Allegato sulle clausole contrattuali tipo di Cal.com
Allegato al Cal.com Data Processing Agreement v2.3 — Versione 1.0 — Data di entrata in vigore: 1 novembre 2026
Parte 1. Come si applicano le Clausole
1.1 Il presente Allegato completa le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi adottate dalla Decisione di esecuzione (UE) 2021/914 della Commissione europea del 4 giugno 2021 (le “SCC”), l’Addendum internazionale del Regno Unito per il trasferimento dei dati alle clausole contrattuali tipo della Commissione UE, versione B1.0, in vigore dal 21 marzo 2022 (l’“Addendum UK”), e le modifiche richieste dall’Incaricato federale svizzero della protezione dei dati e della trasparenza per i trasferimenti soggetti alla Legge federale svizzera sulla protezione dei dati (le “Modifiche svizzere”), ciascuno come incorporato dal §12.4 del Cal.com Data Processing Agreement (il “DPA”).
1.2 Il testo delle SCC è incorporato per riferimento esattamente come pubblicato nella Gazzetta ufficiale dell’Unione europea (GU L 199, 7.6.2021, pag. 31), disponibile all’indirizzo https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Clausole obbligatorie dell’Addendum approvato, ossia il modello di Addendum B.1.0 emanato dall’ICO e presentato al Parlamento ai sensi della s119A del Data Protection Act 2018 il 2 febbraio 2022, come modificato ai sensi della Sezione 18 di tali Clausole obbligatorie. Nessuno dei due testi è modificato, salvo tramite le opzioni, le scelte e gli Allegati consentiti dalle stesse SCC e dall’Addendum UK, come indicato nel presente Allegato.
1.3 Le SCC si applicano ai trasferimenti descritti nell’Allegato I.B che rientrano nel loro ambito consentito e richiedono tali garanzie perché nessun altro meccanismo valido di trasferimento ai sensi del DPA §12.2 copre il trasferimento. Si può fare affidamento su una decisione di adeguatezza valida e applicabile, inclusa una che riguardi la partecipazione di Cal.com al relativo Data Privacy Framework, per i trasferimenti che rientrano nel suo ambito. Gli obblighi esistenti delle SCC non si estinguono automaticamente; la risoluzione o la revoca devono rispettare le SCC e l’Addendum UK applicabili. I diritti maturati restano invariati.
1.4 Le Parti aderiscono alle SCC tramite la valida sottoscrizione dell’Allegato I.A completato, anche mediante una firma elettronica giuridicamente valida incorporata nell’Accordo o nel DPA. Il registro di sottoscrizione deve identificare le Parti, la versione applicabile dell’Allegato e la data di entrata in vigore. Su richiesta, Cal.com fornirà una copia della versione vincolante tra le Parti.
1.5 I termini definiti nel DPA hanno qui lo stesso significato. “Cliente” è l’esportatore dei dati e “Cal.com” è l’importatore dei dati. In caso di conflitto tra il presente Allegato e le SCC, prevalgono le SCC (DPA §12.4(j)); in caso di conflitto tra il presente Allegato e il DPA su un punto che le SCC lasciano alle Parti, prevale il presente Allegato.
