Contratto di nomina a responsabile del trattamento

• Titolare del trattamento: l’attività titolare dell’account Stampaz, con i dati legali che indica in Impostazioni.
• Responsabile del trattamento: Miranda Network, S.L., NIF B-75866194, con sede in Carretera TF-643, 21, piso 01, puerta 1 B, 38600 Granadilla de Abona, Santa Cruz de Tenerife (España), contatto support@mirandanetwork.es.

Il responsabile tratta i dati solo per fornire il servizio di carte fedeltà: iscrizione dei clienti, gestione di timbri, punti e premi, emissione e aggiornamento delle carte su Apple Wallet e Google Wallet, invio degli avvisi decisi dal titolare, statistiche e gestione dei diritti dei clienti.

Operazioni: raccolta, registrazione, conservazione, consultazione, modifica, comunicazione ad Apple e Google per emettere la carta, esportazione e cancellazione.

L’incarico dura finché l’attività ha un account su Stampaz.

• Interessati: clienti del titolare che si iscrivono al suo programma fedeltà e membri del suo team che usano lo scanner.
• Dati: nome; email, telefono e data di compleanno se il titolare li richiede; storico di visite, timbri, punti e premi; preferenza sulle offerte; prova del consenso (data, ora e versione del testo); identificativi tecnici della carta.
• Non si trattano categorie particolari di dati né dati di posizione: l’avviso di prossimità lo decide il telefono del cliente.

Il titolare impartisce le sue istruzioni tramite la configurazione del suo pannello: quali dati richiede, quali avvisi invia, per quanto tempo si conservano i clienti inattivi (tra 6 e 60 mesi) e quali informazioni legali vengono mostrate al cliente. All’iscrizione, il cliente vede un primo livello di informazioni con i dati del titolare, e Stampaz conserva la prova del suo consenso.

Se il responsabile ritiene che un’istruzione violi la normativa, lo comunicherà al titolare.

• Trattare i dati solo secondo le istruzioni documentate del titolare e non usarli per fini propri.
• Garantire la riservatezza delle persone autorizzate a trattare i dati.
• Applicare le misure di sicurezza dell’articolo 32 GDPR: cifratura in transito, isolamento dei dati per attività, controllo degli accessi, copie di backup e registro degli accessi.
• Assistere il titolare nel dare seguito ai diritti degli interessati. I clienti possono correggere e scaricare i propri dati, smettere di ricevere offerte e cancellare tutto dalla loro carta; le richieste che arrivano al responsabile saranno inoltrate al titolare senza ritardo.
• Notificare al titolare le violazioni di dati personali senza ingiustificato ritardo e, in ogni caso, entro un massimo di 48 ore da quando ne è venuto a conoscenza, con le informazioni disponibili.
• Assistere il titolare, ove necessario, nelle valutazioni d’impatto e nelle consultazioni dell’autorità di controllo.
• Mettere a disposizione del titolare le informazioni necessarie a dimostrare la conformità e consentire audit ragionevoli, con preavviso di 30 giorni e a carico del titolare.
• Tenere il registro delle attività di trattamento come responsabile.

Il titolare autorizza in via generale i seguenti sub-responsabili:

• Supabase: database, autenticazione e archiviazione (hosting nell’UE).
• Vercel: hosting dell’applicazione, eseguita nella sua regione di Francoforte (Unione europea).
• Apple e Google: emissione e aggiornamento delle carte nei loro Wallet (solo il contenuto della carta: nome, timbri o punti e codice).

Avviseremo con almeno 15 giorni di anticipo di qualsiasi cambio di sub-responsabili perché il titolare possa opporsi; se si oppone e non esiste un’alternativa, potrà disdire. Ogni sub-responsabile è soggetto a obblighi equivalenti. I trasferimenti fuori dal SEE avvengono con le garanzie del capo V del GDPR (decisioni di adeguatezza, come il Data Privacy Framework UE-USA, o clausole contrattuali tipo).

• Compilare i propri dati legali in Impostazioni, informare i propri clienti e disporre di una base giuridica valida.
• Inviare offerte solo a chi le ha accettate e senza abusare degli avvisi.
• Fare in modo che il proprio personale rispetti il GDPR e custodisca l’accesso allo scanner.

Al termine dell’abbonamento, il responsabile cancella automaticamente tutti i dati 30 giorni dopo. Durante questo periodo, il titolare può esportarli (JSON). Se il titolare cancella il proprio account, la cancellazione è immediata. Saranno conservati bloccati solo i dati che una legge obbliga a mantenere.