Accordo sul trattamento dei dati per le Chiese all'estero

La chiesa che utilizza il servizio al di fuori della Repubblica di Corea (la «Chiesa») e Wesleysoft (la «Società») convengono quanto segue in merito al trattamento, da parte della Società per conto della Chiesa, dei dati personali che la Chiesa inserisce in Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) e Wesley Simbang Plus (웨슬리 심방플러스) (il «Servizio»). Il presente Accordo si applica unitamente alle Condizioni d'uso della Società, alla sua informativa sulla privacy e all'«Allegato all'informativa sulla privacy per le Chiese all'estero» (l'«Allegato»). In caso di difformità tra tali documenti in merito al trattamento dei dati personali, prevale il presente Accordo.

Articolo 1 (Ruoli)

1. Per quanto riguarda i dati personali che la Chiesa inserisce nel Servizio, la Chiesa determina le finalità e i mezzi del trattamento (titolare del trattamento) e la Società tratta i dati per conto della Chiesa (responsabile del trattamento).
2. La Chiesa è tenuta a garantire che la raccolta dei dati personali e il loro inserimento nel Servizio siano conformi alla legge del paese della Chiesa; essa informa i membri del trattamento e ne ottiene il consenso ove richiesto.

Articolo 2 (Dettagli del trattamento)

La materia disciplinata e la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati sono indicati nell'Appendice 1.

Articolo 3 (Trattamento su istruzione della Chiesa)

1. La Società tratta i dati personali soltanto su istruzione documentata della Chiesa. L'utilizzo delle funzionalità e la scelta delle impostazioni da parte della Chiesa nelle schermate del Servizio sono considerati istruzioni della Chiesa.
2. La Società non tratta i dati personali per finalità diverse dalla fornitura del Servizio, salvo che vi sia tenuta per legge. Qualora la legge imponga il trattamento, la Società ne informa la Chiesa prima del trattamento, salvo che la legge lo vieti.
3. Se la Società ritiene che un'istruzione della Chiesa violi la normativa in materia di protezione dei dati, ne informa senza indugio la Chiesa.

Articolo 4 (Riservatezza)

La Società limita al minimo necessario le persone autorizzate a trattare i dati personali e garantisce che esse siano vincolate da un obbligo di riservatezza. Tale obbligo permane anche dopo la cessazione della loro attività.

Articolo 5 (Misure di sicurezza)

La Società adotta misure tecniche e organizzative adeguate ai rischi per i dati personali, come indicato nell'Appendice 2. La Società può modificare tali misure in funzione dell'evoluzione tecnologica, senza tuttavia ridurre il livello di protezione.

Articolo 6 (Separazione per chiesa)

La Società mantiene i dati della Chiesa separati dai dati delle altre chiese e garantisce che gli utenti di altre chiese non possano vedere i dati della Chiesa.

Articolo 7 (Sub-trattamento)

1. La Chiesa autorizza la Società ad avvalersi dei sub-responsabili del trattamento elencati nell'Appendice 3.
2. Se la Società intende aggiungere o sostituire un sub-responsabile del trattamento, ne informa la Chiesa con un preavviso di almeno 30 giorni, e la Chiesa può opporsi per motivi ragionevoli entro tale termine. Se la Società non accoglie l'opposizione, la Chiesa può recedere dal contratto di servizio senza penali.
3. La Società impone contrattualmente a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati di livello pari a quelli del presente Accordo e rimane responsabile nei confronti della Chiesa qualora un sub-responsabile del trattamento ometta di adempiere tali obblighi.

Articolo 8 (Assistenza per i diritti degli interessati)

1. Quando membri o altri interessati esercitano diritti quali l'accesso, la rettifica, la cancellazione, la limitazione del trattamento o la portabilità dei dati, la Società mette a disposizione le funzionalità del Servizio e la collaborazione necessarie affinché la Chiesa possa dare riscontro.
2. Se un interessato presenta una richiesta direttamente alla Società, la Società la inoltra senza indugio alla Chiesa e non vi dà riscontro direttamente senza istruzioni della Chiesa.

