Accordo sul trattamento dei dati personali (art. 28 GDPR)

Premesse

(A) ADEMPIA eroga il Servizio e tratta per conto del Cliente i dati personali che questi inserisce o carica.

(B) ADEMPIA opera come responsabile del trattamento ai sensi dell'art. 4, punto 8, e dell'art. 28 GDPR.

(C) I dati del Cliente come soggetto, quelli di fatturazione, il registro delle operazioni, il contatore delle elaborazioni, il registro delle violazioni e i metadati del backup sono trattati da ADEMPIA come titolare autonomo: sono disciplinati dall'informativa privacy e sono esclusi da questo Accordo (art. 28.10 GDPR).

(D) Il presente Accordo è condizione di attivazione del Servizio.

(E) È redatto in forma scritta, anche elettronica (art. 28.9 GDPR).

Art. 1 — Definizioni

1.1 Si intendono richiamate le definizioni degli artt. 4, 28 e 32 GDPR, oltre a quelle delle Condizioni d'uso.

1.2 «Dati del Cliente»: i dati personali inseriti nel registro dei trattamenti, nei contratti art. 28, nelle controparti, negli adempimenti e nei documenti collegati, oltre al contenuto cifrato dei file caricati nella cartella per lo studio legale e dei modelli di documento in formato DOCX caricati dallo studio.

Art. 2 — Oggetto, natura, finalità e durata

2.1 Oggetto: il trattamento necessario a erogare il Servizio descritto nelle Condizioni d'uso.

2.2 Natura: trattamento automatizzato su infrastruttura del Fornitore, con conservazione nel database dell'applicazione.

2.3 Finalità: esecuzione del contratto e istruzioni del Cliente. Nessun uso per finalità proprie del Fornitore (art. 28.10 GDPR).

2.4 Durata: quanto il contratto, salvo le clausole che sopravvivono ai sensi dell'art. 15.

Art. 3 — Istruzioni documentate (art. 28.3.a)

3.1 ADEMPIA tratta i Dati del Cliente solo su istruzione documentata del Cliente. Costituiscono istruzioni iniziali le Condizioni d'uso, il presente Accordo e la configurazione effettuata dal Cliente nell'applicazione.

3.2 Il Cliente è responsabile della liceità delle istruzioni impartite.

Art. 4 — Istruzioni illecite (art. 28.3.i)

4.1 ADEMPIA informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre norme in materia di protezione dei dati.

4.2 In tal caso ADEMPIA può sospendere l'esecuzione dell'istruzione fino a conferma scritta del Cliente.

Art. 5 — Riservatezza del personale (artt. 28.3.b, 29)

5.1 L'accesso ai Dati del Cliente è limitato al personale autorizzato e formato, con obbligo di riservatezza che sopravvive alla cessazione del rapporto.

5.2 Il personale è istruito sulle regole di accesso interno e sull'obbligo di segnalare immediatamente ogni incidente.

Art. 6 — Sicurezza (artt. 28.3.c, 32)

6.1 ADEMPIA adotta le misure tecniche e organizzative elencate qui e si impegna a non ridurle senza preavviso e senza accordo scritto con il Cliente.

6.2 Misure in essere: hash delle password con scrypt e salt; autenticazione a due fattori TOTP; sessioni lato server con token a durata limitata; cookie di sessione HttpOnly con SameSite e Secure, mentre il cookie anti-CSRF non è HttpOnly perché serve al meccanismo del double-submit; HTTPS con HSTS; Content Security Policy con nonce; limitazione dei tentativi di accesso; blocco delle password comuni; validazione dei percorsi degli allegati; isolamento dei dati per azienda; registro delle operazioni con firma HMAC; cifratura AES-256-GCM della cartella per lo studio legale e dell'archivio di backup; registro delle violazioni ai sensi dell'art. 33.5.

6.3 Non sono dichiarate misure che non siano state verificate con i fornitori: cifratura a riposo del database, politiche di backup e rotazione dell'infrastruttura e ubicazione fisica dei server sono in corso di conferma e saranno aggiunte solo dopo la conferma scritta.

Art. 7 — Sub-responsabili (artt. 28.2, 28.3.d, 28.4)

7.1 Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell'art. 7.6.

7.2 ADEMPIA comunica con 30 giorni di preavviso ogni aggiunta o sostituzione; il Cliente può opporsi entro 15 giorni per motivi di protezione dei dati.

