Note legali

Accordo sul trattamento dei dati per conto del titolare (AVV) ai sensi dell'art. 28 DSGVO

Status: 21 ottobre 2026 · Tutti i documenti legali

Traduzione a scopo informativo. Solo la versione tedesca è giuridicamente vincolante.

Traduzione a scopo informativo. Solo la versione tedesca è giuridicamente vincolante.

---

Quando si applica il presente accordo

Il presente accordo si applica esclusivamente agli eventi aziendali — prenotati da un'impresa, un'autorità pubblica, un'associazione o un'altra organizzazione nell'ambito della propria attività. Esso diventa automaticamente parte integrante del contratto al momento della sua conclusione e non deve essere firmato separatamente; su richiesta mettiamo a disposizione una copia firmata all'indirizzo privacy@snapories.com.

Non si applica agli eventi privati (matrimonio, compleanno, festa di famiglia). In tali casi la persona che effettua la prenotazione è di norma esclusa dall'ambito di applicazione del DSGVO (esenzione domestica, Art. 2 Abs. 2 lit. c DSGVO) e noi siamo titolari autonomi del trattamento — in questa configurazione non sussiste alcun trattamento per conto del titolare.

Parti

---

§ 1 Oggetto, durata e vincolo alle istruzioni

1.1 Oggetto è il trattamento dei dati personali che effettuiamo per conto dell'Organizzatrice nell'ambito della fornitura delle prestazioni descritte nelle Condizioni generali. Natura, finalità, portata, categorie di dati e persone interessate risultano dall'Allegato 1.

1.2 Il presente accordo ha durata pari a quella del contratto principale, al più tardi fino alla cancellazione di tutti i dati trattati per conto del titolare ai sensi del § 9.

1.3 Trattiamo i dati esclusivamente su istruzione documentata dell'Organizzatrice. Le istruzioni avvengono in forma testuale all'indirizzo privacy@snapories.com; le opzioni di impostazione previste nel prodotto (periodo dell'evento, regione dei dati, visibilità, link di condivisione per gli ospiti, blocco di immagini e ospiti, lingue, richieste di cancellazione) valgono come istruzione.

1.4 Qualora riteniamo illecita un'istruzione, lo comunichiamo senza indugio. Possiamo sospendere l'esecuzione fino alla conferma o alla modifica (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 I trattamenti per finalità proprie — esecuzione del contratto e fatturazione, sicurezza operativa e informatica, prevenzione degli abusi, indicatori aggregati senza riferimento personale, adempimento di obblighi di legge — non sono oggetto del presente accordo. A tale riguardo siamo titolari autonomi del trattamento; si applica l'Informativa sulla privacy.

---

§ 2 Luogo del trattamento

2.1 I dati di un evento vengono trattati nella regione dei dati scelta per tale evento al momento della prenotazione: Unione Europea (Francoforte sul Meno) o Stati Uniti (Virginia del Nord). Non ha luogo alcuna duplicazione tra le regioni. L'archiviazione, il trattamento e la cancellazione avvengono esclusivamente in questa regione; ai fini della distribuzione delle immagini, queste vengono temporaneamente memorizzate nella cache, finché l'evento è in corso, anche in sedi edge al di fuori della regione scelta (Allegato 3, sezione 1.1).

2.2 In deroga a quanto precede, la generazione nel fotobox con IA avviene presso il fornitore di IA impiegato, anche al di fuori del SEE (Allegato 3). L'Organizzatrice ne prende atto; qualora disattivi il fotobox per il proprio evento, tale trasferimento non ha luogo.

2.3 I trasferimenti verso Paesi terzi avvengono esclusivamente sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo (decisione di esecuzione (UE) 2021/914) unitamente a una valutazione d'impatto sul trasferimento.

2.4 In deroga al § 2.1, i dati di comunicazione di cui all'Allegato 1 — gli indirizzi e-mail delle persone che utilizzano la dashboard e i relativi codici di accesso — sono trattati, per ogni evento, nell'Unione Europea (Francoforte sul Meno), indipendentemente dalla regione dei dati dell'evento. Un unico account gestisce eventi in entrambe le regioni; questo insieme di dati non appartiene pertanto ad alcun singolo evento e non può seguirne alcuno: è conservato una sola volta e letto da entrambe le regioni (Allegato 3, sezione 1.2). Nessuna immagine vi è coinvolta. Lo stesso vale per i dati che trattiamo in qualità di titolari autonomi ai sensi del § 1.5.

---

§ 3 Riservatezza

3.1 Per il trattamento impieghiamo esclusivamente persone che si sono impegnate alla riservatezza o che sono soggette a un adeguato obbligo legale di segretezza (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Le persone impiegate conoscono le pertinenti disposizioni in materia di protezione dei dati e sono regolarmente istruite.

---

§ 4 Misure tecniche e organizzative

4.1 Adottiamo le misure descritte nell'Allegato 2 ai sensi dell'Art. 32 DSGVO e le manteniamo per tutta la durata del contratto.

4.2 Le misure possono essere ulteriormente sviluppate, purché non si scenda al di sotto del livello di protezione. Documentiamo le modifiche sostanziali e le comunichiamo su richiesta.

---

§ 5 Sub-responsabili del trattamento

5.1 L'Organizzatrice concede un'autorizzazione scritta generale al ricorso a sub-responsabili del trattamento (Art. 28 Abs. 2 Satz 2 DSGVO). I sub-responsabili del trattamento impiegati alla data del presente accordo sono elencati nominativamente nell'Allegato 3.

5.2 Qualora intendiamo coinvolgere un ulteriore sub-responsabile del trattamento o sostituirne uno esistente, ne informiamo l'Organizzatrice almeno 30 giorni prima in forma testuale. Entro tale termine l'Organizzatrice può opporsi per un motivo importante connesso alla protezione dei dati. In caso di opposizione, possiamo adeguare la prestazione interessata oppure recedere ordinariamente dal contratto con effetto dalla data del cambiamento previsto e rimborsare il corrispettivo proporzionale.

5.3 Vincoliamo i sub-responsabili del trattamento a obblighi in materia di protezione dei dati sostanzialmente corrispondenti a quelli qui concordati e rispondiamo del loro comportamento come del nostro.

---

§ 6 Assistenza all'Organizzatrice

6.1 Diritti degli interessati. Qualora gli interessati si rivolgano direttamente a noi, inoltriamo la richiesta senza indugio all'Organizzatrice e non vi rispondiamo autonomamente, nella misura in cui essa riguardi l'oggetto del trattamento. Assistiamo l'Organizzatrice con adeguate misure tecniche e organizzative nell'adempimento dei diritti di cui agli Art. 12–22 DSGVO, in particolare in materia di accesso, rettifica, cancellazione, limitazione e consegna delle immagini di un evento.

6.2 Obblighi di cui agli Art. 32–36 DSGVO. Assistiamo l'Organizzatrice nel garantire la sicurezza del trattamento, nella notifica delle violazioni di dati personali e nello svolgimento di una valutazione d'impatto sulla protezione dei dati, tenendo conto in ciascun caso della natura del trattamento e delle informazioni a nostra disposizione.

6.3 Onere. L'assistenza è gratuita nei limiti di quanto usuale e ragionevole. Per l'assistenza che eccede quanto dovuto per legge e che comporta un onere considerevole possiamo richiedere un corrispettivo adeguato; ne diamo preventiva comunicazione.

---

§ 7 Notifica delle violazioni della protezione dei dati personali

7.1 Informiamo l'Organizzatrice senza indugio dopo che siamo venuti a conoscenza di una violazione della protezione dei dati personali nell'ambito dell'incarico — di regola entro 24 ore.

7.2 La notifica contiene, nella misura in cui sono disponibili: la descrizione della natura della violazione, le categorie e il numero approssimativo delle persone interessate e dei record di dati, le probabili conseguenze, le misure adottate e proposte nonché un punto di contatto.

7.3 La notifica all'autorità di controllo (Art. 33 DSGVO) e la comunicazione alle persone interessate (Art. 34 DSGVO) spettano all'Organizzatrice; noi la assistiamo in tale attività.

---

§ 8 Prove e controlli

8.1 Su richiesta mettiamo a disposizione dell'Organizzatrice tutte le informazioni necessarie a comprovare il rispetto degli obblighi derivanti dall'Art. 28 DSGVO — in via prioritaria mediante documentazione, l'Allegato 2 e, ove disponibili, certificati e rapporti di audit dei nostri sub-responsabili del trattamento.

8.2 Qualora tali prove non siano sufficienti nel singolo caso, consentiamo verifiche, comprese ispezioni. Queste devono essere annunciate con un congruo preavviso (almeno 14 giorni), non devono perturbare in modo irragionevole l'attività e hanno luogo al massimo una volta all'anno — salvo che sussista un motivo specifico. I terzi incaricati della verifica non devono essere concorrenti e devono essere vincolati alla riservatezza.

---

§ 9 Cancellazione e restituzione

9.1 Al termine del trattamento cancelliamo i dati trattati per conto oppure li restituiamo, a scelta dell'Organizzatrice. L'Organizzatrice può scaricare in qualsiasi momento le immagini di un evento tramite la dashboard.

9.2 In assenza di istruzioni diverse, la cancellazione avviene alla scadenza del periodo di conservazione concordato nelle Condizioni Generali. Su richiesta cancelliamo anticipatamente.

9.3 Sono esclusi dalla cancellazione i dati soggetti a un obbligo legale di conservazione; essi vengono bloccati da un ulteriore utilizzo.

9.4 La cancellazione viene confermata su richiesta in forma testuale.

---

§ 10 Responsabilità

La responsabilità è disciplinata dall'Art. 82 DSGVO e dalle disposizioni del contratto principale; le limitazioni di responsabilità del contratto principale non si applicano alle pretese delle persone interessate ai sensi dell'Art. 82 DSGVO.

---

§ 11 Rapporto con il contratto principale

In caso di contraddizioni tra il presente accordo e il contratto principale, il presente accordo prevale per quanto riguarda il trattamento dei dati personali.

---

§ 12 Disposizioni finali

12.1 Le modifiche richiedono la forma testuale. 12.2 Si applica il diritto tedesco. 12.3 Qualora una disposizione risulti inefficace, l'efficacia delle restanti rimane impregiudicata. 12.4 Versione linguistica determinante.

È determinante esclusivamente la versione tedesca del presente accordo. Le versioni in altre lingue sono messe a disposizione esclusivamente a scopo informativo. In caso di divergenze prevale la versione tedesca.

---

Allegato 1 — Oggetto del trattamento

Natura e finalità. Raccolta, conservazione, strutturazione, visualizzazione, messa a disposizione e cancellazione di immagini e dei dati correlati allo scopo di gestire una galleria di evento ad accesso riservato, inclusa una fotobox con IA, per conto e secondo le istruzioni dell'Organizzatrice. La fotobox non dispone di una propria fotocamera: un ospite la applica a un'immagine scattata da lui stesso, già presente nella galleria. Se l'Organizzatrice ha prenotato le immagini IA, ogni immagine caricata viene inoltre verificata automaticamente per stabilire se la funzione possa essere offerta su di essa (Allegato 3, Google).

Interessati

• ospiti che partecipano all'evento
• persone ritratte in immagini conferite o generate
• dipendenti dell'Organizzatrice che utilizzano il dashboard

Categorie di dati

Categorie particolari. Non vengono generati dati biometrici destinati all'identificazione univoca di una persona fisica; in nessun punto si creano modelli facciali (template), vettori facciali o un confronto facciale.

L'analisi che precede una generazione IA e la verifica automatica di ogni immagine caricata producono tuttavia una breve descrizione delle persone ritratte in primo piano, che include il loro apparente tono della pelle e la loro apparente origine etnica — informazioni ai sensi dell'Art. 9 DSGVO. Esse servono esclusivamente a preservare l'aspetto delle persone ritratte nell'immagine generata; esse non vengono scritte nella banca dati della Responsabile del trattamento (in caso di generazione vengono trasportate, cifrate, nel token di sessione detenuto dall'app dell'ospite; in caso di verifica automatica vengono scartate non appena ne è stata ricavata la risposta sì/no) e non vengono utilizzate per classificare, profilare, valutare o riconoscere qualcuno.

Inoltre le immagini possono, per loro natura, rivelare informazioni sensibili; l'Organizzatrice valuta sotto la propria responsabilità se il suo evento richieda al riguardo particolari precauzioni.

---

Allegato 2 — Misure tecniche e organizzative (Art. 32 DSGVO)

Riservatezza

• Accesso fisico: esclusivamente centri dati di fornitori certificati (ISO 27001, SOC 2); non gestiamo hardware proprio.
• Accesso ai sistemi: accesso ai sistemi di produzione solo per persone designate, tramite account personalizzati con autenticazione a due fattori; accesso alla console interna tramite un elenco di indirizzi espressamente registrato.
• Accesso ai dati: token vincolati a ruolo e ambito (evento, host, partner, raccomandazione, staff); i file immagine solo tramite link di recupero firmati e di breve durata.
• Separazione: separazione delle regioni dei dati per i dati dell'evento (banche dati proprie, aree di memoria proprie, nessuna replica tra regioni); i record di account e aziendali vengono conservati una sola volta nell'UE e letti da entrambe le regioni, anziché copiati in una regione (§ 2.4); separazione delle sei interfacce su domini propri senza memoria del browser condivisa; separazione dei dati di test e di produzione.
• Pseudonimizzazione: identità senza account tramite identificativi emessi lato server; gli indirizzi IP dei contatori antiabuso vengono troncati e sottoposti ad hashing, mai memorizzati in chiaro.

Integrità

• Trasmissione: TLS per tutte le connessioni; nessuna integrazione di font, strumenti di analisi o di pubblicità di terzi nell'app degli ospiti e nel dashboard dell'organizzatore, in cui vengono trattati i dati del trattamento; i dati di pagamento fluiscono direttamente al prestatore di servizi di pagamento.
• Immissione: verifica lato server di tutte le immissioni rispetto a uno schema contrattuale centrale e tipizzato; registrazione delle operazioni amministrative; contatori di contingente e di costo con operazioni atomiche contro le doppie contabilizzazioni.

Disponibilità e resilienza

• servizi di memoria e di banca dati gestiti e più volte ridondati con cifratura a riposo; scalabilità automatica del livello applicativo; limiti rigidi di costo per le chiamate IA; protezione antiabuso contro le chiamate massive automatizzate.

Procedure di verifica

• esecuzioni di test automatizzate prima di ogni pubblicazione (test funzionali end-to-end, verifica della descrizione dell'infrastruttura, confronto automatico di ogni voce di memoria nel browser rispetto a un registro centrale);
• ricezione documentata delle istruzioni tramite un indirizzo designato;
• controllo dell'incarico tramite il § 5 del presente accordo.

---

Allegato 3 — Sub-responsabili del trattamento

Si applica la versione di volta in volta aggiornata della Lista dei sub-responsabili del trattamento, che costituisce parte integrante del presente accordo. Le modifiche sono comunicate ai sensi del § 5.2.