INPS – Messaggio 04 aprile 2022, n. 1497 – Convenzione tra l’INPS e i soggetti abilitati all’assistenza fiscale, di cui al D.lgs 9 luglio 1997, n. 241, per l’affidamento e la disciplina del servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e delle dichiarazioni di responsabilità (Modello ACC.AS/PS) al fine della corretta erogazione delle prestazioni previdenziali e/o assistenziali – Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022) e Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021), INV CIV Ordinarie 2022 e 2023

INPS – Messaggio 04 aprile 2022, n. 1497

Convenzione tra l’INPS e i soggetti abilitati all’assistenza fiscale, di cui al D.lgs 9 luglio 1997, n. 241, per l’affidamento e la disciplina del servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e delle dichiarazioni di responsabilità (Modello ACC.AS/PS) al fine della corretta erogazione delle prestazioni previdenziali e/o assistenziali – Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022) e Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021), INV CIV Ordinarie 2022 e 2023

Con la deliberazione del Consiglio di Amministrazione n. 24 del 2 marzo 2022 è stato adottato lo schema di convenzione tra l’INPS e i soggetti abilitati all’assistenza fiscale, di cui al D.lgs 9 luglio 1997, n. 241, per l’affidamento e la disciplina del servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e delle dichiarazioni di responsabilità (Modello ACC.AS/PS) al fine della corretta erogazione delle prestazioni previdenziali e/o assistenziali – Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022) e Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021), INV CIV Ordinarie 2022 e 2023.

Con le Campagne RED Ordinarie 2022 e 2023, i soggetti beneficiari di prestazioni previdenziali e/o assistenziali, collegate al reddito dei beneficiari medesimi e dei loro familiari, che non comunicano integralmente all’Amministrazione finanziaria la situazione reddituale incidente sulle prestazioni in godimento, produrranno l’annuale dichiarazione (Modello RED) dei redditi che incidono sulle prestazioni in godimento, relativi all’anno reddito 2021 e all’anno reddito 2022.

Con le Campagne RED Solleciti 2021 e 2022, i soggetti che non hanno adempiuto all’obbligo di dichiarazione nel corso della verifica ordinaria 2021 e 2022 (cosiddetti “sollecitati”) produrranno la dichiarazione per l’anno reddito 2020 e per l’anno reddito 2021.

Con le Campagne INV CIV Ordinarie 2022 e 2023, l’Istituto richiederà ai soggetti beneficiari di pensione sociale, assegno sociale o assegno sociale sostitutivo di invalidità civile la comunicazione di permanenza nel territorio dello Stato diretta a verificare il diritto alla pensione sociale, all’assegno sociale e all’assegno sociale sostitutivo di invalidità civile (Modello ACC.AS/PS).

Lo schema convenzionale, allegato al presente messaggio (Allegato n. 1), individua i casi in cui devono essere presentate le dichiarazioni, regolamenta le modalità di svolgimento del servizio, di conservazione della documentazione e di trasmissione telematica, disciplina le attività di verifica e di validazione dei dati, nonché quelle di comunicazione delle anomalie eventualmente riscontrate.

Il servizio viene affidato in via non esclusiva.

Per la presentazione delle dichiarazioni reddituali (Modelli RED – Campagne Ordinarie 2022 e 2023 e Solleciti 2021 e 2022) e delle dichiarazioni di responsabilità (Campagne INV CIV Ordinarie 2022 e 2023 – Modello ACC.AS/PS) continueranno a essere a disposizione dei cittadini il Contact Center integrato dell’Istituto, i servizi online, accessibili dal portale Internet, “RED semplificato” e “Dichiarazioni di responsabilità”, e le Strutture territoriali dell’Istituto.

I Centri di assistenza fiscale (CAF) e gli altri soggetti abilitati all’assistenza fiscale, di cui al D.lgs n. 241/1997, se in possesso dei prescritti requisiti, hanno facoltà di stipulare convenzioni singole, in base allo schema adottato.

Il soggetto abilitato alla trasmissione, professionista o CAF, deve risultare iscritto nel “Registro delle Chiavi Pubbliche degli Utenti del Fisco Telematico” del Ministero dell’Economia e delle finanze e, quindi, essere in possesso delle chiavi valide per l’applicazione “Entratel”.

La stipula della convenzione di cui al presente messaggio avviene con firma digitale e il versamento dell’imposta di bollo, a carico della parte privata, viene assolto in modalità elettronica.

La Direzione centrale Organizzazione e comunicazione interna dell’Istituto curerà il processo di convenzionamento.

A tale proposito, il Direttore della Direzione centrale Organizzazione e comunicazione interna è stato autorizzato a sottoscrivere, in nome e per conto dell’Istituto, le convenzioni in oggetto.

Le istanze di convenzionamento potranno essere formalizzate entro e non oltre il 31 dicembre 2022. Tale termine è da intendersi come perentorio.

I soggetti interessati alla sottoscrizione della convenzione potranno rivolgersi alla Direzione centrale Organizzazione e comunicazione interna – Area Relazioni e Sinergie con i partner chiave e i soggetti istituzionali, al seguente indirizzo e-mail: Convenzioni.CAF@inps.it.

I pagamenti per i servizi resi a norma della convenzione di cui al presente messaggio sono gestiti dalla Direzione centrale Pensioni per il servizio RED e dalla Direzione centrale Inclusione sociale e invalidità civile per il servizio INV CIV.

I soggetti convenzionati sono tenuti a trasmettere le fatture, esclusivamente in formato elettronico, alla Struttura centrale competente, attraverso il Sistema di Interscambio (SDI).

In particolare, la fattura elettronica, che dovrà riportare il codice univoco “UF5HHG”, dovrà essere compilata secondo le indicazioni del documento “Convenzioni – Contratti Riferimento Amministrazione” pubblicato dall’Istituto sul sito www.inps.it al seguente percorso: “Avvisi, bandi e fatturazione” > “Fatturazione elettronica” > “Istruzioni ed esempi per la compilazione” > “Elenco principali riferimenti INPS”.

Qualsiasi variazione dei codici sarà comunicata dall’Istituto tramite lo stesso canale ai soggetti abilitati, in modo da garantire il corretto inoltro della fattura. Tali adempimenti sono necessari per la correttezza formale della fattura e l’effettivo ricevimento della stessa da parte dell’Istituto.

Pertanto, l’Istituto non accetterà fatture che non siano trasmesse in formato elettronico per il tramite del Sistema di Interscambio (SDI), né procederà ad alcun pagamento, neppure parziale, sino all’invio della fattura stessa.

Allegato 1

CONVENZIONE TRA L’ISTITUTO NAZIONALE DELLA PREVIDENZA SOCIALE E ___________________________ (SOGGETTO ABILITATO ALL’ASSISTENZA FISCALE, DI CUI AL DECRETO LEGISLATIVO 9 LUGLIO 1997, N. 241 PER L’AFFIDAMENTO E LA DISCIPLINA DEL SERVIZIO DI RACCOLTA E TRASMISSIONE DELLE DICHIARAZIONI DELLE SITUAZIONI REDDITUALI (MODELLI RED) E DELLE DICHIARAZIONI DI RESPONSABILITÀ (MODELLO ACC.AS/PS) AL FINE DELLA CORRETTA EROGAZIONE DELLE PRESTAZIONI PREVIDENZIALI E/O ASSISTENZIALI – CAMPAGNE RED ORDINARIE 2022 (ANNO REDDITO 2021) E 2023 (ANNO REDDITO 2022) E SOLLECITI 2021 (ANNO REDDITO 2020) E SOLLECITI 2022 (ANNO REDDITO 2021), INV CIV ORDINARIE 2022 E 2023

Art. 1

Natura delle premesse

1. Le premesse di cui sopra formano parte integrante e sostanziale della presente Convenzione.

Art. 2

Oggetto della Convenzione

1. La presente Convenzione ha ad oggetto l’affidamento e la disciplina del servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali rilevanti sulle prestazioni collegate (c.d. redditi obbligatori) – Modelli RED – e delle dichiarazioni di responsabilità al fine della corretta erogazione delle prestazioni previdenziali e/o assistenziali e riguarda le Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022), Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021), INV CIV Ordinarie 2022 e 2023 (mod. ACC.AS/PS).

Art. 3

Attività di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED)

1. L’attività riguarda la raccolta e la trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) relative all’anno reddito 2021 (c.d. Campagna Ordinaria RED 2022) e all’anno reddito 2022 (c.d. Campagna Ordinaria RED 2023) nonché quelle relative all’anno reddito 2020 e 2021 limitatamente ai soggetti non adempienti all’obbligo di dichiarazione entro i termini utili previsti dall’Istituto, di cui al comma 3, lettera c. del presente articolo (c.d. Campagna RED Solleciti 2021 e 2022).

L’INPS, prima dell’avvio di ciascuna Campagna, determina le categorie di soggetti (interi nuclei reddituali rilevanti sulla prestazione collegata con tutti i redditi pari a zero nell’ultima campagna con esito consolidato) obbligati a rendere la dichiarazione reddituale all’Istituto che potranno utilizzare esclusivamente i servizi on-line o rivolgersi alle Strutture territoriali dell’INPS per rendere la dichiarazione in parola.

2. L’INPS affida, ai fini della verifica prevista ai sensi dell’art. 13 della legge 30 dicembre 1991, n. 412, in via non esclusiva ed a titolo oneroso, al soggetto abilitato, che accetta, lo svolgimento dell’attività (di seguito denominato “attività”) di raccolta e di trasmissione all’INPS delle dichiarazioni delle situazioni reddituali (di seguito denominate Modelli RED) come descritto al comma 1 del presente articolo. Le date di inizio e di conclusione delle Campagne RED Ordinarie 2022 e 2023 sono individuate rispettivamente: 1° giugno 2022 per quanto concerne la data di avvio e 28 febbraio 2023 come data di conclusione; nel 1° giugno 2023 (data avvio) e 28 febbraio 2024 (data conclusione). Le date di avvio delle Campagne Solleciti 2021 e 2022 saranno rese note con un anticipo di almeno quindici giorni, mentre le date di chiusura sono rispettivamente 28 febbraio 2023 e 28 febbraio 2024. Sono esclusi dall’affidamento dell’attività, e, dunque, non hanno facoltà di stipulare la presente Convenzione, i soggetti abilitati responsabili di gravi inadempienze accertate alla data di stipula della Convenzione.
3. Fermo restando che non devono essere dichiarati i redditi provenienti da prestazioni previdenziali e/o assistenziali presenti nel “Casellario dei pensionati”, istituito dall’articolo 6 del decreto-legge 23 febbraio 1995, n. 41, convertito, con modificazioni, dalla legge 22 marzo 1995, n. 85, tra i soggetti che devono effettivamente comunicare i redditi all’INPS (di seguito denominati “dichiaranti”) rientrano coloro che versano in una delle situazioni reddituali, proprie e/o dei familiari al cui reddito è collegata la prestazione, di seguito descritte:
4. situazione reddituale variata o invariata rispetto a quella comunicata all’INPS per l’anno precedente e possesso di redditi non dichiarati all’Agenzia delle Entrate, a causa della ricorrenza di qualsivoglia ipotesi prevista dal vigente ordinamento giuridico e/o dichiarati ai fini fiscali secondo modalità di rappresentazione diverse da quanto previsto dalla normativa previdenziale ai fini della verifica reddituale dell’Istituto;
5. redditi con valore pari a zero, con riferimento all’intero nucleo familiare rilevante e a tutte le tipologie reddituali richieste, anche quelle esenti e/o escluse dall’imposizione fiscale, solo se tale situazione reddituale è frutto di una variazione rispetto a quella dichiarata per l’anno reddito precedente;
6. situazione reddituale oggetto di “comunicazione di Sollecito” da parte dell’Istituto ai soggetti che non hanno comunicato la propria situazione reddituale e/o quella di eventuali familiari il cui reddito è collegato alla prestazione del titolare. Per tali modelli il soggetto abilitato dovrà acquisire tutti i redditi dei soggetti interessati (titolare e familiari se richiesti per la prestazione oggetto di verifica);
7. situazioni che danno luogo alle dichiarazioni delle situazioni reddituali cosiddette brevi inerenti alle dichiarazioni di decesso, espatrio o rinuncia. La dichiarazione breve di decesso potrà essere resa solo se il decesso è avvenuto in data antecedente all’anno reddito richiesto, altrimenti dovrà essere resa una dichiarazione reddituale a tutti gli effetti da parte dei legittimati a dichiarare per conto del de cuius;
8. situazioni che danno luogo alla dichiarazione breve cosiddetta “NO RED” per soggetti, diversi dal titolare della prestazione collegata al reddito, facenti parte di un nucleo in cui sia presente almeno il coniuge e/o un familiare, i cui redditi rilevanti siano stati integralmente dichiarati all’Agenzia delle Entrate per l’anno reddito oggetto di verifica.

