Accordo sul trattamento dei dati

1. Parti e oggetto

Il presente accordo (“DPA”) integra i Termini di servizio tra il salone che utilizza BarberX (“Titolare”) e FloridaTech di Michele Dinoi, Via XXIV Maggio 9, 74020 Avetrana (TA), P. IVA 01886060738 (“Responsabile”). Disciplina il trattamento svolto da FloridaTech per conto del salone tramite BarberX ai sensi dell’art. 28 del Regolamento (UE) 2016/679.

2. Durata, natura e finalità

Il trattamento dura per il rapporto di servizio e per i tempi tecnici successivi necessari a restituzione, cancellazione e backup. Comprende raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, comunicazione tecnica, esportazione, limitazione e cancellazione. La finalità è fornire le funzioni BarberX richieste dal salone, inclusi gestione di clienti, appuntamenti, servizi, immagini, recensioni e fidelity card, assistenza, sicurezza e continuità operativa.

3. Interessati e dati trattati

Le categorie di interessati possono comprendere:

• clienti e potenziali clienti del salone;
• recensori e titolari di fidelity card;
• personale, collaboratori e referenti del salone.

Le categorie di dati possono comprendere:

• dati identificativi e di contatto, come nome, cognome, telefono ed email;
• appuntamenti, servizi, preferenze, note operative, storico e dati fidelity;
• immagini, recensioni, commenti e contenuti inseriti dal salone o dall’interessato;
• identificativi tecnici, log e dati necessari alla sicurezza del servizio.

BarberX non è progettato per categorie particolari di dati ai sensi dell’art. 9 GDPR. Il salone non deve inserirle salvo che sia strettamente necessario, disponga di una valida base giuridica e abbia concordato per iscritto misure adeguate con FloridaTech.

4. Istruzioni e obblighi del Titolare

Il presente DPA, i Termini, la configurazione del servizio e le richieste documentate del salone costituiscono le istruzioni di trattamento. Il salone garantisce liceità, correttezza e trasparenza della raccolta, individua basi giuridiche e tempi di conservazione, fornisce le informative e gestisce diritti e consensi ove necessari. FloridaTech informa il salone se ritiene che un’istruzione violi la normativa, sospendendone l’esecuzione nei limiti necessari.

5. Obblighi del Responsabile

FloridaTech si impegna a:

• trattare i dati soltanto su istruzione documentata del salone, salvo obblighi di legge;
• vincolare alla riservatezza le persone autorizzate e limitarne gli accessi secondo necessità;
• adottare misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR;
• assistere ragionevolmente il salone nell’esercizio dei diritti, nella sicurezza, nelle valutazioni d’impatto e nei rapporti con l’autorità;
• mettere a disposizione informazioni necessarie a dimostrare il rispetto dell’art. 28 e consentire le verifiche previste dal presente accordo.

6. Sicurezza

In funzione del rischio e dello stato dell’arte, le misure comprendono controllo degli accessi, autenticazione, separazione logica dei tenant, cifratura dei collegamenti, gestione dei segreti, registrazione degli eventi rilevanti, aggiornamento delle dipendenze, backup e procedure di ripristino. Il salone è responsabile di credenziali, autorizzazioni interne, dispositivi e configurazioni sotto il proprio controllo.

7. Sub-responsabili

Il salone concede un’autorizzazione generale all’impiego di sub-responsabili necessari al servizio, inclusi fornitori di hosting, database, autenticazione, archiviazione, comunicazioni e assistenza tecnica. Tra i fornitori principali rientrano Supabase e il provider di hosting dell’applicazione. Stripe opera secondo il ruolo applicabile ai propri servizi di pagamento, prevenzione frodi e fatturazione. FloridaTech impone ai sub-responsabili obblighi di protezione sostanzialmente equivalenti e informa il salone di modifiche rilevanti, consentendo obiezioni motivate per ragioni di protezione dei dati.

8. Trasferimenti fuori dal SEE

FloridaTech e i sub-responsabili effettuano trasferimenti internazionali solo nel rispetto del Capo V GDPR, mediante decisioni di adeguatezza, clausole contrattuali standard o altro meccanismo valido e, quando necessario, misure supplementari. Il salone può richiedere informazioni sulle garanzie applicate.

9. Richieste degli interessati

Se FloridaTech riceve una richiesta relativa a dati trattati per conto del salone, la inoltra al salone senza rispondere nel merito, salvo istruzione o obbligo di legge. Tenendo conto della natura del trattamento, FloridaTech assiste il salone con misure tecniche e organizzative ragionevoli. Il salone resta responsabile della risposta e dei relativi termini.

10. Violazioni di dati personali

FloridaTech informa il salone senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione relativa ai dati trattati per suo conto, fornendo progressivamente le informazioni disponibili su natura, categorie e numero approssimativo degli interessati e record, conseguenze, misure adottate e referente. Il salone valuta ed effettua le notifiche all’autorità e agli interessati.

11. Restituzione e cancellazione

Alla cessazione del servizio, su richiesta presentata prima della cancellazione definitiva, FloridaTech rende disponibili i dati in un formato ragionevolmente utilizzabile ove tecnicamente previsto. Successivamente cancella o anonimizza i dati per conto del salone, salvo obblighi di legge. Le copie di backup vengono eliminate secondo i normali cicli di sovrascrittura e restano protette e non riutilizzate per altre finalità.

12. Verifiche

Una volta l’anno, o dopo un incidente rilevante, il salone può richiedere documentazione ragionevolmente necessaria a verificare la conformità. Se insufficiente, può richiedere un audit concordato con almeno 30 giorni di preavviso, durante l’orario lavorativo, senza accesso a dati di altri clienti e senza compromettere sicurezza o riservatezza. I costi dell’audit sono del salone salvo non conformità sostanziale di FloridaTech.

13. Prevalenza e durata

In caso di conflitto sul trattamento per conto del salone, prevale il presente DPA. Esso decorre con l’accettazione dei Termini e resta efficace finché FloridaTech tratta dati per conto del salone. Per comunicazioni privacy si utilizza l’indirizzo indicato in fondo alla pagina.