In vigore: 20 giugno 2026 — Sparkle5, LLC — Versione 1.0

Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati (« DPA ») costituisce parte integrante dei Termini di servizio tra Sparkle5, LLC (« Luvu » o « noi ») e te (« Cliente » o « tu ») e si applica ogniqualvolta Sparkle5, LLC tratta Dati Personali per tuo conto in relazione al servizio Luvu. È progettato per essere conforme all’art. 28 GDPR, al Data Protection Act 2018 del Regno Unito e a normative equivalenti.

1. Definizioni

Dati Personali, Trattamento, Titolare, Responsabile del trattamento, Interessato — come definiti nel GDPR.
Sub-responsabile del trattamento — qualsiasi terzo incaricato da Luvu di trattare Dati Personali per nostro conto in relazione al servizio.
Clausole Contrattuali Tipo (CCT) — Moduli 2 (Titolare → Responsabile) e 3 (Responsabile → Sub-responsabile) della Commissione europea (Decisione (UE) 2021/914).

2. Ruoli e ambito

Per i Dati Personali relativi agli utenti finali di Luvu (il prodotto app di incontri), Sparkle5, LLC è il Titolare. Per qualsiasi Dato Personale che tu (il Cliente) ci incarichi di trattare per tuo conto al di fuori del nostro prodotto standard (ad es. contratti di integrazione enterprise, deployment white-label), Sparkle5, LLC agisce come Responsabile del trattamento e il presente DPA disciplina tale Trattamento.

3. Oggetto, durata, natura e finalità

Oggetto: fornitura del servizio Luvu — matchmaking, messaggistica, verifica dell’identità, fatturazione e infrastruttura di supporto.
Durata: il Trattamento prosegue per la durata dei Termini di servizio e i dati vengono conservati secondo il calendario di conservazione descritto al § 7 dell’Informativa sulla privacy dopo la risoluzione.
Natura e finalità: archiviazione, strutturazione, recupero, trasmissione e cancellazione di Dati Personali, come richiesto per fornire, gestire, mettere in sicurezza e migliorare il servizio.
Tipi di Dati Personali: dati identificativi, di contatto, di profilo, categorie particolari ai sensi dell’art. 9 (orientamento sessuale e preferenze, con consenso esplicito dichiarato al § 1 dell’Informativa sulla privacy), dati di localizzazione, identificatori di dispositivo, metadati di pagamento, contenuto (messaggi, foto, audio vocale), dati di utilizzo e log.
Categorie di Interessati: utenti Luvu registrati.

4. Obblighi del responsabile del trattamento

Laddove agiamo come Responsabile del trattamento, ci impegniamo a:

Trattare i Dati Personali solo su istruzioni documentate del Titolare, salvo che ciò sia richiesto dal diritto dell’Unione o dello Stato membro.
Garantire che le persone autorizzate al Trattamento siano soggette a un obbligo di riservatezza.
Attuare le misure tecniche e organizzative descritte all’Allegato II.
Avvalersi di Sub-responsabili solo previa autorizzazione scritta generale e in base a obblighi contrattuali speculari non meno protettivi del presente DPA — vedi § 5 e Allegato I.
Tenendo conto della natura del Trattamento, assistere il Titolare con misure tecniche e organizzative appropriate, nella misura del possibile, per adempiere all’obbligo di rispondere alle richieste degli Interessati (Capo III GDPR).
Assistere con gli obblighi di sicurezza, notifica di violazione, DPIA e consultazione preventiva ai sensi degli artt. 32–36 GDPR.
Alla cessazione, cancellare o restituire tutti i Dati Personali — puoi inoltre esportare in qualsiasi momento i tuoi dati da Impostazioni → Privacy → Esporta i dati.
Mettere a disposizione tutte le informazioni necessarie per dimostrare la conformità e consentire e contribuire ad audit, incluse ispezioni, condotti dal Titolare o da un altro revisore incaricato. Gli audit sono limitati a una volta ogni 12 mesi, salvo dopo un incidente di sicurezza.

5. Sub-responsabili del trattamento

Concedi qui un’autorizzazione scritta generale a Luvu per impiegare i Sub-responsabili elencati all’Allegato I. Ti informeremo di qualsiasi aggiunta o sostituzione di Sub-responsabili tramite un banner in-app e un’e-mail all’indirizzo registrato, concedendoti un periodo ragionevole (almeno 30 giorni) per opporti per motivi ragionevoli prima che il nuovo Sub-responsabile inizi il Trattamento. L’elenco dell’Allegato I rispecchia in ogni momento la tabella dei sub-responsabili del § 5 dell’Informativa sulla privacy.

