Accordo sul trattamento dei dati

Ultimo aggiornamento: 9 ottobre 2026

Il presente accordo (l'«Accordo») integra le condizioni generali di servizio e disciplina il trattamento dei dati personali che Spiniello Marco (il «Responsabile») svolge per conto del cliente (il «Titolare») nell'erogazione di Easy Sign, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»). Si intende accettato con la registrazione o la sottoscrizione di un piano.

1. Oggetto, natura e finalità

Il Responsabile tratta i dati esclusivamente per erogare il Servizio: ricevere e archiviare i documenti caricati, inviare inviti e codici OTP, raccogliere la firma, sigillare e consegnare il documento firmato, conservare il registro delle operazioni e renderlo verificabile, secondo le istruzioni documentate del Titolare costituite dalle condizioni, da questo Accordo e dalle impostazioni scelte nel Servizio.

2. Tipi di dati e interessati

• Interessati: firmatari indicati dal Titolare; persone citate nei documenti caricati.
• Dati: nome, cognome, ruolo, ragione sociale, e-mail, PEC, cellulare, eventuale codice fiscale; dati tecnici delle operazioni (data e ora, indirizzo IP, browser, esito dei codici); contenuto dei documenti caricati.
• Il Titolare non carica categorie particolari di dati (art. 9 GDPR) o dati giudiziari se non necessario e lecito, adottando in tal caso le cautele dovute.

3. Durata

Il trattamento dura quanto il contratto. Alla cessazione il Titolare può esportare i dati entro 30 giorni; poi il Responsabile li cancella, salvo obblighi di legge. Durante il contratto le pratiche sono conservate per il periodo di conservazione impostato dal Titolare.

4. Obblighi del Responsabile

• trattare i dati solo su istruzione documentata del Titolare, informandolo se un'istruzione viola la normativa;
• garantire che le persone autorizzate siano vincolate alla riservatezza;
• adottare le misure di sicurezza dell'art. 32 GDPR (punto 6);
• assistere il Titolare nel dare seguito alle richieste degli interessati e negli adempimenti degli artt. 32-36 GDPR, tenendo conto della natura del trattamento;
• notificare al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza, ogni violazione dei dati personali, con le informazioni disponibili;
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consentire verifiche, con preavviso ragionevole e a spese del Titolare, senza compromettere la sicurezza e la riservatezza degli altri clienti.

5. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile ad avvalersi di sub-responsabili per hosting e infrastruttura, invio di e-mail, PEC e SMS, pagamenti e servizi di marca temporale. Il Responsabile impone loro obblighi equivalenti a quelli di questo Accordo, ne risponde verso il Titolare e comunica via e-mail l'aggiunta o la sostituzione di sub-responsabili con almeno 15 giorni di preavviso; il Titolare può opporsi per motivi fondati e, se non si trova una soluzione, recedere.

6. Misure di sicurezza

• comunicazioni cifrate (HTTPS/TLS, HSTS); accesso all'area riservata con password cifrate (argon2), secondo fattore facoltativo, sessioni a scadenza, protezione CSRF e limitazione dei tentativi;
• separazione logica dei dati tra clienti, verificata a ogni accesso a pratiche, chiavi API, webhook e autorizzazioni;
• link di firma personali e revocabili, codici OTP monouso conservati solo come HMAC, registro delle operazioni concatenato e a sola aggiunta;
• documenti archiviati con verifica dell'impronta SHA-256 a ogni lettura, PDF finale sigillato con marca temporale;
• log applicativi senza dati personali in chiaro; copie di backup e possibilità di esportazione completa delle pratiche;
• aggiornamenti periodici delle dipendenze software e accesso ai server limitato al personale autorizzato.

7. Trasferimenti

I dati sono trattati nello Spazio economico europeo. Eventuali trasferimenti verso paesi terzi da parte dei sub-responsabili avvengono solo con le garanzie del Capo V GDPR (decisioni di adeguatezza o clausole contrattuali tipo).

8. Responsabilità

Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi secondo l'art. 82 GDPR; per il resto si applicano le limitazioni delle condizioni generali.