Accordo sul trattamento dei dati

Art. 28 del Regolamento (UE) 2016/679 · Versione 1 · Ultimo aggiornamento: 27 ottobre 2026

Questo accordo fa parte delle Condizioni d'uso di SempliDoc e si applica quando lo studio o l'impresa che usa il servizio («lo Studio») tratta tramite SempliDoc dati personali dei propri clienti. È concluso tra lo Studio, titolare del trattamento, e Igor Cardines, Corso Campano 117, 86079 Venafro (IS), P.IVA 01004770945 («il Fornitore»), responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»).

Se lo Studio tratta quei dati a sua volta come responsabile per conto di un altro titolare (per esempio un consulente del lavoro per conto del datore di lavoro cliente), il Fornitore agisce come suo sub-responsabile e lo Studio garantisce di avere l'autorizzazione del titolare a servirsi di SempliDoc alle condizioni di questo accordo.

1. Oggetto e durata

1.1 Il Fornitore tratta i dati personali descritti nell'Allegato A solo per fornire SempliDoc allo Studio, come descritto nelle Condizioni d'uso.

1.2 L'accordo dura quanto l'abbonamento e, dopo la sua fine, per il tempo necessario a restituire e cancellare i dati (punto 10).

2. Istruzioni dello Studio

2.1 Il Fornitore tratta i dati solo su istruzione documentata dello Studio. Valgono come istruzioni: questo accordo, le Condizioni d'uso, le impostazioni scelte dallo Studio nell'app (campagne, messaggi, solleciti, istruzioni dell'assistente, knowledge base) e le richieste scritte dello Studio al supporto.

2.2 Il Fornitore informa subito lo Studio se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

2.3 Se una norma dell'Unione o dello Stato italiano obbliga il Fornitore a trattare i dati diversamente, il Fornitore ne informa lo Studio prima del trattamento, salvo che la norma lo vieti.

2.4 Il Fornitore non usa i dati dei clienti dello Studio per fini propri, non li vende e non li usa per addestrare modelli di intelligenza artificiale.

3. Obblighi dello Studio

Lo Studio, come titolare:

• stabilisce la base giuridica dei trattamenti e informa i propri clienti, anche sull'uso di WhatsApp e di un assistente basato su intelligenza artificiale;
• raccoglie e registra il consenso dei clienti a ricevere messaggi su WhatsApp;
• chiede tramite SempliDoc solo i dati necessari alle proprie pratiche e non lo usa per dati relativi a condanne penali e reati (art. 10 GDPR);
• valuta, quando serve, l'impatto del trattamento (art. 35 GDPR), anche con le informazioni fornite dal Fornitore.

4. Riservatezza

Il Fornitore autorizza al trattamento solo le persone che ne hanno bisogno per fornire il servizio e garantisce che siano vincolate alla riservatezza. Il supporto accede ai dati di uno Studio solo su sua richiesta o con il suo consenso, per il tempo necessario, e ogni accesso viene registrato.

5. Sicurezza

Il Fornitore adotta le misure tecniche e organizzative dell'Allegato B, adeguate al rischio ai sensi dell'art. 32 GDPR, e le aggiorna con l'evoluzione della tecnica senza ridurne il livello complessivo.

6. Sub-responsabili

6.1 Lo Studio autorizza in via generale il Fornitore a servirsi dei sub-responsabili elencati nella pagina Fornitori.

6.2 Il Fornitore avvisa lo Studio via email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Lo Studio può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, può recedere senza penali prima che il cambiamento abbia effetto.

6.3 Il Fornitore impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile verso lo Studio del loro operato.

6.4 WhatsApp. L'account WhatsApp Business è dello Studio, che lo collega a SempliDoc e accetta direttamente i termini di Meta. Meta non è un sub-responsabile del Fornitore: lo Studio dà istruzione al Fornitore di inviare e ricevere i messaggi tramite la piattaforma WhatsApp Business del proprio account.

