Couchbase Capella Cloud Trattamento dei dati del cliente Addendum

Il presente Addendum sul trattamento dei dati (il presente "DPA”) fa parte del Contratto di Abbonamento al Servizio Cloud di Capella, o di altro accordo tra il Cliente e Couchbase che disciplina l'utilizzo del Servizio Cloud da parte del Cliente (“Accordo"), tra Couchbase, Inc. ("Couchbase") e la parte identificata come "Cliente" nell'Accordo ("Cliente") (ciascuno un "Partito" e, insieme, il "Parti").

Il presente DPA descrive gli impegni delle Parti in merito al trattamento dei Dati Personali in relazione all'utilizzo del Servizio Cloud da parte del Cliente. In caso di conflitto tra i termini del Contratto e i termini del presente DPA, i termini del presente DPA prevarranno nella misura di tale conflitto. Qualsiasi termine in maiuscolo non definito nel presente DPA avrà il significato attribuitogli nel Contratto.

Le Parti concordano quanto segue:

1. Definizioni. I seguenti termini in maiuscolo, quando utilizzati nel presente DPA, avranno il significato corrispondente fornito di seguito:

a. "Leggi sulla protezione dei dati applicabili” significa tutte le leggi, i regolamenti, le regole, le ordinanze e altri decreti mondiali sulla privacy e sulla protezione dei dati applicabili ai Dati Personali, tra cui (ma non solo): (i) le Leggi sulla Protezione dei Dati Europee; e (ii) tutte le leggi e i regolamenti degli Stati Uniti, incluso il California Consumer Privacy Act del 2018 (California Civil Code §§ 1798.100 et seq (“CCPA”); come possono essere modificati, sostituiti o succeduti.

b. "Dati del cliente" indica qualsiasi Dato Personale trattato da Couchbase per conto del Cliente in qualità di fornitore di servizi o di incaricato del trattamento (a seconda dei casi) in relazione al Servizio Cloud, come più in particolare descritto nell'Allegato A della presente DPA.

c. "SEE" indica gli Stati membri dell'Unione europea, più l'Islanda, il Liechtenstein e la Norvegia.

d. "Leggi europee sulla protezione dei dati” means: (i) Regulation 2016/679 of the European Parliament and of the Council on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (General Data Protection Regulation) (“GDPR"); (ii) la Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche ("Direttiva e-Privacy"); (iii) qualsiasi implementazione nazionale applicabile di (i) e (ii); (iv) la Legge federale svizzera sulla protezione dei dati del 19 giugno 1992 e la relativa Ordinanza ("L'FDPA svizzero”); e (v) per quanto riguarda il Regno Unito, il Data Protection Act 2018 e qualsiasi legislazione nazionale applicabile che sostituisca o converta nel diritto interno il GDPR, la direttiva e-Privacy o qualsiasi altra legge relativa ai dati e alla privacy a seguito dell'uscita del Regno Unito dall'Unione Europea; in ciascun caso, come modificata, sostituita o rimpiazzata.

e. "Clausole modello” indica, a seconda delle circostanze specifiche di ogni singolo Cliente, uno dei seguenti elementi: (i) le clausole contrattuali standard per gli incaricati del trattamento approvate dalla Commissione europea ai sensi della sua decisione 2021/914 (le “Clausole Contrattuali Standard 2021”) e (ii) le Clausole Contrattuali Standard del Regno Unito, ciascuna riferita alternativamente come Clausole Contrattuali Standard, incorporate per riferimento e facenti parte del presente DPA.

f. "Dati personali” si intende qualsiasi informazione che si riferisca a una persona fisica identificata o identificabile e che sia protetta come “dati personali“, “informazioni personali” o “informazioni personalmente identificabili”ai sensi delle leggi applicabili in materia di protezione dei dati.

g. "Incidente di sicurezza” means any breach of security that leads to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of or access to Customer Data transmitted, stored or otherwise processed by Couchbase and/or its Sub-processors in connection with the provision of the Cloud Service. The Parties acknowledge and agree that “Security Incident” shall not include unsuccessful attempts or activities that do not compromise the security of Customer Data, including unsuccessful log-in attempts, pings, port scans, denial of service attacks, and other network attacks on firewalls or networked systems.

h. "Sottoprocessore” means any processor engaged by Couchbase or its Affiliates to assist in fulfilling its obligations with respect to providing the Cloud Service pursuant to the Agreement or this DPA. Sub-processors may include third parties or Couchbase Affiliates but shall exclude any Couchbase employee, contractor or consultant.

i. “Clausole contrattuali standard del Regno Unito” means (i) standard contractual clauses for data controller to data processor transfers approved by the European Commission in  decision 2010/87/EU (“SCC del Controllore del Regno Unito al Processore”); e (ii) clausole contrattuali standard per i trasferimenti dal titolare del trattamento al titolare del trattamento approvate dalla Commissione europea con decisione 2004/915/CE (“Allegati standard contrattuali Controller-Controller del Regno Unito").

j. I termini “controllore", "processore" e "elaborazione" hanno il significato loro attribuito nel GDPR, e "processo", "processi" e "elaborato" devono essere interpretati di conseguenza; e i termini "attività commerciale", "fornitore di servizi" e "vendere" hanno il significato loro attribuito nel CCPA.

