Accordo sul trattamento dei dati personali (DPA) — Centri estetici
Versione 1.0 — in vigore dal 12 ottobre 2026.
tra il Cliente che accetta il presente accordo nell’applicazione Kura, la cui denominazione, sede e partita IVA sono quelle indicate al momento dell’accettazione (il “Cliente” o il “Titolare”)
e Confartigianato Servizi S.r.l., con sede in Corso Giuseppe Garibaldi n.30 – 84123 Salerno, P.IVA 05057400656 (il “Fornitore” o il “Responsabile”)
Premesse
Le parti hanno concluso i Termini di servizio di Kura (i “Termini”). Nell’esecuzione dei Termini, il Fornitore tratta dati personali per conto del Cliente. Il presente accordo (il “DPA”) disciplina tale trattamento ai sensi dell’art. 28 del GDPR e costituisce parte integrante dei Termini. I termini con iniziale maiuscola hanno il significato attribuito nei Termini o, in mancanza, nel GDPR.
Il Cliente esercita l’attività di centro estetico e, nell’utilizzo del Servizio, può registrare dati relativi alla salute dei Clienti finali nei limiti e alle condizioni dell’art. 9 dei Termini. Per tali dati e per le fotografie dei Clienti finali il presente DPA prevede misure di protezione rafforzate.
1. Ruoli e istruzioni
Il Cliente è titolare del trattamento dei dati personali contenuti nei Dati del Cliente. Il Fornitore agisce in qualità di responsabile del trattamento e tratta tali dati esclusivamente su istruzione documentata del Cliente, anche per quanto riguarda i trasferimenti verso paesi terzi.
Costituiscono istruzioni documentate del Cliente: i Termini, il presente DPA, le impostazioni del Servizio configurate dal Cliente e le richieste scritte inviate all’indirizzo segreteria@salernoconfartigianato.it. Le istruzioni ulteriori che comportino costi non previsti dai Termini sono preventivamente concordate per iscritto tra le parti.
Il Fornitore informa immediatamente il Cliente qualora ritenga che un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati. In tal caso può sospenderne l’esecuzione fino a conferma o modifica da parte del Cliente.
2. Oggetto, natura, finalità e durata del trattamento
Oggetto e natura: Il trattamento consiste in hosting, conservazione, elaborazione, trasmissione, esportazione e cancellazione dei Dati del Cliente, nella misura necessaria all’erogazione del Servizio Kura.
Finalità: Il trattamento ha tre finalità:
- consentire al Cliente la gestione di appuntamenti, Schede cliente e storico dei trattamenti, fotografie dei trattamenti, fornitori, preventivi e pacchetti, consensi e firme elettroniche, promemoria degli appuntamenti, incassi e fatture elettroniche;
- eseguire le funzioni di intelligenza artificiale attivate dal Cliente;
- prestare assistenza tecnica su richiesta del Cliente.
Durata: Il DPA ha la stessa durata dei Termini e resta efficace fino alla cancellazione dei Dati del Cliente ai sensi dell’art. 9.
3. Categorie di interessati e di dati personali
| Interessati | Dati |
|---|---|
| Clienti finali (persone fisiche, compresi eventuali minori di età) | Dati anagrafici e di contatto, data di nascita, codice fiscale ove necessario alla fatturazione, appuntamenti, storico dei trattamenti e dei prodotti utilizzati, preferenze, pacchetti e abbonamenti, importi e stato dei pagamenti, consensi raccolti, firme elettroniche e relativi dati probatori (indirizzo IP, data e ora, dispositivo) |
| Clienti finali — categorie particolari | Dati relativi alla salute registrati nella Scheda cliente per valutare idoneità e controindicazioni ai trattamenti (ad esempio allergie o reazioni a prodotti cosmetici, patologie cutanee, stato di gravidanza, farmaci in uso, dispositivi medici impiantati) e relativo consenso esplicito |
| Clienti finali — immagini | Fotografie del viso e del corpo eseguite prima, durante e dopo i trattamenti; consensi e autorizzazioni all’uso delle immagini |
| Esercenti la responsabilità genitoriale | Dati anagrafici e di contatto, consensi prestati, firme elettroniche e relativi dati probatori |
| Fornitori del Cliente e loro referenti | Dati anagrafici, di contatto e fiscali; documenti scambiati |
| Professionisti che operano presso il centro | Nome, dati di contatto, appuntamenti e trattamenti a loro assegnati |
| Utenti autorizzati del Cliente | Nome, dati di contatto, attività svolte nel Servizio |
Il Cliente può caricare nel Servizio dati relativi alla salute dei Clienti finali esclusivamente nei limiti e alle condizioni dell’art. 9 dei Termini, e si impegna a non caricare altre categorie particolari di dati personali né dati relativi a condanne penali e reati. Qualora tali altri dati siano comunque caricati, il Fornitore non risponde nei confronti del Cliente della mancata adozione di misure specificamente riferite a tali categorie.
