Accordo sul Trattamento dei Dati (DPA)

Accordo sul Trattamento dei Dati (DPA) 1. Definizioni e Ambito di applicazione Il presente Accordo sul Trattamento dei Dati ("DPA") integra i Termini di Servizio di AdminRentist e disciplina il trattamento dei dati personali effettuato da MEDITERRAN-IA LTD ("Responsabile del trattamento" o "AdminRentist") per conto del cliente ("Titolare del trattamento"). Il Titolare del trattamento è un'azienda o un professionista che richiede i servizi della piattaforma AdminRentist per la gestione di alloggi turistici e delle attività associate a tale gestione. Il Responsabile del trattamento è una società specializzata nella fornitura di servizi tecnologici per la gestione integrata di alloggi turistici, tramite una piattaforma SaaS che consente di gestire prenotazioni, ospiti, segnalazioni, fornitori e altri servizi associati al soggiorno. Considerando che, ai sensi dei Termini di Servizio accettati dal Titolare del trattamento, il Responsabile del trattamento può accedere ai dati personali per i quali il cliente è Titolare del trattamento. Considerando che, ai sensi del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GDPR), le parti hanno concordato di sottoscrivere il presente Accordo sul Trattamento dei Dati. 2. Oggetto dell'Accordo L'oggetto del presente Accordo è disciplinare il trattamento da parte del Responsabile dei dati personali di titolarità del cliente, al fine di erogare i servizi definiti nei termini e condizioni (di seguito, i "Servizi") affidati dal Titolare. Il presente Accordo configura un accesso ai dati per conto terzi e non una cessione o comunicazione di dati personali, cosicché il cliente continua a mantenere il controllo sugli usi e sulle finalità del trattamento dei dati personali per i quali riveste la qualifica di Titolare. 3. Durata Il trattamento dei dati personali sarà effettuato per tutta la durata di efficacia dei Termini di Servizio. Alla loro cessazione, i dati potranno essere conservati per un periodo massimo di sessanta (60) giorni esclusivamente ai fini di recupero, restituzione o esportazione delle informazioni, rimanendo bloccati per qualsiasi altra finalità. Decorso tale termine, i dati saranno cancellati in modo sicuro, salvo che la loro conservazione sia richiesta da un obbligo di legge. 4. Trattamento dei dati di carattere personale Con le presenti clausole il Responsabile del trattamento è autorizzato a trattare, per conto del Titolare, i dati personali necessari all'erogazione dei Servizi. Il Responsabile del trattamento è stato selezionato avendo verificato che offre garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, in modo tale che il trattamento soddisfi i requisiti di legge e garantisca la tutela dei diritti degli interessati. Le categorie di interessati comprendono proprietari, gestori, personale addetto alla manutenzione e ospiti (nomi, e-mail, recapiti telefonici, dati delle schedine alloggiati e codici fiscali). Il Responsabile del trattamento effettuerà le seguenti operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, uso e cancellazione. 5. Obblighi del Responsable del trattamento 2.1 Trattamento su istruzioni: AdminRentist tratterà i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare e per l'erogazione dei Servizi. È escluso qualsiasi utilizzo per finalità diverse. 2.2 Riservatezza e Sicurezza: Il Responsabile garantisce che il personale autorizzato sia vincolato da obblighi di riservatezza e tratti i dati solo su istruzione del Titolare. Inoltre, non comunicherà i dati a terzi senza previa autorizzazione espressa. Il Responsabile implementerà misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR e allineate agli standard Cyber Essentials (cifratura in transito e a riposo, autenticazione a più fattori e controllo degli accessi basato sui ruoli). 2.3 Assistenza e Diritti degli interessati: AdminRentist assiste attivamente il Titolare nell'evasione delle richieste per l'esercizio dei diritti (accesso, rettifica, cancellazione, portabilità, opposizione), nonché nelle valutazioni di impatto (DPIA) e nelle consultazioni preventive con le autorità di controllo. Qualora gli interessati esercitino i diritti direttamente presso il Responsabile, questi provvederà a inoltrare la richiesta via e-mail al Titolare tempestivamente e non oltre il giorno lavorativo successivo alla ricezione. Il Responsabile metterà inoltre a disposizione del Titolare tutte le informazioni necessarie a dimostrare la conformità agli obblighi del presente Accordo. 