Nomina a Responsabile del trattamento (DPA) — TourGest

(ai sensi dell'art. 28 del Regolamento UE 2016/679 — GDPR)

TourGest — versione 1.0. Ultimo aggiornamento: 24 ott 2026.

Costituisce parte integrante delle Condizioni generali del servizio TourGest.

Tra

il Titolare del trattamento (di seguito "Titolare" o "Cliente"): l'azienda o il libero professionista che usa TourGest, come identificato con i dati inseriti dal Gestore al momento dell'accettazione;

e il Responsabile del trattamento (di seguito "Responsabile"): ROCKOPERA S.R.L. SEMPLIFICATA — Via Virgilio 112, 55049 Viareggio (LU) — C.F./P.IVA 02524490469 — REA LU-232629 — PEC rockopera@pec.it, in persona del legale rappresentante pro tempore Silvio Umberto Giusti.

1. Oggetto

1.1 Il Titolare usa TourGest per organizzare i propri tour e progetti. Nell'ambito del Servizio il Responsabile tratta dati personali per conto e su istruzione del Titolare.

1.2 Con il presente atto il Titolare nomina ROCKOPERA Responsabile del trattamento ai sensi dell'art. 28 GDPR.

2. Natura, finalità, durata e dati trattati

Finalità	erogazione del Servizio: archiviazione e consultazione dei dati dei progetti, invio di notifiche e email agli utenti, calcolo di distanze e tempi, lettura automatica delle conferme di volo su richiesta dell'utente, assistenza.
Durata	per tutta la durata del rapporto, più il periodo di conservazione previsto dalle Condizioni (art. 5.3).
Categorie di interessati	utenti del Servizio (componenti della squadra di lavoro); artisti, tecnici e collaboratori inseriti nei progetti; ospiti e destinatari di accrediti; referenti di locali, alberghi e fornitori.
Tipi di dati	dati anagrafici e di contatto (nome, cognome, email, telefono, ruolo); dati logistici (date e luoghi di lavoro, programma, assegnazione delle camere, prenotazioni, dati dei voli come nominativo del passeggero, numero di volo, orari, codice di prenotazione); contenuto di note e allegati caricati dal Titolare.
Categorie particolari (art. 9)	non previste. Se il Titolare le inserisce (ad esempio allergie o esigenze mediche nelle note) ne assume la responsabilità e la base giuridica.

3. Obblighi del Responsabile (art. 28.3)

Il Responsabile si impegna a:

a) trattare i dati solo su istruzione documentata del Titolare, incluse quelle del presente atto, salvo obblighi di legge;
b) garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
c) adottare le misure di sicurezza di cui all'art. 32 (Allegato B);
d) rispettare le condizioni per il ricorso a sub-responsabili (art. 4);
e) assistere il Titolare nel dare seguito alle richieste degli interessati;
f) assistere il Titolare negli obblighi di cui agli artt. 32-36 (sicurezza, violazioni, valutazione d'impatto);
g) al termine del rapporto, su scelta del Titolare, restituire o cancellare i dati secondo le Condizioni (art. 5.3), salvo obblighi di legge;
h) mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire verifiche, anche tramite un incaricato del Titolare, con ragionevole preavviso.

4. Sub-responsabili

4.1 Il Titolare autorizza il Responsabile ad avvalersi dei sub-responsabili dell'Allegato C.

4.2 Il Responsabile informa il Titolare di aggiunte o sostituzioni con ragionevole preavviso, dandogli modo di opporsi per motivi legittimi.

4.3 Il Responsabile impone ai sub-responsabili obblighi equivalenti e ne risponde nei confronti del Titolare.

5. Trasferimenti extra-UE

I trasferimenti fuori dall'UE avvengono nel rispetto degli artt. 44 e ss. GDPR, sulla base di garanzie adeguate (decisione di adeguatezza UE-USA per i fornitori aderenti al Data Privacy Framework, o Clausole Contrattuali Standard), come indicato nell'Allegato C.

6. Violazioni dei dati

Il Responsabile notifica al Titolare, senza ingiustificato ritardo dopo esserne venuto a conoscenza, ogni violazione di dati personali, con le informazioni utili per gli adempimenti degli artt. 33-34.

7. Accesso del personale del Responsabile

Gli amministratori del Responsabile possono accedere ai progetti del Titolare solo per assistenza richiesta, manutenzione, sicurezza e verifica del corretto funzionamento del Servizio.

8. Durata e disposizioni finali

Il presente atto ha efficacia per tutta la durata del rapporto. Per quanto non previsto si rinvia al GDPR. In caso di contrasto con le Condizioni in materia di protezione dei dati prevale il presente atto.

Allegato B — Misure di sicurezza (art. 32)

hosting e database in Italia (data center Aruba); trasmissione cifrata in HTTPS;
accesso con credenziali personali, password conservate in forma non reversibile (hash), autenticazione a due fattori disponibile, possibilità di disconnettere tutte le sessioni;
permessi per ruolo e per progetto: ogni utente vede solo i progetti a cui è abilitato; i controlli sono applicati lato server;
link di attivazione degli account firmati, con scadenza e utilizzabili una volta sola; nessuna password inviata per email;
link pubblici (calendario, report) protetti da chiave firmata;
allegati conservati in cartelle non accessibili direttamente via web;
segreti e credenziali di sistema fuori dal codice versionato;
registro degli accessi e delle accettazioni;
backup periodici.

Allegato C — Sub-responsabili

Sub-responsabile	Servizio	Ubicazione / trasferimento
Aruba S.p.A.	hosting, database, casella email per le conferme di volo	Italia (UE)
Brevo (Sendinblue SAS)	invio delle email del Servizio (inviti, avvisi)	UE
OneSignal, Google Firebase	notifiche push	USA (garanzie art. 44 e ss.)
Google (Maps, Calendar)	distanze e tempi di percorrenza, calendario	USA (garanzie art. 44 e ss.)
Anthropic PBC	lettura automatica delle email di conferma dei voli, solo quando l'utente la richiede	USA (garanzie art. 44 e ss.)
Stripe	pagamenti degli abbonamenti (dati del Cliente, non dei progetti)	USA (garanzie art. 44 e ss.)

Il calcolo degli indirizzi può usare anche servizi aperti (OpenStreetMap/Nominatim) e il meteo è fornito da Open-Meteo: a questi servizi si inviano solo località e indirizzi, non dati delle persone.

Il presente atto si intende accettato dal Titolare per via elettronica al primo accesso del Gestore, con registrazione di data, ora, versione e indirizzo IP, senza firma cartacea.