Accordo sul trattamento dei dati
Accordo sul trattamento dei dati personali (art. 28 GDPR) tra l’Utente della piattaforma Flyp, cioè lo studio fotografico, in qualità di titolare e il gestore di Flyp in qualità di responsabile del trattamento. Costituisce parte integrante del regolamento. Lo concludi accettandolo alla registrazione o nella schermata di accettazione nel pannello; registriamo nel tuo account la versione e la data dell’accettazione.
§1. Parti e definizioni
• Titolare: l’Utente, cioè la persona o l’impresa che gestisce uno studio in Flyp e decide le finalità e i mezzi del trattamento dei dati dei propri clienti.
• Responsabile: Usługi Programistyczne Marcin Rzepecki, ul. Bakalarska 15B/6, 02-212 Warszawa, partita IVA (NIP) 5223218129, e-mail kontakt@flyp.pl, gestore della piattaforma Flyp.
• GDPR: regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio.
• Dati: dati personali che il Titolare inserisce in Flyp o raccoglie tramite Flyp (moduli di prenotazione, gallerie, contratti, pagamenti).
• Sub-responsabile: soggetto a cui il Responsabile affida a sua volta il trattamento dei Dati, indicato al §15.
§2. Oggetto e durata
Il Responsabile tratta i Dati per conto del Titolare nella misura necessaria a fornire il servizio Flyp: gestione e messa a disposizione dell’applicazione, conservazione di foto, documenti e dati dei clienti, invio di e-mail per conto dello studio, gestione dei pagamenti e delle integrazioni attivate dal Titolare ed esecuzione dei backup.
L’accordo vale per tutto il periodo di utilizzo di Flyp e, successivamente, fino alla cancellazione dei Dati secondo il §11.
§3. Natura e finalità del trattamento
Il trattamento è automatizzato e avviene nel sistema informatico di Flyp. Comprende raccolta (tramite i moduli dello studio), registrazione, conservazione, organizzazione, consultazione, messa a disposizione dei clienti (gallerie, link, messaggi), trasmissione ai Sub-responsabili e cancellazione.
L’unica finalità è fornire il servizio Flyp al Titolare. Il Responsabile non utilizza i Dati per scopi propri, compresi il marketing o l’addestramento di modelli.
§4. Tipi di dati e categorie di interessati
Tipi di Dati:
• dati identificativi e di contatto: nome e cognome, indirizzo e-mail, telefono, indirizzo, dati dell’impresa cliente;
• dati della prenotazione e della sessione: data, luogo, tipo di sessione, note, risposte ai questionari;
• immagine ritratta nelle foto, anche di minori;
• contenuto dei contratti e delle firme elettroniche con i dati tecnici della firma (indirizzo IP, browser, ora);
• consensi e relativa cronologia (marketing, pubblicazione dell’immagine);
• dati di pagamenti e ordini: importi, stato, indirizzo di consegna, senza numeri di carta;
• dati tecnici dei visitatori delle gallerie e delle pagine dello studio: indirizzo IP e, con il consenso, identificatori analitici.
Categorie di interessati: clienti del Titolare e referenti dei clienti che sono imprese, partecipanti alle sessioni (compresi i minori), visitatori delle gallerie e delle pagine di prenotazione, destinatari dei voucher, firmatari dei contratti e membri del team dello studio.
Flyp non è destinato al trattamento di categorie particolari di dati (art. 9 GDPR). Se il Titolare li inserisce (ad es. nelle note), lo fa sotto la propria responsabilità e solo se dispone di una base giuridica.
§5. Istruzioni del Titolare
Il Responsabile tratta i Dati soltanto su istruzione documentata del Titolare, anche per quanto riguarda il trasferimento verso un paese terzo. Sono istruzioni: il presente accordo, il regolamento, le impostazioni e le azioni del Titolare nel pannello e le istruzioni inviate via e-mail dall’indirizzo del proprietario dello studio.
Se il trattamento è richiesto dal diritto dell’Unione o polacco, il Responsabile ne informa il Titolare prima del trattamento, salvo che la legge lo vieti. Il Responsabile informa immediatamente il Titolare qualora, a suo parere, un’istruzione violi il GDPR o altre norme sulla protezione dei dati.
§6. Riservatezza e sicurezza
Il Responsabile consente l’accesso ai Dati solo a persone autorizzate e vincolate alla riservatezza, e solo nella misura necessaria a fornire il servizio o l’assistenza richiesta dal Titolare.
Il Responsabile adotta le misure di cui all’art. 32 GDPR, in particolare:
• connessioni cifrate (TLS) e cifratura dei file di foto e documenti da parte dell’applicazione prima della scrittura nell’archivio;
• controllo degli accessi con ruoli e permessi nello studio e autenticazione a due fattori disponibile per gli account;
• registro degli accessi alle gallerie e registro delle azioni dell’amministratore della piattaforma;
• backup giornalieri del database;
• monitoraggio degli errori con oscuramento dei contenuti e aggiornamenti di sicurezza continui.
§7. Sub-responsabili
Il Titolare concede un’autorizzazione generale al ricorso a Sub-responsabili da parte del Responsabile. L’elenco aggiornato è al §15.
