NOTA: Questa traduzione è stata generata automaticamente e viene fornita solo per
comodità. Questa traduzione generata automaticamente non è paragonabile alla qualità di
una traduzione umana e potrebbe contenere errori. Questa traduzione viene fornita “COSÌCOM'È” e senza alcuna garanzia in termini di accuratezza, completezza o affidabilità della
traduzione. In caso di discrepanze tra la versione in lingua inglese del presente contratto equella tradotta in una lingua estera, sarà da considerarsi valida unicamente la versione inlingua inglese.
ADDENDUM AL TRATTAMENTO DEI DATI
Data Revisione: 18 dicembre 2022

Se il presente addendum al trattamento dei dati (“addendum”) è espressamente incorporato perriferimento nel Main Agreement (come definito nella clausola 2) tra Sophos Limited, societàregistrata in Inghilterra e Galles numero 2096520, con sede legale presso il Pentagono, Abingdon
Science Park, Abingdon, Oxfordshire, OX14 3YP, Regno Unito ("fornitore") e un cliente del fornitore("cliente"), il presente addendum fa parte del Contratto principale ed è valido tra il fornitore e ilcliente.
I termini in maiuscolo utilizzati nel presente addendum sono definiti come indicato nella clausola
2 riportata di seguito. Su richiesta, potremmo essere in grado di fornire una copia del presenteaddendum in un'altra lingua. In caso di conflitto, la versione inglese dell'addendum avrà la sua
funzione di controllo.
1.

PREAMBOLO

1.1.

Le parti hanno stipulato il contratto principale relativo alla fornitura da parte del fornitore al cliente
di determinati prodotti e/o servizi (collettivamente, "Prodotti").

1.2.

Se l'accordo principale è un accordo MSP in forma simile all'accordo MSP che si trova all'indirizzo
https://www.sophos.com/it-it/legal/sophos-msp-partner-terms-and-conditions("Contratto
MSP"), il cliente è un fornitore di servizi gestiti ("MSP"). Se il contratto principale è un contratto
OEM in baseal quale il cliente è autorizzato a distribuire, concedere in sublicenza o rendere
disponibile a terze parti prodotti fornitori in combinazione con i prodotti del cliente come parte diun'unità in bundle (" Contratto OEM "), il cliente è un produttore di apparecchiature originali ("OEM "). In caso contrario, il cliente è un utente finale ("utente finale").

1.3.

La fornitura dei prodotti può includere la raccolta, l'utilizzo e l'altro trattamento dei dati personali
del Titolare da parte del fornitore per conto del cliente. Il presente addendum stabilisce gli obblighidelle parti in relazione a tale trattamento e completa i termini e le condizioni del contratto
principale.

1.4.

Nonostante qualsiasi altro termine del Contratto o del presente addendum, le parti accettano che
i dati personali del Titolare non includano informazioni di contatto, informazioni di pagamento ofatturazione o altri dati personali relativi a contatti aziendali e amministratori del cliente, inclusi
nome, indirizzo e-mail e informazioni di contatto, Quale fornitore raccoglie e elabora per proprio
conto al fine di gestire le relazioni con i clienti, comunicare con i clienti attuali, precedenti e

SPHS2022Dec

1 di 21

potenziali e con i partner commerciali, e altrimenti amministrare le relazioni commerciali ("datiCRM").
1.4.1. Il fornitore è un responsabile dei dati CRM e elaborerà i dati CRM in conformità agli obblighiprevisti dalla Legge sulla protezione dei dati applicabile e dall' Informativa sulla privacy delGruppo fornitori.
1.4.2. Salvo per quanto riguarda la Sezione 1.4.1, gli obblighi del fornitore ai sensi del presente
Addendum non si applicano ai dati CRM.
1.5.

Il Contratto principale, il presente Addendum e i documenti espressamente menzionati nel
Contratto principale e nel presente Addendum costituiscono l'intero accordo tra le parti inrelazione ai dati personali raccolti, trattati e utilizzati dal fornitore per conto del cliente in relazione
al Contratto principale, e sostituiscono tutti i precedenti accordi, intese e intese tra le parti inmateria.

2.

DEFINIZIONI

2.1.

Nel presente addendum, i seguenti termini hanno i seguenti significati:
Per "legislazione applicabile in materia di protezione dei dati" si intende, nella misura applicabile:(a) il regolamento UE 2016/679 del Parlamento europeo e del Consiglio relativo alla tutela dellepersone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati
(regolamento generale sulla protezione dei dati o "GDPR"); (b) la direttiva sulla privacy elettronica(direttiva UE 2002/58/CE); e (c) tutte le normative nazionali applicabili in materia di protezione dei
dati, comprese quelle adottate in base ai (a) o (b); in ogni caso possono essere modificate osostituite di volta in volta.
"Beneficiario" ha il significato che le è stato attribuito nell'accordo MSP.
"CCPA" indica il California Consumer Privacy Act, modificato dal California Privacy Rights Act del2020), codificato al Cal. Civ Il codice §§ 1798.100 - 1798.199.100 e le normative California
Consumer Privacy Act emanate a tale scopo, Cal. Reg. Codice tit. 11, div. 6, ch. 1, ciascunamodificata;
Le “clausole” hanno il significato che le è stato attribuito nei CCS.
"Controller" significa: (a) il cliente, se il cliente è un utente finale; (b) il beneficiario, se il cliente è
un MSP; o (c) il cliente finale, se il cliente è un OEM.
Per "Dati personali del Titolare" si intendono i dati personali che il fornitore elabora per conto delTitolare in conformità ai servizi.
"Clausole del Controller to Processor" indica le clausole del modulo due agli SCC."dati CRM" indica
le informazioni di contatto, i dati di pagamento o fatturazione o altri dati personali relativi aicontatti aziendali e agli amministratori dei clienti, inclusi nome, indirizzo e-mail e informazioni dicontatto, Quale fornitore raccoglie e elabora per proprio conto al fine di gestire le relazioni con iclienti, comunicare con i clienti attuali, precedenti e potenziali e con i partner commerciali, ealtrimenti amministrare le relazioni commerciali.

