Accordo per il trattamento dei dati personali (DPA): nomina a Responsabile del trattamento ex art. 28 GDPR

Versione 1.0 del 10/11/2026. Il Salone accetta il presente DPA dal pannello del Servizio, con una spunta dedicata e separata da quella delle Condizioni Generali di Servizio. Il Servizio conserva la versione accettata, la data e l'ora, l'utente che ha accettato, l'indirizzo IP e il browser usato. Se il DPA cambia, il pannello chiede una nuova accettazione mostrando il testo nuovo.

L'Annesso 1 (scheda cliente e archivio foto) si accetta insieme al DPA. Senza l'accettazione del DPA con l'Annesso 1 il Servizio non attiva il CRM.

Allegato al Contratto di abbonamento al servizio Miraviso (di seguito, il "Contratto Principale")

1. Parti

Titolare del trattamento (di seguito, il "Titolare" o il "Salone"):

• Denominazione: ______________________________
• P.IVA / C.F.: ______________________________
• Sede: ______________________________
• Email di contatto: ______________________________

Responsabile del trattamento (di seguito, il "Responsabile" o "Miraviso"):

• Denominazione: Gabriele Pieretti, libero professionista, P.IVA 02139330472 (nome commerciale del servizio: "Miraviso")
• Sede: via Bramalegno 122, 51019 Ponte Buggianese (PT)
• Email di contatto: privacy@miraviso.it

Le Parti stipulano il presente accordo (il "DPA") ai sensi dell'art. 28, par. 3, del Regolamento (UE) 2016/679 ("GDPR").

2. Premesse e definizioni

2.1 Premesse

1. Il Salone ha sottoscritto con Miraviso il Contratto Principale per l'utilizzo del servizio Miraviso, comprendente: (a) la funzione di prova colore live, eseguita interamente sul dispositivo tablet in dotazione al Salone, senza trasmissione di immagini a terzi; (b) la funzione di anteprima taglio, che comporta la trasmissione di una fotografia del volto del cliente finale del Salone all'infrastruttura cloud di Miraviso e, da questa, al motore di intelligenza artificiale di terza parte (Google, servizio Vertex AI) al solo fine di generare l'anteprima dell'acconciatura; (c) la funzione di Consulenza IA, che comporta, con le stesse modalità e lo stesso Sub-responsabile della lettera (b), la trasmissione della fotografia del volto del cliente finale e, se il Salone li usa, di una foto d'ispirazione (che può ritrarre una persona diversa dal cliente finale, v. art. 4.2, lett. c), della foto di un campione della cartella colori e del testo trascritto dalla voce del parrucchiere o del cliente finale, al solo fine di generare l'anteprima del look completo (taglio, piega e colore). Dal 30/09/2026 la Consulenza IA genera solo immagini: la clip video di 6 secondi, attiva dal 26/09 al 30/09/2026, è in pausa, e la sua riattivazione è comunicata al Titolare.
2. Nell'ambito delle funzioni di anteprima taglio e di Consulenza IA, il Salone determina finalità e mezzi del trattamento dei dati personali dei propri clienti finali e riveste pertanto il ruolo di Titolare del trattamento (art. 4, n. 7, GDPR); Miraviso tratta tali dati per conto del Salone e riveste il ruolo di Responsabile del trattamento (art. 4, n. 8, GDPR).
3. La funzione di prova colore live non comporta alcun trattamento di dati personali dei clienti finali da parte di Miraviso (elaborazione interamente on-device, nessuna trasmissione): essa è pertanto esclusa dall'ambito del presente DPA.
4. Restano parimenti esclusi dal presente DPA i dati per i quali Miraviso agisce come autonomo Titolare (anagrafica del Salone, dati di fatturazione, utenti del pannello, dati di utilizzo aggregati/tecnici privi di dati personali dei clienti finali), regolati dall'informativa privacy di Miraviso verso i Saloni.
5. Il presente DPA prevale, per le materie ivi disciplinate, su eventuali disposizioni difformi del Contratto Principale.
6. Il Salone può inoltre attivare la funzione scheda cliente e archivio foto ("CRM"), che comporta, a differenza delle funzioni di cui al punto 1, la conservazione di dati personali dei clienti finali presso l'infrastruttura del Responsabile. Tale trattamento è disciplinato dall'Annesso 1, che costituisce parte integrante del presente DPA e che si applica soltanto ai Saloni che abbiano attivato la funzione. Le previsioni degli articoli 3, 7.1 e 8 che affermano l'assenza di conservazione riguardano le sole funzioni del punto 1; per il CRM valgono gli articoli A.1, A.5 e A.8 dell'Annesso 1.

2.2 Definizioni

Ai fini del presente DPA:

• "GDPR": Regolamento (UE) 2016/679; i termini "dato personale", "trattamento", "interessato", "violazione dei dati personali", "titolare", "responsabile" hanno il significato di cui all'art. 4 GDPR.
• "Dati dei Clienti Finali": i dati personali trattati tramite il Servizio per l'anteprima taglio e per la Consulenza IA, e cioè: le fotografie del volto dei clienti del Salone; la fascia d'età dichiarata; per la Consulenza IA, la foto d'ispirazione facoltativa (compresi i dati della persona diversa dal cliente finale che vi fosse ritratta), la foto del campione colore e il testo trascritto dalla voce; le immagini generate a partire da essi e le clip video generate quando la funzione era attiva (oggi in pausa); nonché ogni dato personale eventualmente contenuto in tutti questi elementi. Per i Saloni che hanno attivato il CRM, anche i Dati della Scheda Cliente come definiti di seguito.
• "Dati della Scheda Cliente": i dati personali dei clienti finali conservati dal Servizio nell'ambito della funzione CRM, nelle due forme distinte descritte all'art. A.2 dell'Annesso 1, l'indice in chiaro e le buste cifrate (fotografie dell'archivio, note libere, allergie, formula colore).
• "Sub-responsabile": altro responsabile del trattamento ingaggiato dal Responsabile ai sensi dell'art. 28, parr. 2 e 4, GDPR.
• "Servizio": il servizio Miraviso come definito nel Contratto Principale.
• "Istruzioni Documentate": le istruzioni del Titolare di cui all'art. 28, par. 3, lett. a), GDPR, costituite dal presente DPA, dal Contratto Principale e dalla documentazione tecnica del Servizio.

3. Oggetto, durata, natura e finalità del trattamento

Consulenza IA. La funzione Consulenza IA, attiva dal 26/09/2026, estende quanto segue con: (a) fino a quattro immagini per richiesta invece di una sola: foto della cliente, foto d'ispirazione facoltativa (che può ritrarre una terza persona, v. art. 4.2, lett. c), foto del campione colore facoltativa, immagine generata al passo precedente per «ritocca»; (b) il colore rientra fra ciò che il modello modifica (nell'anteprima taglio il colore è conservato); (c) il testo trascritto dalla voce del parrucchiere o della cliente: al Responsabile arriva solo il testo, l'audio resta sul tablet se è installato il pacchetto lingua offline, altrimenti Android può inviarlo a Google per la sola trascrizione. Le immagini della Consulenza usano lo stesso modello dell'anteprima taglio, Gemini 3.1 Flash Image. Restano invariati la mancata conservazione lato Miraviso (salvo ciò che il Titolare salva nella scheda cliente, Annesso 1), il canale (Vertex AI multi-regione eu, host aiplatform.eu.rep.googleapis.com) e il consenso per sessione.

La tabella che segue descrive la funzione di anteprima taglio (e, salve le differenze appena indicate, la Consulenza IA). Per i Saloni che hanno attivato il CRM, gli stessi elementi ex art. 28, par. 3, GDPR riferiti alla scheda cliente e all'archivio foto sono nella tabella dell'art. A.1 dell'Annesso 1: sono due trattamenti distinti, con basi giuridiche, sub-responsabili e durate diverse, e vanno tenuti distinti anche nel registro del Titolare.

3-bis Catalogo stili del Salone (01/10/2026)

Oltre ai trattamenti dell'art. 3, il Responsabile conserva per conto del Titolare le foto che questi carica nel proprio catalogo stili (gli stili personalizzati del Salone). È un trattamento distinto da quelli dell'art. 3, perché comporta conservazione, e distinto dall'Annesso 1, perché le foto non sono cifrate. Gli elementi ex art. 28, par. 3, GDPR:

4. Obblighi delle Parti

4.1 Obblighi del Responsabile (Miraviso)

Il Responsabile si impegna a:

a) Istruzioni documentate (art. 28, par. 3, lett. a, GDPR): trattare i Dati dei Clienti Finali soltanto su istruzione documentata del Titolare, anche per quanto riguarda eventuali trasferimenti verso paesi terzi, salvo che lo richieda il diritto dell'Unione o nazionale; in tal caso il Responsabile informa il Titolare prima del trattamento, salvo divieto di legge per rilevanti motivi di interesse pubblico. Il Responsabile informa immediatamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati (art. 28, par. 3, ultimo capoverso).

b) Riservatezza (art. 28, par. 3, lett. b, GDPR): fare in modo che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e siano istruite ai sensi degli artt. 29 GDPR e 2-quaterdecies del D.Lgs. 196/2003.

c) Misure di sicurezza (art. 28, par. 3, lett. c, e art. 32 GDPR): adottare e mantenere, tenuto conto dello stato dell'arte, dei costi e dei rischi, almeno le seguenti misure tecniche e organizzative:

1. Nessuna persistenza delle immagini: le fotografie dei clienti finali sono elaborate esclusivamente in memoria volatile (RAM) sui server del Responsabile; è disattivato lo spool su disco; nessuna immagine viene mai scritta su storage persistente, in backup o in cache. Per i Saloni che hanno attivato il CRM, le fotografie che il Titolare salva nell'archivio della scheda cliente sono disciplinate dall'Annesso 1 (buste cifrate sul dispositivo). Le foto che il Titolare carica nel catalogo stili sono disciplinate dall'art. 3-bis.
2. Log privi di dati personali dei clienti finali: i log applicativi e tecnici non contengono immagini né altri dati personali dei clienti finali; gli eventi di utilizzo registrano esclusivamente identificativo del Salone, stile richiesto, latenza ed esito dell'operazione.
3. Cifratura in transito: tutte le comunicazioni (tablet → API Miraviso → Sub-responsabili) avvengono su canali cifrati TLS.
4. Cifratura at-rest: il database del piano di controllo (che non contiene immagini né dati dei clienti finali) è cifrato at-rest presso l'infrastruttura di hosting.
5. Controllo degli accessi: autenticazione degli operatori con credenziali individuali e password protette con hashing robusto (Argon2); autenticazione dei dispositivi tablet tramite token conservati esclusivamente in forma di hash; accesso ai sistemi di produzione limitato al personale strettamente necessario, secondo il principio del minimo privilegio.
6. Registrazione degli eventi: audit log delle operazioni amministrative rilevanti, anch'esso privo di dati personali dei clienti finali.
7. Retention definita: log tecnici conservati al massimo 30 giorni; eventi di utilizzo al massimo 24 mesi; immagini dei clienti finali trattate per l'anteprima: Miraviso non le conserva (conservazione pari a zero), salvo quelle che il Titolare salva nella scheda cliente; per l'archivio della scheda cliente, art. A.3 dell'Annesso 1.
8. Hosting nell'Unione Europea: infrastruttura server ubicata nell'Unione Europea, datacenter OVHcloud di Strasburgo (SBG), Francia.

d) Sub-responsabili: rispettare le condizioni di cui all'art. 5 del presente DPA per il ricorso a Sub-responsabili (art. 28, parr. 2 e 4, GDPR).

e) Assistenza al Titolare: prestare l'assistenza di cui all'art. 7 del presente DPA (art. 28, par. 3, lett. e ed f, GDPR).

f) Cancellazione o restituzione: adempiere a quanto previsto dall'art. 8 del presente DPA (art. 28, par. 3, lett. g, GDPR).

g) Dimostrabilità e audit: mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consentire e contribuire alle attività di revisione ai sensi dell'art. 9 del presente DPA (art. 28, par. 3, lett. h, GDPR).

h) Registro: mantenere il registro delle categorie di attività di trattamento svolte per conto del Titolare, ove dovuto ai sensi dell'art. 30, par. 2, GDPR.

4.2 Obblighi del Titolare (Salone)

Il Titolare si impegna a:

a) utilizzare il Servizio in conformità al GDPR, individuando idonea base giuridica per il trattamento e fornendo agli interessati l'informativa ex art. 13 GDPR; il Servizio mette a disposizione un flusso di raccolta del consenso per sessione in app, che il Salone si obbliga a utilizzare prima di ogni scatto;

b) per i clienti finali minori di età, raccogliere il consenso di chi esercita la responsabilità genitoriale (genitore, tutore o affidatario), presente in salone, prima dell'utilizzo del Servizio, e annotarne gli estremi. La regola vale per tutte le fasce d'età sotto i 18 anni, comprese le clienti fra i 14 e i 17 anni: per queste ultime il consenso si raccoglie anche da chi esercita la responsabilità genitoriale, oltre a quello della minore, e l'annotazione è conservata dal Titolare insieme alla prova del consenso, nella forma indicata all'art. A.7.2 dell'Annesso 1.

La soglia dei 14 anni presente nel Servizio non è, in questo contesto, il fondamento della capacità di consentire, e non va letta come tale. L'art. 8 GDPR e l'art. 2-quinquies del Codice Privacy, da cui quella soglia proviene, riguardano i servizi della società dell'informazione offerti direttamente al minore, dove a dichiarare l'età è il minore stesso davanti a uno schermo; il trattamento qui descritto avviene invece in salone, con un professionista che ha la persona davanti, e resta perciò fuori dal loro ambito di applicazione. Fuori da quell'ambito vale la disciplina generale della capacità e della responsabilità genitoriale (artt. 316, 317, 320 c.c.), e la posizione che le Parti adottano, tanto più su dati che possono ricadere nell'art. 9 GDPR, per i quali l'art. 9, par. 2, lett. a) richiede un consenso esplicito, è quella indicata al capoverso precedente.

Nel Servizio la soglia dei 14 anni opera quindi come divieto tecnico e non come attribuzione di capacità: sotto i 14 anni nessuna fotografia entra nell'archivio della scheda cliente, e nessun consenso lo sblocca (Annesso 1, art. A.7.1). Il testo informativo e la schermata di consenso in app devono restare coerenti con questa regola. La presente lettera vale per la scheda cliente e il suo archivio, le sole funzioni con trattamento affidato a Miraviso che il Servizio rende disponibili ai minori, e non per quelle della lettera b-bis;

b-bis) usare l'Anteprima Taglio e la Consulenza IA solo con clienti finali maggiorenni, e farle usare solo a personale maggiorenne (dal 30/09/2026). Sono le funzioni che inviano la fotografia al Sub-responsabile Google per la generazione con intelligenza artificiale, e i termini del Sub-responsabile ne vietano l'uso in servizi rivolti o verosimilmente accessibili a persone con meno di 18 anni, pena la sospensione del servizio per tutti i saloni. Con una cliente minore di età il Titolare non le usa, nemmeno con il consenso di chi esercita la responsabilità genitoriale; restano disponibili la prova colore, che non invia immagini, e la scheda cliente nei limiti della lettera b). Il Titolare assicura che il proprio personale che usa queste funzioni sia maggiorenne;

c) non caricare immagini di soggetti diversi dal cliente finale presente in salone che ha prestato il consenso, con le sole eccezioni seguenti, previste per la Consulenza IA (decisione dell'owner del 01/10/2026):

1. la foto del campione colore, che ritrae una ciocca o la cartella colori e non una persona;
2. la foto d'ispirazione, facoltativa, usata soltanto come riferimento estetico dell'acconciatura. Il Titolare sceglie di preferenza immagini in cui il volto non compare o non è riconoscibile. Se l'immagine ritrae una persona identificabile diversa dal cliente finale, il Titolare tratta quel dato sotto la propria responsabilità, sulla base del proprio legittimo interesse (art. 6, par. 1, lett. f, GDPR), che documenta. Il Titolare non usa come ispirazione fotografie di altri clienti finali del Salone senza il loro consenso specifico, fotografie di minori, né fotografie di persone riprese a loro insaputa. La foto d'ispirazione scattata o scelta sul dispositivo resta in memoria per la durata della consulenza e viene trasmessa al Sub-responsabile indicato all'art. 5.1 a ogni generazione, per quella sola finalità; non entra nell'archivio della scheda cliente. Le foto del catalogo stili caricate dal Titolare sono invece conservate dal Responsabile, in chiaro, finché il Titolare non le cancella: il Titolare vi carica solo immagini senza volto riconoscibile o per le quali dispone di una liberatoria che copra anche l'uso con intelligenza artificiale generativa;

d) impartire eventuali istruzioni aggiuntive in forma scritta; istruzioni che comportino modifiche al Servizio potranno essere oggetto di valutazione tecnica ed economica tra le Parti.

5. Sub-responsabili

5.1 Autorizzazione generale

Il Titolare autorizza in via generale, ai sensi dell'art. 28, par. 2, GDPR, il ricorso da parte del Responsabile ai Sub-responsabili elencati di seguito, limitatamente alle funzioni indicate:

Per i Saloni che hanno attivato il CRM l'elenco dei Sub-responsabili è diverso, ed è quello dell'art. A.9 dell'Annesso 1: in particolare Google non riceve alcun dato della scheda cliente, perché l'archivio non passa dal flusso dell'anteprima.

Nota: Stripe (pagamenti degli abbonamenti) e Resend (Plus Five Five, Inc., email transazionali) non trattano Dati dei Clienti Finali e operano in relazione ai soli dati del Salone, per i quali Miraviso è autonomo Titolare; non sono pertanto Sub-responsabili ai sensi del presente DPA.

L'elenco aggiornato dei Sub-responsabili è quello del presente articolo e, per il CRM, dell'art. A.9 dell'Annesso 1, pubblicati su miraviso.it/dpa. Il Responsabile lo aggiorna secondo l'art. 5.2.

5.2 Modifiche all'elenco

Il Responsabile informa il Titolare, con preavviso scritto di almeno 30 giorni (anche via email o tramite il pannello del Servizio), di ogni prevista aggiunta o sostituzione di Sub-responsabili, dando così al Titolare l'opportunità di opporsi ai sensi dell'art. 28, par. 2, GDPR. In caso di opposizione motivata, le Parti si consulteranno in buona fede; ove non trovino un accordo entro 30 giorni, il Titolare potrà recedere dal Contratto Principale limitatamente alla funzione interessata, senza penali, con effetto dalla data di ingaggio del nuovo Sub-responsabile.

5.3 Obblighi verso i Sub-responsabili

Il Responsabile impone a ciascun Sub-responsabile, mediante contratto, gli stessi obblighi in materia di protezione dei dati contenuti nel presente DPA, in particolare garanzie sufficienti di misure tecniche e organizzative adeguate (art. 28, par. 4, GDPR). Il Responsabile resta interamente responsabile nei confronti del Titolare dell'adempimento degli obblighi dei Sub-responsabili.

6. Trasferimenti extra-UE

1. L'infrastruttura del Responsabile è ubicata nell'Unione Europea (Francia).
2. Per il Sub-responsabile Google (Vertex AI), il trattamento può comportare trasferimenti verso paesi terzi, inclusi gli Stati Uniti. Tali trasferimenti avvengono sulla base del Data Processing Addendum di Google, che incorpora le Clausole Contrattuali Tipo (SCC) adottate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914 (moduli applicabili ai rapporti responsabile→sub-responsabile) e, ove applicabile, dell'EU-U.S. Data Privacy Framework ai sensi della decisione di adeguatezza ex art. 45 GDPR. Il Responsabile si impegna a mantenere in vigore tali strumenti di trasferimento per tutta la durata del DPA.
3. Per il Sub-responsabile Sentry (Functional Software, Inc., USA) il progetto è ospitato nella regione UE del servizio. Poiché la società ha sede negli Stati Uniti, un trasferimento verso gli USA resta possibile (per esempio per l'assistenza tecnica). Tali trasferimenti avvengono sulla base dell'EU-U.S. Data Privacy Framework e delle Clausole Contrattuali Tipo (SCC) incorporate nel Data Processing Addendum di Sentry.
4. Per il fornitore Resend (che non tratta Dati dei Clienti Finali e non è Sub-responsabile ai sensi del presente DPA; indicato per sola completezza), i trasferimenti verso gli USA avvengono sulla base delle SCC e/o del Data Privacy Framework.
5. Qualora uno strumento di trasferimento venga invalidato o cessi di essere applicabile, il Responsabile ne informa il Titolare senza ingiustificato ritardo e adotta misure alternative conformi al Capo V del GDPR (artt. 44-49), inclusa, ove necessario, la sospensione del trasferimento.

7. Assistenza al Titolare

7.1 Diritti degli interessati (art. 28, par. 3, lett. e, GDPR)

(Per i Saloni che hanno attivato il CRM, il presente articolo va letto insieme all'art. A.5 dell'Annesso 1, che descrive in che cosa l'assistenza del Responsabile consista e in che cosa non possa consistere quando i dati sono cifrati con una chiave che il Responsabile non possiede.)

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). Si dà atto che Miraviso, nell'ambito delle funzioni di prova colore, anteprima taglio e Consulenza IA, non conserva alcuna immagine né altro dato personale dei clienti finali; per questo le richieste di accesso, rettifica, cancellazione, limitazione e portabilità riferite alle immagini risultano di regola già soddisfatte per assenza di dati, salvo le immagini (fotografie, anteprime e, fino al 30/09/2026, clip video, funzione oggi in pausa) che il Titolare abbia salvato nella scheda cliente, per le quali vale l'art. A.5 dell'Annesso 1; il Responsabile fornirà al Titolare, su richiesta, attestazione scritta di tale circostanza. Qualora il Responsabile riceva direttamente una richiesta da un interessato, la inoltra senza ingiustificato ritardo al Titolare e non vi dà seguito autonomamente, salvo obbligo di legge.

7.2 Sicurezza, DPIA e consultazione preventiva (art. 28, par. 3, lett. f, GDPR)

Il Responsabile assiste il Titolare nel rispettare gli obblighi di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni a propria disposizione, in particolare:

• fornendo la documentazione tecnica sulle misure di sicurezza di cui all'art. 4.1, lett. c);
• fornendo le informazioni necessarie alla valutazione d'impatto sulla protezione dei dati (DPIA) ex art. 35 GDPR che il Titolare intenda o debba svolgere, nonché all'eventuale consultazione preventiva ex art. 36 GDPR. Il Responsabile mette a disposizione dei Saloni una scheda tecnica descrittiva del trattamento utilizzabile come base per la DPIA.

7.3 Violazioni dei dati personali (artt. 33-34 GDPR)

Il Responsabile notifica al Titolare ogni violazione dei dati personali riguardante i Dati dei Clienti Finali senza ingiustificato ritardo e comunque entro 48 (quarantotto) ore dal momento in cui ne è venuto a conoscenza, all'indirizzo email di contatto del Titolare indicato all'art. 1. La notifica contiene, nella misura in cui le informazioni siano disponibili:

a) la descrizione della natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti; b) il nome e i recapiti del punto di contatto del Responsabile; c) le probabili conseguenze della violazione; d) le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.

Ove non sia possibile fornire tutte le informazioni contestualmente, esse sono fornite in fasi successive senza ulteriore ingiustificato ritardo. Il Responsabile collabora con il Titolare ai fini dell'eventuale notifica al Garante (art. 33 GDPR) e della comunicazione agli interessati (art. 34 GDPR), che restano di competenza del Titolare. Il Responsabile documenta le violazioni nel proprio registro interno.

8. Cancellazione e restituzione dei dati a fine rapporto

0. Ambito: il presente articolo riguarda le funzioni di prova colore, anteprima taglio e Consulenza IA. Per i Saloni che hanno attivato il CRM, la sorte dei Dati della Scheda Cliente alla cessazione del rapporto è regolata dall'art. A.8 dell'Annesso 1, che prevale su quanto segue.
1. Immagini dei clienti finali: poiché Miraviso non le conserva per queste funzioni (elaborazione esclusivamente in memoria, retention pari a zero), alla cessazione del Contratto Principale non esiste alcuna immagine da restituire o cancellare, salvo le fotografie, le anteprime e le clip video (funzione oggi in pausa) che il Titolare abbia salvato nella scheda cliente, per le quali vale l'art. A.8 dell'Annesso 1. Su richiesta del Titolare, il Responsabile rilascia attestazione scritta di tale circostanza (art. 28, par. 3, lett. g, GDPR).
2. Dati tecnici residui: gli eventi di utilizzo e i log tecnici, privi di dati personali dei clienti finali, sono cancellati alla scadenza dei rispettivi periodi di retention (30 giorni per i log tecnici, 24 mesi per gli eventi di utilizzo).
3. Dati del Salone: i dati per i quali Miraviso è autonomo Titolare (anagrafica, fatturazione, documentazione contrattuale) sono conservati nei limiti degli obblighi di legge (in particolare fiscali e contabili, art. 2220 c.c. e normativa tributaria) e non rientrano nel presente DPA.

9. Audit e ispezioni

1. Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR, inclusa documentazione sulle misure di sicurezza, sui Sub-responsabili e sugli strumenti di trasferimento (art. 28, par. 3, lett. h, GDPR).
2. Il Titolare (o un revisore da esso incaricato, non concorrente del Responsabile e vincolato alla riservatezza) può svolgere, al massimo una volta per anno contrattuale, salvo violazioni accertate o richieste dell'autorità di controllo, verifiche documentali sulle attività di trattamento oggetto del presente DPA, con preavviso scritto di almeno 30 giorni, in orario lavorativo e senza interferire in modo sproporzionato con l'operatività del Responsabile.
3. In prima istanza le verifiche si svolgono su base documentale (risposte a questionari, evidenze tecniche, eventuali certificazioni o relazioni di audit di terza parte, incluse quelle dei Sub-responsabili di hosting). Ispezioni in loco sono ammesse solo ove le evidenze documentali risultino oggettivamente insufficienti.
4. I costi dell'audit sono a carico del Titolare, salvo che l'audit accerti violazioni sostanziali del presente DPA imputabili al Responsabile.
5. Per i Sub-responsabili di grandi dimensioni (Google, OVHcloud), il diritto di audit si esercita tramite le informazioni, certificazioni e relazioni di audit rese disponibili da tali fornitori ai sensi dei rispettivi data processing agreement.

10. Durata, responsabilità e disposizioni finali

10.1 Durata

Il presente DPA entra in vigore alla data di accettazione ed è efficace per tutta la durata del Contratto Principale. Gli obblighi che per loro natura sono destinati a sopravvivere (riservatezza, assistenza per violazioni occorse in vigenza del rapporto, attestazioni di cancellazione) restano efficaci anche dopo la cessazione.

10.2 Responsabilità

1. Ciascuna Parte risponde dei danni cagionati dal trattamento secondo quanto previsto dall'art. 82 GDPR: il Responsabile risponde per il danno solo se non ha adempiuto agli obblighi del GDPR specificamente diretti ai responsabili o se ha agito in modo difforme o contrario rispetto alle legittime istruzioni del Titolare.
2. Il Responsabile risponde nei confronti del Titolare dell'operato dei propri Sub-responsabili come del proprio (art. 28, par. 4, GDPR).
3. Restano ferme le eventuali limitazioni di responsabilità pattuite nel Contratto Principale, nella misura in cui siano compatibili con norme imperative; nessuna limitazione si applica ai danni derivanti da dolo o colpa grave.
4. Ciascuna Parte tiene indenne l'altra dalle sanzioni e dai danni derivanti da violazioni del GDPR ad essa esclusivamente imputabili ai sensi dell'art. 82, parr. 4 e 5, GDPR.

10.3 Legge applicabile e foro

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente il foro indicato nel Contratto Principale. Resta ferma la competenza dell'autorità di controllo (Garante per la protezione dei dati personali) e i diritti degli interessati ai sensi degli artt. 77-79 GDPR.

10.4 Clausole finali

1. Eventuali modifiche del presente DPA richiedono la forma scritta. Una nuova versione pubblicata dal Responsabile si applica dal momento in cui il Titolare la accetta dal pannello.
2. L'invalidità di singole clausole non pregiudica la validità delle restanti; le clausole invalide saranno sostituite da previsioni valide di effetto equivalente.
3. In caso di contrasto tra il presente DPA e il Contratto Principale in materia di protezione dei dati, prevale il presente DPA.

Annesso 1, Scheda cliente e archivio foto (CRM)

A.0 Ambito, efficacia e rapporto con il DPA

1. Il presente Annesso disciplina il trattamento dei Dati della Scheda Cliente e costituisce parte integrante del DPA. Si applica solo ai Saloni che hanno attivato la funzione CRM dal pannello del Servizio; per gli altri resta privo di effetti.
2. L'Annesso esiste perché il CRM è il primo trattamento del Servizio che comporta conservazione: le previsioni del DPA che affermano l'assenza di dati conservati (artt. 3, 7.1 e 8) descrivono le funzioni di prova colore, anteprima taglio e Consulenza IA e non si estendono a questo trattamento. Per le materie qui disciplinate, l'Annesso prevale sul corpo del DPA.
3. I tre flussi restano separati e vanno tenuti separati anche nella documentazione del Titolare: la prova colore non lascia il tablet; la fotografia dell'anteprima taglio e della Consulenza IA transita e Miraviso non la conserva; la fotografia dell'archivio è cifrata sul dispositivo e depositata dal Responsabile in forma illeggibile. Una fotografia dell'archivio non passa dal flusso dell'anteprima, che ha un'altra base giuridica e un Sub-responsabile diverso. La separazione vale in questa direzione: nulla di ciò che è archiviato viene inviato al motore dell'anteprima né a Google. Nella direzione opposta, la foto della sessione e le anteprime generate (e, fra il 25/09 e il 30/09/2026, le clip video della Consulenza IA, funzione oggi in pausa) possono essere salvate nella scheda con il consenso all'archivio: da quel momento sono Dati della Scheda Cliente, cifrati sul dispositivo come ogni altra busta.
4. Il Titolare dà atto che l'attivazione del CRM comporta la revisione della propria informativa ex art. 13 GDPR e, ricorrendone i presupposti, della valutazione d'impatto ex art. 35 GDPR: le sezioni sulla conservazione redatte per il solo servizio di anteprima non sono più esatte.

A.1 Oggetto, durata, natura e finalità (art. 28, par. 3, GDPR)

A.2 Categorie di dati, e le due forme in cui stanno

1. Indice in chiaro. Il Responsabile conserva e può leggere: nome o riferimento con cui il Titolare identifica la cliente, telefono, email, data di creazione della scheda, data dell'ultima visita, e per ogni visita il servizio eseguito, la data, l'eventuale prezzo, la durata e il riferimento allo stile scelto; gli eventi del registro dei consensi (finalità, evento, istante, origine); le righe del registro degli accessi (art. A.6).
2. Buste cifrate. Il Responsabile conserva, senza poterli leggere, i contenuti riservati della scheda: fotografie dell'archivio (originale e miniatura; fra il 25/09 e il 30/09/2026 anche clip video della Consulenza IA, funzione oggi in pausa, con miniatura presa dall'immagine del look), note libere del professionista, allergie e intolleranze, formula colore e annotazioni tecniche della singola visita. Questi contenuti arrivano al Responsabile già cifrati dal dispositivo del Titolare e ripartono identici; il Responsabile ne conosce soltanto la misura in byte e, per ogni elemento dell'archivio, il tipo («foto» o «video»).
3. Categorie particolari (art. 9 GDPR). Le Parti danno atto che note, allergie e annotazioni tecniche possono contenere dati relativi alla salute, allergie a tinture, patologie del cuoio capelluto, fragilità dei capelli conseguente a terapie, e che tali dati sono trattati sulla base del consenso esplicito dell'interessata raccolto dal Titolare (art. 9, par. 2, lett. a), GDPR). La scelta di collocarli dentro le buste cifrate, e non nell'indice, è deliberata: è la misura che impedisce al Responsabile di trattarli in qualunque modo che non sia custodirli e restituirli.
4. Le fotografie dell'archivio non sono trattate come dati biometrici. Sono conservate e mostrate a partire da una scheda cliente aperta a mano dal personale del Titolare; manca la finalità di identificazione univoca che l'art. 4, punto 14, GDPR richiede. Il perimetro di questa affermazione, e l'impegno che la tiene vera, sono all'art. A.7.4.
5. Miraviso non conserva la fascia d'età. Viaggia con la richiesta di caricamento di una fotografia, decide se l'archiviazione è permessa, e non è scritta in alcuna colonna. Il Titolare prende atto della conseguenza, che è irreversibile: il Responsabile non è in grado di dire quali schede riguardino minori, e un'istruzione di cancellazione selettiva riferita ai minori non sarebbe eseguibile dal Responsabile.

