Data Processing Addendum

Il presente Data Processing Addendum (“DPA”) è un addendum del contratto Advertiser di affiliate marketing (il "Contratto") stipulato tra la Società e l'Advertiser, di cui il presente DPA costituisce parte integrante. 

1. INTERPRETAZIONE 

1.1  Nel presente DPA i termini in maiuscolo avranno il seguente significato: 

Trattamento dell’Advertiser	ha il significato di cui alla clausola 3.2.
Legge Applicabile	tutte le leggi o regolamenti, politiche di regolamentazione, linee guida o codici di settore che si applicano ai Dati Personali del Network;
Business Intelligence	il trattamento dei Dati Personali del Network ai sensi del Contratto al fine di comprendere l'uso da parte dei consumatori o le loro interazioni con qualsiasi sito web, applicazione o servizio dell’Advertiser, come determinato dall’Advertiser, mediante l'uso della tecnologia della Società (come applicabile).
Cross Device Tracking	il trattamento dei Dati Personali del Network ai sensi del Contratto, relativi al consumer journey sui siti web su più device, allo scopo di attribuire la provenienza di tale consumatore ai siti web, alle app o ai servizi dell’Advertiser da parte di un terzo publisher pubblicitario.
Normativa Privacy	GDPR, le leggi nazionali che attuano o integrano il GDPR (compreso il Data Protection Act 2018 del Regno Unito) e, nella misura applicabile, le leggi sulla protezione dei dati o sulla privacy di qualsiasi altro paese;
SEE	lo Spazio Economico Europeo;
GDPR	il Regolamento Generale UE sulla Protezione dei Dati 2016/679;
Trattamento CT	ha il significato di cui alla clausola 3.1.
Lead Generation	il trattamento dei Dati Personali del Network ai sensi del Contratto (e di eventuali accordi connessi o accessori tra le Parti e terzi) per la generazione di un lead di vendita per l’Advertiser, da utilizzare successivamente nelle proprie attività di marketing dell’Advertiser.
Dati Personali del Network	qualsiasi dato personale trattato da una delle Parti in relazione alla fornitura dei Servizi ai sensi del Contratto;
Plugin Integration	il trattamento dei Dati Personali del Network ai sensi del Contratto (e di qualsiasi accordo correlato o accessorio tra le Parti e terzi) al fine di facilitare l'integrazione di qualsiasi sito web, app o servizio dell’Advertiser con la tecnologia di un terzo fornitore AdTech, utilizzando la tecnologia della Società (ove applicabile).
Reporting	il trattamento dei Dati Personali ai fini del reporting del Tracking e del Cross Device Tracking, e "Report" deve essere interpretato di conseguenza.
Servizi	i servizi forniti dalla (o per conto della) Società all’Advertiser ai sensi del Contratto;
Sub-responsabile	qualsiasi persona (ad esclusione di un dipendente di una delle Parti) nominata da o per conto di una delle Parti per il Trattamento dei Dati Personali per conto di tale Parte o altrimenti in relazione al Contratto.
Tracking	il trattamento dei Dati Personali del Network ai sensi del Contratto, relativi al consumer journey sui siti web su un unico device, allo scopo di attribuire la provenienza di tale consumatore ai siti web, app o servizi dell’Advertiser da parte di un terzo publisher pubblicitario.
Transaction Queries	il trattamento dei Dati Personali del Network ai sensi del Contratto, relativi al consumer journey sui siti web, effettuato su richiesta di un terzo publisher pubblicitario, al fine di rivalutare l'attribuzione della provenienza di consumatori verso siti web, app o servizi dell’Advertiser tramite Tracking o Cross Device Tracking.

1.2  I termini "Titolare", "Interessato", "Stato Membro", "Dati Personali", "Violazione dei Dati Personali", "Trattamento", "Responsabile del Trattamento" e "Profilazione" hanno il significato attribuito loro dal GDPR.  

