Accordo sul trattamento dei dati (DPA)

Titolare del trattamento è il Cliente, cioè l'attività (salone, centro estetico, spa, barbiere, studio o altro) che usa Styla e decide finalità e mezzi del trattamento dei dati dei propri clienti e collaboratori.

Responsabile del trattamento è TP53 S.r.l., Via Pomposa 153, 44121 Ferrara (FE), Italia, P.IVA 02203290388, che tratta tali dati esclusivamente per erogare il Servizio.

Il trattamento consiste nella raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, comunicazione (ad esempio l'invio di promemoria) e cancellazione dei dati, nella misura necessaria a fornire le funzioni di Styla: agenda e prenotazioni, schede clienti, gestione del personale, cassa, messaggi, report e assistente AI. Il trattamento dura quanto il contratto di servizio e, dopo la sua cessazione, per il tempo necessario alla restituzione e cancellazione dei dati.

Alcune attività (ad esempio centri estetici, di massaggio o di benessere) possono registrare nelle schede informazioni relative alla salute, come allergie, controindicazioni o trattamenti precedenti, che sono categorie particolari di dati (art. 9 GDPR). Il titolare è responsabile di raccoglierle solo se necessarie e con una base giuridica valida; TP53 le tratta con le stesse misure di sicurezza rafforzate previste per tutti i dati del Servizio.

TP53 tratta i dati solo su istruzione documentata del titolare. Il contratto, le impostazioni configurate nel software e le richieste inviate all'assistenza costituiscono le istruzioni. Se un'istruzione viola a parere di TP53 il GDPR o altre norme, TP53 ne informa immediatamente il titolare. TP53 non usa i dati per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.

TP53 autorizza al trattamento solo il personale che ne ha necessità per erogare o assistere il Servizio, vincolato da un obbligo di riservatezza contrattuale o legale e adeguatamente istruito. L'accesso del personale di assistenza ai dati dell'account avviene solo quando necessario per risolvere una richiesta del titolare.

Ai sensi dell'art. 32 GDPR, TP53 adotta tra l'altro le seguenti misure:

• cifratura dei dati in transito (TLS 1.2 o superiore) e a riposo;
• separazione logica dei dati di ciascun cliente e controlli di accesso a livello di riga;
• autenticazione sicura, gestione dei ruoli e dei permessi per gli utenti del titolare;
• backup automatici con test periodici di ripristino;
• registrazione e monitoraggio degli accessi amministrativi;
• gestione delle vulnerabilità e aggiornamento dei componenti software;
• principio del privilegio minimo per il personale TP53 e procedure di gestione degli incidenti.

Il titolare autorizza in via generale TP53 a ricorrere ad altri responsabili ("sub-responsabili"), ai quali TP53 impone per contratto obblighi di protezione equivalenti a quelli del presente accordo. TP53 comunica via email l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo; il titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non si trova una soluzione, recedere dal contratto senza penali. TP53 resta pienamente responsabile dell'operato dei sub-responsabili.

Eventuali integrazioni scelte dal titolare (ad esempio servizi di messaggistica, calendari o pagamenti esterni) sono attivate sotto la sua responsabilità e regolate dai termini del relativo fornitore.

I dati sono conservati prioritariamente nello Spazio Economico Europeo. Eventuali trasferimenti al di fuori del SEE avvengono solo in presenza di una decisione di adeguatezza (incluso l'EU-US Data Privacy Framework) o delle Clausole contrattuali tipo della Commissione europea, previa valutazione del rischio del trasferimento.

TP53, tenendo conto della natura del trattamento, assiste il titolare:

• nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità), anche tramite le funzioni di esportazione e cancellazione del software, inoltrandogli senza ritardo le richieste ricevute direttamente;
• nella valutazione d'impatto (DPIA) e nella consultazione preventiva del Garante, quando necessarie;
• nel rispetto degli obblighi di sicurezza e di notifica delle violazioni.

TP53 informa il titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione dei dati personali trattati per suo conto. La comunicazione descrive la natura della violazione, le categorie e il numero approssimativo di interessati e registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte, per consentire al titolare di notificare il Garante entro 72 ore ai sensi dell'art. 33 GDPR.

TP53 mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR. Il titolare può svolgere, direttamente o tramite un revisore vincolato alla riservatezza, verifiche con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo violazioni o richieste dell'autorità, con modalità che non compromettano la sicurezza degli altri clienti. I costi sono a carico del titolare.

Alla cessazione del contratto il titolare può esportare i propri dati per 30 giorni. Successivamente, e comunque entro 90 giorni, TP53 cancella i dati personali trattati per conto del titolare, anche dai backup secondo il ciclo di rotazione, salvo obblighi di conservazione previsti dal diritto dell'Unione o italiano. Su richiesta TP53 conferma per iscritto l'avvenuta cancellazione.

Il titolare garantisce di avere una base giuridica valida per i trattamenti affidati, di aver fornito agli interessati l'informativa prevista dagli artt. 13 e 14 GDPR, di raccogliere i consensi necessari (ad esempio per il marketing via SMS, email o messaggistica) e di configurare il Servizio in modo coerente con le proprie istruzioni.

Il presente accordo resta in vigore per tutta la durata del trattamento. In caso di contrasto tra il presente accordo e i Termini di servizio in materia di protezione dei dati, prevale il presente accordo. Si applicano la legge italiana e il foro indicato nei Termini di servizio. Le parti rispondono ai sensi dell'art. 82 GDPR.