CONTRATTO DI LICENZA D’USO DELLA PIATTAFORMA SAAS “TESSERANDO”

Condizioni Generali di Servizio e Nomina a Responsabile del Trattamento (art. 28 GDPR)

Tra

RENT TO RENT E INFOBUSINESS DI TOLIN CHIARA, ditta individuale, con sede in Verona (VR), Via Goffredo Mameli 108, CAP 37126, C.F. TLNCHR03P67I775A, P.IVA 05057640236, iscritta al Registro delle Imprese di Verona, REA VR-468062, PEC [email protected], in persona della titolare Sig.ra Chiara Tolin (di seguito, il “Fornitore” o “Tesserando”)

e

l’operatore economico identificato mediante i dati (denominazione, codice fiscale/partita IVA, sede) forniti in fase di registrazione alla piattaforma (di seguito, il “Cliente” e, congiuntamente al Fornitore, le “Parti”).

Premesse

• Il Fornitore ha ideato, sviluppato e gestisce la piattaforma software denominata “Tesserando”, erogata in modalità SaaS (Software as a Service), destinata alle attività commerciali per la gestione digitale della clientela, dei programmi di fidelizzazione e delle campagne di comunicazione e marketing verso i propri clienti finali.

• Il Cliente è un operatore economico che intende utilizzare la piattaforma nell’esercizio della propria attività imprenditoriale, commerciale, artigianale o professionale. Il servizio non è destinato a consumatori ai sensi del D.lgs. 206/2005 (Codice del Consumo).

• Il presente contratto è concluso mediante accettazione telematica (point and click) in fase di registrazione, ai sensi dell’art. 4.

• Le premesse e gli allegati costituiscono parte integrante e sostanziale del presente contratto.

1. Definizioni

• “Piattaforma”: il software “Tesserando”, comprensivo di applicazioni web e mobile, interfacce, codice, algoritmi, banche dati e documentazione.

• “Servizio”: l’accesso e l’utilizzo della Piattaforma in modalità SaaS secondo il Piano sottoscritto.

• “Utenti Finali”: le persone fisiche (clienti del Cliente) registrate dal Cliente o auto-registrate tramite QR code o altri sistemi digitali messi a disposizione dalla Piattaforma.

• “Piano”: il piano di abbonamento prescelto dal Cliente (Starter, Pro o Ultra), con le funzionalità e i limiti di cui all’art. 3 e al Listino.

• “Listino”: la pagina dei piani e prezzi pubblicata sul sito web del Fornitore, che dettaglia funzionalità, limiti e corrispettivi aggiornati di ciascun Piano.

• “Periodo di Fatturazione”: il periodo mensile di abbonamento, decorrente dalla data di attivazione o di rinnovo.

• “Area Riservata”: l’area della Piattaforma accessibile al Cliente con le proprie credenziali.

• “DPA”: l’accordo sul trattamento dei dati personali ex art. 28 GDPR di cui all’Allegato A.

• “GDPR”: il Regolamento (UE) 2016/679.

2. Oggetto del contratto

2.1. Il Fornitore concede al Cliente, che accetta, una licenza d’uso non esclusiva, personale, non trasferibile e non sublicenziabile della Piattaforma, accessibile in modalità SaaS, per la durata e nei limiti del Piano sottoscritto.

2.2. La licenza è limitata all’utilizzo della Piattaforma per finalità interne del Cliente, connesse alla propria attività, con esclusione di qualsiasi utilizzo diverso, di rivendita, noleggio o messa a disposizione di terzi non autorizzati per iscritto dal Fornitore.

2.3. Resta espressamente escluso qualsiasi trasferimento di diritti di proprietà intellettuale o industriale sulla Piattaforma, che rimane di esclusiva titolarità del Fornitore ai sensi dell’art. 10.

3. Descrizione del Servizio e Piani

3.1. La Piattaforma consente al Cliente, secondo il Piano sottoscritto, di gestire i propri Utenti Finali, creare fidelity card digitali, assegnare punti, gestire premi e coupon, e realizzare campagne di comunicazione e marketing verso i propri Utenti Finali.

3.2. I Piani disponibili, salvo aggiornamento del Listino, sono i seguenti:

• Starter – € 25,99/mese oltre IVA: fino a 100 Utenti Finali, fino a 3 campagne attive, supporto via email e chat standard, AI Coach con limite di 10 messaggi al giorno.

