Accordo sul trattamento dei dati personali (art. 28 GDPR)

1. Parti e ambito

Questo accordo è tra:

• il Titolare: il negozio o professionista che usa Kairomi Pro per WordPress, di seguito «tu»;
• il Responsabile: Valerio Rullo · Mokita Studio, ditta individuale, partita IVA IT03321070801, Via Polistena I traversa privata 10, 89132 Reggio Calabria (RC), Italia, email info@mokita.studio, PEC valerio.rullo@pec.it.

Fa parte delle Condizioni di vendita e di licenza di Kairomi Pro per WordPress e lo accetti insieme a quelle. In caso di conflitto sui dati personali prevale questo accordo.

Riguarda i dati personali dei tuoi clienti e del tuo personale che il Responsabile tratta per tuo conto. Non riguarda i dati che il Responsabile tratta come titolare (per esempio l'email con cui compri l'abbonamento): per quelli vale l'Informativa privacy.

Il plugin salva i dati nel database del tuo sito, sull'hosting che scegli tu, e non li manda al Responsabile. Di norma il Responsabile non tratta quindi nessun dato dei tuoi clienti. L'accordo vale solo quando gli dai accesso al tuo sito o ai tuoi dati, per esempio per assistenza o per portare i dati da Amelia, e solo per quelle operazioni.

2. Oggetto, durata, natura e finalità

• Oggetto: l'assistenza che chiedi per Kairomi Pro (gestione di prenotazioni, calendario, clienti, personale e notifiche), compreso il passaggio dei dati da Amelia.
• Durata: il tempo dell'intervento di assistenza.
• Natura: consultazione, esportazione, importazione, correzione e cancellazione, con strumenti informatici.
• Finalità: solo quelle indicate sopra. Il Responsabile non usa i dati per scopi propri, non li vende e non li usa per pubblicità o per addestrare sistemi di intelligenza artificiale.

Le categorie di dati e di interessati sono nell'Allegato 1.

3. Istruzioni

Il Responsabile tratta i dati solo secondo le tue istruzioni documentate: questo accordo, le Condizioni e quello che chiedi per l'intervento di assistenza. Altre istruzioni puoi darle per email a info@mokita.studio.

Se ritiene che un'istruzione violi la normativa sulla protezione dei dati, il Responsabile te lo dice prima di eseguirla. Se la legge gli impone un trattamento diverso, ti informa prima, salvo che la legge lo vieti.

4. Riservatezza

Ai dati accede solo il Responsabile, che è tenuto alla riservatezza. Se in futuro si aggiungeranno collaboratori, accederanno solo se serve all'assistenza e dopo essersi impegnati per iscritto alla riservatezza.

5. Sicurezza

Il Responsabile applica le misure tecniche e organizzative dell'Allegato 2, adeguate al rischio, e le aggiorna quando cambiano Kairomi Pro o i fornitori.

6. Sub-responsabili

Autorizzi in via generale il Responsabile a usare i sub-responsabili dell'Allegato 3, per i ruoli indicati. Ciascuno è vincolato da un contratto con obblighi di protezione dei dati equivalenti a questi.

Prima di aggiungere o sostituire un sub-responsabile, il Responsabile ti avvisa per email almeno 15 giorni prima. Se ti opponi per motivi legati alla protezione dei dati e non si trova una soluzione, puoi disdire l'abbonamento senza penali.

Il Responsabile risponde verso di te dell'operato dei sub-responsabili.

7. Trasferimenti fuori dallo Spazio economico europeo

Alcuni sub-responsabili hanno sede negli Stati Uniti o trattano dati fuori dallo Spazio economico europeo. Questi trasferimenti si basano sulla decisione di adeguatezza della Commissione europea per le società certificate secondo il Data Privacy Framework UE-USA, oppure sulle clausole contrattuali standard approvate dalla Commissione.

8. Diritti degli interessati

Se un tuo cliente o un membro del personale esercita i suoi diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), rispondi tu come titolare. Il Responsabile ti aiuta così:

• il plugin si collega agli strumenti privacy di WordPress (Strumenti › Esporta i dati personali e Strumenti › Cancella i dati personali), che coprono clienti, animali, prenotazioni ed email inviate;
• per le altre richieste il Responsabile ti aiuta su domanda, entro tempi che ti permettano di rispettare il termine di un mese.

