Allegato relativo al trattamento dei dati

Ultimo aggiornamento: 15 gennaio 2026

Il presente Addendum sul trattamento dei dati (“DPA”) definisce i termini e le condizioni in base ai quali Ideaform, Inc. (“Ideaform”, “noi”, “noi”, “nostro”) tratterà i dati personali per conto degli utenti di Portfolio, Prints Marketplace e Format Store (“voi” o “Utente Ideaform”) che acquistano o utilizzano in altro modo i nostri servizi Portfolio, Prints Marketplace e Format Store (“Servizi Ideaform”).

TUTTE LE CONTROVERSIE, I RECLAMI O LE RICHIESTE DI RISARCIMENTO DERIVANTI DAL PRESENTE DPA SARANNO, NELLA MISURA MASSIMA CONSENTITA DALLA LEGGE, ESSERE SOGGETTI ALLE DISPOSIZIONI, AI CRITERI E AI REQUISITI IN MATERIA DI RISOLUZIONE DELLE CONTROVERSIE E DI LIMITAZIONI DI RESPONSABILITÀ STABILITI NEL DOCUMENTO IDEAFORM CONDIZIONI DI SERVIZIO.

1. Definizioni

1.1. Normativa applicabile in materia di protezione dei dati indica tutte le leggi, gli atti normativi e i regolamenti applicabili al trattamento dei dati personali ai sensi del Condizioni di servizio, tra cui (ove applicabile) la Legge sulla protezione dei dati personali e sui documenti elettronici (PIPEDA), il Regolamento generale sulla protezione dei dati dell’UE (“GDPR”), la Legge sulla protezione dei dati del Regno Unito del 2018 e il GDPR del Regno Unito, la Legge federale svizzera sulla protezione dei dati (“LPD”) e le leggi statali statunitensi sulla privacy applicabili ai Servizi Ideaform (comprese quelle della California, della Virginia, del Colorado, del Connecticut, dello Utah e altre leggi statali sulla privacy sostanzialmente simili man mano che entrano in vigore), insieme ai relativi regolamenti di attuazione.

1.2. Legge sulla privacy dei consumatori della California (“CCPA”) indica il California Consumer Privacy Act del 2018, come modificato dal California Privacy Rights and Enforcement Act del 2020 e da qualsiasi altra modifica applicabile (codificato al § 1798.100 e seguenti del Codice Civile della California), e comprende tutti i regolamenti di attuazione.

1.3. L'interessato indica una persona fisica identificata o identificabile i cui dati personali sono oggetto di trattamento da parte di Ideaform. 

1.4. Clausole contrattuali standard dell'Unione europea (UE) indica le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914 della Commissione europea, del 4 giugno 2021, per il trasferimento di dati personali verso paesi terzi ai sensi del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio.

1.5. Regolamento generale sulla protezione dei dati (“GDPR”) indica il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE e tutte le leggi degli Stati membri dell’Unione europea (UE) degli Stati membri che lo attua.

1.6. Dati personali indica qualsiasi informazione o dato che, da solo o in combinazione con altre informazioni o dati, possa essere utilizzato per identificare ragionevolmente una determinata persona fisica, un nucleo familiare o un dispositivo, e che sia soggetto a, o comunque goda della protezione prevista da, una legge applicabile in materia di protezione dei dati.

1.7. Dati personali degli utenti di Ideaform indica i Dati personali che Ideaform tratta per conto di un Utente Ideaform.

1.8. Servizi Ideaform avrà il significato attribuito nell'Ideaform del Condizioni di servizio.

1.9. Contenuti del sito per gli utenti di Ideaform avrà il significato attribuito nell'Ideaform del Condizioni di servizio.

1.10. Sottoconsulente indica qualsiasi organizzazione di terze parti incaricata da Ideaform di trattare i dati personali degli utenti di Ideaform per suo conto.

1.11. Addendum relativo al Regno Unito (UK)/IDTA indica l’Addendum sul trasferimento internazionale dei dati alle Clausole contrattuali standard della Commissione europea, emanato dall’Information Commissioner del Regno Unito ai sensi dell’articolo 119A, paragrafo 1, del Data Protection Act 2018, come di volta in volta modificato o sostituito. IDTA indica l’Accordo sul trasferimento internazionale dei dati del Regno Unito, emanato dal Commissario per l’informazione del Regno Unito, nella versione di volta in volta modificata o sostituita.

I termini “titolare del trattamento”, “titolare del trattamento dei dati”, “responsabile del trattamento”, “responsabile del trattamento dei dati”, “trattamento”, “trattamento”, “violazione dei dati” e “violazione dei dati personali” hanno il significato attribuito loro dalla Legislazione applicabile in materia di protezione dei dati e possono essere scritti con l’iniziale maiuscola nel presente DPA per indicare che si tratta di termini definiti. A qualsiasi altro termine scritto con l’iniziale maiuscola ma non altrimenti definito nel presente documento verrà attribuito il significato indicato nell’Ideaform Condizioni di servizio. 

2. Ambito di applicazione. L'utente riconosce che i Servizi Ideaform sono progettati e forniti con lo scopo principale di consentirgli di esporre, organizzare, stampare, vendere, scambiare e condividere immagini digitali, video e prodotti correlati, e non con lo scopo principale di archiviare, gestire o trattare i Dati Personali.

