Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il titolare del trattamento è:

Contatti per l'esercizio dei diritti e per ogni richiesta relativa ai dati personali:

• E-mail per la privacy e per l'esercizio dei diritti: privacy@adempia.eu
• E-mail generale: amministrazione@adempia.eu
• Referente per la protezione dei dati: Tages Meini, privacy@adempia.eu. Il titolare ha indicato un referente per la protezione dei dati: le richieste relative ai dati personali e l'esercizio dei diritti degli artt. 15-22 GDPR si rivolgono a questo indirizzo. La presente indicazione non afferma che sia stato nominato un responsabile della protezione dei dati ai sensi dell'art. 37 GDPR.

2. Ruoli di ADEMPIA: titolare e responsabile del trattamento

ADEMPIA gestisce una piattaforma software (in modalità servizio) con cui le aziende clienti organizzano i propri adempimenti documentali, il registro dei trattamenti, le scadenze, il catalogo dei corsi e gli allegati ai documenti aziendali. Nell'ambito di questo servizio ADEMPIA opera su due piani distinti, che l'interessato deve poter distinguere con chiarezza.

a) ADEMPIA è titolare del trattamento per i dati che raccoglie e gestisce per conto proprio: i dati anagrafici e di contatto del cliente (impresa o professionista) e delle persone che accedono alla piattaforma per suo conto; le credenziali di accesso e i dati di autenticazione; i dati di fatturazione; i registri delle operazioni (audit); i dati di navigazione strettamente tecnici. Per questi trattamenti le informazioni sono quelle contenute nella presente informativa.

b) ADEMPIA è responsabile del trattamento (art. 28 GDPR) per i dati personali che il cliente inserisce o carica nella piattaforma nell'ambito della propria attività di titolare: ad esempio i contenuti del registro dei trattamenti (che possono riguardare i dipendenti e i collaboratori del cliente e le categorie di dati da essi trattati), i dati delle persone indicate dal cliente come utenti della piattaforma, i metadati dei documenti e i percorsi locali dei file, i corsi assegnati alle persone indicate dal cliente e i relativi stati di avanzamento, e — per la sola cartella condivisa con lo studio legale — il contenuto dei file che il cliente o il suo studio vi caricano e dei modelli di documento in formato DOCX caricati dallo studio, conservati in forma cifrata. Per questi dati il titolare è il cliente e ADEMPIA li tratta solo secondo le sue istruzioni documentate, sulla base di un accordo ai sensi dell'art. 28 GDPR. Le persone interessate da questi dati devono rivolgere le proprie richieste al titolare (la propria azienda o il proprio datore di lavoro); ADEMPIA assiste il titolare nel dare seguito alle richieste, secondo quanto previsto dall'accordo.

I dati eventualmente riferibili a categorie particolari (art. 9 GDPR) o a condanne penali e reati (art. 10 GDPR) che il cliente inserisse nei propri contenuti (ad esempio nel registro dei trattamenti) sono trattati da ADEMPIA esclusivamente per conto e su istruzione del cliente, per le sole finalità del servizio, e non sono mai utilizzati da ADEMPIA per finalità proprie, né comunicati o diffusi.

3. Categorie di dati personali trattati

Nella sua qualità di titolare, ADEMPIA tratta le seguenti categorie di dati personali.

Non sono oggetto di trattamento da parte di ADEMPIA come titolare: dati biometrici, dati sulla salute, dati genetici, dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, la vita sessuale o l'orientamento sessuale; ADEMPIA non raccoglie né tratta dati di minori e non eroga il servizio a minori.

4. I documenti del cliente: dove restano e l'eccezione della cartella per lo studio legale

I documenti del cliente restano sui dispositivi del cliente (computer, server o memoria aziendale) e presso i servizi di archiviazione che il cliente utilizza. La piattaforma ne conserva soltanto il riferimento al documento (percorso o URI locale) e i relativi metadati (nome, descrizione, categoria, riferimenti temporali): il contenuto del file non viene copiato, non viene letto e non può essere aperto da ADEMPIA.

