Caricamento…
Versione 2026-10 · aggiornata il 19 ottobre 2026
Accordo di nomina a Responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”). Si applica automaticamente al Gestore che si registra a SubitoSpiaggia e accetta i Termini e Condizioni, di cui costituisce parte integrante, senza necessità di ulteriore sottoscrizione.
Titolare: il Gestore (lo stabilimento balneare) che ha accettato i Termini e Condizioni, con i dati indicati in fase di registrazione. Responsabile: DODO LOGIC S.r.l., Piazza Sandro Pertini, 7, 47035 Gambettola (FC), Italia, P.IVA 04883990402, C.F. [DA COMPILARE], contatto privacy supporto@subitospiaggia.it. I termini “dati personali”, “trattamento”, “violazione dei dati” hanno il significato dell’art. 4 GDPR.
Il Titolare nomina il Responsabile per il trattamento dei dati personali dei propri clienti e interlocutori inseriti nella Piattaforma o raccolti tramite essa. Il trattamento ha ad oggetto: archiviazione, organizzazione, consultazione, modifica, estrazione, comunicazione via email, cancellazione dei dati; la finalità è la fornitura del gestionale e del Marketplace (gestione di anagrafiche, prenotazioni, pagamenti, contratti stagionali, recensioni, comunicazioni di servizio). La durata coincide con quella del contratto di servizio.
Restano esclusi i trattamenti per i quali DODO LOGIC S.r.l. agisce come Titolare autonomo (dati del Gestore e dei suoi collaboratori, sicurezza della piattaforma, fatturazione), descritti nella Privacy Policy.
| Interessati | Categorie di dati |
|---|---|
| Clienti dello stabilimento (persone fisiche e aziende), ospiti, familiari censiti | Anagrafica (nome, cognome, ragione sociale), contatti (email, telefono), data di nascita, codice fiscale, P.IVA, codice SDI, indirizzo, lingua, note, tag, classe fedeltà, consensi, storico di prenotazioni e pagamenti |
| Ospiti che prenotano online | Nome, telefono, email, numero di adulti e bambini, note, codice prenotazione, esito del pagamento |
| Autori di recensioni | Nome indicato, valutazione, testo |
Non è prevista la raccolta di categorie particolari di dati (art. 9) né di dati su condanne penali. Il Titolare si impegna a non inserirli nei campi liberi, né dati di carte di pagamento. Il Titolare è responsabile dell’esattezza dei dati e dell’informativa agli interessati.
Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare, rappresentata da questo accordo, dai Termini e Condizioni e dall’uso delle funzioni della Piattaforma, salvo che il diritto UE o nazionale imponga diversamente (in tal caso informa il Titolare, se la legge lo consente). Il Responsabile informa il Titolare se ritiene che un’istruzione violi il GDPR. Il Responsabile non usa i dati per finalità proprie, non li vende e non li utilizza per addestrare modelli di intelligenza artificiale.
L’accesso ai dati è limitato al personale autorizzato che ne ha necessità per erogare il servizio, istruito e vincolato a obblighi di riservatezza anche dopo la cessazione del rapporto.
Il Responsabile adotta le misure tecniche e organizzative dell’art. 32 GDPR descritte nell’Allegato, adeguate al rischio, e le aggiorna nel tempo senza ridurre il livello complessivo di protezione. Il Titolare è responsabile della sicurezza dell’uso che fa della Piattaforma (custodia delle credenziali dei propri collaboratori, assegnazione corretta dei ruoli, disattivazione degli accessi non più necessari).
Il Titolare rilascia autorizzazione generale al ricorso ai sub-responsabili elencati di seguito. Il Responsabile impone loro obblighi di protezione equivalenti a quelli di questo accordo e risponde nei confronti del Titolare del loro adempimento. Il Responsabile comunica ogni aggiunta o sostituzione con almeno 30 giorni di preavviso (email o avviso nel gestionale); in tale periodo il Titolare può opporsi per motivi legittimi legati alla protezione dei dati e, in mancanza di soluzione, recedere dal contratto senza penali.
