Accordo sul Trattamento dei Dati
Questo Accordo sul Trattamento dei Dati (DPA) viene stipulato ai sensi dell'Articolo 28 del Regolamento Generale sulla Protezione dei Dati (GDPR) e fa parte dei Termini di Servizio. Disciplina il trattamento dei dati personali da parte di ClientFlow per conto dei nostri clienti.
Versione 2.2 | Ultimo Aggiornamento: 5 ottobre 2026
1. Parti
Titolare del Trattamento
Tu, il cliente (l'entità che determina le finalità e i mezzi del trattamento)
Responsabile del Trattamento
ClientFlow (tratta dati personali per tuo conto)
1.1 Ambito del Trattamento
Questo DPA si applica al trattamento di dati personali quando:
- ClientFlow tratta dati personali per conto del Titolare nell'ambito della fornitura del Servizio
- Il trattamento riguarda la gestione delle relazioni con i clienti del Titolare
- Gli interessati sono i clienti e i contatti commerciali del Titolare
- ClientFlow è un software di gestione aziendale, non un sistema di cartelle cliniche. Quando il Titolare registra dati sulla salute o altre categorie particolari di dati relative ai propri clienti, il Titolare stabilisce la base giuridica e ottiene l'eventuale consenso esplicito richiesto, e ClientFlow tratta tali dati solo su istruzioni documentate del Titolare
Attività di Trattamento
- Archiviazione e organizzazione delle informazioni di contatto dei clienti
- Registrazione e tracciamento delle transazioni di pagamento
- Invio di comunicazioni autorizzate (promemoria, notifiche)
- Generazione di analisi e report basati su dati aggregati
2. Categorie di Dati
| Categoria | Esempi | Scopo |
|---|---|---|
| Dati Account | Email, nome, immagine profilo | Accesso al servizio |
| Dati Clienti | Nomi clienti, telefoni, email | Funzionalità CRM |
| Registri Pagamenti | Importi, date, stati | Tracciamento pagamenti |
| Dati Utilizzo | Orari accesso, utilizzo funzionalità | Sicurezza, miglioramento |
3. Obblighi del Responsabile
Noi Faremo:
- Trattare i dati solo secondo le tue istruzioni documentate
- Assicurare che il personale sia vincolato da riservatezza
- Implementare misure di sicurezza appropriate
- Assistere con le richieste degli interessati
- Notificarti le violazioni dei dati entro 72 ore
- Eliminare i dati alla cessazione (dopo il periodo di conservazione)
4. Misure di Sicurezza
Tecniche
- TLS (transito)
- AES-256-GCM a riposo (note delle sessioni, registri degli esiti, credenziali delle integrazioni, token di pagamento, segreti dell'autenticazione a due fattori)
- Autenticazione OAuth 2.0
- Controllo accessi basato sui ruoli
- Monitoraggio e allerta automatizzati
Organizzative
- Pratiche scritte di sicurezza e gestione dei dati
- Procedura di risposta agli incidenti
- Revisioni di fornitori e sub-responsabili
- Obblighi di riservatezza per chiunque abbia accesso ai dati
- Gestione delle modifiche per i sistemi di produzione
5. Sub-responsabili
Utilizziamo i seguenti sub-responsabili autorizzati:
| Fornitore | Servizio | Posizione | Meccanismo di trasferimento |
|---|---|---|---|
| Hetzner Cloud | Infrastruttura cloud e hosting | Germany | Trattati all’interno dell’UE/SEE |
| Vercel | Hosting e distribuzione del frontend | Frankfurt, Germany (FRA1) | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| Cloudflare | Distribuzione dei contenuti e archiviazione dei file | Global edge network (EU primary storage) | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| iyzico | Trattamento dei pagamenti | Istanbul, Turkey | Clausole contrattuali tipo (non ancora in vigore) |
| Resend | Recapito di email transazionali | United States | Clausole contrattuali tipo |
