Accordo sul trattamento dei dati (2026-11-14)

Questa è una traduzione in lingua italiana della versione inglese, fornita per comodità. La versione in lingua inglese è vincolante (cfr. sezione 1). Versione inglese · Versione polacca

1. Disposizioni generali e oggetto

Il presente Accordo sul trattamento dei dati («DPA») è concluso tra l’Organizzazione che utilizza la Piattaforma Flowtly, in qualità di titolare del trattamento ai sensi dell’articolo 4, punto 7, del Regolamento (UE) 2016/679 del 27 aprile 2016 («GDPR») («Titolare»), e Flowtly Prosta Spółka Akcyjna, con sede legale a Varsavia (01-194), ul. Młynarska 8/12, Polonia, iscritta nel registro delle imprese del Registro Nazionale dei Tribunali con il numero KRS 0001188143, NIP 5273180297, REGON 542625051 («Flowtly» o «Responsabile»), in qualità di responsabile del trattamento ai sensi dell’articolo 4, punto 8, del GDPR.

Il DPA precisa gli obblighi delle Parti in materia di trattamento dei dati personali di cui al § 11 dei Termini e condizioni della Piattaforma Flowtly («Sicurezza dei dati») e si applica a ogni trattamento di dati personali che Flowtly effettua per conto e su istruzione documentata del Titolare in relazione alla fornitura dell’accesso alla Piattaforma. Il DPA non modifica le regole e le limitazioni di responsabilità stabilite al § 12 dei Termini e condizioni — cfr. sezione 13.

Il DPA attua i requisiti dell’articolo 28 del GDPR ed è disponibile in questa pagina nella versione identificata nello storico delle revisioni (sezione 13). Il DPA si applica all’Organizzazione che utilizza la Piattaforma sulla stessa base dei Termini e condizioni — nella versione in vigore per tale Organizzazione — che rinviano al presente documento. La versione in lingua inglese del presente documento è la versione vincolante; la presente traduzione in lingua italiana, come ogni altra traduzione, compresa quella polacca, è fornita per comodità.

2. Definizioni

I termini con iniziale maiuscola non definiti nel presente DPA hanno il significato loro attribuito nei Termini e condizioni della Piattaforma Flowtly. Ai fini del presente DPA si intende per:

GDPR — il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati;
Titolare — l’Organizzazione in qualità di titolare del trattamento ai sensi dell’articolo 4, punto 7, del GDPR, che agisce tramite le persone autorizzate a rappresentarla; tale qualifica è distinta dal ruolo di «Amministratore» ai sensi dei Termini e condizioni, che designa un ruolo di utente della Piattaforma e non la qualità di titolare del trattamento;
TOMs (Misure tecniche e organizzative) — le misure descritte nel documento «Misure tecniche e organizzative» di Flowtly, che costituisce l’Allegato 1 al presente DPA;
Sub-responsabile — un altro responsabile del trattamento al quale Flowtly affida ulteriormente il trattamento dei dati personali ai fini dell’esecuzione del presente DPA;
Violazione dei dati personali — una violazione ai sensi dell’articolo 4, punto 12, del GDPR.

3. Durata del trattamento

Il presente DPA si applica per la durata del contratto per l’accesso alla Piattaforma concluso tra il Titolare e Flowtly ai sensi dei Termini e condizioni e cessa con la risoluzione o la scadenza di tale contratto, fatte salve le disposizioni che per loro natura continuano ad applicarsi dopo la cessazione, compreso l’obbligo di cancellazione o restituzione dei dati descritto nella sezione 11.

4. Natura, finalità e ambito del trattamento; categorie di dati e di interessati

Natura e finalità del trattamento. Flowtly tratta i dati personali esclusivamente al fine di fornire al Titolare l’accesso alla Piattaforma, in conformità con i Termini e condizioni e con le istruzioni documentate del Titolare. Le operazioni di trattamento comprendono in particolare: la raccolta, la conservazione, la consultazione, la modifica, l’esportazione e la cancellazione dei dati nell’ambito dell’Account dell’Organizzazione, effettuate in relazione alle funzionalità della Piattaforma in materia di risorse umane e paghe, progetti, fatturazione e addebiti — che sono strumenti di supporto alla gestione di tali ambiti da parte dell’Organizzazione e non uno strumento contabile, ai sensi del § 12(2) dei Termini e condizioni — nonché la conservazione dei dati su server gestiti da Flowtly, l’assistenza tecnica e la garanzia della sicurezza e della continuità della Piattaforma.