SPHS2022Dec

2 di 21

Per “soggetto interessato” si intende la persona a cui si riferiscono i dati personali di Sophos.
Per "Richieste degli interessati" si intendono tutte le richieste degli interessati che esercitano diritti
in conformità alle leggi applicabili sulla protezione dei dati, compresi i diritti di accesso,
cancellazione e correzione.
Per “SEE” si intende lo spazio economico europeo, compresi a) gli Stati membri dello spazio
economico europeo (“SEE”) e b) il Regno Unito.
"Cliente finale" ha il significato che gli è stato dato nel contratto OEM.
Per “Europa” (e "Europea") si intende (a) gli Stati membri dello spazio economico europeo (“SEE”)e b) il Regno Unito.
Per " prodotti ospitati" si intendono i prodotti elencati nell' allegato 3.
Per “ICO” si intende l’Ufficio del Commissario per l’informazione con sede nel Regno Unito
Per "Contratto principale" si intendono, collettivamente, i contratti scritti, inclusi e esposti, i relativi
addenda e emendamenti, ai sensi dei quali il fornitore fornisce determinati servizi al cliente.
Per "dati personali" si intendono tutte le informazioni che identificano, potrebbero essere
utilizzate per identificare o sono in altro modo collegate o ragionevolmente collegabili a una
particolare persona o famiglia, nonché tutte le informazioni definite come "dati personali", "datipersonali" o termine equivalente ai sensi delle leggi e dei regolamenti applicabili in materia diprotezione dei dati.
Per "violazione dei dati personali" si intende una violazione della sicurezza (diversa da quellecausate dal cliente o dai suoi utenti) che comporta la distruzione accidentale o illegale, la perdita,l'alterazione, la divulgazione non autorizzata o l'accesso a, Dati personali del Titolare elaborati dal
fornitore ai sensi del presente Addendum.
Per “responsabile del trattamento” si intende una persona o un’entità che elabora i dati personali
per conto e secondo le istruzioni del responsabile del trattamento, comprese le entità che agisconocome “fornitore di servizi” ai sensi della CCPA.
"Trasferimento limitato" indica un trasferimento dei dati personali del Titolare da parte del cliente
al fornitore, laddove tale trasferimento sia vietato dalle leggi sulla protezione dei dati applicabili inassenza delle clausole contrattuali standard applicabili e, ove applicabile, dell'Addendum delRegno Unito.
"Dati sensibili" significa "categorie speciali di dati personali", "dati personali sensibili", "datisensibili" e termine equivalente, come definito nelle leggi applicabili sulla protezione dei dati.
Per "servizi" si intendono tutti i prodotti forniti e/o i servizi forniti dal fornitore ai sensi delContratto principale.
Per "clausole contrattuali" o "CSC" si intendono le clausole contrattuali tipo per il trasferimento didati personali a paesi terzi ai sensi del regolamento (UE) 2016/679 del Parlamento europeo e delSPHS2022Dec

3 di 21

Consiglio, approvato dalla decisione di esecuzione (UE) 2021/914 della Commissione europea del
4 giugno 2021.
Per “Sottoprocessore” si intende qualsiasi persona o entità (ad esclusione di qualsiasi dipendentedel fornitore) o entità nominata da o per conto del fornitore che elabora i dati personali delTitolare.
Per "autorità di vigilanza" si intende l'autorità di regolamentazione competente per quantoriguarda le leggi e i regolamenti applicabili in materia di protezione dei dati, inclusa, oveapplicabile, un'autorità di vigilanza come definita nel GDPR.
Per “addendum del Regno Unito” si intende l’addendum al trasferimento internazionale dei dati
alle clausole contrattuali tipo della Commissione europea, emesso dall’ICO, come di volta in volta
modificato o sostituito da un’autorità di vigilanza competente ai sensi delle pertinenti leggi sulla
protezione dei dati del Regno Unito
2.2.

Nel presente addendum, i termini in lettere minuscole "titolare", "titolare ", "soggetto ","datipersonali" e "trattamento" (e relativi derivati) avranno il significato indicato nella legge applicabile
sulla protezione dei dati.

3.

AMBITO

3.1.

L'oggetto e la durata del trattamento dei Dati personali del Titolare da parte del fornitore,compresa la natura e lo scopo del trattamento, i tipi di Dati personali del Titolare da trattare, e lecategorie di soggetti interessati, saranno come descritto in: (a) il presente Addendum; (b) il
Contratto principale; (c) eventuali istruzioni contenute nell'allegato 1 (istruzioni per il trattamento
dei dati); e (d) le istruzioni del cliente pubblicate in conformità alla clausola 4 riportata di seguito.

3.2.

Il cliente è tenuto a garantire (a) che il Titolare abbia una base legale per il trattamento dei dati
personali del Titolare che saranno effettuati dal fornitore per conto del cliente, E (b) che il Titolare
abbia ottenuto tutti i consensi necessari da parte dei soggetti interessati che potrebbero essere
richiesti per il trattamento dei dati personali del Titolare da parte del cliente e del fornitore (inclusi,
a titolo esemplificativo, i dati sensibili); E (c) che è altrimenti conforme e garantirà che le sue
istruzioni al fornitore per il trattamento dei dati personali del Titolare siano conformi in tutti gli
aspetti alle leggi applicabili sulla protezione dei dati.

3.3.

Le parti concordano che il fornitore è un processore o un sottoprocessore per i dati personali delcontroller e che il cliente è (a) il controller dove il cliente è un utente finale, o (b) un processore((per un controller di terze parti) dove il cliente è un MSP o un OEM.

4.

ISTRUZIONI PER IL CLIENTE

4.1.

