici anonimizzati: il Responsabile del trattamento può conservare dati aggregati e anonimizzati derivati dalle comunicazioni in chat per finalità di analisi interna e miglioramento del servizio. Tali dati non contengono Dati Personali e non sono riconducibili ad alcun singolo Interessato.
4.6 Messaggi di marketing: il Responsabile del trattamento agevola il trattamento dei messaggi a fini di marketing secondo le istruzioni documentate del Titolare del trattamento. Il Titolare del trattamento è l'unico responsabile dell'acquisizione del consenso per finalità di marketing e della conformità al GDPR.
4.7 Misure di protezione dei dati:
4.8 Diritti degli ospiti: il Responsabile del trattamento assiste il Titolare del trattamento nel dare riscontro alle richieste relative ai diritti degli ospiti entro un termine ragionevole, non superiore a 30 giorni dall'istruzione documentata.
5.1 Backup: Viqal effettua backup automatici periodici dei dati con cadenza giornaliera, settimanale e mensile per annullare il rischio di perdita o corruzione dei dati. Tali backup sono verificati per accertarne l'accuratezza e garantire l'integrità dei dati. Periodicamente i backup sono collocati in archiviazione a freddo per proteggersi da un singolo punto di guasto centrale e agevolare il ripristino in caso di eventi disastrosi.
5.2 Ripristino: Viqal adotta un approccio completo al disaster recovery per mitigare potenziali guasti e interruzioni. Ciò include molteplici ridondanze che consentono il ripristino immediato dei sistemi e dei servizi. È mantenuto un piano completo di disaster recovery incentrato sulla continuità operativa, che definisce il Recovery Time Objective (RTO) e il Recovery Point Objective (RPO) al fine di ridurre al minimo gli impatti operativi. Sono svolte esercitazioni di ripristino periodiche per garantire la prontezza in scenari reali.
5.3 Data center: Viqal opera su Amazon Web Services (AWS) a Francoforte, Germania, che rispetta elevati standard di settore per assicurare la disponibilità, la riservatezza e l'integrità dei dati.
5.4 Cifratura: Viqal utilizza pratiche di cifratura solide e standardizzate per proteggere i dati a riposo e durante la trasmissione. I dati a riposo sono cifrati con metodologie crittografiche avanzate come AES-256. Per la trasmissione dei dati si utilizza la cifratura SSL/TLS a protezione delle comunicazioni tra gli utenti e i nostri server. È adottato un processo di gestione delle chiavi, inclusa la loro rotazione periodica, per mantenere elevati standard di sicurezza dei dati.
5.5 Accesso: Viqal applica un rigoroso principio del privilegio minimo per l'accesso ai sistemi. L'accesso ai dati sensibili è concesso esclusivamente in base al principio della stretta necessità e tutti i log di accesso sono monitorati per rilevare attività anomale. Audit periodici dei controlli di accesso e dei privilegi degli utenti garantiscono una sicurezza costante. Le autorizzazioni di accesso sono riviste periodicamente e i privilegi non più attuali sono revocati tempestivamente.
6.1 Il Responsabile del trattamento ha nominato i seguenti sub-responsabili per il trattamento dei Dati Personali:
6.2 Il Responsabile del trattamento non nominerà (né comunicherà Dati Personali a) alcun altro Sub-responsabile senza il previo consenso scritto del Titolare del trattamento.
6.3 Notifica delle modifiche ai Sub-responsabili: il Responsabile del trattamento comunica per iscritto al Titolare del trattamento qualsiasi modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili. Il Titolare del trattamento dispone di 10 giorni lavorativi per sollevare obiezioni.
6.4 Diritti di audit sui Sub-responsabili: i diritti di audit previsti dal presente Accordo non si estendono ai Sub-responsabili. Il Responsabile del trattamento fornirà tuttavia prove sufficienti della conformità dei Sub-responsabili, quali certificazioni o relazioni di audit, per soddisfare gli obblighi del Titolare del trattamento ai sensi del GDPR. Il Responsabile del trattamento si impegna a:
7.1 Tenendo conto della natura del Trattamento, il Responsabile del trattamento assiste il Titolare del trattamento mediante misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, per l'adempimento degli obblighi del Titolare del trattamento, come ragionevolmente intesi dallo stesso, di dare seguito alle richieste di esercizio dei diritti degli Interessati previsti dalla Normativa sulla Protezione dei Dati.
