Accordo sul trattamento dei dati

1. Introduzione

1.1 Il presente Accordo sul trattamento dei dati ("DPA") disciplina il trattamento dei dati personali da parte di Scholé Sàrl, EPFL IC IINFCOM ML4ED — INF 231 (Bâtiment INF) — Station 14, 1015 Losanna, Svizzera ("Fornitore") per conto di qualsiasi organizzazione o individuo che utilizza la piattaforma Scholé e i servizi correlati ("Cliente"). Il presente DPA è parte integrante dell'accordo tra il Cliente e il Fornitore e riflette l'impegno delle parti riguardo al trattamento e alla sicurezza dei Dati Personali del Cliente.

1.2 I termini "interessato", "trattamento", "titolare del trattamento" (rispettivamente "detentore della collezione di dati") e "responsabile del trattamento" utilizzati nel presente DPA hanno il significato specificato dalla Legislazione svizzera sulla protezione dei dati o dal GDPR, a seconda del rispettivo ambito di applicazione. I termini in maiuscolo sono definiti nella Sezione 12.

2. Legislazioni sulla protezione dei dati

2.1 Le seguenti legislazioni sulla protezione dei dati possono, a seconda delle circostanze, applicarsi al trattamento dei Dati Personali del Cliente:

• La Legislazione svizzera sulla protezione dei dati
• Il Regolamento generale sulla protezione dei dati dell'UE (GDPR)
• Altre Legislazioni applicabili sulla protezione dei dati

2.2 Salvo diversa indicazione, le disposizioni del presente DPA si applicano indipendentemente dalla legislazione applicabile al trattamento dei Dati Personali del Cliente.

3. Trattamento dei dati

3.1 Ruoli e conformità

3.1.1 Se la Legislazione svizzera sulla protezione dei dati o il GDPR si applicano: (a) il Cliente è titolare del trattamento, o responsabile del trattamento per conto terzi, dei Dati Personali del Cliente; (b) il Fornitore è responsabile del trattamento dei Dati Personali del Cliente, salvo quando tratta i dati per conformarsi a obblighi di legge o per le proprie operazioni interne connesse alla fornitura dei servizi (nel qual caso agisce come titolare indipendente); e (c) ciascuna parte rispetta i propri obblighi ai sensi della legislazione applicabile.

3.1.2 Se il Cliente è responsabile del trattamento per conto terzi, il Cliente garantisce di aver ottenuto l'autorizzazione espressa preventiva del titolare del trattamento competente riguardo alle istruzioni del Cliente e alla designazione del Fornitore come altro responsabile del trattamento.

3.2 Ambito del trattamento

3.2.1 Il Fornitore tratta i Dati Personali del Cliente in conformità al presente DPA. In qualità di responsabile del trattamento, il Fornitore si impegna a trattare i Dati Personali del Cliente solo su istruzioni documentate del Cliente, salvo che una legislazione applicabile al Fornitore richieda un diverso trattamento, nel qual caso il Fornitore informa il Cliente di tale requisito legale prima del trattamento.

3.2.2 Accettando il presente DPA, il Cliente incarica il Fornitore di trattare i Dati Personali del Cliente esclusivamente per fornire e migliorare i Servizi, come documentato nel presente DPA e nell'Accordo applicabile. Eventuali istruzioni aggiuntive o alternative devono essere concordate per iscritto.

3.3 Obblighi del Cliente

Il Cliente è responsabile della qualità, liceità e pertinenza dei Dati del Cliente trattati nel contesto dei Servizi e risponde nei confronti dei terzi interessati dal trattamento. In particolare, il Cliente deve:

• Fornire agli interessati informazioni sufficienti sulla raccolta e il trattamento dei loro dati personali
• Ottenere il consenso valido degli interessati ove richiesto dalla Legislazione applicabile sulla protezione dei dati
• Garantire il rispetto di tutti i diritti degli interessati (es. diritto di accesso e rettifica, diritto di opposizione) e degli obblighi verso le autorità competenti per la protezione dei dati
• Delegare al Fornitore solo operazioni di trattamento che il Cliente sarebbe autorizzato a svolgere direttamente

3.4 Responsabilità

Il Cliente assume la piena responsabilità del trattamento dei Dati Personali del Cliente nell'ambito dei Servizi. Il Cliente riconosce e accetta che il Fornitore considererà qualsiasi trattamento dei Dati Personali del Cliente nell'ambito dei Servizi, come consentito dall'Accordo, conforme a tutte le leggi applicabili.

4. Cancellazione dei dati

Al termine del rapporto, il Cliente può richiedere che il Fornitore trasferisca tutti i Dati Personali del Cliente (comprese le copie esistenti) al Cliente o a un terzo designato dal Cliente. Il Fornitore si conformerà il prima possibile, salvo che debba conservare in tutto o in parte i dati per ragioni tecniche o legali, nel qual caso li conserverà e tratterà solo per tali finalità e sarà in grado di dimostrare di aver adottato adeguate misure tecniche e organizzative.

5. Sicurezza dei dati

5.1 Misure di sicurezza

5.1.1 Il Fornitore implementa e mantiene misure tecniche e organizzative appropriate per proteggere i Dati Personali del Cliente contro gli Incidenti di sicurezza. I dati dei clienti sono:

• Archiviati in Svizzera sull'infrastruttura Microsoft Azure
• Crittografati a riposo e in transito
• Logicamente separati dai dati degli altri clienti
• Protetti secondo le migliori pratiche di sicurezza del settore

5.1.2 Il Fornitore adotta misure appropriate per garantire il rispetto delle misure di sicurezza da parte dei propri dipendenti e subappaltatori, in particolare assicurando che tutte le persone autorizzate a trattare i Dati Personali del Cliente siano contrattualmente vincolate alla riservatezza o soggette a un'adeguata obbligazione legale di riservatezza.

5.2 Incidenti di sicurezza

5.2.1 Se il Fornitore viene a conoscenza di un Incidente di sicurezza, informa il Cliente il prima possibile con ogni mezzo utile, descrivendo la natura dell'incidente, le misure adottate per mitigare i rischi potenziali e le misure raccomandate per il Cliente.

5.2.2 Il Fornitore non esaminerà il contenuto dei Dati del Cliente per identificare il tipo di dati coinvolti. Il Cliente è l'unico responsabile del rispetto degli obblighi di notifica applicabili verso le autorità competenti e/o gli interessati. Il Fornitore fornirà al Cliente un'assistenza ragionevole a tale riguardo.

5.3 Audit

5.3.1 Quando il GDPR si applica, il Fornitore mette a disposizione del Cliente tutti i documenti e le informazioni ragionevolmente necessari per dimostrare la conformità ai propri obblighi ai sensi del presente DPA.

5.3.2 Quando il GDPR si applica, il Fornitore consente al Cliente o a un revisore indipendente nominato dal Cliente di effettuare audit (comprese ispezioni) per verificare la conformità. Salvo circostanze eccezionali, il Cliente non può presentare più di una richiesta all'anno. Le richieste di audit devono essere comunicate per iscritto, specificando i dati interessati, le ragioni, gli obblighi specifici da verificare e l'impegno che le informazioni raccolte saranno utilizzate solo per verificare la conformità.

6. Assistenza del Fornitore

6.1 Il Fornitore fornisce, su richiesta del Cliente, l'assistenza ragionevolmente necessaria affinché il Cliente possa adempiere ai propri obblighi ai sensi della Legislazione svizzera sulla protezione dei dati o del GDPR.

6.2 Se il Fornitore riceve una richiesta da un interessato relativa ai Dati Personali del Cliente, indirizza l'interessato a presentare la richiesta al Cliente. È responsabilità esclusiva del Cliente rispondere a tali richieste.

6.3 Il Fornitore assiste il Cliente nel rispetto dei propri obblighi verso gli interessati, nella misura ragionevole e compatibile con la funzionalità dei Servizi, coprendo tutti i diritti previsti dalla Legislazione applicabile (accesso, rettifica, limitazione, opposizione, cancellazione e portabilità).

6.4 Quando il GDPR si applica, il Fornitore si impegna ad assistere il Cliente nel garantire la conformità ai propri obblighi in materia di valutazione d'impatto e consultazione preventiva ai sensi degli articoli 35 e 36 del GDPR o della Legislazione svizzera sulla protezione dei dati, nella misura in cui ciò possa ragionevolmente essere atteso.

7. Trasferimenti internazionali di dati

7.1 Salvo diversa disposizione, il Fornitore conserva e tratta i Dati Personali del Cliente in Svizzera e nell'Unione Europea, o in un paese riconosciuto dalla Commissione Europea e dalla Svizzera come garante di un livello adeguato di protezione dei dati personali.

7.2 Il Fornitore informa il Cliente prima di qualsiasi trasferimento verso un paese non menzionato sopra e il Cliente si impegna ad autorizzare tale trasferimento a condizione che il Fornitore possa garantire un livello di protezione adeguato con ogni mezzo utile.

7.3 Quando il Fornitore incarica un sub-responsabile in un paese terzo non riconosciuto come garante di un livello adeguato di protezione, il Fornitore può utilizzare le Clausole contrattuali tipo della Commissione Europea, o un altro meccanismo legale, per conformarsi al GDPR o alla Legislazione svizzera sulla protezione dei dati.

8. Sub-trattamento

8.1 Il Cliente autorizza il Fornitore a ricorrere a sub-responsabili del trattamento, che possono essere entità affiliate o terzi. Il Fornitore informa il Cliente in anticipo e per iscritto di qualsiasi modifica prevista riguardo all'aggiunta o alla sostituzione di sub-responsabili, al fine di consentire al Cliente di sollevare obiezioni.

8.2 Il Fornitore garantisce che: (a) i sub-responsabili accedano ai Dati Personali del Cliente e li trattino solo nella misura necessaria all'adempimento dei propri obblighi; (b) i sub-responsabili abbiano obblighi contrattuali almeno equivalenti a quelli del presente DPA; e (c) quando il GDPR si applica, gli obblighi previsti dall'art. 28(3) del GDPR siano stati imposti al sub-responsabile.

8.3 Il Cliente dispone di 30 giorni dalla notifica di un'aggiunta o sostituzione prevista per presentare obiezioni. Se il Fornitore conferma la nomina, il Cliente può risolvere l'Accordo applicabile con effetto immediato mediante comunicazione scritta entro 14 giorni. La mancata reazione entro tali termini costituisce accettazione.

L'elenco aggiornato dei sub-responsabili, con paese, regione di trattamento, finalità e base del trasferimento per ciascuno, è pubblicato all'indirizzo app.schole.ai/sub-processors.

9. Registro delle attività di trattamento

Il Cliente riconosce che il Fornitore può essere tenuto a raccogliere e conservare determinate informazioni (inclusi nome e recapiti di ciascun responsabile del trattamento e/o titolare del trattamento, e le categorie di trattamento effettuate) e a mettere tali informazioni a disposizione di qualsiasi autorità competente. Il Cliente si impegna a fornire al Fornitore tutte le informazioni ragionevolmente necessarie per adempiere a tali obblighi.

10. Contatto per questioni di protezione dei dati

Se il GDPR richiede che il Cliente nomini un responsabile della protezione dei dati, il Cliente deve fornire i recapiti di tale persona al Fornitore.

Tutte le comunicazioni al Fornitore relative al presente DPA e/o alla protezione dei dati devono essere indirizzate a: Team Protezione dei dati, privacy@schole.ai

11. Disposizioni varie

11.1 I termini di qualsiasi Accordo applicabile si applicano a tutti gli aspetti non coperti dal presente DPA.

11.2 In caso di conflitto tra il presente DPA e i termini di un Accordo applicabile, i termini del presente DPA prevalgono, fatte salve le deroghe espressamente previste nell'Accordo.

11.3 Il presente DPA è efficace fintanto che il Cliente utilizza i Servizi. Rimane in vigore fino alla scadenza o alla risoluzione dell'Accordo applicabile, compreso qualsiasi periodo durante il quale il Fornitore continua a conservare i Dati Personali del Cliente. Ciascuna parte può risolvere il presente DPA con preavviso scritto di 6 mesi.

11.4 Se una disposizione del presente DPA è ritenuta invalida o inapplicabile, le parti la sostituiranno con una disposizione sostitutiva che raggiunga gli stessi scopi giuridici ed economici. Le restanti disposizioni del presente DPA rimarranno pienamente in vigore.

11.5 Il presente DPA è disciplinato dal diritto svizzero (senza riferimento alle norme sul conflitto di leggi). Qualsiasi controversia sarà sottoposta alla giurisdizione esclusiva dei tribunali della sede del Fornitore, fatto salvo il diritto di ricorso al Tribunale federale svizzero.

12. Definizioni

• "Accordo" indica qualsiasi accordo tra il Cliente e il Fornitore riguardante la fornitura dei Servizi, incluse le Condizioni generali di servizio.
• "Legislazione applicabile sulla protezione dei dati" indica la Legislazione svizzera sulla protezione dei dati, il GDPR e qualsiasi altra Legislazione applicabile.
• "Dati del Cliente" indica i dati trasmessi dal Cliente al Fornitore, raccolti dal Fornitore per conto del Cliente, o generati dal Fornitore in relazione ai Servizi.
• "Dati Personali del Cliente" indica qualsiasi informazione relativa a una persona fisica identificata o identificabile contenuta nei Dati del Cliente, in conformità alla Legislazione applicabile.
• "GDPR" indica il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati.
• "Incidente di sicurezza" indica una violazione della sicurezza che comporta la distruzione, la perdita, l'alterazione, la divulgazione non autorizzata o l'accesso accidentale o illecito ai Dati Personali del Cliente.
• "Servizi" indica tutti i servizi forniti dal Fornitore al Cliente, inclusa la piattaforma Scholé e i servizi correlati.
• "Legislazione svizzera sulla protezione dei dati" indica la Legge federale sulla protezione dei dati e le relative ordinanze di attuazione, come modificate di volta in volta.