Questa è una traduzione di cortesia. In caso di discrepanza, prevale la versione inglese.
In vigore dal 13 settembre 2026
Il presente Accordo sul trattamento dei dati (il «DPA») è concluso ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (il «GDPR») e della Legge albanese n. 9887 del 10.3.2008 «Sulla protezione dei dati personali», come modificata. Costituisce parte integrante dei Termini di Servizio per i Partner EasyBook e si applica a ogni organizzazione creata sulla piattaforma EasyBook Partner. Lei lo accetta nel momento in cui crea un'organizzazione e la versione da Lei accettata viene registrata in relazione al Suo account e alla Sua organizzazione.
1. Parti e ruoli
Responsabile del trattamento. EasyBook AI shpk, società registrata in Albania, NUIS M56506203S, sede legale Vlore, Rruga "Adem Abazi", zona kadastrale 8602, apartamenti me nr. pasurie 12/387-N2, Albania («EasyBook», «noi»). Contatto per la protezione dei dati: [email protected].
Titolare del trattamento. L'attività o il professionista che crea e gestisce un'organizzazione sulla piattaforma EasyBook Partner (il «Partner», «Lei»). L'identità, i dati di registrazione e l'indirizzo di contatto del Partner sono quelli registrati nel profilo dell'organizzazione del Partner.
I ruoli sono suddivisi come segue e tale suddivisione non è negoziabile, poiché segue chi decide le finalità del trattamento:
- Per i dati dei clienti — i dati personali dei clienti del Partner che il Partner registra, importa o riceve attraverso la piattaforma — il Partner è il titolare del trattamento ed EasyBook è il responsabile del trattamento, agendo unicamente sulla base delle istruzioni documentate del Partner.
- Per i dati dell'account del Partner — identità, dati di contatto, credenziali di autenticazione, registrazioni di dispositivi e sessioni del Partner e del suo staff — EasyBook è titolare autonomo del trattamento, perché è EasyBook a decidere come gli account vengono protetti e amministrati. Questo trattamento è descritto nell'Informativa sulla privacy per i Partner EasyBook.
- Per le analisi della piattaforma e la sicurezza della piattaforma — misurazione aggregata dell'utilizzo, rilevamento di frodi e abusi, limitazione della frequenza delle richieste, registrazione di audit e risposta agli incidenti sull'intera piattaforma — EasyBook è titolare autonomo del trattamento.
- Quando un consumatore effettua una prenotazione tramite la piattaforma di scoperta EasyBook su easybook.ai, EasyBook è titolare del trattamento dell'account di tale consumatore e della registrazione della prenotazione che detiene in qualità di operatore del marketplace, mentre il Partner è titolare del trattamento della scheda cliente creata nella propria organizzazione. I due ruoli operano in parallelo; nessuna delle parti è responsabile del trattamento dell'altra per tali dati.
2. Oggetto
EasyBook tratta i dati personali dei clienti unicamente per fornire i Servizi per i Partner: prenotazione e pianificazione di appuntamenti, iscrizione a corsi ed eventi, schede cliente, pass e abbonamenti, registrazioni dei pagamenti, notifiche inviate per conto del Partner, sincronizzazione del calendario, reportistica e supporto.
3. Durata
Il presente DPA si applica per tutto il tempo in cui il Partner mantiene un'organizzazione sulla piattaforma e per ulteriori 30 giorni dopo la cessazione dell'accordo, periodo durante il quale il Partner può esportare i dati dei clienti prima della loro cancellazione ai sensi della sezione 12.
4. Natura e finalità del trattamento
EasyBook esegue le seguenti operazioni sui dati personali dei clienti per conto del Partner: raccolta attraverso le schermate di prenotazione e di gestione dei clienti, archiviazione strutturata, consultazione limitata all'ambito dell'organizzazione, correzione, trasmissione di notifiche tramite e-mail e push, sincronizzazione delle voci di appuntamento con un calendario collegato dal Partner, aggregazione nei report del Partner, backup e cancellazione su istruzione.
EasyBook non utilizza i dati personali dei clienti per finalità proprie, non li vende, non li utilizza per addestrare modelli e non li condivide con altri Partner. I dati dei clienti sono limitati all'organizzazione che li ha registrati e non sono leggibili da un'altra organizzazione.
5. Categorie di dati personali e di interessati
Interessati: i clienti e i potenziali clienti del Partner; gli ospiti aggiunti a una prenotazione da un cliente; lo staff del Partner, nella sua qualità di utilizzatore dell'organizzazione del Partner.
Categorie di dati personali:
| Categoria | Esempi |
|---|---|
| Identità e contatto | Nome, indirizzo e-mail, numero di telefono, canale di contatto preferito |
| Registrazioni delle prenotazioni | Appuntamenti, corsi, presenze, cancellazioni, assenze senza preavviso, membro dello staff e sede assegnati |
| Titoli detenuti | Pass, abbonamenti, crediti e relativo saldo residuo |
| Registrazioni finanziarie | Importi dovuti e incassati, metodo di pagamento registrato dal Partner, fatture, rimborsi |
| Contenuti redatti dal Partner | Note sul cliente, tag, contrassegni VIP e qualsiasi testo libero inserito dal Partner |
| Registrazioni dei consensi | Consenso al marketing, fonte dichiarata dal Partner per tale consenso e data |
| Provenienza | Se la scheda cliente è stata creata manualmente, importata da un file, importata da Google Contacts, creata da una prenotazione oppure creata dalla registrazione del cliente stesso |
| Dati tecnici | Marche temporali, account che ha agito e voci di audit che registrano chi ha modificato cosa |
Categorie particolari. La piattaforma non è progettata per i dati sanitari. Se il Partner inserisce dati sanitari o altri dati appartenenti a categorie particolari in un campo di testo libero, il Partner resta unico responsabile della base giuridica ai sensi dell'articolo 9 del GDPR e dell'informativa all'interessato. EasyBook non analizza i campi di testo libero.
Minori. La piattaforma non è destinata all'uso da parte di persone di età inferiore a 18 anni. Il Partner non deve creare schede cliente per minori di età inferiore a quella in cui il consenso è valido nel mercato del Partner senza il consenso di chi esercita la responsabilità genitoriale.
6. Obblighi del responsabile del trattamento
EasyBook si impegna a:
- Trattare i dati solo su istruzioni documentate. Le istruzioni del Partner sono il presente DPA, i Termini di Servizio e le operazioni che il Partner esegue attraverso le interfacce della piattaforma e le API documentate. EasyBook informerà il Partner qualora ritenga che un'istruzione violi la normativa sulla protezione dei dati. Laddove EasyBook sia tenuta dal diritto albanese o dell'UE a trattare i dati dei clienti in altro modo, ne informerà il Partner prima del trattamento, salvo che tale legge lo vieti.
- Vincolare alla riservatezza chiunque abbia accesso. Il personale autorizzato a trattare i dati dei clienti è soggetto a obblighi scritti di riservatezza che permangono dopo la cessazione del rapporto.
- Attuare le misure tecniche e organizzative di cui alla sezione 7.
- Ricorrere a sub-responsabili solo ai sensi della sezione 9.
- Assistere il Partner in relazione alle richieste degli interessati (sezione 8), agli obblighi in materia di sicurezza e violazioni (sezione 10) e alle valutazioni d'impatto sulla protezione dei dati e alle consultazioni preventive, tenendo conto della natura del trattamento e delle informazioni a disposizione di EasyBook.
- Mettere a disposizione le informazioni necessarie a dimostrare la conformità all'articolo 28 e consentire gli audit ai sensi della sezione 11.
- Cancellare o restituire i dati dei clienti al termine dell'accordo ai sensi della sezione 12.
7. Misure di sicurezza (articolo 32)
Le misure seguenti sono attuate a oggi. Sono descritte affinché il Partner possa farvi affidamento; EasyBook può sostituire una misura con un'altra almeno equivalente.
- In transito: TLS per ogni connessione tra i client, la piattaforma e i suoi sub-responsabili.
- A riposo: i token di aggiornamento OAuth, i segreti dell'autenticazione a più fattori e i token push sono cifrati a riposo; i codici di recupero sono conservati solo come hash. Il database e l'archiviazione a oggetti sono cifrati a riposo dal fornitore cloud.
- Password: conservate solo come hash con salt. EasyBook non vede né conserva mai una password in chiaro.
- Autenticazione: la sessione è richiamata da un cookie HTTP-only che non contiene alcuna credenziale e i token stessi non lasciano mai i server di EasyBook; autenticazione a più fattori opzionale tramite password monouso basata sul tempo, passkey o chiave di sicurezza hardware, e codici di recupero; registrazione del dispositivo con possibilità di revocare una sessione.
- Autorizzazione: ogni lettura e scrittura è limitata a un'organizzazione e, all'interno di un'organizzazione, a un ruolo e a un'autorizzazione granulare.
- Audit: gli eventi relativi alla sicurezza e alla protezione dei dati — accesso, cancellazione di un cliente, esportazione, modifica del consenso — sono scritti in un registro di audit con indicazione dell'account che ha agito e con un periodo di conservazione più lungo di quello delle registrazioni ordinarie.
- Resilienza e test: un percorso documentato di risposta agli incidenti (sezione 10).
