ALLEGATO A

ACCORDO PER IL TRATTAMENTO DEI DATI PERSONALI - DATA PROCESSING AGREEMENT

(ex art. 28 del Regolamento UE 2016/679)

Il presente accordo per la protezione di dati personali è concluso tra:

• PLATEFORM S.R.L., con sede in Via Andrea Costa n. 202/6, 40134 Bologna (BO), partita IVA 03953561200, in qualità di “Responsabile del trattamento", nella persona del rappresentante legale pro tempore (di seguito anche "il Fornitore" o "il Responsabile"), 

e 

• Il RISTORATORE, in qualità di "Titolare del trattamento", così come specificato negli accordi contrattuali (il "Contratto") che regolano il rapporto commerciale e la fornitura del servizio (di seguito anche "il Cliente" o "il Titolare"), 

di seguito, congiuntamente, le “Parti” e ciascuno disgiuntamente la “Parte”;

PREMESSO CHE

• Plateform è una piattaforma per la gestione delle prenotazioni e del marketing, realizzata su misura per il settore della Ristorazione;

• Il Ristoratore ha sottoscritto un Contratto con il Fornitore (di seguito il “Contratto”) che prevede l’utilizzo della predetta piattaforma software in modalità SaaS (Software As A Service), al fine della gestione delle prenotazioni e dell'elenco clienti, nonché eventuali servizi accessori (meglio indicati di volta in volta nel Contratto) quali ad esempio: modulo accesso wifi, modulo on line per raccolta dati, modulo prenotazione tavolo, modulo delivery, modulo freebies, modulo newsletter, upsell.

• ​​le Parti intendono disciplinare nel presente “Accordo per il trattamento dei dati personali – Data Processing Agreement” (nel seguito “DPA” o “Accordo”) le condizioni e le modalità del trattamento dei dati personali eseguito dal Fornitore nell’ambito del Contratto e della prestazione dei Servizi e le responsabilità connesse al trattamento medesimo, ivi incluso l'impegno assunto dal Fornitore quale Responsabile del trattamento dei dati personali ai sensi dell'art. 28 del Regolamento generale europeo sulla protezione dei dati del 27 aprile 2016 n. 679 (nel seguito “GDPR”);

Tanto sopra premesso, le Parti, come sopra rappresentate,

convengono e stipulano quanto segue:

Articolo 1 - Premesse e definizioni

1.1 Le premesse formano parte integrante e sostanziale del presente accordo.

1.2 Ai fini del presente accordo, i termini di seguito indicati avranno il significato specificato, fermo restando che ogni altro termine o espressione non espressamente definita dovrà essere interpretata in conformità alla normativa vigente in materia di protezione dei dati personali, in particolare il Regolamento (UE) 2016/679 (GDPR):

• Plateform: la piattaforma per la gestione delle prenotazioni e del marketing, utilizzata dal Ristoratore per la gestione dei propri clienti; 

• Servizi: l’insieme delle funzionalità fornite tramite la piattaforma PLATEFORM, erogate in modalità SaaS (Software as a Service), e disponibili per il Cliente secondo le condizioni descritte nel contratto, es. PLATEFORM (piattaforma per la gestione delle prenotazioni e del marketing, utilizzata dal Ristoratore per la gestione dei propri client), MODEMPLATEFORM (servizio accesso Wi-Fi), PLATECALL (servizio che include la fornitura e gestione di un centralino telefonico VoIP, comprensivo di telefono e gateway dedicato, che permette la comunicazione vocale tramite connessione interne).

• Modalità SaaS: SAAS (Software As A Service): è un modello di distribuzione del software dove un produttore di software sviluppa, opera (direttamente o tramite terze parti) e gestisce un'applicazione web che mette a disposizione dei propri clienti via Internet (previo abbonamento);

• Titolare del trattamento: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che, singolarmente o congiuntamente, determina le finalità e i mezzi del trattamento dei Dati personali. 

• Responsabile del trattamento: la persona fisica o giuridica, l'autorità pubblica, il servizio o altro organismo che tratta Dati personali per conto del Titolare. 

• Interessato: la persona fisica identificata o identificabile cui si riferiscono i Dati personali oggetto di trattamento. Nel presente accordo, gli Interessati sono gli utenti dei servizi forniti dal Titolare tramite Plateform.

• Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile (Interessato), ai sensi dell’art. 4(1) del GDPR.

• Trattamento: qualsiasi operazione o insieme di operazioni effettuate con o senza l'ausilio di processi automatizzati e applicate ai Dati personali, come la raccolta, la registrazione, l'organizzazione, la conservazione, la modifica, l'estrazione, la consultazione, l'uso, la comunicazione, la diffusione, la cancellazione o la distruzione.

• Data Breach: qualsiasi violazione della sicurezza che comporti accidentalmente o illecitamente la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso ai Dati personali trattati.

• Sub-responsabile: qualsiasi soggetto terzo che il Responsabile del trattamento incarichi per svolgere specifiche attività di trattamento per conto del Titolare, in conformità agli obblighi stabiliti dal DPA e dalla normativa vigente.

Articolo 2 - Oggetto dell'accordo e Finalità del trattamento

2.1 Il presente DPA ha ad oggetto modalità e condizioni di trattamento di tutti i dati personali (di seguito, “Dati Personali”) trattati da Plateform S.r.l. nell’erogazione dei “Servizi” di cui al Contratto sottoscritto, dati di cui è Titolare il Ristoratore; in relazione a tali Dati, Plateform S.r.l. assumerà pertanto il ruolo di Responsabile del trattamento ex art. 28 GDPR. 

2.2 Con la sottoscrizione del presente accordo, le Parti si impegnano a rispettare la normativa vigente, nazionale e sovranazionale, in materia di protezione dei dati personali delle persone fisiche.

2.3 Le categorie di Dati personali trattati dal Responsabile del Trattamento per conto del Titolare sono elencate in maniera esemplificativa e assolutamente non esaustiva nell'Articolo 3. Il Responsabile svolge esclusivamente le attività di trattamento necessarie e rilevanti ad assicurare l'esecuzione dei Servizi al Titolare tramite la messa a disposizione in modalità SaaS della piattaforma Plateform. 

2.4 Le Parti riconoscono e accettano che qualsiasi violazione del presente accordo, da parte del Responsabile del trattamento o del Titolare, costituisce una violazione del Contratto di fornitura del servizio. In tal caso, senza pregiudicare altri diritti o rimedi disponibili, il Titolare o il Responsabile potranno risolvere immediatamente il Contratto, secondo le disposizioni in esso previste.

Articolo 3 - Dati personali trattati

3.1 Il Responsabile tratterà i Dati Personali identificativi esclusivamente per dare esecuzione al Contratto, nei limiti e secondo le modalità di quanto disposto dallo stesso, dal presente DPA, dalla normativa in materia di protezione dei dati personali e nel rispetto degli obblighi di legge.

3.2 I dati personali trattati riguardano gli Utenti finali che usufruiscono dei servizi forniti dal Titolare presso le attività commerciali gestite dallo stesso.

3.3 I dati personali raccolti dal Titolare e oggetto di trattamento da parte del Responsabile potranno riguardare, a seconda del servizio oggetto del Contratto (elenco esemplificativo e non esaustivo): nome, cognome, indirizzo mail, numero di telefono, eventuali preferenze alimentari o allergie (se comunicate dall'Interessato al momento della prenotazione).

3.4 Il Titolare del trattamento garantisce che i dati personali oggetto del presente accordo sono e saranno raccolti in modo lecito e conforme alla normativa vigente, assicurando che le informazioni trasmesse al Responsabile del trattamento non violino in alcun modo i diritti degli Interessati. 

Articolo 4 - Autorizzazione al trattamento dei dati personali in qualità di Responsabile

4.1 La presente nomina quale Responsabile del trattamento dei Dati decorre dalla data di sottoscrizione del Contratto, ha validità per tutta la durata del rapporto giuridico intercorrente tra le Parti e potrà essere revocata a discrezione del Titolare. 

4.2 Il Responsabile si impegna a effettuare il trattamento in modo lecito, corretto e nel pieno rispetto della normativa vigente in materia di protezione dei dati personali, nonché in conformità alle istruzioni specifiche fornite dal Titolare.

4.3 Il Titolare del trattamento dichiara, inoltre, di aver ritenuto adeguate le garanzie adottate dal Responsabile per l'adozione di misure tecniche e organizzative, assicurando che il trattamento sia conforme ai requisiti del Regolamento (UE) 2016/679 (GDPR) e tuteli i diritti degli interessati.

Articolo 5 - Durata dell'incarico

5.1 Il presente Data Processing Agreement (DPA) e le autorizzazioni in esso contenute resteranno in vigore fino alla cessazione del Contratto di servizio. 

Articolo 6 - Gestione degli Autorizzati da parte del Responsabile del trattamento

6.1 Il trattamento dei dati personali sarà effettuato esclusivamente da personale del Responsabile del trattamento previamente autorizzato, ai sensi dell’art. 29 del GDPR e dell’art. 2-quaterdecies del D.Lgs. 196/2003, nonché debitamente istruito sulle proprie responsabilità.

6.2 Il Responsabile, anche in ottemperanza a quanto prescritto dall’art. 32 co. 4 del Regolamento, si impegna a: 

1. consentire il trattamento dei Dati Personali unicamente agli Autorizzati che:

• per esperienza, capacità e formazione, risultano idonei ad assicurare il rispetto della normativa in materia di protezione dei dati personali;

• siano stati nominati Autorizzati mediante nomina formale e per iscritto alle operazioni di trattamento dei Dati Personali e ai quali siano state impartite per iscritto dettagliate istruzioni operative circa gli obblighi a cui sono tenuti nel trattamento dei Dati Personali e, in particolare, circa le precauzioni da adottarsi per:

1. garantire il trattamento dei Dati Personali in conformità col presente DPA e con la normativa in materia di protezione dei dati personali; 

2. evitare violazioni dei Dati Personali e mettere in atto le opportune attività da compiere in caso di violazione di dati personali; 

3. dare seguito alle eventuali richieste di esercizio dei diritti da parte degli Interessati;

• siano assoggettati alla vigilanza sull’esatto adempimento delle istruzioni ricevute e degli obblighi cui sono sottoposti;

2. fare in modo che gli Autorizzati abbiano accesso esclusivamente ai Dati Personali che sono strettamente necessari per dare corretta esecuzione al Contratto o per adempiere ad obblighi di legge, in conformità col presente DPA e con la normativa in materia di protezione dei dati personali;

3. garantire che il personale incaricato dell’esecuzione del Contratto sia stato informato della natura confidenziale delle informazioni ricevute dal Titolare e operi nel rispetto degli obblighi di riservatezza.

Articolo 7 - Controlli e obblighi del Responsabile

7.1 Il Responsabile si impegna a osservare i seguenti obblighi per l’esecuzione del Contratto:

1. Istruzioni del Titolare: Il Responsabile del trattamento si impegna a trattare i dati personali esclusivamente per le finalità indicate nel presente DPA e per l’esecuzione delle prestazioni contrattuali previste nel Contratto. Il trattamento sarà effettuato in conformità con le istruzioni fornite dal Titolare e nel rispetto dell’art. 32 del GDPR.

2. Luogo del trattamento: I dati personali saranno conservati e trattati dal Responsabile del trattamento all’interno del territorio dell’Unione Europea, nello specifico presso i server di Amazon e Digital Ocean (nelle loro sedi di Francoforte). Qualora in futuro si rendesse necessario un trattamento in paesi extra UE, il Responsabile ne darà comunicazione al Titolare, concordando le garanzie adeguate in funzione della giurisdizione coinvolta. Se il Responsabile del trattamento fosse obbligato a trasferire i dati verso un paese terzo o un’organizzazione internazionale in virtù di normative dell’Unione o dello Stato membro di appartenenza, informerà preventivamente il Titolare al fine di ottenere la necessaria autorizzazione. 

3. Riservatezza: Il Responsabile del trattamento garantisce la riservatezza dei dati personali trattati nell’ambito dell’esecuzione del Contratto. Assicura inoltre che il proprio personale autorizzato abbia sottoscritto un obbligo legale di riservatezza e abbia ricevuto la formazione necessaria in materia di trattamento e protezione dei dati personali.

4. Sicurezza: Il Responsabile garantisce il rispetto delle misure di sicurezza indicate dalla normativa in materia di protezione dei dati personali, dal presente DPA, nonché dai Provvedimenti delle Autorità competenti laddove applicabili con riguardo alle misure logiche, tecniche, fisiche ed organizzative che saranno poste in essere per proteggere i Dati da sottrazione o distruzione intenzionale o accidentale, perdita accidentale, alterazioni, uso non autorizzato, modifiche, divulgazione, diffusione, accessi non previsti e ogni altra forma di trattamento illecito. Il Responsabile garantisce che le misure di sicurezza predisposte sono idonee a garantire su base permanente la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi e dei dati oggetto di trattamento, nonché adeguate a garantire un livello di sicurezza adeguato ai rischi presentati dal trattamento dei Dati. Tali misure potranno essere aggiornate o modificate nel tempo, a condizione che non comportino un livello di sicurezza inferiore rispetto a quello attuale. Il Responsabile si impegna altresì a comunicare senza indebito ritardo e per iscritto al Titolare qualsiasi criticità che possa compromettere i propri sistemi e/o quelli del Titolare, ed attivarsi per apportare i correttivi necessari.

5. Informazioni sulle istruzioni ricevute: Se il Responsabile del trattamento ritiene che un’istruzione ricevuta dal Titolare sia non conforme al GDPR, alle disposizioni nazionali o ad altra normativa applicabile in materia di protezione dei dati, dovrà informare immediatamente il Titolare, che provvederà a fornire chiarimenti o indicazioni alternative.

6. Valutazione di impatto e consultazione preventiva: Il Responsabile del trattamento fornirà un’assistenza ragionevole al Titolare per qualsiasi valutazione d’impatto che quest'ultimo desideri effettuare sulla protezione dei dati richiesta ai sensi dell’art. 35 del GDPR e, se necessario, per la consultazione preventiva con l’Autorità di controllo, in conformità all’art. 36 del GDPR, limitatamente ai trattamenti eseguiti per conto del Titolare.

7. Audit: Su richiesta del Titolare, il Responsabile del trattamento dovrà fornire tutte le informazioni necessarie a dimostrare la conformità al presente DPA. Il Titolare avrà diritto di effettuare audit per verificare il rispetto degli obblighi previsti dal DPA e dalla normativa applicabile. A tal fine, potrà avvalersi di personale interno o di revisori esterni, purché questi siano vincolati da obblighi di riservatezza. Il Responsabile del trattamento potrà opporsi per iscritto alla nomina di revisori esterni che, a suo insindacabile giudizio, non siano adeguatamente qualificati, indipendenti o che risultino concorrenti diretti. In tali circostanze, il Titolare dovrà nominare altri revisori o condurre le verifiche in proprio. Il Responsabile del trattamento si impegna a rispondere a richieste di documentazione o programmazione di audit entro 30 giorni dalla ricezione della richiesta.

8. Diritti degli interessati: Se il Titolare riceve una richiesta da parte di un Interessato per l’esercizio dei suoi diritti ai sensi della normativa applicabile e necessita dell’assistenza del Responsabile del trattamento per rispondere in modo corretto e conforme alla legge, il Responsabile fornirà le informazioni e la documentazione richiesta in tempi ragionevoli. Se invece la richiesta è ricevuta direttamente dal Responsabile, quest’ultimo dovrà trasmetterla immediatamente al Titolare, senza rispondere direttamente all’Interessato.

9. Violazione di Dati personali (Data Breach): In caso di violazione dei dati personali (Data Breach) che possa comportare distruzione, perdita, alterazione, divulgazione o accesso non autorizzato ai dati trattati per conto del Titolare, il Responsabile del trattamento dovrà comunicarlo al Titolare entro 48 ore dalla scoperta dell’incidente. Il Responsabile si impegna a compiere ogni ragionevole sforzo per individuare le cause della violazione e adottare le misure necessarie per prevenirne il ripetersi.

10. Trasferimento dei dati: Di norma, il Responsabile del trattamento non trasferirà dati personali al di fuori dello Spazio Economico Europeo (SEE). Tuttavia, nel caso in cui sia necessario per alcune attività (ad es. backup, hosting), il trasferimento avverrà esclusivamente nei confronti di Sub-responsabili che abbiano adottato le garanzie adeguate previste dagli artt. 44-50 del GDPR, tra cui: 

• Decisioni di adeguatezza della Commissione Europea;

• Clausole contrattuali standard (Standard Contractual Clauses - SCC);

• Altri meccanismi riconosciuti dalla normativa vigente.

Articolo 8 - Obblighi e responsabilità del Titolare del trattamento

8.1 Il Titolare del trattamento garantisce la propria conformità alla normativa vigente e si impegna a rispettare i seguenti obblighi:

1. Liceità del trattamento: il Titolare dichiara di raccogliere e trattare i dati personali in modo lecito, garantendo il rispetto dei diritti degli Interessati e degli obblighi previsti dalla normativa applicabile.

2. Conformità nella raccolta dei dati: il Titolare assicura che la procedura di raccolta dei dati personali soddisfi tutti i requisiti di legge, includendo:

• L’inserimento di informative privacy redatte in conformità alle norme vigenti;

• La raccolta di dichiarazioni di consenso per tutte le finalità per le quali i dati saranno utilizzati, ove necessario (es. servizio newsletter).

Tali misure devono consentire al Responsabile del trattamento di eseguire i servizi concordati senza incorrere in violazioni normative.

3. Istruzioni conformi alla normativa: il Titolare garantisce che le istruzioni fornite al Responsabile del trattamento siano conformi alla legge e che il trattamento dei dati eseguito dal Responsabile in base a tali istruzioni non comporti violazioni di leggi, regolamenti o altre disposizioni applicabili, incluse quelle in materia di protezione dei dati personali.

Articolo 9 - Autorizzazione generale alla nomina di sub-responsabili 

9.1 Nell’esecuzione del Contratto, il Fornitore potrà avvalersi, mediante autorizzazione generale ex art. 28, comma 2 del GDPR di Sub Responsabili nel rispetto delle condizioni e delle prescrizioni ivi previste.

9.2 Alla data di sottoscrizione del presente DPA, il Responsabile del trattamento utilizza i Sub-responsabili elencati nel Sub-Allegato A. Qualora vengano nominati nuovi Sub-responsabili, questi dovranno essere aggiunti alla predetta lista.

9.2 Il Responsabile si impegna a informare il Titolare prima di stipulare accordi con un nuovo Sub-responsabile e prima che quest'ultimo inizi a trattare i dati personali raccolti dal Titolare.

9.3 Se il Titolare del trattamento intende opporsi alla nomina di un nuovo Sub-responsabile, dovrà notificare la propria opposizione al Responsabile per iscritto entro dieci (10) giorni lavorativi dal ricevimento della comunicazione. In assenza di obiezioni entro tale termine, la nomina sarà considerata accettata.

9.4 Nel caso in cui il Titolare del trattamento si opponga alla nomina di un nuovo Sub-responsabile e il Responsabile non possa accogliere tale obiezione, il Titolare avrà facoltà di interrompere i Servizi, previa comunicazione scritta al Responsabile.

