Addendum sulla protezione dei dati
Ultimo aggiornamento del materiale: 3 giugno 2025
1. Introduzione
1.1 Il presente Addendum sulla protezione dei dati (il presente "DPA") fa parte ed è soggetto ai termini dell'accordo che: (a) è stipulato tra un'entità del gruppo Teya ("Teya") e un esercente (l'"Esercente"); e (b) fa riferimento al presente DPA (l'"Accordo").
1.2 Il presente DPA disciplina il Trattamento dei Dati personali delle parti in relazione al Contratto. Ciò include il trattamento da parte delle parti dei Dati personali relativi ai titolari di carta, a una transazione o comunque relativi al personale di ciascuna delle parti raccolti o condivisi in relazione al Contratto.
2. Definizioni e interpretazione
2.1 I termini in maiuscolo utilizzati nel presente DPA avranno, salvo espressa indicazione contraria, il significato loro attribuito nel Contratto. Al presente DPA si applicano le regole di interpretazione stabilite nell'Accordo.
2.2 Qualora una qualsiasi disposizione del presente DPA sia in conflitto con gli altri termini del Contratto, prevarrà il presente DPA. Se una disposizione del presente DPA dovesse essere in conflitto con gli standard dello schema di carte o il modulo di richiesta dell'esercente, prevarranno gli standard dello schema di carte o il modulo di richiesta dell'esercente.
2.3 Nel presente DPA, i seguenti termini avranno il seguente significato:
2.3.1 Per "Legislazione in materia di protezione dei dati" si intende qualsiasi legge, statuto, dichiarazione, decreto, direttiva, emanazione legislativa, ordine, ordinanza, regolamento, norma o altra restrizione vincolante (come di volta in volta emendata, consolidata o riattualizzata) che riguardi la protezione delle persone fisiche in relazione al trattamento dei dati personali a cui una parte è soggetta, compresi i Regolamenti sulla privacy e sulle comunicazioni elettroniche del 2003 (come modificati dal SI 2011 n. 6), il Data Protection Act 2018 del Regno Unito, il GDPR dell'UE e il GDPR del Regno Unito;
2.3.2 "Titolare del trattamento", "Interessato", "Dati personali", "Violazione dei dati personali", "Responsabile del trattamento", "Elaborazione" e "Autorità di vigilanza" avranno il significato stabilito dalla legislazione sulla protezione dei dati (e "Elaborazione" e "Elaborato" saranno interpretati di conseguenza);
2.3.3 Per "Richiesta dell'Interessato" si intende una richiesta, un avviso o un reclamo, reale o presunto, da parte di (o per conto di) un Interessato che esercita i propri diritti ai sensi della legislazione sulla protezione dei dati;
2.3.4 "GDPR UE" indica il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) GU L 119/1 del 4.5.2016;
2.3.5 Per "ICO" si intende l'Information Commissioner's Office del Regno Unito o qualsiasi organismo che lo sostituisca;
2.3.6 Per "Impatto materiale" si intende un effetto materialmente dannoso su: (a) la reputazione di una parte o di qualsiasi membro del suo gruppo, a seconda dei casi; o (b) il rapporto di una parte con l'Interessato; che, in ogni caso, potrebbe ragionevolmente risultare in: (i) un'azione esecutiva minacciata o effettiva (formale o informale) da parte di un'Autorità di vigilanza o dell'ICO per una violazione della Legislazione sulla protezione dei dati; o (ii) un reclamo prospettico o effettivo da parte di un Soggetto interessato o di terzi (per violazione del contratto, negligenza o qualsiasi altro illecito, ai sensi della legge o altro);
2.3.7 "Corrispondenza dell'Autorità di Vigilanza" indica qualsiasi corrispondenza o comunicazione (scritta o verbale) da parte di un'Autorità di Vigilanza o dell'ICO in relazione al Trattamento dei Dati Personali in relazione all'Accordo;
2.3.8 Per "Requisiti di Sicurezza" si intendono i requisiti relativi alla sicurezza dei Dati Personali, come stabilito dalla Legislazione sulla Protezione dei Dati, incluse, in particolare, le misure di cui all'articolo 32(1) del GDPR UE e del GDPR UK (a seconda dei casi) (tenendo in debita considerazione le questioni descritte nell'articolo 32(2) del GDPR UE e del GDPR UK (a seconda dei casi)); e
2.3.9 "GDPR del Regno Unito" indica il GDPR dell'UE come modificato in conformità al Data Protection, Privacy and Electronic Communications (Amendments etc) (EU Exit) Regulations 2019 (come modificato dal SI 2020 n. 1586) e incorporato nel diritto del Regno Unito ai sensi del UK European Union (Withdrawal) Act 2018.
3. Ruoli delle parti
3.1 Le parti prevedono che, per quanto riguarda il trattamento dei dati personali in relazione all'Accordo, ciascuna parte agirà come controllore indipendente dei dati personali.
3.2 Nessuna delle parti prevede di agire in qualità di controllori congiunti dei Dati personali, né l'altra parte nomina l'altra come responsabile del trattamento ai fini del trattamento effettuato in relazione all'Accordo.
4. Protezione dei dati
4.1 Per quanto riguarda il trattamento dei dati personali in relazione all'Accordo, ciascuna parte dovrà:
4.1.1 rispettare i propri obblighi ai sensi della legislazione sulla protezione dei dati;
4.1.2 emettere i propri avvisi di trattamento equo al fine di essere trasparenti per quanto riguarda il trattamento dei dati personali;
4.1.3 implementare e mantenere adeguate misure tecniche e organizzative sufficienti a soddisfare i Requisiti di Sicurezza;
4.1.4 adottare misure ragionevoli per garantire l'affidabilità del proprio personale che avrà accesso ai Dati personali e garantire che ogni membro del personale che ha accesso ai Dati personali abbia sottoscritto adeguati impegni di riservatezza contrattualmente vincolanti;
4.1.5 collaborare con l'altra parte per assisterla nei suoi obblighi di segnalazione in caso di violazione della legislazione sulla protezione dei dati in relazione al Contratto;
4.1.6 notificare all'altra parte qualsiasi violazione dei dati personali che possa essersi verificata in relazione all'Accordo senza indebito ritardo nel momento in cui ne viene a conoscenza; e
4.1.7 notificare tempestivamente all'altra parte il ricevimento di qualsiasi richiesta di un soggetto interessato o di una corrispondenza dell'Autorità di Vigilanza che tale parte ritiene, agendo ragionevolmente, possa avere un impatto rilevante sull'altra parte.