Informativa sulla privacy

1Chi siamo e a chi si rivolge

FttEl è un servizio, composto da una console web e da API, che permette a studi di fisioterapia, centri di riabilitazione e altre attività in ambito sanitario di inviare, ricevere e archiviare fatture elettroniche attraverso il Sistema di Interscambio (SdI) dell'Agenzia delle Entrate. In questa informativa il sito, la console e le API sono chiamati insieme "Servizi".

Il titolare del trattamento è:

Ragione sociale

Environet di Angoni Lorenzo

Indirizzo

Via Repubblica 8/a, Mazzano (BS), Italia

Email

info@fisiodate.it

L'informativa riguarda tre gruppi di persone:

• Utenti della console: le persone dello studio che accedono all'account con nome utente o email e password.
• Referenti tecnici dei software gestionali che si collegano alle API per conto di uno studio.
• Clienti e fornitori degli studi, i cui dati compaiono nelle fatture inviate o ricevute tramite FttEl.

Puoi presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it). Ti chiediamo di scriverci prima, così possiamo provare a risolvere direttamente.

2I nostri due ruoli

Titolare del trattamento. Decidiamo noi come e perché trattare i dati degli account, dei referenti tecnici e del rapporto commerciale con gli studi.

Responsabile del trattamento (art. 28 GDPR). I dati contenuti nelle fatture e nelle notifiche dello SdI li trattiamo per conto dello studio che usa FttEl e secondo le sue istruzioni. Titolare di quei dati è lo studio. Se sei un cliente o un fornitore di uno studio, l'informativa che ti riguarda è quella dello studio: rivolgiti a lui per esercitare i tuoi diritti. Se ci scrivi, inoltriamo la richiesta allo studio interessato.

L'Agenzia delle Entrate, che gestisce lo SdI, tratta i dati delle fatture come titolare autonomo, secondo la propria informativa.

3Dati che trattiamo come titolare

• Dati dello studio: ragione sociale, partita IVA, codice fiscale, paese.
• Dati di accesso e contatto: nome utente ed email dell'account.
• Dati dell'account: stato, date di creazione e modifica, preferenze sulle email di notifica, indirizzi webhook configurati. La password non è conservata in chiaro: conserviamo solo una sua impronta crittografica. Lo stesso vale per la chiave API.
• Dati di sicurezza: sessioni attive, collegamenti monouso per impostare o recuperare la password e confermare un cambio di email, registro delle operazioni eseguite sull'account.
• Dati tecnici: indirizzo IP, tipo di browser e informazioni presenti nei log dei server.
• Dati commerciali e contabili, quando il servizio è a pagamento: dati di fatturazione e pagamenti.
• Comunicazioni: il contenuto delle email e delle richieste di assistenza che ci invii.

Come titolare non trattiamo categorie particolari di dati, come quelli relativi alla salute. Senza i dati obbligatori (ragione sociale, partita IVA, email e password) non possiamo creare l'account né fornire i Servizi.

4Dati che trattiamo per conto degli studi

• Fatture elettroniche inviate e ricevute, nel formato XML previsto: dati anagrafici e fiscali di chi emette e di chi riceve la fattura, indirizzi, descrizione di beni e servizi, importi, dati di pagamento.
• File collegati: versione firmata della fattura, versione XML senza firma, PDF generato per la lettura, archivi importati e archivi di esportazione.
• Notifiche dello SdI: ricevute di consegna, notifiche di scarto e di mancata consegna, esiti, con i relativi codici e messaggi.
• Metadati: identificativo SdI, nome originale del file, stato, tipo di documento, data della fattura, controparte.

La descrizione di una prestazione può rivelare informazioni sulla salute di una persona. FttEl non ne ha bisogno per funzionare: raccomandiamo agli studi di usare descrizioni generiche, come "ciclo di sedute di fisioterapia", senza diagnosi, patologie o altri dati clinici.

5Come raccogliamo i dati

• Da te, quando registri l'account, accedi, modifichi il profilo o scrivi all'assistenza.
• Dallo studio e dal suo gestionale, che caricano fatture e archivi attraverso la console o le API.
• Dallo SdI, che ci consegna le fatture destinate allo studio e le notifiche sulle fatture inviate.
• Automaticamente, tramite il cookie di sessione e i log dei server quando usi i Servizi.

