Trattamento dei dati (art. 28 GDPR)

Accordo breve ai sensi dell’art. 28 GDPR: contratto sul trattamento per conto tra l’impresa e la società che gestisce Sollmaß. Versione: 30 ottobre 2026. Fa fede l’originale tedesco.

Conclusione

L’impresa conclude questo accordo nell’app sotto Impostazioni → Contratti e privacy: in forma elettronica, da una persona che può firmare per essa, oppure per iscritto, con una stampa firmata che vi carica. La forma elettronica è sufficiente (art. 28, par. 9 GDPR). La responsabile del trattamento ha firmato l’accordo in forma elettronica.

L’accordo entra in vigore con la conclusione. Vale finché esiste il contratto d’uso di Sollmaß secondo le condizioni, prova compresa, e termina con esso. Cosa succede poi ai dati lo regola la sezione «Durata, cancellazione, prova».

Parti

Titolare: l’impresa artigiana che usa Sollmaß, con la ragione sociale e l’indirizzo indicati alla conclusione.

Responsabile del trattamento: High5Manufaktur GmbH, Am Buchenhain 2, 76359 Marxzell, Germania — prodotto Sollmaß, dominio sollmass.de. Contatto: [email protected], telefono +49 7248 25592-70.

L’impresa resta padrona dei dati. Sollmaß li tratta solo per fornire l’app.

Non è trattamento per conto terzi, ma trattamento proprio della società che gestisce Sollmaß: le richieste tramite questo sito, le domande di prova e le fatture delle licenze. Per queste vale l’informativa sulla privacy.

Oggetto e finalità

Hosting ed esercizio del software. Istruzione: solo ciò che l’impresa registra o avvia in Sollmaß. Finalità: adempimento del contratto, nessun uso proprio dei dati del mandante.

Sistema operativo per l’artigianato: anagrafiche, fascicoli, documenti (preventivo a fattura/sollecito), libro pagamenti, tempo, magazzino, audit, azioni IA opzionali, invio delle mail dell’app. Il CSV DATEV è un export verso l’impresa, non una trasmissione da parte nostra.

Dati

Dati del mandante e dei clienti finali: contatti, oggetti, fascicoli, documenti, pagamenti, tempi e assenze, magazzino, file e foto di cantiere, firme, audit. In più i messaggi che arrivano nell’app: e-mail dalla casella dell’impresa con i relativi allegati, messaggi WhatsApp e chiamate di pronto intervento con i dati del chiamante.

Dati di account degli utenti, accesso con magic link (salvato solo come hash), sessioni, registro.

Dati di posizione dei dipendenti solo se l’impresa attiva il GPS all’entrata e all’uscita.

Le categorie particolari (art. 9 GDPR) non sono la finalità del software. Se l’impresa registra un’assenza come «malattia», nasce comunque un dato sulla salute. È l’impresa a decidere se tenere questa indicazione; un’assenza si può registrare anche senza motivo.

Istruzione e luogo

Trattamento solo nel quadro dell’app e secondo istruzioni documentate dell’impresa. Luogo del trattamento: server di Hetzner Online GmbH nel data center di Falkenstein/Vogtland, Germania. I dati lasciano l’UE solo tramite i sub-responsabili indicati sotto e tramite i servizi che l’impresa configura da sé.

Sub-responsabili

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: server, database (Postgres), file e backup dell’applicazione, data center di Falkenstein/Vogtland.
  • Cloudflare, Inc., San Francisco, USA: DNS, rete e protezione dagli attacchi per app.sollmass.de, invio di tutte le e-mail dell’app ([email protected]) e, se configurato, lo storage a oggetti R2 per i file caricati. Trasferimento negli USA sulla base dell’EU-US Data Privacy Framework, in aggiunta le clausole contrattuali tipo dell’UE.
  • IONOS SE, Elgendorfer Str. 57, 56410 Montabaur: funzioni IA tramite l’IONOS AI Model Hub in un data center in Germania, solo se l’impresa usa funzioni IA, per la singola richiesta — testo e foto. Se IONOS è configurato, testo e foto vanno solo lì.
  • OpenAI, Google (Gemini) o xAI: solo se l’impresa usa funzioni IA, per la singola richiesta — testo e foto finché IONOS non è configurato, e file audio caricati per la trascrizione (OpenAI o Google). Trasferimento negli USA sulla base dell’EU-US Data Privacy Framework, se il fornitore è certificato, altrimenti delle clausole contrattuali tipo dell’UE.
  • Servizio di mappe di OpenStreetMap (staticmap.openstreetmap.de, openstreetmap.org): solo quando si apre la mappa nella pianificazione, con l’indirizzo IP del dispositivo e le coordinate degli interventi di oggi.

