1. Parti, ambito di applicazione e ruoli
Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante dei Termini di servizio tra Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Danimarca, che gestisce open-banking.io con la denominazione secondaria OpenBanking IO ApS («Responsabile del trattamento», «noi»), e il cliente aziendale che utilizza il servizio («Titolare del trattamento», «tu»).
Si applica ai sensi dell’articolo 28 del GDPR ogni volta che colleghi conti bancari i cui estratti conto o movimenti contengono dati personali (come nomi di controparti, IBAN, stipendi dei dipendenti o causali di pagamento). Domande: privacy@open-banking.io.
2. Natura, finalità e durata del trattamento
Trattiamo i dati personali esclusivamente per fornire il servizio open-banking.io: recupero dei dati di conti e transazioni tramite API PSD2 durante le sincronizzazioni, cifratura dei dati bancari sensibili con la tua chiave pubblica registrata, archiviazione dei record risultanti e dei metadati strutturali di sincronizzazione, e restituzione degli stessi tramite l’applicazione web e l’API.
Il trattamento prosegue finché il tuo account rimane attivo e termina quando rimuovi un singolo conto bancario o elimini il tuo account utente.
3. Categorie di interessati e di dati personali
- Interessati: intestatari dei conti, controparti, clienti, fornitori e dipendenti i cui dati compaiono nei conti bancari collegati e negli estratti conto, nonché gli utenti autorizzati del tuo account.
- Dati personali: identificativi di conto (IBAN, BBAN, numeri di conto), nomi di intestatari e controparti, importi delle transazioni, causali e riferimenti di pagamento (sigillati con la tua chiave pubblica una volta registrata), insieme ai metadati strutturali necessari per sincronizzazione, deduplicazione e conformità PSD2 (identificativo della banca, valuta, date contabili/valuta, UID di sessione/conto cifrati, indirizzo IP e User-Agent dell’utente nelle sincronizzazioni assistite e log operativi API e di sincronizzazione conservati per 90 giorni).
Le credenziali di accesso bancario non vengono mai raccolte, visualizzate né memorizzate da noi.
4. Istruzioni documentate e cifratura lato client
Trattiamo i dati personali solo su tue istruzioni documentate — ossia la tua configurazione e il tuo utilizzo del servizio e dell’API — salvo diversamente richiesto dal diritto dell’UE o dal diritto danese.
Una volta registrata una chiave pubblica ECDH P-256, i dati bancari sensibili recuperati tramite Enable Banking (nomi di intestatari e controparti, IBAN/BBAN, importi delle transazioni, causali di pagamento e JSON bancario grezzo) vengono sigillati con la tua chiave pubblica (ECDH P-256 effimero + HKDF-SHA256 + AES-256-GCM), cosicché non possiamo decifrarli a riposo a meno che tu non attivi esplicitamente il debug temporaneo di supporto per una finestra temporale limitata.
5. Riservatezza e misure di sicurezza (art. 32 GDPR)
Chiunque sia da noi autorizzato ad accedere all’infrastruttura è vincolato da rigorosi obblighi di riservatezza.
Adottiamo misure tecniche e organizzative adeguate al rischio:
- Cifratura envelope end-to-end con chiavi generate e custodite sui tuoi dispositivi o sistemi
- Cifratura TLS 1.2/1.3 per tutti i dati in transito
- Hosting in data center nell’UE certificati ISO/IEC 27001:2022 con rigorose policy di rete Kubernetes e accesso con privilegio minimo
- Protezione DDoS europea, Web Application Firewall (WAF) e rate limiting al margine della rete
6. Sub-responsabili del trattamento autorizzati
Conferisci autorizzazione scritta generale per i seguenti sub-responsabili europei:
- Enable Banking Oy (Espoo, Finlandia) — prestatore di servizi di informazione sui conti (AISP) PSD2 vigilato dall’Autorità di vigilanza finanziaria finlandese (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Germania e Finlandia) — hosting e archiviazione in data center certificati ISO/IEC 27001:2022.
- Bunny.net (BunnyWay d.o.o., Lubiana, Slovenia) — protezione DDoS, WAF, DNS e rete edge su infrastruttura europea.
- Stripe (Stripe Payments Europe, Ltd., Irlanda) — elaborazione dei pagamenti e fatturazione.
Vincoliamo ciascun sub-responsabile a obblighi di protezione dei dati non meno tutelanti del presente DPA e rimaniamo responsabili del loro adempimento. Ti informiamo via e-mail prima di aggiungere o sostituire un sub-responsabile affinché tu possa opporti chiudendo il tuo account prima che la modifica abbia effetto.
7. Residenza dei dati nell’UE e trasferimenti internazionali
Tutti i dati bancari e di conto sono archiviati ed elaborati esclusivamente all’interno dell’Unione europea e dello SEE (Germania, Finlandia e infrastruttura edge europea). Non trasferiamo i tuoi dati bancari al di fuori dell’UE/SEE.
8. Assistenza, notifica delle violazioni e audit
Poiché i tuoi dati bancari sono direttamente accessibili tramite l’app e l’API, puoi esportare o cancellare i record in qualsiasi momento. Tenuto conto della natura del trattamento, ti assistiamo su richiesta inviata a privacy@open-banking.io per le richieste degli interessati, le valutazioni di sicurezza e le richieste relative alla DPIA.
Ti notifichiamo senza ingiustificato ritardo — e comunque entro 48 ore dal momento in cui ne veniamo a conoscenza — qualsiasi violazione dei dati personali che riguardi il tuo account, fornendo le informazioni richieste dall’articolo 33 del GDPR.
Mettiamo a disposizione tutte le informazioni ragionevolmente necessarie per dimostrare la conformità all’articolo 28 del GDPR e consentiamo audit o ispezioni previo ragionevole preavviso scritto.
9. Cancellazione alla cessazione e legge applicabile
La disconnessione di un collegamento bancario revoca la sessione PSD2 e interrompe le nuove sincronizzazioni, mantenendo disponibile lo storico importato finché non rimuovi il conto. Quando rimuovi un singolo conto bancario o elimini il tuo account utente, i record del conto e delle transazioni vengono eliminati definitivamente dai database attivi ed eliminati dai backup del database entro 30 giorni (conservando esclusivamente i documenti fiscali e contabili obbligatori ai sensi della legge contabile danese e i log operativi di breve durata che scadono entro 90 giorni).
Il presente DPA è regolato dalla legge danese ed è soggetto alla giurisdizione dei tribunali danesi. Contatto per tutte le questioni relative alla protezione dei dati: privacy@open-banking.io.