Addendum al Trattamento dei Dati (DPA)

3. Ruolo di Charles e diritto di impartire istruzioni

3.1 Istruzioni documentate. Charles tratterà i Dati del Cliente solo in conformità alle istruzioni documentate e lecite del Cliente come stabilito nel presente DPA, secondo quanto necessario per conformarsi alle Normative sulla Protezione dei Dati, o come diversamente concordato per iscritto. Se Charles è obbligato a trattare i Dati del Cliente ai sensi delle Normative sulla Protezione dei Dati, informerà il Cliente di tale obbligo legale prima del trattamento, salvo che la legge vieti tale informazione per importanti motivi di interesse pubblico.

3.2 Istruzioni illecite. Charles notificherà prontamente al Cliente se ritiene che le istruzioni del Cliente violino le Normative sulla Protezione dei Dati. Charles potrà sospendere il trattamento sulla base di tali istruzioni fino a quando il Cliente non confermi o modifichi le istruzioni stesse. Charles e il Cliente concordano che l'unica responsabilità per il trattamento dei Dati del Cliente conformemente alle istruzioni incombe al Cliente e che Charles non assumerà alcuna responsabilità in merito ai sensi dell'Accordo.

3.3 Riservatezza. Charles assicura che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

4. Responsabilità del Cliente

4.1 Fornitura di Dati Personali. Il Cliente deve fornire Dati del Cliente accurati per il corretto utilizzo dei Servizi. La mancata fornitura dei dati necessari può compromettere la funzionalità del Servizio Charles. Il Cliente dovrà informare prontamente Charles di eventuali errori o discrepanze rispetto alle Normative sulla Protezione dei Dati o alle proprie istruzioni verificando i risultati prodotti da Charles.

4.2 Supporto alle richieste di accesso ai dati. Se Charles è tenuto a fornire informazioni relative ai Dati del Cliente alle autorità, il Cliente dovrà assistere prontamente nell'adempimento di tali richieste.

5.1 Misure tecniche e organizzative adeguate (TOMs). Charles implementerà TOM conformi all'articolo 32 del GDPR per proteggere i Dati del Cliente, garantendo la confidenzialità, l'integrità, la disponibilità e la resilienza dei propri sistemi. Tali TOM, dettagliate nell'Allegato 3, tengono conto dello stato dell'arte, dei costi e dei rischi per gli Interessati. Il Cliente è a conoscenza di tali TOM e Charles è responsabile del mantenimento di un livello di sicurezza adeguato al rischio. Charles si conformerà a eventuali codici di condotta approvati ai sensi dell'articolo 40 del GDPR, ove applicabili e una volta adottati dall'autorità di controllo competente.

5.2 Adeguamento delle misure di sicurezza. Charles potrà modificare le TOM concordate, purché il loro livello di protezione non sia sostanzialmente inferiore a quanto concordato e, in ogni caso, venga mantenuto il livello di protezione richiesto dalle Normative sulla Protezione dei Dati applicabili. Le modifiche sostanziali saranno documentate di conseguenza.

6. Servizi AI di Charles

6.1 Utilizzo da parte del Cliente dei Servizi AI di Charles. La presente sezione 6 si applica in aggiunta agli obblighi previsti dal presente DPA solo nella misura in cui il Cliente utilizzi i Servizi AI di Charles come specificato nell'Accordo Commerciale (“Servizi AI di Charles”).

6.2 Responsabilità di Charles e del Cliente. Nel contesto dei Servizi AI di Charles, Charles garantirà il rispetto di tutte le normative sull'uso dell'IA applicabili nell'Unione Europea (in particolare l'AI Act dell'UE) e, ove applicabile, nel Regno Unito (congiuntamente le “Normative sull'AI”). Il Cliente rimane l'unico responsabile della liceità del trattamento dei Dati del Cliente nella misura in cui il Cliente determini le modalità del trattamento dei Dati del Cliente all'interno del Servizio AI di Charles.

6.3 Misure di Charles. Charles adotterà misure tecniche e organizzative ragionevoli per supportare il Cliente nell'adempimento dei suoi obblighi di trasparenza nei confronti degli Interessati, compreso - ove richiesto - l'informare i Contatti quando interagiscono con i Servizi AI di Charles. Charles assicurerà che i Servizi AI di Charles siano progettati e implementati in modo da consentire un adeguato controllo umano. Su richiesta, Charles fornirà un riepilogo della logica decisionale dell'IA utilizzata nei Servizi AI.

6.4 Dati del Cliente e Servizi AI di Charles. Nessun Dato del Cliente sarà utilizzato per scopi di addestramento dell'IA salvo sia autorizzato dal Cliente. Salvo istruzioni esplicite del Cliente, il Servizio AI di Charles non si impegnerà in processi decisionali automatizzati che producono effetti giuridici o impatti simili significativi sugli interessati.

6.5 Cache temporanea dei dati. I Dati Personali trattati dai Servizi AI di Charles potranno essere temporaneamente memorizzati nella cache per un periodo fino a 24 ore per ottimizzare le prestazioni. Il Cliente potrà in qualsiasi momento rinunciare alla memorizzazione in cache.

6.6 Accuratezza e limiti delle uscite generate dall'AI. Charles adotterà misure commercialmente ragionevoli per ridurre il rischio che le uscite del suo Servizio AI contengano errori, pregiudizi o allucinazioni (“Inaccuratezze”). Il Cliente riconosce tuttavia che le uscite del Servizio IA di Charles possono contenere di tanto in tanto Inaccuratezze. Il Cliente è responsabile del monitoraggio di tutte le uscite generate dall'AI e di informare Charles di eventuali potenziali Inaccuratezze senza indebito ritardo. Charles non è responsabile per le decisioni prese dal Cliente o dai suoi Contatti all'interno del Servizio AI di Charles. Charles non è responsabile per le Inaccuratezze nei contenuti generati dall'AI.

7. Coinvolgimento dei Sub-processori

7.1 Autorizzazione all'uso di Sub-processori. Il Cliente autorizza Charles a utilizzare Sub-processori per il trattamento dei Dati del Cliente conformemente al presente DPA e alle Normative sulla Protezione dei Dati; un elenco aggiornato è incluso nell'Allegato 2.

7.2 Conformità dei Sub-processori. Charles vincolerà ciascun Sub-processori a termini coerenti con il presente DPA e rimane responsabile per la loro prestazione. I Partner di integrazione non sono considerati Sub-responsabili.

7.3 Nuovi Sub-processori. Charles notificherà al Cliente eventuali cambiamenti riguardanti i Sub-processori. Il Cliente potrà opporsi entro 14 giorni, a condizione che l'obiezione si basi su ragionevoli motivi di protezione dei dati. Se tale obiezione rimane irrisolta in buona fede, il Cliente potrà terminare l'Abbonamento con un preavviso di due settimane. In situazioni di emergenza, Charles potrà sostituire un Sub-processore e notificherà prontamente il Cliente, che potrà quindi opporsi alla sostituzione.

8. Diritti e reclami degli Interessati

8.1 Supporto da parte di Charles. Charles implementerà misure per assistere il Cliente nel rispondere alle richieste degli Interessati ai sensi delle Normative sulla Protezione dei Dati. Se il Cliente non è in grado di soddisfare una richiesta, Charles, su richiesta, farà sforzi commercialmente ragionevoli per assistere e fornire qualsiasi informazione disponibile sui Dati del Cliente pertinenti.

8.2 Inoltro delle richieste. Se una richiesta di esercizio dei diritti di un Interessato relativa ai Dati del Cliente viene inviata direttamente a Charles, questi notificherà, con sforzi commercialmente ragionevoli, il Cliente entro cinque (5) giorni lavorativi e non risponderà alla richiesta.

8.3 Difesa contro i reclami degli Interessati. Se un Interessato avanza reclami contro il Cliente ai sensi delle Normative sulla Protezione dei Dati, Charles supporterà ragionevolmente il Cliente nella difesa di tali reclami; ciò si applica, mutatis mutandis, anche ai reclami contro Charles.

9. Trasferimento transfrontaliero dei Dati del Cliente

9.1 Luoghi di trattamento. I Dati del Cliente saranno principalmente trattati all'interno dell'UE/SEE, con i dati «a riposo» memorizzati su server basati nell'UE ove possibile. Charles potrà trattare i Dati del Cliente al di fuori del SEE se specificato nel presente DPA o notificato al Cliente.

9.2 Trasferimenti di dati limitati. Il Cliente autorizza Charles a effettuare trasferimenti di dati personali al di fuori del SEE a condizioni conformi al presente DPA – sulla base di una decisione di adeguatezza UE, delle Clausole Contrattuali Standard (EU‑SCC) o di altra garanzia prevista dalle Normative sulla Protezione dei Dati.

10. Obblighi di notifica di Charles

10.1 Notifica delle violazioni di sicurezza. Charles notificherà al Cliente qualsiasi violazione dei dati personali che interessi i Dati del Cliente senza indebito ritardo e regolarmente entro 48 ore dalla conferma, includendo tutti i dettagli disponibili per aiutare il Cliente a adempiere ai suoi obblighi di segnalazione ai sensi delle Normative sulla Protezione dei Dati.

10.2 Valutazione dell'impatto sulla protezione dei dati e perquisizioni, sequestri e confische. Quando richiesto dalle Normative sulla Protezione dei Dati, Charles assisterà il Cliente nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni con l'autorità di controllo, nella misura ragionevolmente necessaria. Se i Dati del Cliente ai sensi del presente DPA sono oggetto di perquisizione, sequestro o confisca, Charles informerà prontamente il Cliente e tutte le parti rilevanti che il Cliente è il Titolare del trattamento responsabile.

10.5 Richieste di accesso ai dati da parte del governo. Se le autorità governative richiedono o richiedano informazioni sui Dati del Cliente, Charles notificherà il Cliente senza indebito ritardo, salvo sia vietato dalla legge applicabile.

11. Cancellazione e restituzione dei Dati del Cliente

Charles corregge o cancella i Dati del Cliente se richiesto dal Cliente e se consentito nell'ambito delle istruzioni permesse o fornisce mezzi tecnici che consentono al Cliente di correggere o cancellare tali dati. Dopo la cessazione del presente DPA e dell'Abbonamento, Charles, a scelta del Cliente, cancellerà o restituirà i Dati del Cliente - salvo che la conservazione sia richiesta dalla legge applicabile, concordata diversamente o necessaria per la fatturazione. Charles potrà conservare la documentazione del trattamento dopo la cessazione. Dopo la data di cessazione, i Dati del Cliente saranno archiviati in modo sicuro per 12 mesi (salvo che la cessazione sia per giusta causa o il Cliente richieda una cancellazione anticipata), con accesso limitato a un amministratore dedicato.

12. Documentazione di conformità e audit

12.1 Fornitura di documentazione. Charles fornirà prove della propria conformità al presente DPA su richiesta del Cliente fornendo, ad esempio, valutazioni interne, politiche di conformità, certificazioni o riepiloghi di audit.

12.2 Audit. Quando la fornitura di documentazione non sia sufficiente a fornire tale prova, e qualora audit da parte del Cliente o di un revisore nominato dal Cliente siano necessari, il Cliente potrà effettuare audit durante l'orario di ufficio in Germania (Lun–Ven, 10:00–17:00 CET) senza interferire con le operazioni di Charles previa comunicazione a Charles con almeno 3 giorni lavorativi di preavviso. Prima di qualsiasi audit, Charles e il Cliente devono concordare ambito, tempistiche e durata. Charles potrà richiedere un accordo di riservatezza e potrà rifiutare revisori che siano concorrenti. Gli audit sono generalmente limitati a un giorno per anno solare salvo diverso accordo. Ciascuna Parte sopporterà i propri costi connessi agli audit.

13. Durata e cessazione

13.1 Durata e cessazione del DPA. Il presente DPA entra in vigore alla Data di Efficacia dell'Accordo. Per evitare dubbi, è esclusa una cessazione isolata del presente DPA senza alcuna delle condizioni sopra indicate di fine del termine o di risoluzione.

14. Responsabilità e indennizzo

14.1 Responsabilità ai sensi del presente DPA. La responsabilità ai sensi del presente DPA è disciplinata dall'articolo 82 del GDPR, salvo quanto diversamente previsto nel presente DPA o nell'Accordo, nella misura consentita dalle Normative sulla Protezione dei Dati.

14.2 Responsabilità; Limitazione della responsabilità. Il Cliente è l'unico responsabile di garantire che il trattamento dei Dati del Cliente (inclusi tramite i Servizi Charles, i Canali di Messaggistica Selezionati e i Servizi di Terzi) sia conforme alle leggi applicabili e tuteli i diritti degli Interessati. Charles non è responsabile per i reclami degli Interessati derivanti dalle istruzioni o dalla non conformità del Cliente, né è tenuto a monitorare l'uso dei Servizi da parte del Cliente.

14.3 Indennizzo. Se terzi (inclusi gli Interessati) avanzano reclami contro Charles a causa del trattamento dei Dati del Cliente ai sensi del presente DPA, il Cliente indennizzerà Charles su prima richiesta. Il Cliente indennizza inoltre Charles per eventuali sanzioni imposte a seguito della responsabilità preponderante o esclusiva del Cliente per l'infrazione.

15. Disposizioni finali

15.1 Punti di contatto. Charles e il Cliente concorderanno persone di contatto per le notifiche relative al presente DPA e alla protezione dei dati prima dell'inizio dell'Abbonamento.

15.2 Modifiche e precedenza. Charles potrà aggiornare il presente DPA con un preavviso scritto di 30 giorni (compreso via e‑mail o tramite il Servizio Charles). Se il Cliente si oppone entro tale periodo e non si raggiunge un accordo, ciascuna Parte potrà terminare l'Accordo con preavviso di 30 giorni. L'uso continuato dei servizi dopo il preavviso costituisce accettazione delle modifiche. In caso di conflitto con l'Accordo in materia di protezione dei dati, il presente DPA prevale.

15.3 Sopravvivenza. Se una qualsiasi disposizione è invalida o inapplicabile, le restanti disposizioni rimangono in vigore e la disposizione invalida sarà considerata sostituita da una valida che rifletta il più possibile l'intento originale e che soddisfi i requisiti dell'articolo 28 del GDPR. Lo stesso vale per eventuali lacune.

15.4 Legge applicabile e foro competente. La legge applicabile e il foro competente sono regolati dall'Accordo.