2.4 Notifica delle violazioni di dati: AdminRentist informerà il Titolare di qualsiasi violazione di sicurezza senza ingiustificato ritardo e, ove fattibile, entro 24-48 ore dalla venuta a conoscenza dell'evento. La notifica riporterà natura della violazione, dati coinvolti, conseguenze e misure correttive. L'obbligo di notifica all'autorità garante entro 72 ore rimane a carico del Titolare. 6. Obblighi del Titolare del trattamento Spetta al Titolare: 6.1 Adottare tutte le misure necessarie a garantire la sicurezza dei dati personali, prevenendone alterazione, perdita o accessi non autorizzati. 6.2 Comunicare tempestivamente variazioni nei dati per consentirne l'aggiornamento. 6.3 Raccogliere i dati nel pieno rispetto della normativa applicabile sulla protezione dei dati. 6.4 Il Titolare garantisce: a. Di aver acquisito i dati direttamente dagli interessati informandoli preventivamente e in modo inequivocabile in merito a: • Esistenza della banca dati. • Finalità della raccolta. • Destinatari delle informazioni. • Conseguenze del mancato conferimento. • Esercizio dei diritti (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità). • Identità e recapiti del Titolare. b. Di aver esplicitato finalità legittime e determinate. c. Di offrire una modalità agevole e gratuita di opposizione al trattamento. d. Di aver adottato le misure di sicurezza idonee. e. Che i dati siano trattati unicamente da dipendenti incaricati e formati in materia di privacy. f. La liceità del trattamento effettuato. g. La nomina di un DPO (Responsabile della Protezione dei Dati) ove normativamente richiesto. h. La tenuta del Registro delle Attività di Trattamento. 7. Sub-responsabili e Diritto di Opposizione 3.1 Autorizzazione generale: Il Titolare concede autorizzazione generale a AdminRentist ad avvalersi di sub-responsabili. Eventuali modifiche saranno notificate con 30 giorni di preavviso, consentendo al Titolare di opporsi. Il silenzio equivale a consenso. Ai sub-responsabili si applicano obblighi equivalenti. 3.2 Elenco Attuale: I sub-responsabili principali sono: (a) Amazon Web Services (AWS) (dati residenti in UK e SEE - Irlanda); (b) Stripe, Inc. (gestione pagamenti e prevenzione frodi); (c) Matomo (analisi statistiche anonimizzate). 8. Trasferimenti Internazionali e Audit 4.1 Garanzie: In caso di trasferimenti fuori da UK o SEE si applicheranno garanzie adeguate (IDTA, Clausole Contrattuali Standard UE (SCC), UK Addendum e relative valutazioni del rischio di trasferimento). 4.2 Diritto di Verifica: AdminRentist consente lo svolgimento di audit ragionevoli da parte del Titolare o di revisori terzi indipendenti, con preavviso di 30 giorni. 4.3 Cancellazione o Restituzione Finale: Al termine dei Servizi, il Titolare sceglierà tra la restituzione o l'eliminazione definitiva dei dati. Le copie di backup saranno dismesse ed eliminate nel ciclo successivo. 9. Responsabilità in caso di reclami 9.1 Il Responsabile informerà tempestivamente il Titolare in caso di indagini da parte del Garante o di reclami di terzi, fornendo copia degli atti finali emessi. 9.2 Qualora il Titolare subisca sanzioni a causa di inadempimenti imputabili al Responsabile, quest'ultimo terrà indenne il Titolare dall'importo delle sanzioni, interessi, spese legali e danni provati. 9.3 Le parti rispondono reciprocamente dei danni derivanti da colpa o condotta negligente nell'esecuzione dell'Accordo. 10. Riservatezza 10.1 Le informazioni riservate comunicate tra le parti potranno essere utilizzate unicamente per l'esecuzione dei Servizi e non saranno divulgate a terzi senza previo assenso scritto. 10.2 Il Responsabile applica tutte le misure idonee a preservare il segreto professionale e la tutela dei dati personali. 10.3 L'obbligo di riservatezza sopravvive a tempo indeterminato alla cessazione del presente Accordo. 10.4 Sono escluse dalla riservatezza le informazioni: a. Di pubblico dominio non a seguito di violazione contrattuale. b. Ricevute lecitamente da terzi non soggetti a vincoli di segretezza. c. Già note in precedenza alla parte ricevente. d. La cui divulgazione sia imposta per legge. 11. Risoluzione per inadempimento In caso di grave violazione degli obblighi contrattuali, ciascuna parte potrà risolvere il presente Accordo previa formale comunicazione scritta. 12. Foro competente e Legge applicabile 12.1 Il presente Accordo è regolato dalla legge di Inghilterra e Galles e sottoposto alla competenza esclusiva dei tribunali ivi stabiliti. 12.2 La nullità di una clausola non inficia la validità delle restanti previsioni. L'interpretazione avviene secondo buona fede e significato letterale.