Accordo sulla condivisione e sul trattamento dei dati personali

Il presente accordo («Accordo») è concluso tra PARTY HUB S.R.L., con sede legale in Piazzale Ungheria 58, 90141 Palermo (PA), P.IVA e C.F. 07435130823, REA PA-458648, PEC partyhub@pec.it, che opera con il marchio «PartyHub» («PartyHub»), e il soggetto che attiva sulla Piattaforma un profilo manager, locale od organizzatore, i cui dati sono registrati nell’account al momento dell’accettazione («Organizzatore»).

Premesse

• A) PartyHub gestisce una piattaforma digitale per la scoperta di eventi e locali, la prenotazione in lista e ai tavoli, il controllo degli ingressi e i pagamenti in app («Piattaforma»). Gli utenti si registrano alla Piattaforma, accettano i Termini di servizio di PartyHub e ricevono la sua informativa privacy («Utenti»).
• B) I dati forniti dagli Utenti e quelli generati dal loro utilizzo della Piattaforma sono trattati da PartyHub in qualità di titolare. PartyHub comunica all’Organizzatore i dati necessari alla gestione dei suoi eventi, che l’Organizzatore tratta in qualità di titolare autonomo (Parte I).
• C) Per alcune attività PartyHub tratta invece dati per conto dell’Organizzatore, che ne determina le finalità: in tali casi PartyHub agisce come responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (Parte II).

Tutto ciò premesso, le Parti convengono quanto segue.

Art. 1 — Definizioni

1.1 I termini «dato personale», «trattamento», «titolare», «responsabile», «interessato» e «violazione dei dati personali» hanno il significato di cui all’art. 4 del Regolamento (UE) 2016/679 («GDPR»). Per «Normativa Privacy» si intendono il GDPR, il D.Lgs. 196/2003 («Codice Privacy») e i provvedimenti del Garante per la protezione dei dati personali.

1.2 Ai fini del presente Accordo si intende inoltre per:

• a) «Dati della Piattaforma»: i dati personali forniti dagli Utenti o generati dal loro utilizzo della Piattaforma, tra cui account, prenotazioni in lista e ai tavoli, anche effettuate tramite link o codice di un PR, ospiti taggati, QR, check-in, presenze, mancate presenze, cancellazioni, ordini e pagamenti in app, messaggi e indicatore di affidabilità;
• b) «Dati Condivisi»: i Dati della Piattaforma che PartyHub rende disponibili all’Organizzatore ai sensi dell’art. 3;
• c) «Dati dell’Organizzatore»: i dati personali inseriti, caricati o importati nella Piattaforma dall’Organizzatore, dai suoi collaboratori o PR, e non forniti dall’interessato. A titolo esemplificativo: nominativi inseriti manualmente, blacklist e note interne sui clienti, contatti importati, rubrica dei collaboratori e dei PR con le relative tariffe. Vi rientrano anche i dati trattati per inviare le comunicazioni promozionali dell’Organizzatore;
• d) «Utenti Autorizzati»: manager, collaboratori, PR, promoter e ogni persona abilitata dall’Organizzatore a operare sui propri locali o eventi;

• e) «Export»: qualunque copia di dati scaricata o estratta dalla Piattaforma dall’Organizzatore o dai suoi Utenti Autorizzati;
• f) «Termini»: i Termini Business di PartyHub, con i relativi allegati.

Parte I — Dati della Piattaforma e Dati Condivisi

Art. 2 — Ruoli delle Parti

2.1 PartyHub è titolare dei Dati della Piattaforma. Ciò vale anche quando l’Utente accede all’evento tramite il link di un PR o si iscrive nella lista di un PR: il codice PR serve esclusivamente ad attribuire la prenotazione alla relativa lista.

2.2 Dal momento in cui riceve o consulta i Dati Condivisi, l’Organizzatore li tratta in qualità di titolare autonomo, per le finalità consentite dall’art. 4 e sotto la propria esclusiva responsabilità.

2.3 Le Parti dichiarano di non determinare congiuntamente finalità e mezzi dei trattamenti. L’utilizzo della medesima Piattaforma non comporta di per sé contitolarità. Qualora un’autorità competente qualificasse diversamente uno specifico trattamento, le Parti stipuleranno senza ritardo l’accordo previsto dall’art. 26 GDPR.

Art. 3 — Dati Condivisi

3.1 PartyHub rende disponibili all’Organizzatore, per i soli eventi e locali da questi gestiti e nei limiti del piano e dei permessi, i seguenti dati: nome visualizzato e username; stato della prenotazione, ospiti e codice PR; prezzo applicato e motivo dell’eventuale omaggio, incluso il genere dichiarato solo quando l’evento prevede una promozione che lo richiede; esito del check-in; indicatore di affidabilità di cui all’art. 7; dati degli ordini in app necessari all’erogazione e agli adempimenti del venditore; messaggi scambiati con l’Organizzatore; statistiche dei propri eventi, inclusa la ripartizione aggregata dei partecipanti per genere dichiarato, mostrata solo sopra le soglie minime fissate dalla Piattaforma.

3.2 Non sono mai condivisi con l’Organizzatore: dati di contatto dell’Utente, salvo che l’Utente li comunichi direttamente o acconsenta alla loro comunicazione ai sensi dell’art. 7-bis, dati della funzione Match, posizione, cronologia di attività presso altri Organizzatori diversa dall’indicatore di affidabilità, elenco dei destinatari delle comunicazioni inviate tramite la Piattaforma.

3.3 La comunicazione dei Dati Condivisi si fonda sull’esecuzione della prenotazione o dell’ordine richiesti dall’Utente ed è indicata nell’informativa privacy di PartyHub.

Art. 4 — Finalità consentite e divieti

4.1 L’Organizzatore può trattare i Dati Condivisi esclusivamente per: gestire prenotazioni, liste e ingressi; erogare tavoli e consumazioni venduti in app; garantire la sicurezza nel locale; gestire contestazioni e rimborsi; adempiere a obblighi di legge, inclusi quelli fiscali e SIAE («Finalità Consentite»).

4.2 È vietato all’Organizzatore e ai suoi Utenti Autorizzati:

• a) inviare comunicazioni promozionali agli Utenti, salvo tramite la Piattaforma a chi ha prestato il consenso al marketing dell’Organizzatore, oppure direttamente agli Utenti i cui contatti ha ricevuto ai sensi dell’art. 7-bis;
• b) cedere, vendere o comunicare i Dati Condivisi a terzi, salvo obblighi di legge;
• c) combinare i Dati Condivisi con dati provenienti da altre fonti per profilare gli Utenti;
• d) creare, alimentare o scambiare con terzi, inclusi altri locali od organizzatori, liste di esclusione o giudizi sugli Utenti basati sui Dati Condivisi;

• e) fondare il rifiuto di un Utente unicamente su un trattamento automatizzato;
• f) utilizzare i Dati Condivisi, o gli account dei PR, per contattare gli Utenti al di fuori della Piattaforma per finalità diverse dalle Finalità Consentite;
• g) utilizzare il genere dichiarato, anche in forma aggregata, per decidere l’ammissione degli Utenti o per applicare condizioni di accesso discriminatorie, e tentare di ricavare il genere di singoli Utenti dalle statistiche aggregate.

Art. 5 — Obblighi dell’Organizzatore come titolare autonomo

5.1 L’Organizzatore:

• a) designa e istruisce i propri Utenti Autorizzati, inclusi i PR, quali persone autorizzate al trattamento (art. 29 GDPR e art. 2-quaterdecies Codice Privacy) e risponde del loro operato. Il PR che utilizzi i Dati Condivisi per finalità proprie ne risponde come titolare, ferma la responsabilità dell’Organizzatore verso PartyHub;
• b) adotta misure di sicurezza adeguate per credenziali, dispositivi di scansione ed Export;
• c) registra correttamente check-in, presenze e consegne, dai quali dipende l’esattezza dell’indicatore di affidabilità;
• d) conserva i Dati Condivisi ed eventuali Export per non oltre 12 mesi dalla data dell’evento, salvo obblighi di legge o contestazioni in corso;
• e) fornisce agli Utenti la propria informativa per ogni trattamento ulteriore rispetto alle Finalità Consentite e ne individua la base giuridica;
• f) gestisce le richieste di esercizio dei diritti relative ai propri trattamenti e inoltra a PartyHub, entro 7 giorni lavorativi, quelle relative ai Dati della Piattaforma;
• g) informa PartyHub entro 48 ore di ogni violazione dei dati personali che riguardi i Dati Condivisi, inclusi la perdita di dispositivi, la compromissione di credenziali o la diffusione non autorizzata di Export.

