Accordo sul trattamento dei dati

1. Parti e oggetto

Titolare del trattamento: tu, cioè l'attività registrata sul servizio, con i dati che hai indicato nel gestionale.

Responsabile del trattamento: Riccardo Lorenzi, Via Villagrande 173, 61024 Mombaroccio (PU), P.IVA IT02669000412, contattabile a info@prenotazioneincloud.it.

Decidi tu perché e come trattare i dati dei tuoi clienti. Noi ti forniamo lo strumento e trattiamo quei dati soltanto per farlo funzionare.

2. Che cosa trattiamo per tuo conto

Le funzioni ordinarie non richiedono categorie particolari di dati ai sensi dell'art. 9 GDPR. Poiché note e tag sono campi liberi, devi evitare di inserirvi dati sanitari o altre categorie particolari salvo che il trattamento sia necessario, disponga di una valida base giuridica e siano state impartite istruzioni adeguate. In tal caso ci informi prima dell'uso sistematico, così da poter valutare insieme le misure necessarie.

3. Istruzioni e limiti

Trattiamo i dati soltanto sulla base delle tue istruzioni documentate. Costituiscono istruzioni questo accordo, i Termini e condizioni e l'uso che fai delle funzioni del servizio: ogni operazione che avvii dal gestionale, dall'app o dalla tua pagina pubblica è un'istruzione a trattare i dati in quel modo.

Non usiamo i dati dei tuoi clienti per finalità nostre: non li rivendiamo, non li cediamo ad altre attività, non li usiamo per promuovere il servizio e non li usiamo per addestrare sistemi di intelligenza artificiale.

Se una norma dell'Unione o italiana ci obbliga a un trattamento diverso dalle tue istruzioni, te ne informiamo prima di procedere, salvo che la stessa norma lo vieti. Se riteniamo che una tua istruzione violi la normativa sulla protezione dei dati, te lo segnaliamo.

In qualità di titolare ti impegni a impartire istruzioni lecite, fornire agli interessati le informative necessarie, individuare una base giuridica, rispettare i principi di minimizzazione e limitazione della conservazione e configurare gli accessi del personale secondo le effettive necessità.

Resti responsabile dell'esattezza dei dati, della gestione degli account autorizzati e delle decisioni sulle richieste degli interessati. Non condividi le credenziali e ci comunichi senza ritardo istruzioni, contestazioni o richieste che richiedano il nostro intervento.

4. Riservatezza

Le persone autorizzate a trattare i dati per nostro conto sono vincolate alla riservatezza, sono istruite sul trattamento e accedono solo ai dati necessari alle loro mansioni, per il tempo necessario a svolgerle.

5. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, in particolare:

• cifratura delle comunicazioni fra i dispositivi e i nostri sistemi;
• accesso ai dati riservato agli account autorizzati, con credenziali personali e password conservate in forma non reversibile;
• separazione dei dati fra le attività registrate, così che da un account non si raggiungano le prenotazioni di un'altra attività;
• protezione dagli abusi sulle interfacce pubbliche, compresi limiti alla frequenza delle richieste;
• copie di backup periodiche, conservate su infrastruttura europea, per il ripristino in caso di guasto;
• registrazione degli accessi e degli eventi rilevanti per la sicurezza.

6. Sub-responsabili

Ci autorizzi in via generale a servirci dei fornitori elencati qui sotto, ciascuno vincolato da obblighi di protezione dei dati non meno rigorosi di quelli di questo accordo. Restiamo responsabili verso di te del loro operato.

Il pagamento dell'abbonamento passa da Stripe, che agisce come titolare autonomo sui dati della transazione e non tratta i dati dei tuoi clienti finali.

I fornitori usati per email di account e telemetria interna del servizio non sono elencati qui quando trattano esclusivamente dati per i quali siamo noi il titolare. Sono descritti nella Privacy Policy. Se uno di tali fornitori viene impiegato anche per trattare dati per tuo conto, viene aggiunto a questa tabella prima dell'uso.

