Accordo sul trattamento dei dati (art. 28 RGPD)

Oggetto è la messa a disposizione e la gestione del software Quotrail come servizio. L’accordo vale per la durata del contratto principale e termina con la cancellazione completa dei dati del cliente ai sensi della sezione 10.

Memorizzazione, lettura, abbinamento e visualizzazione di richieste d’offerta, dati di catalogo, clienti e condizioni; generazione di bozze d’offerta; facoltativamente, lettura di una casella di posta configurata dal cliente; esportazione; registrazione delle approvazioni. Unica finalità è l’esecuzione del servizio concordato.

Dati: nomi, recapiti professionali e funzioni degli interlocutori, contenuti di richieste ed e-mail con allegati, dati di offerte, prezzi e condizioni, dati degli utenti e registrazioni di log.

Interessati: dipendenti del cliente, interlocutori presso clienti e fornitori del cliente e altre persone i cui dati sono contenuti nelle richieste.

Le istruzioni, comprese quelle sui trasferimenti internazionali, possono essere inviate per iscritto al contatto nelle note legali. Se il diritto dell’Unione o di uno Stato membro richiede un altro trattamento, informiamo preventivamente il cliente, salvo divieto di legge per rilevanti motivi di interesse pubblico.

Il responsabile tratta i dati solo su istruzione documentata del cliente; le istruzioni risultano dal contratto principale, dal presente accordo e dall’uso del software da parte del cliente. Se ritiene un’istruzione illecita, ne informa senza indugio il cliente.

Le persone che hanno accesso ai dati sono vincolate alla riservatezza. Il responsabile è un’impresa individuale; il titolare dell’impresa tratta personalmente i dati.

Il responsabile adotta in particolare le seguenti misure ai sensi dell’art. 32 RGPD:

• Hosting in Germania (netcup GmbH, data center di Norimberga); il server non è raggiungibile direttamente dall’esterno, le richieste vi arrivano solo attraverso un tunnel cifrato.
• Cifratura TLS di tutte le connessioni; password memorizzate solo come hash, credenziali delle caselle di posta cifrate (AES-256-GCM).
• Accesso amministrativo al server solo tramite chiave, senza accesso con password.
• Rigorosa separazione dei clienti: ogni accesso ai dati è vincolato all’account del cliente.
• Registrazione di accessi, eventi rilevanti per la sicurezza e approvazioni delle offerte.
• Backup giornaliero cifrato, sovrascritto dopo 14 giorni.
• Piano di cancellazione: esportazione e cancellazione da parte del cliente stesso, cancellazione al più tardi 30 giorni dopo la fine del contratto.

Ogni sub-responsabile è vincolato per iscritto a obblighi equivalenti di protezione dei dati; il responsabile resta responsabile verso il cliente del loro adempimento.

Il cliente acconsente al ricorso ai seguenti sub-responsabili:

Il responsabile comunica le modifiche previste con almeno 30 giorni di anticipo per e-mail. Il cliente può opporsi per un importante motivo di protezione dei dati; in mancanza di accordo può recedere con effetto dalla data della modifica.

Non sono sub-responsabili per i dati nell’applicazione, ma destinatari di dati contrattuali: Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublino, Irlanda) gestisce, per gli ordini online, il pagamento come titolare autonomo; Haufe-Lexware GmbH & Co. KG (Munzinger Straße 9, 79111 Friburgo, Germania) serve alla fatturazione e alla contabilità del fornitore e riceve solo dati di fatturazione.

• netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Germania — server, database e backup nel data center di Norimberga, Germania.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — DNS, protezione dagli attacchi, tunnel cifrato; EU-US Data Privacy Framework e clausole contrattuali tipo.
• Plus Five Five, Inc. («Resend»), 2261 Market Street #5039, San Francisco, CA 94114, USA — invio delle e-mail di sistema tramite la regione UE (Irlanda); EU-US Data Privacy Framework e clausole contrattuali tipo.

Il responsabile assiste il cliente con misure adeguate nel dare seguito alle richieste degli interessati (artt. 15–22 RGPD) e negli obblighi di cui agli artt. 32–36 RGPD. Accesso ed esportazione sono possibili direttamente nel software.

Il responsabile notifica al cliente una violazione dei dati personali senza ingiustificato ritardo, al più tardi entro 48 ore dalla conoscenza, con le informazioni disponibili ai sensi dell’art. 33, par. 3, RGPD.

Il cliente può esportare in qualsiasi momento i propri dati come archivio ZIP. Dopo la fine del contratto il responsabile cancella tutti i dati del cliente entro 30 giorni, salvo obblighi legali di conservazione; i dati contenuti nei backup sono sovrascritti con la loro rotazione, al più tardi dopo 14 giorni.

Il preavviso ragionevole, gli orari lavorativi e gli accordi sui costi non devono impedire né ritardare i controlli richiesti dalla legge o giustificati da un sospetto concreto, una violazione dei dati o una richiesta dell’autorità di controllo. Il responsabile consente tali controlli, incluse le ispezioni con breve preavviso, e vi contribuisce; i diritti legali di controllo non dipendono da un pagamento anticipato.

Il responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi (documentazione delle misure, il presente accordo, elenco dei sub-responsabili). I controlli ordinari sono concordati con congruo preavviso durante gli orari lavorativi; le parti concordano preventivamente costi ragionevoli senza limitare i diritti legali di controllo. Richieste a [email protected].

Per il resto si applicano le condizioni generali. In caso di contrasto, il presente accordo prevale sulle questioni di protezione dei dati.