Accordo sul Trattamento dei Dati

Data di entrata in vigore: giugno 2026

Il presente Allegato costituisce parte integrante delle Condizioni di Servizio per Clienti Business di Service Club o dei Termini e Condizioni per i Clienti applicabili. Si applica automaticamente qualora, e nella misura in cui, Service Club tratti dati personali per conto del Cliente in qualità di responsabile del trattamento ai fini dell'articolo 28 del Regolamento (UE) 2016/679. Non si applica ai trattamenti effettuati da Service Club in qualità di titolare autonomo del trattamento né ad alcun trattamento per il quale le parti agiscano in qualità di titolari autonomi o di contitolari del trattamento, salvo quanto diversamente ed espressamente indicato.

1. Status e Incorporazione

• 1.1. Il presente Accordo sul Trattamento dei Dati (DPA) costituisce parte del contratto tra Service Club e il Cliente qualora, e nella misura in cui, Service Club tratti dati personali per conto del Cliente in qualità di responsabile del trattamento ai sensi dell'articolo 4, punto 8), e dell'articolo 28 del GDPR.
• 1.2. Il presente DPA si applica esclusivamente alle attività di trattamento in cui il Cliente determina le finalità e i mezzi essenziali del trattamento e Service Club agisce sulla base delle istruzioni documentate del Cliente.
• 1.3. Qualora Service Club agisca in qualità di titolare autonomo del trattamento, il presente DPA non si applica a tale trattamento. Tale trattamento in qualità di titolare è disciplinato dall'informativa sulla privacy di Service Club e dalla normativa applicabile in materia di protezione dei dati. Qualora le parti determinino congiuntamente le finalità e i mezzi, esse concorderanno un separato accordo ai sensi dell'articolo 26 del GDPR.

2. Oggetto, Durata, Natura e Finalità

• 2.1. L'oggetto, la durata, la natura e la finalità del trattamento sono quelli necessari per fornire i relativi servizi di Service Club ai sensi dei Termini applicabili, del Modulo d'Ordine e dell'Allegato A al presente DPA.
• 2.2. Il trattamento proseguirà per la durata dei relativi servizi e per qualsiasi periodo successivo alla cessazione necessario per la cancellazione, la restituzione, la conservazione prevista dalla legge, la gestione delle controversie, la sicurezza, gli audit o gli obblighi di conformità.

2.3. Descrizione del Trattamento

3. Categorie di Interessati e di Dati Personali

• 3.1. Gli interessati possono comprendere Lavoratori, corrieri, lavoratori della logistica, addetti di magazzino, addetti al fulfilment, carrellisti, partecipanti alla formazione, candidati, amministratori del cliente, personale del cliente, formatori, contatti di assistenza e altre persone fisiche i cui dati sono trattati in relazione ai servizi.
• 3.2. Le categorie di dati personali possono comprendere dati identificativi, dati di contatto, dettagli del CV/del profilo, prove del diritto al lavoro, informazioni relative al veicolo, dati sui requisiti di idoneità, dati su ruolo/ubicazione, dati di account, presenze alla formazione, dati VR e telematici, indicatori relativi all'attenzione, learning analytics supportati dall'IA, dati di riscatto, dati di candidatura, metadati dei documenti, comunicazioni, registrazioni di assistenza, log di sicurezza, indicatori di frode e altri dati concordati nell'Allegato A.
• 3.3. Le categorie particolari di dati, i dati relativi a condanne penali, i dati sanitari, i dati sull'appartenenza sindacale, i dati biometrici a fini identificativi, i dati dei minori o altri dati ad alto rischio non saranno trattati salvo che ciò sia espressamente concordato per iscritto, strettamente necessario e supportato da una base giuridica e da garanzie adeguate.

4. Obblighi del Cliente

• 4.1. Il Cliente garantisce che le istruzioni di trattamento siano lecite, documentate, specifiche e conformi al GDPR, alla LOPDGDD e alla normativa applicabile.
• 4.2. Il Cliente è responsabile di determinare la base giuridica, di fornire le informazioni di trasparenza richieste, di gestire le richieste di esercizio dei diritti degli interessati di propria competenza, di definire i periodi di conservazione, di assicurare la minimizzazione dei dati, di valutare i trattamenti ad alto rischio e di svolgere qualsiasi DPIA richiesta dall'articolo 35 del GDPR per le finalità di competenza del Cliente.
• 4.3. Il Cliente non impartirà a Service Club istruzioni di trattare dati personali in modo illecito, eccessivo, opaco, discriminatorio o in contrasto con le norme applicabili in materia di lavoro, protezione dei dati, comunicazioni elettroniche, intelligenza artificiale o diritti fondamentali.