Articolo 9 (Violazioni dei dati personali)

1. Se la Società viene a conoscenza di un incidente a seguito del quale i dati personali della Chiesa sono stati o potrebbero essere stati divulgati, ne informa la Chiesa senza indugio e, in ogni caso, entro 48 ore dal momento in cui ne è venuta a conoscenza.
2. La notifica descrive la natura e le circostanze dell'incidente, le categorie e il numero approssimativo di interessati e di registrazioni dei dati personali in questione, le probabili conseguenze, le misure adottate o che la Società intende adottare, nonché un referente. Le informazioni che non possono essere fornite contestualmente sono fornite in fasi successive, man mano che se ne viene a conoscenza.
3. La Società fornisce le informazioni e la collaborazione necessarie affinché la Chiesa possa effettuare la notifica all'autorità di controllo e la comunicazione agli interessati ai sensi della legge del proprio paese.

Articolo 10 (Altra assistenza)

Tenendo conto della natura del trattamento e delle informazioni a disposizione della Società, la Società fornisce alla Chiesa le informazioni di cui questa necessita per adempiere i propri obblighi ai sensi della legge del suo paese, quali garantire la sicurezza, effettuare valutazioni d'impatto sulla protezione dei dati e procedere alla consultazione preventiva dell'autorità di controllo.

Articolo 11 (Luogo di conservazione e trasferimenti internazionali)

1. La Società conserva i dati della Chiesa su server situati nella Repubblica di Corea e non li trasferisce al di fuori della Repubblica di Corea, salvo quanto descritto all'articolo 6 dell'Allegato (indicazioni stradali).
2. I trasferimenti dal paese della Chiesa alla Repubblica di Corea seguono l'articolo 4 dell'Allegato. Qualora la legge di tale paese richieda uno strumento distinto, come le clausole contrattuali tipo, la Chiesa e la Società lo predispongono unitamente al presente Accordo.

Articolo 12 (Restituzione e distruzione dopo la cessazione del contratto di servizio)

1. La Chiesa può scaricare i propri dati mediante la funzione di esportazione del Servizio prima della cessazione del contratto di servizio e per 90 giorni dopo la sua cessazione.
2. Decorso tale periodo, la Società distrugge i dati della Chiesa in modo che non possano essere recuperati. Se la Chiesa ne chiede la distruzione immediata, la Società distrugge i dati senza indugio. I dati la cui conservazione è imposta dalla legge sono conservati per il periodo prescritto.
3. I dati residui nelle copie di backup sono distrutti dopo 90 giorni per i backup sui server della Società e dopo 1 anno per i backup su un dispositivo di archiviazione separato gestito dalla Società. Fino ad allora, non sono utilizzati per finalità diverse dal ripristino.
4. Su richiesta della Chiesa, la Società conferma per iscritto l'avvenuta distruzione.

Articolo 13 (Informazioni e verifiche)

1. La Società mette a disposizione della Chiesa le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente Accordo.
2. La Chiesa può sottoporre domande scritte una volta all'anno, alle quali la Società risponde gratuitamente. Se la Chiesa o un revisore da essa incaricato intende effettuare una verifica in loco, la richiesta deve essere presentata con 30 giorni di anticipo e i relativi costi sono a carico della Chiesa. Il revisore è vincolato da un obbligo di riservatezza.

Articolo 14 (Responsabilità)

La Chiesa e la Società rispondono ciascuna nei confronti dell'altra dei danni causati dalla propria violazione del presente Accordo o della legge. La responsabilità della Società è limitata all'importo complessivo dei corrispettivi pagati dalla Chiesa nei 12 mesi precedenti la data in cui si è verificato il danno. Tale limite non si applica ai danni causati da dolo o colpa grave della Società, né qualora la legge non consenta di limitare la responsabilità.

Articolo 15 (Durata)

Il presente Accordo è efficace dalla data in cui la Chiesa, dopo l'approvazione da parte della Società, conclude il contratto di servizio, fino all'adempimento degli obblighi di cui all'articolo 12 successivamente alla cessazione del contratto di servizio.

