Accordo sul trattamento dei dati (DPA)

Parti

Titolare del trattamento ("Cliente"): l'azienda che ha sottoscritto i Termini di servizio Ublik, come identificata nell'account.

Responsabile del trattamento ("Fornitore"): AG Service di Andrea Gualdi — via Somalia 13, 41122 Modena (MO) — P.IVA 03942840368 — REA MO-430307 — PEC gualdi.andrea@pec.it — email supporto@ublik.it

Il presente Accordo è parte integrante dei Termini di servizio e si applica automaticamente dalla loro accettazione, senza necessità di sottoscrizione separata. Su richiesta del Cliente, il Fornitore ne fornisce copia firmata digitalmente.

1. Oggetto e durata

1.1 Il Fornitore tratta per conto del Cliente i dati personali che quest'ultimo inserisce nel proprio spazio sulla piattaforma Ublik, al solo fine di erogare il servizio descritto nei Termini.

1.2 L'Accordo dura quanto il rapporto contrattuale e fino alla cancellazione definitiva dei dati secondo l'art. 9.

2. Natura, finalità e caratteristiche del trattamento

Finalità: erogazione del servizio gestionale (archiviazione, organizzazione, consultazione, elaborazione, comunicazione ai soggetti indicati dal Cliente, esportazione, cancellazione).

Natura delle operazioni: raccolta, registrazione, conservazione, consultazione, elaborazione, estrazione, comunicazione mediante trasmissione, cancellazione.

Categorie di interessati: clienti e committenti del Cliente (persone fisiche e referenti di persone giuridiche); collaboratori, dipendenti e professionisti del Cliente, inclusi i professionisti ingaggiati tramite la Rete dei tecnici per la parte di dati richiesti dal Cliente; fornitori e loro referenti; referenti dei luoghi in cui il Cliente opera; destinatari di preventivi, documenti di trasporto e fatture, inclusi coloro che accedono ai link pubblici generati dal Cliente.

Categorie di dati: dati anagrafici e identificativi; recapiti; dati fiscali e bancari (codice fiscale, partita IVA, IBAN, codice destinatario); dati professionali (mansioni, patenti, attestati e relativi documenti, tariffe, compensi, ore lavorate, disponibilità); immagini (foto del profilo); dati di localizzazione dei luoghi di lavoro; dati contrattuali ed economici (preventivi, contratti, fatture, storico); dati di attività (registro delle operazioni, scansioni, spunte, accessi, indirizzo IP di chi accetta un preventivo tramite link pubblico).

Categorie particolari di dati: il prodotto consente di indicare, in campi facoltativi della scheda del personale, eventuali intolleranze e allergie alimentari del collaboratore. Si tratta di dati relativi alla salute ai sensi dell'art. 9 GDPR. Il Cliente è l'unico responsabile della sussistenza di una base giuridica idonea (di regola il consenso esplicito dell'interessato) e si impegna a non inserire tali dati in assenza di essa. Il Fornitore non tratta tali dati per finalità proprie.

Dati di un terzo: il prodotto consente inoltre di indicare un contatto da avvisare in caso di emergenza (nome, numero di telefono e relazione). Sono dati personali di una persona che non è utente del servizio: il Cliente è tenuto a informarla ai sensi dell'art. 14 GDPR.

Misure specifiche su questi due dati, dal 17 settembre 2026. Il Fornitore applica per sua iniziativa, e indipendentemente dalle istruzioni del Cliente, tre misure tecniche che riducono il rischio di questi trattamenti (art. 32 GDPR):

a) i due dati non compaiono nelle schede del prodotto: se ne vede solo l'esistenza; b) per vederli occorre una richiesta esplicita, in cui chi guarda ribatte la propria password; il contatto d'emergenza è accessibile ai soli utenti con ruolo di titolare o gestore, le intolleranze anche agli utenti assegnati allo stesso lavoro dell'interessato; c) ogni visualizzazione, riuscita o tentata, è registrata e l'elenco è consultabile dall'interessato stesso dal proprio profilo, con data, ora, azienda e titolo con cui è avvenuta. Il registro è dell'interessato, non del Cliente. Per gli interessati che non hanno un account il registro è conservato allo stesso modo e il Cliente ne fornisce estratto su richiesta.

3. Istruzioni del Titolare

3.1 Il Fornitore tratta i dati esclusivamente su istruzione documentata del Cliente, anche per quanto riguarda i trasferimenti verso paesi terzi. Le istruzioni sono costituite dai Termini di servizio, dal presente Accordo e dalle funzioni che il Cliente attiva e utilizza nel prodotto. Fa eccezione il caso in cui il trattamento sia richiesto dal diritto dell'Unione o dello Stato membro cui il Fornitore è soggetto: in tal caso il Fornitore informa il Cliente prima del trattamento, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico.

