AVVISO E ADDENDUM GDPR
VERSIONE 3.0
Data di entrata in vigore: 23 febbraio 2026
Syntari International, Inc.
855 Boylston Street, Suite 1000
Boston, MA 02116
© 2026 Syntari International, Inc. Tutti i diritti riservati.
-
OBIETTIVO E SCOPI DEL DOCUMENTO
Questo Avviso e Addendum GDPR ("Avviso") integra e aggiorna le politiche sulla privacy e gli accordi di trattamento dei dati di Syntari International, Inc. ("Azienda," "Titolare del trattamento," o "noi") per affrontare la conformità a:
● Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati - GDPR)
● Regolamento (UE) 2023/1230 (Legge UE sull'IA)
● Il Quadro per la privacy dei dati UE-USA (DPF) e l'estensione del Regno Unito
● Legge sulla protezione dei dati del Regno Unito 2018 e GDPR del Regno Unito
● Legge federale svizzera sulla protezione dei dati (nFADP)
● Accordo per il trasferimento internazionale dei dati del Regno Unito (UK IDTA)
Questo Avviso è specificamente progettato per i soggetti interessati e i titolari del trattamento che gestiscono dati personali attraverso la piattaforma di consulenza gestionale nativa AI di Syntari. -
INFORMAZIONI SUL TITOLARE DEL TRATTAMENTO
2.1 Contatto principale
Informazioni sul ruolo di contatto
Responsabile della protezione dei dati dpo@syntari.ai
Responsabile della privacy privacy@syntari.ai
Rappresentante UE eu-representative@syntari.ai
Rappresentante UK uk-representative@syntari.ai
Indirizzo postale 855 Boylston Street, Suite 1000, Boston, MA 02116, USA
2.2 Designazione del Titolare del trattamento
Ai fini del GDPR e del GDPR del Regno Unito, Syntari International, Inc. agisce come Titolare del trattamento per i dati personali trattati attraverso la piattaforma. Quando i dati personali sono trattati sia dall'Azienda che dai nostri clienti, potremmo agire come Titolare congiunto come delineato nella Sezione 9. -
CATEGORIE DI DATI PERSONALI TRATTATI
3.1 Dati personali standard
● Informazioni sull'identità (nome, email, titolo professionale, organizzazione)
● Informazioni di contatto (telefono, indirizzo fisico, indirizzo IP)
● Credenziali professionali e storico lavorativo
● Dati di autenticazione (password, chiavi API, token di sessione)
● Log delle attività e analisi del comportamento degli utenti
3.2 Dati personali specifici per l'IA
● Prompts e query inviate dagli utenti ai sistemi IA
● Output e raccomandazioni generate dall'IA
● Registri delle conversazioni e cronologia delle interazioni
● Preferenze degli utenti per la selezione e i parametri del modello IA
● Metadati relativi all'elaborazione IA (timestamp, versioni dei modelli, registri delle inferenze)
● Informazioni sulla provenienza dei dati di addestramento
3.3 Categorie speciali
● Dati sulla salute (quando forniti in contesti di consultazione)
● Metriche di diversità e inclusione (quando pertinenti agli impegni di consultazione) -
BASI LEGALE PER IL TRATTAMENTO (ARTICOLO 6 GDPR)
Trattiamo i dati personali sulla base dei seguenti fondamenti leciti:
● Necessità contrattuale: Trattamento necessario per fornire i servizi da te richiesti
● Interessi legittimi: Analisi, sicurezza, prevenzione frodi e miglioramento dei servizi
● Obbligo legale: Conformità con requisiti fiscali, lavorativi e normativi
● Consenso: Per comunicazioni di marketing e funzionalità opzionali del servizio (ove applicabile)
● Interesse pubblico: Raccomandazioni di consulenza che promuovono le migliori pratiche del settore dei servizi professionali
4.1 Test di bilanciamento degli interessi legittimi per il trattamento IA
Quando trattiamo dati personali tramite sistemi IA, conduciamo il seguente test di bilanciamento:
● Valutazione della necessità: Se il trattamento IA è il mezzo meno invasivo per raggiungere lo scopo
● Revisione della proporzionalità: Vantaggio per il soggetto dei dati e l'azienda rispetto all'impatto sulla privacy
● Analisi delle aspettative ragionevoli: Se il soggetto dei dati si aspetterebbe ragionevolmente tale trattamento
● Minimizzazione dei dati: Utilizzare solo i dati necessari per addestrare, perfezionare o operare i modelli IA
● Misure di trasparenza: Chiarezza nella divulgazione del coinvolgimento dell'IA nel processo decisionale -
TRASFERIMENTI INTERNAZIONALI DI DATI
5.1 Quadro di privacy dei dati UE-USA (DPF)
Syntari International, Inc. si conforma al Quadro di privacy dei dati UE-USA (DPF) come stabilito dal Dipartimento del Commercio degli Stati Uniti, riguardo al trattamento dei dati personali trasferiti dall'Unione Europea e dal Regno Unito agli Stati Uniti.
● Certificazione DPF: Syntari AI è certificata sotto il DPF
● Estensione della FADP Svizzera: Ci conformiamo anche all'estensione svizzera del DPF per i dati personali svizzeri
● Responsabilità: Rimaniamo responsabili se non rispettiamo i principi del DPF
● Esecuzione: Soggetti all'autorità investigativa della Commissione Federale del Commercio degli Stati Uniti (FTC)
5.2 Clausole contrattuali standard (SCC)
Dove il DPF è insufficiente o per protezione supplementare, ci basiamo sulle Clausole contrattuali standard (Decisione della Commissione 2021/914) per i trasferimenti a:
● Fornitori di servizi IA di terze parti
● Fornitori di infrastrutture tecniche
● Subprocessori e subappaltatori
5.3 Meccanismi di trasferimento specifici per il Regno Unito
Per i dati personali del Regno Unito, utilizziamo:
● Decisione di adeguatezza del Regno Unito (ove applicabile)
● Accordo di trasferimento internazionale dei dati del Regno Unito (UK IDTA)
● Clausole contrattuali standard specifiche per il Regno Unito
5.4 Valutazione d'Impatto sulle Trasferte (TIA) - Post-Schrems II
Effettuiamo valutazioni d'impatto per tutti i trasferimenti al di fuori dell'EEA e implementiamo salvaguardie supplementari:
● Valutazione delle leggi nazionali che influenzano i dati UE nei paesi destinatari
● Valutazione dell'accesso da parte delle autorità governative
● Implementazione di crittografia e controlli di accesso
● Documentazione e registri di controllo per tutti i trasferimenti transfrontalieri -
FORNITORI DI AI E SUB-PROCESSORI
6.1 Sub-Processori di AI Autorizzati
I seguenti fornitori di servizi di AI elaborano dati personali (inclusi input, output e registri di conversazione) per nostro conto:
Fornitore di AI Tipo di Servizio Luogo di Elaborazione Meccanismo di Trasferimento
Anthropic PBC API Modello Linguistico di Grandi Dimensioni Stati Uniti EU-U.S. DPF, SCCs
OpenAI Inc. API ChatGPT/GPT-4 Stati Uniti EU-U.S. DPF, SCCs
Google LLC Modelli Vertex AI / PaLM Stati Uniti, Multi-regione EU-U.S. DPF, SCCs
6.2 Diritti di Audit dei Sub-Processori
I controllori e i soggetti dei dati (su richiesta) hanno il diritto di auditare la conformità dei sub-processori di AI tramite:
● Rapporti annuali SOC 2 in corso (certificazioni del Servizio di Controllo delle Organizzazioni)
● Certificazioni di conformità ISO 27001 in corso
● Attestazioni di conformità al GDPR e Data Processing Addenda
● Valutazioni di sicurezza a richiesta (con 30 giorni di preavviso scritto)
I rapporti di audit possono essere richiesti tramite dpo@syntari.ai. -
DECISIONI AUTOMATIZZATE E AI ARTICOLO 22
7.1 Articolo 22 GDPR - Diritto di non essere soggetti a decisioni basate esclusivamente su trattamenti automatizzati
I soggetti dei dati hanno il diritto di non essere soggetti a decisioni basate esclusivamente su un'elaborazione automatizzata (inclusa AI) che produce effetti legali o similmente significativi.
