Accordo sul trattamento dei dati

Parti e ruoli

• Titolare del trattamento: l’attività (il “Centro”) che ha creato l’account Booking Heaven e decide quali dati dei propri clienti e operatori trattare e perché.
• Responsabile del trattamento: Martem Studio di Edoardo Ermelli (il “Responsabile”), che tratta quei dati per conto del Centro per fornire il servizio.

Per i dati dell’account del Centro (email, fatturazione, sicurezza) Martem Studio è invece titolare autonomo, come descritto nell’informativa sulla privacy.

Oggetto e durata

Il Responsabile tratta i dati per fornire le funzioni di Booking Heaven: agenda, prenotazioni online, schede clienti, cassa, card prepagate, magazzino, report, invio di conferme, promemoria e messaggi ai clienti, esportazione dei dati. Il trattamento dura quanto il contratto e termina con la chiusura dell’account.

Dati e interessati

Il servizio non è pensato per categorie particolari di dati (art. 9 GDPR). Se il Centro le inserisce, ad esempio indicando allergie nelle note di un cliente o la malattia come motivo di un’assenza, se ne assume la valutazione di necessità e liceità.

Istruzioni del centro

Il Responsabile tratta i dati solo secondo le istruzioni documentate del Centro, che sono date da questo accordo, dai termini di servizio e dalle impostazioni che il Centro sceglie nel gestionale (ad esempio quali messaggi inviare ai clienti). Se un’istruzione gli sembra contraria alla legge, il Responsabile lo segnala al Centro.

Impegni del responsabile

• Trattare i dati solo per fornire il servizio, mai per scopi propri, di marketing o per venderli.
• Far accedere ai dati solo le persone che ne hanno bisogno, vincolate alla riservatezza. L’assistenza vede la configurazione del centro, non i dati dei clienti, e ogni accesso è registrato.
• Adottare le misure di sicurezza descritte qui sotto e tenerle aggiornate.
• Aiutare il Centro a rispettare i suoi obblighi su sicurezza, violazioni, valutazioni d’impatto e richieste degli interessati.

Misure di sicurezza

• Separazione dei dati tra centri imposta sui dati stessi, non solo dall’interfaccia.
• Connessioni cifrate e verifica in due passaggi obbligatoria per titolari e operatori.
• Permessi per operatore decisi dal titolare del Centro.
• Limiti contro i tentativi ripetuti e registro degli accessi non modificabile dagli utenti.
• Segreti e chiavi di integrazione non leggibili dagli utenti; segreti della verifica cifrati.
• Infrastruttura presso fornitori certificati, con copie di sicurezza gestite da loro.

Sub-responsabili

Il Centro autorizza in via generale il Responsabile a servirsi di sub-responsabili delle categorie qui sotto, vincolati agli stessi obblighi di protezione. L’elenco aggiornato, con i nomi, è disponibile per il Centro su richiesta a hello@martemstudio.com. Il Responsabile informa il Centro via email almeno 15 giorni prima di aggiungerne o sostituirne uno: se il Centro ha motivi fondati per opporsi può chiudere l’account prima di quella data.

Trasferimenti fuori dall’UE

Quando un sub-responsabile tratta dati fuori dallo Spazio economico europeo, il trasferimento si basa sulla decisione di adeguatezza sul EU-U.S. Data Privacy Framework o sulle clausole contrattuali standard della Commissione europea, con le misure aggiuntive necessarie.

Violazioni dei dati

Se viene a conoscenza di una violazione dei dati personali del Centro, il Responsabile lo informa senza ingiustificato ritardo e comunque entro 48 ore, all’email dell’account, con le informazioni disponibili su natura della violazione, dati e interessati coinvolti, possibili conseguenze e misure adottate. In questo modo il Centro può notificarla al Garante entro 72 ore, quando necessario.

Richieste degli interessati

Il gestionale permette al Centro di rispondere da solo alle richieste dei propri clienti: consultare e correggere la scheda, esportare i dati, cancellare un cliente (la scheda e gli appuntamenti futuri vengono eliminati; quelli passati e gli incassi restano senza nome e senza note, per gli obblighi contabili del Centro). Se una richiesta arriva al Responsabile, la inoltra al Centro senza rispondere nel merito.

Fine del trattamento

Prima della chiusura il Centro può scaricare tutti i suoi dati. Quando il Centro chiude l’account, il Responsabile cancella subito i dati del Centro, le immagini e gli accessi degli operatori, salvo i dati che la legge impone di conservare (ad esempio le fatture dell’abbonamento). Lo stesso vale per un account senza abbonamento in corso e senza attività da 24 mesi, dopo un avviso via email al titolare 30 giorni prima. Le copie di sicurezza dei fornitori vengono sovrascritte nei cicli successivi.

Verifiche

Su richiesta scritta, il Responsabile mette a disposizione del Centro le informazioni necessarie a dimostrare il rispetto di questo accordo e collabora a verifiche ragionevoli, concordate con un preavviso di almeno 30 giorni, a spese del Centro e in modo da non compromettere la sicurezza e la riservatezza degli altri centri.

Impegni del centro

Per qualsiasi domanda su questo accordo scrivi a hello@martemstudio.com.