Accordo sul trattamento dei dati

Tra Invoid Vision B.V., società belga a responsabilità limitata iscritta con il numero KBO/BCE 0777.887.045, con sede legale in Balegemstraat 17/7, 9860 Oosterzele, Belgio, che opera con la denominazione Dokus ("noi"), e la società o la persona che detiene lo spazio di lavoro ("lei").

Per i dati personali contenuti nei documenti e nelle registrazioni che inserisce in Dokus, lei è il titolare del trattamento e noi siamo il responsabile del trattamento. Per i dati che raccogliamo per gestire il suo account e questo sito web, il titolare del trattamento siamo noi; questo aspetto è disciplinato dall’informativa sulla privacy.

Se dà a un commercialista o a un contabile l’accesso al suo spazio di lavoro, ci sta istruendo a mostrargli le registrazioni che contiene. Il commercialista o il contabile ha accesso in sola lettura e non può modificarle. Quella comunicazione è una sua istruzione, e il commercialista o il contabile, in qualità di titolare del trattamento autonomo, risponde di ciò che farà poi con le registrazioni.

L’allegato 1 stabilisce l’oggetto, la durata, la natura e le finalità del trattamento, le categorie di dati personali e le categorie di interessati. In sintesi:

• Oggetto: i dati personali contenuti nei documenti, nelle registrazioni e nei messaggi che inserisce in Dokus, e i dati necessari per gestire il suo account.
• Durata: per tutto il tempo in cui detiene uno spazio di lavoro e fino al completamento della cancellazione ai sensi della sezione 9.
• Finalità: conservazione, estrazione, classificazione, abbinamento, recupero, emissione delle fatture e trasmissione Peppol, sincronizzazione bancaria, notifiche, assistenza, sicurezza e fatturazione.
• Interessati: lei, il suo personale, i suoi clienti e fornitori e chiunque sia nominato in un documento che carica.
• Dati: dati identificativi e di contatto, registrazioni finanziarie, dati delle transazioni bancarie, contenuto di fatture e contratti, e qualsiasi altro dato personale contenuto in un documento.

Trattiamo i dati solo secondo le sue istruzioni documentate. Queste istruzioni sono i Termini di servizio, il presente accordo e le scelte che fa nel prodotto, come collegare una banca, attivare l’esportazione via e-mail o dare accesso a un commercialista.

Non usiamo i suoi dati per finalità proprie e non li vendiamo.

Se un’istruzione sembra violare la normativa sulla protezione dei dati, glielo diciamo prima di eseguirla, salvo che la legge non ce lo vieti.

Chiunque possa accedere ai dati dei clienti è vincolato alla riservatezza, che si tratti di personale o di collaboratori esterni. L’accesso è limitato alle persone che ne hanno bisogno per assistenza, sicurezza o un obbligo di legge, e ogni accesso di questo tipo è registrato nella sua cronologia delle attività.

Applichiamo le misure tecniche e organizzative dell’allegato 2. Coprono il controllo degli accessi, la crittografia in transito, i backup crittografati, la separazione tra spazi di lavoro, la registrazione degli eventi, il monitoraggio e la risposta agli incidenti.

Non dichiariamo certificazioni che non possediamo. Non abbiamo alcuna certificazione ISO 27001 o SOC 2, e la pagina sulla continuità lo indica.

Ci autorizza a usare i sub-responsabili elencati nella sezione 4 dell’informativa sulla privacy. Ognuno è vincolato a un accordo sul trattamento dei dati con noi e tratta i dati personali solo secondo le nostre istruzioni.

Quella sezione nomina anche i destinatari che non sono sub-responsabili. La connettività bancaria è fornita da Ponto, un servizio di Isabel NV/SA. Isabel NV/SA e la banca che lei collega agiscono come titolari del trattamento autonomi ai sensi della PSD2, e non si applica loro alcun accordo sul trattamento dei dati.

Pubblichiamo su quella pagina un nuovo sub-responsabile prima che inizi a trattare dati per lei, e la data in cima a questa pagina cambia di conseguenza. Se si oppone per motivi ragionevoli legati alla protezione dei dati, può smettere di usare la funzione interessata o recedere dall’accordo. Non considereremo l’opposizione un inadempimento.

La versione ospitata di Dokus conserva in Belgio i suoi documenti e le registrazioni che ne derivano. Alcuni sub-responsabili si trovano fuori dallo Spazio economico europeo, e l’informativa sulla privacy li indica. Questi trasferimenti sono coperti dalle clausole contrattuali standard (SCC) (2021/914) e dalle garanzie aggiuntive richieste dal GDPR.

Un deployment privato viene eseguito nel suo ambiente. Questa sezione si applica solo ai dati che sceglie di inviarci per l’assistenza.

L’assistente opzionale Ask invia la sua domanda e le registrazioni necessarie per rispondere ad Anthropic PBC, negli Stati Uniti, nell’ambito di un accordo sul trattamento dei dati, e mai come dati di addestramento.

Quando è configurata l’elaborazione dei documenti nel cloud, anche estrazione e classificazione sono eseguite da Anthropic. Quando non è configurata, vengono eseguite su infrastruttura che gestiamo in Belgio. Anthropic è indicato come sub-responsabile per entrambe le finalità nell’informativa sulla privacy.

Nessun’altra parte di Dokus invia contenuti dei documenti a un fornitore di modelli.

I suoi documenti restano nel suo spazio di lavoro finché è attivo.

Quando cancella uno spazio di lavoro nel prodotto, la richiesta viene registrata e può essere annullata per 30 giorni. Trascorso questo periodo, lo spazio di lavoro viene cancellato: i documenti, le registrazioni che ne derivano, le connessioni bancarie, la registrazione Peppol e i dati dell’account. La cancellazione è eseguita dal nostro team, non automaticamente, ed è completata entro 30 giorni dalla fine di tale periodo. Confermiamo la cancellazione per iscritto quando è completata.

