Accordo sul trattamento dei dati

Titolare del trattamento: il Cliente del servizio Kontevia, un'azienda o un lavoratore autonomo che tratta dati personali contenuti nei propri documenti contabili e in altri dati inviati al Servizio.

Responsabile del trattamento: Eucalypt 4 s.r.o., Jicinska 226/17, Zizkov, 130 00 Praha 3, Repubblica Ceca, numero di iscrizione 22103741, iscritta nel Registro delle imprese tenuto dal Tribunale municipale di Praga, fascicolo n. C 410771. Contatto per la protezione dei dati: hello@kontevia.com.

1.1. Il presente Accordo disciplina i diritti e gli obblighi delle parti quando il Responsabile del trattamento tratta dati personali per conto del Titolare nell'ambito della fornitura del servizio Kontevia (il "Servizio").

1.2. Il presente Accordo costituisce parte integrante dei Termini e condizioni ed entra in vigore al momento della registrazione del Titolare al Servizio. Si applica per tutto il tempo in cui il Responsabile del trattamento tratta dati personali per conto del Titolare.

2.1. Il Responsabile del trattamento tratta i dati personali esclusivamente allo scopo di fornire il Servizio, ovvero:

• ricezione e digitalizzazione di documenti contabili inviati via chat, e-mail o caricamento;
• estrazione di dati dai documenti tramite riconoscimento ottico dei caratteri e modelli di estrazione automatizzata;
• categorizzazione, rilevamento dei duplicati e proposte di trattamento IVA;
• emissione di fatture e altri documenti su istruzione del Titolare;
• importazione delle transazioni bancarie collegate dal Titolare e loro abbinamento ai documenti;
• preparazione di riepiloghi, report ed esportazioni verso il sistema contabile o il commercialista del Titolare;
• conservazione dei documenti e dei dati all'interno del Servizio per la durata del contratto e del periodo di esportazione.

2.2. Il Responsabile del trattamento tratta i dati personali solo su istruzione documentata del Titolare, comprese le istruzioni relative ai trasferimenti verso paesi terzi, salvo che sia tenuto a farlo in base al diritto dell'Unione o degli Stati membri; in tal caso il Responsabile informa il Titolare prima del trattamento, a meno che tale diritto lo vieti.

3.1. Interessati: i partner commerciali del Titolare (fornitori, clienti, persone di contatto), i dipendenti e i collaboratori del Titolare qualora vengano trattati documenti relativi a buste paga o spese, e gli utenti del Servizio del Titolare stesso.

3.2. Categorie di dati personali: dati identificativi (nome, azienda, numeri di identificazione aziendale e partita IVA); dati di contatto (indirizzo, e-mail, telefono); dati finanziari (importi fatturati, numeri di conto bancario, riferimenti di pagamento); dati relativi al rapporto di lavoro qualora vengano inviati documenti relativi a buste paga (qualifica, stipendio, identificativi assicurativi); dati di utilizzo degli utenti del Titolare.

3.3. Il Responsabile del trattamento non richiede categorie particolari di dati ai sensi dell'Articolo 9 GDPR. Il Titolare si impegna a non inviare tali dati tramite il Servizio, a meno che siano contenuti in un documento che il Titolare è legalmente obbligato a conservare, nel qual caso il Titolare è responsabile della base giuridica.

Il Responsabile del trattamento si impegna a:

• trattare i dati personali solo su istruzione documentata del Titolare e solo nella misura necessaria per il Servizio;
• garantire che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo di riservatezza previsto dalla legge;
• attuare le misure tecniche e organizzative richieste dall'Articolo 32 GDPR, in particolare quelle elencate nell'Allegato al presente Accordo;
• non ricorrere a un altro responsabile del trattamento senza previa autorizzazione scritta generale del Titolare, che il Titolare concede ai sensi dell'Articolo 6 del presente Accordo;
• tenendo conto della natura del trattamento, assistere il Titolare mediante misure tecniche e organizzative adeguate nella risposta alle richieste degli interessati che esercitano i propri diritti;
• assistere il Titolare nel garantire il rispetto degli Articoli da 32 a 36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto sulla protezione dei dati, consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile;
• a scelta del Titolare, cancellare o restituire tutti i dati personali al termine della fornitura del Servizio ed eliminare le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri richieda la conservazione;
• mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto dell'Articolo 28 GDPR e consentire e contribuire ad audit, comprese ispezioni, condotti dal Titolare o da un revisore incaricato dal Titolare;
• informare immediatamente il Titolare qualora, a proprio giudizio, un'istruzione violi il GDPR o altre disposizioni dell'Unione o degli Stati membri in materia di protezione dei dati.

