Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante dei Termini di servizio tra te («Cliente», il titolare del trattamento) e DocuTract («DocuTract», il responsabile del trattamento). Disciplina il trattamento, da parte di DocuTract, dei dati personali contenuti nei documenti, nelle scansioni e nei modelli che carichi («Dati personali del Cliente») e recepisce i requisiti dell'articolo 28 del Regolamento generale sulla protezione dei dati dell'UE (GDPR).

Ruoli delle parti

Il Cliente è il titolare del trattamento e determina le finalità e i mezzi del trattamento dei Dati personali del Cliente. DocuTract è il responsabile del trattamento e tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, comprese quelle impartite mediante il normale utilizzo del servizio. Qualora DocuTract agisca in qualità di titolare del trattamento per i dati dell'account e di fatturazione, si applica invece l'Informativa sulla privacy.

Oggetto e durata

L'oggetto è il trattamento necessario per fornire DocuTract - l'estrazione dei campi dalle scansioni caricate e la generazione di documenti compilati. Il trattamento dura per tutto il periodo di validità dei Termini di servizio e fino alla cancellazione dei Dati personali del Cliente in conformità al presente DPA.

Natura e finalità del trattamento

DocuTract tratta i Dati personali del Cliente per ricevere i file caricati, eseguire l'estrazione automatizzata, compilare i modelli, generare i documenti di output e conservare tali documenti e scansioni per conto del Cliente.

Categorie di dati e di interessati

Il Cliente controlla ciò che carica. I Dati personali del Cliente possono includere dati identificativi, dati di contatto, dati di documenti di identità, dati finanziari e altri dati contenuti nei file di origine del Cliente. Gli interessati possono includere i clienti, i dipendenti e le controparti del Cliente, nonché qualsiasi persona fisica menzionata nei documenti del Cliente.

Categorie particolari di dati

DocuTract non è progettato per categorie particolari di dati personali (articolo 9 GDPR, come i dati relativi alla salute) né per dati relativi a condanne penali e reati (articolo 10 GDPR). Il Cliente non caricherà tali dati, salvo che disponga di una valida base giuridica per tale trattamento e ne abbia previamente informato DocuTract per iscritto, affinché le parti possano concordare eventuali garanzie aggiuntive.

Obblighi di DocuTract

DocuTract si impegna a:

trattare i Dati personali del Cliente soltanto su istruzione documentata del Cliente;
garantire che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza;
adottare le misure tecniche e organizzative descritte di seguito;
non utilizzare i Dati personali del Cliente per addestrare modelli di apprendimento automatico né per finalità diverse dalla fornitura del servizio;
assistere il Cliente, tenendo conto della natura del trattamento, nel dare seguito alle richieste degli interessati e nell'adempimento dei propri obblighi in materia di sicurezza, notifica delle violazioni e valutazione d'impatto.

Misure di sicurezza

DocuTract mantiene misure tecniche e organizzative adeguate, tra cui la cifratura in transito (TLS) e a riposo (il database e lo spazio di archiviazione dei file sono cifrati dai rispettivi fornitori), controlli di accesso basati sul principio del privilegio minimo e sull'autenticazione, l'autenticazione a due fattori per gli utenti (che il proprietario di un'area di lavoro può rendere obbligatoria) e l'autenticazione a due fattori obbligatoria per gli amministratori di DocuTract, uno spazio di archiviazione privato dei file che non è mai accessibile pubblicamente ed è esposto solo tramite URL firmati di breve durata, limitati a un'area di lavoro, la separazione logica dei dati di ciascuna area di lavoro, un registro degli accessi a sola aggiunta (append-only) delle modifiche e delle letture dei Dati personali del Cliente e di ogni accesso da parte degli amministratori, il rendering dei PDF sui server propri di DocuTract e il riesame periodico di tali misure.

