Accordo sul trattamento dei dati (DPA) – Allegato 1 alle Condizioni generali di momoscreen

Ultimo aggiornamento: 28.09.2026

ai sensi dell'art. 28 GDPR tra il Cliente che utilizza momoscreen secondo le Condizioni generali («Cliente», titolare del trattamento) e JetCoders GmbH, Kirchengasse 7, 1070 Wien, Österreich, FN 619970 x, info@momoscreen.com («momoscreen», responsabile del trattamento).

1. Conclusione, durata, prevalenza

1.1 Il presente DPA è parte integrante delle Condizioni generali ed è concluso in forma elettronica con l'accettazione di queste ultime (art. 28, par. 9 GDPR), anche in caso di accettazione di una nuova versione nell'app.

1.2 Esso si applica finché sussiste il contratto ai sensi delle Condizioni generali e, oltre tale termine, fino alla cancellazione o alla restituzione dei Dati del Cliente (punto 11).

1.3 In caso di contrasto, il presente DPA prevale sulle Condizioni generali nelle questioni di protezione dei dati. I termini hanno il significato di cui all'art. 4 GDPR.

2. Oggetto, natura e finalità

2.1 Oggetto: fornitura di momoscreen secondo le Condizioni generali. In tale ambito momoscreen tratta dati personali per conto del Cliente («Dati del Cliente»).

2.2 Natura e finalità: raccolta, conservazione, visualizzazione, trasmissione (ad es. invio di e-mail), traduzione, anonimizzazione e cancellazione dei Dati del Cliente, al fine di fornire le funzioni utilizzate dal Cliente, in particolare prenotazioni ed e-mail agli ospiti, statistiche per il Cliente (ad es. provenienza delle prenotazioni), consensi degli ospiti alla pubblicità del Cliente, pubblicazione di contenuti del Cliente, gestione delle richieste degli interessati (punto 8), backup dei dati e supporto.

2.3 Non rientrano i dati che momoscreen tratta in qualità di titolare autonomo del trattamento, ad es. i dati dell'account e i dati contrattuali del Cliente, le richieste di supporto e i dati tecnici di accesso per il funzionamento e la sicurezza della piattaforma (ad es. log del server, indirizzi IP). Per essi si applica l'informativa sulla privacy di momoscreen.

3. Interessati e dati

La nota può contenere dati relativi alla salute forniti volontariamente dagli ospiti (ad es. allergie, intolleranze). momoscreen non richiede tali dati e nel modulo, a nome del Cliente, avverte che il loro conferimento è facoltativo e che l'ospite, inserendoli, acconsente al loro utilizzo da parte del Cliente. Della liceità è responsabile il Cliente.

4. Istruzioni

4.1 momoscreen tratta i Dati del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimenti verso paesi terzi, salvo che momoscreen vi sia tenuta in forza del diritto dell'Unione o del diritto austriaco; in tal caso momoscreen informa preventivamente il Cliente di tale obbligo, a meno che il diritto non lo vieti.

4.2 Le Condizioni generali, il presente DPA e le impostazioni e le azioni del Cliente nell'app costituiscono le istruzioni complete del Cliente. momoscreen esegue istruzioni aggiuntive impartite via e-mail solo nella misura in cui ciò sia tecnicamente e organizzativamente possibile e ragionevolmente esigibile; momoscreen può fatturare l'onere che ne deriva.

4.3 Se momoscreen ritiene che un'istruzione sia illecita, ne informa senza ingiustificato ritardo il Cliente e può sospenderne l'esecuzione finché il Cliente non la conferma o la modifica.

5. Obblighi del Cliente

Il Cliente è responsabile della liceità del trattamento, in particolare della base giuridica e dell'informazione agli ospiti. A tal fine momoscreen mette a disposizione un'informativa sulla privacy per gli ospiti che contiene nome, indirizzo completo e numero di telefono dell'esercizio ricavati dal suo profilo; il Cliente deve mantenere corretti tali dati. Il Cliente non inserisce dati degli ospiti nella chat di supporto e segnala senza ingiustificato ritardo gli errori nel trattamento.