2.  GENERALE 

2.1  Il presente DPA costituisce sia un accordo tra Co-Titolari ai sensi dell'articolo 26 del GDPR, sia una nomina tra un Titolare e un Responsabile del Trattamento ai sensi dell'articolo 28, paragrafo 3, del GDPR, come indicato di seguito, e a seconda di come il contesto richiede o consente. 

2.2  Il presente DPA troverà applicazione soltanto nella misura in cui le Parti svolgano attività di trattamento dei Dati Personali del Network.  

2.3  In caso di incongruenze tra le disposizioni del presente DPA e del Contratto, il presente DPA prevarrà, a meno che non sia stato espressamente concordato diversamente per iscritto.  

3.  TRATTAMENTO DEI DATI PERSONALI DEL NETWORK 

3.1  La Società e l’Advertiser agiranno in qualità di Co-Titolari del trattamento dei Dati Personali del Network ai fini di: 

3.1.1  Tracking 

3.1.2 Cross Device Tracking 

3.1.3  Reporting; e 

3.1.4  Transaction Queries 

insieme, "Trattamento CT", e il presente DPA definisce gli accordi conclusi tra le Parti ai sensi dell'articolo 26 del GDPR in relazione a tale Trattamento.  

3.2  L’Advertiser agirà in qualità di Titolare, e la Società agirà in qualità di Responsabile rispetto al Trattamento dei Dati Personali del Network per le finalità di: 

3.2.1  acquisizione dei nomi dei consumatori e delle informazioni di contatto per conto dell'Advertiser nell’ambito delle attività di Lead Generation;   

3.2.2  Business Intelligence; e  

3.2.3 Plugin Integration  

insieme, "Trattamento dell’Advertiser", e il presente DPA costituisce la nomina sottoscritta tra le Parti ai sensi dell'articolo 28 del GDPR in relazione a tale Trattamento e a qualsiasi altro Trattamento in base al quale una parte agisce in qualità di Titolare e l'altra parte agisce in qualità di Responsabile del Trattamento.  

3.3  Il Trattamento dei Dati Personali del Network per la Lead Generation può essere effettuato con riserva di ulteriori accordi tra le Parti e terze parti (qualora applicabili). 

3.4  La Società e l’Advertiser rispetteranno i rispettivi obblighi previsti dalla Normativa Privacy. Ciascuna Parte fornirà all'altra Parte qualsiasi cooperazione ragionevolmente richiesta per consentire all'altra Parte di conformarsi alla presente clausola 3. 

3.5  L’Advertiser non fornirà alcun Dato Personale alla Società senza il previo consenso scritto della Società, a meno che non sia previsto dalla Società nella gestione ordinaria della sua rete di marketing di editori e inserzionisti che facilitano, tra le altre cose, l'affiliazione e il performance marketing. 

4.  TERMINI APPLICATI AL TRATTAMENTO CT 

4.1  La presente clausola 4 si applica solo in relazione a qualsiasi Trattamento CT. 

4.2 Le Parti convengono congiuntamente che, per quanto riguarda i Trattamenti CT, l'articolo 6, paragrafo 1, lettera f, del GDPR si applica al trattamento dei Dati Personali del Network e che il trattamento dei Dati Personali del Network è necessario ai fini del legittimo interesse perseguito da entrambe le Parti e/o da terzi. 

4.3  Trasparenza 

4.3.1  L'Advertiser deve adottare misure appropriate per fornire agli Interessati informazioni sulle modalità di trattamento dei Dati Personali del Network da parte o per conto dell'Advertiser, che devono almeno includere tutte le informazioni richieste dagli articoli 13, 14 e 26 del GDPR, in una forma concisa, trasparente e facilmente accessibile, utilizzando un linguaggio chiaro e semplice ("Informativa dell’Advertiser sul Corretto Trattamento"). 

4.3.2  La Società deve adottare misure appropriate per fornire agli Interessati informazioni sulle modalità di trattamento dei Dati Personali del Network da parte o per conto della Società, che devono includere almeno tutte le informazioni richieste dagli articoli 13, 14 e 26 del GDPR, in forma concisa, trasparente e facilmente accessibile, utilizzando un linguaggio chiaro e semplice ("Informativa della Società sul Corretto Trattamento"). 

