Accordo sul trattamento dei dati

Il presente accordo è stipulato tra il Cliente, che utilizza la piattaforma Currunt per la propria attività e agisce come titolare del trattamento (di seguito "Titolare"), e inTown S.r.l., titolare del brand Currunt, con sede in Via Manzoni 42, 20121 Milano, P.IVA e C.F. 14765110961, che agisce come responsabile del trattamento (di seguito "Responsabile").

L'accordo disciplina il trattamento dei dati personali che il Responsabile effettua per conto del Titolare nell'erogazione della piattaforma, secondo quanto previsto dal contratto di servizio in essere tra le parti, costituito dai Termini di servizio o dall'offerta sottoscritta (di seguito "Contratto"). Forma parte integrante del Contratto e si intende accettato con la sottoscrizione dell'offerta o con l'attivazione del workspace.

L'accordo ha la stessa durata del Contratto e resta comunque efficace finché il Responsabile conserva dati personali del Titolare, anche dopo la cessazione del Contratto, fino alla loro restituzione o cancellazione.

Il Responsabile tratta i dati personali al solo scopo di erogare la piattaforma al Titolare. Questo comprende l'archiviazione e l'organizzazione dei dati, la loro consultazione e ricerca, la generazione di documenti e contenuti tramite gli strumenti della piattaforma, compresi quelli di intelligenza artificiale, l'invio di comunicazioni per conto del Titolare, la reportistica e il funzionamento delle integrazioni che il Titolare decide di attivare. Il Responsabile non utilizza i dati per finalità proprie: non li usa per attività di marketing, non li cede a terzi e non li impiega per addestrare modelli di intelligenza artificiale.

Il Titolare autorizza tuttavia il Responsabile a elaborare statistiche aggregate e anonime sull’utilizzo della piattaforma, da cui non sia possibile risalire né agli interessati né al Titolare, per migliorare il servizio e per analisi di settore.

I dati trattati riguardano i candidati del Titolare, i referenti delle aziende sue clienti e i membri del suo workspace. Si tratta di dati anagrafici e di contatto, dati professionali come CV, esperienze, formazione, competenze e informazioni retributive, note e valutazioni inserite dai dipendenti, documenti caricati o generati e comunicazioni gestite tramite la piattaforma, oltre ai dati tecnici di utilizzo del workspace.

La piattaforma non richiede il trattamento di categorie particolari di dati (art. 9 GDPR), come quelli relativi alla salute, né di dati relativi a condanne penali (art. 10 GDPR). Il Titolare si impegna a inserirli solo quando necessario e in presenza di una base giuridica idonea, ad esempio per l’appartenenza a categorie protette nell’ambito del collocamento mirato, restandone responsabile.

Trattamenti tramite l'Estensione Currunt per il browser

Su istruzione degli utenti autorizzati del Titolare, il Responsabile tratta tramite l'Estensione:

a) Dati dei candidati. L'Estensione estrae i dati contenuti nei CV scaricati o selezionati dall'utente: dati anagrafici e di contatto, esperienze, formazione, competenze, lingue, profilo LinkedIn. Il file del CV viene caricato nel workspace del Titolare. I CV in formato LinkedIn sono letti localmente sul dispositivo dell'utente; gli altri sono analizzati sulla piattaforma con il servizio di intelligenza artificiale indicato nell'elenco dei sub-responsabili.

b) Dati di aziende. L'Estensione estrae i dati dalle pagine dei siti web aziendali aperte dall'utente, comprese al massimo tre pagine dello stesso sito (note legali, privacy, contatti). Tra questi dati possono rientrare dati personali di ditte individuali o di referenti. La partita IVA viene verificata tramite il servizio VIES della Commissione Europea.

c) Informativa al candidato. Se l'utente lo richiede espressamente al momento dell'importazione, la piattaforma invia via email al candidato l'informativa ex art. 14 GDPR configurata dal Titolare. Il Titolare resta responsabile del contenuto dell'informativa e della base giuridica del trattamento.

Nessun dato è inviato al Responsabile senza conferma dell'utente. Sul dispositivo, l'Estensione conserva solo il codice di accesso, i dati dell'utente collegato, le preferenze e, temporaneamente, i dati dell'importazione in corso. I dati importati sono conservati nel workspace del Titolare, alle condizioni previste dal presente Accordo per il resto del Servizio. L'Estensione non ricorre a sub-responsabili ulteriori rispetto a quelli già indicati.

Il trattamento dura quanto il Contratto, salvo quanto previsto dall'art. 10 per la fase successiva alla cessazione.

Il Responsabile tratta i dati personali soltanto secondo le istruzioni documentate del Titolare. Costituiscono istruzioni il Contratto, il presente accordo e le scelte che il Titolare compie utilizzando la piattaforma, come le configurazioni del workspace, i tool attivati, le integrazioni collegate e le operazioni svolte dai membri del suo team. Il Titolare può impartire ulteriori istruzioni per iscritto. Se richiedono attività non previste dalle funzionalità della piattaforma, le parti ne concordano modalità e costi.

Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati. In questo caso può sospenderne l'esecuzione finché il Titolare non la conferma o la modifica.

Se il Responsabile è tenuto per legge a trattare i dati in modo diverso, ad esempio su richiesta di un'autorità, ne informa il Titolare prima di procedere, salvo che la legge stessa lo vieti.

Il Responsabile consente l'accesso ai dati del Titolare solo alle persone che ne hanno bisogno per erogare, mantenere o assistere il servizio, e solo nella misura necessaria. Queste persone sono vincolate da un obbligo di riservatezza, contrattuale o di legge, anche dopo la fine del loro rapporto con il Responsabile. L'accesso ai contenuti del workspace da parte del personale del Responsabile avviene di regola su richiesta del Titolare, ad esempio per una segnalazione di assistenza, oppure quando è necessario per garantire la sicurezza e il funzionamento della piattaforma, e viene tracciato ove tecnicamente possibile.

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, ai sensi dell’art. 32 GDPR, descritte al termine del presente accordo. Può aggiornarle nel tempo per seguire l’evoluzione tecnologica, senza però ridurre il livello complessivo di protezione.

Il Titolare, per la sua parte, è responsabile della gestione degli accessi al proprio workspace: sceglie chi invitare, assegna i ruoli e rimuove tempestivamente i membri che non devono più accedere.

Il Titolare autorizza in via generale il Responsabile ad avvalersi dei sub-responsabili pubblicati alla pagina currunt.com/legal/subprocessors. A ciascuno di essi il Responsabile impone per contratto obblighi di protezione dei dati equivalenti a quelli del presente accordo, e resta pienamente responsabile verso il Titolare del loro operato.

Il Responsabile comunica agli amministratori del workspace l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di preavviso. Il preavviso può essere più breve quando il cambio è necessario per ragioni urgenti di sicurezza o di continuità del servizio. Entro 15 giorni dalla comunicazione il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati. In tal caso le parti cercano una soluzione in buona fede. Se non la trovano, il Titolare può recedere dal Contratto senza penali, con il rimborso della parte di canone già pagata e non fruita.

I dati del workspace sono conservati ed elaborati in Unione Europea. Un trasferimento verso paesi extra UE, compreso il semplice accesso da remoto, può avvenire solo verso i sub-responsabili e con una delle garanzie previste dal Capo V del GDPR: una decisione di adeguatezza della Commissione Europea, come il Data Privacy Framework UE-USA per i fornitori certificati, oppure le Clausole Contrattuali Standard, integrate ove necessario da misure supplementari.

Il Responsabile non trasferisce i dati fuori dall'Unione Europea in casi diversi da quelli indicati, salvo istruzione scritta del Titolare o obbligo di legge, di cui informa il Titolare ai sensi dell'art. 3.

Le integrazioni che il Titolare collega con propri account di servizi terzi seguono il contratto tra il Titolare e quei fornitori, e non sono coperte dal presente articolo.

Il Responsabile assiste il Titolare nel rispondere alle richieste degli interessati che esercitano i propri diritti, come accesso, rettifica, cancellazione, portabilità, limitazione e opposizione. Lo fa innanzitutto tramite gli strumenti della piattaforma, che consentono al Titolare di esportare i dati di un candidato, correggerli, cancellarli insieme ai documenti collegati e gestire la revoca delle comunicazioni. Se un interessato si rivolge direttamente al Responsabile, questo inoltra la richiesta al Titolare entro 5 giorni lavorativi, senza rispondere nel merito, salvo diversa istruzione del Titolare.

Il Responsabile assiste inoltre il Titolare, tenendo conto della natura del trattamento e delle informazioni di cui dispone, nel garantire la sicurezza dei dati, nelle eventuali valutazioni d'impatto sulla protezione dei dati e nelle consultazioni preventive con l'autorità di controllo, fornendo la documentazione e le informazioni tecniche necessarie.

L'assistenza fornita tramite gli strumenti della piattaforma e la documentazione standard è compresa nel canone. Le attività che richiedono un impegno significativo oltre questo livello sono concordate tra le parti, anche nei costi.

Se il Responsabile viene a conoscenza di una violazione che riguarda i dati personali del Titolare, lo informa senza ingiustificato ritardo e comunque entro 48 ore, scrivendo agli amministratori del workspace e all’indirizzo indicato nel Contratto per le comunicazioni. La comunicazione descrive la natura della violazione, le categorie e il numero approssimativo degli interessati e dei dati coinvolti, le probabili conseguenze e le misure adottate o proposte per porvi rimedio, e indica un referente per ogni ulteriore informazione. Se non tutte le informazioni sono subito disponibili, il Responsabile le fornisce in fasi successive, man mano che le raccoglie.

Il Responsabile adotta senza indugio le misure necessarie a contenere la violazione e a limitarne gli effetti, e collabora con il Titolare perché possa valutare l'accaduto e, se dovuto, notificarlo al Garante entro 72 ore e comunicarlo agli interessati. Salvo obblighi di legge, il Responsabile non comunica a terzi le violazioni che riguardano i dati del Titolare senza il suo accordo.

La comunicazione di una violazione non costituisce di per sé un’ammissione di responsabilità da parte del Responsabile.

Il Responsabile mette a disposizione del Titolare, su richiesta, le informazioni necessarie a dimostrare il rispetto del presente accordo e dell'art. 28 GDPR: la documentazione sulle misure di sicurezza, l'elenco dei sub-responsabili e le risposte ai questionari di sicurezza ragionevolmente formulati. Di regola questa documentazione è sufficiente per le verifiche del Titolare.

Se la documentazione non basta, o se lo richiede un'autorità di controllo o si è verificata una violazione dei dati, il Titolare può svolgere un audit, anche tramite un auditor indipendente vincolato alla riservatezza e che non sia un concorrente del Responsabile. L'audit va richiesto con almeno 30 giorni di preavviso, salvo i casi di violazione o di richiesta dell'autorità. Si svolge in orario lavorativo, senza interferire con il servizio agli altri clienti e senza accedere ai dati di altri clienti, e di norma non più di una volta all'anno. I costi dell'audit sono a carico del Titolare, salvo che emerga una violazione rilevante del presente accordo da parte del Responsabile.

Alla cessazione del Contratto, per qualunque causa, i dati del Titolare restano conservati per 60 giorni. In questo periodo il Titolare può esportarli in autonomia tramite le funzioni della piattaforma, in formati di uso comune come CSV o Excel insieme ai documenti caricati, oppure chiedere al Responsabile di fornirgli l’esportazione completa. Il workspace non è utilizzabile per l’operatività, ma solo per l’esportazione.

Trascorsi i 60 giorni il Responsabile cancella definitivamente i dati, compresi i documenti archiviati, dopo averne dato avviso agli amministratori del workspace almeno 7 giorni prima. Il Titolare può anche chiedere la cancellazione anticipata, prima della scadenza del termine. Le copie di backup vengono sovrascritte entro il ciclo di rotazione. Fino ad allora restano protette con le misure descritte al termine del presente accordo e non vengono usate se non per ripristinare il servizio.

Su richiesta del Titolare, il Responsabile conferma per iscritto l'avvenuta cancellazione. Restano esclusi i dati che il Responsabile deve conservare per obbligo di legge, trattati solo per quello scopo, e le statistiche anonime previste dall'art. 2.

Ciascuna parte risponde delle violazioni del presente accordo e del GDPR a essa imputabili. Nei rapporti tra le parti si applicano le limitazioni di responsabilità previste dal Contratto, che non riguardano però i diritti degli interessati e i poteri dell'autorità di controllo, regolati direttamente dal GDPR.

Per tutto ciò che riguarda la protezione dei dati personali, il presente accordo prevale su ogni altra disposizione del Contratto.

Il Responsabile può aggiornare il presente accordo per adeguarlo a modifiche normative, a indicazioni delle autorità o all'evoluzione del servizio, pubblicando la nuova versione su currunt.com/legal/dpa e informandone gli amministratori del workspace almeno 30 giorni prima dell'entrata in vigore. Gli aggiornamenti non possono ridurre il livello di protezione dei dati. Per i Clienti con un'offerta sottoscritta resta valida la versione allegata, salvo che accettino per iscritto quella aggiornata o che la modifica sia imposta dalla legge.

Il presente accordo è regolato dalla legge italiana. Per qualsiasi controversia è competente in via esclusiva il Foro di Milano.