Addendum sul trattamento dei dati

Questa traduzione conserva invariati numerazione e struttura della versione inglese 0.1. Nella versione inglese non rimane alcuna variabile di redazione e, di conseguenza, nemmeno in questa traduzione.

Nota terminologica. In questo documento «titolare del trattamento» indica il controller, «responsabile del trattamento» indica il processor e «sub-responsabile del trattamento» indica il subprocessor. I termini non devono essere invertiti.

Addendum sul trattamento dei dati

Il presente Addendum sul trattamento dei dati («Addendum») costituisce parte del contratto tra Virtik USA, Inc. («Virtik») e l'entità cliente indicata in tale contratto («Cliente») per l'utilizzo da parte del Cliente della piattaforma Virtik (il «Contratto»).

1. Definizioni

1.1 «Normativa applicabile in materia di protezione dei dati» indica tutte le leggi relative al trattamento di Dati personali applicabili all'adempimento di una parte, compreso il Regolamento generale sulla protezione dei dati dell'UE 2016/679 («GDPR»), il GDPR del Regno Unito e il Data Protection Act 2018, la legge federale svizzera sulla protezione dei dati, e le leggi statali statunitensi sulla privacy, compreso il California Consumer Privacy Act come modificato dal California Privacy Rights Act («CCPA»).

1.2 «Dati personali» indica qualsiasi informazione relativa a una persona fisica identificata o identificabile che sia trattata in forza del Contratto. Ove si applichi il CCPA, il termine comprende le «personal information» come ivi definite.

1.3 «Dati personali del Cliente» indica i Dati personali contenuti nei Dati del Cliente come definiti nel Contratto, trattati da Virtik per conto del Cliente.

1.4 «Titolare del trattamento», «Responsabile del trattamento», «Interessato», «Trattamento» e «Autorità di controllo» hanno il significato attribuito loro dal GDPR. «Business», «Service Provider», «Contractor», «Sell» e «Share» hanno il significato attribuito loro dal CCPA.

1.5 «Sub-responsabile del trattamento» indica un terzo di cui Virtik si avvale per trattare Dati personali del Cliente.

1.6 «Violazione della sicurezza» ha il significato attribuito all'articolo 1.17 delle Condizioni, applicato ai Dati personali del Cliente. Che Virtik sia o meno in colpa non rientra nella definizione.

1.7 «Clausole contrattuali tipo» o «CCT» indica le clausole allegate alla decisione 2021/914 della Commissione europea.

1.8 «Addendum del Regno Unito» indica l'International Data Transfer Addendum alle CCT emanato dall'Information Commissioner del Regno Unito.

1.9 «Dati sensibili» indica le categorie particolari di dati personali di cui all'articolo 9 del GDPR, i dati relativi a condanne penali di cui all'articolo 10, e le «sensitive personal information» ai sensi del CCPA.

1.10 I termini con iniziale maiuscola che il presente Addendum utilizza ma non definisce, compresi Condizioni (le Condizioni di servizio e il Contratto di abbonamento SaaS online, LEG-001), Amministratore, Ordine, Order Form, Contratto quadro di servizi, Limite generale, Limite maggiorato e Ordine del Fornitore, hanno i significati indicati nel Contratto e, ove il Contratto non li definisca, nelle Condizioni.

2. Ambito di applicazione e incorporazione

2.1 Il presente Addendum si applica al Trattamento da parte di Virtik di Dati personali del Cliente per conto di quest'ultimo.

2.2 Il presente Addendum è incorporato nel Contratto e ne costituisce parte integrante. Ove il Cliente contragga online, il presente Addendum si applica senza sottoscrizione separata. Ove il Cliente richieda un esemplare sottoscritto, Virtik lo fornirà su richiesta.

2.3 Se il Cliente ha stipulato un accordo negoziato sul trattamento dei dati, sottoscritto da entrambe le parti, che sostituisce il presente, prevale tale accordo.

3. Ruoli delle parti

3.1 Si applicano tre ruoli distinti, e confonderli è l'errore più frequente negli accordi di questo tipo. Ciascuno è indicato separatamente qui di seguito.

3.2 Dati operativi sotto il controllo del Cliente — Virtik è Responsabile del trattamento / Fornitore di servizi. Per i dati di telecamere e video, l'audio ove il Cliente lo attivi, le immagini fisse, i rilevamenti e i relativi metadati, gli avvisi, i modelli spaziali e i Siti virtuali, i registri di personale e di ronda, la geolocalizzazione, i registri degli incidenti e il contenuto delle comunicazioni all'interno dell'ambiente del Cliente:

(a) il Cliente è il Titolare del trattamento e l'impresa (Business). Il Cliente decide quali telecamere esistano, i loro campi visivi, se l'audio sia acquisito, chi sia sorvegliato e quando, quali avvisi si attivino, chi possa vedere che cosa, e la conservazione.

(b) Virtik è il Responsabile del trattamento e il Fornitore di servizi, e opera unicamente secondo le istruzioni documentate del Cliente.

(c) Spetta al Cliente individuare una base giuridica, fornire le informative richieste, ottenere i consensi richiesti e completare ogni valutazione o consultazione richiesta dalla Normativa applicabile in materia di protezione dei dati. Virtik non determina le finalità di tale Trattamento e non valuta la liceità della configurazione del Cliente.

3.3 Dati di account, fatturazione, sicurezza e operatività aziendale — Virtik è Titolare del trattamento autonomo. Per i registri di account del Cliente, i dati di account degli utenti autorizzati, i registri di fatturazione e fiscali, la corrispondenza di assistenza (diversa dagli allegati e dagli altri contenuti che contengono Dati del Cliente, che Virtik Tratta come Responsabile del trattamento ai sensi dell'articolo 3.2) e la telemetria di sicurezza e i registri di audit propri di Virtik, Virtik agisce in qualità di Titolare del trattamento autonomo ai fini di fornire, proteggere, fatturare e assistere il servizio e di adempiere ai propri obblighi di legge. Tale Trattamento è disciplinato dall'Informativa sulla privacy di Virtik (LEG-002) e non dagli obblighi di Responsabile del trattamento previsti dal presente Addendum.

3.4 La telemetria di sicurezza di Virtik è generata per finalità di sicurezza proprie di Virtik e non costituisce Trattamento su istruzione del Cliente, anche quando riguardi attività all'interno dell'ambiente del Cliente.

