Data Processing Agreement ex art. 28 Regolamento UE 2016/679 (GDPR)
Ai sensi dell'art. 28 del Regolamento UE 2016/679 (GDPR), il presente accordo disciplina la nomina di Liquidia a Responsabile del Trattamento dei dati personali trattati per conto del Titolare nell'utilizzo della piattaforma.
Titolare del Trattamento: il professionista/studio che utilizza la piattaforma Liquidia (di seguito «il Titolare»), identificato dagli estremi riportati in calce al presente documento.
Responsabile del Trattamento: Liquidia, in qualità di fornitore della piattaforma SaaS di tesoreria predittiva e analisi finanziaria (di seguito «il Responsabile»).
Il Responsabile tratta i dati personali per conto e su istruzione documentata del Titolare esclusivamente per le seguenti finalità: previsione e monitoraggio della liquidità, gestione di scadenze e tesoreria, analisi di bilancio, reportistica e dossier aziendali, valutazione della crisi d'impresa (D.Lgs. 14/2019), pianificazione fiscale e confronto con competitor.
Il trattamento è effettuato in modo automatizzato sulla piattaforma; nessuna decisione automatizzata produce effetti giuridici sull'interessato.
Categorie di dati: dati identificativi e di contatto (ragione sociale, partita IVA, indirizzi, email, telefono), dati economico-finanziari e contabili (bilanci, budget, scadenze, movimenti bancari ed estratti conto, esposizioni verso banche), dati di utilizzo del servizio.
Categorie di interessati: clienti del Titolare, loro amministratori e dipendenti, controparti commerciali (clienti e fornitori) dei clienti del Titolare.
Il Responsabile si obbliga a: (a) trattare i dati solo su istruzione documentata del Titolare, anche per quanto concerne i trasferimenti verso paesi terzi; (b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza; (c) adottare le misure di sicurezza di cui all'art. 32; (d) rispettare le condizioni relative all'eventuale ingaggio di ulteriori responsabili (sub-responsabili) ex art. 28.2 e 28.4; (e) assistere il Titolare nella garanzia dell'esercizio dei diritti degli interessati (art. 12-22); (f) notificare al Titolare eventuali violazioni dei dati personali senza ingiustificato ritardo; (g) cancellare o restituire i dati alla fine della prestazione, salvo diverso obbligo di conservazione; (h) mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare la conformità e consentire/condurre audit.
Le misure di sicurezza correnti derivano esclusivamente dalle Dichiarazioni di Sicurezza centralizzate della piattaforma: ogni dichiarazione è pubblicata solo se in stato "verificata" e non scaduta, ed è incorporata nel presente documento con versione e hash del pacchetto corrente.
Residenza dei dati: I dati sono conservati esclusivamente su data center e server situati all'interno dell'Unione Europea (UE/SEE).
Cifratura a riposo: I dati sensibili a riposo sono cifrati con AES-256-GCM; le credenziali di accesso sono conservate in forma di hash.
Cifratura in transito: Tutti i dati viaggiano su connessioni cifrate TLS.
AI Zero-Training: Gli assistenti AI operano in modalità Enterprise con divieto assoluto di addestramento su prompt, dati aziendali o documenti (Zero-Training).
Isolamento per Studio (RLS): I dati di ciascuno Studio sono isolati tramite segregazione logica Row-Level Security: nessun dato è accessibile al di fuori del perimetro autorizzato.
Backup: I backup sono cifrati con AES-256 e conservati con policy di retention automatica; il ripristino è verificabile con checksum SHA-256.
Log di accesso: Gli accessi sono registrati in un registro di sicurezza append-only con catena di hash (tamper-evident) e retention automatica.
Dichiarazioni incorporate: versione v2 · hash fac6ec078f4c · rilasciate il 18/10/2026.
Le elaborazioni degli assistenti AI (Co-pilota, analisi documentali, commenti ai report) avvengono in modalità Enterprise con direttiva esplicita di NON memorizzare né utilizzare prompt, dati aziendali o documenti per l'addestramento di modelli di Intelligenza Artificiale di terze parti.
Nessun dato del Titolare o dei suoi clienti è ceduto, venduto o utilizzato per finalità statistiche o commerciali del Responsabile.
Il Responsabile può avvalersi di sub-responsabili per l'erogazione del servizio (fornitori di infrastruttura cloud, modelli AI e servizi Open Banking), garantendo in ogni caso le stesse garanzie di protezione di cui al presente accordo ex art. 28.4 GDPR. L'elenco dei sub-responsabili è messo a disposizione dal Responsabile su richiesta del Titolare.
L'elenco aggiornato dei sub-responsabili autorizzati è pubblicato nella pagina dedicata "/sub-responsabili" della piattaforma e allegato al presente accordo (Allegato C). Ogni modifica all'elenco (aggiunta, sostituzione o rimozione) è comunicata al Titolare con preavviso di almeno 15 giorni, con possibilità di opposizione ex art. 28.4 GDPR.
In caso di violazione dei dati personali, il Responsabile notifica al Titolare, senza ingiustificato ritardo e comunque entro 72 ore, la natura della violazione, le categorie di dati interessati, le conseguenze e le misure adottate (art. 33 GDPR).
Il presente accordo resta in vigore per la durata dell'erogazione del servizio. Alla chiusura dell'account, tutti i dati aziendali, i file e i documenti associati vengono cancellati in modo sicuro e irreversibile (Purge ex art. 17 GDPR); eventuali copie di backup cifrate vengono eliminate automaticamente entro 30 giorni.
Elenco completo e aggiornato nella pagina dedicata; ogni modifica è comunicata con preavviso di 15 giorni.