8. Assistenza in relazione alle richieste degli interessati
Il Partner è il destinatario delle richieste dei propri clienti. EasyBook non risponderà direttamente a tali richieste; se una richiesta giunge a EasyBook, EasyBook la inoltrerà al Partner senza indebito ritardo e comunicherà al richiedente chi è il titolare del trattamento.
La piattaforma fornisce al Partner gli strumenti per soddisfare autonomamente le richieste più comuni, senza contattare EasyBook:
- Accesso e portabilità — esportare la scheda di un cliente, le prenotazioni, i titoli detenuti, lo storico finanziario, i consensi e le note come file leggibile da una macchina dal profilo del cliente.
- Rettifica — modificare qualsiasi campo del cliente.
- Cancellazione — cancellare i dati personali di un cliente dal profilo del cliente. La scheda viene anonimizzata, le note e i tag vengono rimossi e, qualora il cliente abbia anche un account EasyBook, l'account stesso resta invariato e viene anonimizzata solo la copia lato organizzazione.
- Opposizione e revoca del consenso — disattivare il consenso al marketing, il che interrompe i messaggi di marketing da parte di tale organizzazione.
Qualora una richiesta non possa essere soddisfatta attraverso la piattaforma, EasyBook assisterà il Partner entro 10 giorni lavorativi da una richiesta scritta inviata a [email protected].
9. Sub-responsabili del trattamento
Il Partner conferisce un'autorizzazione generale scritta affinché EasyBook possa ricorrere ai sub-responsabili elencati nell'Allegato. EasyBook impone a ciascun sub-responsabile obblighi in materia di protezione dei dati non meno tutelanti di quelli previsti dal presente DPA e resta pienamente responsabile nei confronti del Partner per il loro operato.
EasyBook fornirà al Partner un preavviso di 30 giorni, tramite e-mail all'indirizzo registrato dell'organizzazione e con un avviso nella dashboard, prima di aggiungere o sostituire un sub-responsabile. Il Partner può opporsi per ragionevoli motivi legati alla protezione dei dati entro tale periodo; se l'opposizione non può essere risolta, il Partner può risolvere l'accordo per il servizio interessato senza penalità ed esportare i propri dati ai sensi della sezione 12.
10. Violazioni dei dati personali
EasyBook notificherà al Partner, entro 48 ore da quando ne viene a conoscenza, una violazione dei dati personali che riguardi i dati dei clienti, tramite e-mail all'indirizzo registrato dell'organizzazione, includendo, nella misura in cui siano noti: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto. EasyBook fornirà ulteriori informazioni con il progredire dell'indagine e assisterà il Partner nell'adempimento dei propri obblighi ai sensi degli articoli 33 e 34 del GDPR. Il termine di 72 ore nei confronti dell'autorità di controllo è a carico del Partner, in qualità di titolare del trattamento dei dati dei clienti.
11. Diritti di audit
Su ragionevole preavviso scritto e non più di una volta ogni 12 mesi, salvo che una violazione o un'autorità di controllo richiedano diversamente, EasyBook fornirà al Partner le informazioni necessarie a dimostrare la conformità al presente DPA, compresa la documentazione di sicurezza in vigore e le risposte a un questionario scritto sulla sicurezza. Qualora ciò non sia sufficiente per l'autorità di regolamentazione del Partner, il Partner può svolgere o far svolgere un audit, a proprie spese, durante l'orario di lavoro, nel rispetto della riservatezza e senza arrecare disturbo alla piattaforma o ai dati di altri Partner.
12. Restituzione e cancellazione
Alla cessazione dell'accordo e in qualsiasi momento su istruzione scritta del Partner, EasyBook cancellerà i dati dei clienti entro 30 giorni. Durante tale periodo il Partner può esportare i dati dei propri clienti dalla dashboard. EasyBook può conservare i dati dei clienti oltre tale periodo solo nella misura richiesta dal diritto albanese o dell'UE — in particolare le registrazioni finanziarie conservate per finalità fiscali e contabili — e li manterrà protetti ai sensi del presente DPA, trattandoli unicamente per tale finalità. I backup vengono sovrascritti secondo la loro ordinaria rotazione.
13. Trasferimenti internazionali
La piattaforma è gestita dall'Albania e i suoi dati sono conservati nello Spazio economico europeo. Alcuni sub-responsabili hanno sede, o hanno società controllanti, negli Stati Uniti. Quando i dati dei clienti sono trasferiti al di fuori dello SEE, EasyBook si basa su:
- l'EU-U.S. Data Privacy Framework, se il destinatario è certificato ai sensi dello stesso; e
- le clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914), modulo 3 (da responsabile a responsabile), unitamente alle misure supplementari descritte nella sezione 7.
