Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dei Termini di servizio di Salonnare e si applica automaticamente non appena crei un account e inserisci nel Servizio dati personali dei clienti finali del tuo salone. Non è richiesta alcuna firma separata - per un PDF firmato a sé stante, scrivi a privacy@vaniersel.dev.
Parti: (1) il cliente che ha sottoscritto un abbonamento Salonnare (il "Titolare del trattamento") e (2) VanIersel Development (operante con il nome commerciale Salonnare), con sede a Waalwijk, Paesi Bassi, info@salonnare.com (il "Responsabile del trattamento").
Il presente DPA dà attuazione all’articolo 28, paragrafo 3, del GDPR e agli obblighi tra titolare e responsabile del trattamento ivi stabiliti.
Il Responsabile del trattamento tratta i dati personali esclusivamente per conto e su istruzione documentata del Titolare del trattamento, nell’ambito del Servizio Salonnare.
Il presente DPA si applica per la durata del contratto di abbonamento sottostante e cessa automaticamente alla sua scadenza, fatto salvo quanto previsto dalla sezione 10 (fine del trattamento).
Natura: conservazione, visualizzazione, strutturazione, consultazione, trasmissione (e-mail/WhatsApp), cancellazione e backup di dati personali in un ambiente cloud SaaS multi-tenant.
Finalità: fornitura delle funzionalità di Salonnare (agenda, cassa, fatturazione, campagne, notifiche, reportistica, schede cliente) in conformità alle istruzioni che il Titolare del trattamento impartisce tramite l’interfaccia dell’applicazione o i canali di assistenza.
Il Responsabile del trattamento non tratta dati personali per finalità proprie o di terzi, salvo quanto necessario per fornire il Servizio, per ricerche di prodotto anonime/aggregate o per obblighi di legge.
Interessati: clienti finali del salone; dipendenti/stilisti del salone; fornitori e contatti registrati dal Titolare del trattamento.
Categorie di dati personali: dati di contatto (nome, e-mail, telefono), identificativi (numero cliente), storico degli appuntamenti, trattamenti, fatture, pagamenti, note, foto, preferenze, saldi di buoni regalo e di fedeltà, comunicazioni via e-mail/WhatsApp, recensioni.
Le categorie particolari (articolo 9 del GDPR) - come le note sanitarie (allergie, farmaci, condizioni della pelle, gravidanza) - sono conservate in un archivio cifrato dedicato, separato dalle normali note sui clienti. Il Responsabile del trattamento applica le seguenti garanzie aggiuntive:
• Cifratura a busta (envelope encryption) AES-256-GCM mediante una chiave dati per tenant, a sua volta cifrata a riposo con una chiave master della piattaforma.
• La chiave master è conservata esclusivamente in variabili d’ambiente, separata dai backup del database; la perdita della chiave rende tutti i dati dell’archivio permanentemente illeggibili.
• Controllo degli accessi basato sui ruoli tramite un apposito flag di autorizzazione (can_view_health_notes), verificabile per ogni appartenenza; gli amministratori non ottengono l’accesso automaticamente.
• Registro degli accessi immodificabile: ogni lettura, scrittura, download e cancellazione viene registrata con autore, indirizzo IP e data e ora, e conservata per 24 mesi.
• Conservazione predefinita di 12 mesi + un periodo di tolleranza di 30 giorni, configurabile per singola nota dal Titolare del trattamento.
• L’impersonificazione da parte della piattaforma è tecnicamente bloccata sulle route dei dati sanitari (difesa in profondità).
Il Titolare del trattamento resta responsabile di stabilire e documentare l’idonea base giuridica ai sensi dell’articolo 9, paragrafo 2, del GDPR (di norma il consenso esplicito o gli interessi vitali). Il Responsabile del trattamento mette a disposizione lo strumento tecnico per registrare, dimostrare e revocare tale consenso tramite un registro separato degli eventi di consenso. Per i dettagli tecnici si veda il runbook "art9-health-data-vault".
Il Responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del Titolare del trattamento, salvo che lo richieda la legge. In tal caso, il Responsabile del trattamento informa il Titolare del trattamento prima del trattamento, a meno che la legge vieti tale informazione.
Se il Responsabile del trattamento ritiene che un’istruzione violi il GDPR o altre disposizioni dell’Unione o degli Stati membri relative alla protezione dei dati, ne informa immediatamente il Titolare del trattamento.
Il Responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate per iscritto alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
L’accesso ai dati di produzione è limitato al fondatore di VanIersel Development e alle persone espressamente autorizzate, con 2FA.
Il Titolare del trattamento concede al Responsabile del trattamento un’autorizzazione scritta generale a ricorrere a sub-responsabili del trattamento. L’elenco aggiornato è disponibile su salonnare.com/sub-processors ed è incorporato mediante rinvio.
