Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento: 12 novembre 2026

1. Parti, conclusione e prevalenza

Questo accordo è concluso fra il cliente di DuoSeek Casa che accetta i Termini di servizio (il «cliente», titolare del trattamento) e [DA COMPLETARE: denominazione da visura (oggi Mindbotit S.r.l., cambio in Northenad S.r.l. previsto)], con sede legale in [DA COMPLETARE: indirizzo della sede legale, Foligno (PG)], partita IVA [DA COMPLETARE: partita IVA], PEC [DA COMPLETARE: indirizzo PEC] (il «fornitore», responsabile del trattamento).

L'accordo è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR). Fa parte integrante dei Termini di servizio e si accetta con essi, in forma elettronica, al momento della registrazione. Per tutto ciò che riguarda la protezione dei dati personali, in caso di contrasto questo accordo prevale sui Termini.

2. Definizioni

I termini «dati personali», «trattamento», «titolare», «responsabile», «sub-responsabile», «interessato», «violazione dei dati personali» e «autorità di controllo» hanno il significato del GDPR. «Dati del cliente» indica i dati personali che il fornitore tratta per conto del cliente nell'ambito del servizio, descritti al punto 4. «Normativa privacy» indica il GDPR e il d.lgs. 196/2003 (Codice in materia di protezione dei dati personali), come modificati nel tempo.

3. Oggetto, durata, natura e finalità

• Oggetto: il trattamento dei dati del cliente necessario a fornire il servizio DuoSeek Casa descritto nei Termini.
• Durata: per tutta la durata del contratto e, dopo la sua cessazione, fino alla cancellazione dei dati secondo il punto 13.
• Natura: raccolta tramite il portale e le guide, registrazione, conservazione, organizzazione, consultazione, traduzione automatica, messa a disposizione degli ospiti, copia di sicurezza e cancellazione.
• Finalità: creare, tradurre e pubblicare le guide ospiti; gestire i pass ospite e l'accesso ai campi riservati; tradurre i messaggi della chat tradotta; produrre statistiche aggregate per il cliente; garantire la sicurezza e la continuità del servizio. Il fornitore non tratta i dati del cliente per finalità proprie.

4. Categorie di interessati e di dati

Categorie di interessati

• gli ospiti delle case del cliente;
• l'host, il personale e i collaboratori del cliente i cui nomi o contatti compaiono nelle guide;
• altre persone eventualmente citate dal cliente nelle guide.

Categorie di dati

• nome dell'ospite, lingua, date del soggiorno e PIN del pass ospite;
• testo dei messaggi della chat tradotta, trattati solo in transito per la traduzione e non conservati sui server del fornitore, salvo i registri tecnici;
• registri tecnici del server (indirizzo IP, user agent, data e ora), conservati al massimo 30 giorni;
• nomi, numeri di telefono, indirizzi email e altri contatti dell'host e del personale inseriti nelle guide;
• altri dati personali che il cliente sceglie di inserire nelle guide, comprese foto.

Il servizio non è progettato per trattare categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR). Il cliente si impegna a non inserirne.

Le statistiche delle guide sono conteggi aggregati per giorno, senza identificativi degli ospiti e senza indirizzi IP.

5. Obblighi del cliente

Il cliente, come titolare del trattamento:

• garantisce di avere una base giuridica valida per i trattamenti che affida al fornitore e di aver fornito agli interessati, in particolare agli ospiti, la propria informativa;
• inserisce solo i dati necessari, corretti e aggiornati, e nessuna categoria particolare di dati;
• inserisce codici d'accesso e informazioni sensibili solo nei campi riservati e gestisce i pass ospite e gli accessi dei propri utenti con diligenza;
• valuta che le misure dell'allegato B siano adeguate ai propri trattamenti;
• risponde alle richieste degli interessati, con l'assistenza del fornitore prevista al punto 12.

6. Istruzioni documentate

Il fornitore tratta i dati del cliente solo su istruzione documentata del cliente, anche in caso di trasferimenti verso Paesi terzi, salvo che lo richieda il diritto dell'Unione o dello Stato membro; in tal caso informa il cliente prima del trattamento, se la legge non lo vieta.

