Accordo sul trattamento dei dati (DPA) — Caravel Sites

Versione 1.0. Data di entrata in vigore: in revisione

Il presente accordo è in fase di revisione. I punti contrassegnati con in revisione sono ancora in corso di conferma e possono cambiare prima dell'entrata in vigore dell'accordo. Prevale la versione portoghese in revisione.

Il presente accordo segue l'articolo 28, paragrafo 3, del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, «RGPD») e prende come riferimento le clausole contrattuali tipo tra titolari del trattamento e responsabili del trattamento adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/915 della Commissione, del 4 giugno 2021 (GU L 199 del 7.6.2021, pag. 18). Segue la struttura del DPA delle app Caravel (https://caravelsuite.com/it/legal/dpa/, versione 1.1 del 01/11/2026), adattata al servizio Caravel Sites.

Fonti ufficiali:

• Regolamento generale sulla protezione dei dati (RGPD) — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32016R0679
• Decisione di esecuzione (UE) 2021/915 — CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32021D0915
• Decisione di esecuzione (UE) 2021/914 (clausole contrattuali tipo per il trasferimento verso paesi terzi) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32021D0914
• Legge portoghese n. 58/2019, dell'8 agosto (attuazione del RGPD): https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• Linee guida 07/2020 dell'EDPB sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del RGPD (versione 2.0, 7 luglio 2021): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_it

Parti

1. Il Cliente — la persona fisica o giuridica che sottoscrive il servizio Caravel Sites, identificata nel proprio account e nella fattura («Titolare del trattamento» o «Cliente»).
2. Jardim Idílico Unipessoal Lda, che opera con il marchio Caravel Suite, partita IVA/codice fiscale PT518764532, con sede legale in Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portogallo, iscritta al Registro delle imprese con il n. 518764532, contatto caravel@caravelsuite.com («Responsabile del trattamento» o «Caravel»).

Clausola 1 — Oggetto e ambito di applicazione

1. Il presente accordo disciplina il trattamento dei dati personali che Caravel effettua per conto del Cliente nella prestazione del servizio Caravel Sites: realizzazione, hosting e manutenzione del sito web del Cliente e, in particolare, ricezione, conservazione e consegna al Cliente dei messaggi che i visitatori inviano tramite i moduli di contatto e di richiesta di prenotazione del sito, disponibili nel pannello di Caravel Sites.
2. Ai sensi dell'articolo 4, punti 7) e 8), e dell'articolo 28 del RGPD, il Cliente è il titolare del trattamento di tali dati e Caravel è il suo responsabile del trattamento.
3. Il presente accordo non riguarda — sono disciplinati dall'Informativa sulla privacy di caravelsuite.com (https://caravelsuite.com/it/legal/privacy/) — i dati che Caravel tratta in qualità di titolare del trattamento nel rapporto con il Cliente stesso: account, fatturazione, pagamenti dell'abbonamento (trattati da Stripe), assistenza e corrispondenza.
4. Il presente accordo fa parte delle condizioni di vendita di Caravel Sites (Condizioni d'uso, https://caravelsuite.com/it/legal/terms/). In caso di conflitto in materia di protezione dei dati, prevale il presente accordo (cfr. clausola 4 dell'allegato della decisione di esecuzione (UE) 2021/915).
5. Il presente accordo è concluso in formato elettronico, che l'articolo 28, paragrafo 9, del RGPD ammette come forma scritta.

Clausola 2 — Durata

1. Il presente accordo entra in vigore quando il Cliente lo accetta (al momento dell'acquisto o della registrazione dell'account Caravel Sites) e rimane in vigore finché Caravel tratta dati personali per conto del Cliente.
2. Sopravvive alla cessazione dell'abbonamento fino al completamento della cancellazione o della restituzione di cui alla clausola 10.

