Accordo sul trattamento dei dati personali — DPA

Preambolo, natura ed efficacia del documento

Niltech Europe S.r.l., con sede legale in Via Calmaggiore 5, 31100 Treviso (TV), Italia, P. IVA IT 05614380268 (di seguito «Niltech»), adotta il presente documento al fine di stabilire le condizioni dell'articolo 28 GDPR per i trattamenti eseguiti da Niltech per conto del cliente.

Le disposizioni assumono efficacia vincolante nella misura in cui siano accettate, richiamate nell’ordine o incorporate nel contratto applicabile. In caso di contrasto prevalgono, nell’ordine, le norme inderogabili, il DPA per i profili di trattamento, l’ordine sottoscritto, le condizioni particolari e le presenti condizioni generali.

L’accordo disciplina, ai sensi dell’articolo 28 GDPR, i trattamenti effettuati da Niltech per conto del cliente e integra il contratto principale. Le disposizioni inderogabili del GDPR, le istruzioni lecite e documentate del titolare e gli allegati sul trattamento prevalgono sulle formulazioni incompatibili.

Ambito soggettivo e oggettivo

Il perimetro oggettivo comprende Andrea AI, le relative interfacce pubbliche e i trattamenti strettamente connessi alle funzionalità descritte. Il sito commerciale e la libreria documentale sono pubblicati su andreaaiagent.com e utilizzano infrastruttura Bluehost, MySQL e il trasporto di posta del server. L’applicazione è resa disponibile sul distinto dominio andreaai.net mediante infrastruttura Hetzner; Pinecone, Cloudflare, OpenAI e Google Gemini intervengono nei limiti delle funzioni e degli accordi applicabili.

Le operazioni considerate riguardano acquisizione e analisi di documenti e immagini, supporto alla lettura di polizze, stime e bozze di relazione, organizzazione del fascicolo e indicatori ESG solo quando fondati su dati verificabili. Le categorie di informazioni potenzialmente interessate sono: dati di contatto e prospect sul sito; nell’applicazione, dati di pratica, documenti, immagini, note, metadati tecnici e output assistiti dall’IA secondo configurazione e contratto. L’effettivo ruolo privacy, il titolo giuridico e l’ampiezza del trattamento dipendono dal rapporto contrattuale e dalle istruzioni lecite del soggetto che determina finalità e mezzi essenziali.

Definizioni e criteri interpretativi

• «Servizio»: l’insieme delle funzionalità di Andrea AI rese disponibili in base al contratto.
• «Cliente»: la persona giuridica o il professionista che conclude il contratto con Niltech.
• «Utente autorizzato»: la persona fisica abilitata dal Cliente a utilizzare il Servizio sotto la sua responsabilità.
• «Dati del Cliente»: dati, documenti, immagini, istruzioni e ogni altro contenuto conferito o generato per conto del Cliente.
• «Output assistito»: risultato elaborato mediante regole automatizzate o componenti di intelligenza artificiale, soggetto ai controlli indicati.
• «Fornitore ulteriore»: soggetto terzo che presta a Niltech un servizio tecnico rilevante per il perimetro documentato.
• «Incidente»: evento che compromette o può compromettere riservatezza, integrità, disponibilità, autenticità o resilienza.
• «Giorno lavorativo»: ogni giorno diverso da sabato, domenica o festività nazionale italiana.

Obblighi e presidi specifici

1. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a allegare oggetto, durata, natura, finalità, dati e interessati. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

2. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a accettare e tracciare solo istruzioni documentate e autorizzate. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

3. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a vincolare le persone autorizzate alla riservatezza e alla formazione. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

4. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a disciplinare sub-responsabili, obiezioni e trasferimenti. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

5. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a assistere su diritti, sicurezza, incidenti, DPIA e autorità. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

6. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a definire restituzione, cancellazione, audit e informazioni dimostrative. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

Oggetto e durata

Il DPA si applica quando Niltech tratta dati personali per conto del cliente. Oggetto, durata, natura, finalità, categorie di dati e interessati sono definiti nell’ordine e nell’allegato di trattamento.

Istruzioni e riservatezza

Niltech tratta dati su istruzioni documentate, segnala istruzioni manifestamente illecite, vincola alla riservatezza le persone autorizzate e applica misure proporzionate al rischio.

Sub-responsabili e trasferimenti

Registro corrente: Bluehost, Hetzner, Pinecone, Cloudflare, OpenAI, Google Gemini, MySQL, Exim/sendmail.

Entità contraenti, funzioni, luoghi, meccanismi di trasferimento e misure supplementari sono confermati nel registro controllato e nei contratti, non dedotti dal solo marchio del fornitore.

Assistenza, cancellazione e audit

Niltech assiste con diritti, sicurezza, incidenti e valutazioni d’impatto; alla cessazione restituisce o cancella secondo istruzioni e vincoli legali. Le verifiche seguono un processo proporzionato, protetto e non distruttivo.

Allegato sul trattamento ai sensi dell’articolo 28 GDPR

Oggetto: trattamento dei dati del Cliente necessario a rendere Andrea AI. Durata: rapporto contrattuale e periodo strettamente necessario a restituzione, cancellazione, copie di sicurezza e obblighi di legge. Natura e finalità: ricezione, organizzazione, conservazione, consultazione, elaborazione assistita, supporto, sicurezza, export e cancellazione secondo istruzioni. Categorie di dati e interessati sono quelle descritte nell’informativa di prodotto e devono essere precisate nell’ordine quando il caso d’uso le amplia.

Il Cliente è responsabile della liceità delle istruzioni, delle informative, delle basi giuridiche, delle condizioni degli articoli 9 e 10, dei termini di conservazione e dell’esercizio dei diritti. Niltech informa senza ritardo quando ritiene che un’istruzione violi il GDPR o altra disciplina applicabile e può sospenderne l’esecuzione limitatamente a quanto necessario per ottenere chiarimenti.

Obblighi del responsabile

• trattare soltanto su istruzioni documentate, inclusi trasferimenti, salvo obbligo normativo previamente comunicato quando consentito
• vincolare alla riservatezza le persone autorizzate e limitare gli accessi secondo necessità
• adottare misure dell’articolo 32 commisurate a rischi, stato dell’arte, costi, natura e contesto
• rispettare le condizioni per i sub-responsabili e restare responsabile dei loro obblighi verso il Cliente
• assistere diritti, sicurezza, violazioni, DPIA e consultazione preventiva in relazione alle informazioni disponibili
• cancellare o restituire i dati alla cessazione, salvo conservazione imposta, e rendere disponibili le informazioni necessarie a dimostrare il rispetto

Sub-responsabili, trasferimenti, audit e incidenti

Il Cliente conferisce autorizzazione specifica o generale scritta secondo l’ordine. Con autorizzazione generale, Niltech comunica con congruo preavviso aggiunte o sostituzioni e consente opposizione motivata per ragioni di protezione dati; se non è disponibile un’alternativa ragionevole, le parti cooperano su una modifica o cessazione ordinata della funzione interessata.

Trasferimenti fuori dallo SEE richiedono uno strumento valido del capo V GDPR, valutazione delle circostanze e, se necessarie, misure supplementari. La mera sede europea del contratto o del data center non dimostra che ogni accesso o assistenza resti nello SEE.

Niltech notifica al Cliente una violazione di dati personali senza ingiustificato ritardo dopo esserne venuta a conoscenza e fornisce progressivamente le informazioni disponibili. Audit e ispezioni sono proporzionati, coordinati per evitare rischi ad altri clienti e preceduti, ove adeguato, da documentazione, attestazioni e colloqui; restano ferme le facoltà inderogabili dell’autorità.

Ripartizione delle responsabilità e limiti di affidamento

Il Cliente garantisce, per quanto di propria competenza, la liceità dei dati e delle istruzioni conferite, l’abilitazione degli utenti, l’adeguatezza delle basi giuridiche e delle informative, nonché la verifica professionale degli output. Niltech resta responsabile delle attività direttamente poste sotto il proprio controllo e non assume le funzioni regolamentari, deontologiche o decisionali proprie del Cliente.

Gli output di Andrea AI hanno natura ausiliaria. Salvo patto espresso e le norme inderogabili, essi non costituiscono parere legale, perizia, decisione assicurativa, determinazione di responsabilità, valutazione creditizia o altro atto riservato. Il destinatario deve esaminare fonti, completezza, coerenza e conseguenze prima di utilizzarli.

Nessuna clausola limita responsabilità che non possa essere esclusa per legge. Fuori da tali ipotesi, imputazione, rimedi, limiti e criteri di quantificazione seguono il contratto applicabile, tenuto conto del concorso del danneggiato, dell’obbligo di mitigazione e della prevedibilità del danno secondo la legge regolatrice.

Prova, riesame, richieste e legge applicabile

Ogni affermazione materiale deve poter essere ricondotta a un contratto, una configurazione approvata, un registro, un verbale, un test, un log o altra evidenza attendibile. Dichiarazioni del fornitore e controlli propri di Niltech sono mantenuti distinti. L’assenza di incidenti non prova, da sola, l’efficacia di una misura.

Le revisioni sono datate, motivate e approvate. Una revisione successiva non modifica retroattivamente i fatti o gli impegni applicabili a periodi precedenti. Le copie pubblicate sono identificate mediante codice, data e impronta crittografica; tali elementi provano l’integrità della copia, non l’efficacia sostanziale dei controlli descritti.

Segnalazioni, richieste di chiarimento, esercizio di diritti e contestazioni possono essere inviati a info@nil-tech.net. Niltech verifica l’identità e la legittimazione quando necessario, registra la richiesta, risponde nei termini applicabili e comunica eventuali proroghe o dinieghi motivati.

Salvo diversa disposizione inderogabile o pattuizione scritta, la legge italiana disciplina l’interpretazione del documento. La versione italiana costituisce il testo di riferimento; la traduzione inglese è fornita per agevolare la consultazione.

Fonti ufficiali

• Regolamento (UE) 2016/679 (GDPR)
• EDPB — Linee guida 07/2020 sui concetti di titolare e responsabile
• Decisione di esecuzione (UE) 2021/914 — Clausole contrattuali tipo