Accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR

Versione del 2 ottobre 2026

tra

il rispettivo cliente del servizio BookinX, il cui nome o ragione sociale, indirizzo e dati di contatto sono indicati nell'ambito della registrazione o della gestione del contratto,

di seguito “Committente” o “Titolare del trattamento”,

Robert F. Craciun

Girardigasse 4/28

1060 Wien

Österreich

Telefono: +436641664446

E-mail: robert@x-orbit.app

Gestore del servizio BookinX nonché Xorbit

di seguito “Fornitore” o “Responsabile del trattamento”.

Congiuntamente di seguito “Parti”.

Il presente accordo sul trattamento dei dati, inclusi i suoi allegati, è di seguito denominato “DPA”.

⸻

1. Oggetto e ambito di applicazione

1.1. Il Fornitore mette a disposizione del Committente il servizio di prenotazione di appuntamenti BookinX. Con BookinX il Committente può in particolare configurare pagine di prenotazione, gestire appuntamenti e consentire ai propri clienti finali e potenziali clienti di prenotare appuntamenti.

1.2. Nella misura in cui il Fornitore, nell'ambito della fornitura di BookinX, tratta dati personali per conto del Committente, il Committente agisce in qualità di titolare del trattamento ai sensi dell'art. 4, punto 7, GDPR e il Fornitore in qualità di responsabile del trattamento ai sensi dell'art. 4, punto 8, GDPR.

1.3. Il presente DPA specifica i diritti e gli obblighi delle Parti in materia di protezione dei dati ed è parte integrante del contratto principale in essere tra le Parti relativo all'utilizzo di BookinX.

1.4. Il presente DPA si applica esclusivamente alle attività di trattamento nelle quali il Fornitore tratta dati personali per conto del Committente.

1.5. Nella misura in cui il Fornitore tratta dati personali per finalità proprie e sotto la propria responsabilità in materia di protezione dei dati, in particolare per la gestione del contratto, la fatturazione, la sicurezza informatica o l'adempimento di propri obblighi di legge, tali attività di trattamento non sono oggetto del presente DPA. Esse sono disciplinate dall'informativa sulla privacy di BookinX e dalle disposizioni di legge applicabili.

1.6.Sulle pagine di prenotazione il Fornitore gestisce, sotto la propria responsabilità, una statistica di utilizzo basata sul consenso su propri server in Austria. I contenuti delle prenotazioni non vi confluiscono.

⸻

2. Conclusione elettronica del contratto

2.1. Il presente DPA è concluso in forma elettronica quale parte integrante del rapporto contrattuale relativo all'utilizzo di BookinX.

2.2. Il Committente accetta il presente DPA nell'ambito della registrazione mediante un'espressa dichiarazione elettronica.

2.3. La versione del DPA vigente al momento della conclusione del contratto è contrassegnata da una data di versione o da un identificativo di versione ed è resa accessibile elettronicamente al Committente.

2.4. Il Fornitore documenta in modo adeguato la conclusione del DPA. A tal fine possono essere memorizzati in particolare l'account cliente, la versione del contratto utilizzata o l'identificativo di versione e il momento dell'accettazione.

2.5. In caso di contrasto tra il presente DPA e altri accordi tra le Parti, per quanto riguarda il trattamento di dati personali per conto prevalgono le disposizioni del presente DPA, salvo che il diritto imperativo disponga diversamente.

⸻

3. Oggetto, natura e finalità del trattamento

3.1. Oggetto del trattamento è la fornitura e la gestione tecnica del servizio di prenotazione di appuntamenti BookinX per il Committente.

3.2. Il trattamento comprende, nella misura necessaria per la prestazione concordata, in particolare:

a. raccolta e ricezione dei dati di prenotazione,

b. memorizzazione e gestione delle prenotazioni,

c. visualizzazione e trasmissione di informazioni su appuntamenti e partecipanti,

d. invio di e-mail tecnicamente necessarie in relazione alle prenotazioni,

e. gestione dei collaboratori e delle relative autorizzazioni,

f. gestione e visualizzazione delle disponibilità per gli appuntamenti,

g. in caso di integrazione del calendario attivata, l'accesso tecnicamente necessario alle informazioni del calendario,

h. in caso di funzione di videoconferenza attivata, la fornitura o l'intermediazione tecnica dei dati a tal fine necessari,

i. backup e ripristino dei dati,

j. registrazione relativa alla sicurezza,

k. esportazione, rettifica e cancellazione di dati personali.

