1. Il presente Joint Controller Addendum è incorporato e soggetto ai termini e alle condizioni delle Condizioni relative ai Commercianti.

2. TMU ha sviluppato un plugin che i Commercianti possono scegliere di installare sul loro Online Store. Lo scopo e la portata del plugin è quello di identificare in modalità del tutto anonimo gli utenti di TMU che accedono al Negozio Online attraverso la Vetrina e subito dopo completano una transazione su tale Negozio Online.

3. In termini di GDPR il Plugin non trasferisce nessun dato personale degli utenti TMU, ne tantomeno ne riceve dal Commerciante. Le informazioni espressamente trasferite sono un OTP (One Time Password) completamente randomizzato ed anonimo per indicare allo Store del Commerciante che si tratta di un utente TMU e di ritorno invia dati di numero e nome dei prodotti acquistati. Entrambe le entità, TMU e Commerciante, trattano i dati personali dei propri utenti in maniera del tutto indipendente.

4. Non vengono raccolti e trasmessi dati personali degli utenti tramite il Plugin sopra descritto.

I dati non personali trasferiti sono:
- OTP: codice identificativo randomizzato anonimo utente TMU;
- Prodotti / Offerte dello Store e di TMU;
- Saldo PAC disponibile per ogni acquisto;
- Numero, Nome, Prezzo prodotti acquistati.

5. I Dati non Personali gestiti dal Plugin riguarderanno esclusivamente le transazioni svolte dagli Utenti di TMU e tali dati saranno utilizzati dalle Parti per calcolare determinate commissioni dovute a TMU dal Commerciante.

6. In conformità alle disposizioni dell'articolo 26 del GDPR, TMU e il Commerciante concordano quanto segue:

a) Sia TMU che il Commerciante saranno tenuti, in modo indipendente, a:

(i) Assicurarsi che la rispettiva parte abbia una base legale per il trattamento dei dati personali

(ii) Fornire agli interessati tutte le informazioni richieste nei termini degli articoli 13 e 14 del GDPR

(iii) Garantire che (a) i dettagli di questo accordo e (b) il riferimento al controllo congiunto ma indipendente siano forniti e resi disponibili agli interessati, preferibilmente attraverso le rispettive privacy policy.

b) Le Parti riconoscono che gli interessati hanno il diritto di esercitare i rispettivi diritti in relazione ai dati personali di ciascuna delle parti, come meglio specificato negli articoli dal 15 al 22 (entrambi inclusi) del GDPR ("Diritti degli interessati"). Al fine di facilitare l'esercizio dei diritti degli interessati, le Parti convengono di stabilire un unico punto di contatto a cui inoltrare tutte le richieste di questo tipo. Le Parti concordano espressamente che la responsabilità di agire come unico punto di contatto sarà assegnata a TMU. TMU terrà il Commerciante pienamente e tempestivamente informato sui dettagli di contatto pertinenti. Il Commerciante è tenuto a garantire che la sua informativa sulla privacy includa i dettagli dell'accordo tra le Parti per stabilire un unico punto di contatto, come stabilito nella presente clausola.

c) Le Parti riconoscono che, nonostante la nomina dell'unico punto di contatto, il Commerciante stesso può anche ricevere richieste da (i) soggetti interessati a esercitare i diritti degli interessati, o (ii) dalle autorità di protezione dei dati che richiedono informazioni che si riferiscono, direttamente o indirettamente, al trattamento dei Dati personali.

Al fine di snellire questo processo e garantire che tali richieste siano gestite in modo efficiente, le Parti concordano di seguire e osservare la procedura di seguito indicata:

(i) Se la notifica o la richiesta viene ricevuta da TMU, TMU determinerà se il contributo e l'assistenza del Commerciante sono necessari per essere in grado di rispettare di fornire le informazioni richieste dalla legge. Il Commerciante si adopererà per fornire tutta l'assistenza ragionevolmente richiesta a tale riguardo in modo tempestivo, ma in ogni caso non oltre sette (7) giorni del calendario.

