Legale
Accordo sul trattamento dei dati personali (DPA)
Ultimo aggiornamento:
Tra
BitBoss S.r.l., Corso Castelfidardo 30/A, 10128 Torino, P.IVA IT11921690019 (di seguito "BitBoss" o "Responsabile")
e
Il Cliente che sottoscrive il contratto Zot (di seguito "Cliente" o "Titolare"), come identificato nel contratto.
1. Premesse
- 1.1 Il presente Accordo disciplina il trattamento dei dati personali svolto da BitBoss, in qualità di Responsabile, per conto del Cliente, in qualità di Titolare, nell'ambito del servizio Zot.
- 1.2 L'Accordo è parte dei Termini e Condizioni e viene accettato in fase di registrazione. L'accettazione esplicita in fase di registrazione equivale a sottoscrizione del presente Accordo.
- 1.3 Dove il Cliente tratta dati per conto di terzi (ad esempio una software house che usa Zot per i propri utenti), il Cliente agisce come Responsabile e BitBoss come sub-responsabile. In tal caso il Cliente garantisce che il Titolare originario abbia autorizzato anche la nomina di BitBoss.
2. Riferimenti normativi
Il trattamento rispetta il Regolamento (UE) 2016/679 (GDPR) e la normativa italiana ed europea applicabile in materia di dati personali.
3. Oggetto e ambito
- 3.1 Finalità. Trasmissione delle fatture al Sistema di Interscambio, ricezione delle fatture dallo SdI, conservazione a norma quando attivata, e le attività tecniche connesse (sicurezza, monitoraggio).
- 3.2 Categorie di dati. Dettagliate nel Sub-Allegato A.
- 3.3 Ruoli. Per i dati contenuti nelle fatture, il Titolare è titolare del trattamento e BitBoss è responsabile. BitBoss non utilizza tali dati per finalità proprie né li condivide con soggetti terzi, salvo quanto necessario a erogare il servizio (compresa la trasmissione allo SdI) o richiesto dalla legge.
- 3.4 Categorie particolari. Le fatture trattate possono contenere, a seconda del settore del Titolare (ad esempio prestazioni sanitarie, veterinarie o assimilabili), dati rientranti nelle categorie particolari ex art. 9 GDPR. Il Titolare resta titolare di tali dati ed è responsabile di disporre di una base giuridica idonea ai sensi dell'art. 9; BitBoss li tratta esclusivamente come responsabile, con le misure di sicurezza del Sub-Allegato B, senza finalità proprie.
Ruoli in sintesi: Titolare = il Cliente · Responsabile = BitBoss · Sub-responsabili = i fornitori del Sub-Allegato C · Interessati = i soggetti i cui dati compaiono nelle fatture (clienti e fornitori del Cliente o dei suoi utenti).
4. Istruzioni del Titolare
BitBoss tratta i dati solo secondo istruzioni documentate del Titolare (il contratto, i Termini e il presente Accordo), salvo diversa previsione di legge. Il Titolare garantisce di avere una base giuridica adeguata ed è responsabile dell'esattezza e della liceità dei dati trattati. Se un'istruzione appare in violazione di legge, BitBoss avvisa il Titolare e sospende l'esecuzione.
5. Obblighi del Responsabile
- 5.1 Riservatezza. Il personale autorizzato è vincolato alla riservatezza, formato e limitato a chi è necessario per il servizio.
- 5.2 Sicurezza. BitBoss adotta le misure ex art. 32 GDPR descritte nel Sub-Allegato B. Possono essere aggiornate purché il livello complessivo non diminuisca.
- 5.3 Valutazione d'impatto. BitBoss assiste il Titolare nelle valutazioni d'impatto (art. 35) e nelle consultazioni preventive (art. 36), ove necessarie.
- 5.4 Diritti degli interessati. BitBoss assiste il Titolare nel dare seguito alle richieste degli interessati (artt. 15-22). Le richieste ricevute direttamente vengono inoltrate al Titolare senza darvi risposta autonoma.
- 5.5 Violazioni dei dati. BitBoss notifica al Titolare senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza di una violazione dei dati trattati per suo conto, con le informazioni disponibili su natura, categorie e numero di interessati e misure adottate.
- 5.6 Audit. BitBoss fornisce le informazioni necessarie a dimostrare la conformità e riconosce al Titolare il diritto di effettuare audit, anche tramite revisori esterni vincolati alla riservatezza, rispondendo alle richieste entro 30 giorni.
- 5.7 Trasferimenti. I dati sono ospitati nello SEE (datacenter a Francoforte). Eventuali trasferimenti extra-SEE legati a specifici sub-responsabili avvengono con Clausole Contrattuali Standard o altre garanzie adeguate (artt. 44-50).
6. Sub-responsabili
- 6.1 Il Titolare autorizza in via generale i sub-responsabili elencati nel Sub-Allegato C, tra cui Intesi Group S.p.A. per la conservazione a norma e Genesys Informatica S.r.l. per la firma digitale.
- 6.2 Per nuovi sub-responsabili BitBoss dà preavviso. Il Titolare può opporsi per iscritto entro 10 giorni lavorativi; il silenzio vale come consenso.
- 6.3 Se BitBoss non accoglie l'opposizione, il Titolare può recedere dal contratto di servizio.
