Condizioni e trattamento dei dati (art. 28 GDPR)

In vigore dal 27 luglio 2026

Tra

E

Premesse

1. Il Negozio utilizza Riveste, un software per la gestione dell’angolo dell’usato (conto vendita): raccolta dei capi affidati dalle proprie clienti, catalogazione, stampa delle etichette, vendita, gestione del buono e del reso.
2. Nello svolgimento di tale attività il Negozio tratta dati personali di persone fisiche — in particolare delle depositanti, cioè le clienti che gli affidano i capi — delle quali il Negozio è Titolare del trattamento.
3. Per fornire il servizio, Riveste tratta parte di tali dati per conto del Negozio, assumendo il ruolo di Responsabile del trattamento ai sensi dell’art. 28 GDPR.
4. Le Parti intendono disciplinare tale trattamento con il presente Accordo, che costituisce parte integrante del contratto di fornitura del software.

Clausola 1 — Finalità e ambito di applicazione

1.1 Le presenti clausole disciplinano il trattamento di dati personali effettuato dal Responsabile per conto del Titolare, al fine di garantire il rispetto degli artt. 28 par. 3 e 4 del GDPR.

1.2 Il Titolare e il Responsabile hanno concordato le presenti clausole al fine di assicurare il rispetto degli obblighi di cui all’art. 28 GDPR.

1.3 Le presenti clausole si applicano al trattamento descritto nell’Allegato II.

1.4 Gli Allegati I–IV costituiscono parte integrante delle clausole.

Clausola 2 — Invariabilità delle clausole

2.1 Le Parti si impegnano a non modificare le clausole, salvo per aggiungere informazioni negli Allegati o aggiornarli.

2.2 Ciò non impedisce alle Parti di inserire le presenti clausole in un contratto più ampio o di aggiungere altre clausole, purché non contraddicano — direttamente o indirettamente — le presenti clausole né pregiudichino i diritti fondamentali degli interessati.

Clausola 3 — Interpretazione

3.1 I termini utilizzati hanno lo stesso significato ad essi attribuito dal GDPR.

3.2 Le clausole sono interpretate alla luce delle disposizioni del GDPR e in modo da non contrastare con i diritti e gli obblighi in esso previsti.

Clausola 4 — Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati fra le Parti, vigenti al momento in cui le clausole sono concordate o successivamente conclusi, prevalgono le presenti clausole.

Clausola 5 — Descrizione del trattamento

I dettagli delle operazioni di trattamento, in particolare le categorie di dati personali e le finalità per le quali sono trattati per conto del Titolare, sono specificati nell’Allegato II.

Clausola 6 — Obblighi delle Parti

6.1 Istruzioni

a) Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, salvo che sia tenuto a farlo dal diritto dell’Unione o dello Stato membro cui è soggetto. In tal caso il Responsabile informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico.

b) Il Titolare può impartire ulteriori istruzioni per tutta la durata del trattamento. Tali istruzioni sono sempre documentate.

c) Costituiscono istruzione documentata del Titolare l’attivazione del software, la configurazione delle sue funzioni e l’uso delle sue funzionalità secondo la documentazione fornita.

d) Il Responsabile informa immediatamente il Titolare qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

6.2 Limitazione della finalità

Il Responsabile tratta i dati personali soltanto per le finalità specifiche indicate nell’Allegato II, salvo ulteriori istruzioni del Titolare.

6.3 Durata

Il trattamento dura per tutto il periodo di vigenza del contratto di fornitura del software, e comunque fino alla cancellazione o restituzione dei dati secondo la Clausola 6.7.

6.4 Sicurezza del trattamento

a) Il Responsabile adotta le misure tecniche e organizzative descritte nell’Allegato III per garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche.

b) Il Responsabile garantisce che le persone autorizzate a trattare i dati si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

c) Il Titolare resta responsabile della sicurezza della macchina su cui il software è installato, del proprio account cloud utilizzato per le copie di sicurezza, e delle credenziali di accesso. Il Responsabile non ha accesso a tale macchina.

