Addendum sul Trattamento dei Dati (DPA)

Il presente Addendum sul Trattamento dei Dati (« DPA ») costituisce parte integrante dei Termini di Servizio / dell’accordo principale tra il Cliente (« Titolare del trattamento ») e Qiq LLC (« Responsabile del trattamento » o « Società ») riguardo all’utilizzo della piattaforma SaaS Qiq smart e dei servizi correlati (collettivamente i « Servizi »). In caso di conflitto, il presente DPA prevale per tutte le questioni relative alla protezione dei dati.

1. Definizioni

I termini « Dati personali », « Trattamento », « Titolare del trattamento », « Responsabile », « Sub-responsabile », « Violazione dei dati personali », « Autorità di controllo » ecc. hanno il significato definito dal Regolamento (UE) 2016/679 (« GDPR »). « Accordo » indica i Termini di Servizio / l’accordo principale stipulato con il Cliente.

2. Ambito di applicazione & Ruoli

Ai fini dell’utilizzo dei Servizi, il Cliente agisce come Titolare del trattamento e Qiq LLC come Responsabile del trattamento. Qiq LLC tratta i Dati personali esclusivamente per conto del Cliente e in conformità al presente DPA.

3. Istruzioni documentate

• Qiq LLC tratta i Dati personali solo sulla base di istruzioni documentate fornite dal Cliente.
• Se Qiq LLC ritiene che un’istruzione violi la normativa applicabile, ne informa prontamente il Cliente.

4. Dettagli del trattamento (Allegato A)

Le categorie degli interessati, i tipi di dati, le finalità, la durata e la natura del trattamento sono descritti nell’Allegato A.

5. Sicurezza

Qiq LLC implementa misure tecniche e organizzative adeguate (TOM), tra cui cifratura in transito e a riposo, controlli di accesso (MFA, privilegi minimi), separazione degli ambienti, logging/monitoraggio, backup e un piano di risposta agli incidenti. Elenco illustrativo in Allegato A3.

6. Riservatezza & Personale

Il personale autorizzato è vincolato da obblighi di riservatezza e riceve una formazione adeguata sulla protezione dei dati.

7. Sub-responsabili

Il Cliente autorizza l’uso dei sub-responsabili elencati nell’Allegato B. Qiq LLC notificherà modifiche rilevanti (es. aggiunte/sostituzioni) con un preavviso ragionevole (tipicamente 15–30 giorni) per consentire eventuali obiezioni.

8. Diritti degli interessati

Qiq LLC assiste il Cliente nella gestione delle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché nelle comunicazioni agli interessati quando necessario.

9. Violazioni dei dati personali

Qiq LLC informerà il Cliente senza ingiustificato ritardo di eventuali violazioni di Dati personali, fornendo informazioni disponibili sulla natura dell’incidente, le categorie/quantità approssimative dei dati interessati, le conseguenze probabili e le misure di mitigazione adottate.

10. Assistenza DPIA & Cooperazione

Qiq LLC fornisce assistenza ragionevole nelle Valutazioni d’Impatto (DPIA) e coopera con le Autorità di controllo quando richiesto.

11. Trasferimenti internazionali

In caso di trasferimenti al di fuori dello SEE / Regno Unito, vengono applicate le Clausole Contrattuali Tipiche (SCC) insieme a misure supplementari, conformemente al GDPR. Qiq LLC garantisce un livello di protezione equivalente.

12. Eliminazione o restituzione dei dati

Dopo la cessazione dell’Accordo, Qiq LLC eliminerà o restituirà i Dati personali entro 30 giorni, salvo obblighi di conservazione previsti dalla legge.

13. Audit & Informazioni

Su richiesta e a intervalli ragionevoli, Qiq LLC mette a disposizione le informazioni necessarie a dimostrare la conformità al presente DPA e consente audit/ispezioni da parte del Cliente o di un revisore designato, nel rispetto della riservatezza e di limiti ragionevoli.

14. Responsabilità

La responsabilità delle parti in materia di protezione dei dati è regolata dalla normativa applicabile e dall’Accordo. Ogni parte è responsabile delle proprie azioni/omissioni che violino il presente DPA o la legge.

15. Legge applicabile & Gerarchia

Il presente DPA è disciplinato dalla legge applicabile indicata nell’Accordo, fatto salvo quanto previsto dal GDPR. Le SCC sono disciplinate dalla legge da esse prevista. In caso di conflitto, il DPA prevale per le questioni relative alla protezione dei dati.

16. Comunicazioni & Notifiche

• Responsabile del trattamento (Qiq LLC): 809 Cuesta Dr Ste B, Mountain View, CA 94040, USA — Email: info@qiq.one
• Forma giuridica: Qiq LLC (Stato del New Mexico, USA)
• Sito Web: https://qiq.one

Allegato A — Dettagli del trattamento & Misure di sicurezza

A1. Interessati

• Clienti finali delle aziende clienti di Qiq (es. clienti che effettuano prenotazioni).
• Utenti / personale / amministratori delle aziende clienti.
• Contatti di fatturazione e supporto.

A2. Categorie di Dati personali

• Dati identificativi & di contatto (nome, email, telefono).
• Dati di prenotazione/appuntamenti, preferenze, note inserite dal cliente.
• Dati tecnici/di utilizzo (IP, user agent, log, timestamp).
• Fatturazione/pagamenti (token/ID del fornitore; nessun dato grezzo della carta).
• Contenuti di supporto (ticket, allegati, metadati).

A3. Finalità & Natura

• Fornitura ed esercizio della piattaforma SaaS Qiq smart.
• Comunicazioni transazionali (es. conferme/promemoria), supporto, manutenzione.
• Fatturazione/pagamenti, prevenzione abusi, sicurezza, analytics di performance.

A4. Durata & Conservazione

Per tutta la durata dell’Accordo e per il tempo richiesto da eventuali obblighi legali. I dati vengono eliminati/anonimizzati secondo la policy del Cliente o su richiesta, salvo diversa previsione di legge.

A5. Misure tecniche & organizzative (TOM) — Indicative

• Cifratura in transito (TLS 1.2+) e a riposo (DB/volumi ove applicabile).
• Controllo degli accessi: MFA, RBAC, privilegi minimi, segregazione dei compiti.
• Gestione segreti/chiavi, patch regolari, scansioni di vulnerabilità.
• Logging/monitoraggio degli eventi, alerting, piano di risposta agli incidenti.
• Backup, verifiche di integrità, test di ripristino, segregazione dei dati.
• SDLC sicuro, change management, revisione del codice.

Allegato B — Sub-responsabili approvati

• Hetzner Online GmbH (UE — attuale): hosting, calcolo, storage e rete.
• Pointer / pointer.gr (GR — attuale): reverse proxy, DNS/domini e log operativi/di sicurezza.
• Resend (condizionale): invio di notifiche interne sui lead quando configurato.
• Stripe (futuro): pagamenti/abbonamenti solo quando viene attivato il checkout a pagamento.
• Amazon Web Services — SES/S3 (futuro/condizionale): email o object storage solo se configurato.

I fornitori attuali e condizionali si applicano solo ai componenti live che li utilizzano. I fornitori futuri non ricevono dati prima dell’attivazione. Quando un trasferimento SEE/UK verso un paese terzo lo richiede, devono essere completati il modulo SCC 2021 applicabile, gli allegati e la valutazione del trasferimento.

Il presente DPA pubblico è un quadro e diventa vincolante solo quando accettato o sottoscritto con il relativo contratto di servizio, ordine o onboarding.

In caso di discrepanza tra la versione greca e quella inglese, prevale la versione inglese.