1. Il presente Accordo disciplina i rapporti tra le Parti in qualità di contitolari del trattamento con riferimento ai dati personali degli utenti ("Dati") raccolti tramite:

• navigazione sul Sito;
• form di contatto e di richiesta informazioni;
• form di iscrizione a newsletter, report, contenuti editoriali, abbonamenti;
• form di registrazione e partecipazione ad eventi fisici e digitali organizzati dal Gruppo ItalyPost;
• form e strumenti utilizzati per campagne di comunicazione e advertising online/offline collegate al Sito.

2. Restano esclusi dal presente Accordo eventuali trattamenti per i quali una singola Società agisca come titolare autonomo o responsabile del trattamento per conto di altre società; tali rapporti saranno oggetto di separati accordi o nomine.

1. Le Parti riconoscono di essere contitolari del trattamento ai sensi dell'art. 26 GDPR, in quanto determinano congiuntamente finalità e mezzi dei trattamenti di cui all'articolo 1.

2. Le principali finalità e basi giuridiche del trattamento, da dettagliare nell'informativa privacy, sono:

• Gestione tecnica del Sito e sicurezza (art. 6, par. 1, lett. f) GDPR – legittimo interesse);
• Riscontro a richieste degli utenti (art. 6, par. 1, lett. b) e/o f) GDPR);
• Iscrizione e invio di newsletter / comunicazioni editoriali (art. 6, par. 1, lett. a) – consenso, o lett. f) – soft spam, ove applicabile);
• Gestione degli eventi: iscrizione, partecipazione, fatturazione, rendicontazione (art. 6, par. 1, lett. b) – esecuzione di un contratto, e lett. c) – obblighi legali);
• Marketing e comunicazione commerciale (art. 6, par. 1, lett. a) – consenso; per marketing tradizionale anche lett. f) – legittimo interesse, se consentito);
• Attività statistiche e di reportistica aggregata (art. 6, par. 1, lett. f) – legittimo interesse, con dati aggregati o anonimizzati ove possibile).

1. Le Parti concordano la seguente attribuzione di responsabilità principale per ciascuna macro-finalità (fermo restando che tutte le Parti restano contitolari):

2. Il Contitolare referente per una determinata finalità:

• cura in via principale la documentazione (registro trattamenti, DPIA se necessaria, policy interne);
• coordina i rapporti con i fornitori esterni (es. CRM, piattaforme email marketing, piattaforme eventi) in relazione alla specifica finalità;
• supporta gli altri Contitolari nella gestione degli adempimenti verso gli interessati.

3. In ogni caso, ai sensi dell'art. 26, par. 3 GDPR, l'interessato può esercitare i propri diritti nei confronti di ciascun Contitolare, a prescindere dalla ripartizione interna delle responsabilità.

1. Le Parti convengono che:

• Post Media è responsabile della predisposizione, aggiornamento e pubblicazione delle informative privacy sul Sito, in nome e per conto di tutti i Contitolari;
• le altre Società forniscono a Post Media tutte le informazioni necessarie per mantenere aggiornate e corrette le informative (finalità, basi giuridiche, tempi di conservazione, categorie di destinatari, ecc.).

2. Le Parti designano Post Media quale punto di contatto unico per gli interessati, da indicare nelle informative privacy e nel Sito (indirizzo email dedicato, es. privacy@italypost.it).

3. Le Parti si impegnano a rendere disponibile agli interessati "l'essenza del presente Accordo" attraverso l'informativa privacy e/o apposita sezione del Sito, come richiesto dall'art. 26, par. 2 GDPR.

1. Qualsiasi richiesta di esercizio dei diritti ai sensi degli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso, ecc.) ricevuta da una delle Parti deve essere:

• registrata internamente;
• inoltrata senza ritardo e comunque non oltre 2 giorni lavorativi a Post Media, quale coordinatore delle risposte.

2. Post Media:

• coordina la gestione della richiesta, coinvolgendo le Società del Gruppo interessate;
• raccoglie le informazioni necessarie per il riscontro;
• invia la risposta all'interessato entro i termini previsti dal GDPR (di regola entro 1 mese dalla ricezione).

3. Le altre Società si impegnano a fornire a Post Media tutte le informazioni e il supporto necessario entro termini compatibili per garantire il rispetto delle scadenze di legge.

4. Nel caso di richieste particolarmente complesse, Post Media potrà informare l'interessato dell'eventuale proroga del termine, nei limiti previsti dall'art. 12 GDPR.

1. I Contitolari possono nominare soggetti esterni come responsabili del trattamento (art. 28 GDPR) per servizi quali, a titolo esemplificativo:

• hosting e manutenzione del Sito;
• piattaforme newsletter e CRM;
• piattaforme di gestione eventi;
• servizi di web analytics e advertising;
• servizi amministrativi e di supporto.

2. Di regola:

• per i fornitori trasversali al Sito e ai sistemi centrali (es. hosting, CRM, piattaforma newsletter principale) la nomina è curata da Post Media, previo confronto con le altre Parti;
• per fornitori specifici di attività di eventi, la nomina è curata da Post Eventi;
• per fornitori specifici di campagne advertising, la nomina è curata da Post Comunicazione.

3. In ogni caso, i contratti con i responsabili del trattamento dovranno:

• rispettare gli artt. 28 e 32 GDPR;
• prevedere adeguate garanzie in termini di sicurezza e riservatezza;
• disciplinare l'eventuale ricorso a sub-responsabili.

1. Ciascun Contitolare si impegna ad adottare misure tecniche e organizzative adeguate alla sicurezza dei Dati, conformemente agli artt. 24, 25 e 32 GDPR.

2. In caso di violazione dei dati personali ("data breach") che possa riguardare i trattamenti oggetto del presente Accordo:

• la Parte che ne viene a conoscenza informa senza ingiustificato ritardo gli altri Contitolari, e comunque entro 24/48 ore;
• le Parti collaborano per valutare la gravità dell'evento, l'eventuale obbligo di notifica al Garante e/o agli interessati, e per adottare le misure di mitigazione necessarie.

3. Post Media coordina, salvo diverso accordo caso per caso:

• le eventuali notifiche al Garante;
• le eventuali comunicazioni agli interessati;
• la gestione documentale dell'incidente.

1. Qualora, nell'ambito dei trattamenti oggetto del presente Accordo, i Dati siano trasferiti verso Paesi extra-SEE (ad es. in caso di fornitori con server al di fuori dello Spazio Economico Europeo), le Parti si impegnano a:

• verificare l'esistenza di una decisione di adeguatezza della Commissione Europea; oppure
• adottare garanzie adeguate ai sensi degli artt. 46 e ss. GDPR (ad es. Clausole Contrattuali Standard), anche alla luce della giurisprudenza e delle raccomandazioni dell'EDPB.

2. Le informazioni sui trasferimenti verso Paesi terzi devono essere chiaramente riportate nelle informative rese agli interessati.

1. Le Parti concordano che i Dati siano conservati per periodi coerenti con le finalità perseguite e nel rispetto del principio di minimizzazione e limitazione della conservazione (art. 5 GDPR).

2. In particolare, a titolo esemplificativo:

• dati relativi ad eventi: per la durata dell'evento e per i tempi necessari ad adempimenti amministrativi/fiscali e alla tutela in giudizio;
• dati per newsletter: fino alla revoca del consenso o alla disiscrizione;
• dati per finalità di marketing: secondo quanto indicato nell'informativa, e comunque per periodi idonei a rispettare le linee guida del Garante.

3. I tempi di conservazione specifici sono riportati e aggiornati nelle informative privacy e nei registri dei trattamenti.

1. Qualora sia nominato un DPO unico di Gruppo o distinti DPO per le singole Società, le Parti garantiscono la piena collaborazione con il/i DPO nella gestione:

• delle richieste di parere;
• delle valutazioni d'impatto sulla protezione dei dati (DPIA);
• dei contatti con il Garante per la protezione dei dati personali e con eventuali altre Autorità.

2. Le Parti collaborano altresì in caso di ispezioni o richieste da parte di Autorità competenti, condividendo informazioni e documentazione rilevante.

1. Il presente Accordo entra in vigore alla data dell'ultima firma e:

• resta efficace per tutta la durata della contitolarità relativa al Sito e ai relativi trattamenti;
• è soggetto a revisione almeno annuale o comunque ogniqualvolta intervengano modifiche rilevanti nell'organizzazione o nei trattamenti.

2. Le eventuali modifiche saranno concordate per iscritto tra le Parti e allegate al presente Accordo.

3. La cessazione della partecipazione di una Società alla contitolarità:

• non pregiudica la legittimità dei trattamenti svolti fino a quel momento;
• richiede la definizione delle modalità di conservazione, cancellazione o trasferimento dei Dati relativi.

1. Il presente Accordo è regolato dal diritto dell'Unione Europea e, per quanto qui non previsto, dal diritto italiano applicabile in materia di protezione dei dati personali.

2. Per ogni controversia relativa alla validità, interpretazione o esecuzione del presente Accordo sarà competente in via esclusiva il Foro di Padova, salvo diversa competenza inderogabile.