3.3. I dettagli relativi all'oggetto e alla finalità del trattamento, ai tipi di dati e alle categorie di interessati risultano dall'Allegato 1.

⸻

4. Durata del trattamento

4.1. Il trattamento per conto avviene, in linea di principio, per la durata del contratto principale relativo all'utilizzo di BookinX.

4.2. Dopo la cessazione del contratto principale, il Fornitore tratta dati personali solo nella misura necessaria per la restituzione, l'esportazione o la cancellazione dei dati o in forza di obblighi di legge imperativi.

4.3. Prima della cancellazione definitiva, il Committente può richiedere un'esportazione dei dati da esso controllati in un formato comune leggibile da dispositivo automatico, in particolare CSV o JSON.

4.4. I dati personali trattati per conto vengono cancellati o, su istruzione del Committente, restituiti al più tardi sei mesi dopo la cessazione del contratto principale, salvo che il diritto dell'Unione o il diritto austriaco richieda un'ulteriore conservazione.

4.5. Nella misura in cui i dati personali, dopo la loro cancellazione dai sistemi di produzione, siano ancora presenti esclusivamente in copie di sicurezza e una cancellazione selettiva non sia tecnicamente possibile o comporti uno sforzo sproporzionato, essi possono rimanere memorizzati fino alla regolare scadenza del rispettivo periodo di conservazione dei backup. Durante tale periodo non possono essere trattati per altre finalità e devono essere protetti dall'ordinario accesso produttivo.

⸻

5. Vincolo alle istruzioni

5.1. Il Fornitore tratta dati personali esclusivamente su istruzione documentata del Committente, salvo che sia tenuto a un determinato trattamento dal diritto dell'Unione o dal diritto austriaco.

5.2. Si considerano istruzioni documentate in particolare:

a. il presente DPA e il contratto principale,

b. le impostazioni e le configurazioni effettuate dal Committente all'interno di BookinX,

c. l'attivazione di funzioni e integrazioni facoltative da parte del Committente o dei suoi utenti autorizzati,

d. le istruzioni del Committente in forma testuale.

5.3. Se il Fornitore è tenuto a un trattamento in forza del diritto dell'Unione o del diritto austriaco, informa il Committente di tale obbligo giuridico prima del trattamento, salvo che il diritto in questione vieti tale informazione per rilevanti motivi di interesse pubblico.

5.4. Se il Fornitore ritiene che un'istruzione del Committente violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati, ne informa immediatamente il Committente.

5.5. Il Fornitore può sospendere l'esecuzione di un'istruzione manifestamente illecita fino al chiarimento.

⸻

6. Obblighi del Committente

6.1. Il Committente è responsabile della liceità del trattamento dei dati personali e della tutela dei diritti degli interessati.

6.2. Il Committente garantisce in particolare che per i trattamenti effettuati tramite BookinX sussista una base giuridica sufficiente e che gli interessati ricevano le informazioni sulla protezione dei dati richieste dalla legge.

6.3. Il Committente impartisce esclusivamente istruzioni lecite.

6.4. Il Committente decide in particolare in merito alla finalità e ai mezzi essenziali del trattamento dei dati dei propri clienti finali, potenziali clienti e collaboratori nonché in merito all'attivazione di integrazioni facoltative.

6.5. Il Committente informa immediatamente il Fornitore qualora rilevi errori, irregolarità o possibili violazioni dei dati personali in relazione al trattamento per conto.

⸻

7. Riservatezza e segreto sui dati

7.1. Il Fornitore garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.

7.2. I dati personali possono essere trattati solo in conformità alle istruzioni documentate del Committente e solo nella misura necessaria per l'adempimento dei rispettivi compiti.

