RESPONSABILITÀ DEI FORNITORI TERZI NEL TRATTAMENTO DEI DATI PERSONALI

RESPONSABILITÀ DEI FORNITORI TERZI NEL TRATTAMENTO DEI DATI PERSONALI

La presente informativa descrive i principi applicati da Erovano quando determinate attività di trattamento dei dati personali vengono affidate a fornitori terzi che operano per conto del titolare del trattamento.

La gestione dei rapporti con tali soggetti avviene nel rispetto del Regolamento (UE) 2016/679 ("GDPR"), con particolare riferimento all'articolo 28, nonché della normativa italiana applicabile in materia di protezione dei dati personali.

L'utilizzo di fornitori esterni non comporta il trasferimento indiscriminato della responsabilità relativa alla protezione dei dati personali. Erovano mantiene gli obblighi che la normativa attribuisce al titolare del trattamento e seleziona i propri fornitori sulla base delle garanzie offerte in relazione alla sicurezza, alla riservatezza e alla corretta gestione dei dati.

1. RUOLO DEI FORNITORI TERZI

Nell'ambito della gestione del sito erovano.com e delle attività connesse alla vendita online, alcuni servizi possono essere forniti da soggetti terzi.

A seconda delle attività concretamente svolte e del grado di autonomia nella determinazione delle finalità e dei mezzi del trattamento, un soggetto terzo può operare come responsabile del trattamento per conto di Erovano oppure, nei casi previsti dalla normativa, come autonomo titolare del trattamento.

La qualificazione giuridica del soggetto viene determinata sulla base delle attività effettivamente svolte e non esclusivamente sulla base della denominazione utilizzata nel contratto commerciale.

2. SELEZIONE DEI RESPONSABILI DEL TRATTAMENTO

Quando un trattamento deve essere effettuato per conto di Erovano, vengono utilizzati esclusivamente responsabili del trattamento che presentino garanzie sufficienti in relazione all'adozione di misure tecniche e organizzative adeguate.

La selezione può tenere conto, ove pertinente, dell'esperienza del fornitore, delle procedure di sicurezza adottate, delle modalità di controllo degli accessi, delle misure di protezione delle infrastrutture, delle procedure di risposta agli incidenti, della gestione dei sub-responsabili e delle informazioni disponibili in materia di conformità alla normativa sulla protezione dei dati.

Le verifiche effettuate vengono adattate alla natura del servizio, al tipo di dati trattati, alla quantità delle informazioni coinvolte e ai rischi potenziali per gli interessati.

3. CONTRATTO O ALTRO ATTO GIURIDICO

Il trattamento effettuato da un responsabile per conto di Erovano è disciplinato da un contratto o da altro atto giuridico vincolante conforme all'articolo 28 del GDPR.

Tale disciplina specifica, ove applicabile, la materia e la durata del trattamento, la natura e le finalità delle operazioni effettuate, le categorie di dati personali interessate, le categorie di interessati coinvolti e i rispettivi diritti e obblighi.

Le istruzioni relative al trattamento devono essere sufficientemente chiare e documentate in modo da delimitare le attività che il fornitore è autorizzato a svolgere.

4. TRATTAMENTO SOLO SU ISTRUZIONI DOCUMENTATE

Un responsabile del trattamento può trattare i dati personali affidati da Erovano esclusivamente sulla base di istruzioni documentate del titolare, salvo che un obbligo previsto dal diritto dell'Unione europea o dal diritto nazionale applicabile imponga un diverso trattamento.

Il fornitore non è autorizzato a utilizzare autonomamente i dati affidati per finalità incompatibili o estranee all'esecuzione del servizio concordato.

Qualora il responsabile ritenga che un'istruzione possa violare il GDPR o altra normativa applicabile in materia di protezione dei dati, deve informare il titolare secondo quanto previsto dalla disciplina applicabile.

5. LIMITAZIONE DELLE FINALITÀ

I dati messi a disposizione di un fornitore devono essere trattati esclusivamente nella misura necessaria allo svolgimento delle attività per le quali il fornitore è stato incaricato.

Un fornitore incaricato, ad esempio, di supportare la gestione logistica non deve utilizzare i dati ricevuti per proprie attività pubblicitarie indipendenti, salvo che disponga di una distinta base giuridica e operi in qualità di autonomo titolare nel rispetto degli obblighi previsti dal GDPR.

Analogamente, un fornitore tecnico non deve accedere a informazioni personali ulteriori rispetto a quelle necessarie per erogare il proprio servizio.

