Accordo sul trattamento dei dati

Parti

Titolare del trattamento ("Committente")

Responsabile del trattamento ("Alvoru")

Di seguito congiuntamente: "Parti".

Premesso che

• le Parti hanno stipulato un contratto principale in base al quale Alvoru, in qualità di Responsabile del trattamento, tratta dati personali per conto del Committente (di seguito: il "Contratto Principale");
• ai sensi dell'articolo 28, paragrafo 3, GDPR è richiesto un accordo scritto sul trattamento dei dati che stabilisca le modalità con cui il Responsabile del trattamento tratta i dati personali;
• il presente accordo sul trattamento dei dati (di seguito: "DPA") costituisce parte integrante del Contratto Principale.

Articolo 1 — Definizioni

I termini scritti con l'iniziale maiuscola nel presente DPA hanno il significato ad essi attribuito nel GDPR, integrato dalle definizioni contenute nelle Condizioni Generali di Alvoru.

Articolo 2 — Oggetto e durata

2.1 Il presente DPA disciplina il trattamento dei dati personali da parte di Alvoru per conto del Committente nell'ambito del Contratto Principale.

2.2 Il presente DPA entra in vigore alla data di inizio del Contratto Principale e cessa di diritto alla risoluzione del Contratto Principale, fatte salve le disposizioni che, per loro natura, sono destinate a rimanere in vigore.

Articolo 3 — Natura e finalità del trattamento

3.1 La natura e la finalità del trattamento consistono nell'erogazione del Servizio descritto nel Contratto Principale (assistenza clienti AI, tra cui chatbot, e-mail e agenda).

3.2 Alvoru tratta i dati personali esclusivamente su istruzione documentata del Committente, salvo diversi obblighi di legge (art. 28, paragrafo 3, lettera a, GDPR). In quest'ultimo caso Alvoru informa il Committente prima del trattamento, a meno che tale legge non lo vieti per rilevanti motivi.

Articolo 4 — Tipologia di dati personali e categorie di interessati

Le categorie particolari di dati personali (art. 9 GDPR) e i dati di natura penale (art. 10 GDPR) non vengono trattati, salvo diverso accordo scritto aggiuntivo.

Articolo 5 — Obblighi del Responsabile del trattamento

5.1 Alvoru tratta i dati personali esclusivamente per le finalità stabilite nel Contratto Principale e nel presente DPA e su istruzione scritta del Committente.

5.2 Alvoru garantisce che le persone che trattano i dati personali siano soggette a un obbligo di riservatezza, in forza di legge o di un contratto.

5.3 Alvoru presta al Committente, tenuto conto della natura del trattamento, ragionevole assistenza nell'evasione delle richieste degli interessati per l'esercizio dei loro diritti ai sensi del GDPR.

5.4 Alvoru mette a disposizione del Committente tutte le informazioni necessarie a dimostrare il rispetto dell'articolo 28 GDPR.

5.5 Divieto di addestramento dell'AI. Alvoru non utilizzerà mai i dati personali che tratta per conto del Titolare del trattamento per l'addestramento, il fine-tuning o il miglioramento in altro modo di modelli AI, né per lo sviluppo di applicazioni AI proprie o di terzi.

Articolo 6 — Misure di sicurezza (articolo 32 GDPR)

Alvoru adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato al rischio, tra cui:

• Crittografia durante il trasporto (TLS 1.2+) e, ove applicabile, crittografia a riposo;
• Controllo degli accessi basato sul principio del least privilege; autenticazione a due fattori per gli amministratori;
• Firewall, fail2ban e monitoraggio delle intrusioni;
• Backup giornalieri cifrati con un periodo di conservazione massimo di 90 giorni;
• Permessi restrittivi sui file (600) per i file di configurazione e di dati;
• Logging e monitoraggio degli accessi ai sistemi di produzione;
• Valutazione e aggiornamento periodici delle misure di sicurezza.

Articolo 7 — Sub-responsabili del trattamento

7.1 Il Committente concede ad Alvoru un'autorizzazione scritta generale a incaricare sub-responsabili del trattamento, a condizione che Alvoru rispetti le restanti disposizioni del presente articolo.

7.2 I sub-responsabili del trattamento attualmente incaricati sono:

7.3 Alvoru impone ai sub-responsabili gli stessi obblighi di protezione dei dati previsti nel presente DPA (articolo 28, paragrafo 4, GDPR).

