Accordo sul trattamento dei dati (DPA)

1. Ruoli

• Cliente — titolare dei dati personali che inserisce in Nucleo o vi collega (oppure responsabile per conto dei propri clienti, se agenzia o gruppo: in tal caso garantisce di avere il potere di nominarci sub-responsabili).
• Made in Evolve S.r.l. — responsabile del trattamento, che agisce soltanto sulla base delle istruzioni documentate del Cliente, costituite dal presente DPA, dall'Order Form, dalla configurazione del Servizio effettuata dal Cliente e da ogni ulteriore istruzione scritta coerente con il contratto. Informeremo il Cliente se riteniamo che un'istruzione violi la normativa sulla protezione dei dati.
• Per i dati di account e fatturazione degli amministratori del Cliente e per il nostro sito web siamo titolari autonomi (vedi Informativa sulla privacy).

2. Oggetto, natura, finalità e durata

• Oggetto: fornitura dei moduli Nucleo attivati nell'Order Form (Brain, Catalog, Commerce, Intelligence) e di Atomo, inclusi hosting, archiviazione, indicizzazione, ricerca, classificazione, sintesi e generazione assistite da AI, sincronizzazione con i sistemi collegati dal Cliente, supporto e backup.
• Natura: raccolta dalle sorgenti collegate, conservazione, organizzazione, strutturazione, estrazione, consultazione, uso, trasmissione agli strumenti collegati su istruzione del Cliente, cancellazione. Il trattamento è in larga parte automatizzato e include l'analisi delle comunicazioni assistita da AI; il Servizio da solo non adotta alcuna decisione con effetti giuridici o analogamente significativi sugli interessati.
• Finalità: consentire al Cliente di gestire CRM, comunicazioni, knowledge base, finance, catalogo, ordini, negozi, loyalty, customer care, analytics e marketing.
• Durata: la durata dell'abbonamento, più i periodi di export e cancellazione di cui alla sezione 9.

3. Categorie di interessati e di dati

• Interessati: dipendenti, collaboratori e Utenti del Cliente; suoi clienti, prospect, fornitori, partner e relativo personale; consumatori finali (ordini, iscritti loyalty, richiedenti assistenza, audience marketing); qualsiasi terzo presente in comunicazioni, documenti, calendari o registrazioni di chiamate collegati al Servizio.
• Categorie di dati: dati identificativi e di contatto; dati professionali (ruolo, azienda, reparto); contenuto e metadati di email, chat (incluse WhatsApp, Messenger, Instagram, Slack), eventi di calendario, documenti e file; registrazioni audio, trascrizioni e riassunti AI di chiamate e riunioni; dati commerciali (trattative, preventivi, contratti, fatture, pagamenti); dati su ordini, spedizioni, loyalty e storico acquisti; ticket di assistenza; preferenze marketing, consensi e interazioni con le campagne; dati di prodotto e asset (generalmente non personali); dati tecnici (login, log di audit, indirizzi IP, identificatori); prompt e output AI.
• Categorie particolari (art. 9), dati di minori e dati giudiziari non sono richiesti dal Servizio e non devono essere inseriti deliberatamente salvo accordo nell'Order Form; la loro presenza incidentale nelle comunicazioni indicizzate è governata dalle istruzioni del Cliente (ad es. regole di esclusione, limiti di conservazione).

4. Obblighi del Cliente in qualità di titolare

• Garantire una base giuridica (art. 6 GDPR) per ogni trattamento effettuato tramite Nucleo e fornire agli interessati le informazioni richieste dagli artt. 13-14, incluse le informazioni sull'uso dell'AI (Atomo) e sulle sorgenti collegate.
• Comunicazioni e file dei dipendenti (Brain): rispettare l'art. 4 della Legge 300/1970 (accordo collettivo con le rappresentanze sindacali o autorizzazione dell'Ispettorato Nazionale del Lavoro, ove gli strumenti usati possano consentire un controllo a distanza e non siano strettamente necessari alla prestazione), l'art. 114 del Codice Privacy e le Linee guida del Garante su posta elettronica e internet sul luogo di lavoro; adottare una policy interna sull'uso degli strumenti di lavoro; collegare solo account di lavoro; configurare gli accessi in modo che colleghi e responsabili vedano solo il necessario; non usare mai il Servizio per monitorare prestazioni o comportamenti dei dipendenti, ricostruirne l'attività o inferirne le emozioni.
• Registrazioni e trascrizioni delle chiamate: informare i partecipanti all'inizio di ogni chiamata registrata, ottenerne l'accordo ove richiesto e disattivare la registrazione per chi si oppone.
• Messaggistica con i consumatori (WhatsApp Business, Messenger, Instagram): raccogliere l'opt-in richiesto, rispettare le policy di Meta e i diritti dei consumatori e fornire l'informativa privacy del Cliente.
• Marketing e profilazione (Commerce, Intelligence): raccogliere i consensi ove richiesti (art. 130 Codice Privacy), rispettare opt-out e opposizioni, configurare le liste di soppressione e rivedere le azioni automatiche prima dell'approvazione.
• AI Act: il Cliente è il deployer di Atomo all'interno della propria organizzazione. Deve garantire un'adeguata alfabetizzazione AI degli Utenti (art. 4), non usare il Servizio per pratiche vietate dall'art. 5, informare i lavoratori e i loro rappresentanti prima di mettere in uso qualsiasi impiego dell'AI che si qualifichi come ad alto rischio ai sensi dell'Allegato III (art. 26, par. 7) — uso per il quale Nucleo non è progettato — e mantenere la sorveglianza umana sugli output AI e sulle azioni automatiche.
• Effettuare una valutazione d'impatto sulla protezione dei dati (art. 35) ove richiesta — l'indicizzazione delle comunicazioni dei dipendenti con analisi AI e la profilazione su larga scala dei consumatori ne sono presupposti tipici; forniamo le informazioni necessarie (sezione 7).
• Rispondere alle richieste degli interessati; mantenere aggiornati nel Servizio i dati di contatto del proprio DPO/referente privacy.

