1. Parti, oggetto e durata
Questo accordo disciplina il trattamento per conto dello studio ai sensi dell’art. 28 GDPR. Il Cliente identificato dai dati di registrazione è il Titolare; il Fornitore identificato sopra è il Responsabile. Il trattamento riguarda soltanto i dati necessari a fornire Mesana secondo le istruzioni del Titolare, per la durata del contratto e per la successiva restituzione, cancellazione o conservazione dovuta. L’Allegato I ne descrive oggetto, operazioni e categorie.
I trattamenti per contratti, fatturazione, sicurezza della piattaforma e tutela dei diritti svolti dal Fornitore come titolare autonomo sono descritti nell’informativa privacy e restano distinti dai dati degli allievi.
2. Istruzioni documentate
Le istruzioni comprendono questo DPA, le impostazioni e le operazioni scelte dal Titolare nella piattaforma e le ulteriori istruzioni scritte compatibili con il servizio. Il Responsabile tratta i dati soltanto su queste istruzioni, salvo obbligo di legge, di cui informa il Titolare quando consentito. Se ritiene un’istruzione contraria alla normativa sulla protezione dei dati, ne informa il Titolare e può sospendere l’operazione interessata in attesa di chiarimenti.
3. Base giuridica e dati consentiti
Il Titolare determina la base giuridica, fornisce le informative e conserva le autorizzazioni necessarie. È vietato inserire dati sanitari, altre categorie particolari di dati dell’art. 9 GDPR e dati relativi a condanne o reati dell’art. 10, anche in note, descrizioni e allegati. Il servizio non è progettato per questi trattamenti. La valutazione della necessità di una valutazione d’impatto resta responsabilità del Titolare.
4. Riservatezza e accesso
Il Responsabile limita l’accesso alle persone autorizzate che ne hanno necessità per erogare, mantenere e proteggere il servizio e le vincola alla riservatezza. L’accesso ai dati dello studio per assistenza o interventi tecnici deve essere limitato alla finalità necessaria. Gli accessi amministrativi allo studio sono tracciati. Sono mantenuti controlli di isolamento logico tra organizzazioni.
5. Sicurezza
Il Responsabile adotta le misure tecniche e organizzative descritte nell’Allegato II, tenendo conto della natura del trattamento e del rischio. Assiste il Titolare negli obblighi degli artt. 32–36 GDPR nei limiti delle informazioni disponibili. Le modifiche delle misure non devono ridurre il livello complessivo di protezione; le riduzioni sostanziali sono comunicate con trenta giorni di preavviso e facoltà del Titolare di recedere senza oneri.
6. Comunicazioni agli iscritti
Il Titolare decide le comunicazioni da inviare mediante le funzioni disponibili, ne garantisce la base giuridica e rispetta le regole sulle comunicazioni elettroniche. Non immette contatti acquistati o raccolti illecitamente e gestisce opposizioni e revoche. Il Responsabile fornisce il canale tecnico; può limitare volumi e recapiti o sospendere invii in presenza di indizi di abuso, informando il Titolare. L’identità dello studio nelle comunicazioni dipende dai dati configurati dal Titolare.
7. Diritti degli interessati e verifiche
Il Responsabile mette a disposizione le funzioni di gestione ed esportazione e presta assistenza al Titolare per accesso, rettifica, cancellazione, limitazione e portabilità. Se riceve direttamente una richiesta relativa a dati degli allievi, la trasmette al Titolare senza decidere autonomamente sul rapporto tra studio e interessato. La maggiore attenzione richiesta dai dati dei minori resta applicabile.
Su richiesta, il Responsabile fornisce informazioni per verificare il rispetto di questo accordo. Se non sufficienti, il Titolare può richiedere verifiche con trenta giorni di preavviso, normalmente non più di una volta all’anno, tutelando riservatezza e dati degli altri clienti e sostenendo i costi della verifica. In caso di violazione accertata imputabile al Responsabile, questi limiti di frequenza, preavviso e spesa non si applicano.
