Source: https://www.magicline.com/it/adv/
Timestamp: 2020-08-09 16:36:24+00:00
Document Index: 108032510

Matched Legal Cases: ['art. 28', 'art. 28', '§ 1', '§ 2', '§ 3', '§ 4', 'art. 28', '§ 5', '§ 6', 'art. 44', '§ 8', '§ 7', '§ 10', '§ 8', '§ 9', 'art. 32', '§ 10', 'art. 33', 'art. 33', 'art. 34', '§ 11', '§ 12', '§ 28']

MAGICLINE | ADV
ADV second l'art. 28 GDPR Accordo sul trattamento dei dati personali per conto di
La palestra e Magicline hanno stipulato un contratto che dà diritto al centro di utilizzare il software di amministrazione Magicline sotto forma di servizio "Software as a Service" e di usufruire di altri servizi ("Contratto principale"). L'esecuzione dei servizi dovuti da Magicline sulla base del Contratto Principale richiede che Magicline tratti i dati personali della palestra. Il presente contratto stabilisce i diritti e gli obblighi di protezione dei dati applicabili ad entrambe le parti nell'ambito del cosiddetto trattamento dei dati commissionato ai sensi dell'art. 28 GDPR.
§ 1 Oggetto del contratto, tipo di dati, cerchia di persone interessate
1. Magicline fornisce i seguenti servizi alla palestra:
(i) Le seguenti informazioni forniscono una semplice panoramica di ciò che accade ai vostri dati personali quando visitate questo sito web. I dati personali sono tutti i dati con i quali si può essere personalmente identificati. Per informazioni dettagliate sul tema della protezione dei dati, si prega di fare riferimento alla nostra dichiarazione sulla protezione dei dati elencata sotto questo testo.
(ii) Trattamento dei dati forniti dalla palestra ai fini della realizzazione di analisi di mercato anonime
2. Magicline è obbligata a trattare tutti i dati personali a cui Magicline ha accesso nel corso dell'adempimento dei servizi dovuti ai sensi del presente contratto, rigorosamente separati spazialmente da tutti i dati di Magicline nonché dai dati di terzi secondo le specifiche del centro sportivo.
3. I dati dei seguenti gruppi di persone sono interessati dall'elaborazione dei dati dell'ordine:
(i) dipendenti della palestra e
(ii) Clienti della palestra (di seguito "Soci del centro"). Senza eccezioni, sono coinvolti i seguenti dati personali della suddetta cerchia di soggetti interessati &
(iii) Per quanto riguarda i dipendenti del centro:
Nome, indirizzo, IBAN, BIC del rispettivo dipendente
Data di nascita del rispettivo dipendente
Foto del rispettivo dipendente
Durata del contratto e termini di pagamento del rispettivo dipendente
passività in essere del rispettivo dipendente
Dati sul tipo e l'ambito di utilizzo dei servizi offerti dalla palestra da parte dei dipendenti (frequenza e durata dell'utilizzo)
(iv) Nei confronti dei soci del centro:
Nome, indirizzo, IBAN, BIC del rispettivo socio
Data di nascita del rispettivo socio
Foto del rispettivo socio
Durata del contratto e termini di pagamento del rispettivo socio
Passività aperte del rispettivo socio
Dati relativi al tipo e all'ambito di utilizzo dei servizi offerti dalla palestra da parte del socio (frequenza e durata dell'utilizzo)
4. Lo scopo del trattamento dei suddetti dati è, da un lato, quello di supportare la palestra nella gestione dei contratti stipulati con i soci (gestione dei soci). D'altra parte, lo scopo è quello di fornire alla palestra dati di mercato interni ed esterni per le sue analisi di mercato in forma anonima utilizzando i dati dei soci del centro sportivo. Lo scopo del trattamento dei dati dei dipendenti è quello di fornire alla palestra un supporto tecnico nell'amministrazione del personale.
§ 2 Autorità di emanare istruzioni
(1) Magicline tratta i dati esclusivamente in conformità alle disposizioni del contratto stipulato con la palestra e nell'ambito delle istruzioni impartite da essa. Magicline non utilizzerà i dati forniti per l'elaborazione dei dati in altro modo e non li conserverà per un periodo di tempo superiore a quello stabilito dalla palestra.
(2) Il cliente è l'unico responsabile del trattamento dei dati e della tutela dei diritti delle persone i cui dati sono trattati (gli interessati) ai sensi degli articoli da 12 a 22 della GDPR.
(3) Magicline supporta il cliente nell'adempimento degli obblighi nei confronti delle persone interessate.