Parte 2. Moduli, opzioni e scelte
| Clausola | Scelta | Base nel DPA |
|---|---|---|
| Modulo | Modulo Due (da titolare a responsabile) quando il Cliente è Titolare del trattamento dei Dati personali del Cliente. Modulo Tre (da responsabile a responsabile) quando il Cliente è a sua volta un Responsabile del trattamento che agisce per un Titolare del trattamento terzo. Si applicano solo le clausole del Modulo applicabile. | §12.4(a) |
| Clausola 7 — Clausola di adesione | Si applica. Un’entità può aderire come esportatore dei dati o importatore dei dati con il consenso delle Parti compilando l’Appendice e firmando l’Allegato I.A. | §12.4(b) |
| Clausola 8.1 (Modulo Tre) — Istruzioni | Il Cliente garantisce di detenere l’autorità e le istruzioni di ciascun Titolare del trattamento necessarie per nominare Cal.com ai sensi del Modulo Tre e per trasmettere tali istruzioni. Le istruzioni sono gestite in conformità alla Clausola 8.1 del Modulo Tre, incluse le istruzioni del Titolare del trattamento comunicate tramite il Cliente e ogni ulteriore istruzione documentata consentita da tale Clausola. | §12.4(a), §3 |
| Clausola 8.5 — Durata del trattamento e cancellazione | Il trattamento prosegue per la durata indicata nell’Allegato I.B. Al termine dei servizi di trattamento, il Cliente può scegliere la restituzione dei dati personali seguita dalla cancellazione delle copie esistenti, oppure la cancellazione con certificazione al Cliente, come richiesto dalla Clausola 8.5. Il DPA §10 si applica solo nella misura coerente con tale Clausola. La protezione continua fino al completamento della restituzione o della cancellazione; la conservazione richiesta per legge è disciplinata dalla Clausola 8.5. | §10 |
| Clausola 8.6 — Sicurezza | Le misure tecniche e organizzative sono quelle indicate nell’Allegato II. La notifica di una violazione dei dati personali segue il DPA §8. | §5, §8 |
| Clausola 8.9 — Documentazione e conformità (audit) | I diritti di audit sono esercitati come descritto nel DPA §11 (prima informazioni e report di conformità, poi audit in loco o da remoto quando questi sono insufficienti o un’autorità di controllo lo richiede). Questo descrive come viene esercitato il diritto di audit previsto dalla Clausola 8.9 e non lo limita. | §11 |
| Clausola 9(a) — Uso di sub-responsabili | Opzione 2: autorizzazione generale scritta. Periodo di preavviso: preavviso scritto prima che un Sub-responsabile nuovo o sostitutivo inizi il trattamento, fornito il prima ragionevolmente possibile in modo che l’esportatore dei dati abbia tempo sufficiente per opporsi (DPA §6.3). Le Parti concordano che questo è il periodo di tempo ai fini della Clausola 9(a). L’elenco dei Sub-responsabili è l’Elenco dei Sub-responsabili aggiornato su trust.cal.com, indicato nell’Allegato III. Il diritto di opposizione del Cliente è disciplinato dal DPA §6.4. | §12.4©, §6.3–6.4 |
| Clausola 11(a) — Ricorso | La formulazione facoltativa relativa all’organismo indipendente di risoluzione delle controversie non si applica. Gli interessati possono presentare reclami a Cal.com all’indirizzo [email protected], all’autorità di controllo competente e dinanzi ai tribunali ai sensi della Clausola 18. | §12.4(d) |
| Clausola 13 — Supervisione | L’autorità di controllo competente è determinata ai sensi della Clausola 13(a), come indicato nell’Allegato I.C. | §12.4(e) |
| Clausola 15 — Accesso da parte delle autorità pubbliche | Le Clausole 15.1 e 15.2 disciplinano l’accesso delle autorità pubbliche ai dati personali trasferiti ai sensi delle SCC. Il DPA §13.1 conferma la conformità di Cal.com a tali Clausole e non le limita. | §13.1 |
| Clausola 17 — Legge applicabile | Opzione 1. Le SCC sono disciplinate dalla legge irlandese. | §12.4(f) |
| Clausola 18(b) — Foro | I tribunali dell’Irlanda. La Clausola 18© (diritto dell’interessato di agire nello Stato membro di residenza abituale) resta impregiudicata. | §12.4(f) |
