Accordo sul trattamento dei dati

1. Le parti

Questo accordo vale tra te, l’attività che usa Flow (titolare del trattamento), e Dairectory (ragione sociale, sede e partita IVA da completare), responsabile del trattamento. Fa parte dei termini di servizio e vale per tutto il tempo in cui usi Flow.

2. Cosa trattiamo e perché

• Finalità: farti funzionare Flow (raccolta delle registrazioni, archivio, calendario, pagamenti, avvisi e promemoria delle scadenze). Nient’altro: non usiamo i dati dei tuoi clienti per noi, non li vendiamo e non li usiamo per addestrare modelli.
• Persone: i tuoi clienti e chi compila i tuoi link.
• Dati: quelli che scegli di chiedere nei tuoi form. Di solito anagrafica, contatti, codice fiscale, foto del documento d’identità e firme; se lo chiedi, il certificato medico, che è un dato relativo alla salute (articolo 9 del GDPR).
• Durata: finché usi Flow, poi come scritto al punto 9.

3. Solo su tue istruzioni

Trattiamo i dati solo per fare quello che chiedi usando Flow (le tue impostazioni, i tuoi form, le tue azioni nel pannello). Se una tua istruzione ci sembra contraria alla legge, te lo diciamo. Se una legge ci obbligasse a trattare i dati in altro modo, ti avvisiamo prima, quando ci è permesso.

4. Misure di sicurezza

• Database e file in Italia (Milano). Nessun browser può leggere il database direttamente: tutto passa dal nostro server, che controlla l’account a ogni richiesta e mostra a ogni attività solo i suoi dati.
• Foto dei documenti e file cifrati (AES-GCM) prima di essere salvati; tutte le connessioni sono cifrate (HTTPS).
• Password mai salvate in chiaro (Firebase Authentication); sessioni con scadenza; limiti ai tentativi di accesso e agli invii, controllo anti-robot sui moduli.
• Moduli firmati con l’impronta SHA-256 del documento, per riconoscere qualsiasi modifica.
• Copia di sicurezza del database ogni notte, conservata 14 giorni; database protetto dalla cancellazione accidentale; file cancellati recuperabili per 7 giorni.
• La lettura automatica dei documenti avviene nell’Unione Europea (Vertex AI) e la foto non è usata da Google per addestrare i modelli.

5. Chi può vedere i dati

Nel pannello i dati li vedi solo tu, con il tuo account. Da parte nostra vi accedono solo le persone del team che ne hanno bisogno per l’assistenza o per risolvere un guasto, impegnate alla riservatezza, e solo quando serve.

6. Altri fornitori (sub-responsabili)

Per far funzionare Flow ci appoggiamo a questi fornitori, con contratti che li obbligano alle stesse garanzie. Accettando questo accordo li autorizzi; se ne aggiungiamo o cambiamo uno ti avvisiamo prima e puoi opporti disdicendo.

7. Diritti dei tuoi clienti

Se un tuo cliente chiede di vedere, correggere o cancellare i suoi dati, lo fai direttamente da Flow: dalla sua cartella puoi modificare tutto, scaricare i suoi documenti e cancellarlo. Se un cliente scrive a noi, giriamo la richiesta a te senza rispondere al posto tuo.

8. Violazioni dei dati

Se scopriamo una violazione che riguarda i dati dei tuoi clienti, ti avvisiamo senza ritardo e comunque entro 48 ore, con quello che sappiamo: cosa è successo, quali dati, cosa stiamo facendo. Così puoi fare, se serve, la notifica al Garante entro 72 ore.

9. Alla fine del servizio

Prima di andare via puoi scaricare tutti i dati dal profilo. Quando cancelli l’account, i dati di Flow si cancellano subito e dalle copie di sicurezza spariscono da soli entro 14 giorni.

10. Verifiche

Ti diamo le informazioni che servono a dimostrare che rispettiamo questo accordo. Puoi chiederle scrivendoci; se servono verifiche più approfondite, le concordiamo insieme con un preavviso ragionevole.