Accordo sul trattamento dei dati ai sensi dell’articolo 28 GDPR

1. Parti, ruoli e oggetto

Lo Studio che aderisce al servizio, di seguito “Titolare”, determina finalità e mezzi essenziali dei trattamenti professionali effettuati sui dati dei propri clienti. Alessandro Munzi, di seguito “Responsabile”, tratta tali dati per conto del Titolare mediante la piattaforma ForPilot.

Il presente accordo disciplina i trattamenti affidati al Responsabile e costituisce parte del rapporto di servizio. Le attività per le quali il gestore determina finalità e mezzi in autonomia, come sicurezza propria, amministrazione contrattuale e adempimenti legali, restano soggette alla relativa informativa come trattamenti da titolare autonomo.

2. Durata, natura e finalità

Il trattamento dura per l’erogazione del servizio e per il periodo necessario a restituzione, cancellazione, pseudonimizzazione o conservazione su istruzione documentata. Ha natura automatizzata e comprende raccolta, registrazione, organizzazione, conservazione, consultazione, importazione, elaborazione, comunicazione tecnica, esportazione, limitazione, cancellazione e protezione dei dati.

Le finalità consistono nel fornire le funzioni richieste dal Titolare: gestione clienti e account, importazione di fatture e incassi, documenti, messaggi, calcoli e simulazioni, report, assistenza, integrazioni, continuità, sicurezza e strumenti AI eventualmente abilitati.

3. Interessati e categorie di dati

Gli interessati possono comprendere clienti e potenziali clienti dello Studio, loro dipendenti, collaboratori, referenti, fornitori e soggetti presenti nei documenti caricati.

Possono essere trattati dati identificativi, di contatto, fiscali, contabili, economici, previdenziali, professionali, documentali, relativi a fatture, incassi, comunicazioni, utilizzo e sicurezza. Eventuali categorie particolari o dati giudiziari presenti nei documenti sono trattati soltanto se caricati dal Titolare sotto la propria responsabilità e sulla base di istruzioni e presupposti conformi alla normativa.

4. Istruzioni del Titolare

Il Responsabile tratta i dati esclusivamente secondo le istruzioni documentate del Titolare, costituite dal presente accordo, dalle configurazioni della piattaforma e dalle richieste registrate tramite i canali di servizio, anche con riferimento a cancellazione, conservazione e trasferimenti internazionali.

Se una disposizione dell’Unione o nazionale impone un trattamento ulteriore, il Responsabile informa preventivamente il Titolare, salvo divieto legale. Il Responsabile informa senza ritardo il Titolare qualora ritenga che un’istruzione violi il GDPR o altra normativa applicabile e può sospenderne l’esecuzione in attesa di chiarimenti.

5. Obblighi del Titolare

Il Titolare garantisce la liceità della raccolta e delle istruzioni, individua basi giuridiche e tempi applicabili, fornisce le informative agli interessati, limita utenti e dati a quanto necessario, mantiene aggiornate le autorizzazioni e valuta le richieste di esercizio dei diritti. Il Titolare non utilizza ForPilot per trattamenti incompatibili con il servizio o in violazione della normativa.

6. Riservatezza e persone autorizzate

Il Responsabile consente l’accesso ai dati soltanto a persone autorizzate per le mansioni necessarie, vincolate alla riservatezza o a un adeguato obbligo legale e istruite sulle misure di protezione. Le autorizzazioni sono riesaminate e revocate quando non più necessarie.

7. Misure tecniche e organizzative

Il Responsabile applica misure proporzionate ai rischi ai sensi dell’articolo 32 GDPR. Le misure principali sono riepilogate nell’Allegato A e vengono aggiornate in relazione allo stato dell’arte, ai costi, alla natura dei trattamenti e ai rischi, senza ridurre il livello complessivo di protezione.

8. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai soggetti elencati nella pagina Fornitori e servizi esterni. Prima di aggiungere o sostituire un sub-responsabile che possa trattare dati del Titolare, il Responsabile comunica la modifica mediante i recapiti o gli avvisi della piattaforma con un preavviso ragionevole, consentendo al Titolare di presentare un’obiezione documentata.