7.3. L'obbligo di riservatezza continua ad applicarsi anche dopo la cessazione della rispettiva attività.

7.4. Il Fornitore e i suoi collaboratori osservano, ove applicabile, il segreto sui dati (Datengeheimnis) ai sensi del § 6 della legge austriaca sulla protezione dei dati (DSG).

⸻

8. Misure tecniche e organizzative

8.1. Il Fornitore adotta, tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità, misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR.

8.2. Le misure tecniche e organizzative concordate sono descritte nell'Allegato 2.

8.3. Il Fornitore può sviluppare ulteriormente le misure tecniche e organizzative durante la durata del contratto e sostituirle con misure equivalenti o più efficaci, a condizione che il livello di sicurezza concordato non venga con ciò ridotto.

8.4. Le modifiche sostanziali rilevanti per la sicurezza sono documentate in modo adeguato.

⸻

9. Separazione dei clienti (tenant) e degli accessi

9.1. Il Fornitore impiega meccanismi tecnici e organizzativi per la separazione dei dati di diversi committenti.

9.2. Gli accessi ai dati personali sono limitati secondo il principio need-to-know e il principio del privilegio minimo (least privilege).

9.3. Ruoli e autorizzazioni sono controllati lato server.

9.4. Gli accessi alla banca dati tengono conto delle assegnazioni a tenant e risorse, al fine di impedire accessi non autorizzati tra tenant diversi.

⸻

10. Assistenza in relazione ai diritti degli interessati

10.1. Il Fornitore assiste il Committente, tenendo conto della natura del trattamento, con misure tecniche e organizzative adeguate nell'adempimento dei suoi obblighi nei confronti degli interessati.

10.2. Ciò riguarda in particolare i diritti di:

a. accesso,

b. rettifica,

c. cancellazione,

d. limitazione del trattamento,

e. portabilità dei dati,

f. opposizione, ove applicabile.

10.3. Se un interessato rivolge una richiesta direttamente al Fornitore e questa riguarda dati personali trattati per conto di un committente, il Fornitore inoltra immediatamente la richiesta al committente interessato, nella misura in cui sia possibile un'attribuzione.

10.4. Il Fornitore non risponde autonomamente nel merito a tale richiesta, salvo che sia stato istruito in tal senso dal Committente o vi sia tenuto per legge.

⸻

11. Ulteriori obblighi di assistenza

11.1. Il Fornitore assiste il Committente, tenendo conto della natura del trattamento e delle informazioni a sua disposizione, nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 GDPR.

11.2. L'assistenza comprende in particolare:

a. la sicurezza del trattamento,

b. l'indagine e la valutazione delle violazioni dei dati personali,

c. l'adempimento degli obblighi legali di notifica e di comunicazione,

d. le valutazioni d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR,

e. le consultazioni preventive dell'autorità di controllo competente ai sensi dell'art. 36 GDPR.

11.3. A tal fine il Fornitore mette a disposizione del Committente, in misura adeguata, le informazioni in suo possesso e necessarie per la rispettiva verifica.

⸻

12. Violazioni dei dati personali

12.1. Se il Fornitore viene a conoscenza di una violazione dei dati personali che riguarda dati trattati per conto del Committente, ne informa il Committente senza ingiustificato ritardo e in ogni caso al più tardi entro 48 ore dal momento in cui ne è venuto a conoscenza.

12.2. La notifica contiene, nella misura in cui le relative informazioni siano disponibili:

a. una descrizione della natura della violazione,

b. le categorie di dati personali e di interessati coinvolte,

c. ove possibile, il numero approssimativo di interessati e di registrazioni di dati coinvolti,

d. le conseguenze note o probabili della violazione,

e. le misure correttive già adottate o proposte,

f. i dati di contatto per ulteriori informazioni.

12.3. Se non tutte le informazioni sono disponibili contemporaneamente, esse vengono integrate progressivamente senza ulteriore ingiustificato ritardo.

12.4. La decisione se sia necessaria una notifica a un'autorità di controllo ai sensi dell'art. 33 GDPR o una comunicazione agli interessati ai sensi dell'art. 34 GDPR spetta al Committente in qualità di titolare del trattamento.

