1. Le parti e i loro ruoli
Titolare: l'azienda che gestisce un programma fedeltà in stmpr e dai cui clienti provengono i dati.
Responsabile: Leimeter Roland e.v., con sede in Dabas, Ungheria, contatto [email protected]. Partita IVA 69246054-2-33. Numero di registrazione 52907795.
Il responsabile tratta i dati dei clienti soltanto su istruzione documentata del titolare. L'uso previsto del servizio vale come istruzione: emettere la carta, timbrare, riscattare un premio e inviare i messaggi a cui il cliente ha acconsentito.
2. Oggetto, durata, natura e finalità
L'oggetto è la fornitura del servizio di carta fedeltà digitale: l'adesione dei clienti, la registrazione di timbri e premi, l'emissione e l'aggiornamento delle carte Apple Wallet e Google Wallet e le notifiche a cui si è acconsentito.
La durata è quella del rapporto di servizio tra titolare e responsabile. Al suo termine si applica la sezione 9.
La finalità è la fornitura del servizio e nient'altro. Il responsabile non usa i dati dei clienti per fini propri, non li analizza insieme a quelli di un altro cliente e non li vende.
3. Interessati e categorie di dati
Interessati: i clienti che hanno aderito al programma fedeltà del titolare.
Dati trattati: i dati identificativi e di contatto forniti dal cliente, nella misura in cui il titolare li chiede nel modulo di adesione; lo stato della carta, cioè lo storico di timbri, premi e riscatti; la lingua della carta; le marche temporali di attività; nonché l'esistenza, il momento e il testo del consenso al marketing, compresa una copia del testo accettato dal cliente.
- Il servizio non è costruito per le categorie particolari di dati dell'articolo 9 né va usato per esse, dati sanitari compresi.
- Spetta al titolare non chiedere nel modulo di adesione più di quanto il programma fedeltà richieda.
4. Obblighi del responsabile
Il responsabile tratta i dati soltanto su istruzione documentata del titolare, compreso qualsiasi trasferimento verso un paese terzo, salvo che lo imponga il diritto dell'Unione o di uno Stato membro. In tal caso informa il titolare prima del trattamento, salvo che il diritto vieti tale informazione.
Il responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza.
5. Misure di sicurezza
Il responsabile applica le misure tecniche e organizzative richieste dall'articolo 32. Sono descritte nella pagina sulla sicurezza, che è parte del presente accordo.
- Connessioni cifrate sul sito pubblico e nelle interfacce.
- Le credenziali delle integrazioni di terze parti sono conservate cifrate.
- Accesso per ruoli, autenticazione a due fattori e passkey sugli account.
- L'accesso del personale può essere limitato a una sede e a un ruolo.
- I backup sono cifrati e conservati su un server separato dall'applicazione.
6. Sub-responsabili
Il titolare rilascia un'autorizzazione generale al ricorso a sub-responsabili. Il responsabile vincola ciascuno di essi a obblighi equivalenti a quelli del presente accordo e risponde del loro operato.
Gli attuali sub-responsabili sono:
- Rackforest Kft. (Ungheria): hosting, database e archiviazione dei backup. I dati sono conservati in Ungheria, all'interno dell'Unione europea, backup compresi.
- Resend (recapito email): messaggi transazionali ai clienti, per esempio al raggiungimento di un premio.
- Apple Inc.: emissione e aggiornamento della carta Apple Wallet e recapito delle relative notifiche.
- Google LLC: emissione e aggiornamento della carta Google Wallet e recapito delle relative notifiche.
7. Quando un cliente esercita i suoi diritti
Rispondere a una richiesta dell'interessato spetta al titolare. Il responsabile aiuta con gli strumenti del servizio: i dati dei clienti si possono consultare, correggere, esportare ed eliminare dal pannello.
Se una richiesta arriva direttamente al responsabile, questi non risponde nel merito ma la trasmette al titolare senza ritardo.
8. Violazione dei dati personali
Non appena viene a conoscenza di una violazione che riguarda dati coperti dal presente accordo, il responsabile informa il titolare senza ritardo, indicando i fatti disponibili.
La notifica all'autorità di controllo e agli interessati spetta al titolare. Il responsabile mette a disposizione le informazioni in suo possesso.
9. Cancellazione e restituzione al termine dell'incarico
Al termine del rapporto di servizio il responsabile restituisce o cancella i dati dei clienti, a scelta del titolare. In mancanza di altra istruzione, alla chiusura dell'account segue un periodo di tolleranza, dopo il quale i dati sono cancellati in via definitiva.
Sono esclusi i dati la cui conservazione è imposta dal diritto dell'Unione o di uno Stato membro, i documenti contabili tra questi.
I dati cancellati restano nei backup per tutto il tempo in cui questi sono conservati, circa cinque settimane, e poi spariscono anche da lì. Un ripristino serve solo a rimediare a un guasto, mai a recuperare un singolo record.
10. Verifiche e informazioni
Il responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e consente le verifiche.
Una verifica è concordata in anticipo, si svolge in orario lavorativo, senza turbare in modo irragionevole l'attività, e quanto emerge è riservato.
11. Trasferimenti fuori dallo Spazio economico europeo
I dati dei clienti sono conservati in Ungheria, all'interno dell'Unione europea.
Per Apple e Google, indicati alla sezione 6, il trattamento può comportare una conservazione fuori dallo Spazio economico europeo. Tali fornitori operano sulla base delle clausole contrattuali tipo adottate dalla Commissione europea o di una decisione di adeguatezza.
12. Durata, modifiche e lingua che prevale
Il presente accordo ha effetto con l'uso del servizio e vale fino al termine del rapporto di servizio.
Il responsabile può modificare il presente accordo quando lo richieda un mutamento normativo o del servizio, e informa il titolare in anticipo di ogni modifica sostanziale.
Prevale la versione ungherese del presente accordo. Le altre versioni linguistiche servono alla comprensione. Legge applicabile: quella di Ungheria. Per domande o una copia firmata: [email protected].