Accordo sul trattamento dei dati personali

Il presente accordo disciplina il trattamento dei dati personali che Dodana vrijednost d.o.o. effettua per l’utente del servizio Puls. È concluso ai sensi dell’articolo 28 del regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati, di seguito GDPR. Se Puls è utilizzato dalla Sua società, il titolare del trattamento è Lei, e noi siamo il responsabile del trattamento che tratta i dati secondo le Sue istruzioni.

1. Le parti

Il titolare del trattamento è l’utente del servizio Puls, la persona giuridica che ha aperto uno spazio di lavoro nell’applicazione e che determina le finalità e i mezzi del trattamento dei dati che inserisce in Puls.

Il responsabile del trattamento è Dodana vrijednost d.o.o., Ribnjak 56, 10000 Zagreb, Croazia, OIB 28795267248, iscritta nel registro delle imprese del Tribunale commerciale di Zagabria. L’indirizzo per le domande sulla protezione dei dati è info@puls-value.com.

Il responsabile del trattamento tratta i dati personali esclusivamente per conto del titolare del trattamento e non ha il diritto di determinare le finalità del trattamento.

2. Oggetto e durata del trattamento

Oggetto del presente accordo è il trattamento dei dati personali necessario per la fornitura del servizio Puls, come il servizio è descritto nelle Condizioni d’uso.

Il trattamento dura finché dura l’abbonamento a Puls. Ciò comprende il periodo di prova e il periodo in cui l’accesso allo spazio di lavoro è bloccato ma l’account utente esiste ancora. Dopo la cessazione del servizio si procede secondo l’articolo 13 del presente accordo.

3. Natura e finalità del trattamento

La finalità del trattamento è la fornitura del servizio Puls. Ciò comprende l’hosting e l’elaborazione delle cifre finanziarie, degli utenti e dei documenti del titolare del trattamento ai fini della visualizzazione del piano e del consuntivo, degli indicatori, della struttura dei costi, del commento mensile e del documento «Piano aziendale», nonché ai fini della gestione degli account utente, dell’addebito dell’abbonamento e dell’assistenza tecnica.

Quando il titolare del trattamento collega la propria contabilità tramite e-Računi o carica un elenco di partite aperte, il responsabile del trattamento ricava da tali partite aperte l’anzianità dei crediti e dei debiti per cliente e fornitore fino al livello del documento e un elenco dei clienti in ritardo con i pagamenti, per i solleciti. Con il collegamento a e-Računi ricava dalle stesse partite anche un elenco dei maggiori clienti e fornitori per il pacchetto per la banca e un prospetto degli impegni e degli incassi attesi in scadenza nei successivi 14 giorni, che riporta il totale per giorno e per tipo di impegno e i nomi dei maggiori clienti e fornitori.

Le operazioni di trattamento sono la raccolta, la registrazione, la conservazione, la consultazione, il calcolo, la visualizzazione, l’esportazione su richiesta dell’utente, la creazione di copie di sicurezza e la cancellazione.

Il responsabile del trattamento non utilizza i dati del titolare del trattamento per finalità proprie, non li vende e non li utilizza per la profilazione.

4. Tipi di dati personali

• Nome e cognome e indirizzo e-mail aziendale degli utenti dello spazio di lavoro.
• Dati di accesso e registri degli accessi.
• Dati sulla società e sulla fatturazione, compresi denominazione, indirizzo, OIB e dati sulle fatture emesse.
• Dati personali che possono comparire nelle descrizioni delle voci contabili, nelle denominazioni dei partner commerciali e nel dato sul numero di dipendenti.
• I nomi di al massimo dieci maggiori clienti e dieci maggiori fornitori per anno, con fatturato, saldo delle partite aperte e scadenzario, per l’anno in corso e per quello precedente. Tra questi possono figurare artigiani e altre persone fisiche. Si conserva solo il nome, senza codice del partner e senza OIB, e solo l’ultima lettura.
• I nomi dei clienti e dei fornitori del titolare del trattamento con le relative partite aperte, dal collegamento a e-Računi o dall’elenco di partite aperte che il titolare del trattamento carica. Tra questi possono figurare artigiani e altre persone fisiche. Si conserva solo il nome, senza codice del partner e senza OIB, e solo l’ultima lettura.
• Gli indirizzi e-mail dei clienti ai quali l’utente invia un sollecito e la registrazione dell’invio.
• Il contenuto dei documenti e dei file che il titolare del trattamento carica in Puls o redige in Puls.
• Le domande che l’utente scrive al consulente AI e le risposte del consulente. La conversazione è visibile solo all’utente che ha posto la domanda e può contenere dati finanziari della società e dati personali che l’utente scrive. I termini di cancellazione sono indicati nella sezione 13.

5. Categorie di interessati

• Utenti dello spazio di lavoro del titolare del trattamento.
• Dipendenti del titolare del trattamento.
• Clienti, fornitori e altri partner commerciali indicati nella contabilità.
• Persone indicate nei documenti che il titolare del trattamento carica in Puls o redige in Puls.

