Accordo sul trattamento dei dati personali (art. 28 GDPR)

Il presente accordo fa parte integrante delle Condizioni generali di licenza e vendita di Fullora ed è accettato online insieme ad esse.

1. Parti e ruoli

1.1 Il Cliente che attiva Fullora per uno o più locali è titolare del trattamento dei dati personali dei propri clienti finali e delle altre persone i cui dati inserisce o raccoglie tramite la Piattaforma (di seguito "Titolare").

1.2 BEST LIVE E20 S.R.L., Via Alzaia 1, 26041 Casalmaggiore (CR), P.IVA 01722350194, PEC bestlivee20@legalmail.it, email info@fullora.it, è nominata responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (di seguito "Responsabile").

1.3 Per i dati dell'account del Titolare e dei suoi utenti, per la fatturazione e per la sicurezza della Piattaforma, BEST LIVE E20 S.R.L. agisce come titolare autonomo, secondo l'informativa su fullora.it/privacy.

2. Oggetto, durata, natura e finalità

2.1 Il Responsabile tratta i dati personali al solo fine di erogare il servizio Fullora al Titolare: gestione di prenotazioni, clienti, consensi, promozioni, tessere fedeltà, sondaggi, comunicazioni via email e WhatsApp, sito e menu del locale, funzioni di analisi e di intelligenza artificiale, assistenza e sicurezza.

2.2 Il trattamento dura quanto il contratto, oltre al periodo necessario alla restituzione o cancellazione dei dati previsto all'art. 10.

2.3 Le categorie di dati e di interessati e le operazioni di trattamento sono descritte nell'Allegato 1. Le misure di sicurezza sono descritte nell'Allegato 2.

3. Istruzioni del Titolare

3.1 Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Costituiscono istruzioni il contratto, il presente accordo, le impostazioni configurate dal Titolare nella Piattaforma (ad esempio campi del modulo, automazioni, campagne, tempi di invio) e le richieste scritte inviate a info@fullora.it.

3.2 Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

3.3 Il Responsabile non usa i dati dei clienti finali per finalità proprie, non li vende, non li comunica a terzi se non ai sub-responsabili autorizzati e non li usa per addestrare modelli di intelligenza artificiale.

4. Riservatezza e personale autorizzato

Il Responsabile consente l'accesso ai dati solo al personale che ne ha necessità per erogare il servizio, autorizzato e istruito per iscritto e vincolato alla riservatezza anche dopo la fine del rapporto.

5. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative dell'Allegato 2, adeguate al rischio ai sensi dell'art. 32 GDPR, e le aggiorna nel tempo senza ridurne il livello complessivo.

6. Sub-responsabili

6.1 Il Titolare concede un'autorizzazione generale all'uso dei sub-responsabili indicati nell'elenco pubblicato su fullora.it/sub-responsabili.

6.2 Il Responsabile comunica via email al Titolare l'aggiunta o la sostituzione di un sub-responsabile almeno 15 giorni prima. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se le parti non trovano una soluzione, il Titolare può recedere senza penali, con rimborso della quota non goduta.

6.3 Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli del presente accordo e resta responsabile del loro operato verso il Titolare.

7. Trasferimenti fuori dallo Spazio economico europeo

I dati della Piattaforma sono conservati nell'Unione europea. Eventuali trasferimenti verso Paesi terzi da parte dei sub-responsabili avvengono solo con le garanzie del capo V del GDPR (decisione di adeguatezza, incluso il Data Privacy Framework UE-USA, o clausole contrattuali standard con eventuali misure supplementari), come indicato nell'elenco dei sub-responsabili.

8. Assistenza al Titolare

8.1 Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). La Piattaforma mette a disposizione strumenti di esportazione, modifica e anonimizzazione dei clienti. Le richieste ricevute direttamente dal Responsabile sono inoltrate al Titolare senza ingiustificato ritardo.

8.2 Il Responsabile assiste il Titolare negli obblighi degli artt. 32–36 GDPR, fornendo le informazioni disponibili per valutazioni d'impatto e consultazioni dell'autorità.

9. Violazioni di dati personali

Il Responsabile notifica al Titolare ogni violazione di dati personali che riguarda i suoi dati senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, fornendo la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le probabili conseguenze e le misure adottate o proposte. Il Responsabile documenta ogni violazione.

10. Fine del trattamento

10.1 Alla cessazione del contratto il Titolare può esportare i propri dati dalla Piattaforma o chiederne la restituzione in un formato di uso comune entro 60 giorni.

10.2 Trascorso tale termine, o prima su richiesta scritta del Titolare, il Responsabile cancella i dati, salvo quelli che deve conservare per legge. Le copie di sicurezza sono eliminate secondo il ciclo di rotazione dei backup, comunque entro 90 giorni. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

10.3 In caso di pausa del locale per mancato rinnovo, i dati sono conservati fino a 12 mesi per consentirne la riattivazione, poi cancellati come sopra.

11. Verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente accordo e consente verifiche, anche tramite un revisore incaricato dal Titolare e vincolato alla riservatezza, con un preavviso di almeno 30 giorni, nell'orario lavorativo e senza compromettere la sicurezza e la riservatezza dei dati di altri clienti. Le verifiche sono di norma soddisfatte tramite documentazione e questionari.

12. Registro e responsabilità

12.1 Il Responsabile tiene il registro delle attività di trattamento svolte per conto dei titolari ai sensi dell'art. 30, paragrafo 2, GDPR.

12.2 La ripartizione della responsabilità verso gli interessati è quella dell'art. 82 GDPR. Nei rapporti tra le parti si applicano i limiti dell'art. 10 delle Condizioni generali, salvo dolo o colpa grave e salvo quanto non limitabile per legge.

13. Prevalenza

In caso di contrasto tra il presente accordo e le Condizioni generali, per quanto riguarda il trattamento dei dati personali prevale il presente accordo.

---

Allegato 1 – Dati trattati e operazioni di trattamento

Interessati

• clienti, potenziali clienti e visitatori dei locali del Titolare;
• persone che prenotano, partecipano a eventi, si iscrivono a promozioni, compilano sondaggi o ricevono comunicazioni;
• personale e collaboratori del Titolare che usano la Piattaforma (per i dati trattati per conto del Titolare);
• referenti dei fornitori del Titolare presenti nelle fatture caricate nella sezione Costi.

Categorie di dati

• identificativi e di contatto: nome, cognome, telefono cellulare, email;
• anagrafici facoltativi scelti dal Titolare: data di nascita, sesso, CAP, città, come ci hai conosciuto, campi personalizzati;
• prenotazioni e presenze: data, ora, numero di persone, sala, tavolo, note, stato (confermata, arrivata, non arrivata), storico visite;
• marketing e fidelizzazione: consensi con testo, data, canale e fonte, tag e segmenti, iscrizioni a promozioni, codici e riscatti, timbri della tessera fedeltà;
• comunicazioni: contenuto ed esiti di invio di email e messaggi WhatsApp, notifiche;
• sondaggi: risposte, voti, commenti;
• dati tecnici: indirizzi IP e informazioni del dispositivo nei registri di sicurezza;
• categorie particolari: solo se il Titolare attiva il campo "allergie e intolleranze" nel modulo di prenotazione (dati relativi alla salute), con avviso specifico all'interessato.

Non sono trattati dati giudiziari.

Operazioni

Raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, modifica, estrazione, raffronto, uso per invii e statistiche, comunicazione ai sub-responsabili nei limiti del servizio, limitazione, cancellazione e distruzione.

Funzioni di intelligenza artificiale

Le funzioni Agency (report, calendario editoriale, testi, elaborazione foto) usano dati aggregati del locale e contenuti caricati dal Titolare; non inviano ai modelli elenchi nominativi di clienti finali.

Allegato 2 – Misure di sicurezza tecniche e organizzative

Riservatezza

• infrastruttura cloud di fornitori certificati (ad esempio ISO 27001 / SOC 2), database nell'Unione europea (Francoforte);
• separazione logica dei dati per locale con controlli di accesso a livello di riga (Row Level Security) su ogni tabella, verificati da test automatici;
• autenticazione con password e link di accesso via email; ruoli titolare, manager e staff con permessi distinti; revoca immediata degli accessi del team;
• chiavi e segreti dei servizi esterni conservati solo lato server e mai inviati al browser; token di accesso ai social cifrati;
• funzioni privilegiate del database eseguibili solo dal server, con controlli che negano l'accesso in caso di dubbio;
• file e foto in spazi di archiviazione privati con link temporanei firmati.

Integrità

• cifratura dei dati in transito (HTTPS/TLS) e a riposo presso il fornitore del database;
• validazione lato server di tutti i dati in ingresso;
• registro delle azioni amministrative (audit log) e dei consensi;
• operazioni sensibili (riscatto codici, crediti, pagamenti) atomiche e idempotenti.

Disponibilità e resilienza

• backup automatici giornalieri del database gestiti dal fornitore;
• monitoraggio degli errori e degli invii falliti, con nuovi tentativi automatici;
• procedura di ripristino da backup.

Organizzazione

• accesso ai sistemi di produzione limitato agli amministratori della piattaforma;
• verifiche di sicurezza periodiche del codice e del database prima delle pubblicazioni;
• procedura di gestione degli incidenti e delle violazioni di dati (rilevazione, valutazione, contenimento, notifica entro 48 ore al Titolare, documentazione);
• protezione dei dati fin dalla progettazione: campi facoltativi decisi dal Titolare, consensi non preselezionati, minimizzazione dei dati inviati ai servizi esterni;
• formazione del personale autorizzato e obblighi di riservatezza.