Accordo sul Trattamento dei Dati (DPA) – Plattio

Il presente Accordo sul Trattamento dei Dati (il "DPA") forma parte integrante dei Termini di Servizio di Plattio (i "Termini") e viene accettato insieme ad essi. Disciplina il trattamento di dati personali che Plattio LLC ("Plattio") effettua per conto del cliente (il "Cliente") nell'erogazione del Servizio, ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR"). In materia di protezione dei dati, il presente DPA prevale sui Termini, e le Clausole Contrattuali Tipo di cui alla clausola 9 prevalgono su entrambi.

1. Parti e ruoli

Il Cliente agisce in qualità di Titolare del trattamento e Plattio in qualità di Responsabile del trattamento. I termini "dati personali", "trattamento", "interessato", "violazione dei dati personali" e analoghi hanno il significato loro attribuito dal GDPR.

2. Dettagli del trattamento

• Oggetto e natura: hosting e gestione di prenotazioni e liste d'attesa, messaggistica (conferme, promemoria e campagne), CRM, analisi e report (incluse le funzioni di intelligenza artificiale) e supporto tecnico.
• Finalità: l'erogazione del Servizio conformemente ai Termini.
• Durata: la durata del contratto, più i termini di cancellazione di cui alla clausola 10.
• Categorie di interessati: clienti finali del Cliente (avventori) e personale del Cliente.
• Tipi di dati: dati identificativi e di contatto, dati delle prenotazioni, storico e note, preferenze e dati di utilizzo della piattaforma.
• Il Cliente si obbliga a non inserire categorie particolari di dati (art. 9 GDPR) né dati di minori al di sotto dell'età minima applicabile.

3. Istruzioni

Plattio tratterà i dati personali esclusivamente secondo le istruzioni documentate del Cliente, contenute nei Termini, nel presente DPA e nella configurazione del Servizio effettuata dal Cliente. Plattio informerà il Cliente qualora, a suo avviso, un'istruzione violi il GDPR o altra normativa applicabile in materia di protezione dei dati.

4. Riservatezza del personale

Plattio garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un obbligo legale di riservatezza, e che accedano ai dati solo nella misura necessaria per erogare il Servizio.

5. Sicurezza

Plattio adotta le misure tecniche e organizzative adeguate (art. 32 GDPR), che includono: cifratura TLS/AES, controllo degli accessi basato sui ruoli, autenticazione a più fattori per gli amministratori, registri di accesso e di audit, copie di backup cifrate con test periodici, separazione degli ambienti, test di sicurezza e protezione dagli attacchi DDoS. Tali misure costituiscono l'Allegato II ai fini delle Clausole Contrattuali Tipo di cui alla clausola 9.

6. Sub-responsabili

Il Cliente autorizza in via generale il ricorso a sub-responsabili. L'elenco vigente figura nella sezione dedicata ai sub-responsabili dell' Informativa sulla Privacy ed è disponibile scrivendo a [email protected]. Plattio comunicherà le aggiunte o le sostituzioni con almeno 30 giorni di anticipo (via email o avviso nella piattaforma); il Cliente potrà opporsi per motivi ragionevoli legati alla protezione dei dati e, in mancanza di una soluzione, risolvere la parte interessata del Servizio. Plattio impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e risponde nei confronti del Cliente dell'adempimento dei propri sub-responsabili.

7. Assistenza e notifica delle violazioni

Tenuto conto della natura del trattamento, Plattio assisterà il Cliente: (a) nella gestione dei diritti degli interessati, inoltrandogli senza indugio le richieste ricevute e mettendo a disposizione gli strumenti del Servizio; e (b) nell'adempimento degli obblighi in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazioni preventive (artt. da 32 a 36 GDPR), con le informazioni di cui dispone. Plattio notificherà al Cliente ogni violazione dei dati personali senza ingiustificato ritardo e, al più tardi, entro 72 ore dal momento in cui ne è venuta a conoscenza, con le informazioni disponibili ai sensi dell'art. 33, par. 3, GDPR.

8. Audit

Plattio metterà a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto del presente DPA, in primo luogo mediante la documentazione, le certificazioni e i report di cui dispone. Il Cliente potrà effettuare un audit (direttamente o tramite un terzo non concorrente vincolato alla riservatezza) al massimo una volta all'anno, con un preavviso di 30 giorni, in orario lavorativo, senza accedere ai dati di altri clienti né compromettere la sicurezza della piattaforma, e sostenendone i costi.

9. Trasferimenti internazionali

I dati vengono trattati negli Stati Uniti e in altri Paesi. Per i trasferimenti dallo SEE, con l'accettazione del presente DPA le parti sottoscrivono le Clausole Contrattuali Tipo della Commissione Europea (Decisione di Esecuzione (UE) 2021/914), modulo due (da titolare a responsabile), incorporate per rinvio: l'Allegato I si completa con le parti e i dettagli del trattamento delle clausole 1 e 2 del presente DPA; l'Allegato II, con le misure della clausola 5; la clausola 17 è disciplinata dalla legge spagnola e la clausola 18 designa i tribunali spagnoli. I sub-responsabili stabiliti negli Stati Uniti coprono i loro trasferimenti con le certificazioni EU–US Data Privacy Framework o con proprie Clausole Contrattuali Tipo.

10. Cancellazione e restituzione

Al termine del Servizio, il Cliente dispone di 30 giorni per esportare i propri dati in un formato di uso comune e leggibile da dispositivo automatico. Trascorso tale periodo, Plattio cancellerà i dati personali trattati per conto del Cliente, e le copie di backup saranno eliminate definitivamente entro un massimo di 90 giorni, salvo che un obbligo legale ne imponga la conservazione.

11. Responsabilità

La responsabilità tra le parti derivante dal presente DPA è soggetta ai limiti previsti nei Termini, fatti salvi i diritti degli interessati (che possono invocare le Clausole Contrattuali Tipo in qualità di terzi beneficiari) e il regime di responsabilità di cui all'articolo 82 GDPR.

12. Durata e contatti

Il presente DPA rimane in vigore finché Plattio tratta dati personali per conto del Cliente. Per qualsiasi questione relativa al presente DPA: