Accordo sul trattamento dei dati (DPA)

Aggiornato il 2026-08-24

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante delle Condizioni generali di servizio di BedFlow (art. 11) e si applica di diritto a ogni abbonamento. I clienti che desiderano ricevere una copia firmata possono richiederla tramite info@fades-management.com.

1. Parti e oggetto

Il presente DPA è concluso tra:

• Il Cliente, come identificato nell'abbonamento, di seguito il "Titolare del trattamento" (art. 4.7 GDPR); e
• Fades Management EOOD ("BedFlow"), con sede a Plovdiv 4000, Bulgaria, UIC/P. IVA BG208 607 050, di seguito il "Responsabile del trattamento" (art. 4.8 GDPR).

In conformità all'art. 28.3 GDPR, disciplina il trattamento dei dati personali degli ospiti finali che il Responsabile effettua per conto del Titolare nell'ambito del Servizio.

Per i dati dell'account del Cliente stesso (dati di contatto, fatturazione, accessi), BedFlow agisce in proprio come titolare del trattamento; tale trattamento è disciplinato dall'Informativa sulla privacy e non dal presente DPA.

2. Durata

Il presente DPA si applica per tutta la durata dell'abbonamento, prorogata del periodo di esportazione di 30 giorni dopo la disdetta (Condizioni generali di servizio, art. 10), e termina quando tutti i dati personali sono stati cancellati o restituiti ai sensi dell'art. 11 del presente DPA.

3. Natura, finalità e oggetto del trattamento

Il Responsabile tratta questi dati esclusivamente sulla base di istruzioni documentate del Titolare, come stabilito nell'abbonamento, nel presente DPA e nella configurazione che il Cliente imposta nel Servizio. Il Responsabile informa immediatamente il Cliente se, a suo avviso, un'istruzione viola il GDPR.

4. Obblighi del Responsabile del trattamento

Il Responsabile:

• tratta i dati personali esclusivamente per le finalità descritte nell'art. 3 e mai per scopi propri;
• garantisce che tutte le persone autorizzate ad accedere ai dati sotto la sua autorità siano vincolate da un obbligo di riservatezza;
• attua le misure tecniche e organizzative descritte nell'art. 5;
• assiste il Titolare, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati (art. 12–23 GDPR) e nell'adempiere agli obblighi di cui agli art. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto);
• mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto dell'art. 28 GDPR (art. 10 del presente DPA);
• cancella o restituisce i dati al termine della prestazione dei servizi (art. 11 del presente DPA).

5. Sicurezza (art. 32 GDPR)

Il Responsabile attua almeno le seguenti misure:

• Crittografia TLS per tutte le connessioni (HTTPS)
• Crittografia a riposo per database e backup
• Controllo degli accessi basato sui ruoli e autenticazione a due fattori per il personale
• Backup giornalieri, conservati per 30 giorni
• Registrazione e audit trail di accessi e modifiche
• Audit di sicurezza e aggiornamenti regolari
• Una procedura documentata di gestione degli incidenti

6. Sub-responsabili

• Il Titolare concede un'autorizzazione scritta generale al ricorso a sub-responsabili.
• L'elenco attuale dei sub-responsabili è riportato nell'Informativa sulla privacy (sezione 6).
• Le modifiche (aggiunta o sostituzione) vengono comunicate con almeno 30 giorni di anticipo via e-mail o tramite il Servizio. Entro tale termine il Titolare può opporsi per iscritto, motivando l'opposizione; se la consultazione non porta a una soluzione, il Titolare può recedere gratuitamente dall'abbonamento prima che la modifica entri in vigore.
• Il Responsabile impone a ogni sub-responsabile gli stessi obblighi di protezione dei dati previsti dal presente DPA e resta pienamente responsabile nei confronti del Titolare del loro adempimento.

7. Luogo del trattamento e trasferimenti internazionali

• L'applicazione e il database di produzione sono ospitati presso Hostinger International su server a Parigi, Francia (UE).
• Alcuni sub-responsabili trattano dati negli Stati Uniti. Tali trasferimenti sono coperti da Clausole contrattuali standard (SCC), da decisioni di adeguatezza ove applicabili (incluso l'EU-US Data Privacy Framework) e da misure tecniche e organizzative supplementari, come descritto nell'Informativa sulla privacy (sezione 7).
• Al di fuori di questi casi, nessun dato personale viene trasferito verso paesi al di fuori del SEE senza garanzie adeguate.

8. Violazioni dei dati personali

• Il Responsabile notifica una violazione dei dati personali che riguarda i dati del Titolare senza ingiustificato ritardo e al più tardi entro 48 ore da quando ne è venuto a conoscenza, all'indirizzo e-mail fornito dal Cliente.
• La notifica contiene almeno le informazioni di cui all'art. 33.3 GDPR: la natura della violazione, le categorie e il numero degli interessati, le probabili conseguenze e le misure adottate o proposte. Le informazioni non ancora disponibili vengono fornite per fasi.
• Il Responsabile fornisce un'assistenza ragionevole per la notifica all'autorità di controllo (il termine di 72 ore del Titolare, art. 33 GDPR) e, ove richiesto, agli interessati (art. 34 GDPR).
• Il Responsabile documenta ogni violazione e le misure adottate.

9. Diritti degli interessati

Se il Responsabile riceve una richiesta direttamente da un ospite finale (accesso, rettifica, cancellazione, limitazione, portabilità dei dati, opposizione), la inoltra senza ritardo al Titolare e non vi risponde di propria iniziativa, salvo istruzione contraria del Titolare. Il Servizio offre al Titolare la funzionalità per gestire autonomamente tali richieste (accesso, correzione, esportazione ed eliminazione dei dati degli ospiti).

10. Verifica e audit

• Su richiesta, il Responsabile mette a disposizione tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto del presente DPA.
• Il Titolare può condurre (o far condurre) un audit al massimo una volta ogni dodici mesi, con 30 giorni di preavviso scritto, durante l'orario d'ufficio, senza interrompere il servizio e a proprie spese. L'auditor è vincolato alla riservatezza e non può essere un concorrente del Responsabile.
• Al posto di un audit in loco possono essere presentati rapporti di audit o certificazioni disponibili.

11. Restituzione e cancellazione

• Il Titolare può in qualsiasi momento esportare autonomamente tutti i propri dati in formati strutturati (CSV, JSON).
• Dopo la cessazione dell'abbonamento, il Titolare mantiene 30 giorni di accesso per l'esportazione. Successivamente tutti i dati personali vengono cancellati definitivamente; i backup ruotano e vengono eliminati nei 30 giorni seguenti.
• I dati soggetti a un obbligo legale di conservazione (inclusi i dati di fatturazione) vengono conservati per la durata di tale obbligo e cancellati successivamente.

12. Responsabilità

La responsabilità ai sensi del presente DPA è disciplinata dall'art. 8 delle Condizioni generali di servizio, fatte salve le disposizioni imperative del GDPR, incluso l'art. 82.

13. Legge applicabile e foro competente

Il presente DPA è disciplinato dal diritto bulgaro, fatte salve le disposizioni direttamente applicabili del GDPR. Sono competenti i tribunali di Plovdiv, Bulgaria (Condizioni generali di servizio, art. 13).

• Versione: 1.0
• Data: 24 agosto 2026
• Contatto: info@fades-management.com