Contratto di responsabile del trattamento.

Articolo 1

Oggetto, natura e durata.

Che cosa trattiamo, perché e fino a quando.

• Oggetto. Fornitura di un servizio di conformità alla lotta contro il riciclaggio e il finanziamento del terrorismo: costituzione e conservazione di pratiche di vigilanza, screening rispetto alle liste ufficiali, predisposizione di segnalazioni di operazione sospetta.
• Natura delle operazioni. Raccolta, registrazione, strutturazione, conservazione, consultazione, estrazione, cifratura, cancellazione.
• Categorie di persone. Clienti e potenziali clienti dello studio, i loro titolari effettivi, le loro controparti e i collaboratori dello studio che utilizzano il servizio.
• Categorie di dati. Dati identificativi, documenti giustificativi, elementi di valutazione del rischio e — quando una segnalazione esiste — il suo contenuto, la cui riservatezza è protetta dall'articolo L.561-18 del code monétaire et financier.
• Durata. Quella dell'abbonamento, prolungata dei termini di conservazione di legge che Lei imposta, in particolare i cinque anni dell'articolo L.561-12.

Articolo 2

I nostri obblighi.

• Istruzioni documentate. Trattiamo i Suoi dati unicamente sulla base delle Sue istruzioni, concretizzate dall'uso che Lei fa del servizio e dal presente accordo. Se un'istruzione ci appare contraria al regolamento, gliene diamo comunicazione.
• Riservatezza. Le persone autorizzate ad accedere ai dati sono vincolate da un impegno di riservatezza. All'interno del servizio, l'accesso alle segnalazioni di operazione sospetta è inoltre limitato alle persone che Lei designa a tale titolo.
• Assistenza. La assistiamo nel rispondere alle richieste di esercizio dei diritti, nelle Sue valutazioni d'impatto e in caso di violazione dei dati — che Le notifichiamo senza ingiustificato ritardo.
• Registro. Teniamo il registro delle categorie di trattamenti effettuati per Suo conto, previsto dall'articolo 30.2.

Articolo 3

Sub-responsabili del trattamento.

Lei autorizza il ricorso ai sub-responsabili elencati di seguito. Ogni aggiunta Le viene segnalata prima della messa in servizio, il che Le lascia la facoltà di opporvisi.

L'elenco aggiornato, con i dati interessati e le garanzie applicabili, è riportato nella pagina responsabili del trattamento.

Articolo 4

Sicurezza.

Le misure che seguono sono quelle effettivamente in atto, non un elenco di intenzioni.

• Cifratura dei dati a riposo (AES-256-GCM) e in transito (TLS).
• Separazione dei dati per studio, applicata a livello della banca dati e non soltanto dal codice applicativo.
• Registrazione degli accessi e registro di integrità concatenato su ogni pratica, verificabile indipendentemente dal servizio.
• Secondo fattore di autenticazione disponibile per ogni account e imponibile all'insieme di uno studio.
• Backup cifrati e ripristino testato.

Articolo 5

Sorte dei dati alla fine del contratto.

Al termine della prestazione, Lei sceglie tra la restituzione e la cancellazione. La restituzione avviene in un formato utilizzabile, accompagnata dagli elementi di prova che ne consentono la verifica dell'integrità. La cancellazione riguarda le copie, backup compresi, entro un termine che Le indichiamo.

Una riserva, ed è importante: i dati che Lei deve conservare in virtù di un obbligo di legge — in particolare i cinque anni dell'articolo L.561-12 — non vengono cancellati finché tale obbligo permane. È il Suo dispositivo di conformità a comandare, non la fine dell'abbonamento.

Articolo 6

Audit.

Lei può chiedere la dimostrazione del rispetto di tali obblighi. Mettiamo a disposizione la documentazione tecnica del servizio e rispondiamo ai questionari di verifica. Un audit in loco può essere concordato, a Sue spese, con un preavviso ragionevole e senza compromettere la riservatezza dei dati degli altri studi.