Estratto dell’Accordo di Contitolarità del Trattamento dei Dati Personali secondo l’art. 26 del Regolamento UE 2016/679 (“GDPR”)

4U Italia S.r.l., società specializzata in attività di contact center e CRM, con sede legale in Milano, Via Giacomo Leopardi, 26, P.IVA e C.F.08446140967.

e

7C Italia S.r.l., società controllata da 4U, operante nel campo del contact center e delle ricerche di mercato, con sede in Milano, Via Giacomo Leopardi, 26, P.IVA 06527400821.

(collettivamente "i Contitolari").

• Premesse:
  - le due società hanno concordato di avviare un progetto imprenditoriale per la realizzazione del sito web di comparazione risparmioconunclick.com, con l'intento di raccogliere dati di contatto per la promozione di offerte commerciali in rappresentanza di terzi committenti.
  - In virtù dell'articolo 26 del GDPR, le società si impegnano a definire trasparentemente le responsabilità reciproche in termini di conformità agli obblighi del GDPR.
• Ruoli e Responsabilità:
  - Entrambe le Parti si impegnano a garantire il rispetto delle misure di sicurezza nel trattamento dei dati personali e nell'organizzazione interna, secondo le direttive del GDPR. Le informazioni essenziali relative al trattamento dei dati e le disposizioni del presente accordo saranno fornite agli interessati.
  - 4U Italia S.r.l. sarà principalmente responsabile della gestione tecnica del sito web e della sicurezza dell'infrastrutura IT. 7C Italia S.r.l. sarà principalmente responsabile della gestione delle richieste degli interessati e della formazione del personale. Entrambi i Contitolari rimangono solidalmente responsabili per tutti gli obblighi previsti dal GDPR.
• Scopo e Natura della Contitolarità:
  - I Contitolari concordano che la loro contitolarità si riferisce esclusivamente ai trattamenti di dati personali effettuati per le attività di raccolta di liste di contatto e finalità di marketing per i propri clienti e i Committenti. La contitolarità non include le fasi di contrattualizzazione formale, la gestione del personale, la contabilità, e l'infrastruttura IT, che rimangono di competenza separata delle due società.
  - I Contitolari si impegnano a definire congiuntamente le finalità e i mezzi del trattamento per le attività specificate, inclusa la determinazione delle tecnologie utilizzate e le procedure di raccolta dei dati.
• Categorie di dati personali e modalità di trattamento:
  Il trattamento prevede la raccolta, l’organizzazione, la conservazione, l’elaborazione, l’estrazione, la consultazione, l’uso e la comunicazione di dati personali di tipo identificativo e di contato in genere quali ad es. nome, cognome; codice fiscale; e-mail; numero telefonico; cellulare; indirizzo postale.
• Finalità del trattamento e basi giuridiche
  I dati personali raccolti saranno trattati dai Contitolari dare seguito ai servizi richiesti on line, per le finalità di gestione e l’esecuzione di rapporti precontrattuali (art. 6.1.b GDPR), e sulla base della raccolta di uno specifico consenso (art. 6.1.a GDPR), per essere utilizzati dai Contitolari, per le ulteriori finalità di contatto ai fini presentare offerte, promozioni e opportunità commerciali ovvero per il compimento di ricerche di mercato.
• Misure di sicurezza specifiche:
  I Contitolari adottano adeguate misure di sicurezza tecniche e organizzative di cui all’art. 32 del GDPR a tutela dei dati personali oggetto del trattamento per proteggere i dati raccolti dai rischi di accessi non autorizzati, perdita o divulgazione, quali: a) Crittografia dei dati in transito e a riposo; b) Controlli degli accessi basati sul principio del minimo privilegio; c) Autenticazione a più fattori per l'accesso ai sistemi; d) Backup regolari e procedure di disaster recovery; e) Formazione periodica del personale sulla sicurezza dei dati. I Contitolari si impegnano a rivedere e aggiornare queste misure almeno annualmente.
• Gestione delle violazioni dei dati:
  In caso di violazione dei dati personali, i Contitolari si impegnano a: a) Notificarsi reciprocamente entro 24 ore dalla scoperta della violazione; b) Collaborare nell'indagine e nella mitigazione della violazione; c) Notificare l'Autorità di controllo entro 72 ore, se necessario; d) Informare gli interessati, se richiesto dall'art. 34 del GDPR; e) Mantenere un registro comune delle violazioni dei dati.
• Valutazione d'impatto sulla protezione dei dati:
  I Contitolari si impegnano a condurre una valutazione d'impatto sulla protezione dei dati (DPIA) prima di iniziare il trattamento, e a rivederla annualmente o in caso di cambiamenti significativi nel trattamento. La DPIA includerà: a) Una descrizione sistematica del trattamento previsto; b) Una valutazione della necessità e proporzionalità del trattamento; c) Una valutazione dei rischi per i diritti e le libertà degli interessati; d) Le misure previste per affrontare i rischi.
• Trasferimento dei Dati:
  Non è previsto alcun trasferimento di dati personali al di fuori dell'Unione Europea.
• Diritti degli Interessati:
  Gli interessati possono esercitare i loro diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) contattando il DPO all'indirizzo dpo@4uitalia.it o tramite il modulo disponibile online htps://www.4uitalia.it/modulo-esercizio-diritti-privacy/. I Contitolari si impegnano a rispondere alle richieste entro un mese, estendibile a due mesi in casi di particolare complessità.
• Durata e Terminazione:
  questo accordo rimane in vigore per la durata del Progetto e/o fino a quando è necessario il trattamento dei dati personali. Il mancato rispetto delle disposizioni può comportare la risoluzione dell'accordo.
• Revisione dell'accordo:
  I Contitolari si impegnano a rivedere questo accordo annualmente o in caso di cambiamenti significativi nel tratamento dei dati. Ogni modifica all'accordo deve essere concordata per iscrito da entrambe le parti.