Nel caso in cui almeno un soggetto tra il titolare di prestazioni collegate al reddito e/o i componenti del nucleo familiare valorizzati nella stringa RED, il cui reddito è collegato alla prestazione, abbia l’obbligo di presentare la dichiarazione reddituale all’INPS, devono essere dichiarati contestualmente i redditi di tutti i soggetti valorizzati nella stringa/stringhe, rilevanti sulla prestazione, al fine di consentire l’immediata, puntuale e completa verifica della posizione da parte dell’Istituto. Si precisa che il soggetto abilitato deve acquisire contestualmente tutti i redditi di cui il soggetto “dichiarante” ed i familiari rilevanti sulla prestazione, così come definito nel presente articolo, risultino titolari, tenuto conto delle informazioni raccolte durante l’intervista e della documentazione prodotta dal dichiarante. A tal proposito, si specifica che la dichiarazione di cui al comma 3, lettera e. del presente articolo può essere resa solo per un soggetto diverso dal titolare della prestazione collegata al reddito facente parte di un nucleo composto da almeno il coniuge e/o da almeno un familiare, che si trovi nella condizione di aver dichiarato integralmente al Fisco i redditi rilevanti

sulla prestazione tramite presentazione all’Agenzia delle Entrate del modello REDDITI/730 per l’anno reddito oggetto di verifica reddituale.

5. Per ciascuna Campagna RED, i modelli dovranno essere trasmessi all’Istituto entro trenta giorni solari dalla data di presentazione al soggetto abilitato, secondo le modalità di cui all’art. 8. In fase di avvio della Campagna Red Ordinaria e Solleciti, per tutte le dichiarazioni precedentemente presentate al soggetto abilitato, il suddetto termine di trenta giorni decorre dalla data di rilascio della versione consolidata delle procedure di trasmissione delle dichiarazioni all’Istituto.
6. La trasmissione dopo tale termine comporterà l’applicazione di riduzioni nei compensi, secondo quanto previsto dall’art. 15.
7. Le specifiche obbligazioni delle Parti, che discendono dall’affidamento delle attività, sono indicate nella presente Convenzione.

Art. 4

Attività di raccolta e trasmissione delle dichiarazioni di responsabilità al fine dell’erogazione delle prestazioni assistenziali (Modello ACC.AS/PS)

1. L’attività riguarda la raccolta e la trasmissione di dichiarazioni di responsabilità al fine dell’erogazione delle prestazioni assistenziali relative alle Campagne INV CIV Ordinarie 2022 e 2023 (mod. ACC.AS/PS).
2. Con le Campagne INV CIV Ordinarie 2022 e 2023 l’INPS provvede a richiedere, ai soli soggetti beneficiari di pensione sociale, assegno sociale o assegno sociale sostitutivo di invalidità civile, la comunicazione della dichiarazione diretta a verificare il diritto alla pensione sociale, all’assegno sociale e all’assegno sociale sostitutivo di invalidità civile.
3. L’INPS affida, ai fini della verifica relativa alla sussistenza dei requisiti necessari per l’erogazione delle prestazioni assistenziali erogate dall’Istituto, in via non esclusiva ed a titolo oneroso, al soggetto abilitato, che accetta, lo svolgimento dell’attività (di seguito denominato “attività”) di raccolta e di trasmissione all’INPS delle dichiarazioni di responsabilità (Modello ACC.AS/PS). La suddetta dichiarazione è resa dai soggetti percettori delle prestazioni assistenziali secondo il modello di cui al comma 4 del presente articolo. Le date di inizio e di conclusione delle Campagne INV CIV Ordinarie 2022 e 2023 (Modello ACC.AS/PS) sono rese note dall’Istituto prima dell’inizio delle Campagne medesime e comunque con un congruo anticipo rispetto all’avvio. Le date di inizio e di conclusione delle Campagne INV CIV, Ordinarie 2022 e 2023 sono individuate rispettivamente: Io giugno 2022 per quanto concerne la data di avvio e 28 febbraio 2023 come data di conclusione; nel Io giugno 2023 (data avvio) e 28 febbraio 2024 (data conclusione).
4. Per dichiarazione di responsabilità si intende il seguente modello:

ACC. AS/PS (Campagne INVCIV Ordinarie 2022 e 2023) per la permanenza del requisito della residenza stabile e continuativa in Italia per i titolari di pensione sociale, assegno sociale e assegno sociale sostitutivo di invalidità civile.

5. Per ciascuna Campagna INV CIV il modello deve essere trasmesso all’Istituto entro trenta giorni solari dalla data di presentazione al soggetto abilitato, secondo le modalità di cui all’articolo 8. In fase di avvio della Campagna INV CIV, per tutte le dichiarazioni precedentemente presentate al soggetto abilitato, il suddetto termine di trenta giorni decorre dalla data di rilascio della versione consolidata delle procedure di trasmissione delle dichiarazioni all’Istituto.
6. La trasmissione dopo tale termine comporterà l’applicazione di riduzioni nei compensi, secondo quanto previsto all’art. 15.
7. Le specifiche obbligazioni delle Parti, che discendono dall’affidamento delle attività, sono indicate nella presente Convenzione.

Art. 5

Contenuto del servizio

1. Il servizio consta delle attività che seguono:
2. a) acquisizione e conservazione della delega specifica dell’interessato al servizio di cui al precedente art. 2 della presente Convenzione, corredata della copia del documento di riconoscimento dell’interessato. La delega contiene le seguenti informazioni:

– dati anagrafici del dichiarante (delegante) e suo codice fiscale;

– tipologia dichiarazione (RED o INV CIV), anno di Campagna (Ordinaria o Solleciti);

– data di conferimento della delega.

Le deleghe sono numerate ed annotate, giornalmente, in un apposito registro cronologico, con l’indicazione dei seguenti dati:

– numero progressivo e data della delega;

– codice fiscale e dati anagrafici del dichiarante;

– estremi del documento di identità del dichiarante.

L’Istituto effettua controlli sulle deleghe acquisite dai soggetti abilitati, in conformità alle previsioni contenute nella presente Convenzione.

1. b) controllo della correttezza del codice fiscale del dichiarante o del tutore o curatore o dei familiari, se richiesti, tramite il relativo documento;
2. c) acquisizione, previo controllo dell’identità e della legittimazione dei dichiaranti, delle relative dichiarazioni;
3. d) conservazione del modello di dichiarazione e della copia del documento di identità in corso di validità (come ad es. carta d’identità, patente, passaporto) e del codice fiscale o in alternativa dell’esito del controllo SIATEL, secondo le modalità di cui al successivo art. 9.
4. Nel caso in cui il dichiarante deleghi altra persona alla consegna del modello, il soggetto abilitato deve conservare, oltre alla copia del modello firmato dal dichiarante, copia del documento d’identità del dichiarante, del documento d’identità del delegato e la delega. Di tale circostanza viene fatta menzione nel registro delle deleghe di cui al comma 1 del presente articolo.
5. Ad integrazione di quanto contenuto al comma che precede, si chiarisce che nel caso in cui ci si trovi in presenza di menomazioni fisiche, o analfabetismo, che non consentano la compilazione e firma della delega del dichiarante conferita a soggetto terzo, la stessa potrà essere presentata priva della firma solo ed esclusivamente allegando il documento di identità che riporta l’annotazione dell’impossibilità alla firma.

Per le Campagne RED Ordinarie 2022 e 2023 e Solleciti 2021 e 2022:

– intervista accurata mirante a verificare in quale situazione versa il dichiarante. In particolare, sarà necessario richiedere tutta la documentazione utile a qualificare la situazione reddituale del soggetto dichiarante e dei familiari rilevanti sulla prestazione per verificare se l’obbligo di dichiarazione all’Istituto può intendersi già assolto, in quanto la situazione reddituale incidente sulla prestazione collegata al reddito di cui si è beneficiato è già stata dichiarata integralmente all’Agenzia delle Entrate, o se, invece, il dichiarante è tenuto alla presentazione della dichiarazione della situazione reddituale rilevante sulla prestazione (mod. RED) all’INPS. Conseguentemente sarà necessario acquisire tutte le informazioni utili a rappresentare in maniera corretta la situazione reddituale del dichiarante e dei familiari eventualmente rilevanti sulla prestazione, nonché la documentazione probatoria relativa ai redditi asseverati. A titolo esemplificativo e non esaustivo si rappresenta di seguito la documentazione da richiedere al dichiarante in fase di intervista e da verificare, al fine di raccogliere le informazioni utili per la dichiarazione: mod. RED presentato per l’anno reddito precedente; Certificazione Unica rilasciata dal sostituto d’imposta, relativa al periodo d’imposta oggetto di verifica; la dichiarazione dei redditi (mod. 730/REDDITI) presentata ad Agenzia delle Entrate, anche tramite altro intermediario per il medesimo periodo d’imposta; rendiconto della banca/posta da cui è possibile evincere l’importo degli interessi percepiti, al netto della ritenuta fiscale applicata a titolo d’imposta; visure catastali; attestazione di variazione residenza per espatrio; attestazione di decesso, etc.;

– analisi della documentazione prodotta ai fini della raccolta delle informazioni necessarie per rendere la dichiarazione della situazione reddituale incidente sulla prestazione goduta all’INPS, in un’ottica di servizio di assistenza qualificata ai dichiaranti nella compilazione del modello da acquisire. Tutta la documentazione utilizzata ai fini della raccolta delle informazioni necessarie per rendere la dichiarazione all’Istituto deve essere conservata ai sensi e secondo le modalità di cui al successivo art. 9;

– trasmissione all’Istituto, per via telematica, delle dichiarazioni acquisite con evidenza per ciascun rigo reddito rilevante dell’acquisizione documentale o di autocertificazione da parte del dichiarante, entro il termine previsto dall’articolo 3 della presente Convenzione.

Ad integrazione di quanto contenuto al comma che precede, si chiarisce che nel caso in cui ci si trovi in presenza di menomazioni fisiche, o analfabetismo, che non consentano la compilazione e firma della dichiarazione della situazione reddituale del dichiarante, la stessa potrà essere presentata priva della firma solo ed esclusivamente allegando il documento di identità che riporta l’annotazione dell’impossibilità alla firma.

Per le Campagne INV CIV Ordinarie 2022 e 2023:

– acquisizione delle dichiarazioni rese dai titolari di pensione sociale, assegno sociale e assegno sociale sostitutivo di invalidità civile (Campagne INV CIV Ordinarie 2022 e 2023) per la verifica della persistenza dei requisiti previsti per l’erogazione della provvidenza;

– acquisizione delle dichiarazioni di cui al periodo precedente rese in nome e per conto del titolare deceduto da altri soggetti legittimati in base alla normativa vigente. In tal caso dovrà essere conservata e resa disponibile all’INPS la relativa documentazione;

– nel caso in cui l’handicap non consenta al dichiarante la compilazione e firma dell’autocertificazione se interdetto o inabilitato, la dichiarazione deve essere presentata dai rispettivi tutori o curatori. In questo caso il soggetto abilitato deve conservare il modello firmato dal tutore/curatore ed il relativo documento di identità;

– nel caso di disabilità psichica la dichiarazione va resa solo in presenza di un tutore/curatore/amministratore di sostegno. Il soggetto abilitato deve conservare anche in questo caso il modello firmato dal tutore/curatore/amministratore di sostegno ed il relativo documento di identità. In assenza di figura tutelare, la dichiarazione di responsabilità non deve essere presentata, ma dovrà essere consegnato, direttamente da parte del dichiarante, il certificato medico attestante lo stato di disabilità psichica presso la sede INPS territorialmente competente;

– trasmissione all’Istituto, per via telematica, delle dichiarazioni acquisite, entro il termine previsto dall’articolo 4 della presente Convenzione;

– assistenza ai dichiaranti nella compilazione del modello da acquisire;

– consegna obbligatoria della ricevuta attestante l’elaborazione del modello acquisito.

Ad integrazione di quanto contenuto al comma che precede, si chiarisce che nel caso in cui ci si trovi in presenza di menomazioni fisiche, o analfabetismo, che non consentano la compilazione e firma della dichiarazione di responsabilità del dichiarante conferita a soggetto terzo, la stessa potrà essere presentata priva della firma solo ed esclusivamente allegando il documento di identità che riporta l’annotazione dell’impossibilità alla firma.

4. Le dichiarazioni possono essere stampate e sottoscritte, anche con firma digitale.

Art. 6

Modalità tecniche di accesso ai sistemi dell’INPS

1. Le modalità tecniche di accesso ai sistemi dell’INPS – da parte dei soggetti abilitati – per lo svolgimento del servizio di cui all’articolo 2 della presente Convenzione sono descritte nell’allegato 2 contenente disposizioni in merito al prelievo delle stringhe RED e INV CIV e per la raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e delle dichiarazioni di responsabilità (Modello ACC.AS/PS).

Tale allegato costituisce parte integrante e sostanziale della presente Convenzione.

Art. 7

Attività di acquisizione delle dichiarazioni

1. Per lo svolgimento dell’attività di acquisizione delle dichiarazioni RED e INV CIV (Modello ACC.AS/PS) l’INPS fornisce al soggetto abilitato, a seguito di specifica richiesta e limitatamente alle persone che hanno rilasciato specifica delega allo stesso e fatta salva la riserva di cui al precedente art. 3, comma 1, le stringhe identificative dei soggetti interessati alla trasmissione delle dichiarazioni, con le diverse modalità previste dall’Istituto (ori line, cooperazione applicativa) con congruo anticipo rispetto all’avvio delle Campagne Ordinarie e Solleciti.

Se per uno stesso soggetto ci sono più deleghe, non viene rilasciata la stringa a nessun soggetto abilitato. Le modalità operative con cui saranno trasmesse le stringhe saranno individuate dall’Istituto e comunicate ai soggetti abilitati convenzionati.

2. L’INPS definisce, con apposito documento tecnico, i criteri di trasmissione dei redditi nonché, in accordo con i soggetti abilitati, ulteriori modalità operative per l’attuazione delle finalità della presente Convenzione, la modulistica necessaria ed i tracciati record anche con riferimento alle modalità di acquisizione e trasmissione delle dichiarazioni. Tali informazioni saranno rese disponibili sul sito web dell’INPS.

L’INPS fornisce al soggetto abilitato le specifiche tecniche per la trasmissione e le relative procedure di controllo che saranno pubblicate nella sezione del sito web dedicata al servizio in oggetto.

3. Per le dichiarazioni relative a redditi verificati sulla base della documentazione esibita, la conferma dell’acquisizione documentale viene rilasciata dal soggetto abilitato, autorizzato ai sensi di quanto previsto dal decreto legislativo 9 luglio 1997, n. 241. Qualora il dichiarante intenda autocertificare i dati relativi ai redditi, il soggetto abilitato è tenuto ad accettare la dichiarazione senza richiedere documentazione, in attuazione di quanto previsto dal D.P.R. n. 445 del 2000.

In ogni caso, il soggetto abilitato deve assicurare che il dichiarante non abbia trasmesso all’Agenzia delle Entrate – per il tramite del medesimo soggetto abilitato – dati difformi da quelli autocertificati. L’operatore che acquisisce la dichiarazione, ove riscontri tale difformità, è tenuto a segnalarla al soggetto dichiarante. Ove ciò nonostante, il dichiarante intenda confermare la discordanza stessa, l’operatore lo informerà che la trasmissione della dichiarazione avverrà previo inserimento di apposito alert ai fini di un controllo specifico da parte dell’INPS.

Art. 8

Attività di trasmissione delle dichiarazioni

1. Le procedure informatiche di supporto alla trasmissione sono preventivamente indicate dall’Istituto, il quale fornisce tempestivamente al soggetto abilitato il software specifico idoneo a supportarle. Dette procedure vengono rilasciate dall’INPS ai soggetti abilitati convenzionati senza alcun onere a loro carico.

È facoltà del soggetto abilitato convenzionato adottare il software predisposto dall’Istituto ovvero altri applicativi informatici a sue spese corrispondenti alle specifiche tecniche rilasciate dall’INPS, sia in fase di stesura iniziale che, successivamente, in caso di modifica delle procedure.

Qualsiasi variazione delle procedure o del software è preventivamente indicata o approvata dall’INPS.

2. Il soggetto abilitato alla trasmissione, professionista o CAF, deve risultare iscritto nel “Registro delle Chiavi Pubbliche degli Utenti del Fisco Telematico” del Ministero dell’Economia e delle Finanze e, quindi, essere in possesso delle chiavi valide per l’applicazione “Entratel”.

Per i soli CAF la trasmissione potrà avvenire anche in cooperazione applicativa, secondo le regole e specifiche tecniche e di sicurezza definite dall’Istituto.

3. L’Istituto si riserva la facoltà di modificare le modalità di accesso al fine di garantire adeguati livelli di sicurezza e fruibilità dei servizi.
4. Le Parti si impegnano, al fine di ridurre i tempi dei conguagli a credito o a debito dei dichiaranti, a concordare nuove modalità di trasmissione dei dati che permettano l’immediato ricalcolo delle prestazioni.
5. Anche nel corso dello svolgimento della Campagna RED l’INPS potrà procedere a ricalcoli delle pensioni sulla base dei dati trasmessi dai soggetti abilitati. In questo caso, tramite apposita comunicazione preventiva, da effettuarsi con congruo anticipo, l’INPS comunica ai soggetti abilitati che, per le posizioni oggetto del ricalcolo non potranno procedere ad Invii successivi di ulteriori dichiarazioni. Eventuali fatti o circostanze incidenti sulle prestazioni, anche intervenute successivamente, che comportino la necessità di una nuova dichiarazione di variazione della precedente o rettifiche di dichiarazioni erronee dovranno essere portate a conoscenza dell’INPS attraverso una domanda di ricostituzione della pensione.

Art. 9

Attività di conservazione dei moduli di dichiarazione e deila documentazione inerente

1. Il soggetto abilitato predispone ciascun modulo di dichiarazione che, datato e sottoscritto dal dichiarante, anche attraverso apposizione di firma digitale o altra modalità prevista dalla normativa vigente, è custodito negli appositi archivi tenuti a tale scopo dal soggetto abilitato stesso, per un periodo non inferiore a cinque anni, mentre una copia del modulo di dichiarazione, parimenti datata, è consegnata per ricevuta al dichiarante o ad un suo delegato. Per lo stesso periodo è conservata altresì la documentazione fornita dal dichiarante, ed utilizzata dal soggetto abilitato per il servizio di cui alla presente Convenzione, ai fini dei controlli previsti da quest’ultima. Allo stesso modo sarà conservata la delega di cui all’articolo 5, comma 1, corredata della copia del documento di riconoscimento dell’interessato.
2. In alternativa, allo scopo di evitare l’onere di conservazione di documenti cartacei, il soggetto abilitato, dopo aver stampato ciascun modulo di dichiarazione in unica copia (che, provvista di data, è consegnata per ricevuta al dichiarante o ad un suo delegato, il quale la sottoscrive alla sua presenza) e dopo aver proceduto alla trasmissione della dichiarazione all’Istituto, svolge l’attività di cui al presente articolo eseguendo in successione le operazioni di seguito descritte:

creazione di una copia del modello su un documento informatico, riportando i dati del modello vigente; il documento informatico è creato secondo le specifiche tecniche del tracciato record utilizzato per la trasmissione telematica all’INPS e contiene una oppure più di una dichiarazione, ovvero creazione, a partire dai dati trasmessi all’Istituto, di un file in formato statico non modificabile, contenente i dati di ogni singolo modello che viene firmato digitalmente e marcato temporalmente dal soggetto abilitato e, quindi, conservato come previsto dal comma precedente;

conservazione informatica del citato documento, con apposizione della firma digitale del responsabile della conservazione e della marca temporale, al fine di garantirne l’autenticità, l’integrità, l’immodificabilità e la certezza della data.

3. Le modalità di conservazione suddette valgono anche per la documentazione fornita dal dichiarante ed utilizzata ai fini delle verifiche previste all’art. 15 della presente Convenzione.
4. Il dichiarante viene informato dal soggetto abilitato dell’onere che incombe su quest’ultimo di conservazione del modulo di dichiarazione e della documentazione di supporto alla dichiarazione, come precisato al comma precedente, per un periodo non inferiore a quello di cui al comma 1 del presente articolo.
5. La documentazione relativa ai codici fiscali e ai documenti di riconoscimento dei dichiaranti consta della copia dei relativi documenti. La documentazione è conservata in forma cartacea oppure su supporto informatico, alla stregua dei commi che precedono.
6. Per cinque anni e con le stesse modalità sopra descritte dovranno essere conservate le deleghe rilasciate dai dichiaranti, ai sensi del precedente art. 5, corredate di documento di riconoscimento del delegante.
7. Tutta la documentazione conservata dovrà essere trasmessa, a richiesta, all’INPS per consentire l’effettuazione degli opportuni controlli.

Art. 10

Duplicato del modulo di dichiarazione

1. Il soggetto abilitato, sulla base di una richiesta sottoscritta dai beneficiari delle prestazioni erogate dall’Istituto, può accedere, mediante i servizi on line dell’Istituto, alla stampa di un eventuale duplicato del/i modello/i RED e/o INV CIV (Modello ACC.AS/PS).

Tale richiesta è conservata agli atti dal soggetto abilitato, ai sensi dell’articolo 9, e registrata nel processo di autenticazione on line relativo alla emissione del duplicato. La richiesta dei duplicati (Modello RED e Modello ACC.AS/PS) potrà avvenire, oltre alle modalità on line, anche attraverso la cooperazione applicativa.

Art. 11

Svolgimento del servizio in regime di avvalimento

1. Il CAF può avvalersi, sotto il suo diretto controllo ed assumendone la relativa responsabilità, dei servizi dei soggetti di cui all’art. 11, comma 1 ed 1 -bis, del decreto ministeriale 31 maggio 1999, n. 164, mentre i soggetti abilitati diversi dai Centri di assistenza fiscale (CAF), possono avvalersi di quelli di cui all’art. 23, comma 2, di detto decreto.
2. L’affidamento e lo svolgimento del servizio in regime di avvalimento sono subordinati all’osservanza delle previsioni di cui al presente articolo e al successivo art. 12 della presente Convenzione, e avvengono nello specifico rispetto delle disposizioni vigenti in materia di trattamento dei dati personali.
3. In ogni caso di svolgimento del servizio in regime di avvalimento, totale o parziale, di cui ai commi precedenti, l’INPS intrattiene rapporti con il solo soggetto abilitato e convenzionato e l’attività dei menzionati soggetti è considerata, a tutti gli effetti, attività del soggetto abilitato.

Art. 12

Disposizioni in materia di protezione dei dati personali

1. Per i servizi INPS resi dal soggetto abilitato in favore di utenti esterni, Titolare del trattamento dei dati è l’Istituto Nazionale della Previdenza Sociale che, ai sensi dell’art. 28 del Regolamento UE, nomina il soggetto abilitato sottoscrittore della presente Convenzione quale “Responsabile del trattamento”, come da allegato Atto di nomina (Allegato 1).
2. Dalla sottoscrizione dell’Atto di nomina il Responsabile del trattamento designato si vincola alla scrupolosa osservanza, oltre che delle apposite istruzioni ricevute dal Titolare (INPS) – a partire da quelle contenute nell’Atto di nomina e, successivamente, di quanto a tal fine indicato dal Titolare – delle disposizioni contenute nel Regolamento UE, nel d.lgs. 10 agosto 2018, n. 101 e nel Codice, in particolare per quanto concerne le modalità con cui effettuare le operazioni affidate, la sicurezza dei dati oggetto del trattamento, gli adempimenti e le responsabilità nei confronti degli interessati, dei terzi e dell’Autorità del Garante.
3. Il soggetto abilitato, in qualità di Responsabile del trattamento, assicura che i dati personali vengano utilizzati per fini non diversi da quelli previsti dalle disposizioni normative vigenti e limitatamente ai trattamenti strettamente connessi agli scopi di cui alla presente Convenzione nell’ambito della condizione di liceità richiamata a fondamento del presente accordo.
4. Ai sensi degli artt. 5 e 6 del citato Regolamento UE, i dati dovranno essere trattati nel rispetto dei principi di liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza.
5. È fatto divieto assoluto al soggetto abilitato di utilizzare i dati per scopi diversi da quelli previsti dalla presente Convenzione, nonché da quelli consentiti dalla normativa vigente in materia di consultazione delle banche dati, con particolare riferimento alla tutela della riservatezza delle persone. Il soggetto abilitato assicura altresì che i dati medesimi non siano divulgati, comunicati, ceduti a terzi, né in alcun modo riprodotti.
6. L’INPS effettua il tracciamento di tutti gli accessi ai propri sistemi informativi effettuati da parte degli operatori dei soggetti abilitati.
7. I soggetti abilitati assicurano il rispetto del divieto di utilizzo di dispositivi automatici (robot) che consentono di consultare in forma massiva i dati e di replicare i dati resi disponibili in autonome banche dati. Il rispetto di tali regole di accesso sarà oggetto di controlli da parte dell’INPS ed eventuali accessi illegittimi e non conformi alla normativa in materia di trattamento di dati personali saranno oggetto di segnalazione al Garante per la protezione dei dati.
8. Per le attività oggetto della Convenzione sono ammessi ad accedere alla procedura soltanto gli operatori ai quali i soggetti abilitati abbiano attribuito uno specifico profilo di abilitazione, in funzione dell’incarico svolto nel perseguimento delle finalità di cui alla presente Convenzione.
9. In conformità a quanto al precedente comma, i soggetti abilitati avranno cura di designare tali persone fisiche, che agiscono sotto la loro diretta autorità, quali “Persone autorizzate” nel rispetto degli artt. 29 e 4, n. 10, del Regolamento UE e dell’art. 2-quaterdecies del Codice. Ai fini di tale designazione i soggetti abilitati si impegnano ad individuare le modalità più opportune in riferimento al servizio affidato con la presente Convenzione.
10. Il soggetto abilitato, in qualità di “Responsabile del trattamento”, impartisce precise e dettagliate istruzioni alle “Persone autorizzate” e, in tale ambito, provvede a richiamare l’attenzione sulle responsabilità connesse all’uso illegittimo dei dati e sul corretto utilizzo delle funzionalità dei collegamenti.
11. Il soggetto abilitato, in qualità di “Responsabile del trattamento”, a norma dell’art. 28, paragrafo 3, lett. b) del Regolamento UE, garantisce che le “Persone autorizzate” al trattamento dei dati siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
12. Il soggetto abilitato, in qualità di “Responsabile del trattamento”, detiene un elenco nominativo aggiornato delle persone fisiche autorizzate, recante altresi l’indicazione dei trattamenti affidati e dei relativi profili di autorizzazione di accesso ai dati.
13. Il soggetto abilitato, in qualità di “Responsabile del trattamento” non è autorizzato a ricorrere ad altro Responsabile per il trattamento ai sensi dell’art. 28, paragrafo 2, del Regolamento UE.
14. Nel momento in cui acquisisce le dichiarazioni, il soggetto abilitato informerà gli interessati che i dati acquisiti saranno trasmessi all’INPS per il perseguimento delle finalità previste dalla legge e dalla presente Convenzione.
15. La presente Convenzione è stipulata nel rispetto del Provvedimento del Garante per la protezione dei dati personali 2 luglio 2015 n. 393, le cui prescrizioni sono attualizzate in coerenza con la vigente normativa in materia di trattamento dei dati personali.
16. Il soggetto abilitato, in qualità di “Responsabile del trattamento”, a norma dell’art. 33, paragrafo 2, del Regolamento UE, deve informare senza ritardo il Titolare, fornendo ogni informazione utile, in caso di violazione dei dati o incidenti informatici eventualmente occorsi nell’ambito dei trattamenti effettuati per conto dell’Istituto, che possano avere un impatto significativo sui dati personali, in modo che l’Istituto medesimo adempia, nei termini prescritti, alla dovuta segnalazione di c.d. “data breach” al Garante per la protezione dei dati personali, in osservanza di quanto disposto all’art. 33 del Regolamento UE.

Art. 13

Compensi

1. Il presente articolo stabilisce la misura del compenso, IVA esclusa, che l’INPS riconosce al soggetto abilitato per lo svolgimento dell’attività prevista nella presente Convenzione.

In merito all’attività di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) per ogni tipologia di dichiarazione saranno corrisposti i compensi, IVA esclusa, indicati in tabella:

Per “dichiarazione autocertificata” le parti intendono le dichiarazioni in cui la maggior parte dei redditi rilevanti sulla prestazione (ovvero quelli con rigo reddito maggiore di zero) è dichiarata in assenza di documentazione probatoria.

2. Qualora la trasmissione delle dichiarazioni avvenga tardivamente rispetto al termine indicato nel quinto comma dell’articolo 3 i predetti compensi sono ridotti in misura percentuale, così come indicato nell’art. 15 della presente Convenzione.

Per le fattispecie di cui all’art. 3, comma 3, lettera c. della presente Convenzione (Solleciti) si applicheranno i compensi suindicati, in relazione alla tipologia e modalità di dichiarazione; analogamente, tali fattispecie saranno oggetto di riduzione dei compensi e di verifica di presenza di eventuale difettosità ai fini della attribuzione di penali, secondo quanto previsto dall’art. 15.

3. Non sarà corrisposto alcun compenso per la trasmissione di dichiarazioni documentali relative a nuclei non obbligati a presentare dichiarazione RED, in quanto i redditi sono già stati dichiarati integralmente all’Agenzia delle Entrate in data antecedente alla data di sottoscrizione del modello RED. Non sarà parimenti corrisposto alcun compenso per la trasmissione di dichiarazioni autocertificate relative a nuclei non obbligati a presentare dichiarazione RED qualora i redditi siano già stati dichiarati integralmente all’Agenzia delle Entrate tramite lo stesso intermediario. Sarà corrisposto il compenso nei casi in cui i redditi rilevanti, in tutto o in parte, siano stati dichiarati ai fini fiscali secondo modalità di rappresentazione diverse da quanto previsto dalla normativa previdenziale ai fini della verifica reddituale dell’Istituto.

Il controllo automatizzato centralizzato verificherà tali condizioni per tutte le dichiarazioni trasmesse da ciascun soggetto abilitato.

4. I compensi riferiti alle dichiarazioni delle situazioni reddituali (Modelli RED) sono pagati per ogni soggetto appartenente al medesimo nucleo reddituale contemplato nella dichiarazione.
5. In merito all’attività di raccolta e trasmissione delle dichiarazioni di responsabilità (Modello ACC.AS/PS) al fine dell’erogazione delle prestazioni assistenziali la misura del compenso, IVA esclusa, per ogni dichiarazione trasmessa, è pari a € 5,50 (euro cinque/50).
6. Ai fini della liquidazione dei compensi di cui al presente articolo si terrà conto delle dichiarazioni corrispondenti a ciascun codice fiscale escludendo, pertanto, invii successivi.
7. Qualora, successivamente alla trasmissione della dichiarazione, intervengano fatti o circostanze che comportino la necessità di una nuova dichiarazione di variazione della precedente o rettifiche di dichiarazioni erronee non è riconosciuto un ulteriore corrispettivo.
8. In sede di erogazione del saldo di cui all’articolo 14, saranno effettuati i necessari conguagli. Nel caso di incapienza del suddetto saldo il soggetto abilitato è obbligato, con le modalità e i termini che gli saranno comunicati dall’Istituto, a restituire le somme eventualmente eccedenti rispetto a quelle dovute.
9. Nessun corrispettivo può essere richiesto dal soggetto abilitato all’utente in relazione ai servizi oggetto della presente Convenzione.
10. Ai fini della verifica del rispetto dei limiti degli stanziamenti previsti per la presente convenzione, l’Istituto, salvo facoltà di recesso, procede al monitoraggio trimestrale e, in prossimità del raggiungimento dei limiti di spesa, ne dà comunicazione ai soggetti abilitati.
11. Le Campagne RED Ordinaria 2023 (anno reddito 2022) e Solleciti 2022 (anno reddito 2021) ed INV CIV Ordinaria 2023 saranno remunerate mediante le risorse stanziate sugli specifici capitoli del bilancio di previsione dell’Istituto per l’anno 2023.

Art. 14

Liquidazione e pagamento dei compensi

1. Il soggetto abilitato emette fattura/e dei dati trasmessi e riscontrati dall’INPS, consultando all’uopo i dati riepilogativi messi a disposizione dall’INPS sul proprio sito internet. Per i servizi in oggetto saranno emesse tre fatture per ciascuna attività.

Campagna RED (Ordinarie 2022 e 2023 e Solleciti 2021 e 2022):

– la prima fattura relativa all’acconto del 95% delle dichiarazioni trasmesse ed acquisite validamente dall’Istituto rispettivamente: per le Campagne Ordinaria 2022 e Solleciti 2021, alla data del 31/10/2022, con emissione dei prospetti riepilogativi per consentire la fatturazione ai soggetti abilitati entro il 12 dicembre 2022; per le Campagne Ordinaria 2023 e Solleciti 2022, alla data del 02/11/2023 con emissione dei prospetti riepilogativi per consentire la fatturazione ai soggetti abilitati entro il giorno 11 dicembre 2023;

– la seconda fattura che si riferisce all’acconto del 95% delle dichiarazioni complessivamente trasmesse ed acquisite validamente dall’Istituto rispettivamente: per le Campagne Ordinaria 2022 e Solleciti 2021, dalla data del 2/11/2022 e per le Campagne Ordinaria 2023 e Solleciti 2022, dalla data del 03/11/2023 fino al termine previsto per la chiusura di ciascuna Campagna, con emissione dei prospetti riepilogativi entro due mesi dalla chiusura della Campagna stessa;

Campagna INV CIV (Ordinarie 2022 e 2023):

– la prima fattura relativa all’acconto del 90% delle dichiarazioni trasmesse ed acquisite validamente dall’Istituto alla data del 31/10 dell’anno di riferimento di ciascuna delle Campagne Ordinarie, con emissione dei prospetti riepilogativi per consentire la fatturazione ai soggetti abilitati entro il 10 dicembre dell’anno di riferimento di ciascuna Campagna Ordinaria;

– la seconda fattura che si riferisce all’acconto del 90% delle dichiarazioni complessivamente trasmesse ed acquisite validamente dall’Istituto dalla data del 01/11 dell’anno di riferimento di ciascuna della Campagne Ordinarie fino al termine previsto per la chiusura di ciascuna Campagna, con emissione dei prospetti riepilogativi entro due mesi dalla chiusura della Campagna stessa;

Campagne RED (Ordinarie 2022 e 2023 e Solleciti 2021 e 2022) e INV CIV (Ordinarie 2022 e 2023):

– la terza fattura, pari al saldo residuo dovuto, tenuto conto del valore delle penali rilevate a seguito dell’attività di verifica prevista al successivo art. 15, con emissione dei relativi prospetti riepilogativi nella sezione sul sito Internet dell’Istituto entro due mesi dalla chiusura dei controlli disposti dall’Istituto.

Gli eventuali dati scartati dalle procedure di verifica e controllo possono essere fatturati non appena resi conformi al tracciato delle procedure informatiche di supporto rilasciato dall’INPS, che sarà opportunamente messo a disposizione del soggetto abilitato. Agli effetti dell’applicazione dei compensi di cui all’art. 13 e ad ogni altro effetto, vale la trasmissione validamente acquisita dai sistemi informatici dell’INPS.

I soggetti abilitati sono tenuti a trasmettere le fatture, esclusivamente in formato elettronico, alle strutture centrali competenti, attraverso il Sistema di Interscambio (SDÌ) secondo le specifiche tecniche di cui al decreto Interministeriale 3 aprile 2013, n. 55.

In particolare, la fattura elettronica deve riportare il codice univoco: UF5HHG. Dovrà poi essere compilata secondo le indicazioni pubblicate dall’Istituto sul sito istituzionale: www.inps.it Avvisi, bandi e fatturazione – Fatturazione elettronica – Istruzioni ed esempi per la compilazione – Convenzioni-Contratti- Riferimento Amministrazione.

Questi adempimenti sono necessari per la correttezza formale della fattura medesima e l’effettivo ricevimento della stessa da parte dell’Istituto.

Qualsiasi variazione dei codici sarà comunicata dall’Istituto ai soggetti abilitati, in modo da garantire il corretto inoltro della fattura.

Pertanto, l’Istituto non accetterà fatture che non siano trasmesse in forma elettronica per il tramite del Sistema di Interscambio, né procederà ad alcun pagamento, neppure parziale, sino all’invio della fattura stessa.

Entro 15 giorni dal ricevimento della fattura l’Istituto potrà “rifiutare” la fattura per i seguenti motivi:

– mancato inserimento dei codici (riferimento amministrazione e idDocumento) necessari per la correttezza formale della fattura;

– mancata corrispondenza tra gli importi riportati in fattura e quelli pubblicati sul sito Internet;

– mancata oppure errata indicazione delle fasce dei compensi, del periodo e dell’anno di riferimento;

– mancata oppure errata indicazione della posizione finanziaria (capitolo di spesa di riferimento).

5. Nell’ipotesi di decorrenza del termine di 15 giorni dal ricevimento, senza che si sia provveduto a respingere la fattura, qualsiasi sua variazione è effettuata con nota di credito, ai sensi dell’art. 26 del decreto del Presidente della Repubblica n. 633 del 1972.
6. La fattura, ai sensi del decreto del Ministero dell’Economia e delle Finanze 23 gennaio 2015, dovrà riportare l’annotazione “S” -“scissione dei pagamenti” sulla medesima. Pertanto, l’Istituto verserà direttamente all’erario, con le modalità e nei termini indicati nel predetto decreto, l’imposta sul valore aggiunto che è stata addebitata in fattura.
7. Il pagamento della fattura è subordinato alla verifica dei seguenti ulteriori elementi:

– avvenuta sottoscrizione della Convenzione;

– verifica del D.U.R.C. del soggetto abilitato, in corso di validità, secondo le modalità definite dalla normativa vigente;

– indicazioni del conto corrente bancario o postale per il pagamento delle prestazioni di cui alla presente Convenzione;

– verifiche previste dall’art. 48-bis del D.P.R. 29/9/1973, n. 602 per importi superiori a € 5.000,00.

8. Il pagamento delle fatture, previa verifica della regolarità di cui ai commi precedenti, avviene entro il quarantacinquesimo giorno dal ricevimento delle stesse.
9. Il pagamento del saldo del compenso avviene successivamente all’espletamento delle verifiche di cui all’art. 15: in particolare, il soggetto abilitato emette fattura a seguito della pubblicazione degli esiti delle verifiche sul sito Internet dell’Istituto.
10. È obbligo del soggetto abilitato comunicare all’INPS eventuali modifiche relative alle modalità di pagamento, che dovessero manifestarsi nel corso della durata contrattuale, entro 7 (sette) giorni lavorativi dal verificarsi delle stesse.

Art. 15

Verifiche e penali

1. Per ciascuna tipologia di dichiarazione sarà erogato il corrispettivo relativo, secondo quanto previsto all’art. 13 della presente Convenzione, se la trasmissione avviene entro 30 giorni solari dalla presentazione da parte del dichiarante al soggetto abilitato; per le trasmissioni effettuate dopo tale termine, in caso di ritardo, si applicherà il seguente sistema di penali il cui importo è determinato in ragione di una percentuale dei compensi di cui all’art. 13 comportandone la riduzione secondo le tabelle che seguono. In fase di avvio della Campagna Red Ordinaria e Solleciti, per tutte le dichiarazioni precedentemente presentate al soggetto abilitato, il suddetto termine di trenta giorni decorre dalla data di rilascio della versione consolidata delle procedure di trasmissione delle dichiarazioni all’Istituto.
2. Riduzione percentuale dei compensi relativi al servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e delle dichiarazioni di responsabilità (Modello ACC.AS/PS):

3. Nel caso in cui, tramite sistemi automatizzati centralizzati di controllo delle dichiarazioni delle situazioni reddituali trasmesse, si rilevino:

– codice fiscale errato;

– stato civile errato;

sarà attribuita una penalità pari a 1 volta il compenso erogato dall’Istituto per ciascun soggetto, in relazione alla tipologia di dichiarazione trasmessa e acquisita validamente.

Tali controlli automatizzati relativi alle fattispecie sopra elencate riguarderanno tutte le dichiarazioni trasmesse da ciascun soggetto abilitato.

4. Qualora, dal controllo automatizzato sul 100% dei modelli trasmessi dai soggetti abilitati, si rilevi la presenza di una dichiarazione reddituale trasmessa all’Istituto presentata da soggetto risultante deceduto alla data di sottoscrizione del modello, sarà attribuita una penalità pari a 10 volte il compenso erogato dall’INPS per ciascun soggetto, in relazione alla tipologia di dichiarazione trasmessa e acquisita validamente.
5. Ad integrazione dei controlli sopra menzionati, per accertare il corretto adempimento, da parte del soggetto abilitato, delle obbligazioni che discendono dall’affidamento del servizio, l’INPS si riserva di sottoporre annualmente a verifica a campione almeno l’l% delle dichiarazioni trasmesse, anche al fine di controllare la coerenza fra la documentazione prodotta dal dichiarante in fase di intervista, e quanto riportato nelle dichiarazioni tramite modello RED all’INPS.
6. In caso di riscontro di dichiarazione errata nell’ambito dei controlli a campione di cui al comma 5, è prevista l’applicazione del seguente, ulteriore, sistema di penali, che si cumula con quello di cui sopra, relativo ai casi di ritardo nella trasmissione delle dichiarazioni.

Tuttavia, ove si verifichi che una dichiarazione rilevata errata tramite sistemi automatizzati centralizzati di controllo presenti ulteriori difettosità secondo quanto indicato analiticamente nel comma 3 del presente articolo, verrà applicata la sanzione più elevata.

7. L’importo della penale cui rapportare l’esito della verifica a campione sull’intera attività svolta dal soggetto abilitato viene determinato moltiplicando tra loro i seguenti fattori:

– Numero delle dichiarazioni errate verificate;

– Indice di difettosità, definito per tipologia di errore;

– Una volta (1) la misura dei compensi corrisposti ai sensi dell’art. 13 in relazione alle tipologie di dichiarazioni;

– Coefficiente 100. Nel caso in cui l’Istituto decida di aumentare la percentuale del campione da controllare, il coefficiente dovrà essere riparametrato tenendo conto dell’effettiva consistenza del campione medesimo.

8. Le tipologie di errore per ciascuna attività di cui al comma 5 rilevanti per il controllo a campione e i relativi indici di difettosità sono indicati nelle tabelle che seguono.

Tipologie di errore e relativi indici di difettosità relativi ai Modelli RED:

In relazione alle seguenti tipologie di errore:

– “mancata trasmissione, da parte del soggetto abilitato, della documentazione, conservata ai fini dei controlli, da produrre all’INPS”;

– “dichiarazione reddituale documentale con redditi discordanti con quelli dichiarati all’Agenzia delle Entrate dal medesimo soggetto abilitato”;

– “dichiarazione reddituale autodichiarata, erroneamente definita documentale, ai sensi del precedente art. 13”, sarà effettuato, per il campione estratto ai fini dei controlli di cui al presente articolo, un primo livello di verifica centralizzato, al fine di agevolare l’attività di riscontro delle strutture territoriali preposte, nonché dei soggetti abilitati, ai fini dell’invio dell’eventuale documentazione a supporto della giustificazione dell’assenza di errore rilevato.

9. Le tipologie di errore per ciascuna attività di cui al comma 5 rilevanti per il controllo a campione e i relativi indici di difettosità relativi al modello ACC.AS/PS sono indicati nelle tabelle che seguono.

10. La sistematica e reiterata ricorrenza dei casi sopra riportati comporta la risoluzione automatica della Convenzione.

Art. 16

Procedimento di verifica e di applicazione delle penali

1. La Direzione generale dell’INPS attende alla funzione di coordinamento dell’intero procedimento.

Le verifiche non automatizzate sono effettuate dalle Strutture dell’INPS territorialmente competenti, secondo le modalità stabilite dall’Istituto.

2. Per consentire l’espletamento delle verifiche, il soggetto abilitato si impegna a far pervenire i documenti necessari, conservati ai sensi dell’art. 9 della presente Convenzione. In caso di mancata trasmissione della documentazione richiesta entro i termini stabiliti, verrà applicata la sanzione massima prevista per singolo modello/servizio, secondo quanto previsto specificamente nell’articolo precedente in relazione alle sanzioni indicate per ciascuna attività.
3. La Direzione generale dell’INPS effettua il monitoraggio delle attività di verifica svolte a cura delle sedi e riscuote le somme dovute a titolo di penale.
4. La riscossione delle penali di cui al presente articolo avviene per compensazione in sede di predisposizione della fattura a saldo di cui all’art. 14 e, per l’eventuale eccedenza, con apposita richiesta per recupero penale.
5. A seguito della riscossione della penale, l’INPS emette apposita ricevuta, con contrassegno telematico di € 2,00 (due/00) in caso di superamento dell’im- porto di € 77,47 (settantasette/47).
6. L’INPS provvede a comunicare al soggetto abilitato le modalità, i tempi e gli esiti delle verifiche, e a darne pubblicità sul proprio sito internet www.inps.it.
7. Nel caso in cui si verifichino, per la stessa dichiarazione trasmessa dal soggetto abilitato, una pluralità di errori, in relazione a ciascuna attività, viene applicato l’importo della penale più elevato.

Art. 17

Ulteriori verifiche

1. L’INPS si riserva di effettuare puntuali controlli, oltre che circa il corretto svolgimento del servizio da parte dei soggetti abilitati, sulle deleghe fornite loro dagli utenti, sulle operazioni di trattamento tracciate dai sistemi informativi nonché sul rispetto delle prescrizioni contenute nell’Atto di nomina a Responsabile esterno del trattamento previsto dall’art. 12.
2. A tal fine l’INPS effettua controlli a campione su tutti gli accessi nonché controlli automatizzati per l’individuazione di eventuali anomalie nelle attività poste in essere da parte degli operatori autorizzati. Il monitoraggio delle anomalie è condotto con modalità adattative sulla base dell’osservazione di indicatori statistici degli accessi e di eventi che si discostano dalle medie o che evidenziano situazioni riconducibili a criteri di attenzione prefissati.
3. L’INPS richiede, a campione oppure su segnalazione delle Autorità competenti, copia delle deleghe e dei documenti di identità degli interessati in possesso dei soggetti abilitati ai sensi dell’art. 5.

In tal caso i soggetti abilitati trasmettono i suddetti documenti, tramite PEC, entro 48 ore dalla richiesta; qualora fossero riscontrate irregolarità nella gestione delle deleghe si procederà, tra l’altro, alla sospensione dell’utenza, ferme restando le responsabilità civili e l’applicazione delle eventuali sanzioni penali.

Art. 18

Recesso, rifiuto di stipula da parte dell’INPSr sospensione e risoluzione della Convenzione

1. Salva l’applicazione delle penali di cui all’articolo 15, l’INPS si riserva la facoltà di procedere al recesso unilaterale dalla presente Convenzione qualora le dichiarazioni acquisite ed inviate dal soggetto abilitato non siano conformi alla normativa e/o alle disposizioni della Convenzione per una percentuale pari o superiore al 10% delle dichiarazioni sottoposte a verifiche da parte dell’INPS, anche diverse dalle verifiche di cui all’art. 15, ovvero da parte di qualunque altra Autorità.
2. L’INPS si riserva, altresì, la facoltà di recedere dalla Convenzione stipulata con il soggetto abilitato qualora si rilevi un ritardo ingiustificato, sistematico e reiterato nella trasmissione delle dichiarazioni rispetto al termine fissato dal comma 1 dell’articolo 15.
3. L’Istituto si riserva, comunque, la facoltà di recedere unilateralmente dalla presente Convenzione per casi di inadempienza grave del soggetto abilitato, accertata anche nell’ambito delle verifiche di cui all’articolo 17.
4. Prima di esercitare la facoltà di recesso unilaterale di cui ai primi tre commi del presente articolo, l’INPS comunica al soggetto abilitato la relativa decisione, motivandola ai sensi di detti commi.
5. Entro il termine di 30 giorni dal ricevimento della comunicazione, il soggetto abilitato ha facoltà di comunicare alla Direzione generale dell’INPS le proprie osservazioni per iscritto, eventualmente corredate da specifica documentazione.
6. Entro 30 giorni dalla ricezione delle osservazioni ovvero dalla scadenza del termine di cui al comma precedente, la Direzione generale dell’INPS comunica al soggetto abilitato il recesso unilaterale dalla presente Convenzione, motivandolo ai sensi dei primi tre commi e dando ragione del mancato accoglimento delle eventuali osservazioni, ovvero la volontà di non procedere al recesso in accoglimento di esse.
7. Il recesso di cui ai primi tre commi ha effetto a decorrere dal giorno successivo alla ricezione, da parte del soggetto abilitato, della comunicazione dell’Istituto. Tuttavia, qualora la particolare gravità e/o connotazione e/o diffusione delle irregolarità accertate sia tale da non consentire la prosecuzione neppure provvisoria della Convenzione, l’INPS, nelle more del procedimento di cui sopra, procede alla immediata sospensione della Convenzione, prevista dal successivo comma 10.
8. Attesa la rilevanza degli interessi pubblici sottesi allo svolgimento delle attività oggetto dei rapporti di convenzione tra l’INPS e i soggetti abilitati, nei casi di cui ai primi tre commi l’Istituto ha facoltà di rifiutare la stipula di nuove convenzioni con il soggetto abilitato interessato, anche ad oggetto diverso rispetto a quello della presente convenzione. L’Istituto potrà, altresì, rifiutare la stipula della convenzione ove siano in corso degli accertamenti da parte delle Autorità competenti per condotte irregolari poste in essere dal soggetto abilitato nell’esercizio delle sue attività.
9. L’Istituto si riserva, altresì, la facoltà di recesso unilaterale dalla presente convenzione nei casi in cui, in base all’art. 35 del Decreto Legislativo n. 175 del 21 novembre 2014, vengano meno i requisiti previsti per essere considerati soggetti abilitati all’assistenza fiscale, ai sensi del Decreto Legislativo n. 241/1997.
10. Considerato che il soggetto abilitato è tenuto alla diligenza professionale di cui all’art. 1176, comma 2 c.c., l’INPS ha facoltà di procedere alla risoluzione unilaterale di diritto della Convenzione, nelle forme, con gli effetti e secondo le modalità previste dall’art. 1456 c.c., nei seguenti casi:
11. a) adozione di misure inibitorie nei confronti del soggetto abilitato da parte delle competenti Autorità giudiziarie o amministrative;
12. b) mancato rispetto della buona fede nell’esecuzione della presente Convenzione, con particolare riferimento al divieto di abuso dei diritti o delle facoltà da essa conferiti;
13. c) adozione di misure cautelari personali riguardanti i legali rappresentanti del CAF e/o le persone fisiche che ricoprono cariche sociali nazionali previste dallo Statuto del CAF o i professionisti abilitati all’assistenza fiscale ai sensi del Decreto Legislativo n. 241/1997, per fatti compiuti nella qualità e nell’esercizio delle proprie funzioni;
14. d) mancato rispetto degli obblighi, a carico del soggetto abilitato, indicati nell’articolo 9 in materia di protezione dei dati personali e nel relativo Atto di nomina.

All’atto dell’acquisizione della notizia del verificarsi di una delle cause di risoluzione sopraelencate, l’INPS potrà comunicare al soggetto abilitato la volontà di avvalersi della risoluzione, ai sensi e per gli effetti dell’art. 1456 c. c., mediante posta elettronica certificata (PEC).

11. L’Istituto si riserva, altresì, la facoltà di sospendere l’efficacia della presente convenzione ove, durante il corso della convenzione stessa, le persone fisiche ricoprenti cariche sociali nazionali previste dallo Statuto del CAF, i rappresentanti e/o incaricati, oppure i dipendenti e/o responsabili di una Struttura territoriale del CAF, comprese quelle di cui quest’ultimo si avvale ai sensi dell’art. 11 della presente Convenzione, il professionista abilitato all’assistenza fiscale ai sensi del Decreto Legislativo n. 241/1997 siano sottoposti ad accertamenti e/o misure cautelari personali da parte delle competenti Autorità per fatti compiuti nell’esercizio delle proprie funzioni che possano pregiudicare il regolare svolgimento delle attività convenzionate.

Al verificarsi di tali fattispecie, l’Istituto si riserva il diritto di esercitare la facoltà prevista dal presente comma qualora in ciascuna delle ultime tre Campagne oggetto di verifica ordinaria, la percentuale di irregolarità delle dichiarazioni trasmesse sia almeno pari al 3% delle dichiarazioni campionate.

12. Ove sussistano i presupposti di cui al precedente comma e l’Istituto disponga la sospensione dell’efficacia della convenzione, esso ne dà immediata comunicazione al soggetto abilitato e procede alla disabilitazione delle credenziali di accesso al sistema informativo.
13. La sospensione ha effetto a decorrere dal quinto giorno lavorativo successivo alla ricezione, da parte del soggetto abilitato, della relativa comunicazione sino all’esito degli accertamenti di cui al comma 11 che possono concludersi con il successivo perfezionamento delle procedure di risoluzione e recesso. Nel caso in cui venga meno la causa che ha determinato la sospensione, l’INPS procede all’immediato ripristino delle credenziali di accesso, dandone tempestiva comunicazione al soggetto abilitato.
14. La presente convenzione, tuttavia, si risolve di diritto a seguito di modifiche del quadro normativo di riferimento che la rendono contrastante con il perseguimento del pubblico interesse. Nei casi di cui al presente comma, ciascuna Parte prende immediatamente atto della risoluzione, con comunicazione scritta indirizzata all’altra.
15. Le comunicazioni previste dal presente articolo vengono effettuate tramite PEC (Posta Elettronica Certificata) o, se mancante, mediante lettera raccomandata con avviso di ricevimento.

Art. 19

Polizza assicurativa

1. Il soggetto abilitato stipula apposita polizza assicurativa a garanzia dell’integrale risarcimento dei danni da esso comunque cagionati nello svolgimento delle attività previste dalla presente Convenzione.
2. La polizza di cui al comma precedente prevede un massimale di copertura non inferiore a quanto previsto dall’art. 6 del decreto ministeriale 31 maggio 1999, n. 164, ovvero, per quanto riguarda i soggetti abilitati diversi dai Centri di assistenza fiscale (CAF), dall’art. 22 di detto decreto.

Art. 20

Registrazione

1. Il presente atto è oggetto di registrazione solo in caso d’uso, ai sensi dell’art. 1, lett. B, Parte II, della Tariffa di cui al Testo unico delle disposizioni concernenti l’imposta di registro, approvato con decreto del Presidente della Repubblica 26 aprile 1986, n. 131.

Art. 21

Spese ed oneri

1. Tutte le spese e gli oneri, anche fiscali, inerenti al presente atto sono a carico del soggetto abilitato, salvo diversa previsione di legge.
2. Il versamento dell’imposta di bollo dovuto per la sottoscrizione della presente Convenzione non potrà avvenire mediante il ricorso alla compensazione. Il soggetto abilitato si impegna a trasmettere all’INPS, in occasione della sottoscrizione della Convenzione, quietanza di pagamento.

Art. 22

Uso della telematica e di internet. Campagne di informazione

1. Le trasmissioni di informazioni e le comunicazioni previste dalla presente Convenzione sono effettuate con modalità telematiche.
2. Le trasmissioni potranno avvenire anche in cooperazione applicativa, secondo le regole e specifiche tecniche e di sicurezza definite dall’Istituto.
3. In alternativa, tenuto conto del tipo di trasmissione o di comunicazione, l’INPS rende disponibili le trasmissioni di informazioni e le comunicazioni previste dalla presente Convenzione mediante pubblicazione sul proprio sito internet www.inps.it, che il soggetto abilitato ha l’onere all’uopo di consultare.
4. Per conferire la massima efficacia alle iniziative relative alle Campagne oggetto della presente Convenzione, l’INPS dà tempestiva e puntuale informazione delle stesse anche attraverso la stampa e gli altri strumenti di comunicazione.

Art. 23

Durata, adeguamento e risoluzione. Termine di ciascuna Campagna

1. Il presente schema di Convenzione ha validità per la durata delle Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022) e Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021) e INV CIV Ordinarie 2022 e 2023 (mod. ACC.AS/PS) dal momento della adozione da parte dell’Istituto e fino alla chiusura delle rispettive Campagne, salvo diversa disposizione normativa.

La convenzione produce effetti per i singoli soggetti abilitati a seguito dell’av- venuto perfezionamento dell’iter di sottoscrizione.

2. La presente Convenzione può essere modificata su conforme volontà delle Parti da manifestarsi per atto scritto, e con le modalità previste per l’adozione della presente Convenzione, e comunque entro il termine di conclusione delle Campagne RED Ordinarie 2022 e 2023 e Solleciti 2021 e 2022 e INV CIV Ordinarie 2022 e 2023 (mod. ACC.AS/PS).
3. Le pertinenti modifiche del quadro normativo di riferimento modificano di diritto la presente Convenzione, integrandone, sostituendone o abrogandone, a seconda dei casi, le disposizioni. Nei casi di cui al presente comma, l’Istituto conforma immediatamente il contenuto della presente Convenzione al rinnovato quadro normativo.

In particolare, attesa la rilevanza degli interessi sottesi al mantenimento degli equilibri di finanza pubblica, qualora disposizioni normative sopravvenute impongano all’INPS adeguamenti di risorse riferibili, anche indirettamente, ai rapporti con determinate categorie di soggetti abilitati all’assistenza fiscale, di cui al decreto legislativo 9 luglio 1997, n. 241, l’Istituto, valutata detta riferibilità, adegua immediatamente e unilateralmente gli importi dei compensi di cui all’articolo 13 agli effetti di tali disposizioni.

4. La presente Convenzione, tuttavia, si risolve di diritto a seguito di modifiche del quadro normativo di riferimento che la rendono contrastante con il perseguimento del pubblico interesse. Nei casi di cui al presente comma, ciascuna Parte prende immediatamente atto della risoluzione, con comunicazione scritta indirizzata all’altra.
5. L’INPS si riserva di modificare unilateralmente le clausole della Convenzione per esigenze di interesse pubblico, ivi inclusa la realizzazione di significativi risparmi di spesa, previa comunicazione alle controparti e fatta salva la facoltà di recesso di ciascuna di queste ultime. Un adeguamento potrà essere richiesto dall’Istituto anche in caso di evoluzione tecnologica e/o modifiche organizzative o accordi con altre Amministrazioni che comportino una variazione dei contenuti della prestazione assicurata dai soggetti abilitati. In tali casi l’Istituto comunicherà prima dell’avvio della Campagna la variazione dei contenuti del servizio e/o l’adeguamento dell’importo originariamente previsto, fatta salva la facoltà di recesso da parte del soggetto abilitato.
6. Le comunicazioni previste dal presente articolo hanno la forma della lettera raccomandata con avviso di ricevimento o della PEC.
7. Il termine di conclusione di ciascuna Campagna RED Ordinarie 2022 e 2023 e Solleciti 2021 e 2022 e INV CIV Ordinarie 2022 e 2023 (mod. ACC.AS/PS) è fissato negli articoli 3 e 4 della presente Convenzione.
8. Ciascuna Parte può recedere dalla presente Convenzione, dandone comunicazione scritta all’altra con un preavviso di almeno 3 mesi.

Art. 24

Foro competente

1. Le controversie relative a quanto regolato dalla presente Convenzione o ad essa comunque connesse sono attribuite, in via esclusiva, alla competenza del Foro di Roma.

Art. 25

Rinvio alla normativa vigente

1. Per tutto quanto non previsto dalla presente Convenzione, si applica ad essa la normativa vigente.

Per l’INPS

_______________________

Il soggetto abilitato

_______________________

Ai sensi e per gli effetti degli artt. 1341 e 1342 del codice civile, il soggetto abilitato dichiara di avere preso visione e di accettare espressamente le disposizioni contenute nei seguenti articoli della Convenzione: Art.3 Attività di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED), Art. 4 Attività di raccolta e trasmissione delle dichiarazioni di responsabilità ai fine dell’erogazione delle prestazioni assistenziali (Modello ACC.AS/PS), Art. 5 Contenuto del servizio, Art. 7 Attività di acquisizione delle dichiarazioni, Art. 8 Attività di trasmissione delle dichiarazioni, Art. 9 Attività di conservazione dei moduli di dichiarazione e della documentazione inerente, Art. 10 Duplicato del modulo di dichiarazione, Art. 11 Svolgimento del servizio in regime di avvalimento, Art. 13 Compensi, Art. 14 Liquidazione e pagamento dei compensi Art. 15 Verifiche e penali, Art, 16 Procedimento di verifica e di applicazione delle penali, Art. 18 Recesso, rifiuto di stipula da parte dell’INPS, sospensione e risoluzione della Convenzione Art. 19 Polizza assicurativa, Art. 21 Spese ed oneri, Art. 23 Durata, adeguamento e risoluzione. Termine di ciascuna Campagna, Art. 24 Foro competente.

Allegato 1

ATTO GIURIDICO DI NOMINA QUALE RESPONSABILE DEL TRATTAMENTO DEI DATI PERSONALI AI SENSI DELL’ART. 28 DEL REGOLAMENTO UE 2016/679 DISCIPLINA DEI TRATTAMENTI: COMPITI E ISTRUZIONI PER IL TRATTAMENTO

Atto di Nomina quale Responsabile del Trattamento

L’Istituto Nazionale Previdenza Sociale con sede in ________, C.F. n______________- rappresentato nella persona di____________________ nella sua qualità di______________dell’Ente (di seguito, per brevità, solo “l’INPS”)

VISTO

– il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati) (di seguito “Regolamento UE”);

– il “Codice in materia di protezione dei dati personali”, decreto legislativo 30 giugno 2003, n. 196, come integrato e modificato dal decreto legislativo 10 agosto 2018, n. 101 e dalla Legge 3 dicembre 2021, n. 205, di conversione, con modificazioni, del decreto-legge n. 139/2021 (di seguito “Codice”);

CONSIDERATO

– che l’art. 4, paragrafo 1, numero 8, del Regolamento UE definisce il «Responsabile del trattamento» come la persona fisica o giuridica, l’autorità pubblica, il servizio o altro organismo che tratta dati personali per conto del Titolare del trattamento;

– il considerando numero 81 del Regolamento UE che prevede che “Per garantire che siano rispettate le prescrizioni del presente regolamento riguardo al trattamento che il responsabile del trattamento deve eseguire per conto del titolare del trattamento, quando affida delle attività di trattamento a un responsabile del trattamento il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti del presente regolamento, anche per la sicurezza del trattamento

L’esecuzione dei trattamenti da parte di un responsabile del trattamento dovrebbe essere disciplinata da un contratto o da altro atto giuridico a norma del diritto dell’Un ione o degli Stati membri che vincoli il responsabile dei trattamento al titolare del trattamento, in cui siano stipulati la materia disciplinata e la durata del trattamento, la natura e le finalità del trattamento, il tipo di dati personali e le categorie di interessati, tenendo conto dei compiti e responsabilità specifici del responsabile del trattamento nel contesto del trattamento da eseguire e del rischio in relazione ai diritti e alle libertà dell’interessato Dopo il completamento del trattamento per conto del titolare del trattamento>> il responsabile del trattamento dovrebbe, a scelta del titolare del trattamento, restituire o cancellare i dati personali salvo che il diritto dell’Unione o degli Stati membri cui è soggetto il responsabile del trattamento prescriva la conservazione dei dati personali”.

– che l’art. 28, paragrafo 1, del Regolamento UE stabilisce che “Qualora un trattamento debba essere effettuato per conto del titolare del trattamento, quest’ultimo ricorre unicamente a responsabili del trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato”; che l’art. 28, paragrafo 3, del Regolamento UE stabilisce che “I trattamenti da parte di un responsabile del trattamento sono disciplinati da un contratto o da altro atto giuridico a norma del diritto dell’Unione o degli Stati membri, che vincoli il responsabile del trattamento al titolare del trattamento e che stipuli la materia disciplinata e la durata del trattamento, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di interessati, gli obblighi e i diritti del titolare del trattamento”;

– che l’art. 28, paragrafo 3, lett. b) del Regolamento UE stabilisce che, nell’ambito del contratto o da altro atto giuridico a norma del punto precedente, sia previsto, in particolare, che il Responsabile “garantisca che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza”; che l’art. 9 del Regolamento UE definisce “categorie particolari di dati personali” i dati che rivelino l’origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, o l’appartenenza sindacale, nonché i dati genetici, dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all’orientamento sessuale della persona;

PREMESSO

– che l’INPS, ai sensi dell’art. 24 del Regolamento UE, è Titolare del trattamento dei dati personali di cui all’oggetto della Convenzione tra l’INPS e il SOGGETTO ABILITATO per le Campagne RED Ordinarie 2022 (anno reddito 2021) e 2023 (anno reddito 2022) e Solleciti 2021 (anno reddito 2020) e Solleciti 2022 (anno reddito 2021), INV CIV Ordinarie 2022 e 2023;

– che per l’espletamento dei servizi oggetto della Convenzione, il Titolare intende nominare il SOGGETTO ABILITATO, Responsabile per ii trattamento dei dati personali;

– che il SOGGETTO ABILITATO rientra tra i soggetti che per esperienza, capacità ed affidabilità forniscono garanzie sufficienti del pieno rispetto delle vigenti disposizioni in materia di trattamento dei dati personali, ivi compreso il profilo relativo alla sicurezza, per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del Regolamento UE e garantisca la tutela dei diritti dell’interessato;

– che il SOGGETTO ABILITATO , in qualità di responsabile designato, tratterà i dati personali, anche appartenenti alle “categorie particolari di dati personali” ai sensi dell’art. 9 del Regolamento UE, oggetto della Convenzione attenendosi ai compiti e alle istruzioni impartite dal Titolare;

– tutto ciò premesso, l’INPS, in qualità di Titolare del trattamento dei dati personali di cui alla Convenzione (di seguito, per brevità, solo il “Titolare”),

DESIGNA

ai sensi e per gli effetti deirart. 28 del Regolamento UE, il SOGGETTO ABILITATO___________________ ,

con sede legale in ___________, C.A.P ________________, C.F. n ________________, P.IVA ______________, quale “Responsabile del trattamento” (di seguito, per brevità, solo il “Responsabile”) per l’espletamento dei servizi previsti dalla Convenzione.

Il SOGGETTO ABILITATO in persona di __________________, nella sua qualità di ________________________, con la sottoscrizione del presente Atto dichiara espressamente di accettare la designazione e dichiara di conoscere gli obblighi che, per effetto di tale accettazione, assume in relazione a quanto prescritto dal Regolamento UE, dalla Convenzione e dalle prescrizioni del Garante per la protezione dei dati personali (di seguito, per brevità, solo il “Garante”).

Disciplina dei trattamenti: compiti e istruzioni per il Responsabile del trattamento

ART. 1

Compiti del Responsabile del trattamento

1.1. Il Titolare affida al Responsabile le operazioni di trattamento dei dati personali – anche appartenenti alle “categorie particolari di dati personali” ai sensi dell’art. 9 del Regolamento UE – di cui agli articoli 2, 3, 4 e 5 della Convenzione esclusivamente per le finalità indicate nella stessa.

1.2. Il Responsabile conferma la sua diretta ed approfondita conoscenza degli obblighi che assume in relazione alle disposizioni contenute nel Regolamento UE ed assicura che la propria struttura organizzativa è idonea ad effettuare il trattamento dei dati di cui alla Convenzione nel pieno rispetto delle prescrizioni legislative, ivi compreso il profilo della sicurezza e si impegna a realizzare, ove mancante, tutto quanto ritenuto utile e necessario per il rispetto e l’adempimento di tutti gli obblighi previsti dal Regolamento UE, nei limiti dei compiti che gli sono affidati.

1.3. Il Responsabile si vincola a comunicare al Titolare qualsiasi mutamento delle garanzie offerte o gli elementi di valutazione in ordine all’incertezza del mantenimento delle stesse, con riferimento all’adozione delle misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del Regolamento UE e garantisca la tutela dei diritti dell’interessato, considerato che la sussistenza di tali garanzie è presupposto per la presente nomina a Responsabile e per il suo mantenimento.

1.4. Il Titolare comunicherà al Responsabile qualsiasi variazione si dovesse rendere necessaria nelle operazioni di trattamento dei dati. Il Responsabile e i soggetti autorizzati al trattamento sotto la sua diretta autorità non potranno effettuare nessuna operazione di trattamento dei dati, compresi anche quelli appartenenti alle “categorie particolari di dati personali” ai sensi dell’art. 9 del Regolamento UE, al di fuori delle regole previste in Convenzione e osserveranno, in ogni fase del trattamento, il rispetto dei principi di liceità, correttezza e trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, sanciti dall’art. 5 del Regolamento UE.

ART. 2.

Modalità di espletamento dei compiti

2.1 II Responsabile si impegna a trattare i dati personali solo per le finalità e i tempi strettamente necessari all’erogazione dei servizi forniti per conto del Titolare, come previsti nella Convenzione, nel pieno rispetto sia della normativa vigente – con particolare riguardo alle norme del Regolamento UE, del d.lgs. 10 agosto 2018, n. 101 e del Codice – sia delle istruzioni fornite dal Titolare, a cominciare da quelle indicate nel presente Atto, nonché le ulteriori eventualmente contenute in successive comunicazioni che, a tale fine, gli saranno formalizzate dal Titolare.

2.2 II Responsabile avrà particolare riguardo ad attenersi alle modalità indicate dal Titolare per effettuare le operazioni affidate, al rispetto delle prescrizioni contenute nell’Allegato 2 alla Convenzione, alla tutela della sicurezza dei dati oggetto del trattamento, agli adempimenti e alle responsabilità nei confronti degli interessati, dei terzi e del Garante.

2.3 Laddove il Responsabile rilevi la sua impossibilità a rispettare le istruzioni impartite dal Titolare, anche per caso fortuito o forza maggiore, deve tempestivamente informare il Titolare per concordare eventuali ulteriori misure di protezione. In tali casi, comunque, il Responsabile adotterà tempestivamente ogni possibile e ragionevole misura di salvaguardia.

2.4 II Responsabile del trattamento rende disponibile all’interessato l’informativa ex art. 13 del Regolamento UE, secondo il testo fornito dall’INPS, in relazione al trattamento da parte dell’Istituto dei dati conferiti nell’ambito del procedimento per erogazione delle prestazioni previdenziali e/o assistenziali – Campagne RED e INV CIV.

2.5 II Responsabile si impegna ad adottare le misure di sicurezza per la protezione dei dati idonee a garantirne la riservatezza, l’integrità, la disponibilità e la custodia in ogni fase del trattamento così da ridurre al minimo i rischi di perdita e distruzione, anche accidentale, dei dati stessi, di accesso non autorizzato, di trattamento non consentito o non conforme alle finalità dei servizi oggetto della Convenzione. In tale ambito il Responsabile adotta un sistema di sicurezza, anche per l’identificazione ed autenticazione dei soggetti autorizzati alle operazioni sui dati, mettendo in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio presentato dal trattamento in linea con le disposizioni di cui all’art. 32 del Regolamento UE.

2.6 II Responsabile de! trattamento non è autorizzato a ricorrere ad altro Responsabile per il trattamento ai sensi dell’art. 28, paragrafo 2, del Regolamento UE.

ART. 3

Persone autorizzate al trattamento

3.1. Il Responsabile assicura che il trattamento affidato sarà svolto esclusivamente da persone preventivamente autorizzate. Il Responsabile si impegna ad individuare e nominare le persone fisiche autorizzate al trattamento dei dati quali “Persone autorizzate” – a norma degli art. 29 e 4, n. 10, del Regolamento UE e dell’ art. 2-quaterdecies del Codice – scegliendo tra i propri dipendenti e collaboratori, che operano sotto la sua diretta autorità, quelli reputati idonei ad eseguire le operazioni di trattamento, nel pieno rispetto delle prescrizioni legislative, impartendo loro, per iscritto, le idonee indicazioni per lo svolgimento delle relative mansioni, con l’assegnazione di apposite credenziali e uno specifico profilo di abilitazione e attraverso la definizione di regole e modelli di comportamento.

3.2 II Responsabile indica precise e dettagliate istruzioni alle persone autorizzate e, in tale ambito, provvede a richiamare l’attenzione sulle responsabilità connesse all’uso illegittimo dei dati e sul corretto utilizzo delle funzionalità dei collegamenti; inoltre, il Responsabile impegna le “Persone autorizzate” al trattamento alla riservatezza anche attraverso l’imposizione di un adeguato obbligo legale di riservatezza.

3.3 II Responsabile detiene un elenco nominativo aggiornato delle “Persone autorizzate”, recante altresì l’indicazione dei trattamenti affidati e dei relativi profili di autorizzazione di accesso ai dati.

3.4 II Responsabile deve provvedere, nell’ambito dei percorsi formativi predisposti per i soggetti autorizzati al trattamento dei dati, alla specifica formazione sulle modalità di gestione sicura e sui comportamenti prudenziali nella gestione dei dati personali, specie con riguardo all’obbligo legale di riservatezza cui gli stessi sono soggetti.

3.5 II Responsabile, in osservanza dell’art. 32, paragrafo 4, del Regolamento UE, assicura che chiunque agisca sotto la sua autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal Titolare del trattamento, salvo che lo richieda il diritto dell’Unione o degli Stati membri.

ART. 4

Controlli e tracciamento degli accessi

4.1 II Titolare del trattamento eseguirà controlli, anche a campione, finalizzati ad una verifica della puntuale applicazione delle istruzioni impartite al Responsabile nonché della conformità delle operazioni di trattamento alla normativa di riferimento in materia. Qualora tali controlli implichino l’accesso ai locali del Responsabile, quest’ultimo si impegna a consentire l’accesso ai rappresentanti del Titolare, salvo preavviso di almeno cinque giorni lavorativi. Detti controlli si svolgeranno con modalità tali da non interferire con la regolare attività del Responsabile.

4.2 II Responsabile tiene traccia dell’accesso ai dati e delle operazioni svolte dalle “Persone autorizzate” e fornisce le evidenze al Titolare nel caso in cui quest’ultimo ne faccia richiesta.

4.3 II Responsabile si impegna ad informare per iscritto i! Titolare, qualora lo richieda, circa lo stato di applicazione delle procedure ed istruzioni impartite e, in ogni caso di necessità, a segnalargli l’opportunità di intervento, consentendo e contribuendo alle attività di revisione dallo stesso realizzate.

ART. 5

Registro dei trattamenti e nomina RPD

5.1 II Responsabile tiene il registro di tutte le categorie di attività relative al trattamento svolto per conto del Titolare contenente gli elementi di cui all’art. 30, paragrafo 2, del Regolamento UE.

5.2 II Responsabile, se ricorrono i presupposti, procede alla designazione del Responsabile della protezione dei dati ai sensi dell’art. 37 del Regolamento UE, comunicandone gli estremi e i dati di contatto al Titolare.

ART. 6

Comunicazione e diffusione dei dati

6.1 II Responsabile, al di fuori dei casi previsti da specifiche norme di legge, non può comunicare e/o diffondere dati senza l’esplicita autorizzazione del Titolare.

ART. 7

Obblighi di collaborazione con il Titolare

7.1 II Responsabile si impegna a comunicare tempestivamente al Titolare qualsiasi richiesta di esercizio dei diritti dell’interessato ricevuta ai sensi degli artt. 15 e seguenti del Regolamento UE, per consentirne l’evasione nei termini previsti dalla legge, e ad avvisarlo immediatamente in caso di ispezioni, di richiesta di informazioni e di documentazione da parte del Garante, fornendo, per quanto di competenza, il supporto eventualmente richiesto.

7.2 II Responsabile, a norma dell’art. 33, paragrafo 2, del Regolamento, deve informare senza ritardo il Titolare, fornendo ogni informazione utile, in caso di violazione dei dati o incidenti informatici eventualmente occorsi nell’ambito dei trattamenti effettuati per conto dell’Istituto, che possano avere un impatto significativo sui dati personali, in modo che l’Istituto medesimo adempia, nei termini prescritti, alla dovuta segnalazione di c.d. “data breach” al Garante per la protezione dei dati personali in osservanza di quanto disposto dall’art. 33 del Regolamento UE.

7.3 II Responsabile, tenendo conto della natura del trattamento e delle informazioni di cui dispone, deve assistere il Titolare nel garantire il rispetto di tutti gli obblighi di cui agli artt. da 32 a 36 del Regolamento UE. In particolare, conformemente all’art. 28, paragrafo 3, lett. f) del Regolamento UE, deve assistere il Titolare nell’esecuzione della valutazione d’impatto sulla protezione dei dati e fornire tutte le informazioni necessarie.

ART. 8

Ulteriori disposizioni

8.1 II Responsabile adotta tutte le necessarie misure e gli accorgimenti circa le funzioni di “amministratori di sistema” in conformità al Provvedimento Generale del Garante del 27 novembre 2008, così come modificato in base al provvedimento del 25 giugno 2009; in particolare, designa individualmente per iscritto gli “amministratori di sistema” (e funzioni assimilate), con elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato, attribuendo tali funzioni previa valutazione dell’esperienza, della capacità e dell’affidabilità del soggetto designato. Il Responsabile conserva l’elenco degli amministratori di sistema, con gli estremi identificativi e le funzioni loro attribuite e, qualora richiesto, comunica tale elenco al Titolare.

ART. 9

Disposizioni finali

9.1 Con la sottoscrizione del presente Atto, il Responsabile accetta la nomina attenendosi alle istruzioni ivi indicate e alle disposizioni di legge ed eventuali successive modifiche ed integrazioni e ad ogni altra normativa vigente in materia di protezione di dati personali.

9.2 Fatta eccezione per quanto diversamente previsto, il presente Atto di Nomina cesserà, comunque, di produrre i suoi effetti al termine dell’erogazione del servizio oggetto della Convenzione.

9.3. Per tutto quanto non espressamente previsto nel presente atto e nella Convenzione, si rinvia alle disposizioni generali vigenti in materia di protezione dei dati personali.

Allegato 2

DISPOSIZIONI IN MERITO AL PRELIEVO DELLE STRINGHE RED ED INV CIV NONCHÉ AL SERVIZIO DI RACCOLTA E TRASMISSIONE DELLE DICHIARAZIONI DELLE SITUAZIONI REDDITUALI (MODELLI RED) E DELLE DICHIARAZIONI DI RESPONSABILITÀ (MODELLI ACC.AS/PS) DA PARTE DEI SOGGETTI ABILITATI ALL’ASSISTENZA FISCALE, DI CUI AL DECRETO LEGISLATIVO 9 LUGLIO 1997, N. 241, E SUCCESSIVE MODIFICHE

1. Requisiti per il prelievo delle stringhe RED ed INV CIV e per il servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (modelli RED) e delle dichiarazioni di responsabilità (modello ACC.AS/PS)

Regole generali

1.1. Il prelievo delle stringhe RED ed INV CIV nonché il servizio di raccolta e trasmissione delle dichiarazioni delle situazioni reddituali (Modelli RED) e della dichiarazione di responsabilità (Modello ACC.AS/PS) da parte dei soggetti abilitati – al di fuori della particolare ipotesi di trattamento autorizzata per i CAF ai sensi dell’ art. 11 della Convenzione – avvengono esclusivamente ad opera delle “Persone autorizzate” al trattamento nel rispetto di quanto in merito è previsto all’art. 12 della Convenzione e nell”‘,4fto giurìdico di nomina quale Responsabile del Trattamento dei dati personali ai sensi dell’art. 28 del Regolamento UE 2016/679 – Disciplina dei trattamenti: compiti e istruzioni per il trattamento”, di seguito, per brevità, “Atto di nomina” (all. 1 della Convenzione).

1.2 II soggetto abilitato, preliminarmente allo svolgimento delle attività oggetto della Convenzione – nei termini indicati all’art. 5 della Convenzione – procede all’identificazione del dichiarante, acquisisce la sua delega specifica unitamente a copia del suo documento di riconoscimento e numera e annota giornalmente le deleghe acquisite nell’apposito registro cronologico.

Requisiti per il prelievo delle stringhe

1.3 II soggetto abilitato accede alle stringhe RED e alle stringhe INV CIV dell’interessato previo inserimento in procedura dell’indicazione di:

– elementi fissi: codice fiscale del soggetto per il quale si intende visualizzare la stringa, esistenza della delega specifica e data della stessa, numero progressivo della delega, determinato sulla base dell’apposito registro di protocollo interno di cui all’art. 5 della Convenzione, posizione previdenziale (numero pensione da intendersi formato da: Sede-Categoria-Certificato) o in alternativa matricola ordinaria dell’anno precedente.

– uno dei seguenti elementi a scelta:

– tipologia ed estremi del documento di identità del soggetto per il quale si intende visualizzare la stringa;

– inserimento di un file contenente la scansione della delega al soggetto abilitato e del documento di identità del soggetto per il quale si intende visualizzare la stringa (opzione prevista soltanto per la modalità di accesso alle procedure on line).

2. Modalità di accesso alle procedure

2.1. Accesso on line

L’accesso alle procedure on line avviene tramite apposita funzione disponibile sul sito www.inps.it nella sezione “Servizi in convenzione – Campagne RED e Invalidità civile”.

L’accesso ai servizi è consentito mediante le seguenti modalità:

per i professionisti: credenziali SPID almeno di secondo livello, Carta Nazionale dei Servizi (CNS) o Carta di Identità Elettronica (CIE); il professionista deve inoltre essere in possesso di un certificato Entratel in corso di validità intestato al proprio codice fiscale o alla P. IVA dello studio;

per gli operatori CAF: credenziali SPID almeno di Livello 2, Carta Nazionale dei Servizi (CNS) o Carta di Identità Elettronica (CIE); il CAF deve inoltre essere titolare di un certificato Entratel in corso di validità.

Per il prelievo delle stringhe con le modalità on line valgono le regole definite al punto 2.1.

Per la trasmissione delle singole dichiarazioni on line vanno inseriti gli estremi del documento di identità e, a scelta, il file contenente la scansione della delega e del documento di riconoscimento del soggetto che rende la dichiarazione.

E’ ammessa la possibilità di trasmettere pacchetti di dichiarazioni contenenti fino ad un numero massimo di 800 dichiarazioni. In tale ipotesi non è consentito inviare alcuna scansione.

2.2 Prelievo in cooperazione applicativa

L’INPS ha sviluppato l’utilizzo del sistema in “cooperazione applicativa” al fine di semplificare le modalità di prelievo delle stringhe RED ed INV CIV. Tale sistema è messo a disposizione dei soli CAF.

La cooperazione applicativa prevede l’accesso ai servizi esposti mediante mutua autenticazione con Certificati Digitali rilasciati da AGID o dalla Certification Authority di INPS. L’accesso deve avvenire da un unico indirizzo IP identificante la porta di dominio del CAF, che viene inserito in una White List. Il messaggio deve arrivare con un “nome mittente” che deve essere associato al Certificato Digitale. Sono rispettate tutte le misure di sicurezza previste dalla normativa vigente ed emesse da AGID, relative anche alla tracciabilità dei messaggi da parte dell’Istituto.

La richiesta delle stringhe sarà subordinata alla trasmissione telematica dei dati univoci di cui al punto 1.3.

I CAF si impegnano, su richiesta dell’Istituto, a trasmettere per via telematica le copie delle deleghe e dei documenti di riconoscimento rilasciati dagli interessati, come previsto in convenzione, rendendo disponibile un apposito servizio di cooperazione applicativa per la richiesta e il download delle deleghe da parte dell’Istituto ovvero l’invio, dietro chiamata di servizio prenotazione INPS, da parte del CAF.

3. Misure di sicurezza

3.1 Le Parti si impegnano a trattare i dati personali osservando le misure di sicurezza e i vincoli di riservatezza previsti dalla normativa europea e nazionale sulla protezione dei dati, in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione; a tal fine procedono all’adozione di misure tecniche e organizzative adeguate per scongiurare trattamenti non autorizzati o illeciti e la perdita, la distruzione o il danno accidentali nonché, ai sensi dell’art. 32 del Regolamento UE 2016/679 (di seguito, per brevità solo “Regolamento UE”), per garantire un livello di sicurezza parametrato al rischio individuato.

3.2. Il soggetto abilitato, secondo i canoni di pertinenza e non eccedenza nel trattamento, utilizza le informazioni acquisite esclusivamente per le finalità, previste dalla presente convenzione nel rispetto della normativa vigente, anche in materia di consultazione delle banche dati, osservando le misure di sicurezza e i vincoli di riservatezza a tal fine previsti dalla Convenzione e in linea con il Regolamento UE.

In tal senso, ciascun soggetto abilitato assicura che la propria struttura organizzativa sia idonea ad effettuare il trattamento dei dati in questione nel pieno rispetto delle prescrizioni legislative, ivi compreso il profilo della sicurezza e si impegna a realizzare, ove mancante, tutto quanto ritenuto utile e necessario per il rispetto e l’adempimento di tutti gli obblighi previsti dalla Convenzione e dal citato Regolamento UE.

3.3 II soggetto abilitato attua al proprio interno le regole di sicurezza di seguito riportate:

1. adotta procedure di registrazione degli utenti che prevedono il riconoscimento diretto e l’identificazione certa;
2. adotta le seguenti regole di gestione delle credenziali di autenticazione:

– identifichino in modo univoco una persona fisica;

– siano emesse e consegnate agli utenti in maniera sicura seguendo una stabilita procedura operativa; siano costituite da un certificato digitale, o un token One-Time Password (OTP), o una coppia username/password, o credenziali che garantiscano analoghe condizioni di robustezza;

1. nel caso le credenziali siano costituite da una coppia username/password, sono previste politiche di gestione della password che definiscano almeno i seguenti criteri:

– scadenza della password (non oltre 90 giorni);

– blocco delle credenziali a fronte di reiterati tentativi falliti di autenticazione;

– verifica della robustezza della password (minima lunghezza 8 caratteri; regole di complessità nella composizione della password; non riutilizzo delle ultime 3 password);

1. la procedura di autenticazione dell’utente è protetta dal rischio di intercettazione delle credenziali da meccanismi crittografici di robustezza almeno equivalente a quella offerta dal protocollo SSL 128 bit (con chiavi RSA a 2048 bit);
2. quando l’utente si allontana dal terminale, la sessione deve essere bloccata, anche attraverso eventuali meccanismi di time-out;
3. gli accessi alle banche dati avvengano soltanto tramite l’uso di postazioni di lavoro connesse alla rete IP dell’ente autorizzato;
4. i sistemi software, i programmi utilizzati e la protezione antivirus devono essere costantemente aggiornati sulle postazioni di lavoro.

3.4 II legale rappresentante del CAF individuerà uno o più soggetti, sulla base di requisiti di idoneità soggettiva di tipo tecnico e fiduciario, che svolgeranno le funzioni di “amministratori delle utenze” al quale sono resi disponibili appositi servizi per la gestione delle autorizzazioni di accesso degli operatori del CAF. Gli “amministratori delle utenze” sono inoltre preposti al monitoraggio dell’utilizzo dei servizi da parte dei propri operatori in base agli strumenti che l’Istituto metterà a disposizione. Allo scopo di garantire un adeguato livello di riservatezza delle comunicazioni nei processi di gestione delle credenziali di accesso, gli amministratori, nonché gli operatori, devono disporre di un indirizzo e-mail aziendale.

3.5 II soggetto abilitato comunica all’Istituto ogni modifica tecnica e/o organizzativa del proprio ambito tecnologico che comporti l’impossibilità di garantire l’applicazione delle regole sopra riportate e/o la loro perdita di efficacia.

3.6 II soggetto abilitato, in osservanza dell’art. 7, punto 7.2, dell’ Atto di nomina, comunica tempestivamente all’Istituto ogni informazione utile in ordine a qualsiasi violazione dei dati o incidenti informatici, eventualmente occorsi nell’ambito dei trattamenti effettuati, che possano avere un impatto significativo sui dati personali, in modo che si adempia, nei termini prescritti, alla dovuta segnalazione di c.d. “data breach” al Garante per la protezione dei dati personali, in osservanza di quanto disposto dall’articolo 33 del Regolamento UE.

4. Tracciamento degli accessi e controllo

4.1 II soggetto abilitato comunica alle “Persone autorizzate” che l’Istituto e il soggetto abilitato procedono al tracciamento degli accessi ai dati tramite registrazioni che consentano di verificare a posteriori le operazioni eseguite da ciascun utente. Le persone autorizzate, fatte salve le ipotesi di avvalimento, devono essere legate al CAF da un rapporto giuridico, a titolo di lavoro subordinato o a titolo di collaborazione coordinata e continuativa.

4.2 II soggetto abilitato si impegna a non utilizzare programmi automatici (robot) che permettono la consultazione massiva di dati e la replica delle informazioni rese disponibili in autonome banche dati. Il rispetto di detta regola di accesso sarà oggetto di appositi controlli da parte dell’INPS. Eventuali accessi illegittimi e non conformi alla normativa in materia di trattamento di dati personali saranno oggetto di segnalazione al Garante per la protezione dei dati personali.

4.3 Ai fini della verifica del rispetto delle regole dettate per le operazioni oggetto delle presenti disposizioni, l’INPS effettua controlli a campione su tutti gli accessi nonché controlli automatizzati per l’individuazione di eventuali anomalie nelle attività poste in essere da parte degli operatori autorizzati. In caso di anomalie o sospette irregolarità nei predetti accessi, l’Istituto richiederà al soggetto abilitato chiarimenti in ordine al comportamento posto in essere, nonché la documentazione attestante la regolarità degli accessi effettuati. Il mancato invio di quanto richiesto, ovvero l’inoltro di elementi di chiarimento non esaustivi, comporterà l’immediata disabilitazione dell’utenza. Nel caso in cui l’irregolarità degli accessi sia di manifesta grave rilevanza, contestualmente all’invio della richiesta di documentazione giustificativa, si procederà anche alla sospensione in via preventiva dell’utenza interessata non escludendo l’ipotesi di risoluzione della convenzione. Nel caso in cui si riscontrino elementi tali da integrare una eventuale ipotesi di reato, l’INPS procederà con la segnalazione all’Autorità competente e al Garante per la protezione dei dati personali, ferma restando ogni eventuale azione civile a tutela dell’Istituto.

4.4 L’INPS, per i casi in cui non vi sia stato l’inserimento in procedura del file contenente la scansione della delega all’intermediario e del documento di identità del soggetto, richiede, tramite PEC, a campione oppure su segnalazione delle Autorità competenti, copia delle deleghe e dei documenti di identità degli interessati in possesso dei soggetti abilitati ai sensi del punto 1.3. In tal caso i soggetti abilitati trasmettono i suddetti documenti, tramite PEC, entro 48 ore dalla richiesta, salvo casi particolari, nelle ipotesi in cui la richiesta dell’INPS pervenga al CAF dopo le ore 16, le 48 ore entro le quali deve essere fornito riscontro, ai sensi dell’articolo 17 della convenzione, decorrono dalle ore 8 del giorno successivo; qualora fossero rilevate irregolarità nella gestione delle deleghe si procederà alla sospensione delle utenze, ferme restando le segnalazioni al Garante per la protezione dei dati personali nei casi previsti e le responsabilità civili ed eventualmente anche penali connesse ai comportamenti riscontrati.

4.5 L’Istituto, nell’ottica di rafforzare le misure di sicurezza, anche su impulso dell’Autorità Garante in materia di protezione dei dati personali, si riserva in qualunque momento di ridefinire i vincoli di accesso dall’esterno alle proprie banche dati e si impegna a dare tempestiva comunicazione al soggetto abilitato delle eventuali modifiche alle procedure di accesso.