Il cliente incarica il fornitore di trattare i dati personali del Titolare secondo quantoragionevolmente necessario per fornire ed eseguire i servizi e secondo quanto altrimenti stabilito
nel presente e nel Main Agreement. Il fornitore dovrà trattare i dati personali del Titolare inconformità con le istruzioni di elaborazione documentate del cliente, come indicato nel presente
documento, ad eccezione di (a) ove diversamente concordato per iscritto tra il fornitore e il cliente;
O (b) ove richiesto dalla legge cui il fornitore è soggetto (nel qual caso, il fornitore deve informare

SPHS2022Dec

4 di 21

il cliente di tale requisito legale prima del trattamento, a meno che tale legge non vieti la fornitura
di tali informazioni).
4.2.

Se il fornitore viene a conoscenza che le istruzioni di trattamento del cliente violano le leggi sulla
protezione dei dati applicabili (senza imporre alcun obbligo al fornitore di monitorare attivamente
la conformità del cliente), ne informerà prontamente il cliente e sospenderà il trattamento dei Dati
personali del Titolare.

4.3.

Senza limitare la rinuncia, nella misura in cui il California Consumer Privacy Act (“CCPA”) si applica
ai dati personali del Titolare, il fornitore accetta inoltre che:
4.3.1. Il fornitore non utilizzerà, divulgherà o elaborerà in altro modo i dati personali del Titolare,
salvo per lo scopo specifico di eseguire i servizi, in conformità ai termini del presente
Addendum e del Contratto principale, e come altrimenti richiesto dalle leggi applicabili. In
deroga a quanto precede:a.

Il fornitore può coinvolgere i subprocessori nel trattamento dei dati personali del Titolare,
in base ai termini della Sezione 7;b.

Il fornitore non elaborerà i dati personali del Titolare al di fuori del rapporto commerciale
diretto tra il cliente e il fornitore o per scopi commerciali propri del fornitore; Fatte salve ledisposizioni di cui sopra, le parti convengono che, nella misura in cui si applica il CCPA, il
fornitore elaborerà i dati personali del Titolare solo per gli scopi aziendali specifici stabiliti
nel Contratto principale e nel presente Addendum o per altri scopi espressamente
autorizzati ai sensi delle normative CCPA.

c.

Il fornitore non "condividerà" o "venderà" (in quanto tali termini sono definiti in base alla
CCPA) i dati personali del Titolare;d.

Il fornitore (e si assicurerà che ciascun Sottoprocessore rispetterà i propri obblighi ai sensidella CCPA) e fornirà lo stesso livello di protezione della privacy richiesto dalla CCPA; e.

e.

Se il fornitore ritiene di non essere in grado di rispettare i termini del presente addendumo le leggi applicabili sulla protezione dei dati, Il fornitore notificherà tempestivamente alcliente e concederà al cliente il diritto di adottare misure ragionevoli e appropriate pergarantire che i dati personali del Titolare siano trattati in modo conforme agli obblighi delTitolare ai sensi della CCPA.

f.

Il fornitore non conserverà i dati personali del Titolare alla scadenza o alla risoluzione delContratto principale, ad eccezione di quanto stabilito nella Sezione Error! Reference source
not found.;5.

DOVERI DEL FORNITORE

5.1.

Tutto il personale del fornitore che elabora i Dati personali del Titolare deve essere adeguatamente
formato in relazione ai propri obblighi di protezione, sicurezza e riservatezza dei dati e deve essere
soggetto agli obblighi scritti o statutari di mantenimento della riservatezza.

SPHS2022Dec

5 di 21

5.2.

Il fornitore implementerà misure tecniche e organizzative appropriate per garantire un livello disicurezza adeguato al rischio e per proteggere i dati personali del Titolare da una violazione dei
dati personali. Tali misure tengono conto dello stato della tecnica, dei costi di attuazione e della
natura, della portata; contesto e finalità del trattamento, nonché rischio di varia probabilità egravità per i diritti e le libertà delle persone fisiche, in modo da garantire un livello di sicurezza
adeguato al rischio. In particolare, le misure adottate dal fornitore comprendono quelle descritte
nell'allegato 2 del presente addendum. Il fornitore può modificare o modificare le misure tecniche
ed organizzative descritte nell' allegato 2 senza il preventivo consenso scritto del cliente, purché ilfornitore mantenga almeno un livello equivalente di protezione. Su richiesta del cliente, il fornitore
fornirà una descrizione aggiornata delle misure tecniche ed organizzative nel modulo presentato
nell' allegato 2.

5.3.

Il fornitore dovrà seguire i requisiti specificati nella clausola 7 di seguito per coinvolgere qualsiasi
subprocessore nel trattamento dei dati personali del Titolare.

5.4.

Il fornitore si impegna a rispettare i requisiti specificati nella clausola 8 di seguito per assistere ilcliente a rispondere alle richieste di terze parti, incluse eventuali richieste da parte di soggettiinteressati di esercitare i propri diritti ai sensi delle leggi vigenti sulla protezione dei dati.

5.5.

Al momento della conferma della violazione dei dati personali, il fornitore informerà il cliente senza
indebiti ritardi e fornirà tutte le informazioni e la cooperazione tempestive che il cliente potrebbe
ragionevolmente richiedere per l'ordine del cliente (e, se il cliente è un MSP o un OEM, il suo
controllore) Per adempiere agli obblighi di segnalazione delle violazioni dei dati previsti dalla legge
sulla protezione dei dati (e in conformità con i tempi richiesti dalla legge applicabile sulla
protezione dei dati). Il fornitore dovrà inoltre adottare le misure e le azioni ragionevolmente
necessarie per rimediare o mitigare gli effetti della violazione dei dati personali e tenere il cliente
informato sugli sviluppi in relazione alla violazione dei dati personali.

5.6.

Il fornitore dovrà fornire al cliente (o, se il cliente è un MSP o un OEM, il suo Controller)un'assistenza ragionevole e tempestiva in qualità di cliente (o, se applicabile, il Controller) Puòrichiedere per condurre una valutazione dell'impatto sulla protezione dei dati o un'altra
valutazione che deve essere condotta in base alle leggi sulla protezione dei dati applicabili e, senecessario, consultare la relativa autorità preposta alla protezione dei dati. Tale assistenza saràfornita a spese del cliente.

5.7.