6.5 Dati appartenenti a categorie particolari

Il trattamento non ha per oggetto dati di cui all’art. 9 GDPR né dati relativi a condanne penali o reati di cui all’art. 10 GDPR. Il software non è progettato per trattarli e il Titolare si impegna a non introdurne.

6.6 Documentazione e conformità

a) Le Parti sono in grado di dimostrare il rispetto delle presenti clausole.

b) Il Responsabile mette a disposizione del Titolare, su richiesta, tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR.

c) Il Responsabile consente e contribuisce alle revisioni delle attività di trattamento oggetto delle presenti clausole, a intervalli ragionevoli o in presenza di indizi di inosservanza. Nel decidere in merito a una revisione, il Titolare può tenere conto di certificazioni pertinenti in possesso del Responsabile.

d) Le revisioni sono svolte con ragionevole preavviso (almeno 30 giorni), non più di una volta l’anno salvo sospetto fondato di violazione, e senza compromettere la sicurezza o la riservatezza dei dati di altri clienti del Responsabile.

6.7 Cancellazione o restituzione dei dati

a) Alla cessazione del contratto, e su scelta del Titolare, il Responsabile cancella tutti i dati personali trattati per conto del Titolare, oppure li restituisce e cancella le copie esistenti, salvo obblighi di conservazione di legge.

c) La chiave di cifratura conservata dal Responsabile (v. Allegato II, trattamento n. 3) è cancellata alla cessazione del contratto, su richiesta del Titolare o decorsi 12 mesi dalla cessazione. Il Titolare è avvisato che, dopo tale cancellazione, il ripristino su una macchina nuova non è più possibile: è pertanto onere del Titolare conservare le proprie copie di sicurezza.

6.8 Ricorso a sub-responsabili

a) Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell’Allegato IV.

b) Il Responsabile informa specificamente e per iscritto il Titolare di eventuali modifiche previste dell’elenco, con preavviso di almeno 30 giorni, in modo da consentire al Titolare di opporsi prima del ricorso al nuovo sub-responsabile.

c) In caso di opposizione motivata, il Responsabile può proporre una soluzione alternativa; ove questa non sia praticabile, il Titolare può recedere dal contratto per la parte di servizio interessata, senza penali.

d) Il Responsabile impone al sub-responsabile, mediante contratto, gli stessi obblighi previsti dalle presenti clausole, e resta pienamente responsabile nei confronti del Titolare dell’adempimento da parte del sub-responsabile.

e) Su richiesta del Titolare, il Responsabile ne trasmette copia del contratto, con possibilità di oscurare le informazioni commerciali non pertinenti.

6.9 Trasferimenti internazionali

a) Qualsiasi trasferimento verso un paese terzo avviene esclusivamente per fornire il servizio e nel rispetto del Capo V del GDPR.

Clausola 7 — Assistenza al Titolare

7.1 Il Responsabile informa tempestivamente il Titolare di ogni richiesta ricevuta da un interessato, senza rispondervi salvo autorizzazione del Titolare.

7.2 Il Responsabile assiste il Titolare nell’adempimento degli obblighi di riscontro alle richieste di esercizio dei diritti degli interessati (artt. 15–22 GDPR).

7.3 Strumenti già disponibili nel software. Il Responsabile mette a disposizione funzioni che consentono al Titolare di dar seguito autonomamente alle richieste più frequenti, in particolare la cancellazione o anonimizzazione dei dati di una depositante direttamente dal programma.

7.4 Il Responsabile assiste inoltre il Titolare nel rispetto degli obblighi di cui agli artt. 32–36 GDPR.

Clausola 8 — Notifica di violazione dei dati personali

8.1 In caso di violazione riguardante dati trattati dal Responsabile, questi ne dà comunicazione al Titolare senza ingiustificato ritardo e comunque, ove possibile, entro 48 ore, indicando: natura della violazione (categorie e numero approssimativo di interessati e registrazioni); probabili conseguenze; misure adottate o proposte; punto di contatto.