Quando ci chiede via e-mail di cancellare il suo account, verifichiamo la richiesta e completiamo la cancellazione entro 30 giorni.

Alcune registrazioni sopravvivono alla cancellazione dove la legge belga lo richiede. Le fatture e i documenti contabili possono essere conservati fino a 10 anni, limitatamente a quella finalità legale.

La cronologia operativa è conservata per 24 mesi: il registro delle attività e lo storico delle conversazioni con l’assistente. I backup sono conservati secondo una rotazione di 30 copie giornaliere e 12 mensili, e vengono cancellati man mano che escono dalla rotazione.

Se qualcuno le chiede l’accesso ai dati che conserviamo per lei, la loro rettifica o la loro cancellazione, ce lo dica e le daremo ciò che le serve per rispondere entro 10 giorni lavorativi. Non rispondiamo direttamente alla persona, a meno che non ce lo chieda.

Prestiamo assistenza per una valutazione d’impatto sulla protezione dei dati o una consultazione preventiva quando il trattamento lo richiede.

La informiamo senza ingiustificato ritardo non appena veniamo a conoscenza di una violazione di dati personali che riguarda i suoi dati e, in ogni caso, entro 72 ore. La notifica descrive che cosa è successo, i dati interessati, le conseguenze probabili e ciò che abbiamo fatto al riguardo.

Conserviamo un registro della violazione e le diciamo che cosa abbiamo fatto per contenerla.

Può chiederci ciò che le serve per dimostrare che il trattamento è conforme: il presente accordo, l’elenco dei sub-responsabili, le misure dell’allegato 2 e le risposte a un questionario di sicurezza. Rispondiamo alle domande su sicurezza e approvvigionamento entro un giorno lavorativo.

Per visitare i nostri locali o i nostri sistemi occorrono una richiesta scritta, un preavviso di almeno 30 giorni e un accordo di riservatezza. Concordiamo l’ambito, i tempi e chi paga prima della visita. In alternativa, possiamo soddisfare la richiesta con la relazione di un auditor indipendente.

La responsabilità ai sensi del presente accordo è soggetta alla limitazione di responsabilità dei Termini di servizio. Nulla nel presente accordo limita la responsabilità che la legge non consente di limitare.

Il presente accordo dura per tutto il tempo in cui trattiamo dati per lei e termina quando la cancellazione è completata.

Possiamo modificarlo per tenere conto di una modifica del servizio, della legge o di un sub-responsabile. La versione e la data in cima alla pagina cambiano di conseguenza, e pubblichiamo la modifica prima che entri in vigore. Se una modifica riduce in modo sostanziale i suoi diritti, può opporsi e recedere dall’accordo.

Il presente accordo è regolato dalla legge belga. Le controversie seguono la clausola sulla legge applicabile e sulla giurisdizione dei Termini di servizio.

Il presente accordo è redatto in lingua inglese. Le altre versioni linguistiche sono fornite perché possa leggerlo nella sua lingua; in caso di divergenze, prevale la versione inglese.

Il presente allegato riporta il trattamento descritto nella sezione 2.

• Categorie di dati personali: dati identificativi e di contatto; registrazioni finanziarie come fatture, ricevute, estratti conto e contratti; identificativi dei conti bancari, saldi e transazioni; corrispondenza e messaggi di assistenza; e qualsiasi dato personale contenuto in un documento che carica.
• Categorie di interessati: lei e il suo personale; i suoi clienti; i suoi fornitori e le altre controparti; e le persone nominate nei suoi documenti.
• Natura del trattamento: raccolta, conservazione, estrazione, classificazione, abbinamento, recupero, strutturazione, trasmissione e cancellazione.
• Finalità: mantenere aggiornate le sue registrazioni, preparare e inviare fatture tramite Peppol, abbinare le transazioni bancarie, indicare la posizione IVA, rispondere alle domande tramite Ask, esportare le registrazioni al suo commercialista e gestire l’account.
• Durata: finché il presente accordo è in vigore, poi i periodi di conservazione della sezione 9.
• Categorie particolari: Dokus non è progettato per dati di categorie particolari. Se un documento che carica li contiene, sono trattati su sua istruzione come qualsiasi altro contenuto.

Le misure che applichiamo ai dati descritti nell’allegato 1.

• Controllo degli accessi: autenticazione tramite link via e-mail o password, permessi basati sui ruoli e sessioni di assistenza con limiti temporali, registrate nella sua cronologia delle attività.
• Crittografia in transito: TLS su ogni endpoint pubblico e TLS tra l’applicazione e il suo database.
• Crittografia a riposo: i backup sono crittografati con restic prima di lasciare l’host. L’archivio dei documenti e il database risiedono su volumi ad accesso controllato, sull’infrastruttura che gestiamo.
• Separazione: ogni query è limitata a un solo spazio di lavoro e non esiste alcun percorso di lettura tra spazi di lavoro.
• Registrazione degli eventi: un registro delle attività che copre ogni modifica, conservato per 24 mesi, e avvisi sui tentativi di accesso non riusciti e sugli accessi anomali.
• Backup: 30 copie giornaliere e 12 mensili, crittografate, cancellate quando escono dalla rotazione.
• Monitoraggio: gli avvisi su disponibilità ed errori arrivano alle persone che costruiscono e gestiscono il servizio.
• Risposta agli incidenti: un unico punto di contatto, la notifica di cui alla sezione 11 e un resoconto scritto dell’incidente.
• Cancellazione: come descritto nella sezione 9, confermata per iscritto.
• Persone: accesso limitato a chi ne ha bisogno, nel rispetto della riservatezza.