Informativa sulla privacy (professionisti e interessati che ricevono un link)

1. A chi si applica la presente informativa

La presente informativa si applica (a) ai Professionisti che hanno un account su Titus Docs e (b) alle persone che ricevono da un Professionista un link di raccolta e, tramite esso, autorizzano l'ottenimento dei propri documenti (gli «Interessati»). Se utilizza Titus Docs direttamente come privato, senza passare per un professionista, si applica l'Informativa sulla privacy per i privati.

Titus Docs è un servizio privato del prodotto TitusOne, gestito da [ENTIDADE OPERADORA — NIPC, morada].

2. Titolare del trattamento e responsabile del trattamento

Nella raccolta dei documenti, il Professionista che ha richiesto i documenti è il titolare del trattamento dei dati personali dell'Interessato: decide per quali finalità i dati vengono raccolti e deve disporre di una base giuridica per farlo. Titus Docs agisce in qualità di responsabile del trattamento, trattando i dati per conto del Professionista e secondo le sue istruzioni, sulla base di un accordo sul trattamento dei dati ai sensi dell'articolo 28 del RGPD.

Per quanto riguarda i dati dell'account e di fatturazione del Professionista stesso, nonché i registri di sicurezza e di audit del servizio, Titus Docs agisce in qualità di titolare del trattamento.

Se è un Interessato e desidera sapere chi le ha richiesto i documenti e per quale finalità, tale informazione è indicata nel link che ha ricevuto e può essere richiesta al Professionista in questione.

3. Dati personali trattati

Dati del Professionista: nome, e-mail, telefono, dati dell'azienda e di fatturazione, dati di utilizzo dell'account, registro delle richieste e dei crediti.

Dati dell'Interessato: nome, e-mail o telefono utilizzati per l'invio del link, NIF e NISS, la registrazione del consenso e i documenti ufficiali ottenuti dai portali. Tali documenti possono contenere dati quali domicilio fiscale, redditi, posizione contributiva, dati previdenziali, beni immobili o esposizioni creditizie, a seconda di quanto autorizzato dall'Interessato.

Credenziali di accesso: le password e i codici SMS inseriti dall'Interessato sono trattati in via eccezionale, ai sensi della sezione 5, e soltanto durante la raccolta.

Dati tecnici: indirizzo IP, tipo di browser e registri di accesso, per finalità di sicurezza e di rilevamento degli abusi. Non raccogliamo intenzionalmente categorie particolari di dati; tuttavia, i documenti ufficiali possono contenere informazioni sensibili, che sono trattate con lo stesso livello di protezione e soltanto per la finalità della raccolta.

4. Finalità e basi giuridiche

Eseguire la raccolta richiesta dal Professionista e consegnargli i documenti. Per quanto riguarda il trattamento relativo all'Interessato, la base giuridica è determinata dal Professionista in qualità di titolare del trattamento ed è normalmente il consenso dell'Interessato (articolo 6, paragrafo 1, lettera a), del RGPD) o l'esecuzione di misure precontrattuali adottate su richiesta dell'Interessato (lettera b)). Titus Docs si limita a eseguire il trattamento alle condizioni stabilite.

Gestire l'account, i crediti e la fatturazione del Professionista: esecuzione del contratto (articolo 6, paragrafo 1, lettera b)) e adempimento di obblighi legali, in particolare fiscali e contabili (lettera c)).

Conservare i registri del consenso e di audit, per dimostrare che il consenso è stato prestato e che il servizio è stato fornito nei termini autorizzati: interesse legittimo (lettera f)) e adempimento di obblighi legali, ove applicabile.

Sicurezza del servizio, prevenzione delle frodi e degli abusi e miglioramento tecnico: interesse legittimo (articolo 6, paragrafo 1, lettera f)), previo bilanciamento con i diritti e le aspettative degli interessati.

Rispondere a richieste e reclami e, se necessario, difendere diritti in sede giudiziaria: interesse legittimo e adempimento di obblighi legali.

5. Credenziali dei portali

Per ottenere i documenti, l'Interessato inserisce nella pagina di raccolta le proprie credenziali: NIF e password del portale dell'Autorità Tributaria e Doganale (Finanças), NISS e password del portale della Previdenza Sociale (Segurança Social Direta) e, quando il portale lo richiede, il codice ricevuto via SMS. L'accesso al portale della Banca del Portogallo (Banco de Portugal) avviene tramite l'autenticazione del portale delle Finanze (Finanças).

Tali credenziali vengono cifrate con AES-256-GCM al momento della ricezione, utilizzate esclusivamente dal robot che effettua la raccolta, in un browser isolato, e cancellate al termine della raccolta. Hanno una durata massima di 24 ore, trascorse le quali vengono cancellate anche se la raccolta non è stata completata. Il Professionista non le vede mai e noi non le utilizziamo per nessun'altra finalità, né le registriamo nei file di log.

L'Interessato può interrompere la raccolta in qualsiasi momento. Le raccomandiamo di modificare le password una volta conclusa la raccolta.

6. Conservazione dei dati

Credenziali: cancellate al termine della raccolta e, in ogni caso, entro un termine massimo di 24 ore.

Documenti PDF ottenuti: conservati per 30 giorni, affinché il Professionista possa scaricarli, e successivamente cancellati automaticamente. Il Professionista può cancellarli prima di tale termine. I documenti che il Professionista abbia scaricato nei propri sistemi ricadono sotto la sua esclusiva responsabilità.

Registri del consenso e di audit: conservati per 5 anni, a fini probatori, per l'adempimento di obblighi legali e per la difesa di diritti.

Dati dell'account e di fatturazione del Professionista: per tutta la durata del contratto e, successivamente, per i termini di conservazione previsti dalla legge in materia fiscale e contabile.

Decorsi tali termini, i dati vengono cancellati o resi anonimi in modo irreversibile.

7. Destinatari e responsabili del trattamento

I dati dell'Interessato vengono messi a disposizione del Professionista che ha richiesto i documenti. Non vendiamo dati personali né li utilizziamo a fini pubblicitari.

Ci avvaliamo di responsabili del trattamento, con contratti conformi all'articolo 28 del RGPD: hosting su server dedicato nell'Unione europea (Germania); Stripe, per i pagamenti (soltanto dati di fatturazione e di pagamento del Professionista); Cloudflare, per i servizi DNS.

Possiamo inoltre comunicare dati alle autorità pubbliche, quando la legge lo richiede o lo consente, e ai nostri consulenti professionali, tenuti a un obbligo di riservatezza.

8. Trasferimenti internazionali

I dati dei documenti e delle credenziali sono trattati e conservati su un server nell'Unione europea (Germania). Alcuni dei nostri fornitori, come Stripe e Cloudflare, possono trattare dati limitati (come dati di pagamento o indirizzi IP) al di fuori dello Spazio economico europeo. In tali casi, il trasferimento si basa su meccanismi previsti dal RGPD, quali decisioni di adeguatezza o clausole contrattuali tipo, e su misure supplementari ove necessario.

9. Sicurezza

Applichiamo misure tecniche e organizzative adeguate: cifratura delle credenziali (AES-256-GCM), cifratura delle comunicazioni, browser isolato per ogni raccolta, controllo degli accessi in base al ruolo, registrazione degli accessi, copie di backup e cancellazione automatica entro i termini stabiliti.

In caso di violazione dei dati personali che comporti un rischio per i diritti degli interessati, informeremo il Professionista senza ingiustificato ritardo, affinché possa adempiere ai propri obblighi in qualità di titolare del trattamento, e collaboreremo con lui e con l'autorità di controllo.

10. Diritti degli interessati, modalità di esercizio e reclamo alla CNPD

Ai sensi del RGPD, Lei ha diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione, nonché il diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento già effettuato, e di non essere sottoposto a decisioni basate unicamente su un trattamento automatizzato che producano effetti significativi.

Se è un Interessato, deve rivolgere la richiesta al Professionista che le ha richiesto i documenti, il quale è il titolare del trattamento. Può anche scriverci all'indirizzo dpo@titusone.pt: inoltreremo la richiesta al Professionista e, ove possibile, contribuiremo a darvi seguito, ad esempio cancellando immediatamente i documenti. Se è un Professionista, o per quanto riguarda i dati per i quali siamo titolari del trattamento, la richiesta può essere rivolta direttamente a dpo@titusone.pt.

Rispondiamo entro un mese, termine prorogabile ai sensi di legge. Possiamo richiedere informazioni aggiuntive per confermare l'identità di chi presenta la richiesta.

Se ritiene che il trattamento dei suoi dati violi la legge, ha il diritto di proporre reclamo all'Autorità nazionale portoghese per la protezione dei dati (Comissão Nacional de Proteção de Dados – CNPD), su www.cnpd.pt, fatto salvo qualsiasi altro ricorso amministrativo o giurisdizionale.

11. Cookie

Utilizziamo esclusivamente cookie tecnici, strettamente necessari al funzionamento del sito: un cookie di sessione, che mantiene attiva la sua sessione, e un cookie di preferenza del tema (chiaro o scuro). Non utilizziamo cookie pubblicitari, di analisi del comportamento né di tracciamento, pertanto non è necessario richiedere il consenso per il loro utilizzo. Può cancellare o bloccare questi cookie nelle impostazioni del browser, ma alcune funzionalità potrebbero smettere di funzionare.

12. Modifiche e contatti

Possiamo aggiornare la presente informativa. La data dell'ultimo aggiornamento è indicata in cima a questa pagina e, in caso di modifiche rilevanti, informeremo i Professionisti via e-mail o nell'Ufficio Virtuale (Escritório Virtual).

Contatto per la protezione dei dati: dpo@titusone.pt. Contatto generale: geral@titusone.pt. Entità gestrice: [ENTIDADE OPERADORA — NIPC, morada].