3.5 Implementazioni di Security Provider. Ove il Cliente sia un Security Provider approvato che utilizza il Servizio per i propri clienti, il Cliente può essere esso stesso un Responsabile del trattamento per il proprio cliente. Virtik è allora Sub-responsabile del trattamento del Cliente, il Cliente resta responsabile nei confronti di Virtik della trasmissione delle istruzioni del proprio cliente a condizioni coerenti con il presente Addendum, e si applica il Modulo Tre ove si applichino le CCT, come stabilisce l'articolo 16.2. L'attivazione commerciale come Security Provider richiede l'approvazione scritta di Virtik e un Provider Order sottoscritto da Virtik (articolo 5.8 delle Condizioni). Il presente articolo si applica a un Cliente soltanto in forza di un Provider Order così sottoscritto, e nulla nel presente Addendum dichiara che esista un modello di Provider Order o un'attivazione automatizzata.

3.6 CCPA. Con riferimento al Trattamento di cui all'articolo 3.2, Virtik è un Service Provider. Virtik non: (a) venderà (Sell) né condividerà (Share) Dati personali del Cliente; (b) li conserverà, utilizzerà o divulgherà se non per eseguire i servizi, o come altrimenti consentito dal CCPA; (c) li conserverà, utilizzerà o divulgherà al di fuori del rapporto commerciale diretto; né (d) li combinerà con informazioni personali ricevute da altra fonte, salvo nei limiti consentiti dal CCPA. Virtik certifica di comprendere tali restrizioni e di volerle rispettare.

3.7 Nessuna delle parti è contitolare del trattamento con l'altra, e nulla nel Contratto crea contitolarità.

4. Istruzioni del Cliente

4.1 Virtik Tratterà i Dati personali del Cliente unicamente: (a) come previsto dal Contratto, dal presente Addendum e dall'Allegato 3; (b) secondo ulteriori istruzioni scritte del Cliente, ove compatibili con il Contratto; e (c) come richiesto dalla legge.

4.2 L'utilizzo e la configurazione della piattaforma da parte del Cliente costituiscono le sue istruzioni. Le istruzioni aggiuntive che eccedano le funzionalità della piattaforma sono soggette ad accordo, anche quanto ai costi.

4.3 Virtik informerà il Cliente se, a suo avviso, un'istruzione viola la Normativa applicabile in materia di protezione dei dati, e potrà sospendere l'esecuzione di tale istruzione fino a quando non sia modificata o confermata. Ciò non costituisce un parere legale e non trasferisce a Virtik l'obbligo del Titolare del trattamento di valutare la liceità.

4.4 Il Cliente garantisce che le proprie istruzioni rispettano la Normativa applicabile in materia di protezione dei dati e di disporre di tutti i diritti, delle informative e delle basi giuridiche necessari.

4.5 Dati sensibili. Il Cliente non deve istruire Virtik a Trattare Dati sensibili salvo che abbia confermato una base giuridica e soddisfatto ogni ulteriore condizione applicabile. Il Trattamento biometrico è inoltre limitato dal Contratto e dalle Condizioni sull'uso dell'IA e sulla supervisione umana (LEG-007). Virtik non abilita l'identificazione, la verifica o il riconoscimento facciale biometrici per impostazione predefinita né mediante acquisto di un Piano, e non dichiara che il Servizio effettui identificazione biometrica.

5. Riservatezza e personale

5.1 Virtik tratterà i Dati personali del Cliente come Informazioni riservate del Cliente.

5.2 Virtik assicurerà che il personale con accesso sia soggetto a un obbligo di riservatezza che sopravvive alla cessazione del rapporto.

5.3 Nel presente Addendum Virtik non rilascia alcuna dichiarazione in merito alle modalità con cui l'accesso ai sistemi di produzione è concesso, riesaminato o registrato, e non indica di conservare registrazioni degli accessi. Le sole registrazioni di audit che Virtik indica sono quelle che l'articolo 6.2 e l'Allegato 6 descrivono (Addendum sulla sicurezza, sezioni 2.1 e 3.1).

5.4 Nel presente Addendum Virtik non rilascia alcuna dichiarazione in merito alla verifica dei precedenti del personale.

5.5 Nel presente Addendum Virtik non rilascia alcuna dichiarazione in merito alla periodicità della formazione del personale.

6. Obblighi di sicurezza

6.1 Virtik attuerà le misure tecniche e organizzative che l'Allegato 6 e l'Addendum sulla sicurezza (LEG-015) indicano, per proteggere i Dati personali del Cliente, tenuto conto dello stato dell'arte, dei costi di attuazione e della natura, dell'ambito, del contesto e delle finalità del Trattamento. Salvo quanto previsto dal periodo successivo, una misura che tali documenti non indicano non è dichiarata, e gli aspetti che l'Addendum sulla sicurezza elenca come non dichiarati limitano il presente articolo. Ove il GDPR, il GDPR del Regno Unito o la legge svizzera sulla protezione dei dati si applichino al Trattamento, Virtik adotterà inoltre le misure che l'articolo 32 del GDPR (o la disposizione equivalente di tale legge) richiede a un Responsabile del trattamento, e né l'Allegato 6 né l'Addendum sulla sicurezza limitano tale obbligo o dichiarano che ciascuna di tali misure sia in atto.

6.2 Le misure che l'attuazione e la configurazione del Servizio assicurano comprendono l'isolamento multi-tenant, il controllo degli accessi basato sui ruoli, HTTPS e HTTP Strict Transport Security configurati per le proprie applicazioni web, l'autenticazione a più fattori che Virtik rende disponibile agli utenti del Servizio, registri di audit di determinati eventi amministrativi e di sicurezza (i ruoli di database del Servizio rivolti al client non possono leggere, modificare né eliminare la tabella di audit principale, e Virtik non dichiara che i registri di audit siano completi, a prova di manomissione o immodificabili rispetto all'accesso privilegiato di Virtik) e privilegi di database a privilegio minimo per i ruoli rivolti al client. Esse non rappresentano lo stato di distribuzione di alcun ambiente particolare.

6.3 Il presente Addendum non indica uno standard crittografico, una prassi di gestione delle chiavi, una regione di hosting, né una frequenza di backup, un obiettivo di conservazione o di ripristino, e Virtik non rilascia alcuna dichiarazione in merito né in merito al se, con quale frequenza e per quanto tempo i backup siano conservati. I dati cancellati possono persistere in qualsiasi backup fino alla loro scadenza. Il presente articolo 6.3 non limita l'obbligo previsto dall'ultimo periodo dell'articolo 6.1.

6.4 Virtik non dispone attualmente di attestazione SOC 2, certificazione ISO 27001, certificazione di conformità HIPAA o autorizzazione FedRAMP, e non dichiara di disporne. Ove gli obblighi propri del Cliente richiedano una certificazione di cui Virtik non disponga, spetta al Cliente determinare se la piattaforma sia adeguata al proprio utilizzo.