3. Elaborazione in corso. L’utente riconosce espressamente che: (i) è il Titolare del trattamento dei Dati Personali inclusi nei Contenuti del Sito dell’Utente Ideaform; (ii) con la presente nomina Ideaform in qualità di Responsabile del trattamento per il trattamento dei Dati Personali inclusi nei Contenuti del Sito dell’Utente Ideaform; e (iii) Ideaform tratterà i dati personali in qualità di responsabile del trattamento nella misura necessaria all’adempimento dei propri obblighi ai sensi del presente Accordo sui dati personali (DPA) e nel rigoroso rispetto delle istruzioni dell’utente documentate nel presente DPA, salvo quanto diversamente previsto dalla normativa applicabile. L’utente di Ideaform sarà responsabile del rispetto di tutti i requisiti a lui applicabili ai sensi della normativa applicabile in materia di protezione dei dati. L’Utente Ideaform riconosce e accetta di essere l’unico responsabile dell’accuratezza, della qualità e della legalità dei propri Dati Personali, nonché del rispetto di tutti i requisiti di trasparenza e liceità previsti dalla Normativa Applicabile in materia di protezione dei dati per la raccolta e l’utilizzo dei propri Dati Personali, compreso l’ottenimento di eventuali consensi e autorizzazioni necessari da parte degli Interessati. A scanso di equivoci, l’Utente di Ideaform dichiara con la presente a Ideaform di disporre dell’autorità legale e di un’adeguata finalità commerciale per fornire a Ideaform tutti i Dati Personali dell’Utente di Ideaform in relazione ai Servizi di Ideaform e, ove richiesto dalla legge, di aver ottenuto il consenso da tutti gli Interessati interessati in merito al Trattamento qui descritto. Ciascuna parte dovrà informare l’altra parte, senza indebito ritardo (e in ogni caso entro settantadue (72) ore), qualora non sia in grado di adempiere alle proprie responsabilità stabilite nel presente DPA. L’Utente di Ideaform è l’unico responsabile di esaminare i Servizi di Ideaform, compresa qualsiasi documentazione e funzionalità di sicurezza disponibili, per determinare se soddisfano i requisiti, le esigenze aziendali e gli obblighi legali dell’Utente di Ideaform. 

3.1. Obblighi del gestore. Come previsto dalla normativa applicabile in materia di protezione dei dati, Ideaform dovrà: (a) trattare i Dati Personali degli Utenti di Ideaform esclusivamente sulla base di istruzioni documentate fornite dall’Utente di Ideaform, anche per quanto riguarda i trasferimenti, salvo nei casi in cui ciò sia richiesto dalla legge; (b) garantire che le persone autorizzate al trattamento dei Dati Personali degli Utenti di Ideaform siano soggette a un adeguato obbligo di riservatezza; (c) attuare misure tecniche e organizzative adeguate che soddisfino i requisiti della Sezione 5 e dell’Allegato II; (d) assistere l’Utente di Ideaform con misure tecniche e organizzative ragionevoli in relazione alle richieste degli interessati o alle richieste di informazioni da parte di qualsiasi autorità governativa, normativa o di vigilanza, in ciascun caso esclusivamente in relazione al trattamento dei Dati Personali dell’Utente di Ideaform e tenendo conto delle informazioni a disposizione di Ideaform; (e) fornire assistenza ragionevole in merito alle valutazioni d’impatto sulla protezione dei dati; (f) a scelta dell’Utente di Ideaform, cancellare o restituire tutti i Dati Personali dell’Utente di Ideaform al momento della cessazione dei Servizi e cancellare le copie esistenti, a meno che la conservazione non sia richiesta dalla legge o dalla politica di conservazione di Ideaform; (g) mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire e collaborare alle verifiche in conformità con la Sezione 8; e (h) trasferire obblighi equivalenti ai sub-responsabili del trattamento come richiesto dal presente DPA. 

3.2. Combinazioni e restrizioni d'uso. Ideaform non combinerà i Dati Personali degli Utenti di Ideaform con informazioni ricevute da altre fonti, fermo restando che Ideaform potrà combinare tali Dati Personali degli Utenti di Ideaform nei limiti consentiti dalla Normativa Applicabile in materia di Protezione dei Dati. Ideaform non tratterà i Dati Personali degli Utenti di Ideaform per finalità di pubblicità comportamentale cross-contestuale, pubblicità mirata o profilazione a sostegno di decisioni che producano effetti giuridici o di pari rilevanza sulle persone fisiche, salvo quanto espressamente consentito dalla Normativa Applicabile in materia di Protezione dei Dati e esclusivamente per le finalità commerciali legate alla fornitura dei Servizi Ideaform. A scanso di equivoci, il presente DPA non si applica a nessun dato relativo all’utilizzo dei Servizi da parte degli Utenti di Ideaform, a meno che non si tratti di Dati Personali degli Utenti di Ideaform (ad esempio, ciò non si applica alle analisi dei Servizi, ai registri delle attività, ai modelli di utilizzo, ecc.). 

3.3. Conflitto tra istruzioni. Qualora Ideaform ritenga che un'istruzione impartita da un Utente Ideaform violi la normativa vigente in materia di protezione dei dati, Ideaform ne darà tempestiva comunicazione all'Utente Ideaform. 

4. Dichiarazione di esclusione di responsabilità relativa al CCPA. Ai fini del CCPA, l’Utente di Ideaform sarà considerato un “Soggetto commerciale” e Ideaform sarà considerata un “Fornitore di servizi”. Per quanto riguarda i Dati personali forniti dall’Utente di Ideaform a Ideaform ai sensi del presente DPA, Ideaform con la presente riconosce e accetta di non (i) “vendere” o “condividere” i Dati personali, (ii) conservare, utilizzare o divulgare i Dati personali per scopi diversi da quello specifico di fornire i Servizi Ideaform, né (iii) conservare, utilizzare o divulgare i Dati personali al di fuori del rapporto commerciale diretto con l’Utente di Ideaform. Senza limitare quanto sopra, ciascuna parte riconosce e accetta che la fornitura di Dati Personali da parte dell’Utente di Ideaform a Ideaform non costituisce, né è intenzione di alcuna delle parti che tale fornitura di Dati Personali costituisca, una “Vendita” di Dati Personali; e qualora l’Utente di Ideaform fornisca un corrispettivo di valore, monetario o di altro tipo, ai sensi del DPA, tale corrispettivo, monetario o di altro tipo, viene fornito a fronte dei Servizi Ideaform prestati e non a fronte della fornitura dei Dati Personali. Ai soli fini della presente Sezione, i termini “Impresa”, “Fornitore di servizi”, “Dati personali”, “Vendita”, “Vendere” e “Condividere” avranno lo stesso significato attribuito loro nel CCPA (Codice Civile della California, § 1798.140). Le limitazioni stabilite nella presente Sezione non devono essere interpretate in modo da impedire a Ideaform di ottemperare a una legge, uno statuto, un regolamento applicabile o a un provvedimento vincolante emanato da un ente governativo o normativo.

4.1. Requisiti aggiuntivi a livello di Stato negli Stati Uniti. Laddove i Dati Personali degli Utenti di Ideaform siano soggetti ad altre leggi statali statunitensi in materia di privacy, Ideaform agirà in qualità di responsabile del trattamento e dovrà: (a) trattare i Dati Personali degli Utenti di Ideaform esclusivamente sulla base di istruzioni documentate (incluso il presente DPA); (b) fornire assistenza in materia di sicurezza e notifiche di violazioni in conformità con la Sezione 9; (c) imporre ai sub-responsabili del trattamento, tramite contratto scritto, di soddisfare i requisiti della presente Sezione; (d) su richiesta ragionevole, fornire le informazioni necessarie a dimostrare la conformità; (e) consentire e supportare la cancellazione e la restituzione dei dati al momento della cessazione del rapporto; e (f) vietare il trattamento a fini di pubblicità mirata, vendita o profilazione finalizzata a decisioni che producano effetti giuridici o di analoga rilevanza, salvo quanto consentito dalla Legislazione applicabile in materia di protezione dei dati e dal presente DPA. 

5. Riservatezza e sicurezza. Ideaform garantirà la riservatezza di tutti i Dati Personali degli Utenti di Ideaform e si assicurerà che le persone autorizzate al Trattamento dei Dati Personali degli Utenti di Ideaform si siano impegnate a rispettare la riservatezza o siano soggette a un adeguato obbligo di riservatezza previsto dalla legge.  Ideaform adotterà e manterrà misure tecniche e organizzative adeguate per i propri sistemi al fine di garantire la riservatezza dei dati, in modo da assicurare un livello di protezione dei dati adeguato al rischio derivante dal trattamento dei dati personali degli utenti di Ideaform ai sensi del presente DPA, tenendo conto dello stato dell’arte, i costi di attuazione e la natura, la portata, il contesto e le finalità del trattamento, nonché la gravità e la probabilità di concretizzazione dei rischi per i diritti e le libertà degli interessati. Alla cessazione o alla scadenza del tuo account Ideaform, Ideaform provvederà a cancellare i Dati Personali degli Utenti di Ideaform di cui è in possesso e sotto il cui controllo entro novanta (90) giorni, fatti salvi eventuali obblighi legali di conservazione, ed è tua responsabilità recuperare eventuali dati di cui hai bisogno prima della cancellazione e nei limiti consentiti dalla Normativa Applicabile in materia di Protezione dei Dati. 

6. Richieste; Assistenza. Ideaform, nella misura consentita dalla legge, provvederà a informare tempestivamente l’Utente Ideaform qualora riceva una richiesta da (i) un’autorità governativa o di regolamentazione in merito al trattamento dei dati personali dell’Utente Ideaform (una “Richiesta di accesso da parte di un’autorità governativa”) o (ii) da un interessato che intenda esercitare un diritto o un privilegio in materia di protezione dei dati (una “Richiesta dell’interessato”); inoltre, Ideaform, nella misura del possibile, cercherà di indirizzare il richiedente all’Utente di Ideaform. Tenendo conto della natura del trattamento, Ideaform assisterà l’Utente di Ideaform mediante adeguate misure tecniche e organizzative, nella misura in cui ciò sia possibile, per l’adempimento dell’obbligo dell’Utente di Ideaform di rispondere a una Richiesta di accesso da parte delle autorità o a una Richiesta dell’interessato. Inoltre, nella misura in cui l’Utente Ideaform, nell’utilizzo dei Servizi Ideaform, non sia in grado di gestire la Richiesta di accesso da parte delle autorità pubbliche o la Richiesta dell’interessato, Ideaform, su richiesta dell’Utente Ideaform, compirà ogni sforzo commercialmente ragionevole per assistere l’Utente Ideaform nel rispondere a tali richieste, nella misura in cui Ideaform sia legalmente tenuta a farlo. L’Utente di Ideaform sarà responsabile di eventuali costi derivanti dalla fornitura da parte di Ideaform dell’assistenza qui descritta. A scanso di equivoci, l’Utente di Ideaform sarà pienamente responsabile di rispondere in modo tempestivo e appropriato a una Richiesta di accesso da parte delle autorità pubbliche o a una Richiesta dell’interessato. 