2. Ruolo e ambito dell'elaborazione

a. Ambito di applicazione. Fatta salva la Sezione 2(b), la presente DPA si applica nella misura in cui Couchbase elabora come processore o fornitore di servizi (a seconda dei casi) qualsiasi Dato del Cliente protetto dalle Leggi Applicabili sulla Protezione dei Dati.

b. Ruolo delle parti. The parties acknowledge and agree that (i) with respect to the processing of Customer Data, Customer is the relevant business, controller or processor (as applicable) of such  Customer Data, and Couchbase is a service provider, processor or subprocessor (as applicable) on behalf of Customer, as further described in Annex A of this DPA; and (ii) with respect to Personal Data included in any technical usage data Couchbase collects in connection with Customer’s use of the Cloud Service (“Dati di utilizzo"), Couchbase è l'azienda pertinente o il responsabile del trattamento dei Dati di Utilizzo e tratterà i Dati di Utilizzo in conformità con l'informativa sulla privacy di Couchbase disponibile all'indirizzo https://www.couchbase.com/privacy-policy. Ciascuna Parte rispetterà tutte le leggi, le norme e i regolamenti ad essa applicabili e vincolanti per l'esecuzione del presente DPA, comprese le Leggi applicabili in materia di protezione dei dati. Per quanto riguarda i Dati di Utilizzo, Couchbase tratterà tali dati in conformità alle sole Sezioni 8(a)(iii) e (iv), nella misura applicabile.

c. Trattamento dei dati personali da parte di Couchbase. Couchbase accetta di trattare i Dati del Cliente solo per le finalità descritte nella DPA e in conformità alle istruzioni lecite e documentate del Cliente. Le parti convengono che il Contratto (compreso il presente DPA) contiene le istruzioni complete e definitive del Cliente a Couchbase in relazione al trattamento dei Dati del Cliente e il trattamento al di fuori dell'ambito di tali istruzioni (se del caso) richiederà un previo accordo scritto tra il Cliente e Couchbase. Fatta salva la Sezione 2(d) (Responsabilità del Cliente), Couchbase notificherà per iscritto al Cliente, a meno che ciò non sia vietato dalle Leggi Applicabili sulla Protezione dei Dati, e potrà sospendere il trattamento dei Dati del Cliente, qualora venga a conoscenza o ritenga che qualsiasi istruzione di trattamento dei dati da parte del Cliente violi le Leggi Applicabili sulla Protezione dei Dati.

d. Responsabilità del cliente. Il Cliente è responsabile della liceità del trattamento dei Dati del Cliente ai sensi del Contratto o in relazione ad esso. Il Cliente dichiara e garantisce che (i) ha fornito, e continuerà a fornire, tutte le notifiche e ha ottenuto, e continuerà ad ottenere, tutti i consensi, i permessi e i diritti necessari ai sensi delle Leggi Applicabili sulla Protezione dei Dati per consentire a Couchbase di trattare legittimamente i Dati del Cliente per le finalità contemplate dal Contratto (incluso il presente DPA); (ii) ha rispettato tutte le Leggi Applicabili sulla Protezione dei Dati in qualità di controllore e/o azienda dei Dati del Cliente per la raccolta e la fornitura a Couchbase e ai suoi Subprocessori di tali Dati del Cliente; e (iii) si assicurerà che le sue istruzioni di trattamento siano conformi alle leggi applicabili (incluse le Leggi Applicabili sulla Protezione dei Dati) e che il trattamento dei Dati del Cliente da parte di Couchbase in conformità alle istruzioni del Cliente non causerà a Couchbase una violazione delle Leggi Applicabili sulla Protezione dei Dati.

e. Dati aggregati. Nonostante quanto precede o qualsiasi altra cosa contraria contenuta nel Contratto (incluso il presente DPA), l'Utente riconosce che Couchbase e le sue Affiliate hanno il diritto di raccogliere e creare informazioni anonime, aggregate e/o de-identificate (come definito dalle Leggi applicabili in materia di protezione dei dati) per le proprie attività legittime.

3. Sottoelaborazione

a. Subprocessori autorizzati. Il Cliente riconosce e accetta che Couchbase possa incaricare dei Subprocessori per il trattamento dei Dati del Cliente per conto del Cliente. I Subprocessori attualmente impegnati da Couchbase e autorizzati dal Cliente sono elencati sul sito web di Couchbase (attualmente pubblicato all'indirizzo https://info.couchbase.com/cloud-subprocessors.html). Almeno quindici (15) giorni prima di qualsiasi aggiunta di un nuovo subprocessore, Couchbase aggiornerà il sito web applicabile e fornirà al Cliente una notifica di tale aggiornamento tramite il meccanismo fornito su tale sito web di Couchbase, ad eccezione del caso in cui Couchbase ritenga ragionevolmente che l'assunzione di un nuovo subprocessore su base accelerata sia necessaria per proteggere la riservatezza, l'integrità o la disponibilità dei Dati del Cliente o per evitare un'interruzione materiale del Servizio Cloud, Couchbase darà invece tale notifica non appena ragionevolmente possibile.

4. Sicurezza e audit

a. Misure di sicurezza.  Couchbase implementerà e manterrà adeguate misure di sicurezza tecniche e organizzative volte a proteggere i Dati del Cliente sotto il suo controllo da Incidenti di Sicurezza e a preservare la sicurezza e la riservatezza dei Dati del Cliente, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito, del contesto e delle finalità del trattamento ("Misure di sicurezza"). Tali misure di sicurezza includeranno, come minimo, le misure descritte nell'Allegato B del presente DPA. Couchbase garantirà che qualsiasi persona autorizzata da Couchbase a trattare i Dati del Cliente ai sensi del presente DPA sia soggetta a un adeguato obbligo di riservatezza (sia esso un obbligo contrattuale o legale).

b. Aggiornamenti delle misure di sicurezza. Il Cliente riconosce che le Misure di Sicurezza sono soggette al progresso tecnico e allo sviluppo e che Couchbase può aggiornare o modificare le Misure di Sicurezza di volta in volta, a condizione che tali aggiornamenti e modifiche non comportino il degrado della sicurezza complessiva del Servizio Cloud acquistato dal Cliente.

