Accordo sul trattamento dei dati (DPA)

§ 1 Oggetto e durata del trattamento

(1) Oggetto: il trattamento dei dati personali avviene nell'ambito dell'utilizzo del software cloud « BISpicy Warenwirtschaft ».

(2) Durata: il trattamento viene effettuato per la durata del contratto principale. Dopo la cessazione, tutti i dati personali vengono cancellati entro 30 giorni, salvo che sussistano obblighi legali di conservazione.

(3) Natura del trattamento:

• Raccolta, archiviazione e utilizzo dei dati anagrafici dei clienti
• Trattamento dei dati degli ordini e delle transazioni
• Generazione di fatture e bolle di consegna
• Trasmissione ai corrieri per l'evasione degli ordini

§ 2 Categorie di interessati e di dati

2.1 Categorie di interessati

• Clienti / clienti finali del titolare del trattamento
• Fornitori del titolare del trattamento
• Dipendenti del titolare del trattamento
• Persone di contatto presso i partner commerciali

2.2 Categorie di dati personali

Categoria di dati	Esempi
Dati di contatto	Nome, indirizzo, e-mail, numero di telefono
Dati contrattuali	Ordini, fatture, numeri cliente
Dati di pagamento	Coordinate bancarie, storico dei pagamenti (cifrato)
Dati di spedizione	Indirizzi di consegna, numeri di tracciamento

§ 3 Obblighi del responsabile del trattamento

Il responsabile del trattamento si impegna a:

1. Vincolo alle istruzioni: trattare i dati personali solo sulla base di istruzioni documentate del titolare del trattamento (art. 28, par. 3, lett. a) GDPR)
2. Riservatezza: garantire che tutte le persone autorizzate al trattamento dei dati si impegnino alla riservatezza (art. 28, par. 3, lett. b) GDPR)
3. Misure di sicurezza: attuare tutte le misure tecniche e organizzative richieste dall'art. 32 GDPR
4. Sub-responsabili: ricorrere ad altri responsabili del trattamento solo con il previo consenso del titolare del trattamento (art. 28, par. 2 GDPR)
5. Assistenza: assistere il titolare del trattamento nell'adempimento degli obblighi di cui agli artt. da 32 a 36 GDPR
6. Cancellazione: cancellare o restituire tutti i dati personali al termine del contratto
7. Responsabilità (accountability): mettere a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare la conformità

§ 4 Misure tecniche e organizzative (MTO)

Il responsabile del trattamento ha attuato le seguenti misure ai sensi dell'art. 32 GDPR:

4.1 Riservatezza

• Controllo dell'accesso fisico: data center con controlli di accesso fisico (DigitalOcean EU)
• Controllo dell'accesso logico: account utente protetti da password, autenticazione a due fattori opzionale
• Controllo delle autorizzazioni: sistema di permessi basato sui ruoli
• Controllo della separazione: separazione dei tenant tramite database individuali

4.2 Integrità

• Controllo della trasmissione: cifratura TLS 1.3 per tutte le trasmissioni di dati
• Controllo dell'inserimento: registrazione di tutti gli inserimenti e le modifiche dei dati

4.3 Disponibilità e resilienza

• Controllo della disponibilità: garanzia di disponibilità del 99,9 %, sistemi ridondanti
• Capacità di ripristino: backup automatici giornalieri, procedure di ripristino testate

4.4 Procedure di verifica periodica

• Audit di sicurezza periodici
• Test di penetrazione da parte di fornitori esterni
• Monitoraggio dei sistemi 24/7

§ 5 Sub-responsabili del trattamento

(1) Il titolare del trattamento acconsente al ricorso ai seguenti sub-responsabili del trattamento:

Sub-responsabile	Ubicazione	Finalità del trattamento
DigitalOcean LLC	Francoforte (UE)	Hosting backend, database, backup cloud (Spaces, compatibile S3)
Stripe Payments Europe Ltd.	Dublino (UE)	Elaborazione dei pagamenti della licenza software
Google LLC (Firebase Cloud Messaging)	UE/USA (clausole contrattuali tipo)	Notifiche push ai dispositivi di cassa collegati (nessun contenuto personale)
Anthropic PBC (solo in caso di utilizzo delle funzioni IA)	USA (clausole contrattuali tipo, art. 46 GDPR)	Riconoscimento assistito da IA delle fatture passive, creazione articoli con IA e repricing con IA. I dati trasmessi non vengono utilizzati per l'addestramento dei modelli (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (con integrazione cassa attiva)	Germania / Austria (UE)	TSE cloud (KassenSichV) e firma cloud RKSV
Corrieri (DHL, DPD, GLS, Hermes, UPS, FedEx) — se attivati	UE	Creazione di etichette di spedizione, track & trace (su istruzione)
Marketplace e shop (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware) — se attivati	UE / mondiale (a seconda del fornitore)	Sincronizzazione di ordini e articoli su istruzione del titolare del trattamento

(2) Il responsabile del trattamento informa il titolare del trattamento prima di ricorrere ad ulteriori sub-responsabili. Il titolare del trattamento può opporsi entro 14 giorni.

(3) Nota relativa ai corrieri: la trasmissione dei dati del destinatario ai corrieri avviene esclusivamente su istruzione esplicita del titolare del trattamento (mediante la creazione di un'etichetta di spedizione nel software) ai fini dell'evasione dell'ordine di spedizione.

§ 6 Diritti degli interessati

(1) Il responsabile del trattamento assiste il titolare del trattamento nell'adempimento dei diritti degli interessati (artt. da 12 a 22 GDPR):

• Diritto di accesso (art. 15 GDPR)
• Diritto di rettifica (art. 16 GDPR)
• Diritto alla cancellazione (art. 17 GDPR)
• Diritto di limitazione del trattamento (art. 18 GDPR)
• Diritto alla portabilità dei dati (art. 20 GDPR)

(2) Il responsabile del trattamento mette a disposizione una funzione di esportazione che esporta tutti i dati personali in un formato leggibile da dispositivo automatico (CSV/JSON).

§ 7 Obblighi di notifica in caso di violazioni dei dati

(1) Il responsabile del trattamento notifica al titolare del trattamento qualsiasi violazione dei dati personali senza indebito ritardo e comunque entro 24 ore dal momento in cui ne è venuto a conoscenza.

(2) La notifica contiene almeno:

• La descrizione della natura della violazione
• Le categorie di dati interessate e il numero approssimativo di record
• Le probabili conseguenze
• Le misure adottate o proposte per porre rimedio alla violazione

§ 8 Cancellazione e restituzione dei dati

(1) Al termine del contratto principale, tutti i dati personali vengono:

• Esportati e consegnati al titolare del trattamento in un formato comune su richiesta
• Cancellati in modo irrevocabile dopo un periodo di 30 giorni

(2) Si applicano eccezioni per i dati che devono essere conservati più a lungo a causa di obblighi legali di conservazione (ad es. fatture: 10 anni).

§ 9 Diritti di controllo

(1) Il titolare del trattamento ha il diritto di verificare il rispetto del presente accordo.

(2) A tal fine, il responsabile del trattamento mette a disposizione:

• Le prove delle misure tecniche e organizzative
• Le certificazioni e i rapporti di audit attuali
• Su richiesta: ispezioni in loco (su appuntamento)

§ 10 Disposizioni finali

(1) Diritto applicabile: si applica il diritto tedesco, nel rispetto del GDPR.

(2) Modifiche: le modifiche al presente accordo richiedono la forma testuale.

(3) Clausola salvatoria: qualora singole disposizioni risultassero nulle, la validità delle restanti disposizioni rimane impregiudicata.