Accordo sulla privacy dei dati di Lyve

La parte contraente di Seagate identificata nell’accordo per i Servizi Lyve ("Seagate") e il cliente ("Società") (ciascuno una "Parte" e collettivamente le "Parti") hanno sottoscritto un accordo per i Servizi Lyve ("Accordo") in base al quale Seagate può elaborare le informazioni personali della Società (come definito di seguito) a sostegno della fornitura di determinati servizi alla Società ("Servizi"). Il presente Accordo sulla privacy dei dati, inclusi tutti i programmi e gli allegati (il presente "Accordo sulla privacy dei dati"), disciplina il trattamento da parte di Seagate delle informazioni personali della Società e farà parte e sarà incorporato per riferimento nell’Accordo e avrà effetto alla data di esecuzione dello stesso ("Data di entrata in vigore").

Le parti riconoscono e accettano quanto segue:

1. DEFINIZIONI
   1. Per "Affiliato/a" si intende qualsiasi entità che controlla, è controllata o è sotto controllo comune con la parte interessata, dove per "controllo" si intende la proprietà o il diritto di controllare più del 50% dei titoli con diritto di voto di tale entità.
   2. "Legge sulla privacy applicabile" indica tutte le leggi, le regole e i regolamenti a livello mondiale sulla protezione dei dati, sulla sicurezza dei dati e sulla privacy, applicabili alle Informazioni personali della Società in questione, tra cui, ove applicabile: (i) Legge sulla protezione dei dati dell'UE; (ii) Singapore Personal Data Protection Act 2012 (n. 26 del 2012); (iii) tutte le leggi, le norme e i regolamenti degli Stati Uniti, incluse le leggi sulla privacy dello Stato degli Stati Uniti; e (iv) standard di settore applicabili appropriati alla natura delle Informazioni personali della Società.
   3. Per "Violazione della privacy dei dati" si intende qualsiasi violazione della sicurezza che porti a distruzione, perdita, alterazione, divulgazione non autorizzata, accesso e acquisizione delle Informazioni personali della Società, siano accidentali o illeciti, o qualsiasi altra elaborazione non autorizzata delle informazioni personali della Società.
   4. "Leggi sulla protezione dei dati dell'UE" indica tutte le leggi e le normative in materia di protezione dei dati applicabili all'Unione europea ("UE") o allo Spazio Economico Europeo ("SEE"), compresi a) il regolamento generale sulla protezione dei dati del 2016/679 ("GDPR UE" o "GDPR"); b) il GDPR così come è stato salvato nella legislazione del Regno Unito in virtù della sezione 3 del United Kingdom's European Union (Withdrawal) Act 2018 e del UK Data Protection Act 2018 (“GDPR del Regno Unito”); c) il Swiss Federal Data Protection Act del 19 giugno 1992 e le relative ordinanze ("Accordo sulla privacy dei dati svizzero"); d) la direttiva 2002/58/CE relativa all’elaborazione dei dati personali e alla tutela della privacy nel settore delle comunicazioni elettroniche; e) le disposizioni nazionali applicabili dei punti a), b) e c).
   5. "Informazioni personali della Società" indica qualsiasi Dato personale elaborato da Seagate per conto della Società in relazione all'Accordo, come descritto più in particolare nell'Allegato A del presente Accordo sulla privacy dei dati.
   6. "Clausole modello" o "CCS” (Clausole Contrattuali Standard), indicano (i) il campo di applicazione del GDPR, le clausole contrattuali allegate alla decisione di esecuzione 2021/914 della Commissione Europea del 4 giugno 2021 relativa alle Clausole Contrattuali Standard per il trasferimento di dati personali a paesi terzi ai sensi del regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio (“CCS UE”) e (ii) quando si applica il GDPR del Regno Unito, clausole standard di protezione dei dati per gli Incaricati dell’elaborazione adottate ai sensi dell'articolo 46(2)(c) o (d) del GDPR del Regno Unito (“CCS del Regno Unito”) (come emendato, sostituito o aggiornato di volta in volta).
   7. "Dati personali" indica qualsiasi informazione protetta come "dati personali", "informazioni personali" o "informazioni personali identificabili" o termini definiti in modo simile dalla legge sulla privacy applicabile.
   8. Per "Elaborare" o "Elaborazione" si intendono, in via esemplificativa, le operazioni eseguite sulle Informazioni personali della Società, con o senza l’adozione di tecniche di automazione come raccolta, registrazione, organizzazione, strutturazione, alterazione, utilizzo, accesso, divulgazione, disseminazione, copia, trasferimento, memorizzazione o qualsiasi tipo di ritenzione, eliminazione, allineamento, combinazione, limitazione, adattamento, recupero, consultazione, distruzione o smaltimento delle Informazioni personali della Società.
   9. "Trasferimento limitato" significa: (i) in caso di applicazione del GDPR, un trasferimento di dati personali della Società dal SEE a un paese al di fuori del SEE che non sia soggetto a una determinazione di adeguatezza da parte della Commissione Europea; ii) qualora si applichi il GDPR del Regno Unito, un trasferimento dei dati personali della Società dal Regno Unito a qualsiasi altro paese non soggetto a norme di adeguatezza ai sensi della Sezione 17A del United Kingdom Data Protection Act 201; e (iii) laddove si applichi l’Accordo sulla privacy dei dati svizzero, un trasferimento dei dati personali della Società dalla Svizzera a qualsiasi altro paese che non si basi su una decisione di adeguatezza riconosciuta dalla legge svizzera sulla protezione dei dati.
   10. Per "Informazioni sensibili" si intende uno dei seguenti tipi di Informazioni personali della Società: (i) codice fiscale, numero di identificazione del contribuente, numero di passaporto, numero di patente di guida o altro numero di identificazione rilasciato da enti governativi; (ii) dettagli delle carte di credito o debito o numero di conto finanziario, con o senza un codice o una password che consenta l'accesso al conto o alla cronologia di credito oppure (iii) informazioni su razza, religione, etnia, vita, pratica od orientamento sessuale, informazioni mediche o sanitarie, caratteristiche genetiche, dati o modelli biometrici, opinioni politiche o filosofiche, appartenenza a partiti o sindacati, controllo dei precedenti personali o dati giudiziari come casellari giudiziari o informazioni su altri procedimenti giudiziari o amministrativi, oltre a qualsiasi Informazione personale della Società relativa a minori protetti da qualsiasi legge sulla protezione dei dati dei minori e qualsiasi altra informazione o combinazione di informazioni che ricada nella definizione di “categorie speciali di dati”, ai sensi del GDPR o di qualsiasi legge applicabile in relazione alla privacy e alla protezione dei dati.
   11. Per "Subincaricato dell'elaborazione" si intende qualsiasi terza parte coinvolta da Seagate o da qualsiasi altro Subincaricato dell’elaborazione che avrà accesso, riceverà o elaborerà in altro modo le Informazioni personali della Società.
   12. Con "Personale di Seagate" ci si riferisce a qualsiasi dipendente, appaltatore, subincaricato dell’elaborazione o agente di Seagate autorizzato da Seagate a elaborare le Informazioni personali della Società.
   13. "Leggi sulla privacy dello stato degli Stati Uniti” indica tutte le leggi, le regole e le normative applicabili in materia di privacy, protezione dei dati e sicurezza informatica a cui le Informazioni personali della Società sono soggette.
   14. I termini "Consumatore", "Controllore", "Persona interessata", "Incaricato dell'elaborazione", "Autorità di vigilanza", "Business", "Scopo aziendale", "Scopo commerciale", "Raccolta", "Vendita", "Fornitore di servizi" e "Condivisione" avranno il significato ad essi attribuito dalle Leggi sulla privacy applicabili.
   15. La parola "includere" deve essere interpretata come includere senza limitazioni e le relative parole imparentate devono essere interpretate conformemente.
2. PROTEZIONE E SICUREZZA DEI DATI
   1. Ruoli della protezione dei dati. Le parti riconoscono e concordano che la Società è il Controllore aziendale e che Seagate agisce per conto della Società in qualità di Incaricato dell'elaborazione o Fornitore di servizi in relazione alle Informazioni personali della Società, salvo nei casi in cui la Società agisca come Incaricato dell’elaborazione delle informazioni personali della Società, nel qual caso Seagate è un Subincaricato dell’elaborazione.
   2. Conformità con le leggi. Ciascuna Parte si conformerà ai propri obblighi ai sensi delle Leggi sulla privacy applicabili in relazione a qualsiasi Informazione personale della Società che elabora ai sensi del presente Accordo sulla privacy dei dati. Qualsiasi elaborazione delle Informazioni personali della Società ai sensi dell’Accordo sarà eseguita in conformità alle Leggi sulla privacy applicabili. Tuttavia, Seagate non è responsabile della conformità alle Leggi sulla privacy o agli standard locali/di settore che potrebbero essere applicabili alla Società o al settore della Società che non siano generalmente applicabili a Seagate come fornitore di servizi. Qualora l'uso specifico dei servizi da parte della Società e le Leggi sulla privacy o gli standard locali/di settore richiedano alla Società di stipulare accordi contrattuali specifici e/o ulteriori procedure o misure di conformità che si estendono oltre le disposizioni del presente Accordo sulla privacy dei dati, la Società è responsabile della notifica a Seagate almeno trenta (30) giorni prima di fornire a Seagate le Informazioni personali della Società soggette a tali requisiti. Seagate fornirà alla Società la ragionevole assistenza per sostenere la sua conformità a tali requisiti. Inoltre Seagate, a sua completa discrezione, potrebbe eseguire i necessari accordi che si estendono alle Informazioni personali della Società applicabili coperte da tali disposizioni, senza dare meno effetto alle disposizioni del presente Accordo sulla privacy dei dati. La Società può notificare a Seagate le richieste specifiche di tale giurisdizione all'indirizzo di notifica dell'ente appaltante di Seagate identificato nell'Accordo.
   3. Non divulgazione delle informazioni personali della Società. Seagate non dovrà divulgare le Informazioni personali della Società in alcun modo per qualsivoglia scopo a terze parti senza la preventiva autorizzazione scritta da parte della Società, tranne che in conformità alla legge applicabile per la divulgazione a Subincaricati dell’elaborazione, come indicato nella seguente Sezione 2.8 o altrimenti a sostegno della fornitura dei Servizi. Qualsiasi persona autorizzata a elaborare le informazioni personali della Società deve accettare contrattualmente di mantenere la riservatezza di tali informazioni o essere soggetta a un appropriato obbligo legale di riservatezza.