6. PRINCIPIO DI MINIMIZZAZIONE

Erovano applica il principio di minimizzazione dei dati anche nei rapporti con i fornitori terzi.

Quando tecnicamente e operativamente possibile, vengono comunicati al fornitore esclusivamente i dati personali necessari per l'esecuzione dello specifico servizio.

Le categorie di dati trasmesse possono variare in funzione dell'attività richiesta. Ad esempio, un prestatore incaricato della consegna può avere necessità di ricevere informazioni utili all'identificazione del destinatario e all'esecuzione della consegna, senza che ciò comporti automaticamente l'accesso ad altre informazioni non pertinenti.

7. OBBLIGO DI RISERVATEZZA

Il responsabile del trattamento deve garantire che le persone autorizzate a trattare i dati personali siano vincolate a obblighi adeguati di riservatezza o siano soggette a un equivalente obbligo previsto dalla legge.

L'accesso ai dati deve essere limitato ai soggetti che ne abbiano effettiva necessità per lo svolgimento delle attività affidate.

L'obbligo di riservatezza può continuare ad applicarsi anche dopo la cessazione del rapporto contrattuale, nei limiti previsti dal contratto e dalla normativa applicabile.

8. MISURE DI SICUREZZA

I fornitori che trattano dati personali per conto di Erovano devono adottare misure tecniche e organizzative adeguate al rischio, conformemente ai requisiti del GDPR e, in particolare, all'articolo 32.

Le misure possono comprendere, ove appropriate, controlli degli accessi, sistemi di autenticazione, procedure per la gestione delle credenziali, cifratura, sistemi di registrazione degli accessi, backup, procedure di ripristino, aggiornamenti di sicurezza e misure volte a garantire la riservatezza, l'integrità e la disponibilità dei dati.

La scelta delle misure deve tenere conto dello stato dell'arte, dei costi di attuazione, della natura del trattamento, del contesto, delle finalità e dei rischi per i diritti e le libertà delle persone fisiche.

9. SUB-RESPONSABILI DEL TRATTAMENTO

Un responsabile del trattamento non può affidare a sua volta determinate attività di trattamento a un ulteriore responsabile senza la preventiva autorizzazione scritta, specifica o generale, di Erovano, nei casi in cui tale autorizzazione sia richiesta dall'articolo 28 del GDPR.

In caso di autorizzazione generale, il responsabile deve informare il titolare delle modifiche previste relative all'aggiunta o alla sostituzione di sub-responsabili, secondo le modalità concordate, consentendo al titolare di esercitare gli eventuali diritti di opposizione previsti.

Al sub-responsabile devono essere imposti obblighi in materia di protezione dei dati sostanzialmente coerenti con quelli applicabili al responsabile principale.

Quando un sub-responsabile non adempie ai propri obblighi in materia di protezione dei dati, il responsabile iniziale mantiene nei confronti del titolare la responsabilità prevista dall'articolo 28, paragrafo 4, del GDPR per l'adempimento degli obblighi del sub-responsabile.

10. TRASFERIMENTI INTERNAZIONALI DI DATI

Quando l'utilizzo di un fornitore comporta il trasferimento di dati personali verso un Paese situato al di fuori dello Spazio Economico Europeo, Erovano verifica che il trasferimento avvenga nel rispetto del Capo V del GDPR.

A seconda delle circostanze, il trasferimento può basarsi su una decisione di adeguatezza della Commissione europea, sulle clausole contrattuali standard adottate o approvate dalla Commissione europea oppure su un altro meccanismo legalmente riconosciuto.

Quando richiesto, vengono inoltre valutate le misure supplementari tecniche, contrattuali o organizzative necessarie in relazione al Paese di destinazione e alle caratteristiche del trattamento.

11. ASSISTENZA NELL'ESERCIZIO DEI DIRITTI

Tenendo conto della natura del trattamento, il responsabile deve assistere Erovano, attraverso misure tecniche e organizzative appropriate, nell'adempimento degli obblighi relativi alle richieste degli interessati.

Tale collaborazione può riguardare, nei casi pertinenti, richieste di accesso, rettifica, cancellazione, limitazione, opposizione o portabilità dei dati.

Salvo che il fornitore operi autonomamente come titolare per uno specifico trattamento, le richieste ricevute direttamente dal responsabile relative a dati trattati per conto di Erovano devono essere gestite secondo le istruzioni concordate con il titolare.

