1. Parti e oggetto
Il presente accordo è concluso tra il cliente titolare di uno spazio Orkalo (« il titolare ») e l'editore di Orkalo, Keddy Girel Andamba Gnegne, imprenditore individuale, SIREN 923 735 674, 5 Rue Sarret de Coussergues, Résidence Jules Verne, 34300 Agde, France (« il responsabile »). Precisa come il responsabile tratta, per conto del titolare, i dati personali affidati a Orkalo. Fa parte delle condizioni d'uso e si applica finché esiste lo spazio. L'accettazione delle condizioni d'uso vale come accettazione del presente accordo; una versione firmata separatamente può essere fornita su richiesta.
2. Descrizione del trattamento
- Natura: hosting, conservazione, consultazione, trasmissione alle piattaforme collegate, invio di messaggi, produzione di documenti, cancellazione.
- Finalità: gestione di affitti brevi (alloggi, prenotazioni, ospiti, interventi, proprietari, pagamenti).
- Interessati: ospiti, operatori (con o senza account), proprietari, membri della squadra del titolare.
- Dati: identità e recapiti, date e dettagli dei soggiorni, importi, messaggi, foto, documenti firmati (nome, data, IP), timbratura degli interventi (posizione al tocco) e, se il titolare li richiede, documenti d'identità e schede ospiti.
- Durata: quella dell'abbonamento, seguita da restituzione e cancellazione (articolo 9).
3. Istruzioni del titolare
Il responsabile tratta i dati solo su istruzione documentata del titolare: queste istruzioni sono le impostazioni e le azioni effettuate in Orkalo, oltre al presente accordo. Se un'istruzione gli sembra contraria al GDPR, ne informa il titolare senza indugio.
4. Riservatezza e sicurezza
Le persone autorizzate ad accedere ai dati presso il responsabile sono tenute alla riservatezza e vi accedono solo se necessario (supporto richiesto, incidente). Le misure di sicurezza applicate sono descritte nell'allegato (articolo 11).
5. Sub-responsabili
Il titolare autorizza il responsabile ad avvalersi dei fornitori elencati nell'informativa sulla privacy (hosting, e-mail, collegamento alle piattaforme, pagamenti, ricerca degli indirizzi, accesso con Apple / Google). Il responsabile impone loro obblighi di protezione equivalenti. Informa il titolare di ogni aggiunta o sostituzione almeno 30 giorni prima; il titolare può opporsi per un motivo legittimo e, in mancanza di soluzione, recedere senza costi.
6. Diritti degli interessati
Il responsabile aiuta il titolare a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione), in particolare grazie alle funzioni di esportazione e cancellazione di Orkalo. Una richiesta ricevuta direttamente dal responsabile viene trasmessa al titolare senza indugio.
7. Violazione dei dati
Il responsabile notifica al titolare ogni violazione dei dati personali entro 48 ore da quando ne viene a conoscenza, con le informazioni utili perché il titolare possa, se del caso, avvisare l'autorità di controllo entro 72 ore e gli interessati.
8. Assistenza e prove
Il responsabile assiste ragionevolmente il titolare nelle valutazioni d'impatto e nella consultazione dell'autorità di controllo. Mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e accetta audit, con un preavviso di 30 giorni e a spese del titolare, senza accesso ai dati degli altri clienti.
9. Fine del contratto
Alla fine dell'abbonamento il titolare può esportare i propri dati per 30 giorni. Il responsabile li cancella poi, anche dai backup al termine del loro ciclo di 30 giorni, salvo obbligo legale di conservazione. La cancellazione è completata al più tardi 90 giorni dopo la fine dell'abbonamento.
10. Obblighi del titolare
Il titolare sceglie la base giuridica di ogni trattamento, informa gli interessati (ospiti, operatori, proprietari), in particolare sulla timbratura geolocalizzata e sulla raccolta dei documenti d'identità, e chiede solo i dati necessari. Imposta i permessi della propria squadra e protegge i propri accessi.
11. Allegato: misure di sicurezza
- Connessioni cifrate (HTTPS) e password cifrate.
- Sessioni revocabili; token conservati nel portachiavi dei telefoni; Face ID o impronta nelle app.
- Separazione rigorosa degli spazi dei clienti e permessi per ruolo.
- Documenti d'identità archiviati a parte, accesso limitato, cancellazione automatica.
- Limite dei tentativi di accesso e registro delle azioni sensibili.
- Backup giornalieri cifrati, conservati 30 giorni.
- Cancellazione automatica delle timbrature dopo 12 mesi.
- Server nell'Unione europea presso UpCloud (Finlandia).