Informativa privacy

Questa informativa spiega quali dati personali trattiamo quando visiti aureajet.com, chiedi l'accesso ad Aurea, usi il servizio o ci scrivi. La scriviamo in base agli articoli 13 e 14 del Regolamento europeo sulla protezione dei dati (Regolamento UE 2016/679, "GDPR").

In breve

• GREM S.r.l. è titolare dei dati di chi visita il sito, chiede l'accesso, ha un account o ci scrive.
• I dati che la tua azienda gestisce in Aurea (fatture, movimenti, clienti, fornitori) sono della tua azienda. Per questi dati il titolare è l'azienda e noi li trattiamo solo per suo conto.
• Sul sito non usiamo cookie di profilazione, pubblicità o strumenti di statistica.
• Non vendiamo i dati e non li usiamo per pubblicità.
• Alcuni fornitori hanno sede negli Stati Uniti, per esempio Cloudflare e Google. L'elenco e le garanzie sono nel paragrafo "Trasferimenti fuori dall'Unione europea".
• Puoi opporti ai trattamenti che facciamo per un legittimo interesse: come, lo spieghiamo subito qui sotto.
• Per qualsiasi richiesta scrivi a [email protected] o alla PEC [email protected].

Il tuo diritto di opposizione

Alcuni trattamenti li facciamo per un legittimo interesse, nostro o dell'azienda per cui lavori, e non per un contratto con te o per un obbligo di legge. A questi trattamenti puoi opporti in qualsiasi momento, per motivi legati alla tua situazione particolare (art. 21 GDPR). Sono questi:

• la protezione del sito e del servizio: dati tecnici di navigazione, sessioni, indirizzo IP e user agent;
• il programma studi, cioè il collegamento della tua azienda con lo studio dal cui link sei arrivato;
• gli inviti che ti manda un collega o uno studio;
• la lista d'attesa, l'account e i messaggi al supporto, quando non sei tu la parte del contratto con noi.

Come opporti. Per il programma studi, nella pagina di richiesta dell'accesso o di registrazione scegli "Continua senza lo studio". Se la tua azienda è già collegata a uno studio, scrivici: togliamo il collegamento e lo studio non vede più la tua azienda. Per tutto il resto scrivi a [email protected] o alla PEC [email protected].

Dopo la tua opposizione smettiamo di trattare i dati per quello scopo. Possiamo continuare solo se abbiamo motivi legittimi che prevalgono sui tuoi diritti, oppure se i dati ci servono per difendere un nostro diritto. In quel caso ti spieghiamo perché. Se ti opponi a un trattamento senza il quale il servizio non funziona, per esempio le sessioni, potremmo non riuscire più a farti accedere.

Chi è il titolare

Il titolare del trattamento è GREM S.r.l.:

• sede legale: Via Matteo La Fragola 4, 84135 Salerno (SA);
• codice fiscale e partita IVA: 06136730659;
• REA: SA-500033;
• email: [email protected];
• PEC: [email protected].

Non abbiamo nominato un responsabile della protezione dei dati (DPO). Per ogni domanda sulla privacy usa gli indirizzi qui sopra. Trovi i nostri recapiti anche nella pagina Contatti.

Aurea è un servizio per imprese e professionisti: tesoreria, conti in banca collegati, fatture elettroniche, scadenze e IVA. Non è pensato per i consumatori.

Titolare e responsabile: due ruoli diversi

Siamo titolare quando decidiamo noi perché e come trattare i dati. Succede per il sito, la lista d'attesa, gli account, il programma studi, il supporto e gli inviti.

Siamo responsabile del trattamento (art. 28 GDPR) per i dati che le aziende clienti caricano o ricevono in Aurea, compresi i dati di chi collega un conto in banca. Lì il titolare è l'azienda e noi seguiamo le sue istruzioni. Ne parliamo nel paragrafo "I dati che le aziende gestiscono in Aurea".

Se visiti il sito

Quali dati. Quando apri una pagina, il tuo browser invia dati tecnici: indirizzo IP, tipo di browser e di dispositivo (lo "user agent"), pagina richiesta, data e ora. Se una pagina non si carica per un errore di rete, il browser può mandare a Cloudflare un breve rapporto con l'indirizzo della pagina e il tipo di errore.

Chi li tratta. Il traffico verso il sito passa da Cloudflare, che fa da rete di distribuzione e da protezione contro gli attacchi, e arriva al nostro server presso netcup, in Germania. Lo stesso vale per aureasuite.it, che rimanda ad aureajet.com.

Perché e su quale base. Per mostrarti il sito, proteggerlo da attacchi e abusi e correggere gli errori. La base giuridica è il nostro legittimo interesse ad avere un sito sicuro e funzionante (art. 6.1.f GDPR).

Cookie. Sulle pagine pubbliche non salviamo cookie e non usiamo cookie di profilazione né strumenti di statistica. Dopo l'accesso al servizio usiamo solo cookie tecnici e di funzionalità. I dettagli sono nella cookie policy.

Risorse da altri siti. Di norma le pagine del sito pubblico non caricano nulla da altri siti. Ci sono due eccezioni:

• la pagina tecnica per gli sviluppatori (/api/v1/docs) carica lo strumento di consultazione da jsDelivr, una rete pubblica di distribuzione di file. Se apri quella pagina, il tuo browser comunica a jsDelivr il tuo indirizzo IP. La pagina è facoltativa: la stessa descrizione dell'API è nel file /api/v1/openapi.json, che non carica nulla da altri siti;
• le icone arrivano dal nostro server. Solo se il server non risponde in tempo, il browser chiede l'icona a Iconify (api.iconify.design), un servizio pubblico di icone, che così riceve il tuo indirizzo IP.

Con jsDelivr e Iconify non abbiamo un contratto. Ne parliamo nel paragrafo sui trasferimenti.

Se chiedi l'accesso (lista d'attesa)

Fino all'apertura delle iscrizioni, prevista a novembre 2026, chi vuole usare Aurea lascia i suoi dati in una lista d'attesa. Non si crea un account: si registra solo chi riceve un invito.

• Dati: nome, email, nome dell'azienda e una nota facoltativa. Se arrivi dal link di uno studio, anche il codice dello studio (vedi "Se arrivi tramite uno studio").
• Perché: per avvisarti quando apriamo le iscrizioni e per risponderti. Non li usiamo per altro: niente newsletter e niente pubblicità.
• Base giuridica: se chiedi l'accesso per te, come professionista o ditta individuale, sono misure precontrattuali prese su tua richiesta (art. 6.1.b GDPR). Se lo chiedi per un'azienda, è il nostro legittimo interesse a rispondere all'azienda per cui agisci (art. 6.1.f GDPR).
• Sono obbligatori$1 Nome, email e azienda servono a registrare la richiesta: senza, non possiamo inserirti in lista. La nota è facoltativa.
• Per quanto: al massimo 12 mesi dalla richiesta, anche se nel frattempo ti registri. Puoi chiederci di cancellarla prima.

Se hai un account

Quali dati.

• Dati dell'account: nome, email e password. La password la salviamo solo come "hash" (con l'algoritmo scrypt), una trasformazione da cui non si ricava la password.
• Dati di accesso: per ogni sessione (il periodo in cui resti collegato) salviamo l'indirizzo IP e lo user agent del dispositivo da cui entri.
• Aziende e studi: le aziende e gli studi di cui fai parte, il tuo ruolo, gli inviti che mandi. Se lavori in uno studio di commercialisti, anche il nome dello studio, i collaboratori e i clienti assegnati.
• Contratto: piano scelto, stato dell'abbonamento, riferimenti del contratto e del bonifico, dati fiscali dell'azienda per la fattura.

Il piano si paga una volta l'anno con bonifico, con un contratto firmato fuori dalla piattaforma. Non raccogliamo dati di carte di pagamento.

Perché e su quale base.

Contratto o legittimo interesse. Se sei tu la parte del contratto con noi, per esempio come professionista o ditta individuale, la base è il contratto (art. 6.1.b). Se usi Aurea per un'azienda o per uno studio, il contratto è con loro. In quel caso la base è il legittimo interesse nostro, e dell'azienda o dello studio, a gestire il rapporto e a far lavorare in Aurea le persone che agiscono per loro (art. 6.1.f).

Email e password servono per creare l'account: senza, non possiamo fornirti il servizio. Non usiamo questi dati per mandarti pubblicità.

Se arrivi tramite uno studio (programma studi)

Alcuni studi di commercialisti partecipano al nostro programma studi. Portano aziende su Aurea con un link personale (aureajet.com/r/codice) e ricevono da noi un premio quando l'azienda paga il piano.

Come funziona. Il link ti porta alla pagina di richiesta dell'accesso o di registrazione, con il codice dello studio nell'indirizzo della pagina. La pagina ti mostra il nome dello studio ("Arrivi tramite lo Studio..."). Non usiamo cookie né la memoria del browser per ricordarlo. Salviamo il codice sul nostro server insieme alla richiesta in lista d'attesa oppure, se ti registri, quando crei la tua azienda. Il collegamento con lo studio nasce solo per un'azienda nuova: creata da meno di 30 giorni e senza un abbonamento già attivo.

Cosa vede lo studio. Dopo che hai creato l'azienda, lo studio vede nella sua pagina il nome dell'azienda, la data di arrivo, il piano scelto, l'importo del premio e se il premio è maturato, cioè se l'azienda ha pagato il piano. Lo vedono tutte le persone che lavorano nello studio. Lo studio non vede fatture, conti o altri dati dell'azienda: per quelli serve che l'azienda gli dia accesso come commercialista. Se la tua azienda porta il tuo nome, per esempio una ditta individuale, quel nome è anche un tuo dato personale.

Base giuridica. Il legittimo interesse nostro e dello studio a riconoscere il premio che diamo agli studi del programma (art. 6.1.f). Per chi lavora nello studio e usa Aurea valgono le regole del paragrafo "Se hai un account".

Puoi opporti. Nella pagina di richiesta dell'accesso o di registrazione puoi scegliere "Continua senza lo studio". Puoi anche scriverci dopo: togliamo il collegamento e lo studio non vede più la tua azienda.

Se scrivi al supporto

La casella [email protected] è ospitata su Google Workspace. Trattiamo il tuo indirizzo, il nome, il contenuto del messaggio e gli eventuali allegati per risponderti.

La base giuridica è il contratto (art. 6.1.b), se sei tu la parte del contratto con noi e la richiesta riguarda il servizio. Negli altri casi è il nostro legittimo interesse a rispondere a chi ci scrive (art. 6.1.f). Lo stesso vale per i messaggi alla PEC.

Se ti invita un collega o uno studio

Questa parte vale anche se non hai mai usato Aurea. I tuoi dati non li hai dati tu: ce li ha dati chi ti invita (art. 14 GDPR).

• Da chi li riceviamo: da una persona che usa Aurea in un'azienda o in uno studio di commercialisti e vuole lavorare con te.
• Dati: la tua email e il ruolo che ti propone. Nell'email di invito compaiono anche il nome di chi ti invita e quello dell'azienda o dello studio.
• Perché: per mandarti l'invito e, se accetti, farti entrare.
• Base giuridica: il legittimo interesse dell'azienda o dello studio, e nostro, a far lavorare in Aurea le persone che sceglie (art. 6.1.f).
• Per quanto: l'invito vale 48 ore se arriva da un'azienda e 7 giorni se arriva da uno studio. Se non lo accetti, non usiamo la tua email per altro. La traccia dell'invito (chi ha invitato chi, e quando) resta al massimo finché esiste l'azienda o lo studio.

Se accetti e crei un account, valgono le regole del paragrafo "Se hai un account".

Se colleghi un conto in banca

Per leggere i conti usiamo l'open banking previsto dalla direttiva europea PSD2: con il consenso del titolare del conto, la banca rende visibili saldi e movimenti a un servizio autorizzato. Ci lavorano due fornitori:

• GoCardless SAS, 7 rue de Madrid, 75008 Parigi (Francia), è il prestatore autorizzato dei servizi di informazione sui conti. È autorizzata e vigilata dall'autorità francese ACPR (Autorité de Contrôle Prudentiel et de Résolution) per i servizi di pagamento. Il consenso all'accesso lo dai a GoCardless, alle sue condizioni per chi usa Bank Account Data. Le credenziali della banca le scrivi solo sul sito della banca.
• Synci è il nome commerciale di Tonning, impresa individuale norvegese (numero di registro 930076066, Nordbø 15, 5009 Bergen, Norvegia). Gestisce la pagina in cui scegli la banca e i conti da collegare. Poi riceve i dati da GoCardless, li conserva e li passa ad Aurea.

• Cosa diamo a Synci: il nome dell'azienda e il suo codice interno in Aurea, con un indirizzo email di Aurea dedicato all'azienda (per esempio [email protected]). Non diamo a Synci l'email di nessuna persona. Gli avvisi su un consenso in scadenza o una banca che non funziona te li mandiamo noi.
• Cosa arriva dalla banca: dati del conto (per esempio IBAN e intestatario), saldi, movimenti (data, importo, causale, controparte) e lo stato del collegamento. In Aurea salviamo IBAN, nome del conto, saldi e movimenti.
• Dati tecnici presso Synci: nella sua pagina Synci registra l'indirizzo IP, il browser, e quando e in quale versione accetti le sue condizioni.
• Dove stanno: Synci conserva i dati su server nell'Unione europea. Alcuni suoi fornitori hanno sede negli Stati Uniti (vedi "Trasferimenti fuori dall'Unione europea").
• Per quanto: Synci tiene i movimenti per il periodo che impostiamo noi. Quando l'azienda toglie da Aurea l'ultimo collegamento con la banca, chiediamo a Synci di cancellare i dati. Synci dichiara di cancellarli subito e di toglierli dalle copie di sicurezza entro 30 giorni.

• Chi ne è titolare: per IBAN, saldi e movimenti, l'azienda che collega il conto. Noi li trattiamo per suo conto, come responsabile, e Synci per conto nostro, come sub-responsabile, in base a un accordo sul trattamento dei dati. Synci è titolare autonomo solo per poche attività sue: la sicurezza del servizio, la prevenzione di frodi e abusi, la contabilità del rapporto con noi e statistiche anonime. GoCardless li tratta come titolare autonomo, secondo le sue condizioni e la sua informativa. Come Synci tratta i dati è scritto nella sua informativa per chi collega un conto da un'altra app. I dettagli sono nel paragrafo seguente e nei Termini di servizio.

Se il conto è intestato a una persona diversa da chi fa il collegamento, per esempio il legale rappresentante, informarla spetta all'azienda, che è titolare di questi dati.

I dati che le aziende gestiscono in Aurea

Usando Aurea, un'azienda carica, riceve o crea dati che riguardano anche altre persone:

• anagrafiche di clienti e fornitori, anche persone fisiche;
• fatture emesse e ricevute, anche verso privati con codice fiscale;
• movimenti bancari, con causali che possono contenere nomi di persone, per esempio negli stipendi;
• scadenze, pagamenti, distinte e allegati;
• email ricevute all'indirizzo che l'azienda usa per ricevere le fatture;
• vendite dai negozi online e scontrini;
• richieste e messaggi tra l'azienda e il suo commercialista;
• fatture elettroniche inviate e ricevute tramite lo SDI (Sistema di Interscambio, il canale ufficiale dell'Agenzia delle Entrate per le fatture elettroniche);
• dati del cassetto fiscale, l'area riservata dell'Agenzia delle Entrate con le fatture e i dati fiscali dell'azienda. Li leggiamo con l'incarico che l'azienda ci conferisce.

Per questi dati il titolare è l'azienda che usa Aurea. Noi siamo responsabile del trattamento (art. 28 GDPR): li trattiamo solo per fornire il servizio e secondo le istruzioni dell'azienda. La nomina a responsabile è nei Termini di servizio. È l'azienda a decidere chi vede i dati: i suoi membri, il suo commercialista, i servizi che collega (per esempio Stripe, Shopify, Fatture in Cloud, Fatture 5G) e i suoi programmi collegati tramite API o webhook (collegamenti automatici tra Aurea e i programmi dell'azienda).

Se sei cliente, fornitore o dipendente di un'azienda che usa Aurea, per i tuoi dati rivolgiti a quell'azienda: è lei che decide come trattarli e che deve informarti. Se scrivi a noi, passiamo la richiesta all'azienda.

Conservazione a norma. Aurea conserva i documenti nel servizio, ma non è un servizio di conservazione digitale a norma. Per conservare le fatture a norma l'azienda deve usare un altro servizio, per esempio quello gratuito dell'Agenzia delle Entrate o un conservatore.

Lettura dei PDF con l'intelligenza artificiale. Per trasformare il PDF di una fattura estera in una bozza usiamo prima metodi senza intelligenza artificiale, sul nostro server: il testo del PDF e il riconoscimento del testo nelle scansioni. Solo se non bastano, e se la funzione è attiva, il PDF va al modello di OpenAI (Stati Uniti). Ci arriva attraverso OpenRouter (Stati Uniti), un servizio che inoltra la richiesta al modello di intelligenza artificiale, oppure in alternativa attraverso il gateway di Mastra.

Se è attivo anche il primo tentativo con i modelli gratuiti di OpenRouter, il PDF passa da Cloudflare, che OpenRouter usa per estrarne il testo, e il testo va ad altri fornitori di modelli scelti da OpenRouter, con sede variabile.

Nelle richieste chiediamo di usare solo fornitori che non usano i dati per addestrare i modelli e non li conservano in modo stabile. Il fornitore può comunque tenerli per un periodo breve per i controlli contro gli abusi.

Valutazione e categorie con JEV. Se la funzione è attiva, JEV, un modello di valutazione di TypeSafe raggiunto tramite OpenRouter, riceve il testo della fattura estera e stima quanto è affidabile la lettura. Se l'azienda lo sceglie nelle impostazioni, lo stesso modello propone la categoria dei movimenti bancari a partire da data, importo, causale, controparte e nome del conto.

A chi comunichiamo i dati

Dentro GREM, ai dati accedono solo le persone autorizzate, per quanto serve al loro compito. Comunichiamo dati alle autorità solo quando la legge ce lo impone. Gli altri destinatari sono questi:

Agenzia delle Entrate e Commissione europea trattano i dati come titolari autonomi, in base alla legge. Anche GoCardless è titolare autonomo per l'accesso ai conti: è il prestatore autorizzato a cui il titolare del conto dà il consenso.

Trasferimenti fuori dall'Unione europea

Alcuni destinatari hanno sede negli Stati Uniti: Cloudflare, Google e Discord e, solo quando le funzioni di intelligenza artificiale sono attive, OpenRouter, OpenAI e il gateway di Mastra.

Synci ha sede in Norvegia, che fa parte dello Spazio economico europeo, e conserva i dati dei conti su server nell'Unione europea. Alcuni suoi fornitori hanno sede negli Stati Uniti: Vercel per la pagina di collegamento, Cloudflare per la rete, Resend e Mailgun per le email, Google Workspace per la casella del supporto e Laravel Nightwatch per il controllo degli errori. Per questi trasferimenti Synci dichiara di usare le clausole contrattuali tipo o una decisione di adeguatezza. Gli altri fornitori di modelli scelti da OpenRouter possono avere sede in Paesi diversi. Per il fornitore di archiviazione dei file, quello di invio delle email e TypeSafe ti diciamo la sede su richiesta.

Trasferiamo dati fuori dall'Unione europea solo con una delle garanzie previste dal GDPR (Capo V):

• la decisione di adeguatezza della Commissione europea del 10 luglio 2023 sul Data Privacy Framework UE-USA, l'accordo che permette i trasferimenti verso le aziende americane che vi aderiscono;
• le clausole contrattuali tipo, cioè contratti standard approvati dalla Commissione europea (art. 46 GDPR), previste negli accordi sul trattamento dei dati dei fornitori.

Puoi chiederci quale garanzia vale per ciascun fornitore, e averne copia, scrivendo a [email protected].

jsDelivr e Iconify fanno eccezione. Sono servizi pubblici con cui non abbiamo un contratto, quindi per loro non possiamo indicarti nessuna di queste garanzie. Ricevono solo il tuo indirizzo IP, e solo nei casi descritti in "Se visiti il sito".

Per quanto teniamo i dati

I tuoi diritti

Hai diritto di:

• accesso: sapere se trattiamo dati che ti riguardano e averne copia;
• rettifica: correggere i dati sbagliati o completare quelli incompleti;
• cancellazione: farli cancellare, salvo quelli che dobbiamo tenere per legge;
• limitazione: chiederci di sospenderne l'uso in alcuni casi, per esempio mentre verifichiamo una tua contestazione;
• portabilità: ricevere i dati che ci hai dato in un formato leggibile da un computer, o farli passare direttamente a un altro fornitore se è tecnicamente possibile, quando il trattamento si basa sul contratto ed è automatizzato;
• opposizione: opporti ai trattamenti basati sul legittimo interesse, come spiegato nel paragrafo "Il tuo diritto di opposizione".

Come esercitarli. Scrivi a [email protected] o alla PEC [email protected]. È gratuito. Ti rispondiamo entro un mese; nei casi complessi possiamo prorogare di altri due mesi, e in quel caso te lo diciamo. Possiamo chiederti qualche informazione per verificare chi sei. Se la richiesta riguarda dati che trattiamo per conto di un'azienda, la passiamo a quell'azienda.

Reclamo. Se pensi che trattiamo i tuoi dati in modo non conforme alla legge, puoi fare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo del Paese dell'Unione europea in cui vivi, lavori o in cui è avvenuta la violazione.

Decisioni automatizzate

Non prendiamo decisioni basate solo su un trattamento automatizzato che producano effetti giuridici su di te o che ti riguardino in modo simile (art. 22 GDPR). Non facciamo profilazione.

Alcune funzioni usano l'automazione per aiutare l'azienda, ma la decisione resta alle persone. La lettura dei PDF crea bozze da controllare. Le categorie proposte con l'intelligenza artificiale restano segnate "da verificare" finché qualcuno non le controlla. L'invio automatico delle autofatture estere parte solo se un'azienda lo attiva, ed è una scelta dell'azienda sui propri adempimenti fiscali.

Modifiche a questa informativa

Possiamo aggiornare questa informativa, per esempio quando cambiano il servizio o i fornitori. La data dell'ultimo aggiornamento è in fondo alla pagina. Se le modifiche sono importanti, te lo diciamo prima via email o nel servizio.

Ultimo aggiornamento: 29 ottobre 2026