4.3.3  L'Advertiser deve: 

(A)  includere il link all'attuale Informativa della Società sul Corretto Trattamento nell’Informativa dell’Advertiser sul Corretto Trattamento; o 

(B)  garantire che l’Informativa dell’Advertiser sul Corretto Trattamento contenga informazioni sufficienti per consentire alla Società di trattare i Dati Personali del Network in conformità agli articoli 13, 14 e 26 del GDPR.  

4.4  Diritti dell'Interessato   

Ciascuna Parte adempie agli obblighi di risposta alle richieste di esercizio dei diritti degli Interessati ai sensi della Normativa Privacy. Salvo diverso accordo scritto tra le Parti, il primo soggetto destinatario di una richiesta dell’Interessato di esercizio dei suoi diritti ai sensi della Normativa Privacy ha la responsabilità primaria della risposta. Ciascuna Parte fornirà all'altra Parte il ragionevole supporto richiesto al fine di consentire all'altra Parte di adempiere alla presente clausola 4.4. 

4.5  Personale 

4.5.1  Ciascuna Parte adotta misure ragionevoli per garantire l'affidabilità di qualsiasi dipendente, agente o appaltatore che possa avere accesso ai Dati Personali del Network, assicurando in ogni caso che l'accesso sia: 

(A)  strettamente limitato alle persone che hanno necessità di conoscere e/o accedere ai pertinenti Dati Personali del Network; e 

(B)  nella misura strettamente necessaria ai fini del Contratto e per rispettare la Legge Applicabile nell'ambito dei suoi doveri.  

4.5.2 Ciascuna Parte garantisce che tutte le persone di cui alla clausola 4.5.1 siano soggette ad impegni di riservatezza o ad obblighi professionali o di riservatezza per legge. 

4.6  Sicurezza e Riservatezza dei Dati 

4.6.1  In relazione ai Dati Personali del Network, ciascuna Parte attua misure tecniche e organizzative sufficienti a garantire un adeguato livello di sicurezza, comprese, se necessario, le misure di cui all'articolo 32, paragrafo 1, del GDPR. A tal fine, ciascuna Parte tiene conto dei seguenti elementi: 

(A)  lo stato dell'arte, i costi di attuazione e la natura, l’ambito di applicazione, il contesto e le finalità del Trattamento; e  

(B)  il rischio di variabilità e gravità dei diritti e delle libertà delle persone fisiche. 

4.6.2  Nel valutare l'adeguato livello di sicurezza, ciascuna Parte tiene conto in particolare dei rischi presentati dal Trattamento, compresi la distruzione accidentale o illecita, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso ai Dati Personali del Network trasmessi, memorizzati o altrimenti Trattati.  

4.7  Violazione dei Dati Personali 

4.7.1  Ciascuna Parte deve:  

(A)  informare l'altra Parte senza indebito ritardo quando viene a conoscenza di una Violazione dei Dati Personali del Network ("Network Data Breach"); e 

(B) fornire all'altra Parte informazioni sufficienti per consentirle di adempiere all'obbligo di segnalare o informare gli Interessati del Network Data Breach ai sensi o in connessione con la Normativa Privacy; e 

(C)  consultare in modo significativo l'altra Parte in merito alla strategia di comunicazione esterna e di pubbliche relazioni relative al Network Data Breach; e 

(D) fatto salvo quanto previsto dalla Legge Applicabile, non notificare ad alcuna Autorità di regolamentazione in materia di protezione dei dati il Network Data Breach senza aver ottenuto la preventiva approvazione scritta dell'altra Parte; e   

(E)  non rilasciare comunicati stampa o non comunicare con alcun membro della stampa in relazione al Network Data Breach senza aver ottenuto la preventiva approvazione scritta dell'altra Parte.  

4.7.2  La notifica di cui alla precedente clausola 4.7.1(a) deve come minimo: 

(A)  descrivere la natura del Network Data Breach, le categorie e il numero degli Interessati, nonché le categorie e il numero di record di Dati Personali interessati; e 

(B)  descrivere le probabili conseguenze del Network Data Breach; e 

(C)  descrivere le misure adottate o proposte per affrontare il Network Data Breach.  