5.1. Il Responsabile del trattamento notifica al Titolare qualsiasi violazione dei dati personali senza ritardo ingiustificato e non oltre 48 ore dal momento in cui ne viene a conoscenza.

5.2. La notifica contiene almeno: una descrizione della natura della violazione, comprese ove possibile le categorie e il numero approssimativo di interessati e di registrazioni coinvolti; il nome e i dati di contatto della persona responsabile; una descrizione delle probabili conseguenze; e una descrizione delle misure adottate o proposte per affrontare la violazione e mitigarne gli effetti.

5.3. Il Responsabile del trattamento collabora con il Titolare per adempiere agli obblighi di notifica del Titolare nei confronti dell'autorità di controllo competente e degli interessati.

6.1. Il Titolare concede un'autorizzazione generale affinché il Responsabile del trattamento ricorra a sub-responsabili per il trattamento dei dati personali.

6.2. L'elenco attuale dei sub-responsabili, con la finalità e l'ubicazione di ciascuno, è pubblicato nella pagina Sub-responsabili del sito web del Responsabile del trattamento e costituisce un allegato al presente Accordo.

6.3. Il Responsabile del trattamento informa il Titolare di qualsiasi aggiunta o sostituzione prevista dei sub-responsabili con almeno 14 giorni di anticipo, tramite e-mail all'indirizzo di contatto del Titolare o tramite avviso nel Servizio, dando al Titolare la possibilità di opporsi.

6.4. Se il Titolare solleva un'obiezione giustificata entro 14 giorni dalla notifica, il Responsabile del trattamento rinuncia alla modifica prevista oppure offre al Titolare la possibilità di risolvere il contratto senza penali e con il rimborso delle quote prepagate per il periodo non utilizzato.

6.5. Il Responsabile del trattamento impone contrattualmente a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati stabiliti nel presente Accordo, in particolare garanzie sufficienti per l'attuazione di misure tecniche e organizzative adeguate. Qualora un sub-responsabile non adempia ai propri obblighi, il Responsabile del trattamento rimane pienamente responsabile nei confronti del Titolare per l'adempimento degli obblighi di tale sub-responsabile.

7.1. I dati personali sono conservati su server ubicati nell'Unione Europea. Il Responsabile del trattamento non trasferisce dati personali al di fuori dello Spazio economico europeo, salvo verso i sub-responsabili elencati nella pagina Sub-responsabili e solo con garanzie adeguate ai sensi del Capo V del GDPR.

7.2. Tali trasferimenti si basano su una decisione di adeguatezza della Commissione europea (incluso il Quadro UE-USA per la protezione dei dati per i destinatari certificati), sulle clausole contrattuali tipo adottate dalla Commissione ai sensi dell'Articolo 46, paragrafo 2, lettera c), GDPR, o su altre garanzie adeguate, integrate da misure supplementari qualora una valutazione d'impatto sul trasferimento lo richieda.

8.1. Il Responsabile del trattamento fornisce al Titolare un'assistenza ragionevole nella gestione delle richieste degli interessati che esercitano i propri diritti ai sensi degli Articoli da 15 a 22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Servizio include funzioni di ricerca, esportazione e cancellazione che consentono al Titolare di gestire direttamente la maggior parte delle richieste.

8.2. Se un interessato contatta direttamente il Responsabile del trattamento, quest'ultimo indirizza l'interessato al Titolare senza ritardo ingiustificato e informa il Titolare, a meno che la richiesta riguardi dati per i quali il Responsabile del trattamento è esso stesso il titolare.

9.1. Il Responsabile del trattamento consente al Titolare o a un revisore incaricato dal Titolare di condurre audit e ispezioni per verificare il rispetto del presente Accordo e del GDPR.

9.2. Gli audit vengono condotti a spese del Titolare, con un ragionevole preavviso di almeno 14 giorni lavorativi, durante l'orario di lavoro e in modo tale da non interrompere le attività del Responsabile del trattamento né compromettere la sicurezza dei dati di altri clienti. Il revisore deve essere vincolato dalla riservatezza.

