Pleya

Legale

Accordo sul trattamento dei dati

Ultimo aggiornamento: 22 ottobre 2026

Questo accordo, ai sensi dell’articolo 28 del Regolamento (UE) 2016/679 («GDPR»), fa parte del contratto fra il Cliente e Contech S.r.l. regolato dalle Condizioni generali del servizio, e regola i dati personali che il Cliente tratta con Pleya.

1. Ruoli

Il Cliente è il titolare dei dati personali che inserisce o genera nel Servizio (dati dei suoi dipendenti e collaboratori, dei suoi clienti e fornitori, dei loro referenti). Il Fornitore li tratta come responsabile, per conto del Cliente e solo per erogare il Servizio. Per i dati degli account e per la sicurezza della piattaforma il Fornitore è titolare autonomo, come spiega l’Informativa privacy.

2. Oggetto e istruzioni

Il Fornitore tratta i dati per la durata del contratto e solo secondo le istruzioni documentate del Cliente, che sono queste Condizioni e l’uso che il Cliente fa del Servizio. Le categorie di interessati sono dipendenti, collaboratori, clienti, fornitori e loro referenti; i dati sono quelli che servono alla gestione del lavoro (anagrafici, di contatto, contrattuali, di presenza e di trasferta, retributivi, contabili e fiscali, documenti). Il Cliente non inserisce categorie particolari di dati (articolo 9 GDPR) se non quelle che la legge gli chiede di trattare per il rapporto di lavoro (per esempio i certificati medici), e in quel caso ne limita l’accesso con i permessi del Servizio. Se un’istruzione sembra violare la legge, il Fornitore lo dice al Cliente.

3. Riservatezza

Accedono ai dati solo le persone del Fornitore che ne hanno bisogno per erogare il Servizio o l’assistenza, vincolate alla riservatezza e nominate amministratori di sistema. Il Fornitore non guarda i dati del Cliente se non per un’assistenza chiesta dal Cliente, per la sicurezza o per un obbligo di legge.

4. Misure di sicurezza

  • dati ospitati nell’Unione europea, cifrati durante il trasferimento (HTTPS) e sui dischi;
  • separazione dei dati fra un’azienda e l’altra in ogni lettura e scrittura, con controlli automatici a ogni modifica del software;
  • accesso con password e, se l’azienda lo sceglie, con due fattori, anche obbligatori; ruoli e permessi decisi dal Cliente;
  • file privati aperti solo con collegamenti a tempo, dopo il controllo di chi li chiede;
  • chiavi delle integrazioni cifrate; registro delle azioni importanti;
  • copie di sicurezza giornaliere del database, conservate dal fornitore dell’infrastruttura;
  • limiti ai tentativi sulle porte pubbliche e controlli anti-robot.

5. Sub-responsabili

Il Cliente autorizza il Fornitore a servirsi dei sub-responsabili qui sotto, vincolati per contratto a obblighi di protezione dei dati equivalenti. Il Fornitore avvisa il Cliente almeno 30 giorni prima di aggiungerne o sostituirne uno, per email o dentro il Servizio: il Cliente può opporsi per motivi legittimi e, se non si trova una soluzione, recedere senza costi.

  • Supabase Inc.: database, accesso degli utenti e spazio dei file. Dove: Unione europea (Francoforte). Quando: sempre.
  • Vercel Inc.: esecuzione dell’applicazione e lavori programmati. Dove: Unione europea (Francoforte); società negli Stati Uniti. Quando: sempre.
  • Resend Inc.: invio delle email del Servizio. Dove: Unione europea (Irlanda); società negli Stati Uniti. Quando: sempre, salvo server di posta del Cliente.
  • Functional Software Inc. (Sentry): registro degli errori dell’applicazione. Dove: Stati Uniti. Quando: sempre.
  • Cloudflare Inc. (Turnstile): controllo anti-robot nelle pagine pubbliche. Dove: Stati Uniti. Quando: alla registrazione e nelle porte pubbliche.
  • Anthropic PBC: assistente basato su intelligenza artificiale, lettura delle fatture. Dove: Stati Uniti. Quando: se l’assistente è attivo.
  • OpenAI, L.L.C.: trascrizione dei messaggi vocali. Dove: Stati Uniti. Quando: se si usano i messaggi vocali.
  • Meta Platforms Ireland Ltd (WhatsApp): messaggi con l’assistente su WhatsApp. Dove: Unione europea; gruppo negli Stati Uniti. Quando: se WhatsApp è attivo.
  • OpenAPI S.p.A.: invio e ricezione delle fatture elettroniche (Sistema di Interscambio). Dove: Italia. Quando: se la fatturazione elettronica è attiva.
  • Qonto (Olinda SAS): lettura dei movimenti del conto Qonto. Dove: Unione europea (Francia). Quando: se il conto Qonto è collegato.
  • Enable Banking Oy: lettura dei movimenti di altre banche (open banking). Dove: Unione europea (Finlandia). Quando: se una banca è collegata.
  • Google Ireland Ltd: invio delle firme email a Gmail. Dove: Unione europea; gruppo negli Stati Uniti. Quando: se l’invio a Gmail è attivo.

6. Trasferimenti fuori dall’Unione europea

I dati si conservano nell’Unione europea. Quando un sub-responsabile li tratta o vi accede dagli Stati Uniti o da un altro Paese terzo, il trasferimento si basa sulla decisione di adeguatezza dell’EU-US Data Privacy Framework per le società certificate, o sulle clausole contrattuali tipo della Commissione europea.

7. Diritti degli interessati

Il Servizio dà al Cliente gli strumenti per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, esportazione). Se una richiesta arriva al Fornitore, il Fornitore la gira al Cliente senza ritardo e lo aiuta, per quanto ragionevole, a rispondere.

8. Violazioni dei dati

Il Fornitore comunica al Cliente una violazione dei dati personali che lo riguarda senza ingiustificato ritardo, ed entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili su cosa è successo, quali dati sono coinvolti e cosa si sta facendo; poi le completa appena le ha. La notifica al Garante e agli interessati, quando serve, spetta al Cliente, con l’aiuto del Fornitore.

9. Assistenza e verifiche

Il Fornitore aiuta il Cliente, per quanto ragionevole, nelle valutazioni d’impatto e nelle consultazioni con il Garante, e mette a disposizione le informazioni che servono a dimostrare il rispetto di questo accordo. Il Cliente può chiedere una verifica con un preavviso di almeno 30 giorni, a sue spese, senza accedere ai dati di altri clienti.

10. Fine del trattamento

Alla cessazione del contratto il Fornitore mette i dati a disposizione per l’esportazione per 60 giorni e poi li cancella, comprese le copie di sicurezza nei 30 giorni successivi, salvo gli obblighi di conservazione di legge. Su richiesta conferma per iscritto la cancellazione.

11. Contatti

Per tutto quello che riguarda questo accordo e per segnalare un problema di sicurezza: support@pleya.it.