Se aggiungiamo o sostituiamo un fornitore te lo comunichiamo con almeno 15 giorni di anticipo. Se hai motivi fondati per opporti puoi disdire il servizio senza costi prima che la modifica abbia effetto.

7. Trasferimenti fuori dallo SEE

Database principale, server applicativo, immagini e backup sono ospitati nello Spazio economico europeo. Alcuni servizi accessori, inclusi messaggistica, notifiche push, protezione della rete e analisi opzionale dei menu, possono comportare un trattamento o un accesso da paesi terzi.

In tali casi utilizziamo una decisione di adeguatezza applicabile, incluse le eventuali adesioni valide al Data Privacy Framework, oppure le clausole contrattuali tipo della Commissione europea accompagnate, quando necessario, da misure supplementari. Le giurisdizioni dell'infrastruttura e le misure adottate sono riepilogate nella pagina sull'infrastruttura.

8. Assistenza al titolare

Ti aiutiamo, con misure tecniche e organizzative adeguate, a dare seguito alle richieste con cui i tuoi clienti esercitano i loro diritti (artt. da 15 a 22 GDPR). Le funzioni del gestionale ti permettono già di consultare, correggere, esportare e cancellare i dati di una prenotazione: dove non bastano, interveniamo su tua richiesta.

Ti assistiamo inoltre, nei limiti di quanto ci è ragionevolmente disponibile, negli adempimenti previsti dagli artt. da 32 a 36 GDPR: sicurezza del trattamento, gestione delle violazioni, valutazione d'impatto e consultazione preventiva. Se un tuo cliente si rivolge direttamente a noi, non rispondiamo nel merito e ti giriamo la richiesta senza ritardo.

9. Violazioni dei dati

Se veniamo a conoscenza di una violazione dei dati personali trattati per tuo conto te ne diamo notizia senza ingiustificato ritardo, all'indirizzo email associato al tuo account, con le informazioni di cui disponiamo: natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, conseguenze probabili e misure adottate. La notifica al Garante e agli interessati, quando dovuta, resta un adempimento tuo in quanto titolare.

10. Restituzione e cancellazione

Alla cessazione del servizio scegli tu se farti restituire i dati o farli cancellare. Puoi usare le esportazioni disponibili nel gestionale o richiedere il pacchetto assistito, come previsto dalla sezione 15 dei Termini e condizioni.

Dopo un passaggio ad altro fornitore manteniamo i dati recuperabili per almeno 30 giorni. Se chiedi la chiusura senza migrazione puoi rinunciare a tale periodo e ordinare la cancellazione senza periodo di recupero.

Alla scadenza del periodo applicabile cancelliamo i dati dai sistemi attivi senza ingiustificato ritardo e comunque entro 30 giorni. Le copie di backup vengono isolate dall'uso ordinario e sovrascritte secondo il relativo ciclo di rotazione, salvo quanto dobbiamo conservare per obblighi di legge. Fino alla cancellazione continuiamo a proteggere i dati secondo questo accordo.

11. Informazioni e verifiche

Su tua richiesta scritta mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consentiamo le verifiche, comprese le ispezioni, svolte da te o da un incaricato che non sia un nostro concorrente. Le verifiche si concordano con ragionevole preavviso, si svolgono in orario lavorativo e senza compromettere la sicurezza dei dati di altre attività.

12. Durata e modifiche

Questo accordo ha la stessa durata del contratto di servizio, ma possiede una versione autonoma perché può cambiare indipendentemente dai Termini. Le modifiche sostanziali richiedono la tua accettazione espressa. Le variazioni dell'elenco dei sub-responsabili seguono invece il procedimento di autorizzazione generale della sezione 6.

In caso di contrasto fra questo accordo e i Termini e condizioni, per il trattamento dei dati personali prevale questo accordo. Gli obblighi che per loro natura devono proseguire dopo la cessazione, inclusi riservatezza, sicurezza e cancellazione, restano efficaci fino al loro completo adempimento.