6. Istruzioni documentate

Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento. Sono considerate istruzioni il presente accordo, le Condizioni d’uso e ogni azione che l’utente avvia autonomamente nell’applicazione, ad esempio l’importazione di dati, la redazione di un piano, la richiesta di un commento o un’esportazione. Le istruzioni comprendono anche il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale, che è consentito solo se previsto dal presente accordo o se lo richiede il diritto dell’Unione europea o della Repubblica di Croazia.

Se il diritto dell’Unione europea o il diritto della Repubblica di Croazia obbliga il responsabile del trattamento a trattare i dati al di fuori di tali istruzioni, il responsabile del trattamento ne informa il titolare del trattamento prima del trattamento, salvo che tale diritto vieti espressamente l’informazione.

Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora ritenga che un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

7. Riservatezza

Hanno accesso ai dati del titolare del trattamento solo le persone per le quali l’accesso è necessario allo svolgimento del lavoro. Tutte queste persone sono vincolate alla riservatezza per contratto o per obbligo di legge, e l’obbligo perdura anche dopo la cessazione del loro incarico.

8. Sicurezza del trattamento ai sensi dell’articolo 32 del GDPR

Il responsabile del trattamento applica le seguenti misure tecniche e organizzative.

• Tutto il traffico tra il browser e l’applicazione passa attraverso una connessione cifrata (TLS).
• I dati di ciascuna impresa sono separati in modo che uno spazio di lavoro non possa vedere i dati di un altro, e le conversazioni con il consulente AI sono visibili solo all’utente che ha posto la domanda.
• Le password sono conservate in una forma dalla quale non possono essere lette. Le chiavi di accesso per i servizi collegati sono conservate in forma cifrata.
• I dati sono conservati e trattati su server situati nell’Unione europea.
• La banca dati dispone di copie di sicurezza automatiche periodiche e di una procedura di ripristino documentata.
• Gli accessi e la consultazione dei dati sono registrati in log tenuti separatamente da tali dati.
• Si applica il principio del privilegio minimo. Ogni persona e ogni componente del sistema riceve solo le autorizzazioni necessarie per il lavoro che svolge.
• L’accesso ai server è limitato alle persone autorizzate ed è protetto.
• Lo sviluppo è separato dalla produzione e non tocca i dati di produzione. I sistemi ricevono regolarmente aggiornamenti di sicurezza.

9. Sub-responsabili del trattamento

Il titolare del trattamento concede un’autorizzazione generale preventiva al ricorso a sub-responsabili del trattamento. L’elenco dei sub-responsabili incaricati alla data della versione del presente accordo si trova nell’Allegato 1.

Con ciascun sub-responsabile il responsabile del trattamento concorda obblighi in materia di protezione dei dati non meno rigorosi di quelli del presente accordo, e risponde nei confronti del titolare del trattamento dell’operato del sub-responsabile come del proprio.

Il responsabile del trattamento informa il titolare del trattamento dell’intenzione di aggiungere o sostituire un sub-responsabile con almeno 30 giorni di anticipo, per e-mail all’indirizzo del titolare dello spazio di lavoro e mediante pubblicazione dell’Allegato 1 modificato su questa pagina. Entro tale termine il titolare del trattamento può presentare un’opposizione motivata. Se l’opposizione resta irrisolta, il titolare del trattamento può disdire l’abbonamento prima che la modifica entri in vigore, e l’accesso resta attivo fino alla fine del periodo pagato.

10. Trasferimenti al di fuori dello Spazio economico europeo

I dati sono trattati nell’Unione europea. Il trasferimento verso un paese terzo avviene solo verso i sub-responsabili indicati nell’Allegato 1 e solo con le clausole contrattuali tipo della Commissione europea.

Se per un trasferimento tali misure cessano di essere sufficienti, il responsabile del trattamento sospende il trasferimento e ne informa il titolare del trattamento.

11. Assistenza al titolare del trattamento

Tenendo conto della natura del trattamento, il responsabile del trattamento assiste il titolare del trattamento con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli interessati ai sensi del capo III del GDPR, ossia alle richieste di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione.

Se la richiesta di un interessato perviene direttamente al responsabile del trattamento, questi la inoltra senza ritardo al titolare del trattamento e non vi dà seguito autonomamente.

Il responsabile del trattamento assiste il titolare del trattamento anche nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR, ossia nella sicurezza del trattamento, nella notifica delle violazioni, nella valutazione d’impatto sulla protezione dei dati e nella consultazione preventiva dell’autorità di controllo, nella misura in cui le informazioni sono disponibili al responsabile del trattamento.

12. Violazione dei dati personali

Il responsabile del trattamento informa il titolare del trattamento di ogni violazione dei dati personali senza ingiustificato ritardo dopo esserne venuto a conoscenza, e in tempo utile perché il titolare del trattamento possa adempiere il proprio obbligo di notifica all’autorità di controllo.