Articolo 16 (Legge applicabile e foro competente)

Il presente Accordo è disciplinato dalla legge della Repubblica di Corea. Restano tuttavia applicabili le disposizioni della normativa in materia di protezione dei dati del paese della Chiesa alle quali non è possibile derogare per accordo, nonché i poteri dell'autorità di controllo di tale paese. Le controversie relative al presente Accordo sono di competenza del tribunale nella cui circoscrizione si trova l'indirizzo della Società.

Articolo 17 (Lingua e conclusione)

1. La versione coreana del presente Accordo costituisce l'originale facente fede. In caso di difformità tra una traduzione e tale versione, prevale l'originale coreano, salvo che la legge del paese della Chiesa disponga diversamente.
2. Il presente Accordo si intende concluso quando la Chiesa seleziona «Accetto» (동의) per il presente Accordo sulla schermata. La Società ne conserva traccia e, su richiesta della Chiesa, ne fornisce una copia firmata.

Appendice 1 — Dettagli del trattamento

Materia disciplinata	Dati dei membri e registrazioni contabili che la Chiesa inserisce nel Servizio
Categorie di interessati	Membri e loro familiari, nuovi arrivati e visitatori, donatori, personale della chiesa e utenti del Servizio
Tipo di dati personali	Gli elementi di cui all'articolo 2 dell'informativa sulla privacy e all'articolo 3 dell'Allegato — nome (cognome e nome in caratteri latini), sesso, data di nascita (facoltativa), recapiti, indirizzo, fotografia, incarico ecclesiale, distretto (suddivisione della comunità) e riunione di classe (class meeting), categoria di membro, registrazioni di battesimo e confermazione, servizi svolti e professione, rapporti familiari, presenze, resoconti delle visite e intenzioni di preghiera, note di cura pastorale, registrazioni delle offerte, registrazioni dei consensi al trattamento dei dati personali e informazioni sui donatori per le ricevute per donazioni del paese interessato
Categorie particolari di dati	Il fatto di essere membro della chiesa e le registrazioni relative alla vita religiosa (dati che rivelano le convinzioni religiose); i dati relativi alla salute che la Chiesa inserisce nelle note di cura pastorale
Natura e finalità	Fornitura del Servizio — conservazione, consultazione, modifica, stampa, esportazione, backup, invio di e-mail e redazione di testi per le visite (non sono trasmesse informazioni che identificano un membro)
Durata	La durata del contratto di servizio e 90 giorni dopo la sua cessazione (copie di backup: articolo 12, paragrafo 3 — 90 giorni sui server, 1 anno sul dispositivo di archiviazione separato)

Appendice 2 — Misure di sicurezza

• Cifratura dei dati in transito (HTTPS)
• Password conservate esclusivamente mediante un metodo irreversibile
• Separazione dei dati per chiesa — una barriera per ciascuna chiesa nella banca dati, in modo che i dati di altre chiese non possano essere letti
• Autorizzazioni basate sui ruoli e conservazione dei registri di accesso
• Firewall — sono aperte soltanto le porte necessarie per l'accesso web e per l'accesso amministrativo; la banca dati non è raggiungibile dall'esterno del server
• Software antimalware — aggiornamento automatico delle firme e scansioni giornaliere
• Backup periodici — giornalieri sul server, copiati su un dispositivo di archiviazione separato gestito dalla Società (server 90 giorni, dispositivo di archiviazione separato 1 anno)

Appendice 3 — Sub-responsabili del trattamento (tutti stabiliti nella Repubblica di Corea e che trattano i dati nella Repubblica di Corea)

Sub-responsabile del trattamento	Attività
YourIT Co., Ltd.	Fornitura di server e spazio di archiviazione; conservazione dei dati
NHN Cloud Corp.	Invio di e-mail (non vengono inviati SMS a numeri di cellulare al di fuori della Corea)
Upstage Co., Ltd.	Redazione di bozze di prediche in Wesley Simbang Plus (non sono trasmesse informazioni che identificano un membro)
Toss Payments Co., Ltd.	Elaborazione dei pagamenti dei corrispettivi (le Chiese all'estero pagano attualmente tramite bonifico bancario)