4.7.3  L’Advertiser deve collaborare con la Società ed adottare le misure commerciali ragionevoli indicate dalla Società per contribuire all'indagine, alla mitigazione e a risolvere ogni Network Data Breach. 

4.8  Trasferimento dei Dati 

Nessuna delle Parti trasferisce i Dati Personali del Network in paesi al di fuori del SEE in violazione della Normativa Privacy. 

4.9  Profilazione 

L’Advertiser non utilizzerà i Dati Personali rivelati dai Report per la Profilazione dei consumatori. 

4.10  Utilizzo di Responsabili 

Per quanto riguarda il Responsabile del Trattamento proposto, ciascuna delle Parti deve: 

4.10.1  prima del primo Trattamento dei Dati Personali del Network da parte del Responsabile, effettuare un'adeguata due-diligence per assicurare che il Responsabile del Trattamento sia in grado di fornire il livello di protezione dei Dati Personali del Network richiesto dalla Normativa Privacy; e 

4.10.2  garantire che l’accordo con tale Responsabile del Trattamento sia disciplinato da un contratto scritto che comprenda clausole che soddisfino i requisiti di cui all'articolo 28, paragrafo 3, del GDPR. 

5.  TERMINI APPLICABILI AL TRATTAMENTO DELL’ADVERTISER 

5.1  La presente clausola 5 si applica solo in relazione all'eventuale Trattamento dell’Advertiser (se applicabile). 

5.2  La Società dovrà:  

5.2.1 Trattare i Dati Personali per le finalità del Trattamento dell’Advertiser solo in conformità con le istruzioni dell’Advertiser, anche per quanto riguarda la cancellazione o la restituzione dei Dati Personali; e 

5.2.2  mettere a disposizione dell’Advertiser le informazioni richieste in relazione ai Dati Personali, con almeno 30 giorni di preavviso scritto e durante il normale orario di lavoro, necessarie per dimostrare il rispetto della presente clausola 5.2, anche per consentire e contribuire a verifiche ragionevoli, condotte dall’Advertiser o dall'auditor designato dall’Advertiser (tali auditor designati sono soggetti alla previa approvazione scritta della Società); e 

5.2.3  informare tempestivamente l’Advertiser se riceve una qualsiasi richiesta da parte di un Interessato di esercitare i suoi diritti ai sensi della Normativa Privacy e fornire all’Advertiser qualsiasi cooperazione ragionevolmente richiesta per consentire all’Advertiser di rispondere a tali richieste; e 

5.2.4  incaricare Sub-responsabili in modo coerente con la clausola 4.10; e 

5.2.5  rispettare le clausole 4.5 – 4.8. 

5.3  L’Advertiser concede un'autorizzazione generale alla Società ai sensi dell'Articolo 28, paragrafo 2, del GDPR per la nomina di Sub-responsabili. La Società informerà l’Advertiser di qualsiasi modifica prevista riguardante l'aggiunta o la sostituzione di Sub-responsabili. 

6.  ULTERIORE TRATTAMENTO 

6.1  In relazione a qualsiasi altro ulteriore Trattamento dei Dati Personali del Network ai sensi del Contratto, nella misura in cui non diversamente specificato ai sensi del presente DPA, qualsiasi Parte che agisca in qualità di Responsabile del Trattamento dovrà: 

6.1.1  Trattare i Dati Personali del Network solo per tali finalità in conformità alle istruzioni del Titolare, anche in relazione alla cancellazione o alla restituzione dei Dati Personali;  

6.1.2  mettere a disposizione del Titolare le informazioni richieste in relazione ai Dati Personali del Network, con almeno 30 giorni di preavviso scritto e durante il normale orario lavorativo, necessarie per dimostrare il rispetto della presente Clausola 6.1, anche per consentire e contribuire a verifiche ragionevoli, condotte dal Titolare o dall'auditor designato dal Titolare (tali auditor designati sono soggetti alla previa approvazione scritta della Società);   

6.1.3  informare tempestivamente il Titolare se riceve una qualsiasi richiesta da parte dell'Interessato di esercitare i diritti previsti dalla Normativa Privacy e fornire al Titolare ogni cooperazione ragionevolmente richiesta per consentire al Titolare di rispondere a tali richieste;  

6.1.4  incaricare i Sub-responsabili in modo coerente con la clausola 4.10; 

6.1.5  rispettare le clausole 4.5 – 4.8. 

