GDPR e trattamento dei dati

1. Chi è responsabile di che cosa

Il Fornitore del Servizio è TU Italia S.r.l., con sede legale in Via Sommacampagna 9, 00185 Roma, Italia, partita IVA IT09802381005, REA RM-1190289, email info@touroperate.com, telefono 0039 393 4578504.

Per i dati personali che un Operatore inserisce nel Servizio (le sue guide e i suoi fornitori, il suo personale, i partecipanti alle sue partenze), l’Operatore è il titolare del trattamento e TU Italia S.r.l. è il responsabile del trattamento (art. 18.1 e art. A.1.1 delle Condizioni). Per i dati necessari a gestire il proprio rapporto con l’Operatore (account, accesso, assistenza, fatturazione, sicurezza del Servizio) e per i visitatori del sito, TU Italia S.r.l. è il titolare, come descritto nell’informativa sulla privacy.

2. L’Accordo sul Trattamento dei Dati

L’Allegato A alle Condizioni è l’Accordo sul Trattamento dei Dati Personali richiesto dall’art. 28 GDPR. Costituisce parte integrante delle Condizioni, quindi si applica a ogni abbonamento in quanto parte delle Condizioni accettate dall’Operatore, e disciplina il trattamento dei dati personali contenuti nei Dati del Cliente.

Ne stabilisce l’oggetto e la durata, la natura e la finalità, le categorie di interessati e di dati, e gli obblighi e i diritti di entrambe le parti (artt. da A.1 ad A.7).

3. Che cosa tratta il Servizio per un Operatore

Il trattamento riguarda i dati necessari a erogare il Servizio, per la durata del contratto e per i periodi indicati all’art. A.6: raccolta, registrazione, conservazione, consultazione, estrazione, comunicazione all’Operatore e cancellazione, svolte con strumenti elettronici al solo fine di fornire le funzionalità gestionali del Servizio (art. A.1.2).

Gli interessati sono i clienti finali e i partecipanti dell’Operatore, i suoi referenti e il suo personale, e le sue guide e i suoi fornitori; i dati sono dati identificativi e di contatto, dati di prenotazione e le note operative inserite dall’Operatore. Il Servizio non è destinato al trattamento sistematico di categorie particolari di dati ai sensi dell’art. 9 GDPR e non raccoglie né conserva i dati di pagamento dei clienti finali (art. A.1.3).

4. Gli impegni di TourOperate come responsabile

Ai sensi dell’art. A.2 delle Condizioni, TU Italia S.r.l. si impegna a:

• trattare i dati solo su istruzione documentata dell’Operatore, salvi gli obblighi di legge;
• garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adottare le misure di sicurezza richieste dall’art. 32 GDPR;
• rispettare le condizioni per il ricorso a sub-responsabili;
• assistere l’Operatore nel rispondere alle richieste degli interessati e negli obblighi di cui agli artt. da 32 a 36 GDPR;
• informare senza ritardo l’Operatore se un’istruzione viola la normativa sulla protezione dei dati;
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consentire gli audit.

5. Sicurezza

Le misure comprendono il controllo degli accessi basato sui ruoli e il principio del privilegio minimo, la cifratura dei dati in transito (TLS) e a riposo, backup periodici e procedure di ripristino, la separazione degli ambienti e gli aggiornamenti di sicurezza, istruzioni e formazione per il personale autorizzato e una procedura interna di gestione delle violazioni. Possono essere aggiornate purché il livello complessivo di protezione non si riduca (art. A.3).

L’accesso del personale di assistenza, amministrazione e sicurezza di TourOperate è nominativo, autenticato, limitato a quanto strettamente necessario, registrato in log dedicati e verificato periodicamente (art. B.3).

6. Sub-responsabili

L’Operatore rilascia un’autorizzazione generale per i sub-responsabili necessari a erogare il Servizio. TU Italia S.r.l. impone a ciascuno di essi obblighi di protezione dei dati equivalenti a quelli dell’Allegato A e resta responsabile verso l’Operatore del loro adempimento (artt. A.4.1 e A.4.2). I sub-responsabili attualmente incaricati per il Servizio sono:

I fornitori di posta elettronica e di servizi contabili, fiscali e legali operano nei limiti dei rispettivi incarichi; la loro identità può essere richiesta a info@touroperate.com. Le modifiche previste all’elenco sono comunicate all’Operatore con almeno 15 giorni di anticipo; l’Operatore può opporsi per motivi legittimi e, in mancanza di una soluzione alternativa, recedere senza penali (art. A.4.1).

7. Trasferimenti al di fuori dello Spazio economico europeo

Il database principale del Servizio è ospitato nell’Unione europea, nella regione di Francoforte. Alcuni sub-responsabili hanno sede al di fuori dello Spazio economico europeo, in particolare negli Stati Uniti, e i servizi di backup, assistenza e accessori possono comportare trattamenti al di fuori del SEE.

Ai sensi dell’art. A.5.2 delle Condizioni, TU Italia S.r.l. si impegna affinché ogni trasferimento di questo tipo sia coperto da uno strumento di trasferimento previsto dal Capo V GDPR (una decisione di adeguatezza ove applicabile, oppure le clausole contrattuali tipo con le misure supplementari necessarie nel caso specifico), a tenere documentate le garanzie relative a ciascun sub-responsabile e a fornirne all’Operatore, su richiesta a info@touroperate.com, gli estremi e una copia.

8. Violazioni dei dati personali

TU Italia S.r.l. notifica all’Operatore ogni violazione dei dati personali senza ingiustificato ritardo dopo esserne venuta a conoscenza, con le informazioni disponibili di cui l’Operatore ha bisogno per adempiere ai propri obblighi ai sensi degli artt. 33 e 34 GDPR (art. A.5.1).

9. Richieste degli interessati

Quando una persona chiede di esercitare i propri diritti su dati inseriti nel Servizio da un Operatore, il titolare è quell’Operatore. TourOperate trasmette senza ritardo la richiesta all’Operatore e lo assiste nella risposta (art. A.2, lett. e) delle Condizioni e sezione 10 dell’informativa sulla privacy).

Per i dati che TU Italia S.r.l. tratta come titolare, le richieste ricevono risposta senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi nei casi di particolare complessità (art. 12.3 GDPR).

10. Audit e verifiche

L’Operatore può svolgere audit e ispezioni, direttamente o tramite un revisore da esso incaricato, con ragionevole preavviso; di norma una volta l’anno, salvi ulteriori audit richiesti dalla legge o da un’autorità di controllo, o a seguito di una violazione dei dati personali (art. A.2, lett. g)).

Su ragionevole richiesta, l’Operatore può inoltre ottenere i log di accesso relativi al proprio tenant, l’elenco aggiornato dei sub-responsabili e il punto di contatto per le questioni di sicurezza e protezione dei dati (art. B.6.1).

11. Alla fine del contratto

A scelta dell’Operatore, i suoi dati sono restituiti in un formato standard leggibile da dispositivo automatico e/o cancellati insieme alle copie esistenti, salvi gli obblighi legali di conservazione. L’Operatore può richiedere l’esportazione per 30 giorni dalla cessazione; in assenza di una diversa richiesta i dati sono poi cancellati, salvo i backup, che restano isolati e sono sovrascritti secondo i cicli ordinari (artt. 10.4 e A.6).

Un limite va detto con chiarezza: un’email già recapitata non può essere richiamata né cancellata. La cancellazione raggiunge le copie detenute da TourOperate; la conservazione presso il fornitore di posta segue le politiche di quel fornitore, e la copia nella casella del destinatario resta definitivamente fuori dal controllo di TourOperate.

12. Separazione da EnRoma.com

TU Italia S.r.l. gestisce anche l’attività turistica EnRoma.com. L’Allegato B delle Condizioni la tiene separata dai dati degli Operatori: EnRoma.com usa il Servizio come un normale tenant, senza accessi privilegiati, il suo personale turistico non è autorizzato ad accedere ai dati degli altri Operatori, e i dati degli Operatori, anche in forma aggregata o derivata, non sono mai usati per i prezzi, il marketing, le vendite o il posizionamento di EnRoma.com. Una violazione dà all’Operatore il diritto di risolvere il contratto con effetto immediato, un’esportazione gratuita dei propri dati e il risarcimento del danno che dimostri, al di fuori dei limiti di responsabilità delle Condizioni (artt. da B.1 a B.5). Gli impegni sono riassunti anche nella pagina Fiducia.

13. Contatti e autorità di controllo

Le domande sulla protezione dei dati, la sicurezza, l’Accordo sul Trattamento dei Dati e i sub-responsabili sono gestite all’indirizzo info@touroperate.com.

Gli interessati hanno inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo del proprio Stato di residenza.