Accordo sul trattamento dei dati personali

1. Parti e oggetto

Questo Accordo è parte del contratto fra il Cliente e Artifex Technologies S.r.l.s., con sede legale in Via Generale Francesco Saverio Della Valle 13, 81100 Caserta (CE), codice fiscale e partita IVA 04954390615, REA CE-368872 («Artifex»), regolato dai Termini di Servizio, di cui usa le definizioni. Per i dati personali contenuti nei Dati del Cliente il Cliente è titolare del trattamento e Artifex è responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR»). Il Cliente, accettando questo Accordo nell’onboarding, nomina Artifex responsabile. In materia di protezione dei dati personali questo Accordo prevale sui Termini.

L’Accordo è concluso in forma elettronica (art. 28, par. 9, del GDPR): Artifex invia al titolare dell’account, via email, la versione accettata (art. 2.5 dei Termini) e, se il Cliente lo chiede, la sottoscrive anche con firma digitale. L’Accordo non riguarda i dati di cui Artifex è titolare (art. 16.4 dei Termini), descritti nell’Informativa privacy, né il trattamento che il commercialista invitato dal Cliente svolge per la propria attività professionale, come titolare autonomo (art. 9.3 dei Termini). Per l’assistenza (art. 3.5 dei Termini), comprese le domande all’assistente dell’assistenza e le richieste girate con «Scrivi a Giuseppe», Artifex è titolare dei dati del rapporto di assistenza (chi chiede, quando e che cosa); per i Dati del Cliente eventualmente inseriti nella conversazione, Artifex opera come responsabile ai sensi dell’Accordo.

2. Istruzioni del Cliente

Artifex tratta i dati personali solo per erogare il Servizio, come descritto nell’Allegato A, e secondo le istruzioni documentate del Cliente, anche per i trasferimenti fuori dallo Spazio economico europeo (art. 6). Sono istruzioni:

1. i Termini di Servizio e questo Accordo;
2. le impostazioni e i comandi che gli Utenti danno nel Servizio, per esempio collegare un conto, invitare il commercialista, emettere una fattura, inviare un documento o un sollecito, esportare o eliminare dati;
3. le istruzioni scritte che il Cliente invia a privacy@contifex.com.

Le istruzioni scritte riguardano il trattamento dei Dati del Cliente nel Servizio; se chiedono attività che il Servizio non prevede, le parti ne concordano per iscritto modi, tempi ed eventuali costi. Se ritiene che un’istruzione violi il GDPR o altre norme sulla protezione dei dati, Artifex ne informa subito il Cliente e può sospenderne l’esecuzione finché il Cliente non la conferma o la modifica. Se il diritto dell’Unione o quello italiano impone ad Artifex un trattamento, Artifex lo comunica al Cliente prima di procedere, salvo che quel diritto lo vieti per rilevanti motivi di interesse pubblico.

Artifex non tratta i Dati del Cliente per finalità proprie. In particolare non li vende, non li usa per pubblicità né per addestrare modelli di intelligenza artificiale, non li usa per provare o sviluppare funzioni nuove senza un’istruzione scritta del Cliente, e non ne ricava statistiche, medie o confronti fra aziende diverse, né da mostrare ad altri clienti né da usare per sé. Un uso di questo tipo potrebbe iniziare solo con una modifica di questo Accordo accettata dal Cliente (art. 14), che gli lasci la scelta di escludere i propri dati.

Le analisi delle controparti che il Servizio calcola, come la puntualità dei pagamenti (che di regola decide tempi e tono dei solleciti automatici, se il Cliente non fissa lui i giorni o il profilo di un debitore) o la frequenza e il valore degli acquisti, sono fatte per conto del Cliente, restano nel suo spazio e Artifex non le usa per fini propri. Possono costituire profilazione (art. 4, n. 4, del GDPR): il Cliente ne valuta la base giuridica e se serva una valutazione d’impatto, con l’assistenza dell’art. 7.

Fanno parte dell’erogazione del Servizio, e quindi del trattamento per conto del Cliente, anche le attività che lo tengono sicuro e funzionante: le misure di sicurezza (art. 4), la soluzione dei malfunzionamenti e la misura, banca per banca e sull’insieme dei clienti, di quanta parte dei movimenti il Servizio riesce a leggere, che serve solo a correggere le regole di lettura (art. 3): mostra solo dati riuniti per banca, con le cifre mascherate e senza il nome dell’azienda, e non serve a esaminare i movimenti di una singola azienda. Per i dati degli account, del contratto, della fatturazione del canone, della sicurezza degli accessi e del sito Artifex è invece titolare (art. 16.4 dei Termini).

3. Persone autorizzate e riservatezza

Artifex autorizza al trattamento solo le persone che ne hanno bisogno per erogare il Servizio o prestare assistenza, le istruisce e le vincola alla riservatezza, anche dopo la fine del loro rapporto con Artifex. Il personale di Artifex accede ai Dati del Cliente solo quando serve per l’abilitazione, per l’assistenza richiesta dal Cliente, per risolvere un malfunzionamento, per la sicurezza o per un obbligo di legge, e solo ai dati che servono a quello scopo.

Dal pannello di amministrazione, riservato a una sola persona di Artifex, si possono: vedere i dati che il Cliente ha inviato con l’onboarding, gli Utenti e i conti collegati (banca, IBAN, stato del collegamento), non i movimenti né le fatture; vedere, per ciascuna banca e sull’insieme dei clienti, quanta parte dei movimenti degli ultimi 30 giorni il Servizio riesce a leggere, con le prime parole delle descrizioni non lette e le cifre mascherate, senza il nome dell’azienda; abilitare l’azienda o rimandarla al Cliente; gestire gli account degli Utenti (impostare una nuova password, generare un collegamento di accesso, togliere l’app di autenticazione a chi l’ha persa, dopo averne verificato l’identità, confermarne l’email o correggerne il profilo, bloccare, spostare, aggiungere a un’azienda o toglierne, creare o eliminare un Utente, cambiarne il ruolo); revocare i collegamenti bancari; eliminare l’azienda. Queste operazioni sono registrate; le semplici consultazioni no.

4. Sicurezza

Artifex adotta le misure tecniche e organizzative dell’Allegato B, adeguate al rischio ai sensi dell’art. 32 del GDPR. Può aggiornarle, senza ridurre il livello di protezione complessivo, e aggiorna di conseguenza l’Allegato B. Il Cliente cura la parte di sicurezza che dipende da lui: sceglie chi invitare e con quale ruolo, toglie l’accesso a chi non ne ha più bisogno e fa custodire agli Utenti password e app di autenticazione (art. 9.2 dei Termini).

5. Sub-responsabili

1. Il Cliente autorizza in via generale Artifex (art. 28, par. 2, del GDPR) ad avvalersi dei sub-responsabili dell’Allegato C, per le attività e nei luoghi lì indicati.
2. Almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile, Artifex lo comunica via email al titolare dell’account, indicando chi è, che cosa fa, dove tratta i dati e con quale garanzia per i trasferimenti, e aggiorna l’Allegato C. Il Cliente può opporsi per motivi legati alla protezione dei dati entro 15 giorni, come previsto dall’art. 16.5 dei Termini. Se non si trova una soluzione, il Cliente può recedere senza costi, con il rimborso previsto dall’art. 11.3 dei Termini.
3. Se una sostituzione è urgente (per la sicurezza o per la cessazione improvvisa di un fornitore), Artifex può procedere con un preavviso più breve, comunque prima che il nuovo sub-responsabile tratti i Dati del Cliente, indicando il motivo dell’urgenza; restano il diritto di opposizione e di recesso.
4. Artifex stipula con ogni sub-responsabile un contratto scritto che gli impone, nella sostanza, gli stessi obblighi di protezione dei dati di questo Accordo, in particolare garanzie sufficienti sulle misure tecniche e organizzative (art. 28, par. 4, del GDPR), e resta pienamente responsabile verso il Cliente del loro adempimento. Su richiesta, Artifex indica dove ciascun fornitore pubblica l’elenco dei propri sub-responsabili e fornisce al Cliente le parti del contratto che riguardano la protezione dei dati, salve le informazioni riservate del fornitore.

6. Trasferimenti fuori dallo Spazio economico europeo

Artifex trasferisce dati personali fuori dallo Spazio economico europeo, o li fa trasferire dai propri sub-responsabili, solo nei casi indicati nell’Allegato C, che il Cliente con questo Accordo autorizza, e solo con una delle garanzie del capo V del GDPR:

• una decisione di adeguatezza della Commissione europea (art. 45), compresa la Decisione di esecuzione (UE) 2023/1795 sul Data Privacy Framework UE-USA, per le società certificate, e la Decisione di esecuzione (UE) 2021/1772 per il Regno Unito;
• le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/914 (art. 46, par. 2, lett. c): quando è Artifex, come responsabile, a trasferire i dati a un sub-responsabile, il modulo 3 (da responsabile a responsabile); quando il trasferimento lo fa un sub-responsabile stabilito nell’Unione verso i propri fornitori, le clausole che quel sub-responsabile stipula con loro.

Se una garanzia viene meno, per esempio perché una decisione di adeguatezza è annullata, Artifex lo comunica al Cliente senza ritardo e adotta un’altra garanzia o smette di affidare i dati a quel fornitore, sostituendolo con le regole dell’art. 5. L’Allegato C indica la garanzia per ciascun fornitore; il Cliente può chiederne copia, con le informazioni di cui Artifex dispone per valutare i trasferimenti, a privacy@contifex.com.

7. Assistenza al Cliente

Tenuto conto della natura del trattamento e delle informazioni di cui dispone, Artifex assiste il Cliente:

• nel rispondere alle richieste degli interessati (artt. 15-22 del GDPR): il Servizio consente di consultare, correggere, esportare ed eliminare i dati (i movimenti collegati a fatture li elimina Artifex, su richiesta del Cliente); Artifex inoltra al Cliente senza ritardo, e senza rispondere di propria iniziativa, le richieste che riceve direttamente;
• nella sicurezza del trattamento, nella gestione delle violazioni e nella comunicazione agli interessati (artt. 32-34 del GDPR; art. 8 di questo Accordo);
• nella valutazione d’impatto e nell’eventuale consultazione preventiva dell’autorità di controllo (artt. 35-36 del GDPR), fornendo le informazioni sul Servizio, sui flussi di dati e sulle misure di sicurezza.

Questa assistenza non ha costi aggiuntivi quando consiste nelle funzioni del Servizio e nelle informazioni di cui Artifex dispone; un’assistenza che richieda attività ulteriori si concorda per iscritto.

8. Violazioni dei dati personali

Artifex informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione che riguardi i Dati del Cliente, anche quando avviene presso un sub-responsabile, via email al titolare dell’account e alla PEC del Cliente. Comunica ciò che sa, anche a fasi se non dispone subito di tutte le informazioni: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni, le conseguenze probabili, le misure adottate o proposte per porvi rimedio e attenuarne gli effetti, e un contatto per le informazioni.

Artifex adotta subito le misure di contenimento che dipendono da lei, documenta la violazione e fornisce al Cliente gli elementi che gli servono per la notifica al Garante entro 72 ore (art. 33 del GDPR) e per l’eventuale comunicazione agli interessati (art. 34). Notifiche e comunicazioni spettano al Cliente: Artifex non le fa al suo posto, salvo sua istruzione scritta.

9. Informazioni e verifiche

Artifex mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo Accordo e dell’art. 28 del GDPR, e risponde per iscritto alle sue domande, di regola entro 30 giorni. Se le informazioni non bastano, Artifex consente verifiche, comprese le ispezioni, svolte dal Cliente o da un revisore incaricato da lui, vincolato alla riservatezza e non concorrente di Artifex, con un preavviso di almeno 30 giorni, nei giorni e negli orari lavorativi, al massimo una volta l’anno; con un preavviso più breve e anche più spesso se c’è stata una violazione dei dati o lo chiede un’autorità di controllo. Le verifiche non danno accesso ai dati degli altri clienti né alle misure la cui conoscenza ridurrebbe la sicurezza del Servizio. Ciascuna parte sostiene i propri costi; Artifex non chiede compensi per le informazioni e la collaborazione dovute. Per i sub-responsabili che offrono condizioni standard, le verifiche si svolgono sulle certificazioni e sui rapporti che mettono a disposizione; per gli altri Artifex esercita i propri diritti di verifica e, su richiesta, ne riferisce al Cliente.

10. Durata, restituzione e cancellazione

Questo Accordo si applica finché Artifex tratta Dati del Cliente, compresi i periodi di sola lettura e la cancellazione. Alla fine del rapporto il Cliente sceglie se farsi restituire i dati oppure chiederne la cancellazione immediata. Li recupera con le esportazioni o con l’esportazione completa (art. 15.1 dei Termini) durante la sola lettura prevista dai Termini: 3 mesi dalla cessazione del contratto (art. 15.3), 3 mesi prima della risoluzione per mancato pagamento (art. 10.6), 30 giorni dalla fine della prova senza abbonamento (art. 4.2). Se chiede l’esportazione completa durante la sola lettura, Artifex non cancella i dati prima di averla consegnata.

Finita la sola lettura, e dopo l’avviso di almeno 7 giorni previsto dai Termini, oppure entro 30 giorni dalla richiesta di cancellazione immediata, Artifex cancella i Dati del Cliente dal database e dai file del Servizio. Inoltre chiede all’intermediario delle fatture di chiudere la registrazione del Cliente, eliminandone i documenti, salvo che la stessa registrazione serva al Cliente per un altro servizio che Artifex gli presta; se il Cliente ha attivato lo scarico dal cassetto fiscale, quando Artifex lo rende disponibile (art. 6.8 dei Termini), chiede anche all’intermediario del cassetto fiscale di interrompere lo scarico e cancellare i dati del Cliente. Presso gli altri sub-responsabili i dati si cancellano nei tempi dei loro contratti (per esempio, fino a 30 giorni presso il fornitore di intelligenza artificiale, e i registri delle email inviate e ricevute presso il fornitore di posta). Le copie di sicurezza del database si sovrascrivono entro 7 giorni dalla cancellazione.

Restano fuori i dati di cui Artifex è titolare (art. 15.4 dei Termini), comprese le richieste di assistenza con i dati che il Cliente vi ha scritto, e quelli che una norma dell’Unione o italiana impone ad Artifex di conservare. Su richiesta Artifex conferma per iscritto l’avvenuta cancellazione.

11. Obblighi del Cliente

Il Cliente garantisce di trattare i dati in modo lecito, di avere una base giuridica per affidarli ad Artifex e di informare gli interessati (artt. 13 e 14 del GDPR), comprese le controparti dei movimenti e delle fatture, i propri dipendenti e collaboratori, i destinatari dei documenti e dei solleciti inviati dal Servizio e, quando Artifex rende disponibile la ricezione per email, i mittenti delle email che arrivano al suo indirizzo di ricezione. Non carica nel Servizio dati che non servono ai suoi scopi. Se nei movimenti, nelle fatture, nelle distinte o nei documenti compaiono dati appartenenti a categorie particolari (art. 9 del GDPR) o relativi a condanne penali e reati (art. 10 del GDPR), il Cliente valuta la base giuridica del loro trattamento e se serva una valutazione d’impatto, con l’assistenza dell’art. 7.

12. Responsabilità

Fra le parti si applicano i limiti di responsabilità dei Termini (art. 13), che il Cliente approva specificamente con i Termini, anche per l’azione di regresso dell’art. 82, par. 5, del GDPR, salvi i casi dell’art. 13.7 dei Termini. I limiti non riducono i diritti degli interessati verso ciascuna delle parti (art. 82, par. 4, del GDPR).

13. Registro e rapporti con le autorità

Artifex tiene il registro delle attività di trattamento svolte per conto dei propri clienti (art. 30, par. 2, del GDPR) e collabora con l’autorità di controllo (art. 31). Se un’autorità di controllo, un’autorità giudiziaria o un’altra autorità pubblica le chiede informazioni o l’accesso ai Dati del Cliente, Artifex lo comunica al Cliente prima di rispondere, salvo che la legge lo vieti, e fornisce solo i dati strettamente richiesti.

14. Modifiche

Le modifiche di questo Accordo seguono l’art. 18 dei Termini: Artifex le comunica via email al titolare dell’account e nel Servizio almeno 30 giorni prima, e si applicano solo se il Cliente le accetta, salvo quelle imposte dalla legge o da un’autorità. Fanno eccezione l’aggiornamento delle misure dell’Allegato B, che segue l’art. 4, e i cambi di sub-responsabili nell’Allegato C, che seguono l’art. 5.

Allegato A — Descrizione del trattamento

Categorie di interessati

• controparti del Cliente: clienti, fornitori, debitori e creditori, comprese persone fisiche, ditte individuali e professionisti, e i loro referenti;
• dipendenti, collaboratori e soci del Cliente, quando compaiono in movimenti, fatture, documenti o distinte di pagamento, compresi gli elenchi degli stipendi;
• persone indicate nelle fatture, nei documenti di trasporto e nei documenti caricati o ricevuti per email, come chi rilascia una ricevuta o una prestazione occasionale;
• mittenti delle email che arrivano all’indirizzo di ricezione del Cliente, quando Artifex rende disponibile la ricezione per email;
• destinatari di fatture, documenti di trasporto, preventivi e solleciti di pagamento inviati per conto del Cliente;
• Utenti del Servizio, per i contenuti che inseriscono.

Categorie di dati

• dati bancari: IBAN, saldi e movimenti (data, importo, descrizione e causale, riferimenti, nome e IBAN della controparte);
• dati delle fatture elettroniche: il file XML completo (denominazione, partita IVA, codice fiscale, indirizzo, PEC e codice destinatario delle parti, righe, importi, dati di pagamento);
• documenti in PDF che non sono fatture elettroniche (fatture di fornitori esteri, scontrini, ricevute, prestazioni occasionali), caricati dagli Utenti o, quando Artifex rende disponibile la ricezione per email, arrivati all’indirizzo email di ricezione del Cliente, con mittente e oggetto delle email che li portano; il testo dell’email si legge solo per cercare il link al documento e non si conserva;
• anagrafiche delle controparti (nome, partita IVA, codice fiscale, indirizzo, email, PEC, codice destinatario, telefono, IBAN, nome del referente, note) e dati camerali ottenuti dalla partita IVA o dal codice fiscale;
• indicatori calcolati su ciascuna controparte: puntualità dei pagamenti, frequenza e valore degli acquisti;
• categorie, note, scadenze, previsioni, budget, movimenti di cassa in contanti, preventivi, documenti caricati (per esempio F24, deleghe, scontrini e ricevute fotografati come giustificativi dei movimenti), documenti di trasporto e prodotti, dati per il calcolo delle imposte, domande del commercialista sui movimenti e risposte, chiusure mensili, fascicoli e bilancio;
• distinte di pagamento: per ogni bonifico beneficiario, IBAN, importo e causale, compresi gli elenchi di stipendi che il Cliente carica, e il file CBI generato;
• email inviate per conto del Cliente (solleciti; fatture, documenti di trasporto e preventivi in PDF ai suoi clienti; al commercialista, avvisi della chiusura del mese e della prima nota con il link al Portale Studio, avvisi delle fatture ricevute, se il Cliente li sceglie e lo studio li accetta, e riepiloghi), con lo storico degli invii: destinatario, oggetto, esito, data e Utente che ha inviato;
• domande poste all’assistente e relative risposte, e il registro delle operazioni che l’assistente esegue.

Dati appartenenti a categorie particolari

Non sono richiesti né ricercati. Possono comparire incidentalmente nelle causali dei movimenti, nelle fatture, nelle distinte o nei documenti in PDF (per esempio spese sanitarie, lo scontrino di una farmacia, quote associative o sindacali, contributi a partiti o a enti religiosi). Garanzie: nessun uso per finalità diverse dal Servizio; accessi limitati alle persone autorizzate; le distinte degli stipendi non sono visibili al commercialista (art. 9.3 dei Termini); invio al fornitore di intelligenza artificiale dei soli dati necessari alla singola richiesta (per la classificazione: importo, data, descrizione e controparte del movimento, con alcuni esempi già classificati della stessa azienda, le categorie già date alla stessa controparte e il documento abbinato; per l’assistente: i dati che legge per rispondere all’Utente; per la lettura di un PDF: il documento, che l’Utente carica o inoltra), senza addestramento e con conservazione presso il fornitore di al massimo 30 giorni; cancellazione a fine rapporto.

Dati relativi a condanne penali e reati

Non sono richiesti né ricercati. Possono comparire incidentalmente, per esempio nella causale di un pagamento legato a un procedimento penale o a una sanzione, nelle note o in un documento caricato. Valgono le stesse garanzie dei dati appartenenti a categorie particolari; il loro trattamento da parte del Cliente deve rispettare l’art. 10 del GDPR e l’art. 2-octies del Codice in materia di protezione dei dati personali (d.lgs. 196/2003).

Natura e finalità del trattamento

Raccolta tramite Yapily Connect, tramite l’intermediario del Sistema di Interscambio, tramite l’intermediario che scarica il cassetto fiscale (quando Artifex rende disponibile la funzione e il Cliente la attiva) e tramite l’indirizzo email di ricezione dei documenti (quando Artifex lo rende disponibile); lettura delle descrizioni dei movimenti con regole fisse, per riconoscere controparte e tipo di operazione, e misura aggregata, banca per banca, di quanta parte dei movimenti si riesce a leggere; lettura dei documenti in PDF con intelligenza artificiale, con conferma dell’Utente; conservazione, consultazione, organizzazione e classificazione (anche con intelligenza artificiale); calcolo di scadenze, previsioni e indicatori di pagamento e di acquisto delle controparti; abbinamento di pagamenti e fatture; verifica formale e trasmissione al Sistema di Interscambio, tramite l’intermediario, delle fatture emesse nel Servizio; preparazione dei file di bonifico (CBI) che il Cliente carica nella propria banca; esportazione; invio di email per conto del Cliente: fatture, documenti di trasporto e preventivi ai suoi clienti, solleciti ai debitori (anche automatici, quando sono disponibili e il Cliente li attiva), avvisi con il link al Portale Studio per la chiusura del mese, la prima nota e, se il Cliente lo sceglie e lo studio lo accetta, le fatture ricevute dal Sistema di Interscambio, e riepilogo settimanale delle classificazioni, al commercialista indicato dal Cliente; assistenza; sicurezza; cancellazione. Il trattamento è continuativo per la durata del rapporto. Finalità: erogare il Servizio al Cliente, compresa la sua sicurezza e la sua manutenzione.

Durata e luogo

Per la durata del contratto e dei periodi di sola lettura e di cancellazione che lo seguono (art. 10). Database e funzioni applicative nell’Unione europea (Francoforte); il controllo della sessione che precede ogni pagina avviene nella rete di Vercel, nel centro dati più vicino a chi si collega; i trasferimenti fuori dallo Spazio economico europeo sono quelli dell’Allegato C.

Allegato B — Misure tecniche e organizzative

• Localizzazione: database e funzioni applicative a Francoforte (Unione europea); il controllo della sessione a ogni richiesta avviene nella rete di Vercel, nel centro dati più vicino a chi si collega.
• Cifratura: tutte le comunicazioni viaggiano cifrate (HTTPS/TLS, con HSTS); i dati del database sono cifrati a riposo dal fornitore (AES-256); le autorizzazioni di accesso ai conti bancari sono cifrate anche dall’applicazione (AES-256-GCM) e conservate in una tabella che nessun utente può leggere.
• Separazione fra clienti: il controllo degli accessi a livello di riga è attivo su tutte le tabelle del database, e anche i file sono separati per azienda: ogni Utente vede solo i dati delle aziende a cui è stato dato accesso.
• Ruoli: titolare dell’account, amministratore, editor, sola lettura e commercialista hanno permessi diversi, applicati sia dall’applicazione sia dal database.
• Accesso degli Utenti: con email e password personali, che il fornitore di autenticazione conserva solo in forma di hash; gli inviti usano link monouso che scadono dopo 24 ore; limiti al numero di tentativi dalla pagina di accesso, oltre a quelli del fornitore di autenticazione. Ogni Utente deve collegare un’app di autenticazione entro 14 giorni (dopo, il Servizio gli mostra solo la pagina per collegarla) e ne inserisce il codice all’accesso; per chi perde il telefono ci sono dieci codici di recupero monouso, che Artifex conserva solo come impronta. Con l’app collegata, senza il codice il database non mostra i dati dell’azienda nemmeno a chi conosce la password. A ogni cambio di password, email, app o codici di recupero l’Utente riceve un avviso via email.
• Accesso di Artifex: il pannello di amministrazione è riservato a una sola persona, riconosciuta dall’indirizzo email e dall’identificativo indicati nella configurazione e dal ruolo nel database; vi accede con password e con il codice di un’app di autenticazione, richiesto sempre. I suoi poteri sono descritti all’art. 3; le operazioni sono registrate in un registro che conserva chi ha fatto che cosa, quando e su quale azienda o Utente; le consultazioni non sono registrate.
• Minimizzazione: il collegamento bancario ordinario importa i movimenti degli ultimi 90 giorni; lo storico più lungo solo su richiesta, con un accesso che si usa una volta e si chiude subito, e la cui chiave non viene mai salvata. Al fornitore di intelligenza artificiale vanno solo i dati della singola richiesta (Allegato A).
• Copie di sicurezza: copie giornaliere del database, conservate 7 giorni nella stessa regione. I file caricati non hanno copie di sicurezza separate.
• Sviluppo: ogni modifica è sottoposta a prove automatiche; le chiavi e i segreti stanno nelle variabili protette del fornitore di hosting, non nel codice.
• Cancellazione: l’eliminazione di un’azienda avviene in un’unica operazione del database, tutta o niente, dopo la revoca dei collegamenti bancari e l’annullamento dell’abbonamento; poi si cancellano i file e gli account degli Utenti; la registrazione presso l’intermediario delle fatture si chiude come previsto all’art. 10.
• Fornitori: scelti fra quelli che offrono un accordo sul trattamento dei dati e garanzie per i trasferimenti (Allegato C).

A oggi non sono attivi un monitoraggio continuo della sicurezza, test di intrusione periodici o certificazioni di terze parti per Artifex; i principali fornitori ne hanno di proprie.

Allegato C — Sub-responsabili

Non è un sub-responsabile Yapily Connect UAB (Lituania), con Yapily Limited (Regno Unito): è un istituto di pagamento autorizzato che presta al Cliente il servizio di informazione sui conti in forza delle proprie condizioni e, per quel servizio, è titolare autonomo del trattamento. Riceve il consenso direttamente dal Cliente, accede ai conti che il Cliente sceglie e trasmette ad Artifex i dati che il Cliente autorizza; da quando li riceve, Artifex li tratta come responsabile secondo questo Accordo.

Gli elenchi dei sub-responsabili dei fornitori sono pubblicati dai fornitori stessi (per OpenAI su platform.openai.com/subprocessors); Artifex indica gli altri su richiesta (art. 5). Non sono sub-responsabili i servizi di notifica dei browser, che recapitano al telefono messaggi cifrati senza poterli leggere, né i servizi pubblici da cui il Servizio scarica dati senza inviarne, come i cambi della Banca centrale europea.