Condizioni Generali di Contratto
Servizio SaaS TourOperate · Versione 1.0 · in vigore dal 21 settembre 2026
Indice
- 1. Definizioni
- 2. Oggetto del contratto
- 3. Ambito di applicazione: clienti professionali
- 4. Registrazione e Account
- 5. Prova gratuita
- 6. Corrispettivi, fatturazione e pagamenti
- 7. Durata, disdetta e recesso
- 8. Sospensione e risoluzione
- 9. Licenza d’uso e proprietà intellettuale
- 10. Dati del Cliente
- 11. Uso consentito del Servizio
- 12. Livelli di servizio, assistenza e manutenzione
- 13. Garanzie ed esclusioni
- 14. Limitazione di responsabilità
- 15. Manleva
- 16. Riservatezza
- 17. Modifiche alle Condizioni
- 18. Trattamento dei dati personali
- 19. Comunicazioni
- 20. Disposizioni finali
- 21. Legge applicabile e foro competente
- 22. Clausole espressamente approvate
- Allegato A: Accordo sul Trattamento dei Dati Personali (DPA)
- A.1 Ruoli e oggetto
- A.2 Obblighi del Fornitore (Responsabile)
- A.3 Misure di sicurezza
- A.4 Sub-responsabili
- A.5 Violazioni dei dati e trasferimenti extra-UE
- A.6 Sorte dei dati alla cessazione
- A.7 Obblighi del Cliente (Titolare)
- Allegato B: Misure di separazione e impegni di fiducia
- B.1 EnRoma.com come tenant ordinario
- B.2 Segregazione del personale di EnRoma.com
- B.3 Accesso del personale del Fornitore
- B.4 Divieto di uso commerciale
- B.5 Sanzione per la violazione
- B.6 Diritto di verifica del Cliente
Le presenti Condizioni Generali di Contratto (le «Condizioni») disciplinano la fornitura del prodotto software-as-a-service denominato TourOperate (il «Servizio») da parte di TU Italia S.r.l. (il «Fornitore»), con sede legale in Via Sommacampagna 9, 00185 Roma, Italia, partita IVA IT09802381005, REA RM-1190289, email info@touroperate.com, telefono 0039 393 4578504, a chiunque attivi un abbonamento al Servizio (il «Cliente»).
Le presenti Condizioni sono pubblicate e costantemente accessibili su questa pagina. Esse disciplinano l’abbonamento per il quale siano state accettate nell’ambito del processo di contrattazione con cui l’abbonamento stesso è sottoscritto. La consultazione di questo sito, o la sola creazione di un account, non costituisce di per sé accettazione e non integra di per sé l’approvazione specifica richiesta dall’art. 22. Per gli abbonamenti già in essere alla data sopra indicata, ogni modifica ha effetto con le modalità e nei termini di cui all’art. 17. Il Fornitore conserva le versioni delle Condizioni tempo per tempo vigenti.
L’Allegato A (Accordo sul Trattamento dei Dati Personali, DPA) e l’Allegato B (Misure di separazione e impegni di fiducia) costituiscono parte integrante e sostanziale delle presenti Condizioni.
1. Definizioni
Ai fini delle presenti Condizioni:
- “Servizio”: la piattaforma gestionale in modalità software-as-a-service denominata TourOperate, accessibile via web all’indirizzo indicato dal Fornitore, destinata alla gestione operativa di attività turistiche (a titolo esemplificativo: gestione di prenotazioni, calendari, risorse, guide e personale, manifesti partecipanti, comunicazioni operative e reportistica), nella versione e con le funzionalità del piano di abbonamento sottoscritto dal Cliente.
- “Account”: il profilo riservato del Cliente sul Servizio, comprensivo delle utenze attivate dal Cliente per i propri collaboratori (“Utenti Autorizzati”).
- “Dati del Cliente”: qualsiasi dato, contenuto o informazione caricato, inserito o generato nel Servizio dal Cliente o dai suoi Utenti Autorizzati, ivi inclusi i dati personali dei clienti finali del Cliente.
- “Piano”: la combinazione di funzionalità, limiti d’uso e corrispettivi sottoscritta dal Cliente, come descritta sul sito del Fornitore o nell’ordine.
