Termini e Condizioni del Servizio Acepoint

Contratto di licenza d’uso del software in modalità SaaS

Informazioni sul documento

Versione: 1.3.0
Data di entrata in vigore: 23 aprile 2026
Data ultima modifica: 23 aprile 2026
Stato: In vigore

Altre risorse:

Informativa Privacy
Cookie Policy
Modulo tipo di recesso per Consumatori: Allegato 5
Storico versioni precedenti (disponibile su richiesta)

Importante: leggere prima di sottoscrivere

Prima di sottoscrivere un Piano Acepoint, ti invitiamo a:

leggere attentamente i presenti Termini e tutti gli Allegati;
scaricare e conservare una copia per i tuoi archivi;
verificare i tuoi dati di contatto per ricevere le comunicazioni ufficiali;
contattarci per qualsiasi chiarimento: info@systema360.it.

I presenti Termini sono pubblicamente accessibili in conformità agli obblighi di legge previsti da:

art. 1341 Codice Civile (condizioni generali di contratto);
art. 49 Codice del Consumo (informazioni precontrattuali per contratti a distanza);
artt. 12-13 D.Lgs. 70/2003 (commercio elettronico).

Informazioni speciali per Consumatori

Sei un Consumatore (persona fisica che agisce per scopi estranei all’attività professionale)?

I tuoi diritti principali:

diritto di recesso entro 14 giorni dalla sottoscrizione (salvo consenso espresso all’attivazione immediata);
foro competente: il tuo luogo di residenza o domicilio;
limitazioni di responsabilità: non applicabili ai consumatori;
disdetta senza preavviso: puoi recedere in qualsiasi momento con effetto a fine periodo.

Hai domande sui tuoi diritti?

consulta la sezione Art. 7 – Durata, recesso e cessazione;
contattaci: info@systema360.it.

Informazioni precontrattuali (art. 49 Codice del Consumo)

Fornitore del servizio: Systema360 S.r.l.

Sede legale: Via D. Di Giura, Centro Direzionale snc, 85100 Potenza (PZ), Italia
P.IVA/CF: 02227730765
Email: info@systema360.it
PEC: systema360@pec.it
Assistenza telefonica: disponibile in area amministrativa per i Clienti attivi

Caratteristiche principali del servizio:

Software as a Service (SaaS) per gestione di circoli sportivi;
accessibile via browser e app mobile;
funzionalità: gestione prenotazioni, soci, corsi, tornei, pagamenti.

Prezzi:

Piani disponibili: Starter, Pro, Enterprise;
prezzi dettagliati: acepoint.it/prezzi;
IVA: da aggiungere al prezzo indicato (22% salvo esenzioni di legge);
modalità di pagamento: bonifico, addebito diretto SEPA, carta di credito/debito.

Durata del contratto:

periodicità: mensile o annuale a scelta del Cliente;
rinnovo: automatico per periodi di uguale durata salvo disdetta;
disdetta: senza penali, preavviso 7 giorni (mensile) o 30 giorni (annuale) — nessun preavviso per Consumatori;
dettagli: vedi Art. 7.

Diritto di recesso (Consumatori):

termine: 14 giorni dalla conclusione del contratto;
modalità: vedi Art. 7.3 e modulo di recesso tipo in Allegato 5;
eccezione: se il Consumatore richiede attivazione immediata e accetta la perdita del diritto di recesso.

Funzionalità e compatibilità tecnica:

requisiti: browser moderno (Chrome, Firefox, Safari, Edge), connessione internet;
compatibilità: design responsive, accessibile da desktop, tablet e smartphone;
app mobile: iOS 13+ e Android 8+;
interoperabilità: API per integrazioni con sistemi terzi (disponibile nei piani Pro ed Enterprise).

Assistenza clienti:

orari: Lun-Ven 9:00-13:00 / 15:00-19:00 (esclusi festivi nazionali);
canali: email a support@acepoint.it, ticket dall’area amministrativa;
tempi di risposta: vedi Art. 16.

Reclami e controversie:

reclami: info@systema360.it o systema360@pec.it;
mediazione: procedura facoltativa prima del giudizio (D.Lgs. 28/2010);
foro competente: vedi Art. 15.

Lingua del contratto: italiano.

Indice

Premessa e parti del contratto
Definizioni
Oggetto del contratto
Registrazione e attivazione
Piani, corrispettivi e fatturazione
Programma Early Access
Durata, recesso e cessazione
Livelli di servizio e manutenzione
Obblighi e responsabilità del Circolo
Proprietà intellettuale
Limitazioni di responsabilità (*)
Trattamento dei dati personali
Modifiche ai Termini (*)
Comunicazioni
Legge applicabile e foro competente (*)
Contatti

Allegati:

Allegato 1 – Data Processing Agreement (DPA)
Allegato 2 – Lista Sub-Responsabili
Allegato 3 – Misure Tecniche e Organizzative
Allegato 4 – Clausole vessatorie (art. 1341 c.c.)
Allegato 5 – Modulo tipo di recesso per Consumatori

(*) Articolo soggetto a specifica approvazione per iscritto ai sensi dell’art. 1341, comma 2, c.c.

1. Premessa e parti del contratto

1.1. Parti

I presenti Termini e Condizioni (i "Termini") regolano il rapporto contrattuale fra:

FORNITORE: Systema360 S.r.l.
Sede legale: Via D. Di Giura, Centro Direzionale snc, 85100 Potenza (PZ)
P.IVA/CF: 02227730765
PEC: systema360@pec.it
(di seguito "Systema360" o "Fornitore")

CLIENTE: il soggetto che sottoscrive un piano di abbonamento alla piattaforma Acepoint (di seguito il "Cliente" o "Circolo"), normalmente un circolo sportivo o un’associazione che gestisce impianti per la pratica di tennis, padel e discipline affini.

1.2. Oggetto

Oggetto del contratto è la concessione in licenza d’uso, in modalità Software as a Service (SaaS), della piattaforma Acepoint e dei relativi servizi tecnici e di assistenza.

1.3. Rapporti con utenti finali

I Termini non disciplinano il rapporto fra il Circolo e i propri soci o utenti finali. Quel rapporto è regolato dai termini e condizioni d’uso che ciascun Circolo pubblica sulla propria area pubblica di Acepoint. Il Circolo è unico responsabile dei rapporti con i propri soci e utenti finali.

1.4. Accettazione

La sottoscrizione di un piano (inclusa l’adesione al programma Early Access) e l’utilizzo della Piattaforma implicano l’accettazione integrale dei presenti Termini, ivi incluso l’Allegato 1 (DPA) che costituisce parte integrante e sostanziale del contratto.

1.5. Clausole vessatorie

Per la validità delle clausole di cui all’Allegato 4 è richiesta specifica approvazione per iscritto mediante sottoscrizione separata, ai sensi dell’art. 1341, comma 2, Codice Civile.

Torna all’indice

2. Definizioni

Ai fini dei presenti Termini:

Piattaforma / Servizio: il software Acepoint erogato in modalità SaaS da Systema360, accessibile via browser e applicazione mobile, che consente al Circolo di gestire prenotazioni campi, anagrafiche soci e tesseramenti (anche di familiari conviventi mediante il modulo “famiglia”), liste d’attesa per slot esauriti (waitlist), corsi, tornei, shop e ordini, ricerca avversari di pari livello (modulo opzionale “Trova Avversario”/matchmaking), pagamenti elettronici, emissione di scontrini fiscali (modulo opzionale), comunicazioni, sito vetrina pubblico (con pagine “Chi Siamo”, gallery foto, team, riconoscimenti) e dominio personalizzato (modulo opzionale).
Circolo / Cliente: il soggetto (persona fisica o giuridica) che sottoscrive un Piano e accetta i presenti Termini, diventando titolare dell’area dedicata (tenant) su Acepoint.
Consumatore: ai sensi dell’art. 3 del Codice del Consumo (D.Lgs. 206/2005), la persona fisica che agisce per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta.
Utente Finale: il socio, il giocatore o l’ospite che interagisce con l’area pubblica del Circolo tramite la Piattaforma. Il rapporto con l’Utente Finale è regolato dai termini pubblicati dal Circolo.
Piano: il livello di abbonamento sottoscritto dal Circolo (Starter, Pro, Enterprise), che determina funzionalità abilitate, limiti d’uso e corrispettivi, come pubblicati su acepoint.it/prezzi.
Early Access: fase di accesso anticipato alla Piattaforma, riservata a un numero limitato di Circoli selezionati, con sconto promozionale sul canone listino per un numero di cicli di fatturazione comunicato all’atto dell’adesione e funzionalità progressivamente rilasciate.
Dati del Circolo: tutti i dati inseriti dal Circolo o dai suoi Utenti Finali all’interno della propria area della Piattaforma.
DPA (Data Processing Agreement): l’accordo di cui all’Allegato 1, stipulato ai sensi dell’art. 28 GDPR, che disciplina il trattamento dei dati personali degli Utenti Finali.

Torna all’indice

3. Oggetto del contratto

3.1. Licenza d’uso

Systema360 concede al Circolo, per la durata dell’abbonamento, una licenza d’uso non esclusiva, non trasferibile e non sub-licenziabile per l’accesso e l’utilizzo della Piattaforma, secondo le funzionalità previste dal Piano sottoscritto.

3.2. Modalità SaaS

La Piattaforma è erogata in modalità Software as a Service: il software risiede sull’infrastruttura di Systema360 (o di suoi fornitori cloud certificati) e non viene installato presso il Circolo.

Il presente contratto non costituisce:

vendita del software;
cessione di codice sorgente;
trasferimento di diritti di proprietà intellettuale.

3.3. Servizi inclusi

Sono inclusi nel Servizio senza oneri aggiuntivi:

hosting e infrastruttura tecnologica;
aggiornamenti funzionali e di sicurezza;
patch correttive e manutenzione evolutiva;
backup automatici giornalieri (conservazione 30 giorni);
monitoraggio performance e uptime;
assistenza tecnica secondo il livello previsto dal Piano.

3.4. Servizi non inclusi

Possono essere oggetto di accordi separati:

personalizzazioni grafiche avanzate oltre quelle previste dal Piano;
integrazioni con sistemi esterni di terze parti non standard;
servizi di formazione on-site o consulenza strategica;
gestione operativa del circolo da parte di Systema360.

3.5. Moduli opzionali (add-on)

Oltre al Piano base, il Circolo può attivare moduli opzionali a corrispettivo separato, secondo il tariffario pubblicato su acepoint.it/prezzi. Alla data della presente versione dei Termini sono disponibili:

Shop e ordini: catalogo prodotti, categorie, partner di vendita, gestione ordini, promozioni;
Tornei: gestione iscrizioni, gironi, tabelloni, partite e classifiche;
Corsi: edizioni, iscrizioni, gestione classi e calendari;
Trova Avversario (matchmaking): incontro tra giocatori di pari livello tesserati al Circolo;
Scontrino fiscale (fiscal receipt): emissione scontrini telematici tramite registratore di cassa o servizio fiscale di terza parte;
Dominio personalizzato: utilizzo di un dominio di proprietà del Circolo per l’area pubblica.

L’attivazione e la disattivazione dei moduli avvengono dall’area amministrativa o su richiesta a Systema360, con prorazione del canone secondo l’art. 5.

3.6. Sito vetrina e modalità “Solo vetrina”

L’area pubblica del Circolo (sito vetrina) include sezioni informative quali “Chi Siamo”, gallery fotografica, team, riconoscimenti, contatti. Il Circolo può disabilitare temporaneamente le funzionalità di prenotazione online mantenendo accessibili le altre sezioni del sito (modalità “Solo vetrina”), ad esempio durante periodi di chiusura, lavori in corso o ridefinizione del listino. La disabilitazione è comunicata sul sito vetrina mediante apposito avviso e non costituisce sospensione del Servizio ai sensi dei presenti Termini, né dà titolo a riduzioni del canone in capo a Systema360.

Torna all’indice

4. Registrazione del Circolo e attivazione dell’area

4.1. Modalità di richiesta

La richiesta di attivazione avviene mediante:

candidatura sul sito acepoint.it (waitlist);
codice invito ricevuto da un Circolo partner;
sottoscrizione diretta di un Piano tramite l’area riservata del sito.

4.2. Selezione candidature (fase Early Access)

Systema360 si riserva, in fase Early Access, il diritto di selezionare le candidature e può rifiutarle senza obbligo di motivazione, dandone comunicazione scritta al richiedente.

4.3. Veridicità dei dati

Il Circolo garantisce che i dati anagrafici, fiscali e di contatto forniti in fase di registrazione siano veritieri, completi e aggiornati, e si impegna a comunicare tempestivamente ogni variazione tramite:

area amministrativa della Piattaforma;
email a info@systema360.it.

4.4. Area dedicata isolata

All’attivazione, Systema360 crea un’area dedicata (tenant) logicamente e tecnicamente isolata dagli altri Circoli, con database separato. Le credenziali di accesso dell’amministratore sono strettamente personali e riservate. Il Circolo è responsabile della loro custodia e di ogni attività svolta tramite esse.

4.5. Configurazioni autonome

Il Circolo può configurare autonomamente dall’area amministrativa:

utenti aggiuntivi con ruoli differenziati (amministratore, operatore, istruttore);
impostazioni di privacy e cookie policy per l’area pubblica;
modalità di pagamento abilitate per gli Utenti Finali.

Torna all’indice

5. Piani, corrispettivi e fatturazione

5.1. Caratteristiche e prezzi

Le caratteristiche dei Piani (funzionalità, limiti, canoni) sono pubblicate su acepoint.it/prezzi e possono essere aggiornate con le modalità dell’art. 13. I canoni si intendono al netto dell’IVA, ove applicabile.

5.2. Periodicità e fatturazione

Il canone è anticipato e decorre dalla data di attivazione dell’area del Circolo. La fatturazione avviene con periodicità:

mensile (addebito ogni mese);
annuale (addebito ogni anno, con sconto rispetto al mensile).

La fattura elettronica viene emessa entro 5 giorni lavorativi dall’inizio di ciascun periodo e trasmessa al codice destinatario/PEC indicato dal Circolo.

5.3. Modalità e termini di pagamento

Il pagamento deve essere effettuato entro 15 giorni dalla data di emissione della fattura, mediante:

bonifico bancario;
addebito diretto SEPA;
carta di credito/debito.

5.4. Mancato pagamento e sospensione

In caso di mancato pagamento alla scadenza:

Giorno 0-15: comunicazione di sollecito via email e PEC, concessione di ulteriori 15 giorni per il saldo.
Giorno 16-22: sospensione accesso amministrativo all’area del Circolo; area pubblica accessibile agli Utenti Finali in sola consultazione.
Giorno 23-82: sospensione anche dell’area pubblica; conservazione Dati del Circolo per 60 giorni.
Giorno 83+: cancellazione definitiva dei Dati (salvo obblighi di legge per fatturazione).

5.5. Ripristino dopo sospensione

Il ripristino del Servizio avviene entro 24 ore lavorative dal ricevimento di:

pagamento integrale dei canoni arretrati;
interessi di mora (saggio legale);
spese di sollecito (€ 25,00 + IVA per sollecito).

5.6. Gestione eccedenze

Eccedenze rispetto ai limiti del Piano (campi, utenti, prenotazioni):

eccedenze temporanee ≤ 20%: nessun addebito per il primo mese; poi upgrade automatico al Piano superiore;
eccedenze > 20% o protratte oltre 1 mese: upgrade obbligatorio al Piano superiore con conguaglio pro-rata del canone per il periodo residuo.

Garanzia: i dati eccedenti non vengono mai cancellati senza preavviso.

5.7. Upgrade e downgrade

Upgrade (Piano superiore): effetto immediato; conguaglio pro-rata del canone già corrisposto.
Downgrade (Piano inferiore): effetto dalla scadenza del periodo in corso; previa verifica compatibilità dati con limiti del Piano inferiore.

Torna all’indice

6. Programma Early Access

6.1. Accesso anticipato

I Circoli ammessi al programma Early Access accedono alla Piattaforma durante la fase di rilascio graduale delle funzionalità. Alcune funzionalità possono essere contrassegnate come “in arrivo” o “beta”: saranno attivate progressivamente secondo la roadmap senza oneri aggiuntivi.

6.2. Sconto promozionale Early Access

Ai Circoli ammessi al programma Early Access è riconosciuto uno sconto promozionale sul canone listino, applicato per un numero limitato di cicli consecutivi di fatturazione a partire dall’attivazione dell’abbonamento. La misura percentuale dello sconto e il numero di cicli promozionali sono comunicati al Circolo all’atto dell’adesione al programma e indicati nella conferma di sottoscrizione. Decorso il numero di cicli promozionali, l’abbonamento prosegue automaticamente alla tariffa di listino in vigore al momento del rinnovo, salvo disdetta del Circolo nei termini di cui all’art. 7.

Lo sconto si applica al solo canone del piano base. Eventuali moduli aggiuntivi (add-on) e variazioni di Piano superiore sono fatturati a tariffa di listino sin dalla prima attivazione, salvo diversa indicazione contenuta nella conferma di adesione al programma.

Nessuna formula di “canone bloccato a vita” o tariffa promozionale perpetua è offerta nell’ambito del programma. La presente clausola sostituisce integralmente eventuali differenti rappresentazioni del beneficio in materiale informativo o promozionale precedente alla data di entrata in vigore della presente versione dei Termini.

6.3. Variazioni di Piano e impatto sullo sconto

Lo sconto Early Access si applica all’importo netto dovuto sul Piano sottoscritto. In caso di:

passaggio a Piano superiore entro il periodo promozionale: lo sconto si applica al nuovo canone, fino al completamento dei cicli promozionali decorsi dall’ingresso in Early Access (i cicli già fatturati sul Piano precedente concorrono al conteggio);
passaggio a Piano superiore oltre il periodo promozionale: tariffa di listino piena, senza sconto promozionale;
downgrade a Piano inferiore: lo sconto continua ad applicarsi al canone del Piano scelto, sempre nel limite del periodo promozionale comunicato all’adesione;
interruzione e successiva riattivazione: il programma promozionale non si riattiva; alla riattivazione si applica la tariffa di listino vigente.

6.4. Aggiornamenti frequenti

In fase Early Access, Systema360 può introdurre modifiche più frequenti senza il preavviso standard, al fine di migliorare la Piattaforma sulla base del feedback.

Comunicazioni tramite:

banner nell’area amministrativa;
email di changelog;
sezione “Novità” su acepoint.it.

Interruzioni programmate per aggiornamenti: preavviso 12 ore (quando possibile), in fascia notturna 01:00-06:00.

6.5. Termine Early Access

Al termine della fase, il Circolo transita automaticamente alla versione stabile della Piattaforma. Le condizioni economiche restano quelle correnti (tariffa di listino del Piano sottoscritto). Systema360 comunica la conclusione della fase Early Access con 60 giorni di preavviso via email.

Torna all’indice

7. Durata, recesso e cessazione

7.1. Durata e rinnovo tacito (*)

Il contratto ha durata pari al periodo di fatturazione prescelto (mensile o annuale) e si rinnova tacitamente per periodi di uguale durata, salvo disdetta.

7.2. Disdetta da parte del Circolo

Il Circolo può comunicare disdetta in qualsiasi momento, senza penali, attraverso i seguenti canali tracciabili (il canale email ordinaria non è ammesso come mezzo di disdetta per ragioni probatorie):

funzione nell’area amministrativa della Piattaforma (sezione Abbonamento > Disdetta), che rilascia conferma automatica via email;
PEC a systema360@pec.it.

La disdetta si considera ricevuta alla data di: (i) registrazione della richiesta nella Piattaforma, oppure (ii) consegna della PEC al dominio di Systema360. Il Circolo riceve conferma entro 2 giorni lavorativi; in mancanza, è tenuto a ritrasmettere la disdetta utilizzando l’altro canale disponibile.

Termini di preavviso.

Contratti mensili:

disdetta comunicata ≥ 7 giorni prima della scadenza: effetto a fine mese in corso;
altrimenti: effetto a fine mese successivo.

Contratti annuali:

disdetta comunicata ≥ 30 giorni prima della scadenza: effetto a fine anno in corso;
altrimenti: effetto a fine anno successivo.

Consumatori: disdetta senza preavviso minimo, effetto a fine periodo in corso.

Rimborsi. Canoni già corrisposti per periodi futuri non sono rimborsati, salvo inadempimento grave di Systema360 (art. 7.4).

7.3. Diritto di recesso (Consumatori)

I Consumatori hanno diritto di recedere entro 14 giorni dalla conclusione del contratto, senza motivazioni e senza costi. Comunicazione tramite:

modulo tipo di recesso allegato ai Termini (Allegato 5) e consegnato al Consumatore in fase di sottoscrizione;
dichiarazione esplicita via PEC o email.

Esclusione del diritto di recesso. Per i contratti di contenuto digitale (art. 59 Codice del Consumo), il diritto di recesso è escluso se:

il Consumatore ha prestato consenso espresso all’attivazione immediata;
il Consumatore ha accettato la perdita del diritto di recesso.

Al momento della sottoscrizione, Systema360 richiede esplicitamente entrambe le accettazioni. In assenza, l’attivazione è posticipata al termine dei 14 giorni.

7.4. Risoluzione da parte di Systema360

Systema360 può risolvere il contratto ai sensi dell’art. 1456 c.c. (clausola risolutiva espressa) solo per inadempimenti gravi:

a) Mancato pagamento non sanato nei termini dell’art. 5.4.

b) Utilizzo in violazione di legge (tassativo):

attività illecite penalmente rilevanti (frode, riciclaggio);
violazione diritti di terzi accertata con provvedimento giudiziario definitivo;
attività che espongano Systema360 a responsabilità penale/civile/amministrativa.

c) Violazioni tecniche gravi e reiterate (tassativo):

tentativi di accesso non autorizzato ai sistemi o ad aree di altri Circoli;
reverse engineering, decompilazione, estrazione codice sorgente;
uso di bot/scraper che compromettano le performance;
rivendita o sub-licenza non autorizzata a terzi.

Procedura di risoluzione.

comunicazione scritta (PEC + email) di contestazione dell’inadempimento;
concessione di 15 giorni per sanare;
decorso il termine: dichiarazione di risoluzione via PEC;
il Circolo ha 30 giorni per esportare i dati.

Eccezione: per violazioni sub (b) con responsabilità immediata: risoluzione senza preavviso con sospensione immediata.

Per Consumatori: risoluzione solo per inadempimenti gravi, dopo concessione di 30 giorni per adempiere.

7.5. Recesso ad nutum di Systema360

Systema360 può recedere da contratti a tempo indeterminato (rinnovo tacito) con preavviso di 90 giorni (PEC), senza motivazione. Il Circolo continua a utilizzare il Servizio fino alla scadenza del preavviso senza costi aggiuntivi.

Per Consumatori: preavviso 180 giorni + rimborso pro-rata di canoni già corrisposti per periodi successivi.

7.6. Esportazione dati alla cessazione

Alla cessazione (qualsiasi causa), il Circolo può richiedere entro 30 giorni l’esportazione dei Dati in formato strutturato (CSV/JSON):

contenuto esportabile: anagrafica soci e utenti; storico prenotazioni e pagamenti; configurazioni e impostazioni; contenuti pubblicati (nei limiti dei diritti di proprietà);
tempi: 15 giorni lavorativi dalla richiesta;
costo: gratuito;
modalità: download sicuro dall’area amministrativa.

Conservazione e cancellazione. Trascorsi i 30 giorni senza richiesta di esportazione:

cancellazione irreversibile dei Dati del Circolo;
eccezioni conservate: dati per obblighi di legge (es. fatture 10 anni); copie di backup (sovrascritte entro 30 giorni ulteriori); dati aggregati e anonimizzati non riconducibili al Circolo.

Torna all’indice

8. Livelli di servizio e manutenzione

8.1. Disponibilità e manutenzioni programmate

Systema360 si adopera per mantenere la Piattaforma disponibile con continuità.

Manutenzioni programmate:

orari preferiti: 01:00-06:00 CEST (basso impatto);
preavviso: 48 ore minimo;
comunicazione via: email agli amministratori; banner nell’area amministrativa; pagina status.acepoint.it (se disponibile).

8.2. Manutenzioni urgenti

Interventi urgenti per sicurezza (patch critiche, vulnerabilità zero-day) possono essere eseguiti senza preavviso lungo. Comunicazione ex post entro 6 ore dall’intervento con natura dell’intervento, durata stimata, aggiornamenti sullo stato.

8.3. Service Level Agreement (SLA)

Fase Early Access: nessun SLA vincolante; operatività best effort. Comunicazione di disservizi significativi (durata > 30 minuti continuativi o > 2 ore cumulative in un mese).

Versione stabile:

Piano	Uptime garantito	Tempo max risposta	Manutenzione mensile
Starter	98%	48h lavorative	Max 4h notturne
Pro	99%	24h lavorative	Max 2h notturne
Enterprise	99,5%	12h lavorative	Max 1h notturne

Calcolo uptime. Tempo di disponibilità effettiva mensile, esclusi: manutenzioni programmate comunicate nei termini; causa di forza maggiore; disservizi causati dal Circolo (configurazioni errate).

Rimedi per inadempimento SLA. Uptime < soglia garantita per cause imputabili a Systema360: credito pari al 10% del canone mensile per ogni punto percentuale di scostamento. Esempio: uptime 97% con garanzia 99% = 2% sotto soglia = 20% di credito. Accredito automatico su fattura successiva, su segnalazione del Circolo entro 15 giorni dalla fine del mese.

8.4. Esonero di responsabilità

Systema360 non risponde per disservizi imputabili a:

forza maggiore: calamità naturali, guerre, atti terroristici, pandemie, scioperi generali, provvedimenti dell’Autorità;
attacchi informatici: DDoS, intrusioni, ransomware (nonostante misure di sicurezza conformi allo stato dell’arte art. 32 GDPR);
malfunzionamenti di reti di terzi: provider Internet, servizi cloud terze parti, reti di telecomunicazione;
errori del Circolo: configurazioni errate, cancellazioni accidentali, uso di credenziali compromesse;
interruzione servizi terze parti: servizi di pagamento, email, cloud critici per il funzionamento.

