Accordo sul trattamento dei dati
Versione 2026-11-04-bozza, del 4 novembre 2026
Bozza in revisione legale. Questo testo descrive come funziona Lume oggi ed è in corso di revisione da parte di un avvocato. Le parti tra parentesi quadre sono ancora da completare.
Questo accordo (art. 28 del Regolamento UE 2016/679, «GDPR») fa parte dei Termini del servizio e si accetta con loro. Vale per i dati personali che l'azienda cliente inserisce o raccoglie con Lume.
1. Le parti e i ruoli
- Titolare del trattamento: l'azienda cliente che ha accettato i Termini («tu»). Decide perché e come usare i dati.
- Responsabile del trattamento: LUCA MARZOTTO, ditta individuale, sede legale Via Cosmo Cosmi 20, 42020 Albinea (RE), P.IVA IT02955670357, C.F. MRZLCU81H22F382H, Registro Imprese di Reggio Emilia, REA RE-327826, tel. +39 347 8741794, email info@lumegestionale.it («Lume»).
Per i dati del conto (chi accede, fatturazione dell'abbonamento, assistenza) Lume è invece titolare: vale l'Informativa privacy.
2. Oggetto, durata, natura e finalità
Lume conserva e tratta i dati per fornirti il gestionale e nient'altro: archiviazione, consultazione, stampa e spedizione dei documenti, form pubblici, campagne email, risposte dell'agente. Non li usa per scopi propri. L'accordo dura quanto il servizio, più il tempo della cancellazione del punto 10.
3. Tipi di dati e persone interessate
- Persone: clienti, fornitori e loro referenti; contatti del CRM; chi compila i tuoi form; destinatari delle tue campagne; colleghi e altre persone che inserisci.
- Dati: nome, ragione sociale, codice fiscale e partita IVA, indirizzi, email, PEC, telefono, IBAN; documenti, importi e scadenze; attività e note; risposte dei form e consenso; iscrizione, disiscrizione ed esiti delle email (consegnata, aperta, rimbalzata, segnalata come spam); allegati.
- Lume non è pensato per le categorie particolari di dati (art. 9 GDPR) o per dati su condanne e reati (art. 10): non inserirli. [da confermare con l'avvocato]
4. Istruzioni
Lume tratta i dati solo su tue istruzioni documentate, anche per i trasferimenti verso Paesi terzi (art. 28 par. 3 lett. a). Sono istruzioni questo accordo, i Termini e quello che fai nell'app e con le API. Se un'istruzione ci sembra contraria alla legge te lo diciamo. Se la legge ci obbliga a trattare i dati diversamente, ti avvisiamo prima, salvo che la legge lo vieti.
5. Riservatezza
Chi lavora ai dati per conto di Lume è tenuto alla riservatezza. Dal portale riservato a Lume si vedono solo conteggi per azienda, e delle richieste di assistenza quello che hai mandato tu.
6. Sicurezza
Le misure in atto (art. 32 GDPR):
- separazione dei dati tra aziende a livello di database, verificata a ogni lettura e scrittura e controllata da prove automatiche;
- permessi per profilo all'interno dell'azienda, fino ai singoli campi, e registro delle azioni sugli accessi;
- solo HTTPS; password non leggibili; chiavi API conservate solo come impronta;
- le chiavi di collegamento ad altri servizi cifrate;
- cancellazione dei dati di una persona dall'app, con un registro che tiene solo numeri e motivo;
- copie di sicurezza del database [frequenza e durata da verificare sul piano Supabase]; il Backup dei dati in un file ZIP lo scarichi tu quando vuoi.
7. Altri responsabili (sub-responsabili)
Ci autorizzi in via generale a usare i fornitori qui sotto (art. 28 par. 2). A ciascuno imponiamo per contratto obblighi equivalenti e rispondiamo del suo operato (art. 28 par. 4). Se ne aggiungiamo o cambiamo uno, te lo scriviamo [N giorni prima, da decidere] e puoi opporti per motivi legati alla protezione dei dati; se non troviamo una soluzione, puoi recedere.