6.2  In caso di conflitto tra la presente Clausola 6 e qualsiasi altro accordo tra le Parti in relazione al medesimo Trattamento, prevarrà tale altro accordo. 

7.  RESPONSABILITÀ  

7.1  Ciascuna Parte è l'unica responsabile di tutti i costi, richieste di risarcimento, perdite, danni, spese o multe derivanti da: 

7.1.1  una sua violazione della Normativa Privacy; e 

7.1.2  una sua violazione del presente DPA o del Contratto; e 

7.1.3  il Trattamento dei Dati Personali in suo possesso; e 

7.1.4  eventi di cui è responsabile; 

e, di conseguenza, le Parti non sono solidalmente responsabili di tali violazioni. 

7.2  La Società non sarà responsabile per eventuali violazioni della Normativa Privacy derivanti in relazione al Trattamento svolto da o in connessione a terzi fornitori adtech la cui tecnologia può essere integrata con qualsiasi sito web, applicazione o servizio dell’Advertiser mediante l'uso della tecnologia della Società (come di volta in volta applicabile). 

7.3  Nessuna disposizione del presente DPA limita o esclude la responsabilità di una delle Parti per morte, lesioni personali, frode, false dichiarazioni fraudolente o false dichiarazioni fraudolente. 

8.  BREXIT 

Qualora il Regno Unito esca dall'Unione Europea a condizioni tali che il trasferimento di Dati Personali al Regno Unito costituisca un trasferimento di Dati Personali a un paese terzo ai sensi dell'articolo 44 del GDPR, in mancanza di una decisione di adeguatezza ai sensi dell'articolo 45, paragrafo 3, si considera che le Parti abbiano concluso clausole contrattuali tipo emesse dalla Commissione Europea, di volta in volta, per i trasferimenti di dati da Titolari del Trattamento stabiliti nel SEE a favore di: 

8.1  Titolari dei Dati con sede fuori dal SEE; e/o  

8.2  Responsabili del Trattamento con sede fuori dal SEE; 

immediatamente dopo la comunicazione scritta all’Advertiser (anche attraverso l'affissione di un avviso sull'Interfaccia), a condizioni che la Società ritiene opportune, purché tali condizioni soddisfino i requisiti di un'adeguata tutela ai sensi dell'articolo 46 del GDPR. 

9.  MODIFICHE AL PRSENTE DPA 

La Società può, con un preavviso scritto di almeno 7 giorni all’Advertiser (anche attraverso la pubblicazione di un avviso sull'Interfaccia), apportare variazioni vincolanti al presente DPA, modifiche che la Società ritiene ragionevolmente necessarie per soddisfare i requisiti della Normativa Privacy. 

10.  DISPOSIZIONI GENERALI 

10.1  Qualora una qualsiasi disposizione del presente DPA sia invalida o inapplicabile, il resto del presente DPA rimane valido e in vigore. La disposizione non valida o inapplicabile è:  

10.1.1 modificata come necessario per garantirne la validità e l'applicabilità, pur preservando il più possibile le intenzioni delle Parti o, se ciò non è possibile; o 

10.1.2  interpretata come se la Parte non valida o non applicabile non fosse mai stata contenuta nel DPA. 

11.  DIRITTI DI TERZI 

I terzi non hanno il diritto di far valere alcuno dei termini del presente DPA.  

12.  LEGGE APPLICABILE E FORO COMPETENTE 

La legge applicabile e il foro competente del presente DPA sono gli stessi del Contratto Principale.