ACCORDO DI PROCESSO DEI DATI
Questo accordo di trattamento dei dati (“DPA”) costituisce parte integrante del principale accordo stipulato tra il Cliente e AIDOCS STUDIO. Il suo scopo è quello di definire le condizioni in cui AIDOCS STUDIO, che agisce come processore ai sensi del Regolamento (UE) 2016/679 (“GDPR”), processi per conto del Cliente, del titolare del trattamento, dei dati personali necessari per la fornitura dei Servizi come definito nell’Accordo.
- INTERPRETAZIONE
Se questo DPA utilizza i termini definiti nel GDPR, questi termini hanno lo stesso significato del GDPR.
Il presente DPA è letto e interpretato alla luce delle disposizioni del GDPR.
Il presente DPA non è interpretato in modo da contrastare i diritti e gli obblighi previsti dal GDPR o in modo da pregiudicare i diritti fondamentali o le libertà degli interessati.
- HIERARCHÉ
In caso di contraddizione tra questo DPA e le disposizioni degli accordi correlati tra le Parti esistenti al momento dell'accordo o dell'entrata in vigore del presente DPA, prevarrà questa DPA.
- DESCRIZIONE DELLA PROCESSIONE(S)
I dettagli delle operazioni di trattamento, in particolare le categorie di dati personali e le finalità del trattamento per le quali i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell'allegato I.
- OBIETTIVI DELLE PARTI
- Istruzioni
AIDOCS STUDIO elabora i dati personali solo su istruzioni documentate dal titolare del trattamento, a meno che non sia richiesto dal diritto dell'Unione o dello Stato membro a cui è soggetto AIDOCS STUDIO. In questo caso, AIDOCS STUDIO informa il titolare del trattamento di tale requisito legale prima del trattamento, a meno che la legge non lo proibisca per motivi importanti di interesse pubblico. Le istruzioni successive possono essere fornite dal titolare del trattamento per tutta la durata del trattamento dei dati personali. Queste istruzioni sono sempre documentate, lecite, ragionevoli e coerenti con la portata dei Servizi.
AIDOCS STUDIO informa immediatamente il titolare del trattamento se, a parere di AIDOCS STUDIO, le istruzioni fornite dal titolare del trattamento violano il GDPR o le disposizioni applicabili per la protezione dei dati dell’Unione o degli Stati membri.
- Limiti di finalità
AIDOCS STUDIO elabora i dati personali solo per le finalità specifiche del trattamento, come indicato nell'allegato I, a meno che non riceva ulteriori istruzioni dal titolare del trattamento.
- Durata del trattamento dei dati personali
Il trattamento da parte di AIDOCS STUDIO avviene solo per la durata specificata nell'allegato I.
- Sicurezza del trattamento
AIDOCS STUDIO adotta misure tecniche e organizzative appropriate per garantire la sicurezza dei dati personali. Ciò include la protezione dei dati da una violazione della sicurezza che porta a distruzione accidentale o illecita, perdita, alterazione, divulgazione non autorizzata o accesso ai dati (la violazione dei dati personali). Nel valutare il livello di sicurezza appropriato, le Parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, della natura, della portata, del contesto e delle finalità del trattamento e dei rischi connessi agli interessati.
AIDOCS STUDIO concede l'accesso ai dati personali oggetto di trattamento ai membri del proprio personale solo nella misura strettamente necessaria all'attuazione, alla gestione e al monitoraggio del contratto. AIDOCS STUDIO garantisce che le persone autorizzate a trattare i dati personali ricevuti si siano impegnate nella riservatezza o siano soggette ad un obbligo legale di riservatezza appropriato.
- Dati sensibili
Le Parti riconoscono che, a causa della natura dei Servizi, il trattamento dei dati personali può includere dati personali che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche o sindacali, dati genetici o dati biometrici allo scopo di identificare in modo unico una persona fisica, dati riguardanti la salute, la vita sessuale di una persona fisica o l’orientamento sessuale, o dati relativi a condanne penali e reati (“Dati sensibili.
Tale trattamento è limitato a quanto strettamente necessario per l’esecuzione dei Servizi e deve essere effettuato conformemente alle istruzioni documentate del Titolare e come specificato nell’allegato I.
Il Titolare resta il solo responsabile per garantire che il trattamento dei dati sensibili sia lecito in base alle leggi applicabili in materia di protezione dei dati, compresa l'identificazione di una base giuridica appropriata e l'adempimento di eventuali condizioni o garanzie aggiuntive richieste per tale trattamento.
In caso di trattamento dei Dati Sensibili, AIDOCS STUDIO adotta misure tecniche e organizzative appropriate per proteggere tali dati, tenendo conto della natura del trattamento, dei rischi per gli interessati e dello stato dell'arte.
- Documentazione e conformità
Le Parti sono in grado di dimostrare il rispetto di questo DPA.
AIDOCS STUDIO si occupa tempestivamente e adeguatamente delle richieste del titolare del trattamento circa il trattamento dei dati in conformità con il presente DPA.
AIDOCS STUDIO mette a disposizione del controller tutte le informazioni necessarie per dimostrare la conformità agli obblighi che sono stabiliti in questo DPA e derivano direttamente dal GDPR, come le sue politiche interne, le procedure di sicurezza, e i relativi rapporti di audit indipendenti e le certificazioni (compresi ISO/IEC 27001, SOC 2, o equivalente). Il controller si impegna a rivedere questi materiali come una priorità.
- Audit
Se, dopo aver esaminato la documentazione fornita, il Cliente ritiene ragionevolmente che tale documentazione non sia sufficiente a dimostrare la conformità di AIDOCS STUDIO, il Cliente può, a proprie spese, condurre un audit delle attività di trattamento coperte dalla presente DPA, fatte salve le seguenti condizioni:
- L’audit deve essere notificato per iscritto con almeno trenta (30) giorni di preavviso, ad eccezione di situazioni di emergenza debitamente giustificate (in particolare in caso di presunta violazione dei dati o di un’istruzione formale da parte di un’autorità di controllo), in cui può essere applicato un periodo di preavviso ridotto di tre (3) giorni;
- L'audit può avvenire non più di una volta ogni dodici (12) mesi, salvo in caso di violazione comprovata o di istruzione da parte di un'autorità di controllo;
- L’audit è effettuato durante le normali ore di lavoro e non interrompe in modo irragionevole le operazioni di AIDOCS STUDIO;
- L'audit è effettuato da un revisore indipendente di terze parti, precedentemente approvato da AIDOCS STUDIO, che non ha rapporti concorrenziali o conflitti di interesse con AIDOCS STUDIO, e soggetto ad un rigoroso obbligo di riservatezza;
- L’accesso concesso è strettamente limitato ai sistemi, ai dati, ai documenti e ai locali pertinenti allo scopo dell’audit, all’esclusione di qualsiasi informazione relativa ad altri clienti o alla sicurezza generale dell’infrastruttura di AIDOCS STUDIO.
Ciascuna parte deve sostenere le proprie spese relative all'audit. AIDOCS STUDIO deve sostenere i suoi costi interni ragionevoli relativi alla mobilitazione dei suoi team, alla preparazione della documentazione e al tempo trascorso, fino ad un massimo di due (2) giorni di persona. Al di là di questa soglia, i costi aggiuntivi sostenuti da AIDOCS STUDIO (incluso il tempo supplementare, la mobilitazione delle risorse, o l'assistenza tecnica o amministrativa) saranno fatturati al Cliente dopo la presentazione di una ripartizione dettagliata.
Ogni Parte si impegna a cooperare in buona fede con l'autorità di controllo competente in caso di richiesta formale, entro i limiti dei suoi rispettivi obblighi ai sensi del presente DPA.
- Utilizzo dei sottoprocessori
AIDOCS STUDIO ha l’autorizzazione generale del titolare del trattamento per l’impegno di sub-processori da un elenco concordato. AIDOCS STUDIO informa espressamente per iscritto il titolare del trattamento di eventuali modifiche previste di tale elenco attraverso l'aggiunta o la sostituzione di sub-processori almeno trenta (30) giorni in anticipo, dando così al titolare del trattamento il tempo sufficiente per poter opporsi a tali modifiche prima dell'impegno del sub-processore interessato. AIDOCS STUDIO fornisce al titolare del trattamento le informazioni necessarie per consentire al titolare del trattamento di esercitare il diritto di opposizione.
