Accordo sul trattamento dei dati personali

1. Parti e oggetto

Questo Accordo è parte del contratto fra il Cliente e Artifex Technologies S.r.l.s., con sede legale in Via della Valle 13, 81100 Caserta (CE), codice fiscale e partita IVA 04954390615, REA CE-368872 («Artifex»), regolato dai Termini di Servizio, di cui usa le definizioni. Per i dati personali contenuti nei Dati del Cliente il Cliente è titolare del trattamento e Artifex è responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR»). Il Cliente, accettando questo Accordo nell’onboarding, nomina Artifex responsabile. In materia di protezione dei dati personali questo Accordo prevale sui Termini.

2. Istruzioni del Cliente

Artifex tratta i dati personali solo per erogare il Servizio, come descritto nell’Allegato A, e secondo le istruzioni documentate del Cliente, anche per i trasferimenti fuori dallo Spazio economico europeo. Sono istruzioni:

1. i Termini di Servizio e questo Accordo;
2. le impostazioni e i comandi che gli Utenti danno nel Servizio, per esempio collegare un conto, invitare il commercialista, inviare un sollecito o attivare i solleciti automatici, esportare o eliminare dati;
3. le istruzioni scritte che il Cliente invia a privacy@contifex.com.

Artifex non tratta i dati per finalità proprie: non li vende e non li usa per addestrare modelli di intelligenza artificiale. Le analisi delle controparti che il Servizio calcola, come la puntualità dei pagamenti (che decide tempi e tono dei solleciti automatici) o la frequenza e il valore degli acquisti, sono fatte per conto del Cliente, restano nel suo spazio e Artifex non le usa per fini propri. Se ritiene che un’istruzione violi la normativa sulla protezione dei dati, Artifex ne informa subito il Cliente. Se la legge impone ad Artifex un trattamento, Artifex lo comunica prima al Cliente, salvo che la legge lo vieti.

3. Persone autorizzate e riservatezza

Artifex autorizza al trattamento solo le persone che ne hanno bisogno per erogare il Servizio o prestare assistenza, le istruisce e le vincola alla riservatezza. Il personale di Artifex accede ai Dati del Cliente solo quando serve per l’abilitazione, per l’assistenza richiesta dal Cliente, per risolvere un malfunzionamento, per la sicurezza o per un obbligo di legge.

Dal pannello di amministrazione, riservato a una sola persona di Artifex, si possono: vedere i dati che il Cliente ha inviato con l’onboarding, gli Utenti e i conti collegati (banca, IBAN, stato del collegamento), non i movimenti; abilitare l’azienda o rimandarla al Cliente; gestire gli account degli Utenti (impostare una nuova password, generare un collegamento di accesso, bloccare, spostare, creare o eliminare un Utente, cambiarne il ruolo); revocare i collegamenti bancari; eliminare l’azienda. Queste operazioni sono registrate; le semplici consultazioni no.

4. Sicurezza

Artifex adotta le misure tecniche e organizzative dell’Allegato B, adeguate al rischio ai sensi dell’art. 32 del GDPR. Può aggiornarle, senza ridurre il livello di protezione complessivo.

5. Sub-responsabili

1. Il Cliente autorizza in via generale Artifex ad avvalersi dei sub-responsabili dell’Allegato C.
2. Almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile, Artifex lo comunica via email al titolare dell’account, indicando chi è, che cosa fa e dove tratta i dati. Il Cliente può opporsi per motivi legati alla protezione dei dati entro 15 giorni, come previsto dall’art. 16.5 dei Termini. Se non si trova una soluzione, il Cliente può recedere senza costi, con il rimborso previsto dall’art. 11.3 dei Termini.
3. Se una sostituzione è urgente (per la sicurezza o per la cessazione improvvisa di un fornitore), Artifex può procedere con un preavviso più breve, comunque prima che il nuovo sub-responsabile tratti i Dati del Cliente, indicando il motivo dell’urgenza; restano il diritto di opposizione e di recesso.
4. Artifex stipula con ogni sub-responsabile un contratto che impone gli stessi obblighi di protezione dei dati di questo Accordo, in particolare garanzie sufficienti sulle misure tecniche e organizzative (art. 28, par. 4, del GDPR), e resta pienamente responsabile verso il Cliente del loro adempimento. Su richiesta, Artifex indica dove ciascun fornitore pubblica l’elenco dei propri sub-responsabili.

6. Trasferimenti fuori dallo Spazio economico europeo

Artifex trasferisce dati fuori dallo Spazio economico europeo solo con una delle garanzie degli artt. 45 e 46 del GDPR: una decisione di adeguatezza (compreso il Data Privacy Framework UE-USA per le società certificate) oppure le clausole contrattuali tipo della Commissione europea. L’Allegato C indica la garanzia per ciascun fornitore; il Cliente può chiederne copia a privacy@contifex.com.