A.3 Termini di conservazione

1. Schede: 24 mesi dall'ultima visita registrata, con ripiego sulla data di creazione della scheda per le schede su cui nessuna visita sia mai stata registrata. È il termine dichiarato nell'informativa; alla scadenza sono distrutte le fotografie (righe, byte e miniature) e poi la chiave della cliente, e la riga d'indice cessa di identificare qualcuno.
2. Registro degli accessi: 24 mesi dall'accesso registrato. È un orologio distinto dal precedente, e la coincidenza dei due numeri non è un legame: la riga del registro deve poter sopravvivere alla fotografia che nomina, altrimenti cancellare una fotografia cancellerebbe la traccia di chi l'aveva aperta.
3. Preavviso. Trenta giorni prima della scadenza il Responsabile avvisa il Titolare per email che un certo numero di schede sta per scadere. Nel messaggio non compare alcun nome di cliente finale, di proposito: quell'email esce verso un fornitore terzo. Spetta al Titolare, che ha il rapporto diretto con l'interessata, avvisarla o farsi riconfermare il consenso.
4. Modifica dei termini. I termini sono parametri di configurazione del Servizio e possono essere modificati dal Responsabile con preavviso scritto di almeno 30 giorni al Titolare. Il preavviso non è una formalità: un termine abbassato produce la cancellazione, nella prima esecuzione notturna utile, di tutto ciò che ricade nella finestra nuova, e la cancellazione non è reversibile perché distrugge chiavi.
5. Copie di sicurezza. Le copie ruotano a 30 giorni. Una cancellazione eseguita oggi resta materialmente nelle copie fino alla loro rotazione; per i contenuti delle buste ciò è privo di effetti pratici, perché la distruzione della chiave della cliente li rende illeggibili in ogni copia nello stesso istante, mentre per l'indice in chiaro i 30 giorni valgono per intero.

A.4 Misure tecniche e organizzative (art. 28, par. 3, lett. c, e art. 32 GDPR)

Le misure che seguono si aggiungono a quelle dell'art. 4.1, lett. c), del DPA e sono descritte come sono attuate, non come si vorrebbe che fossero.

1. Cifratura end-to-end con chiave del Titolare. Le buste sono cifrate e decifrate esclusivamente sui dispositivi del Titolare (pannello e tablet), in AES-256-GCM. Le chiavi sono su tre livelli: una chiave del Salone, una chiave per ogni scheda cliente, una chiave per ogni fotografia; ciascuna è custodita dal Responsabile solo in forma avvolta dalla chiave del livello superiore.
2. La password del Salone non arriva al Responsabile. Dalla password il dispositivo deriva, con sali distinti e PBKDF2-SHA256 a 600.000 iterazioni, due valori: un verificatore, che sostituisce la password nell'autenticazione, e la chiave che apre le buste, che non lascia il dispositivo. Il Responsabile non possiede la chiave del Salone e non è in grado di ricostruirla dai dati di cui dispone.
3. Legame crittografico fra busta e collocazione. Ogni busta è chiusa con un dato associato che contiene l'identificativo del Salone, quello della scheda, quello della fotografia e il ruolo della busta. Una busta spostata su un altro Salone, su un'altra scheda, su un'altra fotografia, o servita come miniatura al posto dell'originale, non si apre: non è un controllo applicativo che qualcuno debba ricordarsi di eseguire, è il cifrario che rifiuta.
4. Il Responsabile non guarda dentro. Il caricamento non riconosce formati, non legge metadati EXIF, non misura immagini e non genera miniature: i soli controlli sono di misura in byte. La miniatura la produce il dispositivo prima di cifrare.
5. Isolamento e reperibilità. Ogni lettura passa da una guardia sul Salone e sulla scheda. Non esistono indirizzi pubblici né URL firmati: i byte escono solo da rotte autenticate, con Cache-Control: no-store. Le chiavi con cui i byte sono depositati sono opache e casuali (192 bit) e non contengono riferimenti al Salone o alla cliente: chi ottenesse il solo deposito non ricaverebbe nemmeno quanti clienti ha un Salone. All'avvio il Servizio rifiuta di partire se il deposito è collocato in una cartella servita dal web.
6. Copie di sicurezza cifrate, sempre. Il dump del database e il deposito dei byte escono dalla macchina insieme, con rotazione a 30 giorni; il dump è cifrato con chiave pubblica e la cifratura non è condizionale, in sua assenza la procedura si interrompe con errore e la copia remota non parte. I byte delle buste non sono cifrati una seconda volta perché lo sono già con la chiave del Salone.
7. Il supporto non vede l'archivio. Quando il personale del Responsabile opera in modalità di assistenza sul pannello di un Salone, l'elenco delle fotografie, i byte, la loro cancellazione e la busta della scheda non sono accessibili. Le ragioni sono due: la chiave nasce dalla password del Salone e non aprirebbe nulla comunque, e una riga di registro nata in assistenza attribuirebbe al Salone un accesso che il Salone non ha compiuto.
8. Collocazione. I byte delle buste sono conservati sul filesystem del server ubicato nel datacenter OVHcloud di Strasburgo (SBG), Francia; le copie di sicurezza cifrate sono replicate su Object Storage OVHcloud a Milano, Italia. Nessun trasferimento extra-UE è previsto per i Dati della Scheda Cliente.
9. Il limite della misura n. 1, dichiarato. Sul tablet il codice che deriva la chiave è contenuto nell'applicazione firmata. Sul pannello web è il server del Responsabile a servire il codice che esegue la derivazione e la decifratura nel browser: la promessa «il Responsabile non può leggere» vale quindi finché l'infrastruttura del Responsabile è integra, e non è un'impossibilità assoluta. Il Responsabile si obbliga a non introdurre alcuna forma di decifratura lato server, per nessuna finalità, ivi compresa l'assistenza, e a comunicarlo al Titolare con il preavviso di cui all'art. 5.2 del DPA qualora ciò dovesse mutare: una modifica in tal senso muterebbe la natura del trattamento e le sue conseguenze su tutto il presente Annesso.

A.5 Assistenza al Titolare, e ciò che la cifratura le impedisce (art. 28, par. 3, lett. e ed f, GDPR)

1. La premessa, scritta perché non venga scoperta dopo. Non potendo leggere i contenuti delle buste, il Responsabile non è in grado di assistere il Titolare nel modo consueto nell'esercizio dei diritti degli interessati. È insieme un limite dell'assistenza e una misura di sicurezza: è la stessa proprietà che impedisce al Responsabile, e a chiunque ottenga accesso ai suoi sistemi, o gli notifichi un'istanza, di leggere l'archivio dei volti e le note sanitarie di tutte le clienti di tutti i Saloni. Il Titolare ne prende atto e ne tiene conto nel predisporre le proprie procedure di risposta agli interessati.
2. Ciò che il Responsabile non può fare. Il Responsabile non può: leggere o produrre il contenuto di una busta; cercare, filtrare o raggruppare per contenuto; verificare un'affermazione relativa al contenuto; rettificare una nota o una fotografia; ricostruire il contenuto se il Titolare perde sia la password sia la chiave di recupero. Un'istanza di accesso o di portabilità riferita ai contenuti riservati non può essere soddisfatta dal Responsabile e va soddisfatta dal Titolare dai propri dispositivi.
3. Ciò che il Responsabile fa, e su cui il Titolare può contare. Il Responsabile: (a) mette a disposizione del Titolare, nel pannello e sul tablet, i gesti con cui il Titolare esercita materialmente i diritti dell'interessata, consultazione, correzione della scheda, cancellazione di una singola fotografia, cancellazione dell'intera scheda, registrazione di una revoca del consenso, che sospende immediatamente la consultazione dell'archivio senza cancellare nulla; (b) su richiesta scritta del Titolare, fornisce l'estratto del registro degli accessi relativo a una determinata scheda (art. A.6); (c) su richiesta scritta del Titolare, rilascia attestazione della cancellazione eseguita e della distruzione della chiave; (d) inoltra senza ingiustificato ritardo al Titolare le richieste ricevute direttamente da un interessato, senza darvi seguito autonomamente; (e) fornisce al Titolare la documentazione tecnica necessaria alla DPIA ex art. 35 GDPR.
4. Cancellazione ex art. 17 GDPR: cosa esegue il Servizio. Alla cancellazione di una scheda richiesta dal Titolare il Servizio rimuove prima le fotografie, righe, byte e miniature, con restituzione dello spazio al Salone, e poi distrugge la chiave della cliente, rendendo illeggibile ogni residuo, comprese le copie di sicurezza. La riga d'indice sopravvive perché vi si appoggiano la contabilità del Salone e il registro delle operazioni, ma cessa di identificare qualcuno: il nome diventa un segnaposto, telefono ed email si azzerano, e si azzera anche il campo di prova del registro dei consensi. Le Parti danno atto che la distruzione della chiave non è, da sola, una cancellazione ex art. 17: l'adempimento è la rimozione, e la chiave distrutta è la misura che rende quella rimozione effettiva dove la rimozione materiale non arriva.
5. Violazioni dei dati. Si applica l'art. 7.3 del DPA. Ai fini dell'art. 34, par. 3, lett. a), GDPR, le Parti danno atto che i contenuti delle buste sono incomprensibili a chiunque non disponga della chiave del Salone, e che la capacità di ripristino richiesta dall'art. 32, par. 1, lett. c), è assicurata dalle copie di cui all'art. A.4.6. Restano soggetti a valutazione ordinaria gli eventi che riguardino l'indice in chiaro, che non è cifrato oltre la cifratura del supporto.

A.6 Registro degli accessi, e il personale del Titolare

1. Cosa registra. Il Servizio registra ogni gesto compiuto sull'archivio fotografico di una scheda: l'azione (caricamento, apertura della galleria, apertura di una fotografia intera, cancellazione), la fotografia interessata ove pertinente, chi ha agito (l'utenza del pannello, il dispositivo tablet, o il sistema per le operazioni automatiche) e quando. La traccia è scritta prima che i byte siano consegnati. Le richieste ravvicinate della stessa terna (scheda, attore, azione) sono accorpate in una finestra di 15 minuti, perché una galleria di dieci miniature non produca dieci righe: un registro illeggibile non è ispezionabile.
2. Perché esiste. È una misura di sicurezza ex art. 32 GDPR e uno strumento di tutela dell'interessata: serve a rispondere alla domanda «chi ha guardato le fotografie di questa cliente». È modellato sul dossier sanitario, dove l'Autorità italiana impone log di accesso conservati per un periodo non inferiore a 24 mesi.
3. È anche un dato del personale del Titolare. Il registro dice quale utenza del Salone ha aperto quali fotografie e quando. Il Titolare, in qualità di datore di lavoro, informa il proprio personale ai sensi dell'art. 4, comma 3, della L. 300/1970 dell'esistenza del registro, del suo contenuto, della sua durata e delle sue finalità: senza tale informativa le informazioni raccolte non sono utilizzabili a nessun fine.
4. Vincolo d'uso. Il Titolare si obbliga a non utilizzare il registro per finalità disciplinari o di valutazione della prestazione lavorativa al di fuori dell'accertamento di incidenti di sicurezza o di reclami relativi ai dati. Il Responsabile, dal canto suo, non lo utilizza per alcuna finalità diversa dalla sicurezza del Servizio e dall'assistenza al Titolare ai sensi dell'art. A.5.3, lett. b).
5. Granularità. Finché il Salone opera con una sola utenza di pannello e con tablet condivisi, il registro identifica un'utenza e un dispositivo, non una persona fisica determinata. Il giorno in cui il Titolare adotti credenziali individuali per operatore, il registro diventa riferibile a persone determinate e le previsioni dei commi 3 e 4 acquistano rilievo pieno.

A.7 Istruzioni documentate al Titolare, e ciò che il Servizio impone da sé

1. Minori. Sotto i 14 anni nessuna fotografia entra nell'archivio: il Servizio la rifiuta prima ancora di guardare il consenso, così che il Titolare non raccolga una firma inutile davanti a una cliente minorenne, e nessun consenso lo sblocca. Una fascia d'età assente o non riconosciuta è trattata come un rifiuto, non come un adulto. Il divieto tecnico riguarda le fotografie: note, allergie e formula colore non sono impedite dal Servizio, e per esse la regola dell'art. 4.2, lett. b), del DPA è un'istruzione contrattuale che il Titolare è tenuto a osservare.

2. Consenso genitoriale 14-17 e sua prova. Per le clienti fra i 14 e i 17 anni il Titolare raccoglie il consenso anche da chi esercita la responsabilità genitoriale, presente in salone, e ne conserva l'annotazione insieme alla prova del consenso: chi era presente, in che veste e quando.

   Sulla forma dell'annotazione, per non promettere ciò che il Servizio oggi non fa. Il registro dei consensi del Servizio conserva finalità, evento, istante e origine della raccolta (tablet, cartaceo, pannello), ed è in sola aggiunta: una revoca aggiunge una riga e non ne modifica nessuna. Prevede inoltre un campo di prova destinato a contenere il riferimento al documento di raccolta, ma il Titolare non può scrivervi: né dal tablet né dal pannello esiste un modo di inserirvi un testo proprio. Dal 19/08/2026 quel campo non è però più sempre vuoto: vi scrive il Servizio, da sé e in una sola occasione, la risposta della cliente sulla sorte delle fotografie al momento della revoca (art. A.7.7), scegliendo fra due frasi predeterminate. Resta perciò vero che l'annotazione del consenso genitoriale è quella che il Titolare conserva sul proprio modulo, registrando nel Servizio l'origine cartaceo. Se un giorno il campo diventasse scrivibile dal Titolare, vi andrà il solo riferimento al modulo, il Titolare dà atto che esso è testo libero e visibile al Responsabile in chiaro e si obbliga a non inserirvi dati relativi alla salute, diagnosi o altri contenuti riservati.