5.2 Il download di un Export crea obblighi autonomi dell’Organizzatore. PartyHub non risponde del trattamento delle copie estratte dalla Piattaforma.

Art. 6 — Obblighi di PartyHub

6.1 PartyHub, in qualità di titolare dei Dati della Piattaforma: informa gli Utenti della comunicazione dei Dati Condivisi agli Organizzatori; adotta misure di sicurezza adeguate per la Piattaforma; limita i Dati Condivisi a quanto necessario; gestisce le richieste degli Utenti relative ai Dati della Piattaforma; comunica all’Organizzatore, senza ingiustificato ritardo, le violazioni che riguardino i Dati Condivisi dei suoi eventi.

Art. 7 — Indicatore di affidabilità e segnalazioni

7.1 L’indicatore di affidabilità mostra all’Organizzatore il numero di mancate presenze (prenotazioni confermate, non cancellate e senza check-in) e di cancellazioni effettuate meno di 3 ore prima dell’inizio dell’evento, registrate dall’Utente negli ultimi 12 mesi presso tutti gli Organizzatori della Piattaforma. Si basa esclusivamente su dati oggettivi generati dalla Piattaforma e non contiene giudizi o valutazioni.

7.2 L’indicatore è un’informazione a supporto della decisione dell’Organizzatore, che resta sempre presa da una persona. Non può fondare un rifiuto automatico. L’Utente può contestare le singole registrazioni tramite PartyHub, che le verifica e, se errate, le corregge.

7.3 In caso di comportamenti gravi di un Utente, come violenza, molestie o danneggiamenti, l’Organizzatore invia una segnalazione tramite gli strumenti di moderazione della Piattaforma, descrivendo i fatti in modo essenziale. Una persona del team di PartyHub valuta la segnalazione e, se fondata, adotta le misure previste dai Termini di servizio, inclusa la sospensione dell’account, con decisione motivata e possibilità di contestazione. Il contenuto delle segnalazioni e le relative decisioni non sono comunicati ad altri Organizzatori.

7.4 L’Organizzatore può tenere proprie liste interne di esclusione soltanto come Dati dell’Organizzatore, ai sensi della Parte II e dell’art. 13, senza condividerle con terzi.

Art. 7-bis — Contatti consegnati con il consenso dell’Utente

7-bis.1 Se l’Utente presta a PartyHub lo specifico consenso alla comunicazione dei propri contatti all’Organizzatore, PartyHub consegna all’Organizzatore nome visualizzato, email, fascia d’età, città e storico delle prenotazioni dell’Utente agli eventi dell’Organizzatore («Dati Consegnati»), alle condizioni economiche del Listino dei Termini Business. Il servizio è riservato agli Organizzatori che agiscono come impresa o professionista, ed è disponibile solo se l’Organizzatore ha indicato nella Piattaforma l’indirizzo web della propria informativa privacy, che PartyHub mostra all’Utente prima del consenso. 7-bis.2 L’Organizzatore tratta i Dati Consegnati come titolare autonomo, per proprie comunicazioni promozionali e per la gestione della relazione con il cliente, e si impegna a:

• a) fornire all’Utente la propria informativa ai sensi dell’art. 14 GDPR al più tardi con la prima comunicazione, indicando PartyHub come fonte dei dati;
• b) inserire in ogni comunicazione una modalità semplice e gratuita per opporsi e rispettare ogni opposizione senza ritardo;
• c) cessare ogni invio e cancellare, entro 5 giorni lavorativi, i Dati Consegnati degli Utenti che PartyHub gli segnala come revocati od opposti, salvo che l’Utente abbia nel frattempo prestato direttamente all’Organizzatore un proprio consenso;
• d) non cedere né comunicare i Dati Consegnati a terzi, salvo propri fornitori che agiscono come responsabili del trattamento;
• e) non utilizzare i Dati Consegnati per liste di esclusione, per profilazione combinata con categorie particolari di dati o per decisioni unicamente automatizzate;
• f) conservarli per non oltre 24 mesi dall’ultima interazione con l’Utente;
• g) notificare a PartyHub entro 48 ore ogni violazione dei dati personali che li riguardi e dimostrare, su richiesta di PartyHub, il rispetto del presente articolo.