   4. Campo di applicazione dell’elaborazione. Seagate si impegna in ogni momento a: (i) elaborare le Informazioni personali della Società esclusivamente nel rispetto del presente Accordo sulla privacy dei dati, allo scopo di fornire i Servizi alla Società ai sensi dell’Accordo e in conformità con le istruzioni legali documentate della Società ("Scopi consentiti") e (ii) a non elaborare le Informazioni personali della Società per propri scopi o per quelli di terze parti. Seagate non: (i) venderà o condividerà le Informazioni personali della Società; (ii) conserverà, utilizzerà o divulgherà le Informazioni personali della Società per scopi diversi da quelli consentiti, inclusi la conservazione, l'utilizzo o la divulgazione delle Informazioni personali della Società per scopi commerciali diversi dall'esecuzione dei Servizi ai sensi dell’Accordo o degli Accordi o (iii) conserverà, utilizzerà o divulgherà le Informazioni personali della Società al di fuori del rapporto aziendale diretto tra Seagate e la Società. Seagate informerà la Società se non è più in grado di adempiere agli obblighi previsti dal California Consumer Privacy Act del 2018 (California Civil Code §§ 1798.100 e seguenti ("CCPA") come modificato dal California Privacy Rights Act ("CPRA"). Seagate certifica di comprendere e di conformarsi ai requisiti e alle limitazioni stabiliti nella Sezione 2.4 e sarà conforme ai requisiti applicabili ai Fornitori di servizi ai sensi del CCPA e CPRA. Inoltre, le parti riconoscono e accettano che lo scambio di Informazioni personali della Società tra le parti non costituisce una Vendita, né fa parte di alcun corrispettivo monetario o di altro valore scambiato tra le parti in relazione all'Accordo o al presente Accordo sulla privacy dei dati. In tutti i casi, Seagate rispetterà tutte le restrizioni applicabili ai sensi del CCPA e del CPRA sulla combinazione delle Informazioni personali della Società ricevute dalla Società con i Dati personali che Seagate riceve da, o per conto di, un'altra persona o per conto di un'altra persona o che Seagate raccoglie da eventuali interazioni tra di essa e il consumatore. Sia la Società che Seagate dichiarano di aver letto e compreso i requisiti stabiliti dal CCPA e dal CPRA.
   5. Istruzioni di elaborazione. Le parti concordano che l’Accordo (incluso il presente Accordo sulla privacy dei dati) definisce le istruzioni complete e finali della Società per Seagate in relazione all’elaborazione delle Informazioni personali della Società. Qualora la legge richieda a Seagate di elaborare le Informazioni personali della Società per qualsiasi altro scopo, Seagate informerà la Società di tale requisito prima dell’elaborazione, tranne nel caso e nella misura in cui non sia vietato dalla legge. Qualsiasi modifica alle istruzioni della Società è soggetta all'approvazione delle Parti (inclusi i costi aggiuntivi per la conformità alle nuove istruzioni).
   6. Obblighi della Società. La Società accetta di (i) conformarsi agli obblighi previsti dalle Leggi sulla privacy applicabili in merito all'elaborazione delle Informazioni personali della Società e ad eventuali istruzioni sull’elaborazione da esso impartite a Seagate, inoltre conferma (ii) di aver fornito notifica e di aver ottenuto (o che otterrà) tutti i consensi (ove richiesto) e i diritti necessari ai sensi delle Leggi sulla privacy applicabili per Seagate per elaborare le Informazioni personali della Società e fornire i Servizi ai sensi dell’Accordo e del presente Accordo sulla privacy dei dati e di (iii) essere il responsabile dell'uso sicuro dei Servizi, inclusi la protezione delle credenziali di autenticazione dell'account, la protezione della sicurezza delle Informazioni personali della Società durante il transito da e verso i Servizi e l’adozione di tutte le misure appropriate per crittografare o eseguire il backup in modo sicuro di tutte le Informazioni personali della Società elaborate in relazione ai Servizi.   Il Cliente deve implementare e mantenere adeguate misure di sicurezza tecniche e organizzative volte a proteggere le Informazioni personali del Cliente dalla Violazione della privacy dei dati e a preservare la sicurezza e la riservatezza dei dati personali durante il suo dominio e controllo.
   7. Programma di protezione dei dati. Seagate si impegna a implementare, gestire, monitorare e, ove necessario, aggiornare un programma completo per la sicurezza globale delle informazioni scritto che contenga le misure di protezione amministrative, tecniche e fisiche necessarie per proteggere le Informazioni personali della Società da potenziali minacce e rischi previsti per la sicurezza, la riservatezza o l'integrità (ad esempio, accesso, raccolta, uso, copia, modifica, smaltimento o divulgazione non autorizzati o illegali o perdita, distruzione, acquisizione o danneggiamento accidentali o qualsiasi altra forma di elaborazione non autorizzata) ("Programma di protezione dei dati").   Il Cliente riconosce che il Programma di protezione dei dati è soggetto a progressi tecnici e sviluppo e che Seagate può aggiornare o modificare di tanto in tanto tale programma, a condizione che tali aggiornamenti e modifiche non provochino il degrado della sicurezza complessiva dei Servizi acquistati dal Cliente.
   8. Limitazioni per i Subincaricati. Seagate può divulgare le Informazioni personali della Società ai Subincaricati dell'elaborazione secondo necessità per l'esecuzione dei suoi Servizi per il Cliente, fatte salve le condizioni stabilite nella presente Sezione 2.8. Firmando il presente Accordo sulla privacy dei dati, la Società fornisce l'autorizzazione scritta generale a Seagate di coinvolgere i Subincaricati dell’elaborazione nella fornitura dei Servizi. I Subincaricati attualmente incaricati da Seagate e autorizzati dalla Società sono elencati nell'Allegato C al presente Accordo sulla privacy dei dati. La Società può iscriversi per ricevere notifiche via e-mail delle modifiche apportate dal Subincaricato all’elaborazione iscrivendosi all’indirizzo [email protected] with the following subject line “Subscribe to Lyve Cloud Data Privacy Agreement Sub-Processor Update Alerts”. Seagate provvederà almeno quindici (15) giorni di calendario previa comunicazione scritta alla Società dell'assunzione di un nuovo Subincaricato. La Società può opporsi per iscritto alla nomina di ciascun Subincaricato per ragionevoli motivi (ad esempio, se la messa a disposizione delle Informazioni personali della Società al Subincaricato può violare la Legge sulla privacy applicabile o indebolire la protezione di tali Informazioni personali della Società), informando tempestivamente Seagate per iscritto all'interno dieci (10) giorni di calendario dal ricevimento della notifica di Seagate in conformità alla presente Sezione 2.8. Tale avviso deve spiegare i ragionevoli motivi dell'obiezione e le parti devono discutere tali preoccupazioni in buona fede al fine di raggiungere una soluzione commercialmente ragionevole. Seagate può, a sua esclusiva discrezione, rimuovere il Subincaricato dall'elenco. Nel caso in cui un Subincaricato venga rimosso da Seagate, Seagate avrà a disposizione un periodo di tempo ragionevole per sostituire il Subincaricato. Se la Società non si oppone al Subincaricato proposto entro dieci (10) giorni lavorativi dal ricevimento della notifica di Seagate, il Subincaricato verrà ritenuto approvato.
   9. Prestazioni del Subincaricato. Qualora un Subincaricato non adempia ai propri obblighi di protezione dei dati o venga rimosso da Seagate, Seagate rimarrà pienamente responsabile nei confronti della Società per l'adempimento degli obblighi del Subincaricato. Se Seagate non è in grado di adempiere agli obblighi senza il Subincaricato, Seagate può risolvere tutti gli Accordi applicabili tra le parti e/o le rispettive Affiliate senza che siano dovuti costi o passività alla Società.
   10. Obblighi del personale di Seagate e dei Subincaricati. Seagate si impegna a garantire che tutte le persone autorizzate a elaborare le Informazioni personali della Società si impegnino a garantire la riservatezza ovvero siano soggette ad un appropriato obbligo legale di riservatezza. Qualora Seagate coinvolga un Subincaricato per svolgere delle specifiche attività di elaborazione per conto della Società, Seagate stipulerà un accordo scritto con il Subincaricato contenente gli obblighi di protezione dei dati che impongono come minimo i requisiti di riservatezza dei dati, di protezione e di sicurezza delle informazioni che ricadono sul Subincaricato per la durata dell’elaborazione e che richiedono al Subincaricato di proteggere le Informazioni personali della Società secondo lo standard richiesto dalle Leggi sulla privacy applicabili.
   11. Notifica di richieste o reclami. Se non proibito dalla legge, Seagate notificherà alla Società qualsiasi richiesta o reclamo ricevuto da Seagate in relazione all’elaborazione delle Informazioni personali della Società, tra cui:
       1. richieste da parte di un soggetto dei dati ad esercitare uno dei suoi diritti previsti dalle Leggi sulla privacy applicabili, inclusa, in via esemplificativa, una richiesta di portabilità, accesso, modifica, eliminazione o limitazione dei dati e simili richieste;
       2. reclami o dichiarazioni secondo cui l'elaborazione viola i diritti di una Persona interessata.
   12.  Risposte della Società alle richieste dei soggetti dei dati. Tenendo conto della natura dell’elaborazione, Seagate assisterà la Società adottando misure tecniche e organizzative appropriate, per quanto possibile, per l'adempimento degli obblighi della Società di rispondere alle richieste dei soggetti dei dati di esercitare i propri diritti a spese della Società. Seagate informerà tempestivamente la Società per iscritto se riceve: (i) una richiesta da parte di un soggetto dei dati relativa all'elaborazione delle Informazioni personali della Società, fatta eccezione per le richieste ai sensi del CCPA in cui Seagate informerà il richiedente che la richiesta non può essere soddisfatta in quanto la richiesta è stata inviata a un Fornitore di servizi, come definito nel CCPA o (ii) un reclamo, una comunicazione o una richiesta relativa agli obblighi della Società ai sensi delle Leggi sulla privacy applicabili. Fatta eccezione per quanto indicato (i) per quanto concerne le richieste ai sensi di CCPA e CPRA, Seagate non risponderà a tale richiesta, reclamo o comunicazione direttamente (tranne per indirizzare i soggetti dei dati a contattare la Società) senza la previa autorizzazione della Società, a meno che non sia legalmente obbligata a farlo
       
