Accordo sul trattamento dei dati (DPA)

Questo accordo è parte integrante dei Termini per le Attività ed è concluso tra:

• l'Attività che usa il gestionale SLOTTO, in qualità di titolare del trattamento("Titolare");
• Domenico Roberto (persona fisica), residente in via della Resistenza 1b, 70015 Noci (BA), email info@slottoapp.it, in qualità di responsabile del trattamento("SLOTTO" o "Responsabile").

Con questo accordo il Titolare nomina SLOTTO responsabile per i dati personali che inserisce o gestisce nel gestionale. Restano fuori da questo accordo i trattamenti per cui SLOTTO è titolare autonomo (account degli utenti dell'app, funzionamento e sicurezza della piattaforma, dati del titolare e dei collaboratori dell'Attività), descritti nella Privacy Policy.

L'accordo è accettato dal titolare dell'Attività nel gestionale, con una casella dedicata. I termini usati hanno il significato dell'art. 4 GDPR.

SLOTTO tratta i dati per conto del Titolare al solo scopo di fornirgli i servizi del gestionale e della prenotazione online descritti nei Termini per le Attività: gestione di agenda, prenotazioni e disponibilità, schede cliente, iscrizioni, crediti, lista d'attesa, promemoria e comunicazioni ai clienti, statistiche.

Le operazioni di trattamento sono: raccolta tramite le pagine di prenotazione e l'app, registrazione, conservazione, organizzazione, consultazione, modifica, invio di messaggi per conto del Titolare, esportazione e cancellazione, svolte con strumenti informatici. SLOTTO non usa questi dati per finalità proprie e non li vende né li comunica a terzi, salvo quanto previsto da questo accordo o dalla legge.

L'accordo vale per tutta la durata dei Termini per le Attività e, dopo la loro fine, fino alla restituzione o cancellazione dei dati prevista al punto 13. Gli obblighi di riservatezza continuano anche dopo.

Interessati

• clienti dell'Attività che prenotano tramite l'app, il sito o che l'Attività inserisce nel gestionale
• iscritti e soci (per esempio di una palestra)
• collaboratori dell'Attività abilitati al gestionale, per i dati che l'Attività gestisce su di loro (turni, agenda)

Dati

• dati anagrafici e di contatto: nome, cognome, email, telefono
• prenotazioni: servizio, data e ora, numero di persone o posti, stato, note del cliente e dell'Attività
• iscrizioni e abbonamenti, crediti e loro movimenti, presenze e lista d'attesa
• data di scadenza del certificato medico sportivo e, se l'Attività la carica, copia del certificato: è un dato relativo alla salute (art. 9 GDPR), che il Titolare tratta per l'obbligo di verificare l'idoneità sportiva
• promemoria e messaggi inviati ai clienti, con canale, destinatario ed esito
• clienti importati dall'Attività

Il Titolare non inserisce nel gestionale altre categorie particolari di dati né dati relativi a condanne penali.

SLOTTO tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono: questo accordo, i Termini per le Attività e le scelte che il Titolare fa nel gestionale (per esempio attivare i promemoria, il canale e i tempi di invio, importare o cancellare clienti).

Il Titolare dà istruzione a SLOTTO di cancellare automaticamente i dati secondo questi tempi, uguali per tutte le attività: prenotazioni confermate dopo 6 mesi dalla data, prenotazioni annullate o non andate a buon fine dopo 30 giorni, storico dei crediti dopo 12 mesi, registro dei messaggi inviati dopo 6 mesi. Gli altri dati restano finché il Titolare non li cancella o fino alla fine del rapporto.

Se un'istruzione viola, secondo SLOTTO, il GDPR o altre norme sulla protezione dei dati, SLOTTO lo segnala subito al Titolare. SLOTTO tratta i dati in modo diverso solo se lo impone la legge, e in tal caso informa prima il Titolare, salvo che la legge lo vieti.

SLOTTO autorizza al trattamento solo le persone che ne hanno bisogno per fornire il servizio o l'assistenza, le istruisce e le vincola alla riservatezza. Il personale di SLOTTO accede al gestionale del Titolare solo per assistenza richiesta, sicurezza o obblighi di legge, e questi accessi sono tracciati.

