Accordo sul Trattamento dei Dati (DPA)

Il presente DPA si applica al trattamento dei Dati Personali che il Processor effettua per conto del Controller nell'ambito dell'utilizzo della Piattaforma.

Categorie di dati trattati:

• Dati identificativi: denominazione, nome e cognome
• Dati fiscali: Partita IVA, Codice Fiscale, tipo documento, codice destinatario
• Dati finanziari: importi fattura, aliquote IVA, IBAN, modalita di pagamento
• Dati di contatto: email, PEC, telefono, indirizzo

Categorie di interessati:

• Clienti e fornitori del Controller (soggetti le cui fatture sono elaborate)
• Dipendenti e collaboratori del Controller (se presenti nei documenti)

Finalita del trattamento:

• Estrazione automatica di dati strutturati da fatture elettroniche (XML/PDF)
• Riconciliazione fatture, calcoli fiscali, gestione scadenze
• Esportazione in formati gestionali (TeamSystem, Zucchetti, Wolters Kluwer)
• Conservazione temporanea per consultazione e storico

Durata: Il trattamento dura per tutta la durata del contratto di servizio. Al termine, i dati vengono cancellati secondo la policy di retention (default: 365 giorni dalla creazione).

Il Processor si impegna a:

1. Trattare i Dati Personali esclusivamente sulla base delle istruzioni documentate del Controller e per le finalita specificate nel presente DPA (Art. 28(3)(a) GDPR).
2. Garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza (Art. 28(3)(b) GDPR).
3. Adottare tutte le misure di sicurezza richieste dall'Art. 32 GDPR, incluse:
   • Crittografia AES-256-GCM per i dati sensibili nel database
   • Autenticazione JWT con cookie HttpOnly e SameSite
   • HTTPS obbligatorio (HSTS)
   • Isolamento multi-tenant (ogni utente accede solo ai propri dati)
   • Security headers (CSP, X-Frame-Options, X-Content-Type-Options)
   • Audit logging completo di tutte le operazioni
4. Non ricorrere a un Sub-responsabile senza previa autorizzazione generale o specifica del Controller (Art. 28(2) GDPR). La lista dei sub-responsabili e' disponibile alla pagina /sub-processors.
5. Assistere il Controller nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilita) — Art. 28(3)(e) GDPR.
6. Assistere il Controller nell'adempimento degli obblighi di sicurezza, notifica di violazioni, DPIA e consultazione preventiva — Art. 28(3)(f) GDPR.
7. Su scelta del Controller, cancellare o restituire tutti i Dati Personali al termine del servizio — Art. 28(3)(g) GDPR.
8. Mettere a disposizione del Controller tutte le informazioni necessarie per dimostrare il rispetto degli obblighi — Art. 28(3)(h) GDPR.

Il Controller autorizza in via generale il ricorso ai Sub-responsabili elencati nella pagina Sub-responsabili. Il Processor informera il Controller di qualsiasi modifica alla lista con almeno 30 giorni di preavviso, consentendo al Controller di opporsi.

Il Processor garantisce che i Sub-responsabili siano vincolati da obblighi contrattuali equivalenti a quelli previsti dal presente DPA.

Hosting primario: I dati sono conservati su server self-hosted in Italia (UE). Nessun trasferimento extra-UE per i dati archiviati.

Trasferimento a OpenAI (USA): Quando l'estrazione regex da PDF non raggiunge una completezza sufficiente, il testo estratto (fino a 4.000 caratteri) viene inviato all'API OpenAI per l'estrazione strutturata. Questo trasferimento avviene sulla base di:

• Clausole Contrattuali Standard (SCC) — incluse nel DPA di OpenAI
• EU-US Data Privacy Framework (DPF) — OpenAI e' certificata DPF
• I dati sono anonimizzati il piu possibile prima dell'invio
• OpenAI non utilizza i dati API per l'addestramento dei modelli

Google APIs: Quando l'utente connette il proprio account Google, i dati vengono trasferiti ai servizi Google (Sheets, Gmail, Calendar) secondo il DPA di Google Workspace. L'utente controlla questa connessione e puo revocarla in qualsiasi momento.

Stripe: I dati di pagamento sono gestiti direttamente da Stripe (certificato PCI DSS Level 1) e non transitano per i nostri server.

In caso di Violazione dei Dati, il Processor notifichera il Controller senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, fornendo:

• Descrizione della natura della violazione
• Categorie e numero approssimativo di interessati coinvolti
• Conseguenze probabili della violazione
• Misure adottate o proposte per porvi rimedio

Il Processor assistera il Controller nell'adempimento degli obblighi di notifica al Garante (Art. 33 GDPR) e di comunicazione agli interessati (Art. 34 GDPR).

Il Controller ha il diritto di verificare la conformita del Processor al presente DPA, mediante:

• Richiesta di informazioni e documentazione
• Audit condotti dal Controller o da un revisore terzo incaricato, con ragionevole preavviso (almeno 30 giorni) e durante il normale orario lavorativo

Il Processor fornira ragionevole cooperazione, fatto salvo l'obbligo di proteggere informazioni riservate di altri clienti e segreti industriali.

Per i trasferimenti di dati personali verso paesi al di fuori dello Spazio Economico Europeo (SEE) che non beneficiano di una decisione di adeguatezza, le parti incorporano per riferimento le Clausole Contrattuali Standard adottate dalla Commissione Europea con Decisione di Esecuzione (UE) 2021/914 del 4 giugno 2021.

Modulo applicabile: Modulo 2 (Trasferimento da Controller a Processor)

• Clausola 7: si applica la clausola di adesione opzionale
• Clausola 9(a): si applica l'OPZIONE 2 (autorizzazione generale scritta) con periodo di preavviso di 30 giorni
• Clausola 11: l'organismo di risoluzione delle controversie opzionale non si applica
• Clausola 13: l'autorita' di controllo competente e' il Garante per la Protezione dei Dati Personali (Italia)
• Clausola 17: le SCCs sono regolate dalla legge italiana
• Clausola 18: le controversie sono risolte davanti al Foro di Santa Maria Capua Vetere

L'Allegato I (parti, descrizione del trasferimento) e l'Allegato II (misure tecniche e organizzative) sono definiti nelle rispettive sezioni del presente DPA.

Per i clienti nel Regno Unito, i trasferimenti di dati personali sono coperti da:

• UK-UE: i trasferimenti dal UK all'UE (Italia) sono coperti dalla decisione di adeguatezza dell'UE per il Regno Unito e viceversa (UK adequacy regulations)
• UK verso paesi terzi: le parti incorporano per riferimento l'International Data Transfer Agreement (IDTA) emesso dall'ICO, oppure le SCCs UE con l'UK Addendum (International Data Transfer Addendum to the EU Commission Standard Contractual Clauses) approvato dall'ICO il 21 marzo 2022

L'autorita' di controllo competente per il UK e' l'Information Commissioner's Office (ICO).

Per i clienti soggetti al California Consumer Privacy Act (CCPA) / California Privacy Rights Act (CPRA):

• Il Processor agisce come "Service Provider" ai sensi del CCPA (Cal. Civ. Code § 1798.140(ag))
• Il Processor tratta le informazioni personali esclusivamente per conto del Controller e per le finalita' commerciali specificate nel presente DPA
• Il Processor non vendera' le informazioni personali ricevute dal Controller
• Il Processor non condividera' le informazioni personali per pubblicita' comportamentale cross-context
• Il Processor non conservera', utilizzera' o divulghera' le informazioni personali per finalita' diverse dall'erogazione del servizio
• Il Processor certifica di comprendere e rispettare le restrizioni sopra indicate