Torna all’indice

9. Obblighi e responsabilità del Circolo

9.1. Impegni del Circolo

a) Utilizzo conforme.

rispetto della legge italiana ed europea;
rispetto dei presenti Termini e delle Policy su acepoint.it;
utilizzo per le finalità previste (gestione attività sportiva del circolo).

b) Divieto di cessione. Non cedere, rivendere, sub-licenziare o rendere disponibile la Piattaforma a terzi non autorizzati (salvo Utenti Finali per le funzionalità a loro destinate).

c) Divieto di reverse engineering. Non effettuare reverse engineering, decompilazione, disassemblaggio o estrazione del codice sorgente.

d) Liceità dei contenuti. Garantire che i contenuti caricati (testi, immagini, loghi, documenti):

siano di proprietà del Circolo o oggetto di licenza/autorizzazione;
non violino diritti di terzi (copyright, marchi, privacy, dati personali);
non siano diffamatori, discriminatori, osceni o contrari all’ordine pubblico.

e) Misure di sicurezza.

custodia sicura delle credenziali (password robuste, cambio periodico, non condivisione);
gestione ruoli e permessi (principio del minimo privilegio);
configurazione corretta delle impostazioni di sicurezza e privacy.

f) Basi giuridiche GDPR. Ottenere dagli Utenti Finali le basi giuridiche per il trattamento dati:

contratto associativo/iscrizione al circolo;
consenso esplicito per marketing (ove necessario);
informativa privacy completa e conforme pubblicata sull’area pubblica.

g) Informative obbligatorie. Pubblicare e mantenere aggiornati sull’area pubblica:

termini e condizioni di utilizzo del servizio di prenotazione;
informativa privacy conforme al GDPR;
cookie policy conforme;
altre informazioni obbligatorie per legge.

9.2. Responsabilità esclusiva del Circolo

Il Circolo risponde in via esclusiva di:

contenziosi con Utenti Finali (prenotazioni, quote, rimborsi, sospensioni);
violazioni della normativa fiscale (emissione ricevute/fatture);
violazioni della normativa in materia di associazionismo sportivo;
violazioni GDPR relativamente ai dati degli Utenti Finali.

Systema360 non è parte di tali rapporti e non assume alcuna responsabilità.

9.3. Manleva

Il Circolo si impegna a manlevare e tenere indenne Systema360 da qualsiasi richiesta, pretesa, danno, costo o spesa (incluse spese legali) derivanti da:

violazione dei presenti Termini da parte del Circolo;
violazione di diritti di terzi da parte di contenuti caricati dal Circolo;
controversie con Utenti Finali del Circolo;
utilizzo illecito o fraudolento della Piattaforma da parte del Circolo.

Torna all’indice

10. Proprietà intellettuale

10.1. Proprietà di Systema360

Sono di proprietà esclusiva di Systema360 (o suoi licenzianti):

codice sorgente, architettura software, database, algoritmi;
interfacce grafiche, design, layout, user experience;
marchio “Acepoint” e relativi loghi, naming, brand identity;
contenuti predisposti (template, guide, documentazione);
know-how, metodologie, processi sviluppati.

Tutti tutelati da Legge 633/1941 (diritto d’autore), D.Lgs. 30/2005 (Codice Proprietà Industriale – marchi), normativa europea applicabile.

Il contratto non trasferisce diritti di proprietà intellettuale, ma concede solo licenza d’uso limitata (art. 3).

10.2. Proprietà del Circolo

Restano di proprietà del Circolo:

Dati del Circolo (anagrafiche, transazioni, configurazioni);
contenuti originali caricati (logo, foto impianto, testi descrittivi, regolamenti, documenti).

Il Circolo concede a Systema360 licenza gratuita, non esclusiva, limitata all’erogazione del Servizio, per: trattare, archiviare, elaborare e mostrare i contenuti nell’area pubblica; effettuare copie di backup; utilizzare i contenuti per assistenza tecnica e manutenzione. La licenza si estingue alla cessazione del contratto (salvo conservazione ex art. 7.6).

10.3. Utilizzo promozionale (consenso esplicito)

Systema360 può richiedere autorizzazione per utilizzare:

nome e logo del Circolo nella lista referenze clienti su acepoint.it;
screenshot dell’area pubblica (anonimizzati) per demo e marketing;
testimonianze e case study.

Richiesto consenso scritto specifico (tramite modulo nell’area amministrativa o email). Revoca in qualsiasi momento, effetto entro 30 giorni.

10.4. Feedback e suggerimenti

I feedback, suggerimenti, segnalazioni di bug e proposte di miglioramento forniti dal Circolo possono essere utilizzati liberamente e gratuitamente da Systema360 per migliorare la Piattaforma, sviluppare nuove funzionalità, ottimizzare processi, senza obbligo di corrispettivo o riconoscimento e senza vincoli di riservatezza (salvo diverso accordo scritto).

Torna all’indice

11. Limitazioni di responsabilità (*)

ATTENZIONE: la presente clausola richiede specifica approvazione per iscritto ai sensi dell’art. 1341, comma 2, Codice Civile – Vedi Allegato 4.

11.1. Standard di diligenza

Systema360 risponde dell’inadempimento ai sensi degli artt. 1218 e 1223 c.c. nei limiti della diligenza professionale qualificata richiesta per servizi SaaS.

11.2. Limitazioni quantitative (*)

Fermo restando: l’inderogabilità dell’art. 1229 c.c.; l’esclusione di danni alla persona; i casi vietati dalla legge — la responsabilità di Systema360 è limitata a:

a) Data loss (perdita dati non recuperabili). Limite: maggiore tra canoni ultimi 12 mesi e € 5.000,00.

b) Disservizi prolungati (interruzione > 24h con cause imputabili). Limite: credito SLA aumentato del 50%; in assenza SLA (Early Access): rimborso canone mensile proporzionale ai giorni di disservizio.

c) Altri inadempimenti contrattuali (mancata implementazione funzionalità, ritardi sviluppo, difetti non critici). Limite: canoni ultimi 6 mesi.

Eccezioni alle limitazioni. Le limitazioni NON si applicano per: dolo o colpa grave di Systema360; danni alla persona; casi vietati dalla legge.

Rapporti con Consumatori. Le limitazioni NON si applicano ai Consumatori: Systema360 risponde secondo la disciplina generale del Codice Civile e del Codice del Consumo per tutti i danni diretti ragionevolmente prevedibili al momento della conclusione del contratto.

11.3. Esclusione responsabilità per danni indiretti (*)

(Salvo rapporti con Consumatori — vedi sopra.)

Systema360 non risponde in nessun caso per:

danni indiretti o consequenziali: perdita di ricavi, perdita di profitti attesi, perdita di chance, perdita di opportunità commerciali, danno all’immagine o reputazione del Circolo;
danni da interruzione attività del Circolo (salvo crediti SLA);
danni da perdita di clientela (Utenti Finali);
danni da decisioni gestionali basate su dati/report della Piattaforma (il Circolo è responsabile della verifica).

Rapporti con Consumatori. Systema360 risponde anche dei danni indiretti ragionevolmente prevedibili al momento della conclusione del contratto, derivanti da inadempimento o inesatto adempimento, nei limiti della disciplina generale del Codice Civile.

11.4. Onere della prova

Il Circolo che intenda far valere la responsabilità di Systema360 ha l’onere di provare: l’esistenza dell’inadempimento; il nesso causale tra inadempimento e danno; l’ammontare del danno subito. Systema360 può liberarsi provando che l’inadempimento deriva da impossibilità della prestazione per causa non imputabile.

Torna all’indice

12. Trattamento dei dati personali

12.1. Ruoli ai sensi del GDPR

Nel trattamento dei dati personali degli Utenti Finali (soci, giocatori, ospiti):

Circolo = Titolare del trattamento (art. 4, n. 7 GDPR);
Systema360 = Responsabile del trattamento (art. 4, n. 8 GDPR).

I ruoli, le istruzioni e le misure sono disciplinati dall’Allegato 1 – Data Processing Agreement (DPA), redatto ai sensi dell’art. 28 GDPR e che costituisce parte integrante e sostanziale del contratto.

12.2. Dati del Circolo – Titolarità autonoma

Per i dati del Circolo (amministratori, referenti, dati fatturazione, P.IVA, PEC), Systema360 agisce come Titolare autonomo secondo l’informativa su acepoint.it/privacy. Finalità:

esecuzione del contratto (gestione account, fatturazione, assistenza);
obblighi di legge (conservazione documenti fiscali);
marketing diretto (newsletter, comunicazioni commerciali) previo consenso facoltativo.