7. Valutazioni d'impatto; Consultazione. Su richiesta dell’Utente Ideaform, Ideaform fornirà (a spese esclusive dell’Utente Ideaform) all’Utente Ideaform la collaborazione e l’assistenza commercialmente ragionevoli (i) necessarie per adempiere all’obbligo dell’Utente Ideaform, ai sensi della Legislazione applicabile in materia di protezione dei dati, di effettuare una valutazione d’impatto sulla protezione dei dati relativa all’utilizzo dei Servizi Ideaform da parte dell’Utente Ideaform, nella misura in cui l’Utente di Ideaform non abbia altrimenti accesso alle informazioni pertinenti e nella misura in cui tali informazioni siano a disposizione di Ideaform, e (ii) in relazione a una consultazione con un’autorità governativa o di regolamentazione.

8. Revisione contabile. A vostre esclusive spese e a condizione che rispettiate il presente DPA, potrete (non più di una volta all’anno) verificare la conformità di Ideaform ai propri obblighi in materia di protezione dei dati, a condizione che ne diate a Ideaform preavviso scritto con almeno trenta (30) giorni di anticipo, includendo in tale preavviso un piano di verifica dettagliato. Il piano di verifica proposto deve descrivere l’ambito, la durata e la data di inizio previsti per la verifica. Ideaform esaminerà il piano di verifica proposto, comunicherà all’utente eventuali dubbi o domande e collaborerà con l’utente per concordare un piano di verifica definitivo. Ideaform collaborerà a tali verifiche fornendo le informazioni e l’assistenza ragionevolmente necessarie per lo svolgimento della stessa, inclusi eventuali registri rilevanti relativi alle attività di trattamento applicabili al vostro utilizzo dei Servizi Ideaform, qualora tali registri non siano altrimenti a vostra disposizione tramite i Servizi Ideaform. L’audit dovrà essere condotto durante il normale orario di lavoro, non potrà interferire in modo irragionevole con le attività commerciali di Ideaform e dovrà essere condotto nel rispetto del piano di audit definitivo concordato e delle politiche interne di Ideaform. L’utente fornirà a Ideaform tutti i rapporti di audit generati nell’ambito di qualsiasi audit, a meno che la Legislazione Applicabile in materia di Protezione dei Dati non lo vieti. L’utente potrà utilizzare i rapporti di audit esclusivamente allo scopo di soddisfare i propri requisiti normativi in materia di audit. I rapporti di audit costituiscono informazioni riservate delle parti ai sensi del presente DPA. Qualora l’assistenza richiesta a Ideaform in relazione a tale audit richieda l’utilizzo di risorse diverse o aggiuntive rispetto a quelle richieste a Ideaform ai sensi del presente DPA, l’utente dovrà pagare tali risorse aggiuntive alle tariffe di Ideaform in vigore in quel momento.

9. Evento di sicurezza. Una volta confermata una violazione dei dati personali, Ideaform dovrà: (i) tenendo conto della natura del trattamento dei dati personali dell’utente di Ideaform e delle informazioni a disposizione di Ideaform, notificare all’utente di Ideaform la violazione dei dati personali entro settantadue ore (72) o in conformità con i tempi previsti dalla normativa applicabile in materia di protezione dei dati, (ii) fornirà tempestivamente all’Utente di Ideaform le informazioni relative alla violazione dei dati personali non appena ne venga a conoscenza o su richiesta ragionevole da parte dell’Utente di Ideaform, e (iii) adotterà prontamente misure ragionevoli per contenere, indagare e mitigare qualsiasi violazione dei dati personali. L’Utente di Ideaform riconosce che Ideaform non valuterà il contenuto dei Dati Personali dell’Utente di Ideaform al fine di identificare le informazioni soggette a specifici requisiti legali di notifica delle violazioni dei dati, e l’Utente di Ideaform è l’unico responsabile del rispetto delle leggi sulla notifica delle violazioni dei dati applicabili all’Utente di Ideaform e dell’adempimento di eventuali obblighi di notifica a terzi relativi a qualsiasi violazione dei Dati Personali. Salvo quanto diversamente previsto da una legge applicabile in materia di protezione dei dati, le parti concordano quanto segue: (i) Ideaform non fornirà alcuna notifica di una violazione dei dati personali a terzi né rilascerà in altro modo alcuna dichiarazione pubblica in merito, e (ii) di coordinarsi in buona fede per definire il contenuto di eventuali dichiarazioni pubbliche correlate o di eventuali comunicazioni richieste agli interessati e/o alle autorità di controllo competenti.  Gli obblighi di notifica di Ideaform qui stabiliti non devono essere interpretati o considerati, in alcun modo o forma, come un’ammissione di colpa, negligenza o illecito.

