Contratto di trattamento dei dati personali (CTD)

1. Oggetto e durata

1.1 Oggetto del presente CTD è il trattamento di dati personali da parte di espressino per conto del club nell'ambito della fornitura di strokebook conformemente alle CG. La portata, la natura e la finalità del trattamento, le categorie di dati personali e le cerchie di persone interessate sono descritte nell'Allegato 1.

1.2 La durata del presente CTD è retta dalla durata del contratto principale secondo le CG. In caso di dubbio, la disdetta del contratto principale vale anche come disdetta del presente CTD. Il presente CTD non può essere disdetto separatamente durante la durata del contratto principale.

1.3 La gestione dei contenuti dei dati del club e la responsabilità per la liceità del trattamento dei dati incombono al club. espressino tratta i dati del club esclusivamente per conto e su istruzione del club.

2. Diritto applicabile in materia di protezione dei dati

2.1 È determinante la legge federale svizzera sulla protezione dei dati (LPD), unitamente alla relativa ordinanza. Nella misura in cui al trattamento dei dati da parte del club si applichi inoltre il regolamento (UE) 2016/679 (GDPR), il presente CTD soddisfa al contempo i requisiti dell'art. 28 GDPR; in tal caso i termini del presente CTD vanno interpretati ai sensi del GDPR (i termini «trattamento» e «dati personali» hanno il medesimo significato ai sensi della LPD e del GDPR).

3. Delimitazione dei ruoli: contesto del club e account personali dei membri

3.1 Il presente CTD si applica ai dati personali trattati nel contesto del club e si applica quindi ai dati che il club o i suoi membri registrano in strokebook nell'ambito dell'organizzazione del club o che vengono generati in tale ambito (in particolare voci del giornale di bordo, prenotazioni barche e dati anagrafici dei membri gestiti dal club). In tale misura il club è titolare del trattamento ed espressino è responsabile del trattamento. Il presente CTD si applica anche al trattamento di dati personali nel contesto del club nell'ambito di funzioni contrassegnate come «Beta» o «sperimentali» (n. 3.4 delle CG); i fornitori di servizi impiegati per tali funzioni sono considerati sub-responsabili del trattamento ai sensi del n. 7.

3.2 Non sono oggetto del presente CTD i dati personali che un membro registra o genera nel proprio account personale nel contesto personale (per esempio impostazioni personali dell'account nonché future funzioni personali quali i dati di allenamento individuali). In tale misura espressino è titolare autonomo del trattamento; si applicano le condizioni d'uso degli account personali e l'informativa sulla privacy di espressino. Gli account personali sono vincolati all'appartenenza al club; se cessa l'appartenenza oppure il contratto principale del club, l'account viene chiuso conformemente alle condizioni d'uso.

3.3 Se il medesimo record è utilizzato in entrambi i contesti (per esempio una sessione che figura sia nel giornale di bordo del club sia nell'account personale del membro), vale quanto segue: per la copia rispettivamente la vista nel contesto del club è titolare del trattamento il club, per la copia rispettivamente la vista nel contesto personale espressino. La cancellazione in un contesto lascia impregiudicato l'altro contesto.

4. Istruzioni

4.1 espressino tratta i dati personali esclusivamente nell'ambito degli accordi conclusi e secondo istruzioni documentate del club (compresa la comunicazione di dati personali all'estero), salvo che sussista un obbligo legale di trattamento. In tal caso espressino informa il club, prima del trattamento, in merito all'esigenza legale, sempre che la legge non vieti una simile comunicazione.

4.2 Il club impartisce le proprie istruzioni generali mediante le funzioni, le immissioni e le configurazioni messe a disposizione in strokebook. espressino non è tenuta a eseguire istruzioni individuali di altra natura; fa eccezione l'istruzione di cancellare tutti i dati trattati per conto del club, che espressino esegue sempre qualora sia accertato che essa proviene da una persona autorizzata a rappresentare il club. Le istruzioni di cancellazione richiedono almeno la forma testuale.

4.3 Se espressino ritiene che un'istruzione violi il diritto in materia di protezione dei dati, ne informa senza indugio il club e può sospenderne l'esecuzione fino a quando l'istruzione viene confermata o modificata.

4.4 Sono autorizzate a impartire istruzioni le persone che possono rappresentare validamente il club nonché le persone definite in strokebook come amministratori del club. In caso di istruzioni contraddittorie si applica il n. 6.7 delle CG.

