Addendum sul trattamento dei dati

Il presente Addendum sul trattamento dei dati (il"DPA") è incorporato e costituisce parte integrante del Contratto di abbonamento principale o di altro accordo (il"Contratto") tra SnapLogic e la parte identificata nel Contratto come"Cliente"(insieme le"Parti"). I termini in maiuscolo utilizzati nel presente DPA ma non definiti nel presente documento avranno il significato indicato nel Contratto.

1. Oggetto e durata.

Oggetto. Il presente DPA riflette l'impegno delle Parti a rispettare le leggi applicabili in materia di protezione dei dati relative al trattamento dei dati personali nella fornitura dei Servizi SnapLogic ai sensi del Contratto. Nella misura in cui il testo del presente DPA o di uno qualsiasi dei suoi Allegati sia in conflitto con il Contratto, prevarrà il presente DPA.
Durata e sopravvivenza. Il presente DPA entra in vigore alla data in cui è stato debitamente sottoscritto da entrambe le Parti e costituisce parte integrante dell'Accordo stipulato tra le Parti. SnapLogic tratterà i Dati personali fino alla scadenza dell'Accordo. Gli obblighi di SnapLogic e i diritti del Cliente ai sensi del presente DPA continueranno ad avere efficacia fintantoché SnapLogic tratterà i Dati personali.

2. Definizioni.

Ai fini del presente DPA, si applicano i seguenti termini.

"Leggi applicabili in materia di protezione dei dati" indica tutte le leggi e i regolamenti internazionali in materia di protezione dei dati e privacy applicabili ai Dati personali in questione (come di volta in volta modificati, sostituiti o sostituiti), inclusi, ove applicabile:
- “Legge UE sulla protezione dei dati”: Regolamento 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati) (“GDPR”) e la Direttiva UE sulla privacy elettronica (Direttiva 2002/58/CE), ciascuno come implementato e recepito nella legislazione locale da qualsiasi Stato membro dell'UE.
- «DPA svizzera»: la legge federale svizzera sulla protezione dei dati del 1992.
- "Legge britannica sulla protezione dei dati": il Data Protection Act britannico e il GDPR, incorporati nella legislazione britannica dal Data Protection Act 2018 e modificati dal Data Protection, Privacy and Electronic Communications (Amendments etc.) (EU Exit) Regulations 2019.
- "Legge statunitense sulla protezione dei dati": tutte le leggi e i regolamenti statali applicabili in materia di protezione dei dati, nella versione di volta in volta modificata o sostituita, compresa la California Privacy Rights Act ("CPRA"); Colorado Privacy Act; Connecticut Personal Data Privacy and Online Monitoring Act; Delaware Personal Data Privacy Act; Indiana Consumer Data Protection Act; Iowa Consumer Data Protection Act; Montana Consumer Data Privacy Act; Oregon Consumer Privacy Act; Tennessee Information Protection Act; Texas Data Privacy and Security Act; Utah Consumer Privacy Act; Virginia Consumer Data Protection Act.
I termini "Titolare del trattamento", "Responsabile del trattamento", "Interessato"e"Trattamento"(indipendentemente dal fatto che siano scritti in maiuscolo o minuscolo) hanno il significato loro attribuito dal GDPR e includono termini equivalenti presenti in altre leggi applicabili in materia di protezione dei dati, in ciascun caso applicabili ai Servizi.
Per"Dati personali"si intendono tutti i Dati dei clienti: (a) relativi a una persona fisica identificata o identificabile, ai sensi del GDPR (indipendentemente dal fatto che il GDPR sia applicabile), (b) che costituiscono "informazioni personali" come definite nella Legge statunitense sulla protezione dei dati e (c) termini equivalenti in altre Leggi applicabili sulla protezione dei dati. Per"SCC"o"Clausole contrattuali standard"si intendono le Clausole contrattuali standard per il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi ai sensi del GDPR, approvate dalla Decisione di esecuzione 2021/914 della Commissione europea. L'Allegato A al presente DPA contiene alcune disposizioni interpretative e integrative relative all'applicazione delle Clausole contrattuali standard.
Per "Misure di sicurezza" si intendono le misure di sicurezza applicabili ai Servizi specifici acquistati dal Cliente, aggiornate di volta in volta, comprese almeno le misure indicate nell'Allegato II.
Per "Incidenti di sicurezza"si intende la violazione della sicurezza che porta alla perdita accidentale o illegale, alla divulgazione non autorizzata o all'accesso non autorizzato ai Dati personali dei clienti trattati da SnapLogic.
Per "Servizi"si intendono tutti i servizi forniti da SnapLogic ai sensi del Contratto.
Per"sub-responsabile del trattamento"si intendono i contraenti, agenti, fornitori e fornitori di servizi terzi autorizzati da SnapLogic (ovvero sub-responsabili del trattamento) che trattano i dati personali.

3. Utilizzo e trattamento dei dati.

Conformità alle leggi. I Dati personali saranno trattati in conformità con i termini del presente DPA e con tutte le leggi applicabili in materia di protezione dei dati.
Istruzioni documentate. SnapLogic e i suoi sub-responsabili del trattamento tratteranno i dati personali solo in conformità con le istruzioni documentate del Cliente o come specificatamente autorizzato dal presente DPA, dal Contratto o da qualsiasi Dichiarazione di lavoro applicabile. SnapLogic, salvo che ciò sia vietato dalla legge, informerà per iscritto il Cliente se ritiene ragionevolmente che vi sia un conflitto tra le istruzioni del Cliente e la legge applicabile o se intende altrimenti trattare i dati personali in modo non conforme alle istruzioni del Cliente.
Autorizzazione all'utilizzo di sub-responsabili del trattamento. Nella misura necessaria all'adempimento degli obblighi contrattuali di SnapLogic ai sensi del Contratto o di qualsiasi Dichiarazione di lavoro, il Cliente autorizza SnapLogic a coinvolgere sub-responsabili del trattamento. Qualsiasi trattamento dei Dati personali da parte dei sub-responsabili del trattamento dovrà essere coerente con le istruzioni documentate del Cliente e conforme a tutte le leggi applicabili in materia di protezione dei dati.
Conformità di SnapLogic e dei sub-responsabili del trattamento. SnapLogic accetta di (i) stipulare un accordo scritto con ciascun sub-responsabile del trattamento in merito al trattamento dei dati personali che imponga a tale sub-responsabile del trattamento requisiti di protezione e sicurezza dei dati personali conformi alle leggi applicabili in materia di protezione dei dati; e (ii) rimanere responsabile nei confronti del Cliente per il mancato adempimento da parte dei sub-responsabili del trattamento di SnapLogic dei propri obblighi in materia di trattamento dei dati personali in conformità con tali istruzioni, il Contratto e il presente DPA.
Diritto di opporsi ai sub-responsabili del trattamento. SnapLogic metterà a disposizione del Cliente l'elenco aggiornato dei sub-responsabili del trattamento dei Servizi che trattano i Dati personali forniti dal Cliente https://www.snaplogic.com/privacy-subprocessors ("Elenco dei sub-responsabili del trattamento"). SnapLogic metterà a disposizione del Cliente un meccanismo di iscrizione per ricevere notifiche relative a nuovi Sub-responsabili del trattamento. SnapLogic fornirà ai Clienti iscritti un preavviso di almeno trenta (30) giorni prima di autorizzare i nuovi Sub-responsabili del trattamento a trattare i Dati personali tramite i Servizi. Se il Cliente ha obiezioni legittime alla nomina di un nuovo Sub-responsabile del trattamento, le parti collaboreranno in buona fede per risolvere i motivi dell'obiezione per un massimo di trenta (30) giorni e, in mancanza di tale risoluzione, il Cliente potrà rescindere la parte del Servizio eseguita ai sensi del Contratto che non può essere eseguita da SnapLogic senza l'utilizzo del Sub-responsabile del trattamento oggetto dell'obiezione. SnapLogic rimborserà al Cliente le tariffe prepagate in proporzione alla parte del Servizio risolta.
Riservatezza. Qualsiasi persona o sub-responsabile del trattamento autorizzato a trattare i dati personali deve accettare di mantenere la riservatezza di tali informazioni o essere soggetto a un adeguato obbligo di riservatezza etico, legale o contrattuale.
Richieste e domande relative ai dati personali. SnapLogic si impegna a rispettare tutte le istruzioni ragionevoli fornite dal Cliente in relazione a qualsiasi richiesta da parte di individui/interessati che esercitano i propri diritti in materia di dati personali loro concessi ai sensi delle leggi applicabili in materia di protezione dei dati ("Richiesta di privacy"). Su richiesta del Cliente e senza indebiti ritardi, SnapLogic si impegna ad assistere il Cliente nel rispondere o ottemperare a qualsiasi Richiesta di privacy, nella misura in cui ciò sia possibile.
Valutazione d'impatto sulla protezione dei dati e consultazione preventiva. SnapLogic si impegna a fornire assistenza ragionevole a spese del Cliente qualora, a giudizio del Cliente, il tipo di Trattamento effettuato da SnapLogic possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche (ad esempio, profilazione sistematica ed estesa, trattamento di dati personali sensibili su larga scala o monitoraggio sistematico su larga scala, o qualora il trattamento utilizzi nuove tecnologie) e richieda quindi una valutazione d'impatto sulla protezione dei dati e/o una consultazione preventiva con le autorità competenti in materia di protezione dei dati.
Conformità dimostrabile. SnapLogic si impegna a conservare i registri delle proprie attività di trattamento in conformità con le leggi applicabili in materia di protezione dei dati e a fornire al Cliente, su richiesta ragionevole, tutti i registri necessari a dimostrare tale conformità.
Requisiti CPRA. Per quanto riguarda i Dati personali a cui si applica il CPRA (i termini in maiuscolo utilizzati in questa sezione hanno il significato indicato nel CPRA):
1. SnapLogic agirà in qualità di fornitore di servizi per il Cliente e raccoglierà, accederà, conserverà, utilizzerà, elaborerà e trasferirà i Dati personali esclusivamente per fornire il Servizio e per nessun altro scopo commerciale.
2. SnapLogic non venderà, condividerà, divulgherà, trasferirà, renderà disponibili o comunicherà in altro modo alcun Dato personale ad altre aziende o terze parti senza il previo consenso scritto del Cliente, salvo nel caso in cui tale divulgazione sia effettuata a un Subappaltatore per scopi commerciali, fatte salve le obbligazioni di cui sopra relative alla stipula di accordi scritti con i Sub-responsabili del trattamento. Fermo restando quanto sopra, nulla nel presente DPA limiterà la capacità di SnapLogic di divulgare Dati personali per ottemperare alle leggi applicabili; a condizione che, qualora tale divulgazione sia richiesta, SnapLogic informerà tempestivamente il Cliente della richiesta di divulgazione, a meno che tale notifica non sia vietata dalla legge applicabile o da un ordine legalmente vincolante.

4. Trasferimenti transfrontalieri di dati personali.

Consenso. SnapLogic non può trasferire Dati personali o trattare tali dati in un luogo al di fuori dello Spazio economico europeo o del Regno Unito senza il previo consenso scritto del Cliente, salvo in conformità con la Sezione 6.2 di seguito (in ciascun caso un"Trasferimento").
Meccanismi di trasferimento conformi. Fatto salvo quanto sopra, il Cliente acconsente ai Trasferimenti qualora SnapLogic abbia implementato una soluzione di trasferimento conforme alle Leggi applicabili in materia di protezione dei dati, che può includere, ad esempio: (a) qualora tale trasferimento sia soggetto a una decisione di adeguatezza da parte della Commissione Europea; (b) le Clausole contrattuali standard; (c) il quadro di riferimento per la protezione dei dati amministrato dal Dipartimento del Commercio degli Stati Uniti (e dai suoi successori, se presenti); (d) un'altra garanzia appropriata ai sensi dell'articolo 46 del GDPR o una garanzia equivalente ai sensi del GDPR, della DPA svizzera o della legge britannica sulla protezione dei dati; oppure (e) una deroga ai sensi dell'articolo 49 del GDPR o della sua equivalente ai sensi della DPA svizzera o della legge britannica sulla protezione dei dati.

5. Sicurezza

SnapLogic si impegna ad attuare misure tecniche e organizzative adeguate volte a proteggere i Dati personali come richiesto dalle Leggi applicabili in materia di protezione dei dati, come stabilito nelle Misure di sicurezza. Tali misure includono:
1. Pseudonimizzazione dei dati personali, ove opportuno, e crittografia dei dati personali in transito e inattivi;
2. ii) La capacità di garantire la riservatezza, l'integrità e la disponibilità continue del trattamento e dei dati personali di SnapLogic;
3. La capacità di ripristinare la disponibilità e l'accesso ai Dati personali in caso di incidente fisico o tecnico;
4. Un processo per valutare e testare regolarmente l'efficacia del Programma di sicurezza delle informazioni di SnapLogic al fine di garantire la sicurezza dei Dati personali da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati, accidentali o illegali, ragionevolmente sospetti o effettivi.

6. Incidenti di sicurezza.

Procedura in caso di incidenti di sicurezza. SnapLogic seguirà politiche e procedure per rilevare, rispondere e affrontare in altro modo gli incidenti di sicurezza, comprese le procedure per (i) identificare e rispondere a incidenti di sicurezza ragionevolmente sospetti o noti, mitigare gli effetti dannosi degli incidenti di sicurezza, documentare gli incidenti di sicurezza e i loro esiti e (ii) ripristinare la disponibilità o l'accesso ai dati personali in modo tempestivo.
Avviso. SnapLogic si impegna a fornire tempestivamente un avviso scritto senza indebiti ritardi ed entro i termini previsti dalle leggi applicabili in materia di protezione dei dati (ma in nessun caso oltre settantadue (72) ore) al referente designato dal Cliente (come definito nella Sezione 9) qualora venga a conoscenza del verificarsi di un Incidente di sicurezza. Tale comunicazione includerà tutti i dettagli disponibili richiesti dalle leggi applicabili in materia di protezione dei dati affinché il Cliente possa adempiere ai propri obblighi di notifica alle autorità di regolamentazione o alle persone interessate dall'incidente di sicurezza.

7. Audit

Diritto di verifica; verifiche consentite. Oltre a qualsiasi altro diritto di verifica descritto nel Contratto, il Cliente e le autorità di regolamentazione avranno il diritto di effettuare una verifica in loco dell'architettura, dei sistemi, delle politiche e delle procedure di SnapLogic relative alla sicurezza e all'integrità dei Dati personali, o come altrimenti richiesto da un'autorità di regolamentazione governativa:
1. A seguito di qualsiasi comunicazione da parte di SnapLogic al Cliente relativa a un incidente di sicurezza che coinvolga dati personali per cui SnapLogic sia responsabile; come richiesto dalle autorità di regolamentazione governative; e per qualsiasi motivo, o senza motivo, una volta all'anno. Termini di revisione. Qualsiasi revisione descritta nella presente Sezione dovrà essere:
2. Come richiesto dalle autorità di regolamentazione governative; e
3. Per qualsiasi motivo, o senza motivo, una volta all'anno.

Condizioni di revisione. Qualsiasi revisione descritta nella presente Sezione dovrà essere:
1. Condotta dal Cliente o dal suo regolatore, oppure tramite un appaltatore indipendente terzo selezionato da una di queste parti;
2. Condotto durante il normale orario di lavoro di SnapLogic;
3. Effettuata con un preavviso ragionevole a SnapLogic; e
4. Di durata ragionevole e non deve interferire in modo irragionevole con le operazioni quotidiane di SnapLogic.

Terze parti. Nel caso in cui il Cliente conduca una verifica tramite un revisore indipendente terzo o una terza parte accompagni il Cliente o partecipi a tale verifica, tale terza parte sarà tenuta a stipulare un accordo di non divulgazione contenente disposizioni di riservatezza sostanzialmente simili a quelle stabilite nel Contratto per proteggere le informazioni riservate e proprietarie di SnapLogic e dei clienti di SnapLogic. In ogni caso, SnapLogic avrà diritto a ricevere una copia di qualsiasi rapporto di verifica. Le autorità di regolamentazione non saranno tenute a stipulare un accordo di non divulgazione.

8. Conservazione e cancellazione dei dati.

Archiviazione dei dati. SnapLogic non archivia né conserva alcun Dato personale, salvo nella misura necessaria per fornire i Servizi previsti dal Contratto.
Accesso ai dati e cancellazione dopo la risoluzione del contratto. Alla scadenza o alla risoluzione del Contratto, su richiesta scritta del Cliente presentata entro 30 giorni dalla risoluzione o dalla scadenza, SnapLogic consentirà al Cliente di recuperare tutti i Dati del Cliente o i dati di registro delle transazioni rimasti nel sistema di SnapLogic.

9. Informazioni di contatto.

SnapLogic e il Cliente concordano di designare un referente per questioni urgenti relative alla privacy e alla sicurezza (un "Referente designato"). SnapLogic ha nominato un responsabile della protezione dei dati. La persona nominata può essere contattata all'indirizzo[email protected]. Il Referente designato dal Cliente è indicato nel Modulo d'ordine.

10. Condizioni generali.

Il presente DPA fa parte dell'Accordo ed è regolato dai suoi termini e condizioni, comprese le limitazioni di responsabilità.
Il presente DPA sarà regolato e interpretato in conformità con le disposizioni di legge e giurisdizione vigenti nell'Accordo, salvo quanto diversamente specificato nell'Allegato B.

IN FEDE DI CIÒ, i firmatari autorizzati di ciascuna parte hanno letto, compreso e accettato i termini e le condizioni stabiliti nel presente Accordo.

Reperto A

Oggetto del trattamento	L'oggetto dell'Elaborazione sono i Servizi ai sensi del Contratto di abbonamento principale.
Durata del trattamento	Il Trattamento proseguirà fino alla scadenza o alla risoluzione del Contratto di abbonamento principale.
Categorie di interessati	Include quanto segue: Potenziali clienti, clienti, partner commerciali e fornitori del Cliente (che sono persone fisiche) Dipendenti o referenti dei potenziali clienti, clienti, partner commerciali e fornitori del Cliente Dipendenti, agenti, consulenti, liberi professionisti del Cliente (che sono persone fisiche) Utenti del Cliente autorizzati dal Cliente a utilizzare i Servizi
Natura e finalità del trattamento	Include quanto segue: Lo scopo del trattamento dei dati personali da parte di SnapLogic è l'esecuzione dei Servizi ai sensi del Contratto di abbonamento principale.
Tipi di dati personali	Include quanto segue: nome e cognome; indirizzo di residenza; indirizzo e-mail, ad esempio[email protected]; numero di carta d'identità; dati sulla posizione (ad esempio la funzione di localizzazione su un telefono cellulare); indirizzo IP (Internet Protocol); ID cookie; identificativo pubblicitario del telefono.
Dati sensibili trasferiti (se applicabile) e restrizioni o misure di sicurezza applicate	I tipi di Dati personali trattati sono determinati dal Cliente e possono includere Informazioni sanitarie personali. Altri tipi di dati sensibili limitati possono essere trattati tramite i Servizi previa approvazione scritta di SnapLogic, a seconda dei casi.

Reperto B

Clausole contrattuali standard

[Incorporando MODULO DUE: Trasferimento dal controller al processore e MODULO TRE: Trasferimento da processore a processore]

Con la stipula del presente DPA, le Parti si impegnano a sottoscrivere le Clausole Contrattuali Standard e i relativi Allegati applicabili.
Per i trasferimenti transfrontalieri di dati soggetti alle Clausole Contrattuali Standard, le Clausole Contrattuali Standard saranno considerate stipulate e incorporate nel presente DPA con il presente riferimento e completate come segue:
1. Il cliente è l'"esportatore", i cui recapiti sono indicati di seguito.
2. SnapLogic è l'"importatore", le cui informazioni di contatto sono riportate di seguito.
3. Il Modulo Due si applicherà nella misura in cui il Cliente sia un titolare del trattamento dei Dati Personali, mentre il Modulo Tre si applicherà nella misura in cui il Cliente sia un responsabile del trattamento dei Dati Personali per conto di un titolare del trattamento terzo.
4. nella clausola 7, la clausola di attracco facoltativa non sarà applicabile;
5. nella Clausola 9, si applicherà l'Opzione 2 e il periodo di tempo per la comunicazione preventiva delle modifiche relative al Sub-responsabile del trattamento sarà quello indicato nella Clausola 9 del presente DPA;
6. nella clausola 11, la formulazione facoltativa non si applica;
7. Gli allegati da I a III saranno considerati completati con le informazioni riportate negli allegati da I a III del presente DPA.
SCC dell'UE. I dati personali provenienti dall'Unione Europea saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e completati come segue:
1. nella clausola 17 si applicherà l'opzione 1 e le SCC dell'UE saranno regolate dalla legge irlandese;
2. nella clausola 18(b), le controversie saranno risolte dinanzi ai tribunali della Repubblica d'Irlanda.
SCC del Regno Unito. I trasferimenti di dati personali dal Regno Unito saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e dall'Addendum sul trasferimento internazionale dei dati del Regno Unito (il "IDTA”), completato come segue.
1. Nella Parte 1 dell'IDTA, le informazioni richieste dalle Tabelle 1 - 3 sono fornite nell'Accordo e nel presente DPA;
2. Le clausole obbligatorie dell'IDTA sono incorporate per riferimento nel presente DPA in conformità con la Parte alternativa 2 del modello IDTA;
3. I riferimenti all'UE, agli Stati membri e al GDPR sono modificati mutatis mutandis per fare riferimento al Regno Unito e alla legge britannica sulla protezione dei dati.
4. Nella clausola 17 delle Clausole contrattuali standard (Legge applicabile), si applicano le leggi dell'Inghilterra e del Galles, mentre nella clausola 18 (Scelta del foro competente e giurisdizione), la giurisdizione spetta ai tribunali di Londra, Inghilterra. L'interessato può anche avviare un procedimento legale contro l'esportatore e/o l'importatore dei dati dinanzi ai tribunali del Regno Unito.
SCC svizzeri. I trasferimenti di dati personali dalla Svizzera saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e completati come segue:
1. i riferimenti al "Regolamento (UE) 2016/679" nelle SCC dell'UE saranno considerati riferimenti alla DPA svizzera;
2. i riferimenti a specifici articoli del "Regolamento (UE) 2016/679" saranno considerati sostituiti dall'articolo o dalla sezione equivalente della LPD svizzera;
3. i riferimenti a «UE», «Unione» e «Stato membro» saranno considerati sostituiti con «Svizzera»;
4. i riferimenti all'«autorità di controllo competente» e ai «tribunali competenti» sono sostituiti con «Incaricato federale della protezione dei dati» e «tribunali competenti della Svizzera» (a seconda dei casi);
5. Nella clausola 17, le SCC dell'UE saranno regolate dalle leggi della Svizzera e
6. Clausola 18(b), le controversie saranno risolte dinanzi ai tribunali competenti della Svizzera.
Se una qualsiasi disposizione del Contratto (inclusa la presente DPA) contraddice, direttamente o indirettamente, le Clausole Contrattuali Standard, prevarranno le Clausole Contrattuali Standard.

ALLEGATO I

A. ELENCO DELLE PARTI

Titolare/i del trattamento / Esportatore/i dei dati: Identità e recapiti del/i responsabile/i del trattamento / esportatore/i di dati e, se del caso, del suo/loro responsabile della protezione dei dati e/o rappresentante nell'Unione europea

Nome:	Come stabilito nell'Accordo
Indirizzo:	Come stabilito nell'Accordo
Nome, posizione e recapiti della persona di contatto:	Come stabilito nell'Accordo o come fornito separatamente per iscritto al Responsabile del trattamento/Sub-responsabile del trattamento
Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole:	Come descritto nell'Accordo
Ruolo (responsabile del trattamento/incaricato del trattamento):	Responsabile del trattamento/responsabile del trattamento

Responsabile/i del trattamento / Importatore/i dei dati: Identità e recapiti del/i responsabile/i del trattamento / importatore/i di dati, compreso qualsiasi referente responsabile della protezione dei dati

Nome:	SnapLogic, Inc.
Indirizzo:	1825 S. Grant Street,^5° piano, San Mateo, California 94402, Stati Uniti
Recapiti della persona di contatto:	SnapLogic ha nominato un responsabile della protezione dei dati. La persona nominata può essere contattata all'indirizzo[email protected].
Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole:	Fornitura dei Servizi descritti nel Contratto
Ruolo (responsabile del trattamento/incaricato del trattamento):	Responsabile del trattamento/Sub-responsabile del trattamento

В. DESCRIZIONE DEL TRASFERIMENTO

Come descritto nell'Allegato A

C. AUTORITÀ DI VIGILANZA COMPETENTE

Come descritto nell'Allegato B

ALLEGATO II

MISURE TECNICHE E ORGANIZZATIVE, COMPRESE MISURE TECNICHE E ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI

Le misure di sicurezza implementate da SnapLogic per proteggere i Dati personali dei clienti sono descritte nella Politica di sicurezza di SnapLogic. Tale politica è soggetta a modifiche in base agli aggiornamenti degli standard di settore e delle migliori pratiche. La versione più recente di tale politica è disponibile su richiesta. Di seguito è riportata la versione attuale della Politica di sicurezza alla Data di entrata in vigore del presente DPA:

POLITICA DI SICUREZZA DI SNAPLOGIC

La presente Politica di sicurezza di SnapLogic (la"Politica di sicurezza") descrive le misure tecniche e procedurali adottate da SnapLogic per proteggere i Dati dei clienti da accessi o divulgazioni non autorizzati. SnapLogic mantiene tali misure di sicurezza in modo conforme allo standard SOC 2 Tipo 2. SnapLogic segue le pratiche di codifica OWASP per lo sviluppo dei prodotti e le linee guida ISO 27001, NIST e altre pratiche standard del settore. La presente Politica di sicurezza è citata e costituisce parte integrante del contratto stipulato dal cliente con SnapLogic (il "Contratto"). In caso di conflitto tra i termini del Contratto e la presente Politica di sicurezza, prevarrà la presente Politica di sicurezza. I termini in maiuscolo utilizzati ma non definiti nella presente Politica di sicurezza hanno il significato indicato nel Contratto o nella Documentazione.

1. ACCESSO E GESTIONE DEI DATI DEI CLIENTI

1.1. Il Cliente controlla l'accesso al proprio Account nel Servizio tramite ID utente e password.

1.2. L'accesso ai sistemi di produzione SnapLogic e ai dati di produzione, inclusi i Dati personali, è limitato in base al principio del privilegio minimo, a meno che il Cliente non fornisca l'accesso al proprio account SnapLogic a tale Personale SnapLogic. Per"Personale SnapLogic"si intendono i dipendenti SnapLogic e i singoli subappaltatori coinvolti nel Trattamento dei Dati personali. SnapLogic utilizza i Dati del Cliente solo nella misura necessaria a fornire il Servizio al Cliente, come previsto dal Contratto.

1.3. I dati dei clienti vengono memorizzati esclusivamente nell'ambiente di produzione del Servizio.

1.4. Il Servizio non conserva i dati, inclusi i Dati personali. Per sua natura, qualsiasi archiviazione temporanea utilizzata dal Servizio è di tipo effimero, utilizzata solo mentre il Servizio è in esecuzione e non persiste dopo che il Servizio non è più in esecuzione. L'archiviazione effimera è utilizzata come risorsa non fatturabile inclusa nel funzionamento di un Servizio. L'archiviazione effimera è adatta per l'archiviazione temporanea di informazioni che cambiano frequentemente, come buffer, cache, dati temporanei e altri contenuti temporanei durante l'esecuzione dell'applicazione. Se il Cliente non configura le opzioni di archiviazione, i Servizi potrebbero utilizzare per impostazione predefinita l'archiviazione temporanea integrata di SnapLogic.

1.4. SnapLogic creerà e manterrà diagrammi di flusso che indicano come i Dati del Cliente fluiscono attraverso il Servizio. SnapLogic fornirà tali diagrammi di flusso su richiesta ragionevole del Cliente.

1.5. Dopo la cessazione di tutti gli abbonamenti associati a un cliente, i Dati del cliente contenuti nel Servizio vengono conservati in uno stato inattivo per 30 giorni, dopodiché vengono rimossi in modo sicuro da tutti gli ambienti di produzione e completamente rimossi dal nostro sistema di backup virtuale entro 180 giorni. Questo processo è soggetto ai requisiti legali applicabili.

2. CRITTOGRAFIA E SEPARAZIONE LOGICA DEI DATI DEI CLIENTI

2.1. Il Servizio nell'ambiente di archiviazione di produzione crittografa i Dati del Cliente inattivi con crittografia AES a 256 bit.

2.2. Il Servizio crittografa i Dati del Cliente in transito utilizzando TLS 1.2 o versioni successive durante la comunicazione su reti non affidabili, come la rete Internet pubblica.

2.3. Il Servizio assegna un ID cliente univoco a ciascun cliente ospite del Servizio. Tutti i dati dei clienti finali vengono memorizzati con questo ID cliente come chiave esterna diretta o concatenata nel nostro database. Il modello di dati di questa applicazione di servizio è progettato con il multi-tenancy come requisito.

2.4. Il Servizio utilizza un sistema di gestione delle chiavi ("KMS") conforme allo standard FIPS 140-2 (o superiore) per la gestione e l'archiviazione delle chiavi di crittografia. Le chiavi di crittografia e le chiavi di crittografia delle chiavi sono separate dai Dati del Cliente tramite tabelle di database o posizioni nel file system. Il Servizio protegge le chiavi di crittografia di livello superiore gestendo in modo rigoroso l'accesso alle chiavi e utilizzando la conoscenza frazionata e il doppio controllo, insieme a una rotazione regolare, come descritto nelle nostre Politiche e procedure di sicurezza.

3. GESTIONE DELL'ACCESSO ALL'INFRASTRUTTURA DEL SERVIZIO SNAPLOGIC

3.1. L'accesso ai sistemi e alle infrastrutture che supportano il Servizio è limitato al personale SnapLogic che necessita di tale accesso nell'ambito delle proprie responsabilità lavorative.

3.2. Gli ID utente univoci vengono assegnati al personale SnapLogic che necessita di accedere ai server SnapLogic che supportano il Servizio.

3.3. La politica relativa alle password dei server per il Servizio nell'ambiente di produzione è conforme alle politiche in linea con i requisiti SOC 2 Tipo 2 in materia di password.

3.4. I privilegi di accesso del personale SnapLogic che ha lasciato l'azienda vengono immediatamente disattivati. I privilegi di accesso delle persone che vengono trasferite a mansioni che richiedono privilegi ridotti vengono adeguati di conseguenza.

3.5. L'accesso degli utenti ai sistemi e alle infrastrutture che supportano il Servizio viene rivisto trimestralmente.

3.6. I tentativi di accesso ai sistemi e alle infrastrutture che supportano il Servizio vengono registrati e monitorati.

3.7. I gruppi di sicurezza AWS hanno politiche predefinite di rifiuto totale e abilitano solo i protocolli di rete necessari all'attività aziendale per il traffico di rete in uscita e in entrata.

4. GESTIONE DEL RISCHIO

4.1. Il processo di gestione dei rischi di SnapLogic System è modellato sulle linee guida CIS e NIST in materia di gestione dei rischi.

4.2. SnapLogic conduce valutazioni dei rischi di vario tipo durante tutto il ciclo di attestazione annuale, comprese valutazioni e test interni ed esterni, scansioni automatizzate e revisioni manuali.

4.3. I risultati delle valutazioni, comprese le relazioni formali pertinenti, vengono comunicati al Direttore della Sicurezza e della Conformità. Il Comitato per la Sicurezza si riunisce almeno una volta al trimestre per esaminare le relazioni, individuare le carenze nei controlli e i cambiamenti significativi nel contesto delle minacce e formulare raccomandazioni alla direzione aziendale in merito a controlli nuovi o migliorati e strategie di mitigazione delle minacce.

4.4. Le modifiche ai controlli e alle strategie di mitigazione delle minacce vengono valutate e classificate in ordine di priorità per l'implementazione in base al rischio.

4.5. Le minacce vengono monitorate attraverso vari mezzi, tra cui servizi di intelligence sulle minacce, notifiche dei fornitori e fonti pubbliche affidabili.

5. SCANSIONE DELLE VULNERABILITÀ E TEST DI PENETRAZIONE

5.1. Prima che il nuovo codice venga rilasciato nei nostri ambienti di produzione, vengono eseguite scansioni statiche e dinamiche alla ricerca delle 10 principali vulnerabilità OWASP e delle 25 principali vulnerabilità SANS.

5.2. Ogni mese vengono eseguite scansioni interne ed esterne delle vulnerabilità, mentre ogni trimestre vengono eseguiti test di penetrazione indipendenti da parte di terzi sui sistemi necessari per il funzionamento e la gestione del Servizio. Il database delle vulnerabilità viene aggiornato regolarmente.

5.3. Il personale valuta il potenziale impatto delle vulnerabilità che attivano gli allarmi.

5.4. Le vulnerabilità che attivano avvisi e per le quali sono stati pubblicati exploit vengono segnalate al Comitato per la sicurezza, che determina e supervisiona le misure correttive appropriate.

5.5. La gestione della sicurezza monitora o si abbona a fonti affidabili di segnalazioni di vulnerabilità e informazioni sulle minacce.

6. RETE DI ACCESSO REMOTO

6.1. Tutti gli accessi agli ambienti rivolti ai clienti SnapLogic richiedono l'autenticazione tramite una connessione sicura utilizzando metodi approvati quali VPN e MFA.

6.2. L'accesso VPN è ulteriormente rafforzato dall'autenticazione reciproca Transport Layer Security (TLS).

6.3. Le reti degli uffici aziendali SnapLogic non hanno accesso alle reti dei servizi clienti. Per accedere alle reti dei servizi clienti è necessaria una connessione VPN.

6.4 Per il funzionamento e la gestione del Servizio non vengono utilizzate reti wireless. Inoltre, le reti wireless aziendali non hanno accesso alle reti dei servizi clienti.

6.5 I dati dei clienti sono separati in modo logico da quelli degli altri clienti.

6.6 Gli ambienti di sviluppo/test e produzione sono separati.

6.7. SnapLogic applica una politica che prevede di non archiviare i Dati dei clienti su desktop locali, laptop, dispositivi mobili, unità condivise, supporti rimovibili, nonché su sistemi accessibili al pubblico che non rientrano nel controllo amministrativo o nei processi di monitoraggio della conformità di SnapLogic Operations.

7. UBICAZIONE DEL SERVIZIO SNAPLOGIC

7.1. I dati del cliente vengono archiviati nella regione di servizio disponibile per l'account richiesto dal cliente.

8. REGISTRAZIONE DEGLI EVENTI DI SISTEMA

8.1. Gli strumenti e i servizi di monitoraggio vengono utilizzati per monitorare i sistemi, inclusi la rete, gli eventi del server e gli eventi di sicurezza AWS, gli eventi di disponibilità e l'utilizzo delle risorse.

8.2. I registri degli eventi di sicurezza dell'infrastruttura SnapLogic vengono raccolti in un sistema centrale e protetti da manomissioni. I registri vengono conservati per 90 giorni.

8.3. Tutti i registri delle applicazioni degli ultimi 30 giorni sono immediatamente disponibili online per i nostri clienti attraverso la nostra interfaccia utente (portale web).

8.4. Tutti i registri di sicurezza vengono scritti su un servizio di registrazione centrale con tecnologia write once.

9. AMMINISTRAZIONE DEL SISTEMA E GESTIONE DELLE PATCH

9.1. SnapLogic creerà, implementerà e manterrà procedure di amministrazione dei sistemi che accedono ai Dati del Cliente che soddisfano o superano gli standard del settore, inclusi, a titolo esemplificativo ma non esaustivo, il rafforzamento dei sistemi, l'applicazione di patch ai sistemi e ai dispositivi (sistema operativo e applicazioni) e la corretta installazione di software di rilevamento delle minacce, nonché aggiornamenti quotidiani delle firme.

9.2. SnapLogic Security esamina i nuovi annunci relativi alle vulnerabilità e ne valuta l'impatto su SnapLogic in base a criteri di rischio definiti da SnapLogic, tra cui l'applicabilità e la gravità.

9.3. Gli aggiornamenti di sicurezza applicabili classificati come "elevati" o "critici" vengono gestiti nell'ambiente di produzione in conformità con le politiche coerenti con i requisiti di gestione delle patch SOC 2 Tipo 2.

9.4. La gestione delle patch viene effettuata tramite IaC e patch manuali in base alla gravità, al fine di garantire che tutte le vulnerabilità software siano corrette in conformità con i requisiti SOC 2 Tipo 2.

10. FORMAZIONE SULLA SICUREZZA SNAPLOGIC E PERSONALE SNAPLOGIC

10.1. SnapLogic mantiene un programma di sensibilizzazione alla sicurezza per il personale SnapLogic, che fornisce formazione iniziale, sensibilizzazione continua e riconoscimento individuale da parte del personale SnapLogic dell'intenzione di rispettare le politiche di sicurezza aziendale di SnapLogic System. I nuovi assunti completano una formazione iniziale su argomenti che includono, a titolo esemplificativo ma non esaustivo, la consapevolezza generale in materia di sicurezza, la comunicazione, lo smishing/phishing, cloud , i servizi di intelligenza artificiale, PCI-DSS, HIPAA e GDPR. Inoltre, firmano un accordo di riservatezza delle informazioni e appongono la firma digitale alle politiche di sicurezza delle informazioni che coprono gli aspetti chiave della politica di sicurezza delle informazioni di SnapLogic e delle politiche del personale.

10.2. Il personale di SnapLogic riconosce di essere responsabile della segnalazione di incidenti o problemi di sicurezza effettivi o sospetti, furti, violazioni, perdite e divulgazioni o accessi non autorizzati ai Dati del Cliente.

10.3. Il personale SnapLogic è tenuto a completare in modo soddisfacente la formazione annuale sulla sicurezza.

10.4 Gli sviluppatori SnapLogic sono tenuti a completare una formazione iniziale e una formazione annuale su argomenti relativi alla codifica sicura, che includono: OWASP top 10 e best practice per sviluppatori.

10.5. SnapLogic effettua controlli sui precedenti penali nell'ambito del processo di assunzione, nella misura consentita dalla legge.

10.6. SnapLogic garantirà che i propri subappaltatori, fornitori e altre terze parti che hanno accesso diretto ai Dati del Cliente in relazione ai Servizi rispettino gli stessi standard di sicurezza in vigore per i dipendenti di SnapLogic.

11. SICUREZZA FISICA

11.1. Il Servizio è ospitato su AWS e sfrutta le funzionalità di sicurezza e conformità di AWS. Tutti i controlli di sicurezza fisica sono gestiti da AWS. SnapLogic esamina annualmente i rapporti SOC 1 Tipo 2 e SOC 2 Tipo 2 per garantire adeguati controlli di sicurezza fisica:

11.1.1. I data center AWS che archiviano o elaborano informazioni sensibili sono data center di livello 3 che mantengono la certificazione SSAE 18.

11.1.2. Gestione dei visitatori, compreso il tracciamento e il monitoraggio dell'accesso fisico.

11.1.3. L'accesso fisico ai server è gestito da dispositivi elettronici di controllo degli accessi.

11.1.3. Procedure di monitoraggio e risposta agli allarmi.

11.1.4. Utilizzo di telecamere a circuito chiuso nelle strutture.

11.1.5. Dispositivi di acquisizione video nei centri dati con conservazione delle immagini per 90 giorni.

12. NOTIFICA DI INCIDENTI RELATIVI AI DATI PERSONALI

12.1. SnapLogic informerà il Cliente per iscritto entro settantadue (72) ore dalla conferma di un Incidente relativo ai Dati personali.

12.2. Tale notifica descriverà l'Incidente relativo ai Dati personali e lo stato dell'indagine condotta da SnapLogic System.

12.3. SnapLogic adotterà le misure appropriate per contenere, indagare e mitigare l'Incidente relativo ai Dati personali.

13. RECUPERO DI EMERGENZA E CONTINUITÀ OPERATIVA

13.1. SnapLogic mantiene un Piano di ripristino di emergenza (DRP) per i Servizi. Il DRP viene testato almeno una volta all'anno.

13.2. Il Servizio è distribuito in diverse zone di disponibilità AWS e regioni AWS per garantire la disponibilità dell'applicazione.

13.3. SnapLogic ha definito gli obiettivi RTO e RPO ai fini del ripristino.

13.4. I servizi DR fanno parte della nostra offerta standard di prodotti per i clienti che utilizzano i nostri servizi multi-tenant.

14. SICUREZZA SNAPLOGIC, CERTIFICAZIONI E ATTESTAZIONI DI TERZE PARTI

14.1. SnapLogic incarica terze parti accreditate di eseguire audit e attestare annualmente varie conformità e certificazioni, tra cui:

14.1.1. SOC 1 Tipo 2

14.1.2. SOC 2 Tipo 2

14.1.3. SSAE 22 Tipo 2

14.1.4. ISAE 3402 Tipo 2

14.1.5. HIPAA (HITECH)

14.1.6. Quadro normativo UE-USA sulla protezione dei dati

14.1.7. Quadro svizzero-statunitense sulla protezione dei dati

14.1.8. Estensione del Regno Unito al quadro normativo UE-USA sulla protezione dei dati

15. RESPONSABILITÀ DEL CLIENTE

15.1. Il Cliente è responsabile della gestione dei propri account utente e ruoli all'interno del Servizio e della protezione del proprio account e delle credenziali utente. Il Cliente si impegna a rispettare i termini del proprio Contratto con SnapLogic e tutte le leggi applicabili.

15.2. Il Cliente informerà tempestivamente SnapLogic qualora le credenziali di un utente siano state compromesse o qualora il Cliente sospetti attività sospette che potrebbero influire negativamente sulla sicurezza del Servizio o dell'account del Cliente. Il Cliente non può eseguire test di penetrazione della sicurezza o attività di valutazione della sicurezza senza il previo consenso scritto di SnapLogic.

15.3. Il Cliente è responsabile di mantenere il rapporto e garantire che tutti gli accordi necessari (ad esempio, gli Accordi sul trattamento dei dati) siano in vigore con altri Responsabili del trattamento con cui il Cliente collabora e a cui trasmette Dati personali, attraverso l'utilizzo del servizio SnapLogic.

15.4 Il Cliente è l'unico responsabile dell'implementazione di adeguati controlli di sicurezza sulle proprie applicazioni e dispositivi endpoint, compresa la definizione delle impostazioni di crittografia. SnapLogic raccomanda al Cliente di attuare le seguenti best practice, ove possibile:

15.4.1 Il Cliente abilita la crittografia della connessione della sessione utilizzando l'implementazione più recente di SSL o TLS per qualsiasi connessione tra le applicazioni del Cliente e i Servizi.

14.5.2 Qualora la crittografia della connessione di sessione non sia disponibile per una particolare applicazione del Cliente, il Cliente crittografa il payload dei dati utilizzando una crittografia forte (crittografia a 128 bit o superiore).

14.5.3 Il Cliente utilizza controlli di autenticazione conformi alle migliori pratiche del settore per l'accesso degli utenti ai Servizi.

ALLEGATO III

ELENCO DEI SUB-RESPONSABILI DEL TRATTAMENTO

Il cliente ha autorizzato l'utilizzo dei seguenti sub-responsabili del trattamento: https://www.snaplogic.com/privacy-subprocessors