7.2 Categorie di Decisioni AI
Syntari AI elabora dati personali tramite AI per:
● Raccomandazioni (insights di consulenza non vincolanti)
● Valutazione dei rischi e profilazione
● Analisi delle performance e benchmarking
● Suggerimenti per l'ottimizzazione del personale
7.3 Requisiti di Supervisione Umana
Per qualsiasi decisione con effetti legali o significativi, forniamo:
● Revisione umana da parte di consulenti qualificati
● Chiara spiegazione del coinvolgimento dell'AI
● Diritto di richiedere decisioni umane
● Diritto di contestare le conclusioni derivate dall'AI
7.4 Diritto all'Explaining
I soggetti dei dati hanno il diritto di richiedere spiegazioni su:
● Perché un modello AI ha generato un output particolare
● La logica e il ragionamento dietro le raccomandazioni
● Quali input di dati hanno influenzato la decisione
● Come i dati di addestramento influenzano i risultati -
ALLINEAMENTO ALL'ATTO SULL'IA DELL'UE (ARTICOLI 13-14)
8.1 Trasparenza del sistema IA (Articolo 13)
Per i sistemi IA ad alto rischio, forniamo documentazione trasparente:
● Identificazione e scopo del sistema IA
● Utilizzo previsto e utenti target
● Classificazione del rischio (basso, medio, alto)
● Fonte e provenienza dei dati di addestramento
● Panoramica del tipo e dell'architettura del modello
● Logica decisionale e limitazioni
8.2 Supervisione umana (Articolo 14)
Requisiti di supervisione umana:
● Revisori umani designati per decisioni IA ad alto rischio
● Capacità di override per raccomandazioni automatizzate
● Addestramento sulle limitazioni e i pregiudizi del sistema IA
● Documentazione delle decisioni di override
8.3 Classificazione del rischio IA
Le nostre attività di elaborazione IA sono classificate come:
● Rischio basso: Analisi generali, dashboard delle performance
● Rischio medio: Motori di raccomandazione, analisi predittive
● Rischio alto: Decisioni sul personale, raccomandazioni retributive (dove hanno effetto legale) -
VALUTAZIONE DELL'IMPATTO SULLA PROTEZIONE DEI DATI (DPIA) PER L'IA
9.1 Quando è richiesta la DPIA
Conduciamo DPIA formali quando l'elaborazione IA comporta:
● Elaborazione su larga scala di dati personali
● Decisioni automatizzate con effetto legale o significativo
● Monitoraggio sistematico degli individui
● Elaborazione di categorie di dati sensibili o speciali
● Elaborazione che potrebbe limitare diritti o libertà
9.2 Componenti della DPIA per i sistemi IA
● Valutazione di scopo e necessità
● Revisione della minimizzazione dei dati
● Valutazione del rischio (sicurezza dei dati, pregiudizi, discriminazione)
● Misure di mitigazione e salvaguardie
● Meccanismi di supervisione
● Valutazione dei sub-processori
9.3 Disponibilità della DPIA
Le DPIA completate sono disponibili su richiesta per i soggetti interessati e le autorità di controllo via dpo@syntari.ai. -
RECORDS OF PROCESSING ACTIVITIES (ROPA) - ARTICOLO 30
10.1 Documentazione del trattamento dell'IA
Manteniamo registrazioni dettagliate per tutte le attività di trattamento dell'IA, inclusi:
● Scopo e ambito del trattamento
● Nome, versione e tipo del modello IA
● Categorie di dati trattati
● Destinatari e sub-processori
● Periodi di conservazione
● Misure di sicurezza tecniche e organizzative
● Base giuridica per il trattamento
10.2 Documentazione del ciclo di vita del modello
● Fonti di dati per l'addestramento e preprocessing
● Attività di fine-tuning e parametri
● Registrazione delle inferenze e controlli di accesso
● Controllo delle versioni del modello e aggiornamenti
● Procedure di dismissione e cancellazione dei dati -
SCENARI DI CONTROLLORI CONGIUNTI
11.1 Valutazione del controllo congiunto
Quando le organizzazioni clienti controllano il contenuto e l'oggetto delle uscite generate dall'IA, possiamo agire come controllori congiunti. In tali casi:
● È richiesto un Accordo di Controllo Congiunto (Articolo 26 GDPR)
● Le responsabilità per le richieste dei diritti soggettivi sono chiaramente assegnate
● Le responsabilità di comunicazione ai soggetti dei dati sono definite
● Le responsabilità di gestione dei sub-processori sono assegnate
11.2 Scenari di controllore separato
Syntari IA agisce come unico controllore dei dati per:
● Analisi della piattaforma e dati di utilizzo
● Sicurezza del sistema e prevenzione delle frodi
● Parametri di prestazione contrattuale
● Miglioramento delle funzionalità della nostra piattaforma -
DIRITTI E RICHIESTE DEI SOGGETTI DEI DATI
12.1 Ambito delle richieste, inclusi i dati dell'IA
Le richieste dei soggetti dei dati (DSR) includono i seguenti dati specifici dell'IA:
● Tutti i prompt e le query inviati ai sistemi IA
● Uscite e raccomandazioni generate
● Registri completi delle conversazioni e cronologia delle interazioni
● Metadata e registrazioni dei trattamenti
● Provenienza dei dati di addestramento (se i dati soggetti sono stati utilizzati)
12.2 Diritto di accesso (Articolo 15)
I soggetti dei dati hanno il diritto di:
● Confermare se trattiamo i loro dati personali
● Accedere a tutti i dati personali, inclusi gli output generati dall'IA
● Ottenere copie dei dati in formato leggibile da macchina
● Comprendere la logica e il ragionamento alla base delle raccomandazioni dell'IA
12.3 Diritto alla rettifica (Articolo 16)
I soggetti interessati possono richiedere la correzione di dati inaccurati, inclusi:
● Correzioni ai dati di input
● Correzione delle interpretazioni del modello IA
● Richieste di riaddestramento per modelli che interpretano sistematicamente i dati in modo errato
12.4 Diritto alla cancellazione (Articolo 17)
I soggetti interessati possono richiedere la cancellazione con alcune limitazioni:
● Cessazione dell'archiviazione dei dati personali
● Rimozione dai dataset di addestramento e perfezionamento dell'IA
● Rigenerazione degli output se sono stati utilizzati dati personali
● Eccezioni: Obbligo legale, interessi legittimi, compito pubblico
12.5 Diritto a limitare il trattamento (Articolo 18)
I soggetti interessati possono richiedere restrizioni al trattamento per:
● Dati di accuratezza contestata
● Trattamento in attesa della decisione di cancellazione
● Trattamento non più necessario ma necessario per rivendicazioni legali
● Trattamento basato sul consenso in attesa di revoca
12.6 Diritto alla portabilità dei dati (Articolo 20)
I soggetti interessati hanno il diritto di ottenere e riutilizzare i dati in formato leggibile da macchina:
● Esportazione di tutti i dati personali in formati comuni (JSON, CSV, XML)
● Inclusi i log delle conversazioni e la cronologia delle interazioni con l'IA
● Trasmissione diretta ad altri servizi (ove tecnicamente fattibile)
12.7 Diritto di opposizione (Articolo 21)
I soggetti interessati possono opporsi al trattamento per motivi legittimi:
● Trattamento per marketing diretto
● Trattamento basato su interessi legittimi
● Trattamento per profilazione e decisioni automatizzate
12.8 Diritti riguardanti le decisioni automatizzate (Articolo 22)
I soggetti interessati hanno diritti di:
● Richiedere una revisione umana delle decisioni generate dall'IA
● Ricevere spiegazione della logica delle decisioni
● Contestare raccomandazioni con intervento umano
● Opt-out da decisioni puramente automatizzate con effetto legale -
PERIODI DI CONSERVAZIONE DEI DATI
13.1 Conservazione standard dei dati
Giustificazione del periodo di conservazione della categoria di dati
Informazioni sull'account Durata del servizio + 3 anni Requisiti legali/contrattuali
Registrazioni delle transazioni 5-7 anni Conformità fiscale e normativa
Registri delle attività 12 mesi Sicurezza e miglioramento del servizio
Comunicazioni di supporto 2 anni Registrazioni del servizio clienti
13.2 Conservazione specifica per l'IA
Tipo di dati dell'IA Periodo di conservazione Giustificazione
Registri delle conversazioni 12-24 mesi Qualità del servizio, risoluzione delle controversie
Dati di addestramento del modello Ciclo di addestramento + 1 anno Versionamento del modello, audit trail
Registri di inferenza 6-12 mesi Monitoraggio del sistema, debugging
Set di dati di affinamento Fino a che il modello non è dismesso + 1 anno Monitoraggio delle performance del modello -
SICUREZZA DEI DATI E MISURE TECNICHE
14.1 Standard di Sicurezza
● ISO 27001 in corso di certificazione (Gestione della Sicurezza delle Informazioni)
● SOC 2 in corso di conformità (per organizzazioni di servizio)
● Allineamento al NIST Cybersecurity Framework
14.2 Misure Tecniche di Sicurezza
● Crittografia end-to-end per dati in transito (TLS 1.3)
● Crittografia a riposo utilizzando AES-256
● Autenticazione a più fattori per l'accesso amministrativo
● Audit di sicurezza regolari e test di penetrazione
● Sistemi di rilevamento e prevenzione delle intrusioni
● Strumenti di prevenzione della perdita di dati
14.3 Misure Organizzative di Sicurezza
● Controlli di accesso e principi di privilegio minimo
● Formazione sulla protezione dei dati per i dipendenti e NDA
● Verifiche dei precedenti per il personale con accesso ai dati
● Procedure di risposta agli incidenti e notifica delle violazioni -
PROCEDURE DI NOTIFICA DELLE VIOLAZIONI
15.1 Cascata di Notifica 48 Ore
Alla scoperta di una violazione dei dati personali, notifichiamo nella seguente sequenza:
Fase di Notifica Destinatario Tempistica Metodo
Fase 1 (Urgente) Cliente/Controllore Entro 4 ore Email + chiamata
Fase 2 (Formale) Autorità di Vigilanza Entro 48 ore Rapporto scritto a ICO/DPA
Fase 3 (Trasparenza) Soggetti dei dati (se ad alto rischio) Senza indebito ritardo Email con passaggi di rimedio
15.2 Indagine sulla Violazione
● Contenimento e conservazione immediata delle prove
● Analisi delle cause entro 72 ore
● Valutazione dell'ambito (dati colpiti, individui impattati)
● Valutazione del rischio (probabilità di danno per i soggetti dei dati)
● Documentazione di tutte le attività di risposta alla violazione -
PROTEZIONE DEI DATI NEL REGNO UNITO E IN SVIZZERA
16.1 Conformità al GDPR UK
Per i soggetti interessati nel Regno Unito:
● Piena conformità con il Data Protection Act 2018 e il GDPR UK
● Affidamento sulla Decisione di Adeguatezza UK dove applicabile
● Meccanismi IDTA UK per trasferimenti verso paesi non adeguati
● Documentazione specifica per il trattamento dei dati nel Regno Unito
16.2 Allineamento con la FADP svizzera (nFADP)
Per i soggetti dati svizzeri:
● Conformità con la nuova Legge Federale Svizzera sulla Protezione dei Dati (nFADP)
● Diritti di protezione dei dati e requisiti di consenso estesi
● Certificazione di estensione DPF svizzera
● Considerazioni sulla localizzazione dei dati dove richiesto -
PROTEZIONE DEI DATI DEI MINORI NEL CONTESTO DELL'IA
17.1 Verifica dell'età
La piattaforma di Syntari AI è destinata all'uso professionale da parte di persone di 18 anni o più.
● Meccanismi di verifica dell'età sono implementati al momento della creazione dell'account
● Consenso genitoriale richiesto per gli utenti di età compresa tra 13 e 17 anni (dove applicabile dalla giurisdizione)
● Gli utenti di età inferiore ai 13 anni non sono autorizzati a utilizzare la piattaforma
17.2 Restrizioni sulle funzionalità dell'IA per i minori
Per gli utenti di età inferiore ai 18 anni, si applicano le seguenti restrizioni:
● Accesso limitato a determinate funzionalità dell'IA
● Nessun profiling o raccomandazioni basate sugli interessi
● Maggiore trasparenza per qualsiasi decisione automatizzata
● Notifica ai genitori di interazioni significative con l'IA -
INFORMAZIONI SUL CONTATTO PER LA PRIVACY
Tipo di richiesta Contatto Email Tempo di risposta
Richieste dei soggetti interessatidpo@syntari.aiEntro 30 giorni
Richieste di privacyprivacy@syntari.aiEntro 5 giorni lavorativi
Richieste UEeu-representative@syntari.aiEntro 7 giorni
Richieste UKuk-representative@syntari.aiEntro 7 giorni
Notifica di violazionedpo@syntari.ai Escalazione immediata
Reclami dpo@syntari.ai Riconoscere entro 24 ore -
AUTORITÀ DI CONTROLLO E RECLAMI
19.1 Diritto di Presentare Reclamo
I soggetti interessati hanno il diritto di presentare reclami all'autorità di controllo competente:
● European Data Protection Board (per dati dell'UE)
● Information Commissioner's Office (ICO) per dati del Regno Unito
● Commissario Federale Svizzero per la Protezione dei Dati e le Informazioni per dati svizzeri
19.2 Cooperazione con le Autorità
Collaboriamo pienamente con le indagini delle autorità di controllo e forniamo:
● Risposte tempestive alle richieste di indagine
● Registri completi delle attività di trattamento
● Documentazione delle misure di conformità
● Accesso ai dati soggetti quando autorizzato -
VERSIONE DOCUMENTO E CONTROLLO
Valore Attributo
Titolo Documento Avviso GDPR & Addendum
Versione 3.0
Data di Efficacia 23 febbraio 2026
Emesso Da Responsabile della Protezione dei Dati
Ultimo Aggiornamento 23 febbraio 2026
Data Prossima Revisione 23 febbraio 2027
Questo documento sostituisce tutte le versioni precedenti dell'Avviso GDPR.
Per domande su questo Avviso, si prega di contattare dpo@syntari.ai.