12.5. Il Fornitore documenta in modo adeguato le violazioni dei dati personali che lo riguardano e assiste il Committente nel necessario accertamento dei fatti.

⸻

13. Sub-responsabili del trattamento

13.1. Il Committente concede al Fornitore un'autorizzazione generale al ricorso ai sub-responsabili del trattamento elencati nell'Allegato 3.

13.2. Il Fornitore informa il Committente almeno 30 giorni prima del previsto ricorso a un nuovo sub-responsabile del trattamento o della sostituzione di uno esistente.

13.3. L'informazione può avvenire in particolare per e-mail o tramite l'account cliente BookinX.

13.4. Il Committente può opporsi a una modifica entro il termine di 30 giorni per motivi oggettivamente giustificati attinenti alla protezione dei dati.

13.5. Se le Parti non riescono a risolvere un'opposizione legittima e il sub-responsabile del trattamento in questione è necessario per l'erogazione della prestazione, il servizio interessato o il contratto principale può essere risolto conformemente alle disposizioni di recesso concordate.

13.6. Il Fornitore vincola contrattualmente i sub-responsabili del trattamento a obblighi in materia di protezione dei dati che, per quanto riguarda le attività di trattamento assunte, corrispondano ai requisiti dell'art. 28, par. 4, GDPR.

13.7. Il Fornitore resta responsabile nei confronti del Committente, nella misura prevista dalla legge, per l'adempimento degli obblighi in materia di protezione dei dati da parte dei suoi sub-responsabili del trattamento.

⸻

14. Trasferimenti verso paesi terzi

14.1. Il trattamento dei dati personali avviene, in linea di principio, all'interno dell'Unione europea o dello Spazio economico europeo, salvo diversa indicazione nell'Allegato 3.

14.2. Un trasferimento di dati personali verso un paese terzo o un'organizzazione internazionale avviene solo se sono soddisfatti i presupposti di cui agli artt. 44 e ss. GDPR.

14.3. Ove necessario, un trasferimento verso un paese terzo si fonda in particolare su una decisione di adeguatezza della Commissione europea o su garanzie adeguate ai sensi dell'art. 46 GDPR.

14.4. Nella misura in cui per un trasferimento verso un paese terzo siano necessarie clausole contrattuali tipo o misure di protezione supplementari, queste vengono predisposte prima dell'inizio del trasferimento in questione.

⸻

15. Prove e diritti di controllo

15.1. Il Fornitore mette a disposizione del Committente, su richiesta, tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR.

15.2. La prova può essere fornita in particolare mediante:

a. descrizioni delle misure tecniche e organizzative,

b. rapporti di sicurezza o di audit,

c. verifiche interne documentate,

d. altre prove idonee.

15.3. Il Committente ha il diritto di effettuare controlli, direttamente o tramite un revisore indipendente vincolato alla riservatezza, nella misura in cui ciò sia necessario per verificare il rispetto del presente DPA.

15.4. Le ispezioni in loco avvengono, in linea di principio, previo congruo preavviso durante il normale orario lavorativo.

15.5. Non è necessario un preavviso qualora un grave incidente di sicurezza o un fondato sospetto di una rilevante violazione della protezione dei dati renda oggettivamente necessario un controllo a breve termine.

15.6. I controlli devono essere eseguiti in modo che i segreti commerciali, gli interessi di sicurezza e i dati personali di altri committenti restino adeguatamente protetti.

15.7. Il Fornitore coopera con l'autorità di controllo per la protezione dei dati competente nella misura richiesta dalla legge.

⸻

16. Restituzione e cancellazione

16.1. Dopo la cessazione del trattamento per conto, il Fornitore, a scelta del Committente, cancella i dati personali trattati per conto oppure li restituisce al Committente, salvo che sussista un obbligo di legge a un'ulteriore conservazione.

16.2. Prima della cancellazione definitiva, il Committente può richiedere un'esportazione dei dati memorizzati per suo conto in CSV e/o JSON.

16.3. Se il Committente non impartisce istruzioni diverse, il Fornitore ha il diritto di cancellare i dati conformemente al punto 4.

