Il presente Addendum sul trattamento dei dati ("DPA") è un accordo formale tra Simbase INC., una società organizzata secondo le leggi dello Stato del Delaware ("Simbase") e l'entità indicata nell'Accordo ("Cliente"). Entrambe le parti sono qui indicate singolarmente come "Parte" e insieme come "Parti".

Il presente DPA è perfettamente integrato e costituisce una parte essenziale del contratto di abbonamento che regola l'utilizzo del Servizio (il "Contratto") tra le Parti. Tutti i termini in maiuscolo contenuti nel presente DPA, se non diversamente definiti, avranno lo stesso significato specificato nel Contratto. In caso di discrepanze o incongruenze tra il presente DPA, qualsiasi accordo di elaborazione dati precedentemente sottoscritto e altre parti del Contratto, prevarranno le clausole del presente DPA.

L'essenza di questa DPA riguarda le condizioni che si applicano quando Simbase elabora le Informazioni personali ai sensi del Contratto. È stato concepito per garantire che tale trattamento sia conforme alla Legge Applicabile e sostenga i diritti delle persone le cui Informazioni Personali sono trattate.

1. Definizioni

"Legge applicabile" indica tutte le leggi federali e statali degli Stati Uniti, i regolamenti e altri requisiti legali o normativi in qualsiasi giurisdizione relativi al Contratto, inclusi, a titolo esemplificativo, il California Consumer Privacy Act modificato dal California Privacy Rights Act ("CCPA/CPRA"), il Virginia Consumer Data Protection Act ("VCDPA"), il Colorado Privacy Act ("CPA"), il Connecticut Data Privacy Act ("CTDPA") e qualsiasi altra legge statale applicabile in materia di privacy o protezione dei dati.

"Informazioni personali" si intendono le informazioni che identificano, si riferiscono a, descrivono, sono ragionevolmente associabili a, o potrebbero ragionevolmente essere collegate, direttamente o indirettamente, a un individuo o a un nucleo familiare identificato o identificabile, come definito dalla Legge Applicabile. Ciò include, ove applicabile, le "informazioni personali" come definite ai sensi del CCPA/CPRA e termini equivalenti ai sensi di altre leggi statali sulla privacy.

"Fornitore di servizi" indica Simbase quando elabora le Informazioni Personali per conto del Cliente ai sensi del Contratto, come tale termine è inteso ai sensi della Legge Applicabile (incluso "incaricato del trattamento" ai sensi delle leggi statali sulla privacy applicabili).

"Sottoprocessore" indica qualsiasi terza parte incaricata da Simbase di assistere nell'elaborazione dei Dati personali per conto del Cliente.

"Consumatore" indica un individuo che è oggetto di Informazioni personali trattate ai sensi della presente DPA, compresi i "consumatori" o gli "interessati" come definiti dalla Legge applicabile.

"Violazione delle informazioni personali" indica una violazione della sicurezza che porti alla distruzione accidentale o illegale, alla perdita, all'alterazione, alla divulgazione non autorizzata o all'accesso alle Informazioni personali trasmesse, memorizzate o altrimenti elaborate da Simbase o dai suoi Subprocessori in relazione al Contratto.

2. Ambito e applicabilità

La presente DPA si applica al trattamento delle Informazioni personali da parte di Simbase per conto del Cliente in relazione alla fornitura dei Servizi ai sensi del Contratto. La presente DPA è applicabile ai Clienti domiciliati negli Stati Uniti o in Canada e al trattamento delle Informazioni personali dei Consumatori situati negli Stati Uniti o in Canada.

Simbase tratterà le Informazioni Personali solo nella misura necessaria per adempiere agli obblighi previsti dal Contratto e in conformità alle istruzioni documentate del Cliente, a meno che il trattamento non sia richiesto dalla Legge Applicabile, nel qual caso Simbase, nella misura consentita dalla legge, informerà il Cliente di tale requisito legale prima del trattamento.

3. Obblighi di Simbase

In qualità di Fornitore di Servizi ai sensi del presente DPA, Simbase dovrà:

(a) trattare le Informazioni personali solo nella misura ragionevolmente necessaria e proporzionata al raggiungimento degli scopi operativi stabiliti nel Contratto e in conformità alle istruzioni documentate del Cliente;

(b) non vendere le Informazioni personali, come definite ai sensi del CCPA/CPRA o di leggi statali equivalenti sulla privacy;

(c) non conservare, utilizzare o divulgare le Informazioni personali per scopi diversi da quelli specifici indicati nell'Accordo, compresi la conservazione, l'utilizzo o la divulgazione delle Informazioni personali per scopi commerciali diversi dalla fornitura dei Servizi specificati nell'Accordo;

(d) non condividere le Informazioni personali per scopi di pubblicità comportamentale cross-context, come definito ai sensi del CCPA/CPRA;

(e) non combinare le Informazioni Personali ricevute da o per conto del Cliente con le Informazioni Personali che Simbase riceve da o per conto di un'altra o più persone, o raccoglie dalle proprie interazioni con i Consumatori, salvo quanto espressamente consentito dalla Legge Applicabile;

(f) implementare e mantenere ragionevoli salvaguardie amministrative, tecniche e fisiche volte a proteggere le Informazioni personali contro l'accesso, la distruzione, l'uso, la modifica o la divulgazione non autorizzati, in linea con gli standard descritti negli Standard di sicurezza dei dati di Simbase disponibili all'indirizzo www.simbase.com/terms/data-security-standards;

(g) garantire che tutti i dipendenti, gli agenti e il personale autorizzato a trattare le Informazioni personali si siano impegnati alla riservatezza o siano soggetti a un adeguato obbligo di riservatezza legale o contrattuale;

(h) su richiesta scritta del Cliente, cancellare o restituire le Informazioni Personali (e qualsiasi copia delle stesse) al Cliente al termine del presente Accordo, a meno che non sia richiesto dalla Legge Applicabile di conservare tali Informazioni Personali;

(i) mettere a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare l'osservanza degli obblighi di cui alla presente sezione e consentire e contribuire in modo significativo alle verifiche, comprese le ispezioni, condotte dal Cliente o dal suo revisore designato (a spese del Cliente, se non diversamente concordato);

(j) informare il Cliente senza ritardi ingiustificati dopo essere venuti a conoscenza di una violazione dei dati personali e fornire una ragionevole collaborazione e assistenza per identificare, porre rimedio e mitigare gli effetti di tale violazione; e

(k) su richiesta ragionevole, fornire al Cliente un riepilogo o una copia dei risultati di eventuali audit o valutazioni di sicurezza di terzi condotti in relazione ai Servizi.

4. Obblighi del Cliente

Il Cliente dovrà:

(a) garantire che il suo utilizzo dei Servizi e le sue istruzioni per il trattamento delle Informazioni personali siano conformi alla Legge applicabile, ivi compresi la fornitura di tutti gli avvisi richiesti e l'ottenimento di tutti i consensi o autorizzazioni richiesti dai Consumatori le cui Informazioni personali saranno trattate ai sensi dell'Accordo;

(b) è l'unico responsabile dell'accuratezza, della qualità e della legalità delle Informazioni personali fornite a Simbase e dei mezzi con cui il Cliente ha acquisito tali Informazioni personali;

(c) notificare tempestivamente a Simbase qualsiasi richiesta di diritti del Consumatore che richieda l'assistenza di Simbase per essere soddisfatta, e cooperare con Simbase nel rispondere a tali richieste entro i termini previsti dalla Legge Applicabile; e

(d) garantire di non divulgare a Simbase categorie di Informazioni Personali che Simbase non è autorizzata a trattare ai sensi del Contratto.

5. Richieste di diritti dei consumatori

Simbase fornirà al Cliente un'assistenza ragionevole per rispondere a richieste verificabili di diritti dei consumatori ai sensi della Legge Applicabile, comprese le richieste di accesso, cancellazione, correzione o rinuncia alla vendita o alla condivisione di Informazioni Personali.

Se Simbase riceve direttamente una richiesta di diritti del Consumatore, Simbase ne informerà prontamente il Cliente e non risponderà direttamente a tale richiesta, a meno che non sia autorizzata dal Cliente o richiesta dalla Legge Applicabile. Simbase collaborerà con il Cliente per soddisfare tali richieste entro i termini previsti dalla Legge Applicabile, che sono generalmente:

(a) California (CCPA/CPRA): 45 giorni dal ricevimento di una richiesta verificabile, con un'eventuale proroga di altri 45 giorni previa comunicazione al consumatore;

(b) Virginia (VCDPA): 45 giorni dal ricevimento, con una possibile proroga di altri 45 giorni su preavviso;

(c) Colorado (CPA) e Connecticut (CTDPA): 45 giorni dal ricevimento, con una possibile proroga di altri 45 giorni su preavviso; e

(d) altri Stati applicabili: come previsto dalla legge sulla privacy dello Stato in questione.