10. Subappaltatori. Nella misura necessaria affinché Ideaform adempia ai propri obblighi contrattuali ai sensi del presente DPA, con la presente autorizzi Ideaform a incaricare e a continuare a avvalersi dei sub-responsabili del trattamento indicati nell’Allegato III (il “Elenco dei subappaltatori”). Ideaform comunicherà agli Utenti Ideaform interessati eventuali modifiche a tale elenco aggiornando l’Elenco dei sub-responsabili del trattamento e darà loro la possibilità di opporsi al ricorso al nuovo sub-responsabile del trattamento per motivi ragionevoli relativi alla protezione dei Dati Personali entro trenta (30) giorni dall’aggiornamento dell’Elenco dei sub-responsabili del trattamento. Qualora l’Utente di Ideaform notifichi a Ideaform tale opposizione, le parti discuteranno in buona fede le preoccupazioni dell’Utente di Ideaform al fine di raggiungere una soluzione commercialmente ragionevole. Qualora non fosse possibile raggiungere tale soluzione, Ideaform, a sua esclusiva discrezione, potrà scegliere di non nominare i nuovi Subprocessori oppure consentire all’Utente di Ideaform di sospendere o rescindere i Servizi interessati in conformità con le disposizioni di risoluzione del presente DPA. Ideaform imporrà ai sub-responsabili del trattamento obblighi non meno restrittivi di quelli stabiliti nel presente DPA e rimarrà pienamente responsabile nei confronti dell’Utente di Ideaform per l’adempimento di tali obblighi da parte di ciascun sub-responsabile del trattamento. 

11. Trasferimenti internazionali di dati

11.1. Trasferimenti di dati (Clausole contrattuali tipo dell’UE). Nella misura in cui i Dati personali degli utenti di Ideaform provengano dallo Spazio economico europeo (SEE), le parti sono tenute a rispettare le Clausole contrattuali tipo dell’UE in materia di trasferimento e trattamento di tali Dati personali degli utenti di Ideaform. Qualora le Clausole Contrattuali Standard dell’UE siano applicabili tra le parti ai sensi della presente Sezione 11.1 del presente DPA, le relative disposizioni saranno considerate incorporate per riferimento nel presente DPA. Nella misura richiesta dalle normative applicabili in materia di protezione dei dati, le parti dovranno stipulare ed eseguire le Clausole Contrattuali Standard dell’UE come documento separato. Qualora le parti applichino e incorporino le Clausole Contrattuali Standard dell’UE ai sensi della presente Sezione 11.1 del presente DPA, si applicherà quanto segue:

11.1.1 Le clausole contrattuali tipo dell’UE saranno regolate dalle clausole del Modulo Due (Trasferimento dal titolare del trattamento al responsabile del trattamento) in tutti i casi applicabili, e l’utente di Ideaform e/o le sue affiliate nell’UE saranno l’esportatore dei dati, mentre Ideaform sarà l’importatore dei dati.

11.1.2. Ciascuna parte riconosce e accetta che la clausola 7 (facoltativa – clausola di allineamento) delle Clausole Contrattuali Standard dell’UE sia da considerarsi incorporata nel presente contratto e applicabile alle parti e ai terzi.

11.1.3. Ai fini della clausola 9(a) (Ricorso a sub-responsabili del trattamento) delle Clausole Contrattuali Standard dell’UE, le parti concordano che l’Opzione 2 (Autorizzazione scritta generale) si applichi alle parti e sia applicata in conformità alla Sezione 10 e all’Allegato III del presente DPA.

11.1.4. Ai fini della clausola 11 (Ricorso) delle Clausole Contrattuali Standard dell’UE, le parti concordano che la formulazione facoltativa non sarà ivi inserita e, pertanto, non sarà applicabile alle parti.

11.1.5. Ai fini della clausola 17 (Legge applicabile) delle Clausole Contrattuali Standard dell’UE, le parti concordano che le Clausole Contrattuali Standard dell’UE siano regolate dalla legge irlandese e, a tal fine, scelgono la clausola 17, “Opzione 1”.

11.1.6. Ai fini della clausola 18 (Scelta del foro competente e della giurisdizione) delle Clausole Contrattuali Standard dell’UE, le parti concordano che qualsiasi controversia derivante dalle Clausole Contrattuali Standard dell’UE sarà risolta dai tribunali irlandesi.

11.1.7. L’Allegato I delle Clausole Contrattuali Standard dell’UE si considera compilato con le informazioni riportate nell’Allegato I del presente Accordo sulle Elaborazioni dei Dati (DPA). 

11.1.8. L’Allegato II delle Clausole Contrattuali Standard dell’UE si considera compilato con le informazioni riportate nell’Allegato II del presente Accordo sulle Elaborazioni dei Dati (DPA).

11.1.9. L’Allegato III delle Clausole Contrattuali Standard dell’UE si considera compilato con le informazioni riportate nell’Allegato III del presente DPA e i Subresponsabili sostitutivi saranno concordati in conformità alla Sezione 10 del presente DPA. Ideaform non trasferirà i Dati Personali degli Utenti Ideaform ricevuti ai sensi delle Clausole Contrattuali Standard dell’UE (né consentirà il trasferimento di tali Dati Personali degli Utenti Ideaform) a un Subresponsabile del trattamento al di fuori del SEE, a meno che il Subresponsabile del trattamento (i) sia stabilito in un paese al quale la Commissione Europea abbia riconosciuto lo status di adeguatezza, oppure (ii) abbia ottenuto il previo consenso scritto dell’Utente di Ideaform in merito a tale trasferimento e attui e mantenga le misure necessarie per garantire che il trasferimento sia conforme alla Legislazione applicabile in materia di protezione dei dati; tali misure possono includere (a titolo esemplificativo) l’ottenimento da parte del sub-responsabile del trattamento dell’autorizzazione alle norme vincolanti d’impresa (Binding Corporate Rules) in conformità con la normativa sulla protezione dei dati, oppure la sottoscrizione, da parte del sub-responsabile del trattamento e di Ideaform, delle Clausole contrattuali standard dell’UE, Modulo 3 (da responsabile del trattamento a responsabile del trattamento).

