Documento legale
Accordo sul trattamento dei dati personali
ai sensi dell'art. 28 del Regolamento (UE) 2016/679
Ultimo aggiornamento: 12 ottobre 2026
Questo accordo fa parte dei termini di servizio e regola il trattamento dei dati personali che il Cliente (agenzia di viaggi, tour operator o professionista) svolge tramite Akiol. Il Cliente è titolare del trattamento; [Ragione sociale] (il «Fornitore») è responsabile del trattamento.
1. Oggetto, natura e finalità
Il Fornitore tratta i dati solo per erogare il Servizio: conservarli, mostrarli agli utenti del Cliente, elaborarli con le funzioni richieste dagli utenti (lettura di documenti, preparazione di preventivi e contratti, invio di email e promemoria, rendiconti), farne copie di sicurezza e prestare assistenza. Il trattamento dura quanto il contratto, più il periodo di cancellazione del punto 9.
2. Interessati e dati
- Interessati: clienti e potenziali clienti del Cliente, viaggiatori e partecipanti indicati nelle pratiche, referenti di fornitori e tour operator, utenti del Cliente.
- Dati: anagrafici e di contatto; data e luogo di nascita, codice fiscale; estremi dei documenti di viaggio quando inseriti; dettagli dei viaggi, preventivi, contratti e firme elettroniche; corrispondenza; importi, scadenze e stato dei pagamenti; preferenze di viaggio e consensi marketing.
- Categorie particolari: il Servizio non è progettato per trattarle. Se il Cliente vi inserisce dati relativi alla salute (ad esempio esigenze di assistenza o alimentari), lo fa sotto la propria responsabilità e con un'idonea base giuridica.
3. Istruzioni del titolare
Il Fornitore tratta i dati solo su istruzione documentata del Cliente, che consiste in questo accordo, nei termini di servizio e nelle azioni compiute dagli utenti nel Servizio. Se ritiene che un'istruzione violi la normativa, ne informa subito il Cliente.
4. Riservatezza
Il Fornitore autorizza al trattamento solo le persone che ne hanno bisogno per erogare il Servizio o prestare assistenza, vincolate alla riservatezza e istruite sul trattamento. Il Fornitore accede ai dati del Cliente solo quando serve a risolvere un problema segnalato o a garantire la sicurezza del Servizio.
5. Misure di sicurezza (art. 32)
- Connessioni cifrate (HTTPS) fra browser e server.
- Password degli utenti conservate solo come hash; blocco dopo ripetuti accessi falliti.
- Credenziali di servizi esterni (caselle email, chiavi API) conservate cifrate.
- Ruoli e permessi per utente; le operazioni più delicate riservate al titolare dell'account.
- Registro delle operazioni sulle pratiche e degli accessi.
- Copie di sicurezza periodiche e procedure di ripristino.
- Aggiornamenti periodici del software e delle sue dipendenze.
6. Sub-responsabili
Il Cliente autorizza in via generale il Fornitore ad avvalersi dei sub-responsabili elencati sotto. Il Fornitore impone loro obblighi di protezione dei dati equivalenti a quelli di questo accordo e ne risponde verso il Cliente. Prima di aggiungere o sostituire un sub-responsabile, il Fornitore avvisa il Cliente con almeno 15 giorni di anticipo; il Cliente può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, recedere senza penali.
| Sub-responsabile | Sede | Attività | Dati | Garanzia di trasferimento |
|---|---|---|---|---|
| Hostinger International Ltd | Cipro (UE) | Hosting dell'applicazione, database, copie di sicurezza, server di posta in uscita | Tutte le categorie | Nessun trasferimento extra-UE |
| Anthropic, PBC | Stati Uniti | Lettura di documenti e proposte di testo con intelligenza artificiale | Testi e documenti inviati alla funzione AI | EU-U.S. Data Privacy Framework / clausole contrattuali standard |
| OpenAI, L.L.C. / OpenAI Ireland Ltd | Stati Uniti / Irlanda | Lettura di documenti e proposte di testo con intelligenza artificiale (in alternativa al precedente) | Testi e documenti inviati alla funzione AI | EU-U.S. Data Privacy Framework / clausole contrattuali standard |
| [Fornitore del servizio TypeSafe] | [Paese] | Classificazione dei messaggi per decidere se serve una lettura AI (solo se attivato) | Testi dei messaggi | [Garanzia di trasferimento] |
Le funzioni di intelligenza artificiale inviano al fornitore solo il testo o il documento necessario alla singola richiesta, e i fornitori indicati non usano i dati ricevuti tramite le loro API per addestrare i propri modelli. Quando il Cliente collega la propria casella Gmail o IMAP, il proprio Google Calendar o il proprio sito, quei servizi restano fornitori del Cliente, regolati dai suoi contratti con loro. I servizi di immagini (Unsplash, Pexels) ricevono solo parole di ricerca sulla destinazione, mai dati personali.
7. Assistenza al titolare
Il Fornitore assiste il Cliente, per quanto possibile con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità), nella valutazione d'impatto e nella consultazione preventiva, quando necessarie. Le richieste degli interessati arrivate al Fornitore vengono inoltrate al Cliente senza ritardo.
8. Violazioni dei dati
Il Fornitore comunica al Cliente ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, con le informazioni disponibili sulla natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le conseguenze probabili e le misure adottate o proposte, così che il Cliente possa notificarla al Garante entro 72 ore se dovuto (art. 33).
9. Restituzione e cancellazione
Al termine del contratto il Cliente può esportare i propri dati per 30 giorni. Poi il Fornitore li cancella dai sistemi attivi e, entro i successivi 90 giorni, dalle copie di sicurezza, salvo che la legge ne imponga la conservazione. Su richiesta, il Fornitore conferma per iscritto l'avvenuta cancellazione.
10. Verifiche
Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un revisore incaricato dal Cliente e vincolato alla riservatezza, con un preavviso di almeno 30 giorni, nell'orario di lavoro e senza compromettere la sicurezza degli altri clienti. I costi della verifica sono del Cliente, salvo che emerga una violazione rilevante.
11. Registro e contatti
Il Fornitore tiene il registro delle attività di trattamento svolte per conto dei clienti (art. 30.2). Per ogni comunicazione relativa a questo accordo: [email per la privacy] — PEC [indirizzo PEC].