Clausola 3 — Natura, finalità, categorie di dati e di interessati

Descrizione completa nell'allegato I. In sintesi:

• Natura: raccolta tramite i moduli del sito, registrazione, conservazione, consultazione da parte del Cliente nel pannello, notifica via email al Cliente, backup, cancellazione.
• Finalità: consentire al Cliente di ricevere le richieste di contatto e di rispondervi e di gestire le richieste di prenotazione dei visitatori del proprio sito.
• Interessati: visitatori del sito del Cliente che inviano un modulo (potenziali clienti, ospiti, commensali).
• Dati: nome, email, telefono, data, ora, numero di persone, testo del messaggio; dati tecnici dell'invio (data e ora; in revisione).
• Categorie particolari (art. 9 RGPD): il servizio non le richiede. Il campo del messaggio è a testo libero e il visitatore può, di propria iniziativa, scrivervi informazioni sulla salute (ad esempio allergie o mobilità ridotta). Il Cliente non deve configurare campi che richiedano tali dati senza una propria base giuridica ai sensi dell'articolo 9, paragrafo 2.

Clausola 4 — Istruzioni documentate

1. Caravel tratta i dati soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda il diritto dell'Unione o il diritto portoghese; in tal caso Caravel informa previamente il Cliente, a meno che il diritto lo vieti (art. 28, paragrafo 3, lettera a), RGPD; clausola 7.1 dell'allegato della decisione 2021/915).
2. Costituiscono istruzioni documentate: il presente accordo; la configurazione del Cliente nel pannello (campi dei moduli, email di notifica, periodo di conservazione); e le richieste che il Cliente invia via email dall'indirizzo collegato all'account.
3. Caravel informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il RGPD o altre disposizioni relative alla protezione dei dati (art. 28, paragrafo 3, ultimo comma, RGPD).
4. Caravel non utilizza i dati per finalità proprie — compresi pubblicità, profilazione, vendita o addestramento di modelli di intelligenza artificiale — né li combina con dati di altri clienti. Qualora lo facesse, sarebbe considerata titolare del trattamento in relazione a tale trattamento (art. 28, paragrafo 10, RGPD).

Clausola 5 — Riservatezza

1. Caravel garantisce che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (art. 28, paragrafo 3, lettera b), RGPD).
2. L'accesso è limitato a quanto strettamente necessario per prestare, mantenere e assistere il servizio. in revisione

Clausola 6 — Sicurezza del trattamento (art. 32 RGPD)

1. Caravel mette in atto le misure tecniche e organizzative descritte nell'allegato II, adeguate al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento (art. 28, paragrafo 3, lettera c), e art. 32 RGPD).
2. Caravel può aggiornare tali misure purché il livello di sicurezza non venga ridotto.
3. Caravel non dichiara certificazioni (come la ISO/IEC 27001) che non possiede.
4. Il Cliente è responsabile della protezione delle credenziali del pannello e dell'email di notifica e di non richiedere nei moduli più dati di quelli necessari (art. 5, paragrafo 1, lettera c), RGPD).

Clausola 7 — Sub-responsabili del trattamento

1. Il Cliente concede a Caravel un'autorizzazione generale a ricorrere ai sub-responsabili del trattamento elencati nell'allegato III (art. 28, paragrafo 2, RGPD; clausola 7.7, opzione 2, dell'allegato della decisione 2021/915).
2. Caravel informa il Cliente via email con almeno 30 giorni di anticipo in revisione di qualsiasi aggiunta o sostituzione prevista di sub-responsabili del trattamento e mantiene l'elenco aggiornato sul proprio sito web.
3. Il Cliente può opporsi per iscritto, per motivi ragionevoli attinenti alla protezione dei dati, entro tale termine. Se l'opposizione non viene risolta, il Cliente può recedere dall'abbonamento prima che la modifica abbia effetto, senza penali, con il rimborso della parte pagata e non utilizzata del periodo in corso in revisione.
4. Caravel impone a ciascun sub-responsabile del trattamento, mediante contratto, obblighi in materia di protezione dei dati equivalenti a quelli del presente accordo, in particolare garanzie sufficienti di sicurezza, e conserva nei confronti del Cliente l'intera responsabilità dell'adempimento degli obblighi di questi ultimi (art. 28, paragrafo 4, RGPD).
5. In caso di emergenza di sicurezza o di cessazione improvvisa di un fornitore, Caravel può effettuare la sostituzione con un preavviso più breve, informando il Cliente il prima possibile e mantenendo il diritto di opposizione.

