Accordo sul trattamento dei dati

Il presente accordo sul trattamento dei dati ("Accordo") stabilisce come TicketPa tratta i dati personali per le aziende che lo usano, come richiesto dall'articolo 28 del Regolamento generale sulla protezione dei dati (RGPD). Fa parte dei nostri termini di servizio e lo accetti quando accetti i termini.

Parti del presente Accordo

• Tu, l'azienda che usa TicketPa, in qualità di titolare del trattamento.
• TicketPa, in qualità di responsabile del trattamento. Gestore di TicketPa: il titolare (certificato di attività individuale n. 777726), Vilnius, Lituania.

L'Accordo riguarda i dati personali dei tuoi ospiti e di altre persone che trattiamo per te mentre forniamo TicketPa ("dati degli ospiti"). L'allegato 1 descrive tali dati e cosa ne facciamo. I dati personali tuoi e dei membri del tuo team sono invece disciplinati dalla nostra informativa sulla privacy, perché per quei dati il titolare del trattamento siamo noi.

Se il presente Accordo e i termini sono in contrasto riguardo ai dati personali, prevale il presente Accordo.

Cosa facciamo con i dati degli ospiti

Trattiamo i dati degli ospiti solo per fornirti TicketPa e solo su tue istruzioni documentate. Le tue istruzioni sono i termini e il presente Accordo, e il modo in cui configuri e usi TicketPa: le tue impostazioni, ciò che tu e il tuo team fate nell'app e ciò che ci chiedi per iscritto.

Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, te lo comunichiamo. Se il diritto dell'UE o lituano ci impone di trattare i dati degli ospiti in modo diverso, te lo comunichiamo prima, salvo che tale diritto lo vieti.

Riservatezza

Chiunque possa accedere ai dati degli ospiti da parte nostra è tenuto alla riservatezza e può usarli solo come consentito dal presente Accordo.

Sicurezza

Proteggiamo i dati degli ospiti con le misure tecniche e organizzative indicate nell'allegato 2 e le manteniamo adeguate ai rischi man mano che TicketPa cambia. Possiamo aggiornare le misure, purché non diventino meno protettive.

Sub-responsabili del trattamento

Ci autorizzi a ricorrere a sub-responsabili del trattamento, i fornitori di servizi elencati nell'allegato 3, per aiutarci a fornire TicketPa. Imponiamo per contratto a ciascuno di essi obblighi in materia di protezione dei dati almeno altrettanto rigorosi di quelli che il presente Accordo impone a noi, e restiamo responsabili nei tuoi confronti del loro operato.

Almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento, inviamo un'email ai proprietari della tua azienda e aggiorniamo l'allegato 3. Se hai motivi ragionevoli legati alla protezione dei dati per opporti, comunicacelo entro tale termine. Se non riusciamo a risolvere la tua opposizione, puoi chiudere il tuo account prima della modifica e ti rimborsiamo gli eventuali importi pagati in anticipo per il periodo successivo alla chiusura.

Il nostro aiuto

Ti aiutiamo, per quanto ragionevolmente possibile e tenendo conto di ciò che fa TicketPa:

• con le richieste dei tuoi ospiti di esercitare i loro diritti ai sensi del RGPD. Se un ospite ci scrive, inoltriamo la richiesta a te e non vi rispondiamo direttamente, a meno che tu non ce lo chieda. Molte richieste puoi gestirle in autonomia in TicketPa; per le altre, come la cancellazione dei dati di un ospite, scrivici e ce ne occupiamo noi per te.
• con gli altri tuoi obblighi ai sensi degli articoli da 32 a 36 del RGPD, come la sicurezza, le valutazioni d'impatto sulla protezione dei dati e la consultazione di un'autorità per la protezione dei dati.

Violazioni dei dati personali

Se veniamo a conoscenza di una violazione della sicurezza che riguarda i dati degli ospiti, te lo comunichiamo senza ingiustificato ritardo e al più tardi entro 48 ore. Ti comunichiamo ciò che sappiamo: cosa è successo, quali categorie di dati e approssimativamente quante persone sono coinvolte, le probabili conseguenze e cosa stiamo facendo al riguardo, e ti forniamo aggiornamenti man mano che ne sappiamo di più. Adottiamo misure ragionevoli per contenere la violazione e attenuarne gli effetti.

Quando smetti di usare TicketPa

Prima che il tuo account venga chiuso, puoi scaricare le tue prenotazioni, ad esempio il CSV delle prenotazioni nella sezione Reports (report). Entro 90 giorni dalla chiusura della tua azienda su TicketPa, eliminiamo i dati degli ospiti, a meno che il diritto dell'UE o lituano non ci imponga di conservarne una parte. Nei 30 giorni successivi scompaiono automaticamente anche dai nostri backup. Su richiesta, confermiamo la cancellazione per iscritto.

