Accordo sul trattamento dei dati

Titolare: il cliente che usa Plannify («tu»). Responsabile: Outline Digital, Via Dalmazia 36, Trani (BT), P. IVA 08978680729 («noi»). Oggetto: i trattamenti di dati personali che facciamo per tuo conto per fornirti Plannify, per tutta la durata dell'account.

Le tue istruzioni sono questo accordo, i termini e quello che fai nel servizio: le funzioni che accendi, le regole di approvazione, le richieste che fai alla squadra, i servizi che ci ordini. Non usiamo i tuoi dati per altri scopi, non li vendiamo e non li usiamo per addestrare modelli di IA. Se un'istruzione ci sembrasse contraria alla legge, te lo diremo.

Accedono ai dati solo le persone di Outline Digital che ne hanno bisogno (assistenza che ci chiedi, sicurezza, manutenzione), impegnate alla riservatezza e istruite sul trattamento.

Applichiamo le misure tecniche e organizzative dell'articolo 32 GDPR descritte nella pagina Sicurezza e NIS2: cifratura in transito, cifratura delle credenziali, separazione dei dati per azienda e per gestionale (ogni gestionale, all'indirizzo plannify.it/gestionali/ seguito dal suo nome, è chiuso e separato dagli altri e da Plannify: dati, accessi e file), accessi amministrativi con chiave, aggiornamenti, copie di sicurezza, registrazione degli eventi, gestione degli incidenti. Le aggiorniamo nel tempo senza ridurre il livello di protezione.

Ci autorizzi in via generale a usare questi sub-responsabili, vincolati da contratto agli stessi obblighi di protezione:

Stripe tratta i dati di pagamento degli ordini dei servizi di Plannify come titolare autonomo o per conto nostro, non i dati dei tuoi gestionali e progetti. Se aggiungiamo o cambiamo un sub-responsabile aggiorniamo questa pagina e te lo diciamo almeno 30 giorni prima nel quartier generale o per email: se hai un motivo fondato per opporti, puoi farlo in quel periodo e, se non troviamo una soluzione, recedere senza penali.

Il fornitore di IA della tua chiave (per esempio Anthropic, OpenAI, OpenRouter) e i servizi esterni che il tuo progetto usa li scegli e li attivi tu, con un tuo account. Plannify vi invia i dati necessari solo quando le funzioni che hai scelto lo richiedono. Il rapporto con quei fornitori, e le relative garanzie privacy, sono tra te e loro. Se scegli un cervello sul tuo computer, i testi non escono dal PC.

Noi e i nostri sub-responsabili trattiamo i dati nell'Unione europea. Un trasferimento fuori dall'UE avviene solo se scegli un fornitore o un servizio con sede fuori dall'UE, su tua istruzione e con le garanzie di quel fornitore (decisione di adeguatezza, Data Privacy Framework UE-USA o clausole contrattuali standard).

Molte richieste le puoi evadere da solo: consultare, correggere, esportare ed eliminare i dati dal tuo gestionale o dal tuo progetto. Se un interessato si rivolge a noi, ti inoltriamo la richiesta senza ritardo e non rispondiamo al posto tuo. Ti aiutiamo, per quanto ragionevole, con le valutazioni d'impatto e le consultazioni del Garante, dandoti le informazioni sul servizio che ti servono.

Se scopriamo una violazione che riguarda i tuoi dati te lo comunichiamo senza ingiustificato ritardo e comunque entro 48 ore da quando ne abbiamo conoscenza, all'email dell'account, con quello che sappiamo: cosa è successo, quali dati e quanti interessati sono coinvolti, le conseguenze probabili e le misure prese. Ti aggiorniamo man mano, così puoi notificare il Garante entro 72 ore e avvisare gli interessati se necessario.

Puoi scaricare in ogni momento tutti i dati con «Scarica i tuoi dati» (file JSON), compresi i record, le persone e l'elenco dei file del gestionale online. Quando elimini un gestionale, un progetto o l'account i dati vengono cancellati subito dal servizio e spariscono dalle copie di sicurezza entro 14 giorni, salvo i dati che la legge ci obbliga a conservare (per esempio le fatture dei servizi che hai ordinato). I file sul tuo computer restano sul tuo computer, cifrati: la chiave per riaprirli la dà Plannify solo al tuo account, quindi dopo l'eliminazione non si riaprono più.

Ti diamo le informazioni necessarie a dimostrare il rispetto di questo accordo: descrizione delle misure di sicurezza, elenco dei sub-responsabili, risposte ai questionari di sicurezza ragionevoli. Le verifiche sul posto, se necessarie, si concordano con almeno 30 giorni di preavviso, in orario lavorativo e senza accesso ai dati di altri clienti; i costi sono a carico di chi le chiede, salvo che emergano nostre violazioni.

Hai una base giuridica per i dati che inserisci, informi gli interessati (anche del fatto che usi strumenti di IA, quando la legge lo richiede), raccogli i consensi necessari (per esempio per i messaggi promozionali) e imposti le regole di approvazione in modo adatto ai dati che tratti.