Accordo sul Trattamento dei Dati (DPA) — Atto di nomina a Responsabile del trattamento ex art. 28 GDPR

Versione: 1.0 · Data: 16/10/2026

Questo documento disciplina il trattamento dei dati personali dei clienti finali (passeggeri/partecipanti) che l'Operatore nautico inserisce nella piattaforma Easea o raccoglie tramite il widget. In tale trattamento l'Operatore è Titolare e Easea è Responsabile. Forma parte integrante dei Termini & Condizioni e si intende accettato in sede di sottoscrizione del Servizio.

Tra

Il Titolare del trattamento — l'Operatore nautico (di seguito "Titolare" o "Operatore"), persona fisica o giuridica che sottoscrive il Servizio Easea, i cui dati identificativi risultano dall'account e dai dati di fatturazione forniti;

Il Responsabile del trattamento — Luca La Marca, C.F. LMRLCU98L02F943F, P. IVA 07543890482, Via De Amicis 2, 50018 Scandicci (FI), Italia, e‑mail info@easea.app, titolare della piattaforma "Easea" (di seguito "Responsabile" o "Easea").

Di seguito congiuntamente "Parti".

Premesse

(a) Il Responsabile mette a disposizione del Titolare la piattaforma SaaS "Easea" per la gestione di prenotazioni, clienti, imbarcazioni, attività, personale e pagamenti dell'attività nautica del Titolare;

(b) nell'erogazione del Servizio, il Responsabile tratta dati personali dei clienti finali del Titolare per conto del Titolare, il quale ne rimane Titolare autonomo;

(c) le Parti intendono disciplinare tale trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy").

1. Definizioni

I termini "dato personale", "trattamento", "titolare del trattamento", "responsabile del trattamento", "interessato", "violazione dei dati personali" e "sub-responsabile" hanno il significato di cui all'art. 4 GDPR. "Dati" indica i dati personali oggetto del presente Accordo, descritti nell'Allegato A.

2. Oggetto, durata e ruolo delle Parti

2.1 Il presente Accordo disciplina il trattamento dei Dati effettuato dal Responsabile per conto del Titolare nell'ambito del Servizio.

2.2 Il Titolare è Titolare del trattamento; il Responsabile è Responsabile del trattamento e agisce esclusivamente sulla base delle istruzioni documentate del Titolare (art. 5).

2.3 L'Accordo ha la durata del contratto di Servizio (Termini & Condizioni) e cessa con esso, fatti salvi gli obblighi di cui all'art. 11 (restituzione/cancellazione).

2.4 Oggetto, durata, natura e finalità del trattamento, tipologie di dati e categorie di interessati sono specificati nell'Allegato A.

3. Natura e finalità del trattamento

Il Responsabile tratta i Dati al solo fine di erogare il Servizio (gestione prenotazioni e clienti del Titolare, comunicazioni transazionali, gestione dei pagamenti tramite i fornitori di cui all'Allegato B), secondo le finalità descritte nei Termini & Condizioni e nella documentazione del Servizio.

4. Obblighi del Responsabile (art. 28, par. 3, GDPR)

Il Responsabile si impegna a:

(a) trattare i Dati solo su istruzione documentata del Titolare (incluso quanto ai trasferimenti extra-SEE), salvo obblighi di legge UE/SM, nel qual caso ne informa il Titolare prima del trattamento salvo divieto di legge;

(b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

(d) rispettare le condizioni per il ricorso a sub-responsabili (art. 8);

(e) assistere il Titolare con misure tecniche e organizzative adeguate, per quanto possibile, nel dar seguito alle richieste di esercizio dei diritti degli interessati (artt. 12–23);

(f) assistere il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32–36 (sicurezza, notifica violazioni, DPIA, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni a disposizione;

(g) a scelta del Titolare, cancellare o restituire tutti i Dati al termine del Servizio e cancellarne le copie esistenti, salvo conservazione richiesta dal diritto UE/SM (art. 11);

(h) mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 e consentire/contribuire ad audit e ispezioni (art. 10).

5. Istruzioni documentate

5.1 Costituiscono istruzioni documentate del Titolare: il presente Accordo, i Termini & Condizioni, la documentazione del Servizio e le configurazioni effettuate dal Titolare tramite l'interfaccia.

5.2 Il Responsabile informa immediatamente il Titolare qualora ritenga che un'istruzione violi il GDPR o altra normativa applicabile.

6. Riservatezza

Il Responsabile garantisce che chiunque agisca sotto la sua autorità e abbia accesso ai Dati sia vincolato alla riservatezza e tratti i Dati solo secondo le istruzioni del Titolare.

7. Sicurezza del trattamento (art. 32)

Tenuto conto dello stato dell'arte, dei costi, della natura/contesto/finalità del trattamento e dei rischi, il Responsabile attua le misure tecniche e organizzative descritte nell'Allegato C, tra cui cifratura in transito (TLS) e a riposo, pseudonimizzazione ove appropriata, controllo accessi RBAC, backup, log e procedure di ripristino.

8. Sub-responsabili

8.1 Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato B.

8.2 Il Responsabile informa il Titolare di ogni intenzione di aggiungere o sostituire sub-responsabili con preavviso di almeno 15 giorni, dando al Titolare la possibilità di opporsi per motivi ragionevoli connessi alla protezione dei dati.

8.3 Il Responsabile impone ai sub-responsabili, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente Accordo e resta pienamente responsabile verso il Titolare dell'operato dei sub-responsabili.

9. Assistenza, diritti degli interessati e violazioni

9.1 Richieste degli interessati. Il Responsabile inoltra senza ingiustificato ritardo al Titolare ogni richiesta ricevuta dagli interessati e assiste il Titolare nel darvi seguito; non risponde direttamente all'interessato salvo istruzione del Titolare.

9.2 Violazioni dei dati (data breach). Il Responsabile notifica al Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla presa di conoscenza di una violazione che riguardi i Dati, fornendo le informazioni di cui all'art. 33, par. 3, per consentire al Titolare gli adempimenti verso l'Autorità e gli interessati.

9.3 DPIA / consultazione preventiva. Il Responsabile assiste il Titolare nelle valutazioni d'impatto (art. 35) e nelle consultazioni preventive (art. 36) per quanto di sua competenza.

10. Audit

10.1 Il Responsabile mette a disposizione le informazioni necessarie a dimostrare la conformità e consente audit, anche tramite certificazioni/relazioni di terzi (es. ISO 27001, SOC 2) dei fornitori infrastrutturali.

10.2 Audit on-site su richiesta motivata, con ragionevole preavviso, non più di una volta l'anno salvo incidente o richiesta dell'Autorità, nel rispetto della riservatezza e della continuità del Servizio.

11. Restituzione e cancellazione dei Dati

Al termine del Servizio, il Responsabile, a scelta del Titolare, cancella o restituisce i Dati entro 30 giorni e cancella le copie esistenti, salvo obblighi di conservazione previsti dal diritto UE/SM. Il meccanismo di cancellazione account del Titolare prevede un periodo di grazia di 15 giorni, decorso il quale i dati sono eliminati definitivamente (cancellazione a cascata e pulizia degli archivi file).

12. Trasferimenti extra-SEE

12.1 I Dati sono ospitati nell'UE/SEE. Alcuni sub-responsabili (Allegato B) possono trattare dati negli Stati Uniti: tali trasferimenti avvengono sulla base della decisione di adeguatezza del 10 luglio 2023 (EU‑U.S. Data Privacy Framework, art. 45 GDPR) per i soggetti certificati e/o di Clausole Contrattuali Tipo (art. 46.2.c), con misure supplementari ove necessario.

12.2 Il Responsabile non trasferisce i Dati fuori dal SEE senza una valida base di trasferimento e senza istruzione/autorizzazione del Titolare.

13. Responsabilità

La responsabilità delle Parti è regolata dall'art. 82 GDPR e dalle pertinenti clausole dei Termini & Condizioni. Nulla nel presente Accordo limita i diritti degli interessati o i poteri dell'Autorità di controllo.

14. Legge applicabile e foro

Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Firenze, salvo foro inderogabile.

Allegato A — Dettagli del trattamento

Oggetto: Trattamento dei dati dei clienti finali del Titolare per l'erogazione del Servizio Easea
Durata: Per la durata del contratto di Servizio
Natura: Raccolta, registrazione, conservazione, consultazione, organizzazione, comunicazione ai sub-responsabili, cancellazione
Finalità: Gestione prenotazioni e clienti; comunicazioni transazionali; gestione incassi/acconti tramite Stripe
Categorie di interessati: Clienti finali / passeggeri / partecipanti alle attività del Titolare
Categorie di dati: Nome e cognome; e‑mail; telefono; lingua; dettagli della prenotazione (date, attività, imbarcazione, numero/tipologia partecipanti); note libere; eventuali documenti caricati dal Titolare (es. documento d'identità, e — se presenti — certificati medici/assicurativi); se attivati dal Titolare: dati di fatturazione (codice fiscale, partita IVA, ragione sociale, indirizzo, codice SDI, PEC) e registrazione dei consensi (presa visione dell'informativa, consenso marketing)
Dati particolari (art. 9): Eventuali certificati medici caricati come documenti. Il Titolare è responsabile di disporre di idonea base ex art. 9 e di non inserire dati particolari ove non necessario.
Pagamenti: I dati della carta sono trattati direttamente da Stripe; Easea non li tratta né conserva.

Allegato B — Sub-responsabili autorizzati

Amazon Web Services, Inc. (AWS) — Servizio: Hosting infrastruttura, storage file (S3, eu‑west‑2); Sede / trattamento: UE (Irlanda) + USA; Meccanismo trasferimento: DPF / SCC
Stripe, Inc. — Servizio: Elaborazione pagamenti (Connect, acconti); Sede / trattamento: USA; Meccanismo trasferimento: DPF / SCC
Google LLC — Servizio: Google Analytics, API, Maps, Cloud Translate; Sede / trattamento: USA / UE; Meccanismo trasferimento: DPF / SCC
Expo (Expo / EAS) — Servizio: Notifiche push (token dispositivo); Sede / trattamento: USA; Meccanismo trasferimento: SCC
Apple Inc. — Servizio: Sign in with Apple (autenticazione); Sede / trattamento: USA; Meccanismo trasferimento: DPF / SCC
Resend, Inc. — Servizio: Invio e‑mail transazionali; Sede / trattamento: USA; Meccanismo trasferimento: DPF ove certificata / SCC

Allegato C — Misure tecniche e organizzative (art. 32)

Cifratura dei dati in transito (TLS/HTTPS) e a riposo;
hashing crittografico delle password (bcrypt);
controllo accessi basato sui ruoli (RBAC) con principio del minimo privilegio; segregazione dei dati per singolo Operatore;
audit trail delle sessioni di impersonation (admin) con IP, user agent e durata limitata;
backup periodici cifrati; log di accesso e monitoraggio;
infrastruttura su AWS con certificazioni ISO 27001 e SOC 2;
procedura di gestione delle violazioni con notifica al Titolare entro 48 ore.