Accordo per il trattamento dei dati personali (art. 28 GDPR)

Versione del 6 ottobre 2026

Tra il Cliente, titolare del trattamento (di seguito «Cliente»),

e Geckosoft S.r.l. (dati societari da completare), fornitore del servizio Evercount, responsabile del trattamento (di seguito «Fornitore»).

1. Oggetto

Il Fornitore tratta per conto del Cliente i dati personali che il Cliente e i suoi utenti caricano o generano nel servizio, al solo scopo di erogarlo: tenuta della contabilità, riconciliazione, controlli, chiusure, previsioni, lettura dei documenti e funzioni di intelligenza artificiale quando il Cliente le attiva.

2. Dati e interessati

• Interessati: clienti, fornitori, dipendenti, collaboratori, amministratori e soci del Cliente; utenti del servizio.
• Dati: anagrafici e di contatto, fiscali (partita IVA, codice fiscale), bancari (IBAN, movimenti), retributivi e contributivi.
• Categorie particolari: i cedolini possono contenere dati relativi alla salute (malattia, infortunio, maternità) e all’appartenenza sindacale (trattenute). Il Cliente li carica con la propria base giuridica (art. 9.2.b GDPR).

3. Durata

L’accordo dura quanto il contratto di servizio. Alla sua fine il Fornitore lascia al Cliente 30 giorni per esportare l’archivio, poi cancella i dati entro i 30 giorni successivi; le copie di backup si cancellano alla loro rotazione (35 giorni). Su richiesta conferma per iscritto l’avvenuta cancellazione.

4. Obblighi del Fornitore

Il Fornitore:

1. tratta i dati solo su istruzione documentata del Cliente, che consiste nell’uso del servizio e nelle impostazioni scelte (per esempio il consenso all’AI);
2. garantisce che chi tratta i dati sia vincolato alla riservatezza;
3. adotta le misure di sicurezza dell’Allegato A;
4. ricorre ai sub-responsabili dell’Allegato B, impone loro gli stessi obblighi e avvisa il Cliente con 30 giorni di anticipo di ogni aggiunta o sostituzione; il Cliente può opporsi e, se il disaccordo resta, recedere senza penali;
5. aiuta il Cliente a rispondere alle richieste degli interessati, con le funzioni del servizio (ricerca, modifica, esportazione) e inoltrandogli entro 5 giorni lavorativi le richieste ricevute direttamente;
6. avvisa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione dei dati che lo riguarda, con le informazioni utili alla notifica al Garante;
7. aiuta il Cliente nelle valutazioni d’impatto e nelle consultazioni preventive, per quanto riguarda il servizio;
8. mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, con preavviso ragionevole e a spese del Cliente, una volta l’anno o dopo una violazione;
9. segnala al Cliente un’istruzione che ritenga contraria alla normativa.

5. Intelligenza artificiale

Le funzioni di AI sono spente finché un utente autorizzato del Cliente non le attiva, accettando il testo mostrato in Impostazioni › AI. Da quel momento il Fornitore invia al fornitore AI indicato nell’Allegato B i dati necessari a ciascuna richiesta. Ogni invio resta nel registro consultabile dal Cliente, con la funzione, le categorie di dati e il fornitore. Il Cliente può spegnere l’AI in qualsiasi momento: gli invii successivi cessano subito.

6. Trasferimenti fuori dall’UE

I dati sono conservati nell’Unione europea. L’unico trasferimento previsto è verso il fornitore AI, solo se il Cliente attiva l’AI, sulla base delle clausole contrattuali tipo approvate dalla Commissione europea incluse nell’accordo di trattamento di quel fornitore.

7. Responsabilità

Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi secondo l’art. 82 GDPR. Per il resto vale la clausola 11 delle condizioni di servizio.

Allegato A: misure di sicurezza

• Dati su infrastruttura AWS in UE (Irlanda), cifrati in transito (TLS) e a riposo.
• Isolamento tra clienti su tre livelli, compresa la Row Level Security del database.
• Password con funzione di derivazione scrypt; sessioni revocabili; protezione dai tentativi ripetuti.
• Ruoli con permessi distinti (proprietario, amministratore, contabile, lettore).
• Registro delle attività su utenti, licenze, esportazioni e chiamate AI.
• Backup giornalieri cifrati con ripristino puntuale per 35 giorni e copia in un’altra regione UE.
• Accesso dell’infrastruttura limitato al personale autorizzato, con autenticazione forte.
• Esportazione completa dell’archivio sempre disponibile al Cliente.

Allegato B: sub-responsabili

Vedi sub-responsabili.md, nella versione in vigore alla data di accettazione.