7. Trasferimenti fuori dallo Spazio economico europeo

I dati sono conservati su server nell'Unione europea. Quando un sub-responsabile li tratta fuori dallo Spazio economico europeo, il trasferimento avviene solo con le garanzie del Capo V del GDPR: decisione di adeguatezza (come l'EU-U.S. Data Privacy Framework) o clausole contrattuali standard della Commissione europea.

8. Assistenza allo Studio

8.1 Diritti degli interessati. SempliDoc permette allo Studio di consultare, correggere, esportare e cancellare i dati dei propri clienti. Se un interessato si rivolge al Fornitore, il Fornitore inoltra la richiesta allo Studio entro 3 giorni lavorativi senza rispondere nel merito, salvo diversa istruzione.

8.2 Altri obblighi. Il Fornitore assiste lo Studio, con le informazioni di cui dispone, per la sicurezza, la notifica delle violazioni, la valutazione d'impatto e la consultazione del Garante (artt. 32–36 GDPR).

9. Violazioni dei dati personali

Il Fornitore informa lo Studio senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i suoi dati. La comunicazione descrive, per quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le conseguenze probabili, le misure adottate o proposte, un contatto. Le informazioni non ancora disponibili si forniscono appena possibile.

10. Fine del servizio: restituzione e cancellazione

Alla fine dell'abbonamento lo Studio ha 30 giorni per esportare i propri dati (clienti, pratiche, conversazioni, file). Poi il Fornitore cancella i dati e le loro copie, salvo che la legge ne imponga la conservazione. Le copie di sicurezza vengono sovrascritte entro i successivi 30 giorni. Su richiesta il Fornitore conferma per iscritto l'avvenuta cancellazione.

11. Verifiche

Il Fornitore mette a disposizione dello Studio le informazioni necessarie a dimostrare il rispetto di questo accordo. Lo Studio può svolgere o far svolgere da un revisore vincolato alla riservatezza una verifica, con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo dopo una violazione o su richiesta del Garante, a proprie spese e senza interferire con il servizio agli altri clienti. In primo luogo si usano documentazione e questionari.

12. Responsabilità e disposizioni finali

12.1 Per la responsabilità valgono le Condizioni d'uso, nei limiti consentiti dall'art. 82 GDPR.

12.2 In caso di contrasto tra questo accordo e le Condizioni d'uso, sulla protezione dei dati prevale questo accordo.

12.3 Modifiche: come per le Condizioni d'uso, con avviso via email almeno 30 giorni prima, salvo modifiche imposte dalla legge o dal Garante.

12.4 Si applicano la legge italiana e il Foro di Isernia.

Allegato A — Descrizione del trattamento

Allegato B — Misure di sicurezza

• Cifratura in transito: tutte le connessioni all'app e ai fornitori usano HTTPS (TLS).
• Accessi: account personali per ogni persona dello Studio, ruoli titolare e operatore, password conservate solo in forma non reversibile (bcrypt), sessioni con scadenza, possibilità di disattivare un utente.
• Separazione dei dati: ogni Studio vede solo i propri dati; ogni richiesta all'app è filtrata per Studio.
• Accesso del supporto: solo su richiesta o consenso dello Studio, a tempo, registrato.
• Amministrazione: verifica in due passaggi per l'accesso dell'amministratore.
• Registro degli accessi: e delle operazioni rilevanti, conservato 6 mesi.
• Copie di sicurezza: giornaliere di database e file, cifrate, conservate 30 giorni, con prova periodica di ripristino.
• Server: nell'Unione europea, aggiornamenti di sicurezza regolari, accesso amministrativo solo con chiave SSH, firewall, servizi non necessari disattivati.
• Intelligenza artificiale: al fornitore si inviano solo i contenuti necessari alla singola operazione, tramite API con divieto di addestramento.
• Minimizzazione: i file si caricano solo dove servono (pratica, knowledge base); i dati si cancellano alla fine del servizio come al punto 10.
• Persone: chi accede ai dati è vincolato alla riservatezza; le violazioni seguono la procedura del punto 9.