Accordo sul trattamento dei dati

FARENIO ECOSISTEMA

(GDPR Articolo 28)

1. PARTI

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte del rapporto contrattuale tra

GQ VENTURES SAS

Nome commerciale: FARENIO ("Responsabile del trattamento") e il cliente, host, gestore della proprietà, agenzia, cliente aziendale o altra organizzazione che utilizza la piattaforma FARENIO ("Responsabile del trattamento").

2. SCOPO

La presente DPA regola il trattamento dei Dati Personali da parte di FARENIO per conto del Titolare.

Soddisfa i requisiti di:

• Regolamento (EU) 2016/679 (GDPR)
• Legge francese sulla protezione dei dati
• Regno Unito GDPR (dove applicabile)
• Altra normativa sulla privacy applicabile.

3. DEFINIZIONI

Salvo diversa definizione, i termini avranno il significato indicato sotto GDPR.

Compreso:

• Controllore
• Processore
• Interessato
• Dati personali
• Elaborazione
• Sub-responsabile del trattamento
• Violazione dei dati personali
• Autorità di vigilanza

4. OGGETTO

FARENIO tratta i dati personali esclusivamente per fornire:

• SaaS servizi
• Servizi del mercato
• PMS integrazioni
• Operazioni immobiliari
• Gestione del fatturato
• Coordinamento dei fornitori
• AI automazione del flusso di lavoro
• Assistenza clienti

5. DURATA

Il trattamento proseguirà solo per la durata necessaria all'esecuzione dei Servizi, salvo che la legge imponga una conservazione più lunga.

6. NATURA DEL TRATTAMENTO

Il trattamento può includere:

Collezione

Registrazione

Organizzazione

Strutturazione

Magazzinaggio

Recupero

Consultazione

Utilizzo

Trasmissione

Allineamento

Restrizione

Cancellazione

Distruzione

7. OBBLIGHI DEL PROCEDIMENTO

FARENIO deve:

Trattare i dati solo seguendo istruzioni documentate.

Mantenere la riservatezza.

Implementare una sicurezza adeguata.

Assistere il controllore.

Notificare le violazioni dei dati personali.

Eliminare o restituire i dati ove appropriato.

Consentire audit a condizioni ragionevoli.

Conservare i registri del trattamento.

8. RISERVATEZZA

FARENIO garantisce che ogni dipendente, appaltatore e persona autorizzata

trattamento dei dati personali:

• è vincolato da obblighi di riservatezza;
• riceve un'adeguata formazione sulla privacy;
• accede solo ai dati necessari per gli scopi autorizzati.

9. SICUREZZA

FARENIO attua misure tecniche e organizzative adeguate (TOM).

Allegato B.

10. SOTTO-PROCESSOSSORS

FARENIO può nominare Sub-responsabili del trattamento.

Allegato C.

FARENIO deve:

Rimanere responsabili della loro conformità.

Richiedono contratti conformi a GDPR.

Notificare modifiche materiali.

11. TRASFERIMENTI INTERNAZIONALI

Laddove i dati personali lasciano il SEE,

FARENIO deve utilizzare adeguate misure di salvaguardia, tra cui:

Clausole contrattuali tipo

Decisioni di adeguatezza

Altri meccanismi di trasferimento legali.

Allegato D.

12. ASSISTENZA

FARENIO assisterà il Titolare del trattamento in merito a:

Richieste di accesso

Richieste di cancellazione

Richieste di correzione

Portabilità

Restrizione

Obiezioni

Valutazioni d'impatto

Indagini normative

13. VIOLAZIONI DEI DATI PERSONALI

FARENIO informerà il Titolare senza indebito ritardo dopo essere venuto a conoscenza di una violazione confermata dei dati personali.

Allegato F.

14. RESTITUZIONE E CANCELLAZIONE DEI DATI

Alla cessazione,

FARENIO deve:

Eliminare o restituire i dati personali a meno che la conservazione non sia legalmente richiesta.

15. DIRITTI DI REVISIONE

Il Titolare può condurre controlli ragionevoli.

Gli audit devono:

Sii proporzionato.

Proteggi le informazioni riservate.

Evita interruzioni.

Essere soggetto a un ragionevole preavviso.

16. RESPONSABILITÀ

La responsabilità è regolata da:

GDPR

L'accordo del SaaS

Il CGU/CGV

Legge applicabile.

17. LEGGE APPLICABILE

diritto francese.

18. ACCETTAZIONE

L'utilizzo della Piattaforma implica l'accettazione della presente DPA.

ALLEGATO A

DESCRIZIONE DELLE ATTIVITÀ DI TRATTAMENTO

Finalità del trattamento

FARENIO tratta i Dati Personali per:

• Registrazione utente
• Verifica dell'identità
• SaaS consegna
• Servizi del mercato
• Operazioni immobiliari
• Pulizia del fatturato
• PMS Sincronizzazione
• Gestione dei fornitori
• AI Pianificazione
• AI Prezzi
• AI Spedizione
• Assistenza clienti
• Fatturazione
• Prevenzione delle frodi
• DAC7 Rapporti
• AML/KYC Conformità
• Analitica
• Monitoraggio della sicurezza

Categorie di dati personali

Dati di identità

Dati di contatto

Dati della proprietà

Dati di prenotazione

Dati dell'ospite

Informazioni sul pagamento

Informazioni commerciali

Informazioni sul dispositivo

Dati di utilizzo

Dati sulla posizione (ove autorizzato)

Documenti di comunicazione

Richieste di supporto

Foto caricate dai fornitori

Rapporti di ispezione

Dati operativi generati da AI

Categorie di Interessati

Ospiti

Gestori di proprietà

Ospiti

Pulitori

Imprese di pulizia

Venditori

Partner

Dipendenti

Appaltatori

Visitatori del sito web

Potenziali clienti

Contatti di supporto

Base giuridica

Articolo 6, paragrafo 1, lettera a)

Consenso

Articolo 6, paragrafo 1, lettera b)

Contrarre

Articolo 6, paragrafo 1, lettera c)

Obbligo legale

Articolo 6, paragrafo 1, lettera f)

Interessi legittimi

Articolo 9 ove applicabile.

