Data Processing Agreement.

Introduzione

Il presente Accordo per il Trattamento dei Dati ("DPA") costituisce parte integrante dei Termini di Servizio tra Hangar.Media Ltd, società registrata in Inghilterra e Galles ("Hangar.Media", "Responsabile del Trattamento"), e il cliente identificato nel relativo account Hangar.Media ("Cliente", "Titolare del Trattamento").

Definisce i termini in base ai quali Hangar.Media tratta i dati personali per conto del Cliente nell'ambito della piattaforma di segnaletica digitale Hangar.Media (il "Servizio"), in conformità all'articolo 28 del Regolamento Generale sulla Protezione dei Dati del Regno Unito ("UK GDPR") e al Data Protection Act 2018.

Il presente DPA si applica automaticamente a tutti i Clienti del Servizio. Non è richiesta alcuna firma separata; il DPA entra in vigore nel momento in cui il Cliente accetta i Termini di Servizio. Una versione controfirmata è disponibile su richiesta tramite il modulo di contatto per i Clienti i cui processi interni lo richiedano.

Definizioni

I termini utilizzati ma non definiti nel presente DPA hanno il significato attribuito loro nei Termini di Servizio o nell'UK GDPR. A titolo di chiarimento:

• "Titolare del Trattamento", "Responsabile del Trattamento", "Interessato", "Dati Personali", "Trattamento" e "Violazione dei Dati Personali" hanno il significato attribuito loro dall'UK GDPR.
• "Dati Personali del Cliente" indica i Dati Personali che Hangar.Media tratta per conto del Cliente nell'ambito della fornitura del Servizio.
• "Sub-responsabile del Trattamento" indica qualsiasi terza parte incaricata da Hangar.Media di trattare i Dati Personali del Cliente.
• "Autorità di Controllo" indica l'Information Commissioner's Office (ICO) nel Regno Unito.

Ruoli delle Parti

In relazione ai Dati Personali del Cliente trattati nell'ambito del presente DPA:

• Il Cliente è il Titolare del Trattamento.
• Hangar.Media è il Responsabile del Trattamento, che agisce esclusivamente sulla base delle istruzioni documentate del Cliente.

L'utilizzo del Servizio da parte del Cliente, inclusa la configurazione dei Contenuti, degli schermi, degli utenti e delle eventuali funzionalità di misurazione del pubblico, costituisce istruzione documentata a Hangar.Media ai fini dell'articolo 28(3)(a) dell'UK GDPR.

A titolo di chiarimento, in relazione ai dati di account e fatturazione di Hangar.Media (inclusi i dati di registrazione del Cliente, i dati di pagamento e le comunicazioni con il supporto), Hangar.Media agisce in qualità di Titolare del Trattamento, e tale trattamento è disciplinato dalla Informativa sulla Privacy, e non dal presente DPA.

Oggetto, Durata, Natura e Finalità

Obblighi del Responsabile del Trattamento

Hangar.Media dovrà:

• Trattare i Dati Personali del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente, anche con riguardo ai trasferimenti di Dati Personali al di fuori del Regno Unito, salvo che la legge non imponga diversamente (nel qual caso Hangar.Media informerà il Cliente di tale obbligo legale prima del trattamento, a meno che la legge non vieti tale notifica per importanti motivi di interesse pubblico).
• Garantire che le persone autorizzate a trattare i Dati Personali del Cliente siano vincolate da adeguati obblighi contrattuali di riservatezza o da obblighi di riservatezza previsti dalla legge.
• Adottare tutte le misure richieste ai sensi dell'Articolo 32 del UK GDPR, come descritto nella sezione Sicurezza di seguito.
• Assistere il Cliente, tenendo conto della natura del trattamento, mediante adeguate misure tecniche e organizzative, nell'adempimento dell'obbligo del Cliente di rispondere alle richieste degli Interessati che esercitano i propri diritti ai sensi del UK GDPR.
• Assistere il Cliente nel garantire la conformità ai propri obblighi ai sensi degli Articoli da 32 a 36 del UK GDPR (sicurezza, notifica delle violazioni, DPIA e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni disponibili a Hangar.Media.
• A scelta del Cliente, cancellare o restituire tutti i Dati Personali del Cliente al termine della fornitura del Servizio, e cancellare le copie esistenti salvo che la conservazione sia richiesta dalla legge, come ulteriormente descritto nella sezione Cancellazione e Restituzione dei Dati di seguito.
• Mettere a disposizione del Cliente tutte le informazioni necessarie a dimostrare la conformità agli obblighi stabiliti nel presente DPA e nell'Articolo 28 del UK GDPR.

Sub-responsabili del Trattamento

Il Cliente concede a Hangar.Media l'autorizzazione generale a coinvolgere Sub-responsabili del Trattamento per assistere nella fornitura del Servizio, nel rispetto delle condizioni stabilite nella presente sezione.

