# Addendum sul trattamento dei dati

# Accordo sul Trattamento dei Dati (DPA)

_Ultimo aggiornamento: 27/10/2026_

Il presente Accordo sul Trattamento dei Dati ("DPA") integra i Termini di Servizio tra **Andrea Faccioli** ("Responsabile del trattamento", gestore di Placeful) e ciascuna azienda che utilizza la piattaforma per gestire prenotazioni ("Titolare", l'"Azienda"). Si applica ogni volta che il Responsabile tratta dati personali per conto dell'Azienda nell'erogazione del servizio di prenotazione, ai sensi dell'**articolo 28 GDPR**.

Creando o utilizzando uno spazio aziendale, il legale rappresentante accetta il presente DPA per conto dell'Azienda.

## 1. Oggetto, ambito, durata

- **Oggetto:** hosting e gestione dello spazio di prenotazione dell'Azienda: eventi, disponibilità, prenotazioni, dati di contatto dei clienti finali, schede della rubrica clienti (CRM), richieste commerciali (lead), registri del personale (HR: contratti, documenti, turni, timbrature, payroll), ordini/punto vendita, menu e magazzino, notifiche (email, SMS/WhatsApp, digest Telegram, web push), funzionalità receptionist vocale e radio staff se attivate dall'Azienda, riconciliazione dei feed bancari, estrazione documenti fornitori, funzionalità assistite da AI e pagamenti tramite l'account Stripe Connect dell'Azienda.
- **Durata:** per tutto il tempo in cui l'Azienda utilizza la piattaforma, fatte salve le condizioni di cancellazione della Sezione 8.
- **Natura e finalità:** conservazione, organizzazione, visualizzazione, trasmissione (email, SMS/WhatsApp, widget incorporati, web push) e facilitazione dei pagamenti dei dati di prenotazione, esclusivamente secondo le istruzioni impartite tramite le funzionalità dell'applicazione.

## 2. Categorie di dati e interessati

- **Interessati:** clienti e ospiti dell'Azienda (chi prenota, i partecipanti, i contatti della rubrica clienti, i lead commerciali), il personale dell'Azienda (utenti e registri dipendenti).
- **Categorie di dati:** nomi, indirizzi email, numeri di telefono, dettagli delle prenotazioni (date, numero di persone, note inserite da chi prenota), dati del profilo in rubrica (tag, statistiche su visite/spesa, timestamp del consenso marketing, eventuali campi data di nascita/anniversario/dieta-allergie), messaggi delle richieste e documenti allegati, dati HR dei dipendenti (data di nascita, codice fiscale — conservato cifrato —, contratti, documenti, turni, timbrature, voci payroll, richieste di ferie), dati degli ordini (nome/telefono del cliente walk-in, indirizzi di consegna), numeri/trascrizioni delle chiamate vocali e clip radio staff dove l'Azienda attiva tali funzionalità, telemetria delle timbrature limitata a distanza/accuratezza derivate, righe dei feed bancari (nomi controparti, IBAN, causali) importate tramite l'aggregatore scelto, documenti fornitori, contenuto dei thread email di prenotazione, input inviati al provider AI configurato per le funzionalità richieste dall'Azienda, metadati sullo stato dei pagamenti, endpoint delle sottoscrizioni push, dati di autenticazione degli utenti staff.
- **Categorie particolari:** la piattaforma non è progettata per categorie particolari di dati, con un'eccezione strutturata: la rubrica clienti offre un campo esplicito per dieta/allergie compilabile dai clienti tramite il locale. Per quel campo e per ogni altra categoria particolare che l'Azienda o i suoi clienti inseriscono volontariamente (es. esigenze di accessibilità nelle note), l'Azienda resta responsabile della base giuridica ai sensi dell'articolo 9 GDPR; il Responsabile li tratta unicamente su istruzione.

## 3. Obblighi del Responsabile

Il Responsabile si impegna a:

1. trattare i dati personali solo su istruzione documentata dell'Azienda, incluse questo DPA e l'uso delle funzionalità della piattaforma, salvo diverso obbligo di legge UE o nazionale;
2. garantire che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza;
3. attuare e mantenere le misure tecniche e organizzative descritte nella Sezione 9;
4. ricorrere a sub-responsabili solo tra quelli elencati nella Sezione 5, con obblighi equivalenti, e notificare all'Azienda le modifiche previste (l'Azienda può opporsi entro 14 giorni);
5. assistere l'Azienda, con misure tecniche adeguate, nell'evasione delle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) — la piattaforma fornisce strumenti self-service di esportazione e cancellazione;
6. assistere l'Azienda nel garantire il rispetto degli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, supporto DPIA) nei limiti ragionevolmente possibili;
7. notificare all'Azienda senza ingiustificato ritardo ogni violazione dei dati personali che riguardi dati dell'Azienda.

## 4. Obblighi del Titolare

L'Azienda garantisce che:

1. dispone di una base giuridica per il trattamento dei dati dei propri clienti raccolti tramite la piattaforma;
2. fornisce ai propri clienti una propria informativa privacy (la piattaforma offre un `privacy_url` configurabile mostrato ai clienti prima e dopo la prenotazione);
3. è responsabile dell'esattezza e liceità dei dati il cui trattamento impartisce alla piattaforma, incluse note di prenotazione e campi informativi personalizzati;
4. non utilizzerà la piattaforma per trattare dati che non è legittimata a trattare.

## 5. Sub-responsabili

L'Azienda autorizza i sub-responsabili elencati nell'Informativa Privacy della piattaforma (sezione "Destinatari dei dati" / elenco sub-responsabili), mantenuti in `config/legal.php`. Ogni modifica sarà notificata tramite l'applicazione; l'uso continuato dopo il periodo di preavviso costituisce accettazione.

Stripe agisce sull'account proprio dell'Azienda per l'elaborazione dei pagamenti; i dati di pagamento dei clienti dell'Azienda sono trattati nell'ambito del rapporto diretto tra l'Azienda e Stripe.

## 6. Trasferimenti internazionali

Qualora i sub-responsabili siano stabiliti fuori dal SEE, i trasferimenti sono coperti da decisioni di adeguatezza o Clausole Contrattuali Standard, secondo quanto previsto dalla sezione 8 dell'Informativa Privacy.

## 7. Verifiche e informazioni

Il Responsabile renderà disponibili le informazioni ragionevolmente necessarie a dimostrare la conformità al presente DPA (questo documento, le misure di sicurezza della Sezione 9, l'elenco dei sub-responsabili). Le verifiche in loco sono sostituite da questionari scritti e documentazione, salvo diversa richiesta dell'autorità di controllo.

## 8. Restituzione e cancellazione dei dati

- L'Azienda può esportare in qualsiasi momento prenotazioni e dati dei clienti tramite le funzionalità di esportazione della piattaforma.
- Alla cessazione dello spazio aziendale, i dati personali trattati per suo conto sono cancellati o anonimizzati entro **90 giorni**, salvo obblighi di conservazione di legge (es. registrazioni fiscali, art. 2220 c.c. — max 10 anni).
- I backup degli account eliminati si esauriscono secondo il normale ciclo di conservazione (vedi Informativa Privacy §9).

## 9. Misure tecniche e organizzative (TOM)

- TLS in transito; cookie di sessione `Secure`/`HttpOnly`; cookie partizionati (CHIPS) negli iframe incorporati
- Hashing delle password (bcrypt), 2FA (TOTP) e passkey opzionali per gli account staff; applicazione obbligatoria della configurazione di sicurezza per i ruoli privilegiati
- Token OAuth delle integrazioni di terze parti (Google Calendar) conservati cifrati a riposo
- Controllo degli accessi basato su ruoli e permessi all'interno di ogni spazio aziendale
- Registro cronologico (audit) delle azioni di creazione/modifica/cancellazione con attore, timestamp e IP; gli eventi di impersonificazione sono tracciati
- Backup notturni del database cifrati (AES-256) con conservazione limitata; riapplicazione delle cancellazioni in caso di ripristino
- Pulizia automatica della retention di log, righe di audit, thread email, payload webhook, log di utilizzo AI, thread dell'assistente e richieste commerciali obsolete
- Pipeline di anonimizzazione con periodo di grazia per account, schede della rubrica clienti, registri del personale e richieste eliminati (finestra di ripristino di 30 giorni, poi pseudonimizzazione irreversibile che preserva le registrazioni fiscali)
- Evasione automatica delle richieste pubbliche di cancellazione dati (corrispondenza di account utente e schede cliente per email, con avvisi al titolare sulle richieste in scadenza)
- Codici fiscali dei dipendenti cifrati a riposo; estratti dei prompt nei log AI mascherati per rimuovere email/numeri di telefono
- Sottoscrizioni alle notifiche push e pacchetti di eventi archiviati inclusi nella cancellazione (gli archivi cifrati vengono riscritti atomicamente per rimuovere le identità cancellate)
- Strumenti di esportazione (Art. 15) e cancellazione/anonimizzazione (Art. 17) integrati nell'applicazione

## 10. Responsabilità e prevalenza

La responsabilità è disciplinata dai Termini di Servizio. In caso di conflitto tra questo DPA e i Termini, prevale il DPA per le questioni di protezione dei dati.

## 11. Contatti

Contatto privacy del Responsabile: **info@placeful-app.com**.

Contatto dell'Azienda: l'email legale registrata nelle impostazioni dello spazio aziendale.


---
> Source: https://placeful-app.com/dpa