Accordo sul trattamento dei dati (DPA)

Il presente Accordo sul trattamento dei dati personali («DPA») integra i Termini di Servizio stipulati tra info@cursusoffice.com, partita IVA 04018830135 (il «Responsabile del trattamento»), e il Cliente indicato nell'account (il «Titolare del trattamento»), ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 («GDPR»). Si applica ai dati personali che il Titolare inserisce nel Servizio e che il Responsabile tratta per suo conto.

1. Oggetto, natura e finalità del trattamento

Il Responsabile fornisce al Titolare un servizio online di gestione aziendale. A tal fine, conserva, organizza, tratta, visualizza, esporta e cancella i dati inseriti dal Titolare e dai suoi utenti e li trasmette ai servizi di terze parti che il Titolare collega al proprio account, ad esempio servizi email, firma elettronica, pagamenti e fatturazione elettronica. La finalità del trattamento è esclusivamente l'erogazione del Servizio in conformità ai Termini di Servizio e alle istruzioni documentate del Titolare.

2. Durata

Il presente DPA ha la stessa durata del contratto relativo al Servizio e continua ad applicarsi finché il Responsabile conserva i dati del Titolare, secondo quanto previsto dalla sezione 9.

3. Categorie di dati e interessati

• Interessati: clienti, potenziali clienti, fornitori, collaboratori e dipendenti del Titolare, utenti del portale clienti, persone di contatto e utenti dell'account.
• Dati personali: dati identificativi e di contatto, codici fiscali e partite IVA, indirizzi, dati contenuti nei documenti commerciali e contabili (preventivi, fatture, pagamenti, spese e contratti), messaggi e allegati, ore lavorate e dati di accesso degli utenti. Il Titolare non deve inserire categorie particolari di dati personali ai sensi dell'articolo 9 del GDPR né dati relativi a condanne penali e reati, salvo che ciò sia strettamente necessario. In caso contrario, la responsabilità ricade sul Titolare.

4. Obblighi del Responsabile del trattamento

1. Tratta i dati esclusivamente sulla base delle istruzioni documentate del Titolare. I Termini di Servizio, il presente DPA e le impostazioni del Servizio costituiscono l'insieme completo delle istruzioni. Qualora ritenga che un'istruzione violi la normativa applicabile, informa il Titolare.
2. Garantisce che le persone autorizzate al trattamento dei dati siano vincolate da obblighi di riservatezza.
3. Applica le misure di sicurezza descritte nell'Allegato A.
4. Rispetta le condizioni previste dalla sezione 5 in materia di sub-responsabili del trattamento.
5. Assiste il Titolare, mediante misure tecniche e organizzative adeguate, nel rispondere alle richieste degli interessati. Il Servizio consente al Titolare di accedere ai dati, rettificarli, esportarli e cancellarli. Qualora tali operazioni non possano essere effettuate autonomamente, il Responsabile collabora su richiesta.
6. Assiste il Titolare nell'adempimento degli obblighi relativi alla sicurezza, alla notifica delle violazioni dei dati personali, alle valutazioni d'impatto e alla consultazione preventiva, tenendo conto della natura del trattamento e delle informazioni a sua disposizione.
7. Notifica al Titolare le violazioni dei dati personali senza ingiustificato ritardo e, in ogni caso, entro [48] ore dal momento in cui ne viene a conoscenza, fornendo le informazioni disponibili.
8. Su richiesta, mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA e consente lo svolgimento di verifiche ragionevoli, previo preavviso di almeno [30] giorni, durante il normale orario lavorativo e senza compromettere la sicurezza o la riservatezza dei dati di altri clienti. Le verifiche possono essere effettuate anche mediante esame della documentazione o di rapporti redatti da soggetti terzi.

5. Sub-responsabili del trattamento

Il Titolare concede un'autorizzazione generale al ricorso a sub-responsabili del trattamento. I sub-responsabili attualmente utilizzati sono elencati nell'Allegato B. Il Responsabile informa il Titolare di eventuali aggiunte o sostituzioni con un preavviso di almeno [30] giorni, tramite email o avviso nell'account. Il Titolare può opporsi per motivi ragionevoli connessi alla protezione dei dati personali. Qualora non sia possibile trovare una soluzione, il Titolare può risolvere il contratto ottenendo il rimborso della quota non utilizzata del periodo già pagato. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli previsti dal presente DPA e rimane responsabile nei confronti del Titolare del loro operato.

I servizi scelti e collegati autonomamente dal Titolare, ad esempio il proprio account Stripe, un servizio di firma elettronica, un software di fatturazione elettronica o un servizio di archiviazione cloud, non sono sub-responsabili del Responsabile. Il Titolare stipula direttamente i relativi contratti e decide quali dati trasmettere a tali servizi.

6. Trasferimenti al di fuori dello Spazio economico europeo

Il Responsabile non trasferisce dati al di fuori dello Spazio economico europeo (SEE), salvo che il trasferimento avvenga sulla base di una decisione di adeguatezza o di clausole contrattuali standard, con l'adozione di misure supplementari ove necessarie. L'elenco dei trasferimenti è riportato nell'Allegato B.

7. Obblighi del Titolare del trattamento

Il Titolare garantisce di disporre di una base giuridica valida per il trattamento dei dati che inserisce, di aver fornito agli interessati le informazioni richieste, di utilizzare il Servizio nel rispetto della normativa applicabile e di gestire in modo sicuro le credenziali degli utenti. Il Titolare rimane responsabile dell'esattezza dei dati e della scelta dei servizi di terze parti che collega al Servizio.

8. Esportazione e restituzione dei dati

Il Titolare può esportare in qualsiasi momento tutti i propri dati, comprese tabelle, documenti emessi e allegati, dalla sezione Account e dati. Alla cessazione del contratto si applica il periodo di sola esportazione previsto dai Termini di Servizio.

9. Cancellazione dei dati

Dopo la chiusura dell'account e al termine del periodo di conservazione indicato nei Termini di Servizio, pari a 10 giorni, il Responsabile cancella o rende anonimi i dati del Titolare e le relative copie, salvo che la normativa dell'Unione europea o nazionale ne imponga la conservazione. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

10. Responsabilità

Ciascuna parte è responsabile ai sensi del GDPR. Nei rapporti tra le parti si applicano le limitazioni di responsabilità previste dai Termini di Servizio, fatta eccezione per le responsabilità che la legge non consente di limitare.

11. Legge applicabile

Il presente DPA è disciplinato dalla legge italiana. Si applicano le disposizioni relative al foro competente previste nei Termini di Servizio.

Allegato A — Misure tecniche e organizzative di sicurezza

• Separazione dei dati: database dedicato per ciascun account; nessuna tabella condivisa tra clienti; il Servizio individua l'account in base al dominio e non sulla base di dati forniti dal client.
• Controllo degli accessi: ruoli e autorizzazioni per singola operazione; password protette mediante hash; verifica in due passaggi tramite applicazione di autenticazione e passkey; codici di recupero monouso; verifica in due passaggi obbligatoria per gli amministratori in base alle policy dell'account; sessioni registrate, consultabili e revocabili, con durata massima; limiti al numero dei tentativi di accesso.
• Crittografia: credenziali segrete dei servizi collegati, quali chiavi API, password SMTP e token, crittografate nel database mediante un algoritmo autenticato (AES-256-GCM); connessioni crittografate tramite HTTPS/TLS e cookie di sessione protetto.
• Registrazione e monitoraggio: registro degli eventi di sicurezza dell'account, comprendente accessi, modifiche alle impostazioni di sicurezza ed esportazioni, con periodo di conservazione configurabile; registro delle operazioni sui documenti.
• Integrità dei documenti: i documenti fiscali emessi sono immodificabili; le correzioni vengono effettuate mediante note di credito tracciabili.
• Sicurezza applicativa: protezione contro richieste contraffatte mediante token CSRF; verifica del tipo di file sulla base del contenuto effettivo; codifica dell'output per prevenire attacchi; verifica delle destinazioni dei collegamenti in uscita, inclusi i webhook, per impedire l'accesso alle reti interne.
• Esportazione e cancellazione: esportazione completa dei dati dal Servizio; procedura di chiusura in due passaggi; cancellazione secondo quanto previsto dalla sezione 9.
• Organizzazione: accesso del personale ai dati dei clienti limitato a quanto necessario per l'assistenza e la manutenzione, con obblighi di riservatezza.

Allegato B — Sub-responsabili e trasferimenti

Sub-responsabile	Servizio	Ubicazione / garanzie
Fornitore di hosting, IONOS SE	Hosting dei server e dell'infrastruttura su cui sono eseguiti il Servizio e i database	Paese del data center: Germania
Cloudflare, Inc.	Sistema anti-bot (Turnstile) nel modulo di registrazione	Clausole contrattuali standard / Data Privacy Framework (DPF)
Stripe Payments Europe Ltd.	Riscossione dei corrispettivi del Servizio (dati del Titolare trattati esclusivamente in quanto cliente del Fornitore)	Unione europea; trasferimenti disciplinati dalle garanzie previste da Stripe