Informazioni e audit

Ti forniamo le informazioni necessarie per dimostrare che rispettiamo il presente Accordo. Tu, o un revisore indipendente da te scelto e tenuto alla riservatezza, potete verificare la nostra conformità una volta all'anno, o più spesso dopo una violazione o quando un'autorità per la protezione dei dati lo richiede. Dacci un preavviso di almeno 30 giorni. Gli audit si svolgono a tue spese, durante l'orario lavorativo e senza accesso ai dati di altre aziende.

Trasferimenti al di fuori dello Spazio economico europeo

Trasferiamo i dati degli ospiti al di fuori dello Spazio economico europeo solo con le garanzie richieste dal capo V del RGPD, come una decisione di adeguatezza della Commissione europea o le clausole contrattuali tipo. Hostinger conserva i dati degli ospiti nell'Unione europea, dove si trovano anche i nostri backup presso Cloudflare. Le richieste a TicketPa passano però attraverso la rete mondiale di Cloudflare, di solito dal data center più vicino alla persona che usa TicketPa, che può trovarsi al di fuori dello Spazio economico europeo. Cloudflare, un'azienda statunitense, è certificata nell'ambito del quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) e il suo contratto con noi include le clausole contrattuali tipo.

Le tue responsabilità

Sei responsabile:

• di avere una base giuridica per i dati degli ospiti che raccogli e per le email che scegli di inviare, come le richieste di recensione;
• di informare i tuoi ospiti su come usi i loro dati, nella tua informativa sulla privacy;
• di darci solo istruzioni lecite;
• di non chiedere agli ospiti categorie particolari di dati personali, come i dati relativi alla salute, a meno che non ti servano davvero e tu abbia una base giuridica;
• di decidere chi del tuo team può vedere i dati degli ospiti, tramite i loro ruoli.

Responsabilità e durata

La responsabilità di ciascuna parte ai sensi del presente Accordo segue i termini di servizio, nella misura consentita dalla normativa sulla protezione dei dati. Il presente Accordo si applica per tutto il tempo in cui trattiamo dati degli ospiti per te, anche dopo la chiusura del tuo account, fino alla cancellazione dei dati degli ospiti.

Allegato 1: Dettagli del trattamento

Allegato 2: Misure di sicurezza

• Cifratura in transito: ogni pagina e ogni richiesta vengono servite tramite HTTPS.
• Protezione dagli attacchi: tutto il traffico verso TicketPa passa attraverso Cloudflare, che blocca gli attacchi, come le ondate di richieste, prima che raggiungano i server. Anche la connessione tra Cloudflare e i server è cifrata.
• Account: le password sono conservate solo come hash sicuri, l'autenticazione a due fattori è disponibile per ogni account e i tentativi di accesso sono soggetti a limiti di frequenza.
• Cifratura a riposo dei segreti: i segreti dell'autenticazione a due fattori, i codici di recupero e i segreti delle sessioni di pagamento sono cifrati nel database.
• Separazione tra aziende: ogni record appartiene a una sola azienda, e TicketPa verifica a ogni richiesta che la persona che ha effettuato l'accesso sia membro di quell'azienda. Test automatizzati verificano che un'azienda non possa raggiungere i dati di un'altra azienda.
• Ruoli all'interno della tua azienda: proprietari, manager e guide vedono cose diverse. Le guide non vedono i report né le impostazioni dei pagamenti.
• Il nostro accesso: solo le persone che gestiscono TicketPa possono accedere ai server e al pannello di amministrazione. L'accesso ai server richiede una chiave SSH, perché le password sono disattivate, e un indirizzo che continua a fallire l'accesso viene bloccato automaticamente.
• Hosting: i server si trovano in un data center nell'Unione europea, protetti da un firewall che consente solo le connessioni di cui TicketPa ha bisogno. Gli aggiornamenti di sicurezza del sistema operativo si installano automaticamente.
• Backup: il backup del database viene eseguito ogni 6 ore su uno spazio di archiviazione privato e cifrato nell'Unione europea, separato dai server. Ogni backup viene eliminato automaticamente dopo 30 giorni. Il backup delle foto e dei loghi caricati viene eseguito ogni giorno nello stesso spazio e conservato per 7 giorni.
• Pagamenti: i dati delle carte sono gestiti solo da Stripe, che ha la certificazione PCI DSS. TicketPa conserva gli ID e gli importi dei pagamenti, mai i numeri delle carte.
• Minimizzazione dei dati: le foto e i loghi caricati vengono ricodificati, il che rimuove i dati nascosti come la posizione GPS; i record degli eventi Stripe e le attività in background non riuscite, che possono contenere dati degli ospiti, vengono eliminati dopo 30 giorni; gli inviti scaduti vengono eliminati.

Allegato 3: Sub-responsabili del trattamento

Servizi che colleghi in autonomia. Se attivi i pagamenti online, i dati di pagamento dei tuoi ospiti vanno al tuo account Stripe, in base al tuo contratto con Stripe. Per questo trattamento Stripe non è un nostro sub-responsabile.

Domande sul presente Accordo: hello@ticketpa.com.