7-bis.3 PartyHub conserva la prova dei consensi e la fornisce all’Organizzatore su richiesta motivata. In caso di violazione o sospetta violazione del presente articolo, PartyHub può sospendere immediatamente la consegna dei contatti, comunicandone i motivi.

Parte II — Dati dell’Organizzatore (art. 28 GDPR)

Art. 8 — Ambito e ruoli

8.1 Per i Dati dell’Organizzatore e per i trattamenti descritti nell’Allegato A, l’Organizzatore è titolare e PartyHub è responsabile del trattamento. La presente Parte costituisce il contratto richiesto dall’art. 28, par. 3, GDPR, stipulato in forma elettronica ai sensi dell’art. 28, par. 9.

8.2 PartyHub mantiene i Dati dell’Organizzatore separati dai Dati della Piattaforma e non li utilizza per finalità proprie. In particolare, non li utilizza per l’indicatore di affidabilità, la sicurezza della Piattaforma, le statistiche, le raccomandazioni, i report o la comunicazione a partner.

Art. 9 — Istruzioni

9.1 Costituiscono istruzioni documentate dell’Organizzatore la presente Parte, l’Allegato A e le configurazioni e operazioni effettuate tramite le funzionalità della Piattaforma. Ulteriori istruzioni vanno inviate per iscritto a info@partyhubofficial.com o partyhub@pec.it e accettate da PartyHub.

9.2 PartyHub tratta i Dati dell’Organizzatore soltanto su istruzione documentata, anche per i trasferimenti verso paesi terzi, salvo che lo richieda il diritto dell’Unione o dello Stato membro; in tal caso informa preventivamente l’Organizzatore, salvo divieto di legge. PartyHub informa immediatamente l’Organizzatore se ritiene che un’istruzione violi la Normativa Privacy e può sospenderne l’esecuzione. Le istruzioni che eccedono le funzionalità standard possono essere rifiutate.

Art. 10 — Obblighi del Responsabile

10.1 Con riferimento ai Dati dell’Organizzatore, PartyHub:

• a) garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• b) adotta le misure di sicurezza dell’art. 32 GDPR descritte nell’Allegato C;
• c) ricorre a sub-responsabili alle condizioni dell’art. 11;
• d) assiste l’Organizzatore nel dare seguito alle richieste degli interessati e nel rispettare gli artt. 32- 36 GDPR, inclusa l’eventuale valutazione d’impatto;
• e) notifica all’Organizzatore ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza, con le informazioni dell’art. 33, par. 3, GDPR disponibili, e collabora alla sua gestione; la notifica al Garante e la comunicazione agli interessati spettano all’Organizzatore;
• f) inoltra all’Organizzatore, entro 7 giorni lavorativi, le richieste degli interessati relative ai Dati dell’Organizzatore;
• g) mette a disposizione le informazioni necessarie a dimostrare il rispetto della presente Parte e consente revisioni, anche mediante ispezioni, con preavviso di 30 giorni, non più di una volta ogni 12 mesi salvo violazioni o richieste dell’autorità, a spese dell’Organizzatore salvo inadempimento rilevante di PartyHub;
• h) tiene il registro delle attività di trattamento svolte per conto dei titolari (art. 30, par. 2, GDPR).

Art. 11 — Sub-responsabili e trasferimenti

11.1 L’Organizzatore autorizza in via generale il ricorso ai sub-responsabili dell’Allegato B. PartyHub comunica le modifiche con almeno 15 giorni di preavviso; entro 10 giorni l’Organizzatore può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere dai servizi interessati senza penali. PartyHub impone ai sub-responsabili obblighi equivalenti e ne risponde verso l’Organizzatore.

11.2 I trasferimenti al di fuori dello Spazio Economico Europeo avvengono solo nel rispetto del Capo V GDPR, sulla base di decisioni di adeguatezza, inclusa quella relativa all’EU-U.S. Data Privacy Framework, o delle clausole contrattuali tipo di cui alla Decisione (UE) 2021/914, come indicato nell’Allegato B.

Art. 12 — Durata e cancellazione

12.1 La presente Parte resta in vigore finché PartyHub tratta Dati dell’Organizzatore. Alla cessazione del rapporto l’Organizzatore può esportarli entro 30 giorni; decorso tale termine PartyHub li cancella entro i successivi 60 giorni, salvo obblighi di legge o esigenze di difesa dei diritti. Le copie di backup sono eliminate secondo il ciclo di rotazione tecnico. Durante il rapporto, i Dati dell’Organizzatore sono conservati secondo le istruzioni dell’Organizzatore e comunque non oltre quanto indicato nell’Allegato A.

Art. 13 — Obblighi dell’Organizzatore come titolare

13.1 Per i Dati dell’Organizzatore, l’Organizzatore garantisce di disporre di un’idonea base giuridica, di aver informato gli interessati, anche ai sensi dell’art. 14 GDPR per i dati non raccolti presso di loro, e di impartire istruzioni conformi alla Normativa Privacy.

13.2 Per le liste interne di esclusione e le note sui clienti, l’Organizzatore garantisce inoltre di: non inserire dati relativi a condanne penali o reati (art. 10 GDPR) né categorie particolari di dati (art. 9 GDPR); non basare il rifiuto di una persona unicamente su un trattamento automatizzato; limitarne la conservazione al tempo strettamente necessario; consentire agli interessati di conoscere e contestare le informazioni che li riguardano.

13.3 Lista contatti dell’Organizzatore. Se l’Organizzatore carica nella Piattaforma una propria lista di contatti e utilizza la funzione di invio di comunicazioni, resta titolare di quei dati e garantisce che:

• a) i recapiti sono stati raccolti direttamente e lecitamente, con il consenso al marketing ove richiesto dall’art. 130 del Codice Privacy o su altra base giuridica valida, e non sono stati acquistati o ottenuti da terzi senza un consenso idoneo. Il consenso deve riguardare il canale effettivamente utilizzato per l’invio: un consenso prestato per l’email non legittima l’invio via SMS o tramite app di messaggistica come WhatsApp, per il quale occorre un consenso specifico, riferito a quel canale e all’Organizzatore;
• b) agli interessati è stata fornita l’informativa e, su richiesta di PartyHub o di un’autorità, è in grado di dimostrare la liceità della raccolta e il consenso di ciascun contatto;
• c) la lista non contiene categorie particolari di dati, dati relativi a condanne penali o reati, né recapiti di minori;
• d) aggiorna la lista e rispetta senza ritardo le opposizioni e le disiscrizioni, comprese quelle ricevute fuori dalla Piattaforma.

13.4 Le comunicazioni inviate tramite la Piattaforma alla lista dell’Organizzatore indicano l’Organizzatore come mittente e titolare, contengono una modalità semplice e gratuita per opporsi e riportano i suoi dati identificativi. PartyHub registra opposizioni e disiscrizioni e blocca gli invii successivi ai contatti che si sono opposti.

13.5 I contatti della lista non diventano utenti della Piattaforma: PartyHub non li aggiunge alle proprie liste di comunicazione, non li utilizza per le proprie comunicazioni promozionali, per le statistiche, per i report o per le comunicazioni a partner, e non li combina con i dati dei propri utenti. PartyHub può sospendere gli invii, comunicandone i motivi, in caso di segnalazioni di spam, tassi anomali di errori o disiscrizioni, o di dubbi fondati sulla liceità della lista.

Parte III — Disposizioni comuni

Art. 14 — Responsabilità e manleva

14.1 Nei confronti degli interessati ciascuna Parte risponde ai sensi dell’art. 82 GDPR per i trattamenti di cui è titolare o, per PartyHub quale responsabile, per la violazione degli obblighi della Parte II o delle istruzioni ricevute.

