Elenco dei sub-responsabili del trattamento

1. A che cosa serve questo elenco

AFAI S.r.l., con sede in Via Selvetelle 3b, 81013 Caiazzo (CE), Italia, partita IVA e codice fiscale 04893270613, REA CE-364037 tratta i dati dei clienti dei propri clienti in qualita' di responsabile del trattamento, e per erogare il Servizio si avvale di altri fornitori. L'articolo 28, paragrafi 2 e 4, del Regolamento UE 2016/679 pretende che quei fornitori siano conosciuti dal titolare e che il titolare possa opporsi a un cambiamento.

Questo elenco e' parte integrante dell'atto di nomina pubblicato su /dpa e vale come informazione preventiva ai sensi di quelle norme.

Alla data di questa versione l'elenco comprende 2 fornitori attivi e 1 dichiarati in anticipo ma non ancora operativi.

Per ogni comunicazione relativa a questo elenco: privacy@afai.it.

2. Come si legge

Ogni voce dice che cosa il fornitore fa, quali categorie di dati riceve, dove li tratta e dove si vede nel nostro codice che e' usato. L'ultimo campo e' inusuale in un documento legale e sta qui di proposito: un elenco di fornitori che nessuno puo' riscontrare e' una dichiarazione di parte.

Il campo «stato» distingue i fornitori che trattano dati OGGI da quelli dichiarati in anticipo. Un fornitore «previsto» non riceve alcun dato: diventera' attivo con una versione nuova di questo elenco, e da quel momento decorrera' il preavviso della sezione 5.

3.1. OVH

Stato: ATTIVO — tratta dati per nostro conto alla data di questa versione.

• Servizio erogato: Ospitalita' dell'infrastruttura di esercizio (server applicativo e banca dati) e archiviazione dei file caricati nel Servizio.
• Categorie di dati: Di fatto tutti i dati trattati dal Servizio: anagrafiche di clienti e fornitori, documenti emessi e ricevuti con i loro allegati, movimenti di magazzino, scadenze, prima nota, registro degli eventi, dati degli utenti.
• Paese di trattamento: Unione Europea. L'archiviazione dei file avviene su un servizio compatibile con il protocollo S3, configurato su una regione dell'Unione.
• Riscontro nel nostro codice: Archiviazione: driver `s3` e variabili `S3_*` in `src/shared/env/fragment.env`, adapter `src/shared/storage`.

3.2. Mailgun

Stato: ATTIVO — tratta dati per nostro conto alla data di questa versione.

• Servizio erogato: Recapito dei messaggi di posta elettronica che il Servizio invia: conferme dell'indirizzo, reimpostazione della password, avvisi di sicurezza e di scadenza, e i messaggi che il cliente invia ai propri clienti dal Servizio.
• Categorie di dati: Indirizzo di posta elettronica del destinatario, mittente, oggetto e corpo del messaggio, allegati quando previsti, ed esiti del recapito.
• Paese di trattamento: Unione Europea: l'indirizzo delle interfacce di programmazione predefinito e' quello della regione europea del fornitore.
• Riscontro nel nostro codice: `src/modules/email/infrastructure/mailgun-platform-mailer.ts`; indirizzo predefinito `https://api.eu.mailgun.net` in `src/modules/email/email.config.ts`.

3.3. Stripe

Stato: PREVISTO — dichiarato in anticipo, NON tratta ancora alcun dato.

• Servizio erogato: Incasso del corrispettivo dell'abbonamento al Servizio.
• Categorie di dati: Indirizzo di posta elettronica e denominazione del cliente che paga, importo e periodicita' dell'abbonamento. I dati della carta di pagamento sarebbero raccolti direttamente dal fornitore e non transiterebbero dal Servizio.
• Paese di trattamento: Da indicare quando l'integrazione sara' realizzata, insieme all'entita' contraente e alla base giuridica di un eventuale trasferimento fuori dall'Unione.
• Riscontro nel nostro codice: NESSUNA integrazione presente: cercando «stripe» in `src/` si trova soltanto un commento in `src/shared/crypto/random.ts`. Finche' lo stato resta «previsto», questo fornitore non tratta alcun dato.

4. Destinatari che NON sono sub-responsabili

Alcuni soggetti ricevono dati per obbligo di legge, non per nostro conto: non sono sub-responsabili e non rientrano nell'autorizzazione generale dell'atto di nomina. Verso di loro il titolare non ha un diritto di opposizione, perche' la trasmissione e' imposta da una norma.

• AGENZIA DELLE ENTRATE — Sistema di Interscambio: riceve le fatture elettroniche trasmesse e consegna quelle ricevute, in forza dell'obbligo di fatturazione elettronica. E' destinatario per legge: non tratta i dati per conto nostro ne' per conto del cliente, ma nell'esercizio di una funzione pubblica.
• AUTORITA' GIUDIZIARIA, DI POLIZIA E DI CONTROLLO, nei limiti di una richiesta legittima e per il tempo necessario a darle seguito.
• PROFESSIONISTI E CONSULENTI del Fornitore, per gli adempimenti propri del Fornitore e limitatamente ai dati che li riguardano: non ricevono i dati che il Fornitore tratta per conto dei clienti.

5. Preavviso, opposizione e aggiornamenti

Prima di aggiungere un sub-responsabile, di sostituirne uno o di rendere attivo un fornitore oggi soltanto previsto, il Fornitore aggiorna questo elenco e ne da' avviso nel Servizio con un preavviso di almeno TRENTA GIORNI.

Entro quel termine il titolare puo' opporsi per motivi relativi alla protezione dei dati, scrivendo a privacy@afai.it e indicando il motivo. Il Fornitore risponde nel merito; se l'opposizione e' fondata e il Servizio non puo' essere erogato senza quel fornitore, il titolare puo' recedere senza oneri e conserva il diritto di esportare i propri dati.

Un cambiamento urgente, necessario a rimuovere un rischio per la sicurezza o per la continuita' del Servizio, puo' essere attuato prima del termine: in quel caso il Fornitore ne da' avviso contestualmente, indicando il motivo dell'urgenza, e il diritto di opposizione e di recesso resta esercitabile.

Questo elenco ha un numero di versione, una data e un'impronta del testo: le versioni precedenti sono disponibili su richiesta, perche' sapere chi trattava i propri dati due anni fa e' parte del diritto di conoscerlo oggi.