Addendum sul trattamento dei dati

Il presente Addendum fa parte dei Termini e condizioni di BrandsGateway (i “Termini”) tra Gateway Holdings OÜ, codice di registro 14276496, Narva mnt 5, 10117 Tallinn, Estonia, che opera con il nome commerciale BrandsGateway (il “Responsabile”), e ciascun cliente professionale che accetta i Termini (il “Cliente”). Il Cliente lo accetta accettando i Termini. Si applica dalla data in cui il Cliente accetta i Termini o, per i clienti registrati prima del 29 ottobre 2026, da tale data. Versione 1.0.

Per i dati dei consumatori finali che il Cliente invia al Responsabile per l’evasione degli ordini, il Cliente è il titolare del trattamento e il Responsabile è il suo responsabile del trattamento. Il Responsabile è titolare autonomo del trattamento solo per le registrazioni relative a ordini, fatture, dogane e imposte che è tenuto a conservare per legge, e per i dati di cui ha bisogno per far valere o difendere pretese legali, comprese quelle nei confronti dei vettori.

Finalità: ricezione, evasione, spedizione, tracciamento e reso degli ordini del Cliente, e la relativa assistenza. Dati: nome, indirizzo di spedizione, telefono, email, contenuto dell’ordine e dati di tracciamento dei consumatori finali del Cliente. I dati di ciascun ordine sono conservati per il tempo necessario a evadere, consegnare e gestire il reso dell’ordine e a definire i reclami che lo riguardano, e quindi cancellati, ad eccezione delle registrazioni di cui alla clausola 1, che sono conservate per il periodo previsto dalla legge.

Il Cliente risponde della liceità del trattamento e dell’informazione dei propri consumatori finali, invia solo i dati necessari per un ordine e impartisce le proprie istruzioni per iscritto.

Il Responsabile tratta i dati soltanto su istruzione documentata del Cliente: i Termini, il presente Addendum e gli ordini del Cliente, anche per quanto riguarda i trasferimenti al di fuori del SEE. Se il diritto dell’Unione o degli Stati membri impone un trattamento diverso, il Responsabile ne informa preventivamente il Cliente, a meno che tale diritto lo vieti per rilevanti motivi di interesse pubblico. Il Responsabile informa immediatamente il Cliente qualora ritenga che un’istruzione violi la normativa in materia di protezione dei dati e può sospendere tale istruzione finché il Cliente non la conferma o la modifica. Il Responsabile non utilizza i dati dei consumatori finali per alcuna finalità propria, compresi marketing, profilazione o analisi statistiche.

Chiunque sia autorizzato a trattare i dati è vincolato da un obbligo di riservatezza.

Il Responsabile mette in atto almeno le misure di cui all’allegato 1, le riesamina regolarmente e non le modifica in modo tale da ridurre il livello di protezione.

Il Cliente concede al Responsabile un’autorizzazione generale a ricorrere a sub-responsabili del trattamento delle seguenti tipologie: i venditori e i magazzini che evadono gli ordini; hosting e archiviazione; invio di email; strumenti di assistenza; sicurezza di rete; e monitoraggio degli errori. Alcuni di essi si trovano negli Stati Uniti, ai sensi della clausola 9. L’elenco attuale è disponibile su richiesta all’indirizzo [email protected].

Il Responsabile informa il Cliente via email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento. Il Cliente può opporsi per ragionevoli motivi attinenti alla protezione dei dati; se la questione non può essere risolta, il Cliente può porre fine ai servizi interessati. Il Responsabile impone contrattualmente a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati che tutelano i dati almeno quanto il presente Addendum, e conserva l’intera responsabilità del loro adempimento.

Per consegnare un ordine, il Responsabile comunica il nome, l’indirizzo, il telefono e l’email del destinatario nonché il contenuto e il valore del pacco al vettore e, ove necessario, alle autorità e agli agenti doganali. Il Cliente impartisce tale istruzione effettuando l’ordine. Tali destinatari agiscono in qualità di titolari autonomi del trattamento ai sensi delle proprie condizioni.

Si ricorre a sub-responsabili del trattamento al di fuori del SEE solo se sono coperti da una decisione di adeguatezza (per gli Stati Uniti, solo organizzazioni certificate nell’ambito del quadro UE-USA per la protezione dei dati personali, EU-U.S. Data Privacy Framework), oppure sulla base delle clausole contrattuali tipo di cui alla decisione di esecuzione (UE) 2021/914 della Commissione, Modulo 3. Per un Cliente al di fuori del SEE, in un paese privo di una decisione di adeguatezza, il Modulo 4 di tali clausole fa parte del presente Addendum.

Il Responsabile assiste il Cliente nel rispondere alle richieste dei consumatori finali, inoltrandogli quelle che riceve senza ingiustificato ritardo e al più tardi entro 3 giorni lavorativi, e lo assiste in materia di sicurezza, notifica delle violazioni e valutazioni d’impatto (articoli da 32 a 36 del GDPR).

Il Responsabile informa il Cliente senza ingiustificato ritardo, e al più tardi entro 48 ore dal momento in cui viene a conoscenza di una violazione che riguarda i dati del Cliente, anche presso un sub-responsabile del trattamento, comunicando quanto è noto, le probabili conseguenze, le misure adottate e un punto di contatto.

Alla cessazione dei servizi, il Responsabile cancella o restituisce i dati dei consumatori finali entro 30 giorni, a scelta del Cliente, ad eccezione delle registrazioni di cui alla clausola 1, e lo conferma per iscritto su richiesta inviata a [email protected].

Il Responsabile fornisce le informazioni necessarie a dimostrare il rispetto dell’articolo 28 del GDPR. Se ciò non risponde alle ragionevoli domande del Cliente, il Cliente o il suo revisore può effettuare un audit, con un preavviso di 30 giorni, al massimo una volta all’anno, salvo in presenza di indizi di inosservanza o di una violazione, o qualora un’autorità lo richieda. Ciascuna parte sostiene i propri costi.

Le modifiche al presente Addendum sono comunicate al Cliente via email almeno 30 giorni prima della loro applicazione; il Cliente può porre fine ai servizi interessati prima di tale data.

In materia di protezione dei dati, il presente Addendum prevale sui Termini. Su richiesta, le parti sottoscrivono le clausole contrattuali tipo di cui alla decisione di esecuzione (UE) 2021/915 della Commissione, che in tal caso prevalgono. Si applica la legge estone.

I nostri server, database, file e backup sono ospitati in data center nell’UE. I nostri siti web sono raggiungibili solo tramite connessioni crittografate (TLS), dietro una protezione di rete contro gli attacchi, e i database che contengono gli ordini non sono raggiungibili da internet. I database sono sottoposti a backup giornaliero e crittografati prima di lasciare il server.

Ogni persona utilizza un account personale con i soli diritti necessari per il proprio lavoro. L’accesso ai server avviene tramite chiavi crittografiche personali, non tramite password.

I venditori e i magazzini vedono solo gli ordini che evadono.

Gli eventi e gli errori delle applicazioni sono registrati in modo centralizzato; solo il team tecnico può leggere i log.

Il personale e i collaboratori esterni sono vincolati da un obbligo di riservatezza.

Le sospette violazioni sono segnalate a [email protected] e gestite dal team tecnico; i Clienti sono informati come previsto dalla clausola 11.