Accordo sul trattamento dei dati

1. Ruoli

L’Attività è titolare del trattamento delle proprie schede cliente. WhenBy è responsabile del trattamento.
WhenBy è titolare autonomo per i dati descritti nella sua Informativa privacy: account degli utenti, prenotazioni e impostazioni dei clienti, fatturazione, sicurezza e statistiche. Questo accordo non riguarda quei dati.

2. Cosa trattiamo

Oggetto	Ospitare e far funzionare in WhenBy le schede cliente, il calendario e i messaggi dell’Attività
Durata	Finché i Termini sono in vigore, poi fino alla cancellazione secondo il punto 9
Natura e finalità	Conservare, organizzare, mostrare, inviare promemoria, importare ed esportare, perché l’Attività possa gestire prenotazioni e clienti
Interessati	I clienti dell’Attività e le persone nelle liste di contatti che importa
Dati personali	Nome, email, telefono, note, etichette, storico delle prenotazioni, assenze, consenso al marketing, pagamenti registrati alla visita, foto prima e dopo, indirizzi per i servizi a domicilio
Categorie particolari	Dati sulla salute che l’Attività sceglie di annotare (allergie, problemi della pelle). L’Attività deve avere il consenso esplicito o un’altra condizione dell’art. 9

3. I nostri impegni

Noi:

trattiamo i dati solo su istruzioni documentate dell’Attività, cioè i Termini, questo accordo e il modo in cui l’Attività usa WhenBy, e la avvisiamo se pensiamo che un’istruzione violi la legge;
ci assicuriamo che chiunque possa accedere ai dati sia vincolato alla riservatezza;
adottiamo le misure di sicurezza del punto 5;
ricorriamo a sub-responsabili solo come previsto al punto 6;
aiutiamo l’Attività a rispondere alle richieste degli interessati, soprattutto con le funzioni dell’app (esportazione, correzione, cancellazione delle schede cliente);
aiutiamo l’Attività per sicurezza, notifiche di violazione, valutazioni d’impatto e consultazione preventiva, tenendo conto di quello che sappiamo;
alla fine cancelliamo o restituiamo i dati, come previsto al punto 9;
diamo all’Attività le informazioni necessarie a dimostrare la conformità, e consentiamo verifiche come previsto al punto 8.

4. Gli impegni dell’Attività

L’Attività:

ha una base giuridica per ogni scheda cliente, comprese le liste importate, e dà ai propri clienti le informazioni richieste dalla legge;
ottiene il consenso esplicito prima di annotare dati sulla salute, e annota solo ciò che serve;
invia comunicazioni promozionali solo ai clienti che le hanno accettate;
dà ai membri dello staff accesso solo a ciò che serve loro (i ruoli di WhenBy aiutano);
risponde alle richieste dei propri clienti sulle loro schede.

5. Misure di sicurezza (sintesi)

Dati conservati nell’UE (Irlanda), cifrati in transito (TLS) e a riposo (AES-256).
La sicurezza a livello di riga nel database tiene separati i dati di ogni Attività, con test automatici di isolamento.
Foto dei clienti in uno spazio privato, mostrate solo tramite link che scadono in pochi minuti.
Accesso con codici monouso, senza password; azioni sensibili riservate al titolare.
Accesso minimo per il nostro personale; segreti tenuti fuori dall’app e dal codice.
Nessun dato dei clienti nei log o nelle statistiche; note sulla salute mai nelle notifiche.
Backup cifrati e un processo di ripristino verificato.

L’elenco completo è l’Allegato 2 dell’accordo definitivo.

6. Sub-responsabili

L’Attività dà un’autorizzazione generale ai sub-responsabili elencati nella nostra pagina dei sub-responsabili.
Avvisiamo le Attività di un sub-responsabile nuovo o sostituito almeno 30 giorni prima, via email e su quella pagina. L’Attività può opporsi per motivi ragionevoli di protezione dei dati; se non troviamo una soluzione, può porre fine ai Termini e ottenere il rimborso di quanto pagato in anticipo per il periodo non usato.
Imponiamo a ogni sub-responsabile gli stessi obblighi di protezione dei dati e restiamo responsabili del suo operato.

7. Violazioni dei dati personali

Avvisiamo l’Attività senza ingiustificato ritardo, ed entro 48 ore da quando veniamo a conoscenza di una violazione che riguarda i suoi dati, con quello che sappiamo, le conseguenze probabili e cosa stiamo facendo. La aggiorniamo man mano che ne sappiamo di più.

8. Verifiche

Rispondiamo una volta l’anno a ragionevoli questionari di sicurezza dell’Attività, e condividiamo le sintesi delle certificazioni dei nostri fornitori. Se non basta, o se lo richiede un’autorità, l’Attività può svolgere una verifica con 30 giorni di preavviso, a proprie spese, in modo da proteggere i dati delle altre Attività.

9. Fine del trattamento

Quando l’Attività elimina l’account o i Termini terminano, può prima esportare i propri dati. Dopo 30 giorni cancelliamo le schede cliente, che spariscono dai backup entro altri 30 giorni, salvo che la legge ci imponga di conservarle.

10. Trasferimenti internazionali

Conserviamo i dati nell’UE. Se un sub-responsabile li tratta fuori dall’UE o dal Regno Unito, usiamo una decisione di adeguatezza o le clausole contrattuali tipo (con l’Addendum UK), con misure aggiuntive dove servono.

11. Allegati del testo definitivo

Dettagli del trattamento (punto 2).
Misure tecniche e organizzative (punto 5, per intero).
Sub-responsabili (la nostra pagina dei sub-responsabili).
Clausole contrattuali tipo, dove servono.