Addendum sulla protezione dei dati
Ultimo aggiornamento del materiale: 22 Aprile 2024
1. Introduzione
1.1 Questo Addendum alla Protezione dei Dati (questo “DPA”) fa parte e è soggetto ai termini dell'accordo che: (a) è stipulato tra un'entità del gruppo Teya (“Teya”) e un commerciante (il “Commerciante”); e (b) si riferisce a questo DPA (il “Accordo”).
1.2 Questo DPA regola il trattamento dei Dati Personali delle parti in relazione all'Accordo. Questo include il trattamento dei Dati Personali relativi ai titolari di carta, a una transazione o in altro modo riguardanti il personale di ciascuna delle parti raccolti o condivisi in relazione all'Accordo.
2. Definizioni e Interpretazione
2.1 I termini in maiuscolo utilizzati in questo DPA devono, a meno che non sia espressamente indicato il contrario, avere il significato ad essi attribuito nell'Accordo. Le regole di interpretazione stabilite nell'Accordo si applicheranno a questo DPA.
2.2 Se qualsiasi disposizione di questo DPA è in conflitto con gli altri termini dell'Accordo, questo DPA prevarrà. Se qualsiasi disposizione di questo DPA è in conflitto con qualsiasi Standard del Piano Carta o Modulo di Richiesta Merciante applicabile, gli Standard del Piano Carta o il Modulo di Richiesta Merciante prevarranno.
2.3 In questo DPA, i seguenti termini avranno i seguenti significati:
2.3.1 “Legislazione sulla Protezione dei Dati” significa qualsiasi legge, statuto, dichiarazione, decreto, direttiva, atto legislativo, ordine, ordinanza, regolamento, regola o altra restrizione vincolante (come emendata, consolidata o reintegrata di volta in volta) che riguarda la protezione degli individui rispetto al trattamento dei dati personali ai quali una parte è soggetta, inclusi il Regolamento sulle Comunicazioni Elettroniche e sulla Privacy 2003 (come emendato dal SI 2011 n. 6), il Data Protection Act del Regno Unito 2018, il GDPR dell'UE e il GDPR del Regno Unito;
2.3.2 “Responsabile del Trattamento”, “Interessato”, “Dati Personali”, “Violazione dei Dati Personali”, “Responsabile”, “Trattamento” e “Autorità di Controllo” avranno i significati stabiliti nella Legislazione sulla Protezione dei Dati (e “Trattare” e “Trattati” devono essere interpretati di conseguenza);
2.3.3 “Richiesta dell'Interessato” significa una richiesta o un avviso o un reclamo reale o presunto (o per conto di) un Interessato che esercita i suoi diritti ai sensi della Legislazione sulla Protezione dei Dati;
2.3.4 “GDPR dell'UE” significa il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 sulla protezione delle persone fisiche rispetto al trattamento dei dati personali e che abroga la Direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) OJ L 119/1, 4.5.2016;
2.3.5 “ICO” significa l'Ufficio del Commissario per le Informazioni del Regno Unito o qualsiasi ente successore che lo sostituisce;
2.3.6 “Impatto Materiale” significa un effetto materialmente dannoso su: (a) la reputazione di una parte o di qualsiasi membro del suo gruppo, come appropriato; o (b) il rapporto di una parte con l'Interessato; che, in ciascun caso, potrebbe ragionevolmente risultare in: (i) azioni di enforcement minacciate o effettive (sia formali che informali) da parte di qualsiasi Autorità di Controllo o dall'ICO per una violazione della Legislazione sulla Protezione dei Dati; o (ii) una rivendicazione prospettica o effettiva da parte di un Interessato o di una terza parte (sia per violazione contrattuale, negligenza o altro illecito, ai sensi di norme o altro);
2.3.7 “Corrispondenza con l'Autorità di Controllo” significa qualsiasi corrispondenza o comunicazione (sia scritta che verbale) da parte di un'Autorità di Controllo o dall'ICO in relazione al trattamento dei Dati Personali in relazione all'Accordo;
2.3.8 “Requisiti di Sicurezza” significano i requisiti riguardanti la sicurezza dei Dati Personali, come stabilito nella Legislazione sulla Protezione dei Dati, inclusi, in particolare, le misure stabilite nell'Articolo 32(1) del GDPR dell'UE e del GDPR del Regno Unito (se applicabili) (tenendo debito conto delle questioni descritte nell'Articolo 32(2) del GDPR dell'UE e del GDPR del Regno Unito (se applicabili)); e
2.3.9 “GDPR del Regno Unito” significa il GDPR dell'UE come emendato in conformità con le Normative sulla Protezione dei Dati, Privacy e Comunicazioni Elettroniche (Modifiche ecc.) (Regno Unito) 2019 (come emendato dal SI 2020 n. 1586) e incorporato nella legislazione del Regno Unito ai sensi del Regno Unito European Union (Withdrawal) Act 2018.
3. Ruoli delle parti
3.1 Le parti si aspettano che, in relazione al trattamento dei Dati Personali in connessione con l'Accordo, ciascuna parte agisca come un Responsabile Indipendente dei Dati Personali.
3.2 Nessuna delle parti si aspetta di agire come Responsabili Congiunti dei Dati Personali, né una parte nomina l'altra per agire come suo Responsabile ai fini del trattamento effettuato in connessione con l'Accordo.
4. Protezione dei Dati
4.1 In relazione al suo trattamento dei Dati Personali in connessione con l'Accordo, ciascuna parte dovrà:
4.1.1 rispettare i propri obblighi ai sensi della Legislazione sulla Protezione dei Dati;
4.1.2 emettere i propri avvisi di trattamento equo per essere trasparenti riguardo al proprio trattamento dei Dati Personali;
4.1.3 implementare e mantenere misure tecniche e organizzative appropriate sufficienti a rispettare i Requisiti di Sicurezza;
4.1.4 adottare misure ragionevoli per garantire l'affidabilità di chiunque del proprio personale che avrà accesso ai Dati Personali e garantire che ciascun membro del personale con accesso ai Dati Personali abbia stipulato impegni di riservatezza contrattualmente vincolanti appropriati;
4.1.5 cooperare con l'altra parte per assisterla nei suoi obblighi di reporting in caso di violazione della Legislazione sulla Protezione dei Dati in relazione all'Accordo;
4.1.6 notificare all'altra parte qualsiasi Violazione dei Dati Personali che possa essere verificatasi in relazione all'Accordo senza indebito ritardo una volta diventata a conoscenza della stessa; e
4.1.7 notificare all'altra parte prontamente dopo aver ricevuto qualsiasi Richiesta dell'Interessato o Corrispondenza con l'Autorità di Controllo che quella parte ritiene, agendo ragionevolmente, sia probabile avere un Impatto Materiale sull'altra parte.