Accordo sul trattamento dei dati

1. Parti e perché questo accordo esiste

Il presente accordo vale tra l'organizzazione che usa Passavo — il TITOLARE DEL TRATTAMENTO — e Fades Management EOOD, Legis Center, Blvd. 6-ti Septemvri 152, Office 3-8B, 4000 Plovdiv, Bulgarije, numero di registrazione 208607050 — il RESPONSABILE DEL TRATTAMENTO.

L'articolo 28 GDPR obbliga un titolare del trattamento a stabilire per iscritto con ogni responsabile che cosa questi può fare con i dati. Questa pagina è quel documento.

Fa parte delle condizioni generali. Se Le serve un modello proprio per una pratica di sovvenzione o per una gara d'appalto, ci scriva a info@passavo.eu: lo firmiamo.

Dove il presente accordo e le condizioni generali si contraddicono in merito al trattamento dei dati personali, prevale il presente accordo.

2. Oggetto, natura e finalità

OGGETTO: il trattamento dei dati personali di visitatori e acquirenti dell'organizzazione, nella misura necessaria a far funzionare la piattaforma.

NATURA DEL TRATTAMENTO: raccogliere, conservare, consultare, organizzare, trasmettere ai servizi che l'organizzazione ha collegato da sé e cancellare.

FINALITÀ: la vendita dei biglietti, la loro consegna e il loro controllo, la cassa sul posto, la comunicazione con l'acquirente riguardo al suo ordine e la rendicontazione all'organizzazione. Per nient'altro.

Non usiamo questi dati per finalità nostre. Non ci costruiamo profili, non ci addestriamo nulla, non li vendiamo e non li usiamo per servire altri clienti.

3. Durata

Il presente accordo decorre dal momento in cui l'organizzazione inizia a usare la piattaforma e dura quanto il contratto principale.

Ciò che per sua natura deve restare valido più a lungo — la riservatezza e gli accordi su restituzione e cancellazione — resta valido anche dopo la fine.

4. Tipi di dati e interessati

INTERESSATI: visitatori e acquirenti dell'organizzazione, e le persone a cui l'organizzazione stessa dà accesso al proprio account.

TIPI DI DATI:

• identificazione: nome e indirizzo e-mail, e quanto l'organizzazione aggiunge al proprio modulo d'ordine;
• dati dell'ordine: quali biglietti, quale fascia oraria, importo e stato del pagamento;
• dati del biglietto: il numero del biglietto, il pass wallet quando l'acquirente lo sceglie e il momento della scansione alla porta;
• il numero di una tessera a tariffa agevolata, quando l'organizzazione lavora con la tariffa agevolata;
• dati tecnici: indirizzo IP e ora nei log.

NESSUNA CATEGORIA PARTICOLARE. La piattaforma non è pensata per dati relativi alla salute, alla religione, alle opinioni politiche, all'orientamento sessuale o all'origine etnica, e l'organizzazione fa in modo di non inserirveli, nemmeno in un campo libero o in una nota a un ordine.

Un numero di tessera a tariffa agevolata non è di per sé una categoria particolare, ma dice qualcosa sulla situazione finanziaria di un visitatore. Per questo lo trattiamo con la stessa cura: è visibile solo a chi ne ha bisogno alla cassa.

5. Istruzioni

Trattiamo i dati esclusivamente su istruzione documentata dell'organizzazione. Quell'istruzione è composta da: il presente accordo, le condizioni generali e le impostazioni che l'organizzazione definisce nel proprio account. Ciò che imposta lì è ciò che noi eseguiamo.

Se il diritto dell'Unione europea o di uno Stato membro ci obbliga a un trattamento per cui non c'è istruzione, ne informiamo l'organizzazione in anticipo, salvo che quel diritto lo vieti.

Se riteniamo che un'istruzione violi il GDPR, lo diciamo, e non la eseguiamo alla cieca.

6. Riservatezza

Solo le persone che hanno bisogno dei dati per svolgere il proprio lavoro vi hanno accesso. Da noi è una cerchia ristretta.

Chiunque abbia accesso è tenuto alla riservatezza, e quell'obbligo resta valido dopo la fine della collaborazione.

L'accesso per assistenza avviene su richiesta dell'organizzazione e viene registrato nei log.

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR). In concreto:

• CIFRATURA IN TRANSITO: tutto il traffico da e verso la piattaforma passa da TLS. Vale anche per l'app di scansione e per i collegamenti con i provider di pagamento.
• CIFRATURA A RIPOSO: le password sono conservate sotto forma di hash con una funzione di hashing moderna e lenta. I segreti come le chiavi di un provider di pagamento sono cifrati nel database, con una chiave che nel database non sta.
• GESTIONE DEGLI ACCESSI PER RUOLO: chi può vedere o fare che cosa dipende dal suo ruolo nella propria organizzazione. Ogni interrogazione è inoltre vincolata a quell'organizzazione, così i dati di due clienti non possono toccarsi.
• GIORNALE APPEND-ONLY: il giornale di cassa si può solo integrare. Una vendita registrata non è più modificabile né cancellabile; un errore viene corretto con una nuova riga che rinvia alla precedente. Per i clienti tedeschi ogni transazione è inoltre firmata tecnicamente.
• BACKUP: quotidiani, conservati cifrati, e verifichiamo che siano ripristinabili.
• SEPARAZIONE DEGLI AMBIENTI: sviluppo e test non girano su dati reali di clienti.
• MONITORAGGIO: seguiamo gli aggiornamenti del sistema e dei componenti su cui gira, e conserviamo i log 90 giorni per poter indagare su un incidente.

Valutiamo regolarmente queste misure e possiamo sostituirle con misure almeno equivalenti.

8. Sub-responsabili

L'organizzazione ci autorizza in via generale a ricorrere ai sub-responsabili elencati qui sotto. Con ciascuno di loro è stato concluso un accordo sul trattamento dei dati che impone almeno gli stessi obblighi del presente.

• Contabo GmbH (DE) — server e backup, in un data center in Germania
• Wattify B.V. (BE) — l'invio e la ricezione della nostra posta elettronica
• Mollie B.V. (NL) — pagamenti dei visitatori, direttamente sul conto dell'organizzazione (solo quando è applicabile)
• Stripe Payments Europe Ltd. (IE) — pagamenti dei visitatori, direttamente sul conto dell'organizzazione (solo quando è applicabile)
• Payconiq International S.A. (LU) — pagamenti dei visitatori, direttamente sul conto dell'organizzazione (solo quando è applicabile)
• Apple Inc. (US) — il biglietto come pass in Apple Wallet (solo quando è applicabile)
• Google Ireland Ltd. (IE) — il biglietto come pass in Google Wallet (solo quando è applicabile)
• publiq vzw (BE) — la tariffa agevolata: verifica del numero della tessera e registrazione della vendita (solo quando è applicabile)
• fiskaly GmbH (DE) — la firma obbligatoria per legge sul giornale di cassa per i clienti tedeschi (solo quando è applicabile)
• Apple Inc. / Google Ireland Ltd. (US/IE) — la distribuzione e gli aggiornamenti dell'app di scansione (solo quando è applicabile)

Se vogliamo aggiungerne uno o sostituirne uno, lo comunichiamo via e-mail con almeno 30 giorni di anticipo. Se l'organizzazione ha un'obiezione fondata, cerchiamo insieme una soluzione; se non ne veniamo a capo, può disdire senza costi con effetto dalla data in cui la modifica entra in vigore.

Nei confronti dell'organizzazione restiamo pienamente responsabili di ciò che fa un sub-responsabile.

9. Assistenza nelle richieste degli interessati

Se un visitatore chiede accesso, rettifica, cancellazione, limitazione o portabilità dei suoi dati, decide l'organizzazione: la titolare è lei, non noi.

La aiutiamo con misure tecniche adeguate: cercare, esportare e cancellare i dati di un visitatore può farlo da sé nel sistema, in base al suo indirizzo e-mail — in un ordine o in Impostazioni → Esportare i dati. Ciò che deve conservare per legge, come le fatture emesse, resta. Se non ci riesce, lo facciamo noi per lei.

Se una richiesta del genere arriva a noi per errore, non vi rispondiamo noi stessi. La inoltriamo all'organizzazione entro cinque giorni lavorativi e facciamo sapere al visitatore a chi deve rivolgersi.

Questa assistenza è compresa nel prezzo dell'abbonamento. Solo in caso di numero o di dimensione eccessivi delle richieste possiamo addebitare i costi effettivi, e in quel caso lo diciamo prima.

10. Assistenza nelle valutazioni d'impatto sulla protezione dei dati

Se l'organizzazione deve effettuare una valutazione d'impatto sulla protezione dei dati (art. 35 GDPR) o consultare la propria autorità di controllo (art. 36 GDPR), forniamo le informazioni che solo noi abbiamo: quali dati stanno dove, come sono protetti e chi altro li vede.

Aiutiamo anche nel rispetto degli articoli da 32 a 36 GDPR, in proporzione alla natura del trattamento e a ciò che ragionevolmente sappiamo.

11. Violazioni dei dati personali

Se accertiamo una violazione dei dati personali, informiamo l'organizzazione interessata entro 48 ore dall'accertamento. Non entro 72 ore: quelle 72 ore sono il termine entro cui LEI deve informare la propria autorità di controllo, e ce la fa solo se lo apprende prima da noi.

La nostra notifica contiene quello che sappiamo in quel momento: che cosa è successo, quali categorie di dati e quanti interessati riguarda all'incirca, quali sono le probabili conseguenze e che cosa abbiamo fatto o faremo. Ciò che non sappiamo ancora lo diciamo onestamente e lo integriamo appena lo sappiamo.

Non facciamo la notifica in nome dell'organizzazione alla sua autorità di controllo e non informiamo noi i suoi visitatori: è una sua decisione. La aiutiamo però a farlo.

12. Restituzione e cancellazione alla fine

Alla fine del contratto l'organizzazione sceglie: restituzione o cancellazione.

• RESTITUZIONE: può esportare da sé i propri dati in un formato di file corrente: CSV, per elenco o tutto insieme in un unico zip, in Impostazioni → Esportare i dati. Questa possibilità resta aperta 30 giorni dopo la fine.
• CANCELLAZIONE: dopo di che cancelliamo i dati dai sistemi attivi, e dai backup non appena questi scadono secondo il normale calendario.

Ciò che dobbiamo conservare per legge — le fatture e il giornale di cassa firmato di un cliente tedesco — resta fino alla scadenza di quel termine, e in quel periodo non viene usato per nient'altro.

Se l'organizzazione lo chiede, confermiamo la cancellazione per iscritto.

13. Audit

L'organizzazione può verificare che facciamo quanto scritto qui. Su sua richiesta forniamo le informazioni necessarie a dimostrare il rispetto dell'articolo 28 GDPR.

Se desidera un audit in loco o tramite un revisore indipendente, è possibile, con un preavviso ragionevole, durante l'orario d'ufficio, al massimo una volta all'anno — e più spesso quando c'è un motivo concreto, come una violazione dei dati.

Il revisore non può essere un nostro concorrente ed è tenuto alla riservatezza. I dati degli altri clienti restano fuori dall'audit.

I costi di un audit sono a carico dell'organizzazione, salvo che ne risulti un nostro inadempimento.

14. Modifiche

Se cambia la legge, o se cambia il modo in cui la piattaforma funziona, adeguiamo il presente accordo. Lo annunciamo via e-mail con almeno 30 giorni di anticipo.

Se l'organizzazione non è d'accordo, può disdire con effetto dalla data in cui la modifica entra in vigore, senza costi.

La data di versione in alto dice quale versione sta leggendo. La versione accettata al momento della registrazione la conserviamo presso l'organizzazione.