# Contratto di trattamento dati | Syntari

Source: https://syntari-ai.com/it/legal/data-processing-agreement

LEGALE
Contratto di trattamento dati
← Tutte le politiche legali
CONTRATTO DI TRATTAMENTO DATI Versione 2.0 Data di entrata in vigore: 23 febbraio 2026 INDICE
Definizioni e ambito
Trattamento dei dati personali
Diritti degli interessati
Protezione dei dati e sicurezza
Trasferimenti internazionali di dati
Durata e risoluzione
Responsabilità e indennizzo
Legge applicabile Allegato A: Categorie di dati personali Allegato B: Sub-processori autorizzati Allegato C: Misure tecniche e organizzative Allegato D: Clausole contrattuali standard
DEFINIZIONI E AMBITO Questo Contratto di trattamento dati ("Contratto") è stipulato tra Syntari International, Inc. ("Azienda" o "Processore") e il Cliente ("Controllore"). 1.1 Definizioni ● Dati personali: Qualsiasi informazione relativa a una persona fisica identificata o identificabile. ● Trattamento: Qualsiasi operazione eseguita sui dati personali, compresa raccolta, registrazione, organizzazione, strutturazione, archiviazione, adattamento, recupero, utilizzo, divulgazione e cancellazione. ● Interessato: L'individuo a cui si riferiscono i dati personali. ● Sub-processore: Qualsiasi entità legale incaricata dal Processore di trattare i dati personali per conto del Controllore. ● Subprocessore AI: Fornitori di servizi AI di terze parti tra cui, a titolo esemplificativo, Anthropic, OpenAI e Google. ● Incident: Qualsiasi sospetto o violazione confermata della sicurezza o perdita di Dati Personali. 1.2 Ambito Questo Accordo si applica al trattamento dei Dati Personali come descritto nell'Accordo di Servizio e negli Allegati attaccati.
TRATTAMENTO DEI DATI PERSONALI 2.1 Base e Finalità Legale Il Processore tratterà i Dati Personali solo: ● Su istruzioni documentate del Controllore; ● Per scopi specificati nell'Accordo di Servizio; ● In conformità al GDPR, CCPA e alle leggi sulla protezione dei dati applicabili. 2.2 Istruzioni per il Trattamento Il Controllore riconosce che il Processore tratta i Dati Personali esclusivamente sulla base delle istruzioni documentate del Controllore. Le modifiche devono essere comunicate per iscritto e approvate da entrambe le parti. 2.3 Durata del Trattamento Il Processore tratterà i Dati Personali per la durata dell'Accordo di Servizio e successivamente come richiesto dalla legge.
DIRITTI DEI SOGGETTI DEI DATI 3.1 Diritto di Accesso Il Processore dovrà, su richiesta del Controllore e entro 10 giorni lavorativi, fornire un'assistenza ragionevole per consentire ai soggetti dei dati di esercitare il proprio diritto di accesso ai Dati Personali. 3.2 Diritto di Correzione e Cancellazione Il Processore fornirà assistenza ragionevole per consentire ai soggetti dei dati di esercitare i propri diritti di correzione, cancellazione e limitazione del trattamento. 3.3 Portabilità Il Processore aiuterà il Controllore a permettere ai soggetti dei dati di esercitare il proprio diritto alla portabilità dei dati in formato leggibile dalle macchine. 3.4 Nessuna Decisione Automatica Il Processore non effettuerà decisioni automatiche che producano effetti legali senza l'autorizzazione esplicita del Controllore.
PROTEZIONE DEI DATI E SICUREZZA 4.1 Riservatezza Il Processore garantisce che tutte le persone autorizzate a trattare i Dati Personali siano impegnate alla riservatezza o siano soggette a un'adeguata obbligazione legale di riservatezza. 4.2 Misure di Sicurezza dei Dati Il Processore attua misure tecniche e organizzative appropriate come dettagliato nell'Allegato C: ● Crittografia dei dati in transito e a riposo ● Controlli di accesso e meccanismi di autenticazione ● Valutazioni di sicurezza regolari e test di vulnerabilità ● Formazione e programmi di sensibilizzazione per i dipendenti ● Procedure di risposta agli incidenti 4.3 Crittografia e Controlli di Accesso Tutti i Dati Personali sono crittografati utilizzando AES-256 o equivalente. L'accesso è riservato al personale autorizzato con autentificazione a più fattori richiesta. 4.4 Sub-trattamento e Subprocessori AI 4.4.1 Autorizzazione e Notifica Il Processore può coinvolgere Sub-processori, inclusi i fornitori di AI elencati nell'Allegato B. Il Controllore ha il diritto di opporsi entro 30 giorni dalla notifica scritta. 4.4.2 Requisiti per il Subprocessore AI Tutti i Subprocessori AI devono: ● Eseguire DPA allineati con il GDPR e le leggi applicabili ● Fornire misure tecniche e organizzative equivalenti a questo Accordo ● Fornire trasparenza riguardo alle posizioni e finalità del trattamento dei dati ● Sottoporsi a audit e verifica di conformità 4.4.3 DPA dei Subprocessori Incorporati Le DPA di tutti i fornitori di AI elencati nell'Allegato B sono incorporate per riferimento e costituiscono termini vincolanti di questo Accordo. Il Processore deve garantire che il Controllore abbia accesso a questi accordi su richiesta. 4.4.4 Notifica Anticipata di 30 Giorni Il Processore deve fornire un preavviso scritto di 30 giorni prima di aggiungere, rimuovere o modificare sostanzialmente qualsiasi impegno di Sub-processore. Questo avviso deve includere la posizione, la finalità e le garanzie del Sub-processore. 4.5 Notifica di Violazione dei Dati Una volta a conoscenza di un Evento, il Processore deve: ● Valutare immediatamente la natura e l'entità della violazione ● Notificare il Controllore senza indugi ● Fornire tutte le informazioni per le obbligazioni di notifica regolamentare 4.6 Risposta agli Incidenti di Sicurezza (Standard di Notifica di 48 Ore) 4.6.1 Tempistiche di Notifica Il Processore deve notificare al Controllore qualsiasi Incidente di Sicurezza entro 48 ore dalla scoperta. Ciò è conforme alle migliori pratiche del settore e ai requisiti DPA di Anthropic. 4.6.2 Contenuti del Rapporto sugli Incidenti Tutte le notifiche di incidenti devono includere: ● Descrizione dell'incidente e dei sistemi interessati ● Categorie e numero approssimativo di soggetti dati interessati ● Probabili conseguenze dell'incidente ● Misure adottate o proposte per affrontare e mitigare il danno ● Nome e contatto del Responsabile della Protezione dei Dati 4.6.3 Cooperazione con le Autorità Il Processore deve cooperare ragionevolmente con il Controllore e le autorità di regolamentazione nell'indagine e nella risposta agli Incidenti. 4.7 Conservazione e Cancellazione dei Dati Il Processore deve cancellare o restituire i Dati Personali al termine, a meno che non siano mantenuti come richiesto dalla legge. Un certificato di cancellazione deve essere fornito su richiesta. 4.8 Certificazione del Processore Il Processore mantiene le certificazioni SOC 2 in corso e ISO 27001 in corso. I certificati attuali sono disponibili su richiesta. 4.9 Diritti di Audit 4.9.1 Diritti Generali di Audit Il Controllore ha il diritto di verificare la conformità del Processore a questo Accordo. Gli audit possono essere condotti: ● Con preavviso scritto di 15 giorni lavorativi ● Non più di una volta all'anno solare, a meno che non venga attivato da un Incidente sospetto ● Durante l'orario lavorativo normale 4.9.2 Audit di Terze Parti Il Controllore può incaricare auditor indipendenti, a condizione che l'auditor firmi un accordo di riservatezza. 4.9.3 Audit dei Subprocessori di AI Gli audit dei Subprocessori di AI devono essere condotti tramite: ● Revisione dei rapporti SOC 2 in corso e ISO 27001 in corso ● Revisione della documentazione sulla sicurezza del fornitore ● Audit sul posto, soggetto ad approvazione del fornitore 4.10 Elaborazione Dati Specifica per AI 4.10.1 Utilizzi Permessi I Dati Personali del Cliente possono essere elaborati tramite funzionalità AI esclusivamente per fornire i servizi contrattati. Non è permesso alcun altro utilizzo. 