Sub-responsabili del Trattamento attuali

Modifiche ai Sub-responsabili del Trattamento

Hangar.Media notificherà al Cliente con anticipo qualsiasi modifica prevista all'elenco dei Sub-responsabili del Trattamento (ad esempio, aggiungendo un nuovo Sub-responsabile o sostituendone uno esistente), offrendo al Cliente la possibilità di opporsi a tali modifiche. La notifica verrà fornita aggiornando il presente DPA e, ove sia stato fornito un indirizzo email per le notifiche, tramite email al contatto registrato del Cliente, almeno 30 giorni prima che la modifica abbia effetto.

Qualora il Cliente abbia una ragionevole obiezione a un nuovo Sub-responsabile del Trattamento proposto per motivi di protezione dei dati, il Cliente deve notificarlo a Hangar.Media per iscritto entro 14 giorni dal ricevimento della notifica. Le parti collaboreranno in buona fede per risolvere l'obiezione. Se non è possibile raggiungere una soluzione accettabile, ciascuna parte potrà risolvere l'abbonamento del Cliente senza penali, e Hangar.Media rimborserà le eventuali commissioni prepagate non utilizzate su base pro-rata.

Obblighi dei Sub-responsabili del Trattamento

Quando Hangar.Media coinvolge un Sub-responsabile del Trattamento, impone a tale Sub-responsabile, mediante un contratto scritto, obblighi di protezione dei dati non meno rigorosi di quelli stabiliti nel presente DPA. Hangar.Media rimane pienamente responsabile nei confronti del Cliente per l'adempimento degli obblighi di qualsiasi Sub-responsabile del Trattamento.

Diritti degli Interessati

Tenendo conto della natura del trattamento, Hangar.Media assisterà il Cliente mediante adeguate misure tecniche e organizzative, nella misura in cui ciò sia possibile, nell'adempimento dell'obbligo del Cliente di rispondere alle richieste di esercizio dei diritti degli Interessati ai sensi del Capitolo III del UK GDPR, tra cui:

• Il diritto di accesso (Articolo 15)
• Il diritto di rettifica (Articolo 16)
• Il diritto alla cancellazione (Articolo 17)
• Il diritto alla limitazione del trattamento (Articolo 18)
• Il diritto alla portabilità dei dati (Articolo 20)
• Il diritto di opposizione (Articolo 21)

Qualora Hangar.Media riceva una richiesta direttamente da un Interessato in relazione ai Dati Personali del Cliente, Hangar.Media non risponderà direttamente a tale richiesta (se non per accusarne ricevuta) e inoltrerà la richiesta al Cliente senza indebito ritardo.

Il Servizio mette a disposizione del Cliente strumenti self-service tramite la dashboard e le API per rispondere alla maggior parte delle richieste degli Interessati (ad esempio, esportazione, correzione o cancellazione di account utente e Contenuti).

Sicurezza

Hangar.Media implementerà adeguate misure tecniche e organizzative per garantire un livello di sicurezza appropriato al rischio, come richiesto dall'Articolo 32 del UK GDPR. Tali misure includono, come minimo:

• Cifratura in transito: Tutti i dati trasmessi tra i dispositivi degli utenti finali e i server di Hangar.Media sono cifrati tramite TLS 1.3 o equivalente.
• Cifratura a riposo: I Dati Personali del Cliente archiviati in database e in object storage sono cifrati tramite AES-256.
• Controllo degli accessi: L'accesso ai Dati Personali del Cliente è limitato al personale autorizzato secondo il principio del need-to-know, mediante controlli di accesso basati sui ruoli e autenticazione robusta. Gli accessi amministrativi sono registrati.
• Sicurezza di rete: L'infrastruttura di produzione è protetta da firewall, sistemi di rilevamento delle intrusioni e scansione automatizzata delle vulnerabilità.
• Backup: I backup cifrati vengono mantenuti su un ciclo continuativo di 30 giorni e conservati in una sede UK geograficamente separata.
• Gestione delle vulnerabilità: Le patch di sicurezza vengono applicate ai sistemi di produzione secondo una policy documentata di gestione delle patch, con le patch critiche applicate senza indebito ritardo.
• Gestione degli incidenti: Hangar.Media mantiene un processo documentato di gestione degli incidenti che copre rilevamento, contenimento, notifica e rimedio.
• Formazione del personale: Il personale con accesso ai Dati Personali del Cliente riceve formazione in materia di protezione dei dati e sicurezza delle informazioni.
• Sviluppo sicuro: Le modifiche al Servizio vengono esaminate, testate e rilasciate attraverso un processo di distribuzione controllato.

Hangar.Media si riserva il diritto di aggiornare queste misure nel tempo per mantenere un livello di sicurezza adeguato, a condizione che le misure aggiornate non siano meno protettive di quelle qui descritte.

