Accordo di nomina a Responsabile del trattamento

1. Definizioni e ruoli

«Titolare»: il Cliente, che determina finalità e mezzi del trattamento dei dati personali contenuti nei Contenuti dell'Utente.

«Responsabile»: Licciardi Mario, P.IVA 03099620340, PEC marlic1982@pec.it, che tratta tali dati per conto del Titolare.

«Dati»: i dati personali contenuti nei Contenuti dell'Utente, come definiti nei Termini.

I termini «dato personale», «trattamento», «interessato», «sub-responsabile» e «violazione dei dati personali» hanno il significato loro attribuito dall'art. 4 del GDPR.

Il presente Accordo non si applica ai dati per i quali il Responsabile agisce come Titolare autonomo (dati di account, fatturazione, log tecnici e di sicurezza): per quelli vale l'Informativa sulla Privacy.

2. Oggetto, durata, natura e finalità del trattamento

Oggetto: l'esecuzione delle operazioni di trattamento necessarie a erogare la Piattaforma di orchestrazione di agenti di intelligenza artificiale.

Natura delle operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, uso, comunicazione mediante trasmissione ai sub-responsabili, cancellazione.

Finalità: esclusivamente l'erogazione del servizio richiesto dal Titolare, ivi compresa la trasmissione dei contenuti ai fornitori di modelli linguistici per la generazione delle risposte e la produzione dei documenti richiesti.

Durata: per tutta la durata del contratto, e successivamente per il periodo strettamente necessario alle operazioni di cui all'art. 11.

3. Tipi di dati e categorie di interessati

I tipi di dati personali e le categorie di interessati sono determinati dal Titolare, che è l'unico a conoscerli, poiché dipendono da ciò che il Titolare sceglie di inserire nella Piattaforma. In via indicativa possono comprendere:

Tipi di dati: dati identificativi e di contatto, dati relativi al rapporto di lavoro o professionale, dati economici e contrattuali, contenuti di documenti e comunicazioni.

Categorie di interessati: clienti e potenziali clienti del Titolare, dipendenti e collaboratori, fornitori, controparti contrattuali, ogni altro soggetto i cui dati siano contenuti nei documenti caricati.

Il Titolare si impegna a non inserire nella Piattaforma categorie particolari di dati ai sensi dell'art. 9 del GDPR né dati relativi a condanne penali e reati ai sensi dell'art. 10, salvo che ne abbia preventivamente concordato per iscritto le condizioni con il Responsabile. Il Responsabile non è in grado di rilevarne la presenza e non predispone per essi misure aggiuntive.

4. Istruzioni documentate

Il Responsabile tratta i Dati soltanto su istruzione documentata del Titolare, ai sensi dell'art. 28(3)(a) del GDPR. Costituiscono istruzioni documentate i presenti Termini, il presente Accordo e le operazioni che il Titolare compie attraverso le funzionalità della Piattaforma.

Il Responsabile informa immediatamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

Qualora il Responsabile sia tenuto a un trattamento in forza del diritto dell'Unione o dello Stato membro cui è soggetto, ne informa il Titolare prima del trattamento, salvo che il diritto lo vieti per rilevanti motivi di interesse pubblico.

5. Riservatezza

Il Responsabile garantisce che le persone autorizzate al trattamento dei Dati si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, ai sensi dell'art. 28(3)(b) del GDPR.

L'accesso ai Dati è limitato al personale che ne ha necessità per l'erogazione o la manutenzione del servizio, ed è tracciato.

6. Misure di sicurezza

Il Responsabile adotta le misure tecniche e organizzative adeguate ai sensi dell'art. 32 del GDPR, descritte nell'Allegato B. Tali misure possono essere aggiornate nel tempo, purché il livello di sicurezza non sia diminuito.

7. Sub-responsabili

Il Titolare conferisce al Responsabile un'autorizzazione generale scritta a ricorrere ad altri responsabili, ai sensi dell'art. 28(2) del GDPR. I sub-responsabili in essere alla data del presente Accordo sono elencati nell'Allegato A.

Il Responsabile informa il Titolare di ogni modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con almeno 30 giorni di preavviso, mediante comunicazione all'indirizzo email dell'account e pubblicazione sulla presente pagina.

Entro tale termine il Titolare può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati. In caso di opposizione, le parti cooperano in buona fede per individuare una soluzione; se non è possibile, il Titolare può recedere dal contratto senza penali, con rimborso proporzionale del canone già versato e non goduto.

Il Responsabile impone a ciascun sub-responsabile, mediante contratto, i medesimi obblighi di protezione dei dati previsti dal presente Accordo e resta pienamente responsabile verso il Titolare dell'adempimento degli obblighi del sub-responsabile.

8. Diritti degli interessati

Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, per dare seguito alle richieste di esercizio dei diritti di cui al Capo III del GDPR.

La Piattaforma mette a disposizione del Titolare le funzioni di esportazione e di cancellazione dei contenuti, che consentono al Titolare di dare seguito autonomamente alla maggior parte delle richieste.

Qualora un interessato si rivolga direttamente al Responsabile, questi non dà seguito alla richiesta e la trasmette senza ingiustificato ritardo al Titolare.

