Informativa legale, GDPR e Cookie Policy
Informativa sul trattamento dei dati personali nella piattaforma Gestionale Studio: ruoli GDPR (Titolare e Responsabile), trattamento dati di clienti terzi, sicurezza, conservazione e diritti degli interessati.
INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI
ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR)
STRUTTURA DEL TRATTAMENTO — DUE LIVELLI DISTINTI
La piattaforma Gestionale Studio opera come servizio cloud secondo la struttura a due livelli prevista dal GDPR.
LIVELLO 1 — DATI DEGLI UTENTI DELLA PIATTAFORMA
Titolare del trattamento: il soggetto (studio professionale, azienda, professionista) che amministra l'istanza Gestionale Studio in qualità di operatore principale.
Il fornitore del servizio cloud Gestionale Studio agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, su istruzione e per conto del Titolare, per i soli servizi di hosting, backup cifrato e manutenzione tecnica.
Dati trattati: nome, cognome, email, password (hash bcrypt irreversibile), log di accesso, IP, user agent, timestamp.
Base giuridica: esecuzione del contratto di servizio (art. 6.1.b GDPR).
LIVELLO 2 — DATI DI CLIENTI E TERZE PARTI GESTITI DALL'OPERATORE
L'operatore (lo studio professionale) inserisce nella piattaforma dati personali di propri clienti, fornitori, collaboratori e altri soggetti (persone fisiche o giuridiche) per finalità di gestione professionale: anagrafiche, pratiche, scadenze, documenti, fascicolo clientela.
In questo contesto l'operatore è Titolare autonomo del trattamento. Il fornitore del servizio cloud non accede a tali dati se non per operazioni tecniche strettamente necessarie (backup cifrato, ripristino su esplicita richiesta dell'operatore), esclusivamente secondo le istruzioni documentate nell'accordo di responsabilità esterna ex art. 28 GDPR.
L'operatore che utilizza la piattaforma è tenuto a:
- rendere ai propri clienti e collaboratori una propria informativa privacy ai sensi dell'art. 13 GDPR;
- garantire la base giuridica del trattamento per ogni categoria di dati inserita;
- adottare le misure tecnico-organizzative idonee alla protezione dei dati (pseudonimizzazione, minimizzazione, controllo accessi);
- stipulare con i propri eventuali sub-responsabili i relativi accordi ex art. 28 GDPR;
- non inserire nella piattaforma dati appartenenti a categorie particolari (art. 9 GDPR) se non in presenza di esplicita base giuridica idonea.
DATI TRATTATI E FINALITÀ (utenti registrati sulla piattaforma)
Dati di registrazione: nome, cognome, email, password (hash bcrypt). Finalità: accesso sicuro al servizio. Base giuridica: contratto (art. 6.1.b).
Dati di utilizzo: IP, user agent, timestamp, operazioni effettuate. Finalità: sicurezza informatica e tracciabilità. Base giuridica: legittimo interesse (art. 6.1.f). Conservazione: log di audit append-only, non modificabili.
Dati operativi inseriti: anagrafiche, pratiche, documenti, note. Finalità: erogazione del servizio. Base giuridica: contratto (art. 6.1.b).
CONSERVAZIONE
Account e dati operativi: per tutta la durata del rapporto contrattuale, poi 10 anni per obblighi fiscali e civilistici.
Log di audit: conservati indefinitamente (append-only, non cancellabili). Strumento di sicurezza e prova legale.
Backup cifrati: secondo la policy di retention configurata dall'operatore (default: 30 giorni su storage locale).
SICUREZZA TECNICA
Cifratura TLS 1.3 su tutte le comunicazioni. Password hashing con bcrypt (irreversibile). Cookie di sessione httpOnly, Secure, SameSite=Lax. Isolamento completo dei dati per tenant (azienda). Rate limiting e account lockout automatici. Backup AES-256. Content Security Policy (CSP) attiva.
DIRITTI DEGLI INTERESSATI
Gli utenti registrati possono esercitare i diritti di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione (art. 21) rivolgendosi all'amministratore dell'istanza (il Titolare del trattamento).
I soggetti terzi le cui informazioni sono gestite dall'operatore devono esercitare i propri diritti nei confronti dell'operatore stesso, unico Titolare responsabile per quei trattamenti.
COOKIE POLICY
La piattaforma utilizza esclusivamente cookie tecnici necessari al funzionamento del servizio:
Cookie di sessione (gs_sessione): httpOnly, Secure, SameSite=Lax. Contiene l'identificatore di sessione cifrato lato server. Durata: 8 ore. Non profilante, non condiviso con terze parti.
La piattaforma NON utilizza cookie di profilazione, cookie di terze parti, pixel di tracciamento né sistemi di analytics esterni.