5. Obblighi del Responsabile del Trattamento

• 5.1. Service Club tratta i dati personali soltanto sulla base di istruzioni documentate del Cliente, anche in caso di trasferimento verso un paese terzo o un'organizzazione internazionale, salvo che ciò sia richiesto dal diritto dell'Unione o dello Stato membro. In tal caso, Service Club informa il Cliente di tale obbligo giuridico prima del trattamento, salvo che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico.
• 5.2. Service Club garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
• 5.3. Service Club attua misure tecniche e organizzative adeguate ai sensi dell'articolo 32 del GDPR, tenendo conto della natura del trattamento, dei rischi, dello stato dell'arte, dei costi di attuazione e delle categorie di dati personali.
• 5.4. Service Club assiste il Cliente, tenendo conto della natura del trattamento e delle informazioni a disposizione di Service Club, in relazione alle richieste degli interessati, alla sicurezza, alle notifiche di violazione, alle DPIA e alle consultazioni con le autorità di controllo, nella misura richiesta dagli articoli 28, 32-36 del GDPR.

5.5. Sub-responsabili del Trattamento

1. Il Cliente autorizza Service Club a nominare sub-responsabili del trattamento per servizi di hosting, comunicazioni, analisi, pagamento, assistenza, sicurezza, infrastruttura, CRM, LMS, piattaforme VR, fornitura di modelli di IA, sistemi telematici, messaggistica, gestione documentale e servizi analoghi necessari per fornire i servizi.
2. Service Club impone ai sub-responsabili del trattamento obblighi in materia di protezione dei dati non meno protettivi di quelli previsti dal presente DPA, in particolare la presentazione di garanzie sufficienti per attuare misure tecniche e organizzative adeguate.
3. Service Club mantiene un elenco aggiornato dei sub-responsabili del trattamento rilevanti e lo mette a disposizione del Cliente (ad esempio, tramite un link dedicato, una sezione della piattaforma o su richiesta). Service Club notifica al Cliente le modifiche rilevanti previste almeno quattordici (14) giorni prima che la modifica abbia effetto, dando al Cliente la possibilità di opporsi per ragionevoli motivi di protezione dei dati.

5.6. Trasferimenti Internazionali

1. Service Club non trasferisce dati personali al di fuori del SEE salvo che il trasferimento sia conforme al Capo V del GDPR, anche mediante una decisione di adeguatezza, le Clausole Contrattuali Tipo, misure supplementari ove richieste, deroghe o un altro meccanismo di trasferimento lecito.
2. Il Cliente prende atto che determinati fornitori possono erogare servizi di assistenza, di comunicazione o di infrastruttura dall'esterno del SEE. Ove applicabile, Service Club attua garanzie per il trasferimento e fornisce al Cliente informazioni ragionevoli su richiesta.

5.7. Misure di Sicurezza

1. Service Club mantiene misure adeguate al rischio, che possono comprendere controlli degli accessi, autenticazione, permessi basati sui ruoli, cifratura in transito, backup, registrazione dei log, segregazione, pratiche di sviluppo sicuro, gestione delle vulnerabilità, impegni di riservatezza, risposta agli incidenti e processi di cancellazione sicura.
2. Le misure specifiche possono evolvere nel tempo, a condizione che il livello di protezione non sia ridotto in modo sostanziale. L'Allegato B descrive le misure di base.

5.8. Violazione dei Dati Personali

1. Service Club notifica al Cliente senza ingiustificato ritardo, dopo esserne venuto a conoscenza, qualsiasi violazione dei dati personali che riguardi dati personali trattati per conto del Cliente.
2. La notifica include, nella misura in cui siano noti e disponibili, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. Il Cliente resta responsabile delle notifiche alle autorità di controllo o agli interessati qualora il Cliente sia titolare del trattamento.

5.9. Diritti degli Interessati

1. Service Club, tenendo conto della natura del trattamento, assiste il Cliente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Cliente di dare seguito alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e ai diritti relativi ai processi decisionali automatizzati.
2. Qualora Service Club riceva una richiesta relativa a un trattamento di cui il Cliente è titolare, Service Club può indirizzare l'interessato al Cliente o informare il Cliente, salvo divieto di legge.

