Accordo sul trattamento dei dati

1. Oggetto e durata

Il Fornitore tratta i dati personali contenuti nei registri del Cliente per la sola durata del servizio e al solo scopo di erogarlo.

2. Dati e persone interessate

Dati identificativi e professionali del personale del Cliente (nome, ruolo, corsi di formazione), dei collaboratori con accesso all'app e, se presenti nei documenti caricati, di fornitori persone fisiche. Non sono richiesti né trattati dati particolari (art. 9 GDPR).

3. Istruzioni e riservatezza

Il Fornitore tratta i dati solo su istruzione documentata del Cliente (queste condizioni e l'uso dell'app) e lo avvisa se ritiene che un'istruzione violi la legge. Le persone autorizzate al trattamento sono vincolate alla riservatezza.

4. Misure di sicurezza (art. 32)

• Cifratura delle connessioni e delle password.

• Separazione dei dati tra locali con regole di accesso a livello di database.

• Permessi distinti per titolare e collaboratori; registro dei tentativi di accesso con limiti contro gli abusi.

• Documenti in uno spazio privato e copie di sicurezza.

• Verifiche periodiche del codice e delle impostazioni di sicurezza.

5. Sub-responsabili

Il Cliente autorizza in via generale i sub-responsabili elencati sotto. Il Fornitore comunica ogni aggiunta o sostituzione con un preavviso di almeno 15 giorni; il Cliente può opporsi per fondati motivi.

• Supabase: archiviazione dei dati, accesso degli utenti e file caricati (Unione Europea (Irlanda))

• Google: lettura automatica dei documenti caricati (DDT e fatture) (UE e Stati Uniti, con garanzie adeguate)

• Vercel: hosting dell'applicazione web (UE e Stati Uniti, con garanzie adeguate), previsto

• Stripe: pagamento dell'abbonamento (Unione Europea), previsto

• Servizio di invio email (da scegliere): codici di accesso e comunicazioni di servizio (Unione Europea), previsto

6. Diritti degli interessati

Il Fornitore assiste il Cliente, con misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati.

7. Violazioni dei dati

Il Fornitore informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali, con le informazioni utili alla notifica.

8. Restituzione e cancellazione

Alla fine del servizio il Cliente può esportare i dati. Il servizio resta in sola lettura per 30 giorni dopo una prova gratuita non seguita da un abbonamento e per 365 giorni dopo un abbonamento terminato; in questo secondo caso il Fornitore invia al Cliente, prima della cancellazione, i registri mese per mese in formato CSV.

Allo scadere di questi periodi il Fornitore cancella i dati, compresi i file caricati e le copie al termine del loro ciclo di conservazione, salvo obblighi di legge. Il Cliente può cancellare il locale in qualsiasi momento dal Profilo.

9. Verifiche

Il Fornitore mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche ragionevoli, con preavviso.

10. Trasferimenti fuori dall'UE

Eventuali trasferimenti avvengono solo con garanzie adeguate (clausole contrattuali standard o decisione di adeguatezza).