Addendum relativo al trattamento OneStock

Ultimo aggiornamento: 3 novembre 2025

Il presente Addendum sul trattamento dei dati, comprese le relative appendici (collettivamente, il presente “DPA”), costituisce parte integrante del Contratto stipulato tra la OneStock indicata nel Modulo d’ordine pertinente (OneStock) e il Cliente identificato nel corrispondente Modulo d’ordine (“Cliente”) che fa riferimento al presente DPA (il “Contratto”).

Il presente Accordo sulla protezione dei dati (DPA) entra in vigore alla data di entrata in vigore del Contratto oppure alla firma dell'ultimo Modulo d'ordine da parte del Cliente o di qualsiasi altro accordo scritto, in formato elettronico o sottoscritto di comune accordo, tra le parti.

1. Trattamento dei dati

1.1 Descrizione del trattamento dei dati. Il tipo di dati personali trattati ai sensi del presente Accordo sul trattamento dei dati (DPA), nonché l'oggetto, la durata, la natura e le finalità del trattamento, nonché le categorie di interessati, sono descritti nell'Allegato 1 del presente DPA.

1.2 Ambito di applicazione e ruolo. Le parti riconoscono e concordano che, per quanto riguarda il trattamento dei dati personali nell'ambito della fornitura dei Servizi previsti dal Contratto, il Cliente e/o le sue affiliate sono i titolari del trattamento, mentre OneStock il responsabile del trattamento.

1.3 Obblighi del Cliente. Nell’ambito dell’utilizzo dei Servizi, il Cliente è tenuto a trattare i Dati Personali in conformità con i requisiti delle Leggi sulla protezione dei dati. Le istruzioni del Cliente relative al trattamento dei Dati Personali devono essere conformi alle Leggi sulla protezione dei dati, compreso qualsiasi obbligo applicabile di informare gli Interessati dell’utilizzo di OneStock Responsabile del trattamento. Il Cliente è l'unico responsabile dell'accuratezza, della qualità e della legalità dei Dati Personali e dei mezzi con cui li ha acquisiti. Il Cliente deve garantire di avere il diritto di trasferire i Dati Personali in questione a OneStock che OneStock i suoi Sub-responsabili del trattamento possano utilizzare, trattare e trasferire legalmente i Dati Personali in conformità con il presente DPA e il Contratto per conto del Cliente e delle sue Affiliate.

1.4 Obblighi OneStock. OneStock i dati personali in conformità con i requisiti delle leggi sulla protezione dei dati applicabili all’adempimento dei propri obblighi ai sensi del presente DPA, tra cui:

• 1.4.1 OneStock i Dati Personali esclusivamente in conformità con il Contratto e il presente DPA. Con la sottoscrizione del Contratto, il Cliente incarica OneStock trattare i Dati Personali per le seguenti finalità: (i) trattamento in conformità con il Contratto, il Modulo d’Ordine applicabile e qualsiasi altro accordo elettronico o scritto sottoscritto di comune accordo, il che include l’aggiornamento della Piattaforma e la prevenzione o la risoluzione di problemi tecnici o relativi al servizio; (ii) Trattamento avviato dagli utenti del Cliente durante l’utilizzo della Piattaforma; e (iii) Trattamento per ottemperare ad altre ragionevoli istruzioni fornite dal Cliente, laddove tali istruzioni siano coerenti con i termini del Contratto. Il presente DPA e il Contratto costituiscono le istruzioni documentate fornite a OneStock il Trattamento dei Dati Personali.
• 1.4.2 OneStock i Dati personali come informazioni riservate e OneStock che qualsiasi persona da OneStock autorizzata al trattamento dei Dati personali abbia accettato o sia soggetta a obblighi di riservatezza analoghi a quelli OneStock da OneStock nel Contratto.
• 1.4.3 Su richiesta del Cliente e ove richiesto dalle leggi in materia di protezione dei dati, OneStock il Cliente nell’adempimento dei suoi obblighi relativi alle valutazioni d’impatto sulla protezione dei dati (ove tali valutazioni riguardino i Servizi, e solo nella misura in cui il Cliente non abbia altrimenti accesso alle informazioni pertinenti e nella misura in cui tali informazioni siano a disposizione di OneStock) e alla consultazione preventiva con l’autorità di controllo, ove applicabile ai sensi del GDPR dell’UE e del GDPR del Regno Unito.

2. Durata

2.1 Il presente Accordo sulle protezione dei dati rimane in vigore fino alla prima delle seguenti date: (i) la scadenza o la risoluzione del Contratto; e (b) la restituzione o la cancellazione dei Dati personali.

3. Sicurezza

3.1 Sicurezza. OneStock e manterrà un programma completo di sicurezza delle informazioni volto a proteggere i Dati Personali da distruzione, perdita, alterazione, divulgazione o accesso non autorizzati, accidentali o illeciti, a condizione che tali misure siano adeguate a (a) le dimensioni, la portata e la natura dell’attività OneStock; (b) la quantità di risorse a disposizione di OneStock; (c) il tipo di informazioni che OneStock ; e (d) la necessità di sicurezza e riservatezza di tali informazioni, (“collettivamente OneStock ”). Le Misure OneStock sono quelle indicate nell’Allegato 2 del presente DPA. OneStock regolarmente il rispetto di tali misure di sicurezza.

3.2 Notifica delle violazioni. Nella misura consentita e richiesta dalla legge, OneStock , senza indebito ritardo, notificare per iscritto al Cliente, dopo essersi ragionevolmente resa conto di una violazione della sicurezza che comporti la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso accidentale o illecito ai Dati personali («Violazione dei Dati personali»). Tale notifica, come consentito e richiesto dalle leggi applicabili in materia di protezione dei dati, descriverà (i) la natura della Violazione dei Dati Personali, incluse, se note, le categorie e il numero approssimativo di interessati e di registrazioni di dati personali coinvolti; (b) le misure OneStock adottato, o intende adottare, per rispondere alla Violazione dei Dati Personali e mitigarne gli effetti; (c) eventuali misure che OneStock al Cliente di adottare per far fronte alla Violazione dei Dati Personali; e (d) informazioni relative al punto di contatto OneStockin merito alla Violazione dei Dati Personali. Se OneStock fornire tutte le informazioni di cui sopra nella notifica iniziale, OneStock le informazioni al Cliente non appena saranno disponibili.

3.3 Verifica.
3.3.1 OneStock revisori esterni per verificare l'adeguatezza delle proprie misure di sicurezza in relazione al trattamento dei dati personali. Tali verifiche vengono effettuate almeno una volta all'anno a spese OneStockda professionisti della sicurezza terzi indipendenti nominati a discrezione OneStock.

3.3.2 Il Cliente può richiedere una verifica contabile a OneStock accertare la conformità OneStockai termini del presente DPA qualora tale verifica sia richiesta dalle leggi sulla protezione dei dati e la conformità OneStocknon possa essere dimostrata con mezzi meno onerosi per OneStock anche ai sensi della sezione 3.3.1). Tale verifica non sarà condotta più di una volta in un periodo di 12 mesi, salvo ove richiesto da un'autorità di controllo competente, e sulla base dei seguenti requisiti: (1) il Cliente deve notificarlo OneStock iscritto OneStock ; (2) a seguito della ricezione di tale notifica, il Cliente e OneStock di comune accordo l'ambito, la tempistica e la durata della verifica, oltre al tasso di rimborso di cui il Cliente sarà responsabile; (3) qualsiasi verifica sarà soggetta agli obblighi di riservatezza stabiliti nel Contratto o come altrimenti concordato per iscritto tra le parti; (4) il Cliente dovrà rimborsare OneStock tempo impiegato per qualsiasi verifica in loco alle tariffe dei servizi professionali OneStockallora in vigore, che saranno messe a disposizione del Cliente su richiesta. Tutte le tariffe di rimborso devono essere ragionevoli, tenendo conto delle risorse impiegate da OneStock; (5) qualsiasi audit deve essere eseguito durante il normale orario di lavoro dal Cliente o da un revisore indipendente di terze parti del Cliente che non sia un concorrente di OneStock, e deve essere limitato ai dati rilevanti per il Cliente; (6) il Cliente dovrà informare tempestivamente OneStock qualsiasi non conformità riscontrata nel corso di un audit.

4. Subappaltatori

4.1 Autorizzazione dei sub-responsabili del trattamento. Il Cliente concede un'autorizzazione generale scritta affinché (a) le affiliate OneStockpossano essere designate come sub-responsabili del trattamento; e (b) OneStock avvalersi di sub-responsabili del trattamento terzi in relazione alla fornitura dei Servizi.

