Accordo sul trattamento dei dati — Tadà

Responsabile del trattamento («Tadà»)

• Denise Palumbo, titolare del progetto Tadà
• P. IVA 03255880647
• Via Condotto 84, 83035 Grottaminarda (AV), Italia
• denise@tadaeventi.com

Titolare del trattamento («Organizzatore»)

Il professionista o l'organizzazione che utilizza Tadà, identificato dai dati dell'account Tadà con cui questo accordo viene accettato.

Conclusione dell'accordo

L'accordo si conclude con l'accettazione elettronica nell'app da parte di un titolare dell'account dell'Organizzatore, che dichiara di essere autorizzato ad accettarlo per conto della propria attività. Tadà registra l'organizzazione, l'utente che accetta, la versione dell'accordo e la data e l'ora dell'accettazione. Per quanto riguarda il trattamento dei Dati dell'Organizzatore, questo accordo prevale su eventuali altre condizioni tra le parti.

I termini usati in questo accordo (ad esempio «dato personale», «trattamento», «titolare», «responsabile», «sub-responsabile», «violazione dei dati personali») hanno il significato previsto dal GDPR.

Per Dati dell'Organizzatore si intendono i dati personali che l'Organizzatore inserisce in Tadà, o che gli ospiti inviano tramite i moduli delle pagine evento dell'Organizzatore, per i quali l'Organizzatore è titolare del trattamento. Non rientrano i dati dell'account Tadà dell'Organizzatore (ad esempio email di accesso e dati di utilizzo del servizio), per i quali Tadà è titolare secondo la Privacy Policy.

Tadà tratta i Dati dell'Organizzatore per conto dell'Organizzatore, esclusivamente per fornire il servizio Tadà e nei limiti di questo accordo.

L'accordo ha effetto dall'accettazione e resta valido per tutta la durata dell'utilizzo del servizio, fino alla cancellazione o restituzione dei Dati dell'Organizzatore prevista dalla sezione 12.

Finalità: consentire all'Organizzatore di pianificare e gestire i propri eventi: attività e scadenze, fornitori, budget e spese, clienti, preventivi, ospiti, pagine evento pubbliche e risposte di partecipazione (RSVP).

Natura: raccolta (anche tramite il modulo RSVP pubblico), registrazione, archiviazione, organizzazione, consultazione, modifica, generazione di documenti (ad esempio i PDF dei preventivi), pubblicazione delle sole informazioni che l'Organizzatore decide di mostrare nelle pagine evento, elaborazione tramite le funzioni di intelligenza artificiale quando l'Organizzatore le utilizza, ricerca di fornitori tramite Google Maps quando l'Organizzatore la utilizza (sezione 10), cancellazione.

• clienti (committenti) dell'Organizzatore e loro referenti;
• ospiti e invitati agli eventi, compresi quelli che rispondono tramite il modulo RSVP;
• fornitori dell'Organizzatore e loro referenti;
• altre persone eventualmente indicate dall'Organizzatore nei campi di testo libero (note, brief, descrizioni).

• dati identificativi e di contatto (nome, email, telefono, indirizzo);
• dati fiscali e di fatturazione dei clienti (partita IVA, codice fiscale, indirizzo di fatturazione), anche riportati nei preventivi;
• dati sulla partecipazione agli eventi (presenza, numero di persone, messaggi degli ospiti);
• dati economici legati agli eventi (preventivi, importi, scadenze e pagamenti verso i fornitori);
• contenuti inseriti liberamente dall'Organizzatore (note, brief, descrizioni).

Categorie particolari di dati

Il campo «Esigenze alimentari» del modulo RSVP può contenere informazioni che rivelano dati relativi alla salute (ad esempio allergie o intolleranze), che rientrano nelle categorie particolari dell'art. 9 GDPR. Quando l'ospite compila questo campo, Tadà richiede nel modulo un consenso separato dell'ospite e ne registra la data e l'ora; senza quel consenso le informazioni non vengono salvate. Il campo è facoltativo e l'ospite può rispondere senza compilarlo.

L'Organizzatore non inserisce in Tadà altre categorie particolari di dati, né dati relativi a condanne penali e reati, salvo che siano strettamente necessari e che disponga di un'idonea base giuridica. Tadà non raccoglie dati di pagamento (ad esempio carte) degli interessati.

• dispone di una base giuridica idonea per i dati che inserisce in Tadà o che raccoglie tramite Tadà e fornisce agli interessati le informazioni previste dagli artt. 13 e 14 GDPR;
• indica nelle Impostazioni di Tadà il link alla propria informativa privacy per gli ospiti: senza questo link non è possibile pubblicare una pagina evento con il modulo RSVP attivo, e il link viene mostrato agli ospiti nella pagina evento e nel modulo RSVP;
• inserisce solo i dati necessari agli eventi e impartisce a Tadà istruzioni conformi alla normativa;
• gestisce le richieste degli interessati di cui è titolare, con l'assistenza prevista dalla sezione 9.
• quando aggiunge un fornitore a partire da un suggerimento di Google Maps, ne verifica i dati prima di salvarli e li mantiene aggiornati: i dati provengono da Google così come sono, possono essere incompleti o non aggiornati e Tadà non ne garantisce l'esattezza. Una volta salvati sono Dati dell'Organizzatore come quelli inseriti a mano, e l'Organizzatore ne è titolare a ogni effetto (sezione 10).