9. Assistenza al Titolare

Il Responsabile assiste il Titolare nel garantire il rispetto degli obblighi di cui agli artt. da 32 a 36 del GDPR, tenendo conto della natura del trattamento e delle informazioni a sua disposizione: sicurezza del trattamento, notifica delle violazioni, valutazione d'impatto e consultazione preventiva.

10. Violazioni dei dati personali

Il Responsabile notifica al Titolare ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne ha avuto conoscenza, all'indirizzo email dell'account.

La notifica descrive la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni interessate, le probabili conseguenze e le misure adottate o proposte per porvi rimedio.

Il Responsabile non notifica la violazione all'autorità di controllo né agli interessati in nome del Titolare, salvo diverso accordo scritto: la notifica ai sensi degli artt. 33 e 34 del GDPR resta un obbligo del Titolare.

11. Cancellazione o restituzione dei dati

Al termine del contratto, a scelta del Titolare, il Responsabile cancella i Dati o li restituisce in formato strutturato, di uso comune e leggibile da dispositivo automatico, cancellando le copie esistenti.

In assenza di indicazione diversa del Titolare, i Dati sono cancellati entro 30 giorni dalla cessazione del contratto. I backup cifrati sono sovrascritti secondo il ciclo di rotazione, e comunque entro 90 giorni.

Resta ferma la conservazione richiesta dal diritto dell'Unione o dello Stato membro, limitatamente a quanto imposto e per il tempo imposto.

12. Informazioni e verifiche

Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 del GDPR.

Il Titolare può svolgere attività di revisione, comprese le ispezioni, con un preavviso di almeno 30 giorni, non più di una volta l'anno salvo che a seguito di una violazione dei dati personali o su richiesta di un'autorità di controllo, durante l'orario lavorativo e senza interferire con l'operatività del servizio.

Le verifiche non possono comportare l'accesso ai dati di altri clienti né alle componenti di sicurezza la cui divulgazione comprometterebbe la sicurezza della Piattaforma.

13. Trasferimenti verso paesi terzi

I Dati sono conservati su infrastruttura situata nell'Unione Europea. Il trattamento effettuato dai fornitori di modelli linguistici comporta tuttavia la trasmissione dei contenuti verso soggetti stabiliti negli Stati Uniti.

Tali trasferimenti avvengono sulla base della decisione di adeguatezza EU-U.S. Data Privacy Framework del 10 luglio 2023 per i fornitori certificati, ovvero sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea ai sensi dell'art. 46(2)(c) del GDPR, integrate ove necessario da misure supplementari.

L'Allegato A indica, per ciascun sub-responsabile, il paese di stabilimento e la base giuridica del trasferimento. Il Titolare che intenda escludere ogni trasferimento extra-UE può configurare il progetto per l'utilizzo dei soli modelli eseguiti sull'infrastruttura del Responsabile.

14. Durata, modifiche e legge applicabile

Il presente Accordo ha efficacia dalla data di accettazione dei Termini e resta in vigore per tutta la durata del contratto e finché il Responsabile tratti i Dati.

Le modifiche sono comunicate con almeno 30 giorni di preavviso; se comportano una diminuzione delle tutele, il Titolare può recedere senza penali entro tale termine.

Il presente Accordo è regolato dalla legge italiana. Per le controversie è competente il foro del luogo di residenza o domicilio del Titolare se consumatore, altrimenti il Foro di Bari.

Allegato A — Sub-responsabili

Elenco dei sub-responsabili in essere alla data di ultimo aggiornamento della presente pagina.

I modelli eseguiti localmente sull'infrastruttura del Responsabile non comportano alcun sub-responsabile né alcun trasferimento. L'infrastruttura di elaborazione e conservazione è gestita direttamente dal Responsabile su hardware proprio situato in Italia: non vi è un fornitore di hosting terzo per i Dati.

Allegato B — Misure tecniche e organizzative

Misure adottate ai sensi dell'art. 32 del GDPR alla data di ultimo aggiornamento.

• Isolamento dei dati fra clienti applicato al livello del database, con politiche di sicurezza a livello di riga verificate sul motore e non soltanto nel codice applicativo.
• Cifratura delle comunicazioni in transito tramite TLS.
• Cifratura a riposo delle credenziali dei fornitori e dei segreti configurati dal cliente.
• Conservazione delle password mediante funzione di hash con salatura; autenticazione a due fattori disponibile.
• Controllo degli accessi basato sui ruoli e limitazione degli accessi amministrativi.
• Registrazione delle operazioni rilevanti e conservazione dei log di sicurezza per 90 giorni.
• Backup periodici cifrati con procedure di ripristino verificate.
• Infrastruttura di elaborazione e conservazione situata in Italia, su hardware nella disponibilità diretta del Responsabile.
• Separazione degli ambienti di sviluppo, collaudo e produzione.
• Esclusione contrattuale dell'uso dei contenuti trasmessi per l'addestramento dei modelli da parte dei fornitori.

Contatti

Per ogni questione relativa al presente Accordo: info@daimoni.com, PEC marlic1982@pec.it.