GDPR: dove trovare l'accordo di subappalto (DPA) e gli impegni di riservatezza di LWS?

Procédure

Gli impegni di LWS in qualità di sub-responsabile ai sensi del GDPR sono pubblicati in due documenti ad accesso libero sulla pagina delle CGV di LWS, sezione «Condizioni generali»: «Trattamento dei dati personali o DPA» e «Accordo di trattamento dei dati (accordo DPA)». Questa guida indica dove trovarli, cosa contengono in materia di riservatezza, localizzazione e sicurezza dei dati, e chi contattare per una domanda.

Questa guida riassume documenti contrattuali per aiutarvi a orientarvi. Solo i documenti stessi fanno fede: leggeteli integralmente e fatevi assistere da un consulente legale se il vostro progetto lo richiede.

Dove trovare l'accordo di sub-trattamento (DPA) di LWS?

Sulla pagina delle CGV di LWS, la sezione «Condizioni generali» propone in PDF:

• Trattamento dei dati personali o DPA (versione del 16 aprile 2024) ;
• Accordo di trattamento dei dati (accordo DPA) (versione del 19 aprile 2024).

La sezione «Documenti legali» della stessa pagina propone anche la Politica di sicurezza del sistema informativo, la Politica sulla privacy e le Informazioni legali GDPR.

Secondo questi documenti, il DPA fa parte integrante del contratto concluso tra LWS e il cliente, e l'accordo DPA precisa che il modulo d'ordine o la creazione di un account valgono come accettazione del presente accordo. L'accordo DPA contiene anche una parte «Condizioni particolari», con le tipologie di dati trattati (compresi i dati sensibili) e una firma di entrambe le parti.

Chi è responsabile di cosa?

Il DPA è stabilito conformemente all'articolo 28 del GDPR:

• per i dati che ospitate presso LWS, siete presunti titolari del trattamento: siete voi a scegliere i dati e gli interessati;
• LWS agisce come sub-responsabile e tratta tali dati solo su vostre istruzioni, nella misura necessaria alla fornitura dei servizi.

Il DPA ricorda inoltre che restate responsabili della sicurezza di ciò che installate e gestite voi stessi sui vostri servizi (siti, software, applicazioni).

Riservatezza dei dati

Secondo il DPA e l'accordo DPA:

• i dipendenti di LWS autorizzati a trattare i dati sono soggetti a un obbligo di riservatezza e ricevono una formazione sulla protezione dei dati personali;
• LWS si impegna ad accedere ai vostri dati e a utilizzarli solo per le necessità dell'esecuzione dei servizi;
• impegni di riservatezza sono richiesti a tutti i collaboratori e fornitori che agiscono per LWS.

Localizzazione dei dati e sub-responsabili

Il DPA indica che la localizzazione dei dati è in Francia e che nessun trasferimento di dati personali è effettuato da LWS al di fuori dell'Unione europea. L'allegato II dell'accordo DPA elenca i sub-responsabili successivi, tutti situati in Francia: LWS SAS e Groupe LWS (entità affiliate), Equinix e Adista (entità terze).

In caso di modifica o aggiunta di un sub-responsabile successivo, il DPA prevede che LWS vi avvisi nella vostra interfaccia di gestione o via e-mail, e che disponiate di 15 giorni per formulare un'obiezione motivata.

Misure di sicurezza e certificazione

L'allegato I dell'accordo DPA cita in particolare la crittografia dei dati in transito e durante l'archiviazione, il controllo degli accessi fisici e logici ai server, un'autenticazione rafforzata, l'isolamento dei dati dei diversi clienti e l'applicazione rapida delle correzioni di sicurezza pubblicate dal CERT-FR. Il dettaglio rimanda alla Politica di sicurezza del sistema informativo di LWS.

Il sito lws.fr indica «Società e datacenter certificati ISO 27001». Il DPA prevede che, se un servizio è certificato, LWS metta a disposizione i certificati e i rapporti corrispondenti su richiesta scritta del cliente.

Ospitare dati sensibili

Il DPA vi lascia la scelta dei servizi e la responsabilità di tale scelta. Se i vostri trattamenti presentano un rischio elevato, ad esempio perché riguardano dati sensibili o sanitari, il DPA vi chiede di scegliere i vostri servizi con cautela e di verificare che siano adatti al tipo di dati trattati. La Politica di sicurezza del sistema informativo ricorda la stessa regola: spetta al cliente, titolare del trattamento, assicurarsi che il livello di servizio sia adeguato alla sensibilità dei propri dati.

Il DPA prevede inoltre che LWS vi fornisca, su richiesta scritta, un'assistenza ragionevole per una valutazione d'impatto sulla protezione dei dati. Le informazioni non pubblicate sul sito di LWS sono considerate confidenziali, e LWS può chiedere la firma di un accordo di riservatezza prima di comunicarvele.

Contattare LWS per una domanda sui vostri dati

Il DPA prevede diversi mezzi di contatto:

• un ticket dal vostro spazio cliente (vedi come contattare l'assistenza tecnica di LWS);
• il modulo di contatto del sito LWS;
• una lettera postale a: LWS, DPA - Trattamento dei dati, 10 rue Penthièvre, 75008 Parigi (Francia).

La pagina Note legali & Riservatezza di lws.fr indica anche un contatto GDPR / DPO: rgpd@lws.fr.

Articoli correlati

• Come contattare l'assistenza tecnica di LWS?