Informativa sul trattamento dei dati personali

Il Titolare del trattamento è INTASCA Società a Responsabilità Limitata Semplificata, in persona del legale rappresentante pro tempore, con sede legale in Via Nuova Poggioreale Torre 7 SNC, 80143 Napoli (NA), P.IVA/C.F. 11039821217, PEC intascasrls@pec.it.

INTASCA S.r.l.s. ha designato un Responsabile della Protezione dei Dati (RPD/DPO), raggiungibile all’indirizzo d.fiorelli@l-cm.it. Per qualsiasi richiesta relativa alla protezione dei dati personali è possibile scrivere al DPO oppure contattare direttamente il Titolare all’indirizzo PEC sopra indicato.

I dati personali forniti da clienti, fornitori, collaboratori, professionisti e referenti aziendali saranno trattati per le seguenti finalità:

• esecuzione di contratti aventi ad oggetto servizi di sviluppo software, web-app, siti internet, gestionali e applicazioni digitali;
• erogazione di servizi di hosting, manutenzione, assistenza tecnica e supporto informatico;
• gestione dei servizi di fatturazione elettronica tramite Sistema di Interscambio (SdI);
• gestione di attività di marketing, comunicazione digitale e gestione dei canali social dei clienti;
• gestione amministrativa, contabile, fiscale e organizzativa dei rapporti contrattuali;
• adempimento di obblighi previsti da leggi, regolamenti o disposizioni delle Autorità competenti;
• tutela dei diritti del Titolare e gestione di eventuali contenziosi;
• elaborazioni statistiche e analisi finalizzate al miglioramento dei servizi offerti.

La base giuridica del trattamento è costituita:

• dall’esecuzione del contratto o di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR);
• dall’adempimento di obblighi legali cui è soggetto il Titolare (art. 6, par. 1, lett. c GDPR);
• dal legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR);
• dal consenso espresso dell’interessato, ove richiesto dalla normativa vigente (art. 6, par. 1, lett. a GDPR).

Il conferimento dei dati necessari all’esecuzione del rapporto contrattuale è facoltativo ma indispensabile; l’eventuale rifiuto comporterà l’impossibilità di instaurare o proseguire il rapporto contrattuale. Il trattamento sarà effettuato con strumenti informatici e telematici nel rispetto delle misure di sicurezza previste dalla normativa vigente. INTASCA S.r.l.s. adotta idonee misure tecniche e organizzative per prevenire perdita dei dati, accessi non autorizzati, utilizzi illeciti o divulgazioni non consentite.

Dati dei clienti del Cliente. Per i dati che un Cliente fa affluire nella propria Azienda sulla Piattaforma INTASCA S.r.l.s. è responsabile del trattamento (DPA) e, come previsto dalla sezione 9 dei Termini di servizio, INTASCA S.r.l.s.:

• non usa i dati di persone fisiche presenti nella contabilità del Cliente per finalità diverse dal servizio, e non li usa per addestrare modelli; per le sole società fornitrici l’abbinamento dicitura bancaria → denominazione e partita IVA può confluire in un dizionario comune, senza indicazione della provenienza.

I dati personali potranno essere comunicati, nei limiti delle finalità indicate, alle seguenti categorie di soggetti:

• dipendenti, collaboratori e soggetti espressamente autorizzati al trattamento;
• consulenti fiscali, contabili, legali e informatici;
• istituti di credito e intermediari finanziari;
• società che prestano servizi informatici, cloud, hosting, manutenzione e sicurezza;
• Pubbliche Amministrazioni, Enti pubblici e Autorità competenti per obblighi di legge;
• soggetti terzi coinvolti nell’esecuzione dei servizi richiesti dal cliente;
• Amministratori di Sistema interni ed esterni incaricati della gestione e della sicurezza delle infrastrutture informatiche, dei sistemi cloud, dei database, delle web-app e dei servizi tecnologici erogati dal Titolare.

In particolare, il Titolare si avvale di fornitori qualificati che possono operare quali Responsabili del trattamento ai sensi dell’art. 28 GDPR, tra cui:

• Hetzner Online GmbH per servizi di hosting su infrastrutture ubicate nell’Unione Europea (Finlandia, data center di Helsinki);
• Cloudflare, Inc. e Cloudflare Germany GmbH per servizi di sicurezza informatica, DNS, CDN, protezione DDoS, archiviazione (R2, giurisdizione UE) degli allegati, dei contenuti multimediali e delle copie di backup, e inoltro della posta diretta alla casella di assistenza;
• Google Ireland Ltd. (Google Workspace) per l’invio delle email della piattaforma (inviti, codici di verifica, solleciti, avvisi);
• Stripe Payments Europe Ltd. per gli incassi con carta dei clienti dell’azienda e per l’addebito del canone, quando l’azienda attiva la funzione: i numeri di carta non transitano mai dai nostri sistemi;
• Meta Platforms Ireland Ltd. per i servizi WhatsApp Business Platform, Instagram, Facebook, Messenger, Threads e inserzioni Meta, quando l’azienda cliente li collega (sezione 11);
• Google Ireland Ltd. per i servizi Google collegati dall’utente o dall’azienda (sezione 12);
• Microsoft Ireland Operations Ltd. per i servizi Outlook/Microsoft 365 collegati dall’utente (sezione 13);
• TikTok Technology Ltd. e LinkedIn Ireland Unlimited Company per i profili, le campagne e i negozi che l’azienda collega nel modulo marketing;
• TeamSystem S.p.A. (Fatture in Cloud), Passepartout S.p.A. (Mexal) e Revolut Bank UAB per la contabilità e i conti che l’azienda collega con le proprie credenziali;
• Openapi S.p.A. per la ricerca delle imprese da partita IVA e per la firma delle fatture verso la Pubblica Amministrazione, quando l’azienda attiva la funzione;
• i fornitori di modelli di intelligenza artificiale (Anthropic PBC, OpenAI LLC o un endpoint compatibile) scelti dall’azienda cliente con chiavi proprie, per le sole funzioni che l’azienda attiva.

L’elenco completo e aggiornato dei Responsabili del trattamento, con i dati che ciascuno riceve, la sede e la base del trasferimento, è pubblicato nella sezione 8 dell’Accordo sul trattamento dei dati (DPA) ed è letto dal codice della piattaforma alla data di ogni versione; può essere richiesto anche presso la sede del Titolare.

Per le attività di gestione, manutenzione, monitoraggio e sicurezza delle proprie infrastrutture informatiche e dei servizi erogati ai clienti, INTASCA S.r.l.s. si avvale di soggetti autorizzati a svolgere funzioni di Amministratore di Sistema, nominati secondo quanto previsto dalla normativa vigente e dai provvedimenti dell’Autorità Garante per la Protezione dei Dati Personali. Gli Amministratori di Sistema operano nell’ambito delle attività di:

• gestione e manutenzione di server, hosting e infrastrutture cloud;
• configurazione e gestione di siti web, web-app, gestionali e database;
• gestione delle credenziali di accesso e dei profili autorizzativi;
• esecuzione delle procedure di backup e ripristino dei dati;
• monitoraggio della sicurezza dei sistemi e prevenzione di accessi non autorizzati;
• assistenza tecnica e interventi correttivi sui servizi erogati;
• verifica dell’integrità, disponibilità e continuità operativa delle piattaforme informatiche.

Nell’espletamento di tali attività, gli Amministratori di Sistema possono accedere ai dati personali trattati dal Titolare esclusivamente nei limiti strettamente necessari allo svolgimento delle funzioni affidate e nel rispetto delle istruzioni impartite da INTASCA S.r.l.s., adottando idonee misure di sicurezza e riservatezza. L’elenco aggiornato degli Amministratori di Sistema e delle relative funzioni è conservato presso la sede del Titolare ed è disponibile nei casi previsti dalla normativa applicabile.