L'apertura o la selezione del file avviene sul dispositivo dell'utente, con le autorizzazioni del browser e del sistema operativo dell'utente stesso. Anche la funzione «Documento ripulito» lavora nel browser: il documento non viene inviato ai server di ADEMPIA.

Eccezione dichiarata: la cartella condivisa con lo studio legale. I file che il cliente o il suo studio legale caricano volontariamente in quella cartella vengono salvati e conservati da ADEMPIA, in forma cifrata con AES-256-GCM, per la durata del contratto e secondo le istruzioni del cliente titolare. Lo stesso vale per i modelli di documento in formato DOCX caricati dallo studio: del modello ADEMPIA conserva il testo estratto e il file originale nel database dell'applicazione, cifrati con AES-256-GCM con una chiave custodita fuori dal database (variabile d'ambiente del server, mai una riga del database), insieme alla versione, all'impronta SHA-256 e all'autore del caricamento. La cifratura applicativa AES-256-GCM copre quindi la cartella dello studio, l'archivio di backup e i modelli di documento. Per questi dati ADEMPIA opera come responsabile del trattamento ai sensi dell'art. 28 GDPR (paragrafo 2, lettera b), e non li usa per finalità proprie.

Al di fuori di questa eccezione, il contenuto dei documenti aziendali non è un dato personale trattato da ADEMPIA e resta sotto l'esclusivo controllo del cliente, che ne è titolare. Dentro l'eccezione il contenuto è un dato personale trattato da ADEMPIA per conto del cliente, con le misure del paragrafo 7 e i tempi di conservazione del paragrafo 8.

5. Finalità del trattamento e basi giuridiche

ADEMPIA tratta i dati personali per le finalità e sulle basi giuridiche indicate qui di seguito, ai sensi dell'art. 6, par. 1, GDPR.

ADEMPIA non utilizza i dati personali per attività di profilazione, non adotta processi decisionali automatizzati ai sensi dell'art. 22 GDPR e non vende, cede o scambia dati personali a terzi per finalità commerciali.

6. Natura del conferimento dei dati e conseguenze del mancato conferimento

• Necessario per l'esecuzione del contratto: il conferimento dei dati anagrafici e di contatto del referente e degli utenti, delle credenziali di accesso e dei dati necessari alla gestione del rapporto è necessario per l'attivazione e l'erogazione del servizio. Il mancato conferimento comporta l'impossibilità di attivare l'account e di erogare la prestazione.
• Necessario per obblighi di legge: il conferimento dei dati di fatturazione e contabilità è obbligatorio in forza della normativa fiscale. Il mancato conferimento comporta l'impossibilità di instaurare o proseguire il rapporto contrattuale.
• Facoltativo: il conferimento del numero di telefono e degli altri dati di contatto ulteriori è facoltativo; il loro mancato conferimento non incide sull'erogazione del servizio, salvo una minore facilità di contatto.
• Facoltativo e con consenso: il trattamento per finalità di marketing è subordinato al consenso; il mancato consenso non pregiudica in alcun modo l'erogazione del servizio e comporta soltanto la mancata ricezione di comunicazioni promozionali.
• Doppia autenticazione (2FA TOTP): l'attivazione è prevista dalla configurazione di sicurezza del servizio e richiede la generazione e la conservazione, da parte della piattaforma, del segreto necessario alla verifica del codice. La disattivazione, ove tecnicamente consentita, riduce il livello di protezione dell'account ed è una scelta dell'utente o dell'azienda cliente.
• Contenuti e metadati inseriti nella piattaforma: il loro conferimento è necessario per usufruire delle funzioni corrispondenti ed è effettuato sotto la responsabilità del cliente, che ne determina finalità e contenuti.

7. Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti informatici e, ove necessario, cartacei, con logiche strettamente correlate alle finalità indicate e nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza (art. 5 GDPR).

ADEMPIA adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR e dell'art. 2-septies del Codice, tra cui, allo stato attuale:

• password memorizzate esclusivamente come impronta crittografica (hash scrypt con salt) — la password in chiaro non è mai conservata né accessibile;
• doppia autenticazione (2FA) con codici monouso basati su TOTP per l'accesso agli account;
• sessioni gestite server-side, con token di sessione a scadenza (8 ore) conservati in cookie HttpOnly, SameSite=Lax e Secure su connessione HTTPS, e protezione anti-CSRF dei moduli;
• registro delle operazioni (audit trail) delle attività rilevanti, con indicazione di utente, operazione, data e ora;
• ruoli e permessi differenziati (amministratore aziendale, editor, sola lettura) e principio del minimo privilegio;
• connessione cifrata (HTTPS/TLS) tra browser e piattaforma;
• separazione logica dei dati per azienda cliente (multi-tenancy), con verifica dei permessi a ogni richiesta;
• cifratura AES-256-GCM dei file caricati nella cartella condivisa con lo studio legale, dei modelli di documento caricati dallo studio e dell'archivio di backup .adempia: la frase d'ordine del backup è scelta dal cliente e non è conservata dal server, mentre per la cartella e per i modelli la chiave è una variabile d'ambiente del server e non una riga del database (senza quella chiave i modelli non si aprono e resta disponibile il modello predefinito di ADEMPIA);
• registro delle violazioni tenuto ai sensi dell'art. 33.5 GDPR, con avviso al cliente titolare entro 24 ore dal momento in cui ADEMPIA viene a conoscenza di una violazione che riguarda i suoi dati;
• misure dell'infrastruttura di hosting (cifratura dei dati a riposo, copie di sicurezza e relativa rotazione, ubicazione fisica dei server): in corso di conferma scritta con il fornitore. Alla data di questa informativa il fornitore di hosting e di erogazione dell'applicazione non ha ancora fornito un accordo ai sensi dell'art. 28 GDPR: per questo le sue misure non sono dichiarate come verificate.

ADEMPIA non utilizza i dati per finalità diverse da quelle indicate, non li rivende e non li mette a disposizione di terzi per finalità proprie o di terzi. ADEMPIA valuta periodicamente l'adeguatezza delle misure adottate.

Violazioni di dati personali (data breach). In caso di violazione di dati personali, ADEMPIA adotta le misure necessarie a limitarne gli effetti e, quando ricorrono i presupposti degli artt. 33 e 34 GDPR, notifica la violazione al Garante per la protezione dei dati personali entro 72 ore e informa senza ingiustificato ritardo gli interessati e, per i dati trattati come responsabile, il cliente titolare.

8. Periodo di conservazione dei dati

I dati sono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti, secondo i criteri di seguito indicati.

Alla scadenza dei termini i dati sono cancellati o resi anonimi in modo irreversibile. Per i dati trattati come responsabile, i termini sono quelli stabiliti dalle istruzioni del cliente titolare e dall'accordo ex art. 28 GDPR.

9. Destinatari e categorie di destinatari

Alla data della presente informativa ADEMPIA non comunica i dati personali a soggetti terzi per finalità proprie, non li cede, non li vende e non li mette a disposizione di terzi per attività di marketing o di profilazione.

I dati possono essere conosciuti, nei limiti delle rispettive competenze e per le sole finalità sopra indicate:

1. dal personale autorizzato di ADEMPIA ([indicare il numero o le categorie: amministratore di sistema, personale amministrativo, assistenza]) appositamente istruito e vincolato alla riservatezza (art. 29 GDPR; art. 2-quaterdecies del Codice);
2. dai fornitori di servizi che operano in qualità di responsabili del trattamento ex art. 28 GDPR, per quanto necessario all'erogazione del servizio, tra cui in particolare:
   • Neon Inc., database PostgreSQL dell'applicazione — Stati Uniti (AWS us-east-2, Ohio). Accordo ai sensi dell'art. 28 GDPR: firmato;
   • il fornitore di hosting ed erogazione dell'applicazione — Stati Uniti. Accordo ai sensi dell'art. 28 GDPR: da ottenere; alla data di questa informativa non è ancora stato fornito, ed è la ragione per cui le sue misure non sono dichiarate come verificate (paragrafo 7);
   • Resend, invio delle e-mail di avviso delle scadenze — Stati Uniti. Accordo ai sensi dell'art. 28 GDPR: da firmare;
   • OpenAI, generazione del parere di Veritas Guard AI sui soli dati strutturati dell'analisi — Stati Uniti. Accordo ai sensi dell'art. 28 GDPR: da firmare;
   • Stripe, incassi quando attivi — Stati Uniti e Irlanda. Accordo ai sensi dell'art. 28 GDPR: da scaricare.
3. da soggetti pubblici, autorità giudiziarie o di controllo, nei casi e nei limiti previsti dalla legge.

L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta all'indirizzo privacy@adempia.eu.

Con il fornitore del database l'accordo ai sensi dell'art. 28 GDPR è firmato; con gli altri fornitori elencati sopra l'accordo è da firmare o da ottenere, e ADEMPIA lo dichiara solo quando è concluso. L'accordo contiene gli obblighi di riservatezza, sicurezza, assistenza al titolare e cancellazione dei dati al termine del servizio.

10. Trasferimento dei dati verso Paesi terzi

Alla data di questa informativa i dati sono trattati negli Stati Uniti: l'applicazione è servita da un'infrastruttura che si trova negli Stati Uniti; il database è ospitato su AWS us-east-2 (Ohio); il fornitore del modello linguistico usato dal parere di Veritas Guard AI e il fornitore della posta elettronica sono negli Stati Uniti. Il paragrafo 9 indica, per ciascun fornitore, il paese di stabilimento.

Quando il trattamento comporta un trasferimento di dati personali al di fuori dell'Unione europea, il trasferimento avviene sulla base di clausole contrattuali tipo ai sensi dell'art. 46 GDPR (decisione (UE) 2021/914) e, ove applicabile, di una decisione di adeguatezza della Commissione europea (art. 45 GDPR, quadro UE-Stati Uniti, decisione (UE) 2023/1795), con l'adozione, ove necessario, di misure supplementari tecniche e organizzative. Copia delle garanzie adottate può essere richiesta all'indirizzo privacy@adempia.eu.

11. Processi decisionali automatizzati e profilazione

ADEMPIA non adotta processi decisionali interamente automatizzati che producano effetti giuridici o che incidano in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR, e non effettua attività di profilazione né di tracciamento comportamentale degli utenti.

Gli esiti delle funzioni di analisi della piattaforma (indice di igiene, priorità di intervento, segnalazione di lacune, classificazione degli incidenti, parere generativo richiesto dall'utente) sono informazioni di supporto alla valutazione dell'utente: sono elaborati con regole dichiarate e con l'eventuale supporto di un modello linguistico su richiesta espressa, e non determinano automaticamente decisioni che incidano sui diritti dell'interessato. La decisione resta sempre in capo all'azienda cliente e alle persone che la rappresentano.

Il parere generativo di Veritas Guard AI è generato da un sistema di intelligenza artificiale e la decisione resta umana: il parere non è un atto di ADEMPIA né una consulenza legale.

12. Diritti dell'interessato

In ogni momento l'interessato può esercitare, nei confronti di ADEMPIA, i diritti previsti dagli artt. 15-22 GDPR:

• diritto di accesso (art. 15): ottenere la conferma dell'esistenza o meno di un trattamento di dati che lo riguardano e ricevere copia dei dati, con le informazioni indicate dall'art. 15;
• diritto di rettifica (art. 16): ottenere la correzione dei dati inesatti e l'integrazione di quelli incompleti;
• diritto alla cancellazione (art. 17): ottenere la cancellazione dei dati, nei casi previsti (ad esempio se non più necessari rispetto alle finalità, se il consenso è revocato e non sussiste altro fondamento, se il trattamento è illecito), salvo gli obblighi di conservazione previsti dalla legge;
• diritto di limitazione del trattamento (art. 18): ottenere la limitazione nei casi previsti (contestazione dell'esattezza, illiceità, opposizione in attesa di verifica);
• diritto alla portabilità (art. 20): ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati forniti, quando il trattamento si basi sul contratto o sul consenso ed effettuato con mezzi automatizzati, e trasmetterli ad altro titolare;
• diritto di opposizione (art. 21): opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento basato sul legittimo interesse (di cui ai punti 3 e 5 della tabella del paragrafo 5). Il diritto di opposizione al trattamento per finalità di marketing diretto è sempre esercitabile e non richiede motivazione;
• diritto di revocare il consenso (art. 7.3 e art. 13.2.c): quando il trattamento si basa sul consenso, questo può essere revocato in qualsiasi momento, senza pregiudizio per la liceità del trattamento svolto prima della revoca;
• diritto di non essere sottoposto a decisioni automatizzate (art. 22): non applicabile ai trattamenti descritti nella presente informativa;
• diritto di proporre reclamo (art. 77) e ricorso giurisdizionale (art. 79); diritto al risarcimento dei danni (art. 82).

Per i dati di cui ADEMPIA è responsabile del trattamento (paragrafo 2, lettera b) — ad esempio i contenuti del registro dei trattamenti e i dati dei dipendenti inseriti dall'azienda cliente — le richieste dell'interessato devono essere rivolte al titolare (la propria azienda, il proprio datore di lavoro o il cliente che utilizza la piattaforma). ADEMPIA assiste il titolare nel dare loro seguito e, se una richiesta le viene indirizzata direttamente, la trasmette senza ritardo al titolare, informando l'interessato.

13. Come esercitare i diritti

Le richieste possono essere inviate:

• per e-mail a privacy@adempia.eu;
• per posta a Adempia Compliance Platform, Strada del Lionetto 27, 10146 Torino, all'attenzione del «Referente per la protezione dei dati personali».

ADEMPIA fornisce riscontro senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta, termine prorogabile di due mesi in caso di particolare complessità, con informativa all'interessato (art. 12 GDPR). Il riscontro è fornito gratuitamente, salvo quanto previsto dall'art. 12.5 GDPR per le richieste manifestamente infondate o eccessive.

Per tutelare i dati, ADEMPIA può chiedere le informazioni necessarie a confermare l'identità del richiedente (art. 12.6 GDPR).

14. Reclamo all'autorità di controllo

Se l'interessato ritiene che il trattamento dei suoi dati personali violi la normativa, può proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR; art. 141 del Codice), con le modalità indicate sul sito istituzionale dell'Autorità, oppure ricorrere all'autorità giudiziaria (art. 79 GDPR). Il reclamo può essere proposto al Garante dello Stato membro in cui l'interessato risiede abitualmente, lavora, oppure nel luogo in cui si è verificata la presunta violazione.

Prima di rivolgersi all'Autorità, l'interessato può contattare ADEMPIA all'indirizzo privacy@adempia.eu: ADEMPIA esaminerà la segnalazione nel più breve tempo possibile.

15. Aggiornamenti dell'informativa

La presente informativa è aggiornata al 09/11/2026 — versione informativa-privacy-2026-11-v4.

ADEMPIA può modificarla in qualsiasi momento, in particolare se cambiano le modalità o le finalità del trattamento, i fornitori utilizzati, le misure di sicurezza o la normativa applicabile. Le modifiche sostanziali saranno comunicate agli utenti con le modalità più idonee (ad esempio avviso nella piattaforma o comunicazione all'indirizzo e-mail dell'account) e la versione aggiornata sarà pubblicata sul sito con l'indicazione della data di aggiornamento. Quando una modifica si basi sul consenso, ADEMPIA ne richiederà uno nuovo.

Riferimenti normativi applicati: Regolamento UE 2016/679 (GDPR), in particolare artt. 5, 6, 12, 13, 15-22, 28, 32, 33-34, 77; D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.