Dichiarazione di Coupa sul Quadro in materia di protezione dei dati (DPF)

Dichiarazione sul Quadro in materia di protezione dei dati (DPF)

ai sensi del DPF UE-USA, dell'Estensione del Regno Unito al DPF UE-USA
e del DPF Svizzera-USA

Coupa (come definita in seguito) aderisce al Quadro UE-USA in materia di protezione dei dati (DPF UE-USA), all'Estensione del Regno Unito al DPF UE-USA e al Quadro Svizzera-USA in materia di protezione dei dati (DPF Svizzera-USA), come stabilito dal Dipartimento del Commercio degli Stati Uniti. Coupa ha dichiarato al Dipartimento del Commercio degli Stati Uniti di aderire ai Principi del Quadro UE-USA in materia di protezione dei dati (Principi del DPF UE-USA) per quanto riguarda il trattamento dei dati personali ricevuti dall'Unione europea in conformità al DPF UE-USA e dal Regno Unito (e Gibilterra) in conformità all'Estensione del Regno Unito al DPF UE-USA.

Ai fini della presente Dichiarazione sul DPF, i termini "Coupa", "noi", "nostro/a/i/e" e "ci" indicano Coupa Software Inc. e le seguenti entità Coupa con sede negli Stati Uniti:

• LLamasoft LLC
• Opex Analytics LLC
• Cirtuo, Inc.

Per ulteriori informazioni sul programma del Quadro in materia di protezione dei dati ("DPF") e per consultare la certificazione di Coupa, visita il sito https://www.dataprivacyframework.gov/.

Ambito

Questa Dichiarazione sul DPF descrive i principi del DPF e illustra come Coupa vi si conforma.

La presente Dichiarazione sul DPF si applica ai Dati personali trasferiti da Coupa dallo Spazio economico europeo (SEE), dal Regno Unito e/o dalla Svizzera agli Stati Uniti d'America, sulla base del DPF UE-USA, dell'Estensione del Regno Unito al DPF UE-USA e del DPF Svizzera-USA, come stabilito dal Dipartimento del Commercio degli Stati Uniti. In caso di conflitto tra i termini della presente Dichiarazione sul DPF e i Principi del DPF UE-USA e/o i Principi del DPF Svizzera-USA, prevarranno i Principi.

Puoi inoltre consultare l'Informativa sulla privacy di Coupa per maggiori informazioni sulle modalità con cui Coupa raccoglie, utilizza, divulga e protegge i Dati personali che ci fornisci, nonché sulle modalità con cui Coupa effettua trasferimenti transfrontalieri di dati e sulle misure adottate per tutelare tali Dati personali. In caso di conflitto tra i termini dell'Informativa sulla privacy di Coupa e i Principi del DPF UE-USA e/o i Principi del DPF Svizzera-USA, prevarranno i Principi.

Come definiamo i dati personali che trattiamo e che sono disciplinati dalla presente Dichiarazione:

Ai fini della presente Dichiarazione, per "Dati personali" si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile. I Principi del DPF e la presente Dichiarazione utilizzano alcuni termini definiti dalle Leggi applicabili in materia di privacy e protezione dei dati.

Per "Leggi applicabili in materia di privacy e protezione dei dati" si intendono, a titolo esemplificativo: (i) il Regolamento generale sulla protezione dei dati dell'UE (UE) 2016/679 ("GDPR"), (ii) altre leggi sulla protezione dei dati applicabili negli Stati membri del SEE, (iii) la legge sulla protezione dei dati del Regno Unito del 2018 e/o (iv) la legge federale svizzera sulla protezione dei dati ("FADP").

Raccogliamo, conserviamo, utilizziamo e condividiamo "Dati personali aziendali" e "Dati personali delle risorse umane". Ecco cosa intendiamo con questi termini:

Per "Dati personali aziendali" si intendono i dati personali che consentono di identificare, autenticare, coordinare e/o comunicare con le persone che lavorano per noi o con noi e/o per le quali forniamo beni o servizi. Queste persone includono, a titolo esemplificativo ma non esaustivo, dipendenti, agenti, collaboratori, clienti, fornitori, utenti dei nostri beni e servizi e altre persone con cui o tramite cui svolgiamo o potremmo svolgere attività commerciali o nel cui interesse operiamo. I Dati personali aziendali includono, a titolo esemplificativo ma non esaustivo, informazioni di contatto, informazioni identificative, informazioni sulla posizione, informazioni sui programmi di viaggio, informazioni relative ai beni e/o servizi che ci vengono forniti o che forniamo, applicazioni utilizzate, modalità ed entità di utilizzo delle applicazioni e informazioni presenti negli elenchi, quali nome, numero di telefono cellulare e/o fisso, numero di fax, indirizzo e-mail, indirizzo fisico, ID utente, indirizzo IP, fotografia, lingua o lingue parlate, qualifica, ruolo nell'organizzazione e sistemi o processi che tali persone sono autorizzate a utilizzare.

Per "Dati personali delle risorse umane" si intendono informazioni relative alle risorse umane e ai benefit utilizzate da una o più società Coupa per valutare, assumere e mantenere il rapporto di lavoro, gestire il rapporto di lavoro e/o di collaborazione e/o ricevere o fornire i servizi di dipendenti e/o collaboratori diretti o indiretti che siano candidati a svolgere, svolgano o abbiano svolto attività per una o più società Coupa o a beneficio di una o più società Coupa.

Come rispettiamo i Principi del DPF

Le sezioni seguenti illustrano come i Principi del DPF proteggono i tuoi dati e come le politiche e le prassi di Coupa sono conformi a tali Principi.

Principio 1: Informativa

• Partecipiamo al DPF UE-USA, all'Estensione del Regno Unito al DPF UE-USA e al DPF Svizzera-USA, e la presente Dichiarazione sul DPF illustra le modalità con cui vi aderiamo. Per consultare l'elenco DPF e ottenere maggiori informazioni sul DPF, visita l'elenco del quadro in materia di protezione dei dati.
• Raccogliamo Dati personali aziendali e Dati personali delle risorse umane, come definiti sopra. Ciascuna delle società Coupa raccoglie tali dati.
• Anche le nostre consociate statunitensi indicate di seguito rispettano i Principi del DPF secondo le medesime modalità.
  • LLamasoft LLC
  • Opex Analytics LLC
• Ci impegniamo a sottoporre ai Principi tutti i dati personali ricevuti rispettivamente dal SEE, dal Regno Unito e dalla Svizzera sulla base del DPF.
• Raccogliamo dati personali per i seguenti motivi.
  1. Per consentire di contattare gli interessati e/o consentire agli interessati di contattarsi tra loro per lo svolgimento di attività commerciali.
  2. Per poter fornire beni o servizi agli interessati e/o alle loro organizzazioni e/o ricevere beni o servizi dagli interessati e/o dalle loro organizzazioni.
  3. Per monitorare l'utilizzo dei nostri beni e servizi ai fini della manutenzione, del miglioramento e della conformità contrattuale.
  4. Per consentire a dipendenti, agenti e/o collaboratori di accedere ai sistemi e ai database necessari per svolgere le loro attività.
  5. Per gestire efficacemente le risorse umane, offrire opportunità alle persone e, in generale, mettere a disposizione consulenza e analisi relative ai rapporti tra datore di lavoro e dipendenti e ai rapporti con i collaboratori, attuali e potenziali, nonché con ex dipendenti e/o collaboratori.
• Puoi contattarci utilizzando le informazioni riportate nella sezione "Come contattare Coupa".
• Potremmo divulgare le informazioni personali a determinati soggetti terzi per finalità specifiche, come descritto nell'Informativa sulla privacy di Coupa e ulteriormente dettagliato di seguito:
  1. Persone con cui intratteniamo rapporti commerciali. Potremmo fornire dati personali ad altre persone coinvolte nella fornitura o nella ricezione di beni e/o servizi per poter collaborare alla fornitura o alla ricezione di tali beni e/o servizi.
  2. Fornitori di servizi in outsourcing. Potremmo fornire dati personali a fornitori di servizi in outsourcing che svolgono funzioni a supporto delle nostre attività commerciali. Ciò può includere attività di trattamento dei dati, archiviazione, amministrazione dei sistemi e funzioni analoghe.
  3. Successori. Se vendiamo o trasferiamo in altro modo, in tutto o in parte, la nostra attività, o valutiamo la possibilità di farlo, potremmo trasferire o condividere con l'acquirente effettivo o potenziale, o con altro soggetto cui l'attività viene trasferita, i dati personali associati all'attività effettivamente o potenzialmente venduta o trasferita.
  4. Per ottemperare agli obblighi di legge. Potremmo condividere dati personali qualora ciò sia richiesto dalle autorità preposte all'applicazione della legge, da enti governativi, tribunali o altri soggetti, laddove riteniamo che la nostra collaborazione in risposta a richieste di informazioni sia richiesta dalla legge.
  5. Forniamo informazioni personali ad altri soggetti per poter perseguire le finalità sopra indicate.
  6. Informazioni anonimizzate. Se rendiamo anonimi i dati personali, potremmo condividere tali dati con chiunque e per qualsiasi finalità.
• Hai il diritto di sapere quali dati personali conserviamo su di te. Puoi accedere a tali dati personali contattandoci utilizzando le informazioni riportate nella sezione "Come contattare Coupa" qui di seguito.
• Hai la possibilità di scegliere quali dati personali conserviamo e come li utilizziamo. Consulta i dettagli nel Principio 2: Scelta.
• Coupa si impegna a risolvere i reclami relativi alla raccolta o all'utilizzo dei tuoi dati personali. Le persone che desiderano ricevere informazioni o presentare reclami riguardo alla nostra Dichiarazione sul DPF devono innanzitutto contattare Coupa al seguente indirizzo:
  • Ufficio per la privacy
    Coupa Software, Inc.
    [email protected]
• Siamo soggetti ai poteri di indagine e di controllo della Federal Trade Commission degli Stati Uniti ("FTC"). Puoi trovare maggiori informazioni sul ruolo della FTC nell'applicazione del DPF qui.
• In determinate circostanze, puoi ricorrere all'arbitrato vincolante. Per maggiori informazioni sulle condizioni che consentono di ricorrere all'arbitrato vincolante, puoi consultare il sito web del DPF.
• Divulgheremo i dati personali in risposta a richieste legittime da parte delle autorità pubbliche, anche per soddisfare requisiti di sicurezza nazionale o di applicazione della legge.
• Se trasferiamo dati personali a una terza parte e tale trasferimento, oppure un'azione o un'omissione da parte della terza parte, comporta una violazione dei Principi, saremo responsabili del trasferimento e/o dell'azione o omissione, a meno che non dimostriamo di non essere responsabili dell'evento che ha causato il danno.

