Accordo sul trattamento dei dati (art. 28 GDPR)
Versione del 09/11/2026 · accordo ai sensi dell'art. 28 del Regolamento (UE) 2016/679
1. Le parti
Titolare del trattamento: la ditta o impresa che si iscrive a EvoVolt, identificata con i dati inseriti all'iscrizione e nelle impostazioni dell'azienda («Titolare»).
Responsabile del trattamento: Evo Sistemi di Cirone Simone, Via Fratelli Cairoli 45, 06073 Corciano (PG), partita IVA 02949240549, info@evosistemi.com, PEC secure@pec.evosistemi.com («Responsabile»).
Questo accordo è accettato dal Titolare al momento dell'iscrizione, insieme alle Condizioni del servizio; il Responsabile conserva data, ora, versione e indirizzo IP dell'accettazione.
2. Oggetto e durata
Il Titolare nomina Evo Sistemi responsabile del trattamento dei dati personali che il Titolare inserisce o fa inserire nel gestionale EvoVolt («Servizio»), dalla prova gratuita e finché Evo Sistemi conserva dati personali per suo conto, comprese le copie di sicurezza (punto 9): il Servizio, poi i 30 giorni di sola lettura previsti dalle Condizioni del servizio, poi la cancellazione, che non avviene mai prima di 7 giorni dall'invio dell'email di preavviso. Il Responsabile tratta i dati esclusivamente per fornire il Servizio.
3. Natura, finalità, dati e interessati
| Natura del trattamento | Conservazione, organizzazione, consultazione, elaborazione, comunicazione su istruzione del Titolare (ad esempio invio di un preventivo, di un rapportino, di una dichiarazione di conformità o di un promemoria al cliente), copia di sicurezza, cancellazione. |
|---|---|
| Finalità | Permettere al Titolare di gestire la propria attività: impianti elettrici, clienti, appuntamenti e richieste, preventivi, interventi con rapportini e verbali delle misure, dichiarazioni di conformità, incassi, scadenze, pagina pubblica. |
| Categorie di dati | Dati anagrafici e di contatto (nome, indirizzo, telefono, email, codice fiscale, partita IVA), dati relativi agli impianti e agli immobili (schede tecniche, misure, documenti, dichiarazioni di conformità), dati contrattuali e contabili (preventivi, documenti, pagamenti), fotografie degli interventi, firme apposte sui rapportini, comunicazioni, dati dei collaboratori (anagrafica, orari, attività). Il Servizio non è destinato a dati di categorie particolari (art. 9 GDPR): il Titolare si impegna a non inserirli. |
| Interessati | Clienti del Titolare e loro referenti, potenziali clienti che usano la pagina pubblica, collaboratori e dipendenti del Titolare, fornitori. |
4. Obblighi del Responsabile
Il Responsabile si impegna a:
- trattare i dati solo su istruzione documentata del Titolare: le istruzioni sono l'uso del Servizio secondo le sue funzioni e le Condizioni del servizio; se una norma di legge gli impone un trattamento diverso, lo comunica al Titolare prima di eseguirlo, salvo divieto di legge;
- garantire che le persone autorizzate a trattare i dati siano vincolate alla riservatezza;
- adottare le misure di sicurezza del punto 5;
- rispettare le condizioni del punto 6 per ricorrere ad altri responsabili;
- assistere il Titolare come previsto al punto 8;
- al termine del servizio, restituire o cancellare i dati come previsto al punto 9;
- mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 e consentire le verifiche del punto 10;
- informare il Titolare se, a suo parere, un'istruzione viola il GDPR o altre norme sulla protezione dei dati;
- non trasferire i dati fuori dall'Unione europea senza le garanzie previste dal GDPR e senza avvisare il Titolare;
- tenere il registro delle categorie di attività di trattamento svolte per conto del Titolare.
5. Misure di sicurezza
Il Responsabile applica misure tecniche e organizzative adeguate al rischio, tra cui: connessioni cifrate (HTTPS/TLS) e intestazioni di sicurezza; separazione dei dati di ogni azienda iscritta a livello di applicazione e di base dati, con test automatici di isolamento; password conservate con algoritmi non reversibili, limiti ai tentativi di accesso, verifica in due passaggi facoltativa, sessioni e token distinti per azienda; profili di accesso per gli operatori definiti dal Titolare; registro delle operazioni di sicurezza; una copia di sicurezza di dati e file ogni notte, conservata sul server, su uno spazio di copia di OVH separato dal server e su un archivio di Evo Sistemi in Italia, ad accesso riservato (la durata delle copie è al punto 9); aggiornamento regolare dei sistemi e del software; server in Unione europea presso fornitori qualificati; procedure di gestione delle violazioni.
6. Sub-responsabili e servizi esterni
Il Titolare autorizza in via generale il Responsabile a ricorrere ai seguenti sub-responsabili, vincolati per contratto a obblighi di protezione dei dati equivalenti a quelli di questo accordo:
| Sub-responsabile | Attività | Luogo |
|---|---|---|
| OVH SAS | Server del Servizio, base dati, file caricati e copie di sicurezza | Francia (UE) |
| Google Ireland Limited (Gmail) | Invio delle email automatiche del Servizio (avvisi, preventivi, rapportini e promemoria che il Titolare manda ai suoi clienti) | Irlanda (UE); il gruppo Google può trattare dati anche negli Stati Uniti, con le garanzie del GDPR (decisione di adeguatezza UE-USA e clausole contrattuali standard) |
| Microsoft Ireland Operations Limited (Microsoft 365) | Casella info@evosistemi.com: richieste di assistenza e comunicazioni con il Titolare, che possono contenere dati dei suoi clienti | Irlanda (UE), con le garanzie del GDPR per eventuali trattamenti fuori dall'UE |
| Aruba S.p.A. | Posta elettronica certificata (PEC) per le comunicazioni ufficiali | Italia |
Servizi esterni per indirizzi, coordinate e meteo. Non inviamo i nomi dei tuoi clienti, ma indirizzi e coordinate possono comunque essere dati personali. Per il completamento degli indirizzi e per le coordinate degli impianti il server invia il solo testo dell'indirizzo (via, numero, comune), senza nomi né altri dati del cliente, a Photon (komoot GmbH, Germania) e, come riserva, a Nominatim (OpenStreetMap Foundation, Regno Unito, paese con decisione di adeguatezza); per le previsioni del tempo invia solo coordinate arrotondate a Open-Meteo (Open-Meteo GmbH, Svizzera, paese con decisione di adeguatezza). Anche un indirizzo senza nome può essere un dato personale: per questo li elenchiamo qui. Le risposte restano in memoria sul server per non ripetere le richieste.
Evox IA. Oggi le funzioni di Evox IA (ad esempio il rapportino in bella copia) elaborano il testo sul server di EvoVolt, senza inviarlo a fornitori esterni di intelligenza artificiale. Se in futuro useremo un fornitore esterno, lo aggiungeremo a questo elenco con le regole del paragrafo seguente.
Il Responsabile informa il Titolare, con almeno 30 giorni di anticipo tramite email e aggiornamento di questa pagina, di ogni aggiunta o sostituzione di sub-responsabili; il Titolare può opporsi per motivi legittimi entro quel termine e, se l'opposizione non trova soluzione, disdire il contratto con rimborso della parte di abbonamento non goduta. PayPal e Stripe non trattano dati per conto del Titolare: trattano i dati del Titolare stesso, come titolari autonomi, per i pagamenti del Servizio.
7. Violazioni dei dati
Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne ha avuto conoscenza, di ogni violazione dei dati personali che riguardi i dati trattati per suo conto, fornendo le informazioni utili per la notifica al Garante e la comunicazione agli interessati (natura della violazione, categorie e numero approssimativo di interessati e dati, conseguenze probabili, misure adottate), e collabora alla gestione dell'incidente. Le informazioni non ancora disponibili al primo avviso vengono mandate appena le abbiamo, senza ingiustificato ritardo.
8. Assistenza al Titolare
Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare: nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione), mettendo a disposizione nel Servizio le funzioni di modifica, cancellazione ed esportazione dei dati e, dove non bastano, intervenendo su richiesta entro 10 giorni; nel garantire la sicurezza, nella gestione delle violazioni e, se necessario, nella valutazione d'impatto e nella consultazione preventiva del Garante, fornendo le informazioni in suo possesso. Le richieste degli interessati ricevute direttamente dal Responsabile vengono girate al Titolare senza risposta nel merito.
9. Fine del servizio: restituzione e cancellazione
In ogni momento, anche quando il Servizio è in sola lettura (abbonamento non rinnovato o servizio concluso dopo una disdetta, come previsto dalle Condizioni del servizio), il Titolare può esportare da solo tutti i dati dalla pagina «I tuoi dati», in formato aperto (file CSV, con le foto). 30 giorni dopo l'inizio della sola lettura, o prima su richiesta del Titolare, il Responsabile cancella i dati dai sistemi in uso, sempre dopo una email di preavviso spedita almeno 7 giorni prima. Nelle copie di sicurezza i dati restano più a lungo: sul server di norma quattro settimane e sullo spazio di copia di OVH una settimana, poi vengono sovrascritti; l'archivio di Evo Sistemi in Italia oggi non ha una scadenza automatica. Le copie restano ad accesso riservato e sono usate solo per ripristinare il Servizio. Oltre alle copie di sicurezza restano conservati solo i dati che il Responsabile deve tenere per legge (ad esempio i documenti fiscali del rapporto tra le parti).
10. Verifiche
Il Titolare può chiedere al Responsabile, al massimo una volta all'anno e con preavviso di 30 giorni, informazioni e documentazione sulle misure adottate, e può svolgere o far svolgere verifiche, anche da remoto, nei limiti della ragionevolezza, in orario lavorativo, senza compromettere la sicurezza e la riservatezza degli altri iscritti e a proprie spese. Questi limiti non valgono quando una verifica è necessaria per una violazione dei dati, per un fondato sospetto di inosservanza di questo accordo o per una richiesta dell'autorità.
11. Obblighi del Titolare
Il Titolare garantisce di trattare i dati inseriti nel Servizio nel rispetto del GDPR: di avere una base giuridica, di informare gli interessati (anche di chi usa la sua pagina pubblica), di non inserire dati non necessari né categorie particolari di dati, di custodire le credenziali proprie e dei propri operatori e di rispondere alle richieste degli interessati.
12. Disposizioni finali
Questo accordo prevale sulle Condizioni del servizio per quanto riguarda il trattamento dei dati per conto del Titolare. Le modifiche sono comunicate con le stesse regole delle Condizioni del servizio. Legge italiana; foro di Perugia. Il Responsabile non riceve alcun compenso aggiuntivo per le attività di questo accordo, comprese nell'abbonamento.