1. Titolare e ambito dell'informativa
ONMAKE S.r.l., Piazza Giuliano della Rovere 8, 00121 Roma (RM), Italia, P.IVA IT17261401008, email info@onmake.it, PEC onmake@pec.onmake.it, è titolare dei trattamenti relativi alla gestione del proprio servizio, dell'account, dei rapporti contrattuali, della sicurezza e dell'assistenza. Per richieste privacy utilizzare info@onmake.it indicando "Privacy Editor Ultra"; non è necessario inviare un documento di identità salvo che sia proporzionatamente necessario per verificare chi presenta la richiesta. Questo recapito non è presentato come recapito di un DPO nominato.
L'informativa riguarda Editor Ultra, il collegamento al comune account ONMAKE e i flussi commerciali pertinenti. Integra l'informativa generale dell'account per gli specifici trattamenti qui descritti; non autorizza nuovi usi dei dati delle altre applicazioni. Editor HTML, OnFirma, AI Save, PageRoll e gli altri prodotti ONMAKE hanno un perimetro distinto. Leggere l'informativa non significa acconsentire a tutti i trattamenti.
2. Ruoli rispetto ai documenti
Quando un professionista, impresa o altro cliente determina finalità e mezzi essenziali del trattamento dei dati contenuti nei propri documenti, ONMAKE li tratta per suo conto, secondo il DPA e le istruzioni. Se il cliente è a sua volta responsabile, ONMAKE opera quale sub-responsabile nei limiti dell'autorizzazione del titolare. La qualificazione dipende dall'attività effettiva, non dal nome del piano. Per finalità proprie quali fatturazione, prevenzione degli abusi e difesa dei diritti, ONMAKE resta titolare autonomo.
Le persone citate in documenti di clienti non diventano utenti ONMAKE. L'informazione a tali interessati e la base giuridica del contenuto competono al soggetto che ne determina il trattamento. ONMAKE assiste tale soggetto senza riutilizzare i documenti per finalità incompatibili. L'eventuale esenzione per attività esclusivamente personali o domestiche del cliente non esonera ONMAKE dai propri obblighi applicabili.
3. Dati raccolti e fonti
Sono trattati l'indirizzo email, l'identificativo account, credenziali e informazioni di autenticazione o recupero, impostazioni di sicurezza, lingua, eventuali dati del profilo forniti dall'utente e appartenenza a un'organizzazione se attivata. Per acquistare sono richiesti dati di fatturazione, indirizzo, eventuali codice fiscale, partita IVA, PEC e codice destinatario. ONMAKE riceve da Stripe riferimenti e stato delle transazioni, abbonamenti e rimborsi; non riceve il numero completo della carta attraverso il checkout ospitato.
I dati tecnici comprendono IP, data e ora, informazioni di browser e dispositivo necessarie alla compatibilità e sicurezza, esiti di autenticazione, registri di errore e abusi, versione e lingua dei documenti contrattuali mostrati o accettati, azioni e riferimenti d'ordine. La localizzazione ricavata dall'IP è approssimativa: non è un servizio di tracciamento GPS. I database geografici locali non richiedono l'invio dell'IP a MaxMind o DB-IP per ciascuna ricerca.
I contenuti trattati possono comprendere testi, PDF, immagini, metadati, nomi dei file, firme grafiche, certificati contenuti nei documenti firmati, allegati e dati delle connessioni a server scelti dall'utente. Possono contenere dati di clienti, assistiti, dipendenti, controparti, minori o altri terzi, incluse categorie particolari e dati relativi a reati. La capacità tecnica di caricare un file non prova la liceità del caricamento: il cliente deve verificare gli articoli 6, 9 e 10 GDPR, il segreto professionale e le misure necessarie.
Le informazioni provengono dall'utente, dagli utenti autorizzati dell'organizzazione, dal funzionamento del servizio e dai fornitori strettamente necessari. Eventuali dati di terzi presenti nelle richieste di assistenza devono essere minimizzati prima dell'invio. Gli importi, le ricevute e le decisioni amministrative non richiedono di acquisire il contenuto dei documenti elaborati.
4. Finalità e basi giuridiche
Creazione dell'account, autenticazione, attivazione del piano, elaborazioni richieste, comunicazioni di servizio e assistenza necessaria si basano sull'esecuzione del contratto o su misure precontrattuali richieste (articolo 6, paragrafo 1, lettera b). Per utenti che agiscono per un'organizzazione senza essere personalmente parte del contratto, la gestione dei contatti e delle abilitazioni si basa sull'interesse legittimo a erogare in modo sicuro il rapporto organizzativo (lettera f), con valutazione di proporzionalità.