8. Sub-responsabili
Il Titolare autorizza in via generale il ricorso ai servizi elencati nell’Allegato III, nel perimetro delle funzioni utilizzate. Il ricorso a sub-responsabili richiede obblighi di protezione dei dati coerenti con questo accordo; il Responsabile resta responsabile verso il Titolare dell’esecuzione dei relativi obblighi. L’elenco descrive servizi e finalità; le informazioni sugli accordi applicabili possono essere richieste al contatto formale.
Aggiunte o sostituzioni sono comunicate con trenta giorni di preavviso. Il Titolare può opporsi entro quindici giorni per motivi ragionevoli e documentati di protezione dei dati. Le parti cercano un’alternativa; se non possibile, il Titolare può recedere senza oneri con rimborso proporzionale del periodo pagato non fruito. Sostituzioni urgenti per sicurezza o cessazione del fornitore possono avvenire senza preavviso, con comunicazione senza ritardo e successiva facoltà di opposizione.
9. Trasferimenti internazionali
Il database e il server applicativo sono configurati a Francoforte. La localizzazione europea non esclude l’eventuale accesso remoto da altri paesi o l’uso di reti globali e funzioni opzionali con fornitori extra-SEE. I trasferimenti, quando ricorrono, richiedono le garanzie applicabili degli artt. 45 o 46 GDPR. Il Responsabile fornisce su richiesta le informazioni disponibili sulle garanzie applicate e informa delle richieste di autorità estere quando consentito dalla legge.
10. Restituzione, cancellazione e conservazione
Il Titolare può esportare i dati in formato strutturato senza corrispettivi per l’estrazione, anche durante sola lettura o sospensione. Alla cessazione può richiedere restituzione o cancellazione mediante il contatto formale. La cancellazione segue le istruzioni del Titolare, salvo conservazione richiesta dalla legge, con informazioni sull’esito su richiesta. Scadenza della prova o sospensione non equivalgono a cancellazione automatica.
Le copie di sicurezza seguono il ciclo di conservazione del servizio infrastrutturale utilizzato; le informazioni sul periodo applicabile possono essere richieste al contatto formale. I dati residui nelle copie devono restare limitati alla conservazione e al ripristino di sicurezza e non essere riutilizzati per altre finalità. Le esigenze di conservazione legale sono comunicate al Titolare e il trattamento è limitato alla finalità dovuta.
11. Violazioni di dati personali
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo aver avuto conoscenza di una violazione che riguarda i dati affidati, utilizzando il recapito del titolare dello studio. Fornisce, per quanto disponibile, natura dell’incidente, dati e interessati coinvolti, conseguenze probabili, misure adottate o proposte e contatto per chiarimenti; completa le informazioni con aggiornamenti successivi.
Il Titolare resta responsabile delle notifiche all’autorità di controllo e agli interessati quando dovute. Il Responsabile collabora e non contatta gli interessati dello studio per l’incidente salvo istruzione del Titolare o obbligo di legge.
12. Minori
Se lo studio eroga corsi a minori, il Titolare garantisce base giuridica, informative comprensibili e autorizzazioni del genitore o tutore quando necessarie. Registra i recapiti dell’adulto di riferimento e non quelli diretti del minore. Le comunicazioni e l’accesso alle funzioni per gli allievi seguono i recapiti e le autorizzazioni configurati dallo studio. Mesana non determina autonomamente l’età dalla sola anagrafica. Lo studio segnala queste esigenze al contatto formale.
13. Finalità e funzioni opzionali
Il Responsabile non vende i dati degli allievi né li usa per proprie finalità commerciali. Il mandato non autorizza l’uso dei dati per addestrare, ottimizzare o valutare modelli di intelligenza artificiale propri o di terzi. Le statistiche aggregate devono impedire ragionevolmente l’identificazione di interessati o singoli studi. I dati sono comunicati ai fornitori nel solo perimetro necessario all’erogazione e alle funzioni istruite dal Titolare.
L’import assistito da AI è facoltativo: quando utilizzato, il contenuto del file può essere inviato ad Anthropic dopo l’informazione e la conferma esplicita dello studio. Il risultato resta da verificare prima dell’applicazione. Un’integrazione Shopify riguarda soltanto lo studio che la collega e i dati necessari ai suoi ordini. Queste funzioni non sono attivate dal semplice accesso al sito.