Il fornitore, salvo diversa disposizione di legge applicabile, dovrà eliminare i dati personali delTitolare del trattamento entro un periodo di tempo ragionevole successivo alla risoluzione o alla
scadenza del presente Addendum, a meno che non sia proibito dalla legge applicabile. Su richiesta,
il fornitore confermerà al cliente che tali dati personali del controllore sono stati cancellati inconformità con il presente Addendum. Se il fornitore è tenuto, in base alle leggi applicabili, aconservare i dati personali del Titolare, a garantire la riservatezza e la sicurezza dei dati personali
del Titolare per tutto il tempo in cui vengono conservati.

6.

DIRITTI DI VERIFICA DEL CLIENTE

6.1.

Il cliente riconosce che il fornitore viene regolarmente sottoposto a verifica in base agli standard
SSAE 18 SOC 2 da parte di revisori indipendenti di terze parti. Su ragionevole richiesta, il fornitore

SPHS2022Dec

6 di 21

dovrà fornire al cliente una copia del suo rapporto di verifica SOC 2, che sarà soggetto alledisposizioni di riservatezza del Contratto principale come informazioni riservate del fornitore. Il
fornitore dovrà inoltre rispondere a ragionevoli domande di verifica scritte ad esso presentate dalcliente, a condizione che quest'ultimo non eserciti tale diritto più di una volta all'anno.
6.2.

Se, secondo la ragionevole opinione del cliente, i materiali forniti ai sensi della clausola 6.1 nonsono sufficienti a dimostrare la conformità del fornitore al presente Addendum, il cliente puòrichiedere per iscritto e nel rispetto della clausola 6.2 (a) - (d) qui contenuta, Che il fornitore renda
disponibili al cliente tutte le informazioni ragionevolmente necessarie per dimostrare laconformità agli obblighi stabiliti nel presente Addendum (incluse le clausole contrattuali standard
nella misura applicabile) e per consentire e contribuire alle verifiche, incluse le ispezioni, da partedel cliente o da parte del cliente indipendente, Revisore di terze parti che non è un concorrentedel fornitore delle attività di elaborazione coperte dal presente Addendum.
a.

Prima di richiedere una revisione o una verifica ai sensi della presente clausola 6.2, il cliente
terrà conto delle certificazioni e delle verifiche di terze parti del fornitore pertinenti
descritte nella clausola 6.1;b.

Il cliente darà al responsabile del trattamento un ragionevole avviso, almeno 60 giorni
prima, di una richiesta di condurre una verifica o un'ispezione ai sensi della presenteclausola 6.2, e prenderà (e assicurerà che ciascuno dei suoi revisori prenda) misureragionevoli per evitare e prevenire danni o lesioni e ridurre al minimo eventuali interruzioni
di tali controlli o ispezioni;c.

Un controllo o un'ispezione verrà eseguito non più di una volta all'anno, tranne quando
richiesto da un'autorità di vigilanza o dalle leggi applicabili sulla protezione dei dati; e.

d.

Il cliente dovrà sostenere tutti i costi di tale verifica e rimborsare al fornitore i costi
ragionevoli e le spese sostenute dal fornitore in conformità a tali verifiche, incluso il tempo
speso dal fornitore, dalle sue consociate o dai suoi subprocessori per qualsiasi verifica oispezione alle tariffe dei servizi professionali allora correnti del fornitore, Che saranno
messe a disposizione del cliente su richiesta.

7.

SOTTOPROCESSORI

7.1.

Il cliente acconsente all'utilizzo dei subprocessori esistenti del fornitore alla data del presente
Addendum,
elencati
all'indirizzo
https://www.sophos.com/en-us/legal("elenco
dei
subprocessori"), nonché delle consociate del fornitore. Il cliente acconsente espressamente
all'assunzione da parte del fornitore di ulteriori subprocessori di terze parti (ciascuno dei quali è
un "nuovo subprocessore") in base ai termini stabiliti nella presente clausola 7. Il fornitore fornirà
al cliente un avviso di trenta (30) giorni prima dell'aggiunta di qualsiasi nuovo processore, che può
essere fornito pubblicando i dettagli di tale aggiunta nell'elenco dei processori.

7.2.

Se il cliente non si oppone per iscritto alla nomina da parte del fornitore di un nuovo
sottoprocessore (per motivi ragionevoli relativi alla protezione dei Dati personali del Titolare)
entro 30 giorni dall'aggiunta del nuovo sottoprocessore all'elenco dei sottoprocessori da parte delfornitore, Il cliente accetta che si riterrà di aver acconsentito a tale nuovo subprocessore. Se il

SPHS2022Dec

7 di 21

cliente fornisce tale obiezione scritta al fornitore, il fornitore notificherà per iscritto al cliente entro
30 giorni che: (a) il fornitore non utilizzerà il nuovo subprocessore per elaborare i Dati personali
del Titolare; o (b) il fornitore non è in grado o non è disposto a farlo. Se viene data la notifica di cui
al paragrafo (b), il cliente può, entro 30 giorni da tale notifica, Scegliere di risolvere il presenteaddendum e l'accordo principale relativo all'elaborazione interessata previa notifica scritta alfornitore e al fornitore per i clienti situati solo all'interno dello spazio economico europeo e delRegno Unito, autorizzare un rimborso proporzionale o un credito di eventuali commissioni
prepagate per il periodo rimanente dopo la risoluzione. Tuttavia, se tale notifica di risoluzione nonviene fornita entro tale termine, il cliente sarà considerato autorizzato al nuovo subprocessore. Il
fornitore imporrà condizioni di protezione dei dati ai nuovi subprocessori che impongono
protezioni equivalenti per i dati personali del Titolare, come previsto dal presente Addendum. Il
fornitore rimane pienamente responsabile dell'adempimento degli obblighi di ciascun
Sottoprocessore.
8.

RICHIESTE DI TERZI

8.1.

Il fornitore notificherà al cliente qualsiasi richiesta di riservatezza, corrispondenza, richiesta oreclamo che riceve da un soggetto interessato, regolatore o altra terza parte in relazione al
trattamento dei dati personali del Titolare, fornendo tutti i dettagli degli stessi, ma non risponderà
direttamente al soggetto interessato. salvo dove diversamente richiesto dalla legge.

