Addendum sul trattamento dei dati

DATA DI ENTRATA IN VIGORE: 29 giugno 2026

Il presente Addendum sul trattamento dei dati (il“DPA”) è integrato nel Contratto quadro di abbonamento o in altro accordo (il“Contratto”) stipulato tra SnapLogic, Inc. e la parte identificata nel Contratto come“Cliente”(insieme le“Parti”) e ne costituisce parte integrante. I termini in maiuscolo utilizzati nel presente DPA ma non definiti nel presente documento avranno il significato loro attribuito nel Contratto.

Oggetto e durata.
1. Oggetto. Il presente Accordo sui dati personali (DPA) riflette l’impegno delle Parti a rispettare le leggi applicabili in materia di protezione dei dati relative al trattamento dei dati personali nell’ambito della fornitura dei Servizi di SnapLogic ai sensi del Contratto. Qualora vi fossero incongruenze tra il testo del presente DPA o di uno qualsiasi dei suoi Allegati e il Contratto, prevarrà il presente DPA.
2. Durata e sopravvivenza. Il presente DPA diventerà giuridicamente vincolante alla data più tardiva tra: (i) la data di entrata in vigore del Contratto o (ii) la data in cui le Parti sottoscrivono il presente DPA. SnapLogic tratterà i Dati Personali fino alla cessazione del Contratto. Gli obblighi di SnapLogic e i diritti del Cliente ai sensi del presente DPA continueranno ad avere efficacia fintantoché SnapLogic tratterà i Dati Personali.
Definizioni.

Ai fini del presente DPA, si applicano i seguenti termini.

Per “Legislazione applicabile in materia di protezione dei dati”si intendono tutte le leggi e i regolamenti internazionali in materia di protezione dei dati e della privacy applicabili ai Dati Personali in questione (con le eventuali modifiche, sostituzioni o sostituzioni che possano essere apportate di volta in volta), inclusi, ove applicabile:

“Legislazione dell’UE in materia di protezione dei dati”: Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati) (“GDPR”) e la Direttiva UE sulla privacy elettronica (Direttiva 2002/58/CE), ciascuna come attuata e recepita nel diritto nazionale da ciascuno Stato membro dell’UE.

«Legge federale svizzera sulla protezione dei dati»:la legge federalesvizzerasulla protezione dei dati del 1992.

«Legge britannica sulla protezione dei dati»: il Data Protection Act del Regno Unito e il GDPR, incorporati nel diritto britannico dal Data Protection Act 2018 e modificati dal Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019.

«Legislazione statunitense sulla protezione dei dati»: tutte le leggi e i regolamenti statali completi in materia di protezione dei dati applicabili in ciascun caso, come di volta in volta modificati o sostituiti, ivi inclusa la California Privacy Rights Act («CPRA»); Colorado Privacy Act; Connecticut Personal Data Privacy and Online Monitoring Act; Delaware Personal Data Privacy Act; Indiana Consumer Data Protection Act; Iowa Consumer Data Protection Act; Montana Consumer Data Privacy Act; Oregon Consumer Privacy Act; Tennessee Information Protection Act; Texas Data Privacy and Security Act; Utah Consumer Privacy Act; Virginia Consumer Data Protection Act.

