Versione v2 · Ultimo aggiornamento 2026-08-20
1. Oggetto e ruoli
Il presente Accordo disciplina il trattamento dei dati personali che Revenue AI (Stark Academy, P.IVA 106401511212) effettua per conto del Cliente nell'ambito del servizio. Il Cliente agisce quale Titolare del trattamento; Revenue AI agisce quale Responsabile del trattamento ai sensi dell'art. 28 GDPR relativamente ai dati caricati dal Cliente (in particolare i dati relativi a prenotazioni e ospiti).
2. Natura, finalità e durata
Il trattamento ha ad oggetto l'erogazione del servizio di revenue management (importazione e analisi dello storico prenotazioni, elaborazione di indicatori e suggerimenti di prezzo). Ha la durata del rapporto contrattuale e cessa con la sua conclusione, fatti salvi gli obblighi di legge.
3. Categorie di interessati e di dati
Interessati: ospiti e clienti della struttura del Cliente. Dati: informazioni relative alle prenotazioni (date, importi, tariffe, occupazione) e agli eventuali riferimenti forniti dal Cliente in fase di importazione. Il Cliente si impegna a non caricare categorie particolari di dati (art. 9 GDPR) se non strettamente necessarie e lecite.
4. Istruzioni documentate
Revenue AI tratta i dati esclusivamente sulla base di istruzioni documentate del Cliente, quali risultanti dal contratto e dall'uso del servizio, salvo obblighi di legge, nel qual caso ne informerà il Cliente ove consentito.
5. Riservatezza
Il personale autorizzato al trattamento è vincolato ad un obbligo di riservatezza adeguato.
6. Misure di sicurezza (art. 32 GDPR)
Revenue AI adotta misure tecniche e organizzative adeguate, tra cui cifratura in transito, hashing delle password, controllo degli accessi basato sui ruoli, segregazione logica multi-tenant dei dati, registrazione degli eventi e procedure di backup e ripristino.
7. Sub-responsabili
Il Cliente autorizza in via generale il ricorso a sub-responsabili per l'erogazione del servizio, tra cui: il provider di hosting e infrastruttura cloud, il servizio di archiviazione file (object storage), Stripe (pagamenti), Resend (email), Anthropic e Google (elaborazioni di intelligenza artificiale) e Apify (raccolta di dati pubblici di mercato). Revenue AI impone ai sub-responsabili obblighi di protezione dei dati equivalenti e informa il Cliente di eventuali modifiche, dando la possibilità di opporsi per motivi legittimi.
8. Assistenza al Titolare
Revenue AI assiste il Cliente, nella misura ragionevole, nel dare seguito alle richieste degli interessati e nel garantire il rispetto degli obblighi in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto (DPIA) e consultazione preventiva.
9. Violazioni dei dati (data breach)
Revenue AI informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali, fornendo le informazioni ragionevolmente disponibili per consentire al Cliente gli adempimenti di legge.
10. Trasferimenti internazionali
Eventuali trasferimenti di dati verso Paesi terzi avvengono sulla base di garanzie adeguate, quali le Clausole Contrattuali Standard (SCC), e con misure supplementari ove necessario.
11. Cancellazione o restituzione dei dati
Al termine del servizio, a scelta del Cliente, Revenue AI cancella o restituisce i dati personali trattati per suo conto e cancella le copie esistenti, salvo obblighi di conservazione previsti dalla legge.
12. Audit
Revenue AI mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente, con ragionevole preavviso e modalità concordate, attività di verifica.