7.2 Il Responsabile del trattamento si impegna a:
8.1 Il Responsabile del trattamento notifica al Titolare del trattamento qualsiasi violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza.
8.2 La notifica contiene dettagli sufficienti a consentire al Titolare del trattamento di adempiere ai propri obblighi ai sensi del GDPR, inclusi:
8.3 Il risarcimento dei danni derivanti da una violazione è soggetto al massimale complessivo di responsabilità definito nella Sezione 13, indipendentemente dal numero di Titolari del trattamento o di Interessati coinvolti.
9.1 Il Responsabile del trattamento assiste proattivamente il Titolare del trattamento nelle valutazioni d'impatto sulla protezione dei dati (DPIA) ove richiesto dal GDPR, in particolare:
9.2 Qualora il Titolare del trattamento individui una potenziale attività di trattamento ad alto rischio, ne dà comunicazione al Responsabile del trattamento entro 5 giorni lavorativi. A seguito di tale comunicazione, il Responsabile del trattamento assiste nello svolgimento della DPIA:
10.1 Fermo quanto previsto dalla presente sezione 10, il Responsabile del trattamento provvede tempestivamente e comunque entro 10 giorni lavorativi dalla data di cessazione di qualsiasi Servizio che comporti il Trattamento di Dati Personali (la "Data di Cessazione") a cancellare e a far cancellare tutte le copie di tali Dati Personali.
10.2 Qualora la cancellazione immediata dei Dati Personali non sia realizzabile a causa di backup o di altri vincoli tecnici, il Responsabile del trattamento assicura che i dati siano archiviati in modo sicuro e resi inaccessibili fino a quando la cancellazione non sia possibile.
11.1 Il Responsabile del trattamento mette a disposizione del Titolare del trattamento, su richiesta, tutte le informazioni necessarie a dimostrare la conformità al presente Accordo e alla Normativa sulla Protezione dei Dati applicabile.
11.2 Ambito e frequenza degli audit: il Responsabile del trattamento acconsente agli audit avviati dal Titolare del trattamento:
Gli audit comprendono:
Ove opportuno, possono essere svolti audit da remoto o condivisioni di evidenze (ad es. tramite relazioni di certificazione) per ridurre al minimo i disagi. In situazioni urgenti che coinvolgano violazioni o non conformità, il Titolare del trattamento può richiedere un audit accelerato, con ambito e condizioni specifici concordati in anticipo.
11.3 Il Responsabile del trattamento trasmette al Titolare del trattamento una certificazione di conformità o una relazione di audit entro 30 giorni dalla conclusione dell'audit.
11.4 Limiti agli audit sui Sub-responsabili: i diritti di audit previsti dal presente Accordo non si estendono ai Sub-responsabili. Il Responsabile del trattamento fornisce tuttavia evidenze sufficienti, quali certificazioni, relazioni di audit di terze parti o documentazione pertinente, a dimostrazione della conformità dei Sub-responsabili al GDPR.
11.5 Il Titolare del trattamento sostiene tutti i costi connessi agli audit, salvo che sia riscontrata una violazione sostanziale del presente Accordo o della Normativa sulla Protezione dei Dati applicabile.
11.6 Il Responsabile del trattamento può soddisfare le richieste di audit fornendo certificazioni pertinenti, relazioni di audit di terze parti o altra documentazione equivalente attestante la conformità.
12.1 Il Responsabile del trattamento non può trasferire né autorizzare il trasferimento di Dati verso Paesi al di fuori dell'UE e/o dello Spazio economico europeo (SEE) senza il previo consenso scritto del Titolare del trattamento. Qualora i dati personali trattati ai sensi del presente Accordo siano trasferiti da un Paese all'interno dello Spazio economico europeo verso un Paese al di fuori dello stesso, le Parti assicurano che i dati personali siano adeguatamente protetti. A tal fine, salvo diverso accordo, le Parti si basano sulle clausole contrattuali standard approvate dall'UE per il trasferimento di dati personali.
12.2 Qualsiasi trasferimento di Dati Personali verso un Paese terzo o un'organizzazione internazionale da parte del Responsabile del trattamento avviene esclusivamente sulla base di istruzioni documentate del Titolare del trattamento o per adempiere a uno specifico obbligo di legge locale cui il Responsabile del trattamento è soggetto, e ha luogo nel rispetto della Normativa sulla Protezione dei Dati. Il Responsabile del trattamento può trasferire Dati Personali ai propri Sub-responsabili situati in un Paese terzo, fermi restando gli obblighi di notifica di cui alla Sezione 6.
