Informativa sulla privacy

1. Titolare del trattamento

ProjectXY
Leipziger str. 22
04109 Leipzig
info@Projectxy.de

2. Quali dati trattiamo

Account: Indirizzo e-mail, nome, password (salvata solo come hash), lingua preferita, momento della registrazione e degli accessi, facoltativamente il segreto dell’autenticazione a due fattori.

Dati aziendali: Dati aziendali, codici fiscali, coordinate bancarie, logo, dati di clienti e fornitori, documenti, pagamenti, file caricati. Questi dati li inserisci tu come utente; vengono trattati esclusivamente per fornire l’applicazione.

Registri: Per sicurezza e tracciabilità registriamo gli accessi (anche quelli falliti) con l’indirizzo IP, oltre alle modifiche rilevanti (ad esempio la finalizzazione di una fattura o le eliminazioni) con utente e momento. I tentativi di accesso falliti vengono cancellati dopo 15 minuti.

Log del server: A ogni richiesta il server web del nostro provider di hosting registra in un log di accesso l’indirizzo IP, l’ora, l’indirizzo richiesto e l’identificativo del browser. Ciò serve al funzionamento, alla ricerca di errori e alla difesa da attacchi (art. 6 par. 1 lett. f GDPR); i dati non vengono uniti ad altri dati. Il provider di hosting cancella questi log dopo [PLATZHALTER – Periodo di conservazione dei log del server presso il provider di hosting (ad es. «7 giorni»)].

Indirizzi non trovati: Per individuare i collegamenti errati registriamo l’indirizzo richiesto, la pagina di provenienza, il numero di richieste e l’ora – senza indirizzo IP e senza alcun identificativo del visitatore. Le voci vengono eliminate dopo 90 giorni.

E-mail: I documenti e i messaggi di sistema che invii vengono registrati nella posta in uscita con destinatario, oggetto e testo.

Modulo di contatto: Nome, indirizzo e-mail, messaggio e indirizzo IP per rispondere alla richiesta. All'indirizzo indicato inviamo una conferma automatica di ricezione, senza il testo del suo messaggio; per prevenire abusi contiamo queste conferme per indirizzo per un giorno, senza memorizzare l'indirizzo stesso.

Newsletter ed e-mail promozionali: Se ti iscrivi alla newsletter (sito, modulo di contatto o generatore di fatture), memorizziamo il tuo indirizzo e-mail, eventualmente nome e azienda, la lingua e, come prova del consenso, il momento, il tuo indirizzo IP e il testo del consenso. Ricevi la newsletter solo dopo aver cliccato il link nella nostra e-mail di conferma (double opt-in); senza conferma cancelliamo i dati dopo 30 giorni. Ai clienti inviamo occasionalmente informazioni su servizi propri simili, finché non si oppongono (§ 7, comma 3 UWG) – disattivabile nel profilo e tramite il link in ogni e-mail promozionale. Contiamo i clic sui link di un’e-mail promozionale tramite un nostro reindirizzamento per destinatario, per capire quali contenuti interessano; non ci sono pixel di tracciamento né misurazioni dell’apertura. Chi si disiscrive viene inserito con il proprio indirizzo in una lista di blocco, così da non ricevere più promozioni.

Generatore di fatture gratuito: Usiamo i dati del modulo solo per generare il PDF: i tuoi dati per evadere la tua richiesta (art. 6, par. 1, lett. b GDPR), quelli del tuo cliente sulla base del legittimo interesse a creare la fattura richiesta (art. 6, par. 1, lett. f GDPR). Il titolare del trattamento siamo noi; per il generatore di fatture gratuito non esiste un contratto di trattamento dei dati. I dati non vengono salvati e sono eliminati dopo la consegna del file. Per limitare l’uso gratuito a cinque fatture al giorno registriamo il tuo indirizzo IP e l’orario di ogni fattura creata (art. 6, par. 1, lett. f GDPR) e li cancelliamo entrambi al più tardi dopo 30 giorni.

3. Finalità e basi giuridiche

Erogazione della prestazione concordata contrattualmente (art. 6 par. 1 lett. b GDPR), sicurezza del sistema e prevenzione degli abusi (art. 6 par. 1 lett. f GDPR), adempimento degli obblighi legali di conservazione (art. 6 par. 1 lett. c GDPR). Nella misura in cui tratti dati dei tuoi clienti e fornitori, sei tu il titolare; noi agiamo come responsabili del trattamento sulla base del contratto di trattamento dei dati.

4. Cookie, memoria del browser e statistiche

Ciò che serve per l’accesso, la sicurezza e le tue impostazioni viene salvato senza consenso (§ 25 comma 2 n. 2 TDDDG). Le statistiche dei visitatori sono attive solo se acconsenti (art. 6 par. 1 lett. a GDPR). Puoi revocare il consenso in qualsiasi momento con effetto per il futuro (art. 7 par. 3 GDPR) – qui, con la stessa facilità con cui lo hai dato. Non c’è alcun tracciamento, nessun cookie pubblicitario e nessuna integrazione di script o font di terzi.