• Pro – € 34,99/mese oltre IVA: Utenti Finali e campagne illimitati, AI Coach con limite di 50 messaggi al giorno, supporto prioritario, invio di notifiche push personalizzate agli Utenti Finali (anche sulla base di posizione o data di compleanno, ove attivato dal Cliente).

• Ultra – € 79,99/mese oltre IVA: tutte le funzionalità Pro, AI Coach avanzato con limite di 200 messaggi al giorno, strumenti di marketing avanzato (moltiplicatori punti per giorno e fascia oraria, recupero clienti inattivi con coupon automatici, automazioni legate al compleanno, comunicazioni broadcast segmentate, livelli premio basati sulla fedeltà storica), gestione di più punti vendita e account con ruoli differenziati.

3.3. Il dettaglio aggiornato di funzionalità, limiti tecnici e quote di ciascun Piano è riportato nel Listino, che il Cliente dichiara di aver consultato. In caso di contrasto tra il presente articolo e il Listino vigente al momento dell’attivazione o del rinnovo, prevale quest’ultimo.

3.4. Le funzionalità eventualmente indicate come “in arrivo”, “beta” o simili nel Listino o nella Piattaforma hanno valore meramente informativo: non costituiscono impegno contrattuale del Fornitore né termine di consegna, e la loro mancata o ritardata attivazione non costituisce inadempimento.

3.5. AI Coach. La funzionalità “AI Coach” genera contenuti e suggerimenti mediante sistemi di intelligenza artificiale. Tali contenuti hanno natura meramente indicativa e di supporto: il Fornitore non garantisce la loro correttezza, completezza o idoneità a produrre risultati commerciali, e il Cliente è l’unico responsabile delle decisioni assunte sulla base degli stessi e dell’eventuale invio agli Utenti Finali di contenuti così generati.

3.6. Il Servizio è erogato in modalità digitale e può subire aggiornamenti, implementazioni o modifiche tecniche, anche migliorative, senza che ciò costituisca inadempimento contrattuale, purché non comportino una riduzione sostanziale delle funzionalità essenziali del Piano sottoscritto.

4. Conclusione del contratto e requisiti del Cliente

4.1. Il contratto si conclude al momento dell’accettazione telematica delle presenti condizioni da parte del Cliente, mediante selezione dell’apposita casella (checkbox) in fase di registrazione, e della specifica approvazione delle clausole indicate in calce mediante seconda e distinta casella, ai sensi degli artt. 1341 e 1342 c.c.

4.2. Il Cliente dichiara e garantisce di agire nell’esercizio della propria attività imprenditoriale, commerciale, artigianale o professionale, di essere titolare di partita IVA e che i dati forniti in fase di registrazione sono veritieri, completi e aggiornati. La registrazione da parte di consumatori non è ammessa.

4.3. Il Cliente è responsabile della custodia e della riservatezza delle proprie credenziali di accesso e di ogni attività compiuta tramite il proprio account.

5. Periodo di prova

5.1. Il Fornitore può offrire un periodo di prova gratuito della durata di 7 (sette) giorni. Al termine del periodo di prova, in assenza di attivazione di un Piano a pagamento, l’accesso alla Piattaforma viene disattivato.

5.2. I dati inseriti durante il periodo di prova sono conservati per 12 (dodici) mesi dalla disattivazione, per consentire al Cliente di riattivare il Servizio recuperando i propri dati; decorso tale termine, sono cancellati definitivamente.

6. Corrispettivi, pagamento e variazioni di prezzo

6.1. Il Cliente è tenuto a corrispondere al Fornitore il canone mensile del Piano prescelto, in via anticipata, con rinnovo automatico a ogni Periodo di Fatturazione, salvo recesso ai sensi dell’art. 7.

6.2. I pagamenti sono gestiti tramite il fornitore di servizi di pagamento Stripe. I dati di pagamento sono trattati direttamente da Stripe quale autonomo titolare del trattamento, secondo le proprie condizioni e informative.

6.3. I corrispettivi si intendono al netto di IVA e di ogni altro onere di legge. Il Fornitore emette fattura secondo la normativa vigente.