3.2 Il Fornitore informa immediatamente il Cliente se ritiene che un'istruzione violi la normativa sulla protezione dei dati.

3.3 Il Fornitore non tratta i dati per finalità proprie, non li utilizza per addestrare modelli, non li aggrega con dati di altri clienti, non li cede a terzi.

4. Obblighi del Fornitore

Il Fornitore si impegna a:

a) garantire che le persone autorizzate al trattamento, designate ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice privacy, siano vincolate alla riservatezza e istruite sulle misure di sicurezza; b) adottare le misure di sicurezza descritte all'Allegato A; c) assistere il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (art. 12-22 GDPR), in particolare mettendo a disposizione strumenti di consultazione, modifica ed esportazione dei dati direttamente nel prodotto; inoltrare senza ritardo al Cliente le richieste degli interessati eventualmente ricevute direttamente, senza rispondervi nel merito; d) assistere il Cliente nell'adempimento degli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (art. 32-36 GDPR), tenuto conto della natura del trattamento e delle informazioni disponibili; e) notificare al Cliente senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza, ogni violazione dei dati personali che riguardi i dati trattati per suo conto, fornendo le informazioni disponibili sulla natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, le conseguenze probabili e le misure adottate, e integrandole man mano che diventano disponibili; f) mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire verifiche secondo l'art. 7; g) tenere il registro delle attività di trattamento svolte per conto del Cliente, ove richiesto dall'art. 30.2 GDPR.

5. Sub-responsabili

5.1 Il Cliente autorizza in via generale il Fornitore a ricorrere ai sub-responsabili elencati all'Allegato B.

5.2 Il Fornitore informa il Cliente, con almeno 30 giorni di anticipo tramite email o avviso nel prodotto, di ogni aggiunta o sostituzione di sub-responsabili. Il Cliente può opporsi per motivi legittimi entro tale termine; in caso di opposizione non superabile, il Cliente può recedere dal contratto senza penali, con esportazione dei dati secondo i Termini.

5.3 Il Fornitore impone a ciascun sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente Accordo e resta pienamente responsabile verso il Cliente dell'operato dei sub-responsabili.

6. Trasferimenti extra-UE e richieste di autorità di paesi terzi

6.1 Alcuni sub-responsabili sono stabiliti o trattano dati fuori dallo Spazio economico europeo (in particolare negli Stati Uniti). I trasferimenti avvengono sulla base delle Clausole contrattuali standard adottate dalla Commissione europea (decisione 2021/914) e, ove applicabile, delle decisioni di adeguatezza vigenti (incluso il Data Privacy Framework UE-USA per i fornitori che vi aderiscono), con le garanzie supplementari indicate all'Allegato B.

6.2 Se il Fornitore riceve da un'autorità di un paese terzo una richiesta di accesso ai dati del Cliente, ne informa il Cliente senza ritardo, salvo divieto di legge, e non vi dà seguito se non nei casi in cui la richiesta sia riconosciuta o esecutiva ai sensi del diritto dell'Unione o italiano, limitando comunque la comunicazione al minimo necessario (art. 48 GDPR; Reg. (UE) 2023/2854, art. 32).

7. Verifiche

7.1 Il Fornitore mette a disposizione del Cliente, su richiesta e al massimo una volta all'anno, la documentazione delle misure di sicurezza adottate, gli esiti delle verifiche di sicurezza svolte sul codice e la lista aggiornata dei sub-responsabili.

7.2 Ove la documentazione non sia ragionevolmente sufficiente, il Cliente può richiedere una verifica in loco o da remoto, con preavviso di 30 giorni, in orario lavorativo, a proprie spese, tramite personale vincolato alla riservatezza, senza compromettere la sicurezza degli altri clienti. La verifica non può estendersi ai dati di altri clienti né ai sistemi dei sub-responsabili.

8. Accesso del Fornitore ai dati

8.1 Il personale del Fornitore accede ai dati del Cliente solo per finalità di assistenza tecnica, sicurezza e manutenzione, nella misura strettamente necessaria.

8.2 L'accesso allo spazio del Cliente da parte del Fornitore avviene in sola lettura ed è registrato con data, ora e identità dell'amministratore che vi accede. Un intervento in scrittura sui dati del Cliente avviene esclusivamente su richiesta scritta del Cliente, nei limiti della richiesta, ed è a sua volta registrato. Il Cliente può richiedere l'estratto del registro.

8.3 Gli strumenti automatici di diagnosi utilizzati dal Fornitore, anche basati su intelligenza artificiale, operano esclusivamente su registri tecnici, metadati, conteggi e messaggi di errore, e non accedono al contenuto dei dati del Cliente.

