Allegato alle Clausole contrattuali tipo di Cal.com

Allegato al Cal.com Data Processing Agreement v2.3 — Versione 1.0 — Data di entrata in vigore: 1 novembre 2026

Parte 1. Modalità di applicazione delle Clausole

1.1 Il presente Allegato completa le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi adottate dalla decisione di esecuzione (UE) 2021/914 della Commissione europea del 4 giugno 2021 (le “SCC”), l’Addendum internazionale del Regno Unito sul trasferimento dei dati alle Clausole contrattuali tipo della Commissione UE, versione B1.0, in vigore dal 21 marzo 2022 (l’“Addendum UK”), e le modifiche richieste dall’Incaricato federale svizzero della protezione dei dati e della trasparenza per i trasferimenti soggetti alla Legge federale svizzera sulla protezione dei dati (le “Modifiche svizzere”), ciascuno come incorporato dal §12.4 del Cal.com Data Processing Agreement (il “DPA”).

1.2 Il testo delle SCC è incorporato per riferimento esattamente come pubblicato nella Gazzetta ufficiale dell’Unione europea (GU L 199, 7.6.2021, pag. 31), disponibile su https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj. Parte 2: Clausole obbligatorie dell’Addendum approvato, ossia il modello di Addendum B.1.0 emesso dall’ICO e presentato al Parlamento ai sensi della s119A del Data Protection Act 2018 il 2 febbraio 2022, come rivisto ai sensi della Sezione 18 di tali Clausole obbligatorie. Nessuno dei due testi è modificato, salvo tramite le opzioni, le scelte e gli Allegati consentiti dalle stesse SCC e dall’Addendum UK, come indicato nel presente Allegato.

1.3 Le SCC si applicano ai trasferimenti descritti nell’Allegato I.B che rientrano nel loro ambito consentito e richiedono tali garanzie perché nessun altro meccanismo di trasferimento valido ai sensi del DPA §12.2 copre il trasferimento. Una decisione di adeguatezza valida e applicabile, inclusa una che copra la partecipazione di Cal.com al relativo Data Privacy Framework, può essere invocata per i trasferimenti che rientrano nel suo ambito. Gli obblighi SCC esistenti non si estinguono automaticamente; la cessazione o la revoca deve rispettare le SCC e l’Addendum UK applicabili. I diritti maturati restano invariati.

1.4 Le Parti stipulano le SCC mediante valida sottoscrizione dell’Allegato I.A completato, anche tramite una firma elettronica legalmente valida incorporata nell’Accordo o nel DPA. Il record di sottoscrizione deve identificare le Parti, la versione applicabile dell’Allegato e la data di entrata in vigore. Su richiesta, Cal.com fornirà una copia della versione vincolante tra le Parti.

1.5 I termini definiti nel DPA hanno qui lo stesso significato. “Cliente” è l’esportatore dei dati e “Cal.com” è l’importatore dei dati. In caso di conflitto tra il presente Allegato e le SCC, prevalgono le SCC (DPA §12.4(j)); in caso di conflitto tra il presente Allegato e il DPA su un punto che le SCC lasciano alle Parti, prevale il presente Allegato.

Parte 2. Moduli, opzioni e scelte

Parte 3. Allegato I

A. Elenco delle Parti

Esportatore di dati

Importatore di dati

B. Descrizione del trasferimento

C. Autorità di controllo competente

La specifica autorità di controllo competente determinata ai sensi della Clausola 13(a) è identificata nelle informazioni specifiche del Cliente incorporate nel presente Allegato.

Parte 4. Allegato II — Misure tecniche e organizzative

Il presente Allegato descrive le misure che Cal.com implementa ai sensi del DPA §5 e della Clausola 8.6. È strutturato secondo le intestazioni dell'Allegato II delle SCC. Cal.com può aggiornare queste misure ai sensi del DPA §5.3, a condizione che la sicurezza complessiva dei Servizi non venga ridotta in modo sostanziale. Cal.com mette a disposizione il proprio inventario dei controlli e i report di audit indipendenti su trust.cal.com; le misure di seguito, e non l'inventario dei controlli, costituiscono la descrizione contrattuale ai fini della Clausola 8.6.

Parte 5. Allegato III — Elenco dei Subprocessors

L’elenco autorevole e aggiornato dei Subprocessors, inclusi nomi delle entità, sedi e finalità, è pubblicato su trust.cal.com ed è aggiornato in conformità al DPA §6.3. Cal.com fornisce la comunicazione scritta richiesta dalla Clausola 9(a), usando un metodo elettronico documentato ai sensi del DPA §6.3, prima dell’aggiunta o della sostituzione di un Subprocessor per il trattamento pertinente. Ai fini della Clausola 9(a), nell’ambito del Modulo Due, il Cliente concede a Cal.com un’autorizzazione generale scritta a incaricare Subprocessors dall’elenco concordato su trust.cal.com alla data in cui le SCC entrano in vigore tra le Parti. Nell’ambito del Modulo Tre, l’incarico di tali Subprocessors richiede l’autorizzazione generale scritta del Titolare del trattamento pertinente. Aggiunte o sostituzioni sono soggette alla Clausola 9(a) e al DPA §6.3–6.4 nella misura coerente con tale Clausola.

Poiché si applica l’Opzione 2 della Clausola 9(a), il presente Allegato non riproduce l’elenco.

L’Elenco dei Subprocessors identifica le sedi di trattamento pertinenti per i Dati personali del Cliente. Il paese di costituzione di un Subprocessor non costituisce una dichiarazione su dove tratti i dati. Le modifiche restano soggette ai requisiti di comunicazione e autorizzazione applicabili. I fornitori usati solo per Cal.com per le proprie finalità non sono Subprocessors e non sono elencati: analytics e pubblicità del sito marketing (Google Analytics/GTM, X Ads), Cal.com il proprio CRM (HubSpot) e le app che il Cliente collega al proprio account di terze parti (Zapier, Dub, Close.com, app GA4/GTM), per le quali il Cliente è il titolare del trattamento che impartisce istruzioni direttamente a tale fornitore.

Parte 6. Addendum del Regno Unito — tabelle completate

Tabella 1: Parti. Data di inizio: la data in cui le SCC entrano in vigore tra le Parti ai sensi della Parte 1.4. Esportatore e Importatore: come identificati nell’Allegato I.A, integrati dal nome commerciale di ciascuna Parte, se diverso, dall’indirizzo registrato o dall’indirizzo principale applicabile e dal numero di registrazione ufficiale, se presente. Contatti chiave: il titolo professionale e i recapiti registrati per ciascuna Parte. Esecuzione: in conformità alla sezione 2 dell’Addendum del Regno Unito e al relativo registro di esecuzione.

Tabella 2: SCC selezionate, Moduli e Clausole selezionate. Le SCC UE approvate, incluse le Informazioni dell’Appendice, come completate dal presente Allegato: Modulo Due o Modulo Tre, a seconda dei casi ai sensi della Parte 2; si applica la Clausola 7; il linguaggio opzionale della Clausola 11 non si applica; Clausola 9(a) Opzione 2 con il periodo di preavviso indicato nella Parte 2 (DPA §6.3); Clausole 17 e 18 come nella Parte 2, fatte salve le disposizioni della sezione 15 dell’Addendum del Regno Unito (che sostituisce le leggi e i tribunali di Inghilterra e Galles per le materie disciplinate dall’Addendum del Regno Unito). Clausola di adesione: applicabile. I dati personali ricevuti dall’importatore sono combinati con dati personali raccolti dall’esportatore? No.

Tabella 3: Informazioni dell’Appendice. Allegato 1A: come nella Parte 3.A. Allegato 1B: come nella Parte 3.B. Allegato II: come nella Parte 4. Allegato III: come nella Parte 5.

Tabella 4: Cessazione del presente Addendum quando l’Addendum approvato cambia. L’Importatore può porre fine all’Addendum del Regno Unito come previsto nella sezione 19 dello stesso.

Per i trasferimenti nel Regno Unito, i riferimenti nelle SCC al GDPR, al diritto degli Stati membri e all’autorità di controllo si intendono come indicato nell’Addendum del Regno Unito; l’autorità di controllo competente è l’Information Commissioner del Regno Unito.

Parte 7. Modifiche svizzere

Per i trasferimenti soggetti alla Legge federale svizzera sulla protezione dei dati (“FADP”):

(a) i riferimenti al GDPR si intendono come riferimenti alla FADP, e i riferimenti al diritto dell’UE o degli Stati membri in materia di protezione dei dati come riferimenti al corrispondente diritto svizzero in materia di protezione dei dati, senza modificare le scelte contrattuali su legge applicabile e foro di cui al paragrafo (d), nella misura in cui il trasferimento sia soggetto esclusivamente alla FADP; quando un trasferimento è soggetto sia al GDPR sia alla FADP, le SCC si applicano in parallelo ai sensi di entrambi;

(b) l’Incaricato federale svizzero della protezione dei dati e della trasparenza è competente per i trasferimenti disciplinati dalla FADP; quando si applica anche il GDPR, resta competente l’autorità competente identificata ai sensi della Clausola 13 per le questioni relative al GDPR;

© il termine “Stato membro” non è interpretato in modo da escludere gli interessati in Svizzera dal far valere in giudizio i propri diritti nel luogo della loro residenza abituale in Svizzera ai sensi della Clausola 18©;

(d) la legge applicabile e il foro ai sensi delle Clausole 17 e 18 restano quelli indicati nella Parte 2, salvo diversa disposizione obbligatoria del diritto svizzero.

Parte 8. Dettagli del Modulo Tre

Quando il Cliente agisce come Responsabile del trattamento per un Titolare del trattamento terzo:

(a) il Cliente conferma che il Titolare del trattamento ha autorizzato l’incarico di Cal.com come sub-responsabile e il trasferimento ai sensi delle SCC, e che il Cliente trasmetterà le istruzioni del Titolare del trattamento, incluse quelle sulle richieste degli interessati, sulla cancellazione e sugli audit, tramite i canali previsti nel DPA;

(b) Le notifiche devono raggiungere i destinatari richiesti da ciascuna disposizione applicabile delle SCC. Il Cliente inoltrerà le notifiche quando le SCC gli attribuiscono tale responsabilità. Cal.com notificherà direttamente il Titolare del trattamento ove richiesto dalle SCC, anche ai sensi della Clausola 8.6© ove appropriato e fattibile. Qualsiasi accordo di notifica autorizzato tramite il Cliente deve preservare i diritti del Titolare del trattamento e le tempistiche richieste dalle SCC.

© Il Cliente manleva Cal.com da reclami del Titolare del trattamento derivanti dalla mancanza di autorità del Cliente o da istruzioni che Cal.com riceve tramite il Cliente (DPA §12.4(a)). Questa manleva non limita gli obblighi o la responsabilità di Cal.com ai sensi delle SCC.