Informativa privacy

1. Titolare del trattamento

Il titolare del trattamento è Artifex Technologies S.r.l.s., con sede legale in Via della Valle 13, 81100 Caserta (CE), C.F. e P.IVA 04954390615, REA CE-368872.

Per ogni richiesta sulla privacy e per esercitare i tuoi diritti scrivi a privacy@contifex.com oppure alla PEC artifextechnologiessrls@pec.it. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché oggi non è obbligatorio per la nostra attività.

2. I due ruoli di Artifex

Siamo titolari dei dati che ci servono per gestire il rapporto con te e con la tua azienda: l’invito, il tuo account, il contratto, i pagamenti, la sicurezza, l’assistenza e il sito. Sono i trattamenti descritti nella sezione 3.

Siamo responsabili del trattamento per i dati che la tua azienda carica o collega a Contifex: conti e movimenti bancari, fatture, anagrafiche di clienti e fornitori, categorie, scadenze, documenti, domande all’assistente. Li trattiamo solo per suo conto e secondo le sue istruzioni, come previsto dall’Accordo sul trattamento dei dati personali. Per questi dati il titolare è l’azienda cliente: se sei, per esempio, un fornitore o un cliente di un’azienda che usa Contifex e compari nei suoi movimenti o nelle sue fatture, per informazioni e richieste rivolgiti a quell’azienda. Se scrivi a noi, inoltriamo la tua richiesta all’azienda e la aiutiamo a risponderti.

3. Quali dati trattiamo, perché, su quale base e per quanto tempo

Da dove vengono i dati. Quasi tutti ce li dai tu. Alcuni ci arrivano da altri: l’email di chi è invitato ce la dà chi lo invita (noi, su indicazione della tua azienda, oppure la tua azienda quando ti aggiunge al suo team); i dati del referente li inserisce chi compila l’onboarding; i dati camerali dell’azienda li otteniamo dal Registro delle imprese, tramite Openapi S.p.A., a partire dalla partita IVA.

Non usiamo i tuoi dati per pubblicità o marketing. Se un giorno volessimo proporti servizi analoghi a quelli che usi, te lo diremo prima e potrai opporti in ogni momento, anche con un clic in ciascuna email.

4. Il collegamento dei conti bancari

I movimenti bancari sono dati che trattiamo per conto della tua azienda (sezione 2). Te ne spieghiamo comunque il funzionamento, perché è la parte più delicata di Contifex.

Quando colleghi un conto, autorizzi Yapily Connect UAB, istituto di pagamento autorizzato dalla Banca di Lituania, a leggere il conto presso la tua banca e a trasmetterne i dati ad Artifex. Noi non riceviamo le tue credenziali bancarie e non possiamo disporre operazioni: l’accesso è in sola lettura. Le autorizzazioni possibili sono due, e sono distinte: la seconda è facoltativa, la chiedi tu, e non sostituisce mai la prima.

Il collegamento ordinario

È quello che si crea quando colleghi la banca. Raccoglie i movimenti degli ultimi 90 giorni e li mantiene aggiornati ogni giorno finché l’autorizzazione è valida: di norma 180 giorni, dopodiché la banca ti chiede di autenticarti di nuovo. I 90 giorni non sono una nostra scelta: sono il periodo che la normativa europea sui servizi di pagamento consente di leggere senza una nuova autenticazione forte (Regolamento delegato (UE) 2018/389, art. 10-bis).

Lo storico esteso, se lo chiedi tu

Per i movimenti più vecchi di 90 giorni la normativa impone sempre una nuova autenticazione. Per questo, se ti servono, il prodotto ti porta una seconda volta dalla tua banca. Ecco cosa comporta, ed è lo stesso che ti diciamo sulla schermata prima di mandarti in banca:

• È un secondo accesso, separato da quello che usi ogni giorno. Nasce per questo scopo, riguarda un solo conto, quello che hai scelto, e non tocca gli altri.
• Serve una volta sola. Di solito la banca lo concede per pochi minuti, il tempo di scaricare i movimenti: non è un accesso che resta aperto nel tempo.
• Lo chiudiamo noi subito dopo, nella stessa operazione che lo ha usato, senza che tu debba fare niente e indipendentemente dall’esito. Non aspettiamo che scada.
• Il tuo collegamento ordinario non viene toccato. Continua a funzionare come prima, con la stessa scadenza.

Quanto storico arrivi lo decide la tua banca, e spesso concede meno di quanto chiediamo. Al ritorno ti diciamo quanti movimenti sono entrati e da che data, invece di lasciartelo supporre.

Perché al massimo 12 mesi

Lo storico esteso arriva fino a 12 mesi: dodici mesi bastano, di norma, a ricostruire un anno di movimenti da riconciliare, mentre un periodo più ampio raccoglierebbe dati di esercizi già chiusi senza un beneficio proporzionato. I movimenti oltre i 90 giorni si chiedono solo su tua richiesta esplicita, una volta, e mai in automatico: è il modo in cui applichiamo la minimizzazione dei dati (art. 5.1.c) e la protezione dei dati per impostazione predefinita (art. 25.2).

Come proteggiamo la chiave d’accesso

• La chiave del collegamento ordinario viene conservata cifrata, in una tabella che nessun utente della piattaforma può leggere: nemmeno chi lavora nella tua azienda, nemmeno il tuo commercialista.
• La chiave dello storico esteso non viene mai conservata: esiste solo in memoria per la durata dello scarico e sparisce con esso. Non la scriviamo in nessuna tabella, in nessun archivio e nei nostri registri.
• Prima di mandarti in banca registriamo però il riferimento con cui l’accesso si revoca, che non è una credenziale e non permette di leggere nulla: serve a garantire che nessun accesso resti aperto senza che sappiamo come chiuderlo.
• Se qualcosa va storto durante lo scarico, l’accesso viene chiuso lo stesso.

Chi può chiederlo, chi vede i movimenti, come si revoca

Lo storico esteso può chiederlo solo chi ha i permessi di amministrazione bancaria della tua azienda. I movimenti importati sono visibili a chi ha accesso alla tua azienda in Contifex e, se lo hai invitato, al tuo commercialista. Il titolare dell’account e gli amministratori della tua azienda possono revocare un collegamento in qualsiasi momento dalla pagina dei conti: la revoca chiude l’accesso presso la banca e interrompe l’aggiornamento. Anche Artifex può revocare i collegamenti, nei casi previsti dai Termini di Servizio (art. 5.5). I movimenti già importati restano finché la tua azienda non li elimina o fino alla fine del rapporto.

5. Intelligenza artificiale

Contifex usa modelli di OpenAI per classificare movimenti e fatture e per l’assistente in chat. Sono dati che trattiamo per conto della tua azienda (sezione 2). Per ogni richiesta inviamo solo i dati necessari: per un movimento importo, data, descrizione e controparte, con alcuni esempi di movimenti già classificati; per una fattura fornitore, causale, importi e righe; per l’assistente la conversazione e i dati che legge per rispondere. Secondo le sue condizioni, OpenAI non usa questi dati per addestrare i propri modelli e li conserva al massimo 30 giorni per il controllo degli abusi. Il trattamento avviene negli Stati Uniti, con le clausole contrattuali tipo della Commissione europea.

Le categorie con un’affidabilità stimata pari o superiore al 90% vengono applicate in automatico ai movimenti della tua azienda, e restano modificabili; quelle fra il 50% e il 90% sono proposte che confermi tu; sotto il 50% non proponiamo nulla. L’assistente ti avvisa che stai parlando con un sistema di intelligenza artificiale e non esegue nessuna azione senza la tua conferma. Se usi la dettatura vocale nella chat, l’audio è trattato dal riconoscimento vocale del tuo browser (per esempio Google per Chrome o Apple per Safari) secondo le condizioni del suo fornitore; a noi arriva solo il testo.

6. A chi comunichiamo i dati

Ci avvaliamo di questi fornitori, che trattano i dati per nostro conto come responsabili del trattamento, con un contratto che li vincola:

Inoltre i dati possono essere comunicati a: Yapily Connect UAB, che presta alla tua azienda il servizio di informazione sui conti come soggetto autorizzato; il commercialista che la tua azienda invita in Contifex; le autorità, quando la legge lo impone; i nostri consulenti (commercialista e avvocato), tenuti alla riservatezza. Il personale di Artifex che accede ai dati è autorizzato e istruito.

7. Trasferimenti fuori dall’Unione europea

Quando un fornitore tratta dati fuori dallo Spazio economico europeo lo fa con una delle garanzie previste dagli artt. 45 e 46 del GDPR: la decisione di adeguatezza sul Data Privacy Framework UE-USA (Decisione (UE) 2023/1795), per le società che vi aderiscono; la decisione di adeguatezza per il Regno Unito (Decisione (UE) 2021/1772, rinnovata fino al 27 dicembre 2031), per i fornitori che trattano dati nel Regno Unito, come Yapily; negli altri casi le clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914). La tabella della sezione 6 indica quale garanzia vale per ciascun fornitore. Puoi chiederne copia a privacy@contifex.com.

8. Conservazione e cancellazione

I tempi di ciascun trattamento sono nella tabella della sezione 3. Alla fine del rapporto, come previsto dai Termini di Servizio, il servizio resta in sola lettura per esportare i dati (3 mesi, oppure 30 giorni dopo la fine della prova senza abbonamento), poi eliminiamo l’azienda, gli account e i dati, dopo un avviso di almeno 7 giorni. Restano: le copie di sicurezza giornaliere del database, che si sovrascrivono entro 7 giorni; le fatture del canone (10 anni); la prova della conclusione del contratto e la registrazione dell’eliminazione (10 anni).

9. Dati obbligatori e decisioni automatizzate

I dati chiesti nell’onboarding servono a concludere il contratto e a verificare l’azienda: senza di essi non possiamo abilitarla. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te o che ti riguardino in modo analogo (art. 22): la classificazione automatica riguarda i movimenti della tua azienda e resta modificabile.

10. I tuoi diritti

Ai sensi degli articoli 15-22 del GDPR puoi chiederci:

• accesso: sapere se trattiamo tuoi dati e averne copia;
• rettifica dei dati inesatti o incompleti;
• cancellazione, salvo che dobbiamo conservarli per legge o per difendere un diritto;
• limitazione del trattamento nei casi previsti;
• portabilità dei dati che ci hai fornito, in un formato strutturato e leggibile da un computer.

Hai inoltre il diritto di opporti in qualsiasi momento, per motivi legati alla tua situazione particolare, ai trattamenti basati sul nostro legittimo interesse (art. 21 del GDPR).

Scrivi a privacy@contifex.com o alla PEC artifextechnologiessrls@pec.it. Rispondiamo entro un mese; se la richiesta è complessa possiamo prorogare di altri due mesi, e in quel caso te lo diciamo entro il primo. Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it). Per i dati che trattiamo per conto di un’azienda cliente vale la sezione 2.

11. Cookie e strumenti simili

Usiamo solo strumenti tecnici, necessari al funzionamento del sito e dell’accesso, e una misura delle prestazioni delle pagine che vediamo solo in forma aggregata. Non usiamo cookie di profilazione, pubblicitari o di tracciamento di terze parti, e per questo non ti chiediamo un consenso. I dettagli sono nella Cookie policy.

12. Sicurezza

Proteggiamo i dati con misure adeguate al rischio: comunicazioni cifrate (HTTPS/TLS); dati del database cifrati a riposo dal fornitore; chiavi di accesso ai conti bancari cifrate anche dall’applicazione; separazione fra le aziende e controllo degli accessi per ruolo, applicati anche dal database; copie di sicurezza giornaliere conservate 7 giorni; database e funzioni nell’Unione europea. L’elenco completo delle misure è nell’Allegato B dell’Accordo sul trattamento dei dati.

13. Modifiche all’informativa

Se questa informativa cambia, pubblichiamo la nuova versione con la sua data. Se le modifiche sono sostanziali, te le comunichiamo via email almeno 30 giorni prima che si applichino, salvo che la legge le imponga prima.