Qualora AIDOCS STUDIO impegni un sub-processore per l'esecuzione di specifiche attività di trattamento (a nome del titolare del trattamento), lo farà mediante un contratto che impone al sub-processore, in sostanza, gli stessi obblighi di protezione dei dati di quelli imposti al responsabile del trattamento ai sensi del presente DPA. AIDOCS STUDIO garantisce che il sub-processore sia conforme agli obblighi cui AIDOCS STUDIO è soggetto ai sensi del presente DPA e del GDPR.
Su richiesta del titolare del trattamento, AIDOCS STUDIO fornisce una copia di tale accordo sub-processore e di eventuali modifiche successive al titolare del trattamento. Nella misura necessaria per proteggere il segreto commerciale o altre informazioni riservate, compresi i dati personali, AIDOCS STUDIO può redattare il testo dell'accordo prima di condividere la copia.
AIDOCS STUDIO rimane pienamente responsabile per l’esecuzione degli obblighi del sub-processore in conformità al contratto con AIDOCS STUDIO. AIDOCS STUDIO notifica al titolare del trattamento qualsiasi inadempimento da parte del sub-processore per adempiere ai suoi obblighi contrattuali.
AIDOCS STUDIO utilizzerà ragionevoli sforzi per entrare in una clausola beneficiaria di terze parti, o qualsiasi meccanismo equivalente, con qualsiasi sub-processore successivo, per cui, nel caso in cui AIDOCS STUDIO sia effettivamente scomparso, ha cessato di esistere come materia di diritto, o sia diventato insolvente, il Cliente avrà il diritto di interrompere l'accordo di sub-processore e di istruire il sub-processore per cancellare o restituire i dati personali.
Qualora tale clausola o meccanismo non possa essere ottenuto, AIDOCS STUDIO coopera in buona fede con il Cliente per facilitare le comunicazioni dirette con il successivo sub-processore, in particolare al fine di consentire la cancellazione o il reso dei dati personali il più rapidamente possibile.
- Trasferimenti internazionali
Qualsiasi trasferimento di dati a un paese terzo o a un'organizzazione internazionale da parte di AIDOCS STUDIO è effettuato solo sulla base di istruzioni documentate dal titolare del trattamento o per soddisfare un requisito specifico ai sensi del diritto dell'Unione o dello Stato membro a cui è soggetto AIDOCS STUDIO e si svolge nel rispetto del capitolo V del GDPR.
Il titolare del trattamento concorda sul fatto che quando AIDOCS STUDIO impegna un sub-processore ai sensi dell'articolo 4.7 per l'esecuzione di specifiche attività di trattamento (a nome del titolare del trattamento) e che tali attività di trattamento comportano un trasferimento di dati personali ai sensi del capitolo V del GDPR, AIDOCS STUDIO e il sub-processore possono garantire il rispetto del capitolo V del GDPR mediante clausole contrattuali standard adottate dalla Commissione in conformità dell'articolo 46R(2)..
- ASSISTENZA DEL CONTROLLER
AIDOCS STUDIO notifica tempestivamente al titolare di qualsiasi richiesta ricevuta dall'interessato. Essa non risponde alla richiesta stessa, a meno che non sia autorizzata dal titolare del trattamento.
AIDOCS STUDIO assiste il titolare del trattamento nell’adempimento dei suoi obblighi a rispondere alle richieste degli interessati di esercitare i loro diritti, tenendo conto della natura del trattamento. Nell’adempimento dei suoi obblighi, AIDOCS STUDIO deve rispettare le istruzioni del titolare del trattamento.
Inoltre, AIDOCS STUDIO assiste inoltre il titolare del trattamento nel garantire il rispetto dei seguenti obblighi, tenendo conto della natura del trattamento dei dati, dell'architettura tecnica dei Servizi e delle informazioni a disposizione di AIDOCS STUDIO:
- l’obbligo di effettuare una valutazione dell’impatto delle operazioni di trattamento previste sulla protezione dei dati personali (una “valutazione dell’impatto sulla protezione dei dati”) in cui un tipo di trattamento rischia di provocare un elevato rischio per i diritti e le libertà delle persone fisiche;
- l'obbligo di consultare l'autorità/e di controllo competente prima del trattamento quando una valutazione dell'impatto sulla protezione dei dati indica che il trattamento comporta un rischio elevato in assenza di misure adottate dal titolare del trattamento per mitigare il rischio;
- l'obbligo di garantire che i dati personali siano accurati e aggiornati, informando il titolare del trattamento senza indugio se AIDOCS STUDIO si rende conto che i dati personali che tratta sono inesatti o sono diventati obsoleti;
- gli obblighi di cui all'articolo 32 del GDPR.
L'assistenza fornita da AIDOCS STUDIO ai sensi della presente sezione è limitata ad un massimo di due (2) giorni lavorativi all'anno civile, che sono inclusi nelle tasse pagabili a norma dell'accordo principale.
Qualsiasi assistenza richiesta dal Titolare al di là di tale limite, o che richieda un livello di sforzo materialmente sproporzionato alla natura del trattamento o dei Servizi, è soggetta a costi aggiuntivi, calcolati sulla base di una quotazione da concordare in anticipo tra le Parti. AIDOCS STUDIO non è tenuto ad avviare tale ulteriore assistenza fino a quando tale quotazione è stata accettata dal Titolare per iscritto.
- NOTIFICAZIONE DEI DATI PERSONALI
In caso di violazione dei dati personali, AIDOCS STUDIO collabora e assiste il titolare del trattamento per adempiere ai suoi obblighi ai sensi degli articoli 33 e 34 del GDPR, ove applicabile, tenendo conto della natura del trattamento e delle informazioni a disposizione di AIDOCS STUDIO.
In caso di violazione dei dati personali relativi ai dati trattati da AIDOCS STUDIO, AIDOCS STUDIO notifica al titolare del trattamento senza indugio ritardo dopo che AIDOCS STUDIO è diventato consapevole della violazione. Tale notifica contiene almeno:
- una descrizione della natura della violazione (incluse, ove possibile, le categorie e il numero approssimativo di soggetti e dati interessati);
- i dettagli di un punto di contatto in cui si possono ottenere ulteriori informazioni sulla violazione dei dati personali;
- le sue probabili conseguenze e le misure adottate o proposte per affrontare la violazione, anche per mitigare i suoi possibili effetti negativi.
Tale notifica non deve essere interpretata come un riconoscimento di colpa o di responsabilità da parte di AIDOCS STUDIO.
Qualora, e nella misura in cui non sia possibile fornire tutte queste informazioni allo stesso tempo, la notifica iniziale conterrà le informazioni disponibili e ulteriori informazioni saranno successivamente fornite senza indugio ritardo.
- LIABILITÀ
La responsabilità di ciascuna Parte derivante da o in relazione a questo DPA è disciplinata esclusivamente dalle disposizioni di responsabilità previste nei Termini e Condizioni.
Nulla in questo DPA deve essere considerato per creare qualsiasi responsabilità aggiuntiva o per modificare il campo di applicazione, le limitazioni o i capi di responsabilità concordati tra le Parti ai sensi dei Termini e Condizioni, nella misura consentita dalla legge applicabile.
- TERMINAZIONE CON I CLAUSI E TERMINAZIONE
Fatto salvo qualsiasi disposizione del GDPR, nel caso in cui AIDOCS STUDIO sia in violazione dei suoi obblighi ai sensi del presente DPA, il titolare del trattamento può istruire AIDOCS STUDIO a sospendere il trattamento dei dati personali fino a che quest'ultimo non sia conforme a questo DPA o il contratto sia terminato. AIDOCS STUDIO informerà tempestivamente il controller nel caso in cui non sia in grado di conformarsi a questo DPA, per qualsiasi motivo.
Il titolare del trattamento ha il diritto di sospendere il contratto nella misura in cui riguarda il trattamento dei dati personali conformemente al presente DPA se:
- il trattamento dei dati personali da parte di AIDOCS STUDIO è stato sospeso dal titolare del trattamento ai sensi della presente sezione e se il rispetto di questo DPA non viene ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;
- AIDOCS STUDIO è in violazione sostanziale o persistente di questo DPA o dei suoi obblighi ai sensi del GDPR;
- AIDOCS STUDIO non rispetta una decisione vincolante di un giudice competente o dell'autorità di controllo competente per quanto riguarda i suoi obblighi ai sensi del presente DPA o del GDPR.
AIDOCS STUDIO ha il diritto di sospendere il contratto nella misura in cui riguarda il trattamento dei dati personali ai sensi del presente DPA quando, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti legali applicabili ai sensi dell'articolo 4.1, il titolare del trattamento insiste sul rispetto delle istruzioni.
