Legale.
Accordo sul trattamento dei dati
Il presente Accordo sul Trattamento dei Dati, comprese le Appendici, (l'"Accordo DPA") è incorporato e fa parte dell'Accordo tra il Cliente e Testlify, Inc. (di seguito "Testlify").
1. Ambito di applicazione
Questo DPA tra il Cliente, e se applicabile, gli Affiliati del Cliente, e Testlify, contiene i termini legali applicabili al trattamento dei Dati degli Utenti Finali, che possono includere dati personali.
2. Definizioni
Le seguenti definizioni si applicano in tutto questo DPA:
"Accordo" indica l'Accordo Utente Finale di Testlify, a meno che tra le parti non esista un accordo separato che disciplini l'uso dei Servizi.
"Leggi sulla protezione dei dati" indica le leggi sulla protezione dei dati applicabili a Testlify nel trattamento dei dati personali ai sensi del presente DPA, incluso, ove applicabile, il GDPR e il CCPA.
"DPA" indica il presente Accordo sul Trattamento dei Dati del Cliente.
"Dati degli utenti finali" indica i dati a cui i Servizi possono accedere o che possono raccogliere durante il rapporto disciplinato dall'Accordo, sotto forma di log, dati di sessione, telemetria, dati utente, dati di utilizzo e informazioni sulle minacce.
"GDPR" indica il Regolamento Generale sulla Protezione dei Dati 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
"Misure di sicurezza delle informazioni" indica le misure tecniche e organizzative per garantire la sicurezza del trattamento.
"Incidente di sicurezza" indica qualsiasi accesso non autorizzato ai Dati degli Utenti Finali archiviati sulle apparecchiature o nelle strutture di Testlify, o l'accesso non autorizzato a tali apparecchiature o strutture che comporti la perdita, la divulgazione o l'alterazione di tali dati.
I termini utilizzati in questo DPA specificamente definiti nel GDPR avranno lo stesso significato stabilito nel GDPR. I termini utilizzati in questo DPA non specificamente definiti nel GDPR avranno il significato loro comunemente attribuito nel settore della protezione dei dati.
3. Responsabilità nel trattamento dei dati personali in qualità di responsabile del trattamento
Nella misura in cui Testlify tratta dati personali per conto del Cliente in qualità di responsabile del trattamento (come definito dalle Leggi sulla Protezione dei Dati applicabili), Testlify lo farà solo su istruzioni documentate del Cliente e in conformità con quanto segue:
Trattamento richiesto dalla legge. Nel caso in cui Testlify sia tenuta dalla legge applicabile a trattare dati personali del Cliente, Testlify effettuerà tale trattamento e notificherà al Cliente tale requisito legale, nella misura consentita dalla legge.
Conformità alle leggi sulla protezione dei dati applicabili. Testlify tratterà i dati personali del Cliente in conformità con le Leggi sulla Protezione dei Dati applicabili e metterà a disposizione del Cliente, su richiesta, le informazioni necessarie.
Richieste degli interessati. Testlify fornirà ragionevole assistenza al Cliente per adempiere ai propri obblighi in relazione ai diritti degli interessati ai sensi delle Leggi sulla Protezione dei Dati applicabili.
Valutazione d'impatto sulla protezione dei dati. Su richiesta scritta del Cliente, Testlify fornirà al Cliente la ragionevole cooperazione e assistenza necessarie per soddisfare l'obbligo del Cliente.
Personale autorizzato. Testlify garantirà che il personale autorizzato che tratta i dati personali del Cliente si sia impegnato alla riservatezza o sia soggetto a un adeguato obbligo di riservatezza previsto dalla legge.
Subresponsabili del trattamento. Il Cliente autorizza Testlify a coinvolgere i subresponsabili del trattamento (identificati nell'Appendice 1 del presente accordo) per il trattamento dei dati personali. Nel caso in cui Testlify coinvolga un nuovo subresponsabile, dovrà:
notificare al Cliente tramite il portale di supporto entro quindici (15) giorni da tale modifica per dare al Cliente l'opportunità di opporsi a tale subtrattamento. Se il Cliente si oppone a un nuovo subresponsabile, Testlify compirà ragionevoli sforzi per porvi rimedio;
imporre al subresponsabile obblighi contrattuali appropriati non meno protettivi del presente DPA; e
rimanere responsabile della conformità del subresponsabile con il presente DPA e di qualsiasi atto o omissione del subresponsabile che causi la violazione da parte di Testlify di uno qualsiasi dei propri obblighi ai sensi del presente DPA.
Trasferimenti transfrontalieri. Se i Dati Personali del Cliente vengono trasferiti al di fuori dello Spazio Economico Europeo (SEE), del Regno Unito (UK) o della Svizzera, Testlify garantisce che tali trasferimenti siano conformi alle Leggi sulla Protezione dei Dati applicabili.