   13. Richieste di divulgazione. La Società riconosce che Seagate potrebbe essere tenuta a divulgare, senza preavviso o consenso della Società, le informazioni personali della Società alle autorità in relazione a qualsiasi indagine, revisione o richiesta in relazione ai servizi. Salvo nei casi vietati dalla legge, Seagate dovrà compiere ogni ragionevole sforzo commerciale per notificare alla Società in modo commercialmente ragionevole la ricezione di eventuali documenti che richiedano o rivendichino la divulgazione delle Informazioni personali della Società (come richieste verbali, interrogatori, richieste di informazioni o documenti in procedimenti legali, mandati di comparizione, richieste di indagini civili o altre richieste o procedure simili). Seagate dovrà compiere ogni ragionevole sforzo commerciale per prevenire e limitare qualsiasi divulgazione e preservare la riservatezza delle Informazioni personali del Cliente.
   14. Cooperazione. A spese della Società, Seagate fornirà un'assistenza ragionevole alla Società nell'adempimento dei propri obblighi ai sensi delle Leggi sulla privacy applicabili in merito alla sicurezza delle Informazioni personali della Società e all'adempimento delle valutazioni d'impatto sulla privacy e sulla protezione dei dati (se ragionevolmente richiesto) e delle relative consultazioni delle autorità di vigilanza.
   15. Avviso di possibili violazioni o impossibilità di garantire la conformità. Seagate notificherà la Società se:
       1. Seagate ha motivo di ritenere che eventuali istruzioni della Società relative all'elaborazione delle Informazioni personali della Società possano violare le leggi applicabili;
       2. Seagate ha motivo di credere di non essere in grado di adempiere a eventuali obblighi ai sensi del presente Accordo sulla privacy dei dati o delle Leggi sulla privacy applicabili e di non poter rimediare a detta incapacità entro un periodo temporale ragionevole;
       3. Seagate viene a conoscenza di qualsiasi circostanza o modifica delle leggi applicabili che possa impedire a Seagate di adempiere agli obblighi ai sensi dell'Accordo sulla privacy dei dati.
          
3. TRASFERIMENTI DI DATI
   1. Trasferimenti internazionali. Con il presente documento, la Società consente a Seagate il trasferimento e l’elaborazione di qualsiasi Informazione personale della Società in o verso un territorio diverso dal quale le Informazioni personali della Società sono state raccolte per la prima volta, a condizione che Seagate prenda tutte le misure necessarie per garantire che tale trasferimento ed elaborazione siano conformi alla Legge sulla privacy applicabile e al presente accordo sulla privacy dei dati (incluse le misure che possono essere comunicate dalla Società a Seagate di quando in quando).
      
   2. Meccanismi di trasferimento. Le parti convengono che, laddove il trasferimento delle Informazioni personali della Società a Seagate sia un trasferimento limitato, sarà soggetto ai meccanismi di trasferimento elencati di seguito:
      1. Clausole modello. Le parti convengono che il trasferimento limitato sarà soggetto alle clausole modello appropriate, che sono automaticamente incorporate per riferimento e costituiscono parte integrante del presente accordo sulla privacy dei dati, come segue:
         1. Per quanto riguarda le Informazioni personali della Società protette dal GDPR, le CCS dell'UE si applicano come segue:
            1. si applicano i Moduli Due e Tre, a seconda dei casi;
            2. nella clausola 7 si applica la clausola facoltativa di attracco;
            3. nella clausola 9 si applicherà l'opzione 2 e il periodo di preavviso per la notifica delle modifiche al Subincaricato sarà di quindici (15) giorni di calendario;
            4. nella clausola 11, la lingua facoltativa non si applica;
            5. nella Clausola 17, si applicherà l'Opzione 1 e le CCS dell'UE saranno disciplinate dalle leggi dei Paesi Bassi.
            6. nella clausola 18(b), le controversie saranno risolte dinanzi ai tribunali dei Paesi Bassi;
            7. l'Allegato I delle CCS dell'UE è considerato completato con le informazioni di cui all'Allegato A del presente accordo sulla privacy dei dati; e
            8. l'Allegato II delle CCS dell'UE si considera completato con le informazioni di cui all'Allegato B del presente accordo sulla privacy dei dati.
         2. Per quanto riguarda i dati protetti dal GDPR del Regno Unito, si applicano le CCS dell'UE attuate conformemente al precedente paragrafo (1), a condizione che:
            1. qualsiasi riferimento nelle CCS dell'UE alla "direttiva 95/46/CE" o al "regolamento (UE) 2016/679" deve essere interpretato come riferimento al GDPR del Regno Unito; i riferimenti agli articoli specifici del "regolamento (UE) 2016/679" sono sostituiti dall'articolo o sezione equivalente del GDPR del Regno Unito; i riferimenti alle leggi "UE", "Unione" e "legge dello stato membro” sono tutti sostituiti da "Regno Unito"; non si utilizzano la clausola 13(a) e la parte C dell'Allegato II delle CCS dell'UE; i riferimenti alla “autorità di vigilanza competente" e ai "tribunali competenti" devono essere interpretati come riferimenti al commissario per l'informazione e ai tribunali di Inghilterra e Galles; la clausola 17 delle CCS dell'UE è sostituita dalla clausola "le clausole sono disciplinate dalle leggi dell'Inghilterra e del Galles" e la clausola 18 delle CCS dell'UE è sostituita dalla clausola "qualsiasi controversia derivante da queste clausole sarà risolta dai tribunali dell'Inghilterra e del Galles. Un soggetto dei dati può portare dei procedimenti legali nei confronti dell’esportatore e/o dell’importatore dei dati di fronte ai tribunali di qualsiasi paese del Regno Unito. Le Parti convengono di sottomettersi alla giurisdizione di tali tribunali;”
            2. nella misura e per tutto il tempo in cui le CCS dell'UE implementate ai sensi del paragrafo 2(A) cui sopra, non possono essere utilizzate per trasferire legalmente al fornitore le informazioni personali della Società protette dall’accordo sulla privacy dei dati del Regno Unito, le CCS del Regno Unito sono incorporate e costituiscono parte integrante del presente accordo sulla privacy dei dati e si applicano a tali trasferimenti;
               
            3. ai fini delle CCS del Regno Unito (se del caso), i relativi Allegati/Appendici delle CCS del Regno Unito sono considerati compilati utilizzando le informazioni contenute nell'Allegato A e nell'Allegato B del presente accordo sulla privacy dei dati.
         3. Per quanto riguarda le Informazioni personali della Società protette dall’Accordo sulla privacy dei dati svizzero, si applicano le CCS dell'UE attuate conformemente al precedente paragrafo (1), a condizione che:
            1. i riferimenti, contenuti nelle CCS dell'UE, al “regolamento (UE) 2016/679” o al “GDPR” devono essere interpretati come riferimenti alla FADP (Federal Act on Data Protection, legge federale sulla protezione dei dati) svizzera;
            2. i riferimenti a "UE", "Unione" e "legge dello stato membro" devono essere interpretati come riferimenti alla Svizzera e alla legge svizzera, a seconda dei casi;
               
