Accordo sul trattamento dei dati (DPA)

Articolo 1 — Parti e oggetto

Il presente accordo è concluso tra:

• l'organizzazione cliente, che utilizza la piattaforma BySince per le proprie esigenze, di seguito «il titolare del trattamento»;
• [da completare], [da completare], con sede in [da completare], iscritta con il numero [da completare], editore della piattaforma, di seguito «Since & Co» o «il responsabile del trattamento».

Esso definisce le condizioni alle quali Since & Co tratta dati personali per conto del titolare del trattamento, in conformità all'articolo 28 del regolamento (UE) 2016/679 (GDPR). Costituisce parte integrante del contratto concluso tra le parti e delle condizioni generali di utilizzo. In materia di protezione dei dati, prevale su qualsiasi altro documento.

Non copre i trattamenti di cui Since & Co è essa stessa titolare, descritti nell'informativa sulla privacy.

Articolo 2 — Descrizione del trattamento

Articolo 3 — Obblighi del titolare del trattamento

1. Determina le finalità e le basi giuridiche dei trattamenti e tiene il proprio registro.
2. Informa gli interessati, comprese le persone registrate sul campo, e ne raccoglie il consenso quando è richiesto.
3. Rispetta i propri obblighi, in particolare in materia di diritto del lavoro: informazione e consultazione dei rappresentanti del personale, informazione preventiva dei dipendenti sui dispositivi di valutazione.
4. Documenta per iscritto le proprie istruzioni. La configurazione della piattaforma da parte dei suoi amministratori vale come istruzione: creazione degli account, attribuzione dei diritti, attivazione dell'IA, registrazione di chiavi API, attivazione della cifratura delle acquisizioni, condivisioni.
5. Effettua, se del caso, la valutazione d'impatto sulla protezione dei dati.
6. Vigila sulla sicurezza dei propri accessi: scelta degli amministratori, rimozione degli account delle persone che hanno lasciato l'organizzazione, riservatezza delle credenziali e delle chiavi.

Articolo 4 — Trattamento su istruzione

Since & Co tratta i dati soltanto su istruzione documentata del titolare del trattamento, anche per i trasferimenti al di fuori dell'Unione europea, salvo obbligo di legge contrario; in tal caso ne informa il titolare del trattamento, a meno che la legge lo vieti.

Se Since & Co ritiene che un'istruzione violi il GDPR o un'altra norma in materia di protezione dei dati, ne informa immediatamente il titolare del trattamento.

Since & Co non utilizza i dati per proprio conto. Non li vende, non li comunica ad altri clienti e non li utilizza per addestrare modelli di intelligenza artificiale.

Articolo 5 — Riservatezza

Since & Co provvede affinché le persone autorizzate a trattare i dati siano soggette a un obbligo di riservatezza, ricevano la formazione necessaria e accedano ai dati soltanto nella misura necessaria alla loro missione: esercizio, manutenzione, sicurezza, assistenza.

I membri autorizzati del personale di Since & Co dispongono di ruoli che consentono loro di accedere allo spazio di qualsiasi organizzazione. Vi accedono soltanto per le esigenze della prestazione o su richiesta del titolare del trattamento.

Articolo 6 — Sicurezza

Since & Co attua le misure tecniche e organizzative descritte nell'allegato 1, al fine di garantire un livello di sicurezza adeguato al rischio, in conformità all'articolo 32 del GDPR. Può farle evolvere, senza ridurne il livello complessivo.

Articolo 7 — Sub-responsabili del trattamento

1. Autorizzazione generale. Il titolare del trattamento autorizza Since & Co a ricorrere ai sub-responsabili del trattamento elencati nell'allegato 2.
2. Modifica. Since & Co informa il titolare del trattamento di qualsiasi aggiunta o sostituzione con almeno trenta giorni di anticipo, mediante la pubblicazione di una nuova versione del presente accordo e mediante un'informazione indirizzata al contatto designato dal titolare del trattamento. Il titolare del trattamento può opporvisi per iscritto, per un motivo legittimo attinente alla protezione dei dati, entro tale termine. In mancanza di soluzione, può recedere dal servizio interessato.
3. Stessi obblighi. Since & Co impone ai propri sub-responsabili del trattamento, per contratto, obblighi equivalenti a quelli del presente accordo. Essa resta responsabile nei confronti del titolare del trattamento della loro esecuzione.