6.5 Virtik può aggiornare le proprie misure purché il livello di protezione non sia sostanzialmente ridotto.

6.6 Il Cliente è responsabile della sicurezza dei propri Sistemi, delle proprie credenziali, della configurazione delle autorizzazioni, della gestione dei dispositivi e delle scelte che compie su quali dati entrino nella piattaforma e su chi possa vederli.

7. Sub-responsabili del trattamento

7.1 Il Cliente autorizza in via generale Virtik ad avvalersi di Sub-responsabili del trattamento per Trattare Dati personali del Cliente.

7.2 Virtik imporrà a ciascun Sub-responsabile del trattamento obblighi di protezione dei dati non meno protettivi di quelli del presente Addendum, e resta responsabile dell'operato dei propri Sub-responsabili del trattamento.

7.3 L'elenco attuale è tenuto in /legal/subprocessors (LEG-009). Esso classifica i terzi con cui il codice del Servizio si integra come sub-responsabili del trattamento gestiti da Virtik, fornitori di infrastruttura e Gestore dei pagamenti, fornitori e connettori forniti dal Cliente, e servizi il cui utilizzo Virtik non ha verificato. Soltanto il primo gruppo è soggetto all'articolo 8. Un fornitore indicato nell'articolo 1.3 dell'elenco è indicato senza un ruolo dichiarato, e l'articolo 8 si applica a un Sub-responsabile del trattamento prima che esso Tratti Dati personali del Cliente. L'elenco non indica alcun luogo di trattamento, meccanismo di trasferimento o stato dell'accordo.

7.4 L'Elenco dei sub-responsabili del trattamento non indica alcuno stato dell'accordo per alcuna voce, come stabilisce l'articolo 7.3. Virtik imporrà a ciascun Sub-responsabile del trattamento che Tratti Dati personali del Cliente per conto di Virtik gli obblighi indicati nell'articolo 7.2.

8. Avviso e opposizione sui sub-responsabili del trattamento

8.1 Virtik darà al Cliente un preavviso di almeno 30 giorni prima che un Sub-responsabile rilevante nuovo o sostitutivo Tratti Dati personali del Cliente. «Sub-responsabile rilevante» indica un Sub-responsabile del trattamento che ospita, conserva, analizza o altrimenti Tratta il contenuto dei Dati personali del Cliente al fine di erogare il Servizio al Cliente. Non comprende un Sub-responsabile del trattamento che riceve soltanto dati di account, di contatto o tecnici (quali i metadati delle richieste) necessari per fornire, proteggere o fatturare il Servizio, né un servizio di terzi che il Cliente stesso collega o dirige.

8.2 Virtik dà l'avviso mediante email all'Amministratore del Cliente, o al contatto indicato nell'Order Form, e aggiorna l'Elenco dei sub-responsabili del trattamento (LEG-009) per mostrare la modifica entro la data in cui essa ha effetto, e l'Elenco dei sub-responsabili del trattamento si applica al Cliente nella versione vigente ai sensi del presente articolo 8, senza una nuova accettazione e, nell'ambito di un Contratto quadro di servizi o di un Order Form, senza una modifica contrattuale (l'articolo 2.7 delle Condizioni enuncia la stessa regola per un Cliente che contrae online). L'avviso individuerà il Sub-responsabile del trattamento, il Trattamento che esso svolgerà e la data a decorrere dalla quale Tratterà Dati personali del Cliente. Virtik non offre un servizio di sottoscrizione o altro servizio di notifica automatizzata per tali modifiche.

8.3 Il Cliente può opporsi mediante comunicazione scritta a privacy@virtik.ai entro 15 giorni dall'avviso di Virtik, indicando motivi ragionevoli e legittimi attinenti alla protezione dei dati a fondamento dell'opposizione. Una comunicazione scritta ai sensi dell'articolo 8.3, 8.4 o 8.6 inviata a tale indirizzo soddisfa l'articolo 26.1 delle Condizioni (o l'articolo 13.1 del Contratto quadro di servizi).

8.4 In caso di opposizione tempestiva, le parti ne discuteranno in buona fede. Virtik potrà (a) non procedere alla modifica nei confronti del Cliente, oppure (b) proporre una modifica che risponda all'opposizione. Se l'opposizione non è risolta entro 30 giorni dal ricevimento da parte di Virtik (il «Periodo di risoluzione»), il Cliente potrà, mediante comunicazione scritta data entro 15 giorni dalla fine del Periodo di risoluzione, risolvere la componente interessata del Servizio oppure, se tale componente non può essere separata dal resto del Servizio, l'Ordine interessato, con effetto da una data anteriore a quella in cui il Sub-responsabile rilevante nuovo o sostitutivo inizi a Trattare Dati personali del Cliente. Virtik non consentirà a tale Sub-responsabile del trattamento di iniziare a Trattare i Dati personali del Cliente del Cliente che si è opposto finché l'opposizione non sia risolta, finché il termine di 15 giorni per la comunicazione del Cliente non sia scaduto senza comunicazione, o finché la risoluzione non abbia avuto effetto. In caso di risoluzione ai sensi del presente articolo 8.4, il Cliente non paga alcun onere di risoluzione anticipata e non è tenuto ai corrispettivi imputabili al periodo successivo alla data di efficacia della risoluzione, e Virtik rimborserà i corrispettivi prepagati imputabili a tale periodo per la componente risolta, calcolati e pagati come previsto dall'articolo 16.19 delle Condizioni; i corrispettivi imputabili alla componente risolta sono determinati da Virtik agendo in modo ragionevole e in buona fede con riferimento al listino prezzi o all'Ordine relativo a tale componente, e ove la componente non possa essere prezzata separatamente l'intero Abbonamento interessato è la componente risolta. Tale rimborso è un'eccezione espressa alla regola generale di cui all'articolo 16.6 delle Condizioni (articolo 16.6(g)). La risoluzione ai sensi del presente articolo 8.4, con tale rimborso, è l'unico rimedio del Cliente per l'opposizione e per il fatto che Virtik proceda alla modifica; essa non limita un rimedio per una violazione del presente Addendum né un diritto che la Normativa applicabile in materia di protezione dei dati o le CCT riconoscono al Cliente o a un Interessato.

