Accordo sul trattamento dei dati (DPA)

Relativamente ai dati dei clienti finali raccolti tramite il Servizio, il Professionista è Titolare del trattamento e Lumina agisce come Responsabile del trattamento (Art. 28 GDPR), trattando i dati esclusivamente su istruzione documentata del Titolare.

Il trattamento riguarda la gestione di prenotazioni, comunicazioni e pagamenti, per la durata del rapporto contrattuale. Categorie di interessati: clienti finali del Professionista e collaboratori del Professionista che collegano il proprio calendario. Categorie di dati: dati di contatto, di prenotazione, di pagamento, consensi informati firmati (firma grafica, IP, dispositivo), gli orari occupati (solo inizio e fine) del calendario Google collegato e — ove abilitato — dati sanitari (Art. 9). Non rientrano in questo accordo i dati d'uso del gestionale (sezioni e funzioni aperte dai professionisti, senza dati dei clienti finali), che Lumina tratta come titolare autonomo per migliorare il servizio: vedi Privacy Policy.

• Trattare i dati solo su istruzione del Titolare.
• Garantire la riservatezza del personale autorizzato.
• Adottare misure di sicurezza adeguate (Art. 32): cifratura in transito, RLS multi-tenant, log di accesso, controllo dei permessi.
• Assistere il Titolare nel rispondere alle richieste degli interessati e alle violazioni.
• Cancellare o restituire i dati al termine del servizio.

Il Professionista autorizza l'impiego dei seguenti sub-responsabili:

• Supabase Inc. — hosting database (regione UE)
• Vercel Inc. — hosting applicazione (regione UE)
• Stripe S.A. — elaborazione pagamenti
• Resend Inc. — email transazionali
• Upstash Inc. — scheduling job e rate limiting
• Google LLC — sincronizzazione Google Calendar (ove attivata dal Professionista: le prenotazioni vengono copiate sul calendario collegato e da quel calendario Lumina legge solo gli orari occupati, mai titolo o dettagli degli impegni) e notifiche push dell'app tramite Firebase Cloud Messaging (in attivazione)

Eventuali nuovi sub-responsabili saranno comunicati con congruo preavviso, con facoltà di opposizione motivata.

Ove necessari, i trasferimenti avvengono con le garanzie degli artt. 46-49 GDPR (clausole contrattuali standard). I fornitori principali operano in regione UE ove disponibile.

In caso di violazione, Lumina notifica il Titolare senza ingiustificato ritardo, fornendo le informazioni necessarie agli adempimenti di cui agli artt. 33-34 GDPR.

Referente: privacy@bookinglumina.com