4.2 Identificazione dei sub-responsabili del trattamento. OneStock un elenco aggiornato dei sub-responsabili del trattamento disponibile all'indirizzo www.onestock-retail/en/legals/subprocessors/ (l'"Elenco dei sub-responsabili del trattamento"). OneStock l’Elenco dei Subresponsabili con eventuali Subresponsabili nuovi o sostitutivi da nominare almeno trenta (30) giorni prima della data in cui tali Subresponsabili nuovi o sostitutivi inizieranno il Trattamento dei Dati Personali. L’Elenco dei Subresponsabili contiene un meccanismo che consente al Cliente di iscriversi per ricevere notifiche relative a Subresponsabili nuovi o sostitutivi. Il Cliente può registrarsi per ricevere notifiche via e-mail relative a tali modifiche nell’Elenco dei Subresponsabili.

4.3 Obiezioni relative ai sub-responsabili del trattamento. Qualora il Cliente abbia obiezioni riguardo a un nuovo sub-responsabile del trattamento, potrà opporsi all’utilizzo di tale sub-responsabile OneStock OneStock d OneStock comunicazione scritta entro dieci (10) giorni dalla data in cui OneStock aggiornato il proprio Elenco dei sub-responsabili del trattamento. Tale comunicazione dovrà illustrare i motivi ragionevoli alla base dell’obiezione. Al ricevimento di tale comunicazione, OneStock ogni ragionevole sforzo per mettere a disposizione del Cliente una modifica dei Servizi o raccomandare una modifica commercialmente ragionevole alla configurazione o all’utilizzo dei Servizi da parte del Cliente, al fine di evitare il trattamento dei Dati Personali da parte del nuovo Subresponsabile oggetto di obiezione senza gravare in modo irragionevole sul Cliente. Se OneStock non OneStock di rendere disponibile tale modifica entro un periodo di tempo ragionevole, che non deve superare i trenta (30) giorni, il Cliente può, entro tale periodo di tempo, risolvere immediatamente il/i Modulo/i d'Ordine applicabile/i solo in relazione a quei Servizi che non possono essere forniti da OneStock l'utilizzo del nuovo Subprocessore oggetto di obiezione, fornendo una comunicazione scritta a OneStock. A seguito di tale risoluzione, OneStock al Cliente eventuali canoni prepagati relativi al periodo residuo di validità di tali Moduli d’ordine a partire dalla data di efficacia della risoluzione in relazione ai Servizi risolti, senza applicare alcuna penale al Cliente per tale risoluzione.

4.4 Requisiti dei sub-responsabili del trattamento. OneStock con ciascun sub-responsabile del trattamento un accordo scritto contenente obblighi in materia di protezione dei dati equivalenti a quelli previsti dal presente DPA. OneStock responsabile delle azioni e delle omissioni dei propri sub-responsabili del trattamento compiute in relazione all’adempimento degli obblighi OneStockai sensi del presente DPA nella stessa misura in OneStock responsabile se prestasse direttamente i Servizi.

5. Richieste degli interessati

5.1 OneStock , nei limiti consentiti dalla legge, OneStock tempestivamente il Cliente qualora OneStock da un interessato una richiesta di esercitare i seguenti diritti: accesso, rettifica, limitazione del trattamento, cancellazione (“diritto all’oblio”), portabilità dei dati, opposizione al trattamento o il diritto di non essere sottoposto a un processo decisionale automatizzato che produca effetti che lo riguardano (ciascuna di esse, una “Richiesta dell’interessato”). Tenendo conto della natura del Trattamento, OneStock il Cliente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia ragionevolmente possibile, per l’adempimento dell’obbligo del Cliente di rispondere a una Richiesta dell’Interessato ai sensi delle leggi applicabili in materia di protezione dei dati. Inoltre, nella misura in cui il Cliente, nell’utilizzo dei Servizi, non abbia la possibilità di rispondere a una Richiesta dell’interessato, OneStock , su richiesta del Cliente, OneStock ogni sforzo commercialmente ragionevole per assistere il Cliente nel rispondere a tale Richiesta dell’interessato, nella misura in cui OneStock legalmente autorizzata a farlo e la risposta a tale Richiesta dell’interessato sia richiesta ai sensi delle leggi applicabili in materia di protezione dei dati.

