Menu di navigazione

Data Processing Agreement

Il presente DPA è destinato a costituire parte integrante delle Condizioni di utilizzo del Servizio Basebear. Non richiede la compilazione di dati anagrafici del singolo Cliente e diviene vincolante nel rapporto individuale a seguito di valida accettazione contrattuale documentabile.

1. Parti, applicabilità e definizioni

1.1. Il presente Accordo sul trattamento dei dati personali (di seguito “DPA”) disciplina il trattamento dei dati personali effettuato da Basebear S.r.l., con sede in Via Olindo Guerrini 21, 00137 Roma, P. IVA 10663631009, contatto support@basebear.com, in qualità di Responsabile del trattamento per conto del Cliente, di regola in qualità di Titolare del trattamento, salvo quanto previsto al punto 1.5.

1.2. Per “Cliente” si intende la persona fisica o giuridica che ha sottoscritto il Servizio Basebear, identificabile attraverso i dati associati al relativo account e, ove applicabili, i dati di fatturazione.

1.3. Il presente DPA costituisce parte integrante dei Termini e condizioni di utilizzo del Servizio Basebear, disponibili all’indirizzo https://basebear.com/it/Terms.aspx, che regolano il rapporto contrattuale tra Basebear S.r.l. e il Cliente.

1.4. Il DPA si applica ai trattamenti di dati personali effettuati da Basebear S.r.l. per conto del Cliente nell’ambito dell’erogazione del Servizio, secondo quanto previsto dal Regolamento (UE) 2016/679.

1.5. Il “Cliente” è il soggetto che determina le finalità e i mezzi essenziali del trattamento dei “Dati del Cliente” in qualità di titolare. Qualora il Cliente operi quale responsabile di un diverso titolare, dichiara di essere legittimato a ricorrere a Basebear quale sub-responsabile; le clausole si applicano, per quanto compatibili, lungo tale catena di incarichi.

1.6. Per “Dati del Cliente” si intendono i dati personali memorizzati nei database, campi, registrazioni e allegati caricati o trattati nel Servizio per conto del Cliente. Per “Servizio” si intende la piattaforma SaaS Basebear, accessibile da basebear.com. Gli altri termini hanno il significato del GDPR.

1.7. Basebear resta autonomo titolare del trattamento per i dati trattati per finalità proprie (ad esempio gestione degli account, comunicazioni commerciali e amministrazione dei pagamenti), come descritto nella Privacy Policy. Il presente DPA non disciplina tali trattamenti autonomi.

2. Descrizione del trattamento

2.1. Basebear tratta i dati personali per conto del Cliente al fine di fornire, gestire, proteggere e mantenere il Servizio di creazione, gestione e condivisione di database online, comprese le attività di assistenza tecnica e sicurezza.

2.2. Il trattamento comprende le operazioni necessarie all'erogazione del Servizio, tra cui registrazione, conservazione, consultazione, modifica, esportazione, backup e cancellazione dei dati.

2.3. I dati trattati possono comprendere dati identificativi, di contatto, professionali e altre informazioni personali inserite autonomamente dal Cliente, comprese, ove applicabili, categorie particolari di dati ai sensi dell'art. 9 GDPR e dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR. Gli interessati possono comprendere clienti, dipendenti, collaboratori, utenti e altri soggetti i cui dati sono gestiti dal Cliente.

2.4. Il trattamento si svolge per la durata del rapporto contrattuale, fatti salvi gli eventuali periodi di conservazione successivi previsti dal presente DPA e dalla normativa applicabile.

2.5. Il Cliente determina le finalità del trattamento e mantiene i diritti e gli obblighi del Titolare del trattamento previsti dal GDPR, secondo quanto disciplinato dal presente DPA.

3. Istruzioni documentate e obblighi del Cliente

3.1. Basebear tratta i Dati del Cliente esclusivamente sulla base delle istruzioni documentate impartite attraverso l'utilizzo e la configurazione del Servizio, le Condizioni di utilizzo e le eventuali richieste scritte del Cliente, nel rispetto della normativa applicabile.

3.2. Qualora il diritto dell’Unione o nazionale cui Basebear è soggetta imponga un trattamento non istruito dal Cliente, Basebear ne informa quest’ultimo prima del trattamento, salvo divieto di legge per rilevanti motivi di interesse pubblico. Basebear avvisa immediatamente il Cliente qualora ritenga che una sua istruzione violi il GDPR o altre norme sulla protezione dei dati.