- “Periodo di Fatturazione”: il periodo mensile o annuale, a seconda del Piano scelto, per il quale è dovuto il corrispettivo.
2. Oggetto del contratto
2.1 Il Fornitore concede al Cliente, per la durata del contratto e dietro pagamento del corrispettivo, il diritto non esclusivo e non trasferibile di accedere al Servizio e di utilizzarlo per le proprie finalità aziendali interne, secondo il Piano sottoscritto.
2.2 Il Servizio è uno strumento gestionale esclusivamente operativo. Restano espressamente esclusi dall’oggetto del contratto, e il Fornitore non li svolge per conto del Cliente né tramite il Servizio: (a) l’incasso, la gestione o l’intermediazione di pagamenti tra il Cliente e i suoi clienti finali; (b) la vendita, la rivendita o l’intermediazione dei servizi turistici del Cliente; (c) attività di agenzia di viaggio o di tour operating per conto del Cliente. Il Fornitore svolge una propria attività di tour operating tramite EnRoma.com, che utilizza il Servizio come Cliente ordinario ed è soggetta agli impegni di separazione di cui all’Allegato B. Il Cliente resta l’unico responsabile dei rapporti contrattuali, economici e normativi con i propri clienti finali.
2.3 Il Fornitore potrà aggiornare, migliorare o modificare le funzionalità del Servizio, purché senza ridurne in modo sostanziale le caratteristiche essenziali del Piano sottoscritto.
3. Ambito di applicazione: clienti professionali
3.1 Il Servizio è destinato esclusivamente a imprese e professionisti (B2B) che agiscono per scopi inerenti alla propria attività imprenditoriale o professionale. Sottoscrivendo l’abbonamento il Cliente dichiara di agire in tale qualità e di essere titolare di partita IVA o equivalente identificativo fiscale.
3.2 Non trovano pertanto applicazione le disposizioni del D.lgs. 206/2005 (Codice del Consumo), incluse quelle in materia di diritto di ripensamento.
4. Registrazione e Account
4.1 Per utilizzare il Servizio il Cliente deve creare un Account fornendo dati veritieri, completi e aggiornati.
4.2 Il Cliente è responsabile della custodia delle credenziali di accesso proprie e dei propri Utenti Autorizzati e di ogni attività compiuta tramite l’Account. Il Cliente si impegna a comunicare senza ritardo al Fornitore ogni uso non autorizzato dell’Account.
4.3 Il numero di Utenti Autorizzati può essere limitato in funzione del Piano sottoscritto.
5. Prova gratuita
5.1 Il Fornitore può offrire un periodo di prova gratuito del Servizio della durata indicata al momento dell’attivazione (la “Prova”).
5.2 Al termine della Prova, l’abbonamento si converte automaticamente nel Piano a pagamento selezionato e il relativo corrispettivo diviene dovuto, salvo che il Cliente annulli la conversione prima della scadenza della Prova tramite il canale con cui l’abbonamento è stato sottoscritto. Se l’abbonamento è stato sottoscritto tramite il Bókun App Store, la Prova e la successiva fatturazione sono gestite da Bókun e l’annullamento si effettua in quella sede. La data di scadenza della Prova è indicata nel canale che gestisce l’abbonamento. La disdetta può essere comunicata anche per iscritto ai sensi dell’art. 19.
6. Corrispettivi, fatturazione e pagamenti
6.1 I corrispettivi dei Piani sono indicati sul sito del Fornitore o nell’ordine e si intendono comprensivi di IVA, ove applicabile.
6.2 Il corrispettivo è dovuto in via anticipata per ciascun Periodo di Fatturazione (mensile o annuale, secondo il Piano scelto) ed è riscosso tramite il canale con cui l’abbonamento è stato sottoscritto. Se l’abbonamento è stato sottoscritto tramite il Bókun App Store, la fatturazione e il metodo di pagamento sono gestiti da Bókun secondo i propri termini, e il Fornitore non raccoglie né conserva i dati della carta di pagamento del Cliente.
6.3 Rinnovo automatico. Alla scadenza di ciascun Periodo di Fatturazione l’abbonamento si rinnova tacitamente per un periodo di pari durata, salvo disdetta ai sensi dell’art. 7.
6.4 Il Cliente si impegna a mantenere valido e capiente il metodo di pagamento registrato presso il canale che gestisce l’abbonamento. In caso di mancato o ritardato pagamento, il Fornitore potrà, previo avviso, sospendere l’accesso al Servizio ai sensi dell’art. 8 e applicare gli interessi moratori di cui al D.lgs. 231/2002.
6.5 Variazione dei prezzi. Il Fornitore può modificare i corrispettivi con preavviso scritto di almeno 30 (trenta) giorni. Le modifiche si applicano dal Periodo di Fatturazione successivo alla scadenza del preavviso. Se il Cliente non intende accettare la variazione, può recedere dal contratto con effetto dalla data di applicazione della variazione, dandone comunicazione entro tale data; in difetto, la variazione si intende accettata.
6.6 I corrispettivi pagati non sono rimborsabili, salvo quanto diversamente previsto dalle presenti Condizioni o da norme inderogabili.
6.7 Imposte. I corrispettivi si intendono comprensivi dell’IVA ove applicabile. Restano a carico del Cliente eventuali ulteriori imposte, tasse, dazi o ritenute previsti dalla normativa applicabile in relazione all’abbonamento, ad eccezione delle imposte sul reddito del Fornitore. Qualora il Cliente sia tenuto per legge a operare una ritenuta sui pagamenti dovuti al Fornitore, il corrispettivo sarà aumentato in misura tale da consentire al Fornitore di percepire l’importo netto che avrebbe ricevuto in assenza di ritenuta, e il Cliente fornirà tempestivamente la documentazione attestante il versamento della ritenuta.
7. Durata, disdetta e recesso
7.1 Il contratto decorre dall’attivazione dell’abbonamento (o dalla conversione della Prova) e ha durata pari al Periodo di Fatturazione, con rinnovo automatico ai sensi dell’art. 6.3.
7.2 Disdetta. Ciascuna parte può comunicare la disdetta in qualsiasi momento, senza alcun termine minimo di anticipo, purché la comunicazione sia ricevuta prima del rinnovo successivo; essa ha allora effetto dalla scadenza del Periodo di Fatturazione in corso. Il Cliente la esercita tramite il canale con cui l’abbonamento è stato sottoscritto (se si tratta del Bókun App Store, annullando lì l’abbonamento) oppure mediante comunicazione scritta ai sensi dell’art. 19. Il Cliente conserva l’accesso al Servizio fino alla scadenza del Periodo di Fatturazione già pagato; in caso di disinstallazione dell’integrazione da parte del Cliente, l’accesso operativo cessa nel momento in cui la disinstallazione ha effetto.
7.3 La disdetta non dà diritto al rimborso, neppure parziale, dei corrispettivi già pagati per il Periodo di Fatturazione in corso.
7.4 Restano salvi i diritti di recesso e risoluzione previsti dagli artt. 6.5, 8 e 17.
8. Sospensione e risoluzione
8.1 Il Fornitore può sospendere l’accesso al Servizio, previa comunicazione ove possibile, in caso di: (a) mancato pagamento non sanato entro 15 (quindici) giorni dal sollecito; (b) violazione dell’art. 11 (uso consentito); (c) rischi concreti per la sicurezza del Servizio o di terzi; (d) obblighi di legge o provvedimenti dell’autorità.
8.2 Il Fornitore può risolvere il contratto ai sensi dell’art. 1456 c.c., mediante comunicazione scritta, in caso di violazione degli artt. 3.1 (dichiarazione di qualità professionale), 6.4 (pagamenti, ove la sospensione si protragga oltre 30 giorni), 9 (licenza e proprietà intellettuale), 11 (uso consentito) e 16 (riservatezza).
8.3 Alla cessazione del contratto per qualsiasi causa: (a) il Cliente perde l’accesso al Servizio; (b) i Dati del Cliente sono gestiti secondo l’art. 10.4 e l’Allegato A; (c) restano dovuti i corrispettivi maturati.
9. Licenza d’uso e proprietà intellettuale
9.1 Il software, la piattaforma, la documentazione, i marchi e ogni altro materiale relativo al Servizio sono e restano di titolarità esclusiva del Fornitore o dei suoi licenzianti. Al Cliente è concesso esclusivamente il diritto d’uso di cui all’art. 2.1.
