Accordo sul trattamento dei dati
1. Parti e ruoli
1.1 Il Cliente che attiva l'abbonamento a ELVYNTA è titolare del trattamento dei dati personali contenuti nei documenti e negli altri dati che carica o riceve nel portale.
1.2 ELVYNTA, Via Alberto Amerani 10, Roma («ELVYNTA») è responsabile del trattamento e tratta quei dati solo per conto del Cliente e per fornire il servizio.
1.3 L'accordo si accetta insieme alle Condizioni generali, con l'Ordine nel portale, e dura quanto il contratto, più il tempo necessario alla cancellazione prevista all'art. 10.
2. Oggetto, natura e finalità del trattamento
2.1 ELVYNTA tratta i dati per: archiviare i documenti dei fornitori del Cliente; leggerne il testo in modo automatico per proporre tipo di documento, intestatario, scadenze ed esito; mostrarne lo stato agli utenti del Cliente; registrare le decisioni degli utenti; preparare e inviare, a nome del Cliente, i solleciti ai fornitori; fare le copie di sicurezza; dare assistenza al Cliente quando la chiede.
2.2 La lettura automatica avviene sul server di ELVYNTA, senza inviare i documenti a servizi esterni di intelligenza artificiale o di lettura del testo.
3. Tipi di dati e interessati
3.1 Interessati: titolari, legali rappresentanti, soci, amministratori, direttori tecnici, dipendenti e referenti dei fornitori del Cliente; utenti del Cliente.
3.2 Dati: dati anagrafici e identificativi (nome, codice fiscale, data e luogo di nascita, residenza, cariche), dati di contatto, dati contenuti nei documenti richiesti dal Cliente (per esempio regolarità contributiva, iscrizione camerale, crediti della patente a crediti, informazioni sulla sicurezza sul lavoro), dati di registro delle azioni degli utenti.
3.3 Alcuni documenti (per esempio la documentazione antimafia o i certificati richiesti dall'art. 14 del D.Lgs. 81/2008) possono contenere dati relativi a condanne penali e reati (art. 10 GDPR) o a provvedimenti amministrativi. Il Cliente decide quali documenti raccogliere e garantisce di avere una base giuridica per trattarli; ELVYNTA li tratta con le stesse misure degli altri dati e solo per le finalità dell'art. 2.
4. Istruzioni del Cliente
4.1 ELVYNTA tratta i dati solo su istruzione documentata del Cliente. Sono istruzioni del Cliente queste condizioni, le impostazioni che il Cliente sceglie nel portale (documenti richiesti, regole dei solleciti, persone e ruoli) e le richieste scritte del Cliente compatibili con il servizio.
4.2 Se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, ELVYNTA lo dice subito al Cliente e può sospenderne l'esecuzione.
4.3 ELVYNTA non usa i dati del Cliente per scopi propri, non li vende e non li usa per addestrare sistemi di intelligenza artificiale.
5. Riservatezza
5.1 Accedono ai dati solo le persone autorizzate da ELVYNTA che ne hanno bisogno per fornire il servizio o l'assistenza, vincolate alla riservatezza.
6. Misure di sicurezza (art. 32 GDPR)
- Collegamenti al portale solo cifrati (HTTPS).
- Documenti archiviati cifrati (AES-256-GCM), con la chiave conservata separatamente dall'archivio e dalle copie di sicurezza.
- Controllo antivirus di ogni file prima dell'archiviazione; i file che contengono contenuti attivi o non corrispondono al formato dichiarato vengono rifiutati.
- Ogni Cliente vede solo i propri dati; dentro il Cliente l'accesso è per ruoli (per esempio chi ha solo il ruolo di caricamento non può confermare documenti).
- Password conservate in forma non reversibile, blocco dopo tentativi ripetuti, chiusura delle sessioni al cambio di password.
- Registro delle azioni rilevanti (caricamenti, conferme, correzioni, invii) con persona, data e ora.
- Copie di sicurezza giornaliere, conservate 14 giorni.
- Aggiornamenti di sicurezza del sistema e firewall sul server.
6.1 ELVYNTA può aggiornare queste misure, senza ridurre il livello di protezione complessivo.
7. Sub-responsabili
7.1 Il Cliente autorizza in via generale ELVYNTA a servirsi di altri responsabili (sub-responsabili) per fornire il servizio. ELVYNTA impone loro per contratto obblighi di protezione dei dati equivalenti a questi e risponde del loro operato.
7.2 Sub-responsabili alla data di questa versione:
- Hostinger International Ltd. (Cipro): server su cui funziona il portale e sono archiviati i dati, in un data center nell'Unione europea; posta elettronica usata per le email del servizio.
7.3 Se il Cliente collega al portale la propria casella Microsoft 365 / Outlook per inviare i solleciti, quel servizio è scelto e fornito al Cliente da Microsoft secondo il contratto tra loro: Microsoft non è un sub-responsabile di ELVYNTA.
7.4 ELVYNTA avvisa il Cliente via email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Il Cliente può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può disdire il contratto con effetto immediato e ottenere il rimborso della parte già pagata e non goduta.
8. Trasferimenti fuori dall'Unione europea
8.1 I dati sono trattati nell'Unione europea. ELVYNTA non li trasferisce fuori dallo Spazio economico europeo senza averlo comunicato al Cliente come previsto all'art. 7.4 e senza le garanzie richieste dal Capo V del GDPR.
9. Assistenza al Cliente
9.1 ELVYNTA aiuta il Cliente, nei limiti di quanto può fare con il servizio, a: rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione); garantire la sicurezza; valutare l'impatto sulla protezione dei dati e consultare il Garante, quando servono. Se un interessato si rivolge direttamente a ELVYNTA, ELVYNTA inoltra la richiesta al Cliente senza rispondere nel merito.
9.2 In caso di violazione dei dati personali che riguardi i dati del Cliente, ELVYNTA avvisa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne ha avuto conoscenza, con le informazioni disponibili sulla natura della violazione, i dati e gli interessati coinvolti, le conseguenze probabili e le misure prese o proposte, e le completa appena possibile.
10. Fine del trattamento
10.1 Durante il contratto il Cliente può esportare i propri dati e scaricare i documenti. Alla fine del contratto ELVYNTA, su richiesta del Cliente fatta entro 30 giorni, gli consegna i dati in un formato di uso comune; trascorsi i 30 giorni li cancella in modo definitivo. Le copie di sicurezza che li contengono si rinnovano e vengono cancellate entro i 14 giorni successivi. Restano esclusi solo i dati che ELVYNTA deve conservare per legge.
11. Verifiche
11.1 ELVYNTA mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo. Il Cliente può svolgere, una volta l'anno o in caso di violazione dei dati, una verifica, anche tramite un revisore vincolato alla riservatezza, con preavviso scritto di almeno 30 giorni, a proprie spese e senza accedere ai dati di altri clienti né compromettere la sicurezza del servizio.
12. Responsabilità e prevalenza
12.1 Per la responsabilità valgono le regole dell'art. 82 del GDPR e, nei rapporti tra le parti, quelle delle Condizioni generali, nei limiti consentiti dalla legge.
12.2 In caso di contrasto tra questo accordo e le Condizioni generali, per la protezione dei dati prevale questo accordo.