Informativa sulla privacy

1. Titolare del trattamento

NuvaSign è un servizio di FlexCode, ditta individuale con sede a Messina (ME), Italia, partita IVA IT03670160831.

Per qualsiasi richiesta sui dati personali: [email protected], telefono +39 331 189 1085. FlexCode non ha nominato un responsabile della protezione dei dati (DPO), perché non è tenuta a farlo: le richieste vanno all'indirizzo indicato.

Questa informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e riguarda tre gruppi di persone: chi visita il sito nuvasign.it, i clienti che usano l'applicazione NuvaSign e le persone a cui un cliente chiede di firmare un documento.

2. Chi decide cosa: i due ruoli di FlexCode

Per i dati del sito e dei clienti (account, fatturazione, assistenza) FlexCode è titolare del trattamento.

Per i documenti che un cliente invia a firma e per i dati dei firmatari il titolare è il cliente: è lui a decidere chi deve firmare e che cosa. FlexCode tratta quei dati per suo conto come responsabile del trattamento (articolo 28 GDPR), secondo l'accordo sul trattamento dei dati contenuto nei Termini di servizio.

C'è un'eccezione: il documento firmato e il pacchetto di prova della firma sono conservati da FlexCode come titolare autonomo, per dieci anni, perché la firma possa essere dimostrata in caso di contestazione (sezione 6).

3. Quali dati trattiamo

Visitatori del sito:

• dati di navigazione tecnici (indirizzo IP, browser, pagine richieste), trattati dal fornitore di hosting per erogare le pagine e proteggerle da abusi;
• statistiche di traffico aggregate, raccolte con Cloudflare Web Analytics senza cookie e senza identificatori persistenti;
• i dati che scrivi nel modulo contatti: nome, email, azienda, telefono se lo indichi, volume di firme stimato e messaggio.

Clienti dell'applicazione: nome, cognome, email e telefono di chi si registra e degli utenti invitati; ragione sociale, partita IVA, codice fiscale, indirizzo, codice destinatario o PEC per la fatturazione; storico di abbonamento, pagamenti e fatture; registro degli accessi e delle operazioni svolte nell'area riservata, con indirizzo IP. I dati della carta di pagamento li tratta Stripe e non arrivano mai a NuvaSign.

Firmatari: nome e cognome, email e numero di cellulare indicati dal cliente; il documento da firmare; l'immagine della firma, se disegnata; data e ora di ogni passaggio (apertura, lettura, consenso, verifica del codice, firma o rifiuto); indirizzo IP e dati del browser; l'esito della verifica del codice monouso (OTP), che è conservato solo in forma cifrata e non è mai leggibile.

4. Perché li trattiamo e su quale base giuridica

• Rispondere a chi ci scrive dal modulo contatti: misure precontrattuali richieste dall'interessato (art. 6.1.b GDPR).
• Creare e gestire l'account, erogare il servizio, fornire assistenza: esecuzione del contratto (art. 6.1.b).
• Verificare email e telefono alla registrazione e prevenire abusi della prova gratuita e dei codici SMS: legittimo interesse a proteggere il servizio (art. 6.1.f).
• Fatturare, tenere la contabilità e adempiere agli obblighi fiscali: obbligo di legge (art. 6.1.c).
• Mandare comunicazioni di servizio (conferme, avvisi di consumo, pagamenti non riusciti, modifiche ai termini): esecuzione del contratto (art. 6.1.b). Non inviamo newsletter o promozioni senza un consenso specifico.
• Gestire la cerimonia di firma per conto del cliente e inviare a chi ha firmato copia del documento firmato: istruzioni del cliente titolare, che ne definisce la base giuridica verso i firmatari.
• Conservare il documento firmato e il pacchetto di prova per dimostrare la firma in giudizio: legittimo interesse di FlexCode, del cliente e del firmatario ad accertare, esercitare o difendere un diritto (art. 6.1.f).
• Garantire la sicurezza dei sistemi, rilevare accessi abusivi e conservare i log tecnici: legittimo interesse (art. 6.1.f).

Fornire i dati richiesti nei moduli è necessario per ottenere quello che si chiede: senza email non possiamo rispondere, senza dati fiscali non possiamo attivare un abbonamento, senza un recapito verificato non si può firmare. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sulle persone.

5. A chi comunichiamo i dati

I dati non sono venduti né ceduti. Li trattano, come responsabili per nostro conto e solo per quanto serve, questi fornitori:

• DigitalOcean — hosting dell'applicazione, del database e dell'archivio dei documenti, nel data center di Francoforte (Germania);
• Cloudflare — hosting del sito nuvasign.it, statistiche senza cookie e verifica anti-bot (Turnstile) su modulo contatti e registrazione;
• Stripe — pagamenti con carta o addebito SEPA, abbonamenti e fatture;
• Skebby — invio degli SMS con i codici di verifica;
• il fornitore del servizio di posta transazionale — invio delle email di servizio e dei codici di verifica;
• Resend — recapito delle richieste inviate dal modulo contatti del sito;
• OpenAPI — sigillo elettronico qualificato e marca temporale dei documenti firmati, e controllo delle firme dei documenti caricati sulla pagina di verifica: riceve questi documenti, con i dati personali che contengono, e li conserva al massimo 3 mesi;
• il consulente fiscale di FlexCode, per la tenuta della contabilità e l'emissione delle fatture elettroniche.

I dati possono essere comunicati anche alle autorità che li richiedano per legge. I dati dei firmatari sono visibili al cliente che ha chiesto la firma e agli utenti che lui abilita. Quando un documento è firmato da più persone, a firma completata ciascuna riceve per email copia del documento firmato, che contiene nome e firma degli altri firmatari: è il documento che hanno sottoscritto insieme. L'elenco aggiornato dei fornitori è disponibile a richiesta.

6. Per quanto tempo conserviamo i dati

• Richieste dal modulo contatti: 24 mesi dall'ultimo scambio, salvo che nasca un contratto.
• Registrazioni non completate: 7 giorni. Il link di conferma dell'email vale 24 ore.
• Dati dell'account: per tutta la durata del contratto e fino a 10 anni dalla sua fine, per la prescrizione ordinaria dei diritti.
• Fatture e documenti contabili: 10 anni, come prevede l'articolo 2220 del Codice civile.
• Documento originale non firmato e immagini delle firme: il periodo scelto dal cliente, da 1 a 365 giorni dalla chiusura della richiesta (90 se non lo sceglie).
• Documento firmato e pacchetto di prova: 10 anni dal completamento della firma. Alla scadenza sono cancellati e i dati dei firmatari resi anonimi.
• Codici di verifica: sono conservati solo in forma cifrata e cancellati alla scadenza.
• Log tecnici dei server: fino a 12 mesi. Registro delle operazioni svolte nell'area riservata: per la durata del contratto e fino a 10 anni dalla sua fine.

La firma è stampata dentro il PDF sigillato: per questo cancellare l'originale e le immagini separate non toglie valore alla prova.

7. Trasferimenti fuori dall'Unione europea

L'applicazione e i documenti restano nell'Unione europea. Alcuni fornitori (Cloudflare, Stripe, Resend e le società capogruppo di DigitalOcean) hanno sede negli Stati Uniti e possono accedere ai dati da lì: il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework), per i fornitori che vi aderiscono, o delle clausole contrattuali standard approvate dalla Commissione europea. Una copia delle garanzie è disponibile a richiesta.

8. Come proteggiamo i dati

Connessioni cifrate, archivio dei documenti privato e accessibile solo con link temporanei, password e codici conservati solo come impronte non reversibili, chiavi e segreti cifrati, sessioni con scadenza, accessi all'area di amministrazione limitati e registrati, registro degli eventi di firma non modificabile e concatenato, copie di sicurezza. Ogni documento firmato è sigillato elettronicamente e marcato temporalmente, così una modifica successiva è riconoscibile da chiunque.

In caso di violazione dei dati che presenti un rischio per le persone, FlexCode informa il Garante entro 72 ore e, nei casi previsti, gli interessati; se i dati sono trattati per conto di un cliente, informa il cliente senza ritardo.

9. I tuoi diritti

Puoi chiedere in ogni momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità dei dati che ci hai fornito, e opporti ai trattamenti basati sul legittimo interesse. Scrivi a [email protected]: rispondiamo entro un mese.

Se sei un firmatario, la richiesta riguarda prima di tutto il cliente che ti ha inviato il documento, che ne è titolare: se la mandi a noi, la inoltriamo a lui e lo aiutiamo a rispondere. La cancellazione non può riguardare il documento firmato e il pacchetto di prova prima della scadenza dei dieci anni, perché servono a dimostrare la firma anche a tua tutela; in quel periodo i dati non sono usati per nessun altro scopo.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti all'autorità giudiziaria.

10. Cookie

Il sito non usa cookie di profilazione né di terze parti; l'applicazione usa solo cookie tecnici. I dettagli sono nella cookie policy.

11. Modifiche a questa informativa

L'informativa può cambiare con l'evoluzione del servizio o delle norme. La data in alto indica l'ultima versione; ai clienti comunichiamo per email le modifiche rilevanti.