Accordo di nomina del responsabile del trattamento dei dati
(ai sensi dell’articolo 4, paragrafo 1, n. 8 e dell’articolo 28 del Regolamento (UE) n. 2016/679)

Premesso che
- l’articolo 28, paragrafo 3, del Regolamento (UE) 2016/679 prevede che il trattamento dei dati personali per conto del Titolare sia disciplinato da un contratto o da altro atto giuridico che vincoli le parti e che definisca la materia disciplinata, la durata del trattamento, la natura e le finalità del trattamento, il tipo dei dati personali e le categorie degli interessati, gli obblighi e i diritti del titolare;
- per garantire il rispetto delle prescrizioni dei regolamenti (UE) 2016/679 e (UE) 2018/1725, quando affida delle attività di trattamento a un responsabile del trattamento, il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti dei regolamenti (UE) 2016/679 e (UE) 2018/1725, anche per la sicurezza del trattamento;
- con la deliberazione della Giunta regionale n. 45/3 del 20 dicembre 2023, sono state approvate le Direttive regionali in materia di attuazione del Regolamento (UE) 2016/679, le quali definiscono le misure di governance e procedimentali finalizzate al perseguimento e all’attuazione dei principi e delle disposizioni del Regolamento, applicabili immediatamente sia al complesso degli uffici dell’Amministrazione regionale sia, previo recepimento e adattamento, secondo gli specifici assetti istituzionali, agli enti e alle agenzie che costituiscono il Sistema Regione ai sensi dell’art. 1, comma 2-bis della legge regionale n. 31 del 1998;
- con la deliberazione  della Giunta regionale n. 51/3 del 16 ottobre 2018 è stato definito il Modello organizzativo e adempimenti finalizzati all’applicazione del Regolamento europeo in materia di protezione dei dati personali con riguardo alla sicurezza dei dati personali e la procedura di gestione delle violazioni di dati personali (Data Breach), da coordinare con le nuove disposizioni contenute in materia nelle Direttiva approvate con la succitata deliberazione n. 45/3 del 2023;
- con il decreto del Presidente della Regione n. 12 del 14 febbraio 2024, le funzioni e i compiti del titolare del trattamento sono state delegati ai Direttori generali e ai responsabili apicali degli Uffici regionali;
- la Regione Autonoma della Sardegna, con contratto n. …. ha affidato alla società …..  l’appalto avente ad oggetto …… (di seguito “Contratto”);
- i servizi e le attività oggetto del suddetto contratto al quale si rinvia per una descrizione dettagliata e puntuale, comportano il trattamento di dati personali da parte della società;
- si rende, pertanto, necessario disciplinare il rapporto intercorrente fra le parti secondo quanto disposto dall’articolo 28 del Regolamento (UE) 2016/679 (di seguito “Regolamento”);
- viste le clausole contrattuali standard adottate il 12 novembre 2020 dalla Commissione Europea alla consultazione pubblica – Decisione di esecuzione (UE) 2021/915 della Commissione del 4 giugno 2021 relativa alle clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento a norma dell'articolo 28, paragrafo 7, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio e dell'articolo 29, paragrafo 7, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio

Tutto ciò premesso

La Regione Autonoma della Sardegna, in qualità di Titolare del trattamento dei dati personali (di seguito, Titolare), nella persona del Direttore Generale/ Servizio……….., con sede legale in Cagliari, secondo quanto previsto dalla  determinazione n. ….. del Direttore generale, di delega delle funzioni del Titolare

e
la società …………….., con sede legale in , via , n. , c.f./p.iva (di seguito, Responsabile) nella persona di 

convengono e stipulano quanto segue

1.	Oggetto e garanzie del responsabile per mettere in atto adeguate misure tecniche e organizzative a tutela della sicurezza del trattamento e dei diritti dell’interessato
1	Il Titolare nomina la Società quale Responsabile del Trattamento ai sensi dell’articolo 28 del Regolamento, delegando le operazioni di trattamento sui dati personali elencati al punto 2 del seguente accordo. 
2	Il Responsabile dichiara di possedere garanzie sufficienti, in termini di proprietà, risorse umane, organizzative ed attrezzature per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del Regolamento e garantisca la tutela dei diritti dell'interessato. In particolare il responsabile dichiara:
-	di aver designato il responsabile della protezione dei dati personali ai sensi degli artt. 37 e seguenti del Regolamento (RPD/DPO) i cui riferimenti e dati di contatto sono di seguito indicati ed eventuali aggiornamenti saranno tempestivamente comunicati al Titolare:          Email …. ;
-	che le persone autorizzate al trattamento sono state debitamente formate in materia di protezione dei dati personali e sono sottoposte al vincolo di riservatezza;
-	che le persone autorizzate al trattamento sono istruite prima dell’inizio dei trattamenti delegati dal titolare;
-	di avere predisposto il registro delle attività di trattamento e di mantenerlo costantemente aggiornato, con individuazione dei trattamenti svolti per conto di titolari del trattamento;
-	di non trasferire dati personali verso Paesi terzi o organizzazioni internazionali o, in caso positivo, di trasferirli nel rispetto delle disposizioni previste dagli articoli 44 e seguenti del Regolamento; 
-	di adottare adeguate misure tecniche ed organizzative secondo quanto previsto dagli articoli 25 e 32 del Regolamento e, in particolare, procedure volte a minimizzare il rischio di accessi non autorizzati, incidenti di sicurezza, procedure di verifica periodica di idoneità e aggiornamento allo stato dell’arte dei sistemi informatici utilizzati, di verifica delle resistenza di detti sistemi ad attacchi esterni, di adottare, con riferimento ai dati trattati con uso di strumenti elettronici, sistemi di verifica periodica delle credenziali, di adottare procedure tali da garantire la continuità dei servizi offerti.
-	di aderire al codice di condotta approvato ai sensi dell’articolo 40 del Regolamento (indicare) o di possedere una certificazione approvata ai sensi dell’articolo 42 del regolamento o altra certificazione (indicare).
3	Il Responsabile conferma la diretta e approfondita conoscenza degli obblighi che si assume in relazione al dettato normativo vigente e si impegna a procedere al trattamento dei dati personali attenendosi alle istruzioni ricevute dal Titolare attraverso la presente nomina o a quelle ulteriori che saranno conferite nel corso delle attività prestate in suo favore. 
4	In caso di difformità tra il presente accordo e quanto stabilito nel contratto o in altri accordi tra le parti vigenti al momento del presente accordo, le clausole previste nel presente accordo in materia di protezione dei dati personali prevalgono e sostituiscono quelle presenti nel contratto. 
5	I termini impiegati nel presente atto di nomina sono definiti come i termini corrispondenti del Regolamento, del Decreto Legislativo n. 196 del 2003 e ss.mm.ii. (Codice privacy), delle pertinenti norme e provvedimenti di attuazione e del contratto. In ogni caso, i termini e le espressioni utilizzati sono interpretati in coerenza con il Regolamento e la normativa nazionale in materia di protezione dei dati personali.

2.	Descrizione del trattamento (indicare scheda ID Registro del trattamento del Titolare e del responsabile del trattamento)
1.	Il Responsabile esegue le operazioni di trattamento ai soli fini dell’esecuzione del contratto e per quanto necessario allo stesso nonché per l’adempimento degli obblighi derivanti dal Regolamento e dalla normativa in materia di protezione dei dati personali. Nell’ambito dei servizi oggetto del contratto e fino alla scadenza del contratto previsto per (indicare durata del trattamento):
il Responsabile tratta i dati per conto del titolare per le seguenti finalità: (specificare)
2.	Il Responsabile del trattamento potrà svolgere le sole operazioni di trattamento dei dati personali identificati di seguito: (specificare)
secondo le seguenti modalità: (specificare)
3.	Le operazioni delegate includono i dati personali trasmessi dal Titolare o comunque raccolti o formati dal Responsabile per conto del Titolare nell’esecuzione del contratto e delle attività connesse, di seguito specificati:
-	dati personali trattati: 
-	categorie particolari di dati ex art. 9 del Regolamento trattati: 
-	dati giudiziari ex art. 10 del Regolamento trattati:

4.	I dati personali trattati riguardano le seguenti categorie di interessati:
5.	Le operazioni di trattamento delegate comportano il trattamento dei dati, compresa la conservazione, presso: (Indicare il luogo di conservazione e trattamento dei dati personali): 
6.	In ordine alle misure tecniche e organizzative adeguate a garantire la tutela dei diritti dell'interessato, il responsabile del trattamento applica le seguenti misure organizzative e tecniche:

(Le misure tecniche e organizzative devono essere descritte in modo concreto e non genericamente). L’accordo deve descrivere le misure di sicurezza tecniche e organizzative messe in atto dal responsabile del trattamento (comprese le eventuali certificazioni pertinenti) per garantire un adeguato livello di sicurezza, tenuto conto della natura, dell'ambito di applicazione, del contesto e della finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche. Nel caso di trasferimenti a (sub-)responsabili del trattamento, descrivere anche le misure tecniche e organizzative specifiche che il (sub-)responsabile del trattamento deve prendere per essere in grado di fornire assistenza al titolare del trattamento

 Esempi di possibili misure:
-	misure di pseudonimizzazione e cifratura dei dati personali
-	misure per assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento
-	misure per assicurare la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico;
-	procedure per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento
-	misure di identificazione e autorizzazione dell'utente
-	misure di protezione dei dati durante la trasmissione, durante la conservazione, misure per garantire la sicurezza fisica dei luoghi in cui i dati personali sono trattati
-	misure per garantire la registrazione degli eventi
-	misure per garantire la configurazione del sistema, compresa la configurazione per impostazione predefinita
-	misure di informatica interna e di gestione e governance della sicurezza informatica
-	misure di certificazione/garanzia di processi e prodotti
-	misure per garantire la minimizzazione dei dati
-	misure per garantire la qualità dei dati
-	misure per garantire la conservazione limitata dei dati
-	misure per garantire la responsabilità
-	misure per consentire la portabilità dei dati e garantire la cancellazione

7.	Considerato il trattamento di dati di natura particolare sono applicate le seguenti ulteriori misure: 

3.	Obblighi del Titolare 
1	Il Titolare affida al Responsabile le operazioni di trattamento dei dati personali specificate all’articolo 2 e si impegna a comunicare per iscritto al Responsabile qualsiasi variazione si dovesse rendere necessaria nelle operazioni di trattamento dei dati e fornisce, prima dell’inizio del trattamento, le istruzioni documentate in ordine alle modalità del trattamento; ulteriori istruzioni possono essere fornite anche nel corso del trattamento laddove necessario.
2	Il Titolare dichiara che i dati personali che il Responsabile tratterà per suo conto: 
- sono esatti e aggiornati, acquisiti lecitamente, nonché pertinenti e non eccedenti rispetto alle finalità per le quali sono stati raccolti e successivamente trattati; resta inteso che rimane a carico del Titolare l’onere di individuare la base legale del trattamento dei dati personali degli interessati.
3	Il Titolare rimane responsabile del trattamento delle informazioni attuate tramite procedure applicative sviluppate secondo sue specifiche e/o attraverso propri strumenti informatici o di telecomunicazioni, fermo restando il rispetto da parte del responsabile delle istruzioni ricevute.

4.	Obblighi del responsabile
1.	Il responsabile adempie agli obblighi previsti dal Regolamento, dalla normativa nazionale in materia di protezione dei dati personali - compreso l'obbligo di tenere un registro di tutte le categorie di attività di trattamento ai sensi dell'articolo 30 del Regolamento – e attenersi alle linee guida e ai Provvedimenti dell’Autorità Garante per la protezione dei dati personali e, in particolare, alle misure di garanzia disposte dal Garante ai sensi dell’art. 2-septies del d.lgs. 196 del 2003;
2.	Il responsabile adotta misure tecniche e organizzative adeguate e comunque in conformità con l'articolo 5, lettera f, articolo 25 e articolo 32 del Regolamento per proteggere i dati personali da distruzione accidentale o illecita, perdita o danno accidentale, alterazione, divulgazione o accesso non autorizzati e da tutte le altre forme di trattamento non autorizzate e applica senza indebito ritardo adeguate misure di sicurezza e di mitigazione, in accordo con il Titolare, per limitare i potenziali effetti negativi di una violazione della sicurezza;
3.	Il responsabile è tenuto ad informare immediatamente il Titolare qualora ritenga che un'istruzione di trattamento violi le leggi applicabili, fornendo una motivazione adeguata; 
4.	Il responsabile concede l'accesso ai dati personali oggetto di trattamento ai suoi dipendenti soltanto nella misura strettamente necessaria per l'attuazione, la gestione e il controllo del contratto e vincola il proprio personale ad un adeguato obbligo di riservatezza che rimane in vigore anche dopo il termine delle attività di trattamento;
5.	Il responsabile istruisce e forma coloro che agiscono sotto la sua autorità e abbiano accesso ai dati    personali nell’esecuzione del presente accordo e implementa adeguati sistemi di profilazione ed autorizzazione all’accesso dei dati personali;
6.	Il responsabile del trattamento attua specifiche misure di minimizzazione dei dati e del trattamento;
7.	Il responsabile fornisce al Titolare la documentazione tecnica relativa alle procedure, eventualmente poste in essere, per testare e valutare l'efficacia delle misure tecniche e organizzative adottate.
8.	Il responsabile è tenuto a considerare nella fornitura dei prodotti e nello sviluppo dei servizi informatici richiesti le Misure obbligatorie richieste dalla normativa alle pubbliche amministrazioni. 

5.	Istruzioni del Titolare per il Responsabile del trattamento 
Il Responsabile del trattamento dei dati personali è tenuto a:  
a)	trattare i dati personali solo se necessario per fornire i Servizi e le operazioni delegate ed osservare le istruzioni del Titolare; 
b)	fornire riscontro tempestivamente a tutte le richieste del Titolare in merito al trattamento dei dati personali; 
c)	accertare che i dati personali trattati siano esatti, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono raccolti, verificando, per quanto di competenza, l’aggiornamento, la completezza e pertinenza del dato personale trattato, nel rispetto del principio di minimizzazione dei dati;
d)	custodire i dati personali in modo da garantirne la sicurezza contro i rischi di distruzione, perdita, anche accidentale, accesso non autorizzato o trattamento non consentito o non conforme alle finalità del trattamento; 
e)	non utilizzare/ridurre al minimo (selezionare un’opzione) l’utilizzo di supporti removibili e controllare periodicamente il contenuto dei supporti e procedere alla cancellazione dei contenuti obsoleti; 
f)	non creare banche dati senza espressa autorizzazione del Titolare del trattamento;
g)	curare la conservazione dei dati personali in conformità a quanto previsto dall’articolo 5 del Regolamento e, in generale, nel rispetto dei tempi e delle modalità indicate all’articolo 2 del presente accordo;
h)	identificare e designare i dipendenti autorizzati ad effettuare operazioni di trattamento sui dati personali, precisando l'ambito autorizzativo e provvedendo alla relativa formazione, fornendo le dovute istruzioni relativamente alle operazioni ed alle modalità di trattamento dei dati personali, e vigilando sulla puntuale applicazione; con riferimento ai collaboratori che prestano servizio con attività in smart working, il responsabile dovrà rispettare le raccomandazioni delle linee guida dell’Enisa e AgId, sia per le misure in capo al datore di lavoro e sia per le raccomandazioni in capo ai lavoratori e mettere in pratica le migliori prassi e istruire i propri collaboratori sulle migliori pratiche in merito l’utilizzo, in totale sicurezza, degli strumenti informatici.
i)	garantire l’accesso alla postazione e alle risorse di rete messe a disposizione dei propri autorizzati mediante credenziali di autenticazione assegnate e periodicamente modificate; le credenziali di autenticazione informatica devono essere individuali e non possono essere condivise; nell’assegnazione delle credenziali il responsabile dovrà attenersi alle buone pratiche per la generazione di password (non banali, robuste), usare password lunghe almeno 12 caratteri con un misto di lettere, numeri e segni di interpunzione – almeno 14 caratteri per gli amministratori di sistema;
j)	verificare periodicamente e, comunque, almeno annualmente, la sussistenza delle condizioni per la conservazione dei profili di autorizzazione dei dipendenti autorizzati e/o amministratori di sistema nominati; 
k)	individuare gli amministratori di sistema, ove necessario, e nominarli per iscritto adempiendo tutti i requisiti previsti dal Provvedimento del Garante Privacy del 27 novembre 2008 “Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema”, comunicarne i nominativi al Titolare e conservare gli estremi identificativi delle persone fisiche preposte alla mansione di amministratore di sistema e il registro delle attività dagli stessi poste in essere; 
l)	rispettare i divieti di comunicazione e diffusione dei dati personali secondo la vigente normativa e non divulgare o trasferire dati personali oggetto del presente accordo a terzi senza previa autorizzazione scritta del Titolare, eccetto laddove tale divulgazione o trasferimento siano consentiti o richiesti per legge, nel qual caso il Responsabile informerà comunque tempestivamente il Titolare per iscritto prima di adempiere a tali richieste di divulgazione; il Responsabile dovrà rispettare tutte le indicazioni del Titolare in relazione a tale divulgazione o trasferimento; 
m)	non trasferire i dati personali in un Paese terzo o organizzazione internazionale al di fuori dello Spazio Economico Europeo che non preveda un livello di protezione dei dati equivalente a quello dell'Unione Europea come riconosciuto da una decisione della Commissione Europea, senza previa autorizzazione scritta del Titolare; in ogni caso, il Responsabile collaborerà con il Titolare per assicurarsi che siano in vigore adeguate salvaguardie legali o contrattuali per tali trasferimenti internazionali in conformità alla legislazione applicabile; 
n)	informare tempestivamente il Titolare di eventuali ispezioni e misure adottate dalle Autorità di controllo, nella misura in cui incidano sulle operazioni di trattamento ai sensi del presente atto.
6.	Nomina sub-responsabili
1	Il Titolare autorizza il Responsabile del trattamento a nominare, sostituire o revocare sub-responsabili del trattamento previa comunicazione scritta. Il responsabile del trattamento informa specificamente per iscritto il titolare del trattamento di eventuali modifiche riguardanti l'aggiunta o la sostituzione di sub-responsabili del trattamento con un anticipo di almeno 30 giorni dando così al titolare del trattamento tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai sub-responsabili del trattamento. Il responsabile del trattamento fornisce al titolare del trattamento le informazioni necessarie per consentirgli di esercitare il diritto di opposizione. La nomina, sostituzione o revoca del sub-responsabile del trattamento si intenderà autorizzata in assenza di opposizione da parte del Titolare entro 30 giorni dalla comunicazione del Responsabile.
2	Qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento per l'esecuzione di specifiche attività di trattamento (per conto del responsabile del trattamento), stipula un contratto che impone al sub-responsabile del trattamento, nella sostanza, gli stessi obblighi in materia di protezione dei dati imposti al responsabile del trattamento. Il responsabile del trattamento si assicura che il sub-responsabile del trattamento rispetti gli obblighi cui il responsabile del trattamento è soggetto a norma del presente accordo clausole e del regolamento (UE) 2016/679.
3	Il responsabile del trattamento rimane pienamente responsabile nei confronti del titolare del trattamento dell'adempimento degli obblighi del sub-responsabile del trattamento derivanti dal contratto che questi ha stipulato con il responsabile del trattamento. Il responsabile del trattamento notifica al titolare del trattamento qualunque inadempimento, da parte del sub-responsabile del trattamento, degli obblighi contrattuali.  
4	Su richiesta, il Responsabile fornirà al Titolare tutte le informazioni rilevanti in merito agli obblighi dei sub-responsabili in relazione al presente articolo. 
5	Qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento per l'esecuzione di specifiche attività di trattamento (per conto del titolare del trattamento) e tali attività di trattamento comportino il trasferimento di dati personali ai sensi del capo V del Regolamento, il responsabile del trattamento e il sub-responsabile del trattamento possono garantire il rispetto del capo V del Regolamento utilizzando le clausole contrattuali tipo adottate dalla Commissione conformemente all'articolo 46, paragrafo 2, del Regolamento, purché le condizioni per l'uso di tali clausole contrattuali tipo siano soddisfatte.

6	Il Titolare con la sottoscrizione della presenta nomina dichiara di autorizzare fin d’ora i sub-responsabili indicati all’allegato 1.

7.	Violazione dei dati personali (cd. Data Breach)
1	Il Responsabile assiste il Titolare nell'obbligo di notificare la violazione all’Autorità Garante per la protezione dei dati personali e agli interessati, nella misura in cui il disponga di informazioni rilevanti per il Titolare al fine di adempiere ai propri obblighi di notifica; in caso di una violazione dei dati personali trattati dal responsabile del trattamento, quest'ultimo ne dà comunicazione al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza e secondo i termini e la procedura di data breach prevista dalle Direttive allegate alla Deliberazione della Giunta regionale n. 45/3 del 2023 e, in quanto compatibile, dall’allegato alla Deliberazione della Giunte regionale n. 51/3 del 2018.
2	Al fine di consentire al Titolare la valutazione della segnalazione, il responsabile fornisce una descrizione della natura della violazione dei dati personali, le categorie e il numero approssimativo di interessati coinvolti, nonché le categorie e il numero approssimativo di registrazioni dei dati in questione, l'impatto della violazione dei dati personali sul Titolare e sugli Interessati coinvolti e le misure adottate per mitigare i rischi, secondo il modello allegato 2 al presente accordo.  

8	Potere di controllo e diritto di audit del Titolare 
1.	II Titolare, al fine di dimostrare l’aderenza alle clausole sottoscritte con il presente atto vigilerà sulla puntuale osservanza degli obblighi e delle istruzioni impartite al Responsabile e monitora le operazioni di trattamento effettuate dal responsabili, verificando il perdurare dei requisiti che hanno influito sulla designazione del Responsabile. 
2.	Il Responsabile si impegna a consentire al Titolare l’esercizio del potere di controllo mettendo a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente atto di nomina, nonché consentire al Titolare di procedere a periodiche verifiche. La verifica può, tra l'altro, comportare richieste di informazioni o un'ispezione dei locali del Responsabile da parte del Titolare o di auditor incaricato.
3.	Gli audit presso il Responsabile dovranno svolgersi, previa richiesta formulata per iscritto con preavviso di almeno 10 giorni – salvo motivata urgenza -  con modalità che permettano il regolare svolgimento delle attività aziendali del Responsabile.

9	Ulteriori misure organizzative e tecniche richieste al responsabile del trattamento per assistere il Titolare 
1.	Il responsabile assiste il Titolare per garantire la conformità del trattamento a quanto richiesto dalla normativa in materia di protezione dei dati personali. A tal fine coopera con il Titolare per garantire che siano soddisfatti i criteri relativi al mantenimento dello stato dell’arte e notifica al titolare del trattamento qualunque modifica che possa compromettere l’efficacia delle misure adottate. 
2.	È richiesto al responsabile:
- di fornire assistenza al Titolare nel rispettare i suoi obblighi di trasparenza nei confronti degli interessati, quando il Responsabile del trattamento raccoglie dati personali direttamente dagli interessati per conto del Titolare;
- di informare tempestivamente il Titolare di qualsiasi comunicazione ricevuta dagli interessati in relazione all'esercizio dei loro diritti sui propri dati personali e rispettare le istruzioni del Titolare nel fornire riscontro a tali comunicazioni; Il Responsabile si impegna a collaborare con il Titolare nel rispondere alle richieste di esercizio dei diritti da parte degli interessati, ivi compresa l’implementazione (in accordo col Titolare) di strumenti e/o tecnologie idonei a garantire il riscontro alle eventuali richieste di accesso ai dati, copia, in caso di rettifica o cancellazione dei dati personali o limitazione del trattamento eventualmente richiesti dagli interessati;
- di supportare il Titolare fornendo le informazioni necessarie in ordine ai rischi noti o evidenziabili e alle misure tecniche e organizzative adottate o da adottare per mitigare tali rischi e partecipando alla procedura di valutazione, in caso di trattamenti per i quali è prevista la valutazione di impatto del trattamento, ai sensi dell’articolo 35 del Regolamento;
- di collaborare con il Titolare nel rispondere alle richieste del Garante per la protezione dei dati personali in caso di controlli ed accertamenti da parte dell'Autorità o nel caso di richiesta di chiarimenti a seguito di istruttorie avviate dall’Autorità.

10	Durata e Cessazione del trattamento 
1.	Il trattamento dei dati personali per conto del Titolare ha una durata pari a quella di esecuzione del Contratto indicata all’articolo 2 dell’accordo e in ogni caso non superiore al tempo necessario alle finalità per le quali i dati personali sono stati raccolti e trattati. 
2.	Al termine delle operazioni di trattamento affidate, nonché all’atto della cessazione per qualsiasi causa del trattamento da parte del Responsabile, lo stesso a discrezione del Titolare sarà tenuto a restituire al Titolare i dati personali oggetti del trattamento oppure provvedere alla loro integrale cancellazione, con esclusione della possibilità di conservare dati e informazioni anonimizzati, salvi i casi in cui la conservazione dei dati sia richiesta al responsabile da norme di legge od altri fini (contabili, fiscali, ecc.). In entrambi i casi il Responsabile provvederà a rilasciare per iscritto, entro trenta giorni dalla cessazione del trattamento, al Titolare apposita dichiarazione contenente l’attestazione che presso il Responsabile non esista alcuna copia dei dati personali e delle informazioni di titolarità del Titolare.
Il Titolare si riserva il diritto di effettuare controlli e verifiche volte ad accertare la veridicità della dichiarazione. 

11	Risoluzione dell’accordo
1.	Il Responsabile deve prontamente informare il Titolare in ordine alle circostanze che, per qualsiasi ragione, non gli consentano di adeguarsi alle prescrizioni indicate nel presente documento e si impegna a comunicare prontamente al Titolare eventuali situazioni sopravvenute che, per il mutare delle conoscenze acquisite in base al progresso tecnico o per qualsiasi altra ragione, possano incidere sulla propria idoneità allo svolgimento dell’incarico. 
2.	Nel caso in cui il Responsabile del Trattamento non abbia adempiuto a quanto previsto alle prescrizioni indicate nel presente documento e a agli obblighi comunque imposti al responsabile dalla normativa in materia di protezione dei dati personali, il Titolare può sospendere il trattamento in corso fino a che il Responsabile non si sia adeguato a tali disposizioni o, in caso di mancato adeguamento, procedere alla risoluzione del contratto. 
3.	Il Titolare è legittimato a risolvere il contratto anche nel caso in cui il Responsabile non si sia adeguato ad una pronuncia dell’Autorità giudiziale o ad un provvedimento dell’Autorità Garante per il trattamento dei dati personali in ordine al mancato adempimento dei propri obblighi previsti dal Regolamento.

12	Responsabilità
1.	Il Responsabile risponde per il danno causato dal trattamento nel caso in cui non abbia adempiuto gli obblighi del Regolamento specificatamente diretti ai responsabili del trattamento o nel caso abbia agito in modo difforme o contrario rispetto alle legittime istruzioni del Titolare del trattamento. Si rinvia all’articolo 82, paragrafi 4-5, del Regolamento in ordine alla responsabilità solidale di entrambe le parti coinvolte nel trattamento che abbia causato danni. 
2.	Fatti salvi gli articolo 82,83 e 84, nel caso in cui il responsabile, violando il Regolamento e il presente accordo, determini autonomamente le finalità e i mezzi del trattamento dei dati personali raccolti o trattati per conto del Titolare, è considerato quale Titolare del trattamento e ne risponderà direttamente dal punto di vista sanzionatorio. 
3.	Il Responsabile, con l’accettazione della presente nomina, si impegna a mantenere indenne il Titolare da qualsiasi responsabilità che possa derivare da pretese o azioni avanzate da terzi a seguito dell’eventuale illiceità o non correttezza delle operazioni di trattamento dei dati personali che sia imputabile a fatto, comportamento o omissione del Responsabile o dei sub-Responsabili (o di suoi dipendenti e/o collaboratori), ivi incluse le eventuali sanzioni che dovessero essere comminate ai sensi del Regolamento.

13 Comunicazioni
Le comunicazioni tra le parti, per quanto riguarda l’applicazione del presente accordo, dovranno essere indirizzate: 
- per il Responsabile del trattamento:
- per il Titolare del trattamento:

Disposizioni finali
Per quanto non espressamente previsto, si rinvia alle disposizioni generali vigenti in materia di protezione di dati personali. La designazione non prevede alcun compenso aggiuntivo a favore del Responsabile rispetto a quello già pattuito in contratto. Il Titolare può proporre al Responsabile ogni variazione del presente atto che sia ragionevolmente necessaria per adempiere agli obblighi derivanti dal Regolamento e dalle altre norme in materia di dati personali o per tenere conto delle clausole tipo e dei codici di condotta eventualmente adottati ai sensi, rispettivamente, dell’articolo 28, paragrafi 7 e 8, e dell’articolo 40 del Regolamento o ai fini delle certificazioni di cui all’articolo 42 del Regolamento. Resta inteso che il Titolare e il Responsabile negozieranno in buona fede le suddette proposte e il ristoro dei relativi oneri.
Il presente accordo è regolato dalla legge italiana e controversia relativa alla sua validità, efficacia e interpretazione è devoluta alla competenza esclusiva del Foro di Cagliari.

[Luogo], [Data]

Il Titolare
______________________

Il Responsabile
__________________________

Allegato 1 - Elenco dei sub-responsabili del trattamento (Il presente allegato deve essere compilato in caso di autorizzazione specifica di sub-responsabili del trattamento)

Il titolare del trattamento ha autorizzato il ricorso ai seguenti sub-responsabili del trattamento:
			
(Nome, ragione sociale)	Indirizzo - sede legale	Nome, qualifica e dati di contatto del referente	Descrizione del trattamento (Specificare la materia disciplinata, i dati trattati e le operazioni consentite e la durata del trattamento, compresa una chiara delimitazione delle responsabilità qualora siano autorizzati più sub- responsabili del trattamento)	Sede del trattamento (luogo in cui il trattamento è effettivamente eseguito)	

					

Allegato 2 – Scheda evento data breach

SCHEDA EVENTO	

CODICE		

Data evento e ora della violazione anche	solo	presunta		

Data e ora in cui si è avuta conoscenza della violazione		

Fonte della segnalazione		

Tipologia evento anomalo		

Descrizione evento anomalo		

Numero e categoria interessati coinvolti		

Numerosità dei dati personali di cui si presume la violazione		
Data e ora in cui la violazione, da presunta, è stata definita come accertata		

Luogo in cui è avvenuta la violazione dei dati (specificare se è avvenuta a seguito di smarrimento di dispositivi o di supporti portatili)		

Descrizione dei sistemi di elaborazione	e/o
memorizzazione dei dati coinvolti, con indicazione della loro ubicazione