            3. il termine "stato membro" non deve essere interpretato in modo da escludere le persone interessate in Svizzera dalla possibilità di fare causa per tutelare i propri diritti nel luogo di residenza abituale (Svizzera);
            4. le clausole CCS dell'UE dovrebbero essere interpretate come protezione dei dati delle persone giuridiche fino all'entrata in vigore della nuova FADP;
            5. i riferimenti alla “autorità di vigilanza competente” e ai “tribunali competenti” vanno interpretati come riferimenti al Commissario federale per la protezione dei dati e l’informazione (Federal Data Protection and Information Commissioner, FDPIC) svizzero e ai tribunali competenti in Svizzera.
         4. nel caso in cui una qualsiasi disposizione del presente Accordo o dell'Accordo sulla privacy dei dati sia in contrasto, direttamente o indirettamente, con le Clausole modello, le Clausole modello prevarranno.
            1. Meccanismo di trasferimento alternativo: Nella misura in cui Seagate adotti un meccanismo alternativo per l’esportazione dei dati (compresa qualsiasi nuova versione o versione successiva delle CCS adottata ai sensi della vigente legge UE sulla protezione dei dati) per il trasferimento dei dati personali non descritti nel presente Accordo sulla privacy dei dati ("Meccanismo di trasferimento alternativo"), il Meccanismo di trasferimento alternativo si applica al posto di qualsiasi meccanismo di trasferimento applicabile descritto nel presente Accordo sulla privacy dei dati (ma solo nella misura in cui tale Meccanismo di trasferimento alternativo sia conforme alla legge europea sulla protezione dei dati e si estenda ai territori in cui i dati personali sono trasferiti) e la Società accetta di eseguire tali altri e ulteriori documenti e di intraprendere le altre e ulteriori azioni che potrebbero essere ragionevolmente necessarie per dare effetto legale a tale Meccanismo di trasferimento alternativo. In aggiunta, se e nella misura in cui un tribunale di giurisdizione competente o un'autorità di vigilanza con autorità vincolante ordina o determina (per qualsiasi motivo) che le misure descritte nel presente Accordo sulla privacy dei dati non possono essere invocate per trasferire legalmente tali dati personali della Società, la Società riconosce e accetta che Seagate possa implementare qualsiasi misura o tutela aggiuntiva ragionevolmente necessaria per consentire il trasferimento legale di tali dati personali della Società.
               
   3. Trasferimenti al di fuori dai paesi con requisiti sull’esportazione dei dati. Qualora le Leggi sulla privacy applicabili richiedano l’impiego di ulteriori misure in relazione a qualsiasi restrizione applicabile all'esportazione dei dati per consentire il trasferimento delle Informazioni personali della Società a Seagate (inclusi i suoi Subincaricati), la Società si conformerà a tali requisiti di protezione dei dati, inclusa l'acquisizione delle autorizzazioni necessarie o l'esecuzione di qualsiasi accordo di trasferimento dei dati applicabile (ad esempio, Clausole Contrattuali Standard) o fornirà una soluzione alternativa per garantire che siano in vigore le opportune misure di salvaguardia per tale trasferimento.
4. CONFORMITÀ E RESPONSABILITÀ
   1. Revisione. Con la frequenza massima di una volta ogni dodici (12) mesi, la Società può richiedere a Seagate di mettere a disposizione della Società le informazioni strettamente necessarie per dimostrare la conformità con le leggi sulla privacy in vigore in relazione all’elaborazione delle Informazioni personali della Società. Seagate dovrà consentire e contribuire alle revisioni effettuate dalla Società o da un revisore indipendente di terze parti incaricato dalla Società, a spese della Società. Qualsiasi revisore indipendente di terze parti deve essere approvato da Seagate (tranne nel caso in cui tale terza parte sia un'autorità di vigilanza competente). Il revisore deve produrre un accordo scritto di riservatezza accettabile per Seagate o essere altrimenti vincolato da un obbligo legale di riservatezza prima di effettuare la revisione.
      
   2.  Ambito della revisione. Per richiedere una revisione, la Società deve fornire a Seagate un preavviso scritto di trenta (30) giorni di calendario e inviare a Seagate la proposta di un piano di revisione che descriva l'ambito, la durata e la data di inizio della revisione proposta. Seagate esaminerà il piano di revisione proposto e presenterà alla Società qualsiasi dubbio o domanda (ad esempio, qualsiasi richiesta di informazioni che potrebbe compromettere la sicurezza, la privacy, l'occupazione o altre politiche pertinenti di Seagate o delle affiliate di Seagate). Seagate collaborerà con la Società per concordare un piano di revisione finale.
      