Il Responsabile informa il proprietario dello studio via e-mail e con un avviso nel pannello almeno 14 giorni prima di aggiungere o sostituire un Sub-responsabile. In tale termine il Titolare può opporsi scrivendo a kontakt@flyp.pl. Se l’opposizione non può essere accolta, il Titolare può recedere dal contratto Flyp con effetto prima della modifica, senza costi aggiuntivi e con rimborso proporzionale del canone per il periodo non utilizzato.
Il Responsabile impone ai Sub-responsabili gli stessi obblighi di protezione dei dati del presente accordo (art. 28, par. 4 GDPR) e risponde nei confronti del Titolare del loro adempimento.
I servizi per i quali lo studio ha un proprio account presso il fornitore (operatori di pagamento, InPost ShipX, MailerLite, Mailchimp, iFirma, Fakturownia) funzionano in base al contratto tra lo studio e tale fornitore; Flyp trasmette loro i Dati su istruzione del Titolare. Lo studio configura da sé i pixel pubblicitari e ne risponde insieme al loro fornitore.
§8. Trasferimenti al di fuori del SEE
I Dati sono trattati nello Spazio economico europeo, salvo diversa indicazione al §15. Il trasferimento al di fuori del SEE avviene solo sulla base del capo V GDPR: decisione di adeguatezza della Commissione europea (compreso l’EU-US Data Privacy Framework) o clausole contrattuali standard. Il §15 indica la base per ciascun Sub-responsabile.
§9. Assistenza nell’esercizio dei diritti degli interessati
Il Responsabile assiste il Titolare nel dare seguito alle richieste degli interessati (capo III GDPR), anzitutto tramite gli strumenti del pannello: consultazione e modifica dei dati del cliente, esportazione dei dati del cliente, anonimizzazione e cancellazione. Una richiesta rivolta direttamente al Responsabile viene inoltrata al Titolare senza ingiustificato ritardo e non riceve risposta nel merito senza istruzione del Titolare.
§10. Violazioni dei dati e assistenza al Titolare
Il Responsabile notifica al Titolare una violazione dei Dati senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza, all’indirizzo e-mail del proprietario dello studio. La notifica contiene le informazioni di cui all’art. 33, par. 3 GDPR disponibili in quel momento; le ulteriori informazioni vengono fornite non appena accertate.
Tenendo conto della natura del trattamento e delle informazioni disponibili, il Responsabile assiste il Titolare nell’adempimento degli obblighi di cui agli articoli da 32 a 36 GDPR: sicurezza del trattamento, notifica delle violazioni all’autorità di controllo e agli interessati, valutazione d’impatto e consultazione preventiva.
§11. Fine del trattamento: restituzione e cancellazione dei dati
Al termine dell’utilizzo di Flyp (chiusura dello studio) il Titolare ha 30 giorni per annullare la chiusura e scaricare i dati dei clienti e i file. Trascorso tale termine il Responsabile cancella i Dati, le foto e i documenti dello studio, salvo che la legge ne imponga la conservazione (ad es. documenti contabili per il periodo previsto dalla normativa fiscale).
I backup del database sono conservati sul server per 7 giorni e le loro copie su un dispositivo del Responsabile in Polonia per 90 giorni; i Dati cancellati scompaiono dai backup quando questi vengono sovrascritti.
Durante l’accordo si applicano i seguenti periodi di conservazione dei dati tecnici: contenuto delle e-mail inviate 90 giorni, registro degli invii 365 giorni, registro degli accessi alle gallerie 180 giorni, singoli eventi delle statistiche delle gallerie 90 giorni, notifiche nel pannello 180 giorni.
§12. Informazioni e audit
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR e consente le attività di revisione, comprese le ispezioni, svolte dal Titolare o da un revisore da esso incaricato e vincolato alla riservatezza.
L’audit si svolge una volta all’anno, con preavviso di 30 giorni, in primo luogo da remoto (domande, documentazione, chiarimenti), a spese del Titolare. Un audit aggiuntivo è possibile dopo una violazione dei Dati o su richiesta dell’autorità di controllo. L’audit non può pregiudicare la riservatezza dei dati di altri studi né la sicurezza della piattaforma.
§13. Obblighi e diritti del Titolare
Il Titolare è responsabile della base giuridica del trattamento dei Dati, della fornitura agli interessati delle informazioni di cui agli artt. 13 e 14 GDPR (Flyp mette a disposizione un modello di informativa sulla privacy dello studio, che non costituisce consulenza legale) e del contenuto dei dati inseriti. Il Titolare può in qualsiasi momento impartire istruzioni tramite il pannello o via e-mail, chiedere informazioni sul trattamento ed esercitare il diritto di audit.
§14. Responsabilità, modifiche e disposizioni finali
Le parti rispondono dei danni ai sensi dell’art. 82 GDPR.
Il Responsabile può modificare l’accordo o l’elenco dei Sub-responsabili per giustificati motivi (modifica normativa, nuova funzione, cambio di fornitore). Ne dà comunicazione via e-mail e nel pannello almeno 14 giorni prima dell’entrata in vigore. Da quel giorno il pannello chiede l’accettazione della nuova versione; fino ad allora il Titolare può opporsi o recedere dall’accordo secondo il §7. Il Responsabile registra nell’account la versione e la data dell’accettazione.
Per quanto non previsto si applicano il diritto polacco e il GDPR. Fa fede la versione polacca dell’accordo.
§15. Elenco dei sub-responsabili