I dati personali saranno conservati per il tempo necessario al perseguimento delle finalità sopra indicate e, successivamente, per il periodo previsto dalla normativa applicabile. In particolare:

• i dati contrattuali, amministrativi e fiscali saranno conservati per almeno 10 anni dalla cessazione del rapporto;
• i dati relativi ai servizi erogati saranno conservati per tutta la durata del rapporto contrattuale e per il periodo necessario alla tutela dei diritti del Titolare;
• i dati trattati per finalità di marketing saranno conservati fino alla revoca del consenso o all’esercizio del diritto di opposizione;
• i messaggi WhatsApp, i commenti e i messaggi diretti ricevuti sui profili social collegati sono conservati per il periodo impostato da ciascuna azienda cliente (da 7 a 365 giorni; 30 giorni se non modificato) e poi cancellati automaticamente (sezione 11);
• i file multimediali caricati per la pubblicazione sui social sono cancellati 24 ore dopo la pubblicazione (impostazione modificabile dall’azienda) e comunque entro 30 giorni se restano in bozza o falliti;
• i token di accesso ai servizi collegati (Meta, Google, Microsoft, TikTok, LinkedIn, Fatture in Cloud, Revolut) sono conservati cifrati per la sola durata del collegamento e cancellati allo scollegamento o alla revoca;
• il registro di audit (chi ha fatto cosa nella piattaforma) è conservato senza cancellazione, in una catena immutabile; l’indirizzo IP e l’identificativo del browser che vi sono annotati vengono anonimizzati dopo 90 giorni;
• i log di accesso e di sicurezza (tentativi di accesso, sessioni, eventi di sicurezza) sono conservati per almeno sei mesi, come prescritto per gli Amministratori di Sistema, e finché servono a rilevare e contrastare accessi non autorizzati;
• le copie di backup del database sono conservate in un archivio fuori sede in giurisdizione UE per 35 giorni (le copie mensili per 400 giorni), immutabili rispettivamente per 30 e 365 giorni, e scadono da sole; non vengono ripristinate se non per un disastro.

L’interessato può esercitare in qualsiasi momento i diritti riconosciuti dagli artt. 15-22 del Regolamento (UE) 2016/679, tra cui:

• ottenere conferma dell’esistenza o meno di dati personali che lo riguardano;
• accedere ai dati personali;
• richiederne la rettifica o l’aggiornamento;
• richiederne la cancellazione nei casi previsti dalla legge;
• ottenere la limitazione del trattamento;
• opporsi al trattamento per motivi legittimi;
• ricevere i dati in formato strutturato e richiederne la portabilità, ove applicabile;
• revocare il consenso eventualmente prestato.

I diritti sopra indicati potranno essere esercitati mediante:

• PEC: intascasrls@pec.it
• Posta ordinaria: INTASCA S.r.l.s. – Via Nuova Poggioreale Torre 7 SNC, 80143 Napoli (NA).

Ai medesimi recapiti è possibile richiedere ulteriori informazioni sul trattamento dei dati personali o ottenere l’elenco aggiornato dei responsabili del trattamento.

Qualora ritenga che il trattamento dei dati personali effettuato dal Titolare violi la normativa vigente, l’interessato ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali, ai sensi dell’art. 77 del Regolamento (UE) 2016/679, ovvero di adire le competenti sedi giudiziarie.

I dati personali sono conservati ed elaborati prevalentemente all’interno dell’Unione Europea. INTASCA S.r.l.s. adotta infrastrutture e servizi localizzati in UE. Qualora, per esigenze tecniche o operative, si rendesse necessario il trasferimento dei dati verso Paesi non appartenenti all’Unione Europea, tale trasferimento avverrà nel rispetto degliartt. 44-49 del GDPR, mediante l’adozione delle Clausole Contrattuali Standard approvate dalla Commissione Europea o di altri strumenti di garanzia previsti dalla normativa vigente.

In particolare, per i servizi collegati dall’utente o dall’azienda cliente le controparti contrattuali nell’Unione Europea sono Meta Platforms Ireland Ltd., Google Ireland Ltd., Microsoft Ireland Operations Ltd., Stripe Payments Europe Ltd. e LinkedIn Ireland Unlimited Company; i dati possono essere trattati anche da Meta Platforms, Inc., Google LLC, Microsoft Corporation, Stripe, Inc. e LinkedIn Corporation negli Stati Uniti, sulla base della decisione di adeguatezza (UE) 2023/1795 del 10 luglio 2023 relativa al Data Privacy Framework UE-USA (art. 45 GDPR), cui tali società aderiscono, e delle Clausole Contrattuali Standard (decisione (UE) 2021/914) (art. 46, par. 2, lett. c GDPR) incluse nei rispettivi accordi sul trattamento dei dati. Lo stesso vale per i fornitori di modelli di intelligenza artificiale negli Stati Uniti (Anthropic PBC, OpenAI LLC), usati solo con la chiave dell’azienda cliente; per TikTok Technology Ltd. (Irlanda) il trasferimento verso il gruppo TikTok fuori dall’Unione si fonda sulle Clausole Contrattuali Standard. Cloudflare, Inc. aderisce al Data Privacy Framework; gli archivi R2 e le copie di backup restano in giurisdizione UE.

INTASCA S.r.l.s. non adotta processi decisionali interamente automatizzati che producano effetti giuridici nei confronti dell’interessato ai sensi dell’art. 22 del GDPR. Eventuali attività di analisi statistiche, monitoraggio del traffico web o misurazione delle performance sono effettuate esclusivamente per migliorare la qualità dei servizi erogati e non comportano decisioni automatizzate aventi effetti significativi sulla persona interessata. Sul sito e nella piattaforma non è installato alcuno strumento di analisi del traffico di terzi.

Le aziende clienti possono collegare alla piattaforma i propri canali Meta. In questi servizi INTASCA S.r.l.s. opera come «fornitore di soluzioni tecnologiche» (Tech Provider, Meta Platform Terms, sezione 5.b) per conto dell’azienda cliente, che è il titolare del trattamento dei dati delle persone con cui comunica; INTASCA S.r.l.s. è responsabile del trattamento ai sensi dell’art. 28 GDPR. I dati ricevuti da Meta sono tenuti separati per ciascuna azienda cliente e per ciascun cliente finale dell’azienda, non sono mai usati per finalità proprie di INTASCA S.r.l.s., non sono venduti né uniti a dati provenienti da altre piattaforme. Nessuna persona che scrive o commenta viene profilata e non viene svolta alcuna analisi delle emozioni (Regolamento (UE) 2024/1689, art. 5, par. 1, lett. f).

Ogni utente può collegare il proprio account Google alla piattaforma, per la sola azienda in cui lo collega. Il collegamento avviene tramite OAuth 2.0 di Google e chiede le autorizzazioni elencate qui; l’utente le vede nella schermata di consenso di Google e può revocarle in qualsiasi momento.

In concreto, per i dati ricevuti dalle API Google ci impegniamo a:

• usarli soltanto per fornire o migliorare le funzioni visibili all’utente nell’interfaccia della piattaforma (posta, calendario, contatti, file, attività), mai per altri scopi;
• non trasferirli a terzi, salvo che sia necessario per fornire quelle funzioni con il consenso dell’utente, per motivi di sicurezza, per adempiere a obblighi di legge, o nell’ambito di una fusione o cessione con il consenso esplicito dell’utente;
• non usarli né trasferirli per pubblicità, compreso il retargeting e la pubblicità personalizzata o basata sugli interessi, né a piattaforme pubblicitarie, data broker o rivenditori di informazioni;
• non consentirne la lettura da parte di persone, salvo che l’utente lo abbia espressamente autorizzato per messaggi o file specifici, che sia necessario per la sicurezza (per esempio per indagare un abuso), che lo imponga la legge, o che i dati siano aggregati e anonimizzati per operazioni interne.

• Autorizzazioni richieste (Microsoft Graph, delegate, senza consenso dell’amministratore): openid, profile, email, offline_access, User.Read, Mail.ReadWrite, Mail.Send, Calendars.ReadWrite, Contacts.ReadWrite, Files.Read, Tasks.ReadWrite, MailboxSettings.ReadWrite.
• Dati trattati: indirizzo e nome dell’account collegato; messaggi e allegati della casella, letti in diretta; cartelle della casella e regole di smistamento della Posta in arrivo (MailboxSettings.ReadWrite: lettura, creazione, modifica e spegnimento delle regole che la persona imposta da InTasca); eventi del calendario; contatti; elenco e contenuto dei file di OneDrive, in sola lettura (Files.Read: nessun file viene creato, modificato o cancellato); attività di Microsoft To Do (Tasks.ReadWrite: lettura, completamento e modifica; nessuna cancellazione).
• Finalità: leggere la posta e inviare e-mail dalla piattaforma (solleciti, risposte), sincronizzare calendario e contatti, allegare file di OneDrive alle registrazioni e mostrare le attività di To Do accanto a quelle della piattaforma, per l’utente che collega l’account. Base giuridica: esecuzione del contratto (lett. b).
• Conservazione: token cifrati per la durata del collegamento, cancellati allo scollegamento; messaggi, file e attività non sono copiati stabilmente nei nostri sistemi (un file di OneDrive viene letto solo quando l’utente lo allega).

Revoca: dalla piattaforma («Scollega Microsoft») oppure dall’account Microsoft — per un account personale da account.live.com/consent/Manage, per un account di lavoro o scuola da myapps.microsoft.com.

Questa informativa è pubblicata nella versione 2026-10-14. La versione letta al momento della registrazione o dell’attivazione dell’account resta registrata insieme alla presa visione. Le modifiche sono pubblicate qui con la nuova data; quelle che cambiano le finalità o i destinatari vengono comunicate agli interessati con gli stessi mezzi con cui l’informativa è stata resa (art. 13 §3 GDPR).

• 2026-10-14: sezione 4: ragione sociale di Openapi corretta in «Openapi S.p.A.», come nel contratto; prima era scritto «S.r.l.». Stessi servizi.
• 2026-10-12: sezione 2: indicato il recapito del Responsabile della Protezione dei Dati (DPO). Sezione 4: l’hosting di Hetzner Online GmbH è nel data center di Helsinki (Finlandia, UE), non in Germania. I dati restano nell’Unione Europea.
• 2026-09-25: sezione 3: nuovo capoverso «Dati dei clienti del Cliente» — i dati di persone fisiche della contabilità del Cliente non si usano per altre finalità né per addestrare modelli; per le sole società fornitrici l’abbinamento dicitura bancaria → denominazione e partita IVA può entrare nel dizionario comune, senza indicazione della provenienza (Termini sez. 9).
• 2026-09-22: sezione 13 (Microsoft): aggiunti OneDrive in sola lettura (Files.Read), Microsoft To Do (Tasks.ReadWrite) e contatti (Contacts.ReadWrite), con i link di revoca dell’account Microsoft; link di revoca Google; versione e data in testa; capitolo 14. Nuovo capitolo 10-bis «Cookie e memoria locale» (solo cookie tecnici, elencati uno per uno; il sito non ne usa). Sezione 4: destinatari allineati all’elenco dei sub-responsabili del DPA (Stripe, TikTok, LinkedIn, Fatture in Cloud, Passepartout, Revolut, OpenAPI, fornitori IA). Sezione 6: durate del registro di audit, dei log di sicurezza e delle copie di backup scritte come sono. Sezione 9: trasferimenti extra-UE completati. Le norme citate rimandano alla fonte ufficiale.
• 2026-09: sezioni 11-13 (servizi Meta, Google con la dichiarazione di Limited Use, Microsoft), destinatari, conservazione e trasferimenti extra-UE riscritti.