Quardy

1. Parti e oggetto

Il presente accordo («DPA») disciplina, ai sensi dell'articolo 28 del Regolamento generale sulla protezione dei dati (GDPR), i trattamenti di dati personali effettuati da Quardy per conto degli esercenti che utilizzano il servizio.

• L'Esercente, titolare di un account esercente Quardy, agisce in qualità di titolare del trattamento per i dati dei propri clienti.
• Damien Buchet, editore di Quardy (SIRET: 52825331300035, damien@quardy.app), di seguito «Quardy», agisce in qualità di responsabile del trattamento.

Il presente DPA costituisce parte integrante delle Condizioni Generali d'Uso. L'Esercente lo accetta al momento della creazione della propria attività e si applica per tutta la durata di utilizzo del servizio. Non riguarda i dati che Quardy tratta per conto proprio (account utente, fatturazione degli abbonamenti), descritti nell'Informativa sulla Privacy.

2. Descrizione del trattamento

• Finalità: gestione del programma fedeltà dell'Esercente (carte fedeltà, visite, premi, carte regalo, campagne di notifiche, statistiche, esportazione della lista clienti)
• Natura delle operazioni: raccolta, registrazione, hosting, consultazione, aggiornamento dei pass Apple Wallet e Google Wallet, invio di notifiche ed email, esportazione, cancellazione
• Interessati: clienti dell'Esercente, beneficiari delle sue carte regalo, membri del suo team
• Categorie di dati: nome e cognome; numero di telefono (clienti aggiunti manualmente); indirizzo email (clienti con account, beneficiari di carte regalo); saldo e storico delle visite, con eventuale importo d'acquisto; consenso marketing; lingua; identificativi tecnici delle carte e dei dispositivi
• Dati particolari: nessuno. Il servizio non è progettato per trattare categorie particolari di dati ai sensi dell'articolo 9 del GDPR
• Durata: per tutta la durata di utilizzo del servizio da parte dell'Esercente

3. Obblighi di Quardy

3.1 Istruzioni

Quardy tratta i dati esclusivamente su istruzione documentata dell'Esercente. Tali istruzioni sono costituite dalle Condizioni d'Uso, dal presente DPA e dalle azioni compiute dall'Esercente nell'applicazione. Se Quardy ritiene che un'istruzione violi la normativa, ne informa immediatamente l'Esercente.

3.2 Riservatezza

Quardy garantisce che le persone autorizzate ad accedere ai dati siano soggette a un obbligo di riservatezza. Quardy non utilizza mai i dati dei clienti dell'Esercente per fini propri, non li vende e non li comunica ad altri esercenti.

3.3 Sicurezza

Quardy adotta le misure tecniche e organizzative descritte nell'allegato 2 per garantire un livello di sicurezza adeguato al rischio.

3.4 Sub-responsabili

L'Esercente autorizza Quardy ad avvalersi dei sub-responsabili elencati nell'allegato 1. Quardy impone loro obblighi di protezione dei dati equivalenti a quelli del presente DPA. Quardy informa l'Esercente di ogni aggiunta o sostituzione di un sub-responsabile aggiornando questa pagina e, in caso di modifica importante, via email. L'Esercente può opporvisi cessando di utilizzare il servizio.

3.5 Diritti degli interessati

L'applicazione consente all'Esercente di consultare, correggere ed eliminare i dati dei propri clienti. Se un cliente si rivolge direttamente a Quardy con una richiesta relativa ai dati detenuti dall'Esercente, Quardy la trasmette all'Esercente senza ingiustificato ritardo e lo aiuta a rispondere.

3.6 Violazioni dei dati

Quardy notifica all'Esercente qualsiasi violazione dei dati personali che lo riguardi senza ingiustificato ritardo, e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, con le informazioni disponibili per consentirgli di adempiere ai propri obblighi di notifica.

3.7 Assistenza

Su richiesta, Quardy fornisce all'Esercente le informazioni ragionevolmente necessarie per effettuare una valutazione d'impatto o rispondere a un'autorità di controllo.

3.8 Sorte dei dati

Prima di lasciare il servizio, l'Esercente può esportare la propria lista clienti dall'applicazione (piani a pagamento) o richiederla via email. Alla cancellazione dell'account esercente, l'attività viene eliminata e le carte dei suoi clienti vengono disattivate; i clienti che dispongono di un account Quardy conservano l'accesso alla propria carta finché non la eliminano.

3.9 Audit

Quardy mette a disposizione dell'Esercente le informazioni necessarie a dimostrare il rispetto del presente DPA. L'Esercente può, a proprie spese, richiedere un audit al massimo una volta all'anno, con un preavviso di 30 giorni, nel rispetto della riservatezza dei dati degli altri esercenti.

4. Obblighi dell'Esercente

• Disporre di una base giuridica per i trattamenti affidati a Quardy e informare i propri clienti dell'utilizzo di Quardy per il programma fedeltà
• Registrare solo i dati necessari al programma, e nessun dato particolare (salute, opinioni, ecc.) nei campi liberi
• Inviare campagne di notifiche solo ai clienti che le hanno accettate (Quardy si rivolge solo a questi clienti)
• Utilizzare i dati dei propri clienti esclusivamente per la gestione del programma fedeltà, in conformità alle Condizioni d'Uso

5. Localizzazione e trasferimenti

I dati sono ospitati nell'Unione europea, su Google Cloud (Firebase). Alcuni sub-responsabili elencati nell'allegato 1 possono trattare dati negli Stati Uniti; tali trasferimenti sono disciplinati dal Data Privacy Framework UE–USA e/o dalle clausole contrattuali tipo della Commissione europea.

6. Responsabilità e durata

La responsabilità di ciascuna parte è disciplinata dalle Condizioni d'Uso e dal GDPR. Il presente DPA si applica finché Quardy tratta dati per conto dell'Esercente. Può essere aggiornato per seguire l'evoluzione del servizio o della normativa; la data dell'ultimo aggiornamento è indicata in fondo a questa pagina.

Allegato 1: sub-responsabili

• Google Cloud / Firebase (Google): hosting, database, autenticazione, archiviazione, elaborazioni lato server. Unione europea
• Apple: emissione e aggiornamento dei pass Apple Wallet
• Google: emissione e aggiornamento dei pass Google Wallet
• Resend: invio delle email (carte regalo, esportazioni dei clienti). Stati Uniti
• Expo (650 Industries): consegna delle notifiche push delle campagne. Stati Uniti
• Sentry (Functional Software): monitoraggio degli errori tecnici. Stati Uniti

Allegato 2: misure di sicurezza

• Cifratura dei dati in transito (HTTPS/TLS) e a riposo
• Hosting in Europa su un'infrastruttura Google Cloud
• Autenticazione degli utenti tramite Firebase Authentication, senza password memorizzate da Quardy
• Separazione dei dati tramite regole di accesso lato server: ogni esercente accede solo ai dati dei propri clienti
• Campi sensibili (abbonamento, quote) modificabili solo dal server
• Permessi limitati per i membri del team: solo scansione delle carte, senza accesso alla lista clienti, alle campagne né alle impostazioni
• Accesso alle carte Wallet senza account protetto da un token segreto proprio di ciascuna carta
• Limitazione del numero di richieste sui punti di accesso pubblici e sensibili
• Indirizzi IP conservati solo in forma cifrata (hash)
• Pagamenti trattati esclusivamente da Stripe, senza dati bancari presso Quardy
• Monitoraggio continuo degli errori