c. Responsabilità della sicurezza del cliente. Fermo restando quanto sopra, il Cliente conviene che, salvo quanto previsto dal presente DPA, il Cliente implementerà e manterrà adeguate misure di sicurezza tecniche e organizzative volte a proteggere da Incidenti di Sicurezza e a preservare la sicurezza e la riservatezza dei Dati del Cliente mentre sono sotto il suo dominio e controllo. Il Cliente è responsabile di (i) proteggere la sicurezza di tutte le credenziali del Cliente utilizzate per accedere al Servizio Cloud; (ii) proteggere l'Ambiente Cloud del Cliente e qualsiasi Sistema del Cliente (con tali misure che includono, a titolo esemplificativo e non esaustivo, la rotazione regolare delle chiavi di accesso e altre misure standard del settore per impedire l'accesso non autorizzato); (iii) il backup e la messa in sicurezza dei Dati del Cliente sotto il controllo del Cliente all'interno dell'Ambiente Cloud del Cliente o di altri sistemi controllati dal Cliente; e (iv) la revisione delle informazioni rese disponibili da Couchbase relative alla sicurezza dei dati e alla privacy e la determinazione indipendente del fatto che il Servizio Cloud soddisfi i requisiti e gli obblighi legali del Cliente ai sensi della Legge Applicabile sulla Protezione dei Dati.

d. Risposta agli incidenti di sicurezza. To the extent required by Applicable Data Protection Laws, upon becoming aware of a Security Incident, Couchbase shall notify Customer without undue delay and shall: (i) to assist Customer in relation to any personal data breach notifications Customer is required to make under Applicable Data Protection Laws, Couchbase will include in such notice to Customer timely information relating to the Security Incident as it becomes known, as is reasonably requested by Customer, taking into account the nature of the Cloud Service, the information available to Couchbase, and any restrictions on disclosing the information, such as confidentiality; and (ii) promptly take steps, deemed necessary and reasonable by Couchbase, to contain, investigate, and remediate any Security Incident, to the extent that the remediation is within Couchbase’s reasonable control.  Couchbase’s notification of or response to a Security Incident under this Section 4(d) shall not be construed as an acknowledgment by Couchbase of any fault or liability with respect to the Security Incident. The obligations set forth herein shall not apply to Security Incidents to the extent they are caused by Customer or its Authorized Users.

e. Audit di sicurezza. Couchbase shall provide written responses (on a confidential basis) to all reasonable written requests for information made by Customer related to Couchbase’s processing of Customer Data, including responses to information security and audit questionnaires that are necessary to confirm Couchbase’s compliance with this DPA, provided that Customer shall not exercise this right more than once in any twelve (12) month rolling period.  Notwithstanding the foregoing, Customer may also exercise such audit right in the event Customer is expressly requested or required to provide this information to a data protection authority, or Couchbase has experienced a Security Incident, or on another reasonably similar basis.

5. Trasferimenti internazionali

a. Luoghi di lavorazione. Customer acknowledges and agrees that Couchbase may transfer and process Customer Data to and in the United States and anywhere else in the world where Couchbase, its Affiliates or its Sub-processors maintain data processing operations.  Couchbase shall at all times ensure such transfers are made in compliance with the requirements of Applicable Data Protection Laws and this DPA.

6. Cancellazione dei dati del cliente

a. Il Servizio Cloud fornirà al Cliente controlli che il Cliente potrà utilizzare per cancellare o recuperare i Dati del Cliente durante il periodo di validità in modo coerente con la funzionalità del Servizio Cloud.

b. Customer hereby authorizes Couchbase, upon termination or expiry of the Agreement, or in case of termination or suspension of the Cloud Service pursuant to the Agreement, to delete all Customer Data (including copies) in its possession or control in accordance with the Agreement, save that this requirement shall not apply to the extent Couchbase is required by applicable law to retain some or all of the Customer Data.

7. Diritti dei singoli e cooperazione

a. Richieste dell'interessato. The Cloud Service provide Customer with a number of controls, including security features and functionalities, that Customer may use to retrieve, correct, delete or restrict Customer Data, as described in any documentation applicable to the Cloud Service. Without prejudice to Section 4(a), Customer may use these controls as technical and organizational measures to assist it in connection with its obligations under Applicable Data Protection Laws, including its obligations relating to responding to requests from data subjects. To the extent that Customer is unable to independently access the relevant Customer Data within the Cloud Service, Couchbase shall, taking into account the nature of the processing, provide reasonable cooperation to assist Customer to respond to any requests from individuals or applicable data protection authorities relating to the processing of Customer Data under the Agreement.  In the event that any such request is made to Couchbase directly, Couchbase shall not respond to such communication directly without Customer’s prior authorization, unless legally compelled to do so. If Couchbase is required to respond to such a request, Couchbase shall promptly notify Customer and provide it with a copy of the request unless legally prohibited from doing so.

b. Ordini di comparizione e ordinanze del tribunale. Se un ente preposto all'applicazione della legge invia a Couchbase una richiesta di Dati del Cliente (ad esempio, attraverso un mandato di comparizione o un'ordinanza del tribunale), Couchbase darà al Cliente un ragionevole preavviso della richiesta per consentirgli di richiedere un ordine di protezione o altro rimedio appropriato, a meno che a Couchbase non sia legalmente vietato farlo.

8. Termini specifici per la giurisdizione

a. Europa. Nella misura in cui i Dati del cliente sono soggetti alle leggi europee sulla protezione dei dati, i seguenti termini si applicano in aggiunta ai termini contenuti nel resto del presente DPA:

i. Obblighi del subprocessore. Couchbase dovrà: (A) stipulare un accordo scritto con ciascun Subprocessore che imponga termini di protezione dei dati che richiedano al Subprocessore di proteggere i dati personali secondo gli standard richiesti dalla legge europea sulla protezione dei dati e dal presente DPA; e (B) rimanere responsabile della propria conformità agli obblighi del presente DPA e di qualsiasi atto o omissione del Subprocessore che provochi la violazione da parte di Couchbase di uno qualsiasi dei suoi obblighi ai sensi del presente DPA.

ii. Obiezioni ai subprocessori. Customer may object in writing to Couchbase’s appointment of a new Sub-processor on reasonable grounds relating to data protection (e.g. if making Customer Data available to the Sub-processor may violate European Data Protection Law or weaken the protections for such Customer Data) by notifying Couchbase promptly in writing within five (5) calendar days of receipt of notice from Couchbase in accordance with Section 3(a) above.  Such notice shall explain the reasonable grounds for the objection and the parties shall discuss such concerns in good faith with a view to achieving commercially reasonable resolution.  If no such resolution can be reached, Couchbase will, at its sole discretion, either not appoint Sub-processor, or permit Customer to suspend or terminate the affected Cloud Service in accordance with the termination provisions in the Agreement without liability to either party (but without prejudice to any fees incurred by Customer prior to suspension or termination). Unless an objection is made as set forth in this Section 8(a)(ii), Customer consents to Couchbase’s use of sub-processors as described in this DPA.

iii. Trasferimenti di dati. Nella misura in cui Couchbase elabora (o causa l'elaborazione di) dati personali protetti dalle leggi europee sulla protezione dei dati in un paese terzo non riconosciuto come fornente un'adeguata protezione dei dati personali (come descritto nelle leggi europee sulla protezione dei dati), allora i termini e le condizioni dell'Allegato C (Trasferimenti di dati) will apply and Customer (as data exporter) will be deemed to have entered into the Model Clauses with Couchbase (as data importer) and Couchbase agrees to abide by and process such Customer Data in in compliance with the Model Clauses, which are incorporated in full by reference and form an integral part of this DPA. For the purposes of the descriptions in the Model Clauses: (A) Couchbase agrees that it is a “data importer” and Customer is the “data exporter” (notwithstanding that Customer may itself be an entity located outside the EEA or the United Kingdom); (B) Annex A and Annex B of this DPA shall replace Appendix 1 and Appendix 2 of the Model Clauses. It is not the intention of either party, nor the effect of this DPA, to contradict or restrict any of the provisions set forth in the Model Clauses. Accordingly, if and to the extent the Model Clauses conflict with any provision of this DPA, the Model Clauses shall prevail to the extent of such conflict. The Model Clauses will not apply to Customer Data that is not transferred, either directly or via onward transfer, outside the EEA or the United Kingdom.

iv. Meccanismo di trasferimento alternativo. Se e nella misura in cui Couchbase adotta una soluzione alternativa di esportazione dei dati per il trasferimento dei Dati del Cliente come prescritto dalle leggi europee sulla protezione dei dati applicabili ("Meccanismo di trasferimento alternativo"), si applicherà invece il Meccanismo di Trasferimento Alternativo (ma solo nella misura in cui tale Meccanismo di Trasferimento Alternativo si applica al trasferimento).

v. Valutazione d'impatto sulla protezione dei dati. Nella misura in cui Couchbase è tenuta a farlo ai sensi della legge europea sulla protezione dei dati, Couchbase fornirà le informazioni ragionevolmente richieste in merito al trattamento dei dati personali da parte di Couchbase ai sensi del Contratto per consentire al Cliente di effettuare valutazioni d'impatto sulla protezione dei dati o consultazioni preliminari con le autorità di vigilanza come richiesto dalla legge.

b. California. Nella misura in cui i Dati del Cliente sono soggetti alla CCPA, le parti concordano che il Cliente è un'azienda e che nomina Couchbase come suo fornitore di servizi per trattare i Dati del Cliente come consentito dal Contratto (inclusa la presente DPA) e dalla CCPA, o per scopi altrimenti concordati per iscritto (la "Scopi consentiti"). Il Cliente e Couchbase convengono che: (i) Couchbase non conserverà, utilizzerà o divulgherà le informazioni personali per scopi diversi da quelli consentiti; (ii) i Dati del Cliente non sono stati venduti a Couchbase e Couchbase non "venderà" le informazioni personali (come definite dal CCPA); (iii) Couchbase non conserverà, utilizzerà o divulgherà le informazioni personali al di fuori del rapporto commerciale diretto tra il Cliente e Couchbase; e (iv) Couchbase può de-identificare o aggregare le informazioni personali nel corso della fornitura del Servizio Cloud. Couchbase certifica di aver compreso le restrizioni di cui alla presente Sezione 8(b) e che le rispetterà.

9. Limitazione di responsabilità

a. La responsabilità di ciascuna Parte e di tutte le sue Affiliate, considerate complessivamente, derivante da o correlata al presente DPA (incluse le Clausole Modello), sia per contratto, che per illecito (inclusa la negligenza) o in base a qualsiasi altra teoria di responsabilità, sarà soggetta alle limitazioni e alle esclusioni di responsabilità contenute nell'Accordo, e qualsiasi riferimento nelle disposizioni alla responsabilità di una Parte indica la responsabilità complessiva di tale Parte e di tutte le sue Affiliate ai sensi e in relazione all'Accordo e al presente DPA.

b. Except where Applicable Data Protection Laws require a Customer Affiliate to exercise a right or seek any remedy under this DPA against Couchbase directly by itself, the parties agree that (i) solely the Customer entity that is the contracting party to the Agreement shall exercise any right or seek any remedy any Customer Affiliate may have under this DPA on behalf of its Affiliates, and (ii) the Customer that is the contracting party to the Agreement shall exercise any such rights under this DPA not separately for each Affiliate individually but in a combined manner for all of its Affiliates together.

10. Varie

a. Except for the changes made by this DPA, the Agreement remains unchanged and in full force and effect.

b. This DPA may be executed in counterparts, each of which will be deemed an original, but all of which together will constitute one and the same instrument.

c. If any provision or part-provision of this DPA is or becomes invalid, illegal or unenforceable, it shall be deemed deleted, but that shall not affect the validity and enforceability of the rest of the DPA.

d. Il presente DPA sarà disciplinato e interpretato in conformità alle disposizioni in materia di legge e giurisdizione contenute nell'Accordo, a meno che non sia richiesto diversamente dalle leggi europee sulla protezione dei dati.

 

Allegato A
Descrizione dell'elaborazione dei dati

Il presente Allegato A fa parte del DPA e descrive (i) il trattamento che Couchbase effettuerà sui Dati del Cliente in qualità di incaricato o subincaricato per conto del Cliente in qualità di responsabile o incaricato del trattamento, a seconda dei casi, e (ii) i trasferimenti dei Dati di utilizzo che Couchbase effettuerà in qualità di responsabile del trattamento.

1) Dati del cliente

Durata

La durata del trattamento dei dati ai sensi del presente DPA è fino alla cessazione dell'Accordo in conformità ai suoi termini più il periodo dalla scadenza dell'Accordo fino alla cancellazione dei dati personali da parte di Couchbase in conformità ai termini dell'Accordo (compreso il presente DPA).

Categorie di dati

I dati personali da trattare riguardano le seguenti categorie di dati (specificare):

● Dati personali nel contenuto del cliente: Dati Personali inclusi in contenuti o dati forniti da o per conto del Cliente o degli Utenti Autorizzati da o attraverso il Servizio Cloud.

Categorie particolari di dati (se del caso)

Le parti non intendono trattare dati di categoria speciale nell'ambito dell'accordo.

Soggetti interessati

I dati personali da trattare riguardano le seguenti categorie di soggetti (specificare):

● Data subjects include individuals about whom data is provided to Couchbase via the Cloud Service by or at the direction of Customer, including Authorized Users. Data subjects may include Customer’s customers, employees, suppliers and end-users.

Operazioni di lavorazione

I dati personali saranno oggetto delle seguenti attività di trattamento di base (specificare):
● processing to provide the Cloud Service in accordance with the Agreement;
● l'elaborazione per eseguire qualsiasi operazione necessaria per l'esecuzione del Contratto;
● l'elaborazione avviata dal Cliente nell'utilizzo del Servizio Cloud; e
● processing to comply with other reasonable instructions provided by Customer (e.g. via email or support tickets) that are consistent with the terms of the Agreement.

Frequenza
I dati personali possono essere trasferiti in modo continuativo.

ii) Dati di utilizzo

Durata

I Dati di utilizzo sono trasferiti e conservati per la durata del relativo Contratto più il periodo in cui i Dati di utilizzo sono necessari per i legittimi sforzi commerciali di Couchbase. Alcuni record aggregati e anonimizzati delle azioni degli utenti possono essere conservati in modo permanente.

Categorie di dati

I dati personali da trasferire riguardano le seguenti categorie di dati (specificare):

●  Dati Personali in Dati di Utilizzo: I Dati di utilizzo possono includere informazioni sull'account dell'utente, tra cui l'ID dell'account e l'indirizzo e-mail; informazioni di identificazione personale, tra cui l'indirizzo IP; informazioni sull'occupazione; informazioni di contatto; informazioni sul browser e metadati.

Categorie particolari di dati (se del caso)

Le parti non intendono trasferire alcun dato di categoria speciale nell'ambito dell'Accordo.

Soggetti interessati

I dati personali da trattare riguardano le seguenti categorie di soggetti (specificare):

●  Data subjects may include Customer, Customer’s employees and other Authorized Users and any other permitted collaborators.

Operazioni di lavorazione

I dati personali saranno oggetto delle seguenti attività di trattamento di base (specificare):

●  processing to provide and administer the products, services and support;
●  Processing to derive insights in order to improve the products, services and support and support business development;
●  Processing to engage and respond to customer questions, perform marketing and sales activities, and analyze business metadata.

Frequenza

I dati personali possono essere trasferiti in modo continuativo.

 

Allegato B
Misure di sicurezza

Il presente Allegato descrive le Misure di Sicurezza di Couchbase. Il Cliente riconosce che il Servizio Cloud opera secondo un modello di responsabilità condivisa, che richiede, tra l'altro, che il Cliente adotti determinate misure quali la protezione della sicurezza del Contenuto del Cliente (che rimane memorizzato all'interno dell'ambiente del Cliente sotto il suo controllo). Se e nella misura in cui Couchbase tratta i Dati del Cliente per conto del Cliente in relazione al Servizio Cloud o trasferisce qualsiasi Dato d'Uso soggetto alle Clausole Contrattuali Standard, Couchbase implementa e mantiene le seguenti Misure di Sicurezza:

Misure di crittografia dei dati

● All customer data is encrypted in-transit using TLS 1.2 (or higher) and encrypted at-rest  using AES-256 encryption.
● Employee laptops are encrypted using full disk AES-256 encryption.
● All credentials are encrypted in transit using TLS 1.2 (or higher) and encrypted at-rest.
Le chiavi di crittografia vengono ruotate annualmente e memorizzate e gestite in AWS Key Management Service.

Misure di disponibilità e recuperabilità

Couchbase mantiene piani e procedure di Disaster Recovery e Business continuity che sono progettati per garantire ragionevolmente la disponibilità del Servizio Cloud.
L'offerta Couchbase Capella è distribuita in data center distribuiti geograficamente e gestiti da fornitori di servizi cloud pubblici riconosciuti dal settore, come Amazon (AWS), Microsoft (Azure) e Google (GCP) (a seconda dei casi).
La ridondanza è integrata nell'infrastruttura di sistema che supporta l'offerta Couchbase Capella. In caso di guasto di un sistema primario, l'infrastruttura ridondante in un'altra zona di disponibilità è configurata per prendere il suo posto.
I backup sono archiviati in ambienti controllati all'interno dell'infrastruttura cloud. L'accesso logico ai dati di backup è limitato al personale appropriato ed è memorizzato in archivi ad alta disponibilità.
● On an annual basis, a backup restoration test is performed where operations personnel restore a backup from a snapshot to ensure that data could be recovered in the event of an incident.

Misure di sicurezza organizzative

Couchbase ha istituito un sistema formale di gestione della sicurezza delle informazioni (ISMS) per proteggere la riservatezza, l'integrità e la disponibilità dell'offerta Couchbase Capella e dei sistemi informativi e per garantire l'efficacia dei controlli di sicurezza sui dati e sui sistemi informativi.
● Employees are required to undergo Anti-Bribery & Corruption, Ethics and Code of Conduct, Insider Trading, Global Data Privacy and annual Security Awareness Training.
● Employees are required to sign non-disclosure and Confidentiality agreements upon hire.
● Formal policies and procedures are in place for employee onboarding and offboarding activities. Account provisioning and de-provisioning processes are defined and implemented.
● Employee access is removed upon termination or adjusted as required as a result of  role change.
● Multi-factor Authentication (MFA) is enforced for access to critical and production resources.
● Password complexity requirements are enforced.
● Segregation of responsibilities and duties is implemented to reduce opportunities for unauthorized or unintentional modification or misuse.
● Couchbase maintains signed non-disclosure agreements with third parties.
● Couchbase networks are segregated based on trust levels and protected by firewalls.

Misure di registrazione e monitoraggio

● Logging of user activities, exceptions, faults, and information security events are enabled. Logs are retained, as necessary.
● All logs can be accessed only by authorized Couchbase employees and access controls are in place to prevent unauthorized access.
● Write access to logging data is strictly prohibited. Logging facilities and log information are protected against tampering and unauthorized access through use of access controls and security measures.
● Couchbase has various monitoring measures in place to generate security alerts and identify irregular activity.
● The Couchbase Capella operations team regularly reviews security alerts and their underlying configuration to ensure they are operating as intended and that controls are modified as conditions change.

Misure di controllo degli accessi

● Couchbase implements security best practices and uses a role-based security architecture across the database, network, and application layers and strictly follows principles of least privilege when granting access to key systems.
● Couchbase has defined job functions and roles to support proper segregation of duties.
● Access to operational, production and disaster recovery environments is protected by use of unique user accounts, strong passwords, use of Multi-Factor Authentication (MFA), role-based access, and principle of least privileges.
● Access keys used by production Couchbase applications (e.g. AWS Access Keys) are accessible only to authorized personnel. They are rotated (changed) as required (e.g., pursuant to a security advisory or personnel departure) and at least yearly.
● User activity in operational environments including access, modification or deletion of data is logged.
● Authorization requests and provisioning is logged, tracked and audited.
● Web Application Firewalls (WAF), in addition to the network-based firewalls, are deployed.

Misure di sicurezza fisica

● The Couchbase Capella offering is deployed in geographically distributed data centers operated by industry recognized public cloud service providers such as Amazon (AWS), Microsoft (Azure) and Google (GCP) (as applicable).
● Physical access to all facilities containing sensitive data is restricted and managed.
● All information resource facilities (e.g. network closets and storerooms) are physically protected in proportion to the criticality or importance of their function.
● Access to information resource facilities is granted only to company personnel and contractors whose job responsibilities require access to those facilities.
● All information resource facilities that allow access to visitors are configured to track visitor access with a sign-in log.
● Card access records and visitor logs for information resource facilities are kept for routine review based upon the criticality of the information resources being protected.
● Equipment is protected to reduce the risks from environmental threats, hazards, and opportunities for unauthorized access.

Configurazioni di sistema sicure

● Couchbase has a Change Management policy and procedure in place.
● Couchbase monitors changes to in-scope systems to ensure that the applicable standard process is followed and to mitigate any risk of un-detected changes to production. Changes are tracked in the change management system.
● Access Control policy and procedures are in place to prevent unauthorized changes.
● Mobile device management controls are in place.

La governance

● Couchbase has established a formal Information Security Management System (ISMS) in order to protect the confidentiality, integrity and availability of the Couchbase Capella offering and information systems, and to ensure the effectiveness of security controls over data and information systems.
● Couchbase has in place a documented and approved information security policy, including supporting documentation.
● The authority and responsibility for managing Couchbase’s information security program has been delegated to Information Security and Compliance Group, who is authorized by senior management to take actions necessary to establish, implement, and manage Couchbase’s information security program.

Conformità

● Couchbase is audited by an independent third-party auditor and has achieved SOC 2 Type 1 compliance, attesting to our commitment to controls that safeguard the confidentiality and availability of information stored and processed in the Couchbase Capella service.

Accesso minimo ai dati

● Privacy assessments are performed related to implementation of new products/services and processing of personal data by third parties.
● Data collection is limited to the purposes of the processing (or the data that the customer chooses to provide).
● Security measures are in place to provide only the minimum amount of access necessary to perform required functions.
● Data retention requirements are identified
● Access to personal data is restricted to the personnel  involved in the processing, adhering to the “need to know” principle, and according to defined roles and responsibilities of the individuals.

Misure di responsabilità

● Customer Privacy Assessments are required when introducing any new product/service that involves processing of personal data.
● Data protection impact assessments are part of any new processing initiative.

Richieste di accesso ai dati

● Data subjects are eligible to request the export of their personal data in an industry standard format.
● Processes are in place that allow individuals to exercise their privacy rights (e.g. right of erasure or right to data portability), as described in Couchbase’s publicly available Privacy Policy.

Couchbase continuerà ad analizzare la recente guida del Comitato europeo per la protezione dei dati sulle misure supplementari per soddisfare il requisito di adeguatezza del GDPR, e qualsiasi altro documento emesso dalle autorità europee per la protezione dei dati che si presenterà.

 

Allegato C
Trasferimenti di dati

Il presente Allegato stabilisce i termini e le condizioni che si applicano quando l'uso del Servizio Cloud da parte del Cliente richiede un meccanismo di trasferimento successivo per trasferire legalmente i dati personali da una giurisdizione a Couchbase situata al di fuori di tale giurisdizione.

1. Clausole contrattuali standard del Regno Unito.  Per i trasferimenti di dati dal Regno Unito soggetti alle Clausole Contrattuali Standard del Regno Unito, le Clausole Contrattuali Standard del Regno Unito saranno considerate stipulate (e incorporate nel presente DPA per riferimento) e completate come segue:

a. The UK Controller to Processor SCCs will apply where Couchbase is processing Customer Data.  The illustrative indemnification clause will not apply.  Annex A serves as Appendix 1 of the UK Controller to Processor SCCs.  Annex B serves as Appendix 2 of the UK Controller to Processor SCCs. Annex D sets out Couchbase’s and Customer’s interpretation of their respective obligations under specific clauses of the UK Controller to Processor SCCs, as applicable.

b. The UK Controller to Controller SCCs will apply where Couchbase is transferring Usage Data.  In Clause II(h), Couchbase will transfer personal data in accordance with the data processing principles set forth in Annex A of the UK Controller to Controller SCCs.  The illustrative commercial clause will not apply. Schedule A of this DPA serves as Annex B of the UK Controller to Controller SCCs.

2. Le Clausole contrattuali standard del 2021.  Per i trasferimenti di dati soggetti al GDPR e/o all'IFPD svizzero, le Clausole Contrattuali Standard 2021 si applicano nel modo seguente:

a. Il Modulo Uno (da controllore a controllore) si applicherà nel caso in cui il Cliente sia un controllore dei Dati di Utilizzo e Couchbase sia un controllore dei Dati di Utilizzo.

b. Il Modulo Due (Controller to Processor) si applicherà nel caso in cui l'Utente sia un controller dei Dati dell'Utente e Couchbase sia un processore dei Dati dell'Utente;

c. Il Modulo Tre (da elaboratore a elaboratore) si applicherà nel caso in cui l'Acquirente sia un elaboratore dei Dati dell'Acquirente e Couchbase sia un sub-elaboratore dei Dati dell'Acquirente;

d. Per ogni modulo, se applicabile:
(i) nella Clausola 7, si applicherà la clausola di ormeggio opzionale;
(ii) nella Clausola 9, si applicherà l'opzione 2 e il periodo di tempo per la notifica preventiva delle modifiche al subprocessore sarà quello stabilito nella Sezione 3 (Subprocessing) del presente DPA;
(iii) nella clausola 11, la lingua opzionale non si applica;
(iv) alla Clausola 17 (Opzione 1), le Clausole contrattuali standard del 2021 saranno disciplinate dalla legge dello stato membro dell'UE in cui è stabilito l'Esportatore di dati e, in assenza di tale legge, dalla legge irlandese.
(v) nella clausola 18(b), le controversie saranno risolte dinanzi ai tribunali dello Stato membro dell'UE in cui è stabilito l'Esportatore di Dati e, in assenza di tale legge, ai tribunali della Repubblica d'Irlanda.
(vi) Nell'allegato I, parte A:

Esportatore di dati:  Il Cliente e le sue affiliate autorizzate.

Dettagli di contatto:  L'indirizzo o gli indirizzi e-mail del Cliente specificati come account per ricevere le comunicazioni nell'ambito del Servizio Cloud.

Ruolo di esportatore di dati:  Il Cliente è il titolare o il responsabile del trattamento dei Dati del Cliente, a seconda dei casi, e il titolare del trattamento dei Dati di Utilizzo.

Firma e data:  Con la sottoscrizione del presente Accordo, il Parti Esportatore è considerato aver sottoscritto le presenti Clausole Contrattuali Standard qui incorporate, comprese le loro Allegati, a decorrere dalla Data di Entrata in Vigore dell'Accordo.

Importatore di dati:  Couchbase, Inc.

Dettagli di contatto: Team Legale Couchbase – legal@couchbase.com

Ruolo di importatore di dati: Couchbase è l'elaboratore o il sub-elaboratore dei Dati del Cliente, a seconda dei casi, e il responsabile del trattamento dei Dati di Utilizzo.

Firma e data: Con l'adesione all'Accordo, il Contraente dei Dati è considerato aver sottoscritto le presenti Clausole contrattuali tipo, qui incorporate, inclusi i loro allegati, a partire dalla Data di entrata in vigore dell'Accordo.

(vii) Nell'allegato I, parte B:
Le categorie di soggetti interessati sono descritte nell'Allegato A della presente DPA.

I dati sensibili trasferiti sono descritti nell'Allegato A del presente DPA.

La frequenza del trasferimento è continua per tutta la durata del Contratto.

La natura del trattamento è descritta nell'Allegato A del presente DPA.

Le finalità del trattamento sono descritte nell'Allegato A della presente DPA.

La durata del trattamento è descritta nell'Allegato A della presente LPD.

Per i trasferimenti a subelaboratori, l'oggetto, la natura e la durata del trattamento sono indicati in https://info.couchbase.com/cloud-subprocessors.html

(viii) Nell'Allegato I, parte C: L'autorità di vigilanza dello Stato membro dell'UE specificato nella Sezione 3, lettera d), punto iv), di cui sopra, agisce in qualità di autorità di vigilanza competente.

(ix) L'Allegato 2 costituisce l'Allegato II delle Clausole contrattuali tipo.

