Accordo sul trattamento dei dati (DPA)

§ 1 Oggetto e durata del trattamento

(1) Oggetto: il trattamento dei dati personali avviene nell'ambito dell'utilizzo del software cloud « BISpicy Warenwirtschaft ».

(2) Durata: il trattamento viene effettuato per la durata del contratto principale. Dopo la cessazione, tutti i dati personali vengono cancellati entro 30 giorni, salvo che sussistano obblighi legali di conservazione.

(3) Natura del trattamento:

• Raccolta, archiviazione e utilizzo dei dati anagrafici dei clienti
• Trattamento dei dati degli ordini e delle transazioni
• Generazione di fatture e bolle di consegna
• Trasmissione ai corrieri per l'evasione degli ordini
• Invio automatico via e-mail dei report di cassa (giornale di cassa, lotti di registrazione DATEV per ricavi di cassa e movimenti di cassa, facoltativamente export DSFinV-K) a destinatari indicati dal titolare che hanno confermato personalmente la ricezione tramite link (solo con BIS Insights attivo); invio tramite l'accesso SMTP del titolare, altrimenti tramite il server di posta del responsabile. La trasmissione avviene su istruzione del titolare; i destinatari non sono sub-responsabili.
• Invio di scontrini ai clienti finali su loro richiesta (se utilizzato in cassa): trasmissione di un link alla ricevuta digitale all'indirizzo e-mail inserito dal cliente finale in cassa, tramite il server di posta del responsabile. L'indirizzo non viene memorizzato; a tutela da invii abusivi (art. 32 GDPR) il responsabile genera un valore di controllo pseudonimo (HMAC-SHA256) dell'indirizzo, che cancella dopo 48 ore, e registra data e ora, dispositivo, scontrino e stato dell'invio per 90 giorni. Una ricevuta digitale inviata via e-mail resta consultabile per almeno 90 giorni dall'invio, anche se il titolare ha impostato una validità più breve. La trasmissione avviene su istruzione del titolare; i destinatari non sono sub-responsabili del responsabile.
• Archiviazione « Dati storici dal sistema precedente » (solo se utilizzata): ricezione, conservazione inalterata e messa a disposizione degli export originali del precedente sistema di cassa o di registrazione caricati dal titolare (ad es. export DSFinV-K, export TSE, giornali, chiusure Z, protocolli di programmazione, documentazione procedurale). Ciò comprende un codice di controllo (SHA-256), una verifica tecnica automatica di struttura, completezza e periodo, un blocco della cancellazione a livello software, la registrazione di caricamento, consultazione e verifiche, una conferma di ricezione via e-mail e l'inclusione nei backup e nel pacchetto di esportazione. Il contenuto dei file non viene analizzato.
• Archivio e-mail (BIS Archiv, solo se utilizzato): recupero delle e-mail dalle caselle di posta collegate dal titolare – con IMAP dalla cartella indicata (impostazione predefinita: posta in arrivo), con l'interfaccia Google dall'intera casella esclusi spam e cestino –, conservazione inalterata dei messaggi archiviati, allegati inclusi, con un codice di controllo (SHA-256) nonché messa a disposizione per il reperimento e la consultazione. Una preselezione automatica esclude dalla conservazione i messaggi il cui nome di cartella, indirizzi od oggetto contengono determinate parole chiave (ad es. "privat", "betriebsrat", "newsletter"). Si tratta di un'impostazione tecnica predefinita, attualmente non configurabile dal titolare e non costituisce una garanzia che messaggi privati o comunque non soggetti a conservazione non vengano conservati. Il titolare collega soltanto caselle il cui contenuto può archiviare e verifica da sé l'ammissibilità (ad es. tutela dei dati dei dipendenti, accordo aziendale). La password o il token di accesso alla casella di posta viene conservato in forma cifrata.