   3. Report della revisione. La Società dovrà fornire a Seagate tutti i report della revisione generati in relazione a qualsiasi revisione, a meno che non sia altrimenti vietato dalle Leggi sulla privacy applicabili o se altrimenti istruita da un'autorità di vigilanza. La Società può utilizzare i report della revisione solo per soddisfare i requisiti di revisione normativi della Società e/o per confermare la conformità ai requisiti del presente Accordo sulla privacy dei dati. I report della revisione, comprese le informazioni fornite da Seagate per la revisione, sono informazioni riservate di Seagate.
   4. Conformità dimostrabile. Seagate accetta di fornire le informazioni ragionevolmente necessarie per dimostrare la conformità alle leggi sulla privacy dello Stato degli Stati Uniti applicabili su richiesta ragionevole della Società.
5. RESPONSABILITÀ DI SEAGATE DOPO UNA VIOLAZIONE DELLA PRIVACY
   1. Notifica di violazione della privacy dei dati. Seagate informerà per iscritto, senza indebiti ritardi, la Società di qualsiasi violazione della privacy dei dati e dovrà:
      1. indagare e fornire l'assistenza ragionevole nelle indagini sulla violazione della privacy dei dati;
      2. fornire alla Società informazioni sulla violazione della privacy dei dati e fornire tempestivamente ulteriori informazioni pertinenti non appena saranno disponibili e
      3. adottare tutte le misure commercialmente ragionevoli per contenere la violazione della privacy dei dati, mitigare gli effetti della violazione della privacy dei dati o assistere la Società in tali attività a spese della Società.
   2.  Considerazioni sulle notifiche. La notifica o la risposta a una violazione della privacy dei dati ai sensi del presente paragrafo ("Risposta a una violazione della privacy dei dati") non saranno interpretate come un riconoscimento da parte di Seagate di eventuali colpe o responsabilità in relazione alla violazione della privacy dei dati.
   3. Comunicazioni. Seagate non deve rilasciare alcuna comunicazione relativa a una violazione della privacy dei dati che consenta di identificare o, in misura ragionevole, potrebbe consentire di identificare o rivelare l'identità della Società, senza la preventiva approvazione della Società, salvo quanto altrimenti richiesto a norma di legge.
   4. Conservazione delle prove. Seagate deve gestire un piano di risposta agli incidenti. In seguito alla scoperta di una violazione della privacy dei dati, Seagate dovrà conservare le prove disponibili relative alla violazione e mantenere una chiara catena di comando in base a un piano di risposta agli incidenti di Seagate.
6. RESTITUZIONE ED ELIMINAZIONE SICURA DELLE INFORMAZIONI PERSONALI DELLA SOCIETÀ
   1. Restituzione ed eliminazione delle Informazioni personali della Società. Al primo dei casi tra (a) la richiesta della Società o (b) la scadenza o la risoluzione anticipata degli accordi tra le parti e/o le loro Affiliate in relazione all'elaborazione delle Informazioni personali della Società, su indicazione della Società, Seagate dovrà, e chiederà ai suoi Subincaricati di fare altrettanto, esportare le Informazioni personali della Società o consentire alla Società, o alla terza parte designata, di esportare tutte le Informazioni personali della Società in un formato leggibile e interoperabile tramite macchina, a meno che la conservazione delle Informazioni personali della Società non sia obbligatoria ai sensi delle leggi sulla privacy in vigore. Ciascuna parte dovrà identificare una persona di contatto per la migrazione delle Informazioni personali della Società e dovrà operare tempestivamente, diligentemente e in buona fede per facilitare un trasferimento tempestivo. Entro 30 giorni da quando Seagate (a) completa la migrazione delle Informazioni personali della Società o (b) la Società informa Seagate di aver deciso di non eseguire la migrazione delle Informazioni personali della Società, Segate e i Subincaricati dovranno distruggere in modo sicuro tutte le Informazioni personali della Società e sovrascrivere con nuovi dati o altrimenti distruggere le Informazioni personali della Società secondo un metodo di sanificazione approvato.
   2.  Obblighi di eliminazione. Nonostante la sezione 6.1, indipendentemente dal fatto che la Società abbia o meno richiesto a Seagate di restituire le Informazioni personali della Società, Seagate potrebbe dover eliminare le Informazioni personali della Società dai servizi alla scadenza o alla risoluzione anticipata degli accordi tra le parti e/o le loro Affiliate relativi a l’elaborazione delle Informazioni personali della Società, a meno che la conservazione delle Informazioni personali della Società non sia richiesta dalle Leggi sulla privacy applicabili. Nel caso in cui la Società scelga di inserire o migrare le Informazioni personali della Società in un altro servizio di Seagate, incluso, in via esemplificativa, i servizi Lyve di Seagate, la Società riconosce che Seagate può, in seguito a una corretta immissione o migrazione di tali dati, eliminare o altrimenti smaltire le Informazioni personali della Società memorizzate nel servizio originale. La Società riconosce che, a causa della natura del servizio, Seagate non avrà accesso tecnico ai dati senza ulteriori autorizzazioni, al fine di garantire la continuità della sicurezza.
   3.  Distruzione delle Informazioni personali della Società. Se non diversamente vietato dalle Leggi sulla privacy applicabili, se Seagate smaltisce un registro cartaceo, elettronico o di altro tipo contenente le Informazioni personali della Società, lo farà adottando tutte le misure ragionevoli per distruggere le Informazioni personali della Società nei seguenti modi: a) triturazione, (b) cancellazione ed eliminazione definitive, (c) smagnetizzazione o (d) modifica di altro tipo delle Informazioni personali della Società in modo da renderle illeggibili, non ricostruibili e indecifrabili. Se Seagate smantella o altrimenti ritira un'unità disco che contiene una copia delle Informazioni personali della Società, Seagate dovrà triturare o distruggere in modo sicuro l'unità rendendo le Informazioni personali della Società illeggibili e inaccessibili in conformità alla norma NIST 800-88, revisione 1.
7. VARIE
   1. Termine. Il presente Accordo sulla privacy dei dati rimarrà in vigore finché (i) non esistono altri accordi attivi tra le parti e (ii) Seagate cessa di avere la custodia o il controllo di o l’accesso alle Informazioni personali della Società. Seagate elaborerà le Informazioni personali della Società fino alla cessazione del rapporto, come specificato nell'Accordo. Gli obblighi di Seagate e i diritti della Società ai sensi del presente Accordo sulla privacy dei dati rimarranno in vigore finché Seagate elaborerà le Informazioni personali della Società
   2. Ordine di precedenza. L'Accordo resta invariato e pienamente valido ed efficace. In caso di discrepanze tra il presente Accordo sulla privacy dei dati ed eventuali accordi tra le parti e/o le loro Affiliate, prevarranno le disposizioni dei seguenti documenti (in ordine di precedenza): (a) Clausole contrattuali standard (ove applicabili); (b) il presente Accordo sulla privacy dei dati; e quindi (c) il corpo principale dell'Accordo. Questo Accordo sulla privacy dei dati non dovrà limitare le Clausole Contrattuali Standard ma solo essere complementare alle stesse.
   3. Aggiornamenti. Le parti collaboreranno in modo ragionevole per aggiornare il presente Accordo sulla privacy dei dati tramite accordo scritto, in base alle esigenze e in conformità alle leggi e ai regolamenti applicabili.
   4.  Dati di servizio. Nonostante qualsiasi disposizione contraria dell’Accordo (incluso il presente Accordo sulla privacy dei dati), Seagate avrà il diritto di raccogliere, utilizzare e divulgare i dati relativi all'uso, al supporto e/o al funzionamento dei Servizi ("Dati di servizio") per i suoi legittimi scopi aziendali, quali fatturazione, gestione degli account, supporto tecnico, e sviluppo del prodotto. Nella misura in cui tali Dati di servizio siano considerati Informazioni personali della Società ai sensi delle Leggi sulla privacy applicabili, Seagate sarà responsabile per e dovrà elaborare tali dati in conformità con l'Informativa sulla privacy di Seagate (la cui versione più aggiornata è disponibile all'indirizzo https://www.seagate.com/legal-privacy/) (come aggiornata di volta in volta) e le Leggi sulla privacy applicabili. Per evitare dubbi e ad eccezione della presente Sezione 7.4, i termini del presente Accordo sulla privacy dei dati non si applicano ai Dati di servizio.
   5. Beneficiari terzi. Le Affiliate di Seagate sono beneficiarie di terza parte di questo accordo e possono applicarne i termini come se fossero firmatarie dell'Accordo. Seagate potrà inoltre applicare le disposizioni di questo accordo per conto delle sue Affiliate, evitando che le Affiliate avanzino separatamente azioni nei confronti della Società.
   6.  Divulgazione ad autorità di vigilanza o ad organo normativo. La Società riconosce che Seagate può divulgare il presente Accordo sulla privacy dei dati (incluse le CCS) e le disposizioni pertinenti in materia di privacy contenute nel presente Accordo alla Federal Trade Commission, a un'autorità europea per la protezione dei dati o a qualsiasi altro organo giudiziario o normativo su richiesta di questi ultimi.
   7. Rescissione. Nel caso in cui una disposizione del presente accordo sia inefficace o non valida, ciò non influirà sulle rimanenti disposizioni. Le parti dovranno sostituire la disposizione inefficace o nulla con una disposizione consentita dalle leggi che rifletta lo scopo della disposizione inefficace o non valida. Nel caso in cui manchi una disposizione necessaria, le parti ne aggiungeranno una appropriata in buona fede.
   8. Controparti. Il presente Accordo sulla privacy dei dati può essere firmato con firma elettronica e tale firma elettronica dovrà essere equivalente a una firma originale e avrà valore probatorio. Il presente accordo può essere firmato in due o più controparti, nessuna delle quali deve necessariamente contenere le firme di entrambe le parti e ognuna delle quali verrà considerata come un originale e tutte nel loro insieme costituiranno un unico e solo strumento.
   9. Interpretazione. Le intestazioni in questo Accordo sulla privacy dei dati sono state inserite solo come riferimento e non influiscono sull'interpretazione dell'accordo.
   10. Responsabilità. La responsabilità di ciascuna parte e di tutte le relative Affiliate, assunta congiuntamente in aggregato, derivante da o correlata al presente Accordo sulla privacy dei dati (incluse le Clausole Contrattuali Standard), sia nel contratto, per torto (inclusa la negligenza) o in qualsiasi altra teoria di responsabilità, sarà soggetta alle limitazioni e alle esclusioni di responsabilità (o incorporata per riferimento) nell'Accordo nella misura massima consentita dalle Leggi sulla privacy applicabili, a condizione che tali limiti non si applichino alla responsabilità di una delle parti derivante ai sensi delle Clausole Contrattuali Standard.
   11. Scelta della legge. Il presente Accordo sulla privacy dei dati sarà governato e interpretato in conformità con le leggi vigenti e le disposizioni della giurisdizione contenute nell’Accordo, a meno che non sia richiesto diversamente dalle Leggi sulla privacy applicabili.

ALLEGATO A
DESCRIZIONE DELL’ELABORAZIONE DEI DATI

 

A. ELENCO DELLE PARTI

 

MODULO DUE: Trasferimento da scheda di controllo a elaborazione

 

MODULO TRE: Trasferimento da elaboratore a elaboratore

 

Esportatori dei dati:

 

SOCIETÀ

 

Dettagli contatto: Come specificato nell'Accordo. Indirizzi e-mail indicati dalla Società nell'account della Società tramite le preferenze di notifica.

 

Attività rilevanti per il trasferimento: la Società utilizza i servizi Lyve specificati nell’Accordo ed è responsabile dell'uso dei servizi Lyve in conformità con la documentazione applicabile.

 

Firma e data: stipulando l’Accordo, l'esportatore dei dati deve aver firmato le presenti Clausole Contrattuali Standard qui incorporate, compresi i relativi Allegati, a partire dalla data di entrata in vigore dell’Accordo.

 

Ruolo dell'esportatore dei dati: il ruolo dell'esportatore di dati è definito nella Sezione 2.1 (Ruoli della protezione dei dati) dell’Accordo sulla privacy dei dati.

 

Importatori dei dati:

 

SEAGATE

 

Dettagli contatto: Come specificato nell'Accordo. Il team della privacy Seagate può essere contattato all'indirizzo [email protected].

 

Attività rilevanti per il trasferimento: Seagate elabora le Informazioni personali della Società per la materia oggetto specificata nell’Accordo e fino alla scadenza o al termine dell’Accordo, salvo diversa decisione scritta delle parti. La materia oggetto è determinata dai servizi Lyve a cui la Società si abbona e dai dati che la Società carica nei servizi Lyve.

 

Firma e data: stipulando l’Accordo, l'importatore dei dati deve aver firmato le presenti Clausole Contrattuali Standard qui incorporate, compresi i relativi Allegati, a partire dalla data di entrata in vigore dell’Accordo.

 

Ruolo dell'importatore dei dati: il ruolo dell'importatore dei dati è definito nella Sezione 2.1 (Ruoli della protezione dei dati) dell’Accordo sulla privacy dei dati.

 

B. DESCRIZIONE DEL TRASFERIMENTO

 

MODULO DUE: Trasferimento da scheda di controllo a elaborazione

 

MODULO TRE: Trasferimento da elaboratore a elaboratore

 

Categorie di soggetti dei dati i cui dati personali vengono trasferiti

 

La Società può inviare Informazioni personali della Società a Seagate, la cui portata è determinata e controllata dalla Società a sua esclusiva discrezione, e che può includere, in via esemplificativa, dati personali relativi alle seguenti categorie di soggetti dei dati:

1. Dipendenti, consiglieri, consulenti, fornitori, appaltatori, subappaltatori e agenti della Società;
2. Partner aziendali del passato e attuali della Società e i rispettivi dipendenti, partner, consiglieri, consulenti, fornitori, appaltatori, subappaltatori e agenti;
3. Clienti del passato e attuali della Società e i rispettivi dipendenti, partner, consiglieri, consulenti, fornitori, appaltatori, subappaltatori e agenti.