4.10.2 Divieto di Formazione del Modello Il Processor e tutti gli AI Subprocessor si impegnano a: ● I Dati Personali del Cliente NON saranno utilizzati per addestrare, perfezionare o migliorare alcun modello di machine learning (per i livelli a pagamento) ● Questa restrizione si applica indipendentemente dalle altre politiche del fornitore di AI ● Il Controller riceverà conferma scritta da tutti i fornitori di AI 4.10.3 Gestione dei Prompt e delle Uscite ● Prompt: Cancellati immediatamente dopo l'elaborazione, massimo 24 ore di retention ● Uscite: Conservate secondo le impostazioni di retention specificate dal Cliente ● Metadata: I fornitori di AI possono conservare metadata limitati solo per il monitoraggio degli abusi 4.10.4 Retention per Monitoraggio Abusi I fornitori di AI possono conservare dati limitati per 30 giorni per monitorare abusi, frodi e attività illegali. Questi dati sono separati dai dati di prompt/uscita. 4.10.5 Trasparenza del Fornitore di AI Il Processor garantirà che gli AI Subprocessor forniscano: ● Rapporti trimestrali sulle pratiche di gestione dei dati ● Notifiche di incidenti allineate con la Sezione 4.6 ● Documentazione delle misure protettive tecniche 4.11 Coordinamento dei Diritti dei Soggetti Dati 4.11.1 Ambito delle Richieste dei Soggetti Dati Le Richieste di Accesso ai Dati dei Soggetti (DSAR) devono includere i dati detenuti dal Processor e da tutti i Subprocessor, inclusi i fornitori di AI. 4.11.2 Procedure di Coordinamento Il Processor dovrà: ● Riconoscere il ricevimento delle DSAR entro 5 giorni lavorativi ● Coordinarsi con gli AI Subprocessor per recuperare i dati entro 10 giorni lavorativi ● Fornire risposta consolidata al Controller entro 30 giorni di calendario ● Garantire che le cancellazioni siano eseguite in tutti i sistemi e subprocessori 4.11.3 Cooperazione dei Subprocessor Tutti i Subprocessor devono cooperare pienamente con le richieste di DSAR senza addebitare costi aggiuntivi per richieste ragionevoli.
TRASFERIMENTI INTERNAZIONALI DI DATI 5.1 Quadro di Privacy Dati UE-US Nella misura in cui i Dati Personali provengono dall'UE o dal Regno Unito, il Processor si basa sul Quadro di Privacy Dati UE-US e sull'Estensione UK per il trasferimento internazionale lecito. Il Processor è certificato secondo entrambi i quadri. 5.2 Clausole Contrattuali Standard Per trasferimenti non coperti da decisioni di adeguatezza, il Processor incorpora le Clausole Contrattuali Standard per riferimento (Allegato D). Queste clausole si applicano all'EEA, al Regno Unito e ad altre giurisdizioni che richiedono misure di protezione. 5.3 Trasferimenti dei Subprocessor Tutti i Subprocessor, inclusi i fornitori di AI, sono contrattualmente vincolati a meccanismi di trasferimento equivalenti. Il Processor garantisce misure di protezione appropriate per tutti i trasferimenti successivi. 5.4 Valutazioni d'Impatto del Trasferimento Il Processor deve condurre Valutazioni d'Impatto del Trasferimento come richiesto dalla legge e fornire documentazione su richiesta.
TERMINE E RISOLUZIONE 6.1 Data di Entrata in Vigore Il presente Accordo è efficace dal 23 febbraio 2026 e continua per la durata dell'Accordo di Servizio. 6.2 Risoluzione In caso di risoluzione o scadenza dell'Accordo di Servizio, il Processore deve, a discrezione del Controllore: ● Eliminare tutti i Dati Personali entro 30 giorni ● Restituire tutti i Dati Personali in un formato strutturato, di uso comune e leggibile da macchina 6.3 Obblighi Post-Risoluzione Le obbligazioni di riservatezza, sicurezza e audit sopravvivono alla risoluzione per il periodo richiesto dalla legge.
RESPONSABILITÀ E INDENNIZZO 7.1 Responsabilità del Processore Il Processore è responsabile per i danni causati dal mancato rispetto degli obblighi previsti dal presente Accordo, soggetti ai limiti dell'Accordo di Servizio. 7.2 Indennizzo Il Processore dovrà indennizzare e manlevare il Controllore da reclami di terzi derivanti dalla violazione da parte del Processore della normativa sulla protezione dei dati applicabile. 7.3 Responsabilità dei Subprocessori Il Processore deve garantire che tutti i Subprocessori forniscano obblighi equivalenti di responsabilità e indennizzo.
LEGGE APPLICABILE Il presente Accordo sarà regolato e interpretato in conformità con le leggi della giurisdizione in cui si trova il Controllore, con le leggi sulla protezione dei dati applicabili (GDPR, CCPA, ecc.) che prevalgono. ALLEGATO A: CATEGORIE DI DATI PERSONALI Le seguenti categorie di Dati Personali possono essere elaborate dal Processore: ● Dati di Identificazione: Nome, indirizzo email, numero di telefono, ID utente, indirizzo IP ● Dati di Profilo: Posizione lavorativa, dipartimento, organizzazione, ruolo, preferenze ● Dati di Utilizzo: Frequenza di accesso, utilizzo delle funzionalità, durata della sessione, interazioni ● Dati di Comunicazione: Messaggi, storie di chat, registri di collaborazione ● Dati Documentali: File, documenti e contenuti caricati o creati ● Dati Tecnici: Informazioni sul dispositivo, tipo di browser, sistema operativo, registri di sistema ● Dati Comportamentali: Schemi di coinvolgimento con il servizio, adozione delle funzionalità, analisi ● Dati di Transazione: Dettagli dell'abbonamento, informazioni sui pagamenti (tokenizzati) ● Dati Elaborati da AI: Testo, documenti o contenuti input nelle funzionalità AI Categorie specifiche elaborate dipendono dai servizi sottoscritti e sono dettagliate nell'Accordo di Servizio. ALLEGATO B: SUBPROCESSORI AUTORIZZATI I seguenti Subprocessori sono autorizzati a elaborare Dati Personali per conto del Controllore. Tutti sono vincolati da Accordi di Elaborazione Dati che incorporano i requisiti di questo Accordo. Nome del Sub-processore Luogo Scopo Misure di sicurezza Anthropic Claude API USA (San Francisco, CA) Elaborazione AI, analisi del testo, generazione di contenuti SOC 2 in corso, ISO 27001 in corso, DPA con Data Privacy Framework OpenAI USA (San Francisco, CA) Elaborazione AI, embeddings, inferenza del modello linguistico SOC 2 in corso, ISO 27001 in corso, DPA con SCCs Google Gemini API USA (Multiple locations) Elaborazione AI, inferenza multimodale SOC 2 in corso, ISO 27001 in corso, Google Cloud DPA AWS (Provider di Infrastruttura) USA, UE (selezione regionale) Archiviazione dati, risorse di calcolo, backup e DR SOC 2 in corso, ISO 27001 in corso, DPA con DPF SendGrid (Servizi Email) USA (Denver, CO) Consegna e registrazione email transazionali SOC 2 in corso, ISO 27001 in corso, conformità DPA Tutti i Subprocessori AI sono contrattualmente vincolati a: ● Mantenere DPA allineati con questo Accordo ● Proibire l'uso dei Dati Personali del Cliente per l'addestramento del modello (tier a pagamento) ● Cancellare i prompt entro 24 ore, tranne per il monitoraggio degli abusi (conservazione di 30 giorni) ● Fornire SOC 2 nei report progressivi annuali ● Notificare al Processor le violazioni dei dati entro 48 ore ● Collaborare con le richieste di audit e le indagini sui soggetti dei dati Il Processor deve fornire un preavviso di 30 giorni prima di aggiungere o rimuovere i Sub-processori. SCHEDA C: MISURE TECNICHE E ORGANIZZATIVE Il Processor implementa le seguenti misure tecniche e organizzative per garantire una sicurezza adeguata: Misure Tecniche ● Crittografia: crittografia AES-256 per i dati a riposo; TLS 1.2+ per i dati in transito ● Controlli di Accesso: RBAC, principio del minimo privilegio, autenticazione a più fattori ● Autenticazione: Politiche di password forti, integrazione SSO, gestione delle sessioni ● Monitoraggio: Monitoraggio della sicurezza in tempo reale, rilevamento delle intrusioni, analisi dei log ● Gestione delle Vulnerabilità: Test di penetrazione, scansione delle vulnerabilità, gestione delle patch ● Sicurezza della Rete: Firewall, protezione DDoS, segmentazione della rete ● Backup e Ripristino: Backup automatizzati giornalieri, ridondanza geografica, procedure di recupero Misure Organizzative ● Formazione del Personale: Formazione annuale su GDPR e protezione dei dati ● Gestione degli Accessi: Controlli dei precedenti per i dipendenti con accesso ai dati ● Accordi di Riservatezza: Tutto il personale firma accordi di riservatezza ● Risposta agli Incidenti: Procedure documentate con esercitazioni regolari ● Responsabile della Protezione dei Dati: DPO nominato disponibile ( dpo@syntari.ai ) ● Tracce di Audit: Registrazione completa di tutti gli accessi e modifiche ai dati ● Gestione dei Fornitori: I Sub-processori devono sottoporsi a valutazione della sicurezza Misure di Sicurezza Specifiche per l'IA ● Isolamento dei Prompt: Prompt elaborati in ambienti isolati ed efimeri ● Nessuna Contaminazione Incrociata: Dati provenienti da clienti diversi mai mescolati ● Filtraggio dei Metadata: Metadata PII rimossi dai log dell'IA ● Validazione degli Output: Output esaminati per fuga accidentale di dati ● Monitoraggio Continuo: Monitoraggio degli abusi da parte del fornitore di IA per 30 giorni Certificazione e Conformità ● SOC 2 in corso: Audit annuale da parte di revisori indipendenti ● ISO 27001 in corso: Sistema di gestione della sicurezza delle informazioni certificato ● Conformità al GDPR: Certificato da consulenti esterni per la protezione dei dati ● Valutazioni Regolari: Valutazioni di sicurezza da terzi ogni 12 mesi SCHEDA D: CLAUSOLE CONTRATTUALI STANDARD Questa Scheda incorpora le Clausole Contrattuali Standard ("SCCs") come meccanismi per trasferimenti internazionali di dati leciti. D.1 Ambito Le SCCs si applicano ai trasferimenti di Dati Personali dall'EEA, Regno Unito o altra giurisdizione che richieda garanzie aggiuntive verso luoghi al di fuori di tale giurisdizione. D.2 Selezione del Modulo Il Processore e il Controllore sono parti nei trasferimenti da Controllore a Processore soggetti al Modulo 2 delle Clausole Contrattuali Standard (C2P). D.3 Clausole incorporate Le seguenti Clausole Contrattuali Standard sono incorporate per riferimento: ● Clausola 1: Scopo e Durata ● Clausola 2: Dettagli del Trattamento ● Clausola 3: Sottoprocessamento ● Clausola 4: Assistenza con i Diritti ● Clausola 5: Assistenza con gli Obblighi ● Clausola 6: Cancellazione o Restituzione ● Clausola 7: Diritti di Audit ● Clausola 8: Diritti dei Soggetti Interessati ● Clausola 9: Trasferimenti Internazionali ● Clausola 10: Responsabilità del Sottocontrattista del Processore Testo completo disponibile presso: https://ec.europa.eu/commission/presscorner/detail/en/ip_21_2847 D.4 Certificazione del Quadro di Protezione dei Dati Il Processore è certificato ai sensi del Quadro di Riservatezza UE-USA e dell'Estensione UK, fornendo un meccanismo di adeguatezza alternativo per i trasferimenti coperti. D.5 Valutazione di Adeguatezza Il Processore ha condotto una valutazione d'impatto sui trasferimenti concludendo che: ● La legge statunitense fornisce adeguate garanzie attraverso protezioni legali e contrattuali ● Il Quadro di Riservatezza fornisce diritti e rimedi solidi ● Misure tecniche e organizzative offrono difesa contro la sorveglianza di massa D.6 Trasferimenti di Sottoprocessori Tutti i Sottoprocessori adottano meccanismi di trasferimento equivalenti: ● Clausole Contrattuali Standard (Modulo 2 o Modulo 3) ● Certificazione del Quadro di Riservatezza ● Norme Aziendali Vincolanti ● Decisioni di Adeguatezza D.7 Rimedi e Esecuzione I soggetti interessati mantengono tutti i diritti ai sensi delle SCC e possono perseguire reclami contro il Processore nella giurisdizione in cui si trova il soggetto interessato o dove è stabilito il Processore. ESECUZIONE Questo Accordo di Trattamento dei Dati è eseguito a partire dal 23 febbraio 2026.
PER SYNTARI AI, INC.:
Rappresentante Autorizzato Titolo: _____________________ Data: _____________________
PER IL CLIENTE:
Rappresentante Autorizzato Titolo: _____________________ Data: _____________________