Mappli / Risorse / GDPR per freelance: cosa devi davvero sapere sui dati dei clienti

GDPR per freelance: cosa devi davvero sapere sui dati dei clienti

Conservi nomi, indirizzi email, coordinate bancarie e contenuti di progetto dei tuoi clienti. Questo ti sottopone al GDPR. La buona notizia: è meno complicato di quanto pensi se usi gli strumenti giusti.

Devo rispettare il GDPR?

Sì. Non appena tratti dati personali di persone nell'UE, si applica il GDPR. Questo riguarda ogni freelance e agenzia con clienti nell'UE, indipendentemente da dove ti trovi.

Anche se sei in Svizzera: la LPD (legge svizzera sulla protezione dei dati) è similmente rigorosa dal 2023. E se hai clienti nell'UE, il GDPR si applica in aggiunta.

Cosa sono i «dati dei clienti»?

Tutto ciò che rende una persona identificabile:

• Nome, indirizzo email, numero di telefono
• Indirizzo postale e indirizzo aziendale
• Coordinate bancarie (IBAN, BIC)
• Contenuti di progetto, brief, feedback
• Messaggi di chat e file caricati

5 cose che devi fare

Niente gergo legale, solo quello che conta davvero:

1. Informativa privacy. Il tuo sito web deve indicare quali dati raccogli, perché e per quanto tempo li conservi.
2. Accordo di trattamento dati (DPA). Hai bisogno di un DPA con ogni strumento che tratta dati dei clienti. CRM, cloud storage, servizio email, strumento di contabilità.
3. Crittografare i dati. I dati dei clienti non devono essere conservati in chiaro in un database. La crittografia (es. AES-256) è lo stato dell'arte.
4. Concetto di cancellazione. Devi sapere quando cancellare quali dati. Fatture: obbligo di conservazione di 10 anni. Dati di progetto: cancellare dopo la fine del progetto se non c'è più motivo di conservarli.
5. Diritto di accesso. Il tuo cliente può chiedere in qualsiasi momento quali dati hai conservato su di lui. Devi poter rispondere entro 30 giorni.

Cosa succede se lo ignori?

Il GDPR prevede sanzioni fino a 20 milioni di euro o il 4% del fatturato annuo. Per i freelance è irrealistico, ma le diffide e la perdita di fiducia dei clienti no.

Il rischio più grande: un cliente chiede i suoi dati e tu non riesci a fornirli. Oppure usi uno strumento americano senza DPA e il cliente lo scopre. Costa fiducia, e la fiducia è il tuo capitale più importante.

GDPR vs. LPD (Svizzera)

La legge svizzera sulla protezione dei dati (LPD) è stata rivista nel 2023 ed è simile al GDPR. Entrambe richiedono: trasparenza, limitazione della finalità, minimizzazione dei dati e misure tecniche di protezione.

Differenza principale: il GDPR richiede un accordo di trattamento dati (DPA), la LPD non usa questo termine esplicitamente ma richiede garanzie contrattuali simili. Se lavori in conformità al GDPR, sei anche al sicuro sotto la LPD.

Cosa risolve Mappli per te

Mappli è costruito da zero per la protezione dei dati europea:

• Crittografia AES per tutti i dati sensibili dei clienti nel database
• Server nell'UE, nessun trasferimento di dati verso paesi terzi
• Cancellazione GDPR: cancellare completamente e immediatamente i dati dei clienti con un clic
• Isolamento tenant: ogni cliente è tecnicamente separato dagli altri (fail-closed)
• Audit logging: tracciabile chi ha accesso a quali dati e quando