Accordo sul trattamento dei dati personali

Versione 2026-11-08-lancio · Nomina a responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679.

Il presente accordo è parte integrante delle Condizioni generali di servizio ed è concluso tra lo Studio che attiva il servizio, titolare del trattamento (di seguito "Titolare"), e Alessandro Scala, titolare di StudioSmartz, responsabile del trattamento (di seguito "Responsabile").

1. Oggetto, natura e finalità

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di erogare il servizio StudioSmartz: ricezione, riconoscimento automatico, archiviazione e messa a disposizione dei documenti che i clienti del Titolare inviano o che il Titolare carica; invio di conferme di ricezione, riepiloghi e promemoria ai clienti del Titolare per suo conto.

2. Durata

Per tutta la durata del contratto di servizio e fino alla restituzione o cancellazione dei dati prevista all'art. 10.

3. Categorie di interessati e di dati

• Interessati: clienti del Titolare e persone indicate nei loro documenti (familiari, dipendenti, controparti); collaboratori del Titolare che accedono all'area riservata.
• Dati comuni: dati anagrafici, codici fiscali e partite IVA, recapiti, dati di fatturazione, dati bancari ed economici contenuti nei documenti (fatture, F24, estratti conto, cedolini, CU, contratti, visure).
• Categorie particolari (art. 9): dati relativi alla salute eventualmente desumibili da documenti di spesa sanitaria (scontrini di farmacia, fatture mediche), trattati per gli adempimenti fiscali del Titolare.
• Documenti di identità, se inviati dai clienti del Titolare.

4. Istruzioni del Titolare

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare, costituita dalle Condizioni di servizio, dal presente accordo e dalle impostazioni scelte nell'area riservata. Se ritiene che un'istruzione violi la normativa, ne informa immediatamente il Titolare. I dati non sono usati per finalità proprie del Responsabile, né per addestrare modelli di intelligenza artificiale.

5. Riservatezza

Accedono ai dati solo il Responsabile e le persone da lui autorizzate, vincolate alla riservatezza e solo nella misura necessaria all'erogazione e all'assistenza del servizio.

6. Misure di sicurezza (art. 32)

• connessioni cifrate (HTTPS/TLS) per sito, area riservata e posta;
• server dedicato in data center nell'Unione Europea, con firewall che espone solo i servizi necessari e aggiornamenti di sicurezza automatici;
• accesso all'area riservata con link personale monouso a scadenza (30 minuti), senza password riutilizzabili;
• separazione logica dei dati di ogni Titolare e controlli di accesso su ogni documento;
• accesso amministrativo al server solo con chiave crittografica;
• backup giornalieri con conservazione di 14 giorni e registro delle attività visibile al Titolare;
• cestino dei documenti eliminati recuperabile per 30 giorni, poi cancellazione definitiva.

7. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili, vincolati da obblighi equivalenti a quelli del presente accordo:

• IONOS SE (Germania) – server, archivio e posta elettronica, in data center nell'Unione Europea;
• Anthropic – servizio di intelligenza artificiale per il riconoscimento dei documenti, con trattamento che può avvenire negli Stati Uniti; i dati inviati tramite API non sono usati per l'addestramento dei modelli.

Le fatture elettroniche in formato XML sono lette direttamente sul server, senza invio al servizio di intelligenza artificiale. Il Responsabile informa il Titolare con almeno 30 giorni di preavviso dell'aggiunta o sostituzione di sub-responsabili; il Titolare può opporsi e, in tal caso, recedere senza costi.

8. Trasferimenti fuori dall'UE

I trasferimenti verso gli Stati Uniti avvengono sulla base delle garanzie previste dagli artt. 45-46 GDPR (decisione di adeguatezza EU-US Data Privacy Framework per i fornitori certificati e/o clausole contrattuali tipo della Commissione europea).

9. Assistenza al Titolare

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare: nel rispondere alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità), anche tramite le funzioni di modifica, eliminazione ed esportazione dell'area riservata; nel garantire la sicurezza; nella notifica delle violazioni; nelle eventuali valutazioni d'impatto.

10. Restituzione e cancellazione

Alla cessazione del servizio il Titolare può scaricare l'intero archivio in formato ZIP. Entro 30 giorni il Responsabile cancella tutti i dati personali, salvo che il diritto dell'Unione o nazionale ne preveda la conservazione; le copie di backup scadono automaticamente entro i successivi 14 giorni. Su richiesta il Responsabile conferma per iscritto l'avvenuta cancellazione.

11. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali, fornendo le informazioni disponibili (natura della violazione, categorie e numero approssimativo di interessati e documenti, conseguenze probabili, misure adottate) per consentire al Titolare di valutare la notifica al Garante entro 72 ore ai sensi dell'art. 33 GDPR.

12. Verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente accordo e consente verifiche, anche tramite un revisore incaricato dal Titolare, con preavviso di almeno 15 giorni, in orario lavorativo e con costi a carico del Titolare.

13. Registro

Il Responsabile tiene il registro delle attività di trattamento svolte per conto dei titolari ai sensi dell'art. 30, par. 2, GDPR.