Operazioni di trattamento

Collezione

Registrazione

Magazzinaggio

Recupero

Organizzazione

Analisi

Corrispondenza

Sincronizzazione

Segnalazione

Cancellazione

Anonimizzazione

ALLEGATO B

MISURE TECNICHE E ORGANIZZATIVE (TOM)

FARENIO implementa misure di sicurezza tra cui:

Governo

Programma di governance della privacy

Politica sulla sicurezza delle informazioni

Valutazioni del rischio

Revisioni annuali

Controllo degli accessi

Accesso basato sui ruoli

Il minimo privilegio

Autenticazione a più fattori

Politiche sulla password

Monitoraggio degli accessi privilegiati

Sicurezza delle infrastrutture

Crittografia in transito (TLS)

Crittografia a riposo

Protezione firewall

Segmentazione della rete

Protezione degli endpoint

Gestione delle vulnerabilità

Gestione delle patch

Sicurezza delle applicazioni

Ciclo di vita dello sviluppo sicuro

Revisione del codice

Scansione delle dipendenze

Test di penetrazione

API Autenticazione

Gestione della sessione

Registrazione di controllo

Sicurezza operativa

Backup

Ripristino di emergenza

Continuità aziendale

Monitoraggio

Gestione degli incidenti di sicurezza

Gestione del rischio dei fornitori

Sicurezza del personale

Accordi di riservatezza

Controlli dei precedenti laddove consentito

Formazione sulla consapevolezza della sicurezza

Procedure di revoca dell'accesso

ALLEGATO C

REGISTRO DEI SOTTOPROCEDENTI APPROVATO

Posizione dei dati per lo scopo del servizio

Applicazione dell'infrastruttura cloud

Hosting EU/EEA dove disponibile

Processore di pagamento Elaborazione del pagamento In base all'infrastruttura del fornitore

Transazionale del provider di posta elettronica

E-mail EU/Global come concordato contrattualmente

Notifiche del provider SMS Globali con protezioni

Assistenza clienti

Ticket di supporto della piattaforma EU/Globale con protezioni

Piattaforma del fornitore di analisi Analisi aggregate/pseudonimizzate ove possibile

AI Fornitore di servizi AI Caratteristiche Secondo i luoghi di elaborazione approvati

Disaster Recovery del fornitore di backup EU/EEA ove possibile

FARENIO manterrà e aggiornerà questo registro man mano che i fornitori di servizi vengono aggiunti, rimossi o sostituiti.

ALLEGATO D

MECCANISMO INTERNAZIONALE DI TRASFERIMENTO DATIISMS

I trasferimenti al di fuori del SEE si baseranno su:

Decisioni di adeguatezza o clausole contrattuali tipo o altro meccanismo di trasferimento legale.

Ulteriori garanzie possono includere:

Crittografia

Controlli di accesso

Valutazioni dell'impatto del trasferimento

Clausole di sicurezza contrattuale

Due Diligence dei Fornitori

ALLEGATO E

PROGRAMMA DI CONSERVAZIONE DEI DATI

Periodo di conservazione tipico del tipo di dati

Documenti dell'account Durata dell'account + periodo di conservazione legale applicabile

Registri delle prenotazioni In conformità agli obblighi legali, fiscali e contrattuali

Registrazioni dei pagamenti Secondo le leggi contabili e fiscali applicabili

Ticket di supporto Come ragionevolmente necessario per scopi legali e di supporto

AI Registri Periodo limitato necessario per il miglioramento e la sicurezza del servizio

Registri di controllo In base ai requisiti di sicurezza e conformità

Consenso al Marketing Fino alla revoca o non più necessario

Registri di sicurezza In base alle esigenze di sicurezza informatica e di risposta agli incidenti

Ove possibile, i dati saranno resi anonimi anziché conservati in forma identificabile.

ALLEGATO F

PROCEDURA DI RISPOSTA ALLA VIOLAZIONE DEI DATI PERSONALI

Fase 1

Rilevamento

Incidente identificato.

Avviato il contenimento immediato.

Fase 2

Valutazione

Determinare:

Natura della violazione

Categorie di dati

Numero di individui colpiti

Rischi probabili

Fase 3

Contenimento

Isolare i sistemi interessati.

Revocare le credenziali compromesse.

Impedire ulteriori accessi non autorizzati.

Fase 4

Notifica

Avvisare il Titolare senza indebito ritardo.

Laddove richiesto dalla legge:

Avvisare l'Autorità di Vigilanza.

Avvisare le persone interessate.

Fase 5

Recupero

Ripristinare i servizi.

Convalidare la sicurezza.

Monitorare i sistemi.

Fase 6

Documentazione

Documentazione:

Cronologia

Causa ultima

Valutazione dell'impatto

Azioni correttive

Lezioni apprese

Mantenere un registro delle violazioni in conformità con i requisiti di responsabilità GDPR.

Fase 7

Revisione post-incidente

Condurre una revisione formale.

Implementare azioni correttive.

Aggiorna i controlli di sicurezza.

Rivedere le politiche e la formazione del personale.

Rivedere le valutazioni dei rischi ove necessario.