(4) Il mandante impartisce di norma tutte le istruzioni per iscritto o per e-mail. Le istruzioni fornite oralmente devono essere confermate immediatamente per iscritto o via e-mail.
§ 3 Responsabile della protezione dei dati di Magicline, elenco delle attività di trattamento
(1) In Magicline viene nominato responsabile della protezione dei dati aziendali: Marc Althaus, DS Extern GmbH, Bredkamp 53a, 22589 Amburgo, https://www.dsextern.de/anfragen
(2) Il responsabile della protezione dei dati garantisce l'attuazione del GDPR dell'UE e delle altre disposizioni sulla protezione dei dati in relazione al rapporto contrattuale. A tal fine, il responsabile della protezione dei dati effettua controlli regolari. Viene redatto un verbale dei controlli. Se il responsabile della protezione dei dati scopre irregolarità nel trattamento dei dati nell'ambito delle sue mansioni, ne informa immediatamente la direzione di Magicline. Un cambiamento del responsabile della protezione dei dati sarà immediatamente comunicato alla palestra.
§ 4 Riservatezza
(1) Magicline non può trasmettere i dati personali forniti a terzi senza istruzioni scritte da parte della palestra.
(2) Magicline deve trattare con assoluta riservatezza tutti i registri, documenti e altri supporti di informazioni forniti nell'ambito dell'ordine. Questo vale anche per tutte le altre informazioni che diventano note a Magicline durante l'esecuzione dell'ordine. Tale obbligo vale durante e anche dopo la risoluzione del contratto.
(3) Magicline si impegna a mantenere la riservatezza ai sensi dell'art. 28 cpv. 3 lett. b) della GDPR nell'elaborazione dei dati personali del cliente conformemente all'ordine. L'appaltatore assicura che prima dell'inizio dei lavori il personale impiegato nell'esecuzione dei lavori familiarizzerà con le disposizioni in materia di protezione dei dati personali applicabili prima dell'inizio dei lavori e lo obbligherà a mantenere la riservatezza in modo adeguato per tutta la durata dei lavori e dopo la cessazione del rapporto di lavoro. L'appaltatore controlla il rispetto delle disposizioni della legge sulla protezione dei dati nella sua azienda.
§ 5 Correzione, blocco e cancellazione dei dati
Per quanto riguarda la correzione, il blocco e la cancellazione dei dati, Magicline agirà solo su istruzioni della palestra. Nella misura in cui una persona interessata dovesse contattare direttamente Magicline per correggere o cancellare i suoi dati, Magicline inoltrerà senza indugio la richiesta alla palestra.
§ 6 Rapporti di subappalto
(1) Al momento della conclusione del presente Contratto, le società elencate nell'Allegato 2 sono subappaltatori per servizi parziali per l'Appaltatore ed elaborano e/o utilizzano direttamente i dati dell'ordine in questo contesto. Per questi subappaltatori, il consenso ad agire si considera dato. I subappaltatori in paesi terzi possono essere incaricati solo se sono soddisfatti i requisiti particolari dell'art. 44 e segg. della GDPR (ad es. decisione della Commissione sull'adeguatezza, clausole standard di protezione dei dati, regole di comportamento approvate).
(2) Il mandatario informa il mandante di qualsiasi modifica prevista in merito all'utilizzo o alla sostituzione di subappaltatori diversi da quelli elencati nell'allegato 2, il che dà al mandante la possibilità di opporsi a tali modifiche. Lo stesso vale se il mandatario, per adempiere agli obblighi di adempimento assunti contrattualmente, si rivolge ad altri terzi. In questo caso, ogni nuovo subappaltatore deve essere notificato per iscritto al committente prima dell'invio dell'ordine, in modo che il committente possa opporsi all'ordine entro una settimana dal ricevimento della notifica.
(3) Se il Committente rifiuta di dare il suo consenso con la sua obiezione per motivi diversi da quelli importanti, il mandatario può disdire il contratto con il committente al momento del previsto utilizzo del subappaltatore senza che il committente abbia il diritto di chiedere al riguardo il risarcimento dei danni o altre pretese di pagamento nei confronti del mandatario.
(4) L’appaltatore deve selezionare coscienziosamente ogni subappaltatore con particolare riguardo alla sua idoneità ad adempiere alle misure tecniche e organizzative concordate tra il committente e l’appaltatore.
(5) Se il contraente è autorizzato, ai sensi del presente accordo, a ricorrere ai servizi di un subappaltatore per l'esecuzione di determinate attività di trattamento per adempiere agli obblighi di esecuzione nei confronti del committente, gli stessi obblighi previsti dal presente accordo tra il committente e il contraente sono imposti a tale subappaltatore mediante un contratto. Ciò vale in particolare per quanto riguarda i requisiti di riservatezza, protezione e sicurezza dei dati, nonché i diritti di controllo e di ispezione del cliente descritti nel presente accordo. Inoltre, devono essere fornite sufficienti garanzie che le misure tecniche e organizzative adeguate vengano eseguite in modo tale che il trattamento avvenga secondo i requisiti del GDPR.
(6) Il Committente ha il diritto di ottenere dall’appaltatore, su richiesta scritta, informazioni sugli obblighi del subappaltatore in materia di protezione dei dati, se necessario anche attraverso la consultazione dei relativi documenti contrattuali. Alle condizioni regolate al § 8 del presente contratto, devono essere possibili ispezioni in loco del committente presso il subappaltatore.
(7) Non sussiste un rapporto di subappalto che richieda l'approvazione se l'appaltatore commissiona a terzi come servizio accessorio al servizio principale, come il personale, i servizi postali e di spedizione. L’appaltatore è tuttavia tenuto a stipulare accordi contrattuali adeguati e conformi alla legge e ad adottare misure di controllo per garantire la protezione e la sicurezza dei dati del committente, anche nel caso di prestazioni accessorie appaltate a terzi. Le prestazioni di servizio relative al sistema devono essere specificate in dettaglio in anticipo.
§ 7 Obbligo di Magicline di informare
(1) Se Magicline ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, Magicline ne informa immediatamente lo studio.
(2) Gli obblighi del contraente in caso di perturbazioni, sospetto di violazioni della protezione dei dati o altre irregolarità nell'elaborazione derivano dal § 10 del presente contratto.
§ 8 Controllo da parte della palestra e obblighi di collaborazione e tolleranza
(1) Il cliente ha il diritto di esigere che una persona responsabile della segretezza rappresentanti autorizzati, prima dell'inizio del servizio e di verificare regolarmente durante la durata del servizio ad intervalli adeguati che le misure tecniche e organizzative per la protezione dei dati e l'elaborazione dei dati di Magicline e dei suoi subappaltatori siano rispettate.
(2) Al posto di un'ispezione in loco, Magicline può anche fornire la prova della conformità alle misure tecniche e organizzative presentando un adeguato rapporto di ispezione attuale da parte di persone indipendenti (ad es. revisori dei conti, responsabili della protezione dei dati o controllori della qualità) o un'adeguata certificazione da parte di un audit sulla sicurezza informatica o sulla protezione dei dati - ad es. secondo BSI-Grundschutz - ("rapporto di ispezione"). Il rapporto di revisione deve consentire alla palestra di accertare in modo adeguato il rispetto delle misure tecniche e organizzative.
§ 9 Determinazione delle misure tecniche e organizzative
(1) Il contraente adotta misure tecniche e organizzative adeguate per garantire un livello di protezione commisurato al rischio per i diritti e le libertà delle persone interessate. A tal fine si tiene conto dello stato della tecnica, dei costi di esecuzione, della natura, dell'entità e degli scopi dell'elaborazione, nonché della diversa probabilità che si verifichi e della gravità del rischio ai sensi dell'art. 32 cpv. 1 GDPR. Le misure tecniche e organizzative concrete adottate dal contraente sono elencate nell'Allegato 1.
(2) Poiché le misure tecniche e organizzative sono soggette al progresso tecnico e allo sviluppo tecnologico, il contraente può applicare altre misure equivalenti, a condizione che il livello di sicurezza delle misure specificate nell'allegato 1 non sia inferiore. Le modifiche significative alle misure devono essere documentate dall'appaltatore e messe a disposizione del cliente su richiesta.
§ 10 Obblighi di notifica e di assistenza da parte del contraente in caso di incidenti legati alla sicurezza dei dati
(1) L’appaltatore è tenuto a informare immediatamente la committente qualora egli stesso o un suo dipendente abbia violato le norme per la protezione dei dati personali, le specifiche del presente contratto o un'istruzione impartita dalla persona responsabile, qualora vi siano indizi che un terzo - per qualsiasi motivo - possa essere venuto a conoscenza di dati contrattuali in modo illecito, o qualora si sia verificata in altro modo una minaccia all'integrità o alla riservatezza dei dati contrattuali ("incidente di sicurezza dei dati").
