Addendum sul trattamento dei dati (DPA)

«Titolare del trattamento»: l'organizzazione cliente di OneSpec (di seguito «Titolare»).

«Responsabile del trattamento»: OneSpec (di seguito «Responsabile»), gestito da CORE829 SRL.

«Dati personali»: qualsiasi informazione relativa a una persona fisica identificata o identificabile trattata dal Responsabile per conto del Titolare.

«Trattamento»: qualsiasi operazione effettuata sui dati personali per conto del Titolare.

«Sub-responsabile»: qualsiasi soggetto incaricato dal Responsabile per svolgere attività di trattamento specifiche.

Il presente Addendum disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito della fornitura del servizio OneSpec (piattaforma SaaS per preventivazione, configurazione, gestione cantieri, rilievi, collaudi e fascicoli serramenti).

Il trattamento ha durata pari al contratto di servizio e cessa alla sua scadenza o risoluzione. Alla cessazione, il Responsabile cancella o restituisce i dati personali su richiesta del Titolare, salvo obblighi di conservazione legale.

Categorie di dati: dati di account (nome, email, lingua), dati organizzativi (ragione sociale, P.IVA, indirizzo, contatti), richieste di preventivo (dati anagrafici e tecnici del potenziale cliente, configurazione tecnica, prezzo indicativo), dati tecnici del widget (hash IP, user agent, esito anti-bot), log di audit e attività amministrative.

Categorie di interessati: utenti registrati (titolari, amministratori, membri), potenziali clienti che compilano il widget, eventuali installatori/tecnici coinvolti nei processi di rilievo e collaudo.

Erogazione del servizio SaaS OneSpec: configurazione prodotti, calcolo prezzi, generazione preventivi, gestione cantieri, rilievi, collaudi, fascicoli QR, reporting.

Sicurezza, prevenzione abusi, rate limiting, audit.

Adempimenti fiscali/contabili per abbonamenti a pagamento.

Comunicazioni di servizio (codici verifica, notifiche preventivo, alert sistema).

Trattare i dati solo su istruzioni documentate del Titolare (il presente Addendum e la configurazione del servizio).

Garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a obbligo legale di riservatezza.

Implementare misure tecniche e organizzative adeguate (vedi §7).

Non coinvolgere sub-responsabili senza autorizzazione scritta preventiva o generale del Titolare (vedi §6).

Assistere il Titolare per l'esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione).

Assistere il Titolare per la notifica di violazioni dei dati (data breach) entro 72 ore dalla scoperta.

Alla cessazione: cancellare o restituire tutti i dati personali e cancellare le copie esistenti, salvo obblighi di legge.

Mettere a disposizione del Titolare le informazioni necessarie per dimostrare la conformità e consentire audit/inspezioni.

Il Titolare autorizza generalmente i seguenti sub-responsabili, che trattano dati per conto del Responsabile sulla base di accordi ai sensi dell'art. 28 GDPR:

• Convex (Convex, Inc.) — database e backend applicativo. Ubicazione dati: Stati Uniti d'America.

• Resend (Resend, Inc.) — invio email transazionali (codici verifica, notifiche preventivo).

• Cloudflare Turnstile (Cloudflare, Inc.) — verifica anti-bot invio preventivi widget.

• Vercel (Vercel, Inc.) — hosting applicazione web e misurazione prestazioni (Speed Insights).

Il Responsabile informa il Titolare di eventuali cambiamenti ai sub-responsabili con ragionevole preavviso, consentendo opposizione motivata.

Cifratura in transito (TLS 1.2+) e a riposo (gestita dai fornitori infrastrutturali).

Controllo accessi basato su ruoli (titolare, amministratore, membro) con verifica server-side su ogni operazione; isolamento per tenant.

Gestione sessioni con revoca dispositivi singoli e disconnessione globale.

Segreti gestiti tramite variabili d'ambiente della piattaforma di deployment, mai nel codice o log.

Intestazioni di sicurezza: HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, CSP dedicata per widget.

Rate limiting su accesso, invio preventivi widget, esportazioni dati; verifica anti-bot Cloudflare Turnstile.

Registro attività (audit log) per azioni amministrative e operazioni sensibili.

Backup e continuità gestiti da Convex; politiche RPO/RTO: il fornitore esegue backup dell'infrastruttura e OneSpec può esportare i dati; non sono al momento garantiti obiettivi contrattuali di RPO/RTO, che vengono verificati periodicamente e comunicati su richiesta.

Eventuali trasferimenti verso paesi fuori dallo SEE avvengono sulla base delle Clausole Contrattuali Standard (SCC) della Commissione Europea, integrate dalle misure supplementari raccomandate dall'EDPB.

I fornitori statunitensi (Convex, Resend, Vercel, Cloudflare) aderiscono al Data Privacy Framework UE-USA o applicano SCC.

Il Responsabile notifica al Titolare senza ingiustificato ritardo e comunque entro 72 ore dalla scoperta di una violazione dei dati personali, fornendo: natura della violazione, categorie e numero approssimativo di interessati e record, conseguenze probabili, misure adottate/proposte.

Contatto per segnalazioni sicurezza: hello@onespec.eu.

Il Responsabile assiste il Titolare nel rispondere alle richieste di esercizio dei diritti (artt. 15–22 GDPR) entro i termini di legge.

Il Titolare può evadere autonomamente molte richieste dalla pagina Account (esportazione JSON, aggiornamento profilo, cancellazione account).

Il Titolare può richiedere audit o verifiche della conformità del Responsabile, con preavviso ragionevole e nell'orario lavorativo. Il Responsabile fornisce la documentazione necessaria (es. report SOC 2 dei sub-responsabili, policy interne).

I costi di audit straordinari sono a carico del Titolare salvo diversa pattuizione.

Il presente Addendum è regolato dalla legge romena (con applicazione inderogabile delle norme UE, in particolare il GDPR), esclusa la Convenzione di Vienna sulla vendita internazionale di beni. Foro competente: i tribunali competenti di Roman / Neamț (Romania), sede legale di CORE829 SRL, salvo il foro inderogabile del consumatore ove applicabile.

Eventuali modifiche sono comunicate per iscritto con ragionevole preavviso. L'uso continuato del servizio dopo l'entrata in vigore delle modifiche costituisce accettazione.