Addendum sulla residenza dei dati

ADDENDUM SULLA RESIDENZA DEI DATI
Versione 1.0
Data di entrata in vigore: 23 febbraio 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116

SCOPI E FINALITÀ
Questo Addendum sulla residenza dei dati (il "Addendum") integra e viene incluso nell'Accordo sul trattamento dei dati (il "DPA") tra Syntari International, Inc. ("Società") e il Cliente, e regola la/le localizzazione(i) geografica(e) dove i Dati del Cliente saranno archiviati, trattati e copiati. Questo Addendum stabilisce requisiti specifici sulla residenza dei dati, opzioni regionali disponibili e meccanismi per la conformità alle normative sulla protezione dei dati e localizzazione applicabili.
Questo Addendum si applica a tutti i Dati del Cliente trattati dalla Società in relazione alla fornitura della piattaforma Syntari e delle sue funzionalità basate sull'IA, inclusi, a titolo esemplificativo, analisi, raccomandazioni e approfondimenti generati attraverso fornitori di IA di terze parti.
DEFINIZIONI
Oltre ai termini definiti nel DPA, le seguenti definizioni si applicano a questo Addendum:
"Residenza dei Dati": La specifica regione geografica(i) dove i Dati del Cliente vengono archiviati, copiati e replicati, come specificato in una Specifica di Residenza dei Dati.
"Localizzazione dei Dati": Requisiti legali o normativi che impongono il luogo in cui specifiche categorie di dati devono essere archiviati o trattati.
"Luogo di Trattamento": Qualsiasi località geografica in cui i Dati del Cliente vengono accessibili, letti, analizzati, trasformati o altrimenti trattati, inclusi da fornitori di IA di terze parti.
"Luogo di Archiviazione": I centri dati fisici o virtuali in cui i Dati del Cliente a riposo vengono mantenuti e archiviati.
"Luogo di Transito": I percorsi geografici attraverso i quali i Dati del Cliente viaggiano durante la trasmissione tra sistemi, servizi o regioni.
RESIDENZA DEI DATI PREDEFINITA
A meno che il Cliente non abbia selezionato un'opzione regionale alternativa ai sensi della Sezione 5, i Dati del Cliente saranno archiviati e copiati negli Stati Uniti come segue:
3.1 Archiviazione Primaria
● AWS US-EAST-1 (Virginia del Nord, USA)
● AWS US-WEST-2 (Oregon, USA)
3.2 Backup e Recupero da Disastri
● AWS US-EAST-2 (Ohio, USA) per ridondanza e failover
3.3 Trattamento IA
Il trattamento IA da parte di fornitori di terze parti avviene negli Stati Uniti, indipendentemente dalla regione di archiviazione primaria selezionata dal Cliente (vedi Sezione 4 per i dettagli).
LUOGHI DI TRATTAMENTO DATI DEI FORNITORI IA
Syntari utilizza fornitori di IA di terze parti per alimentare le sue analisi e funzionalità IA. I seguenti luoghi di trattamento principali vengono divulgati per ciascun fornitore:
Fornitore IA Luogo Primario di Trattamento Luogo Secondario
Anthropic (Claude) Stati Uniti (centri dati basati negli Stati Uniti) N/A – solo USA
OpenAI (GPT) Stati Uniti (infrastruttura basata negli Stati Uniti) N/A – solo USA
Google Cloud AI (Gemini) Stati Uniti (configurabile tramite le regioni di Google Cloud) Disponibile solo nelle regioni statunitensi per Syntari

4.1 Termini di elaborazione dei dati del fornitore AI
I dati del cliente elaborati dai fornitori di AI possono essere temporaneamente conservati da tali fornitori per scopi di miglioramento del servizio. I seguenti termini di conservazione si applicano:
● Anthropic: I dati possono essere conservati fino a 30 giorni per miglioramenti del modello e rilevamento degli abusi
● OpenAI: I dati possono essere conservati secondo la politica di conservazione dei dati API di OpenAI (tipicamente 30 giorni)
● Google Cloud AI: La conservazione dei dati dipende dalle politiche e dagli accordi di Google Cloud configurati
4.2 Dichiarazione di elaborazione
Il cliente riconosce che l'utilizzo delle funzionalità di AI costituisce un'operazione di elaborazione dei dati da parte dei fornitori di AI di terze parti. Tutta l'elaborazione dei dati AI avviene negli Stati Uniti. I dati del cliente non saranno indirizzati a fornitori di AI non statunitensi a meno che il cliente non richieda esplicitamente tale instradamento e rispetti le normative sulle trasferimenti di dati applicabili.
5. OPZIONI REGIONALI DISPONIBILI
Per soddisfare i vari requisiti normativi e commerciali, Syntari offre le seguenti opzioni di archiviazione regionali. L'elaborazione AI rimane basata negli Stati Uniti indipendentemente dalla selezione della regione di archiviazione. Il cliente deve specificare la propria regione selezionata durante l'onboarding.
5.1 Regione degli Stati Uniti (Predefinita)
● Archiviazione: AWS US-EAST-1, US-WEST-2
● Backup: AWS US-EAST-2
● Elaborazione AI: fornitori degli Stati Uniti
● Disponibilità: tutti i clienti
5.2 Regione dell'Unione Europea (UE)
● Archiviazione: AWS EU-WEST-1 (Irlanda), AWS EU-CENTRAL-1 (Francoforte)
● Backup: regioni AWS basate nell'UE
● Elaborazione AI: Stati Uniti (dati trasferiti per l'elaborazione AI secondo la Sezione 4)
● Disponibilità: clienti dell'UE/SEE soggetti al GDPR
● Nota: La selezione dell'archiviazione nell'UE non impedisce l'elaborazione AI negli Stati Uniti
5.3 Regione del Regno Unito (UK)
● Archiviazione: AWS EU-WEST-2 (Londra)
● Backup: regioni AWS basate nell'UE
● Elaborazione AI: Stati Uniti (dati trasferiti per l'elaborazione AI)
● Disponibilità: clienti UK soggetti al GDPR UK e alla Legge sulla protezione dei dati del 2018
5.4 Regione del Canada
● Archiviazione: AWS CA-CENTRAL-1 (Canada Centrale)
● Backup: regioni AWS basate in Canada
● Elaborazione AI: Stati Uniti (dati trasferiti per l'elaborazione AI)
● Disponibilità: clienti canadesi soggetti al PIPEDA e ai requisiti normativi
5.5 Limitazione Importante
Il cliente riconosce che indipendentemente dalla regione di archiviazione selezionata, l'utilizzo delle funzionalità di AI comporterà il trasferimento dei dati e l'elaborazione da parte dei fornitori di AI con sede negli Stati Uniti. Se il cliente richiede che i dati non transitino mai negli Stati Uniti, deve disabilitare tutte le funzionalità e la funzionalità di elaborazione AI.
6. MECCANISMI DI TRASFERIMENTO
Quando i dati del cliente devono essere trasferiti oltre confine, inclusi da UE/SEE agli Stati Uniti per l'elaborazione AI, l'azienda si affida ai seguenti meccanismi di trasferimento legittimi:
6.1 Framework di Privacy dei Dati UE-USA
Per i trasferimenti di dati personali dall'UE/SEE agli Stati Uniti, l'azienda e i suoi sub-processori di AI si affidano al Framework di Privacy dei Dati UE-USA (DPF), che ha sostituito il framework Privacy Shield invalidato. Questo framework stabilisce l'idoneità della protezione dei dati negli Stati Uniti ai fini delle restrizioni sul trasferimento dei dati dell'UE.
6.2 Clausole Contrattuali Standard
Come meccanismo supplementare, l'azienda incorpora le Clausole Contrattuali Standard (Modulo Due: Responsabile al Processore e Modulo Tre: Processore al Sub-processore) adottate dalla Decisione della Commissione 2021/914 del 4 Giugno 2021, con tutte le necessarie misure tecniche e organizzative supplementari come richiesto dalla decisione CJEU Schrems II.
6.3 Accordo di Trasferimento dei Dati Internazionali UK
Per il trasferimento dei dati personali nel Regno Unito negli Stati Uniti, l'Azienda rispetta l'Accordo sul trasferimento internazionale dei dati (UK IDTA) e incorpora le Clausole contrattuali standard approvate secondo la legge sulla protezione dei dati del Regno Unito.
