Trattamento
dei dati

1. Premesse e definizioni

Il presente accordo è concluso tra Baccus SRLS, con sede legale in via Deserto del Gobi 10, 00144 Roma (RM), Italia, P. IVA 18667191003 («Baccus»), e il Cliente che ha attivato un abbonamento al Servizio, come identificato nella conferma d'ordine.

I termini «dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato» e «violazione dei dati personali» hanno il significato loro attribuito dall'art. 4 del Regolamento (UE) 2016/679 («GDPR»). Gli altri termini definiti nelle condizioni di abbonamento conservano qui lo stesso significato.

2. Chi è titolare di che cosa

Il Servizio comporta due trattamenti distinti, con ruoli diversi. Tenerli separati non è una formalità: determina chi risponde verso gli interessati e verso il Garante.

2.1 Dati degli Ospiti — Baccus è titolare autonomo

I dati delle persone che consultano la carta inquadrando il codice del locale, che usano l'app Baccus o che vi hanno costruito il proprio profilo di gusto sono trattati da Baccus in qualità di titolare autonomo. Baccus ne determina finalità e mezzi, fornisce l'informativa agli interessati, raccoglie gli eventuali consensi e risponde dell'esercizio dei loro diritti.

Il Cliente non impartisce istruzioni su questi dati, non vi accede e non ne risponde. Il rapporto con l'Ospite, su questo piano, corre tra l'Ospite e Baccus.

2.2 Dati immessi dal Cliente — Baccus è responsabile

I dati personali che il Cliente immette nella piattaforma — in particolare gli account del proprio personale e dei propri collaboratori, e i dati di contatto dei referenti — sono trattati da Baccus in qualità di responsabile del trattamento, per conto e su istruzione del Cliente, che ne è titolare. È su questi dati che opera la nomina di cui ai §§ 4 e seguenti.

2.3 Dati del rapporto contrattuale — Baccus è titolare

I dati identificativi, fiscali e di fatturazione del Cliente e dei suoi rappresentanti sono trattati da Baccus come titolare, per la gestione del contratto e per gli obblighi di legge.

3. Le statistiche del locale

L'analitica messa a disposizione del Cliente contiene esclusivamente dati aggregati: andamenti, conteggi e tendenze non riferibili a una persona identificata o identificabile. Baccus si impegna a non mettere a disposizione del Cliente, tramite il Servizio, dati che consentano di identificare un singolo Ospite.

Se in futuro il Servizio dovesse prevedere la messa a disposizione del Cliente di dati riferibili a Ospiti identificabili, la ripartizione dei ruoli descritta al § 2 non sarebbe più adeguata: le parti dovranno concludere un nuovo accordo prima dell'attivazione di tale funzione. Il Cliente ne verrà informato con il preavviso previsto per le modifiche contrattuali.

4. Oggetto e durata della nomina

Con la conclusione delle condizioni di abbonamento il Cliente nomina Baccus responsabile del trattamento ai sensi dell'art. 28 par. 3 del GDPR, per i dati indicati al § 2.2 e dettagliati nell'Allegato 1.

La nomina ha effetto dall'attivazione del Servizio e dura fino alla cessazione del contratto, protraendosi per il solo tempo necessario alle operazioni di restituzione e cancellazione previste al § 13.

5. Istruzioni del titolare

Baccus tratta i dati esclusivamente sulla base delle istruzioni documentate del Cliente. Le condizioni di abbonamento, il presente accordo e le funzioni della piattaforma che il Cliente attiva e utilizza costituiscono le istruzioni complete e definitive.

Baccus informa immediatamente il Cliente se, a suo parere, un'istruzione viola il GDPR o altre disposizioni sulla protezione dei dati, e può sospenderne l'esecuzione fino a conferma scritta.

Baccus tratta i dati per obbligo di legge nei soli casi previsti dall'art. 28 par. 3 lett. a del GDPR, informandone il Cliente prima del trattamento salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

6. Personale autorizzato

Baccus autorizza al trattamento soltanto le persone che ne hanno effettiva necessità per erogare il Servizio, impartisce loro istruzioni scritte e le vincola a un obbligo di riservatezza contrattuale o legale che sopravvive alla cessazione del rapporto. L'elenco degli autorizzati è tenuto aggiornato e reso disponibile su richiesta motivata.