12. VIOLAZIONI DEI DATI PERSONALI

Qualora un responsabile venga a conoscenza di una violazione dei dati personali trattati per conto di Erovano, deve informare il titolare senza ingiustificato ritardo, in conformità all'articolo 33, paragrafo 2, del GDPR.

Il responsabile deve fornire, nella misura in cui siano disponibili, le informazioni utili per consentire a Erovano di valutare natura, portata e possibili conseguenze della violazione e di adempiere agli eventuali obblighi di notifica all'autorità di controllo o di comunicazione agli interessati.

Il responsabile deve inoltre collaborare, ove necessario, all'adozione delle misure di contenimento, ripristino e mitigazione delle conseguenze dell'incidente.

13. ASSISTENZA NEGLI OBBLIGHI DI CONFORMITÀ

Tenendo conto della natura del trattamento e delle informazioni disponibili, il responsabile assiste Erovano nell'adempimento degli obblighi applicabili relativi alla sicurezza del trattamento, alla gestione delle violazioni dei dati personali, alle valutazioni d'impatto sulla protezione dei dati e, ove necessario, alle consultazioni preventive con l'autorità di controllo.

L'entità concreta dell'assistenza può dipendere dal servizio fornito e dalla quantità di informazioni effettivamente disponibili al responsabile.

14. MONITORAGGIO E VERIFICA DEI FORNITORI

La verifica dell'idoneità di un responsabile non termina necessariamente al momento della stipulazione del contratto.

Erovano può effettuare verifiche periodiche proporzionate alla natura del servizio e ai rischi del trattamento, anche attraverso documentazione, attestazioni, questionari di conformità, informazioni tecniche o altre procedure ragionevolmente appropriate.

Il responsabile deve mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi applicabili e consentire o contribuire, nei limiti previsti dal GDPR e dal contratto, ad attività di verifica e audit.

15. AUDIT E ISPEZIONI

Nei casi previsti dall'accordo sul trattamento dei dati, Erovano può svolgere o incaricare soggetti qualificati di svolgere verifiche relative alle attività effettuate dal responsabile.

Tali verifiche vengono organizzate in modo proporzionato, tenendo conto della natura del servizio, dei rischi, della riservatezza delle infrastrutture del fornitore e dell'esigenza di non compromettere la sicurezza o i dati di altri clienti.

Eventuali criticità rilevate possono comportare la richiesta di misure correttive entro termini proporzionati alla loro gravità.

16. CONSERVAZIONE E CANCELLAZIONE DEI DATI

Il responsabile non deve conservare i dati personali per un periodo superiore a quello necessario alle finalità per cui vengono trattati per conto di Erovano, salvo che la conservazione sia richiesta da un obbligo di legge applicabile.

Alla conclusione del servizio, il responsabile deve, secondo le istruzioni del titolare e nei limiti previsti dalla normativa, cancellare o restituire i dati personali e cancellare le eventuali copie residue, salvo che il diritto dell'Unione europea o nazionale ne imponga la conservazione.

17. RESPONSABILITÀ DEL RESPONSABILE DEL TRATTAMENTO

Il responsabile è tenuto a rispettare gli obblighi direttamente applicabili previsti dal GDPR e le disposizioni contenute nell'accordo che disciplina il trattamento.

Qualora un responsabile determini autonomamente finalità e mezzi di un trattamento in violazione delle istruzioni ricevute o al di fuori del ruolo affidato, la sua qualificazione e le relative responsabilità vengono valutate secondo quanto previsto dalla normativa applicabile.

Nessuna disposizione contrattuale può eliminare le responsabilità attribuite direttamente al responsabile dal GDPR o impedire agli interessati di esercitare i diritti riconosciuti dalla legge.

18. RESPONSABILITÀ DI EROVANO COME TITOLARE

L'utilizzo di un responsabile esterno non esonera Erovano dagli obblighi che il GDPR attribuisce al titolare del trattamento.

Erovano mantiene la responsabilità di determinare le finalità e i mezzi essenziali dei trattamenti effettuati sotto la propria autorità e di adottare misure adeguate per dimostrare il rispetto dei principi applicabili.

Ciò comprende la selezione di fornitori adeguati, la definizione di istruzioni documentate, la verifica delle garanzie offerte e, quando appropriato, il monitoraggio delle attività affidate.

19. FORNITORI CHE OPERANO COME TITOLARI AUTONOMI

Non tutti i soggetti terzi coinvolti nella fornitura di un servizio operano necessariamente come responsabili del trattamento per conto di Erovano.