16.4. I dati che devono continuare a essere conservati in forza di obblighi legali di conservazione vengono bloccati per altre finalità o il loro trattamento viene limitato alla misura richiesta dalla legge.

⸻

17. Responsabilità

17.1. Per la responsabilità delle Parti per violazioni del GDPR si applicano le disposizioni di legge, in particolare l'art. 82 GDPR.

17.2. Restano salve le disposizioni imperative di legge in materia di responsabilità.

17.3. Le limitazioni di responsabilità del contratto principale non trovano applicazione nella misura in cui tale limitazione sia inammissibile ai sensi del GDPR o di altro diritto imperativo.

⸻

18. Modifiche del presente DPA

18.1. Le modifiche del presente DPA vengono comunicate al Committente in forma testuale o tramite un altro canale di comunicazione elettronica durevole.

18.2. Le modifiche sostanziali dei diritti e degli obblighi delle Parti vengono annunciate con un congruo preavviso.

18.3. Le modifiche relative al ricorso a sub-responsabili del trattamento o alla loro sostituzione sono in ogni caso soggette al punto 13.

18.4. Le versioni del presente DPA applicabili al Committente sono contrassegnate da una data di versione o da un identificativo di versione e documentate in modo tracciabile.

⸻

19. Legge applicabile e foro competente

19.1. Il presente DPA è soggetto al diritto austriaco, salvo che il diritto imperativo dell'Unione o altro diritto imperativo disponga diversamente.

19.2. Nella misura in cui un accordo sul foro competente sia consentito dalla legge, per le controversie derivanti dal presente DPA o connesse con esso si conviene la competenza dei tribunali competenti per materia di Wien, Österreich.

19.3. I fori competenti inderogabili previsti dalla legge e i diritti degli interessati ai sensi del GDPR non ne risultano limitati.

⸻

20. Disposizioni finali

20.1. Gli Allegati da 1 a 3 sono parte integrante del presente DPA.

20.2. Il presente DPA termina, in linea di principio, con il contratto principale. Le disposizioni in materia di riservatezza, protezione dei dati, restituzione, cancellazione, prove e responsabilità continuano ad applicarsi, nella misura necessaria, oltre la cessazione del contratto.

20.3. Qualora singole disposizioni del presente DPA siano o divengano invalide o inapplicabili, le restanti disposizioni restano impregiudicate. Le disposizioni invalide o inapplicabili sono sostituite dalle disposizioni di legge applicabili.

⸻

Allegato 1 – Oggetto del trattamento, tipi di dati e interessati

1. Oggetto

Fornitura e gestione del servizio di prenotazione di appuntamenti BookinX.

Il Committente può configurare pagine di prenotazione e consentire ai propri clienti finali e potenziali clienti di prenotare appuntamenti. I collaboratori del Committente possono gestire le prenotazioni e, se attivate, utilizzare le funzioni di calendario e di videoconferenza.

2. Finalità del trattamento

Il trattamento avviene in particolare per:

la ricezione e gestione delle prenotazioni di appuntamenti,
il coordinamento e la visualizzazione delle disponibilità,
la comunicazione in relazione agli appuntamenti,
la gestione dei collaboratori coinvolti nel processo di prenotazione,
la sincronizzazione con i calendari collegati,
la preparazione degli appuntamenti (agenda, obiettivi del colloquio, documenti),
la prenotazione di sale da parte dei collaboratori del Committente,
la fornitura tecnica di videoconferenze, se attivata,
la registrazione, trascrizione e il riepilogo di videoconferenze, se avviati dalla persona organizzatrice,
la visualizzazione dei profili pubblici dei collaboratori, se resi pubblici,
l'importazione di elenchi di utenti da parte del Committente,
la tenuta di un registro delle modifiche per gli amministratori del Committente,
la garanzia di sicurezza, disponibilità e ripristinabilità del servizio.

3. Categorie di interessati

3.1. Clienti finali e potenziali clienti del Committente

Persone che prenotano un appuntamento tramite una pagina di prenotazione BookinX o che interagiscono con il Committente in relazione a una prenotazione di appuntamento.

