1. Titolare e ambito dell'informativa
ONMAKE S.r.l., Piazza Giuliano della Rovere 8, 00121 Roma (RM), Italia, P.IVA IT17261401008, email info@onmake.it, PEC onmake@pec.onmake.it, è titolare dei trattamenti relativi alla gestione dell'account, dell'abbonamento, della sicurezza e dell'assistenza di xTdC. Per richieste privacy utilizzare info@onmake.it indicando "Privacy xTdC"; l'assistenza tecnica può essere contattata anche a support@onmake.it. Questo recapito non è presentato come recapito di un DPO nominato.
L'informativa riguarda xTdC e il suo collegamento al comune account ONMAKE; integra l'informativa generale dell'account per gli specifici trattamenti qui descritti e non autorizza nuovi usi dei dati delle altre applicazioni. Leggere l'informativa non significa acconsentire a tutti i trattamenti.
2. Ruoli rispetto ai dati di calcolo
I dati di calcolo (input, progetti, risultati, relazioni, dati di commessa e dei soggetti inseriti nei frontespizi) restano sul dispositivo dell'utente e nei file che l'utente salva: nel normale uso ONMAKE non li riceve e non li tratta, né come titolare né come responsabile. L'utente che inserisce dati personali di committenti o di terzi è titolare o responsabile di tale trattamento e assicura informative e basi giuridiche. ONMAKE è titolare dei dati dell'account, dell'abbonamento, della sicurezza e dell'assistenza, e di quelli di fatturazione.
3. Dati trattati e fonti
Sono trattati l'indirizzo email, l'identificativo account, credenziali e informazioni di autenticazione o recupero, impostazioni di sicurezza, lingua e, se attivata, l'appartenenza a un'organizzazione. Per acquistare sono richiesti dati di fatturazione, indirizzo, eventuali codice fiscale, partita IVA, PEC e codice destinatario; da Stripe ONMAKE riceve riferimenti e stato delle transazioni, non il numero completo della carta.
Quando una pagina di xTdC viene aperta, lo script di accesso comune verifica sul database ONMAKE permessi, abbonamento ed eventuale blocco o sospensione dell'account e registra l'uso: utente, app, identificativo della sessione di pagina, ora di inizio e ora dell'ultima attività, aggiornata ogni due minuti mentre la scheda è in primo piano. Sono inoltre trattati IP, data e ora, informazioni di browser e dispositivo necessarie a compatibilità e sicurezza, esiti di autenticazione e registri di errore.
Non sono inviati a ONMAKE, nel normale uso, i contenuti dei calcoli. Le richieste di assistenza possono contenere dati forniti volontariamente dall'utente: vanno minimizzati prima dell'invio. Le informazioni provengono dall'utente, dal funzionamento del servizio e dai fornitori strettamente necessari.
4. Finalità e basi giuridiche
Creazione dell'account, autenticazione, attivazione del piano, elaborazioni richieste, comunicazioni di servizio e assistenza necessaria si basano sull'esecuzione del contratto o su misure precontrattuali richieste (articolo 6, paragrafo 1, lettera b). Per utenti che agiscono per un'organizzazione senza essere personalmente parte del contratto, la gestione dei contatti e delle abilitazioni si basa sull'interesse legittimo a erogare in modo sicuro il rapporto organizzativo (lettera f), con valutazione di proporzionalità.
Fatturazione, conservazione fiscale, risposte alle autorità e adempimenti inderogabili si fondano sull'obbligo legale (lettera c). Prevenzione di frodi e abusi, sicurezza, registrazioni probatorie proporzionate e difesa di un diritto si fondano sull'interesse legittimo (lettera f), salvo un obbligo legale specifico. L'interesse è proteggere utenti, servizio e diritti; non legittima un controllo generalizzato del contenuto dei documenti.
Marketing, profilazione commerciale e tracciamenti non necessari non vengono attivati dalla sottoscrizione di xTdC. Qualsiasi loro introduzione richiede informativa pertinente e, quando dovuto, consenso separato e revocabile (lettera a). L'avvio del servizio e l'accettazione dei termini non costituiscono consenso a tali finalità. Per i contenuti trattati quale responsabile ONMAKE non sceglie una base giuridica sostitutiva di quella del cliente, ma esegue istruzioni lecite ai sensi dell'articolo 28.
5. Elaborazione locale, terzi e Connect
I calcoli sono eseguiti nel browser. Progetti, stati dei moduli e passaggi tra moduli sono conservati nel local storage e nel sessionStorage del browser e nei file che l'utente salva (documento 04). La memoria del browser può sopravvivere alla chiusura della scheda e non coincide con un salvataggio sui server ONMAKE; cancellare i dati del browser o usare la navigazione privata può farli perdere: l'utente conserva copie dei progetti che intende mantenere.
Quando si apre la finestra di stampa o di relazione di alcuni moduli, il browser carica da cdn.jsdelivr.net il foglio di stile KaTeX (versione 0.16.9): il contenuto del calcolo è composto localmente, ma il gestore della rete di distribuzione può ricevere dati tecnici ordinari di connessione, come l'indirizzo IP e l'identificativo del browser.
Il comando "Apri in Editor" (ONMAKE Connect) apre Editor Ultra in una nuova finestra su app.onmake.it e consegna a quella finestra, con un canale casuale e per una volta sola, la relazione e i fogli scelti dall'utente (fino a 50 MB). Da quel momento i dati sono trattati secondo i documenti di Editor Ultra.
L'ubicazione dichiarata da ONMAKE è: server applicativo su Microsoft Azure, regione Italy North; dati dell'account nel progetto Supabase della regione UE di Francoforte; sito e posta di servizio su Aruba in Italia.
6. Destinatari e accessi
Accedono ai dati il personale autorizzato di ONMAKE, soggetto a riservatezza, e i fornitori necessari di hosting, database, posta, pagamenti, fatturazione e assistenza: Microsoft Azure e Supabase supportano l'infrastruttura e l'autenticazione; Aruba supporta sito e posta; Openapi S.p.A. supporta la trasmissione delle fatture; l'Agenzia delle Entrate riceve i flussi fiscali. Stripe opera secondo i ruoli pertinenti alle singole attività, anche autonomamente per propri obblighi legali e sicurezza dei pagamenti.
Il gestore della rete di distribuzione jsDelivr (cdn.jsdelivr.net) riceve i dati tecnici di connessione quando si apre la finestra di stampa o di relazione di alcuni moduli (sezione 5). Autorità e consulenti vincolati alla riservatezza possono ricevere dati soltanto per necessità e con le garanzie applicabili.
7. Trasferimenti internazionali
L'ubicazione europea dei server non esclude automaticamente accessi o trattamenti extra-SEE da parte di gruppi di fornitori. ONMAKE consente un trasferimento soltanto con una base del capo V GDPR: decisione di adeguatezza applicabile e verificata per il destinatario, oppure garanzie appropriate come le clausole contrattuali standard pertinenti, valutazione del trasferimento e misure supplementari quando necessarie. Non si usa una generica accettazione dei termini come consenso derogatorio a trasferimenti abituali.
Il cliente o interessato può richiedere a info@onmake.it l'identità dei destinatari, i Paesi coinvolti, la garanzia applicabile e una copia delle relative informazioni, con oscuramento dei soli dati riservati non necessari. Un nuovo trasferimento di contenuti affidati a ONMAKE deve rispettare anche il DPA e le istruzioni del cliente. Il perimetro commerciale Italia/UE non elimina questi obblighi europei.
8. Conservazione
I dati dei progetti nel browser persistono finché l'utente li cancella, il browser li rimuove o interviene una funzione dell'app; non sono promesse cancellazioni remote di copie su dispositivi non raggiungibili. Cookie e scadenze sono descritti nel documento 04.
Le fatture e i registri fiscali sono conservati per dieci anni o per il maggiore termine legalmente richiesto; l'eliminazione dell'account non li cancella. I dati dell'account comune rimangono finché l'account è necessario agli altri servizi richiesti; la sola cessazione di xTdC non ne comporta la cancellazione. I registri di uso e di sicurezza e i dati di supporto sono conservati per il tempo necessario alle finalità descritte; i dati contrattuali e le prove strettamente necessarie sono conservati per il rapporto e, nei limiti necessari a obblighi e difesa, per il termine di prescrizione applicabile.
9. Sicurezza, automazioni e AI
ONMAKE adotta misure proporzionate al rischio, tra cui autenticazione con account, controllo dei permessi e dell'abbonamento, protezione dei canali, aggiornamenti e gestione degli incidenti. Non vengono dichiarate certificazioni o assenza assoluta di vulnerabilità.
xTdC non contiene funzioni AI e non invia dati di calcolo a fornitori AI. I calcoli seguono le procedure del software; l'uso interno di strumenti AI da parte del personale ONMAKE è distinto e non comporta l'invio dei contenuti dei clienti. I controlli automatici di permessi, pagamento e sicurezza possono rifiutare o limitare l'accesso; non sono profilazione commerciale. L'utente può chiedere verifica umana di un blocco a info@onmake.it.
10. Diritti, conferimento e aggiornamenti
Nei casi previsti l'interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporsi al trattamento fondato su interesse legittimo; può revocare i consensi effettivamente prestati senza incidere sulla liceità anteriore. ONMAKE risponde senza ingiustificato ritardo e di regola entro un mese, prorogabile nei casi e con l'informazione previsti dal GDPR. Le richieste sono normalmente gratuite; eventuali eccezioni devono essere motivate secondo legge.
Per dati contenuti in documenti trattati per conto di un cliente, ONMAKE inoltra la richiesta al soggetto competente e lo assiste. La portabilità GDPR riguarda i dati e i presupposti dell'articolo 20 e non sostituisce la più ampia restituzione contrattuale dei documenti. È possibile proporre reclamo al Garante per la protezione dei dati personali o all'autorità dello Stato di residenza abituale, lavoro o presunta violazione, oltre ad agire in giudizio.
Email e dati necessari a eseguire il contratto o gli obblighi fiscali sono indispensabili per il relativo servizio; dati facoltativi di profilo e consensi promozionali non lo sono. Non conferire un dato non necessario non impedisce il servizio base. Le modifiche sostanziali dell'informativa sono comunicate prima dei nuovi trattamenti con modalità appropriate; una modifica non rende lecito un trattamento incompatibile né sostituisce un consenso richiesto.