11.1.10. Valutazioni dei rischi di trasferimento. Ove richiesto, Ideaform provvederà a redigere e a mettere a disposizione una valutazione dei rischi di trasferimento conforme alla clausola 14 delle Clausole Contrattuali Standard dell’UE, su richiesta ragionevole e nel rispetto della riservatezza. 

11.2. Trasferimenti nel Regno Unito. Nella misura in cui i Dati Personali degli Utenti di Ideaform abbiano origine nel Regno Unito, le parti si impegnano ad applicare l’Addendum del Regno Unito alle Clausole Contrattuali Standard dell’UE o, ove opportuno, l’IDTA al trasferimento e al Trattamento di tali Dati Personali degli Utenti di Ideaform e con la presente incorporano per riferimento nel presente DPA il meccanismo di trasferimento applicabile del Regno Unito. Nel caso in cui le parti non possano più fare affidamento sul meccanismo di trasferimento del Regno Unito selezionato come meccanismo di trasferimento dei dati appropriato, le parti concorderanno senza indebito ritardo un meccanismo di trasferimento dei dati alternativo in sostituzione di quello allora applicabile, a scelta dell’Utente di Ideaform.  Qualora le parti applichino e incorporino l’Addendum del Regno Unito o l’IDTA ai sensi della presente Sezione 11.2 del presente DPA, si applicherà quanto segue:

11.2.1. Ai sensi del meccanismo applicabile nel Regno Unito, le parti concordano che la legge applicabile sia quella dell’Inghilterra e del Galles.

11.2.2. Ai fini delle “Clausole commerciali aggiuntive” delle Clausole Contrattuali Standard del Regno Unito, la clausola facoltativa relativa all“”Indennizzo” si considera incorporata in esse e si applica alle parti.

11.2.3. Gli allegati 1 e 2 del meccanismo applicabile nel Regno Unito si considerano compilati con le informazioni riportate, a seconda dei casi, nella Sezione 11.1 del presente DPA e negli Allegati da I a III del presente DPA.

11.2.4. Ideaform non trasferirà alcun Dato Personale degli Utenti di Ideaform ricevuto ai sensi dell’Addendum del Regno Unito o dell’IDTA (né consentirà il trasferimento di tali Dati Personali degli Utenti di Ideaform) a un Subresponsabile del trattamento al di fuori del Regno Unito, a meno che il Subresponsabile del trattamento (i) sia stabilito in un paese al quale le autorità del Regno Unito abbiano riconosciuto lo status di adeguatezza, oppure (ii) abbia ottenuto il previo consenso scritto dell’Utente di Ideaform in merito a tale trasferimento e attui e mantenga le misure necessarie a garantire che il trasferimento sia conforme alla Legislazione applicabile in materia di protezione dei dati; tali misure possono includere (a titolo esemplificativo) l’ottenimento da parte del sub-responsabile del trattamento dell’autorizzazione alle Norme vincolanti d’impresa (Binding Corporate Rules) in conformità con la Legislazione sulla protezione dei dati, oppure la sottoscrizione, da parte del sub-responsabile del trattamento e di Ideaform, delle Clausole contrattuali standard adottate o approvate dal Segretario di Stato del Regno Unito o dal Commissario per l’informazione del Regno Unito (e approvate dal Parlamento del Regno Unito).

11.3. Trasferimenti in Svizzera. Nella misura in cui i Dati Personali degli Utenti di Ideaform abbiano origine in Svizzera, le parti si impegnano ad applicare le disposizioni delle Clausole Contrattuali Standard dell’UE, come stabilito nella Sezione 11.1 del presente DPA, al trasferimento e al Trattamento di tali Dati Personali degli Utenti di Ideaform.  Qualora le Clausole Contrattuali Standard dell’UE siano applicabili tra le parti ai sensi della presente Sezione 11.3, le relative disposizioni si riterranno incorporate per riferimento nel presente DPA. Qualora le parti applichino e incorporino le Clausole Contrattuali Standard dell’UE (come previsto nella Sezione 11.1 del presente DPA) ai sensi della presente Sezione 11.3, si applicherà quanto segue, ove richiesto dalla Legge federale svizzera sulla protezione dei dati (LPD):

11.3.1. I riferimenti al GDPR contenuti nelle clausole contrattuali tipo dell’UE devono essere intesi come riferimenti alla LPD, nella misura in cui i trasferimenti di dati siano soggetti esclusivamente alla LPD e non al GDPR.

11.3.2. Il termine “Stato membro” contenuto nelle Clausole contrattuali standard dell’UE non deve essere interpretato in modo tale da impedire agli interessati residenti in Svizzera di far valere i propri diritti in Svizzera ai sensi della clausola 18, lettera c), delle Clausole contrattuali standard dell’UE, a condizione che la Svizzera sia il loro luogo di residenza abituale.

11.3.3. Ai fini dell’Allegato I(C) delle Clausole Contrattuali Standard dell’UE, (i) qualora il trasferimento dei dati sia soggetto esclusivamente alla FADP svizzera (e non al GDPR), l’autorità di controllo è l’Incaricato federale della protezione dei dati e dell’informazione; e (ii) qualora il trasferimento sia soggetto sia alla LPD che al GDPR, l’autorità di controllo è il Commissario federale svizzero per la protezione dei dati e dell’informazione nella misura in cui il trasferimento sia disciplinato dalla LPD svizzera, e l’autorità di controllo indicata nell’Allegato I del presente Accordo sulle clausole contrattuali standard (DPA) nella misura in cui il trasferimento sia disciplinato dal GDPR.

