Data Processing Agreement (DPA)

1. Oggetto del Trattamento

Il Responsabile è autorizzato a trattare i Dati Personali caricati dal Titolare sulla piattaforma (es. dati contenuti nelle fatture passive estere, anagrafiche fornitori, importi) esclusivamente per le finalità di erogazione del Servizio: estrazione dati tramite OCR/AI, generazione file XML e trasmissione telematica.

Il Titolare autorizza inoltre il Responsabile a trattare i documenti caricati e i dati estratti al solo scopo di verificare e migliorare l'accuratezza del motore di estrazione (OCR/AI) del Servizio, alle condizioni dell'art. 10 dei Termini di servizio ("Accesso tecnico ai documenti per il miglioramento del Servizio"):

• l'accesso è riservato al personale tecnico del Responsabile espressamente autorizzato e vincolato alla riservatezza, nella misura strettamente necessaria al singolo caso;
• sono esaminati di preferenza i documenti la cui estrazione è risultata errata, incompleta o corretta dal Titolare;
• un documento può essere conservato come caso di prova solo se serve a verificare il funzionamento del motore di estrazione, in un ambiente di sviluppo protetto e ad accesso riservato;
• i dati non sono usati per finalità commerciali, di marketing o di profilazione, non sono comunicati a soggetti diversi dai sub-responsabili dell'art. 3 e non sono usati per addestrare modelli di intelligenza artificiale;
• il Titolare può revocare l'autorizzazione in ogni momento, per tutti o per singoli documenti, scrivendo a support@autofattura.ai; la revoca non limita l'uso del Servizio e comporta la cancellazione delle copie conservate come casi di prova, nei tempi dell'art. 6.

2. Obblighi del Responsabile

Il Responsabile si impegna a:

• Trattare i dati esclusivamente in base alle istruzioni documentate del Titolare, costituite dall'utilizzo delle funzionalità del software e, salvo revoca, dall'autorizzazione al miglioramento tecnico dell'art. 1.
• Garantire che le persone autorizzate al trattamento (dipendenti e collaboratori) si siano impegnate alla riservatezza.
• Adottare tutte le misure di sicurezza richieste dall'art. 32 del GDPR (crittografia, controllo accessi, ecc.).
• Assistere il Titolare nell'evasione delle richieste di esercizio dei diritti degli interessati (es. accesso, cancellazione).
• Cancellare o restituire tutti i dati personali al termine della fornitura del servizio, salvo obblighi di legge.

3. Sub-responsabili (Sub-processors)

Il Titolare autorizza il Responsabile ad avvalersi dei seguenti fornitori terzi per l'erogazione e il miglioramento tecnico del servizio. Il Responsabile impone ai sub-responsabili i medesimi obblighi di protezione dei dati previsti nel presente contratto.

(*) Per i trasferimenti verso gli USA si applicano le Clausole Contrattuali Standard della Commissione europea. Ove il fornitore risulti certificato EU-US Data Privacy Framework, la certificazione costituisce un presupposto ulteriore, ma non l'unico fondamento del trasferimento: in caso di sua invalidazione o revoca le Clausole Contrattuali Standard restano lo strumento di trasferimento applicabile.
(**) PostHog è configurato sull'istanza europea.
I dati inviati a OpenAI tramite API non vengono utilizzati per l'addestramento dei suoi modelli, salvo opt-in esplicito che il Responsabile non ha attivato. Il documento caricato viene trasmesso a OpenAI solo per l'estrazione dei dati e non viene memorizzato da OpenAI come stato applicativo; tuttavia OpenAI conserva i log tecnici delle richieste (contenuto della richiesta e della risposta inclusi) per un periodo fino a 30 giorni a fini di monitoraggio degli abusi, ed è tenuta a conservarli più a lungo se imposto dalla legge o necessario a tutelare il servizio o terzi.
L'elenco è aggiornato al 22 ottobre 2026. Il Responsabile comunica al Titolare l'aggiunta o la sostituzione di un sub-responsabile con un preavviso di 30 giorni, scrivendo all'indirizzo email dell'account; il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati.

4. Sicurezza del Trattamento

Il Responsabile implementa misure tecniche e organizzative adeguate, tra cui:

• Crittografia dei dati in transito (TLS 1.2+) e a riposo (AES-256).
• Autenticazione forte e gestione rigorosa degli accessi logici.
• Procedure di backup e disaster recovery per garantire la disponibilità.
• Monitoraggio continuo degli errori e delle anomalie applicative, con notifica al team tecnico.

5. Notifica violazione dati (Data Breach)

In caso di violazione dei dati personali, il Responsabile notificherà il Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni necessarie per consentire al Titolare di adempiere ai propri obblighi di notifica (art. 33 GDPR).

6. Durata e Cancellazione

Il presente DPA ha validità pari alla durata del Servizio. Alla cessazione del contratto, il Titolare può richiedere l'esportazione dei dati. Successivamente, il Responsabile provvederà alla cancellazione sicura dei dati dai propri sistemi entro 60 giorni, salvo obblighi di conservazione previsti dalla legge. Lo stesso termine si applica alle copie conservate come casi di prova ai sensi dell'art. 1, anche quando il Titolare revoca l'autorizzazione durante il rapporto.