Mappatura dell'Addendum per il trattamento dei dati Google Cloud - Leggi statali sulla privacy degli Stati Uniti

Minimizzazione e limitazione delle finalità

La raccolta e l'utilizzo da parte di un'azienda delle informazioni personali di un consumatore dovrebbero essere limitati a quanto ragionevolmente necessario per raggiungere gli scopi per i quali le informazioni personali sono state raccolte o trattate.

I clienti decidono quali informazioni inserire nei servizi e quali servizi utilizzare, come utilizzarli e a quale scopo. Google si impegna ad accedere o utilizzare i dati dei clienti solo per fornire, proteggere e monitorare i servizi in conformità con i termini contrattuali. 

Stati applicabili: CA, CO, CT, DE, FL, IN, MT, OR, TN, TX, VA

Riferimento ATDC: Sezione 5.2 (Rispettare le istruzioni del Cliente) e Sezione 7.1.2 (Accesso e conformità) dei Termini generali dell'ATDC.

Sicurezza dei dati

Le aziende devono stabilire, implementare e mantenere ragionevoli prassi di sicurezza dei dati a livello amministrativo, tecnico e fisico per proteggere la riservatezza, l'integrità e l'accessibilità dei dati personali.

Oltre alle misure di sicurezza descritte nell'Appendice 2 del CDPA, Google offre funzionalità che consentono ai clienti di implementare ulteriori salvaguardie per proteggere le informazioni personali, il che potrebbe richiedere un'adeguata configurazione delle funzionalità nel cloud sotto la gestione del cliente.

Google gestisce la sicurezza della sua infrastruttura, ovvero l'hardware, il software, la rete e le strutture che supportano i servizi. Google riconosce che le istituzioni devono esaminare i nostri controlli interni nell'ambito dell'analisi del rischio. Per aiutare, Google si sottopone a diversi controlli indipendenti di terze parti almeno una volta all'anno per fornire una verifica indipendente delle nostre operazioni e dei controlli interni. Google si impegna a rispettare i seguenti standard internazionali fondamentali durante il periodo di validità del contratto:

• ISO/IEC 27001:2013 (Sistemi di gestione della sicurezza delle informazioni)
• SOC 2
• SOC 3

Google fornisce inoltre ai clienti informazioni dettagliate sulle nostre pratiche di sicurezza all'indirizzo:

• Pagina Sicurezza dell'infrastruttura
• Whitepaper sulla sicurezza
• Whitepaper sulla sicurezza cloud-native
• Pagina Panoramica sulla progettazione della sicurezza dell'infrastruttura
• Pagina delle risorse di sicurezza
• Pagina delle risorse per la conformità di Google Cloud

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: Sezione 7.1 (Misure, controlli e assistenza in materia di sicurezza da parte di Google), Sezione 7.3 (Responsabilità e valutazione in materia di sicurezza del Cliente), Sezione 7.4 (Certificazioni di conformità e report SOC) delle Condizioni generali e Appendice 2 (Misure di sicurezza) dell'ATDC.

Discriminazione dovuta all'esercizio dei diritti

Le attività non possono discriminare i consumatori che esercitano i loro diritti.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento CDPA: N/A

Elaborazione discriminatoria

Un'attività non può trattare dati personali in violazione delle leggi statali e federali che vietano la discriminazione illegale nei confronti dei consumatori.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CO, CT, DE, FL, IA, IN, MT, TN, TX, VA

Riferimento CDPA: N/A 

Richieste di consenso/rifiuto dei dati sensibili

Un'attività non può trattare dati sensibili relativi a un consumatore senza ottenere il suo consenso o, nel caso di un minore noto, in conformità con la COPPA.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento CDPA: N/A 

Altri obblighi di ottenimento del consenso

Un'azienda non può utilizzare i dati raccolti da un dispositivo (ad es. riconoscimento facciale o vocale) per scopi di sorveglianza senza il consenso degli interessati.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: FL

Riferimento CDPA: N/A 

Minori: consenso per la vendita, la condivisione e la pubblicità mirata

Un'attività non può trattare i dati personali di un minore per la pubblicità mirata o una vendita, senza il consenso.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA, CT, MT, OR

Riferimento CDPA: N/A 

Notifica al momento della raccolta

Un'azienda deve fornire ai consumatori un avviso al momento della raccolta delle informazioni personali o prima.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA

Riferimento CDPA: N/A 

Informativa sulla privacy

Le aziende devono fornire ai consumatori un'Informativa sulla privacy che spiega come verranno trattati i loro dati personali e quali sono i diritti del consumatore.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento CDPA: N/A

Altri obblighi di trasparenza

Le informazioni da fornire ai consumatori devono essere accessibili e comprensibili.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA, CO, FL

Riferimento CDPA: N/A

Informativa sulle vendite e sulla pubblicità mirata

Un'attività deve comunicare le vendite di informazioni personali o di pubblicità mirata e offrire la possibilità di disattivare queste attività.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento CDPA: N/A

Elaborazione di dati anonimizzati e dati pseudonimi

Un'azienda che utilizza dati anonimizzati deve adottare misure ragionevoli per garantire che tali dati non possano essere associati a un consumatore e richiedere a tutti i destinatari di questi dati anonimizzati di rispettare questo obbligo.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali. Google si impegna ad accedere o utilizzare i dati dei clienti solo per fornire, proteggere e monitorare i servizi in conformità con i termini contrattuali.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: sezione 5.2 (Conformità con le istruzioni del cliente) dei Termini generali dell'ATDC.

Valutazioni sulla protezione dei dati

Un'azienda deve condurre una valutazione sulla protezione dei dati per determinate attività di trattamento.

Google si impegna a fornire una collaborazione e un'assistenza ragionevoli ai clienti nella conduzione delle loro valutazioni di impatto sulla protezione dei dati. Per la piattaforma Google Cloud o i servizi Google Workspace, consulta la pagina delle risorse DPIA di Google per saperne di più su cosa sia una DPIA e se ne hai bisogno per l'utilizzo di questi servizi.

Stati applicabili: CO, CT, DE, FL, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: sezione 8 (Valutazioni dell'impatto e consultazioni) dei Termini generali dell'ATDC.

Limitazione alla rivendita di informazioni personali

Una terza parte non deve vendere informazioni personali che le sono state vendute da un'attività.

Google non vende mai i dati dei clienti. Google accederà o utilizzerà i dati dei clienti solo per fornire, proteggere e monitorare i servizi in conformità con i termini contrattuali.

Stati applicabili: CA

Riferimento ATDC: sezione 5.2 (Conformità con le istruzioni del cliente) dei Termini generali dell'ATDC.

Requisiti per la formazione e la tenuta dei registri

Le aziende sono tenute a formare i dipendenti per gestire le richieste dei consumatori e conservare i dati relativi alle richieste e alle risposte dei consumatori per 24 mesi.

Questa è una responsabilità del cliente in base alle sue operazioni aziendali.

Stati applicabili: CA

Riferimento CDPA: sezione 12.2 (Registri di trattamento di Google) delle Condizioni generali del CDPA.

Requisiti contrattuali per tutte le vendite, condivisioni o divulgazioni di informazioni personali a fornitori di servizi o appaltatori

Un'azienda che vende informazioni personali di un consumatore deve stipulare un contratto con la terza parte con determinati requisiti.

Google non acquista né vende i dati personali dei clienti a terze parti. Google richiede ai propri subappaltatori di soddisfare i nostri stessi standard elevati. In particolare, Google richiede ai subappaltatori di rispettare il contratto stipulato con te e di accedere ai tuoi dati e utilizzarli solo nella misura necessaria per adempiere agli obblighi assunti mediante subappalto. Google rimane responsabile di tutti gli obblighi assunti mediante subappalto.

Stati applicabili: CA

Riferimento ATDC: sezione 11.3 (Requisiti per l'incarico di sub-responsabile) dei Termini generali dell'ATDC.

Stato Titolare/Responsabile

La determinazione se una parte sia un titolare o un responsabile del trattamento in relazione a uno specifico trattamento di dati personali è una decisione basata sui fatti e dipende dal contesto in cui i dati personali devono essere trattati.

Ai fini di Google Cloud, Google agisce in qualità di responsabile del trattamento dei dati personali del cliente. Il Cliente è titolare o responsabile del trattamento, a seconda dei casi.

Stati applicabili: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: sezione 4.1 (Ruoli delle parti) dei Termini generali dell'ATDC.

Requisiti del contratto

Un contratto tra un titolare del trattamento e un responsabile del trattamento deve disciplinare le procedure di trattamento dei dati del responsabile del trattamento effettuate per conto del titolare del trattamento.

Il contratto del cliente, che include l'Addendum per il trattamento dei dati Cloud, regola le procedure di Google per il trattamento dei dati per conto del cliente.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento CDPA: Allegato 1 (oggetto e dettagli del trattamento dati) del CDPA.

Limitazioni all'utilizzo dei dati

Il contratto tra un titolare del trattamento e un responsabile del trattamento deve stabilire le istruzioni per il trattamento dei dati, la natura e le finalità del trattamento, il tipo di dati oggetto di trattamento, la durata del trattamento e i diritti e gli obblighi di entrambe le parti.

Google si impegna a trattare i dati personali dei clienti esclusivamente in conformità con l'ATDC, compreso l'Allegato 1, che descrive l'oggetto e la durata del trattamento, la natura e lo scopo del trattamento e le categorie di dati. 

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: Sezione 5.2 (Rispetto delle istruzioni del Cliente) e Sezione 7.1.2 (Accesso e conformità) dei Termini generali e Appendice 1 (Oggetto e dettagli del trattamento dei dati) dell'ATDC.

Imporre ai dipendenti l'obbligo di riservatezza

Il contratto tra un titolare del trattamento e un responsabile del trattamento garantirà che ogni persona che tratta dati personali sia soggetta a un obbligo di riservatezza.

I clienti possono accedere ai propri dati (compresi quelli degli utenti finali) su Google Cloud in qualsiasi momento. Se Google riceve una richiesta da un individuo (ad es. un utente finale del cliente) relativa ai dati personali del cliente, il nostro team dedicato alla privacy consiglierà al richiedente di inviare la richiesta a te, il cliente Google Cloud. I clienti Google Cloud possono quindi gestire la risposta a queste richieste in base alle loro procedure e ai loro requisiti interni.

Stati applicabili: CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, UT, VA

Riferimento ATDC: Sezione 7.1.2 (Accesso e conformità) delle Norme generali e Sezione 4 (Sicurezza del personale) dell'Appendice 2 (Misure di sicurezza) del CDPA.

Requisiti di controllo

Il contratto tra titolare e responsabile del trattamento per conto di un'altra entità deve garantire che il responsabile del trattamento per conto di un'altra entità fornisca all'attività informazioni per dimostrare la conformità agli obblighi del responsabile del trattamento per conto di un'altra entità, su richiesta, e che si sottoponga a controlli indipendenti annuali utilizzando quadri di controllo accettati.

Google supporta la conformità dei clienti rendendo disponibile la documentazione di sicurezza pertinente per la revisione da parte dei clienti e sottoponendosi a diversi controlli indipendenti di terze parti almeno una volta all'anno per fornire una verifica indipendente delle proprie operazioni e dei controlli interni. La pagina Gestione dei report di conformità di Google offre un accesso facile e on demand a queste risorse fondamentali per la conformità, senza costi aggiuntivi. Queste risorse chiave includono le certificazioni ISO/IEC più recenti, i rapporti SOC (Service Organization Controls) e le nostre autovalutazioni.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Riferimento CDPA: Sezione 7.4 (Conformità, certificazioni e report SOC) e Sezione 7.5 (Revisioni e controlli di conformità) dei Termini generali del CDPA.

Assistenza con gli obblighi del titolare del trattamento

Il responsabile del trattamento deve attenersi alle istruzioni dell'attività e aiutarla tenendo conto della natura del trattamento e delle informazioni disponibili per il responsabile del trattamento, rispondendo alle richieste relative ai diritti dei consumatori.

Google si impegna ad assistere i clienti con le richieste dei consumatori nella Sezione 9 dei Termini generali dell'ATDC.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Riferimenti al CDPA: consulta le risposte nelle sezioni Diritti dei consumatori e Attività/responsabilità delle attività, riportate sopra. Sezione 9 (Accesso; Diritti dell'interessato; Esportazione dei dati) e Sezione 9.2.2 (Assistenza di Google per le richieste degli interessati) delle Condizioni generali del CDPA.

Assistenza con gli obblighi del titolare del trattamento

Il responsabile del trattamento deve attenersi alle istruzioni dell'attività e assisterla nel: tenere conto della natura del trattamento e delle informazioni disponibili per il responsabile del trattamento, adempiere ai propri obblighi in relazione alla sicurezza del trattamento dei dati personali e alla notifica di una violazione della sicurezza.

Google implementa e mantiene misure tecniche, organizzative e fisiche per proteggere i dati dei clienti da divulgazione o accesso non autorizzati. Google fornisce ai clienti una notifica e i dettagli di un incidente relativo ai dati tempestivamente e senza ingiustificato ritardo. Google mette inoltre a disposizione dei clienti controlli aggiuntivi per la sicurezza. 

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TX, UT, VA

Riferimento CDPA: Sezione 7.1 (Misure, controlli e assistenza in materia di sicurezza da parte di Google), Sezione 7.1.4 (Assistenza in materia di sicurezza da parte di Google), Sezione 7.2 (Incidenti relativi ai dati), Sezione 7.2.1 (Notifica degli incidenti) e Sezione 7.3 (Responsabilità e valutazione in materia di sicurezza del Cliente) dei Termini generali e Appendice 2 (Misure di sicurezza) del CDPA.

Assistenza con gli obblighi del titolare del trattamento

Tenendo conto della natura del trattamento e delle informazioni disponibili per il responsabile del trattamento, quest'ultimo accetterà le istruzioni dell'attività e la assisterà fornendo le informazioni necessarie per condurre le valutazioni sulla protezione dei dati.

Google si impegna ad assistere i clienti nelle valutazioni della protezione dei dati nella Sezione 8 dei Termini generali del CDPA. Inoltre, per la piattaforma Google Cloud e Google Workspace, Google gestisce un centro risorse DPIA per assistere i clienti.

Stati applicabili: CA, CO, CT, DE, FL, IN, MT, OR, TX, VA

Riferimento ATDC: sezione 8 (Valutazioni dell'impatto e consultazioni) dei Termini generali dell'ATDC.

Diritto di opposizione del subappaltatore

Non è possibile coinvolgere un subappaltatore che gestisce dati personali a meno che l'attività non abbia la possibilità di opporsi.

Google invia ai clienti un avviso che include informazioni su qualsiasi nuovo incarico di sub-responsabile e la possibilità di opporsi tramite recesso dal contratto per motivi di opportunità. Data la natura one-to-many dei nostri servizi, Google non è in grado di rendere operativo un processo di approvazione per ogni singolo cliente. Google richiede ai propri subappaltatori di soddisfare i nostri stessi standard elevati e rimane responsabile di tutte le obbligazioni cedute mediante subappalto. In particolare, Google richiede ai propri subappaltatori di rispettare il contratto stipulato con te e di accedere e utilizzare i tuoi dati esclusivamente nella misura necessaria ad adempiere alle obbligazioni loro assegnate.

Stati applicabili: CO, CT, DE 

Riferimento ATDC: Sezione 11.1 (Consenso all'incarico di Sub-responsabile), Sezione 11.3 (Requisiti per l'incarico di Sub-responsabile) e Sezione 11.4 (Opportunità di opporsi all'incarico di Sub-responsabile) delle Condizioni generali del CDPA.

Elimina o restituisce i dati al termine/al completamento dei servizi

Il contratto tra titolare e responsabile del trattamento garantirà che quest'ultimo restituisca o distrugga tutti i dati personali del cliente al termine della fornitura dei servizi.

Google eliminerà tutti i dati del cliente (inclusi i dati personali del cliente) alla fine del termine, in conformità con la legge applicabile ed entro un periodo massimo di 180 giorni. Ulteriori dettagli sul processo di eliminazione dei dati e sugli impegni di Google sono disponibili nell'ATDC e nella documentazione relativa all'eliminazione dei dati su Google Cloud.

Stati applicabili: CA, CO, CT, DE, FL, IA, IN, MT, OR, TN, TX, VA

Riferimento all'ATDC: Sezione 6.1 (Eliminazione da parte del Cliente) e Sezione 6.2 (Restituzione o eliminazione alla scadenza del termine) dei Termini generali dell'ATDC.

Informare il Titolare se gli obblighi non possono più essere rispettati

Un responsabile del trattamento deve informare l'attività se stabilisce di non poter più adempiere ai propri obblighi ai sensi del CCPA.

Google informerà i clienti nel caso in cui non sia in grado di adempiere ai propri obblighi ai sensi del CCPA, a meno che questa notifica non sia vietata dalla legge vigente.

Stati applicabili: CA

Riferimento CDPA: sezione 3 (Conformità) della sottosezione CCPA nell'appendice 3 (Leggi specifiche sulla privacy) del CDPA.