Il Responsabile impone al sub-responsabile obblighi di protezione sostanzialmente equivalenti a quelli del presente accordo e resta responsabile verso il Titolare dell’adempimento degli obblighi affidati al sub-responsabile.

9. Trasferimenti internazionali

I trasferimenti verso paesi esterni allo Spazio economico europeo avvengono soltanto su istruzione documentata e mediante una decisione di adeguatezza o garanzie conformi agli articoli 44 e seguenti GDPR, comprese, quando necessarie, clausole contrattuali standard, valutazioni del trasferimento e misure supplementari. Le informazioni applicabili sono rese disponibili al Titolare.

10. Diritti degli interessati

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e informazioni ragionevolmente necessarie per rispondere alle richieste degli interessati. Se riceve direttamente una richiesta relativa ai dati professionali dello Studio, la inoltra al Titolare senza rispondere nel merito, salvo diversa istruzione o obbligo legale.

11. Sicurezza, violazioni, DPIA e consultazione

Il Responsabile assiste il Titolare, tenuto conto delle informazioni disponibili e della natura del trattamento, negli obblighi previsti dagli articoli 32-36 GDPR. Informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali e comunica progressivamente le informazioni disponibili su natura dell’evento, dati e interessati coinvolti, possibili conseguenze, misure adottate e contatto operativo.

12. Informazioni, verifiche e cooperazione

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’articolo 28 e consente verifiche documentali o audit del Titolare o di un revisore indipendente incaricato, con preavviso ragionevole, nel rispetto della sicurezza, della riservatezza degli altri clienti e della continuità del servizio. Le parti concordano modalità, ambito e tempi proporzionati; restano possibili verifiche urgenti in caso di incidente o richiesta dell’autorità.

13. Restituzione, cancellazione e fine del servizio

Su richiesta e alla cessazione del servizio, il Responsabile consente al Titolare di esportare i dati e, secondo la scelta e le istruzioni del Titolare, li cancella o li restituisce, eliminando le copie, salvo che il diritto dell’Unione o nazionale ne imponga la conservazione.

Per il singolo cliente, l’avvio della cancellazione mantiene l’accesso per 30 giorni e poi blocca il login. Il termine standard di conservazione operativa è 90 giorni; un termine successivo o un blocco richiedono una motivazione documentata. Alla scadenza il Titolare conferma la cancellazione di account, documenti, comunicazioni e identificativi diretti. Gli elementi fiscali mantenuti per obblighi o ricostruzione storica sono pseudonimizzati, restano dati personali e sono conservati soltanto per il termine applicabile. Le copie di backup sono isolate dall’uso ordinario e vengono eliminate secondo il ciclo di rotazione applicabile.

14. Ordine di prevalenza e modifiche

In caso di contrasto sui trattamenti affidati, il presente accordo prevale sulle condizioni generali del servizio. Le modifiche sostanziali richiedono una nuova versione identificabile e, quando necessario, una nuova accettazione dello Studio.

Allegato A – Misure tecniche e organizzative principali

• autenticazione individuale, password protette mediante hashing e gestione delle sessioni;
• autorizzazioni per ruolo e permessi funzionali, con impersonificazione amministrativa tracciata e normalmente in sola lettura;
• separazione logica dei dati per Studio e controlli di autorizzazione sugli oggetti;
• protezione delle comunicazioni mediante HTTPS e protezione delle credenziali e dei token esterni;
• storage non pubblico per documenti, esportazioni e quarantena di cancellazione;
• audit delle operazioni rilevanti, riduzione programmata dei dettagli e monitoraggio degli errori di cancellazione;
• backup, procedure di ripristino e verifiche di integrità e continuità;
• minimizzazione dei contesti AI, esclusione di identificativi strutturati e disattivazione delle chiamate quando non abilitate;
• procedure per vulnerabilità, incidenti, violazioni, richieste degli interessati e riesame periodico degli accessi;
• cancellazione e pseudonimizzazione controllate, con blocco motivato in presenza di obblighi o contenziosi.