Data Processing Agreement (DPA)

1. Definizioni

• Titolare del trattamento (“Controller”): lo studio professionale che ha sottoscritto i Termini di Servizio di Gestio e inserisce dati di propri clienti nella piattaforma.
• Responsabile del trattamento (“Processor”): Gestio, che tratta i dati personali per conto del Titolare nell'ambito del servizio.
• Sub-responsabile (“Sub-processor”): terza parte a cui Gestio delega specifiche operazioni di trattamento.
• Dati personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile, come definita dall'art. 4 GDPR.
• Interessati: le persone fisiche i cui dati sono inseriti nella piattaforma dal Titolare (es. clienti persone fisiche dello studio, dipendenti dei clienti).

2. Oggetto e istruzioni per il trattamento

Gestio tratta i dati personali esclusivamente per finalità connesse all'erogazione del Servizioe secondo le istruzioni documentate del Titolare, che consistono nell'utilizzo delle funzionalità della piattaforma (gestione clienti, fatture, adempimenti, pratiche, collaboratori).

Gestio non utilizza i dati personali del Titolare per scopi propri, né li vende o cede a terzi per finalità commerciali.

3. Categorie di dati trattati e interessati

Nei documenti e nella posta che lo studio archivia su Gestio possono trovarsi categorie particolari di dati ai sensi dell'art. 9 GDPR (per esempio dati sanitari nelle spese mediche o dati sindacali nelle buste paga dei clienti dello studio). Gestio non li estrae né li tratta per finalità proprie: li conserva e li mostra allo studio come qualunque altro documento, con le stesse misure di sicurezza. È il Titolare a decidere cosa caricare e a valutarne l'impatto.

4. Obblighi di Gestio (Responsabile)

Gestio si impegna a:

• Trattare i dati personali solo per le finalità e secondo le istruzioni del Titolare.
• Garantire la riservatezza dei dati, anche mediante accordi di riservatezza con il personale autorizzato.
• Implementare misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (cifratura, controllo accessi, backup, monitoraggio sicurezza).
• Assistere il Titolare nel rispondere alle richieste degli interessati (diritti GDPR), nei limiti di quanto tecnicamente possibile.
• Assistere il Titolare nel rispetto degli obblighi di sicurezza, notifica violazioni, DPIA.
• Cancellare o restituire tutti i dati personali al termine del contratto, secondo le istruzioni del Titolare.
• Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi del presente DPA.

5. Sub-responsabili del trattamento

Il Titolare autorizza Gestio a ricorrere ai seguenti sub-responsabili:

Nessun fornitore di intelligenza artificiale è sub-responsabile di Gestio: Gestio non invia i dati del Titolare a modelli di linguaggio. Se lo studio collega un proprio assistente AI (sezione 5-bis), il fornitore di quell'assistente tratta i dati per conto dello studio, sulla base del contratto tra lo studio e quel fornitore.

Gestio si impegna a informare il Titolare con almeno 30 giorni di preavviso in caso di aggiunta o sostituzione di sub-responsabili. Il Titolare ha il diritto di opporsi.

5-bis. Assistente collegato

Lo studio può collegare a Gestio un assistente AI di propria scelta (per esempio Claude), con un abbonamento aziendale sottoscritto dallo studio. L'attivazione è facoltativa e riservata a un amministratore. In quel caso:

• Gestio resta responsabile del solo canale tecnico (server, registro delle richieste, coda delle proposte);
• l'assistente legge i dati su richiesta della persona collegata, nei limiti del suo ruolo, e le azioni che propone hanno effetto solo dopo conferma dentro Gestio;
• il fornitore dell'assistente tratta i dati letti per conto dello studio, in base al contratto tra i due — non è un sub-responsabile di Gestio.

Dettagli, categorie di dati esposte e limiti sono nell' informativa dedicata all'assistente collegato.

6. Misure di sicurezza (art. 32 GDPR)

Gestio adotta le seguenti misure tecniche e organizzative:

• Cifratura dei dati a riposo e in transito (HTTPS/TLS 1.3).
• Autenticazione con hashing delle password (bcrypt via Supabase Auth).
• Controllo degli accessi basato su ruolo (Row Level Security — RLS) con isolamento multi-tenant per studio.
• Backup automatici periodici dell'infrastruttura.
• Monitoraggio della sicurezza e rilevamento anomalie.
• Accesso ai dati limitato al personale strettamente necessario.

7. Notifica di violazioni dei dati (data breach)

In caso di violazione della sicurezza dei dati personali (art. 33 GDPR), Gestio notifica il Titolare entro 72 ore dalla scoperta della violazione, fornendo le informazioni necessarie per consentire al Titolare di adempiere ai propri obblighi di notifica verso il Garante Privacy e, se necessario, verso gli interessati.

La notifica dovrà essere inviata a: andrea@gestio.studio

8. Diritto di audit

Il Titolare ha il diritto di verificare il rispetto del presente DPA da parte di Gestio. Le richieste di audit devono essere presentate per iscritto a andrea@gestio.studio con almeno 30 giorni di preavviso. Gestio fornirà la documentazione necessaria o, previo accordo, consentirà ispezioni in loco (massimo una volta l'anno, salvo sospetti di violazioni).

9. Durata e cancellazione dati

Il presente DPA ha la stessa durata del contratto di servizio tra il Titolare e Gestio. Alla risoluzione del contratto, Gestio cancella o restituisce tutti i dati personali entro 30 giorni, salvo obblighi di conservazione previsti dalla legge (es. conservazione delle fatture per 10 anni ai sensi del D.P.R. 633/1972).

10. Contatti e riferimento DPA

Per qualsiasi questione relativa al presente DPA, contattare: andrea@gestio.studio

Il Titolare che necessita di una versione firmata del DPA per adempiere ai propri obblighi interni può richiederla al medesimo indirizzo.