Allegato · Accordo sul trattamento dei dati (DPA)

Traduzione a scopo informativo. In caso di discrepanza prevale la versione spagnola.

Versione v0-DIY-2026-07 · allegato obbligatorio delle Condizioni del Servizio DEKKO

Il presente Accordo sul trattamento dei dati (di seguito, «DPA») disciplina il trattamento dei dati personali tra ENES Estrategia Conjunta SL (di seguito, «DEKKO») e il centro o la scuola sub firmatari (di seguito, «il Centro») nell'ambito del contratto di servizi SaaS stipulato tra le parti. Costituisce allegato obbligatorio delle Condizioni del Servizio DEKKO ed è integrato dall'Informativa sulla Privacy. Modello di base: clausole tipo della Decisione 2021/914/UE, adattate al modello di contitolarità (art. 26 GDPR) di DEKKO.

1 · Parti e definizioni

I termini «Titolare del trattamento», «Responsabile del trattamento», «Contitolari (Joint Controllers)», «Dati personali», «Trattamento», «Interessato» e «Categorie particolari» sono interpretati secondo il GDPR (Regolamento UE 2016/679).

• DEKKO · ENES Estrategia Conjunta SL · CIF B22468284 · Partida Valls, s/n · 43350 Les Borges del Camp, Tarragona (Spagna) · privacidad@dekko.club
• Il Centro · la persona fisica o giuridica identificata nel contratto specifico, che opera professionalmente nell'attività subacquea ricreativa o tecnica.

2 · Oggetto e natura del trattamento

I dati dei subacquei (clienti finali del Centro) sono trattati in regime di contitolarità (Joint Controller · art. 26 GDPR): il Centro determina le finalità operative (l'immersione, il corso, l'attività) e DEKKO determina le finalità di servizio cross-club, il profilo persistente del subacqueo e l'analisi statistica, subordinate al consenso esplicito del subacqueo.

• I dati dell'operatore del Centro sono trattati da DEKKO in qualità di Titolare unico.
• I dati del restante personale del Centro sono trattati dal Centro in qualità di Titolare, con DEKKO come Responsabile del trattamento quando sono archiviati nella dashboard.

3 · Categorie di dati e di interessati

Interessati: subacquei (clienti finali), operatori del Centro e personale del Centro.

Dati trattati: identificativi (nome, documento d'identità/passaporto, data di nascita), di contatto (email, telefono, indirizzo), dati subacquei (brevetto, assicurazione, attrezzatura a noleggio, storico delle immersioni), economici (metadati di pagamento · l'incasso è gestito da Stripe), di comunicazione (WhatsApp, email, immagini di documenti) e categoria particolare (art. 9 GDPR): la dichiarazione medica del questionario SSI/PADI/RSTC e, se del caso, il certificato medico.

4 · Ripartizione delle responsabilità

Il Centro è responsabile principale di: informare il subacqueo sul trattamento nel servizio prenotato; raccogliere il consenso della prima casella del checkout; trattare i dati medici per prestare il servizio; adempiere agli obblighi di legge dell'attività (manifesti di bordo, elenchi, normativa locale); incassare e fatturare; e conservare le fatture per 6 anni.

DEKKO è responsabile principale di: informare sul trattamento cross-club; raccogliere il consenso opt-in della seconda casella; mantenere il profilo del subacqueo in caso di opt-in; le comunicazioni emesse a nome di DEKKO; e la sicurezza tecnica dell'infrastruttura comune.

Entrambe le parti sono congiuntamente responsabili di: le misure tecniche e organizzative; la notifica delle violazioni all'AEPD (<72 h) e agli interessati quando necessario; la gestione dei diritti dell'interessato (<30 giorni); il registro delle attività di trattamento; e le valutazioni d'impatto (DPIA) quando applicabili.

5 · Punto di contatto unico per l'interessato

L'interessato può esercitare i propri diritti nei confronti di ciascuna delle due parti: scrivendo a privacidad@dekko.club (o al DPO all'indirizzo dpo@dekko.club) o all'email del Centro. La parte che riceve la richiesta ne darà notifica all'altra entro 48 ore e le parti si coordineranno per fornire una risposta unica entro il termine di legge.