6. Restituzione e distruzione dei dati

6.1 Ai sensi del Contratto, in caso di risoluzione o scadenza del Contratto, OneStock cancellare o distruggere tutte le copie dei Dati del Cliente presenti OneStocksistemi o comunque in OneStockpossesso o sotto il suo controllo, salvo che ciò sia vietato dalla legge.

7. Trasferimenti di dati

Istruzioni. Le parti concordano che i trasferimenti di dati personali a OneStock a una decisione di adeguatezza applicabile non richiedono un meccanismo di trasferimento separato approvato. Qualora un trasferimento di dati personali a OneStock non OneStock soggetto a una decisione di adeguatezza applicabile (un «trasferimento soggetto a restrizioni»), tale trasferimento viene effettuato in conformità a quanto segue:

7.1 Qualora venga effettuato un trasferimento soggetto a restrizioni dal SEE o dalla Svizzera, le Clausole standard di protezione dei dati (SCC) sono incorporate per riferimento nel presente Accordo sulle norme di protezione dei dati (DPA) e si applicano al trasferimento come segue:

• 7.1.1 Il Modulo 2 si applica nei casi in cui il Cliente sia il Titolare del trattamento e OneStock il Responsabile del trattamento
• 7.1.2 Ai sensi della clausola 7 delle SCC, la clausola facoltativa di riduzione non trova applicazione;
• 7.1.3 Ai sensi della clausola 9, lettera a), delle SCC, si applica l'opzione 2 secondo i termini della sezione 4 del presente DPA;
• 7.1.4 Ai sensi della clausola 11, lettera a), delle SCC, la formulazione facoltativa non trova applicazione;
• 7.1.5 Ai sensi della clausola 17 delle SCC, si applica l'opzione 1, con legge applicabile quella francese;
• 7.1.6 Ai sensi della clausola 18, lettera b), delle Condizioni generali di contratto, le controversie saranno risolte dai tribunali di Tolosa, in Francia;
• 7.1.7 L'Allegato 1 delle SCC è integrato con le informazioni contenute nell'Appendice 1 del presente DPA;
• 7.1.8 L'allegato 2 delle SCC è integrato con le informazioni contenute nell'appendice 2 del presente DPA;
• 7.1.9 L'Allegato 3 delle SCC viene compilato con le informazioni contenute nell'elenco dei sub-responsabili del trattamento

7.2 Qualora venga effettuato un trasferimento soggetto a restrizioni dal Regno Unito, l’Addendum sul trasferimento dal Regno Unito è incorporato per riferimento nel presente DPA e si applica al trasferimento come segue:

• 7.2.1 L'Addendum per il Regno Unito è completato dalle informazioni contenute nella Sezione 7.1.1, dall'Elenco dei sub-responsabili del trattamento e dalle Appendici 1 e 2 del presente Accordo sugli aspetti relativi alla protezione dei dati;
• 7.2.2 Nella tabella 4 sono selezionati sia «Importatore» che «Esportatore»

7.3 Applicazioni specifiche delle SCC. Alle SCC si applicano le seguenti condizioni:

• 7.3.1 Il Cliente può esercitare i propri diritti di verifica ai sensi delle SCC, come previsto dalla Sezione 3.3 del presente DPA
• 7.3.2 OneStock nominare sub-responsabili del trattamento ai sensi delle Clausole contrattuali standard (SCC), come previsto nella Sezione 4 del presente Accordo sui dati personali
• 7.3.3 Per quanto riguarda i trasferimenti soggetti a restrizioni effettuati a OneStock, OneStock né partecipare, né consentire a un sub-responsabile del trattamento di partecipare, a ulteriori trasferimenti soggetti a restrizioni, a meno che tali ulteriori trasferimenti non siano effettuati nel pieno rispetto delle leggi sulla protezione dei dati e in conformità con le clausole contrattuali standard applicabili o con un meccanismo di trasferimento alternativo conforme alla legge.

8. Responsabilità

8.1 Il presente Accordo sulle pratiche relative ai dati (DPA) è soggetto alle limitazioni di responsabilità concordate tra le Parti (e qualsiasi riferimento alla responsabilità di una parte si intende riferito a tale parte e alle sue affiliate nel loro insieme) ai sensi del Contratto.

9. Informazioni generali

• 9.1 Per quanto riguarda l'oggetto del presente DPA, in caso di incongruenze tra le disposizioni del presente DPA e quelle del Contratto, prevarranno le disposizioni dei seguenti documenti (in ordine di precedenza): le Clausole standard di protezione dei dati (SCC); poi il presente DPA; e infine il Contratto.
• 9.2 Il presente Accordo sugli aspetti relativi alla protezione dei dati sarà regolato e interpretato in conformità alle disposizioni in materia di legge applicabile e giurisdizione contenute nel Contratto, salvo diversamente previsto dalle leggi sulla protezione dei dati.
• 9.3 OneStock modificare il presente DPA qualora (i) la modifica sia necessaria per ottemperare alle leggi in materia di protezione dei dati; oppure (ii) la modifica sia commercialmente ragionevole, non riduca in modo sostanziale la sicurezza dei Servizi, non modifichi l’ambito del trattamento dei Dati personali OneStocke non abbia un impatto negativo sostanziale sui diritti del Cliente ai sensi del presente DPA.

10. Definizioni

I termini in maiuscolo non altrimenti definiti nel presente DPA o nel Contratto hanno il seguente significato:

• 10.1 Per «titolare del trattamento» si intende il soggetto che determina le finalità e le modalità del trattamento dei dati personali
• 10.2 Per «responsabile del trattamento» si intende il soggetto che tratta i dati personali per conto del titolare del trattamento
• 10.3 Per «Leggi sulla protezione dei dati» si intendono tutte le leggi, i trattati e/o i regolamenti locali, statali, nazionali e/o stranieri, compresi il GDPR dell’UE e il GDPR del Regno Unito, nonché le leggi e i regolamenti della Svizzera, degli Stati Uniti e dei suoi Stati, applicabili a: (i) OneStock sua veste di fornitore di servizi che tratta i dati ai sensi del Contratto oppure (ii) al Cliente e alle sue Affiliate, a seconda dei casi
• 10.4 Per «interessato» si intende la persona fisica identificata o identificabile alla quale si riferiscono i dati personali
• 10.5 Per «GDPR dell’UE» si intende il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati)
• 10.6 Per «Dati personali» si intendono tutte le informazioni relative a una persona identificata o identificabile che sono state fornite dal Cliente o per suo conto alla Piattaforma, oppure raccolte e trattate dal Cliente o per suo conto tramite la Piattaforma
• 10.7 Per «trattamento» si intende qualsiasi operazione o insieme di operazioni compiute su dati personali, con o senza l'ausilio di mezzi automatizzati, quali la raccolta, la registrazione, l'organizzazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'utilizzo, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, l'incrocio o l'integrazione, il blocco, la cancellazione o la distruzione
• 10.8 Per «clausole contrattuali tipo» o «SCC» si intendono: (i) qualora si applichi il GDPR dell’UE o la Legge federale svizzera sul trattamento dei dati, le clausole contrattuali allegate alla Decisione di esecuzione 2021/914 della Commissione europea del 4 giugno 2021 relativa alle clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio («SCC UE»); e (ii) laddove si applichi il GDPR del Regno Unito, le clausole standard di protezione dei dati adottate ai sensi dell’articolo 46 del GDPR del Regno Unito o da esso consentite («SCC del Regno Unito»)
• 10.9 Per «subappaltatore» si intende qualsiasi incaricato del trattamento dei dati incaricato da OneStock trattare i dati personali nell'ambito della fornitura dei Servizi
• 10.10 Per «GDPR del Regno Unito» si intende il GDPR dell'UE recepito nell'ordinamento giuridico del Regno Unito ai sensi dell'articolo 3 della legge del Regno Unito del 2018 sull'Unione europea (recesso).

ALLEGATO 1 DETTAGLI DEL TRATTAMENTO

A. ELENCO DELLE PARTI

B. DESCRIZIONE DEL TRATTAMENTO E DEL TRASFERIMENTO DEI DATI

C. AUTORITÀ DI VIGILANZA COMPETENTE

ALLEGATO 2: MISURE TECNICHE E ORGANIZZATIVE, COMPRESE LE MISURE TECNICHE E ORGANIZZATIVE VOLTE A GARANTIRE LA SICUREZZA DEI DATI

Le misure di sicurezza tecniche e organizzative sono definite nei Termini e condizioni OneStock applicabili alla Piattaforma, allegati al Contratto o a qualsiasi altro accordo elettronico o scritto sottoscritto di comune accordo dalle Parti.