§ 2 Categorie di interessati e di dati

2.1 Categorie di interessati

• Clienti / clienti finali del titolare del trattamento
• Fornitori del titolare del trattamento
• Dipendenti del titolare del trattamento
• Persone di contatto presso i partner commerciali
• Destinatari dei report indicati dal titolare (ad es. commercialista, contabilità)
• Dipendenti (anche ex dipendenti), clienti e partner commerciali del titolare registrati nei dati del suo precedente sistema di cassa o di registrazione (archiviazione, solo se utilizzata)
• Corrispondenti del titolare (mittenti e destinatari delle e-mail archiviate) e terzi citati nei messaggi e negli allegati, ad es. candidati, dipendenti e clienti (archivio e-mail, solo se utilizzato)

2.2 Categorie di dati personali

Categoria di dati	Esempi
Dati di contatto	Nome, indirizzo, e-mail, numero di telefono
Dati contrattuali	Ordini, fatture, numeri cliente
Dati di pagamento	Coordinate bancarie, storico dei pagamenti (cifrato)
Metadati dei pagamenti con carta (con integrazione cassa attiva)	Tipo di carta, numero di carta mascherato (solo le ultime quattro cifre), codice di autorizzazione, esito del terminale; su espressa iniziativa dell'operatore di cassa, inoltre lo scontrino del terminale con numero di carta abbreviato (solo le ultime quattro cifre), ID del terminale, ora, importo e altri dati stampati sullo scontrino (ad es. data di scadenza, numeri di autorizzazione, di trace e di scontrino, numero VU, dati EMV) (segnalazione di incidente per chiarire pagamenti incerti; il testo dello scontrino viene eliminato 18 mesi dopo la chiusura del caso, al più tardi alla cancellazione del mandante)
Dati di spedizione	Indirizzi di consegna, numeri di tracciamento
Dati degli appuntamenti	Prenotazioni di appuntamenti, assegnazione a clienti e dipendenti (se si utilizza il modulo appuntamenti)
Destinatari dei report	indirizzo e-mail, data di consenso/rifiuto/disiscrizione, utente che li ha inseriti, prova di invio per destinatario, registro modifiche; i report contengono dati di cassa incl. nomi dei cassieri e le causali libere dei movimenti di cassa
Invio di scontrini ai clienti finali	indirizzo e-mail (solo per l'invio, non memorizzato), valore di controllo pseudonimo dell'indirizzo (48 ore), registro di invio senza indirizzo: data e ora, dispositivo, scontrino, stato (90 giorni)
Dati di cassa da sistemi precedenti (archiviazione, solo se utilizzata)	contenuto dei file originali caricati così come registrato nel sistema precedente: registrazioni analitiche delle vendite con codice operatore e nomi dei cassieri, dati dei clienti sugli scontrini (ad es. nome, indirizzo, partita IVA), metodi di pagamento, dati della carta mascherati (ove presenti), note a testo libero, log TSE con numeri di serie; dati sull'archiviazione: utente che ha caricato il file, data e ora, nome del file, dimensione, codice di controllo, esito della verifica, destinatari della conferma di ricezione, registro degli accessi
Archivio e-mail (BIS Archiv, solo se utilizzato)	mittente, destinatario, destinatari in copia e in copia nascosta (se presenti nel file originale), data, oggetto, contenuto del messaggio e allegati delle e-mail archiviate (come file originale inalterato, comprese le intestazioni tecniche con il percorso di trasmissione e gli indirizzi IP), identificativo del messaggio; contenuti e allegati possono contenere dati di qualsiasi tipo, comprese categorie particolari di dati personali ai sensi dell'art. 9 GDPR (ad es. certificati di malattia, documenti di candidatura, dati sulla salute) nonché dati di terzi citati nei messaggi; indirizzo della casella di posta, nome utente e credenziali di accesso alla casella (password o token di accesso, cifrati); registro degli accessi

§ 3 Obblighi del responsabile del trattamento

Il responsabile del trattamento si impegna a:

1. Vincolo alle istruzioni: trattare i dati personali solo sulla base di istruzioni documentate del titolare del trattamento (art. 28, par. 3, lett. a) GDPR)
2. Riservatezza: garantire che tutte le persone autorizzate al trattamento dei dati si impegnino alla riservatezza (art. 28, par. 3, lett. b) GDPR)
3. Misure di sicurezza: attuare tutte le misure tecniche e organizzative richieste dall'art. 32 GDPR
4. Sub-responsabili: ricorrere ad altri responsabili del trattamento solo con il previo consenso del titolare del trattamento (art. 28, par. 2 GDPR)
5. Assistenza: assistere il titolare del trattamento nell'adempimento degli obblighi di cui agli artt. da 32 a 36 GDPR
6. Cancellazione: cancellare o restituire tutti i dati personali al termine del contratto
7. Responsabilità (accountability): mettere a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare la conformità

§ 4 Misure tecniche e organizzative (MTO)

Il responsabile del trattamento ha attuato le seguenti misure ai sensi dell'art. 32 GDPR:

4.1 Riservatezza

• Controllo dell'accesso fisico: data center con controlli di accesso fisico (DigitalOcean EU)
• Controllo dell'accesso logico: account utente protetti da password, autenticazione a due fattori opzionale
• Controllo delle autorizzazioni: sistema di permessi basato sui ruoli
• Controllo della separazione: separazione dei tenant tramite database individuali

4.2 Integrità

• Controllo della trasmissione: cifratura TLS 1.3 per tutte le trasmissioni di dati
• Controllo dell'inserimento: registrazione di tutti gli inserimenti e le modifiche dei dati
• Archiviazione: codice di controllo SHA-256 per ogni file alla ricezione, blocco della cancellazione e immodificabilità a livello software (nessuna funzione di modifica o sovrascrittura, versioni con catena di hash), registro di caricamento, consultazione e verifiche; nessuna protezione hardware dalla scrittura (archiviazione WORM) e nessuna marca temporale esterna

4.3 Disponibilità e resilienza

• Controllo della disponibilità: garanzia di disponibilità del 99,9 %, sistemi ridondanti
• Capacità di ripristino: backup automatici giornalieri, procedure di ripristino testate

4.4 Procedure di verifica periodica

• Audit di sicurezza periodici
• Test di penetrazione da parte di fornitori esterni
• Monitoraggio dei sistemi 24/7

§ 5 Sub-responsabili del trattamento

(1) Il titolare del trattamento acconsente al ricorso ai seguenti sub-responsabili del trattamento:

Sub-responsabile	Ubicazione	Finalità del trattamento
DigitalOcean LLC	Francoforte (UE)	Hosting backend, database, archiviazione di file e backup cloud (Spaces, compatibile S3, Francoforte)
Cloudflare, Inc. (incaricata da DigitalOcean)	UE/USA (clausole contrattuali tipo)	Reverse proxy e content delivery network (distribuzione delle pagine web, dati di connessione/IP) — incaricata da DigitalOcean come proprio sub-responsabile della App Platform; nessun rapporto contrattuale separato con il responsabile
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Germania (UE)	Invio e ricezione di e-mail (server di posta di sistema, se non è impostato un accesso SMTP proprio; caselle di posta dei domini bispicy.com e bispos.app)
Stripe Payments Europe Ltd.	Dublino (UE)	Elaborazione dei pagamenti della licenza software
Google LLC (Firebase Cloud Messaging)	UE/USA (clausole contrattuali tipo)	Notifiche push ai dispositivi di cassa collegati (nessun contenuto personale)
Anthropic PBC (solo in caso di utilizzo delle funzioni IA)	USA (clausole contrattuali tipo, art. 46 GDPR)	Riconoscimento assistito da IA delle fatture passive, creazione articoli con IA e repricing con IA. I dati trasmessi non vengono utilizzati per l'addestramento dei modelli (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (con integrazione cassa attiva)	Germania / Austria (UE)	TSE cloud (KassenSichV) e firma cloud RKSV
Corrieri (DHL, DPD, GLS, Hermes, UPS, FedEx) — se attivati	UE	Creazione di etichette di spedizione, track & trace (su istruzione)
Marketplace, shop e gestionali (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware, Gambio, Shopee, Whatnot, Odoo) — se attivati	UE / mondiale (a seconda del fornitore)	Sincronizzazione di ordini e articoli su istruzione del titolare del trattamento

(2) Il responsabile del trattamento informa il titolare del trattamento prima di ricorrere ad ulteriori sub-responsabili. Il titolare del trattamento può opporsi entro 14 giorni.

