BuddyBooks
Informativa sul trattamento dei dati personali degli utenti
Versione 1.0 · in vigore dal 22 ottobre 2026
Bozza: questo testo va validato da un legale prima del lancio commerciale del servizio.
Quali dati degli utenti del gestionale tratta Spicy Sparks, perché, per quanto tempo e con quali diritti (art. 13 del Regolamento UE 2016/679).
1. Titolare del trattamento
Il titolare del trattamento è Spicy Sparks S.R.L., con sede in Via Atene 3, 41049 Sassuolo (MO), Italia, codice fiscale e partita IVA 03905910364, iscritta al Registro delle imprese di Modena (REA MO-427368), capitale sociale 10.000,00 euro, PEC spicysparks@pec.it. Per ogni richiesta sui tuoi dati scrivi alla PEC spicysparks@pec.it.
Spicy Sparks non ha designato un responsabile della protezione dei dati (art. 37 del Regolamento).
2. A chi si rivolge questa informativa
Alle persone che usano il gestionale (titolari, amministratori, dipendenti, collaboratori e commercialisti delle aziende clienti) e ai referenti delle aziende clienti.
Non riguarda i dati dei clienti, dei fornitori e delle altre controparti delle aziende clienti contenuti nelle fatture e negli altri documenti: per quelli il titolare è l'azienda cliente e Spicy Sparks li tratta per suo conto come responsabile, secondo l'Accordo di nomina a responsabile del trattamento.
3. Quali dati trattiamo
- Dati dell'account: indirizzo email, nome se indicato, ruolo, azienda a cui hai accesso.
- Credenziali: la password, conservata solo in forma non reversibile dal servizio di accesso; i codici di recupero inviati per email.
- Dati di accesso e di sessione: data e ora degli accessi, indirizzo IP, tipo di browser o di app, identificativo della sessione.
- Registro delle operazioni: quali operazioni hai fatto nel gestionale (per esempio l'invio di una fattura, l'approvazione di un pagamento, l'accettazione dei testi legali, con la versione accettata).
- Contatti per gli avvisi e le notifiche, se li configuri: chat Telegram, numero WhatsApp, email, identificativo del dispositivo per le notifiche dell'app.
- Dati di fatturazione del contratto, quando il cliente è una persona fisica (ditta individuale o professionista).
- Le comunicazioni che scambi con noi per assistenza.
4. Perché li trattiamo e su quale base giuridica
| Finalità | Base giuridica (art. 6 del Regolamento) |
|---|---|
| Creare e gestire il tuo account, farti accedere, fornire il servizio all'azienda per cui lavori | Esecuzione del contratto con l'azienda cliente e misure richieste da te (lett. b); per i dipendenti e collaboratori del cliente, il legittimo interesse del cliente e di Spicy Sparks a fornire il servizio a chi il cliente autorizza (lett. f) |
| Proteggere il servizio e i dati: autenticazione, controllo dei ruoli, registro delle operazioni, rilevazione di abusi | Legittimo interesse alla sicurezza (lett. f) e obbligo di adottare misure adeguate (art. 32) |
| Conservare la prova di cosa è stato accettato e fatto, e difendere un diritto in giudizio | Legittimo interesse (lett. f) |
| Comunicazioni di servizio: nuove versioni dei testi, interruzioni, sicurezza | Esecuzione del contratto (lett. b) |
| Adempimenti fiscali e contabili del nostro rapporto, richieste delle autorità | Obbligo di legge (lett. c) |
Non usiamo i tuoi dati per pubblicità, non li vendiamo, non facciamo profilazione e non prendiamo decisioni basate unicamente su un trattamento automatizzato che ti riguardino (art. 22).
5. Sei obbligato a darci i dati?
Email e credenziali servono per accedere: senza, l'account non si può creare. I contatti per avvisi e notifiche sono facoltativi.
6. A chi li comunichiamo
Gli amministratori dell'azienda cliente vedono gli utenti della loro azienda e il registro delle operazioni. I dati li trattano per noi i fornitori elencati sotto, vincolati da un contratto che li obbliga a usarli solo per il servizio. Possiamo comunicarli alle autorità quando la legge lo impone.
| Fornitore | Cosa fa | Dove | Quando |
|---|---|---|---|
| OVHcloud (OVH SAS, Francia) | Infrastruttura cloud: cluster Kubernetes gestito su cui girano il gestionale, il suo database e il canale SdI; archiviazione dei documenti; server per il registro delle immagini software e per la posta elettronica. | Regno Unito (regione di Londra) e Germania | Sempre |
| Amazon Web Services EMEA SARL (Lussemburgo) | Invio delle email del servizio di accesso (verifica dell'indirizzo, recupero della password) con Amazon SES. | Regno Unito (regione eu-west-2, Londra) | Sempre, per gli utenti |
| Telegram | Recapito degli avvisi dell'azienda (titolo e testo dell'avviso) con il bot condiviso del gestionale. | Fuori dallo Spazio economico europeo | Solo se il Cliente attiva un canale di avviso Telegram |
| Google Ireland Limited (Firebase Cloud Messaging) e Apple Distribution International Ltd. (Apple Push Notification service) | Recapito delle notifiche dell'app mobile sul dispositivo dell'utente (identificativo del dispositivo e testo della notifica). | Unione europea e Stati Uniti | Solo se un utente attiva le notifiche dell'app |
7. Trasferimenti fuori dall'Unione europea
Il gestionale e il suo database sono ospitati nel Regno Unito, paese per cui la Commissione europea ha adottato una decisione di adeguatezza (art. 45 del Regolamento). I trasferimenti verso fornitori di altri paesi, che avvengono solo per le funzioni facoltative indicate nella tabella, si basano su una decisione di adeguatezza (per gli Stati Uniti, quella sul quadro UE-USA per la protezione dei dati, per i fornitori certificati) o sulle clausole contrattuali tipo approvate dalla Commissione (art. 46). Puoi chiederci copia delle garanzie alla PEC indicata sopra.
8. Per quanto tempo li conserviamo
- Dati dell'account: finché l'account è attivo; dopo la disattivazione, il tempo necessario a chiudere il rapporto con l'azienda cliente.
- Registro delle operazioni e accettazioni dei testi legali: per la durata del contratto con l'azienda cliente e per i dieci anni successivi, il termine di prescrizione ordinaria (art. 2946 c.c.).
- Dati tecnici di accesso e di sessione: fino a 12 mesi, salvo che servano per accertare un incidente di sicurezza.
- Dati di fatturazione del contratto: dieci anni, come impone l'art. 2220 c.c.
9. I tuoi diritti
Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, e opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 del Regolamento), scrivendo alla PEC spicysparks@pec.it. Rispondiamo entro un mese.
Se ritieni che il trattamento violi il Regolamento puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77), www.garanteprivacy.it.
11. Modifiche a questa informativa
Se l'informativa cambia pubblichiamo la nuova versione con la sua data e la mostriamo nella dashboard.