| Responsabilità (Clausola 12) | Nulla nel DPA o nell’Accordo limita la responsabilità di una delle Parti nei confronti degli interessati ai sensi delle SCC (DPA §15). Le limitazioni di responsabilità previste dall’Accordo non escludono né limitano la responsabilità disciplinata dalla Clausola 12 delle SCC. La responsabilità per altri reclami resta disciplinata dall’Accordo, fatta salva la legge imperativa applicabile. | §15 |
Parte 3. Allegato I
A. Elenco delle Parti
Esportatore di dati
| Voce | Dettagli |
|---|---|
| Nome | Il Cliente identificato nell’Accordo (l’entità o la persona titolare dell’account Cal.com) |
| Indirizzo | Come registrato nell’account Cal.com del Cliente o nel Modulo d’ordine |
| Contatto | Il nome, il ruolo e i recapiti della persona di contatto registrati nell’Accordo, nel Modulo d’ordine o nell’account del Cliente e incorporati nel presente Allegato. |
| Attività rilevanti per il trasferimento | Utilizzo dei Servizi Cal.com per offrire, programmare, gestire e tenere riunioni e comunicazioni correlate con gli utenti del Cliente, i partecipanti alle riunioni e altri Interessati descritti nell’Allegato I.B |
| Ruolo | Modulo Due: titolare del trattamento. Modulo Tre: responsabile del trattamento (che agisce per conto dei Titolari del trattamento che impartiscono istruzioni al Cliente) |
| Firma e data | Come registrato nel record di esecuzione che incorpora l’Allegato I.A completato ai sensi della Parte 1.4 |
Importatore di dati
| Voce | Dettagli |
|---|---|
| Nome | Cal.com, Inc. |
| Indirizzo | 2261 Market Street #4382, San Francisco, CA 94114, United States |
| Contatto | Felix Kolodziej, Responsabile della sicurezza delle informazioni (ISO), [email protected] (Alla c.a.: Privacy) |
| Attività rilevanti per il trasferimento | Fornitura, gestione, supporto, manutenzione, sicurezza e miglioramento dei Servizi Cal.com come descritti nell’Allegato I.B |
| Ruolo | Responsabile del trattamento (Modulo Due); sub-responsabile per il Cliente in qualità di responsabile del trattamento (Modulo Tre) |
| Firma e data | Come registrato nel record di esecuzione che incorpora l’Allegato I.A completato ai sensi della Parte 1.4 |
B. Descrizione del trasferimento
| Voce | Dettagli |
|---|---|
| Categorie di interessati | Utenti, amministratori, dipendenti e collaboratori del Cliente; potenziali clienti, clienti e altri contatti del Cliente; partecipanti alle riunioni, persone che prenotano e ospiti; e altri individui i cui dati personali il Cliente o i suoi Utenti autorizzati inviano ai Servizi (DPA Allegato 1) |
| Categorie di dati personali | Dati di account e profilo; dati sulla disponibilità; nomi, indirizzi email, numeri di telefono; dati di prenotazione, inclusi titoli, descrizioni, orari, luoghi, note, elenchi di ospiti, risposte alle domande di prenotazione e motivi di riprogrammazione o cancellazione delle riunioni; dati di supporto; dati tecnici come indirizzo IP, dati del dispositivo e del browser e log di utilizzo; e altri dati personali che il Cliente sceglie di inviare tramite i Servizi |
| Dati sensibili | Non sono richieste categorie particolari di dati personali per utilizzare i Servizi. Il Cliente può inviarle solo tramite i campi che configura (per esempio domande di prenotazione); in tal caso, si applicano le misure dell’Allegato II. Il Cliente è responsabile di stabilire la base giuridica richiesta e qualsiasi condizione applicabile al trattamento di categorie particolari di dati personali. Le Informazioni sanitarie protette che richiedono un Business Associate Agreement possono essere inviate solo in base a un BAA sottoscritto che copra i Servizi pertinenti. L’autorizzazione prevista altrove nell’Accordo non sostituisce un BAA richiesto |
| Frequenza del trasferimento | Continua, per la durata dell’Accordo |
| Natura del trattamento | Raccolta, archiviazione, organizzazione, recupero, consultazione, utilizzo, trasmissione su istruzione del Cliente, supporto, monitoraggio della sicurezza, backup, ripristino, cancellazione e altri trattamenti necessari per fornire i Servizi |
| Finalità del trasferimento e del trattamento successivo | Fornire al Cliente funzionalità di pianificazione, prenotazione, account, comunicazione, video, integrazione, supporto e funzionalità di prodotto correlate, in conformità all’Accordo e alle istruzioni documentate del Cliente |
| Periodo di conservazione | Per la durata dei servizi di trattamento e successivamente solo nella misura necessaria per completare la restituzione o cancellazione richiesta dalla Clausola 8.5, oppure per la conservazione richiesta dalla legge come consentito da tale Clausola. Informazioni sulla conservazione: almeno 30 giorni per l’esportazione dopo la cessazione (DPA §10.2); cancellazione normalmente entro 90 giorni dopo tale periodo (DPA §10.3); copie di backup eliminate secondo il normale programma di conservazione dei backup di Cal.com e protette fino ad allora (DPA §10.4) |
| Trasferimenti a (sub-)responsabili del trattamento | Oggetto, natura e durata: i Subresponsabili indicati nell’Elenco dei Subresponsabili all’indirizzo trust.cal.com (Allegato III) trattano i Dati personali del Cliente per le finalità ivi indicate (hosting e archiviazione, distribuzione dei contenuti, invio di email e SMS, video, pagamenti, strumenti di supporto, analytics di prodotto, funzionalità AI e operazioni interne), per la durata di Cal.com - incarico di ciascun Sub-responsabile durante la durata dell’Accordo |
C. Autorità di controllo competente
| Situazione | Autorità di controllo competente |
|---|---|
| Il Cliente è stabilito in uno Stato membro del SEE | L’autorità di controllo di tale Stato membro (Clausola 13(a), primo paragrafo) |
| Il Cliente non è stabilito nel SEE ma ha un rappresentante ai sensi dell’articolo 27(1) GDPR | L’autorità di controllo dello Stato membro in cui è stabilito il rappresentante |
| Il Cliente non è stabilito nel SEE, è soggetto all’articolo 3(2) GDPR ed è esentato dalla nomina di un rappresentante ai sensi dell’articolo 27(2) GDPR | L’autorità di controllo dello Stato membro in cui si trovano gli interessati i cui dati sono trasferiti, come determinato ai sensi della Clausola 13(a), terzo paragrafo |
| Trasferimenti soggetti al GDPR del Regno Unito | L’Information Commissioner del Regno Unito (vedi Parte 6) |
| Trasferimenti soggetti alla FADP svizzera | L’Incaricato federale svizzero della protezione dei dati e della trasparenza (vedi Parte 7) |
L’autorità di controllo competente specifica determinata ai sensi della Clausola 13(a) è identificata nelle informazioni specifiche del Cliente incorporate nel presente Allegato.
Parte 4. Allegato II — Misure tecniche e organizzative
Il presente Allegato descrive le misure Cal.com implementa ai sensi del DPA §5 e della Clausola 8.6. È strutturato secondo le intestazioni dell’Allegato II delle SCC. Cal.com può aggiornare queste misure ai sensi del DPA §5.3, purché la sicurezza complessiva dei Servizi non sia sostanzialmente ridotta. Cal.com mette a disposizione il proprio inventario dei controlli e i report di audit indipendenti all’indirizzo trust.cal.com; le misure di seguito, non l’inventario dei controlli, costituiscono la descrizione contrattuale ai fini della Clausola 8.6.
| Area | Misure |
|---|---|
| Pseudonimizzazione e crittografia | Crittografia in transito tramite TLS per le connessioni ai Servizi. Crittografia a riposo per il database di produzione (Amazon RDS, chiavi gestite in AWS KMS), i relativi backup e lo storage di oggetti, usando la crittografia gestita dal provider di hosting (AES-256). I controlli di crittografia propri dei Sub-responsabili sono valutati nell’ambito della valutazione del rischio dei fornitori descritta sotto |
| Riservatezza, integrità, disponibilità e resilienza | Controllo degli accessi basato sui ruoli e privilegio minimo per i sistemi di produzione; single sign-on e autenticazione a più fattori per l’accesso del personale ai sistemi di produzione e amministrativi; separazione degli ambienti di produzione, staging e sviluppo; protezione DDoS e web application firewall al perimetro di rete |
| Capacità di ripristinare disponibilità e accesso dopo un incidente | Backup giornalieri automatizzati dei database di produzione con ripristino point-in-time, crittografati e con accesso limitato; procedure di ripristino documentate e testate periodicamente; piano di risposta agli incidenti con ruoli, livelli di gravità e passaggi di comunicazione definiti, inclusa la notifica al Cliente ai sensi del DPA §8 |