Categorie di dati personali trasferiti

 

La Società può inviare Informazioni personali della Società a Seagate, la cui portata è determinata e controllata dalla Società a sua esclusiva discrezione, e che possono includere dati personali forniti dalla Società, forniti per conto della Società o raccolti da Seagate in relazione ai Servizi.

 

Dati sensibili trasferiti (se del caso) e restrizioni o salvaguardie applicate che tengano pienamente conto della natura dei dati e dei rischi connessi, come ad esempio una rigorosa limitazione dello scopo, restrizioni di accesso (compreso l'accesso al solo personale che ha seguito una formazione specializzata), tenendo un registro dell'accesso ai dati, restrizioni per i trasferimenti successivi o misure di sicurezza aggiuntive.

 

La Società può inviare dati sensibili a Seagate, la cui portata è determinata e controllata dalla Società a sua esclusiva discrezione, e che possono includere dati sensibili forniti dalla Società, forniti per conto della Società o raccolti da Seagate in relazione ai Servizi. Le misure di salvaguardia implementate da Seagate sono descritte nell'Allegato II.

 

Frequenza del trasferimento (ad esempio, se i dati vengono trasferiti come evento unico o in maniera continua).

 

La Società determina e controlla, a sua esclusiva discrezione, la frequenza del trasferimento dei dati personali da parte della Società a Seagate e la Società lo esegue in conformità con l’Accordo (incluso il presente Accordo sulla privacy dei dati).

 

Natura dell’elaborazione

 

Seagate elaborerà le Informazioni personali della Società esclusivamente allo scopo di fornire i Servizi alla Società ai sensi dell’Accordo (incluso il presente Accordo sulla privacy dei dati).

 

Finalità del trasferimento e dell'ulteriore trattamento dei dati

 

La Società trasferirà le Informazioni personali della Società a Seagate esclusivamente ai fini della ricezione dei Servizi previsti dall'Accordo (incluso il presente Accordo sulla privacy dei dati), tra cui:

1. Memorizzazione e altre elaborazioni necessarie per fornire, mantenere e migliorare i Servizi forniti alla Società ai sensi dell’Accordo e/o
2. Divulgazioni in conformità con l'Accordo e/o come richiesto dalla legge applicabile.

Il periodo di conservazione dei dati personali o, se ciò non è possibile, i criteri utilizzati per determinare tale periodo

 

Seagate conserverà le Informazioni personali della Società trasferite dalla Società a Seagate in conformità con l’Accordo (incluso il presente Accordo sulla privacy dei dati) e in conformità con le istruzioni legali documentate della Società.

 

Per i trasferimenti agli incaricati o ai subincaricati dell’elaborazione dei dati, specificare anche la materia oggetto, la natura e la durata dell’elaborazione

 

Non applicabile.

 

C. AUTORITÀ DI VIGILANZA COMPETENTE

 

MODULO DUE: Trasferimento da scheda di controllo a elaborazione

 

MODULO TRE: Trasferimento da elaboratore a elaboratore

 

Identificare l'autorità o le autorità di vigilanza competenti ai sensi della Clausola 13

 

L'autorità di vigilanza competente, ai sensi della clausola 13 delle CCS dell'UE, è: (i) l'autorità di vigilanza applicabile all'esportatore di dati nel suo paese di avviamento nel SEE oppure (ii) se l'esportatore di dati non è stato avviato nel SEE, l'autorità di vigilanza applicabile nel paese SEE in cui il rappresentante dell'UE dell'esportatore dei dati è stato designato ai sensi dell'Articolo 27(1) del GDPR oppure (iii) se l'esportatore dei dati non è tenuto a designare un rappresentante, l'autorità di vigilanza applicabile al paese SEE in cui sono situate i soggetti dei dati interessati dal trasferimento. Per quanto riguarda l’elaborazione delle Informazioni personali della Società a cui si applica il GDPR del Regno Unito, l'autorità di vigilanza competente è l’Information Commissioners Office (“ICO”). Per quanto riguarda l’elaborazione dei dati personali cui si applica l’accordo sulla privacy dei dati svizzero, l'autorità di vigilanza competente è il Commissario federale per la protezione dei dati e l’informazione (Federal Data Protection and Information Commissioner).

 

 

ALLEGATO B

MISURE TECNICHE E ORGANIZZATIVE, COMPRESE LE MISURE TECNICHE E ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI

 

MODULO DUE: Trasferimento da scheda di controllo a elaborazione

 

MODULO TRE: Trasferimento da elaboratore a elaboratore

 

Descrizione delle misure tecniche e organizzative attuate dagli importatori dei dati (comprese le eventuali certificazioni pertinenti) per garantire un adeguato livello di sicurezza, tenendo conto della natura, della portata, del contesto e dello scopo dell’elaborazione, nonché dei rischi per i diritti e le libertà delle persone fisiche.

 

Seagate implementa, gestisce, monitora e, se necessario, aggiorna il suo programma completo di protezione delle informazioni scritte. Il programma di sicurezza delle informazioni di Seagate contiene le misure di salvaguardia amministrative, tecniche e fisiche necessarie per proteggere le Informazioni personali della Società da potenziali minacce o rischi per la sicurezza, la riservatezza o l'integrità (ad esempio, accesso, raccolta, uso, copia, modifica, smaltimento o divulgazione non autorizzati o illegali oppure perdita, distruzione, acquisizione o danneggiamento accidentali o qualsiasi altra forma di elaborazione non autorizzata) ("Programma di sicurezza delle informazioni").

 

Seagate dispone di un team dedicato alla sicurezza delle informazioni che gestisce il Programma di sicurezza delle informazioni di Seagate. Questo team facilita e supporta delle revisioni e delle valutazioni indipendenti eseguite da terze parti. La Società riconosce che il Programma di sicurezza delle informazioni è soggetto a progressi e sviluppi tecnici e che Seagate può aggiornare o modificare di quando in quando tale programma, a condizione che tali aggiornamenti e modifiche non provochino il degrado della sicurezza complessiva dei servizi Lyve acquistati dalla Società.

 

Seagate non esamina o modifica dati, contenuti o materiali creati, memorizzati o resi accessibili tramite i servizi Lyve.

 

Per proteggere le Informazioni personali della Società gestite dai servizi Lyve Cloud Services e Lyve Mobile Services (collettivamente denominati "servizi Lyve") sono in vigore le seguenti misure:

 

Crittografia delle Informazioni personali: misure che consentono di convertire informazioni chiaramente leggibili in una stringa illeggibile mediante un processo crittografico.

1. Seagate ha implementato delle efficaci misure di sicurezza per garantire la protezione dei dati della Società, tra cui la crittografia AES-256-GCM dei dati non utilizzati per i servizi Lyve Cloud Services e TCG Enterprise, la crittografia SED AES a 256-bit per i dati non utilizzati per i servizi Lyve Mobile Services e il supporto per la crittografia dei dati in transito.
2. Una funzione di protezione chiave dei servizi Lyve consiste nel fatto che Seagate crittografa tutti i dati prima di memorizzarli, indipendentemente dal fatto che siano o meno crittografati all'origine. Non esiste alcuna opzione per rimuovere la protezione. Quando la Società sceglie di terminare la propria locazione presso i servizi Lyve, i dati verranno cancellati in modo sicuro.
3. I data center di terze parti ospitano Lyve Cloud Services, garantendo la massima disponibilità e accesso ai data center. Per progettazione, la crittografia dei dati non può essere disattivata all'interno di Lyve Cloud Services. Ciò significa che i dati sono sempre crittografati, sia che siano archiviati o in trasferimento. Inoltre, la protezione dal ransomware protegge i dati da attacchi dannosi, mentre l'immutabilità degli oggetti protegge i dati da manipolazioni o eliminazioni accidentali.

