ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI

Data Processing Agreement (articolo 28 GDPR)

Ultimo aggiornamento: 12 novembre 2026

TRA LE PARTI

Il presente Accordo sul trattamento dei dati personali ("DPA") è stipulato tra:

la parte che sottoscrive elettronicamente il presente DPA al momento della conferma dell'ordine dei servizi Invoicetronic (il "Titolare"), i cui dati identificativi (ragione sociale, sede legale e Partita IVA/codice fiscale) sono quelli risultanti dal modulo d'ordine e dalla relativa conferma d'ordine, che costituiscono parte integrante e sostanziale del presente DPA;

e

CIR 2000 snc, con sede legale in via Trieste 90/A, 48122 Ravenna (RA), Italia, Partita IVA IT01180680397 (il "Responsabile").

Il Titolare e il Responsabile sono di seguito denominati congiuntamente le "Parti" e singolarmente una "Parte".

PREMESSE

Il Titolare utilizza i servizi della piattaforma Invoicetronic per trasmettere e ricevere fatture elettroniche tramite il Sistema di Interscambio (SdI).
Nell'ambito di tale servizio, il Responsabile tratta dati personali per conto del Titolare.
Le Parti intendono disciplinare tale trattamento ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR").
Il presente DPA integra e costituisce parte inscindibile del contratto di servizio tra le Parti (i "Termini di servizio").

1. DEFINIZIONI

I termini "dati personali", "trattamento", "titolare del trattamento", "responsabile del trattamento", "interessato", "violazione dei dati personali" e "autorità di controllo" hanno il significato loro attribuito dall'articolo 4 del GDPR. In caso di contrasto tra il presente DPA e i Termini di servizio in materia di protezione dei dati, prevale il presente DPA.

2. OGGETTO, NATURA E FINALITÀ DEL TRATTAMENTO

Il Responsabile tratta i dati personali al solo fine di erogare i servizi di trasmissione, ricezione, validazione, conservazione tecnica e notifica delle fatture elettroniche tramite lo SdI, secondo le istruzioni documentate del Titolare. I dettagli del trattamento sono specificati nell'Allegato A.

3. DURATA

Il presente DPA ha efficacia dalla data della sua accettazione elettronica, contestuale alla conferma dell'ordine dei servizi Invoicetronic, e resta in vigore per tutta la durata del trattamento dei dati personali effettuato dal Responsabile per conto del Titolare, ossia per tutta la durata dei Termini di servizio.

4. OBBLIGHI DEL RESPONSABILE

Il Responsabile si impegna a:

trattare i dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda la legge, nel qual caso il Responsabile informa il Titolare prima del trattamento;
garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
adottare tutte le misure di sicurezza richieste dall'articolo 32 del GDPR (vedi Allegato B);
rispettare le condizioni per il ricorso a un altro responsabile (sub-responsabile) di cui all'articolo 5 del presente DPA;
assistere il Titolare, tenendo conto della natura del trattamento, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (articoli 12–23 GDPR);
assistere il Titolare nel garantire il rispetto degli obblighi di cui agli articoli 32–36 GDPR (sicurezza, notifica delle violazioni, valutazioni d'impatto, consultazione preventiva), tenendo conto delle informazioni a disposizione del Responsabile;
su scelta del Titolare, cancellare o restituire tutti i dati personali al termine della prestazione dei servizi, e cancellare le copie esistenti salvo che la legge ne preveda la conservazione;
mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 GDPR e consentire attività di revisione e ispezione ai sensi dell'articolo 8 del presente DPA;
informare immediatamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

5. SUB-RESPONSABILI

Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili elencati nell'Allegato C. Il Responsabile informa il Titolare di eventuali modifiche riguardanti l'aggiunta o la sostituzione di sub-responsabili con un preavviso di 10 giorni, dando al Titolare la possibilità di opporsi. Il Responsabile impone contrattualmente a ciascun sub-responsabile gli stessi obblighi in materia di protezione dei dati previsti dal presente DPA e resta pienamente responsabile nei confronti del Titolare dell'adempimento degli obblighi del sub-responsabile.

6. TRASFERIMENTI VERSO PAESI TERZI

Tutti i dati restano all'interno di paesi appartenenti all'Unione Europea.

7. VIOLAZIONE DEI DATI PERSONALI

Il Responsabile notifica al Titolare, senza ingiustificato ritardo e in ogni caso entro 24 ore lavorative dal momento in cui ne viene a conoscenza, qualsiasi violazione dei dati personali, fornendo le informazioni necessarie affinché il Titolare possa adempiere ai propri obblighi di notifica di cui agli articoli 33 e 34 GDPR.

8. REVISIONI E ISPEZIONI

Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato, ai sensi dell'articolo 28, paragrafo 3, lettera h), GDPR. Le revisioni devono essere richieste con almeno 30 giorni di preavviso scritto, si svolgono durante il normale orario lavorativo senza interferire in modo irragionevole con l'attività del Responsabile e sono soggette a obblighi di riservatezza. I costi della revisione sono a carico del Titolare, salvo che la revisione accerti una violazione rilevante del presente DPA da parte del Responsabile.

9. RESPONSABILITÀ E DISPOSIZIONI FINALI

La responsabilità delle Parti è disciplinata dall'articolo 82 GDPR e dai Termini di servizio. Il presente DPA è regolato dalla legge italiana e per qualsiasi controversia è competente il Foro di Ravenna. Le modifiche al presente DPA devono essere apportate per iscritto. Il presente DPA è redatto in lingua italiana. Eventuali traduzioni in altre lingue sono fornite a titolo di cortesia; in caso di contrasto o divergenza interpretativa prevale il testo in lingua italiana.

ALLEGATO A — DETTAGLI DEL TRATTAMENTO

Categorie di interessati Clienti e fornitori del Titolare, loro rappresentanti e terzi indicati nelle fatture.

Tipologie di dati personali Dati identificativi e di contatto (ragione sociale, nome, cognome), Partita IVA/codice fiscale, indirizzo e dati contenuti nelle fatture.

Natura del trattamento Trasmissione, ricezione, validazione, conservazione tecnica temporanea e notifica delle fatture elettroniche tramite lo SdI.

Finalità Erogazione del servizio di fatturazione elettronica richiesto dal Titolare.

Periodo di conservazione Secondo la politica di conservazione descritta nella documentazione: al massimo 2 anni nell'ambiente live per le fatture; al massimo 15 giorni per le fatture nell'ambiente Sandbox.

ALLEGATO B — MISURE TECNICHE E ORGANIZZATIVE (ARTICOLO 32)

Misure tecniche e organizzative effettivamente adottate dal Responsabile:

Cifratura

Cifratura dei dati a riposo (i payload delle fatture sono cifrati in archivio) con algoritmo AES-256. Le chiavi di cifratura sono generate e gestite internamente dal Responsabile, conservate in un file di configurazione protetto, con accesso riservato agli amministratori della piattaforma.
Cifratura dei dati in transito tramite TLS, versione minima 1.3.

Controllo degli accessi

Autenticazione tramite API key. L'accesso ai dati è riservato agli amministratori della piattaforma. La rotazione delle credenziali è a discrezione del cliente e non è obbligatoria. L'autenticazione a più fattori (MFA) per gli accessi amministrativi non è attualmente prevista.

Resilienza e continuità

Backup point-in-time, conservati per 5 giorni. È presente un piano di disaster recovery.

Registrazione e monitoraggio

Registrazione delle operazioni API, con log degli eventi conservati per 15 giorni.

Gestione degli incidenti

La gestione degli incidenti è affidata al team di amministrazione della piattaforma. Una procedura scritta di risposta agli incidenti non è attualmente formalizzata; resta ferma la notifica al Titolare nei termini dell'articolo 7 del presente DPA.

Sicurezza del personale e dello sviluppo

Il personale che tratta i dati è vincolato da obblighi di riservatezza. Sono adottate pratiche di sviluppo sicuro, tra cui la revisione del codice e la gestione attiva delle vulnerabilità.

ALLEGATO C — ELENCO DEI SUB-RESPONSABILI

Sub-responsabile	Servizio fornito	Luogo del trattamento	Garanzie (se extra UE)
OVH SRL	Infrastruttura, posta e backup	UE	—
Hetzner Online GmbH	Backup	UE	—