Accordo sul trattamento dei dati

Questo è un modello, non un accordo in vigore. Oggi dietro questa piattaforma non c’è alcuna persona giuridica, quindi non esiste un responsabile del trattamento che possa firmarlo. È pubblicato perché un cliente potenziale possa leggerne le condizioni prima di chiederle, e perché ciò che viene offerto sia agli atti invece che redatto sotto pressione. Nulla di quanto segue vincola alcuno finché un’entità non lo firma.

Che cos’è questo documento

Le clausole seguono l’impianto delle clausole contrattuali tipo della Commissione europea per i responsabili del trattamento (art. 28, par. 7 GDPR, decisione 2021/915), così che il consulente legale di un cliente incontri una struttura familiare. I campi tra parentesi quadre si compilano per ciascun cliente. Gli allegati sono scritti a partire da ciò che il codice applica davvero, e non dalla lista dei desideri di un modello: è questo che li rende verificabili.

Parti

Tra [denominazione, sede e iscrizione del Cliente] (il Titolare) e [denominazione, sede e iscrizione del Fornitore] (il Responsabile), congiuntamente le Parti.

1. Oggetto e durata

Il Responsabile fornisce al Titolare la Bonacchi Platform (il Servizio), un’applicazione gestionale multi-tenant, secondo le Condizioni d’uso. Il presente Accordo disciplina il trattamento dei dati personali che il Titolare e i suoi utenti inseriscono nel Servizio, per tutto il tempo in cui il Titolare dispone di uno spazio di lavoro e per il periodo di cancellazione di cui alla clausola 9.

2. Natura e finalità

Conservazione, consultazione, visualizzazione, elaborazione e trasmissione dei dati descritti nell’Allegato 1, allo scopo di far funzionare i moduli che il Titolare ha attivato. Il Responsabile non usa i dati per alcuna altra finalità, incluso l’addestramento di qualsiasi modello.

3. Istruzioni

Il Responsabile tratta i dati personali soltanto sulla base di istruzioni documentate del Titolare. Attivare un modulo, configurare un connettore o invocare una funzione di AI nel Servizio costituisce un’istruzione. Il Responsabile informa il Titolare se un’istruzione viola la normativa sulla protezione dei dati.

4. Riservatezza

Le persone autorizzate dal Responsabile a trattare i dati sono vincolate alla riservatezza. Oggi si tratta del solo operatore.

5. Sicurezza

Il Responsabile attua le misure dell’Allegato 2 e le riesamina almeno una volta all’anno. Tali misure sono descritte a partire da ciò che è applicato nel codice, non dalle intenzioni.

6. Sub-responsabili

Il Titolare presta autorizzazione generale ai sub-responsabili elencati nell’Allegato 3. Il Responsabile dà preavviso scritto di almeno 30 giorni prima di aggiungerne o sostituirne uno; il Titolare può opporsi per motivi ragionevoli e, se non si trova una soluzione, può risolvere la parte di Servizio interessata. Il Responsabile resta responsabile dell’operato dei propri sub-responsabili.

7. Diritti degli interessati

Il Responsabile assiste il Titolare nelle richieste ai sensi degli articoli da 15 a 22 GDPR tramite le funzioni di esportazione e cancellazione del Servizio e, ove queste non siano sufficienti, entro 10 giorni lavorativi da una richiesta scritta.

8. Violazione dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione che riguarda i dati del Titolare, con le informazioni richieste dall’articolo 33, par. 3, via via che diventano disponibili.

9. Cancellazione e restituzione

Alla cessazione il Titolare può esportare i propri dati tramite il Servizio. Il Responsabile cancella i dati personali del Titolare entro 30 giorni dalla cessazione, e i backup secondo la loro rotazione come descritta nell’Allegato 2, salvo che il diritto dell’Unione o di uno Stato membro ne imponga la conservazione.

10. Verifiche

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare la conformità: il presente Accordo, le misure di sicurezza, l’elenco pubblicato dei sub-responsabili e, su richiesta, gli esiti dei controlli automatici di sicurezza del Servizio. Le verifiche in loco sono limitate a una all’anno, con preavviso di 30 giorni, a spese del Titolare, salvo diversa richiesta di un’autorità di controllo.

11. Trasferimenti internazionali

I dati personali sono conservati nell’Unione europea. I trasferimenti verso sub-responsabili al di fuori dello Spazio economico europeo si fondano sui meccanismi indicati per ciascun sub-responsabile nell’Allegato 3.

12. Responsabilità

La responsabilità segue le Condizioni d’uso. Un massimale è una condizione commerciale e non è deliberatamente fissato in questo modello.

13. Prevalenza

In caso di conflitto, il presente Accordo prevale sulle Condizioni d’uso per quanto riguarda i dati personali.