6. Sottoprocessori

Con la presente, il Cliente concede a Simbase un'autorizzazione generale scritta a incaricare dei subprocessori per il trattamento dei dati personali ai sensi della presente DPA. Un elenco aggiornato dei subprocessori di Simbase è disponibile all'indirizzo www.simbase.com/terms/subprocessors.

Simbase fornirà un ragionevole preavviso al Cliente prima di assumere un nuovo Subprocessore o di sostituire un Subprocessore esistente, aggiornando la pagina dei Subprocessori di cui sopra o tramite notifica diretta. Se il Cliente si oppone a un nuovo Subprocessore per ragionevoli motivi legati alla protezione dei dati, il Cliente lo comunicherà per iscritto a Simbase entro quattordici (14) giorni dal ricevimento della notifica. Le Parti collaboreranno in buona fede per trovare una soluzione reciprocamente accettabile. Se non è possibile raggiungere una soluzione, il Cliente può interrompere il Servizio in questione senza alcuna penale, previa comunicazione scritta a Simbase.

Simbase farà in modo che ciascun Subprocessore sia vincolato da obblighi non meno tutelanti di quelli previsti dal presente DPA, e Simbase rimarrà pienamente responsabile nei confronti del Cliente per gli atti e le omissioni dei suoi Subprocessori.

7. Violazione delle informazioni personali

In caso di violazione dei dati personali, Simbase informerà il Cliente senza indebito ritardo, e in ogni caso entro settantadue (72) ore dal momento in cui viene a conoscenza della violazione. Tale notifica includerà, nella misura ragionevolmente disponibile:

(a) una descrizione della natura della violazione, comprese, se possibile, le categorie e il numero approssimativo di Consumatori e registrazioni interessate;

(b) il nome e i dati di contatto del referente all'interno di Simbase presso il quale è possibile ottenere ulteriori informazioni;

(c) una descrizione delle probabili conseguenze della violazione; e

(d) una descrizione delle misure adottate o proposte da Simbase per affrontare la violazione e mitigarne i possibili effetti negativi.

Simbase collaborerà con il Cliente nell'adempimento di qualsiasi obbligo di notifica delle violazioni ai sensi della Legge Applicabile, che in genere richiede la notifica ai Consumatori interessati e, se del caso, ai procuratori generali dello Stato entro tempi che vanno da trenta (30) a novanta (90) giorni a seconda della giurisdizione.

8. Misure di sicurezza

Simbase implementerà e manterrà un programma completo di sicurezza delle informazioni che includa adeguate salvaguardie amministrative, tecniche e fisiche per proteggere le Informazioni personali, in linea con gli standard del settore, tra cui il NIST Cybersecurity Framework e l'ISO/IEC 27001. Le misure di sicurezza di Simbase sono ulteriormente descritte negli Standard di sicurezza dei dati disponibili all'indirizzo www.simbase.com/terms/data-security-standards.

Tali misure comprendono, come minimo, la crittografia dei dati personali in transito e a riposo, i controlli di accesso e i meccanismi di autenticazione, le valutazioni periodiche della vulnerabilità e i test di penetrazione, la formazione dei dipendenti sulla sicurezza e le procedure di risposta agli incidenti.

9. Audit e conformità

Su ragionevole richiesta scritta del Cliente, e fatti salvi gli opportuni obblighi di riservatezza, Simbase metterà a disposizione le informazioni necessarie a dimostrare la conformità al presente DPA. Il Cliente può condurre o commissionare un audit delle attività di elaborazione di Simbase, a condizione che:

(a) il Cliente fornisce a Simbase un preavviso scritto di almeno trenta (30) giorni;

(b) gli audit siano condotti durante il normale orario di lavoro e non interrompano in modo irragionevole le operazioni di Simbase;

(c) il Cliente si fa carico di tutti i costi associati alla revisione, se non diversamente concordato; e

(d) i risultati delle verifiche e qualsiasi informazione ottenuta sono trattati come Informazioni riservate di Simbase.

