Nomina a responsabile del trattamento

Ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 — in vigore dall'8 settembre 2026, aggiornata al 27 ottobre 2026

Perché esiste questo documento

Quando usi Costruzio, i dati dei tuoi clienti — nome, telefono, email, indirizzo del cantiere, importi — li tratti tu, e noi li trattiamo per conto tuo. Nel linguaggio del Regolamento: tu sei il titolare di quei dati, noi siamo il responsabile.

È un rapporto che la legge vuole per iscritto. Questo documento è quello scritto: lo accetti quando crei l'account, e da quel momento vale come contratto fra te e noi per la parte che riguarda i dati dei tuoi clienti.

Per i dati che riguardano te — il tuo nome, la tua email, la tua partita IVA, i tuoi pagamenti — il rapporto è diverso: lì il titolare siamo noi, e la spiegazione sta nell'informativa privacy.

1. Le parti

Titolare: l'impresa o il professionista intestatario dell'account Costruzio, come risulta dai dati inseriti nel servizio.

Responsabile: Luca Fusco, libero professionista, partita IVA IT01867000331, contattabile a info@costruzio.it.

2. Oggetto, durata, natura e finalità

Il responsabile tratta i dati personali dei clienti del titolare al solo scopo di erogare il servizio Costruzio: redigere, conservare e inviare preventivi, gestire la rubrica clienti, seguire lo stato dei lavori e degli incassi, produrre i documenti PDF e le pagine pubbliche di accettazione, e ricevere le richieste di preventivo inviate dalla vetrina del titolare.

Rientrano nell'oggetto anche le comunicazioni ai clienti che il titolare attiva o invia dal servizio, a suo nome (il preventivo, i promemoria, i solleciti di pagamento, l'avviso d'inizio dei lavori, il ringraziamento con la richiesta di recensione, il codice di conferma del sì), la pagina riservata di ciascun cliente e, se il titolare lo apre, l'accesso in sola lettura ai conti dell'impresa per lo studio di consulenza che indica.

Il trattamento dura quanto il rapporto contrattuale e cessa con la chiusura dell'account, salvo quanto previsto al punto 10.

3. Categorie di dati e di interessati

Interessati: i clienti del titolare, persone fisiche o referenti di persone giuridiche, e chi gli chiede un preventivo dalla vetrina.

Dati: nome o ragione sociale, recapiti telefonici ed email, indirizzo, partita IVA e codice fiscale, indirizzo del cantiere, descrizione delle lavorazioni, importi e stato dei pagamenti, eventuali fotografie del sopralluogo, firma raccolta in accettazione e messaggio della richiesta inviata dalla vetrina.

Le recensioni che i clienti pubblicano sulla vetrina non rientrano in questo atto: le pubblica chi le scrive, per sua scelta, e per quelle il titolare è Costruzio (punto 7 dell'informativa privacy).

Costruzio non è progettato per trattare categorie particolari di dati (art. 9: salute, convinzioni, dati biometrici e simili). Il titolare si impegna a non inserirne.

4. Istruzioni

Il responsabile tratta i dati soltanto sulla base delle istruzioni documentate del titolare. Le istruzioni sono costituite dal presente atto e dall'uso stesso del servizio: ogni funzione che il titolare attiva è un'istruzione a trattare i dati per quello scopo.

Se un obbligo di legge imponesse al responsabile un trattamento diverso, ne informerà il titolare prima di procedere, salvo che la legge lo vieti.

Il responsabile informa immediatamente il titolare se, a suo parere, un'istruzione viola il Regolamento o altre norme sulla protezione dei dati.

Aprire l'accesso a uno studio di consulenza è un'istruzione del titolare a comunicare a quello studio i dati che l'accesso mostra: lo studio li riceve dal titolare, che gli dà le istruzioni o lo nomina a sua volta, e l'accesso si chiude in ogni momento dalle impostazioni.

5. Riservatezza

Le persone autorizzate al trattamento sono vincolate alla riservatezza. Alla data di questo documento il responsabile opera senza dipendenti: l'accesso ai dati è limitato al responsabile stesso e ai sub-responsabili elencati al punto 7.

6. Misure di sicurezza

Il responsabile adotta, fra le altre, le seguenti misure (art. 32):

• Separazione fra imprese imposta dal database, non dall'applicazione: ogni tabella ha regole di accesso per riga, e un'impresa non può leggere i dati di un'altra nemmeno in caso di errore del programma.
• Cifratura dei dati in transito (TLS) e a riposo sui sistemi di archiviazione.
• Freno sui tentativi di accesso, per email e per indirizzo di rete, contro gli attacchi a forza bruta.
• Politica di sicurezza dei contenuti a nonce su tutte le pagine, contro il furto di sessione.
• Link pubblici non indovinabili: le pagine di accettazione usano token casuali da 24 byte e non sono indicizzate dai motori di ricerca.
• Registro dei guasti senza contenuti degli utenti, e registro delle azioni amministrative, che nessuno può modificare e che si cancella da solo allo scadere dei termini dell'informativa.
• Copie di sicurezza gestite dal fornitore del database, con ripristino a un istante precedente, e una copia di ogni notte cifrata in un archivio a scrittura unica.

7. Sub-responsabili

Il titolare autorizza in via generale il ricorso ai sub-responsabili qui elencati, con le stesse denominazioni dell'informativa privacy (punto 8). Ciascuno è vincolato da obblighi non meno onerosi di quelli del presente atto. La colonna «Da quando» dice da che data ciascuno tratta dati per conto del titolare: il servizio è partito l'8 settembre 2026, e il 29 settembre 2026 l'infrastruttura è passata a Microsoft; i fornitori precedenti, elencati nelle versioni anteriori di questo atto, dal 1 ottobre 2026 non trattano più alcun dato.

Il responsabile comunicherà al titolare ogni modifica di questo elenco con almeno trenta giorni di preavviso, via email all'indirizzo dell'account. Il titolare può opporsi; se l'opposizione rende impossibile erogare il servizio, può recedere senza penali e ottenere l'esportazione dei propri dati.

8. Assistenza al titolare

Il responsabile assiste il titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste degli interessati (artt. 15-22), nel rispettare gli obblighi di sicurezza, nella notifica delle violazioni e nelle eventuali valutazioni d'impatto (artt. 32-36).

In pratica: dal servizio il titolare può in autonomia esportare tutti i dati in formato leggibile, correggerli e cancellarli. Per quanto non ottenibile in autonomia, il responsabile risponde entro dieci giorni lavorativi dalla richiesta scritta.

9. Violazioni dei dati

Il responsabile informa il titolare senza ingiustificato ritardo e comunque entro 24 ore da quando viene a conoscenza di una violazione dei dati personali, fornendo le informazioni necessarie perché il titolare possa rispettare il proprio termine di 72 ore verso l'autorità di controllo.

10. Conservazione e restituzione

Alla cessazione del rapporto il titolare può esportare tutti i dati dal servizio. Trascorsi trenta giorni dalla chiusura dell'account, il responsabile cancella i dati e le copie esistenti, salvo quanto debba essere conservato per obblighi di legge — segnatamente i documenti con rilevanza fiscale, per il tempo previsto dalla normativa tributaria.

Le copie di sicurezza cifrate si eliminano secondo il loro ciclo e comunque entro novanta giorni: fino ad allora un dato cancellato può restare solo dentro una copia, che non si consulta se non per ripristinare il servizio dopo un guasto.

11. Verifiche

Il titolare ha diritto di verificare il rispetto del presente atto. Il responsabile mette a disposizione le informazioni necessarie a dimostrarlo e consente verifiche, anche tramite un soggetto incaricato dal titolare, con preavviso ragionevole e senza pregiudizio per la riservatezza degli altri titolari.

12. Trasferimenti fuori dall'Unione

Il trattamento avviene di regola nell'Unione europea. Dove un sub-responsabile comporti un trasferimento verso paesi terzi, questo avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea o di altro meccanismo idoneo.

13. Durata e legge applicabile

Il presente atto ha la stessa durata del contratto di servizio e si intende risolto con esso. È regolato dalla legge italiana.

Come chiedere una copia

Scrivi a info@costruzio.it: ti viene mandata la versione che hai accettato, con la data in cui l'hai accettata.