8.2.

Nella misura necessaria, il fornitore fornirà al cliente un'assistenza ragionevole e tempestiva (o, se
il cliente è un MSP o un OEM, il Controller), a spese del cliente, per consentire al cliente (o se ilcliente è un MSP o un OEM, il Controller) di rispondere a: (a) una richiesta da parte di una persona
interessata di esercitare i suoi diritti ai sensi della legge applicabile sulla protezione dei dati
(compresi, se del caso, i suoi diritti di accesso, di correzione, di obiezione, di cancellazione e diportabilità dei dati, Come e (b) una richiesta ricevuta da un ente regolatore o da terzi in relazione
al trattamento dei dati personali del Titolare.

9.

TRASFERIMENTI INTERNAZIONALI DI DATI

9.1.

Alcuni prodotti possono consentire al cliente di scegliere dove ospitare i dati personali del Titolare
di tali prodotti, anche nei data center che potrebbero trovarsi al di fuori della giurisdizione in cui
hanno origine i dati. Tali sedi possono includere (a) lo spazio economico europeo, (b) il Regno
Unito, (c) gli Stati Uniti d'America o un'altra sede come specificato nel Main Agreement (“Central
Storage Location”). Questa selezione avviene al momento dell'installazione del prodotto, dellacreazione dell'account o del primo utilizzo del prodotto in questione. Una volta selezionata, laposizione di memorizzazione centrale non può essere modificata in un secondo momento.

9.2.

Il cliente riconosce ed acconsente espressamente, indipendentemente dal luogo di archiviazione
centrale selezionato (se pertinente), ai trasferimenti limitati, nel rispetto degli obblighi stabiliti
nella presente clausola 9.

9.3.

Per quanto riguarda i trasferimenti limitati:
9.3.1. Gli SCC e l'addendum del Regno Unito sono espressamente incorporati nel presente
documento e fanno parte del presente addendum.

SPHS2022Dec

8 di 21

9.3.2. In base alla Sezione 9.3.3 e all'allegato 4 del presente documento, il cliente e il fornitore
stipulano e accettano di: (i) gli SCC, che si applicano nella misura di un trasferimento
limitato dei dati personali del responsabile del trattamento al fornitore; E (ii) l'Addendum
del Regno Unito, che si applicherà, modificherà e integrerà gli SCC in relazione a qualsiasi
trasferimento limitato dei dati personali del Titolare che sia soggetto alle leggi e ai
regolamenti sulla protezione dei dati del Regno Unito; e
9.3.3. Si applica il modulo 2 degli SCC, fatte salve le condizioni dell'allegato 4 del presente
regolamento.
9.4.

L’appendice alle SCC deve essere compilata come indicato nell’allegato 4.

10.

DURATA

10.1.

Il presente addendum inizia a (a) l'esecuzione da parte di entrambe le parti dell'accordo principaleo (b) la data in cui l'accordo principale diventa effettivo, se successivamente e fino alla data
precedente: (i) la scadenza del diritto del cliente di utilizzare e ricevere i prodotti, come indicato
nel Contratto principale o su qualsiasi diritto di licenza associato; e (II) la risoluzione del Contratto
principale.

11.

ALTRE NORMATIVE

11.1.

Le modifiche e le modifiche al presente addendum richiedono la forma scritta. Ciò vale anche perle modifiche e le modifiche apportate alla presente clausola11.1.

11.2.

In nessun caso la responsabilità del fornitore nei confronti del cliente in relazione a qualsiasi
problema derivante o connesso al presente addendum potrà superare le limitazioni diresponsabilità del fornitore stabilite nel Contratto principale. Le limitazioni di responsabilità delfornitore stabilite nel Contratto principale si applicheranno in modo aggregato sia nell'Addendum
principale che nel presente Addendum, in modo tale che si applichi un unico regime di limitazione
di responsabilità sia nell'accordo principale che nel presente Addendum.

11.3.

Il presente addendum (esclusi gli SCC) sarà governato e interpretato in conformità con le leggi diInghilterra e Galles, indipendentemente dai principi relativi ai conflitti di legge. Nella misuraconsentita dalla legge applicabile, i tribunali inglesi avranno la giurisdizione esclusiva per
determinare qualsiasi controversia o reclamo che possa sorgere da, sotto o in relazione alpresente addendum.

11.4.

In caso di conflitto con i termini del presente supplemento per il trattamento dei dati e con i
termini di qualsiasi SCC stipulato dalle parti, i termini delle SCC applicabili (compresi gli eventuali
allegati) avranno la precedenza.

12.

CAMBIAMENTI DI LEGGE

12.1.

Qualora sia necessario apportare modifiche al presente addendum in seguito a una modifica delle
leggi applicabili sulla protezione dei dati, ciascuna delle parti può notificare per iscritto all'altra
parte tale modifica. Le parti discuteranno e negozieranno in buona fede tutte le variazioni
necessarie al presente addendum per affrontare tali modifiche. Le parti non rifiuteranno

SPHS2022Dec

9 di 21

irragionevolmente il consenso o l'approvazione a modificare il presente addendum in conformità
con la presente Sezione 12 o in altro modo.
12.2.

Nel caso in cui le clausole contrattuali standard o l'Addendum del Regno Unito vengano sostituite,aggiornate o sostituite con una nuova versione ("nuove clausole"), il cliente accetta che il fornitore
possa, previa comunicazione scritta al cliente, aggiornare il presente Addendum secondo
necessità per incorporare tali nuove clausole, Come modifica o sostituzione delle precedenti
clausole contrattuali tipo o dell'Addendum del Regno Unito.

