Accordo sul trattamento dei dati

1. Parti, ruoli e durata

Cliente / committente: [DENOMINAZIONE LEGALE DEL CLIENTE], [INDIRIZZO DEL CLIENTE], [NUMERO D'IMPRESA DEL CLIENTE], rappresentato da [NOME E FUNZIONE]. Referente privacy: [REFERENTE PRIVACY DEL CLIENTE]. Il cliente è titolare del trattamento dei dati personali forniti, oppure responsabile per conto di un titolare che ha autorizzato questo ulteriore trattamento.

Fornitore / responsabile del trattamento: [DENOMINAZIONE LEGALE], operante come anonimize, [VIA, NUMERO, CAP, COMUNE, PAESE], [NUMERO D'IMPRESA], [PARTITA IVA, SE APPLICABILE], rappresentato da [NOME E FUNZIONE]. Contatti privacy e sicurezza: [E-MAIL PRIVACY], [E-MAIL PER LA SICUREZZA] e [NUMERO DI TELEFONO].

Questo accordo disciplina il trattamento dei contenuti dei documenti e dei dati personali connessi per il servizio descritto nell'allegato A. Se il cliente è a sua volta responsabile del trattamento, gli obblighi valgono anche come accordi di sub-trattamento; il cliente garantisce di essere autorizzato a trasmettere le istruzioni. Termini quali dati personali, interessato e violazione hanno il significato previsto dal GDPR.

L'accordo si applica dall'accettazione registrata e finché il responsabile tratta dati personali per conto del cliente, compresa la gestione concordata successiva alla cessazione. Prevale sulle disposizioni commerciali contrastanti relative a questo trattamento. Le finalità autonome di gestione dell'account, fatturazione o amministrazione obbligatoria per legge non rientrano nell'incarico e devono essere disciplinate separatamente in modo trasparente e lecito.

2. Istruzioni documentate e riservatezza

Il responsabile tratta i dati personali esclusivamente per l'incarico dell'allegato A e secondo le istruzioni documentate del cliente. Rientrano in tali istruzioni le impostazioni confermate, le operazioni degli utenti autorizzati e le ulteriori istruzioni concordate per iscritto. Un'istruzione di trasferimento verso un paese terzo deve rispettare separatamente il capo V GDPR. Il responsabile non utilizza i contenuti dei documenti per pubblicità, vendita o addestramento di modelli propri o esterni.

Se il diritto dell'Unione o di uno Stato membro impone un trattamento, il responsabile informa il cliente di tale obbligo legale prima del trattamento, salvo che la legge lo vieti per rilevanti motivi di interesse pubblico. Il responsabile informa immediatamente il cliente se ritiene che un'istruzione violi il GDPR o altre norme applicabili sulla protezione dei dati. Le parti chiariscono o correggono l'istruzione; il trattamento interessato viene sospeso ove necessario.

Solo le persone che necessitano dei dati per l'incarico ottengono un accesso adeguato. Sono vincolate da obblighi contrattuali o legali di riservatezza, ricevono istruzioni adeguate e trattano i dati sotto l'autorità del responsabile. La riservatezza continua dopo la cessazione delle loro attività. L'assistenza non è automaticamente autorizzata a visualizzare i contenuti dei documenti.

3. Sicurezza e assistenza al cliente

Il responsabile adotta misure tecniche e organizzative adeguate ai sensi dell'articolo 32 GDPR, tenendo conto dei rischi, della natura e del contesto del trattamento, dello stato dell'arte e dei costi di attuazione. L'allegato B descrive le possibilità tecniche e gli aspetti operativi da definire prima del trattamento. Il livello richiesto comprende riservatezza, integrità, disponibilità, resilienza e adeguato ripristino dopo un incidente. L'efficacia delle misure viene valutata regolarmente.

Il responsabile non riduce il livello di sicurezza concordato senza previo accordo. Una misura può essere sostituita da una misura dimostrabilmente equivalente o più efficace. Il responsabile segnala le modifiche rilevanti necessarie al cliente per l'analisi dei rischi. Una descrizione del codice sorgente non attesta che tutte le misure siano attive in uno specifico ambiente di hosting.

Tenendo conto della natura del trattamento e delle informazioni disponibili, il responsabile assiste nelle richieste di accesso, rettifica, cancellazione, limitazione, portabilità o opposizione. Una richiesta ricevuta direttamente viene inoltrata al referente privacy del cliente senza ingiustificato ritardo. Il responsabile non risponde autonomamente per conto del cliente, salvo istruzione del cliente o obbligo di legge.

Il responsabile fornisce tempestivamente le informazioni tecniche disponibili e ragionevole collaborazione per gli obblighi del cliente ai sensi degli articoli da 32 a 36 GDPR, inclusi sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva dell'autorità di controllo. Ove necessario, le parti definiscono il canale sicuro, i referenti e un termine di risposta compatibile con le scadenze legali. Un eventuale compenso preventivamente concordato per assistenza eccezionale aggiuntiva non può impedire o ritardare l'assistenza obbligatoria per legge.

4. Sub-responsabili e trasferimenti internazionali

Il cliente concede un'autorizzazione generale ai sub-responsabili identificati nell'allegato C e alle attività ivi descritte solo dopo il completamento e l'accettazione scritta o elettronica. La menzione di un marchio o un campo ancora vuoto non costituiscono autorizzazione a una persona giuridica sconosciuta. L'elenco indica sempre nome, ruolo, paese di stabilimento, luoghi di trattamento e trasferimenti rilevanti.

Prima di aggiungere o sostituire un sub-responsabile, il responsabile informa direttamente il cliente per iscritto, fornendo dati sufficienti e un termine ragionevole per presentare un'obiezione motivata: [TERMINE DI PREAVVISO E OPPOSIZIONE — DA COMPILARE PRIMA DELL'ACCETTAZIONE]. Il nuovo sub-responsabile non ottiene accesso prima del completamento di questa procedura. Un'obiezione per motivi di protezione dei dati viene esaminata insieme. Se non è possibile una soluzione adeguata, il cliente può interrompere il trattamento interessato o la parte interessata del servizio prima dell'attivazione, senza costi per i periodi futuri non più erogati.

Il responsabile conclude con ogni sub-responsabile un accordo vincolante con gli stessi obblighi pertinenti di protezione dei dati, comprese adeguate misure di sicurezza. Verifica le garanzie offerte e resta responsabile verso il cliente dell'adempimento degli obblighi del sub-responsabile. Su richiesta fornisce le informazioni necessarie per valutare questa catena, tutelando le altre informazioni riservate.

Il trasferimento o l'accesso da paesi esterni al SEE avviene solo su istruzione documentata e con una base valida ai sensi del capo V GDPR, comprese le valutazioni e le misure supplementari richieste. La collocazione del server nel SEE non esclude automaticamente l'accesso da altri paesi. Nei limiti consentiti dalla legge, il responsabile segnala le richieste di dati delle autorità pubbliche e fornisce esclusivamente quanto legalmente richiesto.

5. Notifica e gestione delle violazioni dei dati

Il responsabile comunica una violazione dei dati personali senza ingiustificato ritardo dopo esserne venuto a conoscenza a [REFERENTE INCIDENTI DEL CLIENTE] tramite [CANALE SICURO DI SEGNALAZIONE]. Il percorso di segnalazione e un referente per le escalation raggiungibile fuori orario vengono confermati prima del trattamento. L'obbligo di notifica non viene rinviato fino al completamento dell'indagine.

La notifica contiene, per quanto noto, la natura della violazione; le categorie e il numero approssimativo di interessati e registrazioni; il referente; le probabili conseguenze; le misure adottate o proposte per rimediare alla violazione e limitarne gli effetti negativi. Le informazioni mancanti vengono fornite per fasi senza ulteriore ingiustificato ritardo.

Il responsabile adotta immediatamente misure adeguate per contenere l'incidente, indagarne la causa e prevenirne il ripetersi. Conserva le informazioni rilevanti per l'indagine e assiste il cliente nella valutazione e nelle eventuali notifiche all'autorità di controllo e agli interessati. Il cliente decide in merito alle proprie notifiche obbligatorie. L'eventuale termine di 72 ore per la notifica del titolare all'autorità di controllo non è un termine entro cui il responsabile possa rinviare l'avviso al cliente.