3.2. Collaboratori del Committente

Collaboratori, collaboratori autonomi o altri utenti autorizzati dal Committente che tramite BookinX offrono, gestiscono appuntamenti o vi partecipano.

4. Categorie di dati personali

4.1. Clienti finali e potenziali clienti

A seconda della configurazione:

appellativo,
titolo,
nome,
cognome,
indirizzo e-mail,
azienda,
messaggio o informazioni di prenotazione inserite dal cliente finale,
orario dell'appuntamento,
fuso orario,
lingua,
momento del consenso, nella misura in cui tramite BookinX venga documentato un consenso,
dati tecnici di recapito in relazione alle e-mail,
informazioni sulla preparazione dell'appuntamento, in particolare integrazioni all'agenda e obiettivo proprio del colloquio,
accessi alla pagina di preparazione dell'appuntamento,
in caso di registrazione avviata di una videoconferenza: immagini e audio (per breve tempo), registrazione audio (fino alla trascrizione), trascrizione, riepilogo nonché nome visualizzato e momenti di intervento.

4.2. Collaboratori del Committente

A seconda dell'utilizzo e della configurazione:

nome,
indirizzo e-mail,
numero di telefono,
ruolo e autorizzazione,
foto del profilo, facoltativa,
breve presentazione, facoltativa,
video di presentazione, facoltativo,
funzione o posizione e reparto,
appellativo e lingua, anche da un elenco di utenti importato dal Committente,
dati del profilo pubblico, facoltativi: saluto, testo „Über mich“ [Chi sono], motto, descrizione dell'azienda, video dell'azienda, banner del profilo,
codice QR e biglietto da visita digitale (nome, azienda, numero di telefono, indirizzo e-mail), facoltativi,
periodi occupati del calendario in caso di calendario collegato (Microsoft 365, Google Calendar o Apple Calendar),
appuntamenti e assenze scritti o inseriti in caso di calendario collegato,
prenotazioni di sale (sala, titolo, inizio, fine, persona che effettua la prenotazione),
voci nel registro delle modifiche (chi ha modificato cosa e quando, senza i contenuti modificati),
in caso di registrazione avviata di una videoconferenza: immagini e audio (per breve tempo), registrazione audio (fino alla trascrizione), trascrizione, riepilogo nonché nome visualizzato e momenti di intervento,
token di accesso memorizzati in forma cifrata per i servizi collegati.

5. Categorie particolari di dati personali

BookinX, nell'ambito delle sue funzioni ordinarie, non è concepito per raccogliere categorie particolari di dati personali ai sensi dell'art. 9 GDPR. In caso di registrazioni di videoconferenze, le voci non vengono analizzate per l'identificazione delle persone; l'attribuzione degli interlocutori avviene unicamente tramite il nome visualizzato nella conferenza.

Nella misura in cui il Committente consenta la trasmissione di tali dati, in particolare tramite campi di testo libero o altre possibilità di inserimento, il Committente è responsabile della sussistenza di una relativa base giuridica nonché dell'adempimento dei requisiti aggiuntivi in materia di protezione dei dati.

Il Fornitore tratta tali dati esclusivamente in conformità alle istruzioni documentate del Committente e nell'ambito delle funzioni BookinX concordate.

6. Operazioni di trattamento

A seconda dell'utilizzo, in particolare:

raccolta,
registrazione,
organizzazione,
conservazione,
consultazione,
visualizzazione,
trasmissione,
sincronizzazione,
aggiornamento,
salvataggio (backup),
esportazione,
limitazione,
cancellazione.

7. Luogo primario del trattamento

Il trattamento primario avviene su server propri del Fornitore in Austria.

Ulteriori luoghi di trattamento risultano dall'Allegato 3.

⸻

Allegato 2 – Misure tecniche e organizzative

1. Cifratura del trasporto

Cifratura delle connessioni esterne mediante TLS.
Impedimento o reindirizzamento degli accessi non cifrati, nella misura tecnicamente possibile.
Comunicazione cifrata con i servizi esterni collegati.