3.3. Il Cliente determina le finalità e la base giuridica dei trattamenti, fornisce le informative necessarie, gestisce le istanze degli interessati e verifica la legittimità dei dati inseriti. Il Cliente controlla i permessi di accesso, gli utenti autorizzati, la condivisione dei database e la sicurezza delle proprie credenziali.

3.4. Il Cliente, in qualità di Titolare del trattamento, è responsabile della valutazione dell'idoneità del Servizio rispetto alla natura dei dati personali trattati, alle finalità del trattamento e ai rischi connessi, tenendo conto delle misure tecniche e organizzative adottate da Basebear e descritte nell'Allegato A. Il Servizio è fornito con le misure di sicurezza standard previste da Basebear, senza obbligo di concordare misure supplementari o personalizzate con il singolo Cliente, fatti salvi gli obblighi inderogabili previsti dalla normativa applicabile.

4. Riservatezza e persone autorizzate

4.1. Basebear garantisce che le persone autorizzate al trattamento dei Dati del Cliente siano vincolate alla riservatezza per legge o contratto e ricevano accesso ai soli dati necessari per le mansioni assegnate.

4.2. Basebear può accedere ai database e ai dati personali in essi contenuti per fornire assistenza tecnica ai Clienti, effettuare interventi di manutenzione, garantire la sicurezza e il corretto funzionamento del Servizio. Tali accessi sono limitati al personale autorizzato e alle attività necessarie per le suddette finalità, nel rispetto degli obblighi di riservatezza e della normativa applicabile.

5. Sicurezza del trattamento

5.1. Basebear adotta e mantiene misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR, considerando stato dell’arte, costi, natura, contesto e finalità del trattamento. Le misure attualmente descritte sono riepilogate nell’Allegato A.

5.2. Basebear può evolvere le misure tecniche durante l’erogazione del Servizio, preservando un livello di sicurezza complessivamente non inferiore e comunicando le modifiche rilevanti secondo le modalità contrattualmente previste.

6. Ricorso a sub-responsabili

6.1. Con l'accettazione del presente DPA, il Cliente autorizza Basebear a ricorrere ai sub-responsabili indicati nell'Allegato B e a modificarne l'elenco secondo le modalità previste dal presente articolo. Basebear mantiene aggiornato e rende accessibile al Cliente l'elenco dei sub-responsabili.

6.2. Basebear comunica preventivamente al Cliente, tramite il recapito elettronico associato al rapporto contrattuale, le modifiche previste relative all'aggiunta o alla sostituzione di sub-responsabili, nel rispetto dell'art. 28, par. 2, del GDPR.

6.3. In caso di opposizione motivata del Cliente, Basebear non è tenuta a individuare o adottare soluzioni alternative o personalizzate. Qualora l'opposizione impedisca il ricorso a un sub-responsabile necessario per l'erogazione del Servizio, le parti potranno risolvere il rapporto contrattuale relativo al Servizio interessato, nel rispetto degli obblighi di restituzione e cancellazione dei dati previsti dal presente DPA.

6.4. Basebear si avvale di sub-responsabili sulla base di accordi contrattuali, anche standard, che prevedano obblighi di protezione dei dati conformi all'art. 28, par. 4, del GDPR.

6.5. Basebear rimane responsabile nei confronti del Cliente dell'adempimento degli obblighi dei sub-responsabili, nei termini previsti dalla normativa applicabile.

7. Trasferimenti e accessi internazionali

7.1. Basebear effettua eventuali trasferimenti di dati personali verso Paesi esterni allo Spazio economico europeo nel rispetto delle istruzioni documentate del Cliente e delle disposizioni del Capo V del GDPR, applicando le garanzie previste dalla normativa vigente.

8. Esercizio dei diritti e assistenza al Cliente

8.1. Tenuto conto della natura del trattamento, Basebear assiste il Cliente, per quanto possibile, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati ai sensi del capo III GDPR. Le funzioni di consultazione, rettifica, esportazione e cancellazione del Servizio possono essere utilizzate dal Cliente secondo le rispettive caratteristiche.

8.2. Se riceve direttamente una richiesta relativa ai Dati del Cliente, Basebear la inoltra al Cliente senza ingiustificato ritardo, salvo diversa disposizione di legge, senza assumere decisioni sulle finalità del trattamento.

