Accordo sul Trattamento dei Dati

Accordo sull'elaborazione dei dati (AED) ai sensi dell'art. 28 del GDPR

Aggiornato al: 20/03/2026

Tra

il cliente registrato di Biscotti CMP – di seguito denominato «Titolare» o «Cliente» –

e la

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee Repubblica Federale di Germania

Tribunale del registro: Tribunale locale di Potsdam Numero di registrazione: HRB 40180 P Partita IVA: DE368000447 Codice fiscale: 29/249/36095 Rappresentata da: Daniel Bosch (CEO), Philipp André Marschall (procuratore) E-mail: [email protected] Telefono: +49 3322 50703301 Orario di apertura: lun-ven, 09:00 - 17:00 – di seguito denominato “Responsabile del trattamento” o “Fornitore” –

– il Titolare del trattamento e il Responsabile del trattamento, di seguito denominati congiuntamente anche «le Parti» –

Premessa

Benvenuti alla Campcruisers GmbH! Siamo lieti di darvi il benvenuto come clienti. Trasparenza, standard di sicurezza elevati e un rapporto di collaborazione paritario sono per noi una priorità assoluta. La protezione dei vostri dati e di quelli dei visitatori del vostro sito web non è per noi solo un obbligo di legge, ma una promessa di qualità fondamentale della nostra azienda.

Il Titolare del trattamento utilizza la soluzione Software-as-a-Service (SaaS) basata su cloud “Biscotti CMP” (Consent Management Platform), sviluppata, gestita e distribuita dal Responsabile del trattamento. Nell'ambito della fornitura di questi servizi SaaS, disponibili sul dominio biscotti-cmp.com e sull'applicazione app.biscotti-cmp.com, il responsabile del trattamento elabora i dati personali per conto e secondo le istruzioni del titolare del trattamento. Il presente contratto concretizza gli obblighi delle parti in materia di protezione dei dati derivanti dall’utilizzo di Biscotti CMP. Esso si applica a tutte le attività connesse al contratto principale (contratto di utilizzo dei servizi SaaS) e in cui i dipendenti del responsabile del trattamento o terzi da lui incaricati possono venire a contatto con i dati personali del titolare del trattamento.

Il presente contratto è indispensabile per soddisfare i requisiti del Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati – GDPR), in particolare dell'art. 28 del GDPR, nonché alle disposizioni integrative della Legge federale sulla protezione dei dati (BDSG) e della Legge sulla protezione dei dati nei servizi di telecomunicazione e digitali (TDDDG).

[!NOTE] Conclusione del contratto nel commercio elettronico Il presente contratto è concluso in formato elettronico ai sensi dell’art. 28, comma 9, del GDPR. Al momento dell’iscrizione/registrazione da parte del Titolare del trattamento, esso costituisce parte integrante delle Condizioni Generali di Contratto (CGC) di Biscotti CMP. La stipula del contratto avviene tramite l'esplicito consenso elettronico nel corso della registrazione (ad es. cliccando su un pulsante di conferma) e non richiede alcuna firma autografa separata per la sua validità ed efficacia giuridica.

§ 1 Oggetto e durata del trattamento

1.1 Oggetto del trattamento Il responsabile del trattamento fornisce al titolare del trattamento servizi nell'ambito della gestione del consenso (Consent Management) e dell'automazione della conformità alla normativa sulla protezione dei dati. L'oggetto del trattamento dei dati personali deriva dal contratto principale stipulato tra le parti relativo all'utilizzo di Biscotti CMP. Il trattamento comprende tutte le operazioni relative ai dati necessarie per la fornitura delle funzionalità del software concordate contrattualmente. Queste includono in particolare, ma non esclusivamente:

• La messa a disposizione e la pubblicazione di banner di consenso (cookie banner) sui siti web del Titolare.
• La raccolta, la memorizzazione, la gestione e la documentazione delle decisioni di consenso (accettazione / rifiuto) degli utenti finali (visitatori del sito web) del Titolare ai sensi dell'art. 7, comma 1 del GDPR e del § 25, comma 1 del TDDDG.
• L'esecuzione di scansioni dei cookie basate sull'intelligenza artificiale sui siti web del Titolare del trattamento per l'identificazione e la categorizzazione delle tecnologie di tracciamento e il loro confronto con il database dei fornitori IAB.
• Il trattamento dei segnali nell'ambito di Google Consent Mode v2, dell'IAB Transparency & Consent Framework (TCF 2.4) e del Global Privacy Control (GPC).
• Determinazione basata sull'IP della giurisdizione del visitatore del sito web per la visualizzazione dinamica di varianti di banner conformi alla legge (ad es. GDPR, CCPA/CPRA).
• La generazione di testi legali supportata dall'IA (note legali, informativa sulla privacy, politica sui cookie) tramite l'assistente Legal Suite integrato utilizzando Alibaba Cloud Qwen.
• La messa a disposizione di registri di controllo (audit log), webhook per la notifica in tempo reale, funzionalità di A/B testing e funzioni di esportazione dei dati per l'adempimento dei diritti degli interessati ai sensi dell'art. 15 del GDPR.
• La gestione di sottoaccount di agenzia nell'ambito del piano tariffario "Agency", compresa la gestione dei clienti e il branding white label.

1.2 Durata del trattamento La durata del presente contratto di trattamento dei dati dipende dalla durata del contratto principale sottostante relativo all'utilizzo di Biscotti CMP. Il contratto entra in vigore con la registrazione del titolare del trattamento e l'attivazione dell'account (per i piani gratuiti) o con la conferma del pagamento (per i piani a pagamento come Starter, Growth, Business, Agency). Esso cessa automaticamente con la risoluzione del contratto principale, indipendentemente dal motivo giuridico (ad es. tramite disdetta ordinaria, disdetta straordinaria o cancellazione dell'account). Il termine di preavviso per il contratto principale è di 1 giorno dalla fine del rispettivo periodo di fatturazione. Le disposizioni del presente contratto che, per loro natura, devono continuare ad avere efficacia oltre la cessazione (in particolare le norme relative alla cancellazione e alla restituzione dei dati, nonché le questioni di responsabilità) non sono interessate dalla cessazione.

§ 2 Natura e finalità del trattamento

2.1 Tipo di trattamento Il tipo di trattamento comprende la raccolta, la registrazione, l'organizzazione, la classificazione, la memorizzazione, l'adattamento o la modifica, la lettura, l'interrogazione, l'utilizzo, la divulgazione tramite trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione dei dati. Il trattamento avviene principalmente in modo automatizzato nell'infrastruttura cloud del responsabile del trattamento (ad es. ospitato sulla Hetzner Online GmbH, con server situati tipicamente nell'Unione Europea).

2.2 Finalità del trattamento La finalità del trattamento consiste esclusivamente nell'adempimento degli obblighi contrattuali derivanti dal contratto principale. Ciò include:

• Dimostrabilità del consenso: conservazione dei dati relativi al consenso per adempiere all'obbligo di rendicontazione del titolare del trattamento ai sensi dell'art. 5, comma 2, in combinato disposto con l'art. 7, comma 1, del GDPR.
• Fornitura tecnica: visualizzazione del banner di consenso e garanzia della funzionalità del sito web del titolare del trattamento, tenendo conto delle preferenze dell'utente.
• Analisi di conformità: verifica automatizzata dei siti web del titolare del trattamento per individuare eventuali rischi in materia di protezione dei dati (cookie scanner).
• Redazione di testi legali: trattamento dei dati aziendali e di contatto del titolare del trattamento per la redazione di testi legali su misura supportata dall'intelligenza artificiale.
• Fatturazione e gestione degli account: gestione degli account utente, assegnazione di limiti di sessioni (ad es. 5.000 sessioni nel piano Free, 500.000 nel piano Business) ed elaborazione dei trasferimenti di sessioni.
• Gestione dell'agenzia: possibilità di gestire fino a 25 account secondari nel piano Agency, compresa la messa a disposizione di pagine per rivenditori e funzioni di invio e-mail.

È severamente vietato il trattamento dei dati per scopi propri del responsabile del trattamento, in particolare per scopi pubblicitari propri o per la creazione di profili utente che vadano oltre la fornitura contrattuale dei servizi, a meno che non vi sia un'esplicita autorizzazione legale o un consenso separato.

§ 3 Tipo di dati personali

Nell'ambito del trattamento per conto di terzi vengono trattate le seguenti categorie di dati personali. Il titolare del trattamento determina l'esatta portata dei dati attraverso l'utilizzo di Biscotti CMP e la configurazione del software stesso:

• Dati relativi al consenso: decisioni (accettazione/rifiuto per diverse categorie quali Essenziali, Funzionali, Analitici, Marketing, Servizi di IA), timestamp (data e ora esatta del consenso), numero di identificazione univoco (per l’assegnazione pseudonima della decisione al rispettivo dispositivo/browser).
• Dati tecnici: indirizzi IP (vengono trattati principalmente per il riconoscimento della giurisdizione basato sulla posizione e, di norma, immediatamente anonimizzati/troncati, a meno che il Titolare non effettui una configurazione diversa), informazioni sul browser, informazioni sul dispositivo, stringhe User-Agent, dati di sessione.
• Dati relativi a cookie e tracker: risultati della scansione dei siti web del responsabile del trattamento, inclusi i cookie rilevati, i contenuti della memoria locale, i tracker di terze parti e la loro classificazione.
• Contenuti generati dall'IA: dati che il responsabile del trattamento inserisce nell'assistente Legal Suite per generare testi legali (informativa sulla privacy, note legali, condizioni generali di contratto). Ciò può includere dati aziendali, nomi dei rappresentanti legali, indirizzi e attività di trattamento specifiche elaborate tramite l'API Alibaba Cloud Qwen.
• Dati di contatto (titolare dell'account): nome e cognome, indirizzo e-mail, ragione sociale, indirizzo, numero di telefono, partita IVA dei clienti o dei titolari dell'account.
• Dati di utilizzo: attività della dashboard, statistiche sui banner (visualizzazioni, interazioni, tassi di accettazione), rapporti di conformità, registri di controllo relativi alle modifiche dell'account.
• Dati di pagamento: informazioni di fatturazione elaborate tramite il fornitore di servizi di pagamento Stripe (i dati delle carte di credito vengono tokenizzati direttamente da Stripe e non vengono memorizzati in chiaro presso il responsabile del trattamento).

§ 4 Categorie di interessati

Il trattamento riguarda le seguenti categorie di interessati:

• Visitatori del sito web (utenti finali): persone fisiche che visitano i siti web del titolare del trattamento e le cui decisioni di consenso vengono richieste, elaborate e memorizzate tramite il banner Biscotti CMP.
• Clienti (titolari di account): persone fisiche, imprenditori individuali o rappresentanti di persone giuridiche che, in qualità di partner contrattuali del responsabile del trattamento, hanno registrato un account su Biscotti CMP.
• Membri del team e collaboratori: persone che sono state invitate dal titolare dell'account (titolare del trattamento) come utenti aggiuntivi nella dashboard di Biscotti CMP per gestire il sistema.
• Clienti delle agenzie (titolari di account secondari): clienti finali delle agenzie che utilizzano la tariffa "Agency" e per i quali sono stati creati account secondari.

§ 5 Obblighi e diritti del responsabile del trattamento

5.1 Liceità del trattamento Il titolare del trattamento è l'unico responsabile della valutazione della liceità del trattamento commissionato e della tutela dei diritti degli interessati (art. 4 n. 7 RGPD). Il responsabile garantisce l'esistenza di una base giuridica efficace (ad es. consenso ai sensi dell'art. 6, comma 1, lett. a RGPD o interesse legittimo ai sensi dell'art. 6, comma 1, lett. f RGPD) per il trattamento dei dati personali da parte del responsabile del trattamento. Ciò vale in particolare per l'utilizzo dei Biscotti CMP per l'ottenimento dei consensi ai sensi del § 25 comma 1 TDDDG.

5.2 Obblighi di informazione Il titolare del trattamento è pienamente responsabile di informare gli interessati (in particolare i visitatori del sito web) in modo trasparente, preciso e tempestivo in merito al trattamento dei dati ai sensi degli articoli 13 e 14 del GDPR. A tal fine, il responsabile del trattamento mette a disposizione del titolare del trattamento le informazioni tecniche necessarie sul funzionamento dei Biscotti CMP, nonché modelli di testo tramite l’assistente Legal Suite. La verifica giuridica e l’integrazione dell’informativa sulla privacy sono di competenza del titolare del trattamento.

5.3 Utilizzo da parte di agenzie e rivenditori Se il Titolare del trattamento utilizza la tariffa "Agency" e crea sottoconti per i propri clienti, il Titolare del trattamento rimane l'unico partner contrattuale nei confronti del Responsabile del trattamento e il Titolare del trattamento ai sensi della normativa sulla protezione dei dati. Il Titolare garantisce di disporre degli accordi contrattuali necessari (compresi i propri contratti di trattamento dei dati) con i propri clienti finali. Se il Titolare crea un sito di rivenditore o utilizza i propri server di posta elettronica con un proprio dominio, è l'unico responsabile, ai sensi della normativa sulla protezione dei dati e della concorrenza, di tale infrastruttura. Il Responsabile del trattamento non si assume alcuna responsabilità in merito.

5.4 Segnalazione di errori Il Titolare del trattamento deve informare immediatamente e in modo completo il Responsabile del trattamento qualora, durante la verifica dei risultati dell'incarico, riscontri errori o irregolarità in relazione alle disposizioni in materia di protezione dei dati.

§ 6 Diritto di impartire istruzioni del Titolare

6.1 Natura e portata delle istruzioni Il responsabile del trattamento tratta i dati personali esclusivamente su istruzione documentata del titolare del trattamento, a meno che non sia obbligato a farlo dal diritto dell'Unione o degli Stati membri a cui è soggetto (art. 28, comma 3, lett. a) del GDPR). In tal caso, il responsabile del trattamento comunica al titolare del trattamento tale requisito legale prima del trattamento, a meno che la normativa in questione non vieti tale comunicazione per motivi di interesse pubblico rilevante.

Il contratto principale e le presenti CGC costituiscono le istruzioni documentate iniziali. L'utilizzo delle funzioni del Biscotti CMP (ad es. configurazione del banner, avvio di una scansione, generazione di testi) da parte del Titolare nel Dashboard è considerato un'istruzione documentata specifica.

6.2 Forma delle istruzioni Le istruzioni possono essere impartite di norma tramite l’interfaccia utente del software (applicazione). Le istruzioni che esulano da ciò devono essere impartite in forma scritta (ad es. tramite e-mail all’indirizzo [email protected]). Le istruzioni verbali devono essere confermate immediatamente per iscritto dal Titolare del trattamento.

6.3 Riserve sulle istruzioni Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora ritenga che un'istruzione violi il GDPR, la BDSG o altre norme sulla protezione dei dati dell'Unione o degli Stati membri. Il responsabile del trattamento ha il diritto di sospendere l'esecuzione della relativa istruzione fino a quando non venga confermata o modificata dal titolare del trattamento. Il responsabile del trattamento può rifiutare istruzioni manifestamente illegali.

§ 7 Obbligo di riservatezza

7.1 Obbligo dei collaboratori Il responsabile del trattamento conferma di aver imposto l’obbligo di riservatezza a tutte le persone autorizzate al trattamento dei dati personali del titolare del trattamento (collaboratori, liberi professionisti, organi) prima dell’inizio dell’attività (art. 28, comma 3, lett. b GDPR) o che queste siano soggette a un adeguato obbligo di riservatezza previsto dalla legge. Tale obbligo comprende anche la segretezza dei dati e permane anche dopo la cessazione dell'attività o del rapporto di lavoro.

7.2 Formazione e sensibilizzazione Il responsabile del trattamento garantisce che le persone autorizzate al trattamento siano regolarmente istruite e sensibilizzate in merito alle disposizioni sulla protezione dei dati (GDPR, BDSG) e sulla sicurezza dei dati. Il responsabile del trattamento, rappresentato dalla direzione (Daniel Bosch, Philipp André Marschall), provvede a garantire una cultura aziendale conforme alla protezione dei dati.

7.3 Responsabile della protezione dei dati Il responsabile del trattamento ha nominato un responsabile della protezione dei dati competente e affidabile, nella misura in cui ciò sia richiesto dalla legge ai sensi del § 38 comma 1 BDSG o dell'art. 37 GDPR (ad es. in caso di almeno 20 persone che si occupano costantemente del trattamento automatizzato).

Qualora non sussista alcun obbligo legale di nomina, il responsabile del trattamento garantisce comunque che gli obblighi in materia di protezione dei dati siano pienamente monitorati e rispettati dalla direzione.

§ 8 Misure tecnico-organizzative (TOM) ai sensi dell'art. 32 del GDPR

8.1 Principio della sicurezza del trattamento Il responsabile del trattamento dichiara in modo vincolante di aver adottato misure tecniche e organizzative (TOM) adeguate, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito delle circostanze e delle finalità del trattamento, nonché della diversa probabilità di occorrenza e gravità del rischio per i diritti e le libertà delle persone fisiche, abbia adottato misure tecniche e organizzative (TOM) adeguate per garantire un livello di protezione adeguato al rischio (art. 32 RGPD). Tali misure si basano su standard di sicurezza informatica riconosciuti (come ISO 27001 e SOC 2).

8.2 Misure concrete Il responsabile del trattamento attua in particolare le seguenti misure e le mantiene per tutta la durata del contratto:

a) Pseudonimizzazione e crittografia (art. 32, comma 1, lett. a RGPD)

• Crittografia durante la trasmissione: tutte le trasmissioni di dati tra l'utente finale, il titolare del trattamento e l'infrastruttura Biscotti CMP avvengono obbligatoriamente tramite i più moderni protocolli di crittografia (TLS 1.2 o TLS 1.3).
• Crittografia in stato di riposo: tutti i database e i supporti di memorizzazione sulla Hetzner Online GmbH (ubicazione del server NL) sono crittografati a livello di disco rigido (AES-256).
• Pseudonimizzazione: le decisioni relative al consenso non vengono associate a nomi reali, ma a un numero di identificazione crittografico generato casualmente. Gli indirizzi IP vengono abbreviati/anonimizzati di default non appena viene completata l'attribuzione basata sulla posizione.

b) Riservatezza (controllo degli accessi)

• Controllo degli accessi: la sicurezza fisica dei server utilizzati è garantita dal fornitore esterno di infrastrutture (ad es. Google Cloud). I centri di calcolo sono soggetti a severi controlli di accesso e di sicurezza, come da prassi del settore. Gli uffici di Campcruisers GmbH sono protetti da adeguate restrizioni fisiche di accesso (ad es. serrature di sicurezza).
• Controllo degli accessi: l'accesso ai sistemi IT del responsabile del trattamento è protetto da politiche restrittive in materia di password, autenticazione a più fattori (MFA) per gli accessi amministrativi rilevanti e timeout di sessione. Vengono utilizzati sistemi come Cloudflare Turnstile per proteggere i tentativi di accesso dagli attacchi dei bot.
• Controllo degli accessi: si applica il principio dell'assegnazione minima dei diritti (Role-Based Access Control - RBAC). I dipendenti del responsabile del trattamento hanno accesso solo ai dati strettamente necessari per il loro rispettivo compito. I dati dei clienti delle diverse tariffe sono logicamente separati l'uno dall'altro (multi-tenancy).

c) Integrità (controllo della trasmissione, dell'immissione e della separazione)

• Controllo della trasmissione: i dati non vengono trasportati su supporti fisici. La trasmissione avviene esclusivamente tramite reti sicure.
• Controllo dell'immissione: Biscotti CMP dispone di un registro di controllo completo (audit log). È possibile risalire in qualsiasi momento a quale utente (cliente, membro del team, agenzia) abbia apportato quali modifiche nella dashboard e in quale momento (ad es. modifica dei testi dei banner, adeguamento delle categorie dei cookie).
• Controllo della separazione: i dati raccolti per scopi diversi vengono trattati separatamente. Gli ambienti di produzione, di test e di sviluppo sono rigorosamente isolati l'uno dall'altro.

d) Disponibilità e resilienza (art. 32, par. 1, lett. b e c del GDPR)

• Disponibilità: il responsabile del trattamento adotta misure adeguate e conformi agli standard del settore per garantire la disponibilità dei sistemi (hosting su Hetzner Online GmbH). Tuttavia, non vengono garantiti livelli di disponibilità SLA espliciti e non esiste una ridondanza completa dell'infrastruttura.
• Resilienza: l'architettura di sistema è concepita in modo tale che i volumi di sessioni previsti vengano di norma elaborati in modo affidabile. Tuttavia, non vengono utilizzati meccanismi dedicati di bilanciamento del carico o di scalabilità automatica (auto-scaling).
• Ripristinabilità: il responsabile del trattamento adotta misure adeguate (ad es. backup regolari dei database) per consentire il ripristino dei dati in caso di incidente tecnico. Tuttavia, non vi è alcuna garanzia di ripristino senza perdite, motivo per cui il titolare del trattamento è invitato a utilizzare sotto la propria responsabilità le funzioni di esportazione a sua disposizione.

e) Procedure di verifica periodica (art. 32, par. 1, lett. d) del GDPR)

• Il responsabile del trattamento verifica regolarmente a livello interno l'efficacia delle misure tecniche e organizzative adottate.
• Esistono processi interni di risposta agli incidenti di sicurezza (Incident Response) per poter affrontare potenziali incidenti nel rispetto del quadro normativo.
• Le TOM sono soggette a un processo di miglioramento continuo.

8.3 Adeguamento delle misure tecniche e organizzative Le misure tecniche e organizzative sono soggette al progresso tecnico e all'ulteriore sviluppo. Il responsabile del trattamento è autorizzato ad attuare misure alternative adeguate, a condizione che il livello di sicurezza delle misure stabilite non venga ridotto. Le modifiche sostanziali devono essere comunicate al titolare del trattamento per iscritto.

§ 9 Subresponsabili del trattamento

9.1 Incarico di sub-responsabili del trattamento Il Titolare del trattamento concede con la presente al Responsabile del trattamento l'autorizzazione generale scritta (art. 28, comma 2, GDPR) a ricorrere ad altri responsabili del trattamento (sub-responsabili del trattamento). Il responsabile del trattamento garantisce di selezionare con cura i sub-responsabili del trattamento e di assoggettarli contrattualmente agli stessi obblighi di protezione dei dati stabiliti nel presente contratto (art. 28, comma 4 del GDPR).

9.2 Subresponsabili attualmente autorizzati Alla stipula del contratto, i seguenti subresponsabili operano per la fornitura dei servizi Biscotti CMP e sono considerati autorizzati dal Titolare del trattamento. Il Responsabile del trattamento ha garantito che, nel caso di fornitori statunitensi, la rispettiva filiale UE funga da partner contrattuale, al fine di preservare il livello di protezione dei dati dell'UE:

9.3 Trasferimento verso paesi terzi Qualora il trattamento avvenga tramite sub-responsabili del trattamento al di fuori dell'Unione Europea (UE) o dello Spazio Economico Europeo (SEE) (ad es. in caso di Resend), il responsabile del trattamento garantisce che siano soddisfatti i requisiti specifici di cui agli articoli 44 e seguenti del GDPR. Ciò avviene di norma mediante la sottoscrizione delle attuali clausole contrattuali standard (SCC) della Commissione UE, in combinazione con una valutazione d’impatto del trasferimento (Transfer Impact Assessment) e l’implementazione di misure tecniche aggiuntive (ad es. la crittografia).

9.4 Sostituzione o coinvolgimento di nuovi subresponsabili del trattamento Il responsabile del trattamento informerà il titolare del trattamento di ogni modifica prevista relativa al coinvolgimento o alla sostituzione di subresponsabili del trattamento. L'informazione avverrà in forma scritta (ad es. tramite e-mail all'indirizzo registrato nell'account) almeno 30 giorni prima della modifica prevista. Il Titolare del trattamento può opporsi alla modifica per motivi importanti legati alla protezione dei dati entro 14 giorni dal ricevimento della comunicazione. In assenza di opposizione, la modifica si considera approvata. In caso di opposizione giustificata che il responsabile del trattamento non possa superare con misure ragionevoli, il titolare del trattamento ha il diritto di recedere dal contratto principale in via straordinaria a partire dalla data di entrata in vigore della modifica.

§ 10 Assistenza in materia di diritti degli interessati

10.1 Obbligo di assistenza Il responsabile del trattamento assiste il titolare del trattamento, per quanto possibile, con misure tecniche e organizzative adeguate, nell'adempimento del suo obbligo di rispondere alle richieste di esercizio dei diritti degli interessati di cui al capitolo III del GDPR (artt. da 15 a 22 del GDPR) (art. 28, comma 3, lett. e del GDPR).

10.2 Attuazione tecnica in Biscotti CMP Biscotti CMP mira a fornire supporto tecnico al Titolare del trattamento nell’adempimento dei suoi obblighi:

• Diritto di accesso (art. 15 GDPR) e diritto alla portabilità dei dati (art. 20 GDPR): il software offre possibilità di esportazione dei dati (ad es. in formato CSV); in alternativa, è possibile richiedere al supporto l’esportazione di specifici ID di consenso in conformità con la normativa sulla protezione dei dati.
• Diritto di revoca (art. 7, comma 3 del GDPR): il banner di consenso di Biscotti CMP offre agli utenti finali la possibilità di visualizzare le impostazioni effettuate e di revocarle in qualsiasi momento.
• Diritto alla cancellazione (art. 17 GDPR): i dati raccolti possono essere cancellati dal titolare del trattamento tramite le funzioni messe a disposizione nella dashboard oppure, previa prova, può essere richiesta la cancellazione al servizio di assistenza.

10.3 Inoltro delle richieste Se un interessato fa valere i propri diritti direttamente nei confronti del responsabile del trattamento, quest'ultimo non risponderà autonomamente alla richiesta, ma indirizzerà immediatamente l'interessato al titolare del trattamento, a condizione che sia possibile attribuire la richiesta al titolare del trattamento sulla base dei dati disponibili. Il responsabile del trattamento inoltra immediatamente la richiesta al titolare del trattamento.

§ 11 Assistenza nella valutazione d'impatto sulla protezione dei dati (DSFA) e negli obblighi di notifica

11.1 Valutazione d'impatto sulla protezione dei dati (art. 35 RGPD) Il responsabile del trattamento assiste il titolare del trattamento, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, nell'esecuzione di una valutazione d'impatto sulla protezione dei dati (DSFA) ai sensi dell'art. 35 del GDPR, nonché nell'eventuale consultazione preventiva dell'autorità di controllo (art. 36 del GDPR).

11.2 Notifica delle violazioni della protezione dei dati personali Il responsabile del trattamento è tenuto a notificare al titolare del trattamento, per iscritto, ogni violazione della protezione dei dati personali (violazione dei dati) che riguardi i dati trattati per conto del titolare, immediatamente e comunque entro 48 ore dal momento in cui ne viene a conoscenza.

§ 12 Cancellazione e restituzione dei dati

12.1 Cancellazione al termine del contratto Al termine della prestazione dei servizi di trattamento (cessazione del contratto principale), il responsabile del trattamento è tenuto, a scelta del titolare del trattamento, a cancellare o restituire tutti i dati personali, a meno che non sussista un obbligo di conservazione dei dati personali ai sensi del diritto dell'Unione o degli Stati membri (ad es. obblighi di conservazione previsti dal diritto commerciale e fiscale ai sensi del Codice commerciale tedesco (HGB) e della legge generale sulle imposte (AO)).

