Accordo sul trattamento dei dati

Le parti

Il presente accordo (l'«Accordo») è concluso fra l'azienda che usa Sunnix Pro, identificata dai dati del suo account (il «Titolare»), e SoLink S.r.l., sede legale in Via Bergamo 44, 23807 Merate (LC), P. IVA IT03727580130, che gestisce la piattaforma Sunnix (il «Responsabile»).

L'Accordo integra i Termini e condizioni di Sunnix, in particolare l'art. 4 su Sunnix Pro. Il Titolare lo accetta dall'account, e vale finché il Responsabile tratta dati per suo conto. In caso di contrasto fra l'Accordo e i Termini, sulla protezione dei dati prevale l'Accordo.

1. Definizioni

«Dato personale», «trattamento», «titolare», «responsabile», «interessato», «violazione dei dati personali» e «sub-responsabile» hanno il significato dell'art. 4 del Regolamento (UE) 2016/679 (GDPR). Per «Clienti» si intendono le persone che usano i link e le pagine del Titolare, o ricevono i preventivi e le proposte che il Titolare prepara con Sunnix Pro.

2. Oggetto e ruoli

2.1. Il Responsabile tratta per conto del Titolare i dati personali dei Clienti descritti nell'Allegato A, al solo scopo di fornire Sunnix Pro.

2.2. Restano fuori dall'Accordo, perché il Responsabile li tratta come titolare autonomo secondo la propria informativa privacy:

• i dati dell'account del Titolare e delle sue persone: email di accesso, casella degli avvisi, dati dell'azienda, abbonamento e pagamenti;
• le stime fatte sul sito pubblico sunnix.it fuori dai link del Titolare, compresa la scelta, da parte di chi le fa, di un'azienda vicina a cui rivolgersi;
• il monitoraggio di un impianto con un account intestato al Cliente: se il Cliente acconsente a condividere numeri o avvisi col Titolare, il Responsabile glieli comunica sulla base di quel consenso;
• le statistiche di visita del sito, raccolte solo col consenso di chi visita e mai sulle proposte, sulle stime, sui progetti e sui riquadri incorporati nei siti di altri;
• le segnalazioni di contenuti fatte da chiunque sulle pagine delle aziende (Regolamento (UE) 2022/2065);
• i dati aggregati e anonimi sull'uso della piattaforma, che non sono dati personali.

3. Istruzioni del Titolare

3.1. Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Sono istruzioni i Termini, l'Accordo e le scelte che il Titolare fa nella piattaforma: i link che crea, i campi che chiede, i preventivi e le proposte che prepara e manda, i dati e i file che carica o toglie.

3.2. Se un'istruzione gli sembra violare il GDPR o un'altra norma sulla protezione dei dati, il Responsabile lo segnala subito al Titolare, e può sospenderla finché non viene confermata o modificata.

3.3. Se il diritto dell'Unione o italiano obbliga il Responsabile a un trattamento diverso, il Responsabile ne informa prima il Titolare, salvo che la legge lo vieti.

4. Riservatezza e accesso del personale

4.1. Il Responsabile autorizza al trattamento solo le persone che ne hanno bisogno per fornire il servizio o l'assistenza richiesta dal Titolare. Tutte sono vincolate alla riservatezza per contratto o per legge.

4.2. Il personale del Responsabile entra nell'account del Titolare solo su sua richiesta e per il tempo che il Titolare concede, oppure per preparare l'azienda prima di consegnargliela. Ogni modifica fatta così compare nella storia dell'account che il Titolare legge, e il Titolare può togliere l'accesso in qualunque momento.

5. Sicurezza

5.1. Il Responsabile adotta le misure tecniche e organizzative dell'Allegato B, adeguate al rischio ai sensi dell'art. 32 GDPR.

5.2. Può aggiornarle nel tempo, purché il livello di protezione non diminuisca.

6. Sub-responsabili

6.1. Il Titolare dà un'autorizzazione generale a servirsi dei sub-responsabili dell'Allegato C.

6.2. Il Responsabile avvisa il Titolare per email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Entro quel termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se non si trova una soluzione, il Titolare può recedere dall'abbonamento senza penali, con il rimborso della parte di periodo già pagata e non goduta.

6.3. Il Responsabile impone a ogni sub-responsabile obblighi di protezione dei dati non inferiori a quelli dell'Accordo, e ne risponde verso il Titolare.

7. Trasferimenti fuori dall'Unione europea

I dati si conservano e si elaborano su server nell'Unione europea: il database e i file (Supabase), le funzioni del sito e dell'API (Vercel) e la memoria temporanea (Upstash) stanno in regioni europee. I sub-responsabili dell'Allegato C sono però società con sede o capogruppo negli Stati Uniti, e un accesso da fuori dall'Unione europea resta possibile, per l'assistenza o per un obbligo di legge del loro paese; per Twilio (SendGrid) e Google il trattamento può avvenire anche lì. Per questo ogni sub-responsabile ha anche una garanzia di trasferimento: l'adesione all'EU-U.S. Data Privacy Framework, oppure le clausole contrattuali tipo approvate dalla Commissione europea (decisione (UE) 2021/914), come indicato nell'Allegato C.

8. Assistenza al Titolare

8.1. Diritti degli interessati. La piattaforma permette al Titolare di trovare i dati dei Clienti, di scaricarne una copia (punto 10.2) e di toglierli, in questo modo:

• le stime e i file caricati si cancellano dall'account, uno per uno, in qualunque momento. Un documento che un link pubblicato mostra ancora va prima tolto da quel link, perché il suo indirizzo può essere stampato su un QR;
• i link e le proposte si ritirano: da quel momento non si aprono più, ma la riga resta finché resta l'account. Una proposta è anche l'atto con cui un Cliente prende nel suo account l'impianto che ha comprato;
• le cartelle degli impianti si archiviano, le prenotazioni si annullano e le richieste arrivate dal controllo si scartano: restano, con i preventivi dei lavori, nella storia dell'impianto finché resta l'account;
• quando un Cliente chiede la cancellazione e non il solo ritiro, il Titolare la chiede al Responsabile, che cancella entro 5 giorni lavorativi la proposta, il preventivo di un lavoro con le sue foto, la prenotazione, la richiesta o la cartella indicate;
• tutto si cancella alla chiusura dell'account, e alla scadenza del punto 10.4.

Se un Cliente scrive direttamente al Responsabile per esercitare un diritto su dati del Titolare, il Responsabile inoltra la richiesta al Titolare entro 5 giorni lavorativi, e non risponde nel merito senza sua istruzione.

8.2. Altri obblighi. Il Responsabile assiste il Titolare, per quanto gli compete e con le informazioni di cui dispone, negli obblighi degli artt. 32-36 GDPR: sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva.

9. Violazioni dei dati personali

9.1. Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di una violazione che riguarda i dati del Titolare. Scrive all'email dell'account e a quella pubblica dell'azienda.

9.2. La comunicazione descrive, per quanto già noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le conseguenze probabili, le misure adottate o proposte e un contatto. Le informazioni mancanti arrivano appena disponibili.

9.3. La notifica al Garante e la comunicazione agli interessati restano a cura del Titolare. Il Responsabile non comunica con gli interessati senza sua istruzione, salvo obbligo di legge.

10. Durata, restituzione e cancellazione

10.1. L'Accordo dura quanto l'abbonamento, e comunque finché il Responsabile tratta dati per conto del Titolare.

10.2. In qualunque momento, e prima della chiusura, il Titolare può scaricare dall'account una copia dei dati in formato JSON («I tuoi dati»): azienda, link e loro eventi, stime, proposte, cartelle degli impianti e loro storia, prenotazioni, richieste dal controllo, preventivi dei lavori con l'elenco delle foto, e il registro di quello che il personale del Responsabile ha fatto nell'account.

10.3. Alla chiusura dell'account il Responsabile cancella i dati del Titolare: azienda, link e loro eventi, stime, proposte, cartelle, prenotazioni, richieste, preventivi dei lavori, file e foto caricati. Le cancellazioni dal database sono immediate; dalle copie di sicurezza del fornitore del database i dati spariscono con la loro rotazione, entro 30 giorni, e fino ad allora non vengono usati.

10.4. Ad abbonamento scaduto e non rinnovato i link del Titolare smettono di funzionare, e i dati restano nell'account per dodici mesi dalla fine dell'ultimo abbonamento. Il Responsabile avvisa il Titolare per email 30 e 7 giorni prima; se nel frattempo il Titolare non rinnova, cancella i dati come al punto 10.3. Il Titolare può scaricarne una copia fino a quel giorno. Se un avviso parte in ritardo, la cancellazione si sposta di conseguenza: non avviene mai prima della data scritta nell'avviso. L'account personale e il monitoraggio degli impianti intestati al Titolare restano.

10.5. Resta salvo l'obbligo di conservare i dati che la legge impone al Responsabile.

11. Verifiche

11.1. Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR, rispondendo per iscritto alle sue richieste ragionevoli.

11.2. Il Titolare può chiedere un'ispezione, anche tramite un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, non più di una volta l'anno salvo violazione accertata o richiesta di un'autorità, e a proprie spese. Le verifiche sui sub-responsabili si fanno sulla base delle loro certificazioni e dei loro rapporti di audit.

12. Obblighi del Titolare

Il Titolare:

• fornisce ai Clienti l'informativa (artt. 13-14 GDPR) sui trattamenti che fa tramite Sunnix Pro;
• ha una base giuridica per i dati che raccoglie o carica, in particolare per le foto dei lavori e per il nome del Cliente che scrive nei preventivi;
• non scrive nei campi liberi (note, didascalie, titoli) dati che il servizio non chiede, come telefoni, dati sanitari o giudiziari, e non carica categorie particolari di dati (art. 9 GDPR);
• tiene riservato l'accesso al proprio account e decide quali delle sue persone lo usano.

13. Responsabilità

La responsabilità delle parti verso gli interessati è regolata dall'art. 82 GDPR. Fra le parti valgono i limiti dei Termini, salvo dolo o colpa grave e salvo quanto non sia derogabile per legge.

14. Legge e foro

L'Accordo è regolato dalla legge italiana. Per le controversie fra le parti è competente il Foro di Lecco, dove ha sede SoLink S.r.l.

Allegato A — Descrizione del trattamento

Natura e finalità. Raccolta, registrazione, conservazione, calcolo, consultazione, trasmissione via email e cancellazione, al solo fine di permettere al Titolare di fare stime e preventivi, mandare proposte, ricevere richieste e prenotazioni e seguire gli impianti dei suoi Clienti con Sunnix Pro.

Interessati. I Clienti e i potenziali clienti del Titolare che usano i suoi link o ricevono i suoi preventivi e le sue proposte.

Dati trattati:

• indirizzo e coordinate dell'immobile, nelle stime, nelle proposte, nelle cartelle degli impianti, nelle prenotazioni e nelle richieste dal controllo;
• dati dell'impianto: potenza, falde, pannelli, produzione stimata; nel controllo di un impianto, i totali di produzione letti dall'app dell'inverter e il loro riassunto;
• consumi e spesa ricavati dalla bolletta: il file si legge nel browser del Cliente e non viene caricato, si tengono solo i numeri;
• nome, telefono, email e messaggio di richieste e prenotazioni: solo in transito verso l'email del Titolare. Non si salvano nel database, e restano per un tempo limitato nei registri del servizio email;
• giorno, ora, servizio e indirizzo delle prenotazioni, e un gettone segreto per spostarle o annullarle;
• l'email del Cliente a cui il Titolare manda una proposta, conservata cifrata;
• la risposta e il commento del Cliente a una proposta, le voci facoltative che sceglie e, per un privato, se chiede di cominciare prima dei 14 giorni del recesso; le aperture della proposta;
• i preventivi dei lavori: il lavoro, le voci, i prezzi, i testi e fino a sei foto con la loro didascalia, in un archivio privato. Le foto perdono la posizione GPS prima di lasciare il browser;
• «Il tuo impianto oggi»: la produzione misurata dal monitoraggio, se il Cliente la condivide, oppure i numeri dell'app dell'inverter che il Titolare scrive;
• il comune da cui è stato aperto un link, senza nome, email o indirizzo IP;
• i documenti e le immagini caricati dal Titolare;
• le date del cantiere, le fasi e la storia dell'impianto, la produzione promessa.

Il nome del Cliente non arriva al Responsabile: resta nel browser del Titolare, nel PDF e nella parte del link dopo il simbolo «#», che il server non riceve.

Durata. Quella dell'Accordo (punto 10). Le stime fatte sui link del Titolare non scadono da sole: restano finché il Titolare non le cancella o non chiude l'account.

Allegato B — Misure di sicurezza

• Connessioni cifrate (HTTPS/TLS) fra browser, sito, API e database.
• Accesso all'account senza password, con link o codice monouso via email, e un limite ai tentativi.
• Cookie di sessione HttpOnly, che gli script della pagina non possono leggere.
• Isolamento fra aziende: ogni lettura e scrittura passa dall'API e si limita all'azienda di chi è entrato; una prova automatica pretende il filtro dell'azienda in ogni interrogazione.
• Database non esposto: Row Level Security su ogni tabella, nessun permesso ai ruoli pubblici e nessuna funzione eseguibile da fuori. Ci accedono solo i server del Responsabile.
• Cifratura applicativa AES-256-GCM delle email dei destinatari delle proposte e delle credenziali dei portali degli inverter.
• Link di proposte e appuntamenti con segreti non indovinabili; i gesti che partono dalle email, come confermare un appuntamento, sono firmati.
• Foto dei lavori in un archivio privato, mostrate con indirizzi firmati che scadono dopo 12 ore.
• Limiti anti-abuso per indirizzo IP, conservato solo come impronta.
• Il destinatario delle email non arriva mai dal browser: il server lo ricava dal link o dall'appuntamento.
• Registri tecnici senza email né nomi: le persone compaiono con un identificativo interno.
• Copie di sicurezza gestite dal fornitore del database, che ruotano entro 30 giorni.
• Accesso amministrativo ai sistemi riservato a chi gestisce il servizio per il Responsabile, con autenticazione a due fattori.
• Accesso del personale del Responsabile a un account solo come descritto al punto 4.2, e sempre registrato.

Allegato C — Sub-responsabili autorizzati

• Supabase Inc. (Stati Uniti; server nell'Unione europea) — database, accesso e archivio di file e foto — tutti i dati dell'Allegato A, salvo quelli solo in transito — clausole contrattuali tipo (decisione (UE) 2021/914), nel suo accordo sui dati.
• Vercel Inc. (Stati Uniti; funzioni del sito e dell'API su server nell'Unione europea) — hosting del sito e dell'API — tutti i dati, in transito, e i registri tecnici — EU-U.S. Data Privacy Framework.
• Twilio Inc., servizio SendGrid (Stati Uniti) — invio delle email — richieste, prenotazioni e proposte inviate — EU-U.S. Data Privacy Framework.
• Upstash Inc. (Stati Uniti; server nell'Unione europea) — limiti anti-abuso e memoria temporanea del meteo — impronte degli indirizzi IP e coordinate arrotondate a circa 100 metri — clausole contrattuali tipo, nel suo accordo sui dati.
• Google Ireland Ltd. e Google LLC — mappa, ricerca degli indirizzi e dati del tetto — indirizzi e coordinate — EU-U.S. Data Privacy Framework.

Stripe non è un sub-responsabile di questo Accordo: tratta i pagamenti del Titolare, non i dati dei suoi Clienti. Open-Meteo e PVGIS (Commissione europea) ricevono solo coordinate geografiche. Nessun servizio di intelligenza artificiale riceve dati dei Clienti.