6.1 Accesso all'area del Cliente per assistenza

Per prestare assistenza, il personale amministrativo di Baccus può accedere all'area del Cliente operando con le sue stesse credenziali applicative. L'accesso avviene soltanto quando è necessario per gestire una richiesta o un malfunzionamento, richiede l'indicazione di una motivazione e non consente di leggere le credenziali del Cliente, che restano cifrate.

Ogni accesso di questo tipo è registrato in un registro immutabile, non modificabile né cancellabile dall'applicazione, che riporta l'operatore, il momento di inizio e di fine, la motivazione, l'indirizzo IP e il dispositivo utilizzato. Il Cliente può chiedere in qualsiasi momento l'estratto degli accessi che hanno riguardato la propria area, scrivendo a [email protected].

7. Misure di sicurezza

Baccus adotta e mantiene le misure tecniche e organizzative adeguate previste dall'art. 32 del GDPR, descritte nell'Allegato 2. Le misure possono essere aggiornate nel tempo, purché il livello di sicurezza non risulti diminuito.

8. Sub-responsabili

Il Cliente autorizza in via generale Baccus a ricorrere ai sub-responsabili elencati nell'Allegato 3, ai sensi dell'art. 28 par. 2 del GDPR.

Baccus impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati non meno onerosi di quelli previsti dal presente accordo, e risponde del loro operato come del proprio.

In caso di sostituzione o aggiunta di un sub-responsabile, Baccus ne dà comunicazione al Cliente con almeno 30 giorni di anticipo. Entro quel termine il Cliente può opporsi per motivi ragionevoli e documentati attinenti alla protezione dei dati; se le parti non trovano una soluzione, il Cliente può recedere dal contratto senza costi, con rimborso della quota di canone non goduta.

9. Assistenza al titolare

Tenuto conto della natura del trattamento, Baccus assiste il Cliente:

• mettendo a disposizione, attraverso le funzioni della piattaforma, gli strumenti per dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione);
• trasmettendo senza ritardo al Cliente le richieste che dovessero pervenire direttamente a Baccus e che riguardino dati trattati per suo conto, astenendosi dal darvi seguito autonomamente;
• fornendo le informazioni necessarie per la valutazione d'impatto sulla protezione dei dati e per l'eventuale consultazione preventiva del Garante, quando pertinenti al trattamento oggetto di questo accordo;
• fornendo le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 del GDPR.

L'assistenza che ecceda quanto realizzabile con le funzioni ordinarie della piattaforma può essere concordata a parte, a condizioni economiche ragionevoli, salvo che l'intervento sia reso necessario da un inadempimento di Baccus.

10. Violazioni dei dati personali

Baccus informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui viene a conoscenza di una violazione dei dati personali trattati per suo conto, fornendo le informazioni disponibili sulla natura della violazione, sulle categorie e sul numero approssimativo di interessati e di registrazioni coinvolte, sulle probabili conseguenze e sulle misure adottate o proposte.

Le notifiche al Garante e le comunicazioni agli interessati previste dagli artt. 33 e 34 del GDPR competono al Cliente in qualità di titolare; Baccus gli presta la collaborazione necessaria. Per le violazioni che riguardano dati di cui Baccus è titolare (§§ 2.1 e 2.3), gli adempimenti competono a Baccus.

11. Trasferimenti fuori dall'Unione europea

I dati trattati per conto del Cliente sono conservati in Unione europea — Irlanda (region eu-west-1).

Nei casi in cui un sub-responsabile comporti un trasferimento verso un paese terzo, il trasferimento avviene sulla base di una decisione di adeguatezza oppure delle clausole contrattuali tipo adottate dalla Commissione europea ai sensi dell'art. 46 del GDPR, accompagnate dalle misure supplementari eventualmente necessarie. Copia delle garanzie è disponibile su richiesta.

12. Verifiche e audit

Su richiesta scritta, Baccus mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 del GDPR, anche mediante la compilazione di un questionario o la trasmissione delle attestazioni disponibili.

Il Cliente può svolgere una verifica in loco, non più di una volta l'anno, con preavviso di almeno trenta giorni, in orari lavorativi, senza interferire con l'attività di Baccus e nel rispetto della riservatezza degli altri clienti. I costi della verifica sono a carico del Cliente, salvo che ne emergano inadempimenti sostanziali di Baccus. In caso di violazione accertata, i limiti di frequenza e preavviso non si applicano.