Tadà tratta i Dati dell'Organizzatore soltanto su istruzione documentata dell'Organizzatore. Le istruzioni sono costituite da questo accordo, dall'uso e dalla configurazione delle funzionalità di Tadà da parte dell'Organizzatore e da eventuali ulteriori istruzioni scritte inviate a denise@tadaeventi.com e accettate da Tadà.

Se Tadà ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, ne informa immediatamente l'Organizzatore. Se il diritto dell'Unione o nazionale impone a Tadà un trattamento ulteriore, Tadà ne informa l'Organizzatore prima del trattamento, salvo che la legge lo vieti.

I Dati dell'Organizzatore sono accessibili, per conto di Tadà, solo al titolare del progetto Tadà e alle eventuali persone da lui autorizzate, che sono vincolate alla riservatezza. L'accesso avviene solo se necessario per fornire il servizio, garantirne la sicurezza, prestare assistenza su richiesta dell'Organizzatore o adempiere a obblighi di legge.

Misure di sicurezza (art. 32 GDPR)

Tenuto conto della natura del servizio, Tadà adotta oggi le seguenti misure:

• separazione dei dati tra organizzazioni tramite regole di accesso a livello di database (Row Level Security) su tutte le tabelle che contengono Dati dell'Organizzatore;
• connessioni cifrate (HTTPS), fornite dall'infrastruttura di hosting e database;
• password di accesso gestite dal servizio di autenticazione del fornitore: Tadà non le conserva e non le riceve in chiaro nei propri dati;
• controlli di autorizzazione e isolamento per organizzazione; alcune funzioni del database operano con privilegi elevati per finalità tecniche specifiche e applicano controlli espliciti sui soggetti e sulle operazioni autorizzate;
• le pagine evento pubbliche mostrano solo i campi destinati alla pubblicazione; dati degli ospiti, esigenze alimentari e messaggi sono visibili solo all'Organizzatore;
• immagini delle pagine evento fornite tramite link temporanei;
• limitazione degli invii automatici sui moduli pubblici. Nelle tabelle anti-abuso gestite direttamente da Tadà l'indirizzo IP non viene conservato in chiaro ma trasformato in un hash. I fornitori infrastrutturali, come hosting e autenticazione, possono tuttavia trattare l'indirizzo IP nei propri log tecnici secondo le rispettive condizioni e tempi di conservazione;
• prima dell'invio al fornitore AI, Tadà applica un filtro automatico volto a ridurre la presenza di indirizzi email e numeri di telefono nel testo del brief. Il filtro non garantisce l'individuazione di ogni possibile dato personale presente nel testo libero; l'Organizzatore deve quindi evitare di inserire dati personali non necessari;
• l'assistente AI non riceve i dati archiviati nelle sezioni ospiti, clienti e preventivi;
• eventuali copie di backup secondo il servizio del fornitore dell'infrastruttura database e il piano in uso.

Tadà non dichiara certificazioni proprie (ad esempio ISO/IEC 27001). Le misure possono evolvere nel tempo, senza ridurre il livello complessivo di protezione.

Assistenza per i diritti degli interessati

Tadà assiste l'Organizzatore, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (artt. 15–22 GDPR). Tadà mette a disposizione, a seconda della funzione, strumenti di modifica, archiviazione, annullamento e cancellazione dei dati. Quando una determinata categoria di dati non può essere eliminata direttamente dall'interfaccia, Tadà assiste l'Organizzatore nell'esecuzione delle istruzioni documentate di cancellazione o restituzione, nei limiti degli obblighi di conservazione applicabili. Su richiesta, Tadà fornisce un'esportazione dei Dati dell'Organizzatore.

Se un interessato si rivolge direttamente a Tadà per dati di cui l'Organizzatore è titolare, Tadà inoltra la richiesta all'Organizzatore senza ingiustificato ritardo e non vi risponde nel merito senza sue istruzioni.

L'Organizzatore autorizza in via generale Tadà a ricorrere ai sub-responsabili elencati nell'Allegato 1. Tadà impone a ciascun sub-responsabile, tramite contratto (in genere l'accordo sul trattamento dei dati standard del fornitore), obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo accordo, e resta responsabile nei confronti dell'Organizzatore del loro adempimento.

Modifiche ai sub-responsabili

Tadà informa l'Organizzatore di ogni aggiunta o sostituzione di sub-responsabili almeno 15 giorni prima che diventi efficace, tramite email all'indirizzo dell'account e aggiornamento di questa pagina. Entro quel termine l'Organizzatore può opporsi per motivi ragionevoli legati alla protezione dei dati, scrivendo a denise@tadaeventi.com. Se le parti non trovano una soluzione, l'Organizzatore può cessare l'uso del servizio e ottenere la cancellazione o la restituzione dei dati secondo la sezione 12.

