Termini e condizioni

Stand: 22 luglio 2026

I T&C sono costituiti dai presenti termini, dall'Allegato A, che è un Accordo sul trattamento dei dati, e dall'Allegato B, che prevede ulteriori funzionalità opzionali della piattaforma.

1. Generale
   1. Smoobu GmbH, Pappelallee 78/79, 10437 Berlino ("Smoobu"), è un fornitore di software come servizio, che fornisce software per la gestione centralizzata di alloggi a breve termine, in particolare case vacanze o affitti per vacanze, sotto un dominio e come app ("Piattaforma"). La Piattaforma, compresi gli aggiornamenti, i miglioramenti, le nuove funzioni e/o l'aggiunta di nuove funzionalità web, è soggetta alle presenti CGC.
   2. La Piattaforma offre integrazioni con strumenti di terze parti ("Integrazioni"). Gli utenti finali della Piattaforma ("Utenti") sono tenuti a stipulare separatamente accordi contrattuali diretti con tali terze parti o ad acquistare tali integrazioni direttamente tramite Smoobu in base a condizioni separate fornite dal fornitore terzo e a una fatturazione separata.
   3. L'utilizzo della Piattaforma è soggetto esclusivamente ai presenti T&C nella versione applicabile al momento dell'accesso alla Piattaforma. La versione più recente può essere consultata sulla Piattaforma.
   4. La Piattaforma non può essere utilizzata per scopi impropri o fraudolenti.
   5. Le presenti CGC si applicano a tutti gli Utenti, siano essi persone fisiche, giuridiche o società di persone, ciascuno con capacità imprenditoriale. Sono considerati utenti i proprietari che agiscono come persone fisiche per la propria azienda, nonché i fornitori di alloggi, le agenzie, i dipendenti o i venditori che agiscono per conto dei proprietari.
   6. Smoobu si riserva il diritto di impedire agli Utenti l’utilizzo della Piattaforma in determinati casi, in particolare qualora l’Utente:
      • contravviene alla clausola (4) di cui sopra;
      • utilizzare sistemi o software automatizzati per estrarre dati dalla Piattaforma (il cosiddetto screen scraping), sia per scopi commerciali che non commerciali;
      • eludere le restrizioni esistenti nelle intestazioni di esclusione dei robot o in altre misure che limitano o impediscono l'accesso alla Piattaforma;
      • utilizzare un dispositivo, un software o un programma che influisce o cerca di influire sulla regolare funzionalità della Piattaforma,
      • compiere un atto che mette a dura prova i server, i computer o la rete di Smoobu;
      • non effettuare il pagamento ai sensi della sezione 6 di seguito riportata; oppure
      • l'uso del Servizio al di là di quanto concordato contrattualmente o dell'ambito abituale e consueto.
2. Servizi di Smoobu
   1. La funzione principale della piattaforma consiste nel facilitare la sincronizzazione dei calendari e dei prezzi tra i vari canali di distribuzione di alloggi per brevi periodi che Smoobu ha collegato alla piattaforma, compreso l'hosting di tali dati ("funzionalità principali"). Ulteriori funzioni possono essere fornite attraverso la Piattaforma ed essere soggette a condizioni aggiuntive che possono essere esaminate qui.
   2. Smoobu non garantisce la disponibilità ininterrotta della Piattaforma. L'uptime medio annuale della Piattaforma è del 98%. Smoobu può effettuare interventi di manutenzione tecnica sulla Piattaforma in qualsiasi momento, generalmente al di fuori del normale orario di lavoro, e nella misura necessaria. L'utilizzo della Piattaforma potrebbe essere limitato o non possibile durante tali periodi. In tali casi, l'Utente non avrà diritto ad alcuna richiesta di risarcimento danni. Ove possibile, Smoobu informerà l'Utente in anticipo di eventuali lavori di manutenzione estesi che comportino limitazioni o indisponibilità della Piattaforma.
   3. Se del caso, al ricevimento della notifica di eventuali malfunzionamenti o errori Smoobu prenderà in considerazione tutti gli sforzi economicamente validi e le soluzioni tecnicamente fattibili per ripristinare la Piattaforma nel suo ambiente e nella sua funzionalità abituali. A tal fine, tali notifiche dovranno contenere descrizioni sufficientemente specifiche. È responsabilità esclusiva di Smoobu determinare in via definitiva l'urgenza di tali notifiche. Il servizio clienti di Smoobu è disponibile durante il normale orario di lavoro per tali notifiche e le relative comunicazioni.
   4. La Piattaforma può offrire ("Servizi Beta"). I servizi beta sono contrassegnati in modo evidente come tali e potrebbero non funzionare come descritto. I Servizi Beta possono essere migliorati o ritirati a esclusiva discrezione di Smoobu, ove possibile con un preavviso.
   5. Smoobu non garantisce la funzionalità, l'affidabilità o le prestazioni senza errori dei Servizi Beta.
   6. Strumenti di terze parti possono essere integrati attraverso la Piattaforma. Sebbene vengano compiuti sforzi ragionevoli per supportare tali integrazioni, si conviene espressamente che Smoobu non si assume alcuna responsabilità per eventuali problemi, danni o perdite derivanti da tali integrazioni.
   7. Smoobu non garantisce la compatibilità, l'affidabilità o le prestazioni di qualsiasi integrazione.
   8. Smoobu non si assume alcuna responsabilità per i contenuti esterni alla Piattaforma, compresi, ma non solo, i siti web collegati alla Piattaforma.
   9. Smoobu fornirà all'Utente l'accesso alla Piattaforma in conformità con la sezione 3 di seguito.
   10. Smoobu offre diverse opzioni di abbonamento ("Abbonamento") e le funzionalità disponibili possono differire tra gli Abbonamenti, come specificato sulla Piattaforma.
3. Diritti e obblighi degli utenti
   1. Smoobu concede agli Utenti una licenza globale limitata, non esclusiva e non trasferibile per la durata del Contratto per accedere alla Piattaforma nell'ambito del software come servizio in conformità con i presenti T&C e la loro Sottoscrizione.
   2. L'Utente garantisce di avere i poteri necessari per stipulare il presente accordo legale ("Accordo") e di aver letto, compreso e accettato i T&C applicabili, anche per gli eventuali Utenti Assistenti (definiti di seguito), il cui utilizzo della Piattaforma è altresì soggetto al presente Accordo. L'Utente garantisce che tutti i dati forniti a Smoobu sono corretti e aggiornati in ogni momento. Smoobu ha il diritto di verificare, a sua esclusiva discrezione, l'integrità, l'accuratezza e la completezza dei dati dell'Utente, nonché di attuare ulteriori controlli attraverso verifiche manuali e tecniche eventualmente effettuate da fornitori di servizi esterni o un'autodenuncia (ad esempio rispondendo a un questionario) a proprie spese in modo tempestivo.
   3. Gli utenti sono tenuti a rispettare tutte le leggi, i regolamenti e gli standard industriali applicabili. Ciò vale in particolare, ma senza limitazioni, per la lotta alla corruzione, all'antitrust, alla protezione dei dati, alla lotta al riciclaggio di denaro, al lavoro minorile, alla prevenzione del terrorismo, ai controlli e alle sanzioni sulle esportazioni, alle normative sul turismo, nonché ai requisiti in materia di salute, sicurezza e ambiente. Se richiesto dalla legge o da altri requisiti normativi, l'Utente dovrà garantire la piena collaborazione con Smoobu e con i suoi rappresentanti e subappaltatori e fornire tutte le informazioni richieste.
   4. Agli Utenti viene fornito un accesso individuale alla Piattaforma ("Accesso Utente") che può essere realizzato inserendo un nome utente e una password. L'Utente deve scegliere un nome utente (indirizzo e-mail) sicuro e appropriato e una password adeguata e individuale. La password deve essere impostata seguendo tutte le raccomandazioni tecniche e di sicurezza più avanzate e deve essere mantenuta riservata in ogni momento.
   5. L'Utente è responsabile del mantenimento della riservatezza dell'Accesso Utente e di tutte le attività condotte da, o per conto dell'Utente.
   6. L'Utente dovrà informare immediatamente Smoobu nel caso in cui venga a conoscenza di un uso o di un accesso sospetto o non autorizzato alla Piattaforma e adottare tutte le misure di sicurezza appropriate per proteggere il proprio accesso alla Piattaforma. Inoltre, l'Utente informerà immediatamente Smoobu qualora rilevi problemi o comportamenti sospetti relativi alla Piattaforma.
   7. L'Utente si asterrà dalle seguenti attività:
      • Reverse Engineering: L'Utente non potrà intraprendere alcuna forma di reverse engineering, decompilazione, disassemblaggio o altro tentativo di ricavare il codice sorgente, gli algoritmi sottostanti o la struttura della Piattaforma, in tutto o in parte;
      • Inserimento di bug o codice dannoso: L'Utente non introdurrà, caricherà, trasmetterà o distribuirà virus, worm, cavalli di Troia, malware o qualsiasi codice dannoso o nocivo che possa interrompere, danneggiare o compromettere la funzionalità, la sicurezza o l'integrità della Piattaforma.
      • Copia e riproduzione: L'Utente non potrà copiare, riprodurre, modificare, distribuire, visualizzare, eseguire o creare opere derivate basate sulla Piattaforma o su qualsiasi sua parte.
   8. Gli Utenti devono trattare il proprio Accesso Utente e tutti i dati memorizzati sulla Piattaforma come Informazioni riservate (si veda la sezione 9 di seguito).
   9. In caso di violazione colposa di tali obblighi, l'Utente è responsabile dei danni che ne derivano.
   10. L'Utente può assegnare ulteriori account utente assistente "Account Assistente" tramite la Piattaforma. L'Utente è responsabile della gestione degli Account Assistenti, della loro conformità all'uso della Piattaforma in conformità con i presenti T&C e con tutte le leggi e i regolamenti pertinenti.
   11. Gli utenti sono interamente responsabili di tutte le attività che si svolgono nell'ambito dell'account dell'utente e di qualsiasi account assistente correlato. Smoobu non sarà responsabile di eventuali perdite subite dagli utenti a causa di accessi non autorizzati dovuti al mancato rispetto delle presenti CGC. Gli utenti possono essere ritenuti responsabili per le perdite subite da Smoobu o da terzi a causa della mancata osservanza dei presenti T&C da parte degli utenti.
   12. La Piattaforma di Smoobu è accessibile e utilizzabile via internet. Gli utenti sono responsabili dell'hardware internet necessario, della connessione di rete e della sua velocità adeguata; delle impostazioni di sicurezza dei sistemi informatici appropriati, della corretta compatibilità informatica e della manutenzione di qualsiasi apparecchiatura necessaria per connettersi, accedere o accedere in altro modo alla Piattaforma.
   13. L'Utente è responsabile del corretto inserimento, dell'accurata manutenzione e del regolare backup dei dati e delle informazioni necessarie per l'utilizzo della Piattaforma. Le disposizioni di cui al titolo "Responsabilità e indennizzo" rimangono inalterate da questa sezione.
   14. L'Utente consente a Smoobu di utilizzare il suo nome per scopi di ricerca, di riferimento per i clienti, di marketing, di pubblicità e di promozione delle vendite fino alla revoca da parte dell'Utente (è sufficiente un'e-mail), che può includere comunicazioni agli Utenti nell'ambito di tali sforzi.
4. Proprietà intellettuale
   1. Smoobu è l'unico ed esclusivo proprietario di tutti i diritti di proprietà intellettuale, compresi, ma non solo, i diritti d'autore, i diritti di brevetto, i segreti commerciali e i marchi di fabbrica sviluppati e forniti in conformità alle presenti CGC.
   2. L'Utente non dovrà caricare o fornire in altro modo contenuti alla Piattaforma o utilizzare la Piattaforma in modo da violare qualsiasi legge o infrangere i diritti di qualsiasi organizzazione o individuo o contravvenire a qualsiasi legge e/o regolamento applicabile.
5. Responsabilità e indennizzo
   1. Smoobu sarà responsabile senza limitazioni per qualsiasi motivo legale in caso di dolo o colpa grave, in caso di lesione intenzionale o colposa alla vita, all'integrità fisica o alla salute, sulla base di una promessa di garanzia, a meno che non sia diversamente regolamentato a questo proposito, o sulla base di una responsabilità obbligatoria come quella prevista dalla legge sulla responsabilità del prodotto. Se Smoobu viola per negligenza un obbligo contrattuale essenziale, la responsabilità sarà limitata al danno prevedibile tipico del contratto, a meno che non si applichi una responsabilità illimitata ai sensi della clausola precedente. Per obblighi contrattuali essenziali si intendono gli obblighi che il contratto impone a Smoobu in base al suo contenuto per raggiungere lo scopo del contratto, il cui adempimento rende innanzitutto possibile la corretta esecuzione del contratto e sulla cui osservanza l'Utente può regolarmente fare affidamento. Ogni ulteriore responsabilità del fornitore è esclusa.
