Accordo sul trattamento dei dati personali (DPA)

Il presente accordo integra i Termini di servizio della piattaforma InTasca (di seguito «Piattaforma») ed è concluso fra il Cliente che attiva un’Azienda sulla Piattaforma (di seguito «Titolare») e INTASCA Società a Responsabilità Limitata Semplificata, con sede in Via Nuova Poggioreale Torre 7 SNC, 80143 Napoli (NA), P.IVA/C.F. 11039821217, PEC intascasrls@pec.it (di seguito «Responsabile»).

Il Titolare determina finalità e mezzi del trattamento dei dati personali che inserisce o fa affluire nella propria Azienda — clienti, fornitori, dipendenti e collaboratori, contatti WhatsApp, persone che interagiscono con i suoi profili social, movimenti bancari — e nomina il Responsabile, ai sensi dell’art. 28 §1 GDPR, per trattarli per suo conto nei limiti di questo accordo. Per i dati degli utenti della Piattaforma (account, sessioni, log) il Responsabile è invece titolare autonomo: si applica l’Informativa privacy.

L’accordo vale per tutta la durata dell’attivazione dell’Azienda e cessa con la sua chiusura, ferme le obbligazioni di cui al §11 (fine del trattamento) e la conservazione imposta dalla legge.

Il Responsabile tratta i dati per fornire le funzioni della Piattaforma che il Titolare usa. Natura del trattamento: raccolta, registrazione, conservazione, consultazione, elaborazione, comunicazione ai destinatari indicati dal Titolare, cancellazione.

• Contabilità, prima nota, documenti e fatturazione (anche via Sistema di Interscambio): denominazione, nome, email, PEC, telefono, P.IVA, codice fiscale, indirizzo, IBAN di clienti e fornitori; importi e causali.
• Conti bancari collegati (Revolut) ed estratti conto importati: controparti, IBAN, causali, importi.
• Personale: anagrafica dei dipendenti e collaboratori (nome, codice fiscale, data e luogo di nascita, contatti, indirizzo, inquadramento, IBAN cifrato), presenze e assenze — comprese le categorie particolari dell’art. 9 GDPR quando l’assenza le rivela (malattia, infortunio, congedi, legge 104) —, documenti (cedolini, CU, contratti, documenti d’identità).
• WhatsApp Business: numeri di telefono, nomi, consensi, testi e media dei messaggi scambiati con i contatti dell’Azienda.
• Social (Instagram, Facebook, Messenger, Threads): profili collegati, contenuti pubblicati, commenti e messaggi diretti di terzi (nome utente, testo, media).
• Solleciti, contratti e firme: destinatari, importi, nome del firmatario con data, IP e user-agent della firma.
• Rimborsi e trasferte: esattori, spese e giustificativi.
• Allegati e documenti caricati: file, nome, impronta, testo estratto.
• Posta e calendario, se l’utente collega Google o Microsoft: messaggi, contatti, eventi.

Interessati: clienti e fornitori del Titolare e i loro referenti; dipendenti e collaboratori; contatti WhatsApp; utenti dei social che interagiscono con i profili del Titolare; firmatari di contratti; esattori. Il Titolare non inserisce dati relativi a condanne penali (art. 10) e usa le funzioni del Personale nel rispetto della normativa giuslavoristica.

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare. Le istruzioni sono: questo accordo, i Termini di servizio, le impostazioni che il Titolare sceglie nella Piattaforma (per esempio le durate di conservazione dei messaggi WhatsApp e delle interazioni social, i servizi che collega, i moduli che attiva, gli utenti che invita e i ruoli che assegna) e le richieste che il Titolare invia per iscritto. Il Responsabile non usa i dati per finalità proprie né per altri clienti, salvo i due trattamenti ulteriori qui sotto, che il Titolare autorizza con la sezione 9 dei Termini di servizio e dai quali può uscire in ogni momento da Impostazioni → Privacy: ogni Azienda è separata a livello di database (§5).

• Trattamento ulteriore autorizzato: dizionario comune delle controparti (Termini sez. 9), limitato a denominazione e partita IVA di persone giuridiche, con soglia di tre Clienti e senza attribuzione.
• Trattamento ulteriore autorizzato: sviluppo e addestramento di modelli e regole interni della Piattaforma (Termini sez. 9), su classificazioni e correzioni private del riferimento al Cliente e agli utenti, esclusi i dati di persone fisiche e il contenuto delle comunicazioni; nessuna cessione a terzi.

Se il Responsabile ritiene che un’istruzione violi il GDPR o altra norma sulla protezione dei dati, ne informa immediatamente il Titolare (art. 28 §3, ultimo periodo). Non tratta i dati fuori dall’Unione europea se non nei casi del §10.

Il Responsabile adotta e mantiene le misure tecniche e organizzative seguenti, che risultano dal codice della Piattaforma (file fra parentesi) e sono verificabili:

• Separazione fra Aziende con Row Level Security di PostgreSQL in modalità FORCE su 217 tabelle: ogni riga porta l’identificativo dell’Azienda e il database rifiuta letture e scritture senza contesto (src/lib/db/tenant-context.ts, drizzle/*.sql); le altre tabelle per Azienda sono isolate dai filtri applicativi, che pongono sempre l’identificativo dell’Azienda nella condizione; ruolo applicativo a privilegi minimi, senza cancellazione del registro di audit (drizzle/0016_app_least_privilege.sql).
• Autenticazione: password con argon2id (src/lib/auth/password.ts); secondo fattore TOTP (RFC 6238) disponibile per ogni utente e obbligatorio per gli amministratori della piattaforma e per i titolari e amministratori di ogni Azienda, con codici di recupero (src/lib/auth/totp.ts, admin-2fa.ts, tenant.ts); limitazione dei tentativi per email e per indirizzo IP e blocco temporaneo dell’account (src/lib/auth/rate-limit.ts, src/app/api/auth/login/route.ts).
• Sessioni: token casuale conservato solo come impronta SHA-256, cookie HttpOnly, Secure, SameSite=Lax, durata 7 giorni (src/lib/auth/session.ts). I cookie sono elencati uno per uno nell’Informativa privacy, capitolo 10-bis.
• Cifratura a riposo AES-256-GCM delle credenziali e dei dati più sensibili: token dei servizi collegati (Meta, Google, Microsoft, TikTok, LinkedIn, Fatture in Cloud, Revolut, caselle di posta e PEC), chiavi IA del Titolare, segreti TOTP, IBAN dei dipendenti, XML delle fatture elettroniche (src/lib/sdi/crypto.ts, src/lib/integrations/credentials-crypto.ts, src/lib/personale/iban.ts); la chiave di piattaforma di Stripe sta nell’ambiente del server, non nel database. Cifratura in transito: TLS obbligatorio verso ogni servizio esterno e HSTS sul dominio.
• Registro di audit immutabile a catena di hash (HMAC-SHA256, trigger che vieta modifiche e cancellazioni, verifica giornaliera; src/lib/db/audit-chain.ts), con anonimizzazione di IP e user-agent dopo 90 giorni (src/app/api/cron/retention/route.ts). I log di accesso e di sicurezza sono conservati per almeno sei mesi.
• Intestazioni di sicurezza HTTP: Content-Security-Policy, X-Frame-Options DENY, nosniff, Referrer-Policy, Permissions-Policy, HSTS (src/middleware.ts); protezione anti-SSRF sugli endpoint configurabili (src/lib/ai-provider/base-url.ts, src/lib/sdi/net-guard.ts).
• Backup: copia giornaliera del database (dump PostgreSQL) trasferita su TLS a un archivio off-site in giurisdizione UE, cifrato a riposo dal servizio di archiviazione, immutabile per 30 giorni (copie mensili: 365) e conservato 35/400 giorni; le colonne sensibili elencate sopra restano cifrate anche dentro il dump; backup automatici giornalieri della macchina presso Hetzner; prova di ripristino ogni 90 giorni registrata nel registro di conformità (scripts/r2-backup-upload.sh, src/lib/compliance/check-pure.ts, doc 84 riga I2).
• Accesso all’infrastruttura solo con chiavi SSH, firewall con limitazione delle connessioni, proxy e protezione DDoS di Cloudflare davanti al server, pannello di gestione non esposto; rotazione dei segreti in caso di sospetta esposizione.
• Minimizzazione nei log: redazione automatica di chiavi, token e password (src/lib/logging/logger.ts, src/lib/ai-provider/redact.ts).
• Organizzative: Amministratori di Sistema nominati per iscritto (Provv. Garante 27/11/2008, mod. 25/06/2009), registro dei trattamenti, procedura per le violazioni (§7), registro di conformità con verifiche periodiche.

Fonte del provvedimento sugli Amministratori di Sistema: Garante, provv. 27 novembre 2008 [doc. web 1577499].

Le persone che operano per il Responsabile sui sistemi sono autorizzate per iscritto, vincolate alla riservatezza e istruite sul trattamento; l’accesso ai dati del Titolare avviene solo per assistenza richiesta, manutenzione o sicurezza, nei limiti necessari, e resta tracciato nel registro di audit dell’Azienda: la sessione di assistenza in sola lettura («vedi come») è registrata all’ingresso e all’uscita con il motivo e dura al più 30 minuti; ogni ingresso, sessione e modifica con poteri di piattaforma è registrata prima di essere eseguita (le sole letture in sessione elevata sono registrate per sessione, non per pagina). Il Titolare consulta il registro nella pagina Attività.

Il Responsabile informa il Titolare di ogni violazione dei dati personali che riguarda la sua Azienda senza ingiustificato ritardo e comunque entro 24 ore da quando ne ha avuto conoscenza, con: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, conseguenze probabili, misure adottate o proposte, e il contatto per ogni informazione ulteriore. Le informazioni non ancora disponibili seguono senza ulteriore ritardo (art. 33 §4). Il Responsabile assiste il Titolare nella notifica al Garante (72 ore, art. 33 §1) e nella comunicazione agli interessati (art. 34) con un fascicolo precompilato. La procedura interna è scritta nel codice della Piattaforma (docs/legal/procedura-data-breach.md) ed è messa a disposizione del Titolare su richiesta. Contatto: security@intascanapoli.com.

Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati, letti dal codice della Piattaforma alla data della versione. Il Responsabile impone a ciascuno, per contratto, obblighi equivalenti a questo accordo e resta pienamente responsabile verso il Titolare dell’adempimento del sub-responsabile. Le aggiunte o sostituzioni sono comunicate al Titolare con almeno 30 giorni di anticipo tramite una nuova versione di questa pagina e un avviso nella Piattaforma; il Titolare può opporsi per iscritto entro tale termine e, in mancanza di soluzione, recedere dal servizio interessato.

Non sono sub-responsabili: l’Agenzia delle Entrate (Sistema di Interscambio: titolare autonomo), VIES e Indice PA (fonti pubbliche, soli identificativi fiscali), la Banca centrale europea (tassi di cambio, nessun dato personale), i client esterni (per esempio assistenti IA via MCP) che il Titolare stesso autorizza ad accedere ai propri dati, i gestori delle caselle di posta e PEC che il Titolare collega con credenziali proprie (fornitori del Titolare: la Piattaforma custodisce le credenziali cifrate e le usa solo per inviare e leggere per suo conto), e i componenti che girano sullo stesso server del Responsabile (pannello di gestione, conversione PDF, riconoscimento del testo).

Allo stesso modo non sono sub-responsabili i fornitori di generazione di immagini e video che il Titolare collega al proprio assistente IA con un account suo (per esempio Higgsfield, HeyGen, Runway, Creatify): la Piattaforma non invia loro dati e riceve solo il file finito che il Titolare sceglie di importare. Il contratto con quei fornitori è del Titolare. Il Titolare tenga conto che, secondo i loro termini, Higgsfield (salvo il piano Enterprise), HeyGen e Runway possono usare i contenuti caricati e generati per addestrare i propri modelli, e Creatify si riserva una licenza perpetua su prompt e immagini caricati per migliorare il servizio. Per questo le fotografie di persone reali si usano come riferimento solo con il consenso firmato della persona, registrato nei Consensi del brand.

Il Responsabile mette a disposizione del Titolare, nella Piattaforma, gli strumenti per rispondere alle richieste degli interessati (artt. 15-22): esportazione dei dati di un utente, cancellazione o anonimizzazione con la verifica dei vincoli di conservazione fiscale (i documenti contabili restano per 10 anni, art. 2220 c.c., art. 39 DPR 633/1972 e art. 17 §3 lett. b GDPR), cancellazione dei dati dei dipendenti cessati su richiesta del Titolare — sotto i 5 anni dall’ultima registrazione (art. 6 c. 1 DM 9 luglio 2008) la Piattaforma chiede e registra il motivo —, cancellazione delle interazioni social su richiesta. Le richieste che gli interessati rivolgono direttamente al Responsabile vengono inoltrate al Titolare senza ritardo.

I dati sono conservati nell’Unione europea (server in Finlandia, archivi in giurisdizione UE). Alcuni sub-responsabili del §8 possono trattare dati negli Stati Uniti in forza della decisione di adeguatezza (UE) 2023/1795 (EU-US Data Privacy Framework) o, dove indicato, delle clausole contrattuali standard (decisione (UE) 2021/914); i servizi in questione sono attivi solo se il Titolare li collega o li attiva.

Alla chiusura dell’Azienda il Titolare esporta i propri dati dalla Piattaforma (CSV per contabilità e prima nota, XML e PDF per i documenti, JSON per i dati di ciascun utente; l’esportazione completa dell’Azienda è consegnata dall’assistenza su richiesta); su sua richiesta scritta il Responsabile cancella entro 30 giorni i dati dell’Azienda dai sistemi in uso (la console di amministrazione rifiuta la cancellazione finché restano documenti fiscali o mandati in essere: li si chiude prima), salvo quanto la legge impone di conservare (documenti fiscali e registro di audit, per il tempo previsto) e le copie di backup, che scadono da sole entro 400 giorni e non vengono ripristinate se non per un disastro. I mandati e i consensi registrati restano come evidenza contrattuale (art. 17 §3 lett. e).

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell’art. 28: questa pagina, il registro dei trattamenti, il registro di conformità e l’esito delle prove periodiche (ripristino dei backup, verifica della catena di audit). Il Titolare può svolgere una verifica l’anno, con preavviso di 30 giorni, senza interferire con la sicurezza degli altri clienti; le ispezioni presso i sub-responsabili avvengono tramite le certificazioni e i report che essi pubblicano.

Il Titolare accetta questo accordo al momento dell’attivazione dell’Azienda (casella «Accetto l’Accordo sul trattamento dei dati»); la Piattaforma registra data e ora, nome ed email del referente, indirizzo IP, user-agent e la versione del testo accettato (2026-10-14). Le versioni successive vengono pubblicate qui con la nuova data; per le modifiche sostanziali si applica il preavviso di 30 giorni dei Termini di servizio.

• 2026-10-14: Elenco dei sub-responsabili: ragione sociale di Openapi corretta in «Openapi S.p.A.» (P.IVA 12485671007), come nel contratto firmato; prima era scritto «S.r.l.». Stessi servizi, nessun sub-responsabile nuovo.
• 2026-10-12: §8 e capitolo sulla conservazione: sede di Hetzner corretta — il server applicativo e il database stanno nel data center di Helsinki (Finlandia, UE), non in Germania; Hetzner Online GmbH resta una società tedesca. Nessun trasferimento fuori dall’UE, nessun sub-responsabile nuovo.
• 2026-09-25: §4: due trattamenti ulteriori autorizzati dalla sezione 9 dei Termini — il dizionario comune delle controparti (solo denominazione e partita IVA di società, soglia di tre Clienti, senza attribuzione) e lo sviluppo di modelli e regole interni della Piattaforma (classificazioni e correzioni senza riferimento al Cliente e agli utenti, esclusi i dati di persone fisiche e il contenuto delle comunicazioni); entrambi si spengono da Impostazioni → Privacy. §8: i fornitori di generazione di immagini e video che il Titolare collega al proprio assistente IA (Higgsfield, HeyGen, Runway, Creatify) non sono sub-responsabili; avviso sull’uso dei contenuti per l’addestramento secondo i loro termini e sul consenso firmato per le persone reali.
• 2026-09-22: §8: aggiunti Stripe Payments Europe (incassi con carta e canone), LinkedIn, TikTok for Business e TikTok Shop, Passepartout (Mexal); Google e Meta estesi ai servizi marketing collegabili; Cloudflare esteso all’inoltro della posta di assistenza. §5: conteggio delle tabelle sotto Row Level Security aggiornato (217) e cifratura delle copie di backup descritta com’è. §9: cancellazione dei dipendenti cessati descritta com’è (su richiesta, con motivo sotto i 5 anni). §11: esportazione descritta per formato.
• 2026-09-17: prima versione pubblicata. Sub-responsabili e misure letti dal codice alla stessa data.