6.4. Il Fornitore può modificare i corrispettivi e i limiti dei Piani dandone comunicazione al Cliente con preavviso minimo di 30 (trenta) giorni, via email all’indirizzo associato all’account e mediante avviso in-app. Le modifiche si applicano dal primo rinnovo successivo alla scadenza del preavviso. Il Cliente che non intenda accettarle può recedere ai sensi dell’art. 7 prima della loro efficacia; la prosecuzione nell’utilizzo del Servizio oltre tale data costituisce accettazione.

7. Durata, rinnovo e recesso

7.1. Il contratto ha durata mensile, con rinnovo automatico a ogni scadenza, salvo recesso.

7.2. Il Cliente può recedere in qualsiasi momento, senza penali e senza obbligo di motivazione, mediante uno qualsiasi dei seguenti canali:

• pulsante “Disdetta” nella sezione Impostazioni dell’Area Riservata;

• apertura di un ticket di supporto in-app;

• email all’indirizzo [email protected];

• PEC all’indirizzo [email protected].

7.3. Il recesso ha effetto al termine del Periodo di Fatturazione in corso: il Cliente conserva l’accesso al Servizio fino a tale data e nulla è dovuto per i periodi successivi. Non sono previsti rimborsi, neppure parziali, per la frazione di periodo già pagata.

7.4. Il Fornitore può recedere dal contratto con preavviso di 30 (trenta) giorni comunicato via email, fatta salva la restituzione pro quota dei canoni eventualmente pagati per periodi successivi alla data di efficacia del recesso.

8. Mancato pagamento e sospensione

8.1. Il mancato pagamento, anche parziale, del canone legittima il Fornitore a sospendere immediatamente l’accesso del Cliente alla Piattaforma, previa comunicazione anche contestuale, fatto salvo il diritto al recupero del credito e al risarcimento del danno.

8.2. Il pagamento di quanto dovuto comporta la riattivazione dell’accesso. In caso di mancata regolarizzazione, il contratto si intende cessato e i dati sono conservati e poi cancellati secondo l’art. 12.

9. Obblighi del Cliente e manleva

9.1. Il Cliente si impegna a utilizzare la Piattaforma in conformità alla legge, al presente contratto e alla documentazione del Fornitore, astenendosi da ogni uso illecito, abusivo o idoneo a danneggiare la Piattaforma, il Fornitore o terzi.

9.2. Con riferimento ai dati personali degli Utenti Finali, il Cliente, quale Titolare del trattamento, è l’unico responsabile di: (a) liceità, correttezza e trasparenza della raccolta e del trattamento; (b) rilascio agli Utenti Finali dell’informativa ex art. 13 GDPR; (c) acquisizione e gestione delle basi giuridiche, inclusi i consensi per le comunicazioni di marketing e, ove attivate, per le notifiche basate su posizione o data di compleanno; (d) contenuto delle campagne e delle comunicazioni inviate tramite la Piattaforma; (e) esattezza e aggiornamento dei dati inseriti.

9.3. Il Cliente manleva e tiene indenne il Fornitore da ogni pretesa, sanzione, costo o danno, incluse le spese legali, derivante da: violazioni del GDPR o di altra normativa imputabili al Cliente; invio di comunicazioni prive di idonea base giuridica; contenuti illeciti o lesivi di diritti di terzi caricati o diffusi tramite l’account del Cliente; dichiarazioni non veritiere rese ai sensi dell’art. 4.2.

10. Proprietà intellettuale e penale

10.1. La Piattaforma, comprensiva di software, codice sorgente e oggetto, algoritmi, interfacce, banche dati, design, marchi, denominazioni e modello di business, è tutelata dalla normativa in materia di proprietà intellettuale e industriale ed è di esclusiva titolarità del Fornitore.

10.2. È fatto espresso divieto al Cliente di copiare, riprodurre, modificare, decompilare, disassemblare o sottoporre a reverse engineering la Piattaforma, in tutto o in parte, nonché di estrarne sistematicamente i contenuti o di farne qualsiasi utilizzo non autorizzato, salvi i limiti inderogabili di legge.

10.3. In caso di violazione del presente articolo, il Cliente sarà tenuto al pagamento di una penale pari ad € 50.000,00 (cinquantamila/00), fatto salvo il risarcimento del maggior danno.

