Informativa sulla Privacy

Table of Contents

Informativa sul trattamento dei dati personali — Clienti, Contraenti e Referenti aziendali ai sensi dell’art. 13 del Regolamento (UE) 2016/679 (GDPR)

Titolare del trattamento

HTMLFACTORY S.r.l. Via Arnaldo da Brescia 12, 20025 Legnano (MI) P.IVA IT11797680961 — REA MI-2625613 Email: privacy@htmlfactory.it — PEC: htmlfactory@pec.it

HTMLFactory S.r.l. (di seguito “Società” o “Titolare”), in persona del legale rappresentante pro tempore, La informa, ai sensi dell’art. 13 GDPR, che i dati personali da Lei forniti o raccolti in occasione della stipula e dell’esecuzione del contratto di fornitura di servizi (sviluppo software, web agency, consulenza digitale, assistenza tecnica) saranno trattati con le modalità e per le finalità di seguito indicate.

La presente informativa si rivolge ai clienti persone fisiche, ai legali rappresentanti, ai referenti aziendali e ai contatti commerciali coinvolti nella gestione del rapporto contrattuale con la Società. Costituisce parte integrante del contratto e ne disciplina i profili relativi al trattamento dei dati personali.

1. Categorie di dati personali trattati

La Società tratta le seguenti categorie di dati personali, raccolti direttamente presso l’interessato o presso fonti pubbliche o terzi autorizzati:

Dati anagrafici e di contatto: nome, cognome, ragione sociale, codice fiscale, partita IVA, indirizzo di sede e di domicilio, recapiti telefonici, indirizzi email e PEC;
Dati professionali: ruolo aziendale, qualifica, area di competenza, dati di contatto professionali;
Dati contrattuali: oggetto del contratto, condizioni economiche, scadenze, comunicazioni di progetto, corrispondenza commerciale;
Dati di fatturazione: estremi della fattura, codice destinatario SDI, IBAN bancario, dati di pagamento;
Dati di accesso e di interazione: credenziali di accesso ai sistemi e alle piattaforme della Società rese disponibili al cliente, log di accesso, indirizzi IP, attività sui sistemi messi a disposizione;
Dati raccolti tramite le comunicazioni: contenuto delle email, dei messaggi, delle riunioni e delle videoconferenze, ove necessario alla gestione del rapporto. La Società potrebbe altresì registrare audio di call e riunioni, in via non sistematica e limitatamente ai casi di necessità (es. verbalizzazione brief tecnici, documentazione di accordi commerciali): in tali ipotesi è acquisito il consenso esplicito previo di tutti gli interlocutori ai sensi dell’art. 6(1)(a) GDPR.

La Società non tratta, di norma, dati appartenenti alle categorie particolari di cui all’art. 9 GDPR né dati giudiziari di cui all’art. 10 GDPR. Ove tali dati venissero conferiti dall’interessato di sua iniziativa nell’ambito delle comunicazioni di progetto, saranno trattati con cautela e nei limiti strettamente necessari all’esecuzione del contratto.

2. Finalità e basi giuridiche del trattamento

2.1 Conclusione ed esecuzione del contratto Comprende: gestione delle trattative precontrattuali, redazione e sottoscrizione del contratto, esecuzione dei servizi pattuiti, comunicazioni operative di progetto, gestione delle richieste di assistenza, fatturazione e gestione dei pagamenti. Base giuridica: art. 6(1)(b) GDPR — esecuzione del contratto o di misure precontrattuali su richiesta dell’interessato.

2.2 Adempimenti fiscali, contabili e legali Comprende: tenuta della contabilità, emissione e ricezione delle fatture elettroniche, conservazione dei documenti fiscali e contabili, comunicazioni allo SDI e all’Agenzia delle Entrate, adempimenti societari e camerali. Base giuridica: art. 6(1)(c) GDPR — adempimento di obblighi legali (normativa fiscale e contabile, art. 2220 c.c., D.P.R. 633/1972).

2.3 Comunicazioni operative e gestione del rapporto Comprende: invio di comunicazioni di servizio relative al contratto, aggiornamenti operativi, comunicazioni di rinnovo, gestione delle credenziali di accesso, supporto tecnico e assistenza. Base giuridica: art. 6(1)(b) GDPR — esecuzione del contratto.

2.4 Marketing diretto e comunicazioni commerciali Previo specifico consenso dell’interessato, la Società può inviare comunicazioni informative su nuovi servizi, newsletter periodiche, inviti a eventi e webinar, aggiornamenti sulle attività della Società. Il consenso è facoltativo, liberamente revocabile in qualsiasi momento e non condiziona la prestazione dei servizi contrattuali. Base giuridica: art. 6(1)(a) GDPR — consenso dell’interessato. Per i clienti già acquisiti, la Società può altresì inviare — in assenza di opposizione manifestata sin dal momento del conferimento dei dati e in occasione di ciascuna comunicazione — informazioni commerciali relative a servizi propri analoghi a quelli oggetto della vendita, ai sensi dell’art. 130, comma 4, D.Lgs. 196/2003 e s.m.i. (cd. soft-spam).

2.5 Tutela legale e gestione del contenzioso Comprende: accertamento, esercizio o difesa di un diritto in sede giudiziaria, arbitrale o stragiudiziale; gestione di contestazioni, reclami, recupero crediti. Base giuridica: art. 6(1)(f) GDPR — legittimo interesse del Titolare alla tutela dei propri diritti (Considerando 47 e 52 GDPR).

3. Destinatari e categorie di destinatari dei dati

3.1 Responsabili del trattamento (art. 28 GDPR) I dati possono essere comunicati, nella misura strettamente necessaria, alle seguenti categorie di soggetti nominati Responsabili del trattamento:

Studio commercialista e consulente fiscale, per la tenuta della contabilità e gli adempimenti dichiarativi;
Piattaforma di fatturazione elettronica (Aruba Fatture in Cloud) per emissione e ricezione delle fatture, registrazioni contabili e adempimenti SDI;
Fornitori di servizi di project management, collaborazione e comunicazione (debitamente vincolati da DPA ex art. 28 GDPR);
Fornitori di servizi cloud e IT (es. Google Workspace, Microsoft 365/OneDrive, 1Password) per la gestione dell’infrastruttura informatica della Società;
Consulenti legali, per la gestione di contenziosi o pareri specialistici;
Eventuali altri fornitori IT funzionali all’esecuzione del contratto, debitamente vincolati da DPA ex art. 28 GDPR.

3.2 Titolari autonomi Potranno altresì ricevere i dati, in qualità di titolari autonomi:

Istituto bancario, per la gestione dei pagamenti e degli incassi (trattamento dei dati per finalità proprie ex obblighi normativi);
Agenzia delle Entrate e altre amministrazioni finanziarie, per adempimenti fiscali obbligatori;
Camera di Commercio, INPS, INAIL nei casi previsti dalla legge;
Autorità giudiziarie, di polizia e di vigilanza, ove richiesto da norma di legge o da provvedimento dell’autorità.

I dati non saranno diffusi e non saranno comunicati a terzi per finalità diverse da quelle indicate nella presente informativa, salvo specifico consenso dell’interessato o obbligo di legge.

4. Trasferimento dei dati verso Paesi terzi

Di norma i dati sono trattati e conservati all’interno del territorio dell’Unione Europea. Alcuni strumenti di comunicazione e collaborazione adottati dalla Società (Google Workspace, Microsoft 365/OneDrive, 1Password) possono comportare il trasferimento di dati verso Paesi terzi.

In tali casi, la Società si assicura che il trasferimento avvenga sulla base di:

Decisione di adeguatezza della Commissione Europea (art. 45 GDPR);
Clausole Contrattuali Standard adottate dalla Commissione Europea (art. 46(2)(c) GDPR);
Data Privacy Framework UE-USA, ove applicabile.

5. Periodi di conservazione

I dati personali saranno conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, nel rispetto dei termini di prescrizione e degli obblighi di legge, secondo le seguenti durate:

Dati contrattuali e di esecuzione del contratto: 10 anni dalla cessazione del rapporto (art. 2946 c.c.);
Dati di fatturazione e documentazione fiscale: 10 anni dalla data del documento (art. 2220 c.c. e D.P.R. 633/1972);
Corrispondenza commerciale: 5 anni dalla chiusura del rapporto;
Log di accesso ai sistemi: 6 mesi (Provvedimento Garante 27.11.2008), prorogabili a 12 mesi nei casi previsti dai contratti di servizio;
Dati per marketing diretto: sino a revoca del consenso o a 24 mesi dall’ultimo contatto, se precedente;
Dati per tutela legale e contenzioso: durata del procedimento + 10 anni.

6. Diritti dell’interessato

In qualità di interessato, Lei ha il diritto di:

Accesso (art. 15 GDPR): ottenere conferma del trattamento e copia dei dati personali che La riguardano;
Rettifica (art. 16 GDPR): ottenere la correzione di dati inesatti o l’integrazione di dati incompleti;
Cancellazione (art. 17 GDPR): ottenere la cancellazione dei dati nei casi previsti dalla norma;
Limitazione del trattamento (art. 18 GDPR): ottenere la limitazione in presenza delle condizioni di legge;
Portabilità (art. 20 GDPR): ricevere i dati in formato strutturato e di uso comune, ove applicabile;
Opposizione (art. 21 GDPR): opporsi al trattamento fondato su legittimo interesse, per motivi connessi alla Sua situazione particolare;
Revoca del consenso (art. 7(3) GDPR): per i trattamenti basati sul consenso, con efficacia per il futuro.

Per esercitare i diritti, inviare richiesta scritta a: privacy@htmlfactory.it. La Società darà riscontro entro 30 giorni, prorogabili di ulteriori 60 giorni in casi di particolare complessità (art. 12(3) GDPR).

In caso di violazione del GDPR, ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato membro in cui risiede o lavora abitualmente.

7. Natura del conferimento e conseguenze del rifiuto

Il conferimento dei dati necessari alla stipula e all’esecuzione del contratto (dati anagrafici, fiscali, di contatto, di pagamento) è obbligatorio: il mancato conferimento rende impossibile concludere o proseguire il rapporto contrattuale e adempiere agli obblighi di legge.

Il conferimento dei dati per finalità di marketing diretto è facoltativo e non condiziona la prestazione dei servizi contrattuali.

8. Decisioni automatizzate e profilazione

La Società non adotta processi decisionali basati unicamente sul trattamento automatizzato che producano effetti giuridici significativi sull’interessato ai sensi dell’art. 22 GDPR nella gestione del rapporto contrattuale. Eventuali sistemi di intelligenza artificiale sviluppati o gestiti dalla Società nell’ambito di progetti realizzati per i propri clienti non sono utilizzati per finalità di gestione del rapporto contrattuale con il cliente medesimo. La Società potrà inoltre avvalersi di strumenti di intelligenza artificiale generativa quale supporto operativo interno (es. redazione di bozze, analisi di documenti, attività di sviluppo software): tali strumenti operano sempre sotto supervisione umana e gli output sono validati prima dell’utilizzo, in modo da escludere qualsiasi decisione automatizzata ex art. 22 GDPR.

9. Misure di sicurezza

La Società adotta misure tecniche e organizzative adeguate ai sensi degli artt. 25 e 32 GDPR, tra cui:

Autenticazione a due fattori (2FA/MFA) su tutti i sistemi che la supportano;
Gestione centralizzata delle credenziali tramite vault 1Password;
Cifratura dei dispositivi aziendali e dei dati conservati in cloud;
Archiviazione su sistemi NAS con copia di backup presso la sede aziendale;
Backup periodici con verifica di integrità;
Formazione periodica dei collaboratori sulla protezione dei dati;
Nomina degli Amministratori di Sistema con conservazione dei log (Provvedimento Garante 27.11.2008);
Adozione di Policy di Sicurezza interne (Politica di Sicurezza Fisica, Regolamento Documenti Digitali, Regolamento Informatico).

10. Trattamenti effettuati dalla Società per conto del Cliente

Qualora nell’esecuzione del contratto la Società si trovasse a trattare dati personali per conto del Cliente, tale attività configura un trattamento ai sensi dell’art. 28 GDPR, in cui la Società opera come Responsabile del trattamento e il Cliente come Titolare. Il presente documento NON copre tali trattamenti, che sono disciplinati da apposito Accordo sul trattamento dei dati personali (Data Processing Agreement). Il Cliente è invitato a sottoscrivere il DPA secondo il modello standard messo a disposizione dalla Società, salvo diverso accordo tra le Parti.

11. Aggiornamenti della presente informativa

La presente informativa potrà essere aggiornata in caso di modifiche normative o organizzative rilevanti. La versione aggiornata è sempre disponibile su richiesta a privacy@htmlfactory.it.