13. Cancellazione o restituzione

Alla cessazione del contratto il Cliente dispone di 30 giorni per esportare i dati trattati per suo conto attraverso le funzioni della piattaforma.

Decorso tale termine, Baccus cancella i dati e le copie esistenti, salvo che la conservazione sia imposta dal diritto dell'Unione o dello Stato membro, nel qual caso Baccus ne informa il Cliente e limita il trattamento alla sola finalità di conservazione. Le copie contenute nei backup vengono cancellate secondo la rotazione ordinaria degli stessi, entro un termine massimo di novanta giorni.

14. Responsabilità

Ciascuna parte risponde delle proprie violazioni degli obblighi previsti dal GDPR e dal presente accordo, secondo il riparto dell'art. 82 del GDPR.

I limiti di responsabilità pattuiti al § 17 delle condizioni di abbonamento si applicano anche alle pretese fondate sul presente accordo, nei limiti in cui la legge lo consente, e non operano rispetto alle sanzioni irrogate dall'autorità di controllo né rispetto alle pretese degli interessati.

15. Cosa deve fare il cliente

In qualità di titolare, il Cliente si impegna a:

• fornire al proprio personale l'informativa prevista dall'art. 13 del GDPR sul trattamento connesso all'uso della piattaforma, e a disporre di una base giuridica idonea;
• immettere nella piattaforma soltanto i dati personali necessari all'uso del Servizio, astenendosi in particolare dal caricare categorie particolari di dati ai sensi dell'art. 9 del GDPR e dati relativi a condanne penali;
• gestire correttamente account e permessi, revocando senza ritardo gli accessi di chi lascia il locale;
• non presentare agli Ospiti il trattamento dei loro dati come effettuato dal locale: su quei dati il titolare è Baccus, e l'informativa che l'Ospite riceve è quella di Baccus;
• impartire istruzioni conformi alla normativa e comunicare tempestivamente ogni circostanza che incida sul trattamento.

Per qualsiasi comunicazione relativa al presente accordo: [email protected].

Allegato 1 — Dettagli del trattamento

Allegato 2 — Misure di sicurezza

Misure tecniche e organizzative adottate da Baccus ai sensi dell'art. 32 del GDPR, tenuto conto dello stato dell'arte, dei costi e della natura del trattamento:

• Cifratura in transito: tutte le comunicazioni tra i dispositivi e la piattaforma avvengono su canale cifrato TLS.
• Cifratura a riposo: le banche dati e gli archivi dei file sono cifrati sui sistemi del fornitore di infrastruttura.
• Credenziali: le password sono conservate esclusivamente in forma di hash con algoritmi adeguati; nessun operatore di Baccus ne conosce il valore in chiaro.
• Controllo degli accessi: accesso ai dati limitato per ruolo e per necessità, con separazione dei permessi tra amministrazione, assistenza e sviluppo.
• Autenticazione a più fattori sugli accessi amministrativi ai sistemi che ospitano i dati.
• Isolamento tra clienti: i dati di ciascun locale sono segregati a livello applicativo e di banca dati, con regole che impediscono l'accesso incrociato.
• Accesso amministrativo tracciato: gli accessi del personale Baccus all'area di un Cliente sono registrati in un log immutabile, con operatore, motivazione, momento e indirizzo IP (§ 6.1).
• Backup periodici e verificati, con conservazione limitata nel tempo e procedura di ripristino documentata.
• Registri degli accessi e delle operazioni rilevanti, conservati per il tempo necessario alla sicurezza.
• Aggiornamenti tempestivi delle componenti software e monitoraggio delle vulnerabilità note delle dipendenze.
• Gestione degli incidenti: procedura interna di rilevazione, valutazione e comunicazione, con i termini previsti al § 10.
• Riservatezza: personale autorizzato per iscritto e vincolato alla riservatezza.
• Minimizzazione: raccolta dei soli dati necessari e cancellazione secondo i termini previsti.
• Riesame periodico dell'adeguatezza delle misure, e comunque a ogni modifica rilevante della piattaforma.

Allegato 3 — Sub-responsabili

Fornitori autorizzati a trattare i dati per conto di Baccus nell'erogazione del Servizio:

Il prestatore di servizi di pagamento indicato al § 8.4 delle condizioni di abbonamento non figura tra i sub-responsabili: rispetto all'operazione di pagamento agisce come titolare autonomo, in adempimento dei propri obblighi di legge, e non tratta dati per conto di Baccus.