11. Riservatezza

11.1. Ciascuna Parte si impegna a mantenere riservate le informazioni tecniche, commerciali e organizzative dell’altra Parte apprese in esecuzione del contratto, a non divulgarle a terzi e a utilizzarle esclusivamente per le finalità del contratto.

11.2. L’obbligo di riservatezza permane per 5 (cinque) anni dalla cessazione del rapporto e non si applica alle informazioni di pubblico dominio o la cui comunicazione sia imposta dalla legge o dall’Autorità.

12. Conservazione, esportazione e cancellazione dei dati

12.1. Fino al termine del Periodo di Fatturazione in corso (anche in caso di recesso), il Cliente può esportare in autonomia i propri dati tramite gli strumenti disponibili nell’Area Riservata.

12.2. Successivamente alla perdita dell’accesso, il Cliente può richiedere l’esportazione dei dati contattando il supporto ([email protected]). I dati sono conservati per un periodo massimo di 12 (dodici) mesi dalla cessazione del contratto o dalla sospensione non regolarizzata; decorso tale termine, sono cancellati definitivamente, salvo gli obblighi di conservazione previsti dalla legge.

12.3. La cancellazione riguarda anche le copie di backup, secondo i cicli tecnici di rotazione descritti nell’Allegato B.

13. Livelli di servizio, manutenzione e backup

13.1. Il Fornitore eroga il Servizio con la diligenza professionale richiesta, secondo il criterio del massimo impegno (best effort), senza garanzia di livelli minimi di disponibilità (uptime), anche in considerazione della dipendenza da infrastrutture e fornitori terzi.

13.2. Il Fornitore può effettuare interventi di manutenzione programmata, dandone ove possibile preavviso via email o in-app, e interventi urgenti senza preavviso.

13.3. Il Fornitore esegue un backup giornaliero dei dati della Piattaforma, con conservazione delle copie per 7 (sette) giorni. Il backup costituisce misura tecnica di continuità e non sostituisce l’esportazione periodica dei dati a cura del Cliente.

13.4. Il supporto è erogato nei giorni e orari lavorativi tramite email e chat (Piano Starter) e con priorità di presa in carico per i Piani Pro e Ultra.

14. Responsabilità

14.1. Il Fornitore non risponde per: (a) utilizzi impropri o illeciti della Piattaforma da parte del Cliente o degli Utenti Finali; (b) interruzioni, malfunzionamenti o perdite di dati dovuti a cause non imputabili al Fornitore, inclusi guasti o indisponibilità di reti, infrastrutture o servizi di terzi; (c) danni indiretti, perdita di profitto, mancati guadagni, perdita di avviamento o di opportunità commerciali; (d) contenuti generati dalla funzionalità AI Coach e decisioni assunte dal Cliente sulla base degli stessi; (e) eventi straordinari, imprevedibili o di forza maggiore.

14.2. In ogni caso, la responsabilità complessiva del Fornitore verso il Cliente, per qualsiasi titolo connesso al presente contratto, non potrà eccedere l’importo dei canoni effettivamente pagati dal Cliente nei 12 (dodici) mesi precedenti l’evento dannoso.

14.3. Le esclusioni e limitazioni di cui al presente articolo non si applicano nei casi di dolo o colpa grave del Fornitore, né ove inderogabilmente previsto dalla legge.

15. Trattamento dei dati personali

15.1. Dati degli Utenti Finali. Con riferimento ai dati personali degli Utenti Finali trattati tramite la Piattaforma, il Cliente riveste il ruolo di Titolare del trattamento e il Fornitore quello di Responsabile del trattamento ai sensi dell’art. 28 GDPR. Con l’accettazione del presente contratto il Cliente nomina il Fornitore Responsabile del trattamento, alle condizioni dell’Allegato A (DPA), che costituisce parte integrante del contratto.

15.2. Dati del Cliente. Con riferimento ai dati personali del Cliente e dei suoi referenti (dati di account, fatturazione, supporto), il Fornitore agisce quale autonomo Titolare del trattamento; l’informativa ex art. 13 GDPR è disponibile sul sito web del Fornitore.