12.3 Il Titolare del trattamento conviene che, qualora il Responsabile del trattamento incarichi un Sub-responsabile di svolgere specifiche attività di trattamento ai sensi dell'Accordo e tali attività comportino un trasferimento di Dati Personali verso un Paese terzo, il Responsabile del trattamento e il Sub-responsabile possono garantire la conformità alla Normativa sulla Protezione dei Dati mediante l'utilizzo delle Clausole Contrattuali Standard (CCS) e, ove pertinente, dell'UK International Data Transfer Addendum (Addendum UK), purché ricorrano le condizioni per l'utilizzo di tali CCS.
12.4 Il Responsabile del trattamento assicura che qualsiasi trasferimento di Dati Personali dal Regno Unito verso un Paese terzo avvenga nel rispetto della normativa britannica sulla protezione dei dati, incluso a titolo esemplificativo lo UK GDPR e il Data Protection Act 2018. Ciò può comportare l'utilizzo dell'Addendum UK alle CCS o di altre garanzie adeguate consentite dalla normativa britannica sulla protezione dei dati.
12.5 Per i trasferimenti di Dati Personali dallo Spazio economico europeo (SEE) verso gli Stati Uniti, il Sud America o altre aree al di fuori del SEE, il Responsabile del trattamento assicura la conformità alla Normativa UE sulla Protezione dei Dati adottando:
12.6 Responsabilità dei Sub-responsabili per la conformità al GDPR: il Responsabile del trattamento assicura che qualsiasi trasferimento di Dati Personali a un Sub-responsabile rispetti i requisiti del GDPR, incluso l'utilizzo di garanzie adeguate quali le Clausole Contrattuali Standard (CCS) o altri meccanismi leciti per i trasferimenti internazionali. Il Responsabile del trattamento assicura che i Sub-responsabili si impegnino per iscritto a:
Il Responsabile del trattamento non risponde delle violazioni causate dai Sub-responsabili, a condizione che abbia usato la ragionevole diligenza nella selezione e nel monitoraggio di tali Sub-responsabili al fine di garantirne la conformità al GDPR.
12.7 Qualsiasi pretesa risarcitoria connessa a violazioni che coinvolgano i Sub-responsabili resta soggetta al massimale complessivo di responsabilità indicato nella Sezione 13.
12.8 Il Responsabile del trattamento informa tempestivamente il Titolare del trattamento qualora venga a conoscenza di modifiche alla Normativa sulla Protezione dei Dati che possano incidere sulla liceità dei trasferimenti internazionali di dati previsti dal presente Accordo e collabora con il Titolare del trattamento per adottare misure adeguate a farvi fronte.
12.9 Il Responsabile del trattamento assicura che qualsiasi trasferimento di Dati Personali verso un Paese terzo o un'organizzazione internazionale, inclusi a titolo esemplificativo gli Stati Uniti e il Sud America, sia assistito da garanzie adeguate, quali il ricorso alle Clausole Contrattuali Standard, a norme vincolanti d'impresa, a meccanismi di certificazione o ad altri strumenti giuridicamente riconosciuti per i trasferimenti internazionali di dati.
13.1 La responsabilità complessiva del Responsabile del trattamento ai sensi del presente Accordo, sia essa contrattuale, extracontrattuale o di altra natura, è limitata a un importo complessivo di 10.000 € per tutte le pretese derivanti da una singola violazione o da un insieme di violazioni correlate, indipendentemente dal numero di pretese, di soggetti che le avanzano o di parti coinvolte, inclusi gruppi alberghieri, singoli hotel o interessati.
13.2 La responsabilità complessiva del Responsabile del trattamento per tutte le pretese ai sensi del presente Accordo in un qualsiasi periodo di 12 mesi non può eccedere l'importo complessivo di 10.000 €.
13.3 Il Responsabile del trattamento non risponde delle violazioni o dei danni causati dai Sub-responsabili, a condizione che abbia usato la ragionevole diligenza nella selezione e nel monitoraggio di tali Sub-responsabili al fine di garantirne la conformità al GDPR.
13.4 Il massimale di responsabilità previsto dal presente Accordo non si applica nei casi di colpa grave o dolo del Responsabile del trattamento.