12.3. Sub-Responsabili del trattamento

Systema360 è autorizzata a nominare sub-responsabili con autorizzazione generale (art. 28, comma 2 GDPR). Elenco aggiornato nell’Allegato 2. Include: fornitori di servizi cloud ed email transazionale, pagamenti, notifiche push e geolocalizzazione per app mobile.

Procedura di modifica. Preavviso 30 giorni per aggiunta/sostituzione sub-responsabili. Comunicazione tramite email all’amministratore, avviso nell’area amministrativa, aggiornamento Allegato 2 online. Diritto di opposizione entro 15 giorni dalla comunicazione, con motivazione fondata su legittime ragioni di protezione dati.

Conseguenze opposizione. Systema360 si astiene dalla nomina; oppure propone alternativa; oppure, se indispensabile, il Circolo può recedere senza penali con diritto all’esportazione dati.

12.4. Misure di sicurezza

Systema360 adotta misure tecniche e organizzative ai sensi dell’art. 32 GDPR, dettagliate nell’Allegato 3 – TOM: cifratura (TLS 1.2+ in transito, AES-256 a riposo); controlli accesso (MFA, RBAC, minimo privilegio); backup giornalieri; sicurezza (WAF, IDS/IPS, anti-DDoS, scansioni, penetration test annuali); formazione e audit periodici.

12.5. Data breach

In caso di violazione di dati personali, Systema360 si impegna a:

notifica al Circolo entro 24 ore dalla scoperta, con contenuto ex art. 33, comma 3 GDPR (natura, categorie/numero interessati, probabili conseguenze, misure adottate, punto di contatto);
assistenza al Circolo per valutare necessità di notifica all’Autorità Garante (entro 72h) e/o comunicazione agli interessati (se rischio elevato);
documentazione della violazione in registro interno.

12.6. Assistenza al Titolare

Systema360 assiste il Circolo per:

richieste degli interessati (artt. 15-22 GDPR): strumenti self-service nell’area amministrativa per accesso, rettifica, cancellazione, portabilità; assistenza entro 10 giorni lavorativi per richieste complesse;
obblighi di sicurezza (artt. 32-36 GDPR): sicurezza, notifica violazioni, DPIA, consultazione preventiva;
conformità: messa a disposizione informazioni per dimostrare conformità.

12.7. Audit e ispezioni

Il Circolo (o revisore terzo con accordo di riservatezza) può effettuare audit per verificare conformità al DPA: richiesta scritta con 30 giorni di preavviso; max 1 audit/anno (salvo data breach o richiesta Autorità Garante); orari concordati senza interferenze operative; rispetto riservatezza dati altri clienti e segreti commerciali. Alternativa: Systema360 fornisce rapporti audit terze parti (SOC 2, ISO 27001) o certificazioni GDPR.

12.8. Restituzione e cancellazione dati

Al termine del contratto, Systema360 (su richiesta del Circolo):

restituisce tutti i dati personali (esportazione ex art. 7.6); oppure
cancella tutti i dati personali e copie.

Tempi: 30 giorni se nessuna richiesta esportazione; 15 giorni lavorativi se richiesta esportazione.

Eccezioni: dati per obblighi di legge (es. fatture 10 anni): conservati isolati, cancellati allo scadere; copie backup sovrascritte entro 30 giorni ulteriori; dati aggregati anonimizzati irreversibilmente.

Attestazione scritta di cancellazione su richiesta del Circolo.

Torna all’indice

13. Modifiche ai Termini (*)

ATTENZIONE: la presente clausola richiede specifica approvazione per iscritto ai sensi dell’art. 1341, comma 2, Codice Civile – Vedi Allegato 4.

13.1. Motivi tassativi per le modifiche

Systema360 può modificare i Termini esclusivamente per:

a) Adeguamento a obblighi normativi: modifiche di legge, regolamenti, provvedimenti Autorità Garante, sentenze vincolanti (es. nuove norme GDPR, normative servizi digitali, fiscali).

b) Evoluzioni tecnologiche sostanziali: introduzione funzionalità significative, migrazione infrastrutture, aggiornamenti architetturali che richiedano revisione livelli di servizio.

c) Variazioni dei costi di erogazione non marginali (> 10% annuo) e documentabili: infrastruttura, licenze software terze parti, servizi sub-responsabili, non assorbibili senza compromettere sostenibilità.

d) Adozione best practice di settore: aggiornamenti a standard industriali riconosciuti (ISO, NIST, ENISA) o linee guida autorità vigilanza.

e) Modifiche non sostanziali: correzioni refusi, chiarimenti terminologici, aggiornamenti contatti/riferimenti normativi che non alterino equilibrio contrattuale.

Modifiche sub (e) non richiedono preavviso e sono pubblicate direttamente su acepoint.it/terms.

13.2. Preavviso e comunicazione

Per modifiche sub (a)-(d):

preavviso: 60 giorni (modifiche generali); 90 giorni (modifiche al canone);
comunicazione tramite: email al referente amministrativo; banner persistente nell’area amministrativa (fino ad accettazione/recesso).

Contenuto comunicazione: clausole modificate con evidenziazione variazioni (vecchio vs nuovo); motivazione riferita a motivo tassativo art. 13.1; data entrata in vigore; diritto di recesso senza penali e modalità.

13.3. Diritto di recesso

Il Circolo che non accetti le modifiche può recedere senza penali entro la data di entrata in vigore. Comunicazione tramite modalità art. 7.2.

Conseguenze: risoluzione alla data di entrata in vigore delle modifiche; diritto all’esportazione dati (art. 7.6); rimborso pro-rata canoni già corrisposti per periodi successivi (entro 30 giorni).

Circoli in fase Early Access. Le modifiche al canone non incidono sui cicli promozionali residui di cui all’art. 6.2: i cicli scontati già maturati e quelli ancora da maturare entro il periodo promozionale comunicato all’adesione continuano ad applicarsi alla tariffa scontata in essere al momento dell’adesione al programma.

13.4. Accettazione tacita

L’uso continuato della Piattaforma dopo l’entrata in vigore equivale ad accettazione tacita. Per Consumatori: richiesta accettazione esplicita (checkbox al primo accesso) per modifiche sostanziali. Accettazione tacita solo per modifiche non sostanziali.

13.5. Modifiche ai canoni

Modifiche che incidono sul canone (aumenti o riduzioni):

preavviso 90 giorni;
non applicabili allo sconto promozionale Early Access in corso (i cicli scontati già maturati restano garantiti);
non applicabili al periodo in corso (solo periodi successivi);
sempre diritto recesso senza penali.

Per Consumatori: aumenti > tasso inflazione ISTAT anno precedente danno diritto di recesso senza penali e rimborso pro-rata.

13.6. Registro delle modifiche

Le versioni precedenti dei Termini sono archiviate internamente con data di pubblicazione, data di entrata in vigore, riepilogo delle modifiche principali e versione integrale in PDF, e rese disponibili al Circolo su richiesta a info@systema360.it.

Torna all’indice

14. Comunicazioni

14.1. Comunicazioni ufficiali

Le comunicazioni ufficiali (disdette, risoluzioni, contestazioni, opposizioni sub-responsabili) devono essere per iscritto tramite:

Dal Circolo a Systema360:

PEC: systema360@pec.it (preferita per comunicazioni con valore legale);
Email: info@systema360.it (per comunicazioni ordinarie);
Raccomandata A/R: Systema360 S.r.l., Via D. Di Giura, Centro Direzionale snc, 85100 Potenza (PZ).

Da Systema360 al Circolo:

Email: indirizzo referente amministrativo del Circolo;
PEC: indirizzo PEC del Circolo (se disponibile);
Raccomandata A/R: sede legale/residenza del Circolo.

14.2. Efficacia delle comunicazioni

Canale	Efficacia
PEC	Data generazione ricevuta di consegna
Email	Entro 24h dall’invio (salvo notifica bounce)
Raccomandata A/R	Data firma ricevuta di ritorno
Messaggi in-app	Momento visualizzazione nell’area amministrativa (con log)

14.3. Aggiornamento recapiti

Il Circolo si impegna a mantenere aggiornati i recapiti (email, PEC, indirizzo postale) tramite l’area amministrativa. Systema360 non è responsabile per mancate comunicazioni dovute a recapiti obsoleti o errati.

14.4. Comunicazioni non ufficiali

Comunicazioni informative, tecniche o promozionali (newsletter, changelog, notifiche sistema) tramite: email; notifiche push app mobile; banner area amministrativa; SMS (solo per comunicazioni urgenti sicurezza/disservizi critici).

Disattivazione comunicazioni promozionali: link di disattivazione in ogni email; impostazioni area amministrativa.

Le comunicazioni tecniche e di servizio non possono essere disattivate.

Torna all’indice

15. Legge applicabile e foro competente (*)

ATTENZIONE: la presente clausola richiede specifica approvazione per iscritto ai sensi dell’art. 1341, comma 2, Codice Civile – Vedi Allegato 4.

15.1. Legge applicabile

I presenti Termini sono regolati dalla legge italiana. Per quanto non espressamente previsto si applicano:

Codice Civile italiano;
Codice del Consumo (D.Lgs. 206/2005), quando il Circolo sia Consumatore;
normativa europea direttamente applicabile (GDPR, Regolamenti UE);
usi negoziali del settore SaaS (in quanto compatibili).

15.2. Foro competente – Rapporti B2B (*)

Per controversie con Circoli che non sono Consumatori (imprese, professionisti, enti, associazioni), le parti convengono facoltativamente la competenza del Foro di Potenza. Tale deroga è facoltativa e non preclude alla parte convenuta di eccepire la competenza di altro foro secondo il codice di procedura civile.

Richiede specifica approvazione per iscritto (art. 1341, comma 2 c.c.) – vedi Allegato 4.

15.3. Foro competente – Rapporti con Consumatori

Per controversie con Consumatori, si applica in via esclusiva e inderogabile il foro del luogo di residenza o domicilio del consumatore (art. 33, comma 2, lett. u, Codice del Consumo). Ogni clausola contraria è nulla e non produce effetti.

15.4. Risoluzione alternativa delle controversie

Prima di adire l’autorità giudiziaria, le parti si impegnano a tentare risoluzione bonaria mediante negoziazione assistita o mediazione (D.Lgs. 28/2010).

Per Consumatori. Possibilità di ricorrere a procedure ADR (Alternative Dispute Resolution) tramite gli organismi iscritti nell’elenco tenuto dal Ministero delle Imprese e del Made in Italy ai sensi del D.Lgs. 130/2015.

Il ricorso alle procedure ADR non preclude l’accesso alla tutela giurisdizionale.

15.5. Nullità parziale

Se una o più clausole sono dichiarate nulle, invalide o inefficaci, tale nullità non si estende alle restanti clausole, che rimangono pienamente valide ed efficaci. Le parti si impegnano a sostituire la clausola nulla con una clausola valida di contenuto analogo che realizzi, nella misura più vicina possibile, lo stesso risultato economico.

Torna all’indice

16. Contatti

Informazioni societarie

Fornitore: Systema360 S.r.l.
Sede legale: Via D. Di Giura, Centro Direzionale snc, 85100 Potenza (PZ)
P.IVA: 02227730765
Email: info@systema360.it
PEC: systema360@pec.it
Sito web: acepoint.it
Supporto tecnico: support@acepoint.it

Orari assistenza

Lun-Ven: 9:00-13:00 / 15:00-19:00 (esclusi festivi nazionali).

Piani Pro/Enterprise: orari estesi comunicati in area amministrativa.

Tempi di risposta

Tipologia richiesta	Tempo di risposta
Richieste commerciali	Entro 2 giorni lavorativi
Reclami e contestazioni	Entro 30 giorni
Esercizio diritti GDPR	Entro 30 giorni (art. 12 GDPR)

Systema360 si impegna a rispondere nei tempi indicati, fornendo riscontro completo o, se necessario, comunicazione intermedia sullo stato di lavorazione.

Torna all’indice

Allegato 1 – Data Processing Agreement (DPA)

Accordo di Nomina a Responsabile del Trattamento ai sensi dell’art. 28 GDPR.

Parti:

Titolare del Trattamento: il Circolo Cliente;
Responsabile del Trattamento: Systema360 S.r.l.

Il presente DPA è stipulato ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (GDPR) e disciplina il trattamento dei dati personali degli Utenti Finali del Circolo effettuato da Systema360 nell’ambito dell’erogazione del Servizio Acepoint.

A. Oggetto e durata del trattamento

A.1. Oggetto. Il Responsabile è autorizzato a trattare dati personali per conto del Titolare esclusivamente per: erogazione del Servizio Acepoint; gestione tecnica della Piattaforma (hosting, backup, manutenzione); assistenza tecnica al Titolare e agli Utenti Finali; prevenzione frodi e sicurezza informatica; adempimento obblighi di legge del Responsabile.

A.2. Durata. Il DPA ha la stessa durata del contratto principale e si rinnova automaticamente con esso. Cessa alla cessazione del contratto secondo le modalità dell’art. 7 dei Termini.

B. Natura e finalità del trattamento

B.1. Natura. Il Responsabile svolge: raccolta, registrazione e organizzazione dati inseriti dagli Utenti Finali; conservazione e archiviazione su database dedicati logicamente isolati; elaborazione, estrazione e consultazione per fornire funzionalità; comunicazione al Titolare tramite interfacce di visualizzazione ed esportazione; cancellazione al termine del rapporto (art. 7.6 Termini).

B.2. Finalità. Le finalità sono determinate dal Titolare e comprendono tipicamente: gestione rapporti associativi con i soci; gestione prenotazioni campi e servizi sportivi; gestione corsi, tornei ed eventi; elaborazione pagamenti; comunicazioni informative/promozionali agli Utenti Finali (se autorizzate); adempimento obblighi di legge del Titolare (es. documenti fiscali). Il Responsabile non utilizza i dati per finalità proprie diverse dall’erogazione del Servizio.

C. Categorie di dati e interessati

C.1. Tipologie di dati personali trattati:

Dati anagrafici comuni: nome, cognome, data/luogo nascita, codice fiscale, sesso.
Dati di contatto: email, telefono, indirizzo residenza/domicilio.
Dati di account: username, password (hash crittografico), immagine profilo.
Dati di utilizzo: storico prenotazioni, partecipazioni corsi/tornei, preferenze gioco, livello sportivo.
Dati di pagamento: dati carta (tokenizzati tramite payment processor PCI-DSS certificati – il Responsabile non accede ai dati completi), storico transazioni.
Dati di geolocalizzazione: indirizzo IP, localizzazione approssimativa (se fornita volontariamente).
Metadati tecnici: log accesso, user agent, timestamp, cookie tecnici.

C.2. Categorie particolari di dati (dati sensibili). Il Responsabile non tratta categorie particolari ex art. 9 GDPR. Eccezione: se il Titolare, sotto la propria esclusiva responsabilità e previo ottenimento delle basi giuridiche richieste dall’art. 9 GDPR, inserisce tali dati (es. certificati medico-sportivi), deve informare preventivamente il Responsabile, assicurarsi di avere consenso esplicito o altra base giuridica ex art. 9, comma 2 GDPR, applicare ulteriori misure di sicurezza.

C.3. Categorie di interessati. Gli interessati sono gli Utenti Finali del Circolo: soci; giocatori occasionali/ospiti (non soci); partecipanti a corsi, tornei ed eventi; istruttori e maestri collaboratori; eventuali contatti/accompagnatori indicati dagli Utenti Finali.

D. Obblighi e diritti del Titolare

D.1. Responsabilità del Titolare. Il Titolare è il solo responsabile di: liceità del trattamento ed esistenza di idonea base giuridica (art. 6 o 9 GDPR); correttezza, completezza e aggiornamento dei dati; rilascio agli Utenti Finali di informativa privacy conforme agli artt. 13-14 GDPR; ottenimento del consenso ove richiesto; risposta alle richieste degli interessati (artt. 15-22 GDPR, con assistenza del Responsabile); determinazione delle finalità e dei mezzi essenziali.

D.2. Istruzioni al Responsabile. Il Responsabile tratta i dati esclusivamente su istruzioni documentate del Titolare. Istruzioni iniziali: presenti Termini e allegati; configurazioni nell’area amministrativa; eventuali istruzioni specifiche per iscritto a info@systema360.it. Il Responsabile informa immediatamente il Titolare se ritiene che un’istruzione violi il GDPR, e sospende l’esecuzione fino a conferma o modifica.

D.3. Diritto di audit. Il Titolare ha diritto di verificare il rispetto degli obblighi del Responsabile tramite richiesta di documentazione o ispezioni/audit remoti (modalità art. 12.7 Termini).

E. Obblighi del Responsabile

E.1. Trattamento conforme. Il Responsabile si impegna a: trattare i dati solo su istruzione documentata del Titolare; garantire che le persone autorizzate si siano impegnate alla riservatezza; implementare le misure tecniche e organizzative (Sezione F); rispettare le condizioni per il ricorso a sub-responsabili (Sezione G); assistere il Titolare per richieste interessati (Sezione H); assistere il Titolare in caso di data breach (Sezione I); cancellare o restituire i dati al termine (Sezione L); mettere a disposizione informazioni per dimostrare la conformità.

E.2. Riservatezza. Solo personale strettamente necessario ha accesso ai dati; tutto il personale autorizzato è formato sulla protezione dati e vincolato a riservatezza; i dati di ciascun Circolo sono logicamente isolati (no accesso cross-tenant, salvo assistenza su richiesta).

E.3. Divieto di trattamenti non autorizzati. Il Responsabile non è autorizzato a utilizzare i dati degli Utenti Finali per finalità proprie (es. marketing Systema360 agli Utenti); comunicare o diffondere i dati a terzi non autorizzati; trasferire i dati fuori dallo SEE senza adeguate garanzie ex artt. 44-50 GDPR.

F. Misure tecniche e organizzative

Misure adeguate ai sensi dell’art. 32 GDPR. Le misure dettagliate sono nell’Allegato 3 – TOM e comprendono:

F.1. Misure tecniche: cifratura (TLS 1.2+ in transito, AES-256 a riposo); controllo accessi (MFA, RBAC); protezione reti (firewall, IDS/IPS, anti-DDoS); backup giornalieri cifrati con ridondanza geografica; log e audit trail (conservazione 12 mesi); vulnerability management (scansioni periodiche, patch management, penetration test annuali).

F.2. Misure organizzative: policy di sicurezza, incident response, disaster recovery; formazione annuale personale su GDPR e sicurezza; due diligence e clausole GDPR sui sub-responsabili; privacy by design e by default.

G. Sub-Responsabili del trattamento

G.1. Il Titolare autorizza il Responsabile a nominare sub-responsabili con autorizzazione generale (art. 28, comma 2 GDPR).

G.2. Elenco. Allegato 2. Per ciascun sub-responsabile: denominazione, sede, servizio fornito, tipologie dati, ubicazione trattamento.

G.3. Procedura di modifica. Ogni modifica (aggiunta/sostituzione) è comunicata con 30 giorni di preavviso (art. 12.3 Termini). Il Titolare può opporsi entro 15 giorni per legittime ragioni di protezione dati. Conseguenze opposizione: astensione dalla nomina; oppure proposta alternativa; oppure, se indispensabile, diritto di recesso del Titolare senza penali.

G.4. Obblighi verso i sub-responsabili. Il Responsabile si impegna a imporre a ciascun sub-responsabile, mediante contratto vincolante, gli stessi obblighi del DPA; verificare che offra garanzie sufficienti; rimanere pienamente responsabile verso il Titolare per l’adempimento degli obblighi del sub-responsabile.

G.5. Trasferimenti extra-SEE. Se un sub-responsabile tratta dati fuori dal SEE, il Responsabile garantisce adeguate garanzie (artt. 44-50 GDPR): Clausole Contrattuali Standard UE; decisioni di adeguatezza ex art. 45 GDPR; norme vincolanti d’impresa (BCR). Il Responsabile informa nell’Allegato 2 di eventuali trasferimenti extra-SEE e garanzie adottate.

H. Assistenza al Titolare – Diritti degli interessati

H.1. Il Titolare è responsabile di rispondere alle richieste per l’esercizio dei diritti (artt. 15-22 GDPR): accesso, rettifica, cancellazione/diritto all’oblio, limitazione, portabilità, opposizione.

H.2. Strumenti self-service. Il Responsabile mette a disposizione nell’area amministrativa: ricerca e visualizzazione dati di un Utente Finale; esportazione dati (portabilità); rettifica/aggiornamento; cancellazione account; sospensione/limitazione accesso.

H.3. Assistenza del Responsabile. Se il Titolare non può dare seguito autonomamente, può richiedere assistenza via ticket a support@acepoint.it indicando dati identificativi interessato, natura della richiesta, eventuale documentazione. Assistenza entro 10 giorni lavorativi (salvo complessità straordinarie).

H.4. Il Titolare deve rispondere all’interessato entro 30 giorni (prorogabili di 60 giorni in casi complessi, art. 12 comma 3 GDPR).

I. Assistenza al Titolare – Data breach

I.1. In caso di violazione dei dati personali (ex art. 4, n. 12 GDPR), il Responsabile notifica senza ingiustificato ritardo al Titolare.

I.2. Tempi. Notifica entro 24 ore dalla scoperta. Per violazioni complesse: notifica preliminare entro 24h con informazioni disponibili; aggiornamenti progressivi non appena ulteriori informazioni siano acquisite.

I.3. Contenuto. Ex art. 33, comma 3 GDPR (ove possibile): natura; categorie e numero interessati coinvolti; categorie e numero registri dati coinvolti; probabili conseguenze; misure adottate o proposte per rimediare; punto di contatto; descrizione incidente.

I.4. Assistenza nella valutazione. Il Responsabile assiste nel valutare se notificare all’Autorità Garante entro 72h (art. 33 GDPR) e/o comunicare agli interessati senza ingiustificato ritardo (art. 34 GDPR, se rischio elevato).

I.5. Misure correttive. Il Responsabile adotta immediatamente misure per contenere la violazione e limitarne gli effetti; ripristinare la sicurezza dei sistemi compromessi; prevenire ulteriori violazioni. Documenta ogni violazione in registro interno (art. 33, comma 5 GDPR).

L. Restituzione e cancellazione dei dati

L.1. Obblighi al termine. Il Responsabile (su scelta del Titolare): restituisce tutti i dati personali tramite esportazione (art. 7.6 Termini); oppure cancella tutti i dati in modo sicuro e irreversibile.

L.2. Tempi. Entro 30 giorni dalla cessazione, se nessuna richiesta esportazione; entro 15 giorni lavorativi dalla richiesta, se esportazione richiesta.

L.3. Eccezioni. Esclusi dalla cancellazione: dati per obblighi di legge (es. fatturazione 10 anni ex D.P.R. 600/1973); copie di backup (sovrascritte entro 30 giorni ulteriori); dati aggregati e anonimizzati irreversibilmente. Per dati conservati per obblighi di legge: conservazione in forma isolata e protetta, cancellazione allo scadere dell’obbligo, attestazione scritta al Titolare.

L.4. Attestazione di cancellazione. Su richiesta del Titolare, attestazione scritta indicando data, modalità cancellazione sicura, eventuali eccezioni.

M. Responsabilità e indennizzo

M.1. Responsabilità solidale. Ai sensi dell’art. 82 GDPR, Titolare e Responsabile sono responsabili solidalmente verso gli interessati per danni derivanti da trattamenti in violazione del GDPR.

M.2. Diritto di rivalsa. Nei rapporti interni: il Responsabile risponde solo dei danni causati quando non abbia adempiuto gli obblighi GDPR diretti ai responsabili o abbia agito in modo difforme/contrario alle istruzioni legittime del Titolare; il Titolare risponde dei danni da proprie istruzioni illecite o mancato adempimento propri obblighi. Il Responsabile che abbia risarcito integralmente ha diritto di rivalsa verso il Titolare per la parte di responsabilità imputabile al Titolare.

N. Durata e modifiche del DPA

N.1. Durata. Entra in vigore contestualmente ai Termini, stessa durata.

N.2. Modifiche. Il DPA può essere modificato per adeguamenti normativi (linee guida EDPB, provvedimenti Garante) con comunicazione informativa, senza necessità di accettazione; per modifiche sostanziali richieste dal Responsabile con modalità art. 13 Termini (preavviso, diritto recesso). Modifiche che incidano sugli obblighi del Responsabile in senso peggiorativo per il Titolare richiedono accettazione esplicita del Titolare.

N.3. Prevalenza. In caso di contrasto tra Termini e DPA, prevale il DPA per tutto ciò che attiene al trattamento dei dati personali.

Torna all’indice

Allegato 2 – Lista Sub-Responsabili del Trattamento

Elenco aggiornato alla data di pubblicazione dei Termini. Ogni modifica (aggiunta/sostituzione) comunicata con 30 giorni di preavviso (art. 12.3 Termini).

1. Infrastruttura Cloud, Database, Storage, Email Transazionale, Backup, Analytics e Search Engine self-hosted

Fornitore: Aruba S.p.A.
Sede: Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia
Servizio: hosting Cloud VPS, database PostgreSQL, storage file applicativi, Object Storage S3-compatibile per backup off-site cifrato (endpoint s3.it1.cloud.it), invio email transazionali via SMTP (smtps.aruba.it). Sulla medesima infrastruttura sono ospitati, in modalità self-hosted, anche Umami Analytics (analytics.acepoint.it, web analytics cookieless e aggregato) e Typesense (motore di ricerca interno per prenotazioni e contenuti, nessun trasferimento di dati a Typesense Inc.).
Dati trattati: tutti i dati presenti nella Piattaforma (anagrafici, prenotazioni, pagamenti, email transazionali, log accesso, indici di ricerca, statistiche di navigazione aggregate)
Ubicazione: Italia (data center Aruba in territorio nazionale)
Garanzie extra-UE: non applicabile (trattamento in Italia, nessun trasferimento)
Certificazioni: ISO 27001

2. Servizi di Pagamento (Payment Gateway)

Fornitore: Stripe Payments Europe Ltd
Sede: 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, Irlanda
Servizio: elaborazione pagamenti, tokenizzazione carte, prevenzione frodi
Dati trattati: dati di pagamento (carte tokenizzate), importi transazioni, dati anagrafici del pagatore
Ubicazione: UE e USA (trasferimento infra-gruppo verso Stripe Inc.)
Garanzie extra-UE: Clausole Contrattuali Standard UE
Certificazioni: PCI-DSS Level 1, ISO 27001

3. Servizi di Notifiche Push e Geolocalizzazione (app mobile e gestionale)

Fornitore: Google Ireland Ltd
Sede: Gordon House, Barrow Street, Dublino 4, Irlanda
Servizio: Firebase Cloud Messaging per notifiche push verso app mobile; Google Maps Platform per geocoding indirizzi e visualizzazione mappe
Dati trattati: token dispositivo mobile, indirizzi (testo libero), coordinate geografiche (latitudine/longitudine)
Ubicazione: UE e USA (trasferimento infra-gruppo verso Google LLC)
Garanzie extra-UE: Clausole Contrattuali Standard UE; adesione al Data Privacy Framework UE-USA (decisione di adeguatezza 2023)
Certificazioni: ISO 27001, ISO 27017, ISO 27018, SOC 2 Type II

Note: la Piattaforma non utilizza cookie analitici o di marketing di terze parti; il servizio di analytics è self-hosted sulla medesima infrastruttura Aruba descritta al punto 1. L’elenco potrà essere integrato a fronte dell’effettiva attivazione di ulteriori servizi (es. SMS transazionali, error tracking esterno). Ogni aggiunta sarà notificata ai Circoli con le modalità dell’art. 12.3 Termini.

Torna all’indice

Allegato 3 – Misure Tecniche e Organizzative (TOM)

Misure adottate da Systema360 per garantire sicurezza adeguata al rischio ai sensi dell’art. 32 GDPR. Revisione e aggiornamento periodici per evoluzione tecnologica, natura/oggetto/contesto trattamento, rischi per diritti e libertà.

1. Pseudonimizzazione e cifratura

1.1. Cifratura dati in transito

TLS 1.2+ per tutte le comunicazioni client-server;
certificati SSL/TLS da CA riconosciute, rinnovo automatico;
HSTS abilitato per forzare HTTPS.

1.2. Cifratura dati a riposo

AES-256 per database con dati personali;
cifratura storage per file, allegati, immagini;
Key Management Service (KMS) certificato, rotazione periodica chiavi.

1.3. Pseudonimizzazione

hash crittografici (bcrypt, Argon2) per password (mai in chiaro);
tokenizzazione dati carte tramite payment processor PCI-DSS;
UUID nei log al posto di identificativi diretti (ove possibile).

2. Controllo accessi

2.1. Autenticazione forte

password policy robuste: min 8 caratteri, complessità, scadenza opzionale;
MFA obbligatoria per personale Systema360;
MFA facoltativa per amministratori Circoli (raccomandata);
SSO per personale interno.

2.2. RBAC (Role-Based Access Control)

principio minimo privilegio: accesso solo ai dati necessari;
ruoli predefiniti per Circoli (amministratore, operatore, istruttore, socio) con permessi granulari;
segregazione dati: isolamento logico database per Circolo (no cross-tenant);
revisione trimestrale accessi: revoca personale cessato.

2.3. Protezione accessi fisici

data center certificati (ISO 27001, SOC 2): badge, videosorveglianza, sicurezza H24;
policy clean desk/clear screen per postazioni personale.

3. Protezione rete e sistemi

3.1. Firewall e segmentazione

WAF per OWASP Top 10;
firewall rete con regole restrittive (whitelist IP/porte);
segmentazione: separazione produzione/amministrativa/sviluppo.

3.2. Protezione DDoS e IDS/IPS

protezione anti-DDoS a livello di infrastruttura Cloud (Aruba);
IDS/IPS (Intrusion Detection/Prevention);
rate limiting su API ed endpoint critici.

3.3. Antimalware

soluzioni enterprise su server e postazioni, aggiornamento automatico;
scansioni file caricati prima dello storage.

4. Backup e Disaster Recovery

4.1. Backup automatici

giornalieri di database e file system (ore notturne);
conservazione 30 giorni con rotazione automatica;
ridondanza geografica: replica su data center zone diverse (multi-region);
cifratura AES-256 di tutti i backup.

4.2. Test di ripristino

test restore trimestrali per verifica integrità e tempi;
documentazione procedure ripristino aggiornata.

4.3. Business Continuity e DR

RTO (Recovery Time Objective): 12 ore da evento catastrofico;
RPO (Recovery Point Objective): max perdita dati 24 ore (ultimo backup);
piano DR documentato, testato annualmente, failover geograficamente ridondante.

5. Logging e monitoraggio

5.1. Logging eventi sicurezza

registrazione eventi critici (accessi amministrativi, modifiche configurazioni sicurezza, tentativi falliti, operazioni su dati sensibili);
conservazione log 12 mesi (estendibile per indagini forensi);
protezione log: storage immutabile (WORM), cifratura, accesso limitato.

5.2. Monitoraggio proattivo

monitoraggio 24/7: performance, disponibilità, anomalie sicurezza;
alerting automatico per eventi critici (intrusioni, data breach potenziali);
SIEM (Security Information and Event Management) per correlazione eventi.

6. Gestione vulnerabilità

6.1. Patch management

patch critiche: entro 48h;
patch importanti: entro 7 giorni;
patch minori: entro 30 giorni;
scansioni vulnerabilità automatiche settimanali;
monitoraggio CVE librerie open source.

6.2. Penetration testing

test annuali da società esterne indipendenti (o dopo rilasci maggiori);
bug bounty program (in roadmap).

6.3. Secure development

code review obbligatoria (peer review);
SAST/DAST integrati in CI/CD;
formazione sviluppatori su OWASP Top 10.

7. Misure organizzative

7.1. Policy e procedure. Systema360 ha adottato: Information Security Policy; Data Protection Policy; Incident Response Policy; Access Control Policy; Acceptable Use Policy.

7.2. Formazione e sensibilizzazione

formazione iniziale obbligatoria per neoassunti: GDPR, sicurezza, confidenzialità, incident response;
aggiornamenti annuali su novità normative, minacce, best practice;
simulazioni phishing periodiche;
formazione specialistica per sviluppo (secure coding) e supporto (gestione dati).

7.3. Gestione personale

clausole riservatezza in contratti lavoro/collaborazione (persistenti post-cessazione);
background check per personale con accesso dati critici (ove consentito);
offboarding: revoca accessi entro 24h da cessazione rapporto.

7.4. Gestione fornitori

due diligence pre-nomina: conformità GDPR, certificazioni (ISO 27001, SOC 2);
contratti vincolanti con clausole GDPR art. 28 per tutti i sub-responsabili;
audit periodici su sub-responsabili (annuali o su richiesta);
monitoraggio continuo SLA e obblighi sicurezza.

8. Privacy by design e by default

8.1. Principi di progettazione

minimizzazione dati: raccolta solo dati necessari;
limitazione conservazione: cancellazione automatica dati non più necessari;
limitazione finalità: uso solo per finalità dichiarate.

8.2. Impostazioni privacy-friendly default

visibilità dati: default massima protezione (profilo non pubblico, dati solo per admin Circolo);
consensi facoltativi: richiesti esplicitamente, mai preselezionati;
opt-in marketing: no comunicazioni promozionali senza consenso esplicito.

9. Certificazioni e conformità

Roadmap certificazioni:

ISO/IEC 27001: Sistema Gestione Sicurezza Informazioni (prevista entro Q4 2026);
SOC 2 Type II: audit controlli sicurezza, disponibilità, confidenzialità (prevista entro Q2 2027);
PCI-DSS: tramite payment processor certificati (Systema360 non conserva dati carte, no certificazione diretta richiesta);
Certificazione GDPR: adesione a schemi ex art. 42 GDPR quando disponibili.

10. Revisione e aggiornamento

Revisione almeno annuale o in caso di: nuove minacce/vulnerabilità significative; modifiche sostanziali architettura Piattaforma; evoluzione normativa (linee guida EDPB); esito audit/penetration test con necessità di miglioramenti. Aggiornamenti sostanziali comunicati ai Circoli via email.

Torna all’indice

Allegato 4 – Clausole vessatorie (art. 1341 c.c.)

Specifica approvazione per iscritto ai sensi dell’art. 1341, comma 2, Codice Civile.

Dichiarazione di approvazione specifica

Il sottoscritto [Nome Cognome / Denominazione Circolo], in qualità di legale rappresentante/titolare del Circolo Cliente, dichiara di aver letto attentamente, compreso e di approvare specificamente le seguenti clausole:

1. Art. 7.1 – Rinnovo tacito

“Il contratto ha durata pari al periodo di fatturazione prescelto (mensile o annuale) e si rinnova tacitamente per periodi di uguale durata, salvo disdetta comunicata dal Circolo con le modalità di cui all’art. 7.2.”