7.3 Se l'opposizione non è componibile, il Cliente può recedere senza penali.

7.4 ADEMPIA impone ai sub-responsabili, per contratto, obblighi equivalenti a quelli del presente Accordo (art. 28.4 GDPR) e resta pienamente responsabile del loro operato verso il Cliente.

7.5 Le variazioni di sola denominazione o sede di un sub-responsabile non attivano la procedura dell'art. 7.2.

7.6 Elenco dei sub-responsabili: Neon Inc., database PostgreSQL dell'applicazione, Stati Uniti (AWS us-east-2, Ohio) — accordo ex art. 28 firmato. Fornitore di hosting ed erogazione dell'applicazione, Stati Uniti — accordo ex art. 28 da ottenere, stato: bloccante. OpenAI, generazione del parere di Veritas Guard AI sui soli dati strutturati dell'analisi, Stati Uniti — accordo da firmare. Resend, invio delle email di invito alle scadenze, Stati Uniti — accordo da firmare. Stripe, incassi una tantum quando attivi, Stati Uniti e Irlanda — accordo da scaricare. Registrar del dominio: da scegliere.

7.7 Finché nell'elenco dell'art. 7.6 resta una voce con stato «bloccante», questo Accordo è incompleto e non può essere firmato per un cliente reale.

Art. 8 — Richieste degli interessati (artt. 28.3.e, 12-22)

8.1 ADEMPIA non risponde direttamente agli interessati, salvo istruzione scritta del Cliente.

8.2 ADEMPIA assiste il Cliente, con le misure tecniche disponibili, entro 5 giorni lavorativi dalla richiesta.

Art. 9 — Sicurezza, valutazione d'impatto e consultazione (artt. 28.3.f, 32-36)

9.1 ADEMPIA fornisce le informazioni necessarie alla valutazione d'impatto e alla consultazione preventiva dell'autorità di controllo.

9.2 Le attività straordinarie possono essere addebitate previo accordo scritto.

Art. 10 — Cancellazione e restituzione (artt. 28.3.g, 5.1.e)

10.1 Alla cessazione, su scelta del Cliente, ADEMPIA restituisce o cancella i Dati del Cliente.

10.2 La restituzione avviene entro 30 giorni in formato aperto e leggibile. Il Cliente può in ogni momento scaricare l'archivio .adempia, cifrato AES-256-GCM con una frase d'ordine scelta dal Cliente e mai conservata dal server.

10.3 L'archivio comprende anche i file della cartella per lo studio legale e i modelli di documento dello studio, con il loro contenuto, decifrati in memoria e richiusi con la frase d'ordine del Cliente: si riaprono su un'altra installazione senza la chiave applicativa di ADEMPIA. Sono esclusi dall'archivio, e dichiarati nel manifesto: sessioni attive, sfide del secondo fattore e segreti dell'autenticazione a due fattori.

10.4 La cancellazione avviene entro 60 giorni, comprese le copie di sicurezza, salvo obblighi di legge (fatturazione e conservazione decennale ai sensi dell'art. 2220 c.c.).

10.5 Cartella per lo studio legale: restituzione in chiaro. I file sono cifrati con AES-256-GCM mediante una chiave custodita sul server di ADEMPIA, che non risiede nel database ed è una sola per l'intera installazione: serve i file di tutte le aziende clienti e non può essere consegnata a un singolo Cliente, perché consegnarla a lui significherebbe consegnargli la chiave dei documenti di tutti gli altri. ADEMPIA è tecnicamente in grado di decifrare questi file e lo dichiara espressamente. Alla cessazione, e in ogni momento su richiesta, ADEMPIA consegna il contenuto della cartella in chiaro — i file originali e un indice in formato aperto, JSON e CSV — senza oneri, entro 30 giorni e senza che sia necessaria la consegna di alcuna chiave. Un archivio cifrato di cui il Cliente non possieda la chiave non costituisce restituzione. Stato di attuazione: la funzione di export in chiaro dall'interfaccia è in costruzione (voce B7 del backlog) e alla data di questa versione non è disponibile; non è indicata una data di disponibilità, perché non è ancora stata fissata, e fino ad allora la consegna avviene su richiesta entro il medesimo termine di 30 giorni.

