Nomina a responsabile del trattamento
Ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 — in vigore dall'8 settembre 2026
Perché esiste questo documento
Quando usi Costruzio, i dati dei tuoi clienti — nome, telefono, email, indirizzo del cantiere, importi — li tratti tu, e noi li trattiamo per conto tuo. Nel linguaggio del Regolamento: tu sei il titolare di quei dati, noi siamo il responsabile.
È un rapporto che la legge vuole per iscritto. Questo documento è quello scritto: lo accetti quando crei l'account, e da quel momento vale come contratto fra te e noi per la parte che riguarda i dati dei tuoi clienti.
Per i dati che riguardano te — il tuo nome, la tua email, la tua partita IVA, i tuoi pagamenti — il rapporto è diverso: lì il titolare siamo noi, e la spiegazione sta nell'informativa privacy.
1. Le parti
Titolare: l'impresa o il professionista intestatario dell'account Costruzio, come risulta dai dati inseriti nel servizio.
Responsabile: Luca Fusco, libero professionista, partita IVA IT01867000331, contattabile a info@lucafusco.com.
2. Oggetto, durata, natura e finalità
Il responsabile tratta i dati personali dei clienti del titolare al solo scopo di erogare il servizio Costruzio: redigere, conservare e inviare preventivi, gestire la rubrica clienti, seguire lo stato dei lavori e degli incassi, produrre i documenti PDF e le pagine pubbliche di accettazione.
Il trattamento dura quanto il rapporto contrattuale e cessa con la chiusura dell'account, salvo quanto previsto al punto 9.
3. Categorie di dati e di interessati
Interessati: i clienti del titolare, persone fisiche o referenti di persone giuridiche.
Dati: nome o ragione sociale, recapiti telefonici ed email, indirizzo, partita IVA e codice fiscale, indirizzo del cantiere, descrizione delle lavorazioni, importi e stato dei pagamenti, eventuali fotografie del sopralluogo e firma raccolta in accettazione.
Costruzio non è progettato per trattare categorie particolari di dati (art. 9: salute, convinzioni, dati biometrici e simili). Il titolare si impegna a non inserirne.
4. Istruzioni
Il responsabile tratta i dati soltanto sulla base delle istruzioni documentate del titolare. Le istruzioni sono costituite dal presente atto e dall'uso stesso del servizio: ogni funzione che il titolare attiva è un'istruzione a trattare i dati per quello scopo.
Se un obbligo di legge imponesse al responsabile un trattamento diverso, ne informerà il titolare prima di procedere, salvo che la legge lo vieti.
5. Riservatezza
Le persone autorizzate al trattamento sono vincolate alla riservatezza. Alla data di questo documento il responsabile opera senza dipendenti: l'accesso ai dati è limitato al responsabile stesso e ai sub-responsabili elencati al punto 7.
6. Misure di sicurezza
Il responsabile adotta, fra le altre, le seguenti misure (art. 32):
- Separazione fra imprese imposta dal database, non dall'applicazione: ogni tabella ha regole di accesso per riga, e un'impresa non può leggere i dati di un'altra nemmeno in caso di errore del programma.
- Cifratura dei dati in transito (TLS) e a riposo sui sistemi di archiviazione.
- Freno sui tentativi di accesso, per email e per indirizzo di rete, contro gli attacchi a forza bruta.
- Politica di sicurezza dei contenuti a nonce su tutte le pagine, contro il furto di sessione.
- Link pubblici non indovinabili: le pagine di accettazione usano token casuali da 24 byte e non sono indicizzate dai motori di ricerca.
- Registro dei guasti senza contenuti degli utenti, e registro delle azioni amministrative non cancellabile.
- Copie di sicurezza gestite dal fornitore del database, con ripristino a un istante precedente.
7. Sub-responsabili
Il titolare autorizza in via generale il ricorso ai sub-responsabili qui elencati. Ciascuno è vincolato da obblighi non meno onerosi di quelli del presente atto.
| Chi | Per cosa | Dove |
|---|---|---|
| Supabase | Database, autenticazione, archivio dei file | Irlanda (UE) |
| Vercel | Esecuzione dell'applicazione e consegna delle pagine | UE, con possibili trasferimenti extra-UE coperti da clausole standard |
| Resend | Invio delle email di servizio e dei preventivi | Irlanda (UE) |
| Stripe | Incasso degli abbonamenti. Tratta i dati del titolare, non quelli dei suoi clienti | UE e Stati Uniti, con clausole standard |
| Anthropic | Funzioni di scrittura assistita, solo se attivate dal titolare e sul testo che sceglie di inviare | Stati Uniti, con clausole standard |
Il responsabile comunicherà al titolare ogni modifica di questo elenco con almeno trenta giorni di preavviso, via email all'indirizzo dell'account. Il titolare può opporsi; se l'opposizione rende impossibile erogare il servizio, può recedere senza penali e ottenere l'esportazione dei propri dati.
8. Assistenza al titolare
Il responsabile assiste il titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (artt. 15-22), nel rispettare gli obblighi di sicurezza, nella notifica delle violazioni e nelle eventuali valutazioni d'impatto (artt. 32-36).
In pratica: dal servizio il titolare può in autonomia esportare tutti i dati in formato leggibile, correggerli e cancellarli. Per quanto non ottenibile in autonomia, il responsabile risponde entro dieci giorni lavorativi dalla richiesta scritta.
9. Violazioni dei dati
Il responsabile informa il titolare senza ingiustificato ritardo e comunque entro 24 ore da quando viene a conoscenza di una violazione dei dati personali, fornendo le informazioni necessarie perché il titolare possa rispettare il proprio termine di 72 ore verso l'autorità di controllo.
10. Conservazione e restituzione
Alla cessazione del rapporto il titolare può esportare tutti i dati dal servizio. Trascorsi trenta giorni dalla chiusura dell'account, il responsabile cancella i dati e le copie esistenti, salvo quanto debba essere conservato per obblighi di legge — segnatamente i documenti con rilevanza fiscale, per il tempo previsto dalla normativa tributaria.
Le copie di sicurezza si sovrascrivono secondo il ciclo del fornitore e comunque entro trenta giorni.
11. Verifiche
Il titolare ha diritto di verificare il rispetto del presente atto. Il responsabile mette a disposizione le informazioni necessarie a dimostrarlo e consente verifiche, anche tramite un soggetto incaricato dal titolare, con preavviso ragionevole e senza pregiudizio per la riservatezza degli altri titolari.
12. Trasferimenti fuori dall'Unione
Il trattamento avviene di regola nell'Unione europea. Dove un sub-responsabile comporti un trasferimento verso paesi terzi, questo avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea o di altro meccanismo idoneo.
13. Durata e legge applicabile
Il presente atto ha la stessa durata del contratto di servizio e si intende risolto con esso. È regolato dalla legge italiana.
Come chiedere una copia
Scrivi a info@lucafusco.com: ti viene mandata la versione che hai accettato, con la data in cui l'hai accettata.