5. I nostri obblighi in qualità di responsabile

• Trattare i dati personali soltanto su istruzione documentata, anche per i trasferimenti al di fuori del SEE, salvo che lo richieda il diritto dell'UE o di uno Stato membro (in tal caso informiamo preventivamente il Cliente, salvo divieto).
• Garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza e formate, e accedano ai Dati del Cliente solo quando necessario per supporto, sicurezza o manutenzione, con accessi registrati.
• Attuare le misure tecniche e organizzative dell'Allegato A (sezione 11) e mantenerle aggiornate; assistere il Cliente in materia di sicurezza del trattamento, notifica delle violazioni, DPIA e consultazioni preventive (artt. 32-36).
• Assistere il Cliente, tramite le funzioni del Servizio e, ove necessario, il nostro supporto, nel rispondere alle richieste degli interessati (artt. 15-22); inoltrare al Cliente senza ingiustificato ritardo ogni richiesta ricevuta direttamente.
• Notificare al Cliente una violazione di dati personali che riguardi i Dati del Cliente senza ingiustificato ritardo e in ogni caso entro 48 ore da quando ne siamo venuti a conoscenza, con le informazioni disponibili in quel momento, integrandole con il progredire delle indagini, così che il Cliente possa rispettare il proprio termine di 72 ore ai sensi dell'art. 33 GDPR.
• Non usare i Dati del Cliente per finalità proprie, non venderli e non usarli per addestrare modelli di AI; utilizzare soltanto statistiche d'uso aggregate e de-identificate per gestire e migliorare il Servizio.
• Cancellare o restituire i Dati del Cliente al termine del Servizio (sezione 9) e mettere a disposizione le informazioni necessarie a dimostrare la conformità, consentendo audit (sezione 8).
• Tenere un registro delle attività di trattamento in qualità di responsabile (art. 30, par. 2) e, ove applicabile, nominare un DPO e un rappresentante nell'UE.

6. Sub-responsabili e fornitori AI

Il Cliente autorizza in via generale i sub-responsabili elencati di seguito e nell'elenco aggiornato consegnato con l'Order Form. Informiamo via email gli amministratori del Cliente con almeno 30 giorni di anticipo prima di aggiungere o sostituire un sub-responsabile; il Cliente può opporsi per motivi ragionevoli di protezione dei dati entro tale termine, nel qual caso cercheremo una soluzione e, in mancanza, il Cliente potrà recedere dal modulo interessato con rimborso pro-rata. Imponiamo a ogni sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e restiamo pienamente responsabili del loro adempimento.

• DigitalOcean LLC (USA; data center Francoforte e Amsterdam, UE) — infrastruttura cloud, database, object storage, backup.
• Twilio Inc. — SendGrid (USA; region UE) — email transazionali e di notifica inviate dal Servizio.
• Google Ireland Ltd. / Google LLC — API Google Workspace (Gmail, Calendar, Drive), sorgenti dati Google Analytics 4 e Google Ads, connettori Google Merchant Center e Search Console, export BigQuery — solo per le sorgenti collegate dal Cliente.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation — connettori Microsoft 365 e Microsoft Teams e sorgente dati Microsoft Clarity — solo se collegati.
• Meta Platforms Ireland Ltd. — WhatsApp Business Platform, Messenger, messaggistica Instagram e sorgente dati Meta Ads — solo se collegati; il contenuto dei messaggi è trattato da Meta secondo i propri termini, in qualità di titolare autonomo/responsabile come descritto nei suoi Business Terms.
• Slack Technologies Ltd. (Salesforce) — connettore conversazioni Slack — solo se collegato.
• Klaviyo, Inc. (USA) — sincronizzazione con la piattaforma marketing (profili, consensi, eventi di campagna) — solo se collegata.
• Fireflies.ai Corp. (USA) — registrazioni e trascrizioni di riunioni importate in Brain — solo se collegato dal Cliente.
• Documenso, