CONTRATTO DI TRATTAMENTO DATI
Versione 2.0
Data di entrata in vigore: 23 febbraio 2026
INDICE
-
Definizioni e ambito
-
Trattamento dei dati personali
-
Diritti degli interessati
-
Protezione dei dati e sicurezza
-
Trasferimenti internazionali di dati
-
Durata e risoluzione
-
Responsabilità e indennizzo
-
Legge applicabile
Allegato A: Categorie di dati personali
Allegato B: Sub-processori autorizzati
Allegato C: Misure tecniche e organizzative
Allegato D: Clausole contrattuali standard -
DEFINIZIONI E AMBITO
Questo Contratto di trattamento dati ("Contratto") è stipulato tra Syntari International, Inc. ("Azienda" o "Processore") e il Cliente ("Controllore").
1.1 Definizioni
● Dati personali: Qualsiasi informazione relativa a una persona fisica identificata o identificabile.
● Trattamento: Qualsiasi operazione eseguita sui dati personali, compresa raccolta, registrazione, organizzazione, strutturazione, archiviazione, adattamento, recupero, utilizzo, divulgazione e cancellazione.
● Interessato: L'individuo a cui si riferiscono i dati personali.
● Sub-processore: Qualsiasi entità legale incaricata dal Processore di trattare i dati personali per conto del Controllore.
● Subprocessore AI: Fornitori di servizi AI di terze parti tra cui, a titolo esemplificativo, Anthropic, OpenAI e Google.
● Incident: Qualsiasi sospetto o violazione confermata della sicurezza o perdita di Dati Personali.
1.2 Ambito
Questo Accordo si applica al trattamento dei Dati Personali come descritto nell'Accordo di Servizio e negli Allegati attaccati. -
TRATTAMENTO DEI DATI PERSONALI
2.1 Base e Finalità Legale
Il Processore tratterà i Dati Personali solo:
● Su istruzioni documentate del Controllore;
● Per scopi specificati nell'Accordo di Servizio;
● In conformità al GDPR, CCPA e alle leggi sulla protezione dei dati applicabili.
2.2 Istruzioni per il Trattamento
Il Controllore riconosce che il Processore tratta i Dati Personali esclusivamente sulla base delle istruzioni documentate del Controllore. Le modifiche devono essere comunicate per iscritto e approvate da entrambe le parti.
2.3 Durata del Trattamento
Il Processore tratterà i Dati Personali per la durata dell'Accordo di Servizio e successivamente come richiesto dalla legge. -
DIRITTI DEI SOGGETTI DEI DATI
3.1 Diritto di Accesso
Il Processore dovrà, su richiesta del Controllore e entro 10 giorni lavorativi, fornire un'assistenza ragionevole per consentire ai soggetti dei dati di esercitare il proprio diritto di accesso ai Dati Personali.
3.2 Diritto di Correzione e Cancellazione
Il Processore fornirà assistenza ragionevole per consentire ai soggetti dei dati di esercitare i propri diritti di correzione, cancellazione e limitazione del trattamento.
3.3 Portabilità
Il Processore aiuterà il Controllore a permettere ai soggetti dei dati di esercitare il proprio diritto alla portabilità dei dati in formato leggibile dalle macchine.
3.4 Nessuna Decisione Automatica
Il Processore non effettuerà decisioni automatiche che producano effetti legali senza l'autorizzazione esplicita del Controllore. -
PROTEZIONE DEI DATI E SICUREZZA
4.1 Riservatezza
Il Processore garantisce che tutte le persone autorizzate a trattare i Dati Personali siano impegnate alla riservatezza o siano soggette a un'adeguata obbligazione legale di riservatezza.
4.2 Misure di Sicurezza dei Dati
Il Processore attua misure tecniche e organizzative appropriate come dettagliato nell'Allegato C:
● Crittografia dei dati in transito e a riposo
● Controlli di accesso e meccanismi di autenticazione
● Valutazioni di sicurezza regolari e test di vulnerabilità
● Formazione e programmi di sensibilizzazione per i dipendenti
● Procedure di risposta agli incidenti
4.3 Crittografia e Controlli di Accesso
Tutti i Dati Personali sono crittografati utilizzando AES-256 o equivalente. L'accesso è riservato al personale autorizzato con autentificazione a più fattori richiesta.
4.4 Sub-trattamento e Subprocessori AI
4.4.1 Autorizzazione e Notifica
Il Processore può coinvolgere Sub-processori, inclusi i fornitori di AI elencati nell'Allegato B. Il Controllore ha il diritto di opporsi entro 30 giorni dalla notifica scritta.
4.4.2 Requisiti per il Subprocessore AI
Tutti i Subprocessori AI devono:
● Eseguire DPA allineati con il GDPR e le leggi applicabili
● Fornire misure tecniche e organizzative equivalenti a questo Accordo
● Fornire trasparenza riguardo alle posizioni e finalità del trattamento dei dati
● Sottoporsi a audit e verifica di conformità
4.4.3 DPA dei Subprocessori Incorporati
Le DPA di tutti i fornitori di AI elencati nell'Allegato B sono incorporate per riferimento e costituiscono termini vincolanti di questo Accordo. Il Processore deve garantire che il Controllore abbia accesso a questi accordi su richiesta.
4.4.4 Notifica Anticipata di 30 Giorni
Il Processore deve fornire un preavviso scritto di 30 giorni prima di aggiungere, rimuovere o modificare sostanzialmente qualsiasi impegno di Sub-processore. Questo avviso deve includere la posizione, la finalità e le garanzie del Sub-processore.
4.5 Notifica di Violazione dei Dati
Una volta a conoscenza di un Evento, il Processore deve:
● Valutare immediatamente la natura e l'entità della violazione
● Notificare il Controllore senza indugi
● Fornire tutte le informazioni per le obbligazioni di notifica regolamentare
4.6 Risposta agli Incidenti di Sicurezza (Standard di Notifica di 48 Ore)
4.6.1 Tempistiche di Notifica
Il Processore deve notificare al Controllore qualsiasi Incidente di Sicurezza entro 48 ore dalla scoperta. Ciò è conforme alle migliori pratiche del settore e ai requisiti DPA di Anthropic.
4.6.2 Contenuti del Rapporto sugli Incidenti
Tutte le notifiche di incidenti devono includere:
● Descrizione dell'incidente e dei sistemi interessati
● Categorie e numero approssimativo di soggetti dati interessati
● Probabili conseguenze dell'incidente
● Misure adottate o proposte per affrontare e mitigare il danno
● Nome e contatto del Responsabile della Protezione dei Dati
4.6.3 Cooperazione con le Autorità
Il Processore deve cooperare ragionevolmente con il Controllore e le autorità di regolamentazione nell'indagine e nella risposta agli Incidenti.
4.7 Conservazione e Cancellazione dei Dati
Il Processore deve cancellare o restituire i Dati Personali al termine, a meno che non siano mantenuti come richiesto dalla legge. Un certificato di cancellazione deve essere fornito su richiesta.
4.8 Certificazione del Processore
Il Processore mantiene le certificazioni SOC 2 in corso e ISO 27001 in corso. I certificati attuali sono disponibili su richiesta.
4.9 Diritti di Audit
4.9.1 Diritti Generali di Audit
Il Controllore ha il diritto di verificare la conformità del Processore a questo Accordo. Gli audit possono essere condotti:
● Con preavviso scritto di 15 giorni lavorativi
● Non più di una volta all'anno solare, a meno che non venga attivato da un Incidente sospetto
● Durante l'orario lavorativo normale
4.9.2 Audit di Terze Parti
Il Controllore può incaricare auditor indipendenti, a condizione che l'auditor firmi un accordo di riservatezza.
4.9.3 Audit dei Subprocessori di AI
Gli audit dei Subprocessori di AI devono essere condotti tramite:
● Revisione dei rapporti SOC 2 in corso e ISO 27001 in corso
● Revisione della documentazione sulla sicurezza del fornitore
● Audit sul posto, soggetto ad approvazione del fornitore
4.10 Elaborazione Dati Specifica per AI
4.10.1 Utilizzi Permessi
I Dati Personali del Cliente possono essere elaborati tramite funzionalità AI esclusivamente per fornire i servizi contrattati. Non è permesso alcun altro utilizzo.
4.10.2 Divieto di Formazione del Modello
Il Processor e tutti gli AI Subprocessor si impegnano a:
● I Dati Personali del Cliente NON saranno utilizzati per addestrare, perfezionare o migliorare alcun modello di machine learning (per i livelli a pagamento)
● Questa restrizione si applica indipendentemente dalle altre politiche del fornitore di AI
● Il Controller riceverà conferma scritta da tutti i fornitori di AI
4.10.3 Gestione dei Prompt e delle Uscite
● Prompt: Cancellati immediatamente dopo l'elaborazione, massimo 24 ore di retention
● Uscite: Conservate secondo le impostazioni di retention specificate dal Cliente
● Metadata: I fornitori di AI possono conservare metadata limitati solo per il monitoraggio degli abusi
4.10.4 Retention per Monitoraggio Abusi
I fornitori di AI possono conservare dati limitati per 30 giorni per monitorare abusi, frodi e attività illegali. Questi dati sono separati dai dati di prompt/uscita.
4.10.5 Trasparenza del Fornitore di AI
Il Processor garantirà che gli AI Subprocessor forniscano:
● Rapporti trimestrali sulle pratiche di gestione dei dati
● Notifiche di incidenti allineate con la Sezione 4.6
● Documentazione delle misure protettive tecniche
4.11 Coordinamento dei Diritti dei Soggetti Dati
4.11.1 Ambito delle Richieste dei Soggetti Dati
Le Richieste di Accesso ai Dati dei Soggetti (DSAR) devono includere i dati detenuti dal Processor e da tutti i Subprocessor, inclusi i fornitori di AI.
4.11.2 Procedure di Coordinamento
Il Processor dovrà:
● Riconoscere il ricevimento delle DSAR entro 5 giorni lavorativi
● Coordinarsi con gli AI Subprocessor per recuperare i dati entro 10 giorni lavorativi
● Fornire risposta consolidata al Controller entro 30 giorni di calendario
● Garantire che le cancellazioni siano eseguite in tutti i sistemi e subprocessori
4.11.3 Cooperazione dei Subprocessor
Tutti i Subprocessor devono cooperare pienamente con le richieste di DSAR senza addebitare costi aggiuntivi per richieste ragionevoli. -
TRASFERIMENTI INTERNAZIONALI DI DATI
5.1 Quadro di Privacy Dati UE-US
Nella misura in cui i Dati Personali provengono dall'UE o dal Regno Unito, il Processor si basa sul Quadro di Privacy Dati UE-US e sull'Estensione UK per il trasferimento internazionale lecito. Il Processor è certificato secondo entrambi i quadri.
5.2 Clausole Contrattuali Standard
Per trasferimenti non coperti da decisioni di adeguatezza, il Processor incorpora le Clausole Contrattuali Standard per riferimento (Allegato D). Queste clausole si applicano all'EEA, al Regno Unito e ad altre giurisdizioni che richiedono misure di protezione.
5.3 Trasferimenti dei Subprocessor
Tutti i Subprocessor, inclusi i fornitori di AI, sono contrattualmente vincolati a meccanismi di trasferimento equivalenti. Il Processor garantisce misure di protezione appropriate per tutti i trasferimenti successivi.
5.4 Valutazioni d'Impatto del Trasferimento
Il Processor deve condurre Valutazioni d'Impatto del Trasferimento come richiesto dalla legge e fornire documentazione su richiesta. -
TERMINE E RISOLUZIONE
6.1 Data di Entrata in Vigore
Il presente Accordo è efficace dal 23 febbraio 2026 e continua per la durata dell'Accordo di Servizio.
6.2 Risoluzione
In caso di risoluzione o scadenza dell'Accordo di Servizio, il Processore deve, a discrezione del Controllore:
● Eliminare tutti i Dati Personali entro 30 giorni
● Restituire tutti i Dati Personali in un formato strutturato, di uso comune e leggibile da macchina
6.3 Obblighi Post-Risoluzione
Le obbligazioni di riservatezza, sicurezza e audit sopravvivono alla risoluzione per il periodo richiesto dalla legge. -
RESPONSABILITÀ E INDENNIZZO
7.1 Responsabilità del Processore
Il Processore è responsabile per i danni causati dal mancato rispetto degli obblighi previsti dal presente Accordo, soggetti ai limiti dell'Accordo di Servizio.
7.2 Indennizzo
Il Processore dovrà indennizzare e manlevare il Controllore da reclami di terzi derivanti dalla violazione da parte del Processore della normativa sulla protezione dei dati applicabile.
7.3 Responsabilità dei Subprocessori
Il Processore deve garantire che tutti i Subprocessori forniscano obblighi equivalenti di responsabilità e indennizzo. -
LEGGE APPLICABILE
Il presente Accordo sarà regolato e interpretato in conformità con le leggi della giurisdizione in cui si trova il Controllore, con le leggi sulla protezione dei dati applicabili (GDPR, CCPA, ecc.) che prevalgono.
ALLEGATO A: CATEGORIE DI DATI PERSONALI
Le seguenti categorie di Dati Personali possono essere elaborate dal Processore:
● Dati di Identificazione: Nome, indirizzo email, numero di telefono, ID utente, indirizzo IP
● Dati di Profilo: Posizione lavorativa, dipartimento, organizzazione, ruolo, preferenze
● Dati di Utilizzo: Frequenza di accesso, utilizzo delle funzionalità, durata della sessione, interazioni
● Dati di Comunicazione: Messaggi, storie di chat, registri di collaborazione
● Dati Documentali: File, documenti e contenuti caricati o creati
● Dati Tecnici: Informazioni sul dispositivo, tipo di browser, sistema operativo, registri di sistema
● Dati Comportamentali: Schemi di coinvolgimento con il servizio, adozione delle funzionalità, analisi
● Dati di Transazione: Dettagli dell'abbonamento, informazioni sui pagamenti (tokenizzati)
● Dati Elaborati da AI: Testo, documenti o contenuti input nelle funzionalità AI
Categorie specifiche elaborate dipendono dai servizi sottoscritti e sono dettagliate nell'Accordo di Servizio.
ALLEGATO B: SUBPROCESSORI AUTORIZZATI
I seguenti Subprocessori sono autorizzati a elaborare Dati Personali per conto del Controllore. Tutti sono vincolati da Accordi di Elaborazione Dati che incorporano i requisiti di questo Accordo.
Nome del Sub-processore Luogo Scopo Misure di sicurezza
Anthropic Claude API USA (San Francisco, CA) Elaborazione AI, analisi del testo, generazione di contenuti SOC 2 in corso, ISO 27001 in corso, DPA con Data Privacy Framework
OpenAI USA (San Francisco, CA) Elaborazione AI, embeddings, inferenza del modello linguistico SOC 2 in corso, ISO 27001 in corso, DPA con SCCs
Google Gemini API USA (Multiple locations) Elaborazione AI, inferenza multimodale SOC 2 in corso, ISO 27001 in corso, Google Cloud DPA
AWS (Provider di Infrastruttura) USA, UE (selezione regionale) Archiviazione dati, risorse di calcolo, backup e DR SOC 2 in corso, ISO 27001 in corso, DPA con DPF
SendGrid (Servizi Email) USA (Denver, CO) Consegna e registrazione email transazionali SOC 2 in corso, ISO 27001 in corso, conformità DPA
Tutti i Subprocessori AI sono contrattualmente vincolati a:
● Mantenere DPA allineati con questo Accordo
● Proibire l'uso dei Dati Personali del Cliente per l'addestramento del modello (tier a pagamento)
● Cancellare i prompt entro 24 ore, tranne per il monitoraggio degli abusi (conservazione di 30 giorni)
● Fornire SOC 2 nei report progressivi annuali
● Notificare al Processor le violazioni dei dati entro 48 ore
● Collaborare con le richieste di audit e le indagini sui soggetti dei dati
Il Processor deve fornire un preavviso di 30 giorni prima di aggiungere o rimuovere i Sub-processori.