7. Assistenza al Cliente

Tenuto conto della natura del trattamento e delle informazioni di cui dispone, Artifex assiste il Cliente:

• nel rispondere alle richieste degli interessati: il Servizio consente di consultare, correggere, esportare ed eliminare i dati (i movimenti collegati a fatture li elimina Artifex, su richiesta del Cliente); Artifex inoltra al Cliente, senza rispondere di propria iniziativa, le richieste che riceve direttamente;
• nella sicurezza del trattamento e nella gestione delle violazioni (art. 8 di questo Accordo);
• nella valutazione d’impatto e nell’eventuale consultazione preventiva dell’autorità di controllo, fornendo le informazioni sul Servizio.

8. Violazioni dei dati personali

Artifex informa il Cliente senza ingiustificato ritardo, e quando possibile entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione che riguardi i Dati del Cliente, via email al titolare dell’account e alla PEC del Cliente. Comunica ciò che sa, anche a fasi: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le conseguenze probabili e le misure adottate o proposte, e un contatto per le informazioni.

9. Informazioni e verifiche

Artifex mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo Accordo e consente verifiche, comprese le ispezioni, svolte dal Cliente o da un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, nei giorni lavorativi, al massimo una volta l’anno salvo violazioni o richieste di un’autorità, a spese del Cliente. Per i sub-responsabili che offrono condizioni standard, le verifiche si svolgono sulle certificazioni e sui rapporti che mettono a disposizione; per gli altri Artifex esercita i propri diritti di verifica e, su richiesta, ne riferisce al Cliente.

10. Durata, restituzione e cancellazione

Questo Accordo si applica finché Artifex tratta Dati del Cliente, compresi i periodi di sola lettura e la cancellazione. Alla fine del rapporto il Cliente sceglie se recuperare i dati, con le esportazioni o con l’esportazione completa (art. 15.1 dei Termini), durante la sola lettura prevista dai Termini (artt. 4.2, 10.6, 15.2 e 15.3), oppure chiederne la cancellazione immediata.

Poi Artifex cancella i Dati del Cliente dai propri sistemi e chiede all’intermediario delle fatture di chiudere la registrazione del Cliente, eliminandone i documenti; presso gli altri sub-responsabili i dati si cancellano nei tempi dei loro contratti (per esempio, i registri delle email già inviate presso il fornitore di posta). Le copie di sicurezza del database si sovrascrivono entro 7 giorni. Restano fuori i dati di cui Artifex è titolare (art. 15.4 dei Termini) e quelli che una norma di legge impone di conservare. Su richiesta Artifex conferma per iscritto l’avvenuta cancellazione.

11. Obblighi del Cliente

Il Cliente garantisce di trattare i dati in modo lecito, di avere una base giuridica per affidarli ad Artifex e di informare gli interessati, comprese le controparti dei movimenti e delle fatture, i propri dipendenti e collaboratori e i destinatari dei solleciti. Non carica nel Servizio dati che non servono ai suoi scopi. Se nei movimenti o nelle fatture compaiono dati appartenenti a categorie particolari (art. 9 del GDPR), il Cliente valuta la base giuridica del loro trattamento.

12. Responsabilità

Fra le parti si applicano i limiti di responsabilità dei Termini (art. 13), che il Cliente approva specificamente con i Termini, nella misura consentita dall’art. 82 del GDPR e fermi i diritti degli interessati.

Allegato A — Descrizione del trattamento

Categorie di interessati

• controparti del Cliente: clienti, fornitori, debitori e creditori, comprese persone fisiche, ditte individuali e professionisti;
• dipendenti, collaboratori e soci del Cliente, quando compaiono in movimenti, fatture o documenti;
• persone indicate nelle fatture, nei documenti di trasporto e nei documenti caricati;
• destinatari dei solleciti di pagamento inviati per conto del Cliente;
• Utenti del Servizio, per i contenuti che inseriscono.

Categorie di dati

• dati bancari: IBAN, saldi e movimenti (data, importo, descrizione e causale, riferimenti, nome e IBAN della controparte);
• dati delle fatture elettroniche: il file XML completo (denominazione, partita IVA, codice fiscale, indirizzo, PEC e codice destinatario delle parti, righe, importi, dati di pagamento);
• anagrafiche delle controparti (nome, partita IVA, codice fiscale, indirizzo, email, telefono, IBAN) e dati camerali ottenuti dalla partita IVA o dal codice fiscale;
• indicatori calcolati su ciascuna controparte: puntualità dei pagamenti, frequenza e valore degli acquisti;
• categorie, note, scadenze, previsioni, documenti caricati (per esempio F24 e deleghe), documenti di trasporto e prodotti, fascicoli mensili;
• email inviate per conto del Cliente (solleciti, fascicoli, riepiloghi al commercialista);
• domande poste all’assistente e relative risposte, e il registro delle operazioni che l’assistente esegue.