Sub-responsabili del trattamento

Il Cliente autorizza DocuTract a ricorrere a sub-responsabili del trattamento per fornire il servizio. DocuTract impone a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati che garantiscono una tutela non inferiore a quella prevista dal presente DPA e rimane responsabile del loro adempimento. Gli attuali sub-responsabili del trattamento sono:

Anthropic Ireland, Limited (Irlanda) - riconoscimento tramite IA del testo e dei campi nelle scansioni caricate e analisi dei modelli caricati. Riceve esclusivamente il contenuto dei file - nessun nome di file né identificativo dell'account. Anthropic conserva i dati negli Stati Uniti, può trattarli in altri Paesi in cui opera, conserva input e output per un massimo di 30 giorni e non li utilizza per addestrare modelli.
Hetzner Online GmbH (Germania) - hosting dei server in un data center a Falkenstein, Germania: l'applicazione, le code dei processi e il rendering dei PDF.
Supabase, Inc. (Stati Uniti) - database, accesso degli utenti e archiviazione privata dei file (modelli, scansioni e documenti generati), con hosting in Irlanda (UE) e cifratura a riposo.
Stripe (Stripe, Inc. e le sue affiliate, tra cui Stripe Payments Europe, Limited) - fatturazione degli abbonamenti e pagamenti una tantum (esclusivamente dati dell'account e di fatturazione, mai il contenuto dei documenti).
Zone Media OÜ (Zone.eu, Estonia) - il servizio di hosting della posta tramite cui DocuTract invia le e-mail, inclusa l'e-mail con i link a un documento pagato (l'indirizzo del destinatario, l'oggetto e il corpo del messaggio; il documento stesso non è allegato).
PostHog, Inc. (analisi del prodotto) - analisi del sito web rispettosa della privacy, con hosting nell'UE e attiva solo con il consenso del visitatore, con tutti i testi e i dati inseriti mascherati. Non tratta il contenuto dei documenti o delle scansioni caricati.

DocuTract fornirà un preavviso di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile del trattamento, affinché il Cliente possa opporsi per ragionevoli motivi attinenti alla protezione dei dati.

Trasferimenti internazionali

Alcuni sub-responsabili del trattamento trattano i Dati personali del Cliente al di fuori del SEE - in particolare Anthropic, che conserva i dati negli Stati Uniti, e Stripe, che ha sede negli Stati Uniti. Supabase ospita i nostri dati in Irlanda ma ha sede negli Stati Uniti, pertanto l'accesso remoto da tale Paese è considerato un trasferimento. Per ciascuno di tali trasferimenti DocuTract si basa sulle clausole contrattuali standard della Commissione europea incorporate nelle condizioni sul trattamento dei dati del sub-responsabile del trattamento o, ove disponibile, su una decisione di adeguatezza (come l'EU-US Data Privacy Framework), unitamente alle misure tecniche sopra descritte.

Violazione dei dati personali

DocuTract notificherà al Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che riguardi i Dati personali del Cliente, fornendo le informazioni di cui il Cliente ha ragionevolmente bisogno per adempiere ai propri obblighi di notifica.

Restituzione e cancellazione

Alla cessazione del servizio, o su richiesta scritta del Cliente inviata a legal@docutract.online, DocuTract cancellerà o restituirà i Dati personali del Cliente e cancellerà le copie esistenti entro 30 giorni, salvo che la conservazione sia richiesta dalla legge. Le copie detenute dai sub-responsabili del trattamento sono cancellate entro i rispettivi periodi di conservazione (per Anthropic, fino a 30 giorni dopo il trattamento).

Attività di revisione

DocuTract mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente DPA e contribuirà alle attività di revisione, comprese le ispezioni, realizzate dal Cliente o da un altro soggetto da esso incaricato, con ragionevole preavviso e nel rispetto della riservatezza.

Responsabilità e prevalenza

In caso di conflitto tra il presente DPA e i Termini di servizio in materia di trattamento dei dati personali, prevale il presente DPA. Domande sul presente DPA? Scrivi a legal@docutract.online.