Informativa sulla privacy

Traduzione fornita a titolo informativo; fa fede esclusivamente la versione tedesca.

La presente informativa sulla privacy spiega come vengono trattati i dati personali quando Lei utilizza la piattaforma ZUGFeRD all’indirizzo zugferd-invoice.attrian.de e la Stripe App “ZUGFeRD E-Invoicing” (congiuntamente, il “Servizio”).

1. Titolare del trattamento e contatti

BrainWave Software GmbH, Heilig-Kreuz-Straße 24, 86152 Augsburg, Germania. Ulteriori informazioni nelle note legali (/impressum).

Richieste in materia di protezione dei dati: zugferd-support@brainwave-software.de oppure per posta all’indirizzo sopra indicato.

2. Ruoli: titolare e responsabile del trattamento

Siamo titolari del trattamento dei dati degli account utente dei nostri clienti (accesso, profilo aziendale).

Trattiamo i dati di fatturazione che i nostri clienti gestiscono tramite Stripe — in particolare i dati relativi ai destinatari delle loro fatture — in qualità di responsabile del trattamento per conto di ciascun cliente (art. 28 GDPR, regolamento generale sulla protezione dei dati). Il cliente è il titolare del trattamento di tali dati. I destinatari delle fatture devono rivolgersi in primo luogo all’impresa che ha emesso la fattura. Per l’accordo sul trattamento dei dati si veda la sezione 11.

3. Dati che trattiamo

• Dati dell’account: nome utente, indirizzo e-mail, ruolo, password (memorizzata esclusivamente come hash bcrypt), appartenenza a un’organizzazione.
• Profilo aziendale del cliente: ragione sociale, indirizzo, partita IVA, codice fiscale, coordinate bancarie (IBAN, BIC, intestatario del conto), logo. Parte di questi dati viene ripresa dall’account Stripe durante la configurazione (nome, indirizzo e-mail, identificativo fiscale, indirizzo di assistenza) e compare sulle fatture generate.
• Dati di fatturazione da Stripe: numero di fattura, data, righe della fattura, importi, aliquote fiscali, valuta e dati del destinatario della fattura (nome, indirizzo, indirizzo e-mail, partita IVA).
• Documenti generati: XML ZUGFeRD/XRechnung, file PDF/A-3, rapporti di convalida.
• Dati di collegamento a Stripe: ID dell’account Stripe e — qualora un cliente li memorizzi — chiavi API e segreti dei webhook; impostazioni per l’invio tramite e-mail e PEPPOL.
• Chiavi API per l’API esterna (memorizzate esclusivamente come hash) e data e ora dell’ultimo utilizzo.
• Richieste di accesso (titolo, descrizione, motivazione, stato, note dell’amministratore).
• Dati tecnici: dati di sessione, log del server (ora, percorso API, codice di stato, durata, contenuto della risposta troncato), indirizzo IP (conservato solo in memoria ai fini della limitazione delle richieste, non memorizzato).

4. Finalità e basi giuridiche

• Fornitura del Servizio (conversione delle fatture Stripe in ZUGFeRD/XRechnung, convalida, archiviazione, invio facoltativo): art. 6, par. 1, lett. b), GDPR (contratto) oppure, per conto del cliente, art. 28 GDPR.
• Accesso, gestione delle sessioni e single sign-on: art. 6, par. 1, lett. b), GDPR.
• Sicurezza, prevenzione degli abusi e risoluzione dei problemi (log, limitazione delle richieste): art. 6, par. 1, lett. f), GDPR; il nostro legittimo interesse consiste nel gestire il Servizio in modo sicuro e affidabile.
• Nostri obblighi legali di conservazione: art. 6, par. 1, lett. c), GDPR.

Non utilizziamo i dati a fini pubblicitari, non vendiamo dati e non utilizziamo strumenti di analisi o di tracciamento.

Il conferimento dei dati dell’account e aziendali è necessario per concludere il contratto e utilizzare il Servizio; senza di essi non possiamo fornire il Servizio. Non sussiste alcun obbligo legale di conferirli.

Non ha luogo alcun processo decisionale automatizzato, compresa la profilazione, ai sensi dell’art. 22 GDPR.

5. Stripe e la Stripe App

Quando Lei installa la Stripe App o collega il Suo account Stripe, il Servizio legge tramite l’API di Stripe: fatture e PDF delle fatture, clienti (nome, indirizzo e-mail, indirizzo, identificativi fiscali), aliquote fiscali, dati dell’account (denominazione dell’impresa, indirizzo e-mail, identificativo fiscale, indirizzo di assistenza) e immagine del marchio (logo). Le richieste provenienti dallo Stripe Dashboard sono autenticate mediante la richiesta firmata di Stripe. Riceviamo webhook di Stripe per l’installazione e la disinstallazione dell’app e per le fatture finalizzate e pagate.

Il trattamento effettuato da Stripe stessa è disciplinato dal Suo contratto con Stripe e dall’informativa sulla privacy di Stripe (stripe.com/privacy). Per i clienti nel SEE, la controparte contrattuale è di norma Stripe Payments Europe, Limited, 1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlanda.

6. Hosting, archiviazione e destinatari

• Hosting: l’applicazione e il relativo database PostgreSQL sono eseguiti su server di Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, nel suo data center di Norimberga (Germania).
• Object storage: i file PDF, XML e i rapporti generati sono memorizzati in un object storage compatibile con S3 gestito da noi (s3.attrian.de), sullo stesso hosting dell’applicazione. I file sono memorizzati in forma cifrata con AES-256.
• Invio tramite e-mail: le fatture vengono inviate per e-mail solo se il cliente ha attivato l’invio tramite e-mail. Il PDF della fattura viene in tal caso inviato all’indirizzo e-mail del destinatario della fattura tramite il servizio SMTP Brevo (Sendinblue SAS, 106 boulevard Haussmann, 75008 Paris, Francia).
• Single sign-on: “Login with ATTRIAN” utilizza un server Keycloak gestito da noi (auth.attrian.de). Vengono acquisiti l’indirizzo e-mail, il nome utente e il nome; al primo accesso viene creato un account.
• PEPPOL: solo se un cliente configura l’invio tramite PEPPOL, l’XML della fattura viene trasmesso all’access point indicato dal cliente; per individuare il destinatario vengono interrogati i servizi di directory della rete PEPPOL.
• Protezione della rete e dagli attacchi: l’accesso al Servizio avviene attraverso la rete di Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA (reverse proxy, protezione DDoS). Cloudflare tratta i dati trasmessi, compresi gli indirizzi IP, per inoltrarli ai nostri server. Con Cloudflare è stato concluso un accordo sul trattamento dei dati.
• Stripe: si veda la sezione 5.

I dati vengono trasferiti verso un paese al di fuori del SEE esclusivamente tramite Cloudflare, Inc. (USA). Cloudflare è certificata nell’ambito dell’EU-US Data Privacy Framework (quadro UE-USA per la protezione dei dati); il trasferimento si basa sulla decisione di adeguatezza della Commissione europea (art. 45 GDPR). Si applicano inoltre le clausole contrattuali standard contenute nell’accordo sul trattamento dei dati concluso con Cloudflare. Tutti gli altri destinatari trattano i dati nell’UE o nel SEE.

7. Cookie e archiviazione locale

Utilizziamo esclusivamente sistemi di archiviazione strettamente necessari (§ 25, comma 2, n. 2 TDDDG):

• Cookie “sessionId”: cookie di sessione per l’accesso, valido 24 ore, HttpOnly, in produzione solo tramite HTTPS. La sessione è memorizzata nel nostro database.
• Cookie “sidebar_state”: memorizza se la barra laterale è compressa, 7 giorni.
• Archiviazione locale “language” (lingua selezionata) e “cookie_consent” (la Sua scelta nell’avviso sui cookie).
• Archiviazione di sessione “pkce_code_verifier” e “oauth_state”: solo durante il single sign-on.

I font sono forniti dal nostro server; nel browser non vengono caricati contenuti di terzi (CDN, strumenti di analisi, pubblicità).

8. Conservazione

• I dati dell’account, il profilo aziendale, i dati di fatturazione e i documenti generati sono conservati per la durata del contratto.
• Quando la Stripe App viene disinstallata, l’account viene disattivato e tutte le sessioni vengono terminate; i dati vengono conservati per consentire la reinstallazione dell’app. Su richiesta a zugferd-support@brainwave-software.de cancelliamo i dati entro 30 giorni, salvo che vi si oppongano obblighi legali di conservazione.
• Le sessioni scadono dopo 24 ore.
• I log del server sono memorizzati esclusivamente sui nostri server e vengono sovrascritti in modo continuo una volta raggiunta la capacità di memoria assegnata; attualmente non è previsto un termine di cancellazione fisso.

Nota: gli obblighi legali di conservazione delle fatture spettano all’emittente della fattura; le fatture devono di norma essere conservate per 8 anni ai sensi del § 14b UStG e del § 147 AO (si vedano anche le GoBD). Il Servizio non è un sistema di archiviazione conforme ai requisiti di revisione; i clienti devono archiviare autonomamente i documenti generati.

9. Sicurezza

I dati sono trasmessi in forma cifrata tramite HTTPS. Le password e le chiavi API sono memorizzate esclusivamente come hash bcrypt. I file generati nonché le chiavi Stripe e i token di accesso memorizzati sono cifrati a riposo con AES-256. I dati dei diversi clienti (tenant) sono separati nel database mediante row-level security e l’accesso è basato sui ruoli. I tentativi di accesso e le richieste della Stripe App sono soggetti a limitazione delle richieste. Il single sign-on richiede un indirizzo e-mail verificato.

10. I Suoi diritti

• Accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20).
• Opposizione al trattamento basato su legittimi interessi (art. 21 GDPR).
• Reclamo presso un’autorità di controllo per la protezione dei dati (art. 77 GDPR); l’autorità competente nei nostri confronti è l’Ufficio bavarese per la vigilanza sulla protezione dei dati (BayLDA), Promenade 18, 91522 Ansbach, Germania.

Le richieste vanno inviate all’indirizzo indicato nella sezione 1.

11. Accordo sul trattamento dei dati (DPA / AVV)

I clienti che trattano tramite il Servizio dati personali dei destinatari delle loro fatture concludono con noi un accordo sul trattamento dei dati ai sensi dell’art. 28 GDPR; esso è parte integrante delle condizioni d’uso (sezione 10). L’elenco dei sub-responsabili del trattamento è disponibile all’indirizzo /it/zugferd/support. Una copia controfirmata è disponibile su richiesta a zugferd-support@brainwave-software.de.

12. Modifiche

Aggiorniamo la presente informativa sulla privacy quando cambiano il Servizio o la normativa. Si applica la versione qui pubblicata.

Ultimo aggiornamento: 11 novembre 2026