Accordo sul trattamento dei dati

Ultimo aggiornamento: 28/09/2026

Il presente Accordo sul trattamento dei dati (il «DPA») è concluso tra il circolo che sottoscrive CtrlCourt (il «Circolo», in qualità di titolare del trattamento) e DEVBOX (il «Responsabile del trattamento»), ai sensi dell'articolo 28 del Regolamento generale sulla protezione dei dati (GDPR).

1. Parti e accettazione

Il Responsabile del trattamento è:

Il presente DPA costituisce parte integrante delle Condizioni generali di utilizzo e di vendita. È accettato in forma elettronica dal Circolo al momento della creazione del suo account, unitamente alle Condizioni, e si applica per tutto il tempo in cui il Responsabile del trattamento tratta dati personali per conto del Circolo.

2. Oggetto

Il presente DPA stabilisce le condizioni alle quali il Responsabile del trattamento tratta dati personali per conto del Circolo al fine di fornire il servizio CtrlCourt (il «Servizio»). Non riguarda i dati per i quali il Responsabile del trattamento agisce in qualità di titolare (account, abbonamento e fatturazione del Circolo), disciplinati dall'Informativa sulla privacy.

3. Durata

Il presente DPA si applica per tutta la durata dell'utilizzo del Servizio da parte del Circolo (prova e abbonamento) e fino alla cancellazione o alla restituzione dei dati ai sensi dell'articolo 11.

4. Natura e finalità del trattamento

Il trattamento consiste nell'hosting, nella conservazione, nell'organizzazione, nella consultazione, nella modifica, nella visualizzazione e nella cancellazione dei dati tramite il Servizio, nonché nell'invio di e-mail transazionali, per le seguenti finalità:

• gestione degli account di giocatori, maestri e personale;
• prenotazioni dei campi, lezioni e corsi, eventi e tornei;
• gestione dei crediti prepagati e registrazione dei metodi di pagamento scelti dal Circolo;
• invio di e-mail di servizio (conferme e promemoria delle prenotazioni, reimpostazione della password);
• statistiche a uso esclusivo del Circolo;
• assistenza, manutenzione e sicurezza del Servizio.

5. Categorie di interessati e di dati

Interessati: i giocatori e i soci del Circolo, i maestri, il personale e gli amministratori che utilizzano lo spazio del Circolo.

Categorie di dati:

• dati identificativi e di contatto: nome, indirizzo e-mail, numero di telefono;
• dati dell'account: password (cifrata con hash), ruolo, lingua, livello di gioco facoltativo;
• dati di attività: prenotazioni, presenze, iscrizioni ai corsi, iscrizioni agli eventi;
• dati economici relativi al circolo: saldo e movimenti dei crediti, importi e metodi di pagamento registrati dal Circolo (nessun dato di carte di pagamento);
• per i maestri: disponibilità, biografia, tariffa oraria;
• dati tecnici: indirizzo IP, log di connessione e di sicurezza.

Il Servizio non è progettato per trattare categorie particolari di dati (salute, ecc.). Il Circolo si impegna a non inserirvi tali dati.

6. Obblighi del Circolo

Il Circolo, in qualità di titolare del trattamento, è responsabile: della liceità del trattamento e della relativa base giuridica; dell'informazione degli interessati; dell'esattezza dei dati che inserisce; della risposta alle richieste degli interessati; e delle istruzioni che impartisce al Responsabile del trattamento. Le sue istruzioni sono documentate dalle Condizioni, dal presente DPA e dalle impostazioni che applica nel Servizio.

7. Obblighi del Responsabile del trattamento

Il Responsabile del trattamento si impegna a:

• Istruzioni: trattare i dati soltanto su istruzione documentata del Circolo, anche in caso di trasferimenti, salvo che lo richieda la legge; in tal caso, ne informa preventivamente il Circolo, a meno che la legge non lo vieti. Informa il Circolo qualora ritenga che un'istruzione violi le norme sulla protezione dei dati.
• Riservatezza: garantire che le persone autorizzate al trattamento dei dati siano vincolate da un obbligo di riservatezza e vi accedano solo se necessario.
• Sicurezza: adottare le misure tecniche e organizzative richieste dall'articolo 32 del GDPR, descritte all'articolo 8.
• Sub-responsabili: rispettare le condizioni dell'articolo 9.
• Diritti degli interessati: assistere il Circolo, nella misura del possibile, nel dare seguito alle richieste di esercizio dei diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione), in particolare tramite le funzionalità del Servizio o fornendo un'esportazione su richiesta. Se un interessato si rivolge direttamente al Responsabile del trattamento, questi trasmette senza ritardo la richiesta al Circolo e non vi risponde direttamente, salvo istruzione del Circolo.
• Assistenza: assistere il Circolo, tenendo conto delle informazioni a sua disposizione, nell'adempimento dei suoi obblighi di sicurezza, nelle valutazioni d'impatto e nella consultazione preventiva dell'autorità di controllo, ove richiesta.
• Violazioni: notificare al Circolo qualsiasi violazione dei dati personali entro 48 ore dal momento in cui ne è venuto a conoscenza, fornendo le informazioni disponibili (natura della violazione, categorie e numero approssimativo di persone interessate, probabili conseguenze, misure adottate o proposte), e integrarle man mano che nuove informazioni si rendono disponibili.
• Registro: tenere un registro delle attività di trattamento svolte per conto del Circolo.
• Trasparenza: mettere a disposizione del Circolo le informazioni necessarie a dimostrare il rispetto del presente DPA (articolo 10).

8. Misure di sicurezza

• cifratura delle comunicazioni (HTTPS);
• un database separato per ogni circolo, che isola i suoi dati da quelli degli altri circoli;
• password conservate in forma cifrata con hash, mai in chiaro;
• backup regolari dei database;
• controllo degli accessi basato sui ruoli all'interno del Servizio (amministratore, maestro, giocatore);
• accesso ai sistemi di produzione limitato alle persone autorizzate;
• hosting in data center situati in Francia (OVH SAS), con sicurezza fisica garantita dal fornitore di hosting;
• log di sicurezza e aggiornamento dei componenti software.

Il Responsabile del trattamento può modificare tali misure a condizione che il livello complessivo di sicurezza non sia ridotto.

9. Sub-responsabili

Il Circolo concede la propria autorizzazione generale al ricorso ai seguenti sub-responsabili:

Paddle.com tratta esclusivamente la vendita e il pagamento dell'abbonamento del Circolo, in qualità di Merchant of Record e di titolare autonomo del trattamento; non riceve i dati dei giocatori e pertanto non è un sub-responsabile ai sensi del presente DPA. Quando il Circolo attiva il pagamento online delle prenotazioni, CtrlCourt trasmette, su istruzione del Circolo, le informazioni necessarie al pagamento (importo, e-mail del giocatore) al conto Stripe del Circolo stesso: Stripe agisce quindi per conto del Circolo, nell'ambito del contratto che il Circolo ha concluso direttamente con Stripe.

Il Responsabile del trattamento informa il Circolo di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile, via e-mail o nell'area di amministrazione, con almeno 30 giorni di preavviso. Il Circolo può opporsi per motivi ragionevoli attinenti alla protezione dei dati; in assenza di una soluzione, il Circolo può risolvere il proprio abbonamento prima che la modifica abbia effetto. Il Responsabile del trattamento impone a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile nei confronti del Circolo del loro adempimento. Qualsiasi trasferimento al di fuori dello Spazio economico europeo è soggetto a garanzie adeguate (in particolare le clausole contrattuali tipo della Commissione europea).

10. Audit

Il Circolo può richiedere le informazioni necessarie a verificare il rispetto del presente DPA. Qualora tali informazioni non siano sufficienti, il Circolo può effettuare un audit, a proprie spese, non più di una volta all'anno, con un preavviso scritto di almeno 30 giorni, direttamente o tramite un revisore indipendente vincolato alla riservatezza, secondo modalità che non perturbino il Servizio né compromettano la sicurezza o la riservatezza dei dati degli altri circoli. Gli audit dei sub-responsabili sono effettuati tramite le certificazioni e i rapporti che questi mettono a disposizione.

11. Fine del trattamento

Alla fine dell'abbonamento, il Circolo può richiedere un'esportazione dei propri dati entro il termine indicato di seguito. I dati sono quindi cancellati 30 giorni dopo la fine dell'abbonamento (o di una prova non convertita), compreso il database del Circolo, fatta salva la conservazione imposta dalla legge; i backup vengono sovrascritti nel loro normale ciclo di rotazione. Il Responsabile del trattamento conferma la cancellazione su richiesta.

12. Responsabilità e prevalenza

La responsabilità di ciascuna parte è disciplinata dalle Condizioni generali di utilizzo e di vendita, fatte salve le disposizioni del GDPR. In caso di contrasto tra il presente DPA e le Condizioni in materia di dati personali, prevale il presente DPA.

13. Contatti

Per qualsiasi domanda relativa al presente DPA o per segnalare un incidente: contact@ctrlcourt.com.