Il Responsabile del trattamento informa il Titolare del trattamento almeno 30 giorni prima di ricorrere a un nuovo sub-responsabile del trattamento o di sostituirne uno esistente. Entro tali 30 giorni il Titolare del trattamento può opporsi in modo motivato. Se l’opposizione non può essere ragionevolmente risolta, il Titolare del trattamento può recedere dal contratto di abbonamento senza preavviso, per la parte in cui è coinvolto il sub-responsabile del trattamento.
Il Responsabile del trattamento impone a ciascun sub-responsabile del trattamento obblighi uguali o più rigorosi di quelli previsti dal presente DPA, mediante un accordo scritto di (sub-)trattamento. Il Responsabile del trattamento resta pienamente responsabile del rispetto degli obblighi da parte dei propri sub-responsabili del trattamento.
Il Responsabile del trattamento mette in atto misure tecniche e organizzative adeguate, tra cui: TLS 1.3 in transito, AES-256 a riposo, HSTS preload, isolamento dei tenant a livello di riga nel database, accesso alla produzione secondo il principio del privilegio minimo con 2FA, registrazione delle modifiche nei log di audit, limitazione automatica delle richieste (rate limiting) e rilevamento delle anomalie, aggiornamenti periodici delle dipendenze e di sicurezza.
Il Responsabile del trattamento valuta periodicamente le misure di sicurezza e le adegua quando lo stato dell’arte o il profilo di rischio lo richiedono.
Il Responsabile del trattamento fornisce al Titolare del trattamento un’assistenza ragionevole nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) mediante misure tecniche e organizzative adeguate, tra cui esportazioni self-service nell’app (JSON/CSV) ed endpoint API.
Le richieste degli interessati ricevute direttamente dal Responsabile del trattamento vengono inoltrate al Titolare del trattamento senza essere evase, salvo che il Responsabile del trattamento sia tenuto per legge a gestirle direttamente.
Su richiesta, il Responsabile del trattamento assiste il Titolare del trattamento nelle valutazioni d’impatto sulla protezione dei dati (DPIA) e nella consultazione preventiva dell’autorità di controllo (articoli 35-36 del GDPR), dietro un ragionevole compenso per i costi effettivi in caso di incarichi estesi.
Il Responsabile del trattamento informa il Titolare del trattamento senza ingiustificato ritardo, e in ogni caso entro 48 ore dalla scoperta, di una violazione dei dati personali ai sensi dell’articolo 33 del GDPR.
La notifica contiene almeno: la natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, la persona di contatto, le probabili conseguenze e le misure adottate o proposte.
Il Titolare del trattamento resta responsabile della notifica all’Autorità olandese per la protezione dei dati e, ove applicabile, della comunicazione agli interessati (articoli 33-34 del GDPR). Il Responsabile del trattamento fornisce un’assistenza ragionevole.
Alla cessazione del contratto sottostante, il Titolare del trattamento dispone di 30 giorni per scaricare tutti i dati personali tramite la funzione di esportazione self-service (JSON/CSV) o l’API.
Decorso tale periodo, il Responsabile del trattamento cancella tutti i dati personali dai sistemi di produzione. I dati vengono rimossi dai backup nell’ambito della normale rotazione di 30 giorni. I dati che il Responsabile del trattamento è tenuto a conservare ai sensi del diritto dell’Unione o del diritto olandese (come i documenti di fatturazione ai sensi dell’articolo 52 AWR - conservazione fiscale di 7 anni) vengono conservati per tale periodo previsto dalla legge e poi distrutti.
Su ragionevole richiesta, il Responsabile del trattamento mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente DPA, comprese le politiche di sicurezza e il rapporto dell’ultimo penetration test (con NDA).
Il Titolare del trattamento può, al massimo una volta ogni 12 mesi e a proprie spese, far eseguire un audit da un revisore indipendente. Gli audit sono annunciati con almeno 30 giorni di anticipo, pianificati di comune accordo e non devono interrompere il servizio. Le risultanze sono riservate.
Il Responsabile del trattamento non trasferisce dati personali verso paesi terzi al di fuori dell’UE/SEE senza garanzie adeguate (clausole contrattuali tipo dell’UE, certificazione ai sensi dell’EU-US Data Privacy Framework o un altro meccanismo previsto dal capo V del GDPR).
Le garanzie attualmente in vigore per ciascun sub-responsabile del trattamento sono elencate su salonnare.com/sub-processors.
La responsabilità ai sensi del presente DPA è soggetta alla limitazione di responsabilità stabilita nei Termini di servizio (salonnare.com/terms - sezione 12).
Nessuna disposizione del presente DPA limita gli obblighi derivanti dall’articolo 82 del GDPR; le parti restano pienamente responsabili nei confronti degli interessati e delle autorità di controllo.
Il presente DPA è disciplinato dal diritto olandese. Le controversie sono sottoposte al tribunale competente di Breda, Paesi Bassi, salvo che norme imperative dispongano diversamente.