Dati appartenenti a categorie particolari

Non sono richiesti né ricercati. Possono comparire incidentalmente nelle causali dei movimenti o nelle fatture (per esempio spese sanitarie o quote associative). Garanzie: nessun uso per finalità diverse dal Servizio; accessi limitati alle persone autorizzate; invio al fornitore di intelligenza artificiale dei soli dati necessari alla singola richiesta (per la classificazione: importo, data, descrizione e controparte del movimento, con alcuni esempi già classificati della stessa azienda; per l’assistente: i dati che legge per rispondere all’Utente), senza addestramento e con conservazione presso il fornitore di al massimo 30 giorni; cancellazione a fine rapporto.

Natura e finalità del trattamento

Raccolta tramite Yapily Connect e tramite l’intermediario del Sistema di Interscambio; conservazione, consultazione, organizzazione e classificazione (anche con intelligenza artificiale); calcolo di scadenze, previsioni e indicatori di pagamento e di acquisto delle controparti; abbinamento di pagamenti e fatture; verifica formale, tramite l’intermediario, delle fatture create nel Servizio; esportazione; invio di email per conto del Cliente: solleciti ai debitori (anche automatici, se il Cliente li attiva), fascicolo mensile e riepilogo settimanale delle classificazioni al commercialista indicato dal Cliente; assistenza; cancellazione. Finalità: erogare il Servizio al Cliente.

Durata e luogo

Per la durata del contratto e dei periodi di sola lettura e di cancellazione che lo seguono. Database e funzioni applicative nell’Unione europea (Francoforte); il controllo della sessione che precede ogni pagina avviene nella rete di Vercel, nel centro dati più vicino a chi si collega; i trasferimenti fuori dallo Spazio economico europeo sono quelli dell’Allegato C.

Allegato B — Misure tecniche e organizzative

• Localizzazione: database e funzioni applicative a Francoforte (Unione europea); il controllo della sessione a ogni richiesta avviene nella rete di Vercel, nel centro dati più vicino a chi si collega.
• Cifratura: tutte le comunicazioni viaggiano cifrate (HTTPS/TLS, con HSTS); i dati del database sono cifrati a riposo dal fornitore (AES-256); le autorizzazioni di accesso ai conti bancari sono cifrate anche dall’applicazione (AES-256-GCM) e conservate in una tabella che nessun utente può leggere.
• Separazione fra clienti: il controllo degli accessi a livello di riga è attivo su tutte le tabelle del database, e ogni azienda vede solo i propri dati.
• Ruoli: titolare dell’account, amministratore, editor, sola lettura e commercialista hanno permessi diversi, applicati sia dall’applicazione sia dal database.
• Accesso degli Utenti: con email e password personali, che il fornitore di autenticazione conserva solo in forma di hash; gli inviti usano link monouso che scadono dopo 24 ore; limiti al numero di tentativi dalla pagina di accesso, oltre a quelli del fornitore di autenticazione. Un secondo fattore di autenticazione non è ancora disponibile.
• Accesso di Artifex: il pannello di amministrazione è riservato a una sola persona, riconosciuta dall’indirizzo email e dall’identificativo indicati nella configurazione e dal ruolo nel database; vi accede con password, senza secondo fattore. I suoi poteri sono descritti all’art. 3; le operazioni sono registrate, le consultazioni no.
• Minimizzazione: il collegamento bancario ordinario importa i movimenti degli ultimi 90 giorni; lo storico più lungo solo su richiesta, con un accesso che si usa una volta e si chiude subito, e la cui chiave non viene mai salvata.
• Copie di sicurezza: copie giornaliere del database, conservate 7 giorni nella stessa regione.
• Sviluppo: ogni modifica è sottoposta a prove automatiche; le chiavi e i segreti stanno nelle variabili protette del fornitore di hosting, non nel codice.
• Cancellazione: l’eliminazione di un’azienda avviene in un’unica operazione del database, tutta o niente, dopo la revoca dei collegamenti bancari e l’annullamento dell’abbonamento; la registrazione presso l’intermediario delle fatture si chiude come previsto all’art. 10.
• Fornitori: scelti fra quelli che offrono un accordo sul trattamento dei dati e garanzie per i trasferimenti (Allegato C).

Ad oggi non sono attivi un monitoraggio continuo della sicurezza, test di intrusione periodici o certificazioni di terze parti per Artifex; i principali fornitori ne hanno di proprie.

Allegato C — Sub-responsabili

Yapily Connect presta al Cliente il servizio di informazione sui conti in forza delle proprie condizioni; per la trasmissione dei dati ad Artifex opera secondo il contratto con Artifex. Gli elenchi dei sub-responsabili dei fornitori sono pubblicati dai fornitori stessi (per OpenAI su platform.openai.com/subprocessors); Artifex indica gli altri su richiesta (art. 5).