Contratto per il trattamento dei dati personali (DPA)

Accordo ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 ("GDPR"), parte integrante del contratto di servizio I-Privia

Parti

• Titolare del trattamento: l'azienda cliente indicata nel contratto di servizio ("Cliente").
• Responsabile del trattamento: Perselya S.r.l., Via Aldo Moro 4, 20017 Rho (MI), P.IVA [DA COMPLETARE] ("Perselya").

1. Oggetto

Perselya tratta dati personali per conto del Cliente al solo fine di fornire la piattaforma I-Privia: assistenti AI, conversazioni, archivio documenti, progetti e strumenti di amministrazione. I dettagli del trattamento sono nell'Allegato 1.

2. Istruzioni del Cliente

Perselya tratta i dati solo su istruzione documentata del Cliente. Il contratto di servizio, questo DPA e le impostazioni scelte dal Cliente nella piattaforma (utenti, ruoli, conservazione dei dati, eliminazioni) costituiscono le istruzioni. Perselya informa il Cliente se ritiene che un'istruzione violi la normativa.

Perselya non utilizza i dati del Cliente per finalità proprie, per pubblicità o per addestrare modelli di intelligenza artificiale.

3. Riservatezza

Le persone autorizzate da Perselya a trattare i dati sono vincolate alla riservatezza. Gli strumenti di amministrazione della piattaforma mostrano solo metadati e indicatori aggregati, non i contenuti dei clienti. Perselya accede ai contenuti solo su richiesta scritta del Cliente (ad esempio per assistenza) o per obbligo di legge.

4. Sicurezza

Perselya adotta le misure tecniche e organizzative dell'Allegato 2 (art. 32 GDPR) e le aggiorna tenendo conto dello stato dell'arte.

5. Sub-responsabili

Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato 3. Perselya comunica al Cliente con almeno 30 giorni di anticipo l'aggiunta o la sostituzione di un sub-responsabile; il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati e, in mancanza di soluzione, recedere dal servizio. Perselya impone ai sub-responsabili obblighi equivalenti a quelli di questo DPA e resta responsabile del loro operato.

6. Trasferimenti fuori dallo Spazio Economico Europeo

I dati a riposo (database e file) sono conservati nell'Unione Europea. L'elaborazione delle richieste e la generazione delle risposte AI possono avvenire anche fuori dallo SEE tramite la rete di Cloudflare: tali trasferimenti si basano sull'adesione di Cloudflare all'EU-U.S. Data Privacy Framework e sulle Clausole Contrattuali Standard (Decisione (UE) 2021/914) incluse nel Data Processing Addendum di Cloudflare.

7. Assistenza al Cliente

Perselya assiste il Cliente:

• nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità): la piattaforma offre l'esportazione dei dati personali, l'eliminazione di utenti e conversazioni e la conservazione automatica;
• negli adempimenti degli articoli 32–36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva), fornendo le informazioni in suo possesso.

8. Violazioni dei dati

Perselya informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali che lo riguarda, con le informazioni disponibili (natura, categorie e numero approssimativo di interessati, conseguenze probabili, misure adottate) e le integra man mano.

9. Cancellazione e restituzione

Durante il contratto il Cliente può esportare ed eliminare i dati dalla piattaforma. Alla cessazione, Perselya cancella tutti i dati del Cliente dal database e dall'archivio dei file entro 30 giorni, salvo diverso obbligo di legge; le copie di sicurezza del database vengono sovrascritte entro ulteriori 30 giorni. Su richiesta, prima della cancellazione, Perselya fornisce un'esportazione dei dati in formato leggibile (JSON).

10. Verifiche

Perselya mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR (documentazione delle misure, esiti dei test di sicurezza, certificazioni dei sub-responsabili) e consente verifiche, anche tramite un revisore incaricato dal Cliente, con preavviso ragionevole e senza compromettere la riservatezza degli altri clienti.

11. Durata

Il DPA ha la stessa durata del contratto di servizio e i suoi obblighi restano validi finché Perselya tratta dati del Cliente.

12. Legge applicabile e foro

Legge italiana. Foro competente: [DA COMPLETARE: es. Milano].

Allegato 1 — Descrizione del trattamento

Allegato 2 — Misure tecniche e organizzative

Separazione e controllo degli accessi

• Separazione logica tra aziende: ogni lettura e scrittura è filtrata sull'azienda della sessione, mai su dati inviati dal browser; verificata da test automatici di isolamento.
• Ruoli con permessi minimi (Owner, Administrator, Member, Viewer); nessuna escalation di ruolo; staff di piattaforma senza accesso ai contenuti.
• Verifica in due passaggi (TOTP) obbligatoria per Owner, Administrator e staff di piattaforma.
• Inviti con link personale monouso valido 7 giorni (in archivio solo l'impronta del codice).

Autenticazione e sessioni

• Password cifrate in modo non reversibile (PBKDF2-SHA256), lunghezza minima 12 caratteri, blocco progressivo dopo tentativi errati.
• Segreti MFA cifrati (AES-GCM) con chiave separata dal database.
• Cookie di sessione HttpOnly, Secure, __Host-; sessioni lato server, scadenza per inattività (1 ora) e assoluta (12 ore); rotazione dopo l'accesso.
• Protezione da richieste da altri siti (CSRF) e limiti di frequenza per IP e per utente.

Dati e infrastruttura

• Database e file nell'UE; traffico cifrato (TLS).
• Documenti verificati al caricamento (tipo reale del file, dimensione massima 25 MB), scaricati sempre come allegato.
• Estrazione del testo dei documenti all'interno della piattaforma.
• Il contenuto dei documenti è trattato dall'AI come materiale di riferimento, non come istruzioni (difesa da prompt injection).
• Nessun contenuto nei log tecnici.

Organizzazione

• Registro delle attività (audit) consultabile dagli amministratori del Cliente.
• Test automatici prima di ogni rilascio; revisione di sicurezza indipendente per le funzioni che riguardano accessi, dati e AI.
• Copie di sicurezza del database con ripristino fino a 30 giorni.
• Procedura di gestione delle violazioni dei dati [DA COMPLETARE: referente e procedura interna].

Allegato 3 — Sub-responsabili autorizzati

I modelli AI (GPT-OSS 120B, rilasciato come open source da OpenAI, per i testi; FLUX.2 [klein] 9B di Black Forest Labs per le immagini; Whisper large v3 turbo, open source di OpenAI, per la trascrizione del comando vocale) sono eseguiti da Cloudflare su Workers AI: OpenAI e Black Forest Labs non ricevono dati e non sono sub-responsabili.

I connettori facoltativi (Google Drive, Microsoft OneDrive/SharePoint, Gmail e Google Calendar, Outlook e calendario Microsoft) collegano servizi che il Cliente usa già con un proprio contratto: Google e Microsoft non sono sub-responsabili di Perselya. I-Privia legge da quei servizi solo i file che l'utente sceglie di importare. [DA VERIFICARE CON IL LEGALE.] Per Gmail, Google non prevede un permesso «solo bozze»: il permesso concesso (gmail.compose) consentirebbe anche l'invio, ma I-Privia usa solo la creazione di bozze e non contiene alcuna funzione di invio; per Outlook il permesso di invio non viene richiesto. Il connettore facoltativo Buffer collega l'account Buffer dell'utente (Buffer Inc., Stati Uniti): I-Privia trasmette a Buffer, su istruzione esplicita dell'utente, solo il testo dei post da lui confermati, destinati alla pubblicazione. Buffer è un servizio scelto e contrattualizzato dall'utente o dal Cliente e non è sub-responsabile di Perselya [DA VERIFICARE CON IL LEGALE].