6. Riservatezza e sicurezza

6.1 Le persone che hanno accesso ai Dati del Cliente si sono impegnate alla riservatezza o sono soggette a un obbligo legale di segretezza (§ 6 DSG). Ottengono l'accesso solo nella misura in cui ne hanno bisogno per i loro compiti.

6.2 momoscreen adotta le misure tecniche e organizzative di cui all'art. 32 GDPR (Allegato A) e può modificarle, purché il livello di protezione non venga ridotto.

7. Sub-responsabili del trattamento e paesi terzi

7.1 Il Cliente concede a momoscreen l'autorizzazione generale a ricorrere a sub-responsabili del trattamento. Quelli indicati nell'Allegato B si considerano autorizzati.

7.2 momoscreen comunica l'aggiunta o la sostituzione prevista di sub-responsabili almeno 14 giorni prima via e-mail o nell'app; se una sostituzione è urgente (ad es. guasto o problema di sicurezza), momoscreen informa senza ingiustificato ritardo dopo di essa. Il Cliente può opporsi via e-mail per un motivo attinente alla protezione dei dati fino alla data annunciata o, in caso di sostituzioni urgenti, entro 14 giorni dall'informazione; in tal caso entrambe le parti possono disdire il contratto senza preavviso.

7.3 momoscreen vincola contrattualmente i sub-responsabili del trattamento a obblighi in materia di protezione dei dati corrispondenti a quelli del presente DPA (art. 28, par. 4 GDPR); sono sufficienti i contratti standard dei fornitori, se contengono tali obblighi.

7.4 Alcuni sub-responsabili del trattamento hanno sede negli USA o possono accedere ai dati da lì (Allegato B). Il Cliente dà istruzione a momoscreen di trasferire i Dati del Cliente in tale misura verso paesi terzi. Ciò avviene solo ai sensi degli artt. 44 e ss. GDPR, in particolare sulla base di una decisione di adeguatezza (anche EU-US Data Privacy Framework) o di clausole contrattuali tipo della Commissione europea.

7.5 Se il Cliente ha sede al di fuori del SEE e di un paese oggetto di una decisione di adeguatezza della Commissione europea, si applicano inoltre le clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914), Modulo 4, con momoscreen quale esportatore dei dati e il Cliente quale importatore dei dati; gli allegati risultano dal presente DPA, il foro competente e l'autorità di controllo sono quelli austriaci. In caso di contrasto prevalgono le clausole.

8. Richieste degli interessati

8.1 momoscreen assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste ai sensi del capo III GDPR, nella misura in cui ciò sia possibile.

8.2 Il Cliente incarica e autorizza momoscreen a rispondere e dare seguito, in nome del Cliente, alle richieste degli ospiti (ad es. accesso, rettifica, cancellazione, revoca di un consenso) pervenute a momoscreen. momoscreen non ha l'obbligo di informarne il Cliente. Le richieste che momoscreen non evade direttamente vengono inoltrate all'indirizzo e-mail dell'account del Cliente. momoscreen può verificare l'identità della persona richiedente (ad es. rispondendo all'indirizzo e-mail indicato nella prenotazione), documenta l'evasione e, su richiesta, ne dà informazione al Cliente.

9. Assistenza ai sensi degli artt. da 32 a 36 GDPR

9.1 momoscreen assiste il Cliente, tenendo conto della natura del trattamento e delle informazioni disponibili, in materia di sicurezza, notifiche, comunicazioni, valutazione d'impatto sulla protezione dei dati e consultazione preventiva, nella misura prevista dalla legge. momoscreen fornisce un'assistenza che va oltre tale misura (anche ai sensi del punto 8.1) dietro rimborso dei costi.

9.2 Una violazione della protezione dei Dati del Cliente è notificata da momoscreen al Cliente senza ingiustificato ritardo dopo averne avuto conoscenza, via e-mail all'indirizzo dell'account del Cliente, con le informazioni di cui all'art. 33, par. 3 GDPR, nella misura in cui siano disponibili; momoscreen fornisce successivamente le informazioni mancanti. Le notifiche all'autorità di controllo e le comunicazioni agli interessati sono effettuate dal Cliente.

10. Prove e verifiche

10.1 momoscreen dimostra il rispetto del presente DPA in via prioritaria mediante il presente DPA con i relativi allegati, informazioni fornite via e-mail nonché certificati o rapporti di audit dei sub-responsabili del trattamento.

10.2 Una verifica in loco è ammessa se tali prove non fugano dubbi fondati del Cliente. Deve essere annunciata con almeno 30 giorni di anticipo, si svolge durante l'orario lavorativo e al massimo una volta per anno civile ed è effettuata dal Cliente o da un revisore vincolato alla riservatezza che non sia un concorrente di momoscreen. I costi sono a carico del Cliente, compreso l'onere sostenuto da momoscreen. Restano impregiudicati i poteri delle autorità di controllo.

11. Cancellazione e restituzione

11.1 Durante la vigenza del contratto momoscreen anonimizza o cancella automaticamente i Dati del Cliente secondo le seguenti istruzioni del Cliente (punto 4.2): richieste di prenotazione non confermate dall'ospite (link di conferma non cliccato) 7 giorni dopo la ricezione (cancellazione); note alle prenotazioni 30 giorni dopo la data della prenotazione (cancellazione); altri dati di prenotazione 6 mesi dopo la data della prenotazione (anonimizzazione); consensi pubblicitari fino alla revoca, la prova del consenso e della revoca tre anni dopo. Il Cliente cancella autonomamente i contenuti nell'app. Le modifiche di tali termini avvengono ai sensi del punto 12.2.

11.2 Se il Cliente richiede via e-mail la restituzione al più tardi 30 giorni dopo la cessazione del contratto, momoscreen consegna i Dati del Cliente in un formato di uso comune e leggibile da dispositivo automatico. Decorso tale termine (in caso di richiesta, dopo la restituzione) momoscreen cancella i Dati del Cliente entro un termine ragionevole, salvo che sussista un obbligo di conservazione ai sensi del diritto dell'Unione o del diritto austriaco. Le copie nei backup non vengono cancellate singolarmente, ma sovrascritte nel normale ciclo.

12. Responsabilità, modifiche, disposizioni finali

12.1 Nei rapporti tra il Cliente e momoscreen si applicano le limitazioni di responsabilità delle Condizioni generali (punto 10), nella misura consentita dalla legge. Resta impregiudicata la responsabilità nei confronti degli interessati ai sensi dell'art. 82 GDPR.

12.2 Per le modifiche si applica il punto 13 delle Condizioni generali, per i sub-responsabili del trattamento il punto 7.2. Per il resto si applicano le disposizioni finali delle Condizioni generali.

Allegato A – Misure tecniche e organizzative

• Data center: gestione presso fornitori di hosting e di database con certificazioni di sicurezza riconosciute (ad es. ISO 27001, SOC 2); nessun server proprio.
• Accesso e autorizzazioni: accesso solo con account personale e password; le password sono memorizzate solo in forma di hash. Ogni Cliente vede solo i dati del proprio esercizio. Accesso alle interfacce di amministrazione e ai dati di produzione solo per persone autorizzate, nella misura necessaria per i loro compiti.
• Cifratura: trasmissioni tramite TLS; database cifrato a riposo.
• Integrità e protezione dagli abusi: tracciabilità delle prenotazioni (provenienza, stato, momento); conferma dell'indirizzo e-mail degli ospiti; misure contro richieste abusive e automatizzate.
• Minimizzazione dei dati: impostazioni predefinite rispettose della protezione dei dati (ad es. consenso pubblicitario non preselezionato); anonimizzazione e cancellazione automatiche (punto 11).
• Disponibilità: infrastruttura cloud scalabile; backup automatici del database.
• Verifica: verifica e adeguamento periodici di queste misure.

Allegato B – Sub-responsabili del trattamento