DUBHCORE — Data Processing Agreement (DPA)

Accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR

Versione 1.0 — Data: 30 agosto 2026 — Versione finale Si applica quando lo Studio/Professionista è Titolare e DUBHCORE è Responsabile del trattamento dei dati dei clienti dello Studio trattati tramite la piattaforma.

• Titolare: lo Studio/Professionista (dati identificativi nell'account).
• Responsabile: DUBHCORE — Gelsi Andrea (impresa individuale), P.IVA 02826520211, sede Via Auen 3, 39031 Brunico (BZ), Italia, info@dubhcore.com.

1. Oggetto e durata

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di erogare il Servizio, per la durata del contratto di servizio e fino alla restituzione/cancellazione dei dati.

2. Natura e finalità del trattamento

Hosting, archiviazione, elaborazione e messa a disposizione delle funzionalità gestionali (richieste, appuntamenti, calendario, messaggistica, documenti/firme, pagamenti/acconti, notifiche) per la gestione dell'attività del Titolare.

3. Interessati e categorie di dati

• Interessati: clienti dello Studio (inclusi minori e relativi genitori/tutori), collaboratori.
• Categorie: anagrafica/contatti; richieste tatuaggio/piercing e posizione sul corpo; immagini; appuntamenti;

messaggi; documenti/consensi/firme; dati di pagamento/acconto.

• Categorie particolari (art. 9): dati relativi alla salute nei flussi Tatuaggio (campo "Cicatrici") e

Piercing (allergie ai metalli, irritazioni/infezioni dell'area, cicatrizzazione, farmaci/condizioni, gravidanza/allattamento). La condizione ex art. 9 implementata è il consenso esplicito — art. 9(2)(a), individuato dal Titolare (non l'art. 9(2)(h); DUBHCORE non è servizio sanitario). Il PMU non prevede oggi raccolta di dati sulla salute strutturati.

• Dati di minori/tutori: trattati secondo il flusso di doppia firma in studio; per i minori il consenso ai

dati sulla salute è reso in studio dal genitore/tutore e collegato alla specifica pratica (vedi Privacy §4-bis).

4. Istruzioni documentate

Il Responsabile tratta i dati solo su istruzioni documentate del Titolare (incluse quelle impartite tramite l'uso delle funzioni del Servizio e i presenti Termini/DPA), salvo obblighi di legge.

5. Riservatezza

Il personale autorizzato del Responsabile è vincolato alla riservatezza.

6. Sicurezza (art. 32)

Il Responsabile adotta le misure tecniche/organizzative descritte nell'Allegato B (misure verificate).

7. Controllo accessi e isolamento

Accesso basato sui ruoli (RBAC) e isolamento multi-tenant per studio; credenziali/segreti non esposti in chiaro.

8. Sub-responsabili

Il Titolare autorizza il ricorso ai sub-responsabili elencati nell'Allegato C. Il Responsabile impone ai sub-responsabili obblighi di protezione dati equivalenti.

9. Modifiche ai sub-responsabili

Il Responsabile informa il Titolare di variazioni dei sub-responsabili con ragionevole preavviso, consentendo eventuale opposizione motivata.

10. Trasferimenti internazionali

I trasferimenti extra-UE avvengono con adeguate garanzie. Verificato: l'infrastruttura di database, storage e backup di produzione è situata negli Stati Uniti; i trasferimenti sono coperti dal DPA di Emergent Labs Inc., che incorpora le Clausole Contrattuali Standard (Decisione UE 2021/914) ove applicabili. Ruoli: il Cliente (DUBHCORE/Studio) agisce come Titolare ed Emergent come Responsabile; ove il Cliente agisca a sua volta come Responsabile per un altro Titolare, Emergent agisce come Sub-responsabile. Il DPA di Emergent è inteso a soddisfare i requisiti dell'art. 28 GDPR.

11. Assistenza al Titolare

Il Responsabile assiste il Titolare, per quanto possibile, nel riscontro alle richieste degli interessati (artt. 15-22) e negli obblighi ex artt. 32-36 (sicurezza, data breach, DPIA, consultazione preventiva).

12. Data breach

Il Responsabile notifica al Titolare le violazioni di dati senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni disponibili utili.

13. DPIA

Il Responsabile coopera, ove applicabile, alla valutazione d'impatto (DPIA) e alla consultazione preventiva.

14. Cooperazione con le autorità

Il Responsabile coopera con l'autorità di controllo competente nei limiti di legge.