| Test, valutazione e verifica regolari | Penetration test indipendenti di terze parti sull’ambiente di produzione, eseguiti periodicamente; scansione automatizzata delle vulnerabilità; monitoraggio della conformità rispetto ai set di controlli ISO 27001 e SOC 2 tramite la piattaforma di compliance di Cal.com; report di audit indipendenti disponibili per i Clienti sotto NDA tramite trust.cal.com; revisione delle modifiche al codice prima del deployment |
| Identificazione e autorizzazione degli utenti | Account univoci per tutto il personale; MFA applicata per l’accesso a produzione, console cloud e repository di codice; accesso concesso in base alla necessità di sapere e revisionato almeno trimestralmente; accesso revocato in caso di cambio di ruolo o uscita nell’ambito del processo di offboarding |
| Protezione dei dati durante la trasmissione | Crittografia in transito per i dati inviati ai Servizi e ricevuti dai Servizi; chiavi API per le integrazioni del Cliente; payload dei webhook firmati quando il Cliente configura un segreto webhook; integrazioni di calendario, video e altre integrazioni di terze parti usano OAuth o credenziali emesse dal provider |
| Protezione dei dati durante l’archiviazione | Crittografia a riposo come sopra; accesso al database limitato ai servizi applicativi e a ingegneri nominativi tramite canali auditati; nessun dato di produzione negli ambienti di sviluppo o test, salvo dati pseudonimizzati o sintetici |
| Sicurezza fisica dei luoghi di trattamento | Cal.com non gestisce data center propri. La sicurezza fisica è fornita dai Sub-responsabili di hosting (AWS e Vercel), i cui servizi pertinenti sono coperti da report SOC 2 Type II e certificazioni ISO 27001 nei rispettivi ambiti di assurance |
| Log degli eventi | Logging centralizzato di eventi applicativi, infrastrutturali e amministrativi; log dei server infrastrutturali conservati per 365 giorni per indagini di sicurezza; logging di audit delle prenotazioni a livello applicativo per le organizzazioni in cui l’audit delle prenotazioni è abilitato |
| Configurazione del sistema, inclusa la configurazione predefinita | Gestione delle modifiche ai sensi dei controlli ISO 27001 e SOC 2 di Cal.comcontrolli ISO 27001 e SOC 2: le modifiche alla produzione vengono esaminate e superano controlli automatici prima del deployment |
| Governance e gestione dell’IT interno e della sicurezza IT | Policy di sicurezza delle informazioni approvate dalla direzione e revisionate annualmente; un responsabile designato per sicurezza e compliance; formazione sulla consapevolezza della sicurezza per tutto il personale all’assunzione e poi annualmente; impegni di riservatezza per tutto il personale con accesso ai Dati personali del Cliente (DPA §4); valutazione del rischio dei fornitori prima di incaricare un Sub-responsabile |
| Certificazione e assurance di processi e prodotti | Certificazione ISO/IEC 27001:2022 (certificato n. 122217, Prescient Security LLC, valida fino al 30 ottobre 2028, soggetta ad audit di sorveglianza annuali; ambito: il sistema di gestione della sicurezza delle informazioni a supporto della piattaforma di pianificazione Cal.com, inclusa l’infrastruttura ospitata su AWS); report SOC 2 Type II sui criteri di Sicurezza (periodo più recente dal 21 novembre 2024 al 30 aprile 2026, Prescient Assurance LLC); entrambi disponibili per i Clienti sotto NDA tramite trust.cal.com; mappatura dei controlli HIPAA mantenuta per i Clienti BAA |
| Minimizzazione dei dati | Il Cliente può configurare domande e campi della prenotazione tramite le funzionalità disponibili dei Servizi. I dati raccolti dipendono dai campi selezionati, dalle funzionalità abilitate e dalle integrazioni. |
| Qualità dei dati | Gli utenti possono visualizzare e correggere i dati tramite le funzionalità disponibili per il loro ruolo. Cal.com assiste il Cliente con altre richieste di rettifica applicabili ai sensi del DPA §7. |
