DPA — variante monomandato

Quando si applica

La variante si applica quando ricorrono cumulativamente le seguenti condizioni:

1. il Cliente SmartCQ opera in regime di mandato esclusivo (monomandato) per un intermediario finanziario o una banca («Mandante»);
2. il Mandante ha qualificato il Cliente come Responsabile del trattamento dei dati dei propri clienti finali per le attività delegate;
3. il Mandante ha autorizzato espressamente o per categorie il ricorso del Cliente a sub-responsabili per le finalità tecnologiche, in conformità all'art. 28 c.2 e 4 GDPR.

Catena dei ruoli

Variazioni rispetto al DPA standard

Le seguenti clausole modificano o integrano il DPA standard; le clausole non espressamente modificate restano in vigore. I riferimenti tra parentesi rimandano agli articoli del DPA standard nella versione corrente.

Legittimazione del Cliente (art. 1 DPA)

Il Cliente dichiara e garantisce a SmartCQ:

• di essere stato qualificato dal Titolare come Responsabile del trattamento ai sensi dell'art. 28 GDPR;
• di disporre dell'autorizzazione del Titolare a ricorrere a SmartCQ in qualità di Sub-Responsabile per le finalità descritte all'art. 2 e all'Allegato 1 del DPA standard, a condizione che SmartCQ assuma per iscritto i medesimi obblighi di protezione dei dati previsti dall'atto di nomina Titolare-Cliente;
• di aver fornito al Titolare informativa sulla presente sub-responsabilizzazione e sui sub-responsabili ulteriori elencati su /sub-processor.

Istruzioni del Titolare (art. 3 DPA)

SmartCQ tratta i dati personali esclusivamente sulla base delle istruzioni documentate trasmesse dal Cliente, il quale garantisce che tali istruzioni sono conformi alle istruzioni a sua volta ricevute dal Titolare. In caso di conflitto manifesto tra istruzioni del Cliente e istruzioni del Titolare di cui SmartCQ venga formalmente a conoscenza, SmartCQ informa il Cliente e attende risoluzione, sospendendo se necessario il trattamento controverso.

Sub-responsabili (art. 6 DPA)

Il consenso del Cliente al ricorso ai sub-responsabili elencati su /sub-processor include — ai fini della presente variante — il consenso del Titolare originario, nei limiti dell'autorizzazione concessa dal Titolare al Cliente. Le notifiche di modifica dell'elenco saranno trasmesse anche al Titolare se il Cliente fornirà recapiti dedicati.

Notifica violazione dati personali (art. 9 DPA)

SmartCQ notifica al Cliente, senza indebito ritardo e comunque entro 48 ore dalla scoperta, ogni violazione di dati personali ai sensi dell'art. 4 n. 12 GDPR. Il Cliente assume l'obbligo di notifica al proprio Titolare nei tempi pattuiti nel DPA Mandante-Cliente. SmartCQ fornisce al Cliente tutte le informazioni necessarie per assistere il Titolare negli adempimenti ex artt. 33-34 GDPR.

Diritti degli interessati (art. 10 DPA)

Le richieste di esercizio dei diritti GDPR sono indirizzate al Titolare. SmartCQ assiste il Cliente — e indirettamente il Titolare — nell'evasione, applicando le procedure tecniche standard della piattaforma (estrazione, rettifica, cancellazione, export). Vedi /diritti.

Cessazione del rapporto (art. 12 DPA)

Alla cessazione del rapporto contrattuale tra Cliente e SmartCQ, SmartCQ procede alla restituzione e cancellazione dei dati ai sensi dell'art. 12 del DPA standard. Se il rapporto Mandante-Cliente cessa prima del rapporto Cliente-SmartCQ, il Cliente è tenuto a comunicarlo a SmartCQ entro 15 giorni per concordare il destino operativo dei dati del Titolare originario (cancellazione, portabilità verso altro Responsabile autorizzato, restituzione).

Audit (art. 13 DPA)

I diritti di audit del Titolare originario sull'attività di SmartCQ in qualità di Sub-Responsabile sono assicurati attraverso il Cliente, che li esercita per conto del Titolare alle condizioni dell'art. 13 del DPA standard. Su richiesta motivata del Cliente e previa autorizzazione di SmartCQ, il Titolare può partecipare direttamente all'audit congiuntamente al Cliente.

Come si attiva

L'attivazione di questa variante richiede:

1. comunicazione scritta del Cliente a dpa@smartcq.it con identificazione del Titolare e copia (anche oscurata) dell'atto di nomina del Cliente come Responsabile;
2. sottoscrizione di un addendum bilaterale al DPA standard tra Cliente e SmartCQ che richiama la presente variante;
3. se richiesto dal Titolare, sottoscrizione di un atto a tre parti (Mandante, Cliente, SmartCQ) sulla base del modello fornito dal Mandante o concordato.

SmartCQ resta disponibile a integrare clausole specifiche richieste dal Titolare laddove compatibili con l'architettura della piattaforma e con gli obblighi previsti dal proprio DPA standard verso gli altri Clienti.