4. Riservatezza del personale
Il Fornitore autorizza al trattamento esclusivamente il personale che ne abbia necessità per lo svolgimento delle proprie mansioni. Tale personale è istruito per iscritto e vincolato a un obbligo di riservatezza, di natura contrattuale o legale, che permane anche dopo la cessazione del rapporto.
Il personale del Fornitore accede ai Dati del Cliente solo in tre casi: per prestare l’assistenza richiesta dal Cliente, per esigenze di sicurezza o per adempiere a obblighi di legge. Ogni accesso è registrato.
Salve esigenze urgenti di sicurezza, l’accesso del personale del Fornitore alle sezioni della Scheda cliente contenenti dati relativi alla salute e alle fotografie dei Clienti finali avviene solo previa autorizzazione del Cliente per la singola richiesta di assistenza.
5. Misure di sicurezza
Il Fornitore adotta le misure tecniche e organizzative descritte nell’Allegato B, adeguate al rischio ai sensi dell’art. 32 GDPR.
Per i dati relativi alla salute e per le fotografie dei Clienti finali si applicano inoltre le misure rafforzate indicate nell’Allegato B.
Il Fornitore può aggiornare le misure dell’Allegato B in ragione dell’evoluzione tecnologica, a condizione che il livello complessivo di protezione non risulti ridotto.
6. Sub-responsabili
Con la sottoscrizione del DPA, il Cliente autorizza in via generale il Fornitore ad avvalersi dei sub-responsabili elencati nell’Allegato A.
Il Fornitore comunica al Cliente ogni aggiunta o sostituzione di sub-responsabili con un preavviso di almeno 30 giorni. La comunicazione avviene per e-mail all’indirizzo privacy indicato dal Cliente e specifica denominazione, servizio prestato e paese di trattamento.
Entro il termine di preavviso, il Cliente può opporsi alla modifica per motivi ragionevoli attinenti alla protezione dei dati. In tal caso le parti ricercano in buona fede una soluzione condivisa. In mancanza, il Cliente può recedere dai Termini senza penali, con effetto anteriore all’avvio dell’attività del nuovo sub-responsabile.
Il Fornitore impone contrattualmente a ciascun sub-responsabile obblighi in materia di protezione dei dati non inferiori a quelli previsti dal DPA. Ai sensi dell’art. 28 del GDPR, il Fornitore conserva nei confronti del Cliente l’intera responsabilità dell’adempimento di tali obblighi.
7. Assistenza al Cliente
Diritti degli interessati: Il Servizio consente al Cliente di consultare, rettificare, esportare e cancellare i Dati del Cliente in autonomia. Ove tali funzioni non siano sufficienti, il Fornitore assiste il Cliente entro 5 giorni lavorativi dalla richiesta. Se un interessato si rivolge direttamente al Fornitore, questi trasmette la richiesta al Cliente entro 3 giorni lavorativi dal ricevimento e non fornisce riscontro in autonomia.
L’assistenza eccedente l’uso ordinario del Servizio può essere addebitata secondo le tariffe in vigore, salvo che la richiesta derivi da un inadempimento del Fornitore.
Valutazione d’impatto: Tenuto conto della natura del trattamento e delle informazioni a sua disposizione, il Fornitore assiste il Cliente nell’eventuale valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 del GDPR e nell’eventuale consultazione preventiva del Garante ai sensi dell’art. 36, fornendo la descrizione del Servizio, dei flussi di dati e delle misure di sicurezza adottate.
Sicurezza: Il Fornitore assiste il Cliente nel garantire il rispetto degli obblighi di cui all’art. 32 del GDPR, mettendo a disposizione le informazioni sulle misure dell’Allegato B e sulle funzioni di sicurezza configurabili dal Cliente.
8. Violazioni dei dati
Il Fornitore comunica al Cliente ogni violazione dei dati personali che riguardi i Dati del Cliente senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza.
La comunicazione contiene, nei limiti delle informazioni disponibili:
- la natura della violazione;
- le categorie e il numero approssimativo di interessati e di registrazioni coinvolti;
- le probabili conseguenze;
- le misure adottate o proposte per porvi rimedio e attenuarne gli effetti;
- nome e recapiti di un referente.
Le informazioni non immediatamente disponibili sono fornite successivamente, senza ulteriore ingiustificato ritardo.
Il Fornitore non effettua notifiche al Garante né comunicazioni agli interessati per conto del Cliente, salvo istruzione scritta di quest’ultimo.
9. Cessazione del trattamento
Alla cessazione dei Termini, il Cliente può esportare i Dati del Cliente per 30 giorni, nei formati indicati all’art. 16 dei Termini.