2. Sicurezza delle password

Nessuna memorizzazione delle password in chiaro.
Hashing delle password mediante Argon2id.
Scelta e verifica periodica di parametri Argon2id adeguati.

3. Protezione dei token di accesso esterni

Memorizzazione cifrata dei token di accesso per i servizi collegati.
Cifratura mediante AES-256-GCM.
Separazione delle chiavi di cifratura dai dati utili cifrati.
Rotazione delle chiavi.
Limitazione dell'accesso alle chiavi ai componenti tecnicamente necessari e alle persone autorizzate.

4. Controllo degli accessi e autorizzazioni

Controllo degli accessi basato sui ruoli.
Verifica lato server delle autorizzazioni.
Separazione dei tenant a livello di banca dati.
Separazione delle risorse e verifica dell'assegnazione delle risorse a un tenant.
Applicazione del principio need-to-know e del principio del privilegio minimo (least privilege).

5. Gestione delle sessioni

Sessioni lato server.
Tempi di scadenza definiti.
Possibilità di invalidazione lato server delle sessioni.
Trattamento orientato alla sicurezza delle sessioni esistenti in caso di modifiche rilevanti.

6. Protezione da attacchi automatizzati e abusi

Rate limit per gli endpoint rilevanti per la sicurezza.
Limitazione delle richieste automatizzate, in particolare per le funzioni di autenticazione e di prenotazione accessibili pubblicamente.
Convalida lato server degli input rilevanti.

7. Registrazione (logging)

Registrazione delle operazioni rilevanti per la sicurezza e per l'amministrazione in un log di audit.
Registro delle modifiche per gli amministratori del Committente: momento, persona, azione e oggetto interessato, mai i contenuti modificati; visibile solo agli amministratori del proprio tenant.
Periodo di conservazione del log di audit: in linea di principio 12 mesi.
Limitazione dell'accesso alle informazioni di audit.
Nessun utilizzo dei log di audit per pubblicità o profilazione pubblicitaria.

8. Backup dei dati

Backup giornalieri cifrati.
Copia di sicurezza aggiuntiva al di fuori del server primario.
Conservazione dei backup giornalieri per 14 giorni.
Conservazione dei backup settimanali per 8 settimane.
Limitazione dell'accesso ai backup.
Test di ripristino periodici.

9. Disponibilità e ripristinabilità

Misure per il ripristino dei dati personali dopo incidenti tecnici o fisici.
Verifica della ripristinabilità dei backup.
Esecuzione e documentazione di test di ripristino.

10. Verifiche di sicurezza

Verifiche di sicurezza prima dei rilasci.
Verifica delle modifiche rilevanti per la sicurezza prima della messa in produzione.
Prioritizzazione basata sul rischio ed eliminazione delle carenze di sicurezza rilevate.
Verifica periodica dell'efficacia delle misure di sicurezza.

11. Minimizzazione dei dati

Limitazione del trattamento ai dati necessari per la rispettiva funzione o forniti dal Committente nell'ambito delle funzioni previste.
I dati di profilo facoltativi vengono trattati solo se le relative funzioni vengono utilizzate.
Le integrazioni del calendario vengono attivate solo previo collegamento espresso da parte di un utente autorizzato.

12. Tracciamento e pubblicità

Nessun tracker pubblicitario nell'ambito del trattamento per conto.
Nessun utilizzo dei dati di prenotazione o dei dati dei collaboratori trattati per conto per pubblicità personalizzata.

13. Verifica e sviluppo

Le misure tecniche e organizzative vengono verificate periodicamente nonché dopo modifiche sostanziali o incidenti di sicurezza e sviluppate ulteriormente in funzione del rischio e dello stato dell'arte.

⸻

Allegato 3 – Sub-responsabili del trattamento

Il Committente concede la propria autorizzazione generale per i sub-responsabili del trattamento di seguito elencati.

