Accordo sul trattamento dei dati (DPA)

Questo accordo si applica quando un utente di Vela (il "Cliente") utilizza la piattaforma per raccogliere dati personali di soggetti terzi — ad esempio i visitatori che compilano un modulo di prenotazione o di contatto sul sito creato con Vela. In tal caso il Cliente è Titolare del trattamento di quei dati e Vela è Responsabile ai sensi dell'art. 28 GDPR. Accettando i Termini del servizio, il Cliente accetta anche il presente accordo.

Parti

Il Cliente — l'utente titolare di una licenza Vela, come identificato nei dati del proprio account (il "Titolare")

DIDIWEB DI DONNA MICHAEL — P.IVA 12288510964 — C.F. DDNMHL92R09B300B — Via Parma 48, 20025 Legnano (MI) — email michael.didonna.92@gmail.com (il "Responsabile" o "Vela")

1. Premesse e definizioni

1.1 Il Titolare utilizza la piattaforma Vela per realizzare e gestire il proprio sito web e, tramite esso, raccogliere dati personali di propri utenti/clienti finali (i "Visitatori").

1.2 Nell'erogazione del servizio, Vela tratta tali dati esclusivamente per conto e su istruzione del Titolare, assumendo il ruolo di Responsabile del trattamento.

1.3 I termini "dati personali", "trattamento", "titolare", "responsabile", "interessato", "violazione dei dati personali" hanno il significato di cui all'art. 4 GDPR.

2. Oggetto, natura e finalità del trattamento

Oggetto	Trattamento dei dati personali dei Visitatori raccolti tramite il sito del Titolare realizzato con Vela
Natura e finalità	Ricezione, memorizzazione, organizzazione e messa a disposizione al Titolare dei dati inviati dai Visitatori tramite i moduli del sito (prenotazioni, richieste di contatto), al solo fine di consentire al Titolare di gestirli; invio al Titolare delle relative notifiche
Durata	Per tutta la durata del contratto di servizio tra le Parti
Interessati	Visitatori/clienti finali del sito del Titolare che compilano i moduli
Categorie di dati	Dati anagrafici e di contatto (nome, email, telefono), dettagli della richiesta/prenotazione (data, ora, servizio, numero di persone, messaggio libero e ulteriori campi definiti dal Titolare), indirizzo IP a fini di sicurezza

Il Titolare non deve utilizzare i moduli per raccogliere categorie particolari di dati (art. 9 GDPR) senza aver predisposto una base giuridica idonea e informato Vela; resta l'unico responsabile della legittimità dei dati che sceglie di raccogliere.

3. Obblighi del Responsabile

Vela si impegna a:

• Istruzioni documentate — trattare i dati solo su istruzione documentata del Titolare (incluse quelle impartite tramite la configurazione della piattaforma e il presente accordo), salvo obblighi di legge, nel qual caso ne informa il Titolare.
• Riservatezza — garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza.
• Sicurezza (art. 32) — adottare misure tecniche e organizzative adeguate (Allegato B), tra cui cifratura, controllo degli accessi, protezione delle comunicazioni, resilienza dei sistemi e procedure di ripristino.
• Sub-responsabili — ricorrere ad altri responsabili solo alle condizioni della sezione 4, imponendo loro i medesimi obblighi di protezione.
• Assistenza al Titolare — assisterlo nel dare seguito alle richieste degli interessati (artt. 15-22) e negli adempimenti su sicurezza, violazioni e valutazioni d'impatto (artt. 32-36).
• Violazioni dei dati — informare il Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, con le informazioni utili agli obblighi di notifica (artt. 33-34).
• Cancellazione o restituzione — a scelta del Titolare, cancellare o restituire tutti i dati personali al termine del contratto, salvo obblighi di legge. Il Titolare può cancellare le singole richieste/prenotazioni in qualsiasi momento tramite la piattaforma (cancellazione definitiva). Alla cessazione del servizio (cancellazione dell'account) tutti i dati dei Visitatori sono cancellati integralmente.
• Conformità e audit — mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire attività di revisione con modalità concordate e ragionevole preavviso.

4. Sub-responsabili autorizzati

Sub-responsabile	Servizio	Ubicazione
Serverplan S.r.l.	Infrastruttura server e database che ospita il sito e i dati raccolti	Italia (UE)
Google (Firebase Cloud Messaging)	Recapito al Titolare delle notifiche push relative alle nuove richieste	Extra-UE (USA)
Serverplan S.r.l. (posta elettronica)	Invio al Titolare delle email di notifica	Italia (UE)

Vela informerà il Titolare di eventuali aggiunte o sostituzioni di sub-responsabili, dando modo di opporsi per giustificati motivi. Per i trasferimenti extra-UE si applicano garanzie adeguate ai sensi del Capo V GDPR (Data Privacy Framework e/o Clausole Contrattuali Standard).

5. Trasferimenti verso Paesi terzi

Eventuali trasferimenti di dati verso Paesi extra-UE avvengono esclusivamente in presenza di adeguate garanzie ai sensi degli artt. 44 e ss. GDPR (decisione di adeguatezza, adesione al EU-U.S. Data Privacy Framework, o Clausole Contrattuali Standard).

6. Responsabilità e durata

6.1 Il presente accordo ha efficacia dall'accettazione dei Termini del servizio e per tutta la durata del rapporto contrattuale, cessando con esso.

6.2 Ciascuna Parte risponde dei danni causati dal trattamento nei limiti dell'art. 82 GDPR.

6.3 Per quanto non espressamente disciplinato si rinvia al GDPR e alla normativa applicabile. Foro competente: quello del luogo in cui ha sede il Responsabile, salvo diversa previsione inderogabile di legge.

Allegato A — Dettagli del trattamento

• Interessati: visitatori/clienti finali dei siti realizzati dal Titolare con Vela.
• Tipologie di dati: nome, email, telefono, dettagli e messaggio della richiesta, campi personalizzati definiti dal Titolare, indirizzo IP.
• Operazioni: raccolta tramite modulo, memorizzazione, consultazione da parte del Titolare, notifica, cancellazione.
• Finalità: consentire al Titolare di ricevere e gestire prenotazioni e richieste dai propri clienti.

Allegato B — Misure di sicurezza (art. 32)

• Cifratura AES-256-GCM dei dati sensibili e delle cache; trasmissione via HTTPS/TLS.
• Autenticazione con password Argon2ID; sessioni protette (HttpOnly/SameSite/Secure); token anti-CSRF.
• Controllo degli accessi basato su ruoli e licenza; isolamento dei dati per Titolare.
• Rate-limiting e ban automatico degli IP; pseudonimizzazione dell'IP nelle statistiche.
• Backup e procedure di ripristino; registrazione delle attività amministrative (audit).

Allegato C — Elenco sub-responsabili

Come da sezione 4. L'elenco aggiornato è disponibile su richiesta al Responsabile.