6. Informazioni, controlli e audit

Il responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'articolo 28 GDPR. Il cliente o un revisore indipendente da lui incaricato può svolgere audit e ispezioni adeguati. Le parti concordano ambito, esecuzione sicura e programmazione ragionevole per proteggere gli altri clienti e le informazioni riservate.

Una relazione esistente o un esame documentale possono costituire un primo strumento di controllo, ma non sostituiscono automaticamente un'ispezione necessaria. Una violazione concreta, un indizio di inosservanza o una richiesta dell'autorità di controllo possono giustificare un controllo accelerato. Eventuali accordi su costi, riservatezza o programmazione non possono rendere impossibile l'esercizio effettivo di questo diritto. Le carenze riscontrate vengono affrontate con un adeguato piano correttivo.

7. Periodi di conservazione, restituzione e cancellazione

Il cliente stabilisce le istruzioni di conservazione e cancellazione all'interno del servizio. Risultati e chiavi di ripristino hanno periodi distinti configurabili. L'impostazione predefinita attuale è nessuna cancellazione automatica; scegli quindi consapevolmente un periodo adeguato. Impostazioni più brevi possono far scadere anche contenuti già esistenti. L'assenza di un termine automatico non autorizza a conservare i dati più a lungo di quanto legalmente necessario.

Alla fine del servizio, il cliente sceglie tra la restituzione dei dati personali ancora disponibili in un formato utilizzabile concordato, seguita dalla cancellazione, oppure la cancellazione diretta. Il periodo di esportazione, il termine di esecuzione per i sistemi attivi e la conferma della cancellazione vengono compilati prima dell'accettazione: [PERIODO DI ESPORTAZIONE], [TERMINE DI CANCELLAZIONE DAI SISTEMI ATTIVI] e [MODALITÀ DI CONFERMA]. Il responsabile elimina anche le proprie copie, salvo uno specifico obbligo legale di conservazione. In tal caso comunica la base giuridica e la durata residua e limita l'utilizzo a tale obbligo.

Backup e snapshot sono soggetti a una politica distinta da definire: [PERIODO MASSIMO DI CONSERVAZIONE DEI BACKUP], [SICUREZZA E ACCESSO], [PROCEDURA DI CANCELLAZIONE]. Durante un periodo residuo concordato, i dati personali restano protetti e non vengono utilizzati per l'ordinaria erogazione del servizio. In caso di ripristino, le istruzioni di cancellazione già ricevute vengono nuovamente applicate. La pulizia automatica nell'app non elimina da sola i backup esistenti o le copie scaricate dal cliente.

Al termine delle operazioni, il responsabile conferma quali dati sono stati eliminati e quali restano protetti esclusivamente per un obbligo legale di conservazione o per un periodo residuo dei backup concordato. Riservatezza, sicurezza, informazioni di audit e collaborazione obbligatoria per legge restano applicabili finché sono presenti dati personali.

Allegato A — Incarico di trattamento

Allegato B — Misure tecniche e organizzative

Il funzionamento tecnico descritto di seguito si basa sul codice dell'applicazione. La configurazione effettiva di produzione e gli accordi operativi ancora aperti devono essere verificati e completati prima del trattamento. La pagina sulla sicurezza fornisce una spiegazione accessibile.

• Elaborazione sul server applicativo. Presidio, spaCy e Tesseract eseguono rilevamento, estrazione e OCR nell'ambiente applicativo. Il testo dei documenti non viene inviato a un servizio di IA generativa esterno per queste operazioni. Il testo originale raggiunge comunque il server ed è leggibile durante l'elaborazione; il trattamento non avviene esclusivamente sul dispositivo del cliente.
• Cifratura dei contenuti archiviati. L'app utilizza Fernet per i risultati dei documenti archiviati, le chiavi di ripristino e la memoria del progetto. Ciò non cifra l'intero database: i dati dell'account e alcuni metadati tecnici restano gestiti dal server. Gestione delle chiavi di produzione, limitazione degli accessi e protezione dei backup: [DA CONFERMARE].
• Chiave propria del vault facoltativa. Con BYOK attivo, il browser cifra i contenuti archiviati previsti a tale scopo con AES-256-GCM. Il server non conserva la chiave del cliente; gli utenti autorizzati devono gestirla in sicurezza. Il rilevamento e l'OCR vedono comunque il testo originale sul server. Non si tratta di una cifratura end-to-end completa e non protegge da tutti i rischi di codice del browser modificato o di un dispositivo compromesso.
• Separazione e accesso. I diritti di organizzazione, spazio di lavoro e documento vengono verificati sul server. Gli utenti si autenticano; le password sono sottoposte a hashing e le sessioni utilizzano un cookie HttpOnly. Sono disponibili autenticazione a due fattori e permessi API limitati. Utilizzo obbligatorio, revisioni degli accessi e procedura amministrativa: [DA CONFERMARE].
• Limitazione dell'archiviazione delle fonti. I file originali e il testo originale completo vengono utilizzati per l'elaborazione e la verifica temporanea e non vengono archiviati come file sorgente permanenti. I valori originali ripristinabili possono restare nella chiave di ripristino cifrata e nella memoria del progetto durante la pseudonimizzazione. Termini esatti dell'elaborazione temporanea e configurazione della pulizia: [DA CONFERMARE].
• Conservazione e cancellazione. È possibile impostare periodi distinti per risultati e chiavi. Senza configurazione, non è attiva alcuna cancellazione automatica. La cancellazione dei dati attivi deve essere integrata con gli accordi su backup, esportazioni e snapshot dell'articolo 7.
• Trasporto e infrastruttura. HTTPS con certificato valido, limitazione degli accessi all'infrastruttura, sicurezza di rete, volumi dati e gestione dei segreti devono essere configurati e verificati in produzione: [CONFIGURAZIONE DI PRODUZIONE E RESPONSABILE]. L'infrastruttura prevista è indicata nell'allegato C; un dominio o un'impostazione nel codice sorgente non dimostrano che un ambiente operativo sia protetto correttamente.
• Garanzie operative. Le parti definiscono la politica di patch e aggiornamenti, la procedura per gli incidenti, gli accordi di riservatezza, la registrazione senza contenuti documentali superflui, gli obiettivi di ripristino, il regime di backup, i test di ripristino e la valutazione periodica della sicurezza: [POLITICHE, FREQUENZE, REFERENTI E PROVE]. Senza tali prove non si dichiara alcuna certificazione, penetration test, sorveglianza permanente o tempo di ripristino garantito.

Allegato C — Infrastruttura e sub-responsabili

Infrastruttura prevista: Zerops, regione prg1, Praga, Repubblica Ceca. Questa è la configurazione scelta; risorse effettive, parti contrattuali, luoghi di accesso e impostazioni di backup devono ancora essere confermati. La sola scelta della regione non è sufficiente a determinare tutti i luoghi giuridici e operativi del trattamento.

I servizi di pagamento per dati dell'account e di fatturazione non rientrano automaticamente nell'incarico di trattamento dei documenti. Il loro ruolo preciso e il trattamento devono essere indicati nel contratto e nelle informazioni sulla privacy per tali finalità. Non vengono inviati contenuti dei documenti o chiavi di ripristino al fornitore di servizi di pagamento per la fatturazione.

Completamento, modifiche e accettazione

Le parti compilano tutti i segnaposto e gli allegati e confermano la versione scelta, i rappresentanti, la data e la modalità di accettazione: [VERSIONE], [DATA], [RAPPRESENTANTI AUTORIZZATI], [FIRMA O PROVA DI ACCETTAZIONE ELETTRONICA]. Un committente che sia a sua volta responsabile registra anche l'autorizzazione del proprio titolare.

Le modifiche vengono comunicate direttamente e concordate secondo la procedura scritta o elettronica applicabile; la sola pubblicazione di un nuovo testo sul sito non modifica l'accordo. La procedura specifica per i sub-responsabili è prevista nell'articolo 4. Responsabilità e controversie seguono i termini e condizioni e la legge. Questo accordo non limita i diritti degli interessati, i poteri delle autorità di controllo o gli obblighi previsti dal GDPR.

Fonti ufficiali

Base giuridica: GDPR, in particolare gli articoli 28 e da 32 a 36. Per la definizione contrattuale, le clausole tipo della Commissione europea per titolari e responsabili e la spiegazione dell'EDPB sui ruoli e sugli accordi con i responsabili sono riferimenti utili. Questa bozza personalizzata non è un'applicazione invariata delle clausole contrattuali tipo e non costituisce di per sé uno strumento per i trasferimenti.