| Conservazione limitata dei dati | Cancellazione e restituzione ai sensi del DPA §10; cancellazione avviata dal Cliente di prenotazioni e dati dei partecipanti tramite i Servizi; registrazioni e trascrizioni di Cal Video archiviate in storage di oggetti controllato da Cal.com e cancellate quando il Cliente le cancella o cancella la prenotazione, oppure su richiesta; le registrazioni da stanze cal.video standalone vengono cancellate automaticamente secondo il piano di conservazione di Cal.com; i backup vengono eliminati secondo il normale piano di conservazione dei backup |
| Responsabilità | Registri delle attività di trattamento e degli incarichi dei Sub-responsabili; registro documentato degli incidenti e delle violazioni; certificazione di cancellazione e informazioni sulla conformità fornite come richiesto dalle Clausole 8.5 e 8.9 |
| Portabilità e cancellazione dei dati | Esportazione tramite i Servizi disponibili o funzionalità API; ogni altra restituzione richiesta dei dati personali è gestita ai sensi della Clausola 8.5 e del DPA §10 nella misura coerente con tale Clausola; cancellazione di account e dati su richiesta del Cliente; certificazione di cancellazione al Cliente come richiesto dalla Clausola 8.5 |
| Misure di assistenza al titolare del trattamento | Strumenti e processi per aiutare il Cliente a rispondere alle richieste degli Interessati (DPA §7), a condurre DPIA (DPA §9) e a ottenere informazioni sulla conformità e report di audit (DPA §11) |
| Misure imposte ai Sub-responsabili | Ciascun Sub-responsabile è vincolato da un accordo scritto che impone obblighi di protezione dei dati non meno protettivi del DPA e delle SCCs, incluse garanzie per i trasferimenti successivi (DPA §6.5); i Sub-responsabili sono valutati prima dell'incarico e monitorati; il Cliente riceve preventiva comunicazione scritta di Sub-responsabili nuovi o sostitutivi e può opporsi (DPA §6.3–6.4) |
Parte 5. Allegato III — Elenco dei Sub-responsabili
L'elenco autorevole e aggiornato dei Sub-responsabili, inclusi nomi delle entità, sedi e finalità, è pubblicato su trust.cal.com ed è aggiornato conformemente al DPA §6.3. Cal.com fornisce la comunicazione scritta richiesta dalla Clausola 9(a), usando un metodo elettronico documentato ai sensi del DPA §6.3, prima dell'aggiunta o sostituzione di un Sub-responsabile per il trattamento pertinente. Ai fini della Clausola 9(a), ai sensi del Modulo Due, il Cliente concede a Cal.com l'autorizzazione generale scritta a incaricare Sub-responsabili inclusi nell'elenco concordato su trust.cal.com alla data in cui le SCCs producono effetto tra le Parti. Ai sensi del Modulo Tre, l'incarico di tali Sub-responsabili richiede l'autorizzazione generale scritta del relativo Titolare. Aggiunte o sostituzioni sono soggette alla Clausola 9(a) e al DPA §6.3–6.4 nella misura coerente con tale Clausola.
Poiché si applica l'Opzione 2 della Clausola 9(a), il presente Allegato non riproduce l'elenco.
L'Elenco dei Sub-responsabili identifica i luoghi di trattamento pertinenti per i Dati personali del Cliente. Il paese di costituzione di un Sub-responsabile non è una dichiarazione sul luogo in cui tratta i dati. Le modifiche restano soggette ai requisiti applicabili di comunicazione e autorizzazione. I fornitori usati solo per le finalità proprie di Cal.com non sono Sub-responsabili e non sono elencati: strumenti di analisi e pubblicità del sito marketing (Google Analytics/GTM, X Ads), quelli che Cal.com usa per il proprio CRM (HubSpot) e le app che il Cliente collega al proprio account di terze parti (Zapier, Dub, Close.com, app GA4/GTM), per le quali il Cliente è il titolare che impartisce istruzioni direttamente a quel fornitore.
Parte 6. Addendum per il Regno Unito — tabelle completate
Tabella 1: Parti. Data di inizio: la data in cui le SCCs producono effetto tra le Parti ai sensi della Parte 1.4. Esportatore e Importatore: come identificati nell'Allegato I.A, integrati dalla denominazione commerciale di ciascuna Parte se diversa, dall'indirizzo registrato o dall'indirizzo principale applicabile, e dall'eventuale numero di registrazione ufficiale. Contatti chiave: la qualifica e i recapiti registrati per ciascuna Parte. Esecuzione: in conformità alla sezione 2 dell'Addendum per il Regno Unito e al relativo registro di esecuzione.