Art. 11 — Informazioni e audit (artt. 28.3.h, 31)

11.1 ADEMPIA mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi entro 15 giorni dalla richiesta.

11.2 Audit: una volta l'anno, con preavviso di 15 giorni, oneri a carico del Cliente, accordo di riservatezza e senza accesso ai dati di altri clienti.

11.3 Audit straordinari solo per ordine dell'autorità di controllo o in caso di sospetta violazione.

11.4 ADEMPIA coopera con l'autorità di controllo (art. 31 GDPR).

Art. 12 — Violazioni dei dati personali (art. 33.2)

12.1 ADEMPIA informa il Cliente senza ingiustificato ritardo e comunque entro 24 ore dal momento in cui viene a conoscenza di una violazione dei dati personali.

12.2 L'avviso contiene gli elementi dell'art. 33.3: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, punto di contatto, conseguenze probabili, misure adottate e misure proposte.

12.3 ADEMPIA aggiorna il Cliente ogni 24 ore fino alla chiusura della violazione.

12.4 ADEMPIA non notifica all'autorità di controllo né agli interessati al posto del Cliente: la notifica è un obbligo del titolare (artt. 33 e 34 GDPR), salvo istruzione scritta o obbligo di legge.

12.5 ADEMPIA fornisce al Cliente, su richiesta o all'atto dell'avviso, gli elementi della violazione che lo riguardano, nella misura necessaria al Cliente per il proprio registro e per le notifiche.

Art. 13 — Trasferimenti fuori dallo Spazio economico europeo (artt. 44-49)

13.1 I trasferimenti avvengono sulla base di garanzie appropriate (art. 46 GDPR: clausole contrattuali tipo, decisione (UE) 2021/914), con le eventuali misure supplementari e la valutazione d'impatto del trasferimento; ove applicabile una decisione di adeguatezza (art. 45 GDPR, quadro UE-Stati Uniti, decisione (UE) 2023/1795), il trasferimento si fonda su quella.

13.2 Alla data dell'accettazione i dati sono trattati negli Stati Uniti: l'applicazione è servita da infrastruttura negli Stati Uniti, il database è su AWS us-east-2 (Ohio), il fornitore del parere e il fornitore della posta sono negli Stati Uniti. Questo fatto è dichiarato e non è oggetto di garanzia contraria.

13.3 Il cambio di ubicazione è comunicato con 30 giorni di preavviso.

13.4 Se ADEMPIA o un sub-responsabile riceve una richiesta di accesso o di comunicazione di Dati del Cliente da parte di un'autorità di un Paese terzo, ne informa il Cliente e l'autorità di controllo prima di darvi seguito, salvo che la legge lo vieti, indicando il volume e le categorie di dati richiesti.

Art. 14 — Responsabilità (art. 82)

14.1 ADEMPIA risponde del danno cagionato dal proprio trattamento se non ha adempiuto agli obblighi del GDPR specificamente diretti ai responsabili o ha agito in difformità dalle istruzioni del Cliente (art. 82.2 GDPR).

14.2 Il limite di responsabilità dell'art. 12.2 delle Condizioni d'uso non è opponibile agli interessati; fra le parti restano salve le azioni di regresso (art. 82.4 e 82.5 GDPR).

Art. 15 — Durata, cessazione e forma

15.1 Il presente Accordo dura quanto il contratto; sopravvivono gli artt. 5, 10, 12 e 14.

15.2 Le modifiche avvengono solo per iscritto (art. 28.9 GDPR). Le modifiche sono proposte per iscritto con 30 giorni di preavviso; quelle peggiorative richiedono l'accettazione del Cliente, che può recedere senza penali con effetto immediato se non le accetta.

15.3 In caso di conflitto con le Condizioni d'uso prevale il presente Accordo.

15.4 Le comunicazioni relative al trattamento dei dati personali si inviano anche a privacy@adempia.eu.

Allegato — Misure tecniche e organizzative (sintesi)

Le misure elencate nell'art. 6.2 sono quelle effettivamente presenti nel Servizio alla data di questa versione.

La verifica dell'integrità del registro delle operazioni è documentata, e le eventuali interruzioni della catena di firma sono dichiarate al Cliente che ne faccia richiesta: non viene dichiarata un'integrità che non sia stata verificata.

I tempi di conservazione dei dati trattati da ADEMPIA come titolare autonomo (registro delle operazioni, contatore delle elaborazioni, metadati del backup, registro delle violazioni) sono indicati nell'informativa privacy.