Registro delle Attivita' di Trattamento (RoPA)
Ai sensi dell'Art. 30 del GDPR, il seguente registro documenta tutte le attivita' di trattamento dei dati personali effettuate dalla piattaforma TDS Automation Platform.
Titolare del Trattamento
Ragione Sociale: TDS AI Systems di Paolo Consorti
Sede: Via Enrico de Nicola 2, 81055 Santa Maria Capua Vetere (CE), Italia
DPO/Contact: privacy@tds-automation.com
Registro delle Attivita' di Trattamento
| # | Attivita' | Finalita' | Base Giuridica | Categorie Dati | Destinatari | Conservazione |
|---|---|---|---|---|---|---|
| 1 | Registrazione Utente | Creazione account, autenticazione | Art. 6(1)(b) | Email, nome, password (hash bcrypt) | Nessuno | Fino a cancellazione account |
| 2 | Google OAuth | Login e integrazione Workspace | Art. 6(1)(a) | Email Google, token (crittografato AES-256-GCM) | Google LLC | Fino a disconnessione |
| 3 | DocuAI Extractor | Estrazione dati da fatture elettroniche | Art. 6(1)(a) | Dati fiscali, finanziari, identificativi (crittografati) | OpenAI (solo testo anonimizzato, se AI fallback attivato) | 365 giorni |
| 4 | NormaWatch | Monitoraggio normativa fiscale | Art. 6(1)(f) | Articoli RSS (dati pubblici) | Nessuno | 365 giorni |
| 5 | FatturaSync | Gestione e export fatture | Art. 6(1)(a) | Dati fattura estratti (crittografati) | Google Sheets (se collegato dall'utente) | 365 giorni |
| 6 | ClientConnect | Gestione anagrafica clienti | Art. 6(1)(b) | Denominazione, P.IVA, CF, email, telefono | Nessuno | Fino a cancellazione account |
| 7 | Pagamenti Stripe | Gestione abbonamenti | Art. 6(1)(b) | Email, ID Stripe, piano | Stripe Inc. | Durata contratto + obblighi fiscali |
| 8 | Audit Log | Sicurezza e tracciabilita' | Art. 6(1)(f) | IP, user agent, azione, timestamp | Nessuno | 365 giorni |
| 9 | AI Assistant | Assistenza utente in tempo reale | Art. 6(1)(f) | Messaggi anonimizzati (PII rimossa prima dell'invio). Nessun dato salvato server-side. | OpenAI (solo testo anonimizzato; nessun addestramento; conservazione fino a 30 giorni presso il fornitore; Zero Data Retention richiesta, non attiva) | Nessuna retention server-side. Solo localStorage browser. |
Misure Tecniche e Organizzative (Art. 32)
- Crittografia at rest: AES-256-GCM (chiave separata dal JWT signing key)
- Crittografia in transito: HTTPS/TLS (HSTS max-age=31536000)
- Autenticazione: JWT + bcrypt, cookie HttpOnly/Secure/SameSite
- Isolamento multi-tenant: ogni utente accede solo ai propri dati
- Rate limiting: 10/min login, 30/min upload, 60/min export
- Security headers: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
- Elaborazione file in memoria (zero persistenza su disco)
- Anonimizzazione PII prima dell'invio a servizi AI esterni
- Backup: PostgreSQL su NAS con Docker volume persistente
- Audit trail completo con IP, user agent, timestamp
- Data retention automatica con purge periodico
Ultimo aggiornamento: 2 marzo 2026