Salvaguardia della riservatezza e sicurezza dei dati personali. Testlify ha implementato pratiche e politiche per mantenere misure organizzative, fisiche e tecniche appropriate al fine di salvaguardare la riservatezza e la sicurezza dei dati personali, tra cui:
la pseudonimizzazione, deidentificazione o crittografia dei dati;
la capacità di ripristinare tempestivamente la disponibilità e l'accesso ai dati personali del Cliente in caso di incidente fisico o tecnico; e
un processo per testare, valutare e verificare regolarmente l'efficacia delle Misure di Sicurezza delle Informazioni di Testlify.
Piano di risposta agli incidenti. Testlify implementerà e manterrà un piano di risposta agli incidenti che specifichi le azioni, tra cui contenimento, indagine, segnalazione e rimedio, da intraprendere in caso di Incidente di Sicurezza.
Incidente di sicurezza. In caso di Incidente di Sicurezza che coinvolga dati personali del Cliente, Testlify, senza indebito ritardo: (a) informerà il Cliente dell'Incidente di Sicurezza; (b) indagherà e fornirà informazioni ragionevoli; (c) adotterà misure ragionevoli per mitigare gli effetti dell'Incidente di Sicurezza.
Audit. Testlify metterà a disposizione del Cliente, su richiesta scritta, fatti salvi adeguati obblighi di riservatezza, una copia sintetica dei rapporti di audit di terze parti applicabili o delle certificazioni.
Conservazione ed eliminazione. Testlify tratterà e conserverà tutti i dati personali trattati per conto del Cliente, inclusi i Dati del Cliente, i Dati dei Candidati, i Dati degli Utenti Finali e qualsiasi altro soggetto di dati interessato ai sensi del presente Accordo, in conformità con i periodi di conservazione applicabili.
4. Dettagli dei dati personali trattati
Oggetto: L'oggetto del Trattamento ai sensi del presente DPA sono le Informazioni Personali del Cliente.
Durata: Testlify può trattare le Informazioni Personali del Cliente ai sensi del presente DPA fino alla risoluzione o alla scadenza dell'Accordo.
Finalità: La finalità del Trattamento delle Informazioni Personali del Cliente ai sensi del presente DPA è consentire a Testlify di fornire i Servizi e adempiere ai propri obblighi come stabilito nell'Accordo.
Natura del trattamento: Per fornire i Servizi descritti nell'Accordo, Testlify tratterà le Informazioni Personali del Cliente su istruzione del Cliente e in conformità con i termini dell'Accordo.
Categorie di interessati: Il Cliente determina le categorie e l'estensione delle Informazioni Personali del Cliente che divulga a Testlify, che possono includere senza limitazione:
Dipendenti, appaltatori, consulenti e individui appartenenti al Cliente, o alla forza lavoro dei clienti e partner del Cliente; oppure
Candidati che si candidano per una posizione aperta del Cliente
Altri individui i cui dati personali vengono trattati nell'ambito della fornitura dei Servizi.
Categorie di informazioni personali: Il Cliente determina le categorie di Informazioni Personali che divulga a Testlify, che possono includere senza limitazione le Informazioni Personali del Cliente relative a:
Dati identificativi e di contatto (ad esempio, nome, indirizzo, numero di telefono, titolo, email, altri dettagli di contatto);
Dettagli sull'occupazione (ad esempio, titolo di lavoro, ruolo, manager);
Risposte alle domande dei test e risultati dei test
Punti dati aggiuntivi trattati, inclusi senza limitazione istantanee dell'attività dell'utente, registrazioni dello schermo durante le valutazioni, dati di geolocalizzazione e qualsiasi altro dato utente o di sessione rilevante.
Informazioni IT (ad esempio, autorizzazioni, indirizzi IP, dati di utilizzo, dati sui cookie, identificatori online);
Informazioni su dominio e dispositivo (ad esempio, nomi host e nomi host qualificati);
Informazioni contenute nei log relativi a eventi di sicurezza identificati e catturati dai Servizi; e/o
Dati non strutturati forniti a Testlify allo scopo di fornire servizi di supporto (ad esempio, cattura di pacchetti (PCAP) per il test dei file).
Dati sensibili trasferiti (se applicabile): Nel trattare Informazioni Personali, principalmente con indagini forensi, Testlify può trattare dati sensibili.
Frequenza: Il trasferimento di informazioni tra le Parti per facilitare il Trattamento di Testlify per conto del Cliente avverrà secondo necessità fino alla risoluzione dell'Accordo.
5. Trattamento dei dati degli utenti finali
Testlify tratterà e conserverà tutti i dati personali trattati per conto del Cliente, inclusi i Dati del Cliente, i Dati dei Candidati, i Dati degli Utenti Finali e qualsiasi altro soggetto di dati interessato ai sensi del presente Accordo.
6. Conformità alle leggi
Le parti tratteranno i dati personali in conformità con le Leggi sulla Protezione dei Dati applicabili. Il Cliente dichiara e garantisce che il proprio utilizzo dei Servizi, la propria autorizzazione all'accesso di Testlify e al trattamento dei dati personali, è conforme alla legge applicabile.
7. Conformità PCI
Testlify non è un elaboratore di pagamenti e pertanto non è soggetta alla conformità agli standard PCI. Tuttavia, Testlify riconosce che le informazioni della carta di credito possono essere fornite dal Cliente durante l'esecuzione.
8. Limitazione di responsabilità
Questo DPA non modifica la responsabilità di Testlify, sia in contratto, illecito civile o secondo qualsiasi altra teoria di responsabilità, nei confronti del Cliente basata su altri termini in vigore tra il Cliente e Testlify.
9. Conflitto tra i termini
In caso di conflitto tra i termini del presente DPA e altri termini in vigore tra il Cliente e Testlify, i termini del presente DPA prevarranno per quanto riguarda le attività di trattamento dei dati.
10. Appendice 2: Misure di sicurezza delle informazioni
Appendice 1 al DPA: Elenco dei Subresponsabili del Trattamento
Appendice 2 al DPA: Misure di Sicurezza delle Informazioni
10.1. Ambito di applicazione
Tenendo conto della natura, dell'ambito, del contesto e delle finalità del trattamento, dello stato dell'arte, dei costi di implementazione, nonché del rischio di probabilità e gravità variabili per i diritti e le libertà, l'azienda implementa misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio.
10.2. Definizioni
"Accordo" indica qualsiasi Accordo Utente Finale sottostante della Società, Modulo d'Ordine, Lettera di Incarico, Dichiarazione di Lavoro, o altro accordo scritto o elettronico legalmente stipulato e vincolante tra le parti.
"Dati degli Utenti Finali" indica i dati forniti da o per conto del Cliente alla Società durante il rapporto disciplinato dall'Accordo. Per chiarezza, i Dati degli Utenti Finali non includono i Dati di Sistema.
"Dati Personali" indica qualsiasi informazione trattata per conto del Cliente durante la fornitura di un Prodotto che (i) si riferisce a una persona fisica identificata o identificabile; oppure (ii) è definita come "informazioni personali" ai sensi della legge applicabile.
"Prodotto" indica collettivamente Hardware, Software, Abbonamento, o qualsiasi combinazione degli stessi, indipendentemente dal fatto che il Prodotto sia stato acquisito o meno nell'ambito di un Programma Aziendale.
"Dati di Sistema" indica i dati generati e/o raccolti in relazione all'utilizzo dei Prodotti da parte del Cliente, come log, dati di sessione, telemetria, dati di supporto, dati di utilizzo, informazioni sulle minacce o dati dell'account.
10.3. Gestione della sicurezza
10.3.1. Programma di sicurezza
L'azienda mantiene un programma di sicurezza delle informazioni scritto che:
è gestito da un dipendente senior responsabile della supervisione e dell'implementazione del programma;
include salvaguardie amministrative, tecniche e fisiche ragionevolmente progettate per proteggere la riservatezza, l'integrità e la disponibilità dei Dati; e
è appropriato alla natura, dimensione e complessità delle operazioni commerciali della Società.
10.3.2. Sicurezza del personale
Le competenze e le capacità di dipendenti e appaltatori vengono valutate come parte del processo di assunzione. Le competenze e capacità richieste sono elencate nelle descrizioni delle posizioni e nelle richieste.
10.4. Due diligence sui subappaltatori
10.4.1. La Società:
valuterà periodicamente le capacità di sicurezza di tali subappaltatori per garantire la capacità dei subappaltatori di conformarsi alle Misure descritte in questo documento;
applicherà requisiti scritti di sicurezza delle informazioni che obbligano i subappaltatori ad aderire alle politiche e agli standard chiave di sicurezza delle informazioni della Società, coerenti e non meno protettivi di queste Misure.
10.5. Sicurezza logica
10.5.1. Controllo degli accessi ai sistemi e alla rete
La Società impiega meccanismi di controllo degli accessi destinati a: (a) prevenire l'accesso non autorizzato ai Dati; (b) limitare l'accesso agli utenti che ne hanno necessità; (c) seguire il principio del privilegio minimo.
Gli utenti della Società dispongono di un account individuale che autentica l'accesso di quella persona ai Dati. La Società non consente la condivisione di account.
La Società mantiene un processo per rivedere/verificare i controlli (compresi i controlli di accesso) su base almeno annuale per tutti i sistemi della Società che trasmettono, elaborano o archiviano Dati.
La Società configura l'accesso remoto a tutte le reti che archiviano o trasmettono Dati per richiedere l'autenticazione a più fattori per tale accesso.
La Società revoca prontamente l'accesso a sistemi e applicazioni che contengono o elaborano Dati dopo la cessazione della necessità di accedere al sistema o all'applicazione.
10.5.2. Sicurezza delle telecomunicazioni e della rete
La Società implementa tecnologia firewall nell'operatività dei propri siti. Il traffico tra Cliente e Società sarà protetto e autenticato da tecnologie crittografiche standard del settore.
La Società implementa un sistema di rilevamento delle intrusioni per generare, monitorare e rispondere ad avvisi che potrebbero indicare una potenziale compromissione della rete e/o dell'host.
La Società implementa la segmentazione della rete tra la rete aziendale e le strutture di hosting per i Dati.
10.5.3. Protezione dal codice dannoso
Ad eccezione dei server specifici dedicati all'analisi dei Dati degli Utenti Finali compromessi, le postazioni di lavoro e i server della Società eseguono la versione attuale di software antivirus/anti-malware standard del settore.
La Società esegue la scansione dei contenuti in entrata e in uscita per individuare codice dannoso su tutti i gateway verso reti pubbliche, inclusi, senza limitazione, server di posta elettronica e proxy.
10.5.4. Prevenzione della perdita di dati
La Società impiega un sistema completo per prevenire la compromissione involontaria o intenzionale dei Dati.
10.6. Sviluppo e manutenzione del software
10.6.1. Open Source
La Società valuta e monitora le vulnerabilità del software open source (OSS) e di altre librerie di terze parti incorporate nei Prodotti; la Società esegue analisi statica del codice e revisioni manuali del codice.
10.6.2. Gestione del cambiamento
La Società impiega un programma di gestione del cambiamento documentato riguardo ai Prodotti come parte integrante del proprio profilo di sicurezza, inclusi ambienti logicamente o fisicamente separati dalla produzione.
10.6.3. Gestione delle vulnerabilità e valutazioni di sicurezza delle applicazioni
La Società si avvale di una terza parte qualificata per condurre le valutazioni di sicurezza delle applicazioni. La Società può anche condurre direttamente la revisione della valutazione di sicurezza, seguendo le migliori pratiche del settore.
10.7. Archiviazione, gestione e smaltimento
10.7.1. Segregazione dei dati
La Società separa e segrega fisicamente o logicamente i Dati Personali e i Dati degli Utenti Finali dai dati degli altri clienti.
10.7.2. Crittografia dei dati in forma elettronica
La Società utilizza algoritmi di crittografia solidi standard del settore e livelli di robustezza delle chiavi (ad esempio, AES a 256 bit a riposo, TLS v1.2 in transito) per crittografare tutti i Dati Personali e i Dati degli Utenti Finali in forma elettronica.
10.8. Continuità operativa e ripristino di emergenza
10.8.1. La Società sviluppa, implementa e mantiene un programma di gestione della continuità operativa per soddisfare le esigenze dell'azienda e dei Prodotti forniti al Cliente.
Il Piano di Analisi dell'Impatto Aziendale della Società include, senza limitazione, una revisione sistematica delle funzioni aziendali e dei relativi processi che identifica le dipendenze e valuta i potenziali impatti.
Il Piano di Gestione delle Crisi della Società include, senza limitazione, elementi come la gestione degli eventi, l'attivazione del piano e del team, e la documentazione del processo di eventi e comunicazione, esercitati almeno annualmente.
Il Piano di Continuità Operativa della Società include, senza limitazione, elementi come soluzioni alternative per sede, applicazione, fornitore e personale, esercitate almeno annualmente.
Il Piano di Ripristino di Emergenza della Società include, senza limitazione, dettagli su infrastruttura, tecnologia e sistemi, attività di ripristino, e identifica le persone/team richiesti per tale ripristino.
10.8.2. Contenuto del piano
La documentazione del piano della Società affronta le azioni che la Società intraprenderà in caso di interruzione prolungata del servizio. La Società garantisce che i propri piani affrontino le azioni e le risorse richieste per un ripristino tempestivo.
11. Responsabile della protezione dei dati
Per qualsiasi domanda o dubbio riguardante questo Accordo sul Trattamento dei Dati, la privacy dei dati, o la protezione delle vostre informazioni personali, potete contattare il nostro Responsabile della Protezione dei Dati: Nome: Chiranjeevi Tirunagari, Email: dpo@testlify.com, Contatto: +1 (844) 755 8378
Domande?.
Avete una domanda su questo accordo sul trattamento dei dati?
Il nostro team può illustrarvi qualsiasi clausola di questo DPA o mettervi in contatto con il nostro Responsabile della Protezione dei Dati.