Data Processing Addendum (art. 28 GDPR)

Il presente accordo («DPA») disciplina il trattamento dei dati personali che «FULL GREEN ENERGY SRL»(il «Responsabile» o «Fornitore») effettua per conto di ciascuna azienda utilizzatrice della Piattaforma FV Manager 360 (il «Titolare»), ai sensi dell'art. 28 del Regolamento UE 2016/679. Il DPA è parte integrante dei Termini di Servizioe si applica dall'attivazione dell'account.

1. Oggetto, durata, natura e finalità del trattamento

Il Responsabile tratta i dati per conto del Titolare al solo fine di erogare le funzioni della Piattaforma (gestione di clienti, preventivi, contratti, ordini di installazione, provvigioni e documenti), per tutta la durata del rapporto contrattuale. Operazioni: raccolta, registrazione, conservazione, consultazione, comunicazione ai destinatari indicati dal Titolare (es. impresa installatrice), cancellazione.

2. Categorie di interessati e di dati

• Interessati: clienti finali del Titolare, agenti e collaboratori del Titolare, referenti delle imprese installatrici.
• Dati: anagrafiche e recapiti, codice fiscale/P.IVA, indirizzi, dati di consumo energetico e POD, dati contrattuali ed economici (incluso IBAN), documenti d'identità, bollette e visure, foto delle installazioni.

3. Istruzioni documentate

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare, quale risulta dai Termini, dal presente DPA e dall'uso delle funzioni della Piattaforma da parte del Titolare. Non utilizza i dati per finalità proprie.

4. Riservatezza

Le persone autorizzate al trattamento dal Responsabile sono vincolate alla riservatezza e ricevono istruzioni adeguate.

5. Misure di sicurezza (art. 32)

• Isolamento dei dati per azienda tramite Row Level Security su tutte le tabelle e sull'archivio file.
• Autenticazione con credenziali personali; account creati solo su invito.
• Archivio file privato con URL firmati a scadenza; link pubblici con token non indovinabili e scadenza automatica.
• Cifratura dei dati in transito (TLS) e a riposo (fornitore d'infrastruttura).
• Backup gestiti dal fornitore d'infrastruttura; segreti custoditi in variabili d'ambiente.
• Copie temporanee di generazione documenti eliminate subito dopo l'esportazione.

6. Sub-responsabili autorizzati

Il Titolare autorizza in via generale il ricorso ai seguenti sub-responsabili. Il Responsabile informerà il Titolare di eventuali modifiche dell'elenco, dando la possibilità di opporsi:

• Supabase Inc. — database, autenticazione, archiviazione file.
• Vercel Inc. — hosting dell'applicazione.
• Brevo (Sendinblue SAS) — email transazionali.
• Google LLC — generazione documenti (copie temporanee di template Drive/Docs/Slides).

Per i trasferimenti extra-UE si applicano le garanzie di cui all'art. 46 GDPR (Clausole Contrattuali Tipo) e, ove applicabile, la decisione di adeguatezza EU-USA (Data Privacy Framework).

7. Assistenza al Titolare

Il Responsabile assiste il Titolare nel dare seguito alle richieste degli interessati (artt. 15-22): la Piattaforma mette a disposizione funzioni di esportazione e cancellazione dei dati dei clienti finali, nel rispetto degli obblighi legali di conservazione.

8. Violazioni di dati (data breach)

Il Responsabile notifica al Titolare, senza ingiustificato ritardo dopo esserne venuto a conoscenza, ogni violazione dei dati personali trattati per suo conto (art. 33, par. 2 GDPR), fornendo le informazioni utili alla eventuale notifica al Garante entro 72 ore.

9. Cessazione del trattamento

Alla cessazione del rapporto, su scelta del Titolare, il Responsabile restituisce o cancella i dati personali trattati per suo conto, salvi gli obblighi legali di conservazione.

10. Audit

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente DPA e consente verifiche ragionevoli, previo accordo su tempi e modalità. Contatti: «commerciale@fullgreenenergy.com» — PEC «fullgreenenergy@pec.net».