6Finalità e basi giuridiche

Non usiamo i dati contenuti nelle fatture per finalità nostre: niente marketing, profilazione o addestramento di modelli. Se dovessimo usare i dati per una finalità nuova e non compatibile, ti avviseremo prima e, quando la legge lo richiede, ti chiederemo il consenso.

7Cookie

La console usa solo un cookie tecnico, necessario a farla funzionare. Non usiamo cookie di profilazione né strumenti di analisi di terze parti.

• Cookie di sessione (fttel_refresh): ti mantiene connesso. Non è leggibile da script e scade dopo 30 giorni o quando esci. Il token di accesso vero e proprio resta solo nella memoria della pagina e scade dopo 15 minuti.

Puoi cancellarlo dalle impostazioni del browser; senza questo cookie dovrai accedere di nuovo a ogni visita.

8A chi comunichiamo i dati

• Amazon Web Services EMEA SARL, che ospita server, database, archivio dei documenti ed email transazionali nella regione di Milano, come responsabile del trattamento.
• Agenzia delle Entrate, attraverso lo SdI: le fatture passano dallo SdI per essere consegnate, come previsto dalla legge.
• I sistemi indicati dallo studio: se lo studio configura un webhook o usa le API, inviamo i dati delle sue fatture agli indirizzi e ai software che ha scelto.
• Personale autorizzato del titolare, solo per assistenza e gestione del servizio, con obbligo di riservatezza.
• Consulenti professionali (legali, fiscali, assicurativi), vincolati alla riservatezza.
• Autorità pubbliche, quando la legge lo impone.
• Soggetti coinvolti in operazioni societarie, come cessioni o fusioni, che potranno usare i dati solo come descritto qui.

Non vendiamo dati personali.

9Dove sono i dati

Conserviamo i dati nell'Unione europea, nella regione AWS di Milano. Non trasferiamo dati fuori dall'Unione europea. Puoi chiederci maggiori dettagli scrivendo a info@fisiodate.it.

10Sicurezza

• Tutte le connessioni ai Servizi sono cifrate (HTTPS).
• Le password sono conservate solo come impronta crittografica (bcrypt); chiavi API e collegamenti monouso solo come impronta (SHA-256).
• Ogni studio vede soltanto i dati del proprio account.
• Le fatture transitate dallo SdI non si possono cancellare dalla console né dalle API, così l'archivio resta coerente con quanto trasmesso.

Nessun sistema è sicuro in assoluto. Limitiamo l'accesso ai dati a chi ne ha bisogno per lavoro, con obbligo di riservatezza, e abbiamo una procedura per le violazioni: se ne avviene una, avvisiamo gli studi titolari, il Garante e, quando la legge lo richiede, le persone coinvolte.

11Per quanto tempo conserviamo i dati

• Account: finché l'account è attivo, poi cancellati o resi anonimi, salvo quanto serve per obblighi di legge o per difendere un diritto.
• Sessioni e collegamenti monouso: le sessioni scadono dopo al massimo 30 giorni; il collegamento per impostare la password dopo 24 ore, quelli per recuperarla o per confermare un cambio di email dopo 1 ora.
• Fatture e dati trattati per conto degli studi: per la durata del contratto. Alla fine lo studio può esportarli o chiederne la restituzione; senza istruzioni entro 30 giorni li cancelliamo definitivamente.
• Dati contabili: 10 anni, come previsto dalla legge.

FttEl conserva le fatture per renderle consultabili, ma non è un servizio di conservazione digitale a norma. Lo studio resta responsabile della conservazione prevista dalla legge, tramite un conservatore o il servizio offerto dall'Agenzia delle Entrate.

12I tuoi diritti

In base agli articoli 15-22 del GDPR puoi chiedere di:

• accedere ai tuoi dati e riceverne copia;
• correggerli o completarli;
• cancellarli, nei limiti degli obblighi di legge;
• limitarne il trattamento;
• opporti al trattamento basato sul legittimo interesse;
• riceverli in un formato strutturato e leggibile da macchina, o farli trasferire a un altro titolare;
• revocare il consenso, senza effetto sui trattamenti già svolti.

Scrivi a info@fisiodate.it. Rispondiamo entro un mese. Se sei cliente o fornitore di uno studio, la richiesta va allo studio; se arriva a noi, la inoltriamo.

13Modifiche a questa informativa

Aggiorniamo l'informativa quando cambiano i Servizi o la legge. La versione nuova vale dalla pubblicazione su questa pagina; se le modifiche sono rilevanti, avvisiamo gli utenti via email o nella console.