8.3. Tenuto conto della natura del trattamento e delle informazioni disponibili, Basebear presta ragionevole assistenza per sicurezza, gestione delle violazioni, valutazioni d’impatto e consultazione preventiva dell’autorità di controllo, ai sensi degli artt. 32–36 GDPR.

9. Violazioni dei dati personali

9.1. Basebear informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione di dati personali riguardante i Dati del Cliente. Le notifiche sono inviate ai recapiti comunicati dal Cliente, con modalità adeguate alla gravità dell’evento.

9.2. Basebear comunica progressivamente le informazioni ragionevolmente disponibili sulla natura dell’evento, sulle categorie di dati e interessati coinvolti, sulle probabili conseguenze, sulle misure adottate o previste e sui recapiti di coordinamento. Collabora con il Cliente per gli eventuali adempimenti di notifica e comunicazione di cui agli artt. 33 e 34 GDPR.

10. Restituzione, esportazione e cancellazione

10.1. Il Cliente può esportare i propri dati utilizzando le funzionalità disponibili nel Servizio. Alla cessazione del Servizio, in assenza di diverse istruzioni documentate del Cliente, Basebear provvede alla cancellazione dei dati personali trattati per suo conto e delle relative copie, salvo obblighi di conservazione previsti dalla legge, nel rispetto dell'art. 28, par. 3, lett. g), del GDPR.

10.2. La cancellazione delle copie residue, comprese quelle presenti nei sistemi di backup, avviene secondo le procedure tecniche e i normali cicli di conservazione adottati da Basebear, garantendo nel frattempo la protezione dei dati.

10.3. Restano esclusi dalla cancellazione i dati la cui conservazione sia richiesta dalla normativa applicabile, limitatamente alle finalità e ai periodi previsti dalla legge.

11. Informazioni e verifiche

11.1. Basebear mette a disposizione del Cliente, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 del GDPR, anche mediante documentazione relativa alle misure tecniche e organizzative adottate.

11.2. Basebear consente e contribuisce alle attività di verifica previste dall'art. 28, par. 3, lett. h), del GDPR, secondo modalità proporzionate, privilegiando, ove adeguato, l'esame documentale e tutelando la sicurezza del Servizio, la riservatezza dei dati degli altri clienti e la continuità operativa.

12. Rapporto con gli altri documenti contrattuali

12.1. Il presente DPA costituisce parte integrante del Contratto principale per i trattamenti di dati personali svolti da Basebear per conto del Cliente. In caso di contrasto, il DPA prevale per gli aspetti della protezione dei dati, limitatamente a quanto necessario per garantire il rispetto delle norme inderogabili.

12.2. Ciascuna parte conserva le responsabilità previste dal GDPR. Nessuna clausola limita i diritti degli interessati o esclude gli obblighi e le responsabilità inderogabili previsti, in particolare, dagli artt. 28, 82 e 83 GDPR.

12.3. Il DPA è disciplinato dal diritto italiano, ferme restando le disposizioni direttamente applicabili dell’Unione europea.

13. Accettazione elettronica, efficacia e modifiche

13.1. Il presente DPA si applica al Cliente identificato nel Contratto principale a seguito della valida accettazione delle Condizioni di utilizzo che lo richiamano espressamente, oppure mediante altro consenso contrattuale espresso e registrabile. La conclusione del contratto in forma elettronica è consentita dall’art. 28, par. 9 GDPR e non richiede necessariamente la firma autografa del presente testo.

13.2. Il presente DPA costituisce parte integrante delle Condizioni di utilizzo del Servizio Basebear e si applica secondo le modalità di accettazione e modifica contrattuale ivi previste.

13.3. Le modifiche sostanziali del DPA vengono comunicate al Cliente e diventano vincolanti secondo un meccanismo contrattuale valido e documentabile.

Allegato A — Misure tecniche e organizzative

Basebear adotta le seguenti misure tecniche e organizzative per garantire la sicurezza dei dati personali trattati nell'ambito del Servizio:

Allegato B — Sub-responsabili

Fornitore: AMAZON WEB SERVICES EMEA SARL
Servizi: Infrastruttura cloud per l'hosting, l'elaborazione, la conservazione e il backup dei dati del Servizio Basebear.
Ubicazione: Infrastruttura situata in Europa, secondo la configurazione dei servizi utilizzati da Basebear.