Accordo sul trattamento dei dati (art. 28 GDPR)

Questo accordo integra le Condizioni d'uso di Scandula e regola il trattamento dei dati personali che il Cliente carica nel proprio spazio. Il Cliente è titolare del trattamento di tali dati; Ygor Costeri, con sede in Via San Francesco 108, 55049 Viareggio (LU), Italia, partita IVA [Partita IVA da inserire] ("Fornitore"), è responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679.

1. Oggetto, natura e finalità

Il Fornitore tratta i dati solo per erogare il Servizio: conservarli, elaborarli per le funzioni richieste dal Cliente (registrazioni, calcoli, riconciliazioni, report), farne copie di sicurezza, fornire assistenza su richiesta.

2. Tipi di dati e interessati

• Dipendenti e collaboratori del Cliente: anagrafica, codice fiscale, dati contrattuali e retributivi, ore lavorate, cedolini.
• Fornitori e clienti del Cliente: denominazione, partita IVA, codice fiscale, dati delle fatture, coordinate e movimenti bancari.
• Utenti dello spazio: nome, nome utente, registro delle operazioni.

Il Servizio non è pensato per categorie particolari di dati (art. 9 GDPR): il Cliente evita di caricarle salvo quando strettamente necessarie (ad esempio voci del cedolino) e ne resta responsabile.

3. Obblighi del Fornitore

• tratta i dati solo su istruzione documentata del Cliente, che consiste nell'uso delle funzioni del Servizio;
• garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adotta misure di sicurezza adeguate (art. 32 GDPR): archivio separato per ogni cliente, connessioni cifrate, password conservate con funzione di hash, credenziali dei servizi cifrate, accesso amministrativo con secondo codice, registro degli accessi di assistenza, copie di sicurezza notturne conservate anche in un luogo separato;
• assiste il Cliente nel rispondere alle richieste degli interessati e negli adempimenti degli articoli 32–36 GDPR;
• informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore, se viene a conoscenza di una violazione dei dati personali che lo riguarda;
• alla fine del contratto cancella i dati, dopo aver permesso al Cliente di scaricarli; le copie di sicurezza vengono cancellate alla loro scadenza naturale (massimo 90 giorni);
• mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo.

4. Sub-responsabili

Il Cliente autorizza il Fornitore ad avvalersi dei seguenti sub-responsabili, vincolati a obblighi equivalenti: il fornitore del server su cui gira il Servizio, OVHcloud per l'archiviazione delle copie di sicurezza, il servizio di posta elettronica per le comunicazioni. Il Fornitore informa il Cliente delle modifiche a questo elenco aggiornando questo accordo; il Cliente può opporsi chiedendo la chiusura dello spazio.

5. Luogo del trattamento

I dati sono trattati e conservati nell'Unione Europea. Eventuali trasferimenti fuori dall'UE avvengono solo con le garanzie previste dal Capo V del GDPR.

6. Servizi esterni scelti dal Cliente

Quando il Cliente collega un servizio esterno (ad esempio Fatture in Cloud, una casella PEC, un registratore di cassa), lo scambio di dati avviene su sua istruzione; il servizio esterno opera secondo il proprio rapporto con il Cliente e non è un sub-responsabile del Fornitore.

7. Durata

Questo accordo dura quanto il contratto di uso del Servizio e le eventuali attività di cancellazione successive.