16. Clausola risolutiva espressa

16.1. Il contratto si intenderà risolto di diritto, ai sensi dell’art. 1456 c.c., previa dichiarazione del Fornitore di volersi avvalere della presente clausola, in caso di: (a) mancato pagamento dei corrispettivi non regolarizzato entro 15 giorni dalla sospensione; (b) violazione dell’art. 10 (proprietà intellettuale); (c) utilizzo illecito o non autorizzato della Piattaforma; (d) falsità delle dichiarazioni rese ai sensi dell’art. 4.2.

17. Cessione del contratto

17.1. Il Cliente presta sin d’ora il proprio consenso, ai sensi dell’art. 1407 c.c., alla cessione del presente contratto da parte del Fornitore a società, anche di nuova costituzione, nella quale la titolare del Fornitore detenga una partecipazione, ovvero nell’ambito di operazioni di cessione o conferimento d’azienda o di ramo d’azienda relative alla Piattaforma. La cessione è efficace verso il Cliente con semplice comunicazione via email o in-app.

17.2. Il Cliente non può cedere il contratto né i diritti da esso derivanti senza il previo consenso scritto del Fornitore.

18. Modifiche delle condizioni contrattuali

18.1. Il Fornitore può modificare le presenti condizioni dandone comunicazione al Cliente con preavviso minimo di 30 (trenta) giorni via email e in-app. Il Cliente che non intenda accettare le modifiche può recedere ai sensi dell’art. 7 prima della loro efficacia; la prosecuzione nell’utilizzo del Servizio oltre tale data costituisce accettazione.

18.2. Le modifiche imposte da disposizioni di legge o provvedimenti dell’Autorità possono avere efficacia immediata.

19. Legge applicabile e foro competente

19.1. Il presente contratto è regolato dalla legge italiana.

19.2. Per ogni controversia relativa all’interpretazione, esecuzione o validità del presente contratto è competente in via esclusiva il Foro di Verona.

20. Disposizioni finali

20.1. Il presente contratto, con i relativi allegati e il Listino, costituisce l’intero accordo tra le Parti e sostituisce ogni precedente intesa, orale o scritta, sul medesimo oggetto.

20.2. L’eventuale nullità o inefficacia di singole clausole non comporta la nullità del contratto, che resta valido per la parte restante.

20.3. Le comunicazioni tra le Parti avvengono validamente via email agli indirizzi associati all’account, in-app o via PEC.

Approvazione specifica ex artt. 1341 e 1342 c.c.

Il Cliente, mediante selezione di apposita e distinta casella (checkbox), dichiara di aver letto e di approvare specificamente le seguenti clausole: art. 3.4 (funzionalità in arrivo – esclusione di impegno); art. 3.5 (AI Coach – esclusione di garanzia); art. 3.6 (modifiche tecniche del Servizio); art. 6.1 (rinnovo automatico); art. 6.4 (variazioni di prezzo); art. 7.3 (decorrenza del recesso ed esclusione di rimborsi); art. 7.4 (recesso del Fornitore); art. 8 (sospensione per mancato pagamento); art. 9.3 (manleva); art. 10.3 (penale); art. 12.2 (cancellazione dei dati); art. 13.1 (esclusione di garanzia sui livelli di servizio); art. 14 (esclusioni e limitazioni di responsabilità); art. 16 (clausola risolutiva espressa); art. 17.1 (cessione del contratto); art. 18 (modifiche unilaterali delle condizioni); art. 19.2 (foro esclusivo).

ALLEGATO A

Accordo sul trattamento dei dati personali ex art. 28 GDPR (DPA)

A.1. Ruoli e oggetto

Il presente DPA disciplina il trattamento dei dati personali degli Utenti Finali effettuato dal Fornitore (Responsabile del trattamento) per conto del Cliente (Titolare del trattamento) nell’ambito dell’erogazione del Servizio. Il DPA ha la stessa durata del contratto e si estende al periodo di conservazione di cui all’art. 12 del contratto.

A.2. Natura, finalità e operazioni di trattamento

Il trattamento consiste nelle operazioni tecniche necessarie all’erogazione del Servizio: raccolta tramite la Piattaforma, registrazione, conservazione, organizzazione, consultazione, elaborazione (gestione punti, premi, coupon, segmentazioni, appuntamenti), emissione e aggiornamento delle carte fedeltà digitali nei wallet degli Utenti Finali (Apple Wallet e Google Wallet), inclusa la veicolazione di messaggi tramite l’aggiornamento dei campi della carta, invio di comunicazioni e notifiche su istruzione del Cliente, backup, cancellazione.

Funzionalità di intelligenza artificiale. La funzionalità AI Coach non comporta la comunicazione di dati personali degli Utenti Finali a fornitori di modelli di intelligenza artificiale: ai relativi servizi vengono trasmessi esclusivamente dati statistici aggregati e informazioni relative all’attività del Cliente. Il Fornitore si impegna a mantenere tale impostazione; un’eventuale estensione del trattamento a dati personali degli Utenti Finali sarà preventivamente comunicata con le modalità previste per la modifica dei sub-responsabili (punto A.6).

A.3. Categorie di interessati e di dati

Interessati: Utenti Finali (clienti del Cliente). Categorie di dati: dati anagrafici (nome, cognome, data di nascita), dati di contatto (email, numero di telefono), dati di fidelizzazione e di utilizzo della Piattaforma (punti, premi, coupon, appuntamenti, interazioni), eventuali dati di posizione qualora il Cliente attivi le relative funzionalità, ulteriori dati facoltativi inseriti dal Cliente. Non è previsto il trattamento di categorie particolari di dati ex art. 9 GDPR, che il Cliente si impegna a non inserire nella Piattaforma.

A.4. Istruzioni del Titolare

Il Fornitore tratta i dati esclusivamente in base alle istruzioni documentate del Cliente, costituite dal contratto, dal presente DPA e dalle configurazioni e azioni impartite dal Cliente tramite l’Area Riservata. Il Fornitore informa il Cliente qualora ritenga che un’istruzione violi il GDPR.

A.5. Obblighi del Responsabile

• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza;

• adottare le misure tecniche e organizzative di cui all’art. 32 GDPR, descritte nell’Allegato B;

• assistere il Cliente nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR); a tal fine la Piattaforma mette a disposizione del Cliente strumenti self-service per accedere, rettificare, esportare e cancellare in autonomia i dati dei singoli Utenti Finali; per quanto non gestibile in autonomia, il Fornitore presta assistenza ragionevole su richiesta;

• assistere il Cliente nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenuto conto della natura del trattamento e delle informazioni disponibili;

• notificare al Cliente ogni violazione dei dati personali (data breach) senza ingiustificato ritardo e comunque entro 72 ore dal momento in cui ne è venuto a conoscenza, fornendo le informazioni utili ex art. 33 GDPR;

• al termine del rapporto, cancellare i dati personali secondo i termini dell’art. 12 del contratto, salvo che la conservazione sia richiesta dalla legge, e attestarne la cancellazione su richiesta del Cliente;

• mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR, secondo quanto previsto al punto A.7.

A.6. Sub-responsabili

Il Cliente autorizza in via generale il ricorso da parte del Fornitore a sub-responsabili per l’erogazione del Servizio. L’elenco aggiornato dei sub-responsabili è il seguente ed è mantenuto disponibile sul sito del Fornitore. Il Fornitore informa il Cliente, via email o in-app, di ogni modifica riguardante l’aggiunta o la sostituzione di sub-responsabili con almeno 15 giorni di anticipo; il Cliente può opporsi per motivi legittimi e, in mancanza di soluzione, recedere dal contratto ai sensi dell’art. 7. Il Fornitore impone ai sub-responsabili, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile verso il Cliente dell’operato degli stessi.

Sub-responsabile	Servizio	Sede / area di trattamento	Garanzie trasferimento extra-UE
Railway Corp.	Hosting applicativo, database e object storage (S3-compatible)	Data center nell’Unione Europea	Eventuali accessi extra-UE: SCC / EU-US DPF
Google Ireland Ltd. / Google LLC	Google Wallet API – emissione e aggiornamento delle fidelity card digitali su dispositivi Android (dati identificativi e di fidelizzazione contenuti nella card, inclusi i messaggi mostrati sulla stessa)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Apple Inc. / Apple Distribution International Ltd.	Apple Wallet e APNs – aggiornamento dei pass su dispositivi iOS (notifiche tecniche prive di contenuto; i dati del pass sono erogati dai sistemi del Fornitore)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Cloudflare, Inc.	CDN, DNS e sicurezza di rete	Rete globale; trattamento prevalente UE	EU-US Data Privacy Framework / SCC
Aruba S.p.A.	Infrastruttura di invio email (mailer)	Italia / UE	Non applicabile
Meta Platforms Ireland Ltd.	WhatsApp Business API (solo se e quando attivata)	Irlanda; possibili trasferimenti USA	EU-US Data Privacy Framework / SCC
Fornitore servizi SMS (in via di definizione)	Invio SMS (solo se e quando attivato)	Sarà comunicato prima dell’attivazione	Sarà comunicato prima dell’attivazione