14. Responsabilità delle parti
Ciascuna parte risponde del trattamento secondo l’art. 82 GDPR. Il Titolare risponde di base giuridica, informative, dati e recapiti inseriti, comunicazioni e istruzioni illecite impartite nonostante avviso. Il Responsabile risponde dei trattamenti contrari alle istruzioni e ai propri obblighi. Il Titolare tiene indenne il Responsabile dalle conseguenze delle violazioni a lui imputabili indicate sopra; il Responsabile tiene indenne il Titolare dalle conseguenze dei trattamenti contrari alle istruzioni o a questo accordo. Nessuna clausola pregiudica i diritti degli interessati o esclude responsabilità inderogabili per legge.
15. Modifiche e disposizioni finali
Le modifiche del DPA per adeguamenti normativi o evoluzione del servizio sono comunicate con trenta giorni di preavviso, con facoltà di recesso senza oneri secondo le Condizioni. Si applicano la legge prevista dalle Condizioni e le norme inderogabili. L’inefficacia di una clausola non pregiudica le altre. Il Titolare può chiedere una copia dell’accordo con i propri dati identificativi e la data di accettazione.
Allegato I — Descrizione del trattamento
Oggetto e finalità: erogazione allo studio di gestione anagrafiche, iscrizioni e pacchetti, calendario, prenotazioni, presenze, vendite e pagamenti, comunicazioni e riepiloghi economici. Operazioni: raccolta, registrazione, organizzazione, conservazione, consultazione, uso, trasmissione, limitazione, esportazione e cancellazione. Durata: rapporto di servizio e successiva gestione dei dati come descritto all’art. 10.
Interessati: allievi adulti e minori quando presenti nei corsi, adulti di riferimento, persone che prenotano, docenti e collaboratori dello studio. Dati: identificativi e recapiti, iscrizioni e crediti, prenotazioni e presenze, date, importi e stato dei pagamenti, dati tecnici di accesso e annotazioni lecite. Nessuna categoria particolare o dato giudiziario è autorizzata. I dati dei minori seguono l’art. 12.
Allegato II — Misure tecniche e organizzative
Credenziali e accesso: password del titolare e del personale conservate tramite hash bcrypt; sessioni mediante cookie HttpOnly; autorizzazioni per ruolo e controlli di appartenenza all’organizzazione nelle operazioni sui dati. I clienti degli studi hanno un accesso distinto da quello del personale. Il traffico pubblico usa HTTPS.
Isolamento e tracciabilità: accesso ai dati vincolato all’organizzazione; verifica dei riferimenti tra entità dello stesso studio; operazioni economiche sensibili in transazione; accessi amministrativi allo studio registrati nel registro di audit. L’esportazione permette al titolare di ottenere i dati del proprio studio. La cancellazione richiede un percorso controllato; non coincide con la semplice scadenza dell’abbonamento.
Sviluppo e continuità: modifiche sottoposte a controlli automatici e revisione; prove di isolamento e atomicità su PostgreSQL sintetico per le funzioni pertinenti. Database e applicazione sono configurati a Francoforte. Le informazioni sul perimetro di conservazione e ripristino applicabile possono essere richieste al contatto formale.
Allegato III — Servizi tecnici e funzioni opzionali
Neon: database PostgreSQL dei dati applicativi, regione configurata Francoforte. Render: applicazione e processi periodici, regione configurata Francoforte. Vercel: distribuzione del sito e dell’interfaccia tramite rete globale; tratta le richieste del browser. Brevo: invio delle email transazionali quando abilitato; riceve i dati necessari al messaggio e al destinatario.
Anthropic: soltanto per import assistito da AI richiesto e confermato esplicitamente dallo studio; può ricevere il contenuto del file, inclusi i dati personali presenti. Il servizio può comportare trattamento negli Stati Uniti. Shopify: soltanto per l’integrazione collegata dallo studio, con i dati necessari a ordini e relativa gestione. Lo studio può operare senza queste funzioni opzionali.
Stripe è distinto: per il canone tratta i dati necessari a pagamento e fatturazione secondo i propri termini; per gli incassi dello studio il rapporto di pagamento è tra studio e Stripe. Il Titolare può richiedere la documentazione applicabile su accordi e garanzie di trasferimento al contatto formale prima di attivare una funzione che comporti ulteriori trasferimenti.