Accordo sul trattamento dei dati

Bozza ex art. 28 GDPR. Deve essere completata con dati delle parti e revisionata professionalmente prima di trattare dati reali per conto di una struttura.

1. Parti e ruoli

La struttura che accetta l’accordo è il Titolare. Soluzione Smart di Emanuele Pagliaro, fornitore di Hospitality AI, è il Responsabile per i trattamenti descritti. Se la struttura opera a sua volta come responsabile, le parti adegueranno la catena contrattuale.

2. Oggetto e durata

Il Responsabile tratta dati per fornire receptionist digitale, webchat, WhatsApp, inbox, automazioni, feedback e upsell per durata del servizio e successivo periodo tecnico di restituzione/cancellazione. Le istruzioni risultano da contratto, configurazioni, API e richieste documentate del Titolare.

3. Istruzioni

Il Responsabile tratta dati solo su istruzione documentata, inclusi trasferimenti, salvo obbligo di legge. Se ritiene un’istruzione contraria alla normativa, informa il Titolare e può sospenderne l’esecuzione finché chiarita.

4. Riservatezza e accessi

Persone autorizzate sono vincolate alla riservatezza, ricevono accesso minimo necessario e usano account individuali. Gli accessi amministrativi devono essere registrati e riesaminati.

5. Sicurezza

Il Responsabile applica misure proporzionate: HTTPS, isolamento tenant, ruoli, hash scrypt, CSRF, rate limit, token monouso, cifratura AES-256-GCM delle credenziali, firma webhook, log con segreti redatti, backup verificati, monitoraggio, retry e audit. Dettagli e lacune sono nell’allegato TOM interno disponibile al Titolare.

6. Sub-responsabili

Il Titolare concede autorizzazione generale ai fornitori elencati. Il Responsabile informa delle modifiche secondo il preavviso contrattuale e consente opposizioni motivate. Obblighi equivalenti vengono trasferiti ai sub-responsabili. Elenco previsto: Hostinger, Meta/WhatsApp, Brevo quando attivo ed eventuale provider AI previamente comunicato.

7. Trasferimenti internazionali

I trasferimenti fuori dallo SEE avvengono solo con garanzia valida e misure supplementari quando necessarie. Le parti collaborano nella valutazione dei trasferimenti. Nessun provider AI può ricevere dati reali prima di questa verifica.

8. Diritti degli interessati

Il Responsabile inoltra al Titolare le richieste ricevute relative agli ospiti e fornisce assistenza ragionevole per accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Non risponde direttamente salvo autorizzazione o obbligo legale.

9. Violazioni

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo aver appreso una violazione, comunicando natura, categorie e stima degli interessati/dati, conseguenze, misure e contatto disponibile, anche tramite aggiornamenti progressivi.

10. Assistenza e conformità

Il Responsabile assiste, tenuto conto del trattamento e delle informazioni disponibili, su sicurezza, notifiche, comunicazioni agli interessati, DPIA e consultazione preventiva. Mette a disposizione informazioni necessarie e consente verifiche proporzionate, protette da riservatezza e senza compromettere altri clienti.

11. Restituzione e cancellazione

Alla cessazione o su istruzione, il Responsabile restituisce o cancella i dati salvo obbligo legale. Export tenant e cancellazione differita di 7 giorni sono disponibili; backup automatici scadono entro il ciclo previsto di 14 giorni. Durate per messaggi e soggiorni devono essere definite nell’allegato prima del pilot.

12. Responsabilità

La ripartizione economica della responsabilità segue contratto principale e norme inderogabili. Nessuna clausola di questa bozza limita diritti degli interessati o obblighi previsti dal GDPR.

Allegato A — trattamento

• Interessati: ospiti, potenziali ospiti, staff autorizzato.
• Dati: identificativi e contatti, messaggi, lingua, soggiorno, consensi, feedback, offerte e metadati.
• Operazioni: raccolta, registrazione, organizzazione, consultazione, trasmissione, assistenza, limitazione, export e cancellazione.
• Finalità: comunicazione con ospiti e gestione del guest journey configurato dalla struttura.
• Frequenza: continuativa durante il servizio.

Allegato B — sub-responsabili

Hostinger per hosting; Meta Platforms Ireland e affiliate applicabili per WhatsApp; Brevo/Sendinblue SAS per email transazionali quando attivo; altri fornitori solo dopo aggiornamento e valutazione.

Allegato C — decisioni aperte

Dati legali completi delle parti, retention definitiva, preavviso sub-responsabili, procedura audit, localizzazioni contrattuali, SCC/trasferimenti, contatti incidenti e provider AI.