(ii) Se la notifica viene ricevuta dal Commerciante, Il Commerciante è tenuto a notificare tempestivamente a TMU il ricevimento di tale richiesta e a fornire tutte le informazioni rilevanti a tale riguardo.  Se TMU stabilisce che è necessaria ulteriore assistenza o informazioni da parte del Commerciante, TMU invierà al Commerciante una notifica in tal senso. Il Commerciante si impegnerà a fornire tutta l'assistenza ragionevolmente richiesta a tale riguardo in modo tempestivo, ma in ogni caso non oltre sette (7) giorni di calendario.

(iii) Nella misura in cui è applicabile, qualsiasi risposta o notifica fornita da TMU a questo proposito sarà considerata come fornita e data anche da e per conto del Commerciante.
 
(iv) A scanso di equivoci, il Commerciante non è autorizzato ad agire o rispondere per conto di TMU.

d) Se, a seguito dell'esercizio dei diritti degli interessati, una parte è tenuta a cancellare o limitare il trattamento dei dati personali precedentemente condivisi ai sensi dell'articolo 16, 17(1) e 18 del GDPR, si conviene espressamente che tale parte invierà una notifica in tal senso all'altra parte non appena ragionevolmente possibile.

e) Ciascuna parte si impegna, ad attuare misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, comprese, se del caso, le misure di cui all'articolo 32, paragrafo 1, del GDPR, che in ogni caso non sono inferiori alle misure definite nell'appendice 1 di seguito allegata.  Nel valutare il livello di sicurezza adeguato, le parti tengono conto in particolare dei rischi presentati dal trattamento dei dati personali, in particolare da una violazione degli stessi.

f) Ciascuna parte deve notificare l'altra parte immediatamente dopo essere venuta a conoscenza di una violazione dei dati personali riguardante i dati personali. Tale notifica dovrà come minimo:

(i) Descrivere la natura della violazione dei dati personali, le categorie e il numero di persone interessate nonché le categorie e i numeri dei registri dei dati personali interessati;
(ii) descrivere le probabili conseguenze della violazione dei dati personali;

(iii) descrivere le misure adottate o proposte per affrontare la violazione dei dati personali; e

(iv) i dettagli di un recapito dove si possano ottenere maggiori informazioni sulla violazione dei dati personali.

g) Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni sopra menzionate contestualmente, la notifica iniziale conterrà le informazioni disponibili in quel momento e ulteriori informazioni, man mano che saranno disponibili, saranno fornite in seguito con la massima tempestività. Le Parti collaboreranno tra loro e adotteranno le ragionevoli misure commerciali necessarie per assistere nell'indagine, nella mitigazione e nel rimedio di ciascuna di tali violazioni dei dati personali.

h) Le parti (a) si forniranno reciprocamente tutta l'assistenza ragionevole per preparare qualsiasi valutazione d'impatto sulla protezione dei dati che possa essere richiesta in relazione al trattamento dei dati personali e (b) manterranno registrazioni integre e complete di tutti i trattamenti effettuati in relazione ai dati personali, in conformità con le disposizioni dell'articolo 30 del GDPR.

7. Non esiste un controllo congiunto, e quindi il presente Addendum non si applica (a) a qualsiasi trattamento per il quale TMU e lo specifico Commerciante non determinano congiuntamente le finalità e i mezzi del trattamento degli stessi.

1. Appendice

1. Crittografia (articolo 32, paragrafo 1, lettera a) GDPR
 

2. Riservatezza ( Articolo 32, paragrafo 1, punto (b) GDPR)
Controllo dell'accesso fisico

Sistema di controllo degli accessi

Controllo dell' accesso ai dati

3. Integrità (articolo 32, paragrafo 1, lettera b) GDPR)
Controllo dei trasferimenti

Controllo dell'inserimento dei dati

4.  Disponibilità e resilienza (articolo 32, paragrafo 1, punto (b) GDPR)
Controllo della disponibilità

5. Altro