Accordo sul trattamento dei dati

Questo accordo è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") tra l'Attività, titolare del trattamento, e

("TremitiNow"), responsabile del trattamento. I termini con l'iniziale maiuscola hanno il significato indicato nelle Condizioni per le Attività. Gli altri termini hanno il significato dell'art. 4 GDPR.

TremitiNow tratta per conto dell'Attività i dati personali indicati di seguito, solo per fornire i moduli attivi sulla Pagina, per la durata delle Condizioni.

Non sono previsti trattamenti di categorie particolari di dati (art. 9 GDPR) né di dati giudiziari. L'Attività non inserisce questi dati nei campi liberi.

Non rientrano in questo accordo, perché TremitiNow li svolge come titolare autonomo secondo la propria Privacy Policy:

• l'account dell'utente sulla piattaforma e il suo profilo, anche quando l'account è creato da una prenotazione inserita a mano;
• recensioni pubbliche, post, commenti e chat tra utenti;
• notifiche dell'app, compresi gli avvisi in broadcast, e comunicazioni di TremitiNow agli utenti;
• sicurezza, prevenzione degli abusi, statistiche aggregate sull'uso della piattaforma e adempimenti di legge di TremitiNow;
• i dati dei Gestori stessi (account, dati di fatturazione, abbonamento).

I pagamenti online sono eseguiti da Stripe sull'account dell'Attività, in base al contratto tra l'Attività e Stripe. Stripe non è un sub-responsabile di TremitiNow per questi pagamenti.

Le istruzioni documentate dell'Attività sono queste Condizioni, questo accordo e le operazioni che i Gestori compiono nella dashboard e nell'app. Per esempio, inserire una prenotazione, inviare un preventivo, generare un link per i documenti o rimborsare un pagamento.

TremitiNow non tratta i dati per finalità proprie né li comunica a terzi, salvo obbligo di legge. In quel caso informa prima l'Attività, se la legge non lo vieta. Se ritiene che un'istruzione violi la normativa, lo segnala subito all'Attività.

Hanno accesso ai dati solo le persone autorizzate da TremitiNow che ne hanno bisogno per sviluppo, assistenza e manutenzione della piattaforma. Sono vincolate alla riservatezza e istruite sul trattamento.

TremitiNow adotta misure adeguate al rischio ai sensi dell'art. 32 GDPR, tra cui:

• connessioni cifrate (HTTPS/TLS) tra app, dashboard e server;
• accesso ai dati per ruolo: ciascun Gestore vede solo i dati delle Pagine che amministra, e i Gestori sono abilitati solo da TremitiNow;
• autenticazione degli account tramite Firebase Authentication;
• per i documenti degli ospiti: nessun accesso diretto al database, file non pubblici, apertura solo con collegamenti che scadono dopo 5 minuti, registro di ogni apertura, link di caricamento personali e revocabili, cancellazione automatica;
• credenziali di servizio separate dagli accessi degli utenti e riservate a personale autorizzato;
• infrastruttura presso fornitori con certificazioni di sicurezza riconosciute.

TremitiNow può aggiornare le misure nel tempo, purché il livello di protezione non diminuisca.

L'Attività autorizza in via generale TremitiNow ad avvalersi dei sub-responsabili seguenti, vincolati da obblighi di protezione dei dati equivalenti a quelli di questo accordo:

TremitiNow comunica le aggiunte o sostituzioni di sub-responsabili con almeno 30 giorni di anticipo, via email o nella dashboard. Entro quel termine l'Attività può opporsi per motivi fondati legati alla protezione dei dati. Se non si trova una soluzione, può recedere dalle Condizioni senza penali. TremitiNow risponde verso l'Attività dell'operato dei propri sub-responsabili.

I trasferimenti verso Paesi fuori dallo Spazio Economico Europeo avvengono solo con le garanzie del Capo V GDPR: una decisione di adeguatezza, compreso l'EU-US Data Privacy Framework per i fornitori certificati, oppure le clausole contrattuali standard della Commissione europea.

• Se un cliente dell'Attività si rivolge a TremitiNow per esercitare i propri diritti su dati trattati per conto dell'Attività, TremitiNow inoltra la richiesta all'Attività senza ingiustificato ritardo e non risponde nel merito, salvo istruzione.
• TremitiNow aiuta l'Attività a rispondere, tramite le funzioni della dashboard (consultazione, modifica, annullamento, cancellazione dei documenti) o, se non bastano, su richiesta a tremitinow@gmail.com.
• TremitiNow fornisce le informazioni ragionevolmente necessarie per le valutazioni d'impatto e le consultazioni preventive (artt. 35 e 36 GDPR) che riguardano i moduli.

TremitiNow informa l'Attività senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione che riguarda i dati trattati per suo conto. Scrive all'email del Gestore e, se nota, alla PEC dell'Attività.

La comunicazione descrive, per quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le conseguenze probabili e le misure adottate o proposte. Le informazioni non ancora disponibili sono fornite appena possibile.

La notifica al Garante e l'eventuale comunicazione agli interessati (artt. 33 e 34 GDPR) spettano all'Attività, con la collaborazione di TremitiNow.

• Documenti degli ospiti: cancellati automaticamente 7 giorni dopo la prima apertura da parte di un Gestore, o prima se il Gestore li elimina. Il registro delle aperture resta come prova degli accessi per la durata del rapporto.
• Prenotazioni, soggiorni, preventivi e movimenti fedeltà: conservati per la durata del rapporto, perché restino consultabili dall'Attività e dai clienti, salvo cancellazione su istruzione dell'Attività.
• Alla cessazione: entro 30 giorni l'Attività può chiedere una copia dei dati in formato elettronico di uso comune. Entro i 90 giorni successivi alla cessazione TremitiNow cancella o rende anonimi i dati trattati per conto dell'Attività, salvo obblighi di legge. Le prenotazioni restano visibili al cliente nel suo account per la parte che riguarda il suo rapporto con TremitiNow.

Su richiesta scritta TremitiNow mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo. Se queste non bastano, l'Attività può svolgere, direttamente o tramite un revisore vincolato alla riservatezza, una verifica documentale all'anno. La verifica va concordata con almeno 30 giorni di preavviso, a spese dell'Attività, senza accesso ai dati di altre Attività e senza intralciare il servizio. Restano salve le verifiche richieste da un'autorità.

• individua la base giuridica dei propri trattamenti e informa i clienti (artt. 13 e 14 GDPR), anche per le prenotazioni inserite a mano e per i documenti degli ospiti;
• chiede solo i dati necessari e impartisce istruzioni conformi alla legge;
• autorizza e istruisce i propri Gestori e chiede a TremitiNow di disabilitare chi non deve più accedere;
• adempie in proprio agli obblighi di legge collegati ai dati, come la comunicazione delle persone alloggiate.

Questo accordo segue la durata delle Condizioni per le Attività e cessa con esse. Gli obblighi di riservatezza e cancellazione restano in vigore finché TremitiNow conserva dati per conto dell'Attività. In caso di contrasto con le Condizioni, su quanto riguarda la protezione dei dati prevale questo accordo.