Decorso tale termine, il Fornitore cancella i Dati del Cliente dai sistemi di produzione entro 30 giorni e dai backup entro 60 giorni, per effetto della sovrascrittura del ciclo di backup. Resta salvo il caso in cui il diritto dell’Unione o di uno Stato membro ne imponga la conservazione.
Su richiesta del Cliente, il Fornitore rilascia attestazione scritta dell’avvenuta cancellazione.
10. Verifiche e ispezioni
Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR.
Con cadenza annuale, oppure a seguito di una violazione dei dati personali, il Cliente può richiedere la compilazione di un questionario di verifica.
Qualora tale documentazione non sia sufficiente, il Cliente può svolgere un’ispezione, direttamente o tramite un revisore indipendente vincolato alla riservatezza. L’ispezione richiede un preavviso di almeno 30 giorni, si svolge in orario lavorativo e con modalità che non comportino l’accesso ai dati di altri clienti del Fornitore. I costi sono a carico del Cliente, salvo che emerga un inadempimento rilevante del Fornitore.
11. Disposizioni finali
La responsabilità delle parti nei confronti degli interessati è disciplinata dall’art. 82 del GDPR. Nei rapporti tra le parti si applicano le limitazioni di responsabilità previste dai Termini, nei limiti consentiti dalla legge.
In caso di contrasto tra il DPA e i Termini, le disposizioni del DPA prevalgono per quanto attiene alla protezione dei dati personali.
Il DPA è regolato dalla legge ed è soggetto al foro competente previsti dai Termini.
Allegato A — Sub-responsabili
| Sub-responsabile | Servizio | Paese di trattamento | Garanzia per il trasferimento |
|---|---|---|---|
| Terzi | Hosting, database, archiviazione file | UE | Non necessaria se SEE |
| Società del proprio gruppo | Backup | UE | Non necessaria se SEE |
| Società del proprio gruppo | Modello di IA per preventivi e assistente conversazionale | UE | Clausole tipo |
| Società del proprio gruppo | Invio email, SMS e promemoria degli appuntamenti | UE | Non necessaria se SEE |
| Società del proprio gruppo | Firma elettronica (se affidata ad un fornitore esterno) | UE | Non necessaria se SEE |
| Società del proprio gruppo | Strumento di assistenza clienti | UE | Non necessaria se SEE |
Il fornitore dei servizi di pagamento Stripe non è identificabile come sub-responsabile e tratta i dati in qualità di titolare autonomo.
Allegato B — Misure di sicurezza
| Area | Misura |
|---|---|
| Cifratura | TLS 1.2 o superiore in transito; AES-256 a riposo per database, file e backup |
| Controllo degli accessi | Autorizzazioni per ruolo secondo il principio del minimo privilegio; autenticazione a due fattori per il personale; revoca delle utenze entro 24 ore dalla cessazione del rapporto; revisione trimestrale delle utenze |
| Separazione tra clienti | Isolamento logico tramite identificativo del Cliente su ogni tabella e archivio file; verifiche automatiche in fase di test |
| Registrazione degli accessi | Log degli accessi amministrativi e delle operazioni sui dati, conservati per 3 mesi e protetti da modifiche |
| Backup | Frequenza ogni 24 ore; conservazione per 45 giorni in sede separata all’interno dello SEE; cifratura; prova di ripristino semestrale |
| Continuità operativa | RTO 24 ore, RPO 24 ore; piano di ripristino documentato |
| Gestione delle vulnerabilità | Aggiornamenti di sicurezza critici entro 7 giorni; scansione delle dipendenze a ogni rilascio |
| Sviluppo sicuro | Revisione del codice; ambienti di test senza dati reali |
| Fornitori di IA | Trasmissione dei soli dati necessari alla richiesta; esclusione dei dati relativi alla salute e delle fotografie dei Clienti finali |
| Dati relativi alla salute | Archiviazione in una sezione distinta della Scheda cliente; consultazione consentita ai soli profili abilitati dal Cliente; registrazione di ogni consultazione; esclusione dalle esportazioni massive, dalle anteprime delle notifiche e dai messaggi di promemoria |
| Fotografie dei Clienti finali | Caricamento diretto dall’applicazione nell’archivio cifrato del Servizio, senza salvataggio nella galleria del dispositivo; consultazione consentita ai soli profili abilitati; collegamenti di condivisione disattivati salvo scelta del Cliente |
| Autenticazione degli utenti del Cliente | Autenticazione a due fattori disponibile per tutti gli Utenti autorizzati; blocco temporaneo dopo ripetuti tentativi falliti; scadenza automatica delle sessioni inattive |
Sottoscrizione
Le parti dichiarano di aver letto e accettato il presente accordo e i suoi Allegati A e B, nella versione indicata in testa al documento.
Per il Titolare (Cliente), l’accettazione avviene nell’applicazione Kura da parte del firmatario di cui sono registrati nome e ruolo, con data e ora. Per il Responsabile (Fornitore): Confartigianato Servizi S.r.l.