SPHS2022Dec

10 di 21

Mostra 1
DESCRIZIONE DELL'ELABORAZIONE
Il presente allegato 1 descrive l'elaborazione che il fornitore eseguirà per conto del cliente.
(a)

Oggetto, natura e finalità delle operazioni di trasformazione

I Dati personali del Titolare saranno soggetti alle seguenti attività di elaborazione di base(specificare):

Fornitura dei prodotti acquistati dal cliente in base e in conformità al Contratto
principaleFornire servizi di gestione degli account e assistenza tecnica ai clienti

Il fornitore fornisce prodotti progettati per rilevare, prevenire e gestire o aiutare il fornitore arilevare, prevenire e gestire le minacce alla sicurezza all'interno o contro sistemi, reti,
dispositivi, file e altri dati resi disponibili dal cliente. Il contenuto delle informazioni contenutein tali sistemi, reti, dispositivi, file e altri dati è determinato esclusivamente dal cliente e non dal
fornitore.
(b)

Durata delle operazioni di trasformazione:

I Dati personali del Titolare verranno elaborati per la seguente durata (specificare):
La durata specificata nell'accordo principale (o per la durata dell'accordo principale,
se non diversamente specificato).
(c)

Soggetti interessati

I Dati personali del Titolare riguardano le seguenti categorie di soggetti (specificare):(d)•Personale e utenti finali dei clienti•

Altri soggetti interessati i cui dati personali sono trattati per conto del cliente relativi
ai prodotti Sophos

Tipi di dati personali

I Dati personali del Titolare riguardano le seguenti categorie di dati (specificare): Nomi utente e altri identificatori Informazioni sull'attività di rete e di rete Altre informazioni che possono essere trasmesse o elaborate in relazione ai prodotti
Sophos(e)Categorie speciali di dati (se del caso)

I Dati personali del Titolare riguardano le seguenti categorie speciali di dati (specificare):

SPHS2022Dec

11 di 21

Se non diversamente specificato, i prodotti del fornitore non sono progettati per
elaborare categorie particolari di dati.

SPHS2022Dec

12 di 21

Mostra 2
MISURE TECNICHE E ORGANIZZATIVE
Alcune di queste misure possono essere pertinenti o applicabili solo ai prodotti ospitati.
1. Controllo di accesso fisico.
(a) Sophos ha una politica di controllo fisico dell'accesso;(b) tutto il personale è dotato di un documento d'identità/badge di accesso;(c) gli ingressi alle strutture sono protetti da badge o chiavi di accesso;(d) le strutture sono divise in (i) aree di accesso pubblico (come le aree di ricezione); (II) areedi accesso al personale generale; E (III) aree ad accesso limitato accessibili solo dal
personale che ha un'esplicita esigenza aziendale;(e) badge e chiavi di accesso controllano l'accesso alle aree ad accesso limitato all'interno diciascuna struttura in base ai livelli di accesso autorizzati di una persona;(f) i livelli di accesso per gli individui sono approvati da membri del personale senior e
vengono verificati su base trimestrale;(g) il personale addetto alla reception e/o alla sicurezza è presente agli ingressi di siti più
grandi;(h) le strutture sono protette da allarmi;(i) i visitatori sono pre-registrati e i registri dei visitatori sono mantenuti.
2. Controllo dell'accesso al sistema.
(a) Sophos ha una politica logica di controllo dell'accesso;(b) la rete è protetta da firewall in ogni connessione Internet;(c) la rete interna è segmentata da firewall in base alla sensibilità dell'applicazione;(d) IDS e altri controlli di rilevamento e blocco delle minacce eseguiti su tutti i firewall;(e) il filtraggio del traffico di rete si basa su regole che applicano il principio del “minor
accesso”;(f) i diritti di accesso sono concessi al personale autorizzato solo nella misura e per la durata
necessarie per svolgere il proprio ruolo e sono riesaminati trimestralmente;(g) l'accesso a tutti i sistemi e le applicazioni è controllato da una procedura di accesso
sicura;(h) i singoli utenti dispongono di ID utente e password univoci per uso personale;(i) le password sono sottoposte a test di resistenza e le modifiche sono applicate allepassword deboli;(j) le schermate e le sessioni si bloccano automaticamente dopo un periodo di inattività;(k) i prodotti Sophos per la protezione da malware vengono installati di serie;(l) vengono eseguite regolari scansioni delle vulnerabilità su indirizzi IP e sistemi;(m) i sistemi vengono aggiornati su un ciclo regolare con un sistema di prioritizzazione per il
tracciamento rapido delle patch urgenti.
3. Controllo dell'accesso ai dati.
(a) Sophos ha una politica logica di controllo dell'accesso;(b) i diritti di accesso sono concessi al personale autorizzato solo nella misura e per la durata

SPHS2022Dec

13 di 21necessarie per svolgere il proprio ruolo e sono riesaminati trimestralmente;(c) l'accesso a tutti i sistemi e le applicazioni è controllato mediante una procedura diaccesso sicura;(d) i singoli utenti dispongono di ID utente e password univoci per uso personale;(e) le password sono sottoposte a test di resistenza e le modifiche sono applicate allepassword deboli;(f) le schermate e le sessioni si bloccano automaticamente dopo un periodo di inattività;(g) i notebook sono crittografati utilizzando i prodotti di crittografia Sophos;(h) i mittenti sono indirizzati a considerare la crittografia dei file prima di inviare qualsiasi email esterna.
4. Controllo input.
(a) l'accesso a tutti i sistemi e le applicazioni è controllato da una procedura di accesso
sicura;(b) i singoli utenti dispongono di ID utente e password univoci per uso personale;(c) i prodotti Sophos Central utilizzano la crittografia a livello di trasferimento perproteggere i dati in transito;(d) la comunicazione tra il software client e il sistema backend Sophos viene eseguita
tramite HTTPS per proteggere i dati in transito, stabilire una comunicazione di trust tramite
certificati e convalida del server.
5. Controllo subappaltatore.
(a) i subappaltatori che hanno accesso ai dati intraprendono una procedura di verifica dellasicurezza INFORMATICA prima dell’imbarco e come richiesto successivamente;(b) i contratti contengono un adeguato obbligo di riservatezza e di protezione dei dati
basato sui doveri del subappaltatore.
6. Controllo disponibilità.
(a) Sophos protegge i suoi locali da incendi, inondazioni e altri rischi ambientali;(b) sono disponibili generatori di riserva per mantenere l'alimentazione in caso diinterruzione dell'alimentazione;(c) i centri dati e le sale server utilizzano controlli e monitoraggio della climatizzazione;(d) il sistema Sophos Central è bilanciato dal carico e presenta il failover tra tre siti, ciascuno
dei quali esegue due istanze del software, ognuna delle quali è in grado di fornire il servizio
completo.
7. Controllo segregazione.
(a) Sophos mantiene e applica un processo di controllo qualità per l'implementazione dinuovi prodotti dei clienti;(b) gli ambienti di test e produzione sono separati;(c) il nuovo software, i nuovi sistemi e gli sviluppi sono testati prima del rilascio
nell'ambiente di produzione.

SPHS2022Dec

14 di 21

8. Controllo organizzativo.
(a) Sophos dispone di un team dedicato per la sicurezza IT;(b) il team Risk and Compliance gestisce la segnalazione e i controlli interni dei rischi, che
includono la segnalazione dei rischi chiave alla gestione;(c) un processo di risposta agli incidenti identifica e rimedi tempestivamente i rischi e levulnerabilità;(d) ogni nuovo dipendente intraprende una formazione sulla protezione dei dati e sulla
sicurezza IT;(e) il reparto SICUREZZA IT conduce campagne trimestrali di sensibilizzazione sulla sicurezza.

SPHS2022Dec

15 di 21

Mostra 3
PRODOTTI OSPITATI(a) Sophos Central(b) Sophos Cloud Optix(c) Central Device Encryption(d) Central Endpoint Protection(e) Central Endpoint Intercept X(f) Central Endpoint Intercept X Advanced(g) Central Mobile Advanced(h) Central Mobile Standard(i) Central Phish Threat(j) Central Intercept X Advanced for Server(k) Central Server Protection(l) Central Mobile Security(m) Central Web Gateway Advanced(n) Central Web Gateway Standard(o) Central Email Standard(p) Central Email Advanced(q) Central Wireless Standard(r) Qualsiasi altro prodotto Sophos amministrato e gestito tramite Sophos Central

SPHS2022Dec

16 di 21

Mostra 4
CONDIZIONI AGGIUNTIVE PER I TRASFERIMENTI LIMITATIIl presente allegato include termini aggiuntivi applicabili ai trasferimenti limitati da parte o per
conto del cliente al fornitore, ai sensi dell'Addendum, nonché le informazioni necessarie percompletare le appendici (allegati i – III) alle SCC applicabili.
Accettando l'addendum, le parti accettano e quindi eseguono gli SCC in tutte le parti pertinenti,
fatte salve le disposizioni della sezione Error! Reference source not found.dell'addendum e itermini del presente allegato.
1.

I termini in maiuscolo utilizzati ma non definiti nel presente allegato o in altro modo
nell'Addendum avranno i significati ad essi attribuiti in base alle SCC e all'Addendum delRegno Unito, ove applicabile.

2.

Si applica il modulo 2 degli SCC, fatte salve le condizioni del presente allegato el'appendice agli SCC deve essere completata con riferimento all'allegato A del presente
regolamento.

3.

Ai fini degli SCC (modulo 2):

3.1.

Clausola 7: Non si applica la clausola facoltativa di docking station;

3.2.

Clausola 9, lettera a): Si applica l'opzione 2 (autorizzazione generale) e l'importatore dei
dati notifica per iscritto all'esportatore di dati almeno 30 giorni prima di qualsiasi
modifica prevista.

3.3.

Clausola 11: La lingua facoltativa non si applica.

3.4.

Ai fini della clausola 13, lettera a), l'autorità di vigilanza competente si applica comesegue:
3.4.1. Se l'esportatore di dati è stabilito in uno Stato membro dell'UE, l'autorità divigilanza sarà l'autorità di vigilanza competente per la giurisdizione in cui èstabilito l'esportatore di dati;
3.4.2. Se l'esportatore di dati è stabilito nel Regno Unito o il trasferimento limitato èsoggetto alle leggi e ai regolamenti sulla protezione dei dati del Regno Unito,
l'autorità di vigilanza competente è l'Ufficio del commissario per le informazionidel Regno Unito;
3.4.3. Se l'esportatore di dati è stabilito in Svizzera o il trasferimento limitato èsoggetto alle leggi e alle normative svizzere in materia di protezione dei dati, il
commissario federale svizzero per la protezione dei dati e l'informazione agisce
in qualità di autorità di controllo competente; e
3.4.4. Se l'esportatore di dati non è stabilito in uno Stato membro dell'UE, nel Regno
Unito o in Svizzera, Ma rientra nel campo di applicazione territoriale delregolamento (UE) 2016/679 ai sensi dell’articolo 3, paragrafo 2, l’autorità di

SPHS2022Dec

17 di 21

vigilanza sarà l’autorità di vigilanza competente per la giurisdizione in cui èstabilito il rappresentante dell’esportatore di dati, vale a dire il Commissario
irlandese per la protezione dei dati.
4.

Ai fini rispettivamente della clausola 17 e della clausola 18(b), le SCC sono disciplinate
dalle leggi della Repubblica d'Irlanda le controversie saranno risolte dinanzi ai tribunali
irlandesi, salvo che: (i) se l'esportatore di dati è stabilito in Svizzera o il trasferimento
limitato è soggetto alle leggi e alle normative sulla protezione dei dati della Svizzera, le
SCC sono disciplinate dalle leggi della Svizzera e le controversie saranno risolte dinanzi ai
tribunali della Svizzera; E (ii) se l'esportatore di dati è stabilito nel Regno Unito o il
trasferimento limitato è soggetto alle leggi e ai regolamenti sulla protezione dei dati delRegno Unito, le SCC sono disciplinate dalle leggi del Regno Unito e le controversie saranno
risolte dinanzi ai tribunali del Regno Unito.

5.

Condizioni aggiuntive per la Svizzera. Se l'esportatore di dati è stabilito in Svizzera o il
trasferimento limitato è soggetto alle leggi e ai regolamenti svizzeri in materia diprotezione dei dati: (i) nei CCS i riferimenti a “Unione europea”, “Unione” o “Stato
membro” indicano la Svizzera; (ii) i riferimenti al GDPR comprendono anche il riferimento
alle disposizioni equivalenti della legge federale sulla protezione dei dati (modificata osostituita); E (iii) le CSC si applicano anche al trasferimento di informazioni relative a unsoggetto giuridico identificato o identificabile nella misura in cui tali informazioni siano
protette come dati personali ai sensi delle leggi e dei regolamenti in materia di protezione
dei dati in vigore in Svizzera.

6.

Condizioni aggiuntive per il Regno Unito . Se l'esportatore di dati è stabilito nel Regno
Unito o il trasferimento limitato è soggetto alle leggi e ai regolamenti sulla protezione dei
dati del Regno Unito:

6.1.

I CCS devono essere letti conformemente alle disposizioni della parte 2 (clausole
obbligatorie) dell'Addendum del Regno Unito e sono considerati modificati da queste

6.2.

Ai fini della parte i, le tabelle 1 e la tabella 2 sono completate con riferimento agli allegati
A e B (ove applicabile) del presente allegato, la tabella 3 è completata con riferimento alle
informazioni contenute nel presente allegato, Ai fini della tabella 4, l'importatore dei datipuò porre fine all'addendum del Regno Unito, come indicato nella sezione 19
dell'addendum del Regno Unito.

SPHS2022Dec

18 di 21

Allegato A all'allegato 4
APPENDICE AGLI SCC (MODULO 2): TRASFERIMENTI LIMITATI DA CONTROLLER A PROCESSORE
ALLEGATO I
A. ELENCO DELLE PARTI
1. Esportatore/i di dati: [Identità e dati di contatto dell'esportatore o degli esportatori di dati e,
se del caso, del suo responsabile e/o rappresentante per la protezione dei dati nell'Unione
europea]
Nome

Come fornito al fornitore in base al contratto principale

Indirizzo

Come fornito al fornitore in base al contratto principale

Altre informazioni
necessarie per
identificarel'organizzazione

Come fornito al fornitore in base al contratto principale

Nome della persona di
contatto:

Come fornito al fornitore in base al contratto principale

Posizione:
Informazioni dicontatto:
Attività relative ai dati
trasferiti nell'ambito ditali SCC

Come indicato nella clausola 3 dell'Addendum di cui sopra

Ruolo

Centralina

Firma e data dell'esportatore di dati: Gli SCC (modulo 2), unitamente alla presente appendice e
ai relativi allegati, sono eseguiti come parte dell'addendum.

2. Importatore/i di dati: [Identità e dati di contatto dell'importatore o degli importatori di dati,
inclusa qualsiasi persona di contatto responsabile della protezione dei dati.]
Nome

Sophos Limited (per conto e per conto delle sue controllate UE esvizzere)

Indirizzo

The Pentagon, Abingdon Science Park, Abingdon, OX14 3YP, Regno
Unito

SPHS2022Dec

19 di 21

Altre informazioni
necessarie per
identificarel'organizzazione

Numero di registrazione 2096520

Nome della persona di
contatto:

Tutela della privacy
dataprotection@sophos.com

Posizione:
Informazioni dicontatto:
Attività relative ai dati
trasferiti nell'ambito ditali SCC

In conformità con l'accordo

Firma e data dell'importatore dati: Gli SCC (modulo 2), unitamente alla presente appendice e ai
relativi allegati, sono eseguiti come parte dell'addendum.

B. DESCRIZIONE DEL TRASFERIMENTO
1.1.

Categorie di soggetti i cui dati personali sono trasferiti.
Come esposto nell'allegato 1, parte A.

1.2 Categorie di dati personali trasferiti.
Come esposto nell'allegato 1, parte A.
Dati sensibili trasferiti (se applicabile) e applicate restrizioni o garanzie che tengano pienamente
conto della natura dei dati e dei rischi connessi, come ad esempio una rigorosa limitazione delloscopo, restrizioni di accesso (compreso l'accesso solo al personale che ha seguito una formazione
specializzata), tenendo un registro dell'accesso ai dati; restrizioni per i trasferimenti successivi oulteriori misure di sicurezza.
Nessuno.
La frequenza del trasferimento (ad esempio, se i dati vengono trasferiti su base singola ocontinua).
Continuo.
Natura del trattamento
Fornitura dei servizi acquistati da Sophos ai sensi e in conformità del Contratto.
Finalità del trasferimento e dell'ulteriore trattamento dei dati
SPHS2022Dec

20 di 21

Il fornitore elaborerà i dati personali del Titolare secondo necessità per eseguire i servizi
in conformità al Contratto e secondo quanto indicato da Sophos nell'utilizzo dei servizi.
Il periodo di conservazione dei dati personali o, se ciò non è possibile, i criteri utilizzati per
determinare tale periodo
Fatto salvo il disposto della Sezione 10 dell'Addendum, il fornitore elaborerà i dati
personali per la durata del Contratto, salvo diversamente concordato per iscritto.
Per i trasferimenti ai (sub) trasformatori, specificare anche l'oggetto, la natura e la durata deltrattamento
Il fornitore è autorizzato a utilizzare i sottoprocessori come notificato dal fornitore a
Sophos al momento dell'esecuzione del Contratto o dell'Addendum.

C. AUTORITÀ DI VIGILANZA COMPETENTE
Come indicato nella sezione 3.4 dell'allegato 4 dell'Addendum.

ALLEGATO II - MISURE TECNICHE E ORGANIZZATIVE, COMPRESE MISURE TECNICHE E
ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI
Come indicato nell'allegato 2 dell'Addendum.
ALLEGATO III – ELENCO DEI SOTTOPROCESSORI
Non applicabile [le parti hanno accettato l'opzione 2 (autorizzazione generale) per quantoriguarda la clausola 9 (a) delle SCC].

SPHS2022Dec

21 di 21