9. Restituzione e cancellazione

9.1 Per tutta la durata del rapporto il Cliente può esportare i propri dati dal prodotto. Su richiesta, il Fornitore fornisce un'esportazione completa in formato aperto e strutturato (un archivio con una tabella CSV per ogni dato e i file allegati nel formato originale), entro i termini dell'art. 15 dei Termini di servizio, senza costi.

9.2 Alla cessazione del rapporto il Fornitore conserva i dati per 90 giorni per consentire l'esportazione o la riattivazione (con un avviso al Cliente 30 giorni prima della scadenza), quindi cancella in modo definitivo il database del Cliente, i file caricati e le righe che lo riguardano nel sistema di controllo, fatti salvi gli obblighi di legge di conservazione (in particolare i documenti fiscali emessi dal Fornitore verso il Cliente, per i quali restano soltanto la denominazione e l'identificativo dell'azienda). Le copie di sicurezza, che si sovrascrivono automaticamente, sono eliminate entro ulteriori 90 giorni. Presso i sub-responsabili restano soltanto i dati che essi conservano per obblighi propri (registri di consegna delle email, dati di fatturazione).

9.3 Su richiesta scritta, il Fornitore attesta l'avvenuta cancellazione dei dati sotto il suo controllo diretto.

10. Responsabilità

Ciascuna parte risponde dei danni causati dal trattamento in violazione del GDPR secondo l'art. 82 del Regolamento. Le limitazioni di responsabilità dei Termini di servizio si applicano nei limiti consentiti dalla legge.

Allegato A — Misure di sicurezza

Isolamento dei dati. Ogni Cliente dispone di un database dedicato, separato da quello degli altri clienti; l'identificativo del Cliente non compare mai negli indirizzi delle richieste ed è determinato esclusivamente dalla sessione autenticata. L'efficacia della separazione è verificata periodicamente con prove specifiche.

Controllo degli accessi. Autenticazione con password protette da funzione di derivazione robusta e aggiornata allo stato dell'arte; verifica obbligatoria dell'email; autenticazione a due fattori con codici di recupero; chiavi di accesso (passkey/WebAuthn) per gli amministratori della piattaforma; limitazione dei tentativi di accesso; sessioni con scadenza; permessi e limiti verificati lato server per ogni richiesta; ruoli distinti (titolare, gestore, tecnico) con visibilità differenziata.

Cifratura. Comunicazioni cifrate in transito (TLS/HTTPS); dati a riposo cifrati dall'infrastruttura del sub-responsabile.

Tracciabilità. Registro delle attività con autore, data e differenze; registro degli accessi; registro degli accessi di assistenza; log tecnici privi di dati personali.

Dati particolari e dati di terzi. Intolleranze alimentari e contatto d'emergenza non sono restituiti dalle interfacce ordinarie del prodotto, nemmeno agli utenti con ruolo amministrativo: se ne espone la sola esistenza. La visualizzazione richiede una richiesta dedicata con nuova verifica della password dell'utente che la effettua, è limitata per ruolo e — per le intolleranze — all'appartenenza alla squadra del medesimo lavoro, ed è registrata prima di essere evasa: se la registrazione non riesce, il dato non viene restituito. Il registro è consultabile dall'interessato.

Sicurezza applicativa. Query parametrizzate; validazione degli input lato server; verifica del tipo dei file caricati dal contenuto e non dal solo nome; limiti di dimensione; escaping dei contenuti in pagina e nelle email; link pubblici firmati, limitati a una risorsa, a scadenza e revocabili; limitazione delle richieste sulle rotte pubbliche; verifica della firma dei webhook di pagamento.

Continuità. Copie di sicurezza periodiche; infrastruttura distribuita; modifiche allo schema dei dati solo in aggiunta, mai distruttive; ambiente di prova separato da quello di produzione.

Processo. Verifiche di sicurezza periodiche sul codice con prove automatiche di non regressione; principio del minimo privilegio per il personale; segreti conservati fuori dal codice; nessun dato di produzione negli ambienti di sviluppo, salvo copie anonimizzate; procedura di gestione degli incidenti con i termini di notifica dell'art. 4 lett. e.

Allegato B — Sub-responsabili autorizzati

Nota: Stripe e Fatture in Cloud non figurano in questo elenco perché trattano esclusivamente i dati del Cliente in quanto contraente — il pagamento del canone e la fattura che il Fornitore emette al Cliente — e non i dati degli interessati del Cliente; i relativi trattamenti sono descritti nell'Informativa privacy della piattaforma, sezione 5.

Lista aggiornata al 27 settembre 2026. La versione vigente è pubblicata su ublik.it.