6 · Doppio consenso opt-in granulare

Alla prima prenotazione del subacqueo (sito web pubblico, agente WhatsApp o registrazione), il subacqueo presta due consensi separati, granulari e NON preselezionati: (1) obbligatorio, per la gestione della prenotazione e gli obblighi di legge del Centro; (2) facoltativo, per il profilo DEKKO trasversale cross-club. Regole inderogabili: niente preselezione, niente raggruppamento, niente occultamento; ogni consenso viene registrato con timestamp, IP anonimizzato, user-agent, versione del documento e identificativo del subacqueo.

7 · Misure tecniche e organizzative (art. 32 GDPR)

• Cifratura in transito (TLS 1.3 · HSTS) e a riposo (AES-256).
• Isolamento multi-tenant a livello di database (Row Level Security di PostgreSQL).
• Separazione dei dataset tra i dati operativi del Centro e il profilo del subacqueo DEKKO.
• Autenticazione tramite magic link (nessuna password memorizzata) e controllo degli accessi per ruoli.
• Monitoraggio degli accessi alle categorie particolari (dati medici) con log verificabili per 12 mesi.
• Backup giornalieri su infrastruttura UE con conservazione di 30 giorni e piano di ripristino documentato.
• DPO designato (dpo@dekko.club), formazione annuale del personale e procedura di risposta agli incidenti.

8 · Sub-responsabili autorizzati

DEKKO si avvale dei seguenti sub-responsabili, tutti con DPA sottoscritto. Il Centro li autorizza espressamente con la firma del presente DPA; le modifiche sono notificate con 30 giorni di preavviso e il Centro può opporsi motivatamente.

9 · Periodi di conservazione

10 · Diritti dell'interessato

Entrambe le parti garantiscono l'esercizio di tutti i diritti previsti dal GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca) entro un termine massimo di 30 giorni, prorogabile di 2 mesi nei casi complessi previo avviso all'interessato. Il diritto alla cancellazione (art. 17) è inderogabile, salvo obbligo di legge di conservazione (dati contabili) o difesa da reclami: in ogni altro caso viene eseguito senza contestazioni, eliminando i dati dall'ambiente di produzione entro 30 giorni e dai backup nei 90 giorni successivi.

11 · Notifica delle violazioni di sicurezza

La parte che rileva una violazione ne darà immediata notifica all'altra e le parti si coordineranno per notificarla all'AEPD entro 72 ore (art. 33 GDPR) e, se comporta un rischio elevato, agli interessati coinvolti senza ingiustificato ritardo (art. 34). Ogni violazione, anche se non soggetta a notifica, viene documentata internamente.

12 · Audit

Il Centro può verificare il rispetto del presente DPA una volta all'anno, con preavviso di 30 giorni e nel rispetto della riservatezza degli altri clienti di DEKKO, mediante questionario documentale, revisore esterno (a proprie spese) o esame dei report SOC2/ISO27001 quando DEKKO li avrà ottenuti.

13 · Cessazione

Alla cessazione del contratto SaaS, il presente DPA cessa di applicarsi ai nuovi trattamenti, ma restano in vigore gli obblighi di riservatezza, conservazione legale, gestione dei diritti e notifica delle violazioni relativi ai dati preesistenti. DEKKO consegnerà al Centro, entro un massimo di 30 giorni, tutti i suoi dati operativi in formato CSV o JSON strutturato. I dati del profilo DEKKO trasversale (in caso di opt-in) restano presso DEKKO in conformità al consenso del subacqueo, fino a quando questi non eserciti il diritto alla cancellazione.

14 · Pubblicità, modifiche e legge applicabile

Ai sensi dell'art. 26.2 GDPR, il contenuto essenziale del presente DPA è messo a disposizione dell'interessato tramite l'Informativa sulla Privacy. Il presente DPA può essere modificato per accordo tra le parti o per esigenze normative, con preavviso di 30 giorni. È disciplinato dalla legge spagnola e dal GDPR; per le controversie, le parti si sottopongono ai Giudici e Tribunali di Tarragona.