Addendum sul Trattamento dei Dati

Ultimo Aggiornamento: 11 settembre 2025

Il presente Addendum sul Trattamento dei Dati, compresi i suoi allegati (collettivamente, il "DPA"), è incorporato in ogni accordo tra Tanium e i suoi clienti e partner per la fornitura dei Servizi Tanium (il "Accordo"). Salvo diversa definizione nel presente DPA, i termini in maiuscolo utilizzati nel presente DPA avranno il significato stabilito nell'Accordo.

1. Definizioni.

a) "CCPA" indica il California Consumer Privacy Act, Cal. Civ. Code § 1798,100 et seq., come modificato dal California Privacy Rights Act, e i relativi regolamenti attuativi.

b) "Dati Personali del Cliente" indica qualsiasi Dato Personale che Tanium Tratta come Responsabile del Trattamento dei Dati nel corso della fornitura e attraverso l'utilizzo da parte del Cliente dei Servizi Tanium.

c) "Cliente" indica il cliente o il partner che è parte dell'Accordo.

d) "Leggi sulla Protezione dei Dati" indica tutte le leggi sulla protezione dei dati e sulla privacy applicabili al Trattamento dei Dati Personali ai sensi dell'Accordo, incluse, ove applicabili, le Leggi Europee sulla Protezione dei Dati e il CCPA.

e) "Titolare del Trattamento dei Dati" indica un'entità che determina le finalità e i mezzi del Trattamento dei Dati Personali.

f) "Responsabile del Trattamento dei Dati" indica un'entità che Tratta i Dati Personali per conto di un Titolare del Trattamento dei Dati, incluso, ove applicabile, qualsiasi "fornitore di servizi" come tale termine è definito dal CCPA.

g) "Leggi Europee sulla Protezione dei Dati" indica: (i) il Regolamento 2016/679 del Parlamento Europeo e del Consiglio sulla protezione delle persone fisiche con riguardo al Trattamento dei Dati Personali e sulla libera circolazione di tali dati (Regolamento Generale sulla Protezione dei Dati) (il "GDPR UE"); (ii) la Direttiva UE e-Privacy (Direttiva 2002/58/CE); (iii) il GDPR UE come recepito nel diritto del Regno Unito in virtù della sezione 3 della legge del Regno Unito sull'Unione Europea (Withdrawal) Act 2018 (il "UK GDPR"); (iv) la Legge Federale Svizzera sulla Protezione dei Dati del 19 June 1992 (la "Legge Svizzera sulla Protezione dei Dati"); e (v) qualsiasi e tutte le leggi nazionali applicabili sulla protezione dei dati emanate ai sensi, in conformità o che si applicano congiuntamente a qualsiasi delle disposizioni da (i) a (iv); in ciascun caso come possono essere modificate o sostituite di volta in volta.

h) "Dati Personali" indica qualsiasi informazione relativa a una persona fisica identificata o identificabile.

i) "Trattamento" indica qualsiasi operazione o insieme di operazioni eseguite su Dati Personali o su insiemi di Dati Personali, con o senza l'ausilio di mezzi automatizzati, come la raccolta, la registrazione, l'organizzazione, la strutturazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, la limitazione, la cancellazione o la distruzione, e "Trattare", "Tratta" e "Trattato" saranno interpretati di conseguenza.

j) "Trasferimento Limitato" indica: (i) laddove si applichi il GDPR UE, un trasferimento di Dati Personali dallo Spazio Economico Europeo verso un paese al di fuori dello Spazio Economico Europeo che non è soggetto a una decisione di adeguatezza della Commissione Europea; (ii) laddove si applichi il GDPR UK, un trasferimento di Dati Personali dal Regno Unito verso qualsiasi altro paese che non si basa su regolamenti di adeguatezza ai sensi della Sezione 17A del Data Protection Act del Regno Unito 2018; e (iii) laddove si applichi la Legge Svizzera sulla Protezione dei Dati, un trasferimento di Dati Personali dalla Svizzera verso qualsiasi altro paese che non sia stato ritenuto in grado di garantire un'adeguata protezione dei dati dal Commissario Federale per la Protezione dei Dati e la Trasparenza o da altra autorità svizzera competente.

k) "Incidente di Sicurezza" indica una violazione della sicurezza che comporta la distruzione accidentale o illecita, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato ai Dati Personali del Cliente.

l) "Clausole Contrattuali Standard" indica le clausole contrattuali del Modulo Due (da titolare a responsabile del trattamento) allegate alla Decisione di Esecuzione della Commissione Europea 2021/914 del 4 June 2021 sulle clausole contrattuali standard per il trasferimento di dati personali verso paesi terzi ai sensi del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio nella forma indicata nella Sezione 6,1 del presente DPA.

m) "Sub-responsabile del Trattamento" indica qualsiasi Responsabile del Trattamento dei Dati incaricato da Tanium per assistere nell'adempimento dei propri obblighi relativi alla fornitura dei Servizi Tanium ai sensi del Contratto. I Sub-responsabili del Trattamento possono includere terze parti o Affiliate di Tanium.

n) "Tanium" indica le entità Tanium che sono parti del Contratto.

o) "Tanium Services" indica il software fornito come servizio ospitato da Tanium, nonché qualsiasi Servizio di Supporto per i prodotti software Tanium.

p) "UK Addendum" indica l'Addendum per il Trasferimento Internazionale di Dati alle Clausole Contrattuali Standard della Commissione UE (versione B1,0) emesso dall'Ufficio del Commissario per l'Informazione del Regno Unito il 21 marzo 2022.

2. Ambito di applicazione del presente DPA. Il presente DPA si applica laddove e solo nella misura in cui Tanium Tratta i Dati Personali del Cliente.

3. Rapporto tra le Parti. Nei rapporti tra Tanium e il Cliente, il Cliente è il Titolare del Trattamento dei Dati Personali del Cliente. Tanium Tratterà i Dati Personali del Cliente solo per le finalità descritte nel presente DPA e nel Contratto e solo in conformità con le istruzioni lecite documentate del Cliente. Le parti concordano che il presente DPA e il Contratto stabiliscono le istruzioni complete e definitive del Cliente a Tanium in relazione al Trattamento dei Dati Personali del Cliente e qualsiasi Trattamento al di fuori dell'ambito di tali istruzioni richiederà il previo consenso scritto del Cliente.

4. Trattamento dei Dati Personali da parte del Cliente. Il Cliente accetta che (i) rispetterà i propri obblighi ai sensi delle Leggi sulla Protezione dei Dati in relazione al suo Trattamento dei Dati Personali e a qualsiasi istruzione di Trattamento che impartisce a Tanium; e (ii) ha fornito comunicazione e ottenuto (o otterrà) tutti i consensi e i diritti necessari ai sensi delle Leggi sulla Protezione dei Dati affinché Tanium possa Trattare i Dati Personali del Cliente e fornire i Servizi Tanium ai sensi del Contratto e del presente DPA.

5. Dettagli del Trattamento. I dettagli del Trattamento dei Dati Personali del Cliente sono riportati nell'Allegato 1 al presente DPA.

6. Trasferimenti di Dati.

6,1. Laddove il trasferimento dei Dati Personali del Cliente costituisca un Trasferimento Limitato effettuato dallo Spazio Economico Europeo, le Clausole Contrattuali Standard sono incorporate nel presente DPA e si applicano al trasferimento come segue:

a) Clausola 7 (Clausola di adesione) – non si applica.

b) Clausola 9 (Utilizzo di subresponsabili del trattamento) – si applicherà l'Opzione 2 (Autorizzazione scritta generale) e il periodo di tempo è quello specificato nella Sezione 9 del presente DPA.

c) Clausola 11 (Ricorso) – la formulazione facoltativa non si applica.

d) Clausola 17 (Legge applicabile) – si applicherà l'Opzione 1 e la legge applicabile sarà: (a) la legge del paese specificato nel Contratto se il Contratto è disciplinato dalla legge di uno Stato membro dell'UE; oppure (b) la legge dei Paesi Bassi se il Contratto è disciplinato dalla legge di uno Stato non membro dell'UE.

e) Clausola 18 (Scelta del foro e della giurisdizione) – la scelta applicabile del foro e della giurisdizione sarà: (a) i tribunali del paese specificato nel Contratto se il Contratto è disciplinato dalla legge di uno Stato membro dell'UE; oppure (b) i tribunali dei Paesi Bassi se il Contratto è disciplinato dalla legge di uno Stato non membro dell'UE.

f) I dettagli degli Allegati I e II delle Clausole Contrattuali Standard sono riportati nell'Allegato 1 al presente DPA.

6,2. Qualora il trasferimento dei Dati Personali del Cliente costituisca un Trasferimento Limitato effettuato dal Regno Unito, l'Addendum UK è incorporato nel presente DPA e si applica al trasferimento. Le Tabelle 1, 2 e 3 dell'Addendum UK sono completate con le informazioni della Sezione 6,1 di cui sopra e dell'Allegato 1 al presente DPA, e la Tabella 4 nella Parte 1 dell'Addendum UK è completata selezionando "Importatore".

6,3. Qualora il trasferimento dei Dati Personali del Cliente costituisca un Trasferimento Limitato effettuato dalla Svizzera, le Clausole Contrattuali Standard sono incorporate nel presente DPA e si applicano al trasferimento come modificato nella Sezione 6,1 di cui sopra, ad eccezione di quanto segue:

a) I riferimenti al "Regolamento (UE) 2016/679” sono interpretati come riferimenti alla Legge Svizzera sulla Protezione dei Dati.

b) I riferimenti a specifici articoli del "Regolamento (UE) 2016/679” sono sostituiti con l'articolo o la sezione equivalente della Legge svizzera sulla protezione dei dati.

c) "Unione" e "Stato membro" sono sostituiti con "Svizzera".

d) I riferimenti all'"autorità di controllo competente" e ai "tribunali competenti" sono sostituiti con l'"Incaricato federale svizzero della protezione dei dati e della trasparenza" e i "tribunali competenti della Svizzera".

e) La Clausola 13(a) e la Parte C dell'Allegato I non vengono utilizzate e l'"autorità di controllo competente" è l'Incaricato federale svizzero della protezione dei dati e della trasparenza.

f) Nella Clausola 17, le Clausole Contrattuali Standard sono disciplinate dalle leggi della Svizzera.

g) Nella Clausola 18, le controversie saranno risolte dinanzi ai tribunali competenti della Svizzera.

6,4. Laddove si applicano le Clausole Contrattuali Standard:

a) Il Cliente eserciterà i propri diritti di audit ai sensi delle Clausole Contrattuali Standard come indicato nella Sezione 14 del presente DPA.

b) Prima di avviare un Trasferimento Limitato a un Sub-responsabile, Tanium stipulerà un accordo con un Sub-responsabile contenente le Clausole Contrattuali Standard Modulo Tre (da responsabile a responsabile), oppure, in alternativa, Tanium determinerà che il Sub-responsabile disporrà di garanzie adeguate ai sensi degli Articoli 46 o 47 del GDPR UE e/o del GDPR UK (ove applicabile) in relazione al trattamento effettuato dal Sub-responsabile.

c) In caso di conflitto tra il presente DPA e le Clausole Contrattuali Standard, prevarranno le Clausole Contrattuali Standard.

7. Riservatezza del Trattamento. Tanium garantirà che qualsiasi persona da essa autorizzata a Trattare i Dati Personali del Cliente protegga i Dati Personali del Cliente in conformità con gli obblighi di riservatezza di Tanium ai sensi del Contratto.

8. Sicurezza.

8,1. Responsabilità di Tanium. Tanium implementerà misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, come descritto nelle misure di sicurezza disponibili su https://help.tanium.com/bundle/ug_cloud_cloud/page/cloud/trust_compliance.html, al fine di proteggere i Dati Personali del Cliente da un Incidente di Sicurezza. Tanium può rivedere e aggiornare le misure di sicurezza di volta in volta, a condizione che tali aggiornamenti non riducano materialmente la privacy o la sicurezza complessiva dei Dati Personali del Cliente.

8,2. Responsabilità del Cliente. Nonostante quanto sopra, il Cliente accetta che, salvo quanto previsto dal presente DPA, il Cliente è responsabile dell'utilizzo sicuro dei Servizi Tanium, inclusa la protezione delle proprie credenziali di autenticazione dell'account, la protezione della sicurezza dei Dati Personali del Cliente durante il transito da e verso i Servizi Tanium e l'adozione di eventuali misure appropriate per crittografare o eseguire il backup in modo sicuro di qualsiasi Dato Personale del Cliente fornito in connessione con i Servizi Tanium.

9. Sub-responsabili del trattamento. Il Cliente fornisce un'autorizzazione generale a Tanium per coinvolgere Sub-responsabili del trattamento terzi per Trattare i Dati Personali del Cliente, a condizione che: (i) Tanium mantenga un elenco aggiornato dei propri Sub-responsabili del trattamento su https://www.tanium.com/subprocessors ("Elenco dei Sub-responsabili del trattamento"); (ii) Tanium imponga termini di protezione dei dati a qualsiasi Sub-responsabile del trattamento nominato che richiedano di proteggere i Dati Personali del Cliente secondo lo standard richiesto dalle Leggi sulla Protezione dei Dati applicabili; e (iii) Tanium rimanga responsabile per qualsiasi violazione del presente Contratto causata da un atto, errore od omissione dei propri Sub-responsabili del trattamento. L'Elenco dei Sub-responsabili del trattamento contiene un meccanismo per iscriversi alle notifiche di nuovi Sub-responsabili del trattamento e, se il Cliente si iscrive, Tanium fornirà al Cliente un preavviso di qualsiasi nuovo Sub-responsabile del trattamento proposto aggiornando tale elenco prima che il nuovo Sub-responsabile del trattamento inizi a Trattare qualsiasi Dato Personale del Cliente. Il Cliente può opporsi alla nomina o alla sostituzione di un Sub-responsabile da parte di Tanium entro dieci (10) giorni dalla comunicazione di tale avviso, come indicato dalla data "Ultimo aggiornamento" nell'Elenco dei Sub-responsabili, a condizione che tale obiezione sia basata su ragioni ragionevoli relative alla protezione dei Dati Personali del Cliente e sia comunicata a Tanium per iscritto secondo le modalità previste dal Contratto. In tali circostanze, Tanium non nominerà quel Sub-responsabile o non gli consentirà di Trattare i Dati Personali del Cliente. Se tali misure non sono possibili, il Cliente può sospendere o risolvere il Contratto con un preavviso scritto di trenta (30) giorni. Qualsiasi risoluzione di questo tipo sarà considerata come una risoluzione senza inadempimento e senza pregiudizio per l'obbligo del Cliente di pagare eventuali commissioni dovute ai sensi del Contratto fino alla data in cui tale risoluzione diventa effettiva. Nessuna delle parti avrà ulteriori responsabilità nei confronti dell'altra a seguito di tale risoluzione.

10. Cooperazione e Diritti degli Interessati. I Servizi Tanium forniscono al Cliente controlli che il Cliente può utilizzare per recuperare, correggere, eliminare o limitare i Dati Personali del Cliente. Il Cliente può utilizzare questi controlli per adempiere ai propri obblighi ai sensi delle Leggi sulla Protezione dei Dati applicabili, inclusi gli obblighi relativi alla risposta alle richieste degli interessati o delle autorità di protezione dei dati competenti. Nella misura in cui il Cliente non è in grado di accedere autonomamente ai Dati Personali del Cliente pertinenti all'interno dei Servizi Tanium, Tanium fornirà un'assistenza commercialmente ragionevole e tempestiva al Cliente per consentirgli di rispondere a: (i) qualsiasi richiesta di un interessato di esercitare i propri diritti ai sensi delle Leggi sulla Protezione dei Dati applicabili (inclusi i diritti di accesso, correzione, opposizione, cancellazione e portabilità dei dati, ove applicabile); e (ii) qualsiasi altra corrispondenza, richiesta o reclamo ricevuto da un interessato, da un'autorità di regolamentazione o da terze parti in relazione al Trattamento dei Dati Personali del Cliente. Se tale richiesta, corrispondenza, indagine o reclamo viene inoltrato direttamente a Tanium, Tanium informerà tempestivamente il Cliente fornendo tutti i dettagli relativi.

11. Valutazione d'impatto sulla protezione dei dati. Nella misura in cui Tanium è tenuta a farlo ai sensi delle Leggi Europee sulla Protezione dei Dati, Tanium fornirà informazioni ragionevolmente richieste dal punto di vista commerciale riguardanti i Servizi Tanium (tali informazioni costituendo Informazioni Riservate di Tanium) per consentire al Cliente di effettuare valutazioni d'impatto sulla protezione dei dati o consultazioni preventive con le autorità di protezione dei dati, come richiesto dalle Leggi Europee sulla Protezione dei Dati.

12. Incidenti di Sicurezza. Se Tanium viene a conoscenza di un Incidente di Sicurezza, Tanium notificherà il Cliente tramite e-mail senza indebito ritardo e fornirà informazioni e cooperazione ragionevoli al Cliente affinché il Cliente possa adempiere a qualsiasi obbligo di segnalazione di violazione dei dati che potrebbe avere ai sensi, e in conformità con i tempi richiesti dalle, Leggi sulla Protezione dei Dati applicabili. Tanium adotterà inoltre le misure e le azioni ragionevolmente necessarie per rimediare o mitigare gli effetti dell'Incidente di Sicurezza e terrà il Cliente informato, quando possibile, di tutti gli sviluppi rilevanti in relazione all'Incidente di Sicurezza.

13. Cancellazione o Restituzione dei Dati. Alla risoluzione o alla scadenza del Contratto, Tanium, a scelta del Cliente, cancellerà o restituirà al Cliente tutti i Dati Personali del Cliente in suo possesso o controllo che Tanium Tratta come Responsabile del Trattamento dei Dati. Se il Cliente non notifica a Tanium la propria scelta entro trenta (30) giorni dalla risoluzione o dalla scadenza del Contratto, Tanium cancellerà automaticamente tutti i Dati Personali del Cliente in questione. Se Tanium dispone di Dati Personali del Cliente archiviati su sistemi di backup, Tanium isolerà in modo sicuro e proteggerà i Dati Personali del Cliente da qualsiasi ulteriore Trattamento fino al momento in cui i sistemi di backup elimineranno tali dati. Tanium non cancellerà i Dati Personali del Cliente nella misura in cui sia obbligata per legge a conservare i Dati Personali del Cliente.

14. Audit. Il Cliente riconosce che Tanium è regolarmente sottoposta ad audit rispetto agli standard applicabili da parte di revisori terzi indipendenti. Su richiesta, non più di una volta in qualsiasi periodo di 12 mesi, salvo ove richiesto da un'autorità di vigilanza competente, e senza costi aggiuntivi per il Cliente, Tanium fornirà al Cliente una copia riepilogativa dei propri rapporti di audit, che sarà soggetta alle disposizioni di riservatezza del Contratto. Su richiesta e nel rispetto delle disposizioni di riservatezza del Contratto, il Cliente può richiedere risposte a un questionario sulla sicurezza delle informazioni e sull'audit per confermare la conformità di Tanium alle disposizioni del presente DPA, a condizione che il Cliente non eserciti tale diritto più di una volta all'anno, salvo ove richiesto da un'autorità di vigilanza competente. Tanium e il Cliente concorderanno reciprocamente in anticipo l'ambito della richiesta del Cliente e le date di inizio e fine.

15. Varie.

15,1. Tra le parti, la responsabilità di ciascuna parte derivante da o correlata al presente DPA è soggetta alle disposizioni sulla limitazione di responsabilità del Contratto. In nessun caso una delle parti limiterà la propria responsabilità nei confronti di qualsiasi interessato o autorità di protezione dei dati ai sensi delle Clausole Contrattuali Standard.

15,2. In caso di conflitto o incoerenza tra il presente DPA e il Contratto in merito all'oggetto del presente DPA, prevarrà il presente DPA.

15,3. Il presente DPA sarà disciplinato e interpretato in conformità con la disposizione sulla scelta della legge applicabile che regola il Contratto, salvo ove diversamente richiesto dalle Leggi sulla Protezione dei Dati applicabili.

15,4. Laddove le Clausole Contrattuali Standard siano applicabili, Tanium Inc. è il "importatore di dati" ai sensi delle Clausole Contrattuali Standard. Laddove l'entità Tanium che è parte del presente DPA non sia Tanium Inc., tale entità Tanium svolge gli obblighi dell'"importatore di dati" per conto di Tanium Inc.

15,5. Nonostante eventuali limitazioni alla modifica o all'emendamento dell'Accordo, le parti concordano che Tanium può aggiornare periodicamente il presente DPA al fine di mantenere la conformità con le modifiche alle Leggi sulla Protezione dei Dati. In caso di tale modifica, Tanium pubblicherà una versione aggiornata su www.tanium.com/dpa. Nessun aggiornamento di questo tipo ridurrà sostanzialmente la privacy o la sicurezza dei Dati Personali del Cliente.

Allegato 1

ALLEGATO I

A. ELENCO DELLE PARTI

Esportatore(i) di dati:

Importatore(i) di dati:

В. DESCRIZIONE DEL TRASFERIMENTO

C. AUTORITÀ DI CONTROLLO COMPETENTE

ALLEGATO II - MISURE TECNICHE E ORGANIZZATIVE INCLUSE LE MISURE TECNICHE E ORGANIZZATIVE PER GARANTIRE LA SICUREZZA DEI DATI