Principio 2: Scelta

• Hai il diritto di scegliere (rinunciare, mediante opt-out) se i tuoi dati personali (i) vengano divulgati a una terza parte oppure (ii) vengano utilizzati per una finalità sostanzialmente diversa dalle finalità per le quali sono stati in origine raccolti o successivamente autorizzati da te.
• Se desideri esercitare il diritto di opt-out, è sufficiente contattarci utilizzando le informazioni riportate nella sezione "Come contattare Coupa".
• Le Leggi applicabili in materia di privacy e protezione dei dati prevedono alcune eccezioni alla possibilità di esercitare il diritto di opt-out, ad esempio quando siamo parti di un contratto ancora in corso di esecuzione, quando la legge ci impone di conservare tali informazioni o in altri casi. Laddove la legge applicabile ci consenta di conservare e continuare a utilizzare tali informazioni e noi decidiamo di farlo, le utilizzeremo esclusivamente nella misura consentita o richiesta dalla legge.
• Se ci contatti per esercitare il diritto di opt-out, ti illustreremo le opzioni disponibili e daremo seguito alla tua richiesta come previsto dai Principi e dalla legge applicabile.
• La scelta/il diritto di opt-out di cui sopra non si applica quando condividiamo i tuoi dati personali con una terza parte che agisce in qualità di nostro agente, ad esempio i nostri fornitori di servizi che svolgono attività utili alla gestione della nostra attività. Non forniremo i tuoi dati personali a una terza parte in tali circostanze, a meno che non abbiamo stipulato con tale terza parte un contratto che le imponga di rispettare i Principi.
• Otterremo il tuo consenso esplicito e affermativo (opt-in) qualora associamo informazioni sensibili e tali informazioni debbano essere: (i) divulgate a una terza parte oppure (ii) utilizzate per una finalità diversa da quelle per le quali sono state originariamente raccolte o successivamente autorizzate dagli interessati mediante l'esercizio della scelta di opt-in. Consideriamo inoltre sensibili tutti i dati personali ricevuti da una terza parte qualora tale terza parte li identifichi e li tratti come informazioni sensibili.

Principio 3: Responsabilità per i trasferimenti successivi

• Quando trasferiamo dati personali a una terza parte che agisce in qualità di titolare del trattamento, rispettiamo i Principi dell'Informativa e della Scelta secondo le modalità indicate sopra.
• Inoltre, stipuliamo contratti con i titolari del trattamento terzi che prevedono che tali dati possano essere trattati esclusivamente per finalità limitate e specifiche, coerenti con il consenso fornito dall'interessato, e che il titolare del trattamento terzo garantisca lo stesso livello di protezione previsto dai Principi e ci informi qualora stabilisca di non essere più in grado di adempiere a tale obbligo. Tali contratti prevedono che, qualora venga effettuata tale determinazione, il titolare del trattamento terzo cessi il trattamento oppure adotti altre misure ragionevoli e appropriate per porre rimedio alla situazione.
• Quando trasferiamo dati personali a una terza parte che agisce in qualità di responsabile del trattamento, (i) trasferiamo tali dati esclusivamente per finalità limitate e specifiche; (ii) richiediamo, generalmente mediante contratto, almeno lo stesso livello di protezione della privacy previsto dai Principi; (iii) adottiamo misure ragionevoli e appropriate per garantire che il responsabile del trattamento tratti effettivamente i dati personali trasferiti in modo coerente con gli obblighi dell'organizzazione ai sensi dei Principi; (iv) richiediamo al responsabile del trattamento di informarci qualora stabilisca di non essere più in grado di adempiere all'obbligo di garantire lo stesso livello di protezione previsto dai Principi; (v) a seguito di tale comunicazione, anche ai sensi del punto (iv), adottiamo misure ragionevoli e appropriate per interrompere il trattamento non autorizzato e porvi rimedio; e (vi) su richiesta, forniremo al Dipartimento del Commercio una sintesi o una copia rappresentativa delle disposizioni contrattuali pertinenti in materia di privacy contenute nel nostro contratto con tale responsabile del trattamento.

Principio 4: Sicurezza

• Adottiamo misure ragionevoli e appropriate per proteggere i dati personali da perdita, uso improprio e accesso, divulgazione, alterazione e distruzione non autorizzati, tenendo debitamente conto dei rischi connessi al trattamento e della natura dei dati personali. A tal fine, ci atteniamo a politiche e prassi interne concepite per soddisfare tali requisiti.

Principio 5: Integrità dei dati e limitazione delle finalità

• Trattiamo i dati personali di cui abbiamo bisogno per svolgere la nostra attività. Trattiamo le informazioni personali esclusivamente in modo pertinente e compatibile con le finalità per le quali le abbiamo raccolte o per le quali l'interessato ha successivamente autorizzato il trattamento.
• Adottiamo misure ragionevoli per garantire che i dati personali siano affidabili per l'uso previsto, accurati, completi e aggiornati.
• Rispettiamo i Principi per tutto il periodo durante il quale conserviamo i dati personali.
• Salvo quanto diversamente consentito dai Principi, distruggiamo o rendiamo anonimi i dati personali quando non sono più necessari per le finalità di trattamento sopra indicate e/o quando cessa di sussistere una base giuridica per il loro trattamento.

Principio 6: Accesso

• Consentiamo agli interessati di accedere ai dati personali in nostro possesso che li riguardano e provvediamo a correggere, modificare o cancellare tali informazioni qualora siano inesatte o siano state trattate in violazione dei Principi. Se desideri contattarci per accedere alle tue informazioni, puoi farlo utilizzando le informazioni riportate nella sezione "Come contattare Coupa".
• Ci riserviamo il diritto di limitare tale accesso e le relative attività qualora l'onere o la spesa connessi alla concessione dell'accesso risultassero sproporzionati rispetto ai rischi per la tua privacy nel caso specifico, oppure qualora venissero violati i diritti di persone diverse da te.

Principio 7: Ricorso, applicazione e responsabilità

• In conformità al DPF UE-USA, all'Estensione del Regno Unito al DPF UE-USA e al DPF Svizzera-USA, Coupa si impegna a risolvere i reclami relativi alla raccolta o all'utilizzo dei tuoi dati personali. Le persone che desiderano ricevere informazioni o presentare reclami riguardo al nostro trattamento dei dati personali ricevuti sulla base del DPF UE-USA, dell'Estensione del Regno Unito al DPF UE-USA e del DPF Svizzera-USA devono innanzitutto contattare Coupa al seguente indirizzo:
  • Ufficio per la privacy
    Coupa Software, Inc.
    [email protected]
• In conformità al DPF UE-USA, all'Estensione del Regno Unito al DPF UE-USA e al DPF Svizzera-USA, Coupa si impegna a collaborare e a attenersi, rispettivamente, alle indicazioni del collegio istituito dalle autorità europee per la protezione dei dati (DPA), dell'Information Commissioner's Office (ICO) del Regno Unito e dell'Incaricato federale della protezione dei dati e della trasparenza (FDPIC) svizzero in relazione ai reclami irrisolti riguardanti il nostro trattamento dei Dati personali delle risorse umane ricevuti sulla base del DPF UE-USA, dell'Estensione del Regno Unito al DPF UE-USA e del DPF Svizzera-USA nell'ambito del rapporto di lavoro.
• In conformità al DPF UE-USA, all'Estensione del Regno Unito al DPF UE-USA e al DPF Svizzera-USA, Coupa si impegna a sottoporre al JAMS, un organismo di risoluzione alternativa delle controversie con sede negli Stati Uniti, i reclami irrisolti riguardanti il nostro trattamento dei dati personali ricevuti sulla base del DPF UE-USA, dell'Estensione del Regno Unito al DPF UE-USA e del DPF Svizzera-USA. Se non ricevi tempestivamente da parte nostra una conferma di ricezione del tuo reclamo relativo ai Principi del DPF, oppure se non abbiamo risolto il tuo reclamo relativo ai Principi del DPF in modo soddisfacente per te, visita il sito di JAMS per maggiori informazioni o per presentare un reclamo. I servizi di JAMS sono forniti gratuitamente.
• In determinate circostanze, puoi ricorrere all'arbitrato vincolante. Per maggiori informazioni sulle condizioni che consentono di ricorrere all'arbitrato vincolante, puoi consultare il sito web del DPF.
• Il responsabile aziendale indicato nella nostra certificazione DPF (che puoi consultare cercandoci all'indirizzo https://www.dataprivacyframework.gov/) è incaricato di verificare che le nostre attestazioni siano veritiere e che siano state attuate prassi in materia di privacy. Tale persona dispone dell'autorità necessaria per svolgere tali funzioni. Inoltre, le nostre politiche e procedure impongono al nostro personale di gestire i reclami e i casi di non conformità come previsto dai Principi.
• Il personale che viola le nostre politiche in materia di privacy sarà soggetto a provvedimenti disciplinari. Le nostre procedure, contenute negli appositi manuali, nelle descrizioni delle mansioni, nelle politiche e nelle informative, comunicano il nostro impegno a rispettare i Principi e prevedono sanzioni appropriate in caso di non conformità da parte dei nostri dipendenti e agenti.
• Ci impegniamo a ottemperare tempestivamente, e a fare in modo che i nostri meccanismi indipendenti di ricorso ottemperino con la stessa tempestività, a qualsiasi richiesta di informazioni relativa al DPF da parte di qualsiasi agenzia governativa competente, e risponderemo ai reclami presentati dalle autorità degli Stati membri dell'UE, del Regno Unito o della Svizzera come previsto dai Principi.
• Ci assumiamo la responsabilità del rispetto dei Principi da parte dei nostri agenti per tutti i dati personali che riceviamo ai sensi del DPF. Imponiamo ai nostri agenti, mediante contratto o con altri mezzi, di rispettare i Principi nel trattamento di tali dati personali. Saremo e rimarremo responsabili di tale trattamento, a meno che non dimostriamo di non essere responsabili dell'evento che ha causato il danno.
• Qualora diventassimo soggetti a un provvedimento della FTC o di un tribunale a causa di una non conformità, renderemo pubbliche le sezioni pertinenti al DPF di qualsiasi relazione di conformità o valutazione presentata alla FTC, nella misura compatibile con gli obblighi di riservatezza.

Come contattare Coupa

Puoi contattarci utilizzando le seguenti informazioni.

Ufficio per la privacy
Coupa Software, Inc.
[email protected]