(2) Le informazioni relative all'incidente di sicurezza dei dati contengono informazioni dettagliate sul momento e sulla natura dell'incidente (comprese le informazioni su quali dati dell'ordine sono interessati in quale forma), sul sistema informatico interessato, sulle persone interessate, sul momento della scoperta, sulle possibili conseguenze negative dell'incidente di sicurezza dei dati, nonché sulle misure adottate dal Contraente e su tutte le altre informazioni di cui all'art. 33 cpv. 3 GDPR. Inoltre, il contraente deve indicare espressamente se una violazione della protezione dei dati personali può comportare un rischio per i diritti e le libertà delle persone fisiche ai sensi dell'art. 33 cpv. 1 lett. 1 GDPR e se il rischio può essere elevato ai sensi dell'art. 34 cpv. 1 GDPR.
(3) Una prima informazione del cliente deve essere fornita immediatamente, un'informazione dedicata, che deve contenere tutte le informazioni di cui al precedente paragrafo (2), se possibile, entro 24 ore dal momento in cui l'incidente di sicurezza dei dati è venuto a conoscenza del cliente.
(4) Dopo essere venuto a conoscenza di un incidente relativo alla sicurezza dei dati, il contraente deve immediatamente adottare tutte le misure ragionevoli per ridurre al minimo ed eliminare le conseguenti minacce all'integrità o alla riservatezza dei dati dell'ordine, per proteggere i dati dell'ordine e per prevenire o limitare il più possibile le conseguenze negative per le persone interessate.
(5) In caso di incidenti relativi alla sicurezza dei dati, l’appaltatore è tenuto a sostenere il committente nei suoi sforzi per chiarire e porre rimedio alla situazione, comprese tutte le azioni per adempiere agli obblighi di legge, a prima richiesta, entro i limiti del ragionevole.
(6) L’appaltatore è tenuto ad effettuare un'analisi delle cause immediatamente dopo essere venuto a conoscenza di un incidente di sicurezza dei dati, a documentare tali cause e a consegnare la documentazione al committente su richiesta. Se nel corso dell'analisi l'appaltatore stabilisce che le misure tecniche e organizzative finora adottate per la protezione dei dati dell'ordine non sono sufficienti a stabilire un livello di protezione adeguato, è tenuto ad attuare a proprie spese le misure tecniche e organizzative supplementari necessarie.
§ 11 Durata del presente contratto
(1) Il presente contratto inizia con la firma e si conclude per la durata dell'accordo principale (limitazione risolutiva).
(2) I diritti di recesso delle parti senza preavviso rimangono inalterati. La palestra ha il diritto di rescindere il presente contratto senza preavviso qualora si verifichi una grave violazione da parte di Magicline delle norme applicabili in materia di protezione dei dati o degli obblighi derivanti dal presente contratto, qualora Magicline non possa o non voglia eseguire un'istruzione della palestra o rifiuti l'esercizio dei diritti di controllo da parte di questa in violazione del contratto.
(3) Ciascuna parte ha il diritto di risolvere il presente contratto con un periodo di preavviso di due settimane alla fine di un mese di calendario se l'esecuzione del contratto principale e/o l'esecuzione del presente contratto viene contestata da un'autorità di controllo responsabile (in particolare l'autorità responsabile della protezione dei dati) e un periodo fissato da tale autorità per l'eliminazione delle carenze rilevate scade infruttuosamente o almeno una delle parti è vietata dall'autorità responsabile dall'ulteriore esecuzione del contratto di partenariato e/o del presente contratto.
(4) L'eventuale risoluzione deve avvenire per iscritto.
§ 12 Norme per la rettifica, la cancellazione e il blocco dei dati
(1) Magicline deve correggere, cancellare o bloccare i dati personali dal rapporto contrattuale se il cliente lo richiede per mezzo di un'istruzione e se gli interessi giustificati del mandatario non sono in contrasto con questo.
(2) Alla risoluzione del presente contratto o prima su richiesta del cliente, Magicline deve consegnare al cliente tutti i documenti e i dati relativi al rapporto contrattuale o distruggerli in conformità con le norme sulla protezione dei dati, previo consenso.
(3) La documentazione che serve a Magicline come prova dell'ordinato e corretto trattamento dei dati può essere conservata da Magicline oltre la fine del contratto in conformità con i rispettivi periodi di conservazione.
(1) Non sono stati stipulati contratti per via orale. Le modifiche e le integrazioni al presente contratto richiedono la forma regolata al § 28 paragrafo 9 GDPR. Ciò vale anche per qualsiasi modifica del requisito della forma scritta stessa.
(2) Qualora una disposizione del contratto sia o diventi invalida, le parti si impegnano a sostituire la disposizione invalida con una disposizione valida che si avvicini il più possibile all'intenzione economica delle parti. Lo stesso vale in caso di lacune nel regolamento.
(3) Foro competente esclusivo per tutte le controversie derivanti da e in relazione al presente contratto è Amburgo. Le parti concordano sull'applicabilità del diritto tedesco.