Accordo sul trattamento dei dati per gli studi

Questo accordo regola il trattamento dei dati personali dei clienti che uno studio di commercialisti gestisce con FiscoPilota, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR). Lo studio lo accetta online nell'area studio; FiscoPilota registra la data e la versione accettata. Fa parte delle condizioni d'uso e di vendita.

1. Le parti

• Titolare del trattamento: lo studio che accetta l'accordo, con i dati indicati nel suo profilo (nome, studio, partita IVA, indirizzo, PEC).
• Responsabile del trattamento: Angelo Viola, che gestisce FiscoPilota, Via Giosuè Carducci 11, 51018 Pieve a Nievole (PT), email [email protected].

2. Oggetto e finalità

FiscoPilota tratta per conto dello studio i dati dei clienti collegati nell'app, solo per fornire allo studio queste funzioni:

• chat tra studio e cliente e scambio dei documenti;
• adeguata verifica antiriciclaggio del cliente (D.Lgs. 231/2007): raccolta dei dati compilati dal cliente, conferma dello studio, scheda da stampare;
• richieste di documenti e di pagamento degli F24, con le relative scadenze e i promemoria;
• preparazione della lettera d'incarico e registrazione della sua accettazione online;
• visualizzazione del profilo fiscale e delle scadenze del cliente e scadenzario dei clienti dello studio.

Non rientrano in questo accordo i dati che FiscoPilota tratta come titolare autonomo nei confronti dei propri abbonati (account, abbonamento, pagamenti, profilo fiscale compilato dall'abbonato, uso dell'assistente), che sono regolati dall'informativa privacy. Per i pagamenti degli incarichi Stripe agisce come titolare autonomo.

3. Durata

L'accordo vale finché lo studio usa l'area studio e, per ogni cliente, finché il rapporto nell'app è attivo, più il tempo di conservazione indicato al punto 10.

4. Dati e interessati

• Interessati: i clienti dello studio collegati nell'app e, se si tratta di società, i loro legali rappresentanti, soci e titolari effettivi.
• Dati: dati anagrafici e di contatto, codice fiscale, residenza, estremi e copia del documento d'identità, professione, qualifica di persona politicamente esposta, titolari effettivi, scopo del rapporto e origine dei fondi, dati fiscali e contabili, contenuto dei messaggi e dei documenti scambiati, dati della firma elettronica della lettera d'incarico (nome, data, ora, indirizzo IP, impronta del testo).
• Messaggi e documenti possono contenere qualsiasi dato le parti decidano di scambiarsi, anche di categorie particolari (per esempio spese mediche). Lo studio chiede al cliente di caricare solo ciò che serve all'incarico.

5. Obblighi di FiscoPilota

• Tratta i dati solo secondo le istruzioni documentate dello studio: questo accordo e l'uso che lo studio fa delle funzioni dell'app. Se ritiene che un'istruzione violi la normativa, lo comunica subito allo studio.
• Non usa i dati per scopi propri, non li vende e non li comunica a terzi, salvo i sub-responsabili del punto 7 e gli obblighi di legge. I messaggi e i documenti tra studio e cliente non vengono inviati all'assistente né usati per addestrare modelli di intelligenza artificiale.
• Garantisce che chi accede ai dati sia tenuto alla riservatezza. Oggi l'unica persona con accesso tecnico è il gestore, che lo usa solo per assistenza o sicurezza.
• Applica le misure di sicurezza del punto 6 (art. 32 GDPR).
• Aiuta lo studio a rispondere alle richieste dei clienti sui loro diritti (artt. 15-22 GDPR) e negli adempimenti degli artt. 32-36 (sicurezza, violazioni, valutazioni d'impatto), nei limiti delle informazioni di cui dispone.
• Tiene il registro dei trattamenti svolti per conto dei titolari (art. 30, par. 2).

6. Sicurezza

• Tutte le comunicazioni avvengono con connessione cifrata (HTTPS). Database e documenti sono conservati da Cloudflare con cifratura dei dati a riposo.
• Si accede senza password, con link personali che scadono dopo 30 minuti e sessioni legate al dispositivo, che l'utente può chiudere con Esci.
• Ogni rapporto è visibile solo al cliente e allo studio collegati. Lo studio vede profilo, documenti e verifica dei clienti solo dopo aver accettato questo accordo.
• I documenti si scaricano solo tramite l'app, dopo il controllo dell'accesso; i limiti al numero di richieste proteggono da usi automatici.

7. Sub-responsabili

Lo studio autorizza FiscoPilota a usare questi sub-responsabili, vincolati da obblighi di protezione dei dati equivalenti a quelli di questo accordo:

• Cloudflare, Inc. (Stati Uniti, con infrastruttura anche in Europa): hosting del sito, database e archivio dei documenti.
• Resend, Inc. (Stati Uniti): invio delle email di avviso (nuovo messaggio, nuova richiesta, verifica da completare), che non contengono il testo dei messaggi né i documenti.

FiscoPilota comunica allo studio via email, almeno 30 giorni prima, l'aggiunta o la sostituzione di un sub-responsabile. Lo studio può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può recedere dall'abbonamento senza penali.

8. Trasferimenti fuori dall'Unione europea

Quando un sub-responsabile tratta dati negli Stati Uniti, il trasferimento si basa sulla decisione di adeguatezza UE-USA (Data Privacy Framework) per i fornitori certificati o, in mancanza, sulle clausole contrattuali standard della Commissione europea.

9. Violazioni dei dati

Se FiscoPilota viene a conoscenza di una violazione che riguarda i dati dello studio, lo avvisa senza ingiustificato ritardo e comunque entro 48 ore, via email, con le informazioni dell'art. 33, par. 3 GDPR disponibili in quel momento: natura della violazione, dati e interessati coinvolti, conseguenze probabili e misure prese. La notifica al Garante e la comunicazione ai clienti restano compiti dello studio, che FiscoPilota aiuta con le informazioni in suo possesso.

10. Fine del trattamento e cancellazione

• Quando un rapporto si chiude, messaggi, documenti, richieste e adeguata verifica restano consultabili e vengono cancellati entro 12 mesi. Lo studio può chiederne la cancellazione prima scrivendo a [email protected].
• Prima della chiusura lo studio può scaricare i documenti e stampare o salvare in PDF la lettera d'incarico e la scheda dell'adeguata verifica.
• La conservazione per 10 anni dei dati e dei documenti dell'adeguata verifica (art. 31 D.Lgs. 231/2007) e dei documenti dell'incarico è un obbligo dello studio, che la fa nei propri archivi: FiscoPilota non è un sistema di conservazione a norma.

11. Verifiche

FiscoPilota mette a disposizione dello studio le informazioni necessarie a dimostrare il rispetto di questo accordo. Lo studio può chiedere una verifica, anche tramite un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, non più di una volta l'anno salvo violazioni, a proprie spese e senza accesso ai dati di altri studi o abbonati.

12. Obblighi dello studio

• Ha una base giuridica per trattare i dati dei propri clienti e li informa con la propria informativa, indicando FiscoPilota tra i responsabili del trattamento.
• Dà istruzioni lecite e usa le funzioni dell'app solo per gli incarichi professionali.
• Resta responsabile della valutazione del rischio antiriciclaggio, della verifica dei documenti d'identità, delle eventuali segnalazioni di operazioni sospette e della conservazione prevista dalla legge.

13. Responsabilità

Ciascuna parte risponde dei danni causati dalla propria violazione del GDPR o di questo accordo, secondo l'art. 82 del Regolamento.

14. Modifiche

Se l'accordo cambia, la nuova versione viene pubblicata in questa pagina e l'app chiede allo studio di accettarla di nuovo. Finché non la accetta, lo studio non vede i dati dei clienti, ma i clienti continuano a vedere i propri.