Informativa sulla privacy

Traduzione di cortesia. Fa fede la versione tedesca.

Informativa sulla privacy di ERPM

Aggiornamento: luglio 2026

1. Titolare del trattamento

GMI GmbH

Theodor-Rehbock-Straße 3

76131 Karlsruhe, Germania

Rappresentata dall'amministratore Sayed Hadi Mortazavi

E-mail: info@gmitso.de · Web: www.gmitso.de

Telefono: +49 (0)721 15659119

La presente informativa si applica all'applicazione ERPM (Windows, macOS, iOS, Android), al servizio cloud ERPM con il relativo portale web e al sito di prodotto.

2. Principio di base: i suoi dati sono suoi

ERPM è un software di gestione ordini e magazzino. Senza un account online ERPM lavora interamente in locale: tutti i dati aziendali (clienti, ordini, articoli, fornitori, magazzino, contabilità, documenti) restano esclusivamente sul suo dispositivo e vi sono memorizzati in forma cifrata (SQLCipher, AES-256). In questo caso – fatta eccezione per i servizi opzionali indicati al punto 7 – nessun dato ci viene trasmesso.

Soltanto quando crea un account online e utilizza la sincronizzazione cloud i dati vengono trasmessi al nostro server.

3. Account online e sincronizzazione cloud

Utilizzando l'account online trattiamo:

• Dati dell'account: indirizzo e-mail, nome, password (esclusivamente come hash), facoltativamente le impostazioni per l'autenticazione a due fattori.
• Dati del tenant e della licenza: ragione sociale del tenant, piano sottoscritto, numero di postazioni/dispositivi, spazio occupato, durata.
• Dati aziendali del suo tenant: i dati da lei inseriti in ERPM (ad es. clienti, ordini, fatture, articoli, documenti), nella misura in cui ha attivato la sincronizzazione.
• Dati di registro: momenti di accesso, sessioni, eventi rilevanti per la sicurezza e modifiche di merito (audit log) ai fini della tracciabilità e della prevenzione degli abusi.

Finalità: erogazione del servizio, sincronizzazione tra i suoi dispositivi, archiviazione dei documenti, gestione di utenti e autorizzazioni, gestione delle licenze e fatturazione.

Basi giuridiche: art. 6 par. 1 lett. b GDPR (esecuzione del contratto); per i registri di sicurezza art. 6 par. 1 lett. f GDPR (legittimo interesse a un esercizio sicuro).

4. Ripartizione dei ruoli e trattamento per conto terzi

Per i dati dell'account dei nostri utenti siamo titolari del trattamento ai sensi del GDPR. Per i dati aziendali inseriti in ERPM (ad es. dati dei suoi clienti e fornitori) il titolare è lei in quanto nostro cliente; noi trattiamo tali dati esclusivamente su suo incarico, in qualità di responsabili del trattamento (art. 28 GDPR). Un accordo sul trattamento dei dati è disponibile su richiesta all'indirizzo info@gmitso.de.

5. Hosting

Il server ERPM è gestito in un centro dati di Contabo GmbH (Aschauer Straße 32a, 81549 Monaco di Baviera, Germania). Il server si trova in Germania; l'hosting non comporta alcun trasferimento verso paesi terzi. Con il fornitore è in essere un accordo sul trattamento dei dati.

6. Sicurezza

• Trasmissione esclusivamente cifrata con TLS (HTTPS).
• Banca dati locale cifrata con SQLCipher (AES-256).
• Sul server i contenuti sensibili dei campi e i file dei documenti sono memorizzati con una cifratura aggiuntiva (AES-256-GCM).
• Rigorosa separazione dei tenant; gli accessi sono basati sui ruoli (compresi gli accessi limitati per clienti e fornitori) e vengono registrati.
• Le password sono memorizzate solo come hash con salt; blocco dell'account dopo ripetuti tentativi errati; autenticazione a due fattori (TOTP) disponibile.
• Backup giornalieri del server; i backup locali può crearli lei stesso in qualsiasi momento.

7. Destinatari e servizi di terzi

Comunichiamo i dati solo nella misura necessaria all'esecuzione del contratto. Non vendiamo dati.

• Gestione dei pagamenti (Stripe): alla sottoscrizione di un abbonamento o all'acquisto di una licenza il pagamento avviene tramite Stripe Payments Europe, Ltd. (Irlanda) e Stripe, Inc. (USA; certificata secondo l'EU-US Data Privacy Framework). I dati di pagamento (ad es. i dati della carta) sono raccolti direttamente da Stripe e non raggiungono i nostri server; da Stripe riceviamo lo stato del pagamento e la durata dell'abbonamento. Base giuridica: art. 6 par. 1 lett. b GDPR.
• Invio di e-mail: le e-mail di sistema (ad es. reimpostazione della password, inviti) e l'invio dei documenti dall'applicazione passano attraverso il provider SMTP configurato. Se utilizza un SMTP proprio del tenant, il relativo provider è un suo fornitore.
• Notifiche push (facoltative): se attivate, le notifiche push sono consegnate tramite Firebase Cloud Messaging (Google Ireland Ltd. / Google LLC, USA; certificata DPF). A tal fine viene memorizzato un token di dispositivo pseudonimo.
• Tassi di cambio: utilizzando la funzione valuta estera l'applicazione richiama i tassi di riferimento BCE tramite api.frankfurter.app. Vengono trasmessi solo codici valuta, nessun dato personale.
• App store: scaricando l'applicazione da Apple App Store, Google Play o Microsoft Store, i gestori dello store trattano i dati sotto la propria responsabilità e secondo le proprie informative sulla privacy.

8. Identificazione del dispositivo e licenze

Per far valere il limite di dispositivi l'applicazione genera un ID dispositivo pseudonimo e ne ricava un codice dispositivo. Utilizzando l'account online, l'ID dispositivo, il nome del dispositivo e il momento dell'ultimo utilizzo vengono memorizzati in associazione al tenant; i dispositivi registrati possono essere consultati e rimossi nell'applicazione e nel portale. Per le licenze offline vincolate al dispositivo il codice dispositivo diventa parte del file di licenza firmato. Basi giuridiche: art. 6 par. 1 lett. b e f GDPR.

9. Diagnostica e rapporti di arresto anomalo

I rapporti di arresto anomalo e di errore (messaggio di errore tecnico, versione dell'applicazione, sistema operativo, estratto del registro degli errori) e il suo riscontro tramite „Segnala un problema" vengono trasmessi solo se la funzione di diagnostica è attiva; può disattivarla in qualsiasi momento nelle impostazioni (Diagnostica e riscontro). Base giuridica: art. 6 par. 1 lett. a GDPR (consenso). La finalità è esclusivamente la correzione degli errori e il miglioramento del prodotto.

10. Portale web e sito

Il portale e il sito non utilizzano servizi di analisi, tracciamento o pubblicità né cookie di tracciamento. Nel browser viene memorizzato localmente soltanto il necessario sul piano tecnico (token di sessione, scelta della lingua, impostazioni di visualizzazione). Alla consultazione il server tratta i consueti dati di connessione (indirizzo IP, momento, risorsa richiesta) in registri di server di breve durata, per la sicurezza dell'esercizio (art. 6 par. 1 lett. f GDPR).

11. Periodo di conservazione

I dati restano memorizzati per tutta la durata del suo account o tenant. Alla cancellazione del tenant tutti i dati del server corrispondenti vengono rimossi; i backup ruotano automaticamente e si sovrascrivono entro breve tempo. Per i dati di fatturazione e contabilità possono valere obblighi legali di conservazione (§ 147 AO, § 257 HGB – fino a 10 anni); la loro osservanza spetta a lei in quanto titolare dei suoi dati aziendali. I dati locali sui suoi dispositivi li cancella lei stesso.

12. I suoi diritti

Ha diritto di accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20) e opposizione (art. 21 GDPR). Un consenso prestato può essere revocato in qualsiasi momento con effetto per il futuro. Un'esportazione completa dei dati del suo tenant è disponibile in qualsiasi momento nell'applicazione o nel portale – anche senza una licenza valida.

Ha inoltre diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati. Per noi è competente: Landesbeauftragter für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart, Germania.

13. Nessun processo decisionale automatizzato

Non ha luogo alcun processo decisionale automatizzato, compresa la profilazione, ai sensi dell'art. 22 GDPR.

14. Modifiche

Adeguiamo la presente informativa quando cambiano le funzionalità o il quadro normativo. La versione in vigore è consultabile nell'applicazione (Note legali), nel portale e sul sito di prodotto.

15. Contatti

Domande sulla protezione dei dati: GMI GmbH, Theodor-Rehbock-Straße 3, 76131 Karlsruhe · info@gmitso.de