Determinati soggetti possono essere tenuti, sulla base della normativa applicabile e delle attività effettivamente svolte, a determinare autonomamente alcune finalità e modalità del trattamento e possono pertanto operare come titolari autonomi.

In tali circostanze, il soggetto terzo è direttamente responsabile dell'adempimento degli obblighi che il GDPR attribuisce al titolare per i trattamenti effettuati sotto la propria responsabilità.

20. PIATTAFORME TECNOLOGICHE E SERVIZI DI E-COMMERCE

Erovano utilizza infrastrutture e servizi tecnologici necessari alla gestione del negozio online. Il ruolo privacy di ciascun fornitore viene determinato in relazione allo specifico servizio e al trattamento concretamente effettuato.

L'utilizzo di una piattaforma tecnologica non autorizza automaticamente il fornitore a utilizzare tutti i dati raccolti attraverso il negozio per finalità proprie.

Le modalità di trattamento applicabili devono essere disciplinate dalle condizioni contrattuali, dagli accordi sulla protezione dei dati e, ove necessario, dalle informative messe a disposizione degli interessati.

21. FORNITORI DI PAGAMENTO

I dati necessari per l'esecuzione di un pagamento possono essere comunicati ai prestatori di servizi di pagamento utilizzati nell'ambito della transazione.

La quantità e la tipologia dei dati trattati dipendono dal metodo di pagamento scelto e dalle modalità tecniche adottate dal relativo prestatore.

Alcuni prestatori di pagamento possono operare come autonomi titolari per determinate attività richieste dalla normativa finanziaria, dalla prevenzione delle frodi o dalla gestione delle transazioni. In tali casi, il relativo trattamento è soggetto anche alle informative e agli obblighi propri del prestatore.

22. FORNITORI LOGISTICI E DI CONSEGNA

Per consentire la consegna degli ordini, possono essere comunicati ai soggetti incaricati della logistica i dati strettamente necessari all'organizzazione e all'esecuzione della consegna.

Tali informazioni possono comprendere, ove necessario, il nominativo del destinatario, l'indirizzo di consegna e i recapiti necessari per coordinare la consegna.

Il fornitore deve utilizzare tali informazioni in conformità al proprio ruolo e alle finalità per cui sono state comunicate.

23. SERVIZI DI ASSISTENZA E SUPPORTO TECNICO

Alcuni fornitori possono avere accesso limitato a informazioni personali quando tale accesso è necessario per svolgere attività di assistenza tecnica, manutenzione, gestione delle richieste dei clienti o risoluzione di problemi operativi.

L'accesso deve essere limitato alle informazioni necessarie per la specifica attività e soggetto alle misure di autorizzazione e riservatezza applicabili.

24. MODIFICHE DEI FORNITORI

Erovano può modificare i fornitori utilizzati per determinate attività quando ciò sia necessario per ragioni operative, tecniche, organizzative o commerciali.

L'introduzione di nuovi fornitori che trattano dati personali deve essere valutata secondo i criteri di conformità applicabili e non deve comportare una riduzione dei diritti inderogabili riconosciuti agli interessati.

25. DIRITTI DEGLI INTERESSATI

Il ricorso a fornitori terzi non limita i diritti riconosciuti agli interessati dal GDPR.

Nei casi previsti dalla normativa, gli interessati possono esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei dati, nonché gli altri diritti applicabili in relazione al trattamento dei propri dati personali.

Quando una richiesta riguarda dati trattati da un responsabile per conto di Erovano, il fornitore collabora con il titolare nella misura necessaria per consentire una corretta gestione della richiesta.

26. RAPPORTO CON L'INFORMATIVA SULLA PRIVACY

La presente pagina integra l'Informativa sulla Privacy pubblicata sul sito erovano.com e deve essere letta congiuntamente alle altre informazioni relative al trattamento dei dati personali.

In caso di contrasto tra una disposizione della presente pagina e una norma inderogabile del GDPR o della normativa italiana applicabile, prevale la disposizione normativa.

27. AGGIORNAMENTO DELLA PRESENTE INFORMATIVA

Erovano può aggiornare la presente informativa per riflettere modifiche normative, tecniche, organizzative o variazioni nelle modalità di utilizzo dei fornitori.

Eventuali aggiornamenti vengono pubblicati sul sito e non limitano i diritti inderogabili riconosciuti agli interessati dalla normativa applicabile.

28. CONTATTI

Per richieste relative al trattamento dei dati personali da parte di Erovano o dei fornitori che operano per suo conto, è possibile utilizzare i seguenti recapiti: