Accordo sul trattamento dei dati ai sensi dell’art. 28 GDPR tra lo Stabilimento (Titolare) e Scennio (Responsabile).
Il presente Accordo sul trattamento dei dati (« DPA ») disciplina il trattamento dei dati personali che NOCTION PLATFORM, S.L. (« Scennio », il Responsabile del trattamento) effettua per conto dello Stabilimento contraente (il Titolare del trattamento) nella fornitura della piattaforma Scennio, ai sensi dell’articolo 28 del Regolamento (UE) 2016/679 (GDPR). Costituisce parte integrante dei Termini commerciali stipulati tra le parti.
Titolare del trattamento: lo Stabilimento contraente (ristorante, locale di intrattenimento, sala o organizzatore) che determina le finalità e i mezzi del trattamento dei dati dei propri clienti.
Responsabile del trattamento: NOCTION PLATFORM, S.L. (marchio « Scennio »), che tratta i dati esclusivamente per conto e secondo le istruzioni documentate del Titolare.
Il Responsabile tratta i dati personali per conto del Titolare al solo scopo di fornire i servizi della piattaforma. Il trattamento dura per la durata del contratto principale; alla sua cessazione si applica la clausola di cancellazione o restituzione.
Il trattamento comprende le operazioni necessarie per la vendita di biglietti, prenotazioni, liste, ordini, controllo degli accessi, elaborazione dei pagamenti, comunicazione con i partecipanti e le funzioni di analisi e assistenza associate alla piattaforma.
Interessati: clienti finali, partecipanti e utenti del Titolare. Dati: dati identificativi e di contatto (nome, e-mail, telefono), dati di prenotazione/acquisto e di pagamento (tokenizzati) e dati tecnici di utilizzo. Non è previsto il trattamento di categorie particolari di dati.
Il Titolare determina le finalità e i mezzi del trattamento e garantisce di disporre di una base giuridica valida per i dati che mette a disposizione del Responsabile. Spetta al Titolare informare gli interessati e, ove applicabile, raccoglierne il consenso, gestire le richieste di esercizio dei diritti e impartire per iscritto le istruzioni di trattamento. Il Titolare garantisce che le proprie istruzioni sono lecite e non violano la normativa in materia di protezione dei dati.
Il Responsabile tratta i dati solo secondo le istruzioni documentate del Titolare, anche per quanto riguarda i trasferimenti internazionali, salvo obblighi di legge; non utilizza i dati per finalità diverse; e assiste il Titolare nell’adempimento dei suoi obblighi.
Il Responsabile informa immediatamente il Titolare qualora, a suo avviso, un’istruzione violi il GDPR, la legge organica spagnola 3/2018 (LOPDGDD) o altra normativa dell’Unione o degli Stati membri in materia di protezione dei dati, e può sospendere l’esecuzione di tale istruzione finché il Titolare non la confermi o la modifichi.
Il Responsabile garantisce che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.
Il Responsabile adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, comprese, ove opportuno, la pseudonimizzazione e la cifratura, il controllo degli accessi, la registrazione degli eventi, i backup, la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi, nonché procedure di verifica e valutazione periodica della loro efficacia.
Il Titolare autorizza in via generale il ricorso a sub-responsabili (ad es. fornitori di hosting, pagamento, comunicazione e analisi). Il Responsabile impone a ciascun sub-responsabile i medesimi obblighi di protezione dei dati e informa in merito ad aggiunte o modifiche, consentendo al Titolare di opporsi per motivi legittimi. Il Responsabile resta pienamente responsabile nei confronti del Titolare dell’adempimento da parte del sub-responsabile dei propri obblighi in materia di protezione dei dati. L’elenco aggiornato dei sub-responsabili è disponibile su richiesta all’indirizzo info@scennio.com. Tra i sub-responsabili possono figurare fornitori di modelli di intelligenza artificiale utilizzati dalle funzionalità di assistenza della piattaforma (Scennio Copilot), soggetti agli stessi obblighi e, se del caso, alle garanzie per i trasferimenti internazionali previste nel presente DPA.
Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati e nel rispetto degli obblighi di cui agli artt. da 32 a 36 del GDPR (sicurezza, notifica delle violazioni e valutazioni d’impatto).
Il Responsabile notifica al Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali, fornendo le informazioni necessarie affinché il Titolare possa adempiere ai propri obblighi di notifica.
Il Responsabile tiene per iscritto e per conto del Titolare un registro di tutte le categorie di attività di trattamento svolte, ai sensi dell’articolo 30, paragrafo 2, del GDPR, e lo mette a disposizione del Titolare e dell’autorità di controllo su richiesta.
A scelta del Titolare, il Responsabile cancella o restituisce tutti i dati personali al termine della fornitura dei servizi e cancella le copie esistenti, salvo obbligo legale di conservazione. Su richiesta del Titolare, il Responsabile certifica per iscritto tale cancellazione.
Il Responsabile mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto dell’art. 28 e consente e contribuisce agli audit, comprese le ispezioni, svolti dal Titolare o da un revisore incaricato, con ragionevole preavviso.
Qualora il trattamento comporti trasferimenti al di fuori dello SEE, il Responsabile garantisce garanzie adeguate ai sensi del Capo V del GDPR (decisioni di adeguatezza, incluso l’EU-U.S. Data Privacy Framework, o Clausole Contrattuali Tipo).
Ciascuna parte risponde del danno che cagiona per la violazione dei propri obblighi ai sensi dell’articolo 82 del GDPR. Il Responsabile risponde solo qualora non abbia adempiuto agli obblighi del GDPR specificamente rivolti ai responsabili o abbia agito al di fuori o in contrasto con le istruzioni lecite del Titolare.
Il presente DPA è regolato dalla legge spagnola e dal GDPR e costituisce parte dei Termini commerciali tra le parti, con la stessa durata. L’autorità di controllo competente è l’Agenzia spagnola per la protezione dei dati (AEPD). In caso di conflitto in materia di protezione dei dati, prevale il presente DPA.
Per qualsiasi domanda relativa al presente DPA puoi scriverci a info@scennio.com .