6.4 Valutazioni di impatto sul trasferimento
L'Azienda ha condotto valutazioni di impatto sul trasferimento dei dati (DTIA) e valutazioni d'impatto sul trasferimento (TIA) valutando il quadro giuridico per il trasferimento dei dati negli Stati Uniti, inclusa la valutazione delle leggi americane sulla sorveglianza e l'adeguatezza delle garanzie. Le valutazioni sono disponibili su richiesta per audit normativi o richieste di accesso da parte dell'interessato.
7. REQUISITI NORMATIVI
Questo Addendum riflette l'impegno dell'Azienda per la conformità alle normative applicabili sulla protezione dei dati e localizzazione:
7.1 Articoli 44-49 del GDPR
L'Azienda garantisce che i trasferimenti di dati personali dall'UE/SEE siano eseguiti solo sulla base di meccanismi di trasferimento legittimi (DPF, SCC) come richiesto dal Capitolo V del GDPR. L'Azienda esegue valutazioni di impatto sul trasferimento per ciascun meccanismo di trasferimento.
7.2 Misure supplementari Schrems II
A seguito della sentenza Schrems II della CGUE, l'Azienda attua misure supplementari organizzative e tecniche, tra cui:
● Crittografia dei dati in transito e a riposo dove tecnicamente fattibile
● Principi di minimizzazione dei dati per l'elaborazione AI
● Pseudonimizzazione dei dati quando applicabile
● Controlli di accesso ristretto per le richieste delle forze dell'ordine estere
7.3 DORA (Legge sulla resilienza operativa digitale)
Per i clienti dei servizi finanziari, l'Azienda è conforme ai requisiti di DORA riguardanti la resilienza operativa, la gestione del rischio delle terze parti e la segnalazione degli incidenti ICT, inclusa la resilienza basata sulla posizione dei centri dati critici.
7.4 Regolamento sulla localizzazione dei dati assicurativi
L'Azienda riconosce che i regolatori assicurativi in varie giurisdizioni (inclusi alcuni stati americani) possono imporre requisiti di localizzazione dei dati. Il Cliente è responsabile dell'identificazione e della comunicazione dei mandati di localizzazione applicabili all'Azienda. L'Azienda collaborerà con il Cliente per implementare configurazioni di storage conformi.
7.5 APRA CPS 234 (Australia)
Per i clienti dei servizi finanziari australiani, l'Azienda riconosce lo Standard prudenziale CPS 234 dell'Autorità prudenziale australiana (APRA) riguardo alla residenza critica dei dati in Australia. I clienti soggetti all'APRA CPS 234 non dovrebbero selezionare regioni di storage negli Stati Uniti o nell'UE senza un'approvazione normativa esplicita e dovrebbero contattare l'Azienda per la disponibilità della regione australiana (se disponibile).
8. CONTROLLI DEL CLIENTE
8.1 Selezione della regione dei dati
Il Cliente può selezionare la propria regione di storage preferita durante l'onboarding. La selezione della regione dovrebbe essere effettuata tenendo conto dei requisiti normativi applicabili e delle esigenze aziendali. La selezione della regione è documentata nella Specifica sulla residenza dei dati.
8.2 Migrazione della regione
Il Cliente può richiedere la migrazione dei dati in una regione alternativa. Le richieste di migrazione della regione devono essere presentate a privacy@syntari.ai. L'Azienda fornirà una tempistica e una valutazione dell'impatto per la migrazione richiesta. Le tempistiche di migrazione variano in base al volume dei dati e possono richiedere una finestra di servizio.
8.3 Verifica e certificazione della residenza dei dati
Su richiesta, l'Azienda fornirà la certificazione della residenza dei dati, inclusi:
● Conferma delle posizioni di storage primarie e di backup
● Attestazione delle certificazioni dei centri dati (SOC 2 in corso, ISO 27001 in corso, ecc.)
● Mappa delle rotte di rete utilizzate per la trasmissione dei dati
8.4 Diritti di audit per la posizione dei dati
Il Cliente conserva il diritto di audit sulle pratiche di residenza dei dati e le posizioni di storage dell'Azienda, sia attraverso i rapporti di audit di terze parti dell'Azienda (SOC 2 in corso, ecc.) che attraverso audit diretti. Le richieste di audit devono essere presentate a dpo@syntari.ai e saranno soggette a procedure di audit consuete e protezioni di riservatezza.
9. TRASPARENZA NEL PROCESSO DI AI
9.1 Divulgazione delle posizioni di elaborazione AI
L'Azienda comunica che tutte le funzionalità AI comportano la trasmissione dei Dati del Cliente a fornitori di AI di terze parti situati negli Stati Uniti, inclusi:
● Anthropic (Claude) – elaborazione basata negli Stati Uniti
● OpenAI (GPT) – elaborazione basata negli Stati Uniti
● Google Cloud AI (Gemini) – elaborazione con sede negli Stati Uniti
9.2 Mantenimento e Cancellazione dei Provider AI
I Dati dei Clienti trasmessi ai provider AI possono essere conservati temporaneamente (fino a 30 giorni per Anthropic e OpenAI) per miglioramenti del servizio e rilevazione di abusi. Trascorso il periodo di conservazione, i provider AI cancelleranno o anonimizzeranno tali dati. L'azienda non controlla la conservazione dei provider AI oltre i termini dei nostri accordi con tali provider.
9.3 Notifica al Cliente dei Cambiamenti di Posizione dei Provider AI
Se un provider AI cambia la sua posizione principale di elaborazione al di fuori degli Stati Uniti, o espande l'elaborazione in luoghi non statunitensi, l'azienda fornirà al Cliente una tempestiva comunicazione scritta (entro 10 giorni lavorativi dalla presa di consapevolezza di tale cambiamento) a privacy@syntari.ai e dpo@syntari.ai (se applicabile). Il Cliente può quindi richiedere provider AI alternativi o rinunciare alle funzionalità AI.
9.4 Rinuncia a Specifici Provider AI
Il Cliente può rinunciare a specifici provider AI in base a preoccupazioni sulla posizione dei dati. Per rinunciare, il Cliente deve inviare una richiesta a privacy@syntari.ai specificando quale/i provider/escludere. L'azienda configurerà la piattaforma Syntari per disabilitare le funzionalità alimentate dai provider esclusi. Le richieste di rinuncia potrebbero influire sulla disponibilità o funzionalità delle funzionalità.
10. GESTIONE DELLA POSIZIONE DEI SOTTOSUPPLIER
10.1 Requisiti per la Posizione dei Sottosupplier
L'azienda può coinvolgere sottosupplier per assistere con l'elaborazione dei dati. Tutti i sottosupplier devono mantenere i Dati dei Clienti in posizioni coerenti con questo Addendum (o nelle posizioni specificate dal Cliente). I sottosupplier devono avere adeguate misure tecniche e organizzative per la protezione dei dati.
10.2 Notifica delle Modifiche ai Sottosupplier
L'azienda fornirà al Cliente una comunicazione scritta riguardo a qualsiasi cambiamento nella posizione dei sottosupplier, inclusa l'aggiunta di nuovi sottosupplier o il trasferimento di sottosupplier esistenti, con almeno 30 giorni di preavviso. La notifica sarà inviata all'indirizzo email del Cliente registrato.
10.3 Diritti di Obiezione del Cliente
Dopo aver ricevuto notifica di un cambiamento di posizione del sottosupplier, il Cliente può obiettare alla nuova posizione entro 15 giorni contattando privacy@syntari.ai. I motivi per obiettare includono preoccupazioni riguardo all'adeguatezza della protezione dei dati nella nuova posizione. L'azienda collaborerà con il Cliente per affrontare le obiezioni, che possono includere l'offerta di sottosupplier o posizioni di archiviazione alternativi.
11. ACCESSO E SORVEGLIANZA GOVERNATIVA
11.1 Reporting di Trasparenza
L'azienda riconosce che i dati memorizzati negli Stati Uniti possono essere soggetti all'accesso da parte delle agenzie governative statunitensi ai sensi della legge statunitense, compresi FISA, il Patriot Act e autorità correlate. L'azienda pubblica rapporti di trasparenza riguardo alle richieste di dati governativi. Rapporti di trasparenza attuali e passati sono disponibili su /legal/ai-transparency-statement (o posizione equivalente).
11.2 Notifica al Cliente
Quando legalmente consentito, l'azienda notificherà al Cliente le richieste di dati governativi entro un periodo di tempo ragionevole. Le notifiche includeranno la natura della richiesta, l'agenzia richiedente e l'ambito dei dati richiesti. Al Cliente verrà data l'opportunità di cercare rimedi legali dove consentito dalla legge.
11.3 Impegni di Controversia Legale
L'azienda si impegna a contestare richieste di dati governativi eccessive o irragionevoli nella misura consentita dalla legge. L'azienda non divulgherà volontariamente i Dati dei Clienti alle agenzie governative senza processo legale, salvo quanto richiesto dalla legge.
11.4 Misure Tecniche Supplementari
Per mitigare i rischi derivanti dall'accesso governativo, l'azienda implementa misure supplementari tra cui:
● Crittografia dei dati in transito e a riposo (dove tecnicamente e commercialmente fattibile)
● Pseudonimizzazione e tokenizzazione dei dati personali sensibili
● Controlli di accesso che limitano la visibilità dei dati grezzi dei clienti al solo personale essenziale
● Minimizazione dei dati nell'elaborazione AI (limitando i dati trasmessi ai provider AI)
12. NOTIFICA DI BREACH E INCIDENTI LOCAZIONE
12.1 Notifica di Breach Specifica per Posizione
In caso di breach di dati o incidente di sicurezza che riguardi i Dati dei Clienti, l'azienda fornirà notifica al Cliente che include:
● Identificazione della posizione di archiviazione o elaborazione in cui si è verificato l'incidente
● Data e ora di scoperta dell'incidente
● Ambito e natura della violazione, inclusi i tipi di dati compromessi
● Misure adottate per garantire e recuperare i dati
● Tempistiche previste per la risoluzione
12.2 Notifica Regolamentare per Giurisdizione
L'azienda supporterà gli obblighi di notifica regolamentare del Cliente fornendo le informazioni necessarie per le notifiche di violazione alle autorità della giurisdizione del Cliente, inclusi:
● Autorità di protezione dei dati UE/EEA (notifiche GDPR Articolo 33 e 34)
● Ufficio del Commissario per l'Informazione del Regno Unito (notifiche UK GDPR e DPA 2018)
● Commissari per la privacy canadesi (notifiche PIPEDA)
● Procuratori generali statali degli Stati Uniti (notifiche secondo la legge statale sulle violazioni)
● Enti di regolamentazione delle assicurazioni
● Autorità di regolamentazione dei servizi finanziari
12.3 Tempistiche di Notifica al Cliente
L'azienda fornirà la notifica iniziale della violazione al Cliente entro 48 ore dalla scoperta dell'incidente, o come richiesto dalla legge applicabile, a seconda di quale scadenza sia precedente. Rapporti dettagliati di follow-up sull'incidente saranno forniti entro 10 giorni lavorativi dalla notifica iniziale.
13. DURATA E RISOLUZIONE
Questo Allegato è efficace dalla data di entrata in vigore e continua per la durata del DPA. Alla risoluzione del DPA, gli obblighi dell'azienda ai sensi di questo Allegato cessano, eccetto che l'azienda continuerà a rispettare gli obblighi di eliminazione dei dati riguardanti i Dati del Cliente come previsto nel DPA.
14. MODIFICA E MODIFICA
L'azienda può modificare questo Allegato previo preavviso scritto di 30 giorni al Cliente. Le modifiche materiali alla residenza dei dati, ai meccanismi di trasferimento o alla conformità normativa saranno soggette al diritto di obiezione del Cliente secondo le procedure del sottoprocessore del DPA (Sezione 10.3). L'uso continuato della piattaforma Syntari dopo il periodo di modifica costituisce accettazione dei termini modificati.
15. INFORMAZIONI DI CONTATTO
Per domande riguardanti la residenza dei dati, opzioni regionali o conformità con questo Allegato, il Cliente dovrebbe contattare:

Privacy e Protezione dei Dati:
Email: privacy@syntari.ai
Responsabile della Protezione dei Dati:
Email: dpo@syntari.ai
Sicurezza e Risposta agli Incidenti:
Email: security@syntari.ai
16. INTERO ACCORDO
Questo Allegato costituisce l'intero accordo tra l'azienda e il Cliente riguardo alla residenza dei dati e alla posizione di elaborazione. In caso di conflitto tra questo Allegato e il DPA, le disposizioni di questo Allegato prevarranno in relazione alle questioni di residenza dei dati.