1. netcup GmbH

Fornitore: netcup GmbH

Sede: Germania

Prestazione: invio tecnico di e-mail

Dati trattati: indirizzi e-mail, informazioni su mittente e destinatario nonché dati di e-mail e di recapito tecnicamente necessari

Trattamento: Unione europea o Spazio economico europeo

Impiego: componente dell'invio di e-mail di BookinX

⸻

2. Microsoft Ireland Operations Limited

Fornitore: Microsoft Ireland Operations Limited

Sede: Irlanda

Prestazione: Microsoft Graph, Microsoft 365 e Microsoft Teams

Dati trattati: a seconda della funzione attivata, dati dei collaboratori, periodi occupati del calendario, appuntamenti nonché dati di identificazione, autenticazione e connessione tecnicamente necessari

Impiego: solo nella misura in cui un utente autorizzato collega o attiva una corrispondente integrazione Microsoft con BookinX.

Nella misura in cui nell'ambito dell'erogazione della prestazione avvenga un trasferimento di dati personali al di fuori del SEE, esso avviene esclusivamente nel rispetto dei presupposti di cui agli artt. 44 e ss. GDPR.

⸻

3. Google Ireland Limited

Fornitore: Google Ireland Limited

Sede: Irlanda

Prestazione: Google Calendar API

Dati trattati: a seconda della funzione attivata, periodi occupati del calendario, appuntamenti, indirizzo e-mail dell'account Google nonché dati di autenticazione e connessione tecnicamente necessari

Impiego: solo nella misura in cui un utente autorizzato collega il proprio Google Calendar con BookinX.

⸻

4. Apple Distribution International Ltd.

Fornitore: Apple Distribution International Ltd.

Sede: Irlanda

Prestazione: calendario iCloud (CalDAV)

Dati trattati: a seconda della funzione attivata, periodi occupati del calendario, appuntamenti, ID Apple nonché dati di connessione tecnicamente necessari

Impiego: solo nella misura in cui un utente autorizzato collega il proprio Apple Calendar con BookinX.

⸻

5. Infrastruttura di backup

Infrastruttura propria del Fornitore

Prestazione: copia di sicurezza esterna cifrata

Dati trattati: backup cifrato dei dati memorizzati da BookinX

Impiego: backup e ripristino dei dati

Qualora la seconda copia sia gestita esclusivamente su infrastruttura propria del Fornitore e non sia coinvolto alcun ulteriore responsabile del trattamento, la presente voce viene meno.

⸻

Infrastruttura propria del Fornitore (nessun sub-responsabile del trattamento)

Videoconferenza (Xorbit Meeting): istanza propria di Jitsi Meet all'indirizzo meet.x-orbit.app su server del Fornitore in Austria.
Registrazione e trascrizione (facoltative): registrazione tramite la propria istanza Jitsi (Jibri), riconoscimento vocale con Whisper e riepilogo con il modello linguistico Qwen 2.5 tramite Ollama, il tutto su server del Fornitore; nessuna trasmissione a terzi e nessun addestramento di modelli con dati dei clienti. File video cancellato subito dopo la registrazione, registrazione audio cancellata dopo la trascrizione; trascrizione e riepilogo cifrati, cancellazione 30 giorni dopo il termine della registrazione o dell'appuntamento.
Gestione di appuntamenti e conferenze (MeetinX): modulo interno di BookinX sugli stessi server in Austria; genera stanze per conferenze e voci di calendario. L'e-mail dei partecipanti e i link delle conferenze vengono memorizzati in forma cifrata, l'e-mail dei partecipanti viene cancellata 30 giorni dopo il termine dell'appuntamento.
Backup dei dati: backup giornaliero cifrato (GPG, AES-256) su un server presso netcup nonché una seconda copia cifrata su un dispositivo del Fornitore in Austria; conservazione 14 giorni per i backup giornalieri, 8 settimane per quelli settimanali.

⸻

Accettazione elettronica

Nell'ambito della registrazione può essere utilizzata la seguente dichiarazione:

Accetto le Condizioni di utilizzo e l'Accordo sul trattamento dei dati (DPA) e confermo di essere autorizzato alla conclusione per conto del cliente indicato.

Le Condizioni di utilizzo e il presente DPA vengono resi accessibili elettronicamente prima della presentazione della dichiarazione.

BookinX documenta la versione del DPA o l'identificativo di versione vigente al momento della conclusione del contratto e il momento dell'accettazione.