9.2 Salvo quanto consentito da norme inderogabili, il Cliente non può: copiare, modificare, decompilare o disassemblare il software; concederlo in sublicenza, noleggio o comunque a terzi; utilizzarlo per fornire servizi in service bureau o per sviluppare prodotti concorrenti.
9.3 Eventuali suggerimenti o feedback forniti dal Cliente potranno essere liberamente utilizzati dal Fornitore per migliorare il Servizio, senza obblighi verso il Cliente.
9.4 Referenze. Salvo diversa comunicazione scritta del Cliente, il Fornitore può citare il nome e il logo del Cliente tra le proprie referenze commerciali (ad esempio sul sito, nei materiali di marketing e negli elenchi clienti), nel rispetto delle indicazioni di utilizzo del marchio eventualmente fornite dal Cliente. Il Cliente può revocare tale autorizzazione in qualsiasi momento con comunicazione scritta.
10. Dati del Cliente
10.1 I Dati del Cliente sono e restano di titolarità del Cliente. Il Cliente concede al Fornitore una licenza limitata a ospitare, elaborare e trattare i Dati del Cliente al solo fine di erogare il Servizio e adempiere alle presenti Condizioni.
10.2 Il Cliente garantisce di disporre di ogni diritto, base giuridica e autorizzazione necessari per il caricamento e il trattamento dei Dati del Cliente nel Servizio, ivi inclusi i dati personali dei propri clienti finali, e manleva il Fornitore da ogni pretesa di terzi al riguardo.
10.3 Il Fornitore adotta misure tecniche e organizzative adeguate per la sicurezza dei Dati del Cliente, come descritte nell’Allegato A. Il Cliente può richiedere in qualsiasi momento l’esportazione dei Dati del Cliente; il Fornitore la fornisce con la propria assistenza, in formato standard leggibile da dispositivo automatico, entro un termine ragionevole.
10.4 Restituzione dei dati. Per 30 (trenta) giorni dalla cessazione del contratto il Cliente può richiedere l’esportazione dei Dati del Cliente in un formato standard leggibile da dispositivo automatico. Decorso tale termine, il Fornitore cancellerà i Dati del Cliente secondo quanto previsto dall’Allegato A, salvi gli obblighi di conservazione di legge.
10.5 Conservazione per obblighi di legge. Il Fornitore può conservare copia dei Dati del Cliente e dei dati contrattuali per il tempo e nei limiti necessari ad adempiere a obblighi di legge, contabili o fiscali, o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria, anche successivamente alla cessazione del contratto, trattandoli per le sole predette finalità.
11. Uso consentito del Servizio
11.1 Il Cliente si impegna a non utilizzare il Servizio per: (a) finalità illecite o in violazione di diritti di terzi; (b) caricare contenuti illeciti, diffamatori o lesivi; (c) trasmettere malware o compiere attacchi informatici; (d) inviare comunicazioni indesiderate (spam) in violazione della normativa applicabile; (e) effettuare scraping, accessi automatizzati non autorizzati o stress test senza consenso scritto del Fornitore; (f) aggirare limiti tecnici o di Piano.
11.2 Il Cliente è responsabile dell’uso del Servizio da parte dei propri Utenti Autorizzati.
11.3 Il Fornitore può rimuovere o rendere inaccessibili i Dati del Cliente che risultino manifestamente illeciti o in violazione del presente articolo, ovvero su richiesta dell’autorità, dandone comunicazione al Cliente ove possibile e consentito. Il Fornitore non è tenuto ad alcun controllo preventivo o generalizzato dei contenuti caricati dal Cliente.
12. Livelli di servizio, assistenza e manutenzione
12.1 Il Fornitore si impegna a erogare il Servizio con la diligenza professionale di cui all’art. 1176, comma 2, c.c. Il Servizio è erogato secondo il criterio del miglior sforzo, senza livelli minimi di disponibilità garantiti.
12.2 Non concorrono al calcolo della disponibilità: (a) le manutenzioni programmate, comunicate ove possibile con almeno 48 ore di anticipo e svolte preferibilmente in orari di minor utilizzo; (b) le manutenzioni urgenti di sicurezza; (c) i malfunzionamenti imputabili al Cliente, a terzi o a forza maggiore; (d) i disservizi di rete o di fornitori terzi non controllabili dal Fornitore.
12.3 L’assistenza è fornita nei canali e negli orari indicati sul sito del Fornitore, in funzione del Piano sottoscritto.
13. Garanzie ed esclusioni
13.1 Il Fornitore garantisce che il Servizio è realizzato a regola d’arte e in sostanziale conformità alla documentazione. Salvo quanto sopra, il Servizio è fornito “così com’è” e “come disponibile”, senza ulteriori garanzie, espresse o implicite, di idoneità a scopi particolari o di assenza assoluta di errori.
13.2 Il Cliente prende atto che il Servizio è uno strumento di supporto operativo: la correttezza dei dati inseriti, le decisioni gestionali e commerciali e l’adempimento degli obblighi normativi del settore turistico restano di esclusiva competenza e responsabilità del Cliente.
14. Limitazione di responsabilità
14.1 Salvo il caso di dolo o colpa grave, la responsabilità complessiva del Fornitore derivante da o connessa al contratto è limitata all’importo dei corrispettivi pagati dal Cliente nei 12 (dodici) mesi precedenti l’evento dannoso.
14.2 Salvo il caso di dolo o colpa grave, il Fornitore non risponde di danni indiretti o consequenziali, quali perdita di profitti, di avviamento, di opportunità commerciali o di dati (fermo restando quanto previsto dall’Allegato A per i dati personali).
14.3 Nulla nelle presenti Condizioni esclude o limita la responsabilità che non può essere esclusa o limitata per legge (art. 1229 c.c.).
15. Manleva
15.1 Il Cliente manleva e tiene indenne il Fornitore da ogni pretesa di terzi (inclusi i clienti finali del Cliente e le autorità) derivante da: (a) violazione delle presenti Condizioni da parte del Cliente o dei suoi Utenti Autorizzati; (b) Dati del Cliente e relativo trattamento a monte del caricamento nel Servizio; (c) violazione della normativa applicabile all’attività del Cliente.
16. Riservatezza
16.1 Ciascuna parte si impegna a mantenere riservate le informazioni confidenziali dell’altra parte di cui venga a conoscenza in esecuzione del contratto, a non divulgarle a terzi (salvo consulenti e collaboratori tenuti a riservatezza) e a utilizzarle solo ai fini del contratto, per tutta la durata dello stesso e per i 3 (tre) anni successivi.
16.2 Non sono considerate confidenziali le informazioni pubbliche, già note al ricevente, sviluppate in modo indipendente o la cui divulgazione sia imposta per legge o da autorità.
17. Modifiche alle Condizioni
17.1 Il Fornitore può modificare le presenti Condizioni, anche per adeguamenti normativi, tecnici od organizzativi, con preavviso scritto di almeno 30 (trenta) giorni tramite email o avviso nel Servizio.
17.2 Se la modifica è sostanzialmente peggiorativa, il Cliente può recedere dal contratto con effetto dalla data di efficacia della modifica, dandone comunicazione entro tale data. L’uso del Servizio successivo alla data di efficacia vale come accettazione.
18. Trattamento dei dati personali
18.1 In relazione ai dati personali contenuti nei Dati del Cliente, il Cliente agisce quale titolare del trattamento e il Fornitore quale responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), secondo quanto disciplinato dall’Allegato A (DPA). L’informativa relativa ai dati che il Fornitore tratta in qualità di titolare è pubblicata nell’informativa sulla privacy.
19. Comunicazioni
19.1 Le comunicazioni relative al contratto sono validamente effettuate: al Fornitore, via email a info@touroperate.com, che è l’indirizzo del Fornitore per le comunicazioni scritte ai sensi delle presenti Condizioni; al Cliente, all’indirizzo email associato all’Account o all’indirizzo indicato in fase di registrazione. Le comunicazioni operative possono avvenire anche tramite avvisi nel Servizio o tramite il canale che gestisce l’abbonamento. Il numero di telefono pubblicato dal Fornitore è un canale di contatto e non è un indirizzo per le comunicazioni di cui al presente articolo.
20. Disposizioni finali
20.1 Cessione. Il Cliente non può cedere il contratto senza consenso scritto del Fornitore. Il Fornitore può cedere il contratto nell’ambito di operazioni societarie straordinarie, dandone comunicazione al Cliente.
20.2 Forza maggiore. Nessuna parte è responsabile per inadempimenti dovuti a eventi al di fuori del proprio ragionevole controllo.
20.3 Nullità parziale. L’eventuale invalidità di singole clausole non travolge le restanti previsioni.
20.4 Intero accordo. Le presenti Condizioni, con i relativi allegati e l’ordine, costituiscono l’intero accordo tra le parti in relazione al Servizio e sostituiscono ogni precedente intesa.
20.5 Tolleranza. L’eventuale tolleranza di una parte a comportamenti dell’altra in violazione delle Condizioni non costituisce rinuncia ai diritti derivanti dalle previsioni violate.
21. Legge applicabile e foro competente
21.1 Il contratto è regolato dalla legge italiana.
21.2 Per ogni controversia derivante dal contratto o connessa allo stesso è competente in via esclusiva il Foro di Roma, salva la competenza inderogabile di legge.
22. Clausole espressamente approvate
Ai sensi e per gli effetti degli artt. 1341 e 1342 c.c., le seguenti clausole richiedono la specifica approvazione per iscritto del Cliente, da rendere nel processo di contrattazione con cui l’abbonamento è sottoscritto, ove tali articoli lo richiedano: art. 5.2 (conversione automatica della prova gratuita); art. 6.3 (rinnovo automatico); art. 6.5 (variazione dei prezzi); art. 6.6 (non rimborsabilità); art. 6.7 (imposte e ritenute); art. 7 (durata, disdetta e recesso); art. 8 (sospensione e clausola risolutiva espressa); art. 11.3 (rimozione dei contenuti); art. 13 (esclusioni di garanzia); art. 14 (limitazione di responsabilità); art. 15 (manleva); art. 17 (modifiche unilaterali delle Condizioni); art. 21.2 (foro esclusivo). La pubblicazione delle presenti Condizioni su questo sito, la consultazione di questa pagina o la sola creazione di un account non integrano tale approvazione.
Allegato A: Accordo sul Trattamento dei Dati Personali (DPA)
ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”)
Il presente Accordo (il “DPA”) è parte integrante delle Condizioni Generali di Contratto del Servizio TourOperate e disciplina il trattamento dei dati personali contenuti nei Dati del Cliente effettuato dal Fornitore per conto del Cliente.
A.1 Ruoli e oggetto
A.1.1 Il Cliente agisce quale Titolare del trattamento e il Fornitore quale Responsabile del trattamento ai sensi dell’art. 28 GDPR, in relazione ai dati personali contenuti nei Dati del Cliente.
A.1.2 Il trattamento ha ad oggetto i dati necessari all’erogazione del Servizio, per la durata del contratto oltre ai termini di cui all’art. A.6. Natura e finalità: operazioni effettuate con strumenti elettronici (raccolta, registrazione, conservazione, consultazione, estrazione, comunicazione al Cliente, cancellazione) al solo fine di fornire le funzionalità gestionali del Servizio.
A.1.3 Categorie di interessati: clienti finali/partecipanti, referenti e collaboratori del Cliente, guide e fornitori del Cliente. Categorie di dati: dati anagrafici e di contatto, dati di prenotazione e note operative inserite dal Cliente. Il Servizio non è destinato al trattamento sistematico di categorie particolari di dati (art. 9 GDPR) e non raccoglie né conserva dati di pagamento dei clienti finali.