15. Restituzione/cancellazione

Al termine del contratto, su scelta del Titolare, il Responsabile restituisce o cancella i dati, salvo obblighi di conservazione di legge. I documenti firmati sono conservati come snapshot immutabili secondo il Servizio.

16. Audit e informazioni

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente audit ragionevoli, con modalità e preavviso concordati.

17. Obblighi del Titolare

Il Titolare garantisce la liceità del trattamento (per i dati sanitari, la condizione ex art. 9 implementata è il consenso esplicito ex art. 9(2)(a), raccolto tramite la funzione della piattaforma prima dei dati sanitari strutturati), fornisce le informative e raccoglie i consensi verso i propri clienti (incl. gestione dei minori con consenso reso in studio dal tutore), impartisce istruzioni lecite e configura correttamente gli accessi del proprio personale.

18. Responsabilità

Ciascuna parte risponde secondo il GDPR e la legge applicabile, nei limiti dei rispettivi ruoli.

19. Contatti

DUBHCORE — info@dubhcore.com.

ALLEGATO A — Descrizione del trattamento

• Finalità: gestione operativa dell'attività dello Studio tramite il Servizio.
• Tipologie di trattamento: raccolta, registrazione, organizzazione, archiviazione, consultazione, uso,

comunicazione ai destinatari/sub-responsabili, cancellazione.

• Interessati: clienti (inclusi minori), genitori/tutori, collaboratori dello Studio.
• Categorie di dati: vedi §3 (inclusi dati di salute per piercing e dati di minori/tutori).
• Durata: durata del contratto; conservazione secondo il Data Retention Schedule V1 di DUBHCORE.

ALLEGATO B — Misure tecniche e organizzative (VERIFICATE nel codice)

• Password con bcrypt; autenticazione con JWT.
• RBAC (controllo dei ruoli) e isolamento multi-tenant per studio.
• Least privilege sui dati sulla salute (art. 9) — lato server: le risposte sanitarie strutturate della

pratica sono restituite dall'API solo a titolare/manager, professionista assegnato e cliente interessato; redatte (non trasmesse) a reception, professionisti non assegnati, altri studi e altri clienti. Il riepilogo operativo del Piercing è mantenuto separato dalle risposte sanitarie.

• Cifratura (Fernet) dei token Google e delle credenziali di pagamento.
• Object Storage privato con controllo d'accesso (nessuna URL pubblica; percorsi non esposti).
• Rate limiting sugli endpoint pubblici (chiave per IP reale).
• Audit logging delle azioni (autore/azione/oggetto/timestamp).
• Snapshot immutabili dei documenti firmati.
• Normalizzazione email in login/registrazione.
• Backup infrastrutturali (gestiti da Emergent — verificato): database di produzione con backup automatici a

rotazione (orari 7 gg, giornalieri 7 gg, settimanali 4 settimane, mensili 12 mesi, annuali 1 anno) e point-in-time recovery continuo negli ultimi 7 giorni; archiviazione negli Stati Uniti.

• Regioni (verificato): database, storage e backup di produzione negli Stati Uniti.

ALLEGATO C — Sub-responsabili (solo servizi realmente utilizzati)

Nota: Expo/EAS è usato esclusivamente per build/distribuzione dell'app mobile e **non tratta i dati personali

degli utenti finali durante il normale uso: non** è elencato come sub-responsabile runtime. Apple Calendar è

on-device (non sub-responsabile). I DPA si perfezionano via accettazione online (nessuna firma autografa

separata). Durata log infrastrutturali: non comunicata né confermata dal provider (gestita da Emergent nell'ambito della propria infrastruttura; nessun periodo numerico dichiarato).

Revisione Allegato C (audit verificato): i servizi attuali sono Stripe, Google, Emergent (catena infra:

MongoDB Atlas, AWS/Amazon SES negli USA e Cloudflare (edge/distribuito, regione non verificata)

tramite Emergent — DPA Emergent + SCC UE 2021/914).

Stripe può operare come Titolare autonomo per determinati trattamenti di pagamento/compliance/antifrode

(non semplice sub-responsabile); Google è limitato a OAuth + Calendar. I DPA si perfezionano via

accettazione online (nessuna firma autografa separata). Expo/EAS = strumento di build/distribuzione, non

sub-responsabile runtime dei dati cliente. Apple Calendar è on-device (non sub-responsabile). **Google Fonts

e Unsplash NON sono inclusi (asset localizzati). Durata log infrastrutturali: non comunicata né confermata dal provider** (gestita da Emergent nell'ambito della propria infrastruttura; nessun periodo numerico dichiarato).