   2. Le parti convengono che l'ammontare dei danni prevedibili e tipici del contratto ai sensi della clausola (1) di cui sopra è limitato alle Tariffe pagate dall'Utente a Smoobu nel periodo di 12 mesi immediatamente precedente.
   3. Le disposizioni di responsabilità di cui sopra si applicano anche alla responsabilità di Smoobu per i suoi agenti e rappresentanti legali.
   4. L'Utente indennizzerà, difenderà e manterrà indenne Smoobu (compresi i suoi direttori, dipendenti, agenti o fornitori) da e contro qualsiasi reclamo, costo, danno, perdita, responsabilità e spesa relativi a qualsiasi reclamo, azione, causa o procedimento da parte di terzi nei confronti di Smoobu derivanti dal mancato rispetto dei presenti T&C da parte dell'Utente.
   5. La Piattaforma, le Integrazioni, il loro utilizzo e i relativi risultati sono forniti "così come sono" nella misura massima consentita dalla legge. Smoobu declina ogni garanzia esplicita o implicita, comprese le garanzie di qualità soddisfacente e di idoneità a uno scopo particolare che possono essere implicite in relazione alla Piattaforma o alle Integrazioni.
6. Fatturazione e pagamento
   1. Gli Utenti dovranno pagare le tariffe applicabili ("Tariffe") come specificato sulla Piattaforma per ogni Sottoscrizione. Salvo quanto diversamente previsto (i) gli obblighi di pagamento non sono annullabili, (ii) le Commissioni non sono rimborsabili; (iii) tutte le Commissioni sono pagabili in anticipo, comprese le Sottoscrizioni iniziali e i rinnovi, e (iv) tutte le Commissioni sono soggette all'imposta sul valore aggiunto (IVA) applicabile per legge.
   2. Smoobu può fornire all'Utente una licenza di prova gratuita della Piattaforma per un periodo di tempo limitato, per una durata a discrezione di Smoobu ("Fase di prova" o "Prova gratuita"). La Fase di Prova comprende esclusivamente il test della Piattaforma in un ambiente di prova con un'eventuale estensione limitata alla versione completa a pagamento; in caso contrario, si applicheranno i diritti d'uso concessi nei presenti T&C. Per continuare a utilizzare la Piattaforma dopo la fine della Fase di Prova, l'Utente è tenuto a pagare i Costi.
   3. In caso di ritardo nel pagamento delle Tariffe, Smoobu ha diritto a:
      • Ricevere gli interessi al tasso legale (§ 288 BGB) per il periodo di ritardo nel pagamento; e
      • sospendere l'accesso alla Piattaforma, il diritto di Smoobu alle Commissioni concordate contrattualmente rimane inalterato.
   4. Nel caso in cui la fatturazione automatica non avvenga per qualsiasi motivo, Smoobu emetterà una fattura elettronica indicando che l'Utente dovrà procedere manualmente, entro una certa data di scadenza, al pagamento completo corrispondente al periodo di fatturazione indicato in fattura.
7. Termine e cessazione
   1. Se non diversamente concordato per iscritto, il presente Accordo può essere risolto con un preavviso scritto di un mese, è sufficiente un messaggio di posta elettronica. Le sottoscrizioni si rinnoveranno automaticamente per i termini successivi (stessa durata e tariffe della sottoscrizione iniziale) a meno che non vengano risolte in conformità con la presente clausola o se tale sottoscrizione non è più offerta da Smoobu. Il diritto alla risoluzione straordinaria dell'Accordo per giusta causa rimane inalterato.
   2. Smoobu può rescindere immediatamente il presente Accordo con comunicazione scritta se l'Utente:
      • viola in modo sostanziale i presenti T&C; o
      • non paga le Tasse dovute dopo 30 giorni dalla scadenza.
   3. In caso di cessazione di un abbonamento, Smoobu, a sua esclusiva discrezione, può fornire all'Utente l'accesso a un abbonamento alternativo.
   4. Alla cessazione del Contratto, e per un ulteriore periodo fino a 30 giorni dalla data di cessazione, l'Utente può scaricare i propri dati dalla Piattaforma.
   5. Le clausole 5 (4), 6, 7 e 9 sopravvivono alla risoluzione.
8. Protezione dei dati
   1. Entrambe le parti dovranno rispettare tutte le leggi applicabili, incluso, a titolo esemplificativo, il REGOLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 27 aprile 2016, (il "GDPR") e la legge federale sulla protezione dei dati (il "BDSG"). Ciascuna delle parti fornirà all'altra parte qualsiasi cooperazione ragionevolmente richiesta per consentire all'altra parte di conformarsi alla presente clausola.
   2. Le parti concordano di incorporare l'accordo sul trattamento dei dati incluso nell'Allegato A, che fa parte dei presenti T&C, per provvedere al trattamento dei dati personali degli ospiti dell'Utente da parte di Smoobu ("Accordo sul trattamento dei dati", "DPA"). Smoobu è un Responsabile del trattamento (come definito dal GDPR) per i dati personali degli ospiti caricati sulla Piattaforma da un Utente o trattati per conto di quest'ultimo.
   3. L'Utente deve garantire ed è l'unico responsabile della divulgazione di tutte le informazioni necessarie e previste dalla legge in materia di protezione dei dati agli interessati in merito all'utilizzo della Piattaforma Smoobu.
9. Riservatezza
   1. Per "Informazioni riservate" si intendono tutte le informazioni divulgate da o relative a una parte, comprese le informazioni sulle operazioni commerciali, sui prodotti o sui segreti commerciali di una parte e che sono contrassegnate come riservate o che una persona ragionevole considererebbe tali.
   2. Ciascuna parte può condividere le Informazioni Riservate con le proprie Società del Gruppo. Per "Società del Gruppo" si intende qualsiasi società holding o controllata di una parte o di una delle sue società holding. Una società è una controllata di un'altra società, la sua holding, se quest'altra società (i) detiene la maggioranza dei diritti di voto della stessa, o (ii) è un membro della stessa e ha il diritto di nominare o rimuovere la maggioranza dei suoi amministratori, (iii) o è un membro della stessa e controlla da sola la maggioranza dei diritti di voto della stessa.
   3. Salvo quanto stabilito nei presenti T&C, nessuna delle parti divulgherà le Informazioni riservate. Le Informazioni riservate saranno mantenute riservate.
   4. L'obbligo di cui alla clausola (3) di cui sopra non si applica alle Informazioni Riservate nella misura in cui esse:
      • sia di dominio pubblico (se non a seguito di una violazione dei presenti T&C);
      • si può dimostrare che è stato sviluppato in modo indipendente dalla parte ricevente; oppure
      • è richiesto di essere divulgato per legge o per ordine del tribunale.
   5. Entrambe le parti possono divulgare le Informazioni riservate ai propri dipendenti, agenti, consulenti professionali o fornitori in base alla necessità di conoscerle, a condizione che tali persone siano vincolate da obblighi di riservatezza almeno altrettanto restrittivi di quelli previsti dalle presenti CGC.
   6. Smoobu si riserva il diritto di divulgare qualsiasi informazione che ritenga necessaria per soddisfare qualsiasi legge, regolamento, procedura legale o richiesta governativa o normativa.
10. Disposizioni finali
    1. Il presente Contratto è soggetto al diritto sostanziale della Repubblica Federale di Germania, ad esclusione della Convenzione delle Nazioni Unite sui contratti di vendita internazionale di beni.
    2. Se l'Utente non ha un foro competente generale in Germania, le parti concordano che il foro competente per tutte le controversie derivanti dal presente rapporto contrattuale sarà la sede legale di Smoobu.
    3. Senza il previo consenso scritto di Smoobu, l'Utente non può cedere, trasferire, modificare, sub-licenziare alcun diritto o obbligo, in toto o in parte, a terzi, se non diversamente concordato. Ciononostante, ciascuna parte può cedere i diritti e gli obblighi previsti dai T&C all'entità superstite, in relazione a una fusione, riorganizzazione, consolidamento, cambio di controllo o vendita della quasi totalità dei suoi beni, a condizione che l'entità superstite non sia un concorrente diretto o che l'altra parte e il cessionario accettino per iscritto di essere vincolati dai presenti T&C.
    4. L'eventuale nullità di singole disposizioni delle presenti CGC non pregiudica le restanti disposizioni delle CGC. Al posto delle disposizioni inefficaci o inapplicabili, le parti concorderanno un accordo appropriato, che si avvicini maggiormente alle intenzioni delle parti e che corrisponda a ciò che sarebbe stato concordato in conformità allo scopo e all'intenzione dei presenti Termini e Condizioni se la questione in questione fosse stata considerata in precedenza.
    5. In caso di ("Forza maggiore") che impedisca a Smoobu di fornire la Piattaforma, Smoobu sarà esonerato dall'obbligo di prestazione per la durata della Forza maggiore e inoltre per un periodo di tempo ragionevole per la ripresa della Piattaforma. In questo caso, le scadenze saranno posticipate del suddetto periodo. Gli eventi di forza maggiore comprendono, in particolare, incendi, esplosioni, inondazioni, guerre, blocchi, embarghi, controversie di lavoro, pandemie e misure ufficiali in relazione ai suddetti eventi per i quali Smoobu non è responsabile. In questo caso sono escluse le richieste di risarcimento danni. Smoobu non è inoltre responsabile della funzionalità e della disponibilità di servizi di terzi e di altri componenti di terzi che l'Utente mantiene o ha ottenuto tramite terzi, in particolare i portali di prenotazione della rete di distribuzione (agenzie di viaggio online collegate).
    6. Smoobu è autorizzata a modificare le presenti T&C a sua esclusiva discrezione e con un ragionevole periodo di preavviso. Gli utenti esistenti saranno informati via e-mail almeno due settimane prima dell'entrata in vigore della modifica. Se l'Utente esistente non si oppone entro il termine stabilito nella notifica di modifica, il suo consenso alla modifica sarà considerato concesso. In caso di obiezione, le modifiche non entreranno in vigore; in tal caso, Smoobu avrà il diritto di risolvere il Contratto in via straordinaria al momento dell'entrata in vigore della modifica. La notifica dovrà indicare la modifica prevista ai presenti T&C, la scadenza e le conseguenze di un'obiezione o della mancata obiezione.
    7. Smoobu avrà il diritto di adattare la Piattaforma al rispettivo stato dell'arte e della tecnologia comprovato e consolidato. Tali adattamenti comprendono, tra l'altro, modifiche, aggiunte ed estensioni della Piattaforma legate alla sicurezza e/o necessarie dal punto di vista legale; modifiche in conformità alle specifiche di sviluppo generalmente applicabili che hanno solo un'influenza minore sui processi di lavoro dell'Utente. L'influenza è minima se vengono apportate modifiche ai processi da parte dell'Utente, ma questi non vengono sostituiti o interrotti, bensì continuano a esistere con modifiche appropriate da parte dell'Utente e a spese di quest'ultimo.
    8. Smoobu si riserva il diritto di raccogliere e analizzare statisticamente i dati relativi alle funzioni (definite nell'Allegato B) e al modo in cui gli utenti interagiscono con la piattaforma e la utilizzano ai fini della garanzia di qualità e dell'ulteriore sviluppo della piattaforma e delle funzioni di Smoobu.
    9. Adeguamenti dovuti a modifiche dei servizi offerti dalle reti di distribuzione (in particolare dalle OTA - Online Travel Agencies basate sul Cloud), che possono essere fatti valere unilateralmente nei confronti di Smoobu sulla base delle condizioni contrattuali applicabili. Smoobu si riserva il diritto di sostituire i requisiti di sistema con altri. Nel caso di una modifica descritta nel presente documento con un'influenza significativa, Smoobu informerà l'Utente in anticipo, almeno in forma testuale, utilizzando tutte le informazioni e le conoscenze disponibili con la consueta cura. L'influenza significativa sussiste se le funzionalità vengono omesse o limitate in modo non trascurabile e quindi è necessario un notevole sforzo organizzativo aggiuntivo da parte dell'Utente, nonché modifiche professionali o tecniche.

Accordo per l'elaborazione dei dati

Stand: 18 giugno 2024

Accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR 28 GDPR

1. Oggetto e durata dell'accordo
   1. Articolo
      • Il presente Accordo per il trattamento dei dati ("DPA") viene stipulato tra Smoobu GmbH ("Smoobu", "Responsabile del trattamento", "Contraente", "Fornitore") e una società in qualità di utente della Piattaforma Smoobu e dei suoi servizi ("Utente", "Cliente", "Titolare del trattamento"), dove i dettagli delle parti sono definiti nell'Accordo principale e nelle T&C applicabili all'Accordo per la Piattaforma SaaS per la fornitura di servizi digitali ("T&C") da parte di Smoobu. Il presente DPA costituisce un'integrazione al Contratto principale, in quanto vi è incorporato per riferimento, definisce i diritti e gli obblighi del Cliente e di Smoobu e si applica a tutti i servizi eseguiti e descritti nel Contratto principale e forniti da Smoobu al Cliente.
      • La presente DPA si applica nella misura in cui il Cliente utilizza i servizi digitali (compresi i siti web e le applicazioni mobili) di Smoobu sulla Piattaforma o Smoobu tratta i dati personali secondo le istruzioni del Cliente, compresi i dati personali forniti al Contraente da o per conto del Cliente, allo scopo di fornire i servizi previsti dal Contratto principale. Se nessuna delle condizioni di cui sopra è applicabile, la presente DPA non si applica.
      • Nel caso in cui altre leggi locali a cui il Cliente è soggetto richiedano ulteriori precauzioni in materia di protezione dei dati in relazione all'adempimento dell'Accordo principale, che non sono menzionate o sufficientemente descritte nel presente DPA, le parti adotteranno tali precauzioni, a condizione che il Cliente informi il Fornitore con sufficiente anticipo e che il Fornitore possa attuarle in modo economico e tecnico dopo averle esaminate.
   2. Durata
      • La durata del presente DPA ("Termine") corrisponde alla durata del Contratto principale. Il Contraente tratterà i dati personali del Cliente per tutta la durata della fornitura dei Servizi e successivamente fino alla cancellazione o alla restituzione dei dati secondo le relative istruzioni. L'annullamento o un altro tipo di risoluzione del rapporto contrattuale principale risolverà contemporaneamente il presente DPA.
      • In deroga al paragrafo precedente, la presente DPA si applica per tutto il tempo in cui il Contraente tratta i dati personali del Cliente (compresi i backup, ecc.). Come misura necessaria per garantire l'integrità e la disponibilità dei dati, il Fornitore può conservare copie di backup dei dati personali del Cliente anche dopo la fine della fornitura dei Servizi. Il Fornitore dovrà garantire che tali dati personali non vengano utilizzati attivamente e che l'accesso ad essi sia strettamente limitato.
   3. Cancellazione
      • Il Cliente può risolvere il presente DPA con effetto immediato se il Fornitore o uno dei suoi subfornitori viola le disposizioni del presente DPA o le leggi sulla protezione dei dati.
      • Il Fornitore può risolvere il presente DPA se il Cliente si oppone a un subprocessore che il Fornitore ritiene necessario per la fornitura dei servizi o se il Cliente emette un'istruzione che il Fornitore ritiene impraticabile da attuare.
   4. Definizioni
      • Ai fini del presente DPA, i termini "misure tecniche e organizzative adeguate", "responsabile del trattamento", "dati personali", "violazione dei dati personali", "trattamento", "incaricato del trattamento" e "autorità di controllo" (o termini adeguatamente equivalenti) avranno ciascuno il significato loro attribuito dalla legge applicabile in materia di protezione dei dati.
      • Le leggi in materia di protezione dei dati sono (i) il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, e che abroga la direttiva 95/46/CE ("GDPR"); (ii) il Regolamento (UE) 2016/679 del Regno Unito ("GDPR UK"), dove i riferimenti al GDPR devono essere intesi come riferimenti alle corrispondenti disposizioni del GDPR UK; (iii) la legislazione nazionale che integra il GDPR e regola il trattamento dei dati personali.
      • I Dati personali del Cliente comprendono tutti i dati personali, compresi i dati del Cliente e dei suoi clienti, che utilizzano i servizi del Cliente ("Cliente") trattati dal Fornitore in conformità alle Istruzioni allo scopo di fornire i Servizi, compresi i dati personali forniti al Fornitore da o per conto del Cliente. A scanso di equivoci, i Dati personali del Cliente non comprendono (i) i dati personali di cui il Fornitore sarebbe in possesso indipendentemente dall'utilizzo dei Servizi da parte del Cliente, in particolare i dati sul traffico provenienti da terzi, come le informazioni tecniche collegate sui dispositivi utilizzati (indirizzo IP, ID dei cookie, altri metadati) (se pertinenti) e (ii) le informazioni statistiche aggregate che non costituiscono dati personali.
      • Istruzione / Istruzione indica un'istruzione relativa all'ambito e alle modalità di trattamento dei dati personali del Cliente che il Cliente fornisce al Fornitore in qualsiasi forma, come, a titolo esemplificativo ma non esaustivo, disposizioni selezionate dell'Accordo principale e del presente DPA, ordini scritti del Cliente, e-mail o impostazioni sulla Piattaforma fornite al Cliente dal Fornitore.
      • Un Subprocessore è un terzo elaboratore di dati incaricato dal Fornitore che ha accesso ai dati del Cliente in qualità di elaboratore o che li elaborerà in conformità alle istruzioni impartite.
      • Le Clausole Contrattuali Standard/ SCC sono le Clausole Contrattuali Standard approvate dalla Commissione Europea per il trasferimento di dati personali dall'Unione Europea a Paesi terzi, come di volta in volta modificate, sostituite, integrate o sostituite, e la cui versione completa e aggiornata è disponibile al seguente link: https://commission.europa.eu/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
      • DPF indica l'EU-U.S. Data Privacy Framework e/o lo Swiss-U.S. Data Privacy Framework o qualsiasi programma di autocertificazione successivo gestito dal Dipartimento del Commercio degli Stati Uniti e approvato dalla Commissione Europea di volta in volta che non sia stato invalidato (e in ogni caso include l'estensione del Regno Unito dell'EU-U.S. Data Privacy Framework e qualsiasi altra estensione di tale framework che estenda l'applicazione dell'EU-U.S. Data Privacy Framework a quel paese)
2. Specifica del contenuto della DPA
   1. L'utente in qualità di Cliente e Titolare del trattamento incarica Smoobu in qualità di Fornitore di trattare i dati personali del Cliente in qualità di Responsabile del trattamento secondo le istruzioni documentate.
      
   2. Nell'ambito degli obblighi generali, il Cliente dovrà garantire e documentare che il Fornitore possa, ai fini della fornitura dei Servizi, trattare i dati personali forniti dal Cliente, compresi i Dati personali dei clienti utilizzati dal Cliente, in conformità alle istruzioni del Cliente e nel rispetto delle leggi applicabili a tale trattamento. Il Cliente dovrà garantire un'adeguata base giuridica per il trattamento dei Dati personali del Cliente e dovrà fornire informazioni accurate e complete agli interessati in merito al trattamento dei Dati personali del Cliente, come richiesto dalle Leggi sulla protezione dei dati. Di conseguenza, il Cliente informerà i propri Clienti in modo trasparente, in conformità con i requisiti legali pertinenti.
      
      Ulteriori dettagli sono riportati nell'Accordo principale e nell'Allegato 1.
3. Misure tecniche e organizzative
   1. Il Fornitore adotterà tutte le misure tecniche e organizzative necessarie nella sua area di responsabilità in conformità con l'Art. 32 GDPR per proteggere i dati personali e fornirà al Cliente la documentazione per la revisione, allegata come Allegato 2. Il Cliente può richiedere di volta in volta ulteriori informazioni sulle misure tecniche e organizzative attuate dal Fornitore.
      
      Se accettate dal Cliente, le misure documentate costituiranno la base del DPA. Il Fornitore deve implementare e mantenere le misure, comprese quelle di sicurezza adeguate, necessarie a proteggere i dati personali del Cliente da accessi non autorizzati o accidentali, perdita, alterazione, divulgazione o distruzione, e deve assistere il Cliente nel garantire il rispetto degli obblighi del Cliente a questo proposito, tenendo conto della natura del trattamento e delle informazioni disponibili. Il Fornitore deve garantire la sicurezza in conformità all'Art. 28 par. 3 lett. c, 32 GDPR, in particolare in relazione all'Art. 5 comma. 1, comma 2 GDPR. In generale, le misure da adottare sono misure di sicurezza dei dati e misure volte a garantire un livello di protezione adeguato al rischio per quanto riguarda la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi. Occorre tenere conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito e delle finalità del trattamento, nonché della diversa probabilità e gravità del rischio per i diritti e le libertà delle persone fisiche.
      
   2. Se l'ispezione/verifica del Cliente rivela la necessità di un adeguamento, questo sarà attuato di comune accordo.
      
   3. Le misure tecniche e organizzative concordate sono soggette al progresso tecnico e all'ulteriore sviluppo. A questo proposito, il Contraente è autorizzato a implementare in futuro misure adeguate alternative. In questo modo, il livello di sicurezza delle misure specificate non può essere compromesso. Il Cliente deve essere informato immediatamente di eventuali modifiche significative, che devono essere documentate dal Fornitore.
4. Diritti degli interessati
   1. Il Fornitore deve supportare il Cliente nella sua area di responsabilità e, per quanto possibile, mediante misure tecniche e organizzative adeguate, nel rispondere e attuare le richieste degli interessati in merito ai loro diritti di protezione dei dati. Il Fornitore non può fornire informazioni, portare, correggere, cancellare o limitare il trattamento dei dati elaborati per conto del Cliente senza autorizzazione, ma solo in conformità alle istruzioni documentate del Cliente. Se una persona interessata si rivolge direttamente al Fornitore a questo proposito, il Fornitore inoltrerà tale richiesta all Cliente senza indugio. Il Cliente riceverà il supporto del Fornitore per rispondere alle richieste degli interessati e rimborserà i costi sostenuti dal Fornitore.
      
   2. Se coperti dall'ambito dei servizi, i diritti di informazione, rettifica, limitazione del trattamento, cancellazione e portabilità dei dati saranno garantiti direttamente dal Fornitore in conformità alle istruzioni documentate del Cliente.
5. Garanzia di qualità e altri obblighi del Contraente
   1. Oltre al rispetto delle disposizioni del presente DPA, il Contraente ha i propri obblighi legali ai sensi del GDPR; a tal proposito, garantisce in particolare il rispetto dei seguenti requisiti:
      • Mantenere la riservatezza in conformità con l'Art. 28 par. 3 frase 2 lit. b, 29, 32 para. 4 GDPR. Nell'esecuzione dei lavori, il Fornitore si avvale esclusivamente di dipendenti, collaboratori, rappresentanti, fornitori di servizi e subfornitori che sono stati obbligati a mantenere la riservatezza e che sono stati preventivamente informati sulle disposizioni in materia di protezione dei dati personali che li riguardano. Il Fornitore e qualsiasi persona subordinata al Fornitore che abbia accesso autorizzato ai dati personali possono trattare tali dati solo in conformità alle istruzioni del Cliente, comprese le autorizzazioni concesse nel presente DPA, a meno che non siano legalmente obbligati a trattarli.
        
      • Il Cliente e il Fornitore collaborano con l'autorità di vigilanza nell'adempimento dei propri compiti su richiesta.
        
      • informare immediatamente il Cliente di eventuali ispezioni e misure adottate dall'autorità di vigilanza nella misura in cui si riferiscono alla presente DPA. Ciò vale anche nel caso in cui un'autorità competente indaghi sul trattamento dei dati personali nel contesto di un reato amministrativo o di un procedimento penale relativo al trattamento dei dati personali da parte del Fornitore.
        
      • Se il Cliente è soggetto a un'ispezione da parte dell'autorità di vigilanza, a un'infrazione amministrativa o a un procedimento penale, a un'azione di responsabilità da parte di un soggetto interessato o di un terzo, a un altro reclamo o a una richiesta di informazioni in relazione al trattamento commissionato al Fornitore, quest'ultimo dovrà supportare il Cliente al meglio delle sue possibilità.
        
      • Il Fornitore controlla regolarmente i processi interni e le misure tecniche e organizzative per garantire che il trattamento nella sua area di responsabilità sia effettuato in conformità con i requisiti della legge sulla protezione dei dati applicabile e che sia garantita la protezione dei diritti dell'interessato.
        
      • Verificabilità delle misure tecniche e organizzative adottate nei confronti del Cliente nell'ambito dei suoi poteri di controllo ai sensi della Sezione 8 del presente DPA.
        
      • Tenendo conto del tipo di trattamento e delle informazioni disponibili, il Fornitore comunicherà immediatamente al Cliente eventuali violazioni della protezione dei dati personali in modo tale che il Cliente possa adempiere ai propri obblighi legali, in particolare ai sensi degli artt. 33, 34 GDPR. Il Fornitore preparerà una documentazione sull'intero processo, che metterà a disposizione del Cliente per ulteriori misure.
        
      • Il Fornitore assiste il Cliente nella sua area di responsabilità e, per quanto possibile, nell'ambito degli obblighi di informazione esistenti nei confronti delle autorità di controllo e degli interessati e le fornisce senza indugio tutte le informazioni pertinenti in questo contesto.
        
      • Il Fornitore non comunicherà con le autorità di vigilanza, gli interessati o i media in merito a violazioni dei dati, risposte a richieste di esercizio dei diritti di protezione dei dati o altri incidenti relativi ai dati personali del Cliente senza le istruzioni del Cliente, a meno che ciò non sia richiesto dalle leggi sulla protezione dei dati.
        
      • Nella misura in cui il Cliente è tenuto a effettuare una valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 del GDPR, il Fornitore lo sosterrà, tenendo conto del tipo di trattamento e delle informazioni disponibili. Lo stesso vale per qualsiasi obbligo esistente di consultare l'autorità di controllo della protezione dei dati competente.
   2. La presente DPA non esonera il Fornitore dal rispetto di altre disposizioni del GDPR.
6. Rapporti di subcontratto
   1. Per rapporti di subcontratto ai sensi della presente disposizione si intendono i servizi che si riferiscono direttamente alla fornitura del servizio principale. Non sono compresi i servizi accessori utilizzati dal Fornitore, ad esempio i servizi di telecomunicazione, i servizi postali/di trasporto, i servizi di pulizia o i servizi di sicurezza. I servizi di manutenzione e collaudo costituiscono un rapporto di subcontratto se sono forniti per sistemi IT che sono forniti in connessione con un servizio fornito dal Contraente ai sensi del presente DPA. Tuttavia, il Fornitore è tenuto a stipulare accordi contrattuali adeguati e conformi alla legge e ad adottare misure di controllo per garantire la protezione e la sicurezza dei dati del Cliente, anche nel caso di servizi accessori esternalizzati.
      
      Il Cliente autorizza il Fornitore a nominare dei sub-elaboratori nell'ambito del trattamento dei dati specificato nella presente DPA e accetta che tali sub-elaboratori possano incaricare altri elaboratori del trattamento dei dati personali del Cliente. Il Cliente acconsente all'incarico dei subprocessori specificati nell'Allegato 3 a condizione che venga stipulato un accordo contrattuale con i subprocessori ai sensi dell'Art. 28 (2-4) GDPR. 28 (2-4) GDPR.
      
      L'accordo contrattuale sarà presentato al Cliente su richiesta, ad eccezione delle clausole commerciali non correlate alla legge sulla protezione dei dati.
      
   2. L'esternalizzazione a subfornitore o la modifica del subfornitore esistente in conformità all'Appendice 3 è consentita, a condizione che:
      
      • Il Fornitore notifichi in anticipo al Cliente l'esternalizzazione o la modifica dei subfornitori in modo appropriato, in formato digitale o in altra forma, in conformità all'Allegato 3, entro un periodo di tempo ragionevole, che non può essere inferiore a 14 giorni; e
      • il Cliente non si opponga all'esternalizzazione prevista per iscritto o in forma di testo al Fornitore entro la consegna dei dati, e
      • si basa su un accordo contrattuale ai sensi dell'art. 28 (2-4) del GDPR. 28 (2-4) GDPR.
      • A tal fine, il Cliente dovrà informarsi sulle modifiche a intervalli irregolari sul sito web sul quale il Contraente ha debitamente comunicato l'identità e l'entità dell'ordine.
        
   3. Il trasferimento dei dati personali del Cliente al Subfornitore e le attività iniziali del Subfornitore sono consentite solo una volta soddisfatti tutti i requisiti per il subcontratto. La conformità e l'attuazione delle misure tecniche e organizzative del Subfornitore saranno verificate prima del trattamento dei dati personali, tenendo conto del rischio del Subfornitore, e poi regolarmente dal Fornitore.
      
   4. Se il Subfornitore fornisce il servizio concordato al di fuori dell'UE/SEE, il Fornitore deve garantire che il servizio sia consentito dalla legge sulla protezione dei dati adottando misure appropriate.
7. Trasferimenti internazionali di dati
   1. Qualsiasi trasferimento di dati personali a un paese terzo o a un'organizzazione internazionale richiede istruzioni documentate da parte del Cliente e richiede il rispetto dei requisiti per il trasferimento di dati personali a paesi terzi in conformità al capitolo V del GDPR.  Il Cliente autorizza il trasferimento dei dati a un paese terzo ai destinatari elencati nell'Allegato 3. Le misure autorizzate dal Cliente per garantire un livello di protezione adeguato ai sensi degli Artt. 44 e segg. GDPR nel contesto del subcontratto. Tali misure possono comprendere, in particolare, l'attuazione delle clausole standard di protezione dei dati (SCC) di cui all'articolo 46, paragrafo 2, lettera c), del GDPR o, come nel caso di un trasferimento a un fornitore negli Stati Uniti, in conformità con le regole del DPF.
      
   2. Se il Cliente ordina il trasferimento dei dati a terzi in un paese terzo, il Cliente sarà responsabile della conformità al capitolo V del GDPR.
8. Diritti di controllo del Cliente
   1. Il Cliente ha il diritto di effettuare ispezioni in consultazione con il Fornitore o di farle effettuare da revisori indipendenti da nominare in singoli casi. Ha il diritto di accertarsi del rispetto del presente DPA da parte del Fornitore nelle sue operazioni commerciali durante il normale orario di lavoro mediante controlli a campione, che in genere devono essere notificati in tempo utile. Il Cliente è tenuto a informare preventivamente il Contraente per iscritto (è sufficiente un messaggio di posta elettronica) in merito a qualsiasi ispezione da effettuare ai sensi della presente sezione, indicando la portata, la forma e il contributo desiderato della collaborazione del Contraente. A seconda del lavoro da svolgere, dei costi sostenuti e del grado di interruzione delle operazioni commerciali in corso, il Contraente invierà al Cliente un accordo di remunerazione adeguato in anticipo e lo fatturerà successivamente.
      
   2. Il Fornitore deve garantire che il Cliente possa accertarsi del rispetto da parte del Fornitore degli obblighi previsti dall'art. 28 GDPR. 28 GDPR. Il Fornitore si impegna a fornire al Cliente le informazioni necessarie su richiesta e, in particolare, a fornire la prova dell'attuazione delle misure tecniche e organizzative.
      
   3. La prova delle misure tecniche e organizzative per il rispetto dei requisiti speciali della protezione dei dati in generale e di quelli relativi all'ordine può essere fornita, su espressa richiesta scritta del Cliente, inviando i relativi rapporti o estratti di rapporti di organismi indipendenti (ad esempio revisori dei conti, audit interno, responsabile della protezione dei dati, dipartimento di sicurezza informatica, revisori della protezione dei dati, revisori della qualità) sulla base degli standard informatici e di protezione dei dati attualmente riconosciuti e di misure economicamente proporzionate.
9. Autorizzazione del Cliente a impartire istruzioni
   1. Durante il periodo di validità del presente DPA, il Cliente può impartire istruzioni a Smoobu in qualità di Fornitore. Il Fornitore tratterà i dati personali solo sulla base di istruzioni documentate del Cliente, a meno che non sia obbligato a farlo ai sensi della legge dello Stato membro o del diritto dell'Unione. Il Cliente deve confermare senza indugio le istruzioni verbali (almeno in forma testuale). Le istruzioni iniziali del Cliente saranno determinate dal presente DPA. Se il Cliente impartisce ulteriori istruzioni al Fornitore, il Cliente è tenuto a rimborsare al Fornitore i costi sostenuti a seguito di tali istruzioni.
      
   2. Il Fornitore informerà immediatamente il Cliente se ritiene che un'istruzione violi le norme sulla protezione dei dati o se ritiene che un'istruzione specifica comporti una violazione. Il Fornitore ha il diritto di sospendere l'attuazione dell'istruzione in questione fino alla sua conferma o modifica da parte del Cliente.
      
   3. Al termine della durata e della fornitura di servizi ai sensi dell'Accordo principale e fatti salvi i periodi di conservazione e cancellazione dei dati del Cliente previsti dalla legge, il Cliente incarica il Fornitore di cancellare o anonimizzare i dati personali dei clienti del Cliente in suo possesso entro 120 giorni dalla cessazione, a meno che un'istruzione o le leggi sulla protezione dei dati non richiedano diversamente.
10. Cancellazione e restituzione dei dati personali
    1. Non è consentito creare copie o duplicati dei dati senza che il Cliente ne sia a conoscenza. Sono escluse le copie di backup, nella misura in cui sono necessarie per garantire un corretto trattamento dei dati, nonché i dati necessari per rispettare gli obblighi di conservazione previsti dalla legge.
       
    2. Al termine dei lavori concordati contrattualmente o prima su richiesta del Cliente - ma al più tardi al momento della risoluzione del Contratto principale - il Contraente è tenuto a consegnare al Cliente tutti i documenti, i risultati della lavorazione e dell'utilizzo e i dati relativi al rapporto contrattuale di cui è entrato in possesso o, previo consenso, a distruggerli in conformità alle norme sulla protezione dei dati. Lo stesso vale per il materiale di prova e di scarto. Il registro di cancellazione deve essere presentato su richiesta.
11. Responsabilità
    1. Il Fornitore indennizzerà il Cliente per qualsiasi danno diretto subito dal Cliente in conseguenza di una violazione del presente DPA, compresi la perdita, la divulgazione, la distruzione o il danneggiamento accidentale dei dati personali del Cliente da parte del Fornitore o di uno dei suoi subfornitori, a meno che quanto sopra non sia dovuto al rispetto delle istruzioni del Cliente. A scanso di equivoci, le limitazioni di responsabilità del Contraente stabilite nell'Accordo principale non si applicano a questa sezione.
12. Disposizioni finali
    1. Nella misura in cui altri accordi sulla protezione dei dati personali derivino da altri accordi tra il Cliente e il Fornitore, il presente DPA sul trattamento commissionato avrà la precedenza, a meno che le parti non concordino espressamente diversamente.
       
    2. Se una parte del presente DPA è ritenuta non valida o non applicabile, la parte restante del presente DPA dovrà essere interpretata in modo da preservare il più possibile le intenzioni delle parti.
       
    3. Ciascuna delle parti può proporre modifiche al presente DPA che ritiene necessarie a causa delle leggi sulla protezione dei dati o di altri regolamenti, interpretazioni, decisioni o linee guida. In tali casi, le parti collaboreranno per modificare il presente DPA di conseguenza.
       
    4. A meno che le controversie tra le parti non vengano risolte in via amichevole, il presente DPA sarà interpretato, interpretato e applicato in conformità alla legge e ai tribunali della Repubblica Federale di Germania, come previsto nell'Accordo principale.
       
    5. Per tutte le richieste relative al trattamento dei dati personali del Cliente, il Cliente deve contattare il Contraente all'indirizzo [email protected].

Versione: Giugno 2024

Appendice 1 - Ambito di trattamento

Descrizione del trattamento:

1. Natura e finalità del trattamento dei dati previsto
   La natura e le finalità del trattamento dei dati personali da parte del Fornitore per il Cliente sono specificamente descritte nell'accordo di servizio (Accordo principale). Il Fornitore tratterà i dati personali del Cliente in forma elettronica su base continuativa e potrà effettuare le seguenti operazioni su di essi su istruzione: Raccolta, registrazione, organizzazione, strutturazione, archiviazione, utilizzo, divulgazione e cancellazione.
2. Tipologia di dati
   Oggetto del trattamento dei dati personali ai sensi del Contratto principale sono le seguenti tipologie di dati e riguardano sia il Cliente che i Clienti del Cliente con i quali il Cliente ha un rapporto giuridico:
   • Dati anagrafici personali
   • Dati di comunicazione (ad es. telefono, e-mail)
   • Attività degli interessati sui servizi specificati dal Cliente
   • Dati anagrafici del contratto (relazione contrattuale, prodotto o interesse contrattuale) 
   • Storia del cliente 
   • Dati di fatturazione del contratto
   • Non vengono trattate categorie particolari di dati personali.
3. Categorie di soggetti interessati
   Le categorie di soggetti interessati dal trattamento comprendono, in conformità al contratto principale:
   • Cliente
   • Clienti del Cliente
   • Dipendenti del Cliente
   • Fornitori di servizi di integrazione e loro referenti

Appendice 2 - Misure tecniche e organizzative

Descrizione delle misure tecniche e organizzative adottate dal Fornitore, tenendo conto della natura, dell'ambito, del contesto e delle finalità del trattamento, nonché del rischio di varia probabilità e gravità per i diritti e le libertà degli interessati.

Misure di pseudonimizzazione e crittografia dei dati personali:

A seconda del tipo di dati da trattare, si applicano requisiti di sicurezza diversi per ciascuna categoria.

I dati personali del Cliente (e dei suoi dipendenti) saranno pseudoanonimizzati (e resi anonimi se necessario) dal Fornitore, se possibile e come richiesto in conformità con lo standard definito dal Fornitore.

Il Contraente utilizza connessioni criptate tramite VPN per l'accesso remoto, SSL ecc. e utilizza meccanismi di autenticazione a più livelli, ove possibile. Garantisce inoltre che non vi sia un uso non autorizzato del sistema impostando l'uso di password sicure, meccanismi di blocco automatico dopo un certo periodo di tempo, la crittografia dei supporti di dati, l'uso di un firewall, la crittografia dei notebook, la gestione delle autorizzazioni degli utenti, la creazione di profili utente e linee guida generali sulla protezione dei dati e l'assegnazione delle password.

Descrizione delle misure per garantire in modo continuativo la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi connessi all'elaborazione.

Il Contraente dovrà mantenere le responsabilità e le procedure per la gestione e il funzionamento di tutte le strutture di elaborazione delle informazioni per garantire un'elaborazione completa, valida e accurata dei dati.

Il Fornitore deve garantire che non vi siano accessi non autorizzati ai sistemi di elaborazione dei dati proteggendo il sistema con un sistema di allarme con transponder o blocco dei codici, serrature di sicurezza, norme per l'assegnazione delle chiavi e un regolamento per i visitatori solo se accompagnati dai dipendenti.

Descrizione delle misure per garantire la disponibilità dei dati personali e l'accesso rapido ai dati in caso di incidente fisico o tecnico.

I sistemi del Contraente sono progettati per difendersi o prevenire gli attacchi più comuni e garantire la disponibilità per il funzionamento, il monitoraggio e la manutenzione. A tal fine, il Contraente condurrà regolarmente test e audit simulati per confermare la disponibilità dei propri sistemi.

La disponibilità e l'affidabilità vengono monitorate per garantire che la piattaforma del Contraente rimanga online con un'interruzione minima del servizio.

Descrizione delle misure per garantire un processo di revisione, valutazione e verifica periodica dell'efficacia delle misure tecniche e organizzative volte a garantire la sicurezza del trattamento.

Le misure tecniche e organizzative, le istruzioni applicabili e le linee guida pertinenti vengono regolarmente verificate da fornitori di servizi esterni e attraverso test interni.

Il Fornitore esegue regolarmente valutazioni dei rischi, tra cui test di vulnerabilità, test di penetrazione interni ed esterni, scansioni e controlli della rete, del sistema e del firewall. 

Descrizione delle misure per l'identificazione e l'autenticazione degli utenti

I sistemi del Contraente sono allineati con gli standard e le pratiche riconosciute del settore e dispongono di procedure di comunicazione per l'identificazione degli utenti, nonché di solidi controlli di password e autenticazione. L'accesso al sistema è registrato e gli amministratori possono gestire i diritti degli utenti.

Descrizione delle misure di protezione dei dati personali durante la trasmissione e l'archiviazione

Il Contraente dovrà mantenere procedure per prevenire l'accesso non autorizzato o l'uso improprio delle informazioni e utilizzare le migliori pratiche del settore, ove necessario, come ad esempio ID univoci per l'autenticazione e ai fini della mappatura sicura durante il trasferimento e l'archiviazione nei sistemi di produzione.

Descrizione delle misure per garantire la sicurezza fisica dei luoghi in cui vengono trattati i dati personali

I locali del Fornitore sono protetti in loco da una videosorveglianza delle aree di ingresso e da un sistema di accesso personalizzato per impedire l'ingresso di terzi.  

I data center utilizzati utilizzano diritti di amministrazione rigorosi e hanno strutture di database chiare, in modo che ogni cliente possa accedere solo ai record di dati assegnati al suo ID utente.

Solo le persone espressamente autorizzate e che necessitano di informazioni per il loro lavoro hanno accesso ai dati personali.

Descrizione dei requisiti di registrazione degli eventi (ad esempio per l'autenticazione del Cliente o per l'inserimento, la modifica o la cancellazione dei dati)

La politica di conservazione dei dati del Fornitore prevede diversi periodi di conservazione e copie di backup a seconda della categoria di dati, compresi gli obblighi legali o altre eccezioni che richiedono la conservazione di tali dati fino alla scadenza di determinati obblighi legali, ad esempio a fini fiscali e contabili. Se non è possibile distruggere i dati personali, continueranno ad applicarsi le disposizioni di protezione pertinenti a tali dati personali e cesserà qualsiasi ulteriore trattamento.

Appendice 3 - Rapporti di subcontratto autorizzati

L'elenco dei subresponsabili che trattano i dati personali è riportato sulla pagina dei subresponsabili (e sarà aggiornata di volta in volta) e il Cliente conferma il consenso ai subresponsabili in essere alla conclusione del Contratto. La pagina dei Subresponsabili include una procedura che consente ai Clienti di iscriversi per ricevere notifiche di nuovi subresponsabili o modifiche all'elenco dei subresponsabili. Per ricevere gli aggiornamenti o le modifiche a questo elenco, è necessario registrarsi tramite l'apposito meccanismo.