Tabella 2: SCCs selezionate, Moduli e Clausole selezionate. Le SCCs UE approvate, incluse le Informazioni dell'Appendice, come completate dal presente Allegato: Modulo Due o Modulo Tre, come applicabile ai sensi della Parte 2; si applica la Clausola 7; il linguaggio opzionale della Clausola 11 non si applica; Clausola 9(a) Opzione 2 con il periodo di preavviso indicato nella Parte 2 (DPA §6.3); Clausole 17 e 18 come nella Parte 2, soggette alla sezione 15 dell'Addendum per il Regno Unito (che sostituisce le leggi e i tribunali di Inghilterra e Galles per le materie disciplinate dall'Addendum per il Regno Unito). Clausola di adesione: si applica. I dati personali ricevuti dall'importatore sono combinati con dati personali raccolti dall'esportatore? No.
Tabella 3: Informazioni dell'Appendice. Allegato 1A: come nella Parte 3.A. Allegato 1B: come nella Parte 3.B. Allegato II: come nella Parte 4. Allegato III: come nella Parte 5.
Tabella 4: Cessazione del presente Addendum quando l'Addendum approvato cambia. L'Importatore può risolvere l'Addendum per il Regno Unito come previsto nella sezione 19 dello stesso.
Per i trasferimenti dal Regno Unito, i riferimenti nelle SCCs al GDPR, al diritto degli Stati membri e all'autorità di controllo si leggono come indicato nell'Addendum per il Regno Unito; l'autorità di controllo competente è l'Information Commissioner del Regno Unito.
Parte 7. Modifiche svizzere
Per i trasferimenti soggetti alla Legge federale svizzera sulla protezione dei dati (“FADP”):
(a) i riferimenti al GDPR si leggono come riferimenti al FADP, e i riferimenti al diritto UE o degli Stati membri in materia di protezione dei dati come riferimenti al corrispondente diritto svizzero in materia di protezione dei dati, senza modificare la legge applicabile e il foro contrattualmente scelti nel paragrafo (d), nella misura in cui il trasferimento sia soggetto esclusivamente al FADP; quando un trasferimento è soggetto sia al GDPR sia al FADP, le SCCs si applicano in parallelo ai sensi di entrambi;
(b) l'Incaricato federale svizzero della protezione dei dati e della trasparenza è competente per i trasferimenti disciplinati dal FADP; quando si applica anche il GDPR, resta competente l'autorità individuata ai sensi della Clausola 13 per le materie relative al GDPR;
© il termine “Stato membro” non è interpretato in modo da escludere gli interessati in Svizzera dall'agire in giudizio per i propri diritti nel loro luogo di residenza abituale in Svizzera ai sensi della Clausola 18©;
(d) la legge applicabile e il foro ai sensi delle Clausole 17 e 18 restano quelli della Parte 2, salvo quanto diversamente richiesto da norme imperative del diritto svizzero.
Parte 8. Dettagli del Modulo Tre
Quando il Cliente agisce come Responsabile del trattamento per un Titolare terzo:
(a) il Cliente conferma che il Titolare ha autorizzato l'incarico di Cal.com come sub-responsabile e il trasferimento ai sensi delle SCCs, e che il Cliente trasmetterà le istruzioni del Titolare, incluse quelle relative alle richieste degli interessati, alla cancellazione e agli audit, tramite i canali previsti dal DPA;
(b) Le notifiche devono raggiungere i destinatari richiesti da ciascuna disposizione applicabile delle SCCs. Il Cliente inoltrerà le notifiche quando le SCCs gli assegnano tale responsabilità. Cal.com notificherà direttamente il Titolare quando le SCCs lo richiedono, anche ai sensi della Clausola 8.6© ove appropriato e fattibile. Qualsiasi accordo di notifica autorizzato tramite il Cliente deve preservare i diritti del Titolare e le tempistiche richieste dalle SCCs.
© Il Cliente manleva Cal.com da pretese avanzate dal Titolare derivanti dalla mancanza di autorità del Cliente o da istruzioni che Cal.com riceve tramite il Cliente (DPA §12.4(a)). Questa manleva non limita gli obblighi o la responsabilità di Cal.com ai sensi delle SCCs.