Gli utenti del Titolare del trattamento che partecipano al programma di test o di accesso anticipato (early access) di Salonnare possono segnalare un problema dall’interno dell’applicazione. Solo quando un tale utente invia personalmente una segnalazione, il Responsabile del trattamento riceve una registrazione degli ultimi 2 minuti sullo schermo (struttura della pagina e interazioni, nessun video o audio) e al massimo 100 righe della console del browser. Per gli altri utenti non viene registrato nulla.
Finalità - Il Responsabile del trattamento utilizza queste registrazioni esclusivamente per analizzare e risolvere il problema segnalato, e non per altre finalità.
Garanzie - I dati personali dei clienti finali (nomi, indirizzi e-mail, numeri di telefono) sono contrassegnati nell’applicazione e vengono mascherati sul dispositivo prima dell’invio, anche negli attributi che possono contenere un nome (come i testi per i lettori di schermo, i tooltip e i testi alternativi delle immagini). I link contenenti un numero di telefono o un indirizzo e-mail sono mascherati ovunque. Il contenuto di tutti i campi di inserimento è mascherato; l’archivio dei dati sanitari, le risposte ai moduli di anamnesi e le foto dei clienti non vengono acquisiti. Se l’applicazione non riceve dal server impostazioni di mascheramento valide, applica il mascheramento con l’impostazione più restrittiva. Le registrazioni sono conservate in forma cifrata (AES-256-GCM, con una chiave dedicata), sono accessibili solo a un numero limitato di amministratori della piattaforma del Responsabile del trattamento e vengono cancellate automaticamente dopo 30 giorni. Non è coinvolto alcun sub-responsabile del trattamento.
Rischio residuo - Il mascheramento si applica ai dati contrassegnati come dati dei clienti nell’applicazione. Una registrazione acquisisce ciò che è sullo schermo in quel momento e può quindi contenere dati personali dei clienti finali visualizzati come testo semplice in un punto non contrassegnato, ad esempio un nome che un utente ha digitato personalmente in una descrizione. Il Responsabile del trattamento tratta tali dati in conformità al presente DPA. Su richiesta del Titolare del trattamento tramite privacy@vaniersel.dev, il Responsabile del trattamento cancella anticipatamente una registrazione o disattiva la funzione di feedback per gli utenti del Titolare del trattamento.
Al momento dell’invio di una richiesta di importazione, un utente del Titolare del trattamento può chiedere al Responsabile del trattamento un suggerimento AI su quale colonna corrisponda a quale campo. Ciò avviene solo quando l’utente lo richiede; senza tale richiesta nulla viene inviato all’AI, e l’abbinamento in base al nome della colonna o manuale resta sempre disponibile. A tal fine il Responsabile del trattamento ricorre ad Anthropic, PBC (USA) come sub-responsabile del trattamento.
Quali dati - I nomi delle colonne e un profilo del tipo per ciascuna colonna (tipo di valore, formato della data, percentuale di celle vuote, lunghezza). Per i file dei clienti non viene inviato alcun valore del file: le tre righe di esempio sono interamente inventate. Per i file di prodotti e trattamenti vengono inviate tre righe di esempio in cui indirizzi e-mail, numeri di telefono, IBAN, codici postali e date remote sono stati sostituiti e il testo libero di oltre 40 caratteri è stato omesso; se una colonna contiene due o più indirizzi e-mail, numeri di telefono o IBAN, nulla viene inviato all’AI. Un file senza riga di intestazione e le colonne di pagamento non vengono mai inviati all’AI; un file con dati sanitari viene già rifiutato al caricamento. Le righe stesse sono trattate unicamente dal Responsabile del trattamento; l’AI restituisce solo un abbinamento.
Conservazione e utilizzo presso Anthropic - Anthropic non utilizza i dati per addestrare modelli e cancella input e output entro 30 giorni. Se i sistemi di sicurezza automatizzati di Anthropic segnalano una richiesta come contraria alla sua politica di utilizzo, Anthropic può conservare input e output fino a 2 anni. Il Responsabile del trattamento non registra il contenuto della richiesta né della risposta; conserva solo il suggerimento e il numero di token utilizzati.
Trasferimento - Anthropic conserva i dati negli USA; il trattamento stesso può avvenire anche in altri paesi al di fuori del SEE. Anthropic non è certificata ai sensi dell’EU-US Data Privacy Framework. Il trasferimento si basa sulle clausole contrattuali tipo dell’UE (modulo 3, da responsabile a responsabile) contenute nell’addendum sul trattamento dei dati di Anthropic (anthropic.com/legal/data-processing-addendum).
Opposizione - Il Titolare del trattamento può opporsi conformemente all’articolo 6. Su richiesta tramite privacy@vaniersel.dev, il Responsabile del trattamento disattiva l’assistenza AI per il Titolare del trattamento; l’importazione resta disponibile.