5. Riservatezza

5.1 espressino impiega per il trattamento soltanto persone che sono state vincolate alla riservatezza o che sottostanno a un obbligo legale di segretezza e che sono state previamente rese edotte delle disposizioni sulla protezione dei dati rilevanti per loro.

6. Misure tecniche e organizzative

6.1 espressino adotta le misure tecniche e organizzative descritte nell'Allegato 2 al fine di garantire un livello di protezione adeguato al rischio quanto a riservatezza, integrità, disponibilità e resilienza dei sistemi.

6.2 Le misure sottostanno al progresso tecnico. espressino può attuare misure alternative adeguate, purché non venga ridotto il livello di sicurezza delle misure stabilite. espressino comunica al club in forma testuale le modifiche sostanziali.

6.3 espressino verifica regolarmente l'efficacia delle misure e tiene un registro delle categorie di attività di trattamento svolte per conto del club.

7. Sub-responsabili del trattamento

7.1 Il club acconsente all'impiego dei sub-responsabili del trattamento elencati nell'Allegato 3. Sono considerati sub-responsabili del trattamento i fornitori di servizi la cui prestazione si riferisce direttamente alla fornitura della prestazione principale; le prestazioni accessorie (per esempio telecomunicazioni o smaltimento di supporti di dati) non costituiscono rapporti di sub-responsabilità, fermo restando che anche per esse espressino adotta adeguate misure di riservatezza e di controllo.

7.2 espressino conclude con ogni sub-responsabile del trattamento un accordo che impone a quest'ultimo sostanzialmente i medesimi obblighi in materia di protezione dei dati che il presente CTD impone a espressino. Se un sub-responsabile del trattamento non adempie i propri obblighi in materia di protezione dei dati, espressino risponde nei confronti del club dell'adempimento degli obblighi di tale sub-responsabile come del proprio comportamento.

7.3 Nuovi sub-responsabili del trattamento. Se espressino intende ricorrere a un nuovo sub-responsabile del trattamento o sostituirne uno esistente, ne informa il club in forma testuale con almeno 30 giorni di anticipo. Entro tale termine il club può opporsi alla modifica in forma testuale per motivi legittimi attinenti alla protezione dei dati. Se in caso di opposizione le parti non trovano un accordo, il club può disdire in via straordinaria il contratto principale con effetto alla data prevista per l'impiego del nuovo sub-responsabile del trattamento; fino a tale data espressino non impiega il nuovo sub-responsabile del trattamento per i dati del club.

8. Luogo del trattamento ed esportazioni di dati

8.1 Il trattamento avviene in Svizzera e nello Spazio economico europeo (SEE) nonché, per singole prestazioni indicate nell'Allegato 3 (in particolare la distribuzione dell'applicazione web tramite una rete CDN mondiale nonché gli accessi di supporto e di esercizio da paesi terzi), in Stati al di fuori della Svizzera e del SEE; è fatto salvo il n. 8.2. La regione di hosting dei sistemi produttivi è indicata nell'Allegato 3.

8.2 La comunicazione di dati personali in Stati privi di un livello adeguato di protezione dei dati avviene soltanto sulla base di garanzie appropriate, in particolare le clausole contrattuali tipo emanate dalla Commissione europea e riconosciute dall'IFPDT, con gli adeguamenti necessari per la Svizzera, oppure sulla base di un altro meccanismo di trasferimento ammesso dalla legge. Se espressino intende fondarsi in futuro su un altro meccanismo, ne informa preventivamente il club.

9. Assistenza al club

9.1 Se una persona interessata (per esempio un membro del club) si rivolge direttamente a espressino in merito ai propri diritti nel contesto del club, espressino trasmette la richiesta al club rispettivamente rinvia la persona interessata al club e ne informa quest'ultimo. espressino non decide autonomamente su tali richieste.

9.2 espressino assiste il club, nei limiti delle proprie possibilità, con misure tecniche e organizzative adeguate nell'adempimento dei diritti delle persone interessate (in particolare accesso, rettifica, cancellazione, consegna dei dati) nonché nel rispetto degli obblighi relativi alla sicurezza dei dati, alla notifica delle violazioni della sicurezza dei dati, alle valutazioni d'impatto sulla protezione dei dati e a eventuali consultazioni dell'autorità di controllo.

9.3 Per le prestazioni di assistenza che esulano dalle funzioni messe a disposizione in strokebook e che non sono riconducibili a un comportamento scorretto di espressino, espressino può esigere un compenso supplementare adeguato in funzione del dispendio.

10. Notifica delle violazioni della sicurezza dei dati

10.1 espressino notifica al club senza indugio ogni violazione della sicurezza dei dati che concerne dati personali rientranti nella sfera di responsabilità del club. La notifica contiene, per quanto noto, la natura della violazione, le categorie di dati e le cerchie di persone interessate, le conseguenze prevedibili nonché le misure adottate e proposte.

10.2 La valutazione e l'eventuale notifica all'autorità di controllo competente nonché l'informazione delle persone interessate incombono al club in qualità di titolare del trattamento. espressino assiste il club in tale ambito conformemente al n. 9.

11. Prova e diritti di controllo

11.1 Su richiesta espressino mette a disposizione del club le informazioni necessarie a comprovare il rispetto degli obblighi derivanti dal presente CTD.

11.2 Il club può verificare il rispetto del presente CTD al massimo una volta all'anno nonché in presenza di un motivo concreto, oppure farlo verificare da un terzo idoneo, vincolato alla riservatezza e non in rapporto di concorrenza con espressino. I controlli hanno luogo previo preavviso di regola di almeno quattro settimane, durante i consueti orari di lavoro, a spese del club e senza perturbare l'esercizio.

11.3 espressino può fornire la prova, in alternativa, mediante attestati, rapporti o certificazioni aggiornati di organismi indipendenti (per esempio ISO 27001 o SOC 2 dei fornitori di infrastruttura impiegati), sempre che questi consentano al club una valutazione adeguata. I segreti d'affari di espressino e i dati di altri clienti sono esclusi dal controllo. Per l'assistenza in occasione dei controlli espressino può esigere un compenso supplementare adeguato in funzione del dispendio.

12. Cancellazione e restituzione

12.1 espressino allestisce copie o duplicati dei dati del club soltanto nella misura in cui ciò sia necessario alla corretta fornitura della prestazione (per esempio copie di sicurezza, test nell'ambito di release, analisi degli errori).

12.2 Alla fine del contratto si applica la finestra di esportazione di 60 giorni secondo il n. 10.5 delle CG. Alla sua scadenza espressino cancella tutti i dati personali trattati per conto del club entro un termine tecnico adeguato; le copie di sicurezza vengono sovrascritte con il regolare ciclo di rotazione di al massimo sette giorni. Su richiesta espressino conferma al club la cancellazione in forma testuale. Sono esclusi i dati che espressino deve continuare a conservare in virtù di obblighi legali di conservazione, nonché i dati contenuti negli account personali dei membri (n. 3.2); per questi ultimi espressino è titolare autonomo del trattamento e la loro cancellazione è retta dall'informativa sulla privacy. Se il contratto principale cessa, vengono chiusi anche gli account personali dei membri del club; i membri sono informati preventivamente conformemente alle condizioni d'uso degli account personali e i dati vengono cancellati entro 30 giorni, fatti salvi gli obblighi legali di conservazione.

13. Responsabilità

13.1 Alla responsabilità derivante dal presente CTD o in connessione con esso si applicano le regole sulla responsabilità delle CG, in particolare la limitazione della responsabilità secondo il n. 13 delle CG. Sono fatte salve le disposizioni legali imperative sulla responsabilità.

13.2 Se una persona interessata si rivolge direttamente a espressino e ottiene da espressino un risarcimento, il club deve risarcire a espressino il danno che ne deriva, nella misura in cui espressino non sarebbe stata responsabile nei confronti del club per la relativa violazione secondo il presente CTD e le CG, in particolare qualora espressino si sia attenuta agli accordi e alle istruzioni del club.

14. Disposizioni finali

14.1 Nella misura in cui il presente CTD non contenga disposizioni speciali, si applicano le CG. Le modifiche del presente CTD avvengono secondo la procedura di cui al n. 17 delle CG.

14.2 Il presente CTD sottostà al diritto svizzero, con esclusione delle norme sui conflitti di leggi e della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci. Il foro competente esclusivo è Zurigo.

Allegato 1: oggetto del trattamento

Allegato 2: misure tecniche e organizzative (MTO)

Allegato 3: sub-responsabili del trattamento

I sub-responsabili del trattamento ammessi sono elencati nel separato elenco dei sub-responsabili strokebook, che costituisce parte integrante del presente CTD. La versione di volta in volta aggiornata è consultabile su strokebook.club. Per l'inserimento di nuovi sub-responsabili del trattamento si applica il n. 7.3 del presente CTD.