Accordo sul Trattamento dei Dati (DPA)

Il presente Accordo sul Trattamento dei Dati ("Accordo" o "DPA") è concluso tra Outzone Sagl ("Outzone", "noi") e l'Organizzatore registrato sulla piattaforma Outzone ("Organizzatore", "tu") e disciplina il trattamento dei dati personali degli Utenti che acquistano biglietti tramite la piattaforma Outzone per gli Eventi pubblicati dall'Organizzatore. Costituisce parte integrante e allegato dei Termini e Condizioni per Organizzatori ed è accettato unitamente ad essi.

Outzone e l'Organizzatore operano come titolari del trattamento autonomi e indipendenti, ciascuno per le proprie finalità. Il presente Accordo non è un mandato titolare-responsabile ai sensi dell'art. 28 GDPR / art. 9 nLPD: è un accordo di trasparenza e di ripartizione delle responsabilità tra titolari indipendenti che condividono dati personali tramite la piattaforma, redatto nello spirito dell'art. 26 GDPR e degli artt. 5 e 30–31 della Legge federale svizzera sulla protezione dei dati (nLPD, in vigore dal 01.09.2023) e della relativa Ordinanza (OPDa).

In caso di divergenza tra la versione italiana e quella inglese del presente Accordo, prevale la versione italiana.

1. Oggetto, ambito e definizioni

1.1 Oggetto e ambito

Il presente Accordo si applica ai dati personali degli Utenti acquirenti di biglietti che vengono condivisi, resi accessibili o altrimenti trattati tra Outzone e l'Organizzatore nel contesto della vendita di biglietti e della gestione degli Eventi tramite la piattaforma Outzone.

Il presente Accordo non disciplina:

• i dati che l'Organizzatore raccoglie direttamente dagli Utenti al di fuori della piattaforma (es. moduli, liste ospiti, comunicazioni dirette): per essi l'Organizzatore è titolare autonomo a tutti gli effetti;
• i dati di identificazione del commerciante / KYC dell'Organizzatore (identità, conto bancario, documenti), che sono trattati direttamente da Stripe in qualità di titolare/responsabile e non sono conservati da Outzone (Outzone conserva solo il riferimento all'account Stripe Connect collegato);
• i trattamenti che Outzone svolge nei confronti degli Utenti come titolare autonomo (account, feed, sicurezza), descritti nella Privacy Policy.

1.2 Definizioni

Si applicano le definizioni della nLPD e del GDPR. Inoltre:

• "Dati personali": qualsiasi informazione concernente una persona fisica identificata o identificabile (qui: gli Utenti acquirenti).
• "Trattamento": qualsiasi operazione compiuta su dati personali.
• "Interessato" / "Utente": la persona fisica che acquista un biglietto.
• "Titolare indipendente": ciascuna Parte che determina autonomamente, per proprie finalità, mezzi e modalità del trattamento.
• "Merchant of record" (esercente di riferimento): la parte sul cui conto Stripe è creato l'addebito, che compare sull'estratto conto dell'Utente, riceve il pagamento ed è responsabile di consegna, rimborsi, dispute e chargeback dell'Evento — sotto il modello adottato, l'Organizzatore.
• "Violazione dei dati personali": la violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso non autorizzato a dati personali.
• "Sub-responsabile": il terzo di cui Outzone si avvale per trattare dati personali per proprio conto e su propria istruzione.

2. Essenza dell'accordo e ruoli delle parti

2.1 Modello di pagamento (direct charges, Standard) e merchant of record

Outzone utilizza Stripe Connect con addebiti diretti su conti Standard. Per ogni biglietto a pagamento:

• l'addebito è creato direttamente sul conto Stripe dell'Organizzatore;
• l'Organizzatore è il venditore e il "merchant of record": il suo nome commerciale compare sull'estratto conto della carta dell'Utente, riceve il pagamento ed è responsabile della consegna dell'Evento, dei rimborsi, delle dispute e dei chargeback (inclusa l'eventuale inversione della commissione applicata);
• Outzone agisce come intermediario tecnico e facilitatore del pagamento e non detiene fondi degli acquirenti: tratteniamo unicamente una commissione di servizio (5% del prezzo del biglietto + CHF 0.50 per biglietto).

In ragione di tale modello, l'Organizzatore riceve dati identificativi dell'Utente (in particolare il nome dell'acquirente, visibile nel proprio cruscotto Stripe come merchant of record) e ne è titolare autonomo.

2.2 Essenza dell'accordo (ripartizione dei ruoli)

Outzone e l'Organizzatore sono titolari indipendenti, ciascuno per le proprie finalità. La tabella seguente sintetizza la ripartizione delle responsabilità ed è messa a disposizione degli Utenti tramite la Privacy Policy e i presenti documenti pubblici.

2.3 Punto di contatto unico per i diritti degli interessati

Pur essendo titolari indipendenti, le Parti designano info@outzone.app come punto di contatto unico verso cui gli Utenti possono indirizzare le richieste relative ai propri diritti. Outzone smista la richiesta alla Parte competente e coopera secondo la sez. 7. Ciò non priva l'Utente del diritto di rivolgersi a ciascuna Parte e all'autorità di controllo.

3. Categorie di interessati e di dati personali

3.1 Interessati

Gli Utenti che acquistano biglietti tramite la piattaforma Outzone per gli Eventi dell'Organizzatore.

3.2 Categorie di dati personali

Per ciascun biglietto, le categorie di dati condivise o accessibili sono:

• Dati identificativi: username e, per le vendite a pagamento, il nome dell'acquirente che l'Organizzatore riceve come merchant of record tramite Stripe (vedi sez. 2.1).
• Dati di contatto: indirizzo email associato alla ricevuta/al biglietto, ove applicabile.
• Dati del biglietto: identificativo univoco, tipologia, quantità, prezzo, valuta, eventuale IVA, data di acquisto, stato del check‑in.
• Eventuali dati aggiuntivi richiesti dall'Organizzatore e dichiarati nella scheda dell'Evento (es. esigenze di accessibilità), se e quando Outzone abilita tale raccolta.
• Segnalazioni di acquisto (purchase reports): testo libero inserito dall'Utente in caso di reclamo, che può contenere dati personali.

Carve‑out merchant of record. I dati della carta, l'IBAN e gli identificativi di pagamento sensibili non sono mai trasmessi all'Organizzatore: sono trattati esclusivamente da Stripe. Tuttavia, diversamente da un modello a pagamento intermediato dalla piattaforma, sotto il modello direct‑charges l'Organizzatore vede il nome dell'acquirente nel proprio cruscotto Stripe in quanto merchant of record, e ne risponde come titolare autonomo.

3.3 Dati che Outzone NON trasmette all'Organizzatore tramite la piattaforma

Per design, la vendita conservata da Outzone è priva di PII dell'acquirente (solo user_id; lo snapshot immutabile di vendita non contiene nome/email dell'acquirente). Outzone non trasmette all'Organizzatore, tramite la piattaforma, una lista nominativa di acquirenti: l'Organizzatore vede gli username dei partecipanti, le metriche aggregate (sez. 6) e — per le vendite a pagamento — il nome dell'acquirente tramite Stripe. Gli obblighi della sez. 5 si applicano ai dati che l'Organizzatore effettivamente riceve o esporta.

4. Finalità e basi giuridiche

4.1 Finalità di Outzone (titolare)

4.2 Finalità dell'Organizzatore (titolare)

L'Organizzatore non può trattare i dati ricevuti per finalità ulteriori e incompatibili con quelle sopra indicate.

5. Obblighi delle parti

5.1 Obblighi di Outzone

Outzone si impegna a:

• fornire agli Utenti un'informativa completa tramite la Privacy Policy;
• rendere accessibili all'Organizzatore solo i dati strettamente necessari alla gestione dell'Evento;
• adottare misure tecniche e organizzative adeguate (sez. 8) e ospitare i dati in Svizzera (sez. 9);
• avvalersi solo di sub-responsabili vincolati da obblighi adeguati (sez. 7) e notificarne le modifiche;
• cooperare con l'Organizzatore nell'esercizio dei diritti degli Utenti e nella gestione delle violazioni (sez. 7, 10);
• tenere il registro dei trattamenti ai sensi dell'art. 12 nLPD / art. 30 GDPR.

5.2 Obblighi dell'Organizzatore

L'Organizzatore, in qualità di titolare autonomo e di merchant of record, si impegna a:

• trattare i dati ricevuti esclusivamente per le finalità dichiarate (sez. 4.2) e in modo compatibile;
• non svolgere marketing diretto verso gli Utenti senza il consenso esplicito e separato dell'Utente, raccolto e documentato direttamente dall'Organizzatore;
• non cedere, vendere o condividere i dati con terzi non autorizzati, né incrociarli con database esterni per finalità diverse dalla gestione dell'Evento;
• adottare misure tecniche e organizzative adeguate al rischio (art. 8 nLPD / art. 32 GDPR);
• designare un Responsabile della protezione dei dati (RPD/DPO) ove richiesto dalla normativa applicabile — si noti che Responsabile della protezione dei dati (DPO) è figura distinta dal Responsabile del trattamento (processor);
• conservare i dati solo per il tempo necessario e per gli obblighi di legge, e cancellarli o anonimizzarli al termine, fatti salvi gli obblighi di conservazione (sez. 6);
• gestire rimborsi, dispute e chargeback in qualità di merchant of record, adottando una politica di rimborso e cancellazione conforme alla legge, come previsto nei Termini e Condizioni per Organizzatori e nei Termini di Vendita e Rimborso dei Biglietti;
• notificare a Outzone, senza ritardo, le violazioni che coinvolgano i dati ricevuti tramite la piattaforma (sez. 10);
• cooperare con Outzone e con gli Utenti nell'esercizio dei diritti (sez. 7);
• tenere il proprio registro dei trattamenti ove richiesto;
• manlevare Outzone secondo la sez. 11.

6. Conservazione e cancellazione

Ciascuna Parte conserva i dati per il tempo necessario alle proprie finalità e agli obblighi di legge. A titolo indicativo, per i dati oggetto del presente Accordo:

Alla cessazione del rapporto, ciascuna Parte cessa il trattamento per le finalità del rapporto e cancella o anonimizza i dati, fatti salvi gli obblighi legali di conservazione. Le clausole su riservatezza, responsabilità, trattamenti residui per obblighi di legge e legge applicabile sopravvivono alla cessazione.

7. Sub-responsabili e cooperazione sui diritti

7.1 Sub-responsabili di Outzone

Outzone si avvale dei seguenti sub-responsabili (trattano dati per conto e su istruzione di Outzone) e titolari indipendenti rilevanti per il flusso di biglietteria. L'elenco aggiornato è disponibile su richiesta a info@outzone.app.

7.2 Modifica dei sub-responsabili e diritto di obiezione

Outzone notifica all'Organizzatore le modifiche sostanziali all'elenco dei sub-responsabili con preavviso di 30 giorni, durante i quali l'Organizzatore può sollevare obiezioni motivate. In caso di obiezione ragionevole non risolvibile, l'Organizzatore può recedere dal rapporto secondo i Termini e Condizioni per Organizzatori.

7.3 Cooperazione sull'esercizio dei diritti

Gli Utenti hanno diritto di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso (nLPD / GDPR). Le Parti cooperano lealmente:

• una richiesta ricevuta da una Parte ma che richiede l'azione dell'altra è inoltrata entro 7 giorni all'altra Parte (o a info@outzone.app);
• le Parti rispondono all'Utente nei termini di legge (di norma entro 30 giorni).

8. Misure tecniche e organizzative

Le Parti adottano e mantengono misure adeguate al rischio (art. 8 nLPD / art. 32 GDPR), tra cui:

• cifratura in transito (TLS/HTTPS); cifratura a riposo ove appropriato;
• controllo degli accessi (autenticazione, principio del minimo privilegio, RBAC, tracciamento);
• backup e disaster recovery con test di ripristino;
• monitoraggio, logging e gestione degli incidenti;
• formazione del personale su privacy e sicurezza;
• verifiche periodiche di conformità.

Lato Outzone, in particolare: password protette con bcrypt, sessioni con JWT e refresh token revocabili, rate limiting e protezioni anti‑abuso, query parametrizzate, hosting esclusivamente in Svizzera con backup in Svizzera. I dati della carta non transitano mai per i server di Outzone (tokenizzazione lato Stripe).

L'Organizzatore garantisce misure adeguate alla natura dei dati che riceve e all'attività svolta, e le riesamina periodicamente.

9. Trasferimenti all'estero

I dati gestiti da Outzone sono ospitati in Svizzera (Infomaniak + MinIO self-hosted, con backup in Svizzera). Alcuni fornitori si trovano fuori dalla Svizzera. I Paesi di destinazione sono Svizzera (CH), Unione Europea/SEE e Stati Uniti (US).

• I flussi CH↔UE/SEE sono liberi grazie al riconoscimento reciproco di adeguatezza.
• Gli Stati Uniti non sono considerati adeguati in via generale ai sensi della nLPD. Per i fornitori statunitensi ci basiamo, ove disponibile, sulla certificazione Data Privacy Framework (DPF) UE‑USA e Svizzera‑USA; in mancanza, su Clausole contrattuali standard (SCC) con l'addendum svizzero (art. 16(2) nLPD / art. 46 GDPR).

L'Organizzatore garantisce analoghe protezioni per eventuali trasferimenti effettuati di propria iniziativa e ne informa Outzone.

10. Violazioni dei dati personali — cooperazione

Ciascuna Parte notifica all'altra ogni violazione che coinvolga i dati oggetto del presente Accordo senza ingiustificato ritardo e, ove possibile, entro 48 ore dalla scoperta. La notifica contiene, nella misura disponibile: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate/proposte.

Le Parti cooperano nella gestione della violazione e nelle eventuali notifiche all'autorità di controllo (IFPDT/FDPIC e, ove applicabile, l'autorità UE competente) e agli interessati, ai sensi della normativa applicabile (di norma entro 72 ore dalla scoperta per la notifica all'autorità competente, ove richiesta). Ciascuna Parte resta responsabile delle notifiche che le competono in qualità di titolare.

11. Responsabilità e manleva

Ciascuna Parte è responsabile delle proprie violazioni del presente Accordo, della nLPD e del GDPR, e risponde verso gli interessati per il trattamento di propria competenza.

Coerentemente con il suo ruolo di merchant of record, l'Organizzatore è responsabile in via esclusiva della consegna dell'Evento, dei rimborsi, delle dispute e dei chargeback, nonché del trattamento dei dati che riceve per tali finalità. L'Organizzatore manleva e tiene indenne Outzone da pretese, sanzioni, danni e costi (incluse spese legali ragionevoli) derivanti da:

• trattamento illecito o non conforme dei dati da parte dell'Organizzatore;
• uso dei dati per finalità diverse da quelle dichiarate;
• mancata adozione di misure di sicurezza adeguate;
• cessione non autorizzata dei dati a terzi;
• marketing diretto verso gli Utenti senza il loro consenso esplicito;
• mancata gestione di rimborsi/dispute/chargeback dell'Evento di cui è merchant of record.

Outzone è responsabile per il trattamento di propria competenza, nei limiti previsti dai Termini e Condizioni per Organizzatori. Nessuna disposizione del presente Accordo limita la responsabilità che la legge imperativa non consente di escludere.

12. Audit

Ciascuna Parte può richiedere all'altra, con preavviso ragionevole (di norma 30 giorni) e non più di una volta l'anno (salvo eventi imprevisti giustificati), informazioni e documentazione utili a verificare il rispetto del presente Accordo. Le verifiche si svolgono senza interferire con l'operatività e nel rispetto della riservatezza; ove giustificato, le Parti possono concordare audit di terzi indipendenti. I costi sono a carico della Parte richiedente, salvo che l'audit riveli violazioni significative, nel qual caso sono a carico della Parte verificata.

13. Durata, modifiche, legge e foro

13.1 Durata

Il presente Accordo entra in vigore con l'accettazione dei Termini e Condizioni per Organizzatori e ha durata pari al rapporto tra le Parti. Le clausole indicate nella sez. 6 sopravvivono alla cessazione.

13.2 Modifiche

Outzone può modificare il presente Accordo per riflettere mutamenti normativi, organizzativi o operativi. Le modifiche sostanziali sono comunicate con preavviso di 30 giorni; la prosecuzione dell'uso della piattaforma costituisce accettazione e, in caso di mancata accettazione, l'Organizzatore può recedere entro il termine di preavviso.

13.3 Legge applicabile e foro

Il presente Accordo è regolato dal diritto svizzero, fatte salve le disposizioni imperative del GDPR e della normativa a tutela degli interessati ove applicabili. Foro esclusivo: Lugano (Svizzera).

13.4 Autorità di controllo

• Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT/FDPIC/EDÖB), Feldeggweg 1, 3003 Berna — www.edoeb.admin.ch
• Unione Europea/SEE: l'autorità di controllo competente dello Stato membro di residenza dell'interessato.

Outzone Sagl · Via Grumo 31, 6929 Gravesano, Ticino, Svizzera · Sagl (CO art. 772 ss.) · capitale CHF 20'000 · CHE-251.077.155 (Registro di commercio del Canton Ticino) · Gerenti: Jornod Jeremy e Bovino Simone (firma individuale) info@outzone.app · www.outzone.app

Il presente DPA è allegato ai Termini e Condizioni per Organizzatori e va letto congiuntamente alla Privacy Policy, ai Termini di Vendita e Rimborso dei Biglietti e alle Linee guida della community.