| Sentry | Monitoraggio degli errori e diagnostica | United States | Clausole contrattuali tipo |
| Google (OAuth, Analytics) | Accesso e autenticazione | United States | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| Firebase Cloud Messaging | Notifiche push | United States | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| Expo (push relay, OTA updates) | Notifiche push | United States | Clausole contrattuali tipo |
| WhatsApp Business API | Messaggistica WhatsApp | Ireland (contracting) + global (Meta infrastructure) | Clausole contrattuali tipo |
| Apple (Sign in with Apple) | Accesso e autenticazione | United States | Clausole contrattuali tipo |
| Anthropic (Claude) | Trattamento tramite assistente IA e chatbot | United States | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| OpenAI | Trattamento tramite assistente IA e chatbot | United States | Clausole contrattuali tipo + Quadro UE–USA sulla privacy dei dati |
| Groq | Trattamento tramite assistente IA e chatbot | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Meta (Facebook Login) | Accesso e autenticazione | Ireland (EEA controller) + global (Meta infrastructure) | Clausole contrattuali tipo (non ancora in vigore) |
| Google (reCAPTCHA) | Protezione da bot e abusi | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Google (Gmail, customer-connected) | Recapito di email transazionali | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Google (Calendar sync, customer-connected) | Sincronizzazione del calendario | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Microsoft (Outlook mail, customer-connected) | Recapito di email transazionali | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Apple (iCloud Mail, customer-connected) | Recapito di email transazionali | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Apple (iCloud Calendar, customer-connected) | Sincronizzazione del calendario | United States | Clausole contrattuali tipo (non ancora in vigore) |
| Yahoo (Yahoo Mail, customer-connected) | Recapito di email transazionali | United States | Clausole contrattuali tipo (non ancora in vigore) |
| OpenStreetMap (map tiles, address search) | Visualizzazione mappe e ricerca indirizzi | United Kingdom and Netherlands (tile requests: global CDN) | Clausole contrattuali tipo (non ancora in vigore) |
| CARTO (dark-theme map tiles) | Visualizzazione mappe e ricerca indirizzi | United States | Clausole contrattuali tipo (non ancora in vigore) |
Modifiche ai Sub-responsabili
Ti informeremo di eventuali modifiche previste ai sub-responsabili:
- Preavviso di almeno 14 giorni prima di aggiungere o sostituire sub-responsabili
- Notifica via email all'indirizzo email dell'account registrato
- Puoi opporti alle modifiche entro 14 giorni contattandoci
- Se la tua obiezione non può essere risolta, puoi risolvere i servizi interessati
5.1 Diritti di Audit
Il Titolare ha il diritto di verificare la conformità a questo DPA:
- Richiedere documentazione e certificazioni pertinenti
- Condurre audit con almeno 30 giorni di preavviso scritto
- Gli audit devono essere condotti durante il normale orario lavorativo
- L'auditor deve firmare un accordo di riservatezza
Ambito dell'Audit
- Misure di sicurezza e garanzie tecniche
- Conformità dei sub-responsabili
- Procedure di gestione dei dati
- Capacità di risposta agli incidenti
I costi degli audit sono a carico del Titolare, a meno che l'audit non riveli una non conformità sostanziale.
6. Conservazione ed Eliminazione Dati
Conserviamo i dati personali solo per il tempo necessario alle finalità descritte, o per il tempo richiesto dalla normativa fiscale e commerciale applicabile.