A.2 Obblighi del Fornitore (Responsabile)
Il Fornitore si impegna a:
- a) trattare i dati solo su istruzione documentata del Cliente, quale risultante dal contratto, dal presente DPA e dall’uso del Servizio, salvo obblighi di legge;
- b) garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
- c) adottare le misure di sicurezza adeguate ai sensi dell’art. 32 GDPR (v. art. A.3);
- d) rispettare le condizioni per il ricorso a sub-responsabili (art. A.4);
- e) assistere il Cliente, con misure adeguate, nell’evasione delle richieste degli interessati (artt. 15-22 GDPR) e negli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica violazioni, DPIA), tenuto conto della natura del trattamento e delle informazioni a sua disposizione;
- f) informare senza ritardo il Cliente qualora un’istruzione violi la normativa sulla protezione dei dati;
- g) mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consentire audit e ispezioni svolti dal Cliente o da un revisore da esso incaricato, con preavviso ragionevole; di norma una volta l’anno, fermo restando ogni ulteriore audit richiesto dalla legge o da un’autorità di controllo, o conseguente a una violazione dei dati personali.
A.3 Misure di sicurezza
Il Fornitore adotta misure tecniche e organizzative adeguate al rischio, tra cui: controllo degli accessi basato su ruoli e principio del minimo privilegio; cifratura dei dati in transito (TLS) e a riposo; backup periodici e procedure di ripristino; separazione degli ambienti e aggiornamenti di sicurezza; istruzioni e formazione del personale autorizzato; procedura interna di gestione delle violazioni. Il Fornitore può aggiornare tali misure purché non ne riduca il livello complessivo di protezione.
A.4 Sub-responsabili
A.4.1 Il Cliente autorizza in via generale il ricorso a sub-responsabili per l’erogazione del Servizio (es. hosting/cloud, invio email di sistema). Il Fornitore informa il Cliente delle modifiche previste (aggiunta o sostituzione) con almeno 15 giorni di anticipo; il Cliente può opporsi per motivi legittimi e, in mancanza di soluzione alternativa, recedere senza penali. L’elenco aggiornato è pubblicato nell’informativa sulla privacy.
A.4.2 Il Fornitore impone a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile verso il Cliente del loro operato.
A.5 Violazioni dei dati e trasferimenti extra-UE
A.5.1 Il Fornitore comunica al Cliente ogni violazione dei dati personali senza ingiustificato ritardo da quando ne ha avuto conoscenza, fornendo le informazioni disponibili utili agli adempimenti del Cliente ai sensi degli artt. 33-34 GDPR.
A.5.2 Il database primario del Servizio è ospitato nell’Unione europea, nella regione di Francoforte. Alcuni dei sub-responsabili di cui all’art. A.4 sono stabiliti fuori dallo Spazio Economico Europeo, in particolare negli Stati Uniti, e i servizi di backup, supporto e accessori possono comportare trattamenti fuori dal SEE. Il Fornitore si impegna a che ciascun trasferimento di questo tipo sia coperto da uno strumento di trasferimento ai sensi del Capo V del GDPR (una decisione di adeguatezza ove applicabile, oppure clausole contrattuali tipo unitamente alle misure supplementari necessarie nel caso concreto), a mantenere documentate le garanzie applicabili a ciascun sub-responsabile e a fornirne al Cliente, su richiesta a info@touroperate.com, gli estremi e copia.
A.6 Sorte dei dati alla cessazione
Alla cessazione del contratto, su scelta del Cliente, il Fornitore restituisce i dati in formato standard leggibile da dispositivo automatico, con la propria assistenza su richiesta, e/o li cancella con le copie esistenti, salvi gli obblighi di conservazione di legge. In assenza di diversa richiesta entro 30 giorni dalla cessazione, il Fornitore procede alla cancellazione, fermi i backup, che sono mantenuti isolati e sovrascritti secondo i cicli ordinari.
Un limite va dichiarato con chiarezza: una email già consegnata non può essere richiamata o cancellata. La cancellazione riguarda le copie conservate dal Fornitore; la conservazione presso il fornitore di posta segue le politiche di quel fornitore, e la copia presente nella casella del destinatario resta permanentemente fuori dal controllo del Fornitore.
A.7 Obblighi del Cliente (Titolare)
Il Cliente garantisce di disporre di idonea base giuridica per i dati caricati nel Servizio, di aver reso agli interessati le informative dovute e che le istruzioni impartite al Fornitore sono conformi alla normativa applicabile. Ciascuna parte risponde dei danni nei limiti dell’art. 82 GDPR, fermo quanto previsto dall’art. 14 delle Condizioni salvo norme inderogabili.