(3) Nota relativa ai corrieri: la trasmissione dei dati del destinatario ai corrieri avviene esclusivamente su istruzione esplicita del titolare del trattamento (mediante la creazione di un'etichetta di spedizione nel software) ai fini dell'evasione dell'ordine di spedizione.

§ 6 Diritti degli interessati

(1) Il responsabile del trattamento assiste il titolare del trattamento nell'adempimento dei diritti degli interessati (artt. da 12 a 22 GDPR):

• Diritto di accesso (art. 15 GDPR)
• Diritto di rettifica (art. 16 GDPR)
• Diritto alla cancellazione (art. 17 GDPR)
• Diritto di limitazione del trattamento (art. 18 GDPR)
• Diritto alla portabilità dei dati (art. 20 GDPR)

(2) Il responsabile del trattamento mette a disposizione una funzione di esportazione che esporta tutti i dati personali in un formato leggibile da dispositivo automatico (CSV/JSON).

§ 7 Obblighi di notifica in caso di violazioni dei dati

(1) Il responsabile del trattamento notifica al titolare del trattamento qualsiasi violazione dei dati personali senza indebito ritardo e comunque entro 24 ore dal momento in cui ne è venuto a conoscenza.

(2) La notifica contiene almeno:

• La descrizione della natura della violazione
• Le categorie di dati interessate e il numero approssimativo di record
• Le probabili conseguenze
• Le misure adottate o proposte per porre rimedio alla violazione

§ 8 Cancellazione e restituzione dei dati

(1) Al termine del contratto principale, tutti i dati personali vengono:

• Esportati e consegnati al titolare del trattamento in un formato comune su richiesta
• Cancellati in modo irrevocabile dopo un periodo di 30 giorni

(2) Si applicano eccezioni per i dati che devono essere conservati più a lungo a causa di obblighi legali di conservazione (ad es. fatture: 10 anni).

(3) Archiviazione « Dati storici dal sistema precedente »: Con il caricamento il titolare incarica il responsabile di conservare i file senza modificarli. In deroga al comma 1 e al § 1 comma 2, questi file non vengono cancellati automaticamente dopo la cessazione del contratto principale; in tale misura il presente accordo resta in vigore fino alla restituzione dei file o alla loro cancellazione su istruzione del titolare. Il titolare può scaricare i file in qualsiasi momento; essi sono inclusi nel pacchetto di esportazione. Su istruzione espressa in forma testuale, il responsabile cancella singoli file o l'intero archivio anche prima; la cancellazione viene registrata. Il titolare può cancellare singoli file anche autonomamente nel Centro clienti; la cancellazione viene registrata. Il responsabile annuncia in forma testuale, con almeno 30 giorni di anticipo, qualsiasi cancellazione non disposta dal titolare. Gli obblighi di conservazione (in particolare il § 147 del codice tributario tedesco, AO) spettano al titolare; il termine indicato è calcolato in base ai dati del titolare, e spetta al titolare valutare se nel singolo caso esso si prolunga (§ 147 comma 3 periodo 5 AO). Se il titolare comunica all'autorità fiscale che i dati si trovano presso il responsabile (§ 147 comma 6 AO), il responsabile li mette a disposizione conformemente a tale disposizione.

§ 9 Diritti di controllo

(1) Il titolare del trattamento ha il diritto di verificare il rispetto del presente accordo.

(2) A tal fine, il responsabile del trattamento mette a disposizione:

• Le prove delle misure tecniche e organizzative
• Le certificazioni e i rapporti di audit attuali
• Su richiesta: ispezioni in loco (su appuntamento)

§ 10 Disposizioni finali

(1) Diritto applicabile: si applica il diritto tedesco, nel rispetto del GDPR.

(2) Modifiche: le modifiche al presente accordo richiedono la forma testuale.

(3) Clausola salvatoria: qualora singole disposizioni risultassero nulle, la validità delle restanti disposizioni rimane impregiudicata.