Informativa sulla privacy

1. Titolare del trattamento

Titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR):

2. Informazioni generali

(1) La presente informativa sulla privacy vi informa sulla natura, l'ambito e la finalità del trattamento dei dati personali all'interno del nostro software « BISpicy Warenwirtschaft » e dei relativi servizi online.

(2) Base giuridica:

• Regolamento generale sulla protezione dei dati (GDPR)
• Legge federale tedesca sulla protezione dei dati (BDSG)
• Legge tedesca sui servizi digitali (Digitale-Dienste-Gesetz, DDG)
• Legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (TDDDG)

3. Raccolta e trattamento dei dati personali

3.1 Durante la registrazione e la creazione dell'account

Quali dati vengono raccolti?

• Indirizzo e-mail (obbligatorio)
• Password (archiviata in forma cifrata)
• Nome e indirizzo dell'azienda
• Marca temporale della registrazione

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto)

Periodo di conservazione: fino alla cancellazione dell'account + 30 giorni

3.2 Durante l'utilizzo del software

Quali dati vengono trattati?

• Dati degli articoli (prodotti, prezzi, giacenze)
• Dati dei clienti (nomi, indirizzi, recapiti)
• Dati degli ordini (ordini, consegne, fatture)
• Dati di utilizzo (orari di accesso, attività)

Nota: questi dati vengono trattati per conto del cliente (accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR).

Diagnosi dei guasti (registri degli errori): per individuare e risolvere i guasti tecnici registriamo gli eventi di errore provenienti dal funzionamento del server e dal browser dell'utente (messaggio di errore, catena tecnica delle chiamate, momento, pagina richiamata, identificazione del browser, ID utente). Le credenziali di accesso, i token e le informazioni di pagamento vengono automaticamente resi illeggibili prima della memorizzazione. Una registrazione dettagliata per la ricerca degli errori che vada oltre gli eventi di errore avviene solo per un periodo limitato (al massimo 72 ore), esclusivamente su espressa disposizione con motivazione documentata, e termina automaticamente. Base giuridica: art. 6, par. 1, lett. f) GDPR (interesse legittimo a un funzionamento senza guasti) ovvero art. 28 GDPR nell'ambito del trattamento per conto terzi. Periodo di conservazione: eventi di errore 14 giorni, altri dati tecnici di funzionamento 3 giorni; successiva cancellazione automatica.

Acquisto di dispositivi (§25a UStG / regime del margine): In caso di acquisto di dispositivi usati (p. es. in un negozio di telefonia), per adempiere all'obbligo legale di registrazione (registro degli acquisti ai sensi del §25a UStG in combinato disposto con la legge tedesca antiriciclaggio) conserviamo i dati del venditore – nome, indirizzo, numero del documento d'identità e numero di telefono – nonché i dati del dispositivo (IMEI/numero di serie, prezzo di acquisto e di vendita). Base giuridica: art. 6, par. 1, lett. c) GDPR (adempimento di un obbligo legale). L'accesso è limitato ai dipendenti autorizzati.

Invio di scontrini, fatture e report via e-mail: Su richiesta inviamo scontrini di cassa, ricevute digitali e fatture (ad es. dall'app cassa collegata) via e-mail all'indirizzo e-mail fornito dal cliente. Gli esercenti e i dipendenti autorizzati possono inoltre farsi inviare report, analisi e documenti a un indirizzo e-mail configurato autonomamente o indicato dall'esercente (esportazione via e-mail, invio automatico dei report, v. sotto). Trattiamo il rispettivo indirizzo e-mail esclusivamente per l'invio del documento richiesto. Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione del contratto) ovvero lett. f) GDPR (interesse legittimo alla consegna richiesta); Per l'invio di scontrini ai clienti dell'esercente è responsabile l'esercente interessato; noi agiamo come suo responsabile del trattamento (art. 28 GDPR). Quando una ricevuta digitale viene inviata tramite link, l'indirizzo non viene memorizzato; a tutela da invii di massa abusivi conserviamo soltanto un valore di controllo dell'indirizzo non risalibile per due giorni, nonché data e ora, cassa e scontrino dell'invio per 90 giorni. Base giuridica: art. 6, par. 1, lett. b) GDPR (rilascio dello scontrino nella forma richiesta dal cliente nell'ambito dell'acquisto) e, per il valore di controllo, art. 6, par. 1, lett. f) GDPR (prevenzione di abusi). Il trasferimento avviene esclusivamente verso il nostro server o verso il fornitore del servizio di posta configurato dall'esercente (responsabile del trattamento per il solo invio); non ha luogo alcuna comunicazione a terzi per finalità proprie di questi ultimi. Periodo di conservazione: solo per il tempo necessario all'invio ovvero alla conservazione del documento prevista dalla legge.

