Accordo sul trattamento dei dati

Definizioni

Titolare del trattamento, responsabile del trattamento, dati personali, trattamento, violazione dei dati personali e autorità di controllo hanno il significato loro attribuito dal UK GDPR.

UK GDPR indica il regolamento generale sulla protezione dei dati dell'UE, nella versione mantenuta in vigore che fa parte del diritto di Inghilterra e Galles, Scozia e Irlanda del Nord, unitamente al Data Protection Act 2018. EU GDPR indica il regolamento (UE) 2016/679. Normativa sulla protezione dei dati indica quella, tra queste, che si applica al trattamento in questione.

Sub-responsabile del trattamento indica un terzo che incarichiamo di trattare dati personali per Suo conto.

Quando siamo responsabili del trattamento e quando no

Svolgiamo due tipi di attività diversi, e la legge li tratta in modo diverso. Il presente DPA riguarda solo il primo.

Agiamo in qualità di Suo responsabile del trattamento quando:

• Deteniamo i contatti e gli utenti della Sua organizzazione e i relativi account
• Archiviamo i documenti che Lei carica sulla piattaforma
• Trasmettiamo messaggi tra Lei e gli ispettori assegnati al Suo lavoro

Agiamo in qualità di titolare autonomo del trattamento quando:

• Svolgiamo un'ispezione e decidiamo cosa viene osservato, registrato e riportato
• Conserviamo i rapporti e il materiale di supporto come prova del lavoro svolto
• Emettiamo fatture e teniamo le scritture contabili, come ci impone la legge del Regno Unito
• Valutiamo i rischi di viaggio e consultiamo i dati delle navi per pianificare e svolgere il nostro lavoro

Quando agiamo in qualità di titolare del trattamento, si applica la nostra Informativa sulla privacy anziché il presente DPA. Quando lo stesso dato serve entrambe le finalità, il presente DPA si applica al modo in cui lo gestiamo per Suo conto, e i nostri obblighi di titolare del trattamento continuano ad applicarsi parallelamente.

Le Sue responsabilità

In qualità di titolare del trattamento dei dati personali che trattiamo per Suo conto, spetta a Lei:

• Disporre di una base giuridica per il trattamento oggetto delle Sue istruzioni
• Fornire alle persone di cui carica i dati le informazioni a cui hanno diritto
• Assicurarsi che le Sue istruzioni, e i dati che inserisce nella piattaforma, siano conformi alla normativa sulla protezione dei dati
• Mantenere aggiornati gli account e i diritti di accesso dei Suoi utenti, e rimuovere le persone che non devono più avere accesso

Non spetta a noi stabilire se il Suo trattamento sia lecito, e non esaminiamo il contenuto di ciò che carica.

Dettagli del trattamento

Oggetto: fornitura della piattaforma descritta nelle Condizioni d'uso.

Durata: per tutto il tempo in cui esiste il Suo account, più l'eventuale periodo di conservazione indicato nella sezione 10.

Natura e finalità: hosting, archiviazione, trasmissione e coordinamento delle attività di ispezione.

Tipi di dati personali: nomi, indirizzi email, numeri di telefono, ruoli professionali, immagini del profilo, credenziali di autenticazione, informazioni su sessioni e dispositivi, ed eventuali dati personali contenuti nei documenti che Lei carica.

Categorie di interessati: il Suo personale e i Suoi rappresentanti, gli ispettori assegnati al Suo lavoro e le persone nominate nel materiale di ispezione, tra cui può rientrare l'equipaggio della nave.

Le Sue istruzioni

Trattiamo i dati personali soltanto su Sua istruzione documentata, anche in relazione ai trasferimenti al di fuori del Regno Unito o del SEE, salvo che la legge ci imponga di agire diversamente. Qualora la legge lo richieda, La informeremo prima del trattamento, a meno che la legge non ce lo vieti.

Le Sue istruzioni sono costituite dalle Condizioni d'uso, dal presente DPA e dall'uso che Lei fa delle funzionalità della piattaforma.

La informeremo qualora, a nostro parere, un'istruzione violi la normativa sulla protezione dei dati. Possiamo rifiutarci di dare seguito a un'istruzione che ci porrebbe in violazione.

Riservatezza

Chiunque autorizziamo a trattare dati personali è vincolato da un obbligo di riservatezza, derivante dal contratto di lavoro, dalle condizioni dell'incarico o da un impegno scritto. Limitiamo l'accesso a chi ne ha bisogno per svolgere il proprio lavoro.

Sicurezza

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'articolo 32, tra cui:

• Password archiviate mediante una funzione di hash unidirezionale, e supporto per le passkey
• Crittografia in transito mediante HTTPS/TLS, e crittografia a riposo
• Controllo degli accessi basato sui ruoli, con accesso limitato a quanto necessario a ciascun ruolo
• Registrazione degli accessi e delle azioni amministrative
• Backup conservati in un archivio protetto separato, con ripristino verificato
• Autenticazione a più fattori disponibile sugli account

Riesaminiamo queste misure man mano che la piattaforma cambia. Possiamo aggiornarle, a condizione che il livello di protezione non diminuisca.

Sub-responsabili del trattamento

Lei ci concede un'autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento. L'elenco aggiornato è pubblicato alla pagina Sub-responsabili del trattamento, che costituisce il registro ai fini del presente DPA.

La informeremo con almeno 30 giorni di preavviso prima che un nuovo sub-responsabile del trattamento inizi il trattamento, via email o tramite la piattaforma. Se entro tale periodo Lei si oppone per ragionevoli motivi di protezione dei dati, collaboreremo con Lei per trovare un'alternativa. Se ciò non fosse possibile, Lei potrà recedere dai servizi interessati senza penali, e Le rimborseremo gli eventuali compensi pagati per servizi non forniti.

Imponiamo a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati che non siano meno protettivi di quelli previsti dal presente DPA, e rispondiamo nei Suoi confronti del loro operato.

Gli ispettori vengono incaricati in tutto il mondo. Un singolo ispettore incaricato alle nostre condizioni agisce sotto la nostra autorità in qualità di personale e non di sub-responsabile del trattamento, ed è vincolato dall'obbligo di riservatezza di cui alla sezione 6. Una società a cui subappaltiamo attività di ispezione è un sub-responsabile del trattamento, ed è disciplinata da questa sezione come qualsiasi altro sub-responsabile del trattamento.

Non pubblichiamo i nomi di tali società, perché i nostri accordi con esse sono riservati, e l'elenco pubblicato riguarda i servizi tecnologici alla base della piattaforma anziché le ditte con cui lavoriamo. Su richiesta, Le indicheremo per iscritto e in via riservata i subappaltatori coinvolti nel Suo lavoro. Il Suo diritto a ricevere il preavviso e a opporsi ai sensi di questa sezione si applica a loro esattamente come a un sub-responsabile del trattamento indicato nell'elenco.

Assistenza nell'adempimento dei Suoi obblighi

Diritti degli interessati. La piattaforma consente alle persone di aggiornare il proprio nome, l'immagine del profilo e il numero di telefono, gestire le proprie passkey e visualizzare e revocare le proprie sessioni. Se una richiesta perviene a noi anziché a Lei, Le inoltreremo la richiesta anziché rispondervi, salvo Sua diversa indicazione. La aiuteremo a rispondere, tenendo conto di ciò che la piattaforma mette a disposizione.

Violazioni dei dati personali. Le invieremo una notifica senza ingiustificato ritardo, e comunque entro 48 ore dal momento in cui veniamo a conoscenza di una violazione che riguarda i Suoi dati personali. La nostra notifica descriverà l'accaduto, le categorie e il numero approssimativo di registrazioni di dati personali coinvolte, le probabili conseguenze e le misure adottate.

Valutazioni d'impatto. Forniremo un'assistenza ragionevole per le valutazioni d'impatto sulla protezione dei dati e per la consultazione preventiva di un'autorità di controllo, nella misura in cui riguardino il trattamento che svolgiamo per Suo conto.

Cancellazione e restituzione

Su richiesta nel corso della durata dell'accordo, o alla sua cessazione, cancelleremo o restituiremo i dati personali che trattiamo per Suo conto, e cancelleremo le copie esistenti.

Conserveremo la documentazione quando la legge lo richiede o quando costituisce prova del lavoro svolto. In pratica, ciò significa:

• Scritture contabili, comprese fatture e spese, conservate per sei anni ai sensi della legge del Regno Unito
• Rapporti di ispezione e materiale di supporto, conservati come documentazione di un'ispezione da noi svolta e come prova in caso di controversia o pretesa

Tutto ciò che viene conservato ai sensi di questa sezione resta soggetto alle condizioni di sicurezza e riservatezza di cui sopra, e non lo trattiamo per nessun'altra finalità. L'eliminazione di un singolo account è descritta alla pagina Eliminare il Suo account.

Trasferimenti internazionali

La maggior parte dei dati personali viene trattata nel Regno Unito e nell'UE. Alcuni sub-responsabili del trattamento effettuano il trattamento negli Stati Uniti, e il trattamento mediante IA può avvenire in altre regioni, come indicato nell'elenco dei Sub-responsabili del trattamento.

I nostri ispettori e subappaltatori lavorano in tutto il mondo, anche in paesi per i quali non esiste una decisione di adeguatezza del Regno Unito o dell'UE. Accedono ai dati personali tramite la piattaforma per svolgere il lavoro che Lei commissiona, nel rispetto dei controlli di riservatezza e di accesso di cui alle sezioni 6 e 7.

Quando i dati personali escono dal Regno Unito o dal SEE, sia verso un sub-responsabile del trattamento sia verso il nostro personale, ci basiamo sull'International Data Transfer Agreement del Regno Unito, oppure sulle clausole contrattuali tipo dell'UE unitamente all'UK Addendum, e su valutazioni del rischio dei trasferimenti ove richiesto. Tali condizioni sono incorporate nel presente DPA e prevalgono su di esso in caso di conflitto.

Audit

Metteremo a disposizione le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA.

Può richiedere tali informazioni una volta in qualsiasi periodo di dodici mesi, per iscritto, e risponderemo entro 30 giorni. Qualora ciò sia effettivamente insufficiente, può sottoporci ad audit in loco con un preavviso di almeno 30 giorni, durante l'orario lavorativo, con modalità che non interferiscano con il nostro lavoro e a Sue spese. Può nominare un auditor indipendente che non sia un nostro concorrente e che sia vincolato da obblighi di riservatezza.

Se un'autorità di controllo richiede un audit, questa sezione non lo limita.

California

Quando il California Consumer Privacy Act si applica alle informazioni personali che Lei fornisce, agiamo in qualità di fornitore di servizi. Non le vendiamo né le condividiamo, non le conserviamo, utilizziamo o divulghiamo per finalità diverse dall'esecuzione dei servizi previsti dalle Condizioni d'uso, e non le combiniamo con informazioni personali ottenute altrove, salvo nei casi consentiti da tale legge. La informeremo qualora non fossimo più in grado di adempiere a tali obblighi.

Responsabilità, durata e prevalenza

La responsabilità ai sensi del presente DPA è soggetta alle limitazioni previste dalle Condizioni d'uso.

Il presente DPA entra in vigore quando Lei accetta le Condizioni d'uso e resta in vigore finché trattiamo dati personali per Suo conto. In caso di conflitto tra una qualsiasi sua parte e le Condizioni d'uso, per quanto riguarda i dati personali prevale il presente DPA.

Il presente DPA è l'accordo in base al quale operiamo. Qualora Lei richieda l'applicazione di proprie condizioni sul trattamento dei dati, le prenderemo in considerazione, e quelle da noi accettate devono essere da noi sottoscritte per avere efficacia; fino ad allora si applica il presente DPA. Qualora condizioni sottoscritte e il presente DPA disciplinino lo stesso punto, prevalgono le condizioni sottoscritte.

Il presente DPA è disciplinato dalla legge di Inghilterra e Galles ed è soggetto alla giurisdizione stabilita nelle Condizioni d'uso.

Modifiche al presente accordo

Possiamo aggiornare il presente DPA in funzione dei cambiamenti della piattaforma o della legge, a condizione che la modifica non riduca la protezione che Le offre. Le daremo un preavviso di almeno 30 giorni in caso di modifica sostanziale, via email o tramite la piattaforma, e la versione in vigore è sempre pubblicata qui.

Contatti

Per qualsiasi questione relativa al presente accordo, scriva a support@awpmarine.com. Per questioni di sicurezza, scriva a security@awpmarine.com.