14.2 L’Organizzatore tiene indenne PartyHub, nei limiti consentiti dalla legge, da ogni danno, costo e somma che PartyHub sia tenuta a corrispondere a terzi in conseguenza di: trattamenti dei Dati Condivisi contrari all’art. 4 e dei Dati Consegnati contrari all’art. 7-bis; condotte dei propri Utenti Autorizzati e dei PR; Export; registrazioni errate di check-in o presenze; Dati dell’Organizzatore privi di base giuridica o di informativa, incluse liste interne di esclusione; istruzioni illecite; violazioni della disciplina sulle comunicazioni promozionali.

14.3 Salvo dolo o colpa grave e i limiti inderogabili di legge, la responsabilità complessiva di PartyHub verso l’Organizzatore derivante dal presente Accordo non può eccedere i corrispettivi versati dall’Organizzatore a PartyHub nei 12 mesi precedenti il fatto che ha dato origine alla responsabilità. La limitazione non opera nei confronti degli interessati.

Art. 15 — Prevalenza

15.1 Il presente Accordo integra i Termini e prevale su di essi in materia di protezione dei dati personali. Sostituisce ogni precedente accordo sul trattamento dei dati tra le Parti.

Art. 16 — Legge applicabile e foro competente

16.1 Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Palermo, fatte salve le competenze inderogabili delle autorità di controllo e dei giudici previste dalla Normativa Privacy.

Art. 17 — Accettazione, prova e modifiche

17.1 Il presente Accordo è accettato in forma elettronica all’attivazione del profilo manager, locale od organizzatore e ad ogni nuova versione. PartyHub registra e conserva, anche dopo la chiusura dell’account e per il tempo necessario alla difesa dei diritti, versione, impronta (hash), data e ora dell’accettazione, account ed ente rappresentato. Chi accetta per conto di un ente dichiara di averne i poteri.

17.2 Le modifiche sono comunicate su supporto durevole con almeno 15 giorni di preavviso, salvo quelle imposte dalla legge o da un’autorità. L’Organizzatore che non le accetta può recedere prima della loro efficacia.

17.3 Per gli Organizzatori già registrati alla data di pubblicazione, il presente Accordo è efficace decorsi 15 giorni dalla comunicazione, salvo accettazione anticipata; per i nuovi Organizzatori è efficace dall’accettazione.

17.4 Se l’Organizzatore agisce per scopi estranei alla propria attività imprenditoriale o professionale, gli artt. 14.2 e 14.3 si applicano solo nei limiti consentiti dagli artt. 33-38 del Codice del Consumo e, per le controversie, è competente il foro del luogo di sua residenza o domicilio.

Approvazione specifica ai sensi degli artt. 1341 e 1342 c.c.

Con separata e specifica azione nell’interfaccia, l’Organizzatore approva specificamente le seguenti clausole: 4.2 (divieti di utilizzo dei Dati Condivisi); 5.1, lett. c) e d) (esattezza delle registrazioni e limiti di conservazione); 5.2 (responsabilità per gli Export); 7.4 (limiti alle liste interne di esclusione); 7-bis.2 e 7- bis.3 (obblighi sui Dati Consegnati e sospensione della consegna); 9.2 (sospensione e rifiuto delle istruzioni); 10.1, lett. g) (limiti alle revisioni); 11.1 (sub-responsabili e recesso); 12.1 (termini di esportazione e cancellazione); 13.2 (obblighi sulle liste interne); 13.3, 13.4 e 13.5 (garanzie sulla lista contatti e sospensione degli invii); 14.2 (manleva); 14.3 (limitazione di responsabilità); 17.2 (modifiche); 16.1 (foro competente esclusivo).

Allegato A — Trattamenti per conto dell’Organizzatore

Natura: raccolta, registrazione, organizzazione, conservazione, consultazione, uso, comunicazione mediante messa a disposizione, cancellazione. Categorie particolari di dati: nessuna. Durata: per la durata del rapporto; i dati relativi a singoli eventi sono conservati non oltre 12 mesi dalla data dell’evento, salvo diversa istruzione per un periodo inferiore.

Allegato B — Sub-responsabili

Il canale degli SMS promozionali e quello della messaggistica, come WhatsApp, non sono attivi: i relativi fornitori saranno indicati in questo Allegato, con il preavviso previsto dall’art. 11.1, prima dell’attivazione.

Allegato C — Misure tecniche e organizzative