| Sub-responsabile | Attività | Sede | Garanzie |
|---|---|---|---|
| Server VPS (hosting applicativo, database MySQL, Redis) | Hosting dell'applicazione, database, sessioni, code e backup | Unione Europea [fornitore e sede da confermare] | Trattamento in UE; accordo art. 28 GDPR con il fornitore |
| Google Ireland Ltd / Google LLC (Firebase Authentication) | Autenticazione degli utenti del gestionale, verifica email, recupero password | UE/USA | Data Privacy Framework e Clausole Contrattuali Standard |
| Google Cloud Storage | Archiviazione di foto pubbliche degli stabilimenti e immagini del blog | [regione del bucket da confermare] | Clausole Contrattuali Standard / Data Privacy Framework |
| Stripe Payments Europe Ltd / Stripe, Inc. (Stripe Connect) | Pagamenti online delle prenotazioni sull'account Stripe dello stabilimento | UE/USA | Stripe e' titolare autonomo per i dati di pagamento; Data Privacy Framework e Clausole Contrattuali Standard |
| Revolut (Revolut Merchant API) | Incasso dell'abbonamento alla piattaforma | Spazio Economico Europeo [entita' contrattuale da confermare] | Revolut e' titolare autonomo per i dati di pagamento |
| Resend, Inc. | Invio di email transazionali (conferme di prenotazione, pagamenti, abbonamento) | USA | Clausole Contrattuali Standard / Data Privacy Framework |
| Google LLC (Gemini API) | Funzioni di intelligenza artificiale: assistente mappa, lettura di planimetrie, studio editoriale del blog (attivabili con interruttore) | USA/UE | Condizioni dell'API a pagamento (dati non usati per addestrare i modelli); Clausole Contrattuali Standard |
Stripe e Revolut agiscono, per i dati di pagamento, come titolari autonomi in forza dei propri accordi con il Titolare e con gli interessati.
Il Responsabile trasferisce dati verso Paesi terzi solo se sussistono garanzie ai sensi del Capo V GDPR: decisione di adeguatezza (EU-US Data Privacy Framework per i fornitori certificati) o Clausole Contrattuali Standard, con valutazione dell’impatto del trasferimento e misure supplementari ove necessarie.
Se un interessato si rivolge al Responsabile, questi inoltra la richiesta al Titolare senza ingiustificato ritardo e non risponde nel merito, salvo istruzione. Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, anche tramite le funzioni della Piattaforma: modifica dell’anagrafica, esportazione dei dati del singolo cliente in formato strutturato, anonimizzazione o cancellazione che si estende a prenotazioni, recensioni, consensi e registri di audit collegati. Le richieste di supporto vanno inviate a supporto@subitospiaggia.it.
Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, di ogni violazione di dati personali che lo riguardi, fornendo le informazioni disponibili (natura, categorie e numero approssimativo di interessati e dati, conseguenze probabili, misure adottate) e collaborando alla notifica al Garante (art. 33) e alla comunicazione agli interessati (art. 34), che spettano al Titolare.
Il Responsabile fornisce, nei limiti delle informazioni a sua disposizione, l’assistenza ragionevolmente richiesta per la valutazione d’impatto e la consultazione preventiva (artt. 35 e 36 GDPR).
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell’art. 28 e consente verifiche, anche tramite un revisore designato dal Titolare e vincolato a riservatezza, con preavviso di almeno 30 giorni, non più di una volta l’anno salvo violazioni accertate o richieste dell’autorità, in orari lavorativi e senza compromettere la sicurezza o i dati di altri clienti. Le spese dell’audit sono a carico del Titolare.
L’accordo dura quanto il contratto di servizio. Il Titolare può scaricare in ogni momento i propri dati in formato CSV dal gestionale. Alla cessazione, su scelta del Titolare comunicata a supporto@subitospiaggia.it entro 30 giorni, il Responsabile restituisce i dati in formato strutturato e comune oppure li cancella; in mancanza di scelta li cancella decorso tale termine. I dati nei backup sono sovrascritti secondo il ciclo di rotazione. Il Responsabile può conservare i dati solo se richiesto dalla legge e per il tempo necessario, informando il Titolare.
Ciascuna parte risponde ai sensi dell’art. 82 GDPR. Per quanto non previsto valgono i Termini e Condizioni; in caso di conflitto sul trattamento dei dati prevale questo accordo. Legge applicabile e foro sono quelli dei Termini e Condizioni.