Invio automatico dei report: Le aziende con BIS Insights possono far inviare report di cassa mensili a un massimo di cinque destinatari da loro indicati (ad es. il proprio commercialista). Titolare del trattamento è la rispettiva azienda; noi agiamo come suo responsabile del trattamento (art. 28 GDPR). Prima del primo invio il destinatario conferma personalmente tramite link. Vengono memorizzati l'indirizzo e-mail, la data di consenso, rifiuto e disiscrizione, chi ha inserito il destinatario, la prova di invio e un registro delle modifiche; cancelliamo questi dati tre anni dopo la rimozione del destinatario. Ogni e-mail contiene un link di disiscrizione. Le richieste relative ai suoi diritti vanno rivolte all'azienda; quelle indirizzate a noi vengono inoltrate.

3.3 Prenotazione di appuntamenti

Tramite la pagina di prenotazione pubblica all'indirizzo https://bispicy.com/app/booking/<attività> è possibile prenotare appuntamenti online. Riceverete una conferma via e-mail, se indicate un indirizzo e-mail; l'attività viene informata della prenotazione.

Quali dati vengono trattati?

• Nome
• Indirizzo e-mail (facoltativo)
• Numero di telefono (facoltativo)
• Servizio e appuntamento scelti
• Messaggio (facoltativo)

Finalità: pianificazione, conferma e gestione dell'appuntamento prenotato.

Titolare del trattamento: per le prenotazioni effettuate tramite la nostra pagina di prenotazione (bispicy.com/app/booking/bispicy) il titolare del trattamento siamo noi. Le attività che utilizzano il pianificatore di appuntamenti per i propri clienti sono esse stesse titolari del trattamento per tali prenotazioni; in tal caso trattiamo i dati per loro conto (trattamento ai sensi dell'art. 28 GDPR). Per domande e richieste relative a tali prenotazioni vi preghiamo di rivolgervi all'attività interessata.

Base giuridica: art. 6, par. 1, lett. b) GDPR (misure precontrattuali adottate su vostra richiesta). Il trattamento non si basa sul consenso.

Periodo di conservazione: conserviamo i dati finché sono necessari per la pianificazione e la gestione dell'appuntamento e finché lo richiedono gli obblighi legali di conservazione.

3.4 Promozioni nel portale clienti

Nel portale clienti (Kundencenter) su bispicy.com partecipate a promozioni – attualmente la BISpicy Startaktion (promozione di avvio) per aziende di tutti i settori che sono nuove su BISpicy, con un credito iniziale di 15 € e – per le aziende che accettano riparazioni – mesi gratuiti per la pagina di stato delle riparazioni. Non è necessario presentare alcuna richiesta né alcun giustificativo.

Quali dati vengono trattati?

• La vostra partecipazione (azienda, momento e modalità di riscatto – link della promozione o portale clienti)
• Lo stato delle vostre licenze BISpicy (prodotto, durata, fine di un periodo di prova, esistenza di un abbonamento a pagamento) e l'account utente che ha sottoscritto la licenza TSE
• Numero, data e importo totale dei pagamenti SumUp (terminale di pagamento e Tap to Pay) risultanti dalle chiusure giornaliere della vostra cassa – non utilizziamo singoli scontrini, articoli o dati dei clienti della cassa
• La registrazione del credito (importo, momento, riferimento contabile, account utente beneficiario) e la notifica via e-mail
• La compensazione del credito con la vostra prossima fattura tramite il nostro fornitore di servizi di pagamento Stripe (importo, identificativi interni – identificativo utente, contabile e di partecipazione più una chiave tecnica contro le doppie registrazioni –, il vostro numero cliente Stripe)
• In caso di verifica, accredito successivo o storno da parte di un dipendente: motivo, momento e persona incaricata

Finalità: esecuzione della promozione (attivazione e proroga della pagina di stato delle riparazioni, verifica, registrazione e compensazione del credito iniziale, verifica e correzione su vostra richiesta ed eventuale recupero in caso di abuso).

Base giuridica: art. 6, par. 1, lett. b) GDPR (esecuzione della promozione secondo le condizioni della promozione).

Verifica, accredito e compensazione automatici: il sistema verifica ogni giorno se sono soddisfatti i requisiti per i mesi gratuiti e per il credito iniziale, in base ai criteri indicati nelle condizioni della promozione (licenza TSE a pagamento, primo pagamento con carta tramite SumUp – terminale o Tap to Pay –, soglia di fatturato); in caso positivo attiva la pagina di stato o accredita il credito senza ulteriori interventi e lo imputa poi automaticamente, come saldo cliente presso Stripe, alla vostra prossima fattura. Sulla decadenza del credito iniziale il sistema decide solo a partire dal 3 febbraio 2027, affinché le chiusure giornaliere trasmesse in ritardo con pagamenti fino al 31 gennaio 2027 vengano ancora considerate. La verifica si basa esclusivamente su questi criteri, uguali per tutti i partecipanti, non valuta la vostra persona e può soltanto concedere o non concedere un vantaggio. Nella misura in cui costituisce una decisione automatizzata ai sensi dell'art. 22 GDPR, essa è necessaria per l'esecuzione della promozione (art. 22, par. 2, lett. a) GDPR). In ogni caso avete il diritto di ottenere l'intervento umano, di esprimere la vostra opinione e di contestare la decisione (art. 22, par. 3, GDPR): su vostra segnalazione un nostro dipendente esamina il caso e può accreditare il credito successivamente oppure – finché non è ancora stato compensato – stornarlo; registriamo motivo, momento e persona incaricata. A tal fine contattateci (recapiti in basso).

Compensazione tramite Stripe: per la compensazione Stripe Payments Europe Ltd. (vedi sezione 4) riceve l'importo, identificativi interni (identificativo utente, contabile e di partecipazione più una chiave tecnica contro le doppie registrazioni) e il vostro numero cliente Stripe; Stripe riceve già i vostri dati di pagamento per la fatturazione delle vostre licenze.

Comunicazione a SumUp: SumUp riceve esclusivamente dati aggregati sulla promozione, senza nomi né informazioni sui singoli partecipanti – e un indicatore solo se si basa su almeno cinque partecipanti.

Periodo di conservazione: conserviamo i dati di partecipazione, di verifica e di correzione finché possono essere concessi vantaggi della promozione o sussistono pretese derivanti da essa, e oltre solo nella misura richiesta dagli obblighi legali di conservazione. La registrazione del credito e la sua compensazione sono documenti contabili e vengono conservate ai sensi del § 147 del codice tributario tedesco (AO) fino al 31 dicembre dell'ottavo anno successivo all'anno dell'accredito.

4. Trasferimento dei dati a terzi

(1) Principio: i vostri dati vengono comunicati a terzi solo se:

• Avete prestato il consenso (art. 6, par. 1, lett. a) GDPR)
• Ciò è necessario per l'esecuzione del contratto (art. 6, par. 1, lett. b) GDPR)
• Sussiste un obbligo di legge (art. 6, par. 1, lett. c) GDPR)

(2) Destinatari dei dati:

Destinatario	Finalità	Ubicazione	Base giuridica
DigitalOcean LLC	Hosting (BIS ERP, database, backup cloud in Spaces)	Francoforte (UE)	Art. 6, par. 1, lett. b) GDPR
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Invio e ricezione di e-mail (server di posta di sistema, se non è impostato un accesso SMTP proprio; caselle di posta dei domini bispicy.com e bispos.app)	Germania (UE)	Art. 6, par. 1, lett. b) GDPR
Cloudflare, Inc. (incaricata da DigitalOcean)	Reverse proxy e content delivery network (distribuzione delle pagine web, dati di connessione/IP) — incaricata da DigitalOcean come proprio sub-responsabile della App Platform; nessun rapporto contrattuale separato con il responsabile	UE/USA (clausole contrattuali tipo)	Art. 6, par. 1, lett. f) GDPR
Stripe Payments Europe Ltd.	Elaborazione dei pagamenti della licenza software	Dublino (UE)	Art. 6, par. 1, lett. b) GDPR
Corrieri (DHL, DPD, GLS, Hermes, UPS, FedEx)	Creazione di etichette di spedizione, track & trace	UE	Art. 6, par. 1, lett. b) GDPR
Marketplace, shop e gestionali (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware, Gambio, Shopee, Whatnot, Odoo) — solo se attivati	Sincronizzazione di ordini e articoli	UE / mondiale	Art. 6, par. 1, lett. b) GDPR (su istruzione del titolare del trattamento)
Google LLC (Firebase Cloud Messaging)	Notifiche push ai dispositivi di cassa collegati (nessun contenuto personale)	UE/USA (clausole contrattuali tipo)	Art. 6, par. 1, lett. f) GDPR
Anthropic PBC (solo in caso di utilizzo delle funzioni IA)	Riconoscimento assistito da IA delle fatture passive, creazione articoli con IA, repricing con IA (non utilizzati per l'addestramento dei modelli)	USA (clausole contrattuali tipo)	Art. 6, par. 1, lett. b)/f) GDPR in combinato disposto con l'art. 46 GDPR
Fiskaly GmbH (solo con integrazione cassa attiva)	Firma cloud TSE (KassenSichV / RKSV)	Germania / Austria	Art. 6, par. 1, lett. c) GDPR (obbligo legale)

L'elenco completo dei responsabili e sub-responsabili del trattamento con ubicazioni e finalità è disponibile nel contratto di trattamento dei dati (AVV).

4.1 BIS AI Bridge: collegamento alla vostra IA

Il BIS AI Bridge è un programma che viene eseguito sul vostro computer e collega il vostro database JTL a un servizio di IA a vostra scelta (ad esempio Claude, ChatGPT o Cursor). Vale una netta separazione:

• I contenuti del vostro database non arrivano a noi. Le interrogazioni avvengono esclusivamente tra il vostro computer e il vostro servizio di IA. Non vi abbiamo accesso in alcun momento e non ne conserviamo nulla.
• Trattiamo solo dati di licenza: chiave di licenza, identificativo del dispositivo, nome del computer, versione del programma e numero di chiamate al mese. La base giuridica è l'art. 6, par. 1, lett. b GDPR (esecuzione del contratto).
• Il vostro fornitore di IA non è un nostro sub-responsabile. Lo scegliete voi stessi e concludete il contratto con lui. Per questo trasferimento siete responsabili ai sensi della normativa sulla protezione dei dati — verificate le condizioni del fornitore, in particolare se i vostri input vengono utilizzati per addestrare i modelli.
• Il registro degli accessi resta presso di voi. Ogni interrogazione viene registrata sul vostro computer; questo file non ci viene trasmesso.

Eccezione — accesso tramite chat nel browser: se collegate il ponte a un servizio di IA nel browser (ad esempio claude.ai o ChatGPT), questo non può avviare alcun programma sul vostro computer. In tal caso l'interrogazione passa dai nostri server: la inoltriamo a BISConnect installato sul vostro computer, che la sottopone al vostro database, e restituiamo il risultato al vostro servizio di IA. In questo caso:

• Trattiamo l'interrogazione e il suo risultato in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR — esattamente come per le altre funzioni di BIS ERP. Si applica il contratto di trattamento dei dati concluso con voi.
• Il risultato viene cancellato immediatamente dopo la consegna e non viene conservato in modo permanente.
• Decidete voi quale via utilizzare. Se desiderate che i vostri dati non raggiungano mai i nostri server, utilizzate un programma di IA sul vostro computer (ad esempio Claude Desktop o Cursor) — in tal caso vale la via locale descritta sopra.

5. I vostri diritti in qualità di interessati

6. Sicurezza dei dati

Abbiamo attuato ampie misure tecniche e organizzative:

• Cifratura: TLS 1.3 per tutte le trasmissioni di dati
• Controlli di accesso: permessi basati sui ruoli
• Backup: backup automatici giornalieri
• Hosting: data center dell'UE

7. Contatto

Per domande sulla protezione dei dati, contattate: