Accordo sul trattamento dei dati

1. Parti e oggetto

Il presente accordo regola il trattamento di dati personali che DAGTECH, P.IVA 10169631214, Via Casalanno 18, 80010 Quarto (NA) ("Responsabile") svolge per conto di chi usa FattureXL per elaborare fatture elettroniche ricevute da terzi, in particolare studi professionali e uffici amministrativi ("Titolare"), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR).

In sintesi: le fatture non vengono conservate. Ogni file è letto ed elaborato in memoria per il tempo della singola richiesta e poi scartato; il Responsabile non tiene archivi, database o copie dei file o dei dati estratti.

L'accordo si applica a ogni utilizzo del servizio da parte del Titolare e si intende accettato con il caricamento dei file. Su richiesta il Responsabile fornisce una copia firmata.

2. Natura, finalità e durata del trattamento

Il Responsabile legge i file XML, P7M o ZIP caricati dal Titolare, ne estrae i dati, esegue i controlli richiesti e produce l'anteprima e i file Excel o CSV. Non svolge altre attività sui dati delle fatture.

Il trattamento dura il tempo della singola richiesta. I file e i dati estratti sono elaborati in memoria e non vengono salvati su disco né in database; tra anteprima e download i dati viaggiano firmati dentro la pagina del Titolare.

3. Tipi di dati e categorie di interessati

Dati presenti nelle fatture elettroniche: denominazione o nome e cognome, codice fiscale, partita IVA, indirizzo, IBAN, importi, descrizioni delle operazioni, date.

Interessati: fornitori e clienti del Titolare o dei suoi assistiti che siano persone fisiche, comprese ditte individuali e professionisti.

Il servizio non è pensato per categorie particolari di dati (art. 9 GDPR). Se le descrizioni delle fatture ne contengono, per esempio prestazioni sanitarie, sono trattate solo per la conversione e alle stesse condizioni, senza conservazione.

4. Istruzioni e obblighi del Responsabile

Il Responsabile tratta i dati solo per eseguire la conversione e i controlli richiesti dal Titolare, che costituiscono le sue istruzioni documentate, e informa il Titolare se ritiene che un'istruzione violi la normativa.

Le persone autorizzate al trattamento sono vincolate alla riservatezza.

Il Responsabile non usa i dati per finalità proprie, non li cede e non li usa per addestrare modelli o profilare gli interessati.

5. Misure di sicurezza (art. 32 GDPR)

Elaborazione esclusivamente in memoria, nessuna conservazione dei file; connessioni cifrate (HTTPS); dati tra anteprima e download protetti da firma crittografica (HMAC) contro alterazioni; limiti di frequenza contro gli abusi; funzioni eseguite in Unione europea (Francoforte, Germania).

6. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati da obblighi di protezione dei dati equivalenti:

Vercel Inc.: hosting del sito e delle funzioni che elaborano i file caricati. Luogo di elaborazione: UE (Francoforte). Dati: file caricati, solo in memoria per la durata della richiesta; registri tecnici delle richieste (log).

Upstash Inc.: contatore del limite gratuito e statistiche aggregate. Luogo di elaborazione: UE (Francoforte). Dati: impronta cifrata dell'indirizzo IP per 24 ore e totali giornalieri, nessun dato delle fatture.

Il Responsabile comunica eventuali modifiche aggiornando questa pagina con almeno 15 giorni di anticipo; il Titolare può opporsi smettendo di usare il servizio.

Operano come titolari autonomi, fuori da questo accordo: Polar Software Inc. (vendita, pagamento, fatturazione e verifica dei codici di licenza come rivenditore autorizzato (merchant of record), senza dati delle fatture); Google Ireland Ltd (misura delle conversioni degli annunci, solo con consenso ai cookie).

7. Trasferimenti fuori dall'Unione europea

I file caricati sono elaborati in Unione europea (Francoforte, Germania). Eventuali accessi da fuori dall'Unione, per esempio per assistenza tecnica sui sistemi, avvengono con queste garanzie: Vercel Inc., società statunitense certificata nel Data Privacy Framework UE-USA; Upstash Inc., società statunitense; eventuali trasferimenti coperti dalle clausole contrattuali tipo del suo accordo sul trattamento dei dati.

8. Assistenza al Titolare

Il Responsabile assiste il Titolare nel rispondere alle richieste degli interessati (artt. 15-22 GDPR) e negli adempimenti degli artt. 32-36, nei limiti delle informazioni di cui dispone. Poiché i dati non sono conservati, nella maggior parte dei casi non esistono dati da esibire, rettificare o cancellare.

9. Violazioni dei dati personali

Poiché i file e i dati estratti non vengono conservati, non esiste un archivio di fatture che possa essere sottratto o violato. Una violazione potrebbe riguardare solo i dati durante l'elaborazione di una richiesta, per esempio un difetto che renda visibile il risultato a chi non lo ha richiesto, oppure i registri tecnici delle richieste (log) tenuti dai fornitori di hosting.

In quei casi, come richiesto dall'art. 33, paragrafo 2, del GDPR, il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni disponibili: al contatto che il Titolare ha indicato scrivendo a andrea@dagtech.io e, in ogni caso, con un avviso pubblicato su https://fatturexl.it.

10. Cancellazione al termine

Non c'è nulla da cancellare a richiesta: i dati sono scartati automaticamente al termine di ogni richiesta. Al termine del rapporto non restano dati del Titolare da restituire o cancellare, salvo i registri tecnici delle richieste (log) conservati dai fornitori di hosting per il periodo previsto dai loro accordi.

11. Verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche ragionevoli, concordate con preavviso scritto a andrea@dagtech.io.