SLOTTO adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• connessioni sempre cifrate (HTTPS/TLS) e server nell'Unione europea
• accesso al gestionale con account personali e ruoli; ogni attività vede solo i propri dati
• regole di accesso a livello di database e chiavi di servizio usate solo dal server
• archivio privato per i certificati medici, aperto solo con collegamenti temporanei
• credenziali dei servizi collegati dall'Attività conservate cifrate
• accesso ai sistemi di produzione limitato alle persone autorizzate
• cancellazione automatica dei dati alla scadenza dei tempi del punto 5
• aggiornamento del software e verifica periodica delle misure

Il Titolare autorizza in via generale SLOTTO a usare altri responsabili (sub-responsabili). Quelli in uso oggi sono:

SLOTTO impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli di questo accordo e risponde verso il Titolare del loro operato.

SLOTTO comunica via email e nel gestionale ogni aggiunta o sostituzione di un sub-responsabile almeno 30 giorni prima. Entro quel termine il Titolare può opporsi per motivi legati alla protezione dei dati scrivendo a info@slottoapp.it. Se non si trova una soluzione, il Titolare può recedere senza penali prima che il cambiamento si applichi.

Il database e il server di SLOTTO sono nell'Unione europea. Quando un sub-responsabile tratta dati fuori dall'UE (vedi la tabella del punto 8), il trasferimento avviene solo con le garanzie del capo V del GDPR: decisione di adeguatezza (compreso l'EU-US Data Privacy Framework) o Clausole Contrattuali Standard.

Il gestionale permette al Titolare di consultare, correggere e cancellare i dati dei propri clienti; per l'esportazione SLOTTO fornisce assistenza su richiesta. Se un interessato si rivolge a SLOTTO per dati di cui è titolare l'Attività, SLOTTO inoltra la richiesta al Titolare senza ritardo, e comunque entro 5 giorni lavorativi, e lo aiuta a rispondere nei termini di legge. SLOTTO non risponde direttamente all'interessato nel merito, salvo istruzione del Titolare.

SLOTTO informa il Titolare di ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo dal momento in cui ne viene a conoscenza, e se possibile entro 48 ore. La comunicazione indica la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte e un contatto per informazioni (art. 33.3 GDPR); le informazioni non ancora disponibili vengono fornite appena possibile.

SLOTTO aiuta il Titolare a notificare la violazione al Garante entro 72 ore e, quando serve, a comunicarla agli interessati, e documenta ogni violazione.

Tenuto conto delle informazioni di cui dispone, SLOTTO assiste il Titolare negli obblighi di sicurezza (art. 32), nelle eventuali valutazioni d'impatto e consultazioni preventive (artt. 35-36), e gli fornisce le informazioni sul servizio che gli servono per tenere il proprio registro dei trattamenti.

Alla fine del rapporto il Titolare può chiedere, entro 30 giorni, l'esportazione dei propri dati in un formato di uso comune (per esempio CSV). Trascorso questo termine, SLOTTO cancella i dati trattati per conto del Titolare entro i successivi 60 giorni, salvo che la legge ne imponga la conservazione; su richiesta conferma per iscritto l'avvenuta cancellazione.

Restano esclusi i dati di cui SLOTTO è titolare autonomo (per esempio l'account dell'app di un cliente, che resta suo).

SLOTTO mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, comprese ispezioni, svolte dal Titolare o da un revisore da lui incaricato e vincolato alla riservatezza. Salvo violazione dei dati o richiesta di un'autorità, la verifica è concordata con almeno 30 giorni di preavviso, non più di una volta l'anno, nei normali orari di lavoro e senza compromettere la sicurezza degli altri clienti di SLOTTO; i costi della verifica sono a carico del Titolare.

Ciascuna parte risponde dei danni causati agli interessati secondo l'art. 82 GDPR. I limiti di responsabilità dei Termini per le Attività non si applicano agli obblighi di protezione dei dati di questo accordo (punto 9.3 dei Termini).

In caso di contrasto tra questo accordo e i Termini per le Attività sul trattamento dei dati personali, prevale questo accordo. Le modifiche seguono il punto 12 dei Termini per le Attività; legge applicabile e foro sono quelli del punto 14 dei Termini per le Attività. Le versioni precedenti restano archiviate con la loro data.