Accordo di nomina a responsabile del trattamento

1. Parti e ruoli

Questo accordo è concluso fra l'azienda cliente che accetta le Condizioni del servizio («Titolare») e Spicy Sparks S.R.L., con sede in Via Atene 3, 41049 Sassuolo (MO), Italia, codice fiscale e partita IVA 03905910364, iscritta al Registro delle imprese di Modena (REA MO-427368), capitale sociale 10.000,00 euro, PEC spicysparks@pec.it («Responsabile»), e fa parte del contratto di servizio.

Il Titolare nomina il Responsabile responsabile del trattamento, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («Regolamento»), per i dati personali contenuti nei Dati del Cliente. Se il Titolare usa il servizio a sua volta per conto di altri (per esempio uno studio per i suoi clienti), il Titolare agisce come responsabile e questo accordo nomina Spicy Sparks sub-responsabile, con gli stessi obblighi.

Le parole usate qui hanno il significato dell'art. 4 del Regolamento.

2. Oggetto, natura, finalità e durata

Il Responsabile tratta i dati solo per fornire il servizio descritto nelle Condizioni: emettere, trasmettere e ricevere fatture elettroniche attraverso il proprio canale accreditato al Sistema di Interscambio (SdI); tenere anagrafiche, documenti e scadenze; leggere i movimenti dei conti collegati; riconciliare incassi e pagamenti; preparare dati per gli adempimenti; inviare documenti e avvisi dove il Titolare decide. Il dettaglio è nell'Allegato A.

Il trattamento dura quanto il contratto di servizio, più il periodo di esportazione e cancellazione previsto all'articolo 10.

3. Istruzioni del Titolare

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare, anche per i trasferimenti verso paesi terzi (art. 28, par. 3, lett. a). Sono istruzioni documentate questo accordo, le Condizioni e le scelte che il Titolare e i suoi utenti fanno nel servizio: quali aziende, utenti e collegamenti attivare, quali documenti inviare e a chi, quali regole automatiche accendere.

Il Responsabile informa subito il Titolare se ritiene che un'istruzione violi il Regolamento o altre norme sulla protezione dei dati.

Il Responsabile non usa i dati per finalità proprie: non li vende, non li usa per pubblicità o profilazione, non li usa per addestrare modelli, neppure in forma aggregata o anonimizzata.

4. Il Sistema di Interscambio e la conservazione dell'Agenzia

Le fatture trasmesse e ricevute attraverso il SdI sono trattate anche dall'Agenzia delle Entrate, che agisce come titolare autonomo per i propri compiti istituzionali: non è un sub-responsabile di Spicy Sparks.

Se il Titolare aderisce al servizio gratuito di conservazione delle fatture elettroniche dell'Agenzia delle Entrate, l'Agenzia tratta quei dati come responsabile del Titolare, sulla base dell'accordo che il Titolare sottoscrive con lei (provvedimento del Direttore dell'Agenzia n. 433608 del 24 novembre 2022, punto 7.4). Se il Titolare delega Spicy Sparks al servizio «Fatturazione elettronica e conservazione delle fatture elettroniche», Spicy Sparks opera sul portale solo per le operazioni che il Titolare le chiede.

5. Persone autorizzate

Accedono ai dati solo le persone del Responsabile che ne hanno bisogno per fornire il servizio o assistenza, istruite e vincolate alla riservatezza (art. 28, par. 3, lett. b, e art. 29).

6. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative adeguate al rischio previste dall'art. 32 del Regolamento, descritte nell'Allegato C, e le aggiorna con l'evoluzione della tecnica e dei rischi.

7. Sub-responsabili

Il Titolare dà al Responsabile un'autorizzazione scritta generale a ricorrere ai sub-responsabili elencati nell'Allegato B (art. 28, par. 2). Il Responsabile informa il Titolare, per email e nella dashboard, almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile; nello stesso termine il Titolare può opporsi per motivi legati alla protezione dei dati e, se le parti non trovano una soluzione, recedere senza penali.

Il Responsabile impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati non meno rigorosi di questo accordo, e resta responsabile verso il Titolare del loro adempimento (art. 28, par. 4).

Non sono sub-responsabili del Responsabile i soggetti che il Titolare sceglie e collega da sé con le proprie credenziali (le sue banche e i suoi fornitori di pagamento, le sue caselle di posta, il suo commercialista), né le autorità che ricevono i dati per legge (Agenzia delle Entrate, servizio VIES della Commissione europea).

8. Diritti degli interessati

Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate perché possa rispondere alle richieste degli interessati (art. 28, par. 3, lett. e): il servizio permette di consultare, correggere, esportare e cancellare anagrafiche e documenti. Se un interessato si rivolge al Responsabile, il Responsabile inoltra la richiesta al Titolare senza rispondere nel merito.

9. Violazioni dei dati e altri obblighi del Titolare

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati personali che lo riguardi, con le informazioni dell'art. 33, par. 3, disponibili in quel momento, e lo aggiorna man mano.

Il Responsabile assiste il Titolare negli obblighi degli artt. 32-36 (sicurezza, notifica al Garante, comunicazione agli interessati, valutazione d'impatto, consultazione preventiva), tenendo conto delle informazioni di cui dispone (art. 28, par. 3, lett. f).

10. Fine del trattamento

Alla fine del contratto il Titolare può esportare i suoi dati per 90 giorni. Trascorso questo termine il Responsabile cancella i dati del Titolare, comprese le copie, entro i successivi 30 giorni, salvo che il diritto dell'Unione o dello Stato ne preveda la conservazione (art. 28, par. 3, lett. g), e su richiesta conferma per iscritto la cancellazione.

11. Informazioni e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente le verifiche e ispezioni del Titolare o di un revisore da lui incaricato, vincolato alla riservatezza (art. 28, par. 3, lett. h). Le verifiche si concordano con almeno 30 giorni di preavviso, non più di una volta l'anno salvo dopo una violazione, si svolgono senza compromettere la sicurezza e i dati degli altri clienti e sono a carico del Titolare.

12. Responsabilità e prevalenza

Ciascuna parte risponde dei danni causati agli interessati secondo l'art. 82 del Regolamento. Per i dati personali questo accordo prevale sulle Condizioni del servizio. È regolato dalla legge italiana; il foro è quello indicato nelle Condizioni.

Allegato A — Descrizione del trattamento

Allegato B — Sub-responsabili autorizzati

Per i trattamenti fuori dallo Spazio economico europeo valgono la decisione di adeguatezza della Commissione europea (Regno Unito; Stati Uniti per i fornitori certificati nel quadro UE-USA per la protezione dei dati) o le clausole contrattuali tipo della Commissione (art. 46 del Regolamento).

Allegato C — Misure di sicurezza

• Comunicazioni cifrate (TLS) su tutte le connessioni pubbliche; il canale con il SdI usa i certificati rilasciati dall'Agenzia delle Entrate con autenticazione reciproca.
• Accesso con un servizio di identità dedicato; le password sono conservate solo in forma non reversibile.
• Ruoli e permessi (amministratore, operatore, commercialista, sola lettura) applicati dal server a ogni richiesta, non solo nell'interfaccia.
• Separazione fra aziende: una sessione o una chiave legata a un'azienda non può leggere né scrivere i dati di un'altra, controllato a ogni richiesta e da test automatici.
• Credenziali di terzi (token bancari, password FTP, indirizzi webhook) cifrate nel database e mai restituite dalle api.
• Registro delle operazioni in sola aggiunta: chi ha fatto cosa e quando.
• Nessun pagamento parte senza l'approvazione di una persona per quella specifica operazione.
• Servizi in più repliche, monitoraggio continuo con allarmi su disponibilità del canale e scadenza dei certificati.
• Accesso del personale ai sistemi di produzione limitato a chi ne ha bisogno, con credenziali personali.