Le categorie di interessati comprendono in particolare: i dipendenti e i collaboratori del Titolare, gli Utenti e gli Amministratori, i contraenti e i loro rappresentanti, i candidati a un impiego — nella misura in cui il Titolare utilizzi la relativa funzionalità della Piattaforma — e le altre persone fisiche i cui dati il Titolare o i suoi Utenti inseriscono nella Piattaforma in relazione al suo utilizzo.

Le categorie di dati personali comprendono in particolare: dati identificativi e di contatto, dati relativi alle risorse umane e al rapporto di lavoro (compresi retribuzione, orario di lavoro, registrazioni delle assenze), dati di fatturazione e di addebito, dati dei contraenti e — nella misura in cui il Titolare li inserisca lecitamente nella Piattaforma, ove necessario per adempiere obblighi in materia di diritto del lavoro o di sicurezza sociale — categorie particolari di dati di cui all’articolo 9 del GDPR (ad es. dati relativi alla salute nel contesto delle assenze per malattia, appartenenza sindacale). La responsabilità per la base giuridica dell’inserimento di tali dati nella Piattaforma spetta al Titolare. L’ambito dettagliato delle categorie di dati corrisponde a quello descritto nell’Informativa sulla privacy.

5. Obblighi del Responsabile

Flowtly si impegna a:

trattare i dati personali soltanto su istruzione documentata del Titolare — anche in caso di trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale — salvo che lo richieda il diritto dell’Unione o dello Stato membro cui Flowtly è soggetta; in tal caso Flowtly informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico;
garantire che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (cfr. sezione 7);
adottare e mantenere le misure tecniche e organizzative descritte nelle TOMs, in conformità con l’articolo 32 del GDPR (cfr. sezione 8);
rispettare le condizioni per il ricorso a Sub-responsabili descritte nella sezione 9;
fornire al Titolare l’assistenza descritta nella sezione 10;
al termine della prestazione dei servizi relativi al trattamento, cancellare o restituire al Titolare tutti i dati personali e cancellare le copie esistenti, in conformità con la sezione 11, salvo che il diritto dell’Unione o dello Stato membro preveda la conservazione dei dati personali;
mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’articolo 28 del GDPR e consentire e contribuire alle attività di revisione, comprese le ispezioni, in conformità con la sezione 11.

6. Istruzioni del Titolare

I Termini e condizioni, la configurazione della Piattaforma e le modalità con cui il Titolare e gli Utenti da esso autorizzati utilizzano la Piattaforma sono considerati istruzioni documentate del Titolare, al pari delle istruzioni separate inviate in forma documentale (compresa la posta elettronica) all’indirizzo business.support@flowtly.eu. Il Titolare è responsabile della liceità delle istruzioni che impartisce. Qualora, a giudizio di Flowtly, un’istruzione del Titolare violi il GDPR o altre disposizioni in materia di protezione dei dati, Flowtly ne informa immediatamente il Titolare.

7. Riservatezza

Flowtly garantisce che abbiano accesso ai dati personali soltanto le persone da essa autorizzate, nella misura necessaria allo svolgimento delle loro mansioni, e che tali persone siano vincolate da un obbligo di riservatezza in merito ai dati personali, anche dopo la cessazione del loro rapporto di lavoro o di collaborazione con Flowtly.

Flowtly adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio del trattamento, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. La descrizione aggiornata di tali misure è contenuta nel documento «Misure tecniche e organizzative» di Flowtly, che costituisce l’Allegato 1 al presente DPA.

Flowtly non ridurrà il livello complessivo di sicurezza del trattamento descritto nelle TOMs per la durata del presente DPA (l’«impegno di non riduzione»); la sostituzione di una determinata misura con un’altra che offra un livello di protezione equivalente o superiore non costituisce una riduzione. Ogni modifica delle TOMs — compresa ciascuna di tali sostituzioni — è registrata come nuova versione datata nello storico delle revisioni disponibile nella pagina di tale documento, cosicché la versione delle TOMs in vigore in qualsiasi data di trattamento può sempre essere determinata sulla base di tale storico.

9. Sub-trattamento (Sub-responsabili)

Il Titolare concede a Flowtly un’autorizzazione scritta generale a ricorrere a Sub-responsabili per l’esecuzione del presente DPA (articolo 28, paragrafo 2, del GDPR). Flowtly stipula con ciascun Sub-responsabile un contratto che gli impone gli stessi obblighi in materia di protezione dei dati che si applicano a Flowtly ai sensi del presente DPA, anche per quanto riguarda le misure tecniche e organizzative. Flowtly conserva nei confronti del Titolare l’intera responsabilità dell’adempimento degli obblighi del Sub-responsabile in materia di protezione dei dati, in conformità con l’articolo 28, paragrafo 4, del GDPR.