8.5 L'assenza di opposizione tempestiva si intende come approvazione di tale modifica.

8.6 Sostituzione urgente. Fatto salvo l'articolo 16.5(b), ove Virtik debba sostituire con urgenza un Sub-responsabile del trattamento per mantenere la sicurezza o la continuità del Servizio, Virtik può dare un preavviso più breve di quello richiesto dall'articolo 8.1 e darà avviso non appena possibile, e il Sub-responsabile del trattamento sostitutivo può iniziare a Trattare Dati personali del Cliente prima che termini il Periodo di risoluzione. Il Cliente può opporsi entro 15 giorni da tale avviso per i motivi di cui all'articolo 8.3. Se l'opposizione non è risolta entro 30 giorni dal ricevimento da parte di Virtik, il Cliente può risolvere la componente interessata del Servizio (o l'Ordine interessato se non può essere separato) mediante comunicazione scritta, con effetto alla data indicata nella comunicazione, e si applicano l'onere, la liberazione e il rimborso di cui all'articolo 8.4.

8.7 Altri Sub-responsabili del trattamento. Virtik riporterà nell'Elenco dei sub-responsabili del trattamento l'incarico di qualsiasi Sub-responsabile del trattamento che non sia un Sub-responsabile rilevante prima che tale Sub-responsabile del trattamento Tratti Dati personali del Cliente. Nei confronti di un Sub-responsabile del trattamento che non sia un Sub-responsabile rilevante non si applica alcun diritto di risoluzione ai sensi dell'articolo 8.4. Ove si applichino le CCT, Virtik dà al Cliente informazioni scritte su ogni aggiunta o sostituzione di un Sub-responsabile del trattamento nell'elenco con almeno 30 giorni di anticipo, secondo quanto previsto dall'articolo 16.5(b); il Cliente può opporsi a tale modifica ai sensi dell'articolo 8.3 entro 15 giorni da tali informazioni, le parti discuteranno l'opposizione in buona fede e Virtik non inizierà a Trattare i Dati personali del Cliente di tale Cliente con tale Sub-responsabile del trattamento ai sensi delle CCT prima che tale periodo di 30 giorni sia decorso. Virtik dà tali informazioni mediante email all'Amministratore del Cliente, o al contatto indicato nell'Order Form, come l'articolo 8.2 prevede per un Sub-responsabile rilevante.

9. Assistenza sui diritti degli interessati

9.1 Il Servizio mette a disposizione le funzionalità che supporta in quel momento affinché il Cliente possa accedere, rettificare, esportare e cancellare Dati personali del Cliente all'interno del proprio ambiente, così da poter rispondere direttamente alle richieste degli Interessati. Virtik non dichiara che il Servizio offra funzionalità in autonomia per ciascuna categoria di Dati personali del Cliente.

9.2 Ove il Cliente non possa soddisfare una richiesta mediante tali funzionalità, Virtik presterà ragionevole assistenza, a spese del Cliente ove l'assistenza sia rilevante.

9.3 Virtik non risponderà direttamente a un Interessato in relazione ai dati sotto il controllo del Cliente. Ove Virtik riceva una richiesta di tale natura, informerà senza ingiustificato ritardo l'Interessato che deve rivolgersi all'organizzazione competente, e ne informerà il Cliente ove Virtik possa identificare l'ambiente interessato. Virtik non cercherà un Interessato negli ambienti di altri clienti, poiché ciò costituirebbe di per sé un'ingerenza sproporzionata nelle informazioni di altri Interessati.

10. Assistenza in caso di Violazione della sicurezza

10.1 Virtik informerà il Cliente senza ingiustificato ritardo dopo che Virtik abbia accertato una Violazione della sicurezza che riguardi Dati personali del Cliente. Virtik accerta una Violazione della sicurezza quando, agendo ragionevolmente e senza ritardare la propria indagine, stabilisce che la Violazione della sicurezza si è verificata oppure ritiene ragionevolmente, come previsto dall'articolo 1.17 delle Condizioni, che si sia verificata. Ove si applichino le CCT, la Clausola 8.6(c) disciplina la notifica di una violazione dei dati personali: l'importatore dei dati notifica la violazione all'esportatore dei dati senza ingiustificato ritardo dopo esserne venuto a conoscenza. Il presente Addendum non prevede una formulazione più rigorosa di quella richiesta dalla Normativa applicabile in materia di protezione dei dati e dalle CCT, e nessuna di esse fissa un numero di ore per la notifica di un responsabile del trattamento al proprio titolare del trattamento. Ove si applichi il Modulo Tre, la Clausola 8.6(c) prevede anche la notifica al titolare del trattamento ove opportuno e fattibile, e Virtik la darà ove il Cliente abbia comunicato per iscritto a Virtik i recapiti del titolare del trattamento.

10.2 La notifica includerà, nella misura in cui sia noto: la natura dell'incidente, le categorie e il numero approssimativo di registrazioni interessate, le conseguenze probabili, le misure adottate o proposte e un punto di contatto. Le informazioni possono essere fornite per fasi con l'avanzare dell'indagine.

10.3 Virtik adotterà misure ragionevoli di contenimento e rimedio, e fornirà le informazioni ragionevolmente necessarie perché il Cliente adempia ai propri obblighi di notifica.

10.4 La notifica non costituisce ammissione di colpa né di responsabilità.

10.5 Un tentativo non riuscito, o un evento che non comprometta la sicurezza dei Dati personali del Cliente — compresi ping, scansioni di porte, accessi falliti e tentativi di denial of service che non determinino un accesso — non costituisce una Violazione della sicurezza.

10.6 Obiettivo operativo di notifica. Ove ragionevolmente praticabile, l'obiettivo di Virtik è dare l'avviso di cui all'articolo 10.1 entro 72 ore dal momento in cui accerta la Violazione della sicurezza. Tale termine di 72 ore è soltanto un obiettivo operativo di notifica. Non costituisce una garanzia contrattuale incondizionata né una dichiarazione di garanzia. Un avviso dato dopo 72 ore non costituisce di per sé una violazione del presente Addendum, dell'articolo 19 delle Condizioni o del Contratto. Il mancato avviso senza ingiustificato ritardo costituisce una violazione del presente articolo e dell'articolo 19.5 delle Condizioni, e la responsabilità di Virtik per la perdita che tale omissione causa è soggetta al Limite maggiorato ai sensi dell'articolo 21.3(b) delle Condizioni; ciò non rende la Violazione della sicurezza sottostante una Violazione della sicurezza qualificata.

10.7 Obblighi propri del Cliente. L'avviso di Virtik al Cliente è distinto da qualsiasi notifica che il Cliente debba effettuare a un'Autorità di controllo, agli Interessati o ad altri in qualità di Titolare del trattamento (anche ai sensi degli articoli 33 e 34 del GDPR) o altrimenti. Tali obblighi, e i termini entro i quali devono essere adempiuti, sono determinati dalla Normativa applicabile in materia di protezione dei dati e decorrono dalla conoscenza propria del Titolare del trattamento, e sono di responsabilità del Cliente. Ove il Cliente sia un Responsabile del trattamento per un altro Titolare del trattamento, spetta al Cliente notificare tale Titolare del trattamento.

11. Valutazioni d'impatto e consultazione delle autorità

11.1 Virtik presterà ragionevole assistenza in una valutazione d'impatto sulla protezione dei dati o in una consultazione preventiva di un'Autorità di controllo relativa alla piattaforma, nella misura in cui il Cliente non possa ragionevolmente ottenere l'informazione da sé ed essa riguardi il Trattamento svolto da Virtik.

11.2 L'assistenza può essere prestata mediante documentazione, risposte a questionari o l'Addendum sulla sicurezza (LEG-015). Virtik può addebitare un'assistenza rilevante.

11.3 Spetta al Cliente svolgere la propria valutazione. Solo il Cliente conosce le proprie finalità, i propri locali, chi sorveglia e perché: i fatti da cui dipende qualsiasi valutazione.

12. Richieste di autorità pubbliche e forze dell'ordine

12.1 Se Virtik riceve da un'autorità pubblica una richiesta di Dati personali del Cliente, Virtik, salvo divieto di legge: (a) ne informerà il Cliente senza ingiustificato ritardo; (b) informerà l'autorità che Virtik è Responsabile del trattamento e che la richiesta dovrebbe essere indirizzata al Cliente; e (c) non divulgherà nulla salvo obbligo di legge.

12.2 Ove vi sia obbligo di legge, Virtik divulgherà soltanto il minimo richiesto e cercherà di contestare una richiesta che appaia illegittima, eccessivamente ampia o incompatibile con la cortesia internazionale.

12.3 Il modo in cui Virtik gestisce i procedimenti legali è descritto nelle Linee guida sulle richieste delle forze dell'ordine (LEG-020).

12.4 Virtik conserverà un registro delle richieste ricevute nei limiti consentiti dalla legge.

13. Restituzione e cancellazione

13.1 Alla scadenza o alla risoluzione, Virtik renderà disponibili i Dati personali del Cliente per l'esportazione mediante la funzionalità di esportazione che il Servizio fornisce in quel momento, e per il resto con ragionevole assistenza (comprese, ove tecnicamente fattibile, l'esportazione in un formato di uso comune e leggibile da dispositivo automatico), per il periodo indicato nel Contratto (30 giorni ai sensi dell'articolo 10.7 delle Condizioni e dell'articolo 5.6 del Contratto quadro di servizi). L'articolo 16.18 delle Condizioni si applica inoltre ove si applichi il Regolamento (UE) 2023/2854.

13.2 Trascorso tale periodo, Virtik cancellerà o anonimizzerà i Dati personali del Cliente, salvo nella misura in cui la conservazione sia richiesta dalla legge o necessaria per accertare, esercitare o difendere pretese in giudizio. Ove si applichino le CCT, Virtik cancellerà i Dati personali del Cliente anziché anonimizzarli, se il Cliente così sceglie mediante comunicazione scritta, e la certificazione di cui all'articolo 13.4 indica se Virtik li abbia cancellati o anonimizzati.

13.3 Il presente Addendum non indica alcun termine di cancellazione né alcun termine di scadenza dei backup. I dati cancellati possono persistere nei backup fino alla scadenza dei backup, come stabilisce l'articolo 13.4.

13.4 Su richiesta scritta del Cliente, una volta che Virtik abbia cancellato o anonimizzato i Dati personali del Cliente conformemente al presente articolo 13, Virtik lo confermerà per iscritto. La conferma è un atto manuale e non dichiara che non ne rimanga alcuna copia nei backup, nei quali i dati cancellati possono persistere fino alla scadenza dei backup. Ove si applichino le CCT, Virtik fornirà, su richiesta scritta del Cliente, anche la certificazione di cancellazione che la Clausola 8.5 delle CCT richiede, sotto forma di dichiarazione scritta, sottoscritta da un rappresentante autorizzato di Virtik, che indica se Virtik abbia cancellato o anonimizzato i Dati personali del Cliente conformemente all'articolo 13.2 (e, ove il Cliente abbia scelto la cancellazione ai sensi dell'articolo 13.2, che Virtik li ha cancellati), e che indica l'eccezione relativa ai backup e qualsiasi conservazione richiesta dalla legge applicabile.

14. Verifiche e informazioni di conformità

14.1 Virtik metterà a disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto del presente Addendum, principalmente attraverso l'Addendum sulla sicurezza (LEG-015) e le risposte a ragionevoli questionari di sicurezza.

14.2 Ove la Normativa applicabile in materia di protezione dei dati o, ove si applichino, la Clausola 8.9 delle CCT riconoscano al Cliente il diritto di verifica e le informazioni di cui al punto 14.1 siano insufficienti, il Cliente può richiedere una verifica con ragionevole preavviso scritto, non più di una volta in un periodo di dodici mesi, salvo che sia richiesto da un'Autorità di controllo o a seguito di una Violazione della sicurezza che riguardi il Cliente.

14.3 Una verifica deve svolgersi in orario di lavoro, non deve perturbare in modo irragionevole le operazioni, è soggetta a riservatezza, non deve accedere ai dati di un altro cliente né all'infrastruttura multi-ambiente di Virtik in modo tale da poter incidere su altri clienti, e deve essere condotta dal Cliente o da un revisore indipendente che non sia concorrente di Virtik. I costi sono a carico del Cliente.

14.4 Virtik non offre attualmente una relazione di verifica di un terzo, poiché non dispone di attestazione SOC 2 né di certificazione ISO 27001. Virtik non concede alcun diritto di verifica oltre quanto previsto dagli articoli da 14.1 a 14.3: le informazioni descritte nell'articolo 14.1 e una verifica soltanto ove la Normativa applicabile in materia di protezione dei dati o la Clausola 8.9 delle CCT ne riconoscano il diritto al Cliente, alle condizioni di cui agli articoli 14.2 e 14.3 nella misura in cui tali Clausole lo consentano.

15. Trasferimenti internazionali di dati

15.1 Virtik è stabilita negli Stati Uniti e i Dati personali del Cliente possono essere Trattati ivi e in altri luoghi in cui operano Virtik o i suoi Sub-responsabili del trattamento. Il presente Addendum non indica alcuna regione di hosting.

15.2 Ove Virtik Tratti Dati personali soggetti al GDPR, al GDPR del Regno Unito o al diritto svizzero e li trasferisca in un paese privo di decisione di adeguatezza, il trasferimento è disciplinato dagli articoli 16 e 17.