| Tempistica | Azione |
|---|---|
| Su richiesta di cancellazione dell'account | I dati dei clienti vengono cancellati definitivamente insieme al tuo account: entro un giorno dal termine del periodo di tolleranza di 30 giorni che segue una richiesta di eliminazione fatta sul nostro sito web (che puoi annullare fino al termine di tale periodo), oppure entro 3 giorni quando l'account viene eliminato nell'app iOS. Le fatture, le ricevute e i preventivi che emetti ai tuoi clienti sono documenti tuoi: vengono eliminati con il tuo account negli stessi tempi. |
| Dopo la cancellazione dell'account | Le registrazioni contabili proprie di ClientFlow relative al tuo abbonamento (le nostre fatture a te) sono conservate in forma anonimizzata (senza dati personali) almeno per il periodo richiesto dalla normativa fiscale e commerciale. |
| Alla cessazione | Quando elimini il tuo account, i dati personali vengono cancellati entro 31 giorni (entro 3 giorni nell'app iOS), tranne i registri che siamo tenuti a conservare (come i log di audit e i registri di fatturazione anonimizzati); i backup cifrati ruotano entro 90 giorni. L'annullamento di un abbonamento non elimina i dati |
7. Disposizioni CCPA
Ai sensi del CCPA, agiamo come "Fornitore di Servizi" e:
- Trattiamo i dati solo per scopi commerciali specificati
- Non vendiamo informazioni personali
- Assistiamo con le richieste di diritti dei consumatori
- Implementiamo misure di sicurezza ragionevoli
8. Notifica di Violazione dei Dati
In caso di violazione dei dati personali, ci impegniamo a quanto segue:
Tempistica di Notifica
- Notificarti entro 72 ore dalla scoperta di una violazione
- Fornire una valutazione iniziale della portata e dell'impatto della violazione
- Consegnare una notifica scritta dettagliata entro 5 giorni lavorativi
Contenuto della Notifica
- Natura della violazione, incluse le categorie e il numero approssimativo di interessati coinvolti
- Dati di contatto per la privacy per eventuali domande di follow-up
- Descrizione delle probabili conseguenze della violazione
- Misure adottate o proposte per affrontare la violazione
- Misure per mitigare eventuali effetti negativi
Collaboreremo pienamente con la tua indagine e qualsiasi richiesta normativa, e assisteremo con le notifiche di violazione alle autorità di controllo e agli interessati come richiesto dalla legge applicabile.
9. Trasferimenti Internazionali di Dati
Quando i dati personali vengono trasferiti al di fuori dello Spazio Economico Europeo (SEE), ci affidiamo alla garanzia indicata per ciascun destinatario nella nostra pagina dei sub-responsabili, che indica anche dove una garanzia non è ancora in vigore:
Meccanismi di Trasferimento
Decisioni di Adeguatezza UE
Trasferimenti verso paesi ritenuti adeguati dalla Commissione Europea
Quadro sulla Privacy dei Dati UE-USA
Per i responsabili con sede negli USA certificati secondo il DPF
Clausole Contrattuali Standard (SCC)
Clausole approvate dalla Commissione UE (versione 2021) per altri trasferimenti
Conduciamo valutazioni dell'impatto dei trasferimenti quando richiesto e implementiamo misure supplementari (tecniche, organizzative e contrattuali) quando necessario per garantire un livello di protezione sostanzialmente equivalente.
Puoi richiedere copie dei meccanismi di trasferimento pertinenti su richiesta.
10. Responsabilità e Indennizzo
Responsabilità del Responsabile
ClientFlow sarà responsabile dei danni causati da un trattamento che non rispetta questo DPA o quando abbiamo agito al di fuori o contro le istruzioni legali del Titolare.
Responsabilità del Titolare
Il Titolare sarà responsabile dei danni causati da un trattamento che viola la legge applicabile sulla protezione dei dati o non rispetta gli obblighi del Titolare ai sensi di questo DPA.
Limitazioni
- Nessuna parte sarà responsabile per danni indiretti, incidentali o consequenziali
- La responsabilità totale aggregata ai sensi di questo DPA è limitata alle tariffe pagate nei 12 mesi precedenti il reclamo
- Queste limitazioni non si applicano a violazioni della riservatezza, condotta intenzionale o negligenza grave
Ciascuna parte si impegna a indennizzare l'altra contro reclami di terzi derivanti dalla violazione di questo DPA o delle leggi applicabili sulla protezione dei dati da parte della parte indennizzante.
11. Risoluzione e Restituzione dei Dati
Durata
Questo DPA rimane in vigore per la durata del Contratto di Servizio e finché trattiamo dati personali per tuo conto.
Alla Risoluzione
- A tua scelta, restituiremo o elimineremo i tuoi dati personali entro 31 giorni, tranne i registri che siamo tenuti a conservare (come i log di audit e i registri di fatturazione anonimizzati)
- Puoi richiedere l'esportazione dei dati in un formato di uso comune e leggibile da dispositivo automatico
- Certificheremo l'eliminazione su richiesta
- I dati possono essere conservati quando richiesto dalla legge applicabile
Le sezioni relative alla riservatezza, alla responsabilità e ai diritti di protezione dei dati sopravvivono alla risoluzione di questo DPA.