| Fornitore | A cosa serve | Dati | Dove e con quali garanzie |
|---|---|---|---|
| Vercel Inc. (USA) | A cosa serveesecuzione dell'app e delle sue funzioni, rete | Datitutte le richieste, indirizzo IP | Dove e con quali garanziefunzioni di Lume a Londra; le strutture principali del fornitore sono negli USA. Clausole contrattuali standard (2021/914) nel suo accordo sui dati |
| Supabase Pte. Ltd (Singapore) | A cosa servedatabase, accessi, archivio dei file | Datitutti i dati del conto e dell'azienda | Dove e con quali garanziedati a Londra (Regno Unito, decisione di adeguatezza). Clausole contrattuali standard nel suo accordo sui dati |
| Stripe [società contraente da verificare nel contratto] | A cosa servepagamento dell'abbonamento e dei pacchetti, portale di gestione | Datidati del titolare e di fatturazione; carta e dati di pagamento restano a Stripe | Dove e con quali garanzietrasferimento a Stripe, LLC (USA) con clausole contrattuali standard o Data Privacy Framework. Per antifrode e obblighi di legge Stripe è titolare autonomo |
| Anthropic Ireland, Limited | A cosa serverisposte e proposte dell'agente «Chiedi a Lume» | Datile frasi scritte all'agente e i dati dell'azienda che servono alla risposta | Dove e con quali garanzieclausole contrattuali standard nel suo accordo sui dati; niente addestramento sui dati dei clienti. [luogo del trattamento da verificare] |
| TeamSystem S.p.A. (Fatture in Cloud), Pesaro | A cosa servele fatture di Lume ai suoi clienti; l'importazione, se l'azienda collega il suo account con il suo codice | Datidati di fatturazione del cliente di Lume; per l'importazione, i dati che l'azienda sceglie di portare | Dove e con quali garanzieItalia. Per l'importazione Fatture in Cloud è un fornitore dell'azienda, non di Lume |
| Google Ireland Limited | A cosa serveaccesso con «Continua con Google», solo per chi lo sceglie | DatiGoogle manda a Lume email, nome, immagine e identificativo dell'account (Informativa, punto 4) | Dove e con quali garanzietitolare autonomo per il proprio account |
| Tophost s.r.l., Roma | A cosa servedominio lumegestionale.it, casella info@ e posta di sistema (conferme, recupero password, promemoria) | Datiindirizzi e testo delle email di servizio e di assistenza | Dove e con quali garanzieserver in Italia secondo il fornitore. [ruolo e accordo sui dati da verificare] |
| Resend (Plus Five Five, Inc., USA) | A cosa servespedizione delle campagne col dominio dell'azienda. Solo per le aziende che attivano il modulo «Invio email» | Datiindirizzo e nome dei destinatari, oggetto e testo del messaggio, esiti (consegnata, aperta, rimbalzata) | Dove e con quali garanzietrattamento negli Stati Uniti, con le clausole contrattuali standard (2021/914) e l'adesione al Data Privacy Framework |
Non sono sub-responsabili di Lume i servizi che colleghi tu: la tua casella di posta, le tue chiavi API e i tuoi webhook, il tuo account di Fatture in Cloud per l'importazione.
8. Trasferimenti fuori dall'Unione europea
Avvengono solo verso i fornitori in tabella, con le garanzie indicate lì (artt. 44-49 GDPR). Puoi chiederne copia.
9. Assistenza al titolare
- Diritti degli interessati: li gestisci direttamente dall'app (rettifica nelle schede; cancellazione di un invio o di tutti i dati di una persona dai form; disiscrizioni; esportazioni). Se una persona scrive a noi, la rimandiamo a te e ti avvisiamo.
- Violazioni dei dati: ti informiamo senza ingiustificato ritardo dopo esserne venuti a conoscenza (art. 33 par. 2), scrivendo al titolare, con quello che sappiamo. [procedura e tempi da definire con l'avvocato]
- Sicurezza, valutazioni d'impatto e consultazioni del Garante (artt. 32-36): ti diamo le informazioni che abbiamo.
10. Fine del servizio
Prima di chiudere il conto puoi esportare tutto (Backup dei dati, elenchi, XML delle fatture). Dopo la chiusura cancelliamo i dati entro [N giorni, da decidere], e dalle copie di sicurezza entro [N giorni, da verificare], salvo quello che la legge ci obbliga a conservare (art. 28 par. 3 lett. g).
11. Verifiche
Ti diamo le informazioni necessarie a dimostrare il rispetto di questo accordo e permettiamo verifiche e ispezioni tue o di chi incarichi (art. 28 par. 3 lett. h), con un preavviso ragionevole e senza accedere ai dati di altri clienti. [modalità da definire con l'avvocato]
12. I tuoi obblighi
Sei tu a dover avere una base giuridica per i dati che inserisci e a dover informare le persone (artt. 13 e 14 GDPR): chi compila i tuoi form o riceve le tue campagne deve sapere chi sei, perché tratti i suoi dati e come disiscriversi. Lume ti dà il campo per il testo del consenso, ma quel testo è tuo.