Fatturazione, conservazione fiscale, risposte alle autorità e adempimenti inderogabili si fondano sull'obbligo legale (lettera c). Prevenzione di frodi e abusi, sicurezza, registrazioni probatorie proporzionate e difesa di un diritto si fondano sull'interesse legittimo (lettera f), salvo un obbligo legale specifico. L'interesse è proteggere utenti, servizio e diritti; non legittima un controllo generalizzato del contenuto dei documenti.
Marketing, profilazione commerciale e tracciamenti non necessari non vengono attivati dalla sottoscrizione di Editor Ultra. Qualsiasi loro introduzione richiede informativa pertinente e, quando dovuto, consenso separato e revocabile (lettera a). L'avvio del servizio e l'accettazione dei termini non costituiscono consenso a tali finalità. Per i contenuti trattati quale responsabile ONMAKE non sceglie una base giuridica sostitutiva di quella del cliente, ma esegue istruzioni lecite ai sensi dell'articolo 28.
5. Elaborazione locale, server e copie
Il browser può mantenere documenti aperti, sessioni sospese, cronologia, preferenze e copie di recupero. La memoria persistente del browser non coincide con il salvataggio sui server ONMAKE e può sopravvivere alla chiusura della scheda. Le copie locali rimangono soggette alle impostazioni e alla sicurezza del dispositivo.
I documenti che l'utente salva in Editor Ultra (documenti, codice, fogli) sono scritti in una cartella dedicata all'utente sul server ONMAKE. L'utente può eliminarli dal servizio; dopo la cessazione dell'abbonamento restano possibili soltanto lettura, esportazione ed eliminazione dei propri documenti.
Editor Ultra usa un motore PDF locale, ma non ogni operazione resta sul dispositivo: per le operazioni non gestite dal motore locale, in caso di errore e quando il motore locale è disattivato il PDF passa al server ONMAKE. L'anteprima del PDF sul server è tenuta in memoria per al massimo trenta minuti. Le conversioni di documento usano il motore ExactDOC installato sulla stessa macchina del servizio. Il server scarica da indirizzi pubblici soltanto le immagini presenti nelle firme OnFirma dell'utente, quando queste vengono inserite in un documento.
L'ubicazione dichiarata da ONMAKE è: server applicativo su Microsoft Azure, regione Italy North; dati dell'account nel progetto Supabase della regione UE di Francoforte; sito e posta di servizio su Aruba in Italia. Per le verifiche di firme si possono consultare elenchi di fiducia e servizi di revoca.
La funzione di pubblicazione trasferisce file al server FTP, FTPS o SFTP indicato dall'utente con le credenziali che l'utente inserisce. L'elenco delle connessioni (indirizzo, utente, cartella) è conservato in un archivio separato per utente; le password non sono salvate sul server. Una destinazione scelta dall'utente può trovarsi fuori dall'UE: il cliente deve verificare tale scelta. L'integrazione OnFirma legge i contenuti dell'utente nei limiti del piano e del comando impartito, non li rende pubblici automaticamente.
6. Destinatari e accessi
Accedono ai dati persone autorizzate di ONMAKE soggette a riservatezza e fornitori necessari di hosting, database, posta, pagamenti, fatturazione, assistenza e sicurezza, secondo il ruolo effettivo e accordi appropriati. Microsoft Azure e Supabase supportano l'infrastruttura; Aruba supporta sito e posta; Openapi S.p.A. supporta la trasmissione delle fatture; l'Agenzia delle Entrate riceve i flussi fiscali e svolge la conservazione quando attivata. Stripe opera secondo i ruoli pertinenti alle singole attività, anche autonomamente per propri obblighi legali e sicurezza dei pagamenti: non è qualificato indiscriminatamente come responsabile di ONMAKE.
Fornitori di conversioni installate localmente non ricevono documenti soltanto perché il loro software viene eseguito. I destinatari effettivi e i sub-responsabili pertinenti ai contenuti devono essere identificati nell'elenco associato al DPA, reso disponibile prima del trattamento. Autorità, consulenti vincolati alla riservatezza e soggetti coinvolti in operazioni societarie possono ricevere dati soltanto per necessità e con le garanzie applicabili. I documenti non sono diffusi per impostazione predefinita.
I fornitori AI scelti dall'utente (documento 07) non sono destinatari scelti da ONMAKE: ricevono i dati soltanto se l'utente collega il proprio assistente, secondo le condizioni e l'informativa di quel fornitore. Anche l'AI esterno che si collega con MCP o API REST è scelto dall'utente. Ogni utente può revocare le chiavi e le autorizzazioni create.
7. Trasferimenti internazionali
L'ubicazione europea dei server non esclude automaticamente accessi o trattamenti extra-SEE da parte di gruppi di fornitori. ONMAKE consente un trasferimento soltanto con una base del capo V GDPR: decisione di adeguatezza applicabile e verificata per il destinatario, oppure garanzie appropriate come le clausole contrattuali standard pertinenti, valutazione del trasferimento e misure supplementari quando necessarie. Non si usa una generica accettazione dei termini come consenso derogatorio a trasferimenti abituali.
Il cliente o interessato può richiedere a info@onmake.it l'identità dei destinatari, i Paesi coinvolti, la garanzia applicabile e una copia delle relative informazioni, con oscuramento dei soli dati riservati non necessari. Un nuovo trasferimento di contenuti affidati a ONMAKE deve rispettare anche il DPA e le istruzioni del cliente. Il perimetro commerciale Italia/UE non elimina questi obblighi europei.
8. Conservazione
I documenti salvati nel servizio restano finché l'utente li elimina o il servizio cessa; dopo la cessazione sono disponibili lettura, esportazione ed eliminazione secondo il documento 12. L'anteprima PDF sul server scade dopo trenta minuti dalla creazione.
Le fatture e i registri fiscali sono conservati per dieci anni o per il maggiore termine legalmente richiesto; l'eliminazione dell'account non li cancella. I dati dell'account comune rimangono finché l'account è necessario agli altri servizi richiesti; la sola cessazione di Editor Ultra non ne comporta la cancellazione. I dati contrattuali e le prove strettamente necessarie sono conservati per il rapporto e, nei limiti necessari a obblighi e difesa, per il termine di prescrizione applicabile. Non comprendono il contenuto dei documenti del cliente.
Il registro delle chiamate degli agenti (app, utente, chiave, strumento, esito, data; mai il contenuto dei documenti) e i log tecnici sono conservati per il tempo necessario a sicurezza, controllo dei limiti e prevenzione degli abusi. I dati di supporto sono conservati per il tempo necessario a gestire la richiesta; gli allegati non necessari sono rimossi alla chiusura.
Local storage, sessionStorage e IndexedDB possono persistere finché l'utente li cancella, il browser li rimuove o interviene una funzione del servizio; non sono promesse cancellazioni remote di copie su dispositivi non raggiungibili. Cookie e scadenze sono descritti nel documento 04.
9. Sicurezza, automazioni e AI
ONMAKE adotta misure proporzionate al rischio, incluse autorizzazioni per utente, separazione delle cartelle e degli archivi di connessione per utente, protezione dei canali, controllo di abbonamento, blocco e sospensione durante l'uso, limiti sui tentativi con chiavi non valide, aggiornamenti e gestione degli incidenti. Le misure dovute contrattualmente per i contenuti sono nell'allegato B al DPA. Non vengono dichiarate certificazioni, assenza assoluta di vulnerabilità o cifratura end-to-end.
Editor Ultra permette di collegare un assistente AI scelto dall'utente. ONMAKE non fornisce modelli AI propri e non invia i contenuti dei clienti a fornitori AI: i dati arrivano a un fornitore AI solo se l'utente collega il proprio assistente, e secondo i termini di quel fornitore (documento 07). L'uso interno di strumenti AI da parte del personale è distinto: i contenuti dei clienti non sono inviati a tali strumenti senza una distinta valutazione e informazione.
Controlli automatici di limiti, pagamento e sicurezza possono rifiutare o limitare operazioni. Non sono descritti come sistemi di profilazione commerciale o decisione professionale sul contenuto. L'utente può chiedere verifica umana di un blocco a info@onmake.it. Prima di introdurre decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi ONMAKE effettua la valutazione e fornisce le informazioni e garanzie richieste dall'articolo 22 GDPR.
10. Diritti, conferimento e aggiornamenti
Nei casi previsti l'interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporsi al trattamento fondato su interesse legittimo; può revocare i consensi effettivamente prestati senza incidere sulla liceità anteriore. ONMAKE risponde senza ingiustificato ritardo e di regola entro un mese, prorogabile nei casi e con l'informazione previsti dal GDPR. Le richieste sono normalmente gratuite; eventuali eccezioni devono essere motivate secondo legge.
Per dati contenuti in documenti trattati per conto di un cliente, ONMAKE inoltra la richiesta al soggetto competente e lo assiste. La portabilità GDPR riguarda i dati e i presupposti dell'articolo 20 e non sostituisce la più ampia restituzione contrattuale dei documenti. È possibile proporre reclamo al Garante per la protezione dei dati personali o all'autorità dello Stato di residenza abituale, lavoro o presunta violazione, oltre ad agire in giudizio.
Email e dati necessari a eseguire il contratto o gli obblighi fiscali sono indispensabili per il relativo servizio; dati facoltativi di profilo e consensi promozionali non lo sono. Non conferire un dato non necessario non impedisce il servizio base. Le modifiche sostanziali dell'informativa sono comunicate prima dei nuovi trattamenti con modalità appropriate; una modifica non rende lecito un trattamento incompatibile né sostituisce un consenso richiesto.