Ricerca di fornitori con Google Maps

Tadà offre una ricerca di fornitori basata su Google Maps Platform («Mostra 5 suggerimenti» e «Aggiungi come fornitore»). Ogni richiesta a Google parte solo quando l'Organizzatore la avvia con un clic, e contiene soltanto:

• per i suggerimenti: il tipo di servizio cercato e il luogo dell'evento (indirizzo, città o nome della location, come indicati dall'Organizzatore nell'evento o ricavati dal brief);
• per «Aggiungi come fornitore»: l'identificativo Google del luogo scelto.

Tadà non invia a Google nomi, recapiti o note di clienti e ospiti, né il testo del brief. Se l'indirizzo dell'evento è un indirizzo privato (ad esempio l'abitazione del cliente) e l'Organizzatore non vuole che sia usato nella ricerca, può indicare nell'evento solo la città o non usare la funzione.

Per queste richieste Google opera come titolare autonomo del trattamento, secondo i termini di Google Maps Platform e i relativi termini sulla protezione dei dati tra titolari, e non come sub-responsabile di Tadà. Usando la ricerca di fornitori, l'Organizzatore accetta i Termini di servizio aggiuntivi di Google Maps/Google Earth e prende atto della Privacy Policy di Google.

I risultati vengono mostrati all'Organizzatore e non sono salvati in automatico. Con «Aggiungi come fornitore» Tadà precompila il modulo del fornitore (nome, telefono, categoria; indirizzo, sito e link alla scheda Google Maps nelle note): nulla viene salvato finché l'Organizzatore non lo controlla e conferma. Tadà conserva solo un registro tecnico di ogni richiesta a Google (organizzazione, evento, categoria del servizio, esito e numero di risultati), senza i risultati, per gestire i limiti di utilizzo.

Tadà informa l'Organizzatore senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che riguarda i Dati dell'Organizzatore, fornendo le informazioni disponibili previste dall'art. 33, par. 3, GDPR, e le integra man mano che ne dispone. Tadà adotta le misure ragionevoli per contenere la violazione e assiste l'Organizzatore nella notifica al Garante e nell'eventuale comunicazione agli interessati (artt. 33 e 34 GDPR).

Tenuto conto delle informazioni di cui dispone, Tadà assiste l'Organizzatore nelle eventuali valutazioni d'impatto sulla protezione dei dati e nelle consultazioni preventive con l'autorità di controllo (artt. 35 e 36 GDPR).

Durante l'uso del servizio l'Organizzatore può usare gli strumenti di modifica, archiviazione, annullamento e cancellazione disponibili nell'app, con l'assistenza di Tadà per i dati che non possono essere eliminati direttamente dall'interfaccia (sezione 9). Al termine del servizio, o in qualsiasi momento su richiesta scritta, Tadà, a scelta dell'Organizzatore, cancella i Dati dell'Organizzatore oppure li restituisce in un formato di uso comune e poi li cancella, entro 30 giorni dalla richiesta, salvo che il diritto dell'Unione o nazionale ne imponga la conservazione.

Eventuali copie presenti nei backup dei fornitori vengono eliminate secondo i rispettivi cicli di conservazione. Su richiesta, Tadà conferma per iscritto l'avvenuta cancellazione.

Tadà mette a disposizione dell'Organizzatore le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR, inclusi questo accordo, l'elenco dei sub-responsabili e la descrizione delle misure di sicurezza. Tadà consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dall'Organizzatore o da un revisore da questo incaricato e vincolato alla riservatezza, con preavviso scritto ragionevole, in modo da non compromettere la sicurezza e la riservatezza dei dati di altri clienti. Di norma la verifica avviene prima su base documentale.

Alcuni sub-responsabili possono trattare dati al di fuori dello Spazio Economico Europeo. Tadà consente questi trasferimenti solo sulla base dei meccanismi previsti dal Capo V del GDPR indicati negli accordi sul trattamento dei dati dei fornitori (ad esempio decisioni di adeguatezza della Commissione europea o Clausole Contrattuali Standard). Le informazioni disponibili per ciascun sub-responsabile sono indicate nell'Allegato 1.

Tadà può aggiornare questo accordo, ad esempio per modifiche al servizio o alla normativa. Ogni versione è identificata da una data; una nuova versione deve essere accettata nell'app prima di continuare a usare il servizio con dati di terzi. Le accettazioni delle versioni precedenti restano registrate.

Questo accordo è regolato dal GDPR e dalla legge italiana.

PostHog, lo strumento di analytics facoltativo usato da Tadà, non è un sub-responsabile per i Dati dell'Organizzatore: con l'architettura attuale riceve solo dati di utilizzo dell'area riservata relativi all'account dell'Organizzatore, e solo se questi vi acconsente, per i quali Tadà è titolare (vedi la Privacy Policy). Non riceve nomi, recapiti o contenuti relativi a clienti, ospiti o fornitori; gli indirizzi delle pagine visitate possono contenere identificativi tecnici interni (codici casuali) di eventi o altri elementi, che PostHog non riceve associati a nomi o recapiti.

Anche Google, per la ricerca di fornitori con Google Maps, non è un sub-responsabile: opera come titolare autonomo e riceve solo i dati indicati nella sezione 10.