Nel caso in cui Simbase abbia ottenuto certificazioni o rapporti di revisione pertinenti da parte di terzi (ad esempio SOC 2 Tipo II), Simbase può mettere a disposizione del Cliente tali rapporti al posto di una revisione diretta, a discrezione di Simbase.

10. Restituzione e cancellazione dei dati

In caso di risoluzione o scadenza del Contratto e su richiesta scritta del Cliente, Simbase, a scelta del Cliente, restituirà tutte le Informazioni personali al Cliente in un formato comunemente utilizzato e leggibile da una macchina, oppure cancellerà in modo sicuro tutte le Informazioni personali in suo possesso, comprese tutte le copie, entro trenta (30) giorni dal ricevimento di tale richiesta.

Simbase fornirà una certificazione scritta della cancellazione su richiesta del Cliente. Simbase può conservare le Informazioni Personali nella misura richiesta dalla Legge Applicabile, a condizione che Simbase continui a proteggere tali Informazioni Personali conservate in conformità con il presente DPA e le tratti solo per gli scopi richiesti dalla legge.

11. Responsabilità e indennizzo

La responsabilità di ciascuna Parte ai sensi del presente DPA è soggetta alle limitazioni e alle esclusioni di responsabilità stabilite nell'Accordo. Nessuna disposizione del presente DPA limiterà la responsabilità di una delle Parti per dolo, colpa grave o qualsiasi responsabilità che non possa essere limitata o esclusa dalla Legge Applicabile.

Ciascuna Parte indennizzerà, difenderà e manterrà indenne l'altra Parte da e contro qualsiasi reclamo, danno, perdita, costo e spesa di terzi (comprese le ragionevoli spese legali) derivanti da o relativi a una violazione del presente DPA da parte della Parte indennizzante, fatte salve le limitazioni di responsabilità previste dall'Accordo.

12. Legge applicabile e risoluzione delle controversie

Il presente DPA sarà disciplinato e interpretato in conformità alle leggi dello Stato del Delaware, senza tener conto dei principi di conflitto di leggi, e alle leggi federali applicabili degli Stati Uniti. Nella misura in cui una specifica legge statale sulla privacy si applichi al trattamento delle Informazioni personali ai sensi del presente DPA, tale legge statale disciplinerà anche le relative attività di trattamento.

Qualsiasi controversia derivante da o relativa al presente DPA che non possa essere risolta dalle Parti attraverso una negoziazione in buona fede sarà sottoposta alla giurisdizione esclusiva dei tribunali federali o statali situati nello Stato del Delaware.

13. Termine e risoluzione

Il presente DPA entrerà in vigore alla data di stipula del Contratto e rimarrà in vigore per tutta la durata del Contratto. In caso di risoluzione del Contratto, il presente DPA si risolverà automaticamente, fatte salve le disposizioni della Sezione 10 (Restituzione e cancellazione dei dati) e qualsiasi altra disposizione che per sua natura è destinata a sopravvivere alla risoluzione, compresi gli obblighi di riservatezza, responsabilità e indennizzo.

14. Varie

Il presente DPA, unitamente all'Accordo, costituisce l'intero accordo tra le Parti in relazione all'oggetto dello stesso e sostituisce tutti gli accordi, le proposte o le dichiarazioni precedenti e contemporanee, scritte o orali, riguardanti l'oggetto del presente DPA.

Se una qualsiasi disposizione del presente DPA dovesse risultare inapplicabile o non valida, tale disposizione sarà limitata o eliminata nella misura minima necessaria affinché il presente DPA rimanga altrimenti pienamente valido ed efficace e applicabile.

Simbase può aggiornare periodicamente il presente DPA per riflettere le modifiche alla Legge Applicabile o alle pratiche di trattamento di Simbase. Simbase fornirà al Cliente un ragionevole preavviso di modifiche sostanziali. L'uso continuato dei Servizi dopo tale avviso costituisce accettazione del DPA aggiornato.

Informazioni di contatto

Per domande sul presente DPA o per esercitare i diritti previsti dal presente DPA, si prega di contattare:

Simbase INC.

1401 Pennsylvania Ave, Suite 105 Wilmington, DE 19806

Email: privacy@simbase.com

Sito web: www.simbase.com