12.2 Procedura standard di Biscotti CMP Salvo diversa indicazione da parte del Titolare, si applica la seguente procedura standard: il Titolare ha la possibilità di eseguire autonomamente il backup dei propri dati prima della scadenza del contratto tramite la funzione di esportazione (CSV). Dopo l’entrata in vigore della disdetta e la scadenza del periodo di fatturazione, l’account del Titolare viene disattivato. I dati personali memorizzati nell'account vengono conservati per un periodo transitorio di 30 giorni (periodo di conservazione) per consentire il ripristino in caso di downgrade accidentale. Alla scadenza di questi 30 giorni, i dati vengono cancellati in modo irrevocabile e conforme alla normativa sulla protezione dei dati dai sistemi produttivi.

12.3 Conferma della cancellazione Su espressa richiesta del Titolare, il Responsabile conferma per iscritto la cancellazione dei dati in conformità con la normativa sulla protezione dei dati.

§ 13 Diritti di controllo e audit

13.1 Diritto di verifica Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi stabiliti nell'art. 28 del GDPR e nel presente contratto. Egli consente le verifiche – comprese le ispezioni – effettuate dal titolare del trattamento o da un revisore da questi incaricato e tenuto al segreto professionale, e vi collabora.

13.2 Esecuzione degli audit Al fine di non compromettere la sicurezza dei centri di elaborazione dati e la riservatezza dei dati di altri clienti (separazione dei clienti), le parti concordano la seguente procedura per gli audit:

• Il responsabile eserciterà il proprio diritto di controllo principalmente richiedendo e valutando certificati significativi (ad es. ISO 27001) o tramite questionari dettagliati sulla sicurezza informatica.
• Qualora tali informazioni non fossero sufficienti, il responsabile è autorizzato a effettuare un'ispezione in loco presso la sede della Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Le ispezioni in loco devono essere comunicate con un preavviso adeguato (di norma almeno 14 giorni).

§ 14 Responsabilità e risarcimento danni

14.1 Rapporti con terzi (nei confronti delle persone interessate) Il responsabile del trattamento e il responsabile del trattamento sono responsabili del risarcimento dei danni nei confronti della persona interessata ai sensi dell'art. 82 del GDPR. Il responsabile del trattamento è responsabile del danno causato dal trattamento solo se non ha adempiuto ai propri obblighi ai sensi del GDPR o ha agito in contrasto con le istruzioni legittimamente impartite dal responsabile del trattamento.

14.2 Rapporti interni (tra le parti) Nei rapporti interni, le parti si esonerano dalla responsabilità se una parte dimostra di non essere in alcun modo responsabile della circostanza che ha causato il danno.

14.3 Limitazione di responsabilità derivante dal contratto principale In via integrativa si applicano le disposizioni in materia di responsabilità del contratto principale (Condizioni generali di contratto). È esclusa la responsabilità per negligenza lieve, a meno che non si tratti della violazione di obblighi contrattuali essenziali (obblighi cardinali). In tal caso, la responsabilità è limitata al danno prevedibile tipico del contratto.

§ 15 Disposizioni finali

15.1 Forma scritta e modifiche Le modifiche e le integrazioni al presente contratto devono essere effettuate per iscritto (ad es. via e-mail). Il responsabile del trattamento si riserva il diritto di modificare il presente contratto per adattarlo a mutate condizioni giuridiche o sviluppi tecnici. Il titolare del trattamento sarà informato delle modifiche via e-mail.

15.2 Gerarchia Qualora singole disposizioni del presente contratto di trattamento dei dati fossero in contrasto con le disposizioni del contratto principale (Condizioni generali di contratto), prevalgono le disposizioni del presente contratto di trattamento dei dati in materia di protezione e sicurezza dei dati.

15.3 Clausola salvatoria Qualora singole disposizioni del presente contratto siano o diventino inefficaci o inapplicabili, ciò non pregiudica l'efficacia delle restanti disposizioni. Le parti si impegnano a sostituire la disposizione inefficace o inapplicabile con una disposizione efficace e applicabile.

15.4 Diritto applicabile e foro competente Il presente contratto è regolato esclusivamente dal diritto della Repubblica Federale di Germania, con esclusione della Convenzione delle Nazioni Unite sui contratti di vendita internazionale di beni mobili. Il foro competente esclusivo per tutte le controversie derivanti da o relative al presente contratto è, nella misura consentita dalla legge, la sede del responsabile del trattamento (Falkensee). La lingua del contratto è il tedesco.