6. Trasferimenti internazionali di dati

Laddove un Sub-responsabile sia situato al di fuori dell’UE/SEE, il trasferimento è coperto da (i) una decisione di adeguatezza della Commissione europea oppure (ii) dalle Clausole Contrattuali Tipo — Modulo 3, integrate ove opportuno da garanzie aggiuntive (valutazione d’impatto sul trasferimento, crittografia tecnica, restrizioni contrattuali alla divulgazione alle autorità governative). L’elenco corrente dei trasferimenti transfrontalieri e la garanzia applicata a ciascuno si trovano all’Allegato I.

7. Sicurezza — riepilogo dell’Allegato II

Adottiamo le seguenti misure tecniche e organizzative (TOM):

Crittografia in transito: TLS 1.3 con cifrari robusti; HSTS preload.
Crittografia a riposo: AES-256 per database, object storage e backup.
Controllo degli accessi: ruoli con principio del minimo privilegio, sessioni amministratore a tempo limitato, MFA obbligatoria per tutti i ruoli con accesso alla produzione.
Isolamento di rete: host di produzione dietro VPN WireGuard; solo gli endpoint TLS sono esposti pubblicamente.
Logging e monitoraggio: log strutturati centralizzati, tracciamento degli errori, allarmi di anomalia; gli indirizzi IP grezzi vengono hashati con SHA-256 prima dell’archiviazione quando utilizzati per analitica o rate-limiting.
Backup: backup notturni cifrati del database conservati 30 giorni off-site (UE).
Gestione delle vulnerabilità: le dipendenze vengono scansionate a ogni build CI; lo scanning dei segreti blocca i commit contenenti credenziali.
Contenuto foto/voce: ACL private S3 con URL firmati a breve scadenza (TTL di 2 h); nessun URL pubblico grezzo.
Garanzie di cancellazione dell’account: soft-delete con 30 giorni di grazia, quindi hard-delete irreversibile; le registrazioni finanziarie vengono conservate ove la legge lo richieda (10 anni).

8. Notifica di violazione

A seguito di una violazione effettiva o ragionevolmente sospetta dei Dati Personali che interessi i tuoi dati, ti informeremo senza ingiustificato ritardo e comunque entro 48 ore, fornendo le informazioni richieste dall’art. 33(3) GDPR nella misura disponibile, e collaboreremo in buona fede con te nella risposta all’incidente e nelle notifiche a valle.

9. Responsabilità e durata

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta ai limiti ed esclusioni stabiliti nei Termini di servizio sottostanti. Il presente DPA entra in vigore alla data di efficacia indicata sopra e cessa con i Termini di servizio sottostanti.

Allegato I — Sub-responsabili autorizzati

Questo elenco è identico alla tabella dei sub-responsabili del § 5 dell’Informativa sulla privacy ed è aggiornato ogni volta che un Sub-responsabile viene aggiunto, rimosso o modificato. La fotografia attuale alla data di efficacia indicata sopra è riprodotta qui sotto. L’elenco vivente autorevole è sempre la versione visibile presso /pages/privacy.

I trasferimenti transfrontalieri verso gli USA e Israele sono coperti dalle CCT Modulo 3 salvo applicazione di una decisione di adeguatezza; i sub-responsabili situati nell’UE non richiedono CCT.

Google LLC — Sign-In & Identity (SSO) — USA — CCT.
Google LLC — Firebase Cloud Messaging (notifiche push) — USA — CCT.
Google LLC — Google Play Billing & Developer API (validazione acquisti Android) — USA — CCT.
Google LLC — Maps Static API & Geocoder (messaggi di localizzazione) — USA — CCT.
Apple Inc. — SSO, In-App Purchase, APNs — USA — CCT.
Stripe, Inc. — elaborazione pagamenti web — USA — CCT.
Singular Labs, Inc. — attribuzione di installazioni ed eventi in-app — USA / Israele — CCT.
Hetzner Online GmbH — object storage (foto, audio, immagini di chat) — Germania (UE) — CCT non richiesta.
Mailgun Technologies (Sinch) — e-mail transazionali — server UE — CCT non richiesta.
SMTP2GO Pty Ltd — e-mail transazionali (secondario) — server UE — CCT non richiesta.
Giphy Inc. — ricerca GIF nei messaggi — USA — CCT.

Allegato II — Misure tecniche e organizzative

Vedi § 7 sopra per il riepilogo. La documentazione TOM completa è disponibile per i clienti enterprise su richiesta in NDA presso privacy@luvu.plus.

Contatti

Sparkle5, LLC — Contatto Protezione dei dati: privacy@luvu.plus.