Contratto di Trattamento dei Dati (DPA)

1Parti del Contratto

Il presente Contratto di Trattamento dei Dati («DPA») è stipulato tra le seguenti parti:

1.1 Titolare del trattamento (il «Cliente» o «Titolare»)

Lo studio o l'impresa che ha sottoscritto il contratto di abbonamento a NexiBook. Il Cliente determina le finalità e i mezzi del trattamento dei dati personali dei propri clienti finali, ai sensi dell'art. 4, par. 7, GDPR.

1.2 Responsabile esterno del trattamento (il «Responsabile» o «NexiBook»)

Ntelligence Insight S.R.L. (di seguito anche «NexiBook»)
CUI: 40963999 · Registro del Commercio: J35/1763/2019 · Romania
Indirizzo email: privacy@nexibookapp.com
Sito web: https://nexibookapp.com
Piattaforma: eu.nexibookapp.com

Il Responsabile tratta i dati personali dei clienti finali del Titolare esclusivamente per conto e su istruzione del Titolare, nell'ambito dell'erogazione del servizio SaaS NexiBook per la gestione di studi fitness, pilates, yoga, benessere e attività affini.

2Oggetto del Trattamento

Nell'ambito dell'erogazione dei propri servizi al Titolare, il Responsabile tratta i dati personali dei clienti finali dello studio per le seguenti macro-attività:

• Gestione del sistema di prenotazione online: registrazione degli appuntamenti e delle sessioni di allenamento, invio di conferme, promemoria e notifiche ai clienti del Titolare tramite email, SMS e/o WhatsApp Business.
• Hosting e memorizzazione dei dati dello studio: archiviazione sicura delle anagrafiche clienti, dello storico prenotazioni, dei profili abbonamento e delle relative impostazioni sulle infrastrutture cloud del Responsabile, interamente ubicate nell'Unione Europea.
• Fatturazione elettronica (FatturaPA / SDI): trasmissione di fatture elettroniche al Sistema di Interscambio dell'Agenzia delle Entrate italiana per conto del Titolare, mediante il sub-responsabile autorizzato OpenAPI S.r.l., in qualità di intermediario accreditato SDI. Questa attività comporta il trattamento di dati fiscali e di fatturazione degli acquirenti finali del Titolare.
• Elaborazione dei pagamenti: gestione dei flussi di pagamento per abbonamenti e prenotazioni tramite il sub-responsabile Stripe Inc., certificato PCI DSS Livello 1. Il Responsabile non conserva in proprio i numeri di carta completi (PAN) né i dati CVV.
• Comunicazioni di marketing (opt-in): invio di email e messaggi promozionali ai clienti del Titolare che abbiano espresso il consenso esplicito ex art. 7 GDPR, su istruzione e configurazione del Titolare stesso, tramite il sub-responsabile MailerLite.
• Sessioni video in diretta e contenuti registrati (funzionalità opzionali): se attivate dal Titolare, gestione di sessioni video online tramite Zoom e archiviazione/streaming di contenuti video tramite Mux Inc.
• Analytics operativi della piattaforma: raccolta di log tecnici anonimi o pseudonimizzati per il monitoraggio delle performance del servizio e la prevenzione di frodi o abusi.

3Durata del Trattamento

Il presente DPA ha efficacia per l'intera durata del Contratto Principale (abbonamento attivo al servizio NexiBook). Il trattamento cessa automaticamente al momento della disdetta o della scadenza del contratto.

3.1 Periodo post-cessazione — estrazione e cancellazione dati

Entro 30 giorni dalla cessazione del contratto, il Titolare ha diritto a richiedere l'esportazione completa dei propri dati in formato machine-readable (CSV/JSON) attraverso il pannello di amministrazione NexiBook o via richiesta scritta a privacy@nexibookapp.com.

Decorso il termine di 30 giorni senza richiesta di esportazione, il Responsabile procede alla cancellazione automatica e irreversibile di tutti i dati personali riconducibili allo studio del Titolare, fatto salvo quanto previsto al paragrafo 3.2.

3.2 Obblighi di conservazione fiscale

I dati di fatturazione elettronica (FatturaPA trasmesse al SDI) sono soggetti all'obbligo legale di conservazione digitale per 10 anni ai sensi dell'art. 22, co. 2, D.P.R. 600/1973 e delle disposizioni del Codice Civile (artt. 2220, 2214). Tale conservazione avviene in conformità alle specifiche tecniche del Garante e dell'Agenzia delle Entrate; i dati conservati per obbligo fiscale rimangono inaccessibili per finalità commerciali.

Il Responsabile fornirà al Titolare, su richiesta, documentazione attestante le modalità e la base giuridica della conservazione residua post-cessazione.