SCHEDA C: MISURE TECNICHE E ORGANIZZATIVE
Il Processor implementa le seguenti misure tecniche e organizzative per garantire una sicurezza adeguata:
Misure Tecniche
● Crittografia: crittografia AES-256 per i dati a riposo; TLS 1.2+ per i dati in transito
● Controlli di Accesso: RBAC, principio del minimo privilegio, autenticazione a più fattori
● Autenticazione: Politiche di password forti, integrazione SSO, gestione delle sessioni
● Monitoraggio: Monitoraggio della sicurezza in tempo reale, rilevamento delle intrusioni, analisi dei log
● Gestione delle Vulnerabilità: Test di penetrazione, scansione delle vulnerabilità, gestione delle patch
● Sicurezza della Rete: Firewall, protezione DDoS, segmentazione della rete
● Backup e Ripristino: Backup automatizzati giornalieri, ridondanza geografica, procedure di recupero
Misure Organizzative
● Formazione del Personale: Formazione annuale su GDPR e protezione dei dati
● Gestione degli Accessi: Controlli dei precedenti per i dipendenti con accesso ai dati
● Accordi di Riservatezza: Tutto il personale firma accordi di riservatezza
● Risposta agli Incidenti: Procedure documentate con esercitazioni regolari
● Responsabile della Protezione dei Dati: DPO nominato disponibile (dpo@syntari.ai)
● Tracce di Audit: Registrazione completa di tutti gli accessi e modifiche ai dati
● Gestione dei Fornitori: I Sub-processori devono sottoporsi a valutazione della sicurezza
Misure di Sicurezza Specifiche per l'IA
● Isolamento dei Prompt: Prompt elaborati in ambienti isolati ed efimeri
● Nessuna Contaminazione Incrociata: Dati provenienti da clienti diversi mai mescolati
● Filtraggio dei Metadata: Metadata PII rimossi dai log dell'IA
● Validazione degli Output: Output esaminati per fuga accidentale di dati
● Monitoraggio Continuo: Monitoraggio degli abusi da parte del fornitore di IA per 30 giorni
Certificazione e Conformità
● SOC 2 in corso: Audit annuale da parte di revisori indipendenti
● ISO 27001 in corso: Sistema di gestione della sicurezza delle informazioni certificato
● Conformità al GDPR: Certificato da consulenti esterni per la protezione dei dati
● Valutazioni Regolari: Valutazioni di sicurezza da terzi ogni 12 mesi
SCHEDA D: CLAUSOLE CONTRATTUALI STANDARD
Questa Scheda incorpora le Clausole Contrattuali Standard ("SCCs") come meccanismi per trasferimenti internazionali di dati leciti.
D.1 Ambito
Le SCCs si applicano ai trasferimenti di Dati Personali dall'EEA, Regno Unito o altra giurisdizione che richieda garanzie aggiuntive verso luoghi al di fuori di tale giurisdizione.
D.2 Selezione del Modulo
Il Processore e il Controllore sono parti nei trasferimenti da Controllore a Processore soggetti al Modulo 2 delle Clausole Contrattuali Standard (C2P).
D.3 Clausole incorporate
Le seguenti Clausole Contrattuali Standard sono incorporate per riferimento:
● Clausola 1: Scopo e Durata
● Clausola 2: Dettagli del Trattamento
● Clausola 3: Sottoprocessamento
● Clausola 4: Assistenza con i Diritti
● Clausola 5: Assistenza con gli Obblighi
● Clausola 6: Cancellazione o Restituzione
● Clausola 7: Diritti di Audit
● Clausola 8: Diritti dei Soggetti Interessati
● Clausola 9: Trasferimenti Internazionali
● Clausola 10: Responsabilità del Sottocontrattista del Processore
Testo completo disponibile presso: https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2847
D.4 Certificazione del Quadro di Protezione dei Dati
Il Processore è certificato ai sensi del Quadro di Riservatezza UE-USA e dell'Estensione UK, fornendo un meccanismo di adeguatezza alternativo per i trasferimenti coperti.
D.5 Valutazione di Adeguatezza
Il Processore ha condotto una valutazione d'impatto sui trasferimenti concludendo che:
● La legge statunitense fornisce adeguate garanzie attraverso protezioni legali e contrattuali
● Il Quadro di Riservatezza fornisce diritti e rimedi solidi
● Misure tecniche e organizzative offrono difesa contro la sorveglianza di massa
D.6 Trasferimenti di Sottoprocessori
Tutti i Sottoprocessori adottano meccanismi di trasferimento equivalenti:
● Clausole Contrattuali Standard (Modulo 2 o Modulo 3)
● Certificazione del Quadro di Riservatezza
● Norme Aziendali Vincolanti
● Decisioni di Adeguatezza
D.7 Rimedi e Esecuzione
I soggetti interessati mantengono tutti i diritti ai sensi delle SCC e possono perseguire reclami contro il Processore nella giurisdizione in cui si trova il soggetto interessato o dove è stabilito il Processore.
ESECUZIONE
Questo Accordo di Trattamento dei Dati è eseguito a partire dal 23 febbraio 2026.
PER SYNTARI AI, INC.:
Rappresentante Autorizzato
Titolo: _____________________
Data: _____________________
PER IL CLIENTE:
Rappresentante Autorizzato
Titolo: _____________________
Data: _____________________