Notifica di Violazione dei Dati Personali

Hangar.Media notificherà al Cliente senza ingiustificato ritardo, e comunque entro 72 ore dal momento in cui è venuta a conoscenza di una Violazione dei Dati Personali che interessa i Dati Personali del Cliente. La notifica includerà, nella misura in cui siano noti al momento:

• La natura della Violazione dei Dati Personali, incluse le categorie e il numero approssimativo di Interessati e di record coinvolti
• Le probabili conseguenze della Violazione dei Dati Personali
• Le misure adottate o proposte per affrontare la Violazione dei Dati Personali e mitigarne i possibili effetti negativi
• I recapiti di un punto di contatto presso cui ottenere ulteriori informazioni

Qualora non fosse possibile fornire tutte queste informazioni contemporaneamente, esse saranno fornite in fasi successive senza ulteriore ingiustificato ritardo. Hangar.Media collaborerà inoltre in modo ragionevole con il Cliente nell'ambito delle sue obbligazioni di indagine e notifica nei confronti dell'Autorità di Controllo e degli Interessati coinvolti.

Trasferimenti Internazionali

I Dati Personali del Cliente sono archiviati ed elaborati nel Regno Unito. Laddove un Sub-responsabile si trovi all'interno dell'Unione Europea (ad esempio, Stripe in Irlanda), Hangar.Media si avvale della normativa di adeguatezza del Regno Unito per l'UE, in base alla quale gli standard europei di protezione dei dati sono riconosciuti come adeguati ai fini del UK GDPR.

Hangar.Media non trasferirà i Dati Personali del Cliente in un paese terzo al di fuori del Regno Unito o dello Spazio Economico Europeo senza garantire che sia in vigore un meccanismo di trasferimento appropriato, come il UK International Data Transfer Agreement, le Clausole Contrattuali Standard con l'Addendum UK, o il ricorso a una normativa di adeguatezza.

Diritti di Audit

Hangar.Media metterà a disposizione del Cliente, su ragionevole richiesta scritta e non più di una volta per periodo di dodici mesi, le informazioni ragionevolmente necessarie a dimostrare la conformità al presente DPA e all'Articolo 28 del UK GDPR. Ciò potrà avvenire sotto forma di:

• Risposte scritte a un ragionevole questionario sulla protezione dei dati
• Copie delle politiche, procedure o certificazioni pertinenti
• Rapporti riepilogativi delle valutazioni di sicurezza condotte sul Servizio

Qualora il Cliente abbia un obbligo normativo o una ragionevole motivazione per richiedere un audit in loco, le parti concorderanno in anticipo i tempi, l'ambito e le condizioni di riservatezza di tale audit, che sarà condotto a spese del Cliente e in modo da non interrompere l'operatività del Servizio.

Cancellazione e Restituzione dei Dati

Alla cessazione o alla scadenza dell'abbonamento del Cliente:

• Il Cliente avrà una finestra di 30 giorni successiva alla cessazione per esportare i Contenuti del Cliente e i dati dell'account tramite la dashboard del Servizio o le API.
• Trascorsa la finestra di 30 giorni, Hangar.Media eliminerà tutti i Dati Personali del Cliente dai sistemi di produzione attivi. I dati eliminati saranno rimossi dai backup entro la finestra di rotazione dei backup di 30 giorni.
• I registri di fatturazione e le fatture saranno conservati per 7 anni in conformità ai requisiti legali HMRC, come descritto nella Informativa sulla Privacy.
• Hangar.Media fornirà, su richiesta, conferma scritta dell'avvenuta cancellazione.

Responsabilità

La responsabilità di ciascuna parte ai sensi o in connessione con il presente DPA è soggetta alle limitazioni ed esclusioni di responsabilità stabilite nei Termini di Servizio. Nulla nel presente DPA esclude o limita alcuna responsabilità che non possa essere esclusa o limitata ai sensi della legge applicabile.

Prevalenza

In caso di conflitto tra il presente DPA e i Termini di Servizio, il presente DPA prevarrà in relazione al trattamento dei Dati Personali del Cliente. Tutte le altre questioni sono disciplinate dai Termini di Servizio.

Legge Applicabile

Il presente DPA è disciplinato e interpretato in conformità alle leggi di Inghilterra e Galles. Qualsiasi controversia derivante dal presente DPA sarà soggetta alla giurisdizione esclusiva dei tribunali di Inghilterra e Galles.

Modifiche al presente DPA

Hangar.Media potrà aggiornare il presente DPA di volta in volta per recepire modifiche ai requisiti legali, ai sub-responsabili o al Servizio. Le modifiche sostanziali saranno comunicate al Cliente con almeno 30 giorni di anticipo, con le stesse modalità previste per le modifiche ai Termini di Servizio.

Contatti

Per qualsiasi domanda relativa al presente DPA, o per contattare Hangar.Media in merito a qualsiasi questione da esso disciplinata, si prega di utilizzare il modulo di contatto sul nostro sito web.