8.2 Ove non sia possibile fornire tutte le informazioni contemporaneamente, esse sono trasmesse in fasi successive senza ulteriore ingiustificato ritardo.

8.3 In caso di violazione riguardante dati trattati dal Titolare, il Responsabile presta assistenza per la notifica.

8.4 La notifica all’autorità di controllo e agli interessati resta obbligo del Titolare.

Clausola 9 — Comunicazioni

Le comunicazioni avvengono per iscritto agli indirizzi indicati nell’Allegato I. Le comunicazioni via posta elettronica a tali indirizzi si considerano validamente effettuate.

Clausola 10 — Inosservanza e risoluzione

10.1 Il Titolare può risolvere il contratto, per la parte relativa al trattamento, qualora il Responsabile violi gli obblighi assunti e non vi ponga rimedio entro un termine ragionevole.

10.2 Il Responsabile può risolvere il contratto qualora il Titolare insista su istruzioni ritenute in contrasto con la normativa applicabile, dopo averlo informato.

10.3 Alla risoluzione si applica la Clausola 6.7.

Clausola 11 — Legge applicabile e foro competente

Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente il foro del luogo di residenza o domicilio del Titolare, se consumatore; negli altri casi il foro di Roma.

Allegato I — Le Parti

Responsabile del trattamento

Titolare del trattamento

Il Negozio che attiva il software, come identificato in fase di attivazione: denominazione, sede, P.IVA/C.F., email (che è anche l’identità dell’account) e codice negozio assegnato dal sistema (formato N0000).

Allegato II — Descrizione del trattamento

Categorie di interessati

Categorie di dati personali

Non sono trattati dati appartenenti alle categorie particolari (art. 9 GDPR) né dati giudiziari (art. 10 GDPR).

Natura e finalità del trattamento

1. Casella delle acquisizioni

Le fotografie dei capi e le letture dei codici QR scattate dal dispositivo dell’operatore transitano da un’area temporanea sul server del Responsabile, dalla quale il gestionale del Negozio le preleva.

Conservazione: il file è cancellato dal server subito dopo il prelievo. Le acquisizioni non prelevate sono cancellate a fine sessione di carico.

2. Invio di comunicazioni alla depositante

Verifica del recapito mediante codice usa-e-getta (OTP) via SMS, e invio delle comunicazioni di servizio: ricevuta di deposito, avviso di vendita, avviso di disponibilità del buono.

Conservazione: i log di consegna del fornitore, secondo la policy del sub-responsabile indicata nell’Allegato IV.

3. Custodia della chiave di cifratura

4. “L’Occhio” — valutazione automatizzata dello stato del capo (funzione facoltativa)

Su richiesta dell’operatore, la fotografia di un capo è trasmessa a un servizio di intelligenza artificiale che restituisce una valutazione dello stato di conservazione, a supporto della decisione del Negozio.

• La valutazione non produce effetti giuridici sulla depositante e non costituisce processo decisionale automatizzato ai sensi dell’art. 22 GDPR: la decisione di accettare o rifiutare il capo resta del Negozio, che può discostarsi dal responso.
• Il destinatario è indicato nell’Allegato IV.
• Conservazione: secondo la policy del sub-responsabile; i dati trasmessi non sono utilizzati per addestrare i modelli.

5. Gestione dell’account e assistenza

Dati del Negozio (non delle depositanti) necessari a fatturazione, licenza e assistenza. Per questi dati il Responsabile agisce quale autonomo Titolare: v. l’Informativa privacy di Riveste.

Ciò che il Responsabile NON tratta

Allegato III — Misure tecniche e organizzative (art. 32)

Misure tecniche

Misure organizzative

Allegato IV — Sub-responsabili autorizzati

Aggiornato al 27 luglio 2026. Le modifiche sono comunicate con preavviso di 30 giorni.

---