Accordo sul trattamento dei dati personali

1. Parti e definizioni

Il presente accordo è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") tra:

• il Titolare del trattamento: il professionista o l'attività che si registra su Luami, con i dati indicati in fase di registrazione ("Titolare");
• il Responsabile del trattamento: Andrea Leone, con sede in Via Pastore 3, 73023 Lizzanello (LE), P.IVA 04461900757, che gestisce la piattaforma Luami ("Luami" o "Responsabile").

Nell'accordo:

• Interessati sono i clienti del Titolare i cui dati vengono trattati tramite Luami;
• Servizio è l'insieme delle funzioni di Luami usate dal Titolare;
• Sub-responsabile è un fornitore a cui Luami affida una parte del trattamento;
• gli altri termini hanno il significato che hanno nel GDPR.

L'accordo integra le condizioni generali del Servizio. In caso di contrasto sui temi di protezione dei dati prevale questo accordo.

2. Oggetto, natura e finalità del trattamento

Luami tratta i dati degli Interessati solo per fornire il Servizio al Titolare e secondo le sue istruzioni. In particolare per:

• gestire l'agenda, le prenotazioni, gli spostamenti e le disdette;
• inviare conferme, promemoria e notifiche ai clienti via WhatsApp, SMS, email o notifiche push;
• gestire la scheda cliente, la lista d'attesa, i pacchetti, il credito prepagato e la carta fedeltà, se usati;
• offrire le pagine pubbliche di prenotazione e la chat pubblica dell'attività.

Le operazioni comprendono raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione ai clienti stessi e cancellazione.

Luami non usa i dati degli Interessati per finalità proprie, non li vende e non li usa per pubblicità. I dati elaborati tramite fornitori di intelligenza artificiale non vengono usati per addestrare modelli di intelligenza artificiale [da verificare con le condizioni dei fornitori AI usati].

3. Dati trattati e categorie di interessati

Interessati: i clienti, anche potenziali, del Titolare, e chiunque li contatti tramite i canali del Titolare.

Dati:

• dati anagrafici e di contatto: nome, cognome, telefono, email;
• dati degli appuntamenti: servizi, date, orari, operatore, stato, note;
• dati amministrativi legati al servizio: pacchetti, credito prepagato, timbri fedeltà;
• identificativi tecnici per le notifiche, come i token dei dispositivi.

Categorie particolari. Il Servizio non è progettato per trattare dati sanitari o altre categorie particolari ai sensi dell'art. 9 GDPR. Il Titolare si impegna a non inserirli nelle note o nelle schede cliente, salvo quanto strettamente necessario al servizio e sotto la sua responsabilità [da valutare con il legale per centri estetici e attività vicine all'ambito sanitario].

4. Durata

L'accordo vale dall'accettazione in fase di registrazione e per tutto il tempo in cui il Titolare usa il Servizio. Cessa con la chiusura dell'account, fatti salvi gli obblighi di restituzione e cancellazione dell'articolo 12.

5. Obblighi di Luami

Luami si impegna a:

1. trattare i dati solo su istruzione documentata del Titolare. Le istruzioni sono questo accordo e le impostazioni che il Titolare sceglie nel Servizio. Se un'istruzione appare contraria alla normativa, Luami lo segnala al Titolare;
2. far trattare i dati solo da persone autorizzate e vincolate alla riservatezza;
3. adottare le misure di sicurezza dell'articolo 8;
4. ricorrere a sub-responsabili solo alle condizioni dell'articolo 6;
5. assistere il Titolare nel rispondere alle richieste degli Interessati (articolo 10);
6. assistere il Titolare negli obblighi su sicurezza, violazioni dei dati e, se necessaria, valutazione d'impatto (artt. 32-36 GDPR), tenuto conto delle informazioni a sua disposizione;
7. a fine rapporto, restituire o cancellare i dati come previsto all'articolo 12;
8. mettere a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo (articolo 13);
9. tenere il registro delle attività di trattamento svolte per conto dei titolari (art. 30, par. 2 GDPR).

6. Sub-responsabili

Il Titolare autorizza in via generale Luami a servirsi dei sub-responsabili elencati nell'Allegato A. Luami impone a ciascuno obblighi di protezione dei dati equivalenti a quelli di questo accordo e ne resta responsabile verso il Titolare.

Prima di aggiungere o sostituire un sub-responsabile, Luami avvisa il Titolare con almeno [30] giorni di anticipo, via email o nel pannello. Il Titolare può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può recedere dal Servizio senza penali.

7. Trasferimenti fuori dall'UE

Luami conserva i dati in server situati nell'Unione Europea. Alcuni sub-responsabili possono trattare dati fuori dallo Spazio Economico Europeo; in quel caso il trasferimento avviene solo con una delle garanzie previste dal GDPR, come una decisione di adeguatezza (incluso l'EU-US Data Privacy Framework) o le clausole contrattuali tipo della Commissione. L'Allegato A indica per ogni fornitore dove avviene il trattamento.

8. Misure di sicurezza

Luami adotta misure adeguate al rischio (art. 32 GDPR), tra cui:

• connessioni cifrate (HTTPS) tra utenti, pannello e server;
• accesso ai server e al database limitato alle persone autorizzate, con credenziali personali;
• password degli account conservate in forma cifrata;
• backup automatici giornalieri, conservati per [N] giorni;
• cifratura dei messaggi conservati nel database [in programma];
• registri degli errori privi di dati personali dei clienti, per quanto possibile.

Luami può aggiornare queste misure nel tempo, purché il livello di protezione non diminuisca.

9. Violazioni dei dati personali

Se Luami viene a conoscenza di una violazione che riguarda i dati del Titolare, lo avvisa senza ingiustificato ritardo e comunque entro [48] ore, per permettergli di notificarla al Garante entro le 72 ore previste dall'art. 33 GDPR. L'avviso indica, per quanto noto: cosa è successo, quali dati e quanti Interessati sono coinvolti, le conseguenze probabili e le misure prese o proposte. Le informazioni mancanti vengono fornite appena disponibili.

10. Diritti degli interessati e assistenza al Titolare

Il Titolare può consultare, correggere, esportare e cancellare i dati dei propri clienti direttamente dal pannello. Se Luami riceve direttamente una richiesta da un Interessato (accesso, rettifica, cancellazione, opposizione e simili), la inoltra al Titolare senza rispondere nel merito, salvo diverse istruzioni.

Per aiutare il Titolare negli obblighi di trasparenza, Luami mette a disposizione:

• una pagina pubblica di informativa privacy per ogni attività, con il Titolare indicato come tale e Luami come responsabile;
• il comando con cui un cliente può chiedere all'assistente di non intervenire più in quella conversazione.

11. Obblighi del Titolare

Il Titolare:

1. è responsabile della liceità del trattamento e della base giuridica con cui raccoglie i dati dei propri clienti;
2. informa i clienti sul trattamento, anche usando l'informativa messa a disposizione da Luami, e ne verifica i contenuti;
3. inserisce nel Servizio solo dati corretti e pertinenti, senza categorie particolari di dati salvo quanto previsto all'articolo 3;
4. custodisce le proprie credenziali e risponde dell'uso del Servizio fatto dai propri collaboratori.

12. Fine del rapporto

Alla chiusura dell'account il Titolare può esportare i dati dei propri clienti dal pannello entro [30] giorni. Trascorso questo termine Luami cancella i dati dai sistemi attivi, e dai backup entro [N] giorni dalla loro naturale scadenza, salvo i dati che la legge obbliga a conservare. Su richiesta, Luami conferma per iscritto l'avvenuta cancellazione.

13. Verifiche

Su richiesta scritta del Titolare, Luami fornisce le informazioni necessarie a dimostrare il rispetto di questo accordo, in primo luogo tramite documentazione. Eventuali verifiche ulteriori si concordano per iscritto con un preavviso di almeno [30] giorni, sono a carico del Titolare e non possono compromettere la riservatezza dei dati di altri clienti di Luami.

14. Responsabilità e disposizioni finali

Ciascuna parte risponde dei danni derivanti dalla violazione dei propri obblighi secondo l'art. 82 GDPR; eventuali limiti di responsabilità sono quelli delle condizioni generali del Servizio [da definire con il legale]. Luami può aggiornare questo accordo per adeguarlo alla normativa o al Servizio, avvisando il Titolare con almeno [30] giorni di anticipo. L'accordo è regolato dalla legge italiana; foro competente [Bari].

Allegato A — Sub-responsabili

Elenco ricostruito dall'architettura attuale di Luami: ogni riga segnata [da verificare] va controllata sul contratto del fornitore prima della pubblicazione.

Il classificatore che riconosce le conversazioni private gira su un server di Luami e non invia i messaggi a terzi. Il ruolo di WhatsApp (Meta), che veicola i messaggi, va valutato a parte con il legale.