4Natura e Finalità del Trattamento (Art. 28(3)(a) GDPR)

Ai sensi dell'art. 28(3)(a) GDPR, il Responsabile tratta i dati personali esclusivamente:

• Su istruzione documentata del Titolare: le istruzioni sono costituite dal presente DPA, dal Contratto Principale, dai parametri di configurazione impostati dal Titolare nel pannello di amministrazione e da eventuali comunicazioni scritte successive (email a privacy@nexibookapp.com).
• Per le sole finalità contrattuali: erogazione del servizio SaaS NexiBook (prenotazione, fatturazione SDI, pagamenti, comunicazioni ai clienti finali, analytics operativi).
• Per obbligo di legge: ove il diritto dell'Unione Europea o italiano imponga obblighi specifici di trattamento o conservazione. In tal caso il Responsabile informa il Titolare prima di procedere, salvo che la legge lo vieti per motivi di pubblico interesse.

Il Responsabile non utilizzerà i dati personali trattati per conto del Titolare per finalità proprie (profilazione, marketing diretto verso i clienti finali del Titolare, cessione a terzi, addestramento di modelli di intelligenza artificiale), né trasferirà tali dati a soggetti non inclusi nell'elenco dei sub-responsabili di cui all'Allegato B senza previa autorizzazione scritta del Titolare.

5Tipi di Dati Personali e Categorie di Interessati (Art. 28(3)(b) GDPR)

5.1 Categorie di interessati

• Clienti finali dello studio (persone fisiche che prenotano o frequentano le attività): categorie principali.
• Dipendenti e collaboratori dello studio (istruttori, receptionist) per i quali il Titolare abbia creato un profilo utente nella piattaforma NexiBook.
• Il Legale Rappresentante del Titolare stesso, limitatamente ai dati di fatturazione e alle credenziali dell'account principale.

5.2 Tipi di dati trattati

6Obblighi del Responsabile (Art. 28(3)(c-h) GDPR)

6.1 Istruzioni documentate — Art. 28(3)(a)

Il Responsabile tratta i dati personali unicamente su istruzione documentata del Titolare. Se, a giudizio del Responsabile, un'istruzione specifica viola il GDPR o il D.Lgs. 196/2003 come modificato, il Responsabile ne informa immediatamente il Titolare per iscritto e può sospendere l'esecuzione di tale istruzione fino a chiarimento.

6.2 Riservatezza del personale — Art. 28(3)(b)

Il Responsabile si impegna a garantire che le persone autorizzate al trattamento dei dati personali abbiano assunto impegni di riservatezza o siano soggette a un obbligo legale di riservatezza. L'accesso ai dati del Titolare è consentito solo al personale che necessiti di tale accesso per l'esecuzione del servizio (need-to-know). Il Responsabile mantiene un registro aggiornato delle persone autorizzate.

6.3 Misure di sicurezza tecniche e organizzative (TOM) — Art. 28(3)(c) e Art. 32 GDPR

Il Responsabile applica le misure tecniche e organizzative descritte nell'Allegato A al presente DPA. In sintesi:

• Cifratura dei dati in transito tramite TLS 1.2 o superiore su tutti gli endpoint pubblici
• Cifratura dei dati a riposo (AES-256 o equivalente) per i database contenenti dati personali
• Autenticazione a più fattori (MFA) obbligatoria per tutti gli amministratori di sistema
• Backup giornaliero crittografato con conservazione minima di 7 giorni; test di ripristino trimestrale
• Infrastruttura di hosting interamente ubicata nell'Unione Europea (data center Hetzner, Germania / UE)
• Logging e monitoraggio degli accessi ai dati personali (accessi admin, query su dati sensibili)
• Vulnerability scanning trimestrale e patch management per le vulnerabilità critiche entro 72 ore
• Separazione logica (multi-tenancy isolata) dei dati tra studio e studio
• Procedura documentata di gestione degli incidenti di sicurezza
• Formazione annuale obbligatoria del personale in materia di protezione dei dati

6.4 Sub-responsabili — Art. 28(2)-(3)(d) e Art. 28(4)

Il Responsabile si avvale dei sub-responsabili elencati nell'Allegato B. La sottoscrizione del presente DPA costituisce autorizzazione generale del Titolare all'utilizzo di tali sub-responsabili.

In caso di sostituzione o aggiunta di un sub-responsabile, il Responsabile ne dà comunicazione scritta al Titolare (via email all'indirizzo indicato nel presente DPA) con almeno 30 giorni di preavviso, concedendo al Titolare la facoltà di sollevare obiezione motivata entro tale termine. Se il Titolare solleva obiezione e le Parti non trovano accordo, il Titolare ha diritto di recedere dal Contratto Principale senza penali.

Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli del presente DPA, ai sensi dell'art. 28(4) GDPR, e rimane pienamente responsabile nei confronti del Titolare per l'adempimento degli obblighi assunti.