Informiamo in anticipo sui nuovi sub-responsabili; l’impresa può opporsi per un motivo importante.

Servizi dell’impresa

Se l’impresa inserisce credenziali proprie, trasmettiamo i dati, su sua istruzione, al fornitore da lei scelto. Questi fornitori non sono nostri sub-responsabili; i contratti necessari li stipula l’impresa.

  • La sua casella di posta (IMAP), da cui l’app preleva messaggi e allegati.
  • Meta (WhatsApp Business Cloud API) per i messaggi in entrata.
  • Il suo servizio SMS per l’allarme di pronto intervento alla reperibilità. L’SMS contiene nome, numero di telefono e indirizzo presi dal fascicolo e va solo alla reperibilità in turno, mai al chiamante.
  • Altre interfacce che inserisce, per esempio contabilità o accesso bancario.

Le credenziali di questi servizi le conserviamo cifrate (AES-256-GCM) e non le mostriamo più.

Obblighi e TOM

Separazione dei mandanti in ogni interrogazione e nel database, ruoli con ambito di visibilità (titolare, ufficio, cantiere, subappaltatore), trattamento su istruzione, supporto ai diritti degli interessati, notifica delle violazioni della sicurezza.

Accesso con magic link, token e sessioni solo come hash. Trasmissione con TLS, da Cloudflare al server attraverso un tunnel cifrato, HSTS. Credenziali di terzi cifrate. Documenti emessi bloccati nel contenuto e con checksum, libro pagamenti senza modifica successiva, registro di tutte le azioni rilevanti.

Detto apertamente: database e file stanno sul server non cifrati; una cifratura del disco non è configurata. Il backup quotidiano si trova sullo stesso server. Una copia cifrata fuori sede la predisporremo appena sarà definito lo spazio di archiviazione necessario; entrerà allora in anticipo nell’elenco dei sub-responsabili.

Durata, cancellazione, prova

L’accordo vale finché l’azienda usa Sollmaß. Dopo la fine del contratto l’azienda può consultare ed esportare i suoi dati per 30 giorni, dopo una prova senza ordine per 90 giorni dalla fine della prova. Poi chiudiamo l’azienda: cancelliamo i dati personali senza obbligo legale di conservazione; i documenti soggetti a conservazione restano bloccati fino alla fine del termine e poi vengono cancellati (art. 28, par. 3, lett. g GDPR). Dettagli: CG, sezione 3. Prova: giornale di audit, hash dei documenti, libro pagamenti.

Prima della disattivazione l’impresa esporta i suoi dati (export GoBD, DATEV, CSV). Ciò che non esporta e che non dobbiamo conservare — tempi, ordini, libro di magazzino, giornale di cantiere — dopo non c’è più.

Restano conservati i documenti richiesti dal diritto commerciale e tributario: documenti emessi con la relativa copia, libro pagamenti, fatture di acquisto, registro. Termine: fino al 31/12 dell’anno della disattivazione più otto anni, poi li cancelliamo. Esempio: disattivazione nell’anno 2026, cancellazione dal 01/01/2035.

Altri termini: messaggi in entrata senza fascicolo 2 anni, backup 14 giorni (backup dei dischi 7 giorni).

Diritti degli interessati: i contatti si possono anonimizzare nell’app; i documenti emessi mantengono la loro copia, perché il diritto tributario lo richiede (art. 17 par. 3 lett. b GDPR). Prova: giornale di audit, hash dei documenti, libro pagamenti.

Domande: [email protected].