11.4. Trasferimenti in Canada. Ideaform non trasferirà né consentirà l’accesso ai Dati Personali degli Utenti di Ideaform al di fuori del Canada, salvo in conformità con le leggi canadesi applicabili in materia di privacy, tra cui il PIPEDA e qualsiasi legge provinciale sostanzialmente analoga. Per qualsiasi trasferimento o accesso transfrontaliero, Ideaform: (i) rimane responsabile dei Dati personali e garantirà un livello di protezione paragonabile a quello richiesto dalle leggi canadesi applicabili in materia di privacy attraverso accordi scritti vincolanti e misure tecniche e organizzative; (ii) comunicherà all’Utente di Ideaform le giurisdizioni in cui si trovano i Dati personali dell’Utente di Ideaform; (iii) trasferirà a qualsiasi sub-responsabile del trattamento dei Dati Personali degli Utenti di Ideaform obblighi non meno rigorosi di quelli previsti dal presente DPA; (iv) informerà tempestivamente l’Utente di Ideaform qualora riceva una richiesta giuridicamente vincolante da parte di un’autorità pubblica straniera per l’accesso ai Dati Personali dell’Utente di Ideaform (salvo che ciò sia vietato dalla legge) e contesterà le richieste eccessivamente ampie o illegali; e (v) ove richiesto dalla Legislazione applicabile in materia di protezione dei dati, assisterà l’Utente di Ideaform in qualsiasi valutazione transfrontaliera necessaria e in qualsiasi comunicazione individuale. Ideaform adotterà misure per impedire l’accesso non autorizzato durante il transito e la conservazione e manterrà registri dei trasferimenti transfrontalieri. L’autorità di controllo sarà l’Ufficio del Commissario per la privacy del Canada (OPC). 

11.5. Altri trasferimenti. Nella misura in cui i Dati Personali degli Utenti di Ideaform abbiano origine al di fuori del SEE, della Svizzera o del Regno Unito e le parti intendano trasferire e trattare tali Dati Personali degli Utenti di Ideaform oltre i confini nazionali, le parti si impegnano inoltre ad applicare, a seconda dei casi, le disposizioni delle Clausole Contrattuali Standard dell’UE o dell’Addendum del Regno Unito/IDTA a tale trasferimento e trattamento, a condizione che le Clausole Contrattuali Standard dell’UE o l’Addendum del Regno Unito/IDTA siano giuridicamente obbligatori e sufficienti a soddisfare i requisiti della Legislazione Applicabile in materia di Protezione dei Dati per il trasferimento e il trattamento dei Dati Personali oltre i confini nazionali.

11.6. Dichiarazioni di non responsabilità relative alla sorveglianza. Ideaform dichiara che adotterà politiche e procedure ragionevolmente concepite per valutare e, ove del caso, documentare le richieste di accesso da parte delle autorità pubbliche e per opporsi a richieste illegittime o sproporzionate, nei limiti consentiti dalla legge. Nessuna disposizione del presente Accordo sulla protezione dei dati (DPA) richiede informazioni che potrebbero compromettere la sicurezza o violare le restrizioni imposte dalle forze dell’ordine. 

Allegato I (Attività di trattamento dei dati)

A. Elenco delle parti:

Nome (Esportatore di dati)	L'utente di Ideaform
Indirizzo	Come indicato nell'account utente di Ideaform
Nome, carica e recapiti della persona di riferimento	Come indicato nell'account utente di Ideaform
Attività relative ai dati trasferiti ai sensi delle presenti clausole	Di seguito riportato (Sezione B. Descrizione del trasferimento)
Firma e data	Eseguendo il Condizioni di servizio di cui il presente Accordo sulla protezione dei dati costituisce parte integrante
Ruolo (Titolare del trattamento / Responsabile del trattamento)	Ideaform User è il titolare del trattamento dei dati

Nome (Importatore di dati)	Ideaform, Inc.
Indirizzo	199 Bay St., Suite 5300, Commerce Court West, Toronto, Ontario M5L 1B9
Nome, carica e recapiti della persona di riferimento	All’attenzione di: Privacyprivacy@format.com
Attività relative ai dati trasferiti ai sensi delle presenti clausole	Di seguito riportato (Sezione B. Descrizione del trasferimento)
Firma e data	Eseguendo il Condizioni di servizio di cui il presente Accordo sulla protezione dei dati costituisce parte integrante
Ruolo (Titolare del trattamento / Responsabile del trattamento)	Ideaform è un responsabile del trattamento dei dati

B. Descrizione del trattamento e del trasferimento: Salvo quanto diversamente specificato in un capitolato d’appalto, in un modulo d’ordine o in documentazione analoga, la descrizione dei Dati Personali trasferiti è la seguente:

Servizi Ideaform	L'accesso e l'utilizzo della piattaforma Ideaform e dei servizi correlati in conformità con i Termini di servizio.
Categorie di interessati i cui dati personali vengono trasferiti:	L’Utente di Ideaform determina in via esclusiva le categorie di soggetti interessati i cui dati personali sono oggetto del trattamento da parte di Ideaform, che comprendono le seguenti categorie di soggetti interessati: i dipendenti dell’Utente di Ideaform, i collaboratori esterni e gli utenti finali dei Servizi Ideaform.
Categorie di dati personali trasferiti:	Qualsiasi informazione personale fornita a Ideaform tramite i Servizi Ideaform, sia da parte (o su indicazione) dell’Utente Ideaform che dei soggetti interessati.  I Dati Personali possono inoltre essere forniti a Ideaform dai fornitori di prodotti di terze parti al fine di facilitare le integrazioni tra i Servizi Ideaform e i prodotti di terze parti (ad esempio, Google può fornire nome, indirizzo e-mail e altre informazioni relative all’account degli Utenti qualora siano abilitate le integrazioni con Google Foto e Google Calendar). I dati personali potrebbero includere, a titolo esemplificativo ma non esaustivo: nome; informazioni di contatto (numero di telefono, indirizzo, indirizzo e-mail, ecc.); informazioni relative agli interessati che acquistano i prodotti dell’utente di Ideaform (indirizzo, destinatario, dettagli di spedizione e consegna, informazioni sul dispositivo, ecc.);Informazioni di pagamento utilizzate per facilitare gli acquisti dall’account dell’Utente di Ideaform; Informazioni generali sull’account dei Servizi (credenziali di accesso all’account, indirizzo IP (per i controlli di accesso), informazioni di pagamento e fatturazione, ecc.); e Informazioni sull’account dei prodotti di terze parti.
Sono stati trasferiti dati sensibili? Se sì, quali restrizioni e misure di protezione saranno applicate:	Nessuno, a meno che l’Utente Ideaform o gli Interessati dell’Utente Ideaform non decidano, a loro esclusiva discrezione, di fornire Dati sensibili a Ideaform tramite i Servizi. Si veda l’Allegato II per le misure di sicurezza che saranno adottate qualora Ideaform dovesse trattare dati sensibili.
Frequenza del trasferimento:	Continuo
Natura del trattamento:	Ideaform tratterà i Dati Personali per le seguenti finalità: (i) fornire i Servizi Ideaform in conformità con i Termini di Servizio e il presente DPA (ovvero, fornire all’Utente Ideaform una piattaforma online che consenta all’Utente Ideaform e ai soggetti interessati dell’Utente Ideaform (clienti, visitatori del sito e altri utenti) di sfogliare, esporre, organizzare, archiviare, vendere, scambiare e condividere opere d’arte); (ii) fornire assistenza tecnica relativa ai Servizi Ideaform; (iii) consentire e supportare le integrazioni tra i Servizi e prodotti di terze parti; (iv) consentire e facilitare l’utilizzo dei Servizi da parte degli Interessati dell’Utente Ideaform, inclusi, a titolo esemplificativo ma non esaustivo, gli acquisti; e (v) migliorare i nostri Servizi Ideaform.
Finalità del trasferimento e del trattamento:	I dati personali vengono trasferiti e trattati per consentire a Ideaform di fornire i Servizi all’Utente Ideaform in conformità con i Termini di servizio e il presente Accordo sui dati personali (DPA).
Il periodo di conservazione dei dati personali:	Per tutta la durata dei Termini di servizio e per il periodo successivo alla loro cessazione e di transizione, come stabilito nei Termini di servizio.
Per quanto riguarda i trasferimenti a sub-responsabili del trattamento, l’oggetto, la natura e la durata del trattamento:	L’oggetto, la natura e la durata del trattamento dei dati personali da parte dei sub-responsabili del trattamento saranno quelli indicati nella Sezione 10 e nell’Allegato III del presente Accordo sui dati personali (DPA).
Autorità di vigilanza competente	Come specificato nella Sezione 11.

* * * * * * * * *

Allegato II (Controlli di sicurezza)

Ideaform dovrà attuare e mantenere misure tecniche e organizzative adeguate per garantire un livello di protezione dei dati commisurato al rischio derivante dal trattamento dei dati personali degli utenti di Ideaform ai sensi del presente DPA, tenendo conto dello stato dell’arte, i costi di attuazione e la natura, la portata, il contesto e le finalità del trattamento, nonché la gravità e la probabilità di concretizzazione dei rischi per i diritti e le libertà degli interessati, che comprenderanno quanto segue:

• Crittografia dei dati personali.
• Misure volte a garantire la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento.
• Misure volte a garantire la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali degli utenti di Ideaform in caso di incidente fisico o tecnico.
• Procedure volte a verificare, valutare e analizzare periodicamente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
• Misure per la protezione dei dati durante l'archiviazione.
• Misure volte a garantire la sicurezza fisica delle sedi in cui sono conservati i dati personali degli utenti di Ideaform.
• Misure volte a garantire la configurazione del sistema, compresa la configurazione predefinita.
• Misure relative alla governance e alla gestione interna dell'IT e della sicurezza informatica.
• Misure per la certificazione e la garanzia della qualità dei processi e dei prodotti.
• Misure volte a garantire una conservazione limitata dei dati.
• Misure volte a garantire la responsabilità.
• Misure volte a garantire la portabilità dei dati e la cancellazione degli stessi.

Gli obblighi relativi ai sub-responsabili del trattamento sono definiti nell'Accordo sull'elaborazione dei dati (DPA).

* * * * * * * * *

Allegato III (Elenco dei subappaltatori)

L'elenco dei subappaltatori di Ideaform è disponibile all'indirizzo www.format.com/third-party-providers.