Allegato B: Misure di separazione e impegni di fiducia
Premesse. Il Fornitore, TU Italia S.r.l., è titolare e gestore del Servizio TourOperate ed è al contempo titolare dell’attività di operatore turistico esercitata tramite EnRoma.com. Le parti danno atto che taluni Clienti del Servizio possono operare, in tutto o in parte, in concorrenza con EnRoma.com. Il presente Allegato B disciplina le misure organizzative, tecniche e contrattuali con cui il Fornitore assicura la separazione tra l’attività turistica di EnRoma.com e i Dati del Cliente, e costituisce parte integrante e sostanziale delle Condizioni. Limitatamente alle materie qui disciplinate, in caso di contrasto con le Condizioni prevale il presente Allegato.
B.1 EnRoma.com come tenant ordinario
B.1.1 EnRoma.com utilizza il Servizio esclusivamente come qualsiasi altro Cliente, mediante un Account ordinario, senza accessi privilegiati, viste estese, percorsi riservati o canali tecnici di accesso ai Dati di altri Clienti ulteriori rispetto a quelli disponibili a qualunque Cliente del medesimo Piano.
B.1.2 Nessuna funzionalità del Servizio consente a EnRoma.com di visualizzare, interrogare, esportare o altrimenti trattare i Dati di altri Clienti. Tale caratteristica è di natura architetturale e non meramente organizzativa.
B.2 Segregazione del personale di EnRoma.com
B.2.1 Il personale che svolge le attività operative turistiche di EnRoma.com non è autorizzato ad accedere ai Dati degli altri Clienti.
B.2.2 Gli accessi sono regolati mediante autorizzazioni nominative ai sensi dell’art. 29 GDPR e istruzioni scritte, con segregazione dei ruoli tra chi opera per l’attività turistica di EnRoma.com e chi eroga o mantiene il Servizio.
B.3 Accesso del personale del Fornitore
B.3.1 L’accesso ai Dati del Cliente da parte del personale di supporto, amministrazione di sistema e sicurezza del Fornitore è nominativo, autenticato, limitato a quanto strettamente necessario all’erogazione del Servizio o all’evasione di una richiesta del Cliente, registrato in appositi log e riesaminato periodicamente.
B.3.2 Il Fornitore non dichiara l’assenza assoluta di ogni accesso, bensì ne garantisce la tracciabilità, la limitazione al necessario e la riesaminabilità.
B.4 Divieto di uso commerciale
B.4.1 Il Fornitore non utilizza, e non consente a EnRoma.com né ad altre attività riconducibili a TU Italia S.r.l. di utilizzare, i Dati del Cliente o qualsiasi informazione da essi derivata per decisioni di prezzo, attività di marketing, vendita, posizionamento commerciale o qualunque altra finalità di natura concorrenziale.
B.4.2 Il divieto di cui al presente articolo si applica anche ai Dati trattati in forma aggregata, statistica o comunque derivata. Le parti danno atto che il carattere aggregato di un dato non ne comporta l’anonimizzazione.
B.5 Sanzione per la violazione
B.5.1 La violazione di uno qualsiasi degli impegni di cui agli articoli B.1-B.4 costituisce inadempimento grave. In tal caso il Cliente ha diritto, cumulativamente, a: (a) risolvere il contratto con effetto immediato ai sensi dell’art. 1456 c.c., mediante comunicazione scritta; (b) ottenere senza costi l’esportazione completa dei propri Dati in formato standard leggibile da dispositivo automatico; (c) il risarcimento del danno di cui provi di aver subito per effetto della violazione.
B.5.2 Le limitazioni ed esclusioni di responsabilità di cui all’art. 14 delle Condizioni non si applicano alle violazioni degli impegni di cui al presente Allegato B.
B.6 Diritto di verifica del Cliente
B.6.1 Su ragionevole richiesta del Cliente, il Fornitore mette a disposizione: (a) i log di accesso relativi al tenant del Cliente; (b) l’elenco aggiornato dei sub-responsabili del trattamento; (c) il punto di contatto designato dal Fornitore per le questioni di sicurezza e protezione dei dati, che è info@touroperate.com.
B.6.2 Il presente diritto si aggiunge, e non sostituisce, il diritto di audit di cui all’art. A.2, lett. g) dell’Allegato A.