1. Oggetto, parti e qualificazione dei ruoli
Il presente Accordo disciplina le operazioni di trattamento di dati personali connesse alla fornitura del software gestionale HurryStyle.
Le parti si qualificano ai sensi del Regolamento UE 2016/679 (GDPR):
- Il Salone di acconciatura: riveste il ruolo di Titolare del trattamento per tutti i dati personali dei propri clienti finali e dei propri collaboratori inseriti nell'applicazione.
- Simone Venturini (persona fisica, sviluppatore del servizio): riveste il ruolo di Responsabile del trattamento ai sensi dell’articolo 28 del GDPR e tratta tali dati unicamente per conto del Titolare e conformemente alle sue istruzioni.
2. Finalità, categorie di dati e soggetti interessati
Il servizio tratta dati per agenda, rubrica, servizi, orari, valore dei servizi completati, foto dei lavori, esportazione e analisi del salone. Le operazioni comprendono raccolta, archiviazione, consultazione, calcolo di indicatori, sincronizzazione, condivisione su istruzione del titolare e cancellazione. Dati: nomi e recapiti, appuntamenti e importi, orari ed eccezioni, preferenze di stile, immagini e commenti. Interessati: clienti e personale del salone. Sono esclusi dati sanitari. Il trattamento dura quanto il rapporto e le operazioni necessarie alla restituzione o cancellazione dei dati.
3. Obblighi del Responsabile del trattamento
Il Responsabile si impegna a:
- Trattare i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, incluse le funzionalità ordinarie del software, salvo che lo richieda il diritto dell’Unione o dello Stato membro cui è soggetto il Responsabile; in tal caso, il Responsabile informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che la legge vieti tale informazione per rilevanti motivi di interesse pubblico;
- Informare prontamente il Titolare qualora ritenga che un'istruzione violi il GDPR o altre disposizioni di legge applicabili;
- Assicurare che le persone autorizzate al trattamento abbiano assunto un impegno formale di riservatezza;
- Adottare misure tecniche e organizzative adeguate ai sensi dell’Art. 32 del GDPR (cifratura in transito, controlli di accesso, protezione dell'integrità dei dati).
4. Sub-responsabili del trattamento (Sub-processors)
Il Titolare autorizza l’impiego dei seguenti fornitori di infrastruttura:
- Google Cloud / Firebase: fornitore effettivo di sub-trattamento per il database del salone (Firestore a Milano, Italia) e l'autenticazione delle credenziali (Firebase Authentication negli Stati Uniti, con Clausole Contrattuali Standard e Google Cloud DPA).
- Cloudflare, Inc.: fornitore di rete per DNS, hosting del sito e routing email, che svolge un ruolo infrastrutturale separato e non gestisce direttamente il database applicativo del salone.
Il Responsabile impone ai sub-responsabili obblighi equivalenti di protezione dei dati e risponde del loro operato. Eventuali modifiche o integrazioni dei sub-responsabili saranno comunicate con preavviso, consentendo al Titolare di opporsi per giustificati motivi di tutela della privacy.
Google Cloud Storage conserva le foto private in europe-west1 (Belgio), con copie protette dopo la cancellazione per 7 giorni. Google/Firebase fornisce anche funzioni server e protezioni App Check/Play Integrity. Non è configurato alcun sub-responsabile di AI generativa o importazione delle recensioni Google.
5. Assistenza al Titolare, violazioni di dati e DPIA
Il Responsabile assiste il Titolare, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR:
- Nel dare seguito alle richieste di esercizio dei diritti degli interessati (Capo III GDPR);
- Nel garantire la sicurezza del trattamento ai sensi dell’Art. 32 GDPR;
- Nella notifica al Titolare di eventuali violazioni di dati personali (Data Breach ai sensi dell’Art. 33 GDPR) senza ingiustificato ritardo dopo esserne venuto a conoscenza, nonché nell'assistenza per la comunicazione delle violazioni agli interessati ai sensi dell’Art. 34 GDPR;
- Nello svolgimento delle valutazioni di impatto sulla protezione dei dati (DPIA ai sensi dell’Art. 35 GDPR) e nella consultazione preventiva dell’autorità di controllo ai sensi dell’Art. 36 GDPR.
6. Cancellazione o restituzione dei dati
Alla cessazione, il titolare può scegliere la restituzione dei dati o la loro cancellazione, salvo conservazione imposta dalla legge. L’esportazione CSV è disponibile al titolare anche dopo la scadenza; eventuali dati non inclusi possono essere richiesti all’assistenza prima della cancellazione. Il processo elimina l’archivio attivo e le foto. Le copie protette delle foto scadono dopo 7 giorni; i cicli tecnici di eliminazione del fornitore e le copie su dispositivi o presso destinatari esterni sono descritti nell’informativa privacy. Il Responsabile assiste il Titolare nelle richieste degli interessati.
7. Verifiche, audit e valore del documento
Il Responsabile mette a disposizione del Titolare le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi di cui all’Art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate direttamente dal Titolare o da un altro revisore indipendente nominato e incaricato dal Titolare.
Efficacia dell’accordo: il testo è la versione corrente resa disponibile per trasparenza; il DPA diventa vincolante per il singolo Salone mediante accettazione digitale o sottoscrizione formale prima dell’uso commerciale del servizio.