Statistiche dei visitatori: Dall’indirizzo IP, dall’identificativo del browser e da un valore casuale che cambia ogni giorno ricaviamo un codice che non può essere ricondotto all’origine. L’indirizzo IP stesso non viene memorizzato a questo scopo e dal giorno successivo nessuna visita può più essere collegata a una precedente. I dati li vede solo il gestore, in forma aggregata; non vengono trasmessi a terzi.

Prova della tua scelta: Ogni scelta viene salvata con l’identificativo casuale del cookie e l’orario – senza indirizzo IP e senza collegamento al tuo account. Cancelliamo queste voci dopo tre anni.

5. Destinatari e responsabili del trattamento

Hosting: ProjectXY. Il provider di hosting gestisce i server con l’applicazione e il database e tiene i log del server (sezione 2). Agisce come responsabile del trattamento sulla base di un contratto di trattamento dei dati.

Invio e-mail: I messaggi di sistema e i documenti che invia partono tramite il server e-mail configurato dal gestore – o tramite il suo, se lo inserisce nelle impostazioni. I sub-responsabili per hosting e invio e-mail, con sede, sono indicati nel contratto di trattamento dei dati.

Servizio di pagamento: Solo se paga online una fattura del gestore: il link di pagamento porta alla pagina di pagamento di Mollie B.V., Amsterdam (Paesi Bassi). Trasmettiamo importo, valuta, numero di fattura e l’indirizzo a cui torna dopo il pagamento. Ciò che inserisce sulla pagina di pagamento è trattato da Mollie come titolare autonomo secondo la propria informativa; senza pagamento online Mollie non riceve nulla.

Recupero dei dati del conto: Solo se colleghi un conto bancario nella riconciliazione bancaria: l’accesso alla tua banca avviene nel modulo di finAPI GmbH, Monaco di Baviera (Germania), servizio di informazione sui conti autorizzato da BaFin; le tue credenziali bancarie le riceve solo finAPI, non noi. Per nostro conto, finAPI recupera i conti (nome, IBAN, intestatario) e i movimenti (data, importo, causale, nome della controparte), come responsabile del trattamento sulla base di un accordo sul trattamento dei dati; il consenso al recupero dei dati del conto lo dai a finAPI nel modulo. Se scolleghi il collegamento, lo eliminiamo presso finAPI; i movimenti già recuperati restano nella riconciliazione bancaria finché non li rimuovi.

Mappe e percorsi (pianificazione dei giri): Solo se utilizza la pianificazione dei giri: le tessere della mappa le carica il suo browser direttamente da MapTiler AG, Zurigo (Svizzera); MapTiler riceve così il suo indirizzo IP e la porzione di mappa visualizzata. Per la ricerca indirizzi trasmettiamo l'indirizzo di una fermata a MapTiler; salviamo il risultato nel contatto, così non viene cercato ogni volta. Per tempi di percorrenza e distanza trasmettiamo solo coordinate – senza nomi – a openrouteservice di HeiGIT gGmbH, Heidelberg (Germania). Entrambi agiscono come responsabili del trattamento sulla base di un contratto di trattamento dei dati. Non registriamo la posizione degli autisti: vengono salvati solo i momenti in cui una fermata è segnata come arrivato, completato o con problema, più, su richiesta, foto, firma e nome del destinatario come prova di consegna.

Riconoscimento documenti (IA): Solo se la vostra azienda ha attivato il riconoscimento documenti: foto e PDF delle fatture in entrata che caricate o inviate alla vostra casella documenti vengono trasmessi per l’analisi ad Anthropic PBC, San Francisco (USA); per i clienti nel SEE la controparte contrattuale è Anthropic Ireland Limited, Dublino. Anthropic vi legge fornitore, data, numero del documento, importi, aliquota, scadenza e coordinate bancarie e agisce come responsabile del trattamento sulla base di un accordo sul trattamento dei dati con le clausole contrattuali standard della Commissione europea. I documenti trasmessi vengono cancellati presso Anthropic entro 30 giorni e non vengono usati per addestrare modelli. Il risultato e la risposta del servizio (senza l’immagine) li conserviamo con il documento, così resta tracciabile da dove provengono i dati. Il titolare può disattivare il riconoscimento in qualsiasi momento; i documenti possono sempre essere registrati anche a mano.

Assistente IA: Solo se la tua azienda ha attivato l’assistente IA (consenso del titolare al primo utilizzo): per le proposte – un appuntamento, una fattura, un preventivo, un documento o un giro da una frase, un testo per l’invio o il sollecito, la risposta a una domanda sui tuoi indicatori o sull’aiuto e la proposta settimanale dei turni – trasmettiamo il tuo testo e solo i dati necessari ad Anthropic PBC, San Francisco (USA); per i clienti nello SEE la controparte è Anthropic Ireland Limited, Dublino. A seconda della funzione si tratta della data odierna, unità, aliquote, modelli e campi, tipo, numero, importi e scadenze di un documento, per le domande sui tuoi numeri degli indicatori della tua azienda con nomi dei clienti e fatturati, per la proposta settimanale di nomi, orari di lavoro e giorni di assenza. I nomi di clienti, articoli e dipendenti della risposta li confrontiamo noi con i tuoi dati. Anthropic agisce come responsabile del trattamento secondo le clausole contrattuali tipo della Commissione UE (art. 46, par. 2, lett. c GDPR), cancella i dati al più tardi dopo 30 giorni e non li usa per addestrare modelli. Si salva solo ciò che confermi tu dopo la verifica; per la fatturazione registriamo per ogni richiesta momento, scopo, numero di token e costi, senza contenuto. Il titolare può disattivare l’assistente IA in qualsiasi momento.

Copia di backup esterna: Il gestore può far inviare una copia del backup del database a una casella di posta da lui amministrata. È cifrata con una password (AES-256-GCM) nota solo al gestore; il provider della casella non può leggerla.

Paese terzo: Un trasferimento verso paesi al di fuori dell’UE e del SEE avviene solo in due casi: per mappa e ricerca indirizzi della pianificazione dei giri usiamo MapTiler in Svizzera, per la quale esiste una decisione di adeguatezza della Commissione europea (art. 45 GDPR). Per il riconoscimento documenti – solo se la vostra azienda lo ha attivato – trasmettiamo documenti ad Anthropic negli USA sulla base delle clausole contrattuali standard della Commissione europea (art. 46 par. 2 lett. c GDPR). I nostri altri responsabili del trattamento trattano i dati esclusivamente nell’UE secondo i loro contratti con noi.

6. Durata di conservazione

Dati dell’account fino all’eliminazione dell’account. Dati aziendali finché non elimina l’account aziendale; tenga conto dei suoi termini di conservazione di legge (di norma 8 o 10 anni). I dati eliminati restano per altri 90 giorni in un cestino dal quale il gestore può ripristinarli – dopodiché vengono rimossi definitivamente. Le copie di sicurezza vengono sovrascritte regolarmente. Le richieste di contatto le eliminiamo dopo l’elaborazione, al più tardi dopo 180 giorni; le richieste rimaste non elaborate al più tardi dopo 360 giorni. Se elimina il suo account, rimuoviamo nome, indirizzo e-mail e testo delle sue richieste.

Nel dettaglio valgono questi termini; i valori provengono dal programma stesso, che li applica ogni giorno.

7. I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione (art. 15–21 GDPR), nonché di proporre reclamo a un’autorità di controllo. I tuoi dati li esporti in qualsiasi momento dall’applicazione (CSV, PDF, ZIP); l’account aziendale si elimina da Impostazioni → Dati.

Diritto di opposizione (art. 21 GDPR): Nella misura in cui trattiamo dati sulla base dell’art. 6 par. 1 lett. f GDPR – log del server, registro degli accessi e limitazione dei tentativi, registro dell’applicazione, richieste di contatto senza riferimento a un contratto, dati di terzi nel generatore di fatture gratuito – può opporsi in qualsiasi momento per motivi connessi alla sua situazione particolare. Non tratteremo più i dati, salvo che possiamo dimostrare motivi legittimi cogenti che prevalgono sui suoi interessi, diritti e libertà, oppure il trattamento serva all’accertamento, all’esercizio o alla difesa di un diritto in sede giudiziaria. Indirizzi l’opposizione all’indirizzo indicato nella sezione 1.

Puoi opporti in qualsiasi momento, senza indicarne i motivi, all’uso dei tuoi dati a fini pubblicitari e revocare il consenso – tramite il link in ogni e-mail promozionale, nel profilo o con un messaggio a noi (art. 21, par. 2 e art. 7, par. 3 GDPR).

Obbligo di fornire i dati: Non è obbligato né per legge né per contratto a fornirci dati. Senza indirizzo e-mail e password però non possiamo gestire un account, senza i dati della sua azienda non possiamo creare documenti e senza i dati del mittente non possiamo rispondere a una richiesta (art. 13 par. 2 lett. e GDPR).

8. Sicurezza

Trasmissione cifrata (HTTPS), password salvate come hash, autenticazione a due fattori facoltativa, blocchi di accesso, Content-Security-Policy, archiviazione separata per ogni azienda, registri degli accessi e backup regolari.

Versione 13 · Aggiornato al 21/10/2026 (bozza)