5.10. IA, Strumenti Automatizzati e Trattamenti ad Alto Rischio

1. Qualora Service Club utilizzi strumenti supportati dall'IA o automatizzati in qualità di responsabile del trattamento per conto del Cliente, il Cliente è responsabile di confermare la finalità perseguita, la base giuridica, la trasparenza, la proporzionalità, la sorveglianza umana e qualsiasi valutazione richiesta ai sensi del GDPR, della LOPDGDD, del diritto del lavoro e dell'AI Act.
2. Service Club non è tenuto a configurare strumenti di IA o automatizzati per decisioni connesse al rapporto di lavoro, classificazioni, licenziamenti, accesso al lavoro o finalità analoghe giuridicamente rilevanti, salvo che ciò sia oggetto di separato accordo e di una valutazione conforme alla legge. Qualora il Cliente utilizzi gli strumenti di IA o automatizzati di Service Club per tali finalità, il Cliente resta l'unico responsabile del rispetto dell'articolo 22 del GDPR, delle leggi sul lavoro applicabili e dell'AI Act.

6. Diritti di Audit e di Informazione

• 6.1. Service Club mette a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e del presente DPA.
• 6.2. Gli audit sono soggetti a un ragionevole preavviso, alla riservatezza, a restrizioni di sicurezza, alla limitazione all'orario lavorativo e all'obbligo di evitare interruzioni dell'attività. Il Cliente non può accedere ai dati di altri clienti, all'architettura riservata della piattaforma, a segreti commerciali o a informazioni che comprometterebbero la sicurezza.

7. Cancellazione e Restituzione

• 7.1. A scelta del Cliente e fatte salve la fattibilità tecnica, la conservazione prevista dalla legge e gli obblighi di Service Club in qualità di titolare del trattamento, Service Club cancella o restituisce i dati personali trattati per conto del Cliente al termine dei servizi.
• 7.2. Service Club può conservare copie qualora ciò sia richiesto dal diritto dell'Unione o dello Stato membro, per azioni legali, log di sicurezza, contabilità, prevenzione delle frodi o finalità di conformità, a condizione che i dati così conservati restino protetti e non siano trattati per finalità incompatibili.

8. Responsabilità e Prevalenza

• 8.1. La responsabilità ai sensi del presente DPA è disciplinata dalle clausole di responsabilità dei Termini applicabili o dell'accordo scritto applicabile, fatte salve le norme inderogabili del GDPR in materia di responsabilità che non possono essere escluse.
• 8.2. In caso di conflitto tra il presente DPA e i Termini in relazione agli obblighi del responsabile del trattamento, il presente DPA prevale per il trattamento interessato.

9. Legge Applicabile

Il presente DPA è disciplinato dal diritto spagnolo e dalla normativa dell'UE applicabile in materia di protezione dei dati. Sono competenti i tribunali designati nei Termini applicabili, fatti salvi i poteri inderogabili delle autorità di controllo e i diritti degli interessati.

Allegato A - Dettagli del Trattamento

Il presente Allegato costituisce parte dell'Accordo sul Trattamento dei Dati e descrive il trattamento dei dati personali effettuato da Service Club per conto del Cliente.

1. Oggetto e durata del trattamento

• Oggetto: Il trattamento dei dati personali è effettuato per fornire la Piattaforma Service Club e i relativi servizi (tra cui Perks, Jobs, Academy, Micro Academy, Marketplace e Shop) come concordato nel relativo Modulo d'Ordine o nelle relative Condizioni di Servizio.
• Durata: Il trattamento proseguirà per la durata dei relativi servizi e per qualsiasi periodo successivo alla cessazione strettamente necessario per la cancellazione, la restituzione, la conservazione prevista dalla legge, la gestione delle controversie, la sicurezza, gli audit o gli obblighi di conformità.

2. Natura e finalità del trattamento

La natura del trattamento comprende la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento, l'estrazione, l'uso, la comunicazione e la cancellazione dei dati personali. Le finalità comprendono:

• Creazione dell'account, controllo degli accessi e gestione dei requisiti di idoneità.
• Supporto alla selezione, abbinamento dei candidati e supporto all'onboarding.
• Erogazione della formazione (compresa la formazione in aula, virtuale, in VR, alla guida e supportata dall'IA).
• Comunicazioni di piattaforma, reportistica, assistenza, sicurezza e prevenzione delle frodi.

3. Categorie di interessati

I dati personali trasferiti riguardano le seguenti categorie di interessati:

• Lavoratori, corrieri, addetti alle consegne, addetti di magazzino, addetti al fulfilment e carrellisti.
• Partecipanti alla formazione, candidati e lavoratori della logistica.
• Amministratori del cliente, personale del cliente, formatori e contatti di assistenza.

4. Tipologie di dati personali trattati

I dati personali trasferiti riguardano le seguenti categorie di dati:

• Dati identificativi e di contatto: nome, cognome, indirizzo email, numero di telefono, ubicazione e identificativi di account.
• Dati di profilo e sui requisiti di idoneità: dettagli del CV, storico lavorativo, disponibilità, criteri di idoneità, patenti e prove del diritto al lavoro ove richieste.
• Dati di formazione e di performance: registrazioni di iscrizione, presenze, punteggi della formazione, dati VR e telematici, indicatori relativi all'attenzione e learning analytics supportati dall'IA.
• Dati operativi: dati di riscatto per Perks, stati delle candidature, metadati dei documenti, ticket di assistenza, comunicazioni, log di sicurezza e indicatori di frode.

5. Dati sensibili / Categorie particolari di dati

• Service Club non tratta categorie particolari di dati, dati relativi a condanne penali, dati biometrici a fini identificativi o dati sanitari per conto del Cliente, salvo che ciò sia espressamente concordato per iscritto, strettamente necessario e supportato da una base giuridica e da garanzie adeguate.

Allegato B - Misure Tecniche e Organizzative (TOMs)

Il presente Allegato costituisce parte dell'Accordo sul Trattamento dei Dati e descrive le misure di sicurezza tecniche e organizzative attuate da Service Club per garantire un livello di sicurezza adeguato al rischio, come richiesto dall'articolo 32 del GDPR. Tali misure di base possono essere integrate da una documentazione interna più dettagliata in materia di sicurezza delle informazioni, che Service Club può mettere a disposizione del Cliente su ragionevole richiesta, fatte salve le restrizioni di riservatezza.

1. Misure volte a garantire su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento

• Controlli degli accessi: attuazione di controlli degli accessi basati sui ruoli (RBAC), che garantiscono al personale l'accesso ai soli dati necessari per il proprio ruolo.
• Cifratura: i dati personali sono cifrati in transito mediante TLS 1.3 e a riposo mediante cifratura AES-256.
• Resilienza dei sistemi: l'infrastruttura è ospitata su AWS (Irlanda). Per garantire la resilienza, i sistemi sono configurati per riprendere le operazioni in una Availability Zone alternativa in caso di interruzione, in conformità agli SLA applicabili.

2. Misure volte a ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico

• Backup: i backup automatizzati e cifrati dei database critici sono eseguiti quotidianamente e mantenuti con un periodo di conservazione di 7 giorni.

3. Procedure per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative

• Gestione delle vulnerabilità: attuazione di scansioni di sicurezza nella pipeline CI/CD; il codice viene sottoposto automaticamente a scansione delle vulnerabilità prima della messa in produzione e i rilasci vengono bloccati qualora vengano rilevate vulnerabilità.
• Penetration testing: penetration test annuale della Piattaforma Service Club effettuato da terzi.
• Log di sicurezza: registrazione attiva delle azioni di sistema e degli eventi di sicurezza all'interno dell'infrastruttura principale.

4. Misure per l'identificazione e l'autorizzazione degli utenti

• Attuazione di account utente e credenziali distinti e individuali per tutto il personale.
• Processi documentati di checklist IT di onboarding e offboarding per garantire che gli accessi ai sistemi siano concessi in modo appropriato e revocati manualmente in caso di cessazione del rapporto o di cambio di ruolo di un dipendente.

5. Misure per la protezione dei dati durante la trasmissione

• Tutti i dati personali trasmessi su reti esterne sono protetti mediante protocolli di cifratura TLS 1.3.

6. Misure volte a garantire la sicurezza fisica dei luoghi in cui sono trattati i dati personali

• Service Club si avvale di fornitori cloud e SaaS di primo livello (AWS, Google Workspace, Holded) che mantengono rigorose misure di sicurezza fisica di livello enterprise (ad esempio, accesso biometrico, personale di sicurezza attivo 24/7) presso i rispettivi data center.
• Gli uffici aziendali di Service Club richiedono l'accesso tramite keycard per impedire l'ingresso fisico non autorizzato.