Privacy Policy (GDPR)

La presente informativa descrive il trattamento dei dati personali effettuato da Nexa Pass nell'ambito della vendita e dell'erogazione dei servizi Nexa Pass Business e Nexa Pass Core Banking, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR").

1. Ruoli: Titolare e Responsabile del trattamento

Per i dati dell'account, dei referenti aziendali e del legale rappresentante raccolti in fase di registrazione e fatturazione, il Titolare del trattamento è Nexa Pass, contattabile all'indirizzo privacy@nexapass.it.

Nell'ambito dell'erogazione del servizio, il Cliente business (l'azienda registrata) mantiene il ruolo di Titolare dei dati che carica e gestisce nella propria istanza, mentre Nexa Pass agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, trattando tali dati esclusivamente per erogare il servizio secondo le istruzioni del Cliente e nel rispetto dell'accordo sui dati (Data Processing Agreement) sottoscritto con l'attivazione.

2. Categorie di dati trattati

• Dati anagrafici e societari: ragione sociale, partita IVA, codice fiscale, indirizzo della sede legale, PEC, codice destinatario SDI.
• Dati di contatto e di fatturazione: nome e cognome, email, telefono, indirizzo di fatturazione.
• Dati del legale rappresentante: nome, cognome e, se comunicato, codice fiscale.
• Dati di utilizzo e tecnici: identificativi di sessione, indirizzo IP, log di accesso, informazioni sul dispositivo e sull'utilizzo delle console.
• Dati di pagamento: gestiti direttamente dal fornitore di pagamenti Lemon Squeezy; Nexa Pass non memorizza i dati completi delle carte.

3. Finalità e basi giuridiche

• Esecuzione del contratto (art. 6.1.b GDPR): censimento dell'azienda, attivazione delle licenze, erogazione dei servizi, assistenza e fatturazione.
• Obblighi legali (art. 6.1.c GDPR): adempimenti fiscali, contabili, antiriciclaggio ove applicabili e conservazione dei documenti.
• Legittimo interesse (art. 6.1.f GDPR): sicurezza, prevenzione di frodi e abusi, tutela dei diritti e miglioramento dei servizi.
• Consenso (art. 6.1.a GDPR): comunicazioni commerciali, ove previsto e revocabile in qualsiasi momento.

4. Destinatari e responsabili del trattamento

I dati possono essere comunicati a fornitori che operano come responsabili del trattamento, tra cui il fornitore di pagamenti Lemon Squeezy, i fornitori di hosting e infrastruttura, i consulenti contabili e legali e le autorità competenti ove richiesto dalla legge. L'elenco aggiornato dei responsabili è disponibile su richiesta.

5. Trasferimenti extra-UE

Qualora alcuni fornitori siano stabiliti al di fuori dello Spazio Economico Europeo, il trasferimento avviene sulla base di decisioni di adeguatezza o di clausole contrattuali standard approvate dalla Commissione europea, con adozione di misure tecniche e organizzative adeguate.

6. Periodo di conservazione

I dati sono conservati per il tempo necessario alle finalità indicate e, in particolare, per tutta la durata del rapporto contrattuale e per i termini di legge successivi (ad esempio dieci anni per i documenti fiscali e contabili). I log di sicurezza sono conservati per il periodo strettamente necessario alla tutela del servizio.

7. Diritti dell'interessato

L'interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità previsti dagli articoli 15-22 GDPR, nonché revocare il consenso in qualsiasi momento, scrivendo a privacy@nexapass.it. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

8. Sicurezza e crittografia

Nexa Pass adotta misure tecniche e organizzative adeguate per proteggere i dati da accessi non autorizzati, perdita o alterazione, tra cui:

• Crittografia in transito: tutto il traffico verso il sito e le API viaggia su TLS/HTTPS, con mutua autenticazione (mTLS) per i collegamenti infra-istituto del prodotto Core Banking.
• Autenticazione e controllo degli accessi: accesso alle console tramite credenziali nominative e Chiave Prodotto / Licenza, con ruoli e permessi differenziati (RBAC).
• Integrità e tracciabilità: scritture contabili append-only e registrazione delle operazioni in log WORM per garantirne l'immutabilità e la verifica nel tempo.
• Segregazione dei dati: isolamento logico (schema o database dedicato) per ciascun istituto o azienda.