Conformità al GDPR

BankStatementLab si impegna pienamente a rispettare il Regolamento generale sulla protezione dei dati (UE) 2016/679. In quanto servizio che tratta estratti conto — documenti finanziari altamente sensibili — adottiamo elevati standard di protezione dei dati. Agiamo come responsabile del trattamento per conto dei nostri utenti, che sono i titolari del trattamento. Trattiamo i tuoi documenti per convertirli in formati strutturati (Excel, CSV, OFX), proteggere e supportare il Servizio e adempiere agli obblighi di legge. Non creiamo profili basati sui tuoi dati finanziari e non li utilizziamo per pubblicità o per finalità estranee al Servizio. I PDF di origine vengono eliminati dopo l’elaborazione. Eccezione: per gli utenti autenticati, i PDF delle estrazioni con più tabelle possono essere conservati per un massimo di 7 giorni ai fini del controllo qualità. I PDF conservati sono accessibili esclusivamente agli amministratori autorizzati. Non possono essere scaricati dagli utenti né tramite l’API pubblica.

Seguiamo il principio della minimizzazione dei dati. Raccogliamo solo quanto strettamente necessario per fornire il servizio: • Informazioni sull'account: indirizzo e-mail, password con hash, preferenza della lingua • Dati di fatturazione: gestiti interamente da Stripe; non memorizziamo mai i numeri delle carte di credito • I PDF di origine vengono eliminati dopo l’elaborazione. Eccezione: per gli utenti autenticati, i PDF delle estrazioni con più tabelle possono essere conservati per un massimo di 7 giorni ai fini del controllo qualità. • Risultati dell'estrazione: dati strutturati delle transazioni (colonne, importi, date) conservati fino alla loro eliminazione o fino all'applicazione del periodo di eliminazione automatica che hai configurato • Sessioni di suddivisione PDF: stato tecnico pseudonimizzato collegato al tuo account (numero di file e pagine, punti di suddivisione, risultato e durata), conservato per non più di 365 giorni per diagnosticare e migliorare lo strumento; in questa cronologia non viene archiviato alcun contenuto PDF, nome di file, miniatura o testo • Registri tecnici: metriche di utilizzo ridotte al minimo, usate per la sicurezza, la diagnosi e il miglioramento del servizio; quando rimangono collegati a un account, non li presentiamo come anonimi NON raccogliamo: il tuo indirizzo IP a fini di tracciamento, la cronologia di navigazione, le impronte digitali del dispositivo o dati diversi da quelli elencati sopra.

Quando carichi un PDF di un estratto conto bancario, ecco esattamente cosa succede: 1. Il tuo file viene caricato tramite una connessione TLS 1.3 crittografata 2. I PDF di origine vengono eliminati dopo l’elaborazione. Eccezione: per gli utenti autenticati, i PDF delle estrazioni con più tabelle possono essere conservati per un massimo di 7 giorni ai fini del controllo qualità. 3. Il nostro motore di estrazione IA legge e struttura i dati 4. I dati strutturati (transazioni, colonne) vengono salvati sul tuo account 5. I PDF conservati sono accessibili esclusivamente agli amministratori autorizzati. Non possono essere scaricati dagli utenti né tramite l’API pubblica. L'intero processo richiede in genere alcuni secondi. Per gli utenti ospiti (senza account), l'estrazione e i relativi dati vengono eliminati 24 ore dopo la loro creazione.

Implementiamo più livelli di sicurezza per proteggere i tuoi dati: • Crittografia del trasporto: tutte le comunicazioni tra il tuo browser e i nostri server utilizzano TLS 1.3, lo standard di crittografia più recente • Sicurezza delle password: tutte le password vengono sottoposte ad hashing utilizzando bcrypt con salt: non memorizziamo mai le password in testo semplice • Autenticazione sicura: autenticazione basata su JWT con cookie sicuri, httpOnly • Controllo degli accessi: rigorosi accessi basati sui ruoli limitano l'accesso all'estrazione a te e al personale autorizzato quando il supporto operativo, la sicurezza o gli obblighi legali lo richiedono • Sicurezza dell'infrastruttura: i nostri server funzionano su ambienti rafforzati con aggiornamenti di sicurezza automatici • Monitoraggio delle dipendenze: controlliamo e aggiorniamo regolarmente tutte le dipendenze del software

L'eliminazione dei file è automatica e sistematica quando si applica una regola di conservazione definita: • I PDF di origine vengono eliminati dopo l’elaborazione. Eccezione: per gli utenti autenticati, i PDF delle estrazioni con più tabelle possono essere conservati per un massimo di 7 giorni ai fini del controllo qualità. • File temporanei di elaborazione (pagine suddivise): ripuliti automaticamente al termine dell'elaborazione • Estrazioni senza account: eliminate completamente 24 ore dopo la creazione • Estrazioni degli utenti registrati: eliminate definitivamente quando le elimini o quando si applica la regola di eliminazione automatica da 1 a 30 giorni, inclusi i dati delle transazioni associati La pulizia automatizzata viene eseguita ogni giorno per applicare l'impostazione di conservazione di ciascun utente. Ogni esecuzione viene registrata e monitorata.

Gli utenti registrati controllano la conservazione dei propri dati: • Eliminazione automatica disattivata (predefinita): i risultati dell'estrazione restano finché non li elimini manualmente • Eliminazione automatica attivata: scegli un periodo da 1 a 30 giorni (inizialmente 14 giorni all'attivazione). Le estrazioni più vecchie vengono eliminate automaticamente e definitivamente • Sessioni tecniche di suddivisione dei PDF: eliminate automaticamente entro 365 giorni dalla creazione e alla chiusura dell'account Puoi configurare la politica di conservazione dalle impostazioni del profilo. Se riduci il periodo, le estrazioni oltre il nuovo limite vengono eliminate durante la successiva pulizia automatizzata giornaliera. Conserviamo le fatture per 7 anni come richiesto dalla normativa fiscale francese. Alla chiusura dell'account l'accesso viene disabilitato; consulta la sezione sulla cancellazione dell'account per le eliminazioni operative e contatta l'assistenza per esercitare il diritto alla cancellazione.

Ai sensi del GDPR hai i seguenti diritti e ne facilitiamo l'esercizio: • Diritto di accesso (Art. 15): richiedere una copia di tutti i dati che conserviamo su di te • Diritto di rettifica (Art. 16): correggere dati personali inesatti • Diritto alla cancellazione (Art. 17): richiedere la cancellazione dei dati personali; la chiusura autonoma dell'account disabilita l'accesso ed esegue le eliminazioni operative descritte di seguito • Diritto di limitazione (Art. 18): richiedere che limitiamo il trattamento dei dati • Diritto alla portabilità (Art. 20): esportare in qualsiasi momento i dati di estrazione nei formati standard Excel, CSV e OFX • Diritto di opposizione (Art. 21): opporsi al trattamento dei dati Per esercitare uno di questi diritti, contatta support@bankstatementlab.com. Rispondiamo a tutte le richieste entro 30 giorni, come previsto dal GDPR.

Un numero limitato di servizi tecnici contribuisce al funzionamento di BankStatementLab. Ogni servizio è selezionato e soggetto a obblighi contrattuali di protezione dei dati: • Hosting, database, pagamenti, e-mail transazionali e assistenza clienti • Estrazione automatizzata tramite IA, utilizzata esclusivamente per eseguire la conversione richiesta • Analisi del sito e misurazione delle conversioni pubblicitarie basate sul consenso Ogni operazione è limitata alla finalità dichiarata. Quando il trattamento avviene al di fuori dell'Unione Europea, si applicano adeguate garanzie di trasferimento. L'elenco aggiornato dei servizi, delle finalità e delle ubicazioni è pubblicato nella pagina Servizi tecnici.

Nell’improbabile eventualità di una violazione dei dati, ci impegniamo a: • Notifica all'autorità di controllo competente (CNIL in Francia) entro 72 ore dal venire a conoscenza della violazione, come richiesto dall'articolo 33 del GDPR • Informare gli utenti interessati senza indebito ritardo se la violazione potrebbe comportare un rischio elevato per i loro diritti e le loro libertà (articolo 34) • Documentare tutte le violazioni, i loro effetti e le azioni correttive intraprese Manteniamo procedure di risposta agli incidenti e testiamo regolarmente i nostri sistemi per prevenire violazioni. Ad oggi non abbiamo riscontrato alcuna violazione dei dati.

Quando chiudi l'account dal profilo: • L'accesso all'account viene disabilitato e il record dell'account viene contrassegnato come eliminato • Le chiavi API attive vengono revocate e i log delle richieste API vengono eliminati • Le identità bancarie OFX memorizzate e le sessioni tecniche di suddivisione dei PDF vengono eliminate • Gli invii di file all'assistenza vengono anonimizzati e i file caricati vengono rimossi La chiusura autonoma dell'account non implica che ogni record dell'account o di estrazione venga immediatamente eliminato fisicamente. Per presentare separatamente una richiesta di cancellazione ai sensi dell'articolo 17 del GDPR, contatta support@bankstatementlab.com.

Per i clienti aziendali che necessitano di un accordo formale sul trattamento dei dati (DPA), come previsto dall'articolo 28 del GDPR, forniamo su richiesta un DPA standard. Il nostro DPA copre: • Natura e finalità del trattamento • Tipi di dati personali trattati • Categorie di interessati • Obblighi contrattuali applicabili ai servizi tecnici • Misure di sicurezza dei dati • Procedure di notifica delle violazioni • Cancellazione dei dati alla cessazione del contratto Per richiedere un DPA, contatta support@bankstatementlab.com.

Per qualsiasi domanda sulle nostre pratiche di protezione dei dati, sulla conformità al GDPR o per esercitare i tuoi diritti: • E-mail: support@bankstatementlab.com • Modulo di contatto: disponibile sulla nostra pagina dei contatti Ci impegniamo a rispondere a tutte le richieste relative alla privacy entro 30 giorni. Per questioni urgenti relative alla sicurezza dei dati, miriamo a rispondere entro 24 ore. Se ritieni che i tuoi diritti in materia di protezione dei dati siano stati violati, hai anche il diritto di presentare un reclamo all'autorità di controllo locale. In Francia si tratta della CNIL (Commission Nationale de l'Informatique et des Libertés).