I pagamenti degli abbonamenti sono gestiti da Stripe quale autonomo titolare del trattamento e non rientrano nel presente DPA. Eventuali trasferimenti di dati personali verso paesi terzi avvengono esclusivamente in presenza di garanzie adeguate ai sensi del Capo V del GDPR (decisioni di adeguatezza, EU-US Data Privacy Framework, clausole contrattuali standard).

Funzionalità AI Coach. La funzionalità AI Coach non comporta la comunicazione di dati personali degli Utenti Finali a fornitori di modelli di intelligenza artificiale: ai relativi servizi (attualmente OpenRouter, Inc.) vengono trasmessi esclusivamente dati aggregati e anonimi e informazioni relative all’attività del Cliente (quali denominazione e descrizione dell’attività e dati dell’account del Cliente, per i quali il Fornitore agisce quale autonomo titolare ai sensi dell’art. 15.2 del contratto). Tali fornitori non rientrano pertanto tra i sub-responsabili del presente DPA; un’eventuale evoluzione della funzionalità che comporti il trattamento di dati personali degli Utenti Finali sarà preceduta dall’aggiornamento dell’elenco dei sub-responsabili secondo la procedura di cui al presente articolo.

A.7. Verifiche e audit

Il Cliente ha il diritto di verificare il rispetto del presente DPA. A tal fine può richiedere al Fornitore, al massimo una volta per anno solare e con preavviso scritto di 30 giorni, informazioni e documentazione idonee a dimostrare la conformità (incluse descrizioni delle misure di sicurezza, attestazioni e relazioni dei sub-responsabili). Ove tali informazioni risultino motivatamente insufficienti, il Cliente può condurre, a proprie spese, un audit anche in forma di ispezione, con modalità e tempi concordati, durante l’orario lavorativo, senza interferire con l’operatività del Fornitore e nel rispetto della riservatezza degli altri clienti.

ALLEGATO B

Misure tecniche e organizzative di sicurezza (art. 32 GDPR)

B.1. Sicurezza dell’infrastruttura

• Hosting applicativo e database presso data center situati nell’Unione Europea.

• Cifratura dei dati in transito mediante protocollo TLS 1.2 o superiore su tutte le connessioni.

• Cifratura dei dati a riposo secondo gli standard dell’infrastruttura del provider di hosting.

• Protezione perimetrale, mitigazione DDoS e filtraggio del traffico tramite servizi di sicurezza di rete (CDN/WAF).

B.2. Controllo degli accessi

• Autenticazione obbligatoria per l’accesso all’Area Riservata; conservazione delle password esclusivamente in forma cifrata (hash con algoritmi correnti).

• Segregazione logica dei dati di ciascun Cliente in architettura multi-tenant.

• Accesso ai sistemi di produzione limitato al solo personale autorizzato, secondo il principio del minimo privilegio, con credenziali individuali.

• Gestione dei ruoli e dei permessi all’interno dell’account del Cliente, ove previsto dal Piano.

B.3. Continuità e ripristino

• Backup automatico giornaliero dei dati, con conservazione delle copie per 7 giorni e rotazione automatica.

• Procedure di ripristino dei dati dalle copie di backup in caso di incidente.

B.4. Sicurezza organizzativa

• Impegno alla riservatezza delle persone autorizzate al trattamento.

• Aggiornamento periodico delle componenti software e applicazione delle patch di sicurezza.

• Registrazione (logging) degli accessi e degli eventi rilevanti di sistema.

• Procedura interna di gestione e notifica delle violazioni di dati personali (data breach).

• Selezione di sub-responsabili che offrano garanzie sufficienti ai sensi dell’art. 28, par. 1, GDPR.

Le misure di cui al presente Allegato possono essere aggiornate dal Fornitore in senso evolutivo, senza riduzione del livello complessivo di sicurezza.