Allegato 1 — Descrizione del trattamento

Gli interessati sono i membri del Titolare e le persone di cui il suo spazio di lavoro conserva dati: personale, candidati, clienti e i loro contatti. Le categorie sono i campi dei moduli che il Titolare attiva, riprodotti per ciascun cliente con quei moduli spuntati. Non è previsto il trattamento di categorie particolari di dati; i campi di testo libero possono contenerne incidentalmente e sono coperti dalle regole di conservazione dell’Allegato 2.

Allegato 2 — Misure tecniche e organizzative

Scritto a partire da ciò che il repository applica, con il meccanismo indicato, così che l’allegato si possa verificare invece che credere:

• Isolamento fra spazi di lavoro tramite row-level security su ogni tabella, valutato nel database e non nel codice applicativo, con suite SQL comportamentali che lo verificano a ogni modifica.
• Cifratura in transito ovunque e a riposo su dischi gestiti; le credenziali di terze parti sono custodite in un vault e non in colonne di tabella.
• Controllo degli accessi per spazio di lavoro, per ruolo e per capacità; atti amministrativi tracciati; chiavi API sottoposte ad hash, limitate per ambito e per frequenza; accesso con magic link e OAuth, con la possibilità per uno spazio di lavoro di imporre un determinato metodo di accesso.
• Sicurezza applicativa: Content-Security-Policy per richiesta con nonce, scansione quotidiana delle dipendenze, analisi statica a ogni modifica e azioni di build ancorate al digest del commit.
• Trattamenti AI: prompt e risposte sono riassunti e non conservati alla lettera; la conservazione è limitata a un anno e può essere ridotta per spazio di lavoro; l’output degli strumenti esterni è delimitato contro la prompt injection; ogni fornitore che i dati di uno spazio di lavoro possono raggiungere è un sub-responsabile dichiarato, verificato da un controllo di build.
• Conservazione e cancellazione: procedure automatiche periodiche, oltre a endpoint di esportazione e cancellazione coperti da test.
• Backup: un dump logico settimanale, cifrato, conservato 28 giorni e verificato in ripristino a ogni esecuzione anziché dato per buono — la prova lo ripristina in un database usa e getta e ne conta le tabelle.
• Monitoraggio: tracciamento degli errori con regole di allerta su ogni progetto e sonde di disponibilità su ogni host pubblico.
• Gestione delle modifiche: nessuna modifica raggiunge la produzione senza superare i controlli sopra descritti; la suite di controlli e i suoi esiti sono disponibili al Titolare su richiesta.

I backup sono settimanali, non quotidiani, e non esiste il ripristino a un istante preciso (point-in-time recovery). L’obiettivo di punto di ripristino è quindi di una settimana. Lo diciamo invece di ammorbidirlo perché un accordo sul trattamento che dichiarasse "backup automatici quotidiani" dichiarerebbe qualcosa che questa piattaforma non fa.

Allegato 3 — Sub-responsabili autorizzati

Per ciascuno: l’entità, dove si trova, che cosa fa, e se riceve dati sempre oppure soltanto dopo che il Titolare ha attivato qualcosa. È lo stesso elenco che rende l’informativa sulla privacy, dalla stessa sorgente, così che l’allegato che un cliente firma e l’informativa che i suoi utenti leggono non possano nominare fornitori diversi.

• Vercel — hosting e distribuzione dei siti e delle loro funzioni server, log delle richieste e analytics dove acconsentito.
• Supabase — database, autenticazione, archiviazione dei file e funzioni edge.
• Anthropic — le funzioni di AI dentro la piattaforma (solo quando il workspace attiva le funzioni di AI).
• OpenAI — l'indicizzazione per la ricerca (embedding) dei contenuti del workspace; il fornitore di riserva che serve le richieste AI quando il primario non è disponibile — solo dove le funzioni di AI sono attive; e, dove l'operatore l'ha abilitata e un membro ne apre una, una sessione vocale in tempo reale in cui la voce di quel membro è trattata come audio.
• Google — l'accesso con un account Google (OAuth), e il connettore Google Workspace quando un workspace lo collega.
• Freshservice — la creazione dei ticket di onboarding IT dal modulo staffing (solo quando il workspace configura il connettore Freshservice).
• Resend — l'invio delle email transazionali: inviti, messaggi di verifica e di notifica, e riepiloghi.
• Twilio — l'invio degli SMS: il numero di telefono del destinatario e il testo del messaggio (solo quando il workspace attiva il canale SMS).
• Sentry — le segnalazioni di errore dalle applicazioni e dalle funzioni edge: l'URL e i metadati della richiesta fallita, e ciò che un messaggio di errore o uno stack trace contiene.
• Stripe — il checkout dell'abbonamento, le fatture e i dati di pagamento di un piano a pagamento (solo quando il workspace sottoscrive un piano a pagamento).

Stato, riesame e contatti

Nessun avvocato ha riesaminato questo testo e nessuna autorità di controllo lo ha approvato. È redatto per essere accurato sul sistema, che è la metà che un tecnico può fare bene, e sarà riesaminato prima di qualsiasi prima firma. Domande, e richieste di negoziarlo, a pbonacchi@gmail.com.