9.3. In alternativa a un audit in loco, il Responsabile del trattamento può fornire certificazioni attuali, report di revisori indipendenti o altra documentazione che dimostri il rispetto delle misure di sicurezza, qualora tali documenti siano sufficienti a rispondere alle domande del Titolare.

10.1. Il presente Accordo è efficace per tutta la durata del rapporto contrattuale tra il Titolare e il Responsabile del trattamento, ovvero per tutto il tempo in cui il Titolare utilizza il Servizio.

10.2. Al termine del rapporto contrattuale, il Responsabile del trattamento: consente al Titolare di esportare i propri dati per 90 giorni; trascorso il periodo di 90 giorni, cancella in modo irreversibile tutti i dati personali del Titolare; elimina le copie di backup non oltre 45 giorni dopo la cancellazione dei dati primari; e conferma la cancellazione su richiesta del Titolare. Sono esclusi i dati che il Responsabile del trattamento è tenuto a conservare ai sensi del diritto dell'Unione o degli Stati membri (in particolare i registri di fatturazione).

10.3. Gli obblighi del presente Accordo, in particolare riservatezza e sicurezza, sopravvivono al termine del rapporto contrattuale per tutto il tempo in cui il Responsabile del trattamento detiene dati personali del Titolare.

11.1. Il Responsabile del trattamento è responsabile del danno causato da un trattamento in violazione del presente Accordo o del GDPR, ai sensi dell'Articolo 82 GDPR, in particolare qualora non abbia rispettato gli obblighi del GDPR specificamente rivolti ai responsabili del trattamento o abbia agito al di fuori o in contrasto con istruzioni lecite del Titolare.

11.2. Le limitazioni di responsabilità previste nei Termini e condizioni si applicano al presente Accordo nella misura consentita dalla legge; esse non limitano i diritti degli interessati.

12.1. Il presente Accordo è disciplinato dalla legge della Repubblica Ceca e dal diritto dell'Unione Europea direttamente applicabile, in particolare dal GDPR.

12.2. In caso di conflitto tra il presente Accordo e i Termini e Condizioni, prevale il presente Accordo per quanto riguarda la protezione dei dati personali.

12.3. Le modifiche al presente Accordo richiedono la forma scritta, che comprende una versione aggiornata pubblicata sul sito web e notificata al Titolare del trattamento in conformità con i Termini e Condizioni.

12.4. Le controversie derivanti dal presente Accordo sono decise dai tribunali della Repubblica Ceca competenti in base alla sede del Responsabile del trattamento, fatti salvi i diritti degli interessati e delle autorità di controllo.

Crittografia

• Crittografia AES-256 dei dati a riposo, inclusi i backup.
• TLS 1.2 o superiore per tutti i dati in transito, incluse le connessioni ai subresponsabili del trattamento.

Controllo degli accessi

• Accesso secondo il principio del privilegio minimo: ogni dipendente e sistema dispone solo delle autorizzazioni necessarie per il proprio ruolo.
• Autenticazione a più fattori per l'accesso amministrativo e all'infrastruttura.
• Separazione degli spazi di lavoro dei clienti a livello di applicazione e di database.
• Revisione periodica e revoca tempestiva dei diritti di accesso.

Disponibilità e resilienza

• Backup automatici regolari con procedure di ripristino testate.
• Infrastruttura di hosting ridondante all'interno dell'Unione Europea.
• Monitoraggio della disponibilità e delle prestazioni con sistema di allerta.

Integrità e registrazione

• Registrazione degli accessi ai dati personali e delle azioni amministrative.
• Registro di controllo per i documenti: chi li ha inviati, modificati, approvati o esportati e quando.
• Rilevamento di anomalie e incidenti di sicurezza.

Misure organizzative

• Obblighi di riservatezza per tutto il personale e i collaboratori con accesso ai dati personali.
• Formazione del personale in materia di protezione dei dati e sicurezza.
• Procedure interne documentate per il trattamento dei dati personali e la gestione delle richieste degli interessati.
• Piano di risposta agli incidenti con ruoli definiti e scadenze di notifica.
• Verifica sulla protezione dei dati dei nuovi subresponsabili prima del loro incarico.