1. Parti e ruoli
Il Cliente è il titolare del trattamento per i dati personali di cui determina finalità e mezzi essenziali nell'uso di QRisto. MARCO VINCI opera quale responsabile del trattamento nella misura in cui tratta tali dati per conto del Cliente.
2. Oggetto, durata, natura e finalità
Il trattamento ha ad oggetto i dati necessari a erogare la piattaforma QRisto, incluse memorizzazione, consultazione, organizzazione, trasmissione tecnica, backup, assistenza, manutenzione e cancellazione secondo le istruzioni documentate del Cliente e le esigenze di sicurezza.
La durata coincide con il rapporto di servizio, oltre ai periodi tecnici necessari per cancellazione, backup e obblighi applicabili.
3. Tipologie di dati e interessati
A seconda della configurazione scelta dal Cliente, possono essere trattati:
- dati identificativi e di contatto eventualmente inseriti dagli utenti finali;
- dati relativi a ordini, richieste, tavolo, preferenze e note inserite nel servizio;
- dati tecnici e log collegati all'utilizzo della piattaforma;
- dati del personale del Cliente con account o ruoli nel sistema;
- contenuti caricati dal Cliente.
Gli interessati possono includere clienti del locale, utenti finali, dipendenti e collaboratori del Cliente. Il Cliente si impegna a non utilizzare QRisto per categorie particolari di dati personali o dati altamente sensibili se non previo accordo scritto e adeguate misure specifiche.
4. Istruzioni del Cliente
QRisto tratta i dati soltanto su istruzione documentata del Cliente, incluse le istruzioni derivanti dal contratto e dall'uso delle funzioni della piattaforma, salvo obblighi derivanti dal diritto dell'Unione o nazionale applicabile. Se QRisto ritiene che un'istruzione violi la normativa in materia di protezione dei dati, ne informa il Cliente nei limiti consentiti dalla legge.
5. Riservatezza e personale autorizzato
QRisto assicura che le persone autorizzate a trattare i dati siano vincolate alla riservatezza o soggette a un adeguato obbligo legale di riservatezza e accedano ai dati solo nella misura necessaria alle rispettive mansioni.
6. Misure di sicurezza
QRisto adotta misure tecniche e organizzative adeguate al rischio, che possono comprendere, in funzione dell'infrastruttura effettiva: controllo degli accessi, autenticazione amministrativa, protezioni CSRF, gestione sicura delle sessioni, hashing delle password, cifratura delle credenziali tecniche sensibili, segregazione delle aree protette, logging, backup, aggiornamenti software, limitazione degli upload e misure contro accessi non autorizzati.
Il Cliente è responsabile della sicurezza dei dispositivi, delle proprie credenziali e della corretta attribuzione degli account interni.
7. Sub-responsabili
Il Cliente autorizza in via generale l'impiego dei sub-responsabili necessari all'erogazione del servizio, elencati nella pagina Sub-responsabili. QRisto impone ai sub-responsabili obblighi di protezione dei dati coerenti con quelli applicabili al responsabile del trattamento.
In caso di aggiunta o sostituzione significativa di un sub-responsabile che tratta dati per conto del Cliente, QRisto può informare il Cliente con modalità idonee, consentendogli di sollevare obiezioni motivate nei casi previsti dalla normativa e dal contratto.
8. Assistenza sui diritti degli interessati
Tenuto conto della natura del trattamento, QRisto assiste il Cliente, per quanto possibile e con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati. Se QRisto riceve direttamente una richiesta riferita ai dati trattati per conto del Cliente, la inoltra al Cliente salvo divieto di legge.
9. Assistenza per sicurezza, DPIA e autorità
QRisto assiste ragionevolmente il Cliente, tenendo conto delle informazioni disponibili e della natura del trattamento, nell'adempimento degli obblighi relativi a sicurezza, violazioni di dati personali, valutazioni d'impatto e consultazione preventiva, quando applicabili.
10. Violazioni di dati personali
Quando viene a conoscenza di una violazione di dati personali relativa ai dati trattati per conto del Cliente, QRisto informa il Cliente senza ingiustificato ritardo e fornisce le informazioni disponibili utili a valutare l'evento e adempiere agli obblighi normativi. L'informazione può essere fornita in fasi successive qualora tutti i dettagli non siano immediatamente disponibili.
11. Trasferimenti internazionali
QRisto non trasferisce i dati per conto del Cliente verso Paesi terzi se non nel rispetto delle condizioni applicabili in materia di trasferimenti internazionali. Quando un sub-responsabile opera fuori dallo SEE, devono essere utilizzati gli strumenti di trasferimento applicabili al caso concreto.
12. Restituzione e cancellazione
Alla cessazione del servizio, su scelta del Cliente e nei limiti tecnicamente ragionevoli, QRisto cancella o restituisce i dati personali trattati per conto del Cliente, salvo che la normativa imponga o legittimi una conservazione ulteriore. Le copie presenti nei backup vengono eliminate secondo i normali cicli di sovrascrittura, restando protette e non utilizzate per finalità ulteriori.
13. Informazioni e verifiche
QRisto mette a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi applicabili al responsabile del trattamento. Eventuali audit devono essere concordati con congruo preavviso, svolti senza compromettere sicurezza, riservatezza o attività di altri clienti e, salvo violazioni imputabili a QRisto, possono essere soggetti a rimborso dei costi ragionevoli sostenuti.
14. Prevalenza
In caso di contrasto tra questo DPA e le Condizioni generali in materia di trattamento di dati personali per conto del Cliente, prevale il presente DPA per gli aspetti disciplinati dall'art. 28 GDPR.