Articolo 8 — Intelligenza artificiale

Le funzionalità di IA e i dati che esse trasmettono sono descritti agli articoli da 11 a 24 delle condizioni generali di utilizzo. Occorre distinguere tre situazioni.

8.1. Chiamata effettuata con una chiave API dell'organizzazione

L'organizzazione registra una chiave ottenuta presso un fornitore di IA con il quale ha essa stessa stipulato un contratto. Il fornitore tratta quindi i dati sull'account e secondo il contratto dell'organizzazione. Non è un sub-responsabile del trattamento di Since & Co: è un responsabile del trattamento, o un destinatario, scelto dal titolare del trattamento. Quest'ultimo verifica le condizioni del fornitore: localizzazione, trasferimenti, periodi di conservazione, uso per l'addestramento di modelli. La registrazione della chiave vale come istruzione data a Since & Co di trasmettere i dati a tale fornitore quando un utente autorizzato attiva la funzionalità.

8.2. Chiamata effettuata con la chiave personale di un utente

La piattaforma consente a un utente di registrare la propria chiave, che ha la precedenza su quella dell'organizzazione. I dati sono quindi trattati sull'account personale di tale utente presso il fornitore. L'amministratore non vede né tali chiavi né le chiamate corrispondenti. Spetta al titolare del trattamento autorizzare, disciplinare o vietare tale pratica mediante le proprie regole interne. Se desidera escluderla, può disattivare l'IA per la propria organizzazione.

8.3. Trattamento effettuato con i mezzi di Since & Co

Su richiesta del titolare del trattamento, Since & Co può avviare in esercizio trattamenti di IA sui suoi contenuti: revisione IA delle schede, revisione delle conoscenze, glossario, descrizione, parole chiave, conversione di trascrizioni. Essa utilizza in tal caso i propri account presso i fornitori, anche mediante gli strumenti «Claude Code» e «Codex», che trasmettono i dati al fornitore. Tali fornitori sono sub-responsabili del trattamento di Since & Co e figurano nell'allegato 2.

Since & Co avvia tali trattamenti soltanto su richiesta o con l'accordo del titolare del trattamento, e mai per un'organizzazione che ha disattivato l'IA.

8.4. Garanzie comuni

• nessuna chiamata a un fornitore terzo è effettuata per un utente senza chiave disponibile, senza consenso attivo di tale utente, o se l'IA è disattivata per l'organizzazione;
• i trattamenti locali (suggerimento di competenze, trascrizione locale) non trasmettono nulla a terzi;
• gli output dell'IA sono proposte soggette a convalida umana; non è adottata alcuna decisione individuale automatizzata;
• le chiavi API sono cifrate, mai visualizzate di nuovo, mai esportate; il registro d'uso non contiene né richiesta, né risposta, né chiave.

Articolo 9 — Trasferimenti al di fuori dell'Unione europea

I dati sono ospitati nel seguente luogo: [da completare]. Since & Co non trasferisce dati al di fuori dell'Unione europea, salvo:

• verso la Svizzera, per l'archiviazione remota dei backup, sulla base della decisione di adeguatezza della Commissione europea;
• verso i fornitori di IA, quando tali funzionalità sono utilizzate su istruzione del titolare del trattamento. Nel caso dell'articolo 8.3, Since & Co si accerta dell'esistenza di una garanzia adeguata (decisione di adeguatezza o clausole contrattuali tipo) e la tiene a disposizione del titolare del trattamento. Nei casi degli articoli 8.1 e 8.2, il trasferimento rientra nel contratto dell'intestatario della chiave.

Articolo 10 — Diritti degli interessati

Since & Co aiuta il titolare del trattamento, con misure adeguate e nella misura del possibile, a rispondere alle richieste di esercizio dei propri diritti da parte degli interessati. La piattaforma consente all'amministratore di consultare e correggere i dati dei propri utenti, nonché di disattivare o eliminare i loro account. Esiste un'esportazione strutturata (JSON) per i dati di un'entità collegata; per qualsiasi altra estrazione, Since & Co interviene su richiesta.

Se una persona indirizza la propria richiesta direttamente a Since & Co, quest'ultima la trasmette senza indugio al titolare del trattamento e non vi risponde essa stessa, salvo istruzione contraria.

Articolo 11 — Violazione dei dati

Since & Co notifica al titolare del trattamento qualsiasi violazione di dati personali che lo riguardi nel più breve tempo possibile, e al più tardi quarantotto ore dopo esserne venuta a conoscenza. La notifica descrive la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, le sue probabili conseguenze, le misure adottate o proposte e il punto di contatto. Le informazioni possono essere comunicate in fasi successive.

Il titolare del trattamento notifica, se del caso, l'autorità di controllo e gli interessati. Since & Co lo assiste in tale compito.

Articolo 12 — Assistenza alla conformità

Since & Co assiste il titolare del trattamento, tenuto conto della natura del trattamento e delle informazioni di cui dispone, per la realizzazione di valutazioni d'impatto, la consultazione preventiva dell'autorità di controllo e il rispetto dei suoi obblighi di sicurezza. I registri delle funzionalità di IA e dei responsabili del trattamento tenuti da Since & Co sono comunicati su richiesta.

Articolo 13 — Sorte dei dati a fine contratto

1. Al termine del contratto, e a scelta del titolare del trattamento, Since & Co gli restituisce i suoi dati in un formato di uso comune e poi li elimina, oppure li elimina direttamente.
2. Le chiavi API sono eliminate e non sono mai restituite né esportate.
3. Le copie presenti nei backup sono eliminate alla scadenza di questi ultimi, al più tardi dodici mesi dopo l'eliminazione. Nel frattempo non sono utilizzate.
4. La sorte delle pagine pubbliche di verifica dei badge rilasciati è decisa dal titolare del trattamento.
5. Since & Co può conservare i dati la cui conservazione le è imposta dalla legge, e quelli di cui essa stessa è titolare.
6. Su richiesta, Since & Co attesta per iscritto l'eliminazione.

Articolo 14 — Documentazione e audit

Since & Co mette a disposizione del titolare del trattamento le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR.

Il titolare del trattamento può effettuare o far effettuare un audit, al massimo una volta all'anno salvo violazione dei dati o richiesta di un'autorità, con un preavviso di trenta giorni, durante l'orario lavorativo, senza perturbare il servizio né accedere ai dati di altri clienti. L'auditor non deve essere un concorrente di Since & Co e si impegna alla riservatezza. Le spese dell'audit sono a carico del titolare del trattamento, salvo che sia constatato un inadempimento grave.

Articolo 15 — Registro e contatto

Since & Co tiene un registro delle categorie di attività di trattamento svolte per conto dei propri clienti. Contatto per la protezione dei dati: [da completare].

Articolo 16 — Responsabilità, durata, diritto applicabile

Ciascuna parte risponde dei danni causati dalle proprie violazioni del GDPR e del presente accordo, alle condizioni dell'articolo 82 del GDPR e nei limiti previsti dal contratto, che non si applicano ai diritti degli interessati.

L'accordo si applica per tutta la durata del trattamento dei dati da parte di Since & Co. È disciplinato dal diritto francese; le controversie sono di competenza degli organi giurisdizionali designati dalle condizioni generali di utilizzo.

Allegato 1 — Misure di sicurezza

Allegato 2 — Sub-responsabili del trattamento

Sub-responsabili del trattamento per l'IA

Tali fornitori intervengono come sub-responsabili del trattamento di Since & Co soltanto nel caso dell'articolo 8.3, vale a dire per i trattamenti avviati da Since & Co con i propri account, su richiesta del titolare del trattamento.

Non sono sub-responsabili del trattamento, in quanto non ricevono dati personali affidati dal titolare del trattamento: Hugging Face (download di modelli eseguiti localmente), le banche di immagini, MyMemory, DiceBear, Lorem Picsum e l'API pubblica «Recherche d'entreprises». Sono descritti nell'informativa sulla privacy.

Recapiti dell'editore: si vedano le note legali.