Accordo sul trattamento dei dati (DPA)

Versione 2026.1, in vigore dal 7 novembre 2026. Il presente Accordo sul trattamento dei dati personali ("DPA") costituisce allegato al contratto tra amuseapp S.r.l. e il Cliente, composto dal Modulo d'Ordine e dai Termini e Condizioni Generali di Servizio ("T&C"), ai sensi dell'art. 11.2 dei T&C. I termini con iniziale maiuscola non definiti nel presente DPA hanno il significato loro attribuito nei T&C o nel Regolamento (UE) 2016/679 ("GDPR").

1) Parti e ambito

1.1 Il presente DPA disciplina il trattamento dei dati personali che amuseapp S.r.l., con sede legale in Via della Rivetta 32B, 32100 Belluno (BL), Italia, P. IVA IT01302450257 ("amuseapp"), effettua per conto del Cliente al fine di erogare il Servizio.

1.2 Il Cliente agisce in qualità di titolare del trattamento. Se il Cliente agisce a sua volta come responsabile del trattamento per conto di un titolare terzo (ad esempio un museo gestito per conto di un ente pubblico), amuseapp agisce come suo sub-responsabile, e il Cliente garantisce di disporre delle autorizzazioni necessarie per nominare amuseapp.

1.3 Il presente DPA non riguarda i dati che amuseapp tratta in qualità di titolare autonomo del trattamento: i dati delle persone di contatto del Cliente per la gestione del rapporto contrattuale, la fatturazione e i pagamenti; i dati trattati per finalità proprie di amuseapp, come descritte nella sua informativa sulla privacy, quali la sicurezza della piattaforma e la diagnostica degli errori; e i dati utilizzati in forma anonima e aggregata per statistiche e miglioramento del Servizio (art. 11.3 dei T&C).

1.4 In caso di conflitto tra il presente DPA e i T&C in materia di protezione dei dati personali, prevale il presente DPA. Un diverso accordo sul trattamento dei dati personali sottoscritto dalle parti prevale sul presente DPA.

2) Descrizione del trattamento

2.1 L'oggetto, la natura e la finalità del trattamento, le categorie di interessati e di dati personali e la durata del trattamento sono descritti nell'Allegato 1.

2.2 Il Servizio non è progettato per trattare categorie particolari di dati personali (art. 9 GDPR) o dati relativi a condanne penali (art. 10 GDPR). Il Cliente non configura il Servizio in modo da raccoglierli.

3) Istruzioni del Cliente

3.1 amuseapp tratta i dati personali soltanto su istruzione documentata del Cliente. Il contratto, il presente DPA e la configurazione scelta dal Cliente nella console di gestione (ad esempio l'attivazione della raccolta di contatti, delle donazioni, del ticketing o del chatbot) costituiscono le istruzioni complete del Cliente. Eventuali ulteriori istruzioni devono essere impartite per iscritto e, se comportano costi aggiuntivi, sono concordate in anticipo.

3.2 amuseapp informa il Cliente senza ritardo se ritiene che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, e può sospenderne l'esecuzione finché il Cliente non la confermi o la modifichi.

3.3 amuseapp può trattare diversamente i dati personali solo se richiesto dal diritto dell'Unione o dello Stato membro; in tal caso ne informa il Cliente prima del trattamento, salvo che la legge lo vieti.

4) Riservatezza

4.1 amuseapp assicura che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza, e che trattino i dati solo nella misura necessaria per erogare il Servizio.

5) Sicurezza

5.1 amuseapp adotta le misure tecniche e organizzative descritte nell'Allegato 2, adeguate al rischio ai sensi dell'art. 32 GDPR. amuseapp può aggiornare tali misure nel tempo, purché il livello complessivo di protezione non risulti ridotto.

6) Sub-responsabili

6.1 Il Cliente concede ad amuseapp un'autorizzazione scritta generale a ricorrere a sub-responsabili. I sub-responsabili incaricati alla data di efficacia del presente DPA sono elencati nell'Allegato 3.

6.2 amuseapp informa il Cliente via email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Entro tale termine il Cliente può opporsi per iscritto per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Cliente può recedere dalla parte di Servizio interessata dalla modifica, con rimborso degli eventuali importi prepagati relativi al periodo successivo al recesso.

6.3 amuseapp impone a ciascun sub-responsabile, per contratto, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA, e rimane responsabile nei confronti del Cliente per l'adempimento degli obblighi dei sub-responsabili.

7) Trasferimenti al di fuori dello Spazio Economico Europeo

7.1 Qualora un sub-responsabile tratti dati personali al di fuori dello Spazio Economico Europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea (compreso, per le società statunitensi certificate, l'EU-US Data Privacy Framework) o delle clausole contrattuali standard adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione, unitamente alle eventuali misure supplementari che si rendano necessarie.

8) Assistenza al Cliente

8.1 Tenendo conto della natura del trattamento, amuseapp assiste il Cliente con misure tecniche e organizzative adeguate nel dare riscontro alle richieste degli interessati che esercitano i loro diritti ai sensi del Capo III del GDPR. Se un interessato si rivolge direttamente ad amuseapp in merito a dati trattati per conto del Cliente, amuseapp inoltra la richiesta al Cliente senza ingiustificato ritardo e non risponde nel merito salvo istruzione in tal senso.

8.2 amuseapp assiste il Cliente nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 GDPR (sicurezza, notifica delle violazioni dei dati personali, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione di amuseapp. L'assistenza che vada oltre la fornitura delle informazioni già disponibili può essere addebitata a un costo ragionevole, concordato in anticipo.

9) Violazioni dei dati personali

9.1 amuseapp notifica al Cliente senza ingiustificato ritardo, e in ogni caso entro 48 ore dal momento in cui ne viene a conoscenza, qualsiasi violazione dei dati personali che riguardi dati trattati per conto del Cliente.

9.2 La notifica descrive, per quanto disponibile, la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte. Le informazioni non disponibili al momento della prima notifica sono fornite per fasi, senza ulteriore ingiustificato ritardo.

10) Restituzione e cancellazione dei dati

10.1 Al termine del contratto, il Cliente può chiedere, entro 30 giorni, la restituzione dei propri dati personali e dei propri Contenuti originali in un formato elettronico di uso comune, ai sensi dell'art. 14.3 dei T&C.

10.2 Decorso tale periodo, amuseapp cancella i dati personali trattati per conto del Cliente entro i 90 giorni successivi, comprese le copie detenute dai suoi sub-responsabili, salvo che il diritto dell'Unione o dello Stato membro ne imponga la conservazione. Le copie presenti nei backup sono cancellate secondo il normale ciclo di rotazione dei backup e nel frattempo restano protette. Su richiesta, amuseapp conferma per iscritto la cancellazione.

11) Informazioni e audit

11.1 amuseapp mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell'art. 28 GDPR, comprese, ove disponibili, le certificazioni e le relazioni di audit dei suoi principali sub-responsabili.

11.2 Se tali informazioni non sono sufficienti, il Cliente può svolgere un audit, direttamente o tramite un revisore indipendente vincolato alla riservatezza, non più di una volta l'anno (salvo in caso di violazione dei dati personali o di richiesta di un'autorità di controllo), con un preavviso scritto di almeno 30 giorni, durante l'orario di lavoro e senza compromettere la sicurezza del Servizio né la riservatezza dei dati degli altri clienti. Ciascuna parte sostiene i propri costi dell'audit.

12) Responsabilità e durata

12.1 La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni previste dall'art. 13 dei T&C, salvo che una norma imperativa disponga diversamente.

12.2 Il presente DPA rimane in vigore finché amuseapp tratta dati personali per conto del Cliente. Gli obblighi che per loro natura sopravvivono alla cessazione (in particolare riservatezza, cancellazione e restituzione dei dati) restano in vigore anche successivamente.

13) Legge applicabile e contatti

13.1 Il presente DPA è regolato dalla legge italiana. Il foro competente è quello indicato all'art. 17 dei T&C.

13.2 Le comunicazioni relative al presente DPA, compreso l'esercizio dei diritti degli interessati inoltrato dal Cliente, sono inviate a help@amuseapp.it o all'indirizzo PEC indicato nel Modulo d'Ordine.

Allegato 1: Descrizione del trattamento

Oggetto e finalità. Erogazione del Servizio al Cliente: audioguide e itinerari digitali per i Visitatori, chatbot, analytics nella console di gestione e, ove attivati dal Cliente, raccolta dei contatti dei Visitatori, donazioni, ticketing e posizionamento indoor.

Natura del trattamento. Raccolta, registrazione, conservazione, organizzazione, consultazione, analisi, trasmissione al Cliente e cancellazione, con mezzi automatizzati.

Durata. La durata del contratto, più il periodo di restituzione e cancellazione previsto dalla sezione 10.

Categorie di interessati.

Visitatori del Cliente che utilizzano il Servizio.
Personale e collaboratori del Cliente che utilizzano la console di gestione.

Categorie di dati personali.

Dati tecnici e del dispositivo: indirizzo IP, tipo e modello di dispositivo, sistema operativo, browser, versione dell'app, lingua.
Dati di utilizzo dell'esperienza: contenuti e tappe visualizzati, tempo di ascolto, durata della sessione, risposte a questionari e quiz, feedback, badge, associati a identificativi di sessione pseudonimi.
Conversazioni con il chatbot: domande scritte dai Visitatori e risposte generate, ove il Cliente attivi il chatbot.
Dati di contatto e registri dei consensi: indirizzo email ed eventuali altri dati che il Cliente sceglie di richiedere, con la data, il testo mostrato e la versione dell'informativa sulla privacy accettata, e l'indirizzo IP conservato in forma cifrata, ove il Cliente attivi la raccolta dei contatti.
Dati di acquisto e donazione: importo, data, prodotto, ed email e nome del pagante se forniti. I dati delle carte di pagamento sono trattati direttamente dal fornitore del servizio di pagamento e non sono conservati da amuseapp.
Dati di posizionamento indoor: intensità del segnale dei beacon Bluetooth, pressione barometrica e dati dei sensori di movimento, associati a un identificativo di sessione casuale, ove il Cliente attivi il posizionamento indoor. La posizione GPS non viene raccolta.
Dati diagnostici: sequenza di schermate e azioni con testi e immagini oscurati, eventi tecnici e informazioni sul dispositivo, associati a un identificativo pseudonimo.
Utenti della console: nome, indirizzo email, credenziali di accesso e registri delle attività.

Conservazione. I dati di contatto e i registri dei consensi, le conversazioni con il chatbot e i dati di utilizzo sono conservati per la durata del contratto, salvo che il Cliente li cancelli prima o chieda ad amuseapp di cancellarli. I dati diagnostici sono conservati fino a 90 giorni. I dati di analytics detenuti dal fornitore del servizio di analytics sono conservati secondo le impostazioni di conservazione di tale servizio.

Allegato 2: Misure tecniche e organizzative

Cifratura in transito di tutte le comunicazioni tra app, browser e server (HTTPS/TLS).
Indirizzi IP collegati ai registri dei consensi conservati in forma cifrata.
Accesso alla console di gestione solo con credenziali personali; ciascun utente vede soltanto i dati delle sedi a cui ha ottenuto l'accesso.
Accesso ai sistemi di produzione limitato al personale autorizzato di amuseapp, con account personali presso i fornitori di infrastruttura.
Identificativi di sessione pseudonimi per i dati di utilizzo, di posizionamento e diagnostici; oscuramento di testi e immagini nelle registrazioni delle sessioni diagnostiche.
Dati delle carte di pagamento gestiti esclusivamente dal fornitore del servizio di pagamento, certificato PCI DSS.
Hosting e database presso fornitori che mantengono certificazioni di sicurezza riconosciute (ad esempio ISO/IEC 27001 o SOC 2) e forniscono backup e sicurezza fisica dei data center.
Monitoraggio di errori e disponibilità, in modo che le anomalie siano rilevate e gestite tempestivamente.
Obblighi di riservatezza per personale e collaboratori; minimizzazione dei dati fin dalla progettazione (i Visitatori utilizzano il Servizio senza creare un account).

Allegato 3: Sub-responsabili

Xano, Inc. (USA): backend applicativo e database del Servizio. Ubicazione: UE o USA, con clausole contrattuali standard.
Supabase, Inc. (USA): database per analytics, registri dei consensi, conversazioni con il chatbot e dati della console. Ubicazione: UE (Svezia).
Vercel Inc. (USA): hosting della web app per i Visitatori, della console di gestione e del totem. Ubicazione: UE e USA, con clausole contrattuali standard.
Amazon Web Services EMEA SARL (Lussemburgo): modelli di intelligenza artificiale tramite Amazon Bedrock (chatbot, traduzioni, generazione di contenuti) e servizi cloud. Ubicazione: UE (Irlanda, Italia, Germania).
Anthropic, PBC (USA): fornitore alternativo di modelli di intelligenza artificiale per la generazione di contenuti nella console. Ubicazione: USA, con clausole contrattuali standard.
OpenAI, L.L.C. (USA): fornitore alternativo di intelligenza artificiale per la generazione di contenuti e la ricerca nella console. Ubicazione: USA, con clausole contrattuali standard.
Google Ireland Limited / Google LLC: analytics di utilizzo (Google Analytics 4) e mappe. Ubicazione: UE e USA, EU-US Data Privacy Framework.
Stripe Payments Europe, Limited (Irlanda): pagamenti per donazioni e ticketing. Ubicazione: UE e USA, EU-US Data Privacy Framework.
Functional Software, Inc. (Sentry) (USA): monitoraggio degli errori e registrazioni delle sessioni diagnostiche. Ubicazione: UE (Germania).
PostHog, Inc. (USA): analytics di utilizzo della console di gestione. Ubicazione: UE.
Twilio Inc. (SendGrid) (USA): invio di email transazionali, come i report agli utenti della console. Ubicazione: USA, EU-US Data Privacy Framework.
GetResponse S.A. (Polonia): strumento di email marketing, solo se il Cliente sceglie di inviarvi i contatti raccolti. Ubicazione: UE e USA, con clausole contrattuali standard.
ElevenLabs Inc. (USA) e AssemblyAI, Inc. (USA): sintesi vocale e trascrizione dei Contenuti del Cliente (testi e audio caricati dal Cliente), non dei dati dei Visitatori. Ubicazione: USA, con clausole contrattuali standard.