A seguito della cessazione del contratto, AIDOCS STUDIO, a scelta del titolare del trattamento, cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica al titolare del trattamento che lo ha fatto, o, restituire tutti i dati personali al titolare del trattamento ed eliminare le copie esistenti, a meno che la legge dell'Unione o dello Stato membro richieda la conservazione dei dati personali. Fino a quando i dati non vengono cancellati o restituiti, AIDOCS STUDIO continuerà a garantire il rispetto di questo DPA.
La cancellazione è effettuata in conformità con i processi tecnici standard di AIDOCS STUDIO, comprese le politiche di backup applicabili.
Data effettiva: 30 marzo 2026
ALLEGATO I: DESCRIZIONE DELLA PROCESSIONE
|
Categorie degli interessati |
|
|
Categorie di dati personali |
|
|
Dati sensibili trattati |
A seconda della natura delle richieste dell’utente e del contenuto fornito dal Cliente, i Servizi possono elaborare categorie particolari di dati personali ai sensi degli articoli 9 e 10 del GDPR, compresi i dati relativi alla salute, all’appartenenza al sindacato, alle condanne penali e ai reati, o ad altre informazioni sensibili. Qualsiasi trattamento di tali dati sensibili viene determinato e controllato esclusivamente dal Cliente tramite il suo utilizzo dei Servizi e le informazioni che sceglie di inviare. Il Responsabile non richiede, richiede o cerca attivamente il trattamento di tali categorie particolari di Dati Personali. |
|
Natura del trattamento |
|
|
Finalità per cui i dati personali vengono trattati per conto del titolare del trattamento |
|
|
Durata del trattamento |
Nel corso del termine dell'Accordo, i Dati Personali sono trattati esclusivamente su base transitoria, richiesta per richiesta al fine di eseguire ogni Richiesta. Nessun Dati Personali viene memorizzato o mantenuto dal Titolare al di là di tale esecuzione, salvo laddove richiesto dalla legge applicabile o strettamente necessario a fini di sicurezza o di conformità legale. |
ALLEGATO II: ELENCO DEI TRASPORTI
Alcuni sottoprocessori AI sono utilizzati solo se selezionato da AIDocs Studio per una data richiesta, flusso di lavoro o configurazione di routing modello.
|
Nome |
Indirizzo |
Descrizione del trattamento |
Localizzazione dei dati |
|
Microsoft Ireland Operations Limited (Microsoft 365) |
One Microsoft Place, South County Business Park, Leopardstown, Dublino 18, Irlanda |
Elaborazione di e-mail di servizio in entrata e in uscita, metadati di messaggi e dati di collaborazione/sicurezza associati necessari per operare i Servizi e fornire output agli utenti |
Unione Europea (European Data Boundary – Microsoft 365) |
|
MacStadium, Inc. |
2093 Philadelphia Pike #2130, Claymont, DE 19703, USA |
Infrastruttura di hosting dedicata per i server macOS di produzione che eseguono la piattaforma Max e i servizi operativi associati |
Irlanda (MacStadium Dublin data center) |
|
Backblaze, Inc. |
2261 Market Street, Suite 81006, San Francisco, CA 94114, USA |
Archiviazione di backup offsite crittografata di dati operativi di produzione e backup di sistema |
Unione Europea (UE Centrale – Amsterdam) |
|
OpenAI OpCo, LLC |
3180 18th Street, San Francisco, CA 94110, USA |
Inferenza del modello AI per l'analisi dei documenti, la stesura e la trasformazione dei contenuti forniti dall'utente |
Stati Uniti o Unione Europea a seconda della residenza dei dati configurata |
|
Antropico PBC |
548 Market Street, PMB 90375, San Francisco, CA 94104, Stati Uniti |
Inferenza del modello AI per l'analisi dei documenti, la stesura e la trasformazione dei contenuti forniti dall'utente (modelli Claude) |
Stati Uniti |
|
Google Ireland Limited (Gemini) |
Gordon House, Barrow Street, Dublino 4, Irlanda |
Inferenza del modello AI per l'analisi dei documenti, la stesura e la trasformazione dei contenuti forniti dall'utente (modelli Gemelli) |
Unione europea |
|
Mistral AI SAS |
15 Rue des Halles, 75001 Parigi, Francia |
Inferenza del modello AI per l'analisi dei documenti, la stesura e la trasformazione dei contenuti forniti dall'utente |
Unione europea |