Accordo di nomina a responsabile del trattamento
Aggiornato al 28 settembre 2026
Ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR). Allegato ai Termini di servizio e accettato con la registrazione.
Tra il Salone che si registra a Vezzo ("Titolare") e [RAGIONE SOCIALE], [SEDE LEGALE], P.IVA [P.IVA] ("Responsabile").
1. Oggetto e durata
1.1. Il Titolare nomina il Responsabile per i trattamenti necessari a fornire il Servizio Vezzo, descritti all'art. 2.
1.2. L'accordo dura quanto il contratto di servizio e cessa con esso, fermi gli obblighi dell'art. 10.
2. Descrizione del trattamento
| Voce | Contenuto |
|---|---|
| Finalità | Gestire agenda e prenotazioni online, anagrafica clienti, fedeltà, vendite e ordini, comunicazioni del Salone ai propri clienti, statistiche interne |
| Interessati | Clienti del Salone; operatori e collaboratori del Salone |
| Dati dei clienti | Nome, telefono, PIN di accesso all'area riservata, data di nascita (se inserita), appuntamenti, servizi, note, acquisti, punti fedeltà, valutazioni, consenso ai messaggi promozionali |
| Dati degli operatori | Nome, foto (facoltativa), colore, orari, PIN, appuntamenti assegnati |
| Operazioni | Raccolta, registrazione, conservazione, consultazione, modifica, esportazione, cancellazione |
| Categorie particolari (art. 9) | Non previste. Il Titolare evita di inserire nelle note dati sulla salute |
3. Istruzioni del Titolare
Il Responsabile tratta i dati solo per fornire il Servizio e secondo le istruzioni del Titolare, che sono questo accordo, i Termini di servizio e le impostazioni scelte nel gestionale. Se un'istruzione gli sembra contraria al GDPR, lo segnala subito al Titolare.
4. Riservatezza
Chi tratta i dati per conto del Responsabile è vincolato alla riservatezza. Il Responsabile accede al gestionale di un Salone solo per assistenza o manutenzione, e ogni accesso di assistenza resta registrato.
5. Sicurezza (art. 32)
Il Responsabile adotta misure adeguate al rischio, tra cui:
- separazione dei dati di ogni Salone tramite regole di accesso sul database, per cui un Salone vede solo i propri dati e un operatore solo la propria agenda;
- connessioni cifrate (HTTPS) e password conservate in forma cifrata;
- operazioni delicate (accesso con PIN, prenotazioni, ordini, prezzi, codici sconto) verificate lato server;
- limite ai tentativi di accesso con PIN;
- backup automatico ogni notte;
- monitoraggio degli errori con oscuramento dei testi inseriti.
6. Sub-responsabili
6.1. Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati sotto. Il Responsabile impone loro obblighi di protezione equivalenti a questo accordo e ne risponde.
| Sub-responsabile | Attività | Sede dei dati |
|---|---|---|
| Supabase Inc. | Database, autenticazione, archiviazione file, backup | UE (Irlanda) |
| Vercel Inc. | Hosting e funzioni server | [UE / USA] |
| Functional Software Inc. (Sentry) | Monitoraggio errori | UE (Germania) |
6.2. Il Responsabile comunica nel gestionale o via email ogni nuovo sub-responsabile con almeno 15 giorni di anticipo. Il Titolare può opporsi per motivi fondati e, se non si trova una soluzione, recedere senza costi.
6.3. Per i trasferimenti fuori dall'UE valgono il Data Privacy Framework UE-USA o le Clausole contrattuali standard.
7. Diritti degli interessati
Il gestionale permette al Titolare di consultare, correggere, esportare e cancellare i dati dei propri clienti. Se una richiesta arriva direttamente al Responsabile, questi la inoltra al Titolare senza ritardo e lo aiuta a rispondere.
8. Violazioni dei dati (data breach)
Il Responsabile informa il Titolare di ogni violazione dei dati senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, indicando cosa è successo, quali dati sono coinvolti e le misure adottate, così che il Titolare possa notificarla al Garante entro 72 ore se necessario.
9. Assistenza e verifiche
Il Responsabile aiuta il Titolare, per quanto di sua competenza, nelle valutazioni d'impatto e nei rapporti con il Garante. Mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche ragionevoli, con un preavviso di almeno 30 giorni e a spese del Titolare.
10. Fine del trattamento
Alla fine del contratto il Titolare può chiedere l'esportazione dei dati entro 60 giorni. Trascorso quel periodo il Responsabile cancella i dati, comprese le copie di backup entro i successivi 30 giorni, salvo obblighi di conservazione di legge.
11. Responsabilità
Ogni parte risponde dei danni causati dalla violazione dei propri obblighi secondo l'art. 82 del GDPR. Per il resto si applicano i Termini di servizio.