La comunicazione contiene la descrizione della natura della violazione, il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e il contatto della persona presso il responsabile del trattamento da cui ottenere ulteriori informazioni.

Il responsabile del trattamento tiene un registro delle violazioni e delle misure adottate e lo mette a disposizione del titolare del trattamento su richiesta.

13. Cancellazione o restituzione dei dati

Dopo la cessazione del servizio il responsabile del trattamento, su scelta del titolare del trattamento, restituisce i dati in un formato leggibile da dispositivo automatico oppure li cancella, unitamente alle copie esistenti.

Il titolare del trattamento comunica la propria scelta entro 30 giorni dalla cessazione del servizio. Scaduto tale termine, e al più tardi 90 giorni dopo la cessazione del servizio, il responsabile del trattamento cancella i dati.

Finché l’account utente esiste, i dati restano conservati anche quando l’accesso è bloccato per la scadenza del periodo di prova o per un abbonamento non pagato.

Le conversazioni con il consulente AI non attendono la cessazione del servizio. Ogni messaggio di una conversazione è cancellato 12 mesi dopo la sua creazione, e l’utente può cancellarlo anche prima. Con la cancellazione dell’account utente sono cancellate anche tutte le conversazioni di tale utente, e con la cessazione del suo accesso a una società le sue conversazioni relative a tale società.

L’elenco dei maggiori clienti e fornitori non conserva lo storico. A ogni sincronizzazione con e-Računi è sostituito dalla nuova lettura ed è cancellato insieme agli altri dati della società.

Le partite aperte dei clienti e dei fornitori non conservano lo storico. Ogni nuova lettura, dal collegamento a e-Računi o dall’elenco caricato, sostituisce la precedente, e sono cancellate insieme agli altri dati della società.

Fanno eccezione alla cancellazione i dati che il responsabile del trattamento è tenuto a conservare per legge, anzitutto le fatture emesse e i dati fiscali. Il responsabile del trattamento li conserva fino alla scadenza del termine di legge e non li tratta per nessun’altra finalità.

I dati contenuti nelle copie di sicurezza sono cancellati nel ciclo ordinario di rotazione di tali copie.

14. Revisione e controllo

Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’articolo 28 del GDPR e consente le attività di revisione, comprese le ispezioni, realizzate dal titolare del trattamento o da un revisore da esso incaricato.

La revisione è annunciata con almeno 30 giorni di anticipo e si svolge durante l’orario di lavoro e in modo da non disturbare il funzionamento del servizio. La revisione non può riguardare i dati di altri utenti. Il costo della revisione è a carico del titolare del trattamento, salvo che la revisione accerti una violazione sostanziale del presente accordo.

15. Responsabilità

La responsabilità delle parti è disciplinata dalle Condizioni d’uso del servizio Puls e dalle norme imperative. Il presente accordo non amplia né restringe la limitazione di responsabilità prevista dalle Condizioni d’uso, salvo laddove il GDPR disponga diversamente.

16. Legge applicabile

Al presente accordo si applicano il diritto della Repubblica di Croazia e il GDPR. Per le controversie è competente il tribunale di Zagabria competente per materia.

17. Accettazione, modifiche e versione

Il presente accordo si applica con l’accettazione delle Condizioni d’uso del servizio Puls. Il titolare del trattamento lo accetta all’apertura dell’account, con una conferma che reca la data della versione, e noi registriamo chi ha accettato quale versione e quando. Non è necessaria una firma separata e non esiste una procedura di firma separata.

Una nuova versione del presente accordo è in vigore dal giorno della pubblicazione, che è anche la data della versione. Ne informiamo il titolare del trattamento per e-mail il giorno stesso e mediante pubblicazione su questa pagina, e al primo accesso a partire da quel giorno Puls chiede la conferma della nuova versione. La comunicazione della modifica dei sub-responsabili del trattamento è disciplinata dalla sezione 9.

Se una disposizione del presente accordo è in contrasto con le Condizioni d’uso, nelle questioni relative al trattamento dei dati personali si applica il presente accordo.

Versione: 6 ottobre 2026. In questa versione è stata integrata la descrizione del trattamento delle partite aperte dei clienti e dei fornitori (sezioni 3, 4 e 13), sono stati modificati gli elenchi dei tipi di dati e delle persone (sezioni 4 e 5) ed è stato aggiornato l’Allegato 1. La descrizione delle misure di sicurezza è ora più generale, mentre le misure sono le stesse (sezione 8). La sezione 10 sui trasferimenti è stata abbreviata. Il resto del testo è identico a quello della versione del 5 ottobre 2026. La nuova versione segue la modifica delle Condizioni d’uso, poiché i due documenti sono accettati insieme.

Allegato 1. Elenco dei sub-responsabili del trattamento

L’elenco è valido alla data della versione del presente accordo. Le modifiche sono annunciate ai sensi dell’articolo 9 del presente accordo.