Se un interessato scrive direttamente al Responsabile, il Responsabile ti inoltra la richiesta senza ritardo e non risponde nel merito senza la tua autorizzazione.

9. Violazioni dei dati

Se scopre una violazione dei dati personali che riguarda i tuoi dati, il Responsabile te lo comunica senza ingiustificato ritardo e, quando possibile, entro 48 ore dalla scoperta, all'email che hai registrato. Nella comunicazione indica, appena li conosce, la natura della violazione, le categorie e il numero approssimativo di persone e di dati coinvolti, le conseguenze probabili e le misure prese o proposte. Ti aiuta poi a fare le notifiche al Garante e agli interessati, se servono.

10. Altra assistenza

Su richiesta, il Responsabile ti dà le informazioni che servono per la valutazione d'impatto (art. 35 GDPR) e per l'eventuale consultazione preventiva del Garante (art. 36), per quanto riguarda Kairomi Pro.

11. Fine del trattamento

Al termine dell'assistenza il Responsabile cancella entro 30 giorni ogni copia dei tuoi dati che ha ricevuto (per esempio un'esportazione del database) e chiude gli accessi che gli hai dato, se non li hai già chiusi tu. I dati sul tuo sito restano tuoi: decidi tu se e quando cancellarli (Kairomi › Configurazione › Impostazioni › Disinstallazione). Finché sul sito resta installato un altro plugin Kairomi, eliminarne uno non cancella i dati: per esempio, dopo il passaggio a Pro puoi eliminare la versione gratuita e i dati restano, perché li usa Pro.

Restano solo i dati che la legge obbliga a conservare.

12. Verifiche

Il Responsabile ti dà le informazioni necessarie a dimostrare il rispetto di questo accordo. Puoi chiedere una verifica, anche tramite un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo dopo una violazione dei dati, a tue spese. Di norma la verifica si fa per iscritto, con questionario e documenti.

13. Responsabilità e legge applicabile

La responsabilità delle parti segue l'art. 82 GDPR e, per il resto, le regole delle Condizioni di vendita e di licenza. Questo accordo è regolato dalla legge italiana; il foro è quello indicato nelle Condizioni.

Allegato 1: dati e interessati

Interessati: i clienti del negozio che prenotano; il personale del negozio inserito nel plugin.

Dati che il plugin conserva nel tuo sito, a cui il Responsabile accede solo se gli dai accesso:

• clienti: nome, telefono, email, consensi;
• animali: nome, specie, taglia, razza, peso, note di salute e allergie;
• prenotazioni, note, campo personalizzato, pagamenti registrati, registro delle email inviate;
• personale: nome, email, telefono, ruolo, orari, assenze, sedi.

Allegato 2: misure di sicurezza

Organizzative

• Ai sistemi del Responsabile accede solo il Responsabile.
• Le chiavi di produzione del Servizio licenze sono salvate come segreti del fornitore di hosting, non nel codice.
• I dati dei clienti non si usano per prove o sviluppo: per le prove si usano dati di esempio.
• Le copie di dati ricevute per assistenza si cancellano entro 30 giorni dalla fine dell'intervento.

Tecniche

• I dati restano nel database del sito del negozio. Il plugin manda al servizio che gestisce licenze e pagamenti solo la chiave, l'indirizzo del sito, la versione del plugin e, quando avvii un acquisto o recuperi la chiave, la tua email: mai dati dei clienti.
• Le pagine di amministrazione controllano i permessi di WordPress e usano i nonce contro le richieste falsificate.
• Il modulo pubblico ha un limite di 12 tentativi all'ora per indirizzo IP, un campo trappola contro lo spam e, se lo attivi, Cloudflare Turnstile. Dell'IP dei visitatori il plugin conserva solo un'impronta, per un'ora.
• Gli strumenti privacy di WordPress permettono di esportare e cancellare i dati di un cliente.

Allegato 3: sub-responsabili, per ruolo