- 6.4 BitBoss stipula con ciascun sub-responsabile accordi con obblighi almeno equivalenti e ne verifica periodicamente la conformità.
7. Limitazione di responsabilità
La responsabilità di BitBoss verso il Titolare è soggetta ai limiti previsti nei Termini e Condizioni.
8. Durata
Il presente Accordo resta in vigore per tutta la durata del rapporto e cessa automaticamente con la risoluzione o la scadenza del contratto di servizio.
9. Cancellazione e restituzione
- 9.1 Alla cessazione, BitBoss cancella o restituisce i dati trattati per conto del Titolare, a scelta del Titolare, entro 30 giorni, salvo obblighi di conservazione di legge.
- 9.2 I dati soggetti a obbligo di legge (in particolare i documenti fiscali e quelli in conservazione a norma, 10 anni) sono gestiti secondo quanto previsto all'art. 7 dei Termini e Condizioni (disdetta con preavviso, esportazione del pacchetto di esportazione, chiusura per anagrafica e rimozione dal conservatore).
10. Contatti
Responsabile: BitBoss S.r.l., Corso Castelfidardo 30/A, 10128 Torino. Email hey@bitboss.it · PEC bitboss@pec.it.
DPO: dpo.bitboss@argobs.com.
Sub-Allegato A — Categorie di dati personali
| Categoria | Dati | Provenienza |
|---|---|---|
| Utente (Titolare) | Nome, cognome, email, password cifrata | Registrazione |
| Dati aziendali dell'utente | Ragione sociale, P.IVA, codice fiscale, indirizzo | Piattaforma |
| Dati nelle fatture | Dati identificativi e fiscali di cedente e cessionario (ragione sociale, P.IVA/CF, indirizzo, PEC, codice destinatario), importi, descrizioni | Documenti trasmessi via API |
| Categorie particolari (eventuali) | Dati idonei a rivelare lo stato di salute o assimilabili, se presenti nelle descrizioni delle prestazioni fatturate (es. settore sanitario) | Documenti trasmessi via API |
| Dati di transito e uso | Volumi, chiamate API, consumi dei crediti, anagrafiche in conservazione | Generazione automatica |
| Dati tecnici | IP, user agent, data/ora accessi, log | Generazione automatica |
Sub-Allegato B — Misure tecniche e organizzative (art. 32 GDPR)
Infrastruttura. Applicazione Laravel (PHP) su Droplet DigitalOcean con datacenter a Francoforte, gestita con Laravel Forge. Database MySQL (versione 8 o successiva) sulla stessa infrastruttura. Redis interno per code e cache del canale, non esposto a internet.
Accesso ai server. Solo via SSH con chiave. Firewall limitato alle porte necessarie (80, 443, SSH). HTTPS obbligatorio.
Sicurezza applicativa. Protezione CSRF, prevenzione SQL injection, hashing sicuro delle password tramite bcrypt. Il download dei documenti passa dall'autenticazione ed è consentito solo all'account titolare.
Canale verso il Sistema di Interscambio.
- La trasmissione verso lo SdI avviene in HTTPS, con certificato client e chiave privata emessi dall'Agenzia delle Entrate (certificato intermediario). In ingresso, lo SdI contatta endpoint SOAP dedicati del worker, protetti da certificato server rilasciato dall'AdE.
- I certificati e le chiavi SdI risiedono sul server, in un percorso riservato e fuori dal codice applicativo, con accesso ristretto.
- Il canale SOAP gira su un ambiente separato (worker), distinto dall'applicazione utente, con endpoint SOAP separati dall'interfaccia utente. Il pannello di gestione delle code (Horizon) non è accessibile dall'esterno.
- Redis non contiene le fatture: trasporta al più un identificativo (UUID) per attivare il worker. I documenti risiedono nell'outbox, nel database e su disco privato (storage applicativo non pubblico).
- L'ambiente Sandbox non trasmette allo SdI.
Backup. Backup incrementale giornaliero e completo settimanale, su storage sicuro accessibile solo al personale autorizzato.
Log e monitoraggio. Errori applicativi inviati a Sentry (inclusi IP e user agent), conservati per massimo 90 giorni.
Conservazione. Affidata a Intesi Group, conservatore qualificato ai sensi delle Linee guida AgID, secondo le proprie misure di sicurezza certificate. Firma digitale affidata a Genesys Informatica (marchio Hosting Solutions), prestatore qualificato.
Misure organizzative. Incarico di riservatezza al personale e accesso limitato al minimo necessario.
Sub-Allegato C — Sub-responsabili approvati
| Sub-responsabile | Sede | Finalità |
|---|---|---|
| Intesi Group S.p.A. | Milano, Italia | Conservazione a norma |
| Genesys Informatica S.r.l. | Via de' Cattani 224/18, 50145 Firenze (FI) | Firma digitale |
| DigitalOcean, Inc. | USA (datacenter a Francoforte) | Hosting e infrastruttura |
| Mailgun Technologies, Inc. | USA | Email transazionali e notifiche |
| Sentry (Functional Software, Inc.) | USA | Monitoraggio errori |
BitBoss aggiorna questo elenco in caso di modifiche, previa notifica secondo l'art. 6.
Ultimo aggiornamento: 6 novembre 2026