4. Termini in conflitto. In caso di conflitto tra le Clausole contrattuali standard e qualsiasi altro termine del presente DPA, prevarranno le disposizioni delle Clausole contrattuali standard.

 

Allegato D

Il presente Allegato delinea l'interpretazione delle parti dei rispettivi obblighi ai sensi di specifiche clausole delle SCC tra titolare del trattamento e responsabile del trattamento del Regno Unito (denominate anche ’Clausole"), individuate di seguito. Ove una parte si conformi alle interpretazioni stabilite nel presente Allegato, tale parte sarà considerata dall'altra parte come adempiente ai propri impegni ai sensi delle Clausole.
Ai fini del presente Allegato, “DPA” indica l'Addendum per il trattamento dei dati in vigore tra l'importatore di dati e l'esportatore di dati e a cui le presenti Clausole sono incorporate, e “Accordo” avrà il significato ad esso attribuito nel DPA.

Clausola 4(h) e 8: Divulgazione di queste Clausole

1. L'esportatore di dati accetta che le presenti Clausole costituiscano Informazioni Confidenziali dell'importatore di dati come definito nell'Accordo e non potranno essere divulgate dall'esportatore di dati a terzi senza il previo consenso scritto dell'importatore di dati, a meno che non sia consentito ai sensi dell'Accordo. Ciò non impedirà la divulgazione delle presenti Clausole all'interessato ai sensi della Clausola 4(h) o a un'autorità di vigilanza ai sensi della Clausola 8.

Clausola 5(a): Sospensione dei trasferimenti di dati e risoluzione:

1. Le parti riconoscono che l'esportatore di dati può trattare i dati personali solo per conto dell'esportatore di dati e in conformità con le sue istruzioni fornite dall'esportatore di dati e dalle Clausole.

2. Le parti riconoscono che, qualora l'importatore di dati non sia in grado di garantire tale conformità per qualsiasi motivo, si impegna a informare tempestivamente l'esportatore di dati della propria impossibilità di conformarsi, nel qual caso l'esportatore di dati ha il diritto di sospendere il trasferimento di dati e/o risolvere il contratto.

3. Se l'esportatore dei dati intende sospendere il trasferimento di dati personali e/o recedere dalle presenti Clausole, dovrà comunque avvisare l'importatore dei dati e concedere a quest'ultimo un congruo periodo di tempo per sanare l'inadempimento (“Periodo di cura").

4. Se dopo il Periodo di Riparazione l'esportatore dei dati non ha rimediato o non può rimediare all'inadempimento, l'esportatore dei dati potrà sospendere o interrompere immediatamente il trasferimento dei dati personali. L'esportatore dei dati non sarà tenuto a fornire tale preavviso nei casi in cui ritenga sussista un rischio materiale di danno per gli interessati o per i loro dati personali.

Clausola 5(f): Audit:

L'esportatore di dati riconosce e accetta di esercitare il proprio diritto di audit ai sensi della Clausola 5(f) dando istruzioni all'importatore di dati di conformarsi alle misure di audit descritte nella Sezione 4 (Sicurezza e Audit) dell'Accordo sulla protezione dei dati.

Clausola 5(j): Divulgazione degli accordi con sub-processori

1. Le parti riconoscono l'obbligo dell'esportatore di dati di inviare tempestivamente una copia di qualsiasi accordo di sub-elaborazione successivo che concluda ai sensi delle Clausole all'importatore di dati.

2. Le parti riconoscono inoltre che, in virtù delle restrizioni di riservatezza dei sub-responsabili del trattamento, l'importatore di dati potrebbe essere limitato nella divulgazione dei contratti stipulati con i sub-responsabili del trattamento all'esportatore di dati. Nonostante ciò, l'importatore di dati si adopererà ragionevolmente per richiedere a qualsiasi sub-responsabile del trattamento da esso nominato di permettergli di divulgare il contratto con il sub-responsabile del trattamento all'esportatore di dati.

3. Anche laddove l'esportatore di dati non sia in grado di divulgare un accordo con il sub-processore all'esportatore di dati, le parti concordano che, su richiesta dell'esportatore di dati, l'esportatore di dati (in via confidenziale) fornirà tutte le informazioni in suo possesso ragionevolmente in connessione con tale accordo di sub-elaborazione all'esportatore di dati.

Clausola 6: Responsabilità

1. Qualsiasi reclamo presentato ai sensi delle presenti Clausole sarà soggetto ai termini e alle condizioni, incluse, a titolo esemplificativo, le esclusioni e le limitazioni stabilite nell'Accordo. In nessun caso alcuna parte potrà limitare la propria responsabilità per quanto riguarda i diritti degli interessati ai sensi delle presenti Clausole.

Clausola 11: Sottoprocessi successivi

Le parti riconoscono che, ai sensi della FAQ II.1 nell'Articolo 29 Working Party Paper WP 176 intitolato “FAQs in order to address some issues raised by the entry into force of the EU Commission Decision 2010/87/EU of 5 February 2010 on standard contractual clauses for the transfer of personal data to processors established in third countries under Directive 95/46/EC” (Domande frequenti per affrontare alcune questioni sollevate dall'entrata in vigore della Decisione 2010/87/UE della Commissione Europea del 5 febbraio 2010 sulle clausole contrattuali standard per il trasferimento di dati personali verso responsabili del trattamento stabiliti in paesi terzi ai sensi della Direttiva 95/46/CE), l'esportatore di dati può fornire un consenso generale al subtrattamento dei dati da parte dell'importatore di dati.

2. Di conseguenza, l'esportatore di dati fornisce all'importatore di dati un consenso generale, ai sensi della Clausola 11 delle presenti Clausole, alla nomina di sub-processori successivi. Tale consenso è condizionato al rispetto da parte dell'importatore di dati dei requisiti stabiliti nella Sezione 8(a) del DPA.