Clausola 8 — Assistenza al Cliente

1. Diritti degli interessati (artt. 12–22 RGPD): tenendo conto della natura del trattamento, Caravel assiste il Cliente con misure tecniche e organizzative adeguate nel rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (art. 28, paragrafo 3, lettera e), RGPD; clausola 8 dell'allegato della decisione 2021/915). Nel pannello il Cliente può visualizzare, esportare e cancellare i messaggi in revisione. Se Caravel riceve una richiesta direttamente da un interessato, la inoltra senza ritardo al Cliente e non vi risponde, salvo istruzione del Cliente.
2. Altri obblighi: Caravel fornisce al Cliente le informazioni ragionevolmente necessarie per adempiere agli articoli da 32 a 36 del RGPD (sicurezza, violazioni, valutazione d'impatto e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione (art. 28, paragrafo 3, lettera f), RGPD).
3. Caravel tiene un registro delle attività di trattamento svolte per conto dei propri clienti (art. 30, paragrafo 2, RGPD).

Clausola 9 — Violazioni dei dati personali

1. Caravel notifica al Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che riguardi i dati del Cliente (art. 33, paragrafo 2, RGPD) e in ogni caso entro e non oltre 24 ore, via email all'indirizzo dell'account (stesso termine del DPA delle app Caravel).
2. La notifica comprende, per quanto possibile e eventualmente in fasi successive: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto per ulteriori informazioni (art. 33, paragrafo 3, RGPD; clausola 9.2 dell'allegato della decisione 2021/915).
3. La notifica all'autorità di controllo (in Portogallo, la CNPD) entro 72 ore e la comunicazione agli interessati (artt. 33 e 34 RGPD) spettano al Cliente. Caravel fornisce assistenza con le informazioni in suo possesso.
4. Riferimento: Linee guida 9/2022 dell'EDPB sulla notifica delle violazioni dei dati personali ai sensi del RGPD (versione 2.0, 28 marzo 2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_it

Clausola 10 — Conservazione, cancellazione e restituzione

1. Durante l'abbonamento: i messaggi dei moduli vengono cancellati automaticamente al raggiungimento del periodo di conservazione configurato dal Cliente nel pannello, 180 giorni per impostazione predefinita in revisione. Il Cliente può cancellarli prima.
2. Alla cessazione dell'abbonamento (disdetta o mancato pagamento, secondo le condizioni di vendita: sospensione 15 giorni dopo la scadenza e cancellazione 60 giorni dopo, con preavviso), Caravel, a scelta del Cliente, restituisce i dati (esportazione in un formato di uso comune come CSV in revisione) e cancella il resto, salvo che il diritto dell'Unione o il diritto portoghese ne preveda la conservazione (art. 28, paragrafo 3, lettera g), RGPD; clausola 10, lettera d), dell'allegato della decisione 2021/915). Se il Cliente non presenta alcuna richiesta, i dati vengono cancellati al termine del periodo previsto dalle condizioni di vendita.
3. I dati cancellati scompaiono dai backup cifrati al termine del ciclo di conservazione dei backup, fino a in revisione settimane. Fino ad allora, i backup sono utilizzati solo per il ripristino dopo un incidente.
4. Caravel conferma per iscritto la cancellazione su richiesta del Cliente.

Clausola 11 — Dimostrazione della conformità e audit

1. Caravel mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del RGPD (art. 28, paragrafo 3, lettera h), RGPD; clausola 7.6 dell'allegato della decisione 2021/915), principalmente per iscritto (risposte a questionari e descrizione aggiornata delle misure dell'allegato II).
2. Se tali informazioni sono insufficienti, o se un'autorità di controllo lo richiede, il Cliente può effettuare o incaricare un audit, comprese le ispezioni, da parte di un revisore indipendente vincolato alla riservatezza, non più di una volta all'anno e con un preavviso di 30 giorni, salvo in caso di violazione dei dati o di ordine di un'autorità. Ciascuna parte sostiene i propri costi in revisione.
3. Un audit non può dare accesso ai dati di altri clienti né compromettere la sicurezza del servizio.

Clausola 12 — Trasferimenti internazionali

1. I dati dei moduli sono ospitati su server nell'Unione europea (in revisione, si veda l'allegato III).
2. Caravel non trasferisce i dati al di fuori dello Spazio economico europeo, salvo quando lo faccia un sub-responsabile del trattamento elencato nell'allegato III. In tal caso il trasferimento avviene solo sulla base di una decisione di adeguatezza (art. 45 RGPD — ad esempio, per gli Stati Uniti, il quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework), decisione di esecuzione (UE) 2023/1795, per le entità certificate) o di garanzie adeguate, in particolare le clausole contrattuali tipo della Commissione adottate con la decisione di esecuzione (UE) 2021/914 (art. 46, paragrafo 2, lettera c), RGPD).
3. Caravel informa il Cliente, ai sensi della clausola 7, prima di introdurre qualsiasi nuovo trasferimento.

Clausola 13 — Responsabilità, prevalenza, legge applicabile e foro competente

1. Ciascuna parte risponde ai sensi dell'articolo 82 del RGPD. Tra le parti si applica la limitazione di responsabilità delle Condizioni d'uso (importo pagato nei 12 mesi precedenti, salvo dolo o colpa grave), nei limiti consentiti dalla legge e fatti salvi i diritti degli interessati in revisione.
2. In caso di conflitto tra il presente accordo e altre condizioni concordate tra le parti, il presente accordo prevale in materia di protezione dei dati.
3. Legge applicabile: legge portoghese, compresi il RGPD e la legge n. 58/2019. Foro competente: tribunali del distretto di Porto, fatte salve le norme imperative.
4. Caravel può aggiornare il presente accordo per riflettere modifiche legislative o del servizio, informandone il Cliente via email con 30 giorni di anticipo; le modifiche che riducono la protezione dei dati richiedono il consenso del Cliente.

Allegato I — Descrizione del trattamento

Allegato II — Misure tecniche e organizzative (art. 32 RGPD)

Sono elencate solo le misure esistenti. Le voci contrassegnate con in revisione devono essere verificate sul server di Caravel Sites prima della pubblicazione.

1. Cifratura in transito: tutti i siti e il pannello sono serviti esclusivamente tramite HTTPS (TLS), con un certificato per il dominio del Cliente; HTTP reindirizza a HTTPS.
2. Isolamento per cliente: i dati di ciascun Cliente sono tenuti separati da quelli degli altri clienti in revisione; ciascun account del pannello vede solo i messaggi del proprio sito.
3. Backup cifrati: backup automatici in revisione.
4. Conservazione configurabile e cancellazione automatica: il pannello cancella i messaggi al raggiungimento del periodo stabilito dal Cliente (180 giorni per impostazione predefinita).
5. Minimizzazione: i moduli richiedono solo i campi necessari; i campi sono configurabili; i siti non utilizzano cookie o tracker di terze parti in revisione.
6. Controllo degli accessi: accesso amministrativo al server solo tramite chiave SSH in revisione; firewall; database non esposto a Internet in revisione; accesso al pannello con password individuale in revisione.
7. Protezione dei moduli dagli abusi: in revisione.
8. Log: i log del server non memorizzano il contenuto dei messaggi in revisione; conservazione dei log in revisione.
9. Persone: accesso limitato a chi ne ha bisogno; impegno di riservatezza (clausola 5).
10. Risposta agli incidenti: procedura di analisi, contenimento e notifica al Cliente entro 24 ore (clausola 9).
11. Aggiornamenti: sistema e dipendenze aggiornati regolarmente in revisione.

Allegato III — Sub-responsabili del trattamento autorizzati

Non sono sub-responsabili del trattamento ai sensi del presente accordo:

• Stripe — tratta i pagamenti dell'abbonamento del Cliente a Caravel. Non riceve alcun dato sui visitatori del sito. Disciplinato dall'Informativa sulla privacy di caravelsuite.com.
• Il registrar del dominio e il fornitore di email del Cliente — incaricati dal Cliente (il dominio è registrato a nome del Cliente).