Le istruzioni del cliente sono costituite da questo accordo, dai Termini di servizio e dalle impostazioni e azioni che il cliente compie nel portale (per esempio pubblicare una guida, creare o revocare un pass, chiedere una traduzione, cancellare dati). Istruzioni ulteriori vanno date per iscritto a [DA COMPLETARE: email per la privacy] e, se comportano costi o attività non previste dal servizio, sono concordate fra le parti.

Se ritiene che un'istruzione violi la normativa privacy, il fornitore ne informa subito il cliente e può sospenderne l'esecuzione finché non viene confermata o modificata.

7. Riservatezza del personale

Il fornitore autorizza al trattamento dei dati del cliente solo le persone che ne hanno bisogno per fornire, mantenere e assistere il servizio. Queste persone ricevono istruzioni adeguate e sono vincolate alla riservatezza per contratto o per obbligo di legge, anche dopo la fine del rapporto.

8. Misure di sicurezza

Il fornitore adotta le misure tecniche e organizzative adeguate al rischio previste dall'art. 32 GDPR, descritte nell'allegato B. Può aggiornarle nel tempo, a condizione che il livello complessivo di protezione non diminuisca.

9. Sub-responsabili

Il cliente autorizza in via generale il fornitore a ricorrere a sub-responsabili. I sub-responsabili in uso sono elencati nell'allegato A.

Il fornitore informa il cliente via email, almeno 30 giorni prima, dell'aggiunta o della sostituzione di un sub-responsabile, aggiornando anche l'allegato A. Entro questo termine il cliente può opporsi per motivi ragionevoli legati alla protezione dei dati, scrivendo a [DA COMPLETARE: email per la privacy]. Le parti cercano in buona fede una soluzione; se non la trovano, il cliente può recedere dal contratto con effetto dalla data della modifica, con rimborso della parte di abbonamento già pagata e non goduta.

Il fornitore impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo accordo e resta responsabile verso il cliente del loro adempimento.

10. Trasferimenti fuori dall'Unione europea

I server e i backup del servizio si trovano nell'Unione europea. Alcuni sub-responsabili hanno sede negli Stati Uniti, come indicato nell'allegato A. Questi trasferimenti avvengono solo con le garanzie del capo V del GDPR, in particolare le clausole contrattuali standard approvate dalla Commissione europea o, se il sub-responsabile vi aderisce, il quadro UE-USA per la protezione dei dati.

11. Violazioni dei dati personali

Il fornitore notifica al cliente ogni violazione dei dati personali che riguardi i dati del cliente senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, all'indirizzo email del titolare dell'account.

La notifica descrive, nella misura in cui le informazioni sono disponibili: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze, le misure adottate o proposte e un contatto a cui chiedere informazioni. Le informazioni non disponibili subito sono fornite in fasi successive, senza ulteriore ritardo.

Il fornitore adotta subito le misure ragionevoli per contenere la violazione e attenuarne gli effetti, e collabora con il cliente perché possa adempiere agli obblighi di notifica all'autorità di controllo e di comunicazione agli interessati (artt. 33 e 34 GDPR). La notifica non costituisce ammissione di responsabilità.

12. Assistenza al cliente

Tenendo conto della natura del trattamento, il fornitore assiste il cliente:

• nelle richieste degli interessati (artt. 15-22 GDPR): il portale permette al cliente di consultare, correggere e cancellare i dati delle guide e dei pass. Se un interessato si rivolge direttamente al fornitore, il fornitore inoltra la richiesta al cliente senza ritardo e non risponde nel merito, salvo diversa istruzione del cliente;
• nella sicurezza e nelle violazioni, secondo i punti 8 e 11;
• nella valutazione d'impatto (DPIA) e nell'eventuale consultazione preventiva dell'autorità di controllo (artt. 35 e 36 GDPR), fornendo le informazioni sul servizio di cui dispone.

L'assistenza ordinaria è inclusa nel servizio. Le attività straordinarie e onerose possono essere oggetto di un compenso concordato in anticipo.