I termini “Titolare del trattamento”,“Responsabile del trattamento”,“Interessato”e“Trattamento”(sia con l’iniziale maiuscola che minuscola) hanno il significato loro attribuito dal GDPR e comprendono i termini equivalenti presenti in altre leggi applicabili in materia di protezione dei dati, in ciascun caso nella misura in cui siano applicabili ai Servizi.
Per“Dati personali”si intendono tutti i Dati del Cliente: (a) relativi a una persona fisica identificata o identificabile, ai sensi del GDPR (indipendentemente dal fatto che il GDPR sia applicabile), (b) che costituiscono “informazioni personali” secondo la definizione di tale termine nella Legislazione statunitense in materia di protezione dei dati, e (c) termini equivalenti previsti da altre Leggi applicabili in materia di protezione dei dati.
Per “SCC”o“Clausole contrattuali tipo”si intendono le Clausole contrattualitipoper il trasferimento di dati personali a responsabili del trattamento stabiliti in paesi terzi ai sensi del GDPR, approvate con la Decisione di esecuzione 2021/914 della Commissione europea. L’Allegato A al presente Accordo sui trattamenti contiene alcune disposizioni interpretative e integrative relative all’applicazione delle Clausole contrattuali tipo.
Per "Incidenti di sicurezza"si intende la violazione della sicurezza che porta alla perdita accidentale o illegale, alla divulgazione non autorizzata o all'accesso non autorizzato ai Dati personali dei clienti trattati da SnapLogic.
Per "Servizi"si intendono tutti i servizi forniti da SnapLogic ai sensi del Contratto.
Per"sub-responsabile del trattamento"si intendono i contraenti, agenti, fornitori e fornitori di servizi terzi autorizzati da SnapLogic (ovvero sub-responsabili del trattamento) che trattano i dati personali.

Utilizzo e trattamento dei dati.
1. Il Cliente e SnapLogic concordano che: (i) il Cliente è il Titolare del trattamento o il Responsabile del trattamento dei Dati personali e SnapLogic è il Responsabile del trattamento o il sub-responsabile del trattamento, a seconda dei casi; e (ii) il presente Addendum si applica solo nella misura in cui SnapLogic tratti i Dati personali per conto del Cliente in qualità di Responsabile del trattamento o sub-responsabile del trattamento nell’ambito della fornitura dei Servizi. Nella misura in cui le parti condividono informazioni di contatto aziendali per mantenere il proprio rapporto, ciascuna parte è un Titolare del trattamento distinto di tali Dati personali.
2. Il Cliente accetta che: (i) abbia ottenuto tutti i consensi pertinenti o si sia assicurato di disporre di altre basi giuridiche legittime (a seconda dei casi), autorizzazioni e diritti, e abbia fornito tutte le comunicazioni necessarie ai sensi delle Leggi applicabili in materia di protezione dei dati affinché SnapLogic possa trattare legittimamente i Dati personali in conformità al presente Contratto, incluse, a titolo esemplificativo ma non esaustivo, la condivisione e/o la ricezione di Dati personali da parte del Cliente con terze parti tramite i Servizi; (ii) si impegna a rispettare le leggi applicabili in materia di protezione dei dati ed è responsabile del rispetto delle stesse da parte delle proprie affiliate e dei propri utenti; e (iii) le istruzioni di trattamento fornite a SnapLogic sono conformi alle leggi applicabili in materia di protezione dei dati e a tutte le istruzioni impartite da Titolari del trattamento terzi, se del caso.
3. Conformità alle leggi. I Dati personali saranno trattati in conformità con i termini del presente DPA e con tutte le leggi applicabili in materia di protezione dei dati.
4. Istruzioni documentate. SnapLogic e i suoi sub-responsabili del trattamento tratteranno i dati personali solo in conformità con le istruzioni documentate del Cliente o come specificatamente autorizzato dal presente DPA, dal Contratto o da qualsiasi Dichiarazione di lavoro applicabile. SnapLogic, salvo che ciò sia vietato dalla legge, informerà per iscritto il Cliente se ritiene ragionevolmente che vi sia un conflitto tra le istruzioni del Cliente e la legge applicabile o se intende altrimenti trattare i dati personali in modo non conforme alle istruzioni del Cliente.
5. Autorizzazione all'utilizzo di sub-responsabili del trattamento. Nella misura necessaria all'adempimento degli obblighi contrattuali di SnapLogic ai sensi del Contratto o di qualsiasi Dichiarazione di lavoro, il Cliente autorizza SnapLogic a coinvolgere sub-responsabili del trattamento. Qualsiasi trattamento dei Dati personali da parte dei sub-responsabili del trattamento dovrà essere coerente con le istruzioni documentate del Cliente e conforme a tutte le leggi applicabili in materia di protezione dei dati.
6. Conformità di SnapLogic e dei sub-responsabili del trattamento. SnapLogic accetta di (i) stipulare un accordo scritto con ciascun sub-responsabile del trattamento in merito al trattamento dei dati personali che imponga a tale sub-responsabile del trattamento requisiti di protezione e sicurezza dei dati personali conformi alle leggi applicabili in materia di protezione dei dati; e (ii) rimanere responsabile nei confronti del Cliente per il mancato adempimento da parte dei sub-responsabili del trattamento di SnapLogic dei propri obblighi in materia di trattamento dei dati personali in conformità con tali istruzioni, il Contratto e il presente DPA.
7. Diritto di opposizione ai sub-responsabili del trattamento. SnapLogic mantiene un elenco dei sub-responsabili del trattamento per i Servizi che trattano i Dati Personali forniti dal Cliente all’indirizzo https://www.snaplogic.com/privacy-subprocessors (“Elenco dei sub-responsabili del trattamento”). Tale pagina include un meccanismo di iscrizione per ricevere notifiche relative a nuovi sub-responsabili del trattamento. SnapLogic fornirà ai clienti iscritti un preavviso di almeno trenta (30) giorni in merito a uno o più nuovi sub-responsabili del trattamento prima di autorizzarli a trattare i Dati Personali tramite i Servizi. Qualora il Cliente abbia legittime obiezioni alla nomina di un nuovo sub-responsabile del trattamento, le parti collaboreranno in buona fede per risolvere i motivi dell’obiezione entro un termine massimo di trenta (30) giorni; in mancanza di tale risoluzione, il Cliente potrà recedere dalla parte del Servizio prestata ai sensi del Contratto che non possa essere fornita da SnapLogic senza il ricorso al sub-responsabile del trattamento oggetto di obiezione. SnapLogic rimborserà al Cliente eventuali canoni pagati in anticipo, in misura proporzionale alla parte del Servizio oggetto di risoluzione.
8. Riservatezza. Qualsiasi persona o sub-responsabile del trattamento autorizzato a trattare i dati personali deve accettare di mantenere la riservatezza di tali informazioni o essere soggetto a un adeguato obbligo di riservatezza etico, legale o contrattuale.
9. Richieste e domande relative ai dati personali. SnapLogic si impegna a rispettare tutte le istruzioni ragionevoli fornite dal Cliente in relazione a qualsiasi richiesta da parte di individui/interessati che esercitano i propri diritti in materia di dati personali loro concessi ai sensi delle leggi applicabili in materia di protezione dei dati ("Richiesta di privacy"). Su richiesta del Cliente e senza indebiti ritardi, SnapLogic si impegna ad assistere il Cliente nel rispondere o ottemperare a qualsiasi Richiesta di privacy, nella misura in cui ciò sia possibile.
10. Valutazione d'impatto sulla protezione dei dati e consultazione preventiva. SnapLogic si impegna a fornire assistenza ragionevole a spese del Cliente qualora, a giudizio del Cliente, il tipo di Trattamento effettuato da SnapLogic possa comportare un rischio elevato per i diritti e le libertà delle persone fisiche (ad esempio, profilazione sistematica ed estesa, trattamento di dati personali sensibili su larga scala o monitoraggio sistematico su larga scala, o qualora il trattamento utilizzi nuove tecnologie) e richieda quindi una valutazione d'impatto sulla protezione dei dati e/o una consultazione preventiva con le autorità competenti in materia di protezione dei dati.
11. Conformità dimostrabile. SnapLogic si impegna a conservare i registri delle proprie attività di trattamento in conformità con le leggi applicabili in materia di protezione dei dati e a fornire al Cliente, su richiesta ragionevole, tutti i registri necessari a dimostrare tale conformità.
12. Requisiti del CPRA. Per quanto riguarda i dati personali ai quali si applica il CPRA (i termini in maiuscolo utilizzati nella presente sezione hanno il significato loro attribuito dal CPRA), SnapLogic NON:
  - vendere o condividere i dati personali dei clienti;
  - conservare, utilizzare o divulgare i Dati personali dei clienti per finalità diverse da quelle aziendali specificate nel contratto, salvo quanto espressamente consentito dal CCPA;
  - conservare, utilizzare o divulgare i Dati personali dei clienti al di fuori del rapporto commerciale diretto tra il Cliente e SnapLogic; oppure
  - combinare i Dati Personali del Cliente con i Dati Personali che riceve da, o per conto di, un’altra persona o altre persone, oppure che raccoglie attraverso la propria interazione con il consumatore, salvo che per perseguire finalità commerciali come definite nelle norme adottate ai sensi della Sezione 1798.185(a)(10) del CPRA.

Fatto salvo quanto sopra, nessuna disposizione del presente DPA limiterà la facoltà di SnapLogic di divulgare Dati Personali al fine di ottemperare alle leggi applicabili; a condizione che, qualora tale divulgazione sia richiesta, SnapLogic ne dia tempestiva comunicazione al Cliente, a meno che tale notifica non sia vietata dalla legge applicabile o da un provvedimento giuridicamente vincolante, oppure a un Sub-Responsabile del trattamento in relazione a una finalità commerciale e in conformità con le disposizioni relative ai Sub-Responsabili del trattamento di cui sopra. SnapLogic certifica con la presente di aver compreso gli obblighi qui stabiliti e di impegnarsi a rispettarli.

Trasferimenti transfrontalieri di dati personali.
1. Consenso. SnapLogic non può trasferire Dati personali né trattarli in una località al di fuori dello Spazio economico europeo o del Regno Unito senza il previo consenso scritto del Cliente, salvo in conformità con la Sezione 4(b) di seguito riportata (in ciascun caso, un“Trasferimento”).
2. Meccanismi di trasferimento conformi. Fatto salvo quanto sopra, il Cliente acconsente ai Trasferimenti qualora SnapLogic abbia implementato una soluzione di trasferimento conforme alle Leggi applicabili in materia di protezione dei dati, che può includere, ad esempio: (a) qualora tale trasferimento sia soggetto a una decisione di adeguatezza da parte della Commissione Europea; (b) le Clausole contrattuali standard; (c) il quadro di riferimento per la protezione dei dati amministrato dal Dipartimento del Commercio degli Stati Uniti (e dai suoi successori, se presenti); (d) un'altra garanzia appropriata ai sensi dell'articolo 46 del GDPR o una garanzia equivalente ai sensi del GDPR, della DPA svizzera o della legge britannica sulla protezione dei dati; oppure (e) una deroga ai sensi dell'articolo 49 del GDPR o della sua equivalente ai sensi della DPA svizzera o della legge britannica sulla protezione dei dati.

Programma di sicurezza delle informazioni.
1. SnapLogic si impegna ad adottare misure tecniche e organizzative adeguate volte a proteggere i Dati Personali, come previsto dalle leggi applicabili in materia di protezione dei dati (le “Programma di sicurezza delle informazioni”). Tali misure comprendono:
  - Pseudonimizzazione dei dati personali, ove opportuno, e crittografia dei dati personali sia in transito che in archiviazione;
  - La capacità di garantire in modo continuativo la riservatezza, l’integrità e la disponibilità del trattamento e dei dati personali di SnapLogic;
  - La capacità di ripristinare la disponibilità e l'accessibilità dei dati personali in caso di incidente fisico o tecnico; e
  - Un processo per valutare e testare regolarmente l'efficacia del Programma di sicurezza delle informazioni di SnapLogic al fine di garantire la sicurezza dei Dati personali da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati, accidentali o illegali, ragionevolmente sospetti o effettivi.
Incidenti di sicurezza.
1. Procedura in caso di incidenti di sicurezza. SnapLogic seguirà politiche e procedure per rilevare, rispondere e affrontare in altro modo gli incidenti di sicurezza, comprese le procedure per (i) identificare e rispondere a incidenti di sicurezza ragionevolmente sospetti o noti, mitigare gli effetti dannosi degli incidenti di sicurezza, documentare gli incidenti di sicurezza e i loro esiti e (ii) ripristinare la disponibilità o l'accesso ai dati personali in modo tempestivo.
2. Avviso. SnapLogic si impegna a fornire tempestivamente, senza indebiti ritardi e entro i termini previsti dalla/e Legislazione/i applicabile/i in materia di protezione dei dati (ma in nessun caso oltre quarantotto (48) ore), un avviso scritto al Referente designato dal Cliente (come definito nella Sezione 9) qualora venga a conoscenza del verificarsi di un Incidente di sicurezza. Tale comunicazione includerà tutti i dettagli disponibili richiesti dalle leggi applicabili in materia di protezione dei dati affinché il Cliente possa adempiere ai propri obblighi di notifica alle autorità di regolamentazione o alle persone interessate dall’Incidente di sicurezza.
Verifiche.
1. Diritto di verifica; verifiche consentite. Oltre a qualsiasi altro diritto di verifica descritto nel Contratto, il Cliente e le autorità di regolamentazione avranno il diritto di effettuare una verifica in loco dell'architettura, dei sistemi, delle politiche e delle procedure di SnapLogic relative alla sicurezza e all'integrità dei Dati personali, o come altrimenti richiesto da un'autorità di regolamentazione governativa:
  - A seguito di qualsiasi comunicazione da parte di SnapLogic al Cliente relativa a un incidente di sicurezza che coinvolga dati personali e per il quale SnapLogic sia responsabile;
  - Come richiesto dalle autorità di regolamentazione governative; e
  - Su richiesta del Cliente, non più di una volta all’anno (o con maggiore frequenza qualora richiesto dalle autorità di regolamentazione competenti o a seguito di un Incidente di sicurezza), e fatte salve ragionevoli restrizioni relative a preavviso, tempi, luogo, frequenza e modalità, nonché i requisiti di riservatezza, SnapLogic metterà a disposizione del Cliente le informazioni necessarie a dimostrare la conformità agli obblighi di SnapLogic ai sensi dell’Addendum e delle Leggi applicabili in materia di protezione dei dati. SnapLogic consentirà e collaborerà alle verifiche, comprese le ispezioni, condotte dal Cliente o da un revisore terzo indipendente nominato dal Cliente. Nella misura in cui i diritti del Cliente ai sensi della presente sezione non possano essere ragionevolmente soddisfatti tramite rapporti di verifica, documentazione o informazioni sulla conformità che SnapLogic mette generalmente a disposizione dei propri clienti, il Cliente sarà responsabile di tutti i costi e le spese relativi a tale verifica.
2. Condizioni di revisione. Qualsiasi revisione descritta nella presente Sezione dovrà essere:
  - Condotta dal Cliente o dal suo regolatore, oppure tramite un appaltatore indipendente terzo selezionato da una di queste parti;
  - Condotto durante il normale orario di lavoro di SnapLogic;
  - Effettuata con un preavviso ragionevole a SnapLogic; e
  - Di durata ragionevole e non deve interferire in modo irragionevole con le operazioni quotidiane di SnapLogic.
3. Terze parti. Nel caso in cui il Cliente conduca una verifica tramite un revisore indipendente terzo o una terza parte accompagni il Cliente o partecipi a tale verifica, tale terza parte sarà tenuta a stipulare un accordo di non divulgazione contenente disposizioni di riservatezza sostanzialmente simili a quelle stabilite nel Contratto per proteggere le informazioni riservate e proprietarie di SnapLogic e dei clienti di SnapLogic. In ogni caso, SnapLogic avrà diritto a ricevere una copia di qualsiasi rapporto di verifica. Le autorità di regolamentazione non saranno tenute a stipulare un accordo di non divulgazione.
Archiviazione e cancellazione dei dati.
1. Archiviazione dei dati. SnapLogic non archivia né conserva alcun Dato personale, salvo nella misura necessaria per fornire i Servizi previsti dal Contratto.
2. Accesso ai dati e cancellazione dopo la risoluzione del contratto. Alla scadenza o alla risoluzione del Contratto, su richiesta scritta del Cliente presentata entro 30 giorni dalla risoluzione o dalla scadenza, SnapLogic consentirà al Cliente di recuperare tutti i Dati del Cliente o i dati di registro delle transazioni rimasti nel sistema di SnapLogic.
Informazioni di contatto.
1. SnapLogic e il Cliente concordano di designare un referente per le questioni urgenti relative alla privacy e alla sicurezza (un“Referente designato”). Il Referente designato di SnapLogic è [email protected]. Il Referente designato del Cliente è indicato nel Modulo d’ordine.
Condizioni generali.
1. Il presente DPA fa parte dell'Accordo ed è regolato dai suoi termini e condizioni, comprese le limitazioni di responsabilità.
2. Il presente DPA sarà regolato e interpretato in conformità con le disposizioni di legge e giurisdizione vigenti nell'Accordo, salvo quanto diversamente specificato nell'Allegato B.

Reperto A

Categorie di interessati	Potenziali clienti, clienti, partner commerciali e fornitori del Cliente (che siano persone fisiche) Dipendenti o referenti dei potenziali clienti, dei clienti, dei partner commerciali e dei fornitori del Cliente Dipendenti, agenti, consulenti e liberi professionisti del Cliente (che siano persone fisiche) Utenti del Cliente autorizzati dal Cliente a utilizzare i Servizi
Categorie di dati personali trasferiti	Nome, indirizzo e-mail, dati di localizzazione (ad esempio la funzione di localizzazione su un telefono cellulare); indirizzo IP; ID cookie; ID del dispositivo mobile Qualsiasi altra categoria di dati personali selezionata dal Cliente per il trattamento tramite i servizi
Ruoli di responsabile del trattamento e incaricato del trattamento	Dal titolare del trattamento (cliente) al responsabile del trattamento (fornitore) o dal responsabile del trattamento (cliente) al subresponsabile del trattamento (fornitore)
Dati sensibili trasferiti	Il Servizio non richiede dati personali sensibili relativi al personale del Cliente. Qualora il Cliente decidesse di trattare dati personali sensibili attraverso la propria pipeline di dati, tali dati saranno trattati
Frequenza del trasferimento	Continuo
Natura del trattamento	Per fornire i servizi descritti nel Contratto di base
Finalità del trasferimento	Per fornire i servizi descritti nel Contratto di base
Durata del trattamento	Durante la durata del Contratto di base

Reperto B

Clausole contrattuali standard

[Incorporando MODULO DUE: Trasferimento dal controller al processore e MODULO TRE: Trasferimento da processore a processore]

Con la stipula del presente DPA, le Parti si impegnano a sottoscrivere le Clausole Contrattuali Standard e i relativi Allegati applicabili.
Per i trasferimenti transfrontalieri di dati soggetti alle Clausole Contrattuali Standard, le Clausole Contrattuali Standard saranno considerate stipulate e incorporate nel presente DPA con il presente riferimento e completate come segue:
1. Il cliente è l'"esportatore", i cui recapiti sono indicati di seguito.
2. SnapLogic è l'"importatore", le cui informazioni di contatto sono riportate di seguito.
3. Il Modulo Due si applicherà nella misura in cui il Cliente sia un titolare del trattamento dei Dati Personali, mentre il Modulo Tre si applicherà nella misura in cui il Cliente sia un responsabile del trattamento dei Dati Personali per conto di un titolare del trattamento terzo.
4. nella clausola 7, la clausola di attracco facoltativa non sarà applicabile;
5. nella Clausola 9 si applicherà l’Opzione 2 e il termine per la comunicazione preventiva delle modifiche relative ai sub-responsabili del trattamento sarà quello stabilito nella Clausola 9 del presente DPA;
6. nella clausola 11, la formulazione facoltativa non si applica;
7. Gli allegati da I a III saranno considerati completati con le informazioni riportate negli allegati da I a III del presente DPA.

SCC dell'UE. I dati personali provenienti dall'Unione Europea saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e completati come segue:
1. nella clausola 17 si applicherà l'opzione 1 e le SCC dell'UE saranno regolate dalla legge irlandese;
2. nella clausola 18(b), le controversie saranno risolte dinanzi ai tribunali della Repubblica d'Irlanda.

SCC del Regno Unito. I trasferimenti di dati personali dal Regno Unito saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e dall'Addendum sul trasferimento internazionale dei dati del Regno Unito (il "IDTA”), completato come segue.
1. Nella Parte 1 dell'IDTA, le informazioni richieste dalle Tabelle 1 - 3 sono fornite nell'Accordo e nel presente DPA;
2. Le clausole obbligatorie dell'IDTA sono incorporate per riferimento nel presente DPA in conformità con la Parte alternativa 2 del modello IDTA;
3. I riferimenti all'UE, agli Stati membri e al GDPR sono modificati mutatis mutandis per fare riferimento al Regno Unito e alla legge britannica sulla protezione dei dati.
4. Nella clausola 17 delle Clausole contrattuali standard (Legge applicabile), si applicano le leggi dell'Inghilterra e del Galles, mentre nella clausola 18 (Scelta del foro competente e giurisdizione), la giurisdizione spetta ai tribunali di Londra, Inghilterra. L'interessato può anche avviare un procedimento legale contro l'esportatore e/o l'importatore dei dati dinanzi ai tribunali del Regno Unito.
SCC svizzeri. I trasferimenti di dati personali dalla Svizzera saranno regolati dalle SCC in conformità con le disposizioni di cui sopra e completati come segue:
1. i riferimenti al "Regolamento (UE) 2016/679" nelle SCC dell'UE saranno considerati riferimenti alla DPA svizzera;
2. i riferimenti a specifici articoli del "Regolamento (UE) 2016/679" saranno considerati sostituiti dall'articolo o dalla sezione equivalente della LPD svizzera;
3. i riferimenti a «UE», «Unione» e «Stato membro» saranno considerati sostituiti con «Svizzera»;
4. i riferimenti all'«autorità di controllo competente» e ai «tribunali competenti» sono sostituiti con «Incaricato federale della protezione dei dati» e «tribunali competenti della Svizzera» (a seconda dei casi);
5. Nella clausola 17, le SCC dell'UE saranno regolate dalle leggi della Svizzera e
6. Clausola 18(b), le controversie saranno risolte dinanzi ai tribunali competenti della Svizzera.
Se una qualsiasi disposizione del Contratto (inclusa la presente DPA) contraddice, direttamente o indirettamente, le Clausole Contrattuali Standard, prevarranno le Clausole Contrattuali Standard.

ALLEGATO I

A. ELENCO DELLE PARTI

Titolare/i del trattamento / Esportatore/i di dati: Identità e recapiti del titolare o dei titolari del trattamento / dell’esportatore o degli esportatori dei dati e, se del caso, del responsabile della protezione dei dati e/o del rappresentante nell’Unione europea

Nome:	Come specificato dal Cliente
Indirizzo:	Come specificato dal Cliente
Nome, posizione e recapiti della persona di contatto:	Come specificato dal Cliente
Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole:	Come descritto nell'Accordo
Ruolo (responsabile del trattamento/incaricato del trattamento):	Responsabile del trattamento/responsabile del trattamento

Responsabile(i) del trattamento / Importatore(i) dei dati:Identità e recapiti dei responsabili del trattamento / importatori di dati, compresa l’eventuale persona di contatto responsabile della protezione dei dati

Nome:	SnapLogic, Inc.
Indirizzo:	1825 S. Grant Street,^5° piano, San Mateo, California 94402, Stati Uniti
Nome, posizione e recapiti della persona di contatto:	[email protected]
Attività rilevanti per i dati trasferiti ai sensi delle presenti Clausole:	Fornitura dei Servizi descritti nel Contratto
Ruolo (responsabile del trattamento/incaricato del trattamento):	Responsabile del trattamento/Sub-responsabile del trattamento

В. DESCRIZIONE DEL TRASFERIMENTO

Come descritto nell'Allegato A

C. AUTORITÀ DI VIGILANZA COMPETENTE

Come descritto nell'Allegato B

ALLEGATO II

MISURE TECNICHE E ORGANIZZATIVE, COMPRESE MISURE TECNICHE E ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI

Il Responsabile dell’importazione dei dati mantiene e applica misure tecniche e organizzative conformi agli standard del settore per proteggere i dati personali da distruzione accidentale o illecita, perdita accidentale, alterazione, divulgazione o accesso non autorizzati e garantire un livello di sicurezza adeguato al rischio connesso al trattamento dei dati personali, in conformità con gli obblighi previsti dal Contratto e dal GDPR. Tali misure devono includere un programma completo di sicurezza delle informazioni che comprenda misure di sicurezza amministrative, fisiche e tecniche volte a tutelare la sicurezza, la riservatezza e l’integrità dei dati personali, adeguate al tipo di informazioni che l’Importatore dei dati tratterà. L’Importatore dei dati deve monitorare regolarmente il rispetto di tali misure di sicurezza.

Le principali misure di sicurezza tecniche e organizzative attuate dall’Importatore dei dati alla data della firma sono descritte nell’ultima relazione di audit SOC 2 Tipo II dell’Importatore dei dati, che sarà fornita all’Esportatore dei dati su richiesta.

Al fine di mitigare i rischi per le risorse di elaborazione delle informazioni, la divulgazione o la cancellazione non autorizzata di informazioni e l’interruzione del supporto ai processi aziendali che potrebbero derivare da accessi non autorizzati, nelle sezioni seguenti sono riportati i controlli di sicurezza implementati dall’Importatore dei dati:

Controllo organizzativo – Misure conformi ai requisiti specifici in materia di protezione dei dati, relative all’organizzazione interna, quali l’impegno dei dipendenti a garantire la riservatezza dei dati, il backup e la cancellazione dei dati, la separazione fisica e personale dei dati rispetto a quelli di altri clienti, ecc.
Controllo degli accessi – Misure volte a limitare l’ingresso di persone non autorizzate alle aree in cui vengono utilizzati o trattati dati personali, quali il controllo degli accessi, tesserini identificativi/carte magnetiche, ecc.
Controllo degli accessi – Misure volte a limitare l’accesso di persone non autorizzate ai sistemi in cui vengono utilizzati o trattati dati personali, quali la protezione dell’infrastruttura fisica di rete, i firewall, ecc.
Controllo degli accessi – Misure volte a limitare l’accesso di persone non autorizzate ai sistemi in cui vengono utilizzati o trattati dati personali, quali l’adozione di una politica di accesso selettivo basata sul principio del “privilegio minimo”, l’uso della crittografia, la registrazione degli audit, l’assegnazione di ID utente individuali e password complesse, procedure regolamentate per la concessione, la modifica e la revoca dei diritti di accesso, ecc.
Controllo della trasmissione – Misure volte a garantire che i dati personali non possano essere letti, copiati, modificati o rimossi senza autorizzazione, quali l’uso della crittografia sia in fase di archiviazione che durante il trasferimento, la registrazione dei log di controllo per disporre di informazioni retrospettive su quali dati siano stati consultati e da chi, ecc.
Controllo della disponibilità – Misure volte a garantire che i dati personali siano protetti dalla distruzione o dalla perdita accidentale, quali funzionalità di failover, backup sottoposti a test periodici e archiviati in più sedi, piani di ripristino in caso di emergenza, processi di gestione delle modifiche, ecc.
Controllo della separazione – Misure volte a garantire che i dati raccolti per finalità diverse possano essere trattati separatamente, ad esempio tramite l’utilizzo di ruoli utente distinti, la separazione logica/fisica dei dati, ecc.

ALLEGATO III

ELENCO DEI SUB-RESPONSABILI DEL TRATTAMENTO

Il cliente ha autorizzato l'utilizzo dei seguenti sub-responsabili del trattamento: https://www.snaplogic.com/privacy-subprocessors