9.5 Il Responsabile del trattamento è tenuto a stipulare un DPA con ciascun Sub-responsabile, garantendo che tale accordo preveda, almeno, gli stessi obblighi di protezione dei dati applicabili al Responsabile, compresi quelli previsti dal presente DPA. Il Responsabile monitorerà e verificherà periodicamente la conformità dei propri Sub-responsabili alla legge applicabile, e su richiesta scritta del Titolare, fornirà la documentazione relativa a tali controlli. In caso di grandi fornitori di servizi con standard contrattuali rigorosi, le Data Processing Agreements risultano spesso non negoziabili. Tali accordi standard sono predisposti per riflettere le politiche e procedure dei fornitori, concepite per garantire un elevato livello di protezione dei dati su larga scala. Di conseguenza, in tali casi gli accordi dovranno essere accettati 'sic et simpliciter' senza possibilità di modifiche personalizzate che potrebbero essere desiderate o considerate necessarie dal Titolare del trattamento. Il Responsabile limiterà per quanto possibile l'accesso da parte dei sub affidatari ai Dati solo in relazione a ciò che risulterà necessario per l'espletamento dei servizi concordati contrattualmente. 

Articolo 10 - Cancellazione o restituzione dati personali

10.1 Alla scadenza o risoluzione del Contratto, il Responsabile del trattamento provvederà a cancellare o restituire al Titolare tutti i dati personali in suo possesso, secondo quanto previsto dal Contratto.

10.2 Dopo la disdetta, il Titolare avrà la possibilità di recuperare la lista clienti entro la data di scadenza della licenza. Il Responsabile del trattamento fornirà istruzioni per l’esportazione dei dati, garantendo l’accesso ai file necessari per il recupero. Il Fornitore non è responsabile in caso di perdita dei dati non esportati dal Titolare entro il termine stabilito.

10.3 Qualora la legge applicabile imponga al Responsabile del trattamento di conservare alcuni o tutti i dati personali, questi saranno archiviati e verranno adottate misure ragionevoli per impedirne qualsiasi ulteriore trattamento, salvo quanto strettamente necessario per adempiere agli obblighi legali.

10.5 Tutte le licenze sono riattivabili in qualsiasi momento, a seconda delle esigenze del Titolare. 

10.4 In ogni caso, i termini del presente DPA continueranno ad applicarsi a tali dati personali fino alla loro definitiva cancellazione.

Art. 11 - Matrici documentali forniti dal Responsabile

Il Responsabile del trattamento mette a disposizione del Titolare matrici documentali utili a facilitare l’adempimento degli obblighi in materia di protezione dei dati personali (quali, a titolo esemplificativo, informative, netiquette o istruzioni operative), allegati alla presente nomina e/o già caricati all’interno della piattaforma Plateform ove necessario (es. informativa privacy modulo di prenotazione e informativa newsletter). Con la sottoscrizione della presente nomina, il Titolare dichiara di averne preso visione e comprende che tali documenti sono forniti unicamente come supporto e riferimento esemplificativo, restando a suo carico la responsabilità di verificarne l’idoneità rispetto al contesto specifico e di procedere agli opportuni adattamenti. L'applicabilità e l'utilizzo dei documenti messi a disposizione dipendono dai moduli e dai servizi effettivamente attivati dal Titolare. 

Articolo 12 - Dati di contatto

12.1 Il Responsabile può essere contattato al seguente indirizzo e-mail: privacy@plateform.app.

12.2 Il Titolare può essere contattato all’indirizzo e-mail fornito in sede di registrazione.

Articolo 13 - Rinvio

Per quanto non espressamente previsto e disciplinato nel presente DPA, le Parti rinviano al Contratto, alla normativa applicabile in materia di privacy, con specifico riferimento al GDPR, ed alla normativa di settore applicabile ai Servizi erogati con il Contratto. 

Sub-allegati:

1. Elenco dei principali sub responsabili;

2. Informativa privacy modulo di prenotazione

3. Informativa privacy modulo wi-fi

4. Informativa newsletter

5. Netiquette per l’invio di comunicazioni promozionali tramite Plateform.

Sub-Allegato A

Elenco dei principali Sub Responsabili