13.5 Il Responsabile del trattamento non risponde di:
13.6 Il risarcimento dei danni derivanti da una violazione si applica esclusivamente alle violazioni come definite nella Sezione 1.1.10 e resta soggetto al massimale complessivo di responsabilità indicato nella Sezione 13.1.
14.1 Il Responsabile del trattamento tratta i Dati Personali esclusivamente sulla base delle seguenti basi giuridiche, come definite dall'articolo 6 del GDPR:
14.2 Il Titolare del trattamento è responsabile di garantire la sussistenza di una base giuridica valida per ciascuna attività di trattamento prevista dal presente Accordo e di fornire al Responsabile del trattamento le relative istruzioni documentate.
14.3 Il Responsabile del trattamento non è tenuto a verificare la validità della base giuridica indicata dal Titolare del trattamento, ma assicura che tutte le attività di trattamento siano conformi alle istruzioni ricevute dal Titolare del trattamento.
15.1 Riservatezza: ciascuna Parte deve mantenere riservati il presente Accordo e le informazioni ricevute in merito all'altra Parte e alla sua attività in relazione al presente Accordo ("Informazioni Riservate") e non deve utilizzarle né divulgarle senza il previo consenso scritto dell'altra Parte, salvo nella misura in cui:
15.2 Comunicazioni: tutte le comunicazioni e le notifiche effettuate ai sensi del presente Accordo devono avvenire per iscritto e sono consegnate a mano, inviate per posta o trasmesse via email all'indirizzo indicato nell'intestazione del presente Accordo.
16.1 Il presente Accordo è regolato dal diritto dei Paesi Bassi.
16.2 Qualsiasi controversia insorta in relazione al presente Accordo che le Parti non riescano a comporre in via amichevole è devoluta alla competenza esclusiva dei tribunali di Amsterdam, Paesi Bassi, fatta salva la possibilità di impugnazione dinanzi alle corti superiori.
16.3 Per le controversie transfrontaliere per le quali i tribunali dei Paesi Bassi non siano competenti, le Parti convengono di risolvere la controversia mediante arbitrato secondo il regolamento della Camera di Commercio Internazionale (ICC). L'arbitrato si svolge in lingua inglese e la sede dell'arbitrato è Amsterdam, Paesi Bassi.
16.4 Il procedimento arbitrale è avviato entro 30 giorni dalla dichiarazione della controversia e definito entro 90 giorni, salvo diverso accordo tra le Parti.
16.5 Gli arbitri sono nominati in conformità al regolamento della Camera di Commercio Internazionale (ICC).
17.1 I Servizi includono un sistema di comunicazione basato sull'intelligenza artificiale (l'"AI Operator") che interagisce direttamente con gli ospiti del Titolare del trattamento. Le Parti riconoscono che l'AI Operator rientra nell'ambito di applicazione del Regolamento (UE) 2024/1689 (il "Regolamento UE sull'IA"), segnatamente quale sistema di IA destinato a interagire con persone fisiche ai sensi dell'articolo 50.
17.2 Obblighi del fornitore. In qualità di fornitore dell'AI Operator, il Responsabile del trattamento si impegna a:
17.3 Obblighi del deployer. In qualità di deployer dell'AI Operator all'interno delle proprie strutture, il Titolare del trattamento si impegna a:
17.4 Assenza di profilazione o di decisioni automatizzate con effetti giuridici. L'AI Operator non adotta decisioni automatizzate che producano effetti giuridici o incidano in modo analogamente significativo sugli ospiti ai sensi dell'articolo 22 del GDPR.
17.5 Supervisione umana. L'AI Operator è configurato per trasferire le interazioni con gli ospiti al personale del Titolare del trattamento quando il proprio livello di confidenza scende al di sotto di una soglia definita, assicurando la supervisione umana in linea con l'articolo 14 del Regolamento UE sull'IA, ove applicabile.
17.6 Dati di addestramento. I Dati Personali trattati tramite l'AI Operator non sono utilizzati per addestrare, perfezionare o altrimenti migliorare i modelli di IA sottostanti del Responsabile del trattamento o dei suoi sub-responsabili IA. Tale vincolo è previsto contrattualmente con il sub-responsabile IA.
Per qualsiasi domanda o dubbio in merito al trattamento delle informazioni personali nell'ambito delle comunicazioni in chat, gli ospiti o i nostri clienti possono contattarci all'indirizzo customer-service@viqal.com.
.avif){kind=spacer}