15.3 Virtik non trasferirà Dati personali del Cliente in una giurisdizione priva di un valido meccanismo di trasferimento.

15.4 La residenza dei dati non è offerta come impegno.

16. Clausole contrattuali tipo della Commissione europea

16.1 Ove si applichi il GDPR e sia attivato l'articolo 15.2, le CCT sono incorporate mediante rinvio e si applicano al trasferimento.

16.2 Selezione dei moduli. Le CCT sono le clausole contenute nell'Allegato della decisione di esecuzione (UE) 2021/914 della Commissione, e un riferimento nel presente articolo 16 a una Clausola è un riferimento a una Clausola delle CCT. L'esportatore dei dati è il Cliente e l'importatore dei dati è Virtik USA, Inc., come indica l'Allegato 1. I Moduli si applicano come segue:

(a) Il Modulo Due (da titolare a responsabile del trattamento) si applica al Trattamento di cui all'articolo 3.2 ove il Cliente sia titolare del trattamento dei Dati personali del Cliente.

(b) Il Modulo Tre (da responsabile a responsabile del trattamento) si applica ove il Cliente sia esso stesso un responsabile del trattamento che agisce per conto di un altro titolare del trattamento, anche ove si applichi l'articolo 3.5. Il Cliente conferma allora che le istruzioni del proprio titolare del trattamento sono coerenti con il presente Addendum, come prevede l'articolo 3.5.

(c) Il Cliente indicherà nell'Order Form, o mediante comunicazione scritta a Virtik prima del primo trasferimento, se agisce come titolare del trattamento o come responsabile del trattamento per i Dati personali del Cliente. Ove il Cliente non indichi nulla, si applica il Modulo Due.

(d) Il Modulo Uno (da titolare a titolare del trattamento) non è selezionato. Il Trattamento svolto da Virtik come Titolare del trattamento autonomo ai sensi dell'articolo 3.3 è disciplinato dall'Informativa sulla privacy (LEG-002), e Virtik farà affidamento sul meccanismo di trasferimento che la Normativa applicabile in materia di protezione dei dati richiede per tale Trattamento, se del caso. Il Modulo Quattro non si applica.

16.3 Quanto segue è precompilato ove le CCT si applichino ed è esposto negli Allegati: esportatore e importatore dei dati (Allegato I.A), descrizione del trattamento dell'Allegato I.B, misure tecniche e organizzative dell'Allegato II. L'Allegato III (elenco dei sub-responsabili del trattamento) è compilato soltanto ove si applichi la Clausola 9(a), Opzione 1 (autorizzazione specifica preliminare). L'articolo 16.5(b) seleziona l'Opzione 2, per cui non si compila alcun Allegato III, e l'elenco concordato ai fini della Clausola 9(a) è l'Elenco dei sub-responsabili del trattamento (Allegato 7).

16.4 In caso di conflitto tra le CCT e il presente Addendum, prevalgono le CCT.

16.5 Scelte. Ove si applichino le CCT: (a) la Clausola 7 (clausola di adesione successiva), che è facoltativa, non è inclusa; (b) nella Clausola 9(a) si applica l'Opzione 2 (autorizzazione scritta generale), l'elenco concordato è l'Elenco dei sub-responsabili del trattamento (Allegato 7), e il termine per la comunicazione scritta specifica delle modifiche previste a tale elenco (aggiunte o sostituzioni di sub-responsabili del trattamento) è di almeno 30 giorni di anticipo, come stabiliscono gli articoli 8.1 e 8.7. L'avviso di cui all'articolo 8.2 (per un Sub-responsabile rilevante) e le informazioni scritte di cui all'articolo 8.7 (per qualsiasi altro Sub-responsabile del trattamento) sono le informazioni che la Clausola 9(a) richiede, e il diritto del Cliente di opporsi ai sensi dell'articolo 8.3, che si applica a ogni tale modifica, è il diritto di opposizione che la Clausola 9(a) riconosce; il diritto di risoluzione di cui all'articolo 8.4 si applica soltanto a un Sub-responsabile rilevante. Ove si applichi il Modulo Tre, la Clausola 9(a) richiede che l'avviso sia dato al titolare del trattamento, e Virtik lo dà al Cliente e, ove il Cliente abbia comunicato per iscritto a Virtik i recapiti del titolare del trattamento, anche a tale titolare del trattamento; Virtik informa inoltre il Cliente, quale esportatore dei dati, dell'incarico del sub-responsabile del trattamento. L'articolo 8.6 (sostituzione urgente) non abbrevia il termine della Clausola 9(a) per un Cliente al quale si applicano le CCT: per tale Cliente, un Sub-responsabile del trattamento sostitutivo inizia a Trattare Dati personali del Cliente soltanto dopo che tale termine sia decorso o che il Cliente abbia convenuto per iscritto una data anteriore; (c) nella Clausola 11(a), la formulazione facoltativa relativa a un organismo indipendente di risoluzione delle controversie non è inclusa; (d) la Clausola 13 e l'Allegato I.C sono quelli indicati dall'articolo 16.6; e (e) le Clausole 17 e 18 sono quelle indicate dall'articolo 16.7.

16.6 Autorità di controllo (Clausola 13 e Allegato I.C). La Clausola 13(a) contiene tre formulazioni alternative, e si applica soltanto quella corrispondente alla situazione dell'esportatore dei dati, come indicato nell'Allegato I.C: (a) ove l'esportatore dei dati sia stabilito in uno Stato membro dell'UE, l'autorità di controllo responsabile di garantire il rispetto del GDPR da parte dell'esportatore per quanto riguarda il trasferimento dei dati; (b) ove l'esportatore dei dati non sia stabilito in uno Stato membro dell'UE ma rientri nell'ambito di applicazione territoriale del GDPR ai sensi dell'articolo 3, paragrafo 2, e abbia designato un rappresentante ai sensi dell'articolo 27, paragrafo 1, l'autorità di controllo dello Stato membro in cui è stabilito il rappresentante; e (c) ove l'esportatore dei dati non sia stabilito in uno Stato membro dell'UE, rientri nell'articolo 3, paragrafo 2, e non sia tenuto a designare un rappresentante ai sensi dell'articolo 27, paragrafo 2, l'autorità di controllo di uno degli Stati membri in cui si trovano gli Interessati i cui Dati personali sono trasferiti ai sensi delle CCT in relazione all'offerta di beni o servizi a tali Interessati, o il cui comportamento è monitorato. Il Cliente, quale esportatore dei dati, individua la propria autorità di controllo competente nell'Order Form o mediante comunicazione scritta a Virtik prima del primo trasferimento, e tale indicazione costituisce l'Allegato I.C per tale Cliente; Virtik non la sceglie. Ai sensi della Clausola 13(b), Virtik, quale importatore dei dati, accetta di sottoporsi alla giurisdizione dell'autorità di controllo competente e di cooperare con essa come previsto da tale Clausola. Il presente articolo non dichiara che Virtik abbia uno stabilimento o un rappresentante nell'Unione europea. Ove il Cliente non ne indichi alcuna, l'autorità di controllo competente è quella che l'alternativa della Clausola 13(a) corrispondente alla situazione del Cliente designa.