13. Cancellazione e restituzione a fine contratto

Alla cessazione del contratto, per qualunque causa, il fornitore conserva i dati del cliente per 90 giorni, per consentire al cliente di riattivare il servizio o di esportare i propri contenuti. Trascorsi i 90 giorni, cancella i dati del cliente. Le copie di sicurezza ruotano e i dati scompaiono anche dai backup entro ulteriori 30 giorni.

Il cliente può chiedere la cancellazione anticipata scrivendo a [DA COMPLETARE: email per la privacy]. Restano salvi i dati che il fornitore deve conservare per legge.

Durante il contratto, il nome dell'ospite associato a un pass è cancellato automaticamente 30 giorni dopo la fine del soggiorno; il pass resta come registrazione anonima.

14. Informazioni e verifiche

Il fornitore mette a disposizione del cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e dell'art. 28 GDPR.

Le verifiche si svolgono in via prioritaria in forma documentale: il cliente invia per iscritto le proprie domande e il fornitore risponde con descrizioni, documenti e dichiarazioni. Se questo non basta, o se lo richiede un'autorità di controllo, il cliente può svolgere un'ispezione, direttamente o tramite un revisore indipendente vincolato alla riservatezza, con un preavviso ragionevole di almeno 30 giorni, durante l'orario lavorativo, senza accesso ai dati di altri clienti e senza compromettere la sicurezza del servizio. Ciascuna parte sostiene i propri costi, salvo che la verifica accerti una violazione rilevante del fornitore.

15. Responsabilità

Ciascuna parte risponde verso gli interessati e le autorità secondo l'art. 82 GDPR. Nei rapporti fra le parti si applicano i limiti di responsabilità dei Termini di servizio, salvo dolo o colpa grave e salvo i casi in cui la legge non consente limitazioni.

16. Disposizioni finali

Questo accordo dura quanto il contratto e i suoi effetti proseguono finché il fornitore tratta dati del cliente. Le modifiche seguono le regole e il preavviso di 30 giorni previsti dai Termini di servizio, salvo quelle imposte dalla legge. Il contratto è regolato dalla legge italiana; per il foro competente valgono i Termini di servizio.

Per ogni comunicazione relativa a questo accordo: [DA COMPLETARE: email per la privacy]. Responsabile della protezione dei dati del fornitore: [DA COMPLETARE: DPO, se nominato].

Allegato A: sub-responsabili

Stripe non è un sub-responsabile: tratta i dati di pagamento del cliente come titolare autonomo, secondo la propria informativa. I dati degli ospiti non vengono comunicati a Stripe.

Allegato B: misure tecniche e organizzative

Trasmissione

• HTTPS su tutto il servizio: sito, portale, guide e domini personalizzati, con certificati rinnovati automaticamente.

Autenticazione e accessi

• Password degli utenti conservate solo come hash, mai in chiaro.
• Token di sessione del portale e token dei pass ospite conservati solo come hash.
• Cookie di sessione httpOnly e SameSite=Lax, protezione anti-CSRF, durata massima della sessione 30 giorni.
• Ruoli distinti per gli utenti del cliente (owner ed editor), gestiti dal cliente.

Separazione e minimizzazione

• Separazione logica dei dati fra account di clienti diversi.
• Campi riservati (codici d'accesso, Wi-Fi) esclusi dalla guida pubblica: sono resi visibili solo con un pass valido, dal giorno prima del check-in al giorno dopo il check-out, e il pass è revocabile.
• Cancellazione automatica del nome dell'ospite 30 giorni dopo la fine del soggiorno.
• Statistiche solo aggregate per giorno, senza cookie, identificativi degli ospiti o indirizzi IP.
• Messaggi della chat tradotta non conservati sui server del fornitore, salvo i registri tecnici.
• Registri tecnici del server conservati al massimo 30 giorni.

Continuità

• Backup giornalieri, conservati nell'Unione europea, con rotazione entro 30 giorni.

Misure organizzative

• Accesso amministrativo ai sistemi limitato alle persone autorizzate e registrato nel log di audit.
• Personale autorizzato vincolato alla riservatezza.
• Procedura di gestione delle violazioni con notifica al cliente entro 48 ore dalla scoperta.
• Selezione dei sub-responsabili e contratti con obblighi di protezione dei dati.