6.5 Assistenza ai diritti degli interessati — Art. 28(3)(e) e Artt. 12-22 GDPR

Il Responsabile, tenuto conto della natura del trattamento, assiste il Titolare nell'adempimento degli obblighi di risposta alle richieste di esercizio dei diritti degli interessati (diritto di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Tale assistenza comprende:

• Trasmissione al Titolare, entro 5 giorni lavorativi, di qualsiasi richiesta pervenuta direttamente al Responsabile da un interessato riguardante dati trattati per conto del Titolare.
• Fornitura degli strumenti tecnici nel pannello di amministrazione NexiBook per l'esportazione, la rettifica e la cancellazione dei dati degli interessati.
• Supporto tecnico su richiesta per l'esecuzione di operazioni complesse di cancellazione o portabilità, soggetto ai limiti operativi del piano di abbonamento.

La competenza a rispondere agli interessati rimane in capo al Titolare, che è l'unico soggetto a conoscere la base giuridica e le finalità specifiche del trattamento.

6.6 Notifica violazione dati personali (Data Breach) — Art. 28(3)(f) e Artt. 33-34 GDPR

In caso di violazione della sicurezza che comporti la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato ai dati personali trattati per conto del Titolare, il Responsabile:

• Notifica al Titolare la violazione entro 72 ore dal rilevamento dell'incidente, mediante comunicazione scritta all'indirizzo PEC o email indicato nel presente DPA.
• Fornisce, ove disponibili, le seguenti informazioni: natura della violazione, categorie e numero approssimativo di interessati e registrazioni coinvolti, conseguenze probabili, misure adottate o proposte per porre rimedio, referente per la gestione dell'incidente.
• Collabora con il Titolare nella gestione dell'incidente e nella predisposizione delle eventuali comunicazioni al Garante (art. 33 GDPR) e agli interessati (art. 34 GDPR), la cui competenza rimane in capo al Titolare.
• Conserva la documentazione relativa a tutti gli incidenti di sicurezza per un periodo minimo di 3 anni.

La notifica entro 72 ore non costituisce ammissione di responsabilità da parte del Responsabile.

6.7 Assistenza alla DPIA — Art. 28(3)(f) e Art. 35 GDPR

Ove il Titolare sia tenuto a effettuare una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) in relazione al trattamento effettuato tramite NexiBook, il Responsabile fornisce tutta la documentazione tecnica necessaria (architettura del sistema, misure di sicurezza, flussi di dati, elenco sub-responsabili) entro 15 giorni lavorativi dalla richiesta scritta.

6.8 Restituzione e cancellazione dei dati — Art. 28(3)(g)

Alla cessazione del contratto, e su esplicita istruzione del Titolare, il Responsabile:

• Mette a disposizione del Titolare un'esportazione completa dei dati entro 30 giorni dalla cessazione, in formato CSV/JSON/Excel.
• Procede alla cancellazione definitiva di tutti i dati personali dai sistemi produttivi entro 30 giorni dalla cessazione, salvo obbligo legale di conservazione (cfr. art. 3.2).
• Fornisce al Titolare, su richiesta, un'attestazione scritta dell'avvenuta cancellazione.
• I backup crittografati contenenti i dati del Titolare vengono soprascrittti/cancellati nei cicli ordinari di rotazione backup, comunque entro 90 giorni dalla cessazione.

6.9 Registro delle attività di trattamento — Art. 30(2) GDPR

Il Responsabile mantiene un registro delle categorie di attività di trattamento svolte per conto del Titolare, ai sensi dell'art. 30(2) GDPR, e lo mette a disposizione del Titolare e dell'Autorità Garante su richiesta.

7Sub-responsabili del Trattamento

Il Responsabile si avvale dei sub-responsabili elencati nell'Allegato B al presente DPA. Tutti i sub-responsabili sono stati selezionati in base alla loro capacità di offrire garanzie sufficienti ai sensi dell'art. 28(1) GDPR e sono vincolati da accordi di trattamento dati equivalenti al presente DPA.

Si riportano di seguito i sub-responsabili principali, con indicazione del ruolo rilevante per il Titolare italiano:

8Trasferimenti di Dati verso Paesi Terzi (Artt. 44-49 GDPR)

Il Responsabile assicura che qualsiasi trasferimento di dati personali verso paesi terzi (extra-UE/SEE) avvenga nel rispetto del Capo V del GDPR. Le basi giuridiche applicabili sono le seguenti:

Tutti gli altri sub-responsabili (OpenAPI S.r.l., MailerLite UAB, Hetzner Online GmbH, Invopop Ltd.) hanno sede nell'Unione Europea o nel SEE. Il trattamento principale avviene su server europei (Hetzner, Germania).

Il Responsabile si impegna a notificare al Titolare qualsiasi modifica nelle basi giuridiche dei trasferimenti extra-UE e a fornire copia delle Clausole Contrattuali Standard applicabili su richiesta scritta del Titolare.