7.4 Alvoru informa il Cliente con almeno 14 giorni di anticipo in merito alla sostituzione o all'aggiunta di sub-responsabili. Entro tale termine il Cliente può presentare un'opposizione motivata. In caso di opposizione fondata, il Cliente ha il diritto di risolvere gratuitamente il Contratto Principale.

Articolo 8 — Trasferimento al di fuori dello SEE

Il trasferimento di dati personali verso un paese al di fuori dello Spazio Economico Europeo avviene esclusivamente sulla base di una decisione di adeguatezza (art. 45 GDPR), di norme vincolanti d'impresa, delle Clausole Contrattuali Standard dell'UE (art. 46, paragrafo 2, lettera c, GDPR) o di un'altra garanzia prevista dal GDPR, integrata da ulteriori misure tecniche e organizzative ove necessario.

Articolo 9 — Diritti degli interessati

9.1 Alvoru offre al Cliente un supporto adeguato nella gestione delle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) tramite funzionalità tecniche nel portale clienti e, ove necessario, ulteriore assistenza.

9.2 Alvoru inoltra senza indugio al Cliente le richieste degli interessati che pervengono direttamente ad Alvoru.

Articolo 10 — Violazioni dei dati

10.1 Alvoru informa il Cliente senza indugio ed entro un massimo di 48 ore dalla constatazione di una violazione dei dati personali (art. 33, paragrafo 2, GDPR), affinché il Cliente possa adempiere tempestivamente al proprio obbligo di notifica entro 72 ore all'Autorità Garante per la protezione dei dati.

10.2 La notifica contiene in ogni caso: la natura della violazione, le categorie e il numero di interessati, le categorie e il numero di record coinvolti, le probabili conseguenze e le misure adottate o proposte.

10.3 Alvoru presta al Cliente un'assistenza adeguata nella notifica all'Autorità Garante per la protezione dei dati e, ove pertinente, agli interessati.

Articolo 11 — Audit

11.1 Il Cliente può, una volta per anno solare, previo preavviso scritto di almeno 30 giorni e a proprie spese, effettuare (o far effettuare) un audit sul rispetto del presente DPA da parte di Alvoru.

11.2 L'audit è svolto da un revisore indipendente e vincolato alla riservatezza, durante l'orario d'ufficio e con modalità che non compromettano la normale attività aziendale di Alvoru.

11.3 In luogo di un audit in loco, Alvoru può fornire un rapporto aggiornato di un terzo indipendente (ad esempio ISO 27001 o SOC 2), a condizione che tale rapporto offra ragionevolmente garanzie sufficienti.

Articolo 12 — Risoluzione e cancellazione dei dati

12.1 In seguito alla risoluzione del Contratto Principale, Alvoru, a scelta del Cliente e su prima richiesta scritta, cancellerà o restituirà al Cliente tutti i dati personali, conformemente all'articolo 28, paragrafo 3, lettera g, GDPR.

12.2 Tale richiesta può essere presentata entro 60 giorni dalla risoluzione. In mancanza di ciò, i dati vengono cancellati automaticamente dopo 60 giorni.

12.3 I backup offline vengono eliminati, conformemente al normale schema di rotazione, entro un massimo di 90 giorni dalla risoluzione.

12.4 I dati che Alvoru è tenuta a conservare per legge vengono conservati per il periodo prescritto dalla legge.

Articolo 13 — Responsabilità

13.1 La responsabilità di Alvoru ai sensi del presente DPA è compresa nelle e limitata dalle disposizioni sulla responsabilità delle Condizioni Generali relative al Contratto Principale.

13.2 Le disposizioni inderogabili del GDPR restano impregiudicate.

Articolo 13a — Registro delle attività di trattamento

Alvoru tiene un registro delle attività di trattamento conformemente all'articolo 30 GDPR. Tale registro contiene in ogni caso: il nome e i dati di contatto di Alvoru in qualità di responsabile del trattamento, le categorie di trattamenti effettuati per conto dei Titolari del trattamento, i trasferimenti verso paesi terzi e le garanzie applicate, nonché una descrizione generale delle misure tecniche e organizzative di sicurezza. Il registro è disponibile su richiesta per l'Autorità Garante per la protezione dei dati.

Articolo 14 — Legge applicabile e controversie

Al presente DPA si applica il diritto olandese. Le controversie sono sottoposte al tribunale di Overijssel, sede di Almelo.

Firma

Inviare la versione firmata (scansionata o firmata digitalmente) a info@alvoru.com. Alvoru restituirà una copia controfirmata.