3. Consensi separati. Il Servizio distingue il consenso alla generazione dell'anteprima dal consenso alla conservazione in archivio, e li tratta come due interruttori: senza un consenso attivo alla conservazione nessuna fotografia entra e l'archivio non si consulta, mentre l'anteprima e il resto della scheda continuano a funzionare. Il Titolare non condiziona l'erogazione del servizio al consenso alla conservazione. Il Titolare registra il consenso relativo alle note di salute prima di annotare dati relativi alla salute nella scheda: il Servizio non può imporlo, perché non vede dentro la busta e bloccarla per intero condizionerebbe al consenso anche la formula colore e le note generiche.

4. Divieto di riconoscimento facciale. Il Responsabile si obbliga a non introdurre alcuna funzione di riconoscimento, ricerca o raffronto automatico basata sui tratti del volto, né sui propri sistemi né nelle applicazioni client fornite al Titolare; le fotografie si raggiungono esclusivamente partendo da una scheda cliente aperta a mano. Il Titolare si obbliga a non estrarre le fotografie dal Servizio per sottoporle a tali trattamenti. Le Parti danno atto che l'introduzione di una simile funzione muterebbe la qualificazione dell'intero archivio ai sensi dell'art. 9 GDPR, con effetto sull'intero trattamento in corso, conservazione compresa, e richiederebbe la raccolta di un consenso esplicito per ogni interessata e il rifacimento della valutazione d'impatto: non è una modifica di prodotto che possa essere introdotta unilateralmente.

5. Custodia della chiave. Il Titolare custodisce la password del Salone e la chiave di recupero, non le comunica al Responsabile e ne conserva copia in luogo sicuro. La perdita di entrambe rende definitivamente illeggibili i contenuti riservati di tutte le schede, e il Responsabile non ha alcun mezzo per ripristinarli.

6. Esattezza dell'indice. Il Titolare non inserisce nell'indice in chiaro (nome, contatti, nome del servizio) contenuti che dovrebbero stare nelle buste, in particolare dati relativi alla salute.

7. Revoca del consenso alla conservazione, e sorte delle fotografie già archiviate (dal 19/08/2026). La revoca ha effetto immediato da entrambe le applicazioni: dal momento in cui è registrata nessuna nuova fotografia entra nell'archivio della scheda e l'archivio non si consulta più, da nessuna delle due.

   Le fotografie già archiviate non vengono distrutte d'ufficio, perché l'art. 17, par. 1, lett. b), GDPR attribuisce un diritto che l'interessata esercita, e distruggere lo storico di chi voleva solo smettere di aggiungerne non è reversibile. La loro sorte la decide l'interessata, e la sua risposta è la base su cui la conservazione prosegue: dal pannello, la revoca di una scheda che contiene fotografie non si registra senza che il Titolare abbia raccolto e trasmesso la risposta, che può essere soltanto una di due, tenerle nella scheda oppure cancellarle adesso. La risposta è annotata dal Servizio nella riga stessa dell'evento di revoca, ed è quindi conservata come parte della prova del consenso ai sensi dell'art. 7, par. 1, GDPR. Scelta la cancellazione, questa è immediata, definitiva e comprende righe, byte, miniature e spazio occupato; le sole tracce che sopravvivono sono quelle del registro degli accessi (art. A.3.2), che ha un orologio suo.

   Il tablet non pone la domanda, perché da esso il Servizio non consente di cancellare alcuna fotografia, la cancellazione è riservata al pannello, dove ad agire è una persona che ha effettuato l'accesso e non un dispositivo lasciato in sala: metà delle risposte sarebbe altrimenti una promessa non eseguibile. Una revoca raccolta al tablet è pienamente valida, sospende, e il Servizio segnala al Titolare, sulla scheda della cliente nel pannello, che la domanda è rimasta in sospeso, finché non riceve la risposta. Il Titolare si obbliga a raccoglierla e a registrarla senza ritardo ingiustificato, e comunque nei termini dell'art. 12, par. 3, GDPR quando l'interessata abbia chiesto la cancellazione.

A.8 Cancellazione e restituzione dei Dati della Scheda Cliente a fine rapporto

1. Alla cessazione del Contratto Principale, o alla disattivazione della sola funzione CRM, il Titolare sceglie fra la restituzione e la cancellazione dei Dati della Scheda Cliente e comunica la propria scelta per iscritto entro 30 giorni. In assenza di scelta entro tale termine, il Responsabile procede alla cancellazione.
2. La restituzione ha una forma obbligata, e va conosciuta prima di sceglierla. Il Responsabile può restituire l'indice in chiaro e le buste così come sono, cioè cifrate; non può restituirle in chiaro, perché non ha la chiave. La restituzione è quindi utile solo al Titolare che disponga ancora della propria password o della propria chiave di recupero, ed è onere del Titolare estrarre in forma leggibile, dai propri dispositivi e prima della cessazione, i contenuti che intende conservare. Il Responsabile assiste il Titolare in tale attività con le informazioni tecniche necessarie.
3. La cancellazione consiste, per ogni scheda, nella rimozione delle fotografie e nella successiva distruzione della chiave della cliente secondo l'art. A.5.4, e nella cancellazione dell'indice in chiaro. Restano fermi i dati per i quali il Responsabile agisce come autonomo Titolare (art. 2.1, punto 4, del DPA) e gli obblighi di legge in materia contabile e fiscale.
4. Le copie di sicurezza esistenti al momento della cancellazione si esauriscono con la rotazione di cui all'art. A.3.5; da quel momento non ne restano.
5. Su richiesta del Titolare il Responsabile rilascia attestazione scritta dell'avvenuta cancellazione (art. 28, par. 3, lett. g), GDPR).

A.9 Sub-responsabili per il CRM

1. Google non è Sub-responsabile per il CRM. Il motore di intelligenza artificiale interviene solo nelle funzioni di anteprima taglio e Consulenza IA, e non riceve fotografie dell'archivio, note o altri dati della scheda.
2. Resend (Plus Five Five, Inc.) veicola le comunicazioni di servizio verso l'indirizzo email del Salone, incluso il preavviso di scadenza dell'art. A.3.3, che contiene un numero di schede e nessun nome di cliente finale. Non tratta pertanto Dati della Scheda Cliente e non è Sub-responsabile ai sensi del presente Annesso. Stripe non è coinvolto in alcun modo.
3. Alle modifiche dell'elenco che precede si applica l'art. 5.2 del DPA.

Accettazione

Il Titolare accetta il presente DPA, con l'Annesso 1, in forma elettronica dal pannello del Servizio, con la spunta dedicata. Il Servizio registra versione, data e ora, utente, indirizzo IP e browser dell'accettazione e ne conserva la prova per tutta la durata del rapporto.

Le limitazioni di responsabilità e il foro richiamati agli artt. 10.2 e 10.3 sono quelli delle Condizioni Generali di Servizio, approvati specificamente dal Titolare ai sensi degli artt. 1341 e 1342 c.c. con la spunta separata prevista dalle Condizioni.