1. Parti e ruoli
Il cliente è il titolare del trattamento dei dati personali degli invitati e decide perché e come vengono trattati. [A PREENCHER: denominação social], con numero di identificazione fiscale [A PREENCHER: NIF] e sede in [A PREENCHER: morada da sede] ([A PREENCHER: país da sede]), è il responsabile del trattamento e tratta tali dati per conto del cliente.
L'accordo è accettato nel momento in cui il cliente crea la propria organizzazione Pro, e tale accettazione viene registrata. Chi desidera una copia firmata può richiederla a privacy@seatalia.com.
2. Oggetto, durata e natura del trattamento
L'oggetto è la fornitura del servizio Seatalia: conservare, organizzare, assegnare i posti, esportare e mostrare i dati degli invitati (inclusi la pagina QR e l'RSVP). La durata è quella dell'abbonamento Pro, più il tempo necessario per restituire o cancellare i dati.
3. Tipi di dati e interessati
Gli interessati sono gli invitati e gli accompagnatori degli eventi del cliente, e gli utenti della sua organizzazione. I dati trattati possono essere:
- nome, cognome, nucleo, gruppo e tavolo;
- adulto, bambino o neonato ed età o fascia d'età;
- piatto, etichette di dieta o allergia e note sulla dieta, che possono essere dati relativi alla salute (articolo 9);
- email e telefono, se richiesti dall'RSVP o se inseriti dal cliente;
- email e nome degli utenti dell'organizzazione.
4. Cosa si impegna a fare Seatalia
In qualità di responsabile del trattamento, Seatalia si impegna a:
- trattare i dati solo secondo le istruzioni documentate del cliente (il presente accordo e l'uso che il cliente fa del servizio) e avvisarlo se ritiene che un'istruzione violi il GDPR;
- garantire che le persone autorizzate a trattare i dati siano vincolate da riservatezza;
- applicare le misure di sicurezza dell'articolo 32, descritte più avanti;
- ricorrere ad altri responsabili del trattamento solo con l'autorizzazione generale del cliente, imponendo loro obblighi equivalenti. L'elenco è pubblicato e comunichiamo le modifiche con 30 giorni di anticipo, con facoltà per il cliente di opporsi;
- assistere il cliente nel rispondere alle richieste degli interessati, con gli strumenti di esportazione in CSV e di cancellazione del servizio;
- assistere il cliente nell'adempimento degli obblighi degli articoli da 32 a 36 (sicurezza, violazioni dei dati, valutazioni d'impatto e consultazione preventiva);
- notificare al cliente qualsiasi violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 48 ore da quando ne siamo venuti a conoscenza;
- al termine del servizio, restituire i dati (esportazione) o cancellarli, il che avviene automaticamente 90 giorni dopo la data di ciascun evento, fatta salva la conservazione prevista dalla legge. I dati cancellati scompaiono dalle copie di sicurezza entro 30 giorni;
- mettere a disposizione del cliente le informazioni necessarie per dimostrare la conformità e consentire audit ragionevoli, con preavviso;
- non trasferire dati al di fuori dello Spazio economico europeo senza garanzie adeguate, come le Clausole contrattuali tipo.
5. Cosa si impegna a fare il cliente
Il cliente si impegna a:
- disporre di una base giuridica per trattare i dati degli invitati e informarli del trattamento;
- inserire solo i dati necessari, e registrare diete e allergie solo se servono al catering;
- decidere se attivare la pagina QR e l'RSVP e per quanto tempo;
- fornire le proprie istruzioni per iscritto e rispondere agli interessati;
- garantire che i propri utenti utilizzino il servizio nel rispetto dei termini.
6. Eventi creati tramite il link della location
Quando una coppia crea il proprio evento tramite il link di una location, la coppia mantiene il proprio account e il proprio evento. La location ha accesso al piano solo dopo che la coppia ha accettato il collegamento. I dati che la location riceve vengono da essa trattati in qualità di titolare del trattamento, ai sensi del presente accordo.
7. Misure di sicurezza
Applichiamo, tra le altre, le seguenti misure tecniche e organizzative:
- hosting nell'UE e connessione cifrata (TLS);
- cifratura a riposo su disco e nelle copie di sicurezza, e cifratura campo per campo delle note sulle diete;
- accesso senza password, tramite link monouso con validità di 15 minuti;
- link di condivisione, QR e RSVP con codici casuali lunghi e limiti di richieste;
- pagina QR che mostra solo il nome e il tavolo, mai le diete, e senza tracker;
- accesso interno ai dati degli invitati solo su richiesta del cliente e con registrazione;
- copie di sicurezza con conservazione di 30 giorni e registro degli errori senza dati personali.
8. Responsabilità
La responsabilità di ciascuna parte nei confronti degli interessati è disciplinata dall'articolo 82 del GDPR. Tra le parti si applicano i limiti dei termini di servizio, nella misura consentita dalla legge.
9. Durata e legge applicabile
Il presente accordo resta in vigore finché il cliente utilizza il servizio, e gli obblighi di cancellazione e di riservatezza proseguono anche dopo. È regolato da: [A PREENCHER: lei aplicável e tribunal competente].
10. Contatti
Per esercitare i diritti o richiedere una copia firmata: privacy@seatalia.com.