16.7 Legge applicabile e tribunali (Clausole 17 e 18). Per il Modulo Due e il Modulo Tre si applica la Clausola 17, Opzione 1, e l'Opzione 2 non è selezionata: le CCT sono disciplinate dalla legge dell'Irlanda, che le Parti designano come legge di uno Stato membro dell'UE che riconosce diritti ai terzi beneficiari. Ai sensi della Clausola 18, lettere (a) e (b), qualsiasi controversia derivante dalle CCT è risolta dai tribunali dell'Irlanda, e ai sensi della Clausola 18(c) un Interessato può anche promuovere azioni legali nei confronti dell'esportatore dei dati o dell'importatore dei dati dinanzi ai tribunali dello Stato membro in cui ha la residenza abituale. Le Parti si sottopongono alla giurisdizione dei tribunali dell'Irlanda, come previsto dalla Clausola 18(d). Il presente articolo 16.7 si applica soltanto alle CCT. Le leggi dello Stato del Delaware e il foro esclusivo del Delaware ai sensi dell'articolo 26.9 delle Condizioni (o dell'articolo 13.10 del Contratto quadro di servizi) continuano a disciplinare il presente Addendum, il Contratto e ogni altra materia, comprese le pretese tra le parti che non siano pretese ai sensi delle CCT.

17. Trasferimenti verso il Regno Unito

17.1 Ove si applichi il GDPR del Regno Unito, l'Addendum del Regno Unito è incorporato e si applica al trasferimento, essendo le CCT le clausole approvate che esso modifica.

17.2 Per l'Addendum del Regno Unito: la Tabella 1 (Parti) è quella indicata dall'Allegato 1 e dal Contratto; la Tabella 2 (CCT selezionate, Moduli e Clausole selezionate) sono le CCT quali incorporate dall'articolo 16, Moduli Due e Tre, Clausola 7 non inclusa, formulazione facoltativa della Clausola 11(a) non inclusa, e Clausola 9(a) Opzione 2 con il termine di preavviso di cui all'articolo 16.5(b); e la Parte 2 (Clausole obbligatorie) sono le Clausole obbligatorie dell'Addendum approvato, come riviste ai sensi dell'articolo 18 di tali Clausole obbligatorie. Tabella 3 (Informazioni dell'appendice): l'Allegato 1A (Elenco delle parti) è l'Allegato 1 e il Contratto; l'Allegato 1B (Descrizione del trasferimento) sono gli Allegati 1, 2, 4 e 5; l'Allegato II (Misure tecniche e organizzative) è l'Allegato 6, che indica soltanto le misure che l'articolo 6.2 e l'Allegato 6 indicano come configurate e non rilascia alcuna altra dichiarazione; e l'Allegato III (Elenco dei sub-responsabili del trattamento) non è applicabile perché si applica la Clausola 9(a) Opzione 2 (autorizzazione scritta generale), essendo l'elenco concordato l'Elenco dei sub-responsabili del trattamento (LEG-009), come stabiliscono l'Allegato 7 e l'articolo 16.5(b). Tabella 4 (Cessazione del presente Addendum quando cambia l'Addendum approvato): nessuna delle Parti.

17.3 Ove si applichi il diritto svizzero, i riferimenti sono adattati affinché l'Incaricato federale della protezione dei dati e della trasparenza sia l'autorità competente e la protezione si estenda alle persone giuridiche ove il diritto svizzero lo richieda.

18. Clausole californiane per Service Provider e Contractor

18.1 Si applica l'articolo 3.6. In aggiunta:

18.2 Virtik non venderà né condividerà Dati personali del Cliente, e non lo fa.

18.3 Virtik presterà ragionevole assistenza per le richieste dei consumatori di conoscere, cancellare, rettificare e opporsi, come descritto all'articolo 9.

18.4 Virtik informerà il Cliente se accerta di non poter più adempiere ai propri obblighi di Service Provider.

18.5 Il Cliente può adottare misure ragionevoli e appropriate per far cessare e rimediare a un utilizzo non autorizzato di Dati personali del Cliente da parte di Virtik, comprese quelle previste all'articolo 14.

18.6 Virtik non utilizzerà Dati personali del Cliente per pubblicità comportamentale tra contesti diversi, e non lo fa.

19. Conflitto e ordine di prevalenza

19.1 In caso di conflitto tra clausole, si applica il seguente ordine, dal più elevato:

1. le CCT e l'Addendum del Regno Unito, ove applicabili;
2. un accordo negoziato sul trattamento dei dati sottoscritto da entrambe le parti;
3. il presente Addendum;
4. l'Addendum sulla sicurezza, quanto alle misure di sicurezza;
5. il resto del Contratto, compresi qualsiasi Order Form e qualsiasi Contratto quadro di servizi;
6. la Documentazione.

19.2 Un Order Form o un Contratto quadro di servizi può modificare il presente Addendum soltanto ove individui espressamente la disposizione del presente Addendum che modifica e la modifica non riduca una tutela richiesta dalla Normativa applicabile in materia di protezione dei dati. L'articolo 26.11 delle Condizioni e l'articolo 1.4 del Contratto quadro di servizi ordinano i documenti allo stesso modo quanto ai Dati personali, in modo che nessun documento sia collocato al di sopra di un documento che lo colloca.

19.3 Legge e foro delle CCT. Le CCT sono disciplinate dalla legge e soggette ai tribunali indicati dall'articolo 16.7, e l'Addendum del Regno Unito dalla legge e dai tribunali che esso specifica. L'articolo 26.9 delle Condizioni e l'articolo 13.10 del Contratto quadro di servizi non si applicano ad esse, e l'articolo 16.7 non attribuisce alla legge e ai tribunali dell'Irlanda alcuna giurisdizione su qualsiasi altra materia.

20. Durata, ultrattività e responsabilità

20.1 Il presente Addendum ha effetto contestualmente al Contratto e prosegue finché Virtik Tratta Dati personali del Cliente.

20.2 Gli articoli 5, 6, 8, 9, 10, 12, 13, 14, 16, 19 e 20 sopravvivono alla cessazione, e gli articoli 6, 8, 10 e 16 si applicano per tutto il tempo in cui Virtik detiene Dati personali del Cliente.

20.3 La responsabilità di ciascuna parte ai sensi del presente Addendum, compresa, tra Virtik e il Cliente e nella misura in cui la Clausola 12 delle CCT e la Normativa applicabile in materia di protezione dei dati lo consentano, la responsabilità ai sensi delle CCT, è soggetta alle limitazioni ed esclusioni previste dal Contratto, compresi il Limite generale e, per le violazioni che l'articolo 21.3 delle Condizioni individua, il Limite maggiorato.

20.4 Nulla nel Contratto o nel presente Addendum limita (a) i diritti di un Interessato ai sensi della Normativa applicabile in materia di protezione dei dati o la responsabilità di una parte nei confronti di un Interessato ai sensi della Clausola 12 delle CCT, né (b) alcuna responsabilità che non possa essere lecitamente limitata. Ove una limitazione prevista dal Contratto contraddica le CCT tra le parti, le CCT prevalgono soltanto in tale misura.

20.5 Virtik può aggiornare il presente Addendum con un preavviso di almeno 30 giorni al Cliente ove l'aggiornamento sia richiesto dalla Normativa applicabile in materia di protezione dei dati o da una modifica delle CCT o dell'Addendum del Regno Unito da parte dell'autorità che le ha emanate, oppure rifletta una modifica dell'Elenco dei sub-responsabili del trattamento effettuata come stabilisce l'articolo 8, e ove non riduca una tutela richiesta dalla Normativa applicabile in materia di protezione dei dati. Qualsiasi altra modifica richiede l'accordo scritto del Cliente. In caso di Contratto quadro di servizi, la modifica è disciplinata dall'articolo 13.9 di tale contratto, salvo che una modifica che l'articolo 8 consente non costituisce una modifica contrattuale e salvo che una modifica che l'articolo 8 consente non costituisce una modifica contrattuale e salvo che una modifica delle CCT o dell'Addendum del Regno Unito da parte dell'autorità che le ha emanate si applica ai trasferimenti che essa disciplina dalla data della sua entrata in vigore.

Allegati

Allegato 1 — Descrizione del trattamento

Allegato 2 — Categorie di dati personali e di interessati

Categorie di Dati personali (secondo la configurazione del Cliente): identificativi e dati di contatto degli utenti autorizzati; dati di ruolo e di autorizzazioni; metadati di autenticazione; immagini e video di persone acquisiti dai Sistemi del Cliente; audio ove il Cliente lo attivi; metadati di rilevamento riferiti a persone; geolocalizzazione e percorsi di ronda del personale; contenuto delle comunicazioni; registri degli incidenti; registri dei visitatori ove il Cliente li configuri; e dati di dispositivo e di log.

Categorie di Interessati: gli utenti autorizzati e gli amministratori del Cliente; i dipendenti e gli appaltatori del Cliente; i visitatori dei locali del Cliente; i membri del pubblico che si trovino nel campo visivo dei Sistemi del Cliente; e i clienti del Cliente ove presenti nei locali sorvegliati.

Dati sensibili: nessuno, salvo che il Cliente configuri un Trattamento che li acquisisca, nel qual caso si applica l'articolo 4.5.

Allegato 3 — Istruzioni del Cliente

Le istruzioni permanenti di Virtik sono: Trattare i Dati personali del Cliente esclusivamente per fornire, mantenere, proteggere e assistere la piattaforma conformemente alla configurazione del Cliente; conservarli secondo la conservazione configurata dal Cliente; renderli disponibili a coloro che la configurazione delle autorizzazioni del Cliente abilita; trasmetterli alle integrazioni che il Cliente attiva; e cancellarli su istruzione del Cliente o conformemente all'articolo 13.

Allegato 4 — Durata del trattamento

La durata segue la Durata dell'abbonamento e i periodi di cui all'articolo 13. Il presente Addendum non indica alcun termine di conservazione.

Allegato 5 — Natura e finalità per categoria di dati

Allegato 6 — Misure tecniche e organizzative

Il presente Allegato indica le misure che l'attuazione e la configurazione del Servizio assicurano, come stabilisce l'articolo 6.2. Una misura che non vi sia elencata non è dichiarata dal presente Allegato. Ove si applichino le CCT, il presente Allegato è l'Allegato II delle CCT. Esso elenca soltanto le misure indicate di seguito e non descrive alcuna altra misura che l'Allegato II richiederebbe altrimenti. Nulla nel presente Allegato limita l'obbligo previsto dall'ultimo periodo dell'articolo 6.1, e il presente Allegato non dichiara che ciascuna misura che l'articolo 32 del GDPR richiede sia in atto.

Misure indicate come configurate: isolamento multi-tenant; controllo degli accessi basato sui ruoli; HTTPS e HTTP Strict Transport Security configurati per le applicazioni web; autenticazione a più fattori disponibile agli utenti del Servizio; registri di audit di determinati eventi amministrativi e di sicurezza, che i ruoli di database del Servizio rivolti al client non possono leggere, modificare né eliminare nella tabella di audit principale (Virtik non dichiara che i registri di audit siano completi, a prova di manomissione o immodificabili rispetto all'accesso privilegiato di Virtik); privilegi di database a privilegio minimo per i ruoli rivolti al client; convalida delle scritture lato server; convalida dell'origine e limitazione della frequenza su determinati endpoint (Virtik non dichiara che un limite sia condiviso tra le istanze del server).

Nel presente Allegato Virtik non rilascia alcuna dichiarazione in merito a cifratura a riposo o gestione delle chiavi, backup e ripristino, gestione delle vulnerabilità, test di penetrazione, continuità operativa e ripristino in caso di disastro, sicurezza fisica dei luoghi di hosting, ciclo di sviluppo sicuro, conservazione dei log, accesso del personale ai sistemi di produzione o rotazione delle chiavi.

Allegato 7 — Sub-responsabili del trattamento

Tenuto in /legal/subprocessors (LEG-009), che è l'elenco concordato ai fini della Clausola 9(a), Opzione 2 delle CCT. L'Allegato III delle CCT, che richiederebbe la Clausola 9(a), Opzione 1, non è compilato.

Allegato 8 — Meccanismi di trasferimento

Allegato 9 — Contatti

Lingua. La presente traduzione è fornita esclusivamente per comodità. In caso di conflitto, prevarrà la versione inglese, salvo quanto diversamente previsto dalla legge applicabile.

Cronologia delle versioni

FINE DEL DOCUMENTO