L'Albania non è membro del SEE. I trasferimenti tra il Partner ed EasyBook sono disciplinati dalla legge albanese sulla protezione dei dati, che le parti concordano offra una protezione equivalente al GDPR ai fini del presente DPA.
14. Responsabilità
La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni e alle esclusioni previste dai Termini di Servizio. Nulla nel presente DPA limita la responsabilità di ciascuna parte nei confronti di un interessato o di un'autorità di controllo ai sensi dell'articolo 82 del GDPR.
15. Legge applicabile e foro competente
Il presente DPA è disciplinato dalla legge della Repubblica d'Albania. I tribunali di Tirana hanno giurisdizione esclusiva, fatto salvo il diritto dell'interessato di agire in giudizio ove il GDPR lo consenta.
16. Modifiche al presente DPA
EasyBook può aggiornare il presente DPA in caso di modifiche della legge, della piattaforma o dell'elenco dei sub-responsabili. Il testo aggiornato è pubblicato su questa pagina con una nuova data di «ultimo aggiornamento» e il Partner ne è informato nella dashboard e via e-mail; le modifiche sostanziali sono comunicate con 30 giorni di anticipo e l'uso continuato dei Servizi Partner dopo la data di entrata in vigore costituisce accettazione.
Allegato — Sub-responsabili
I sub-responsabili attualmente incaricati per i Servizi Partner. Sono elencati solo i fornitori effettivamente utilizzati.
| Sub-responsabile | Ruolo | Dati personali trattati | Ubicazione |
|---|---|---|---|
| Google Cloud (Google Ireland Limited, con Google LLC come responsabile ulteriore) | Database PostgreSQL gestito e bucket Cloud Storage contenenti tutti i dati della piattaforma e le immagini caricate | Tutte le categorie indicate nella sezione 5 | Francoforte, Germania (europe-west3) — database e archiviazione a oggetti |
| Hostinger International Ltd | Hosting dei server applicativi e della cache di sessione e dei permessi che opera insieme a essi | Tutte le categorie indicate nella sezione 5, trattate in memoria durante l'elaborazione di una richiesta; voci della cache di sessione e dei permessi | Paesi Bassi (Unione europea), nessun trasferimento al di fuori dello SEE |
| Resend Inc. | Invio delle e-mail transazionali — conferme di prenotazione, promemoria, codici monouso, inviti al calendario | Nome del destinatario, indirizzo e-mail, contenuto del messaggio | Stati Uniti (EU-U.S. Data Privacy Framework) |
| Google Ireland Limited / Google LLC — Firebase Cloud Messaging | Invio delle notifiche push ai dispositivi del Partner | Token push del dispositivo, titolo e corpo della notifica | Unione europea e Stati Uniti |
| Google Ireland Limited / Google LLC — Calendar API e People API | Sincronizzazione bidirezionale del calendario e importazione una tantum dei contatti, solo se il Partner ha attivato l'integrazione | Orario, titolo e partecipanti dell'appuntamento; nome, e-mail e telefono del contatto al momento dell'importazione | Unione europea e Stati Uniti |
| Google Ireland Limited / Google LLC — Maps Platform | Completamento automatico dell'indirizzo della sede e visualizzazione della mappa, all'apertura di un indirizzo di sede o di una schermata con mappa | Posizione approssimativa e indirizzo oggetto della ricerca | Unione europea e Stati Uniti |
| Google Ireland Limited / Google LLC — Analytics 4 | Misurazione aggregata dell'utilizzo della piattaforma, solo se viene prestato il consenso analitico; anonimizzazione dell'IP attivata | Indirizzo IP troncato, eventi di dispositivo e di utilizzo | Unione europea e Stati Uniti |
| Apple Inc. / Apple Distribution International Limited | Sign in with Apple e servizio di notifiche push Apple | Identificativo dell'account Apple, nome ed e-mail o indirizzo di inoltro privato Apple; token push del dispositivo | Irlanda e Stati Uniti |
| Cloudflare, Inc. | Risoluzione DNS, distribuzione dei contenuti, terminazione TLS e protezione dagli attacchi denial-of-service davanti a ogni dominio pubblico della piattaforma | Indirizzo IP e metadati della richiesta trattati a livello edge | Rete edge globale (EU-U.S. Data Privacy Framework; Clausole Contrattuali Tipo) |
EasyBook AI's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Contatti
- Società: EasyBook AI shpk
- NUIS: M56506203S
- Indirizzo: Vlore, Rruga "Adem Abazi", zona kadastrale 8602, apartamenti me nr. pasurie 12/387-N2, Albania
- Responsabile della protezione dei dati: [email protected]
- Supporto: [email protected]
