Accordo sul trattamento dei dati (DPA)

1. Le parti e i ruoli

Quando raccogli le prenotazioni dei tuoi clienti, il titolare del trattamento sei tu: decidi tu cosa chiedere, perché, e per quanto tenerlo. Noi siamo il responsabile: trattiamo quei dati per tuo conto e solo secondo le tue istruzioni.

• Titolare: l'attività che usa JengaBook (il "Tenant")
• Responsabile: WhiteShirt Atelier, P.IVA 03413040738

2. Oggetto e durata

Il trattamento dura quanto il contratto. Alla fine si applica il § 10 (cancellazione), senza eccezioni e senza che tu debba chiederlo.

3. Natura e finalità

Trattiamo i dati dei tuoi clienti solo per farti funzionare il servizio: raccogliere prenotazioni, mandare conferme e promemoria, tenere l'anagrafica, raccogliere recensioni, produrre le tue statistiche. Non li usiamo per nient'altro, e in particolare non li usiamo per i nostri scopi commerciali né per addestrare modelli.

4. Tipi di dati e categorie di interessati

Interessati: i clienti finali della tua attività, e le persone che lavorano con te.

Dati comuni: nome, cognome, email, telefono, note, storico degli appuntamenti, preferenze.

Dati particolari (art. 9): se accendi il modulo di accoglienza, possono comprendere allergie, gravidanza, terapie in corso, infortuni. Il consenso esplicito a questi dati lo raccogli tu, al momento della prenotazione: è una tua responsabilità, non nostra.

5. Le tue istruzioni

Trattiamo i dati solo secondo le tue istruzioni documentate, che sono: questo accordo, i Termini di servizio, e quello che imposti nel pannello. Se riteniamo che un'istruzione violi la legge, te lo diciamo prima di eseguirla.

6. Riservatezza

Chi da parte nostra può accedere ai dati è vincolato alla riservatezza, riceve solo gli accessi che gli servono, e ogni accesso al pannello di un'attività resta scritto in un registro che possiamo mostrarti.

7. Misure di sicurezza (art. 32)

Le misure in vigore sono nell'Allegato A in fondo a questa pagina. Le aggiorniamo nel tempo, e non le peggioriamo.

8. Sub-responsabili

Ci avvaliamo dei fornitori elencati nella pagina Sub-responsabili. Prima di aggiungerne o cambiarne uno ti avvisiamo con almeno 30 giorni di anticipo. In quei 30 giorni puoi obiettare; se l'obiezione è fondata e non troviamo un'alternativa, puoi recedere senza penali.

9. I diritti dei tuoi clienti

Se un tuo cliente esercita un diritto (accesso, cancellazione, portabilità), rispondi tu: sei il titolare. Noi ti diamo gli strumenti per farlo — dalla scheda cliente puoi esportare tutti i suoi dati o cancellarli — e se ti serve altro ti assistiamo entro 5 giorni lavorativi.

Se una richiesta arriva direttamente a noi, non rispondiamo nel merito: la giriamo a te.

10. Cancellazione e restituzione

Alla fine del contratto hai 30 giorni per scaricare tutti i tuoi dati dal pannello. Dopo 90 giorni li cancelliamo in via definitiva, automaticamente.

Restano solo i documenti fiscali — fatture, pagamenti, ricevute — che la legge ci obbliga a conservare per dieci anni. Non è una scelta nostra, ed è imposta anche a livello tecnico: cancellare un'attività che ha fatture non è possibile.

11. Verifiche

Hai diritto a una verifica all'anno, con 30 giorni di preavviso, in orario di lavoro, senza interferire con gli altri clienti. Possiamo rispondere con una certificazione o con un rapporto di audit equivalente, se lo consideri sufficiente.

12. Violazioni dei dati

Se subiamo una violazione che riguarda i dati dei tuoi clienti, te lo diciamo entro 48 ore da quando lo sappiamo, con quello che sappiamo in quel momento. Te lo diciamo anche se non siamo ancora sicuri: sei tu a dover notificare al Garante entro 72 ore, e non puoi farlo se non lo sai.

13. Trasferimenti fuori dall'Unione

Vedi la pagina Sub-responsabili. Le risposte al modulo di accoglienza non escono mai dai nostri server.

14. Versione

Versione 2026-10. Se cambia in modo sostanziale te lo diciamo con 30 giorni di anticipo.

Allegato A — Misure tecniche e organizzative

• Cifratura in transito: HTTPS ovunque, con HSTS
• Segreti cifrati a riposo: i token delle integrazioni (WhatsApp, Google Calendar) sono cifrati nel database
• Password: conservate con bcrypt, mai in chiaro
• Dati delle carte: non li tocchiamo mai; li gestisce Stripe
• Separazione fra attività: imposta da un filtro automatico su ogni interrogazione al database
• Ruoli: titolare, amministratore e collaboratore hanno accessi diversi; le cose che toccano i soldi sono riservate al titolare
• Verifica in due passaggi: obbligatoria per il nostro personale, disponibile per te
• Registro: accessi, esportazioni, cancellazioni e impersonificazioni restano scritti per 12 mesi
• Copie di sicurezza: giornaliere, conservate 30 giorni
• Limiti di frequenza e captcha su tutte le pagine pubbliche
• Cancellazione automatica secondo i tempi del § 10

Per qualsiasi cosa: info@jengabook.com.