9Diritti di Ispezione e Audit (Art. 28(3)(h) GDPR)

Il Titolare ha diritto di verificare il rispetto degli obblighi del presente DPA da parte del Responsabile. A tal fine si applicano le seguenti modalità:

9.1 Audit documentale (preferenziale)

Il Titolare può richiedere, con preavviso di almeno 20 giorni lavorativi, la trasmissione di documentazione attestante la conformità del Responsabile (es. certificazioni ISO 27001, SOC 2, report di vulnerability scan, log di accesso anonimizzati, dichiarazioni dei sub-responsabili). Il Responsabile risponde entro 15 giorni lavorativi dalla richiesta. Questa modalità non comporta costi aggiuntivi per il Titolare, salvo richieste che richiedano elaborazione straordinaria superiore a 8 ore, che saranno quotate previamente.

9.2 Audit in loco / tramite terza parte

Il Titolare ha diritto a un (1) audit annuale condotto da una terza parte indipendente (auditor esterno certificato CISA o equivalente), previa:

• Comunicazione scritta con almeno 30 giorni di preavviso
• Sottoscrizione di NDA da parte dell'auditor esterno
• Concordato piano di audit per limitare l'impatto sulle operazioni del Responsabile

I costi dell'audit (compenso auditor, spese di trasferta, ecc.) sono a carico del Titolare richiedente, salvo il caso in cui l'audit accerti una non conformità grave del Responsabile agli obblighi del presente DPA, nel qual caso le spese sono a carico del Responsabile.

9.3 Audit regolatorio

In caso di ispezione da parte dell'Autorità Garante per la protezione dei dati personali o di altra autorità competente, il Responsabile coopera pienamente e ne dà comunicazione immediata al Titolare, nella misura in cui la legge lo consenta.

10Responsabilità e Limitazione di Responsabilità

10.1 Regime generale

Ciascuna Parte è responsabile del trattamento che effettua in conformità al proprio ruolo (Titolare / Responsabile) ai sensi degli artt. 82 e 83 GDPR e delle norme del D.Lgs. 196/2003. Ove un interessato subisca un danno materiale o immateriale, la ripartizione interna della responsabilità tra le Parti è disciplinata dall'art. 82(5) GDPR.

10.2 Limitazione contrattuale di responsabilità

Fermo restando il regime legale di cui all'art. 10.1, e salvo dolo o colpa grave, la responsabilità contrattuale del Responsabile nei confronti del Titolare ai sensi del presente DPA è limitata al maggiore tra:

• (a) il totale dei canoni di abbonamento pagati dal Titolare a NexiBook nei 12 mesi precedenti all'evento che ha causato il danno; oppure
• (b) € 10.000 (diecimila euro).

La limitazione non si applica in caso di: (i) violazione intenzionale degli obblighi del presente DPA; (ii) violazione degli obblighi di riservatezza; (iii) danni causati da condotta fraudolenta del Responsabile.

10.3 Manleva

Il Titolare manleva e tiene indenne il Responsabile da qualsiasi rivendicazione, sanzione o danno derivante da istruzioni del Titolare stesso che siano in violazione del GDPR o del D.Lgs. 196/2003, o da trattamenti effettuati autonomamente dal Titolare al di fuori del servizio NexiBook.

11Legge Applicabile e Foro Competente

Il presente DPA è disciplinato dal diritto italiano, in particolare da:

• Regolamento (UE) 2016/679 (GDPR), direttamente applicabile in tutta l'Unione Europea;
• D.Lgs. 30 giugno 2003, n. 196 (Codice della Privacy), come modificato dal D.Lgs. 10 agosto 2018, n. 101 di adeguamento al GDPR;
• Provvedimenti e linee guida del Garante per la protezione dei dati personali;
• Normativa applicabile in materia di fatturazione elettronica (D.Lgs. 127/2015 e successive modifiche).

Per le controversie relative al presente DPA tra Titolari aventi sede in Italia, il foro esclusivamente competente è il Tribunale di Milano.

Per Titolari aventi sede in altri Paesi dell'Unione Europea, le controversie sono regolate dalla legge italiana e deferite al Tribunale di Milano, salvo diverse disposizioni inderogabili della normativa del Paese di residenza del Titolare.

12Allegati al Contratto

I seguenti allegati formano parte integrante e sostanziale del presente DPA:

• Allegato A — Misure Tecniche e Organizzative di Sicurezza (TOM)
• Allegato B — Elenco completo dei Sub-responsabili del trattamento
• Allegato C — Modulo di adesione e firma del Titolare

✎Firme delle Parti

Le Parti dichiarano di aver letto e compreso il presente Contratto di Trattamento dei Dati e di accettarne integralmente il contenuto.