Misure per garantire la continua riservatezza, integrità, disponibilità e resilienza dei sistemi e dei servizi di elaborazione:

1. Riservatezza: misure che garantiscono l'accesso alle informazioni solo da parte di una persona autorizzata e impediscono l'intrusione da parte di persone non autorizzate nei sistemi e nelle applicazioni utilizzati per l’elaborazione dei dati personali.
   • Seagate ha implementato un criterio di controllo degli accessi dedicato.
   • Sistema di diritti differenziati basato su gruppi di sicurezza ed elenchi di controllo degli accessi.
   • Politica relativa alle password, incluse le linee guida per la gestione delle password.
   • Le password richiedono una complessità minima definita. Le password iniziali devono essere modificate dopo il primo accesso.
   • Gestione dei diritti di accesso, compreso il concetto di autorizzazione, l'attuazione delle restrizioni di accesso, l'attuazione della base dello stretto principio della necessità di sapere, la gestione dei diritti di accesso individuali.
   • Accordi di formazione e riservatezza per il personale interno ed esterno.
   • Separazione della rete.
   • Le richieste di autorizzazione vengono monitorate, registrate e verificate regolarmente.
   • Rimozione dell'accesso per i dipendenti in caso di risoluzione o cambiamento del rapporto di lavoro.
   • Processi di provisioning e deprovisioning degli account.
   • Separazione delle responsabilità e dei doveri per ridurre le opportunità di modifiche o abusi non autorizzati o involontari.
   • Requisiti di riservatezza imposti ai dipendenti.
   • Formazione obbligatoria sulla sicurezza dei dipendenti, che copre la privacy e la governance dei dati, la protezione dei dati, la riservatezza, il social engineering, le politiche sulle password e le responsabilità generali in materia di sicurezza all'interno e all'esterno di Seagate.
   • Accordi di non divulgazione con terzi.
   • Separazione delle reti in base ai livelli di attendibilità.
2. Integrità: misure volte a garantire che le Informazioni personali della Società non possano essere lette, copiate, modificate o rimosse senza autorizzazione durante la trasmissione o il trasporto elettronico e che sia possibile verificare e stabilire se e da chi siano state inserite nei sistemi di elaborazione dati, modificate o rimosse.
   • Autenticazione della registrazione e accesso al sistema logico monitorato.
   • Registrazione dell'accesso ai dati, inclusi, in via esemplificativa, l'accesso, la modifica, l'immissione e l'eliminazione dei dati.
   • Documentazione dei diritti di immissione dati e registrazione delle voci relative alla sicurezza.
3. Disponibilità e resilienza: misure che riducono il rischio di distruzione o perdita delle le Informazioni personali della Società a causa di influenze interne o esterne e che assicurano la capacità di resistere agli attacchi o di ripristinare rapidamente il funzionamento dei sistemi dopo un attacco.

 

Misure per garantire la possibilità di ripristinare la disponibilità e l'accesso al sistema dei servizi Lyve Cloud in modo tempestivo in caso di un incidente fisico o tecnico: Misure che garantiscono la possibilità di ripristinare rapidamente il sistema in caso di un incidente fisico o tecnico.

1. Pianificazione della continuità e piano di ripristino di emergenza.
2. Procedure di ripristino di emergenza per ripristinare i processi.
3. Procedure per la gestione e la segnalazione degli incidenti (gestione degli incidenti), incluso il rilevamento e la reazione a possibili incidenti di sicurezza.

 

Procedure per provare e valutare regolarmente l'efficacia delle misure tecniche e organizzative dei servizi Lyve Cloud Services al fine di garantire la sicurezza dell'elaborazione:

1. il monitoraggio e la registrazione degli eventi delle cronache delle attività e generazione delle prove. I sistemi di produzione e altri sistemi critici producono registri degli eventi che registrano le attività degli utenti, le eccezioni, i guasti e gli eventi di sicurezza delle informazioni.
2. Solo i dipendenti autorizzati di Seagate possono accedere a tutti i registri e sono implementati dei controlli di accesso per impedire l'accesso non autorizzato.
3. Seagate protegge le informazioni dei registri da manomissioni e accessi non autorizzati. Ciò include la protezione dei controlli da modifiche non autorizzate alle informazioni di registro e problemi operativi.

 

Misure per l'identificazione e l'autorizzazione dell'utente:

1. Sono in atto procedure per acquisire e registrare le informazioni relative all'interazione di sistemi, applicazioni e account utente.
2. L'accesso al codice sorgente del programma e agli elementi associati (ad esempio progettazione, specifiche, piani di verifica e convalida) è limitato per impedire l'introduzione di funzionalità non autorizzate ed evitare modifiche involontarie, nonché per mantenere la riservatezza della proprietà intellettuale.
3. Per l'assegnazione dei diritti di accesso viene implementato un processo formale di registrazione e de-registrazione degli utenti per la gestione delle identificazioni. Ciò include l'emissione di identificazioni univoche per gli utenti per identificare la persona autorizzata che accede ai servizi Lyve (le identificazioni condivise non sono consentite) con la disattivazione o rimozione immediata delle identificazioni al termine di un rapporto di lavoro o quando un appaltatore/fornitore termina un contratto o non necessita più di accedere.
4. Il controllo dell'assegnazione di informazioni di autenticazione segrete (ad esempio, password, chiavi crittografiche, token hardware o smart card) deve essere mantenuto attraverso un processo formale che richiede agli utenti di accettare, nell'ambito dei loro termini e condizioni di impiego, di tenere riservate tali informazioni.

 

Misure per la protezione dei dati durante la trasmissione a Lyve Cloud Services:

1. Lyve Cloud Services ha implementato solide misure di sicurezza per garantire che le Informazioni personali della Società restino protette, tra cui la crittografia dei dati non utilizzati e il supporto della crittografia durante il trasporto.
2. Le persone autorizzate che accedono alla rete da postazioni esterne devono utilizzare metodi e tecnologie di crittografia e autenticazione approvati.
3. Seagate non consente l'uso di account condivisi per ottenere l'accesso remoto alla rete.
4. Seagate limita l'accesso remoto alle risorse e ai servizi richiesti.

 

Misure per la protezione delle Informazioni personali della Società durante la memorizzazione:

1. I servizi Lyve hanno in atto delle efficaci misure di sicurezza per garantire che le Informazioni personali della Società restino protette, tra cui la crittografia dei dati non utilizzati e il supporto della crittografia durante il trasporto.
2. Le istanze dei clienti di Seagate dei servizi Lyve Cloud Services sono separate in modo logico e i tentativi di accesso ai dati al di fuori dei limiti di dominio consentiti vengono impediti e registrati.
3. Sono state adottate misure per garantire che i caricamenti eseguibili, il codice o gli attori non autorizzati non siano autorizzati ad accedere a dati non autorizzati, incluso un cliente che accede ai file di un altro cliente.

 

Misure per garantire la sicurezza fisica dei luoghi in cui vengono elaborate le Informazioni personali della Società:

1. Le misure di sicurezza per i servizi Lyve sono proporzionate al rischio identificato per le risorse e i servizi informatici.
2. I servizi Lyve Cloud incorporano misure di sicurezza fisiche e ambientali nelle sedi per ridurre al minimo i rischi, evitare le minacce ed eliminare le vulnerabilità al fine di proteggere i sistemi informatici e il personale.
3. La sicurezza fisica e ambientale è progettata per impedire l'accesso fisico, i danni e le interferenze non autorizzati alle risorse e ai sistemi informatici del servizio Lyve Cloud.
4. I servizi Lyve Cloud proteggono le aree protette con l'istituzione di controlli di accesso per garantire l'accesso solo al personale autorizzato. I controlli devono includere la registrazione dell'accesso dei visitatori, la limitazione dell'accesso quando le informazioni sensibili vengono conservate al solo personale autorizzato, l'obbligo per gli utenti di indossare un badge di identificazione visibile e la limitazione delle persone alle sole aree fisiche necessarie per condurre le attività aziendali.
5. Le apparecchiature, le informazioni o le risorse software non devono essere portate fuori dalla sede senza autorizzazione. Il limite di tempo per la rimozione delle risorse deve essere concordato da tutti i soggetti coinvolti e la restituzione deve essere verificata. Le risorse devono essere registrate quando vengono spostate “fuori sede” e lo stesso record deve essere aggiornato quando le risorse vengono restituite.

 

Misure per garantire la registrazione degli eventi:

1. Registrazione remota.
2. È in vigore una politica ISMS (Information Security Management System Policy, politica del sistema di gestione della sicurezza informatica).

 

Misure per garantire la configurazione del sistema, inclusa la configurazione predefinita: misure per garantire che tutti i sistemi e i dispositivi coinvolti siano conformi alle impostazioni di configurazione di base.

1. Seagate ha messo in atto una politica di gestione delle modifiche.
2. Seagate monitora le modifiche apportate ai sistemi coinvolti per garantire che tali modifiche seguano la procedura e per ridurre il rischio di modifiche non rilevate alla produzione.
3. Seagate ha in atto una politica e delle procedure di controllo degli accessi.

 

Misure per la governance e la gestione interna dell'IT ("IT") e della sicurezza IT:

1. Seagate dispone di un sistema ISMS (Information Security Management System, sistema di gestione della sicurezza informatica) conforme allo standard ISO 27001:2013.
2. Seagate ha in atto una politica scritta di sicurezza delle informazioni, inclusa la documentazione di supporto.
3. L’autorità e la responsabilità per la gestione del programma di sicurezza delle informazioni di Seagate sono state delegate al Chief Information Security Officer, il cui ruolo è autorizzato dalla dirigenza senior a intraprendere le azioni necessarie per stabilire, implementare e gestire il programma di sicurezza delle informazioni di Seagate.

 

Misure per la certificazione/assicurazione delle procedure e dei prodotti:

1. Lyve Cloud Services è stato sottoposto a revisione da una terza parte e ha raggiunto la conformità SOC 2, attestando il nostro impegno a garantire controlli che salvaguardino la riservatezza e la privacy delle informazioni memorizzate ed elaborate nel nostro servizio.
2. Lyve Cloud Services è certificato ISO 27001 e il suo programma include, tra le altre considerazioni: politiche e procedure, gestione delle risorse, gestione degli accessi, crittografia, sicurezza fisica e ambientale, politica di continuità operativa aziendale, sicurezza delle risorse umane, ripristino di emergenza, sicurezza dell'infrastruttura cloud e di rete, conformità alla sicurezza, gestione di terze parti, monitoraggio della sicurezza e risposta agli incidenti.

 

Misure per garantire la minimizzazione dei dati: misure per ridurre la quantità di dati raccolti.

1. La raccolta delle Informazioni personali della Società è limitata ai dati che la Società sceglie di fornire nei servizi Lyve.
2. Sono state adottate misure di sicurezza per fornire solo la quantità minima di accesso necessaria per eseguire le funzioni richieste.

 

Misure per garantire la qualità dei dati: Misure per garantire che la pipeline di dati crei e mantenga una buona qualità dei dati.

1. Seagate non esamina o modifica dati, contenuti o materiali creati, memorizzati o resi accessibili tramite i servizi Lyve, comprese le Informazioni personali della Società, e la Società può decidere, a sua esclusiva discrezione, quali dati vengono inseriti nei servizi Lyve.
2. Seagate dispone di controlli di sicurezza per garantire l'integrità dei dati.

 

Misure per garantire la conservazione limitata dei dati:

1. I proprietari delle informazioni devono sviluppare e attuare procedure per garantire il corretto smaltimento delle risorse informatiche sotto il loro controllo.
2. I servizi Lyve proteggono le risorse informatiche e ne predispongono la distruzione quando tali risorse hanno raggiunto la fine del ciclo di vita, come descritto nel programma di conservazione dei record. La distruzione sicura di queste risorse deve garantire che nessun contenuto leggibile rimanga intatto.
3. Per la distruzione dei dati elettronici deve essere utilizzata una procedura automatizzata sicura e per la distruzione dei record cartacei deve essere adottata una procedura manuale sicura.
4. Dopo la cessazione di tutti gli abbonamenti associati a un ambiente, i dati dei clienti inviati ai servizi Lyve Cloud Services vengono mantenuti in stato inattivo all'interno dei Lyve Cloud Services per 30 giorni, dopo di che vengono sovrascritti o eliminati in modo sicuro dalla produzione.
5. Dopo la cessazione di tutti gli abbonamenti associati a un servizio Lyve Mobile Service, la Società deve utilizzare la funzionalità di cancellazione crittografica sul dispositivo per cancellare in modo sicuro i dati della Società dal dispositivo. Quando il dispositivo Lyve Mobile Service viene restituito a Seagate, il personale autorizzato esegue una cancellazione del dispositivo in una sede protetta con controllo degli accessi.

 

Misure per garantire la responsabilità: Le aziende devono mantenere determinate registrazioni dei dati personali che elaborano.

1. Sono richieste delle valutazioni sulla privacy quando si introduce un nuovo prodotto/servizio che comporta l’elaborazione dei dati personali.
2. Seagate si assume la responsabilità di garantire la privacy dell'utente finale durante l'intero ciclo di vita del prodotto e attraverso procedure aziendali applicabili.

 

Misure per consentire la portabilità dei dati e garantire la cancellazione:

1. I servizi Lyve Mobile Services sono progettati per garantire la massima portabilità. Gli accordi riguardano il trasferimento sicuro delle informazioni aziendali tra Lyve Cloud Services e terze parti esterne.
2. I servizi Lyve Mobile Services stabiliscono e gestiscono la documentazione per proteggere le informazioni e i supporti fisici durante il trasporto, in modo che le informazioni possano essere citate negli accordi di trasferimento.
3. Il contenuto di qualsiasi accordo sulla sicurezza delle informazioni deve riflettere la sensibilità delle informazioni aziendali interessate. Gli accordi possono essere elettronici o manuali e possono essere contratti formali.
4. Alla Società potrebbe essere richiesto di cancellare i dati della Società dai servizi alla scadenza o alla risoluzione anticipata dell’Accordo. Quando un cliente sceglie di acquisire o migrare i propri dati in un altro servizio di Seagate, Seagate può, dopo una corretta acquisizione o migrazione di tali dati, eliminare o altrimenti smaltire qualsiasi dato del cliente memorizzato nel servizio originale.
5. I servizi Lyve proteggono le risorse informatiche e ne predispongono la distruzione quando tali risorse hanno raggiunto la fine del ciclo di vita, come descritto nel programma di conservazione dei record. La distruzione sicura di queste risorse deve garantire che nessun contenuto leggibile rimanga intatto.
6. Per la distruzione dei dati elettronici i servizi Lyve adottano una procedura automatizzata sicura e per la distruzione dei record cartacei viene adottata una procedura manuale sicura.
7. Dopo la cessazione di tutti gli abbonamenti associati ai servizi Lyve, è necessario verificare gli articoli delle apparecchiature contenenti i supporti di memorizzazione per garantire che i dati sensibili e il software concesso in licenza siano stati rimossi o sovrascritti in modo sicuro prima dello smaltimento o del riutilizzo. I supporti di memorizzazione devono essere cancellati o sovrascritti in modo che i dati originali non possano essere recuperati.
8. Se Seagate smantella o altrimenti ritira un'unità disco che contiene una copia dei dati della Società, Seagate dovrà triturare o distruggere in modo sicuro l'unità rendendo i dati illeggibili e deve procedere a tale distruzione in conformità alla norma NIST 800-88, revisione 1.

 

ALLEGATO C

ELENCO DEI SUBINCARICATI

 Nessuno.

 

ALLEGATO D

DISPOSIZIONI SPECIFICHE PER PAESE

I seguenti requisiti si applicano alle giurisdizioni specificate:

1. Singapore
   1. Le disposizioni di questa Sezione 1 si applicano nei casi in cui il Singapore Personal Data Protection Act 2012 (n. 26 del 2012) sia valido per l'elaborazione delle Informazioni personali della Società da parte di Seagate.
   2. La Clausola 1.3 dell'Accordo sulla privacy dei dati è sostituita dalla seguente:
   3. Per "Violazione della privacy dei dati" si intende qualsiasi violazione della sicurezza che porti a distruzione, perdita, alterazione, divulgazione non autorizzata, accesso e acquisizione delle Informazioni personali della Società, siano accidentali o illeciti, o qualsiasi altra elaborazione non autorizzata delle informazioni personali della Società, tra cui: (a) l'accesso, la raccolta, l'uso, la divulgazione, la copia, la modifica o l'eliminazione non autorizzati delle Informazioni personali della Società; o (b) la perdita di qualsiasi supporto di memorizzazione o dispositivo su cui sono memorizzate le Informazioni personali della Società in circostanze in cui è probabile l'accesso, la raccolta, l'uso, la divulgazione, la copia, la modifica o l'eliminazione non autorizzate delle Informazioni personali della Società.
   4. La Clausola 5.1 dell'Accordo sulla privacy dei dati è sostituita dalla seguente:

5.1 Notifica di violazione della privacy dei dati. Qualora Seagate abbia motivo di ritenere che si sia verificata una violazione della privacy dei dati, dovrà informare la Società per iscritto della violazione della privacy dei dati senza indebiti ritardi e dovrà:

1. indagare e fornire l'assistenza ragionevole nelle indagini sulla violazione della privacy dei dati;
2. fornire alla Società informazioni sulla violazione della privacy dei dati e fornire tempestivamente ulteriori informazioni pertinenti non appena saranno disponibili e
3. adottare tutte le misure commercialmente ragionevoli per contenere la violazione della privacy dei dati, mitigare gli effetti della violazione della privacy dei dati o assistere la Società in tali attività a spese della Società.

India

1. Le disposizioni della presente Sezione 2 si applicano ai sensi dell'Information Technology Act, 2000 ("IT Act") and Information Technology (Reasonable Security Practices and Procedures and Sensitive Personal Data or Information) Rules, 2011 ("Regole sulla privacy"), come modificato e sostituito di volta in volta, si applica all'elaborazione delle Informazioni personali della Società da parte di Seagate forniti da un responsabile del trattamento in India, indipendentemente dal fatto che l'elaborazione abbia luogo in India.
2. Per quanto riguarda l'elaborazione dei dati personali degli interessati che sono soggetti alla legge IT e alle norme sulla privacy, le seguenti informazioni saranno considerate come " Dati o informazioni personali sensibili"
   1. password;
   2. informazioni finanziarie come conti bancari o dati di carte di credito o di debito o altri dati di strumenti di pagamento;
   3. stato di salute fisica, fisiologica e mentale;
   4. orientamento sessuale;
   5. cartelle cliniche e anamnesi;
   6. informazioni biometriche;
   7. qualsiasi dettaglio relativo alle clausole di cui sopra come previsto per la fornitura del servizio; e
   8. qualsiasi informazione ricevuta ai sensi delle precedenti clausole per l'elaborazione, memorizzata o elaborata in base a contratto legale o altro.

Per gli accordi completati prima del giovedì 20 giugno 2024, fare riferimento al PDF qui allegato. Accordo sulla privacy dei dati Lyve antecedente al giovedì 20 giugno 2024

Per gli accordi completati prima del 22 dicembre 2022, fare riferimento al PDF qui allegato. Accordo sulla privacy dei dati di Lyve prima del 22 dicembre 2022

Per gli accordi completati prima del giovedì 20 gennaio 2022, fare riferimento al PDF qui allegato. Accordo sulla privacy dei dati Lyve antecedente al giovedì 20 gennaio 2022

Per gli accordi completati prima del 14 ottobre 2021, fare riferimento al PDF qui allegato. Accordo sulla privacy dei dati Lyve antecedente al 14 ottobre 2021