Flowtly informa il Titolare di eventuali aggiunte o sostituzioni previste di Sub-responsabili con almeno 30 giorni di anticipo, indicando il nuovo Sub-responsabile e l’ambito della sua attività e dando al Titolare la possibilità di opporsi a tale modifica. Le opposizioni, motivate da legittime ragioni attinenti alla protezione dei dati, sono inviate all’indirizzo business.support@flowtly.eu entro 30 giorni dalla comunicazione; la mancata opposizione entro tale termine equivale ad accettazione della modifica. Flowtly non inizierà a trattare i dati personali del Titolare tramite un nuovo Sub-responsabile prima della scadenza del termine di opposizione o, qualora sia stata sollevata un’opposizione tempestiva, prima che questa sia stata risolta. In caso di opposizione giustificata che non possa essere altrimenti accolta, le Parti concorderanno in buona fede come procedere, compresa, se necessario, la risoluzione del contratto di servizi nella misura in cui esso richiederebbe il ricorso a tale Sub-responsabile.

Sub-responsabili attualmente incaricati, in conformità con l’Informativa sulla privacy della Piattaforma:

Sub-responsabile	Ambito del trattamento	Luogo del trattamento
Google Cloud (Google Ireland Limited)	Hosting della Piattaforma e infrastruttura cloud	UE (europe-west1, Belgio)
Stripe	Elaborazione dei pagamenti	UE / al di fuori del SEE, a seconda dell’operazione
Kontomatik	Integrazione dei dati bancari	Polonia (UE)
Functional Software, Inc. (Sentry)	Monitoraggio degli errori di sistema	Stati Uniti
Anthropic, PBC	Trattamento del contenuto dei documenti per le funzionalità basate sull’IA (analisi dei documenti, assistente)	Stati Uniti
Postmark (ActiveCampaign, Inc.)	Invio di e-mail transazionali (fatture, solleciti, notifiche)	Stati Uniti

L’elenco che precede riflette la situazione alla data di pubblicazione della relativa versione del presente DPA ed è aggiornato secondo la procedura sopra descritta. L’elenco aggiornato dei Sub-responsabili è inoltre disponibile su richiesta inviata all’indirizzo sopra indicato.

10. Assistenza al Titolare; violazioni dei dati personali

Esercizio dei diritti degli interessati. Tenendo conto della natura del trattamento, Flowtly assiste il Titolare, nella misura in cui ciò sia possibile — mediante misure tecniche e organizzative adeguate disponibili sulla Piattaforma e mediante l’assistenza richiesta all’indirizzo indicato nella sezione 6 — nell’adempimento del suo obbligo di dare seguito alle richieste degli interessati che esercitano i diritti di cui al capo III del GDPR.

Rispetto degli articoli da 32 a 36 del GDPR. Flowtly assiste il Titolare nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR, compresi l’obbligo di notificare una violazione dei dati personali all’autorità di controllo e l’obbligo distinto di comunicarla agli interessati qualora la violazione sia suscettibile di presentare un rischio elevato per i loro diritti e le loro libertà, nonché la valutazione d’impatto sulla protezione dei dati e la consultazione preventiva dell’autorità di controllo, tenendo conto della natura del trattamento e delle informazioni a disposizione di Flowtly.

Violazioni dei dati personali. Flowtly notifica al Titolare una violazione dei dati personali da essa individuata senza ingiustificato ritardo e in ogni caso entro 48 ore dal momento in cui ne è venuta a conoscenza, senza attendere che siano accertate tutte le circostanze dell’incidente. La notifica iniziale contiene le informazioni di cui all’articolo 33, paragrafo 3, del GDPR, nella misura in cui siano disponibili in quel momento, ed è integrata in fasi successive man mano che vengono accertate ulteriori circostanze. Il termine di 48 ore costituisce il termine contrattuale massimo di Flowtly per tale notifica iniziale e non esonera Flowtly dall’obbligo di agire senza ingiustificato ritardo qualora ciò sia possibile prima; esso è indipendente dal termine di 72 ore entro il quale il Titolare, in qualità di titolare del trattamento, deve notificare la violazione all’autorità di controllo ai sensi dell’articolo 33, paragrafo 1, del GDPR, ove la notifica sia richiesta.

11. Cessazione del trattamento; attività di revisione e ispezioni

Cessazione del trattamento. Al termine della prestazione dei servizi relativi al trattamento, il Titolare comunica a Flowtly, in forma documentale, entro 30 giorni da tale evento, se Flowtly debba cancellare o restituire i dati personali; in mancanza di comunicazione entro tale termine, Flowtly ha il diritto di cancellare i dati. Flowtly esegue l’operazione prescelta — la cancellazione dai sistemi di produzione oppure la restituzione in un formato elettronico di uso comune seguita dalla cancellazione — entro un termine ragionevole non superiore a 30 giorni dal ricevimento dell’istruzione del Titolare, salvo che il diritto dell’Unione o il diritto polacco imponga a Flowtly di conservare ulteriormente i dati in forza di un obbligo giuridico che vincola direttamente Flowtly (ad es. norme fiscali o contabili relative alle scritture contabili proprie di Flowtly) — obbligo che non si estende alle scritture contabili proprie del Titolare trattate sulla Piattaforma. Le copie di backup contenenti dati cancellati restano protette in conformità con le TOMs e sono sovrascritte nel normale ciclo di rotazione dei backup ivi descritto, senza che i dati cancellati vengano ripristinati nel sistema di produzione.

Attività di revisione e ispezioni. Flowtly mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all’articolo 28 del GDPR e consente al Titolare, o a un revisore da esso incaricato, di svolgere attività di revisione, comprese le ispezioni, sulla conformità del trattamento al presente DPA, e collabora al loro svolgimento. Una revisione è svolta previo preavviso scritto di almeno 30 giorni, durante il normale orario di lavoro di Flowtly, con modalità che arrechino il minor disturbo ragionevolmente possibile all’attività di Flowtly e che rispettino la riservatezza delle informazioni relative agli altri clienti di Flowtly, non più di una volta per anno solare — tali limiti non si applicano qualora la revisione sia svolta in relazione a un ragionevole sospetto di violazione dei dati personali o di altra inosservanza sostanziale del presente DPA, oppure su richiesta di un’autorità di controllo competente. La messa a disposizione delle informazioni di cui al primo periodo non è limitata a una volta all’anno.

12. Trasferimenti internazionali di dati

La maggior parte dei trattamenti di dati personali avviene all’interno dello Spazio economico europeo (SEE) — l’infrastruttura della Piattaforma e il trattamento OCR dei documenti sono mantenuti nella regione UE del fornitore indicato nella sezione 9. Tre dei Sub-responsabili indicati nella sezione 9 — Functional Software, Inc. (che opera come Sentry), Anthropic, PBC e Postmark (ActiveCampaign, Inc.) — hanno sede negli Stati Uniti, al di fuori del SEE. Flowtly garantisce che i trasferimenti di dati personali verso tali Sub-responsabili — e qualsiasi altro trasferimento di dati personali al di fuori del SEE che possa verificarsi in relazione agli altri Sub-responsabili o ai loro sub-responsabili — avvengano sulla base di un meccanismo adeguato ai sensi del capo V del GDPR: in particolare le clausole contrattuali tipo approvate con la decisione di esecuzione (UE) 2021/914 della Commissione europea (secondo il modulo appropriato al rapporto tra Flowtly e il Sub-responsabile) oppure — nella misura in cui un determinato Sub-responsabile vi faccia affidamento — il quadro UE-USA per la protezione dei dati personali (EU–U.S. Data Privacy Framework), integrati, ove una valutazione d’impatto del trasferimento ne indichi la necessità, da garanzie supplementari. Le informazioni sul meccanismo applicato a un determinato Sub-responsabile sono messe a disposizione del Titolare su richiesta inviata all’indirizzo indicato nella sezione 6.

13. Responsabilità e disposizioni finali

La limitazione della responsabilità di Flowtly stabilita al § 12 dei Termini e condizioni («Responsabilità») si applica, in quanto compatibile, al trattamento dei dati personali ai sensi del presente DPA, nella misura consentita dalla legge. Restano salve le norme imperative, tra cui: l’articolo 82 del GDPR per quanto riguarda le pretese degli interessati nei confronti di Flowtly, i poteri delle autorità di controllo ai sensi del GDPR e le norme del codice civile polacco in materia di responsabilità per danni causati intenzionalmente.

Per quanto non disciplinato dal presente DPA si applicano, in quanto applicabili, i Termini e condizioni, comprese le relative disposizioni sulla legge applicabile e sulla risoluzione delle controversie. Il presente DPA è disciplinato dalla legge polacca.

Il presente documento è la versione pubblicata il 28 ottobre 2026. Lo storico delle eventuali versioni precedenti è disponibile di seguito.

Flowtly – Accordo sul trattamento dei dati