Accordo sul trattamento dei dati (DPA) – Allegato 1 alle Condizioni generali di momoscreen

Ultimo aggiornamento: 18.10.2026

ai sensi dell'art. 28 GDPR tra il Cliente che utilizza momoscreen secondo le Condizioni generali («Cliente», titolare del trattamento) e JetCoders GmbH, Kirchengasse 7, 1070 Wien, Österreich, FN 619970 x, info@momoscreen.com («momoscreen», responsabile del trattamento).

1. Conclusione, durata, prevalenza

1.1 Il presente DPA è parte integrante delle Condizioni generali ed è concluso in forma elettronica con l'accettazione di queste ultime (art. 28, par. 9 GDPR), anche in caso di accettazione di una nuova versione nell'app.

1.2 Esso si applica finché sussiste il contratto ai sensi delle Condizioni generali e, oltre tale termine, fino alla cancellazione o alla restituzione dei Dati del Cliente (punto 11).

1.3 In caso di contrasto, il presente DPA prevale sulle Condizioni generali nelle questioni di protezione dei dati. I termini hanno il significato di cui all'art. 4 GDPR.

2. Oggetto, natura e finalità

2.1 Oggetto: fornitura di momoscreen secondo le Condizioni generali. In tale ambito momoscreen tratta dati personali per conto del Cliente («Dati del Cliente»).

2.2 Natura e finalità: raccolta, conservazione, visualizzazione, trasmissione (ad es. invio di e-mail), traduzione, anonimizzazione e cancellazione dei Dati del Cliente, al fine di fornire le funzioni utilizzate dal Cliente, in particolare prenotazioni ed e-mail agli ospiti, statistiche per il Cliente (ad es. provenienza delle prenotazioni), consensi degli ospiti alla pubblicità del Cliente, pubblicazione di contenuti del Cliente, accessi per le persone che il Cliente invita nel proprio account e una cronologia delle modifiche (chi ha modificato cosa e quando), gestione delle richieste degli interessati (punto 8), backup dei dati e supporto.

2.3 Non rientrano i dati che momoscreen tratta in qualità di titolare autonomo del trattamento, ad es. i dati dell'account e i dati contrattuali del Cliente in quanto titolare dell'account, le richieste di supporto, le statistiche di utilizzo interne e i dati tecnici di accesso per il funzionamento e la sicurezza della piattaforma (ad es. log del server, indirizzi IP, sessioni), anche per gli accessi dei dipendenti. Per essi si applica l'informativa sulla privacy di momoscreen.

3. Interessati e dati

La nota può contenere dati relativi alla salute forniti volontariamente dagli ospiti (ad es. allergie, intolleranze). momoscreen non richiede tali dati e nel modulo, a nome del Cliente, avverte che il loro conferimento è facoltativo e che l'ospite, inserendoli, acconsente al loro utilizzo da parte del Cliente. Della liceità è responsabile il Cliente.

4. Istruzioni

4.1 momoscreen tratta i Dati del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimenti verso paesi terzi, salvo che momoscreen vi sia tenuta in forza del diritto dell'Unione o del diritto austriaco; in tal caso momoscreen informa preventivamente il Cliente di tale obbligo, a meno che il diritto non lo vieti.

4.2 Le Condizioni generali, il presente DPA e le impostazioni e le azioni del Cliente nell'app, anche da parte di persone che ha invitato nel proprio account, costituiscono le istruzioni complete del Cliente. momoscreen esegue istruzioni aggiuntive impartite via e-mail solo nella misura in cui ciò sia tecnicamente e organizzativamente possibile e ragionevolmente esigibile; momoscreen può fatturare l'onere che ne deriva.

4.3 Se momoscreen ritiene che un'istruzione sia illecita, ne informa senza ingiustificato ritardo il Cliente e può sospenderne l'esecuzione finché il Cliente non la conferma o la modifica.

5. Obblighi del Cliente

Il Cliente è responsabile della liceità del trattamento, in particolare della base giuridica e dell'informazione agli ospiti. A tal fine momoscreen mette a disposizione un'informativa sulla privacy per gli ospiti che contiene nome, indirizzo completo e numero di telefono dell'esercizio ricavati dal suo profilo; il Cliente deve mantenere corretti tali dati. Il Cliente non inserisce dati degli ospiti nella chat di supporto e segnala senza ingiustificato ritardo gli errori nel trattamento.

Gli accessi dei dipendenti e la cronologia delle modifiche sono facoltativi. Il Cliente decide da solo chi invitare nel proprio account e quali aree consentire, ed è responsabile di tutto ciò che tali persone fanno nel suo account. Prima del primo utilizzo le informa e le forma sui loro compiti e sul trattamento dei loro dati, inclusa la cronologia delle modifiche, e verifica autonomamente se a tal fine gli occorre un consenso (ad es. della rappresentanza dei lavoratori o dei dipendenti). La cronologia delle modifiche serve unicamente a rendere ricostruibili le modifiche nell'account (chi ha modificato cosa e quando).

6. Riservatezza e sicurezza

6.1 Le persone che hanno accesso ai Dati del Cliente si sono impegnate alla riservatezza o sono soggette a un obbligo legale di segretezza (§ 6 DSG). Ottengono l'accesso solo nella misura in cui ne hanno bisogno per i loro compiti.

6.2 momoscreen adotta le misure tecniche e organizzative di cui all'art. 32 GDPR (Allegato A) e può modificarle, purché il livello di protezione non venga ridotto.

7. Sub-responsabili del trattamento e paesi terzi

7.1 Il Cliente concede a momoscreen l'autorizzazione generale a ricorrere a sub-responsabili del trattamento. Quelli indicati nell'Allegato B si considerano autorizzati.

7.2 momoscreen comunica l'aggiunta o la sostituzione prevista di sub-responsabili almeno 14 giorni prima via e-mail o nell'app; se una sostituzione è urgente (ad es. guasto o problema di sicurezza), momoscreen informa senza ingiustificato ritardo dopo di essa. Il Cliente può opporsi via e-mail per un motivo attinente alla protezione dei dati fino alla data annunciata o, in caso di sostituzioni urgenti, entro 14 giorni dall'informazione; in tal caso entrambe le parti possono disdire il contratto senza preavviso.

7.3 momoscreen vincola contrattualmente i sub-responsabili del trattamento a obblighi in materia di protezione dei dati corrispondenti a quelli del presente DPA (art. 28, par. 4 GDPR); sono sufficienti i contratti standard dei fornitori, se contengono tali obblighi.

7.4 Alcuni sub-responsabili del trattamento hanno sede negli USA o possono accedere ai dati da lì (Allegato B). Il Cliente dà istruzione a momoscreen di trasferire i Dati del Cliente in tale misura verso paesi terzi. Ciò avviene solo ai sensi degli artt. 44 e ss. GDPR, in particolare sulla base di una decisione di adeguatezza (anche EU-US Data Privacy Framework) o di clausole contrattuali tipo della Commissione europea.

7.5 Se il Cliente ha sede al di fuori del SEE e di un paese oggetto di una decisione di adeguatezza della Commissione europea, si applicano inoltre le clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914), Modulo 4, con momoscreen quale esportatore dei dati e il Cliente quale importatore dei dati; gli allegati risultano dal presente DPA, il foro competente e l'autorità di controllo sono quelli austriaci. In caso di contrasto prevalgono le clausole.

8. Richieste degli interessati

8.1 momoscreen assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste ai sensi del capo III GDPR, nella misura in cui ciò sia possibile.

8.2 Il Cliente incarica e autorizza momoscreen a rispondere e dare seguito, in nome del Cliente, alle richieste degli ospiti (ad es. accesso, rettifica, cancellazione, revoca di un consenso) pervenute a momoscreen. momoscreen non ha l'obbligo di informarne il Cliente. Le richieste che momoscreen non evade direttamente vengono inoltrate all'indirizzo e-mail dell'account del Cliente. momoscreen può verificare l'identità della persona richiedente (ad es. rispondendo all'indirizzo e-mail indicato nella prenotazione), documenta l'evasione e, su richiesta, ne dà informazione al Cliente.

9. Assistenza ai sensi degli artt. da 32 a 36 GDPR

9.1 momoscreen assiste il Cliente, tenendo conto della natura del trattamento e delle informazioni disponibili, in materia di sicurezza, notifiche, comunicazioni, valutazione d'impatto sulla protezione dei dati e consultazione preventiva, nella misura prevista dalla legge. momoscreen fornisce un'assistenza che va oltre tale misura (anche ai sensi del punto 8.1) dietro rimborso dei costi.

9.2 Una violazione della protezione dei Dati del Cliente è notificata da momoscreen al Cliente senza ingiustificato ritardo dopo averne avuto conoscenza, via e-mail all'indirizzo dell'account del Cliente, con le informazioni di cui all'art. 33, par. 3 GDPR, nella misura in cui siano disponibili; momoscreen fornisce successivamente le informazioni mancanti. Le notifiche all'autorità di controllo e le comunicazioni agli interessati sono effettuate dal Cliente.

10. Prove e verifiche

10.1 momoscreen dimostra il rispetto del presente DPA in via prioritaria mediante il presente DPA con i relativi allegati, informazioni fornite via e-mail nonché certificati o rapporti di audit dei sub-responsabili del trattamento.

10.2 Una verifica in loco è ammessa se tali prove non fugano dubbi fondati del Cliente. Deve essere annunciata con almeno 30 giorni di anticipo, si svolge durante l'orario lavorativo e al massimo una volta per anno civile ed è effettuata dal Cliente o da un revisore vincolato alla riservatezza che non sia un concorrente di momoscreen. I costi sono a carico del Cliente, compreso l'onere sostenuto da momoscreen. Restano impregiudicati i poteri delle autorità di controllo.

11. Cancellazione e restituzione

11.1 Durante la vigenza del contratto momoscreen anonimizza o cancella automaticamente i Dati del Cliente secondo le seguenti istruzioni del Cliente (punto 4.2): richieste di prenotazione non confermate dall'ospite (link di conferma non cliccato) 7 giorni dopo la ricezione (cancellazione); note alle prenotazioni 30 giorni dopo la data della prenotazione (cancellazione); altri dati di prenotazione 6 mesi dopo la data della prenotazione (anonimizzazione); consensi pubblicitari fino alla revoca, la prova del consenso e della revoca tre anni dopo; voci della cronologia delle modifiche 90 giorni dopo la registrazione della voce (cancellazione). Il Cliente cancella autonomamente nell'app i contenuti e gli accessi delle persone invitate. Le modifiche di tali termini avvengono ai sensi del punto 12.2.

11.2 Se il Cliente richiede via e-mail la restituzione al più tardi 30 giorni dopo la cessazione del contratto, momoscreen consegna i Dati del Cliente in un formato di uso comune e leggibile da dispositivo automatico. Decorso tale termine (in caso di richiesta, dopo la restituzione) momoscreen cancella i Dati del Cliente entro un termine ragionevole, salvo che sussista un obbligo di conservazione ai sensi del diritto dell'Unione o del diritto austriaco. Le copie nei backup non vengono cancellate singolarmente, ma sovrascritte nel normale ciclo.

12. Responsabilità, modifiche, disposizioni finali

12.1 Nei rapporti tra il Cliente e momoscreen si applicano le limitazioni di responsabilità delle Condizioni generali (punto 10), nella misura consentita dalla legge. Resta impregiudicata la responsabilità nei confronti degli interessati ai sensi dell'art. 82 GDPR.

12.2 Per le modifiche si applica il punto 13 delle Condizioni generali, per i sub-responsabili del trattamento il punto 7.2. Per il resto si applicano le disposizioni finali delle Condizioni generali.

Allegato A – Misure tecniche e organizzative

• Data center e server: hosting dell'applicazione presso fornitori con certificazioni di sicurezza riconosciute (ad es. ISO 27001, SOC 2). Il database funziona su un server cloud che noleggiamo da Hetzner Online GmbH e amministriamo noi stessi, in un data center certificato ISO 27001 in Germania; l'accesso fisico al data center è controllato da Hetzner. Misure sul server: accesso solo con chiavi SSH (nessuna password), firewall con aperte solo le porte necessarie, connessioni al database da Internet solo cifrate (TLS con certificato verificato), aggiornamenti di sicurezza automatici, blocco automatico dopo ripetuti tentativi di accesso falliti.
• Accesso e autorizzazioni: accesso solo con account personale e password; le password sono memorizzate solo in forma di hash. Ogni Cliente vede solo i dati del proprio esercizio. I dipendenti invitati ricevono accessi propri, solo per le aree che il Cliente consente. Accesso alle interfacce di amministrazione e ai dati di produzione solo per persone autorizzate, nella misura necessaria per i loro compiti.
• Cifratura: trasmissioni tramite TLS, anche verso il database; i backup del database sono cifrati (AES-256) prima di lasciare il server e conservati nell'UE. Il disco del server del database non è cifrato.
• Integrità e protezione dagli abusi: tracciabilità delle prenotazioni (provenienza, stato, momento) e delle modifiche nell'account (cronologia delle modifiche); conferma dell'indirizzo e-mail degli ospiti; misure contro richieste abusive e automatizzate.
• Minimizzazione dei dati: impostazioni predefinite rispettose della protezione dei dati (ad es. consenso pubblicitario non preselezionato); anonimizzazione e cancellazione automatiche (punto 11).
• Disponibilità: applicazione su infrastruttura cloud scalabile; backup giornalieri e continui del database (cifrati, conservati nell'UE fino a 14 giorni, ripristino testato); monitoraggio di database, backup e server con avvisi via e-mail.
• Verifica: verifica e adeguamento periodici di queste misure.

Allegato B – Sub-responsabili del trattamento