Accordo sul trattamento dei dati personali

Ultimo aggiornamento: 27 ottobre 2026 — ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”)

Parti e ambito

Il presente Accordo sul trattamento dei dati (“Accordo”) è parte integrante dei Termini di Servizio di Rewaloop ed è accettato dal Locale insieme ai Termini, al momento della sottoscrizione dell’abbonamento. Regola il trattamento dei dati personali dei clienti finali che SouthStudio svolge per conto del Locale.

Titolare del trattamento: il Locale (o Gestore) che sottoscrive un Piano Rewaloop.
Responsabile del trattamento: SouthStudio®, ovvero South Studio di Gaetano Ciannarella, Viale Cassala 30, 20143 Milano (MI), P.IVA 08315050727, info@rewaloop.it (“SouthStudio”).

In caso di contrasto tra i Termini e il presente Accordo, per quanto riguarda il trattamento dei dati personali prevale l’Accordo.

Oggetto, durata, natura e finalità del trattamento

SouthStudio tratta i dati dei clienti finali al solo scopo di fornire al Locale la Piattaforma Rewaloop, in particolare per:

conservare i dati delle carte fedeltà e i relativi movimenti (punti, timbri, premi);
generare e aggiornare i pass digitali per Apple Wallet e Google Wallet;
inviare ai clienti finali le email di servizio (link alla carta, recupero del link);
recapitare sulle carte gli avvisi e le promozioni del Locale, ai clienti che non li hanno disattivati, e i messaggi previsti dalle funzioni attivate dal Locale (bonus di compleanno, regalo di benvenuto all’iscrizione, promemoria automatici ai clienti che non tornano da un periodo scelto dal Locale);
calcolare, in forma aggregata, i risultati degli avvisi (quanti clienti tornano nel Locale nei giorni successivi rispetto al solito) e le statistiche delle carte;
mostrare al Locale, tramite app e pannello, i dati e le statistiche delle carte; ai dipendenti del Locale sono mostrati solo i dati necessari al servizio in cassa (nome, codice e saldo della carta, movimenti), senza email, telefono, data di nascita e statistiche;
eseguire backup, manutenzione e misure di sicurezza.

Il trattamento dura per tutta la durata del contratto tra il Locale e SouthStudio, e per il periodo successivo strettamente necessario alla restituzione e cancellazione dei dati descritte più sotto.

Tipi di dati e categorie di interessati

Interessati: i clienti finali che si iscrivono alla carta fedeltà del Locale.

Dati: nome e cognome, indirizzo email, numero di telefono (facoltativo), data di nascita (facoltativa), codice della carta, movimenti della carta con data e ora, eventuale disattivazione di avvisi e promozioni, dati tecnici del pass digitale e dei dispositivi su cui è installato (identificativi per l’aggiornamento del pass). Non sono trattate categorie particolari di dati (art. 9 GDPR) né dati di posizione dei clienti.

Obblighi del Titolare

Il Locale, come Titolare:

è responsabile della liceità del trattamento verso i propri clienti e delle finalità per cui usa la carta fedeltà;
fornisce dati corretti e aggiornati sul titolare del trattamento (ragione sociale, partita IVA, sede, contatto privacy), che SouthStudio usa per generare l’informativa privacy del Locale collegata alla pagina di iscrizione; il Locale verifica che l’informativa sia adeguata alla propria attività e chiede le eventuali modifiche;
invia avvisi e promozioni solo tramite la funzione della Piattaforma, che li recapita ai soli clienti che non li hanno disattivati;
risponde alle richieste dei propri clienti relative ai loro diritti.

Obblighi del Responsabile

SouthStudio si impegna a:

trattare i dati solo su istruzione documentata del Locale, che consiste nell’uso delle funzioni della Piattaforma e nei presenti Termini e Accordo, salvo obblighi di legge; se ritiene che un’istruzione violi la normativa, ne informa il Locale;
garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
adottare le misure di sicurezza descritte più sotto (art. 32 GDPR);
non usare i dati dei clienti finali per finalità proprie né cederli a terzi;
assistere il Locale, per quanto possibile con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) e inoltrargli senza ritardo quelle ricevute direttamente;
assistere il Locale negli adempimenti di sicurezza, nella notifica delle violazioni e nelle eventuali valutazioni d’impatto, tenuto conto della natura del trattamento e delle informazioni disponibili.

Misure di sicurezza

connessioni cifrate (HTTPS/TLS) tra pagine di iscrizione, app, pannello e server;
separazione logica dei dati di ciascun Locale: ogni account accede solo ai dati del proprio Locale;
credenziali personali per titolare e dipendenti, con accesso all’app tramite password dedicate e possibilità di blocco con Face ID o impronta;
accesso ai sistemi limitato al personale autorizzato di SouthStudio;
protezioni contro le iscrizioni automatiche e gli abusi delle pagine pubbliche;
backup periodici e aggiornamenti di sicurezza del software.

Sub-responsabili

Il Locale autorizza SouthStudio ad avvalersi dei seguenti sub-responsabili, ai quali sono imposti obblighi di protezione dei dati equivalenti a quelli del presente Accordo:

Netsons — hosting della Piattaforma e invio delle email di servizio, su server situati nell’Unione Europea;
Apple (Apple Inc. e società collegate) — Apple Wallet e servizio di notifiche per l’aggiornamento dei pass, per i clienti che aggiungono la carta ad Apple Wallet;
Google (Google LLC e Google Ireland Ltd.) — Google Wallet, per i clienti che aggiungono la carta a Google Wallet, e servizi di notifica Android dell’app;
Expo (650 Industries, Inc.) — invio delle notifiche push dell’app Rewaloop al titolare e ai dipendenti del Locale (ad esempio l’avviso di una nuova iscrizione, che può contenere il nome del cliente).

SouthStudio comunica al Locale, con almeno 30 giorni di preavviso via email, l’aggiunta o la sostituzione di un sub-responsabile. Il Locale può opporsi per motivi fondati legati alla protezione dei dati; se non si trova una soluzione, il Locale può recedere dal contratto senza penali prima dell’entrata in vigore della modifica.

Trasferimenti fuori dall’Unione Europea

Alcuni sub-responsabili (Apple, Google, Expo) possono trattare dati negli Stati Uniti. Il trasferimento avviene sulla base del Data Privacy Framework UE-USA, ove applicabile, o delle Clausole Contrattuali Standard approvate dalla Commissione Europea.

Violazioni dei dati personali

SouthStudio informa il Locale senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di qualsiasi violazione dei dati personali che riguardi i clienti finali del Locale, fornendo le informazioni disponibili previste dall’art. 33 GDPR (natura della violazione, categorie e numero approssimativo di interessati e di dati, probabili conseguenze, misure adottate o proposte), così da permettere al Locale di effettuare le notifiche di sua competenza.

Restituzione e cancellazione dei dati

Se il titolare elimina l’account dall’app, prima della cancellazione SouthStudio invia al suo indirizzo email l’esportazione dei dati delle carte in formato strutturato (file CSV con l’elenco dei clienti finali e lo storico dei movimenti) e subito dopo cancella dalla Piattaforma i dati dei clienti finali del Locale. Negli altri casi di cessazione del contratto, il Locale può chiedere entro 30 giorni l’esportazione dei dati delle proprie carte in un formato strutturato; trascorso tale termine, SouthStudio cancella i dati dei clienti finali del Locale entro i successivi 30 giorni, salvo che la legge ne imponga la conservazione. Le copie di backup vengono sovrascritte secondo il normale ciclo di rotazione, entro 90 giorni.

Durante il contratto, il Locale può eliminare in ogni momento le singole carte dall’app; i clienti possono chiedere la cancellazione dei propri dati al Locale o a info@rewaloop.it.

Verifiche

SouthStudio mette a disposizione del Locale le informazioni necessarie a dimostrare il rispetto del presente Accordo. Il Locale può svolgere, direttamente o tramite un revisore vincolato alla riservatezza, verifiche documentali con un preavviso di almeno 30 giorni, non più di una volta l’anno salvo violazioni accertate, a proprie spese e senza accesso ai dati di altri Locali.

Responsabilità e contatti

La responsabilità delle parti per il trattamento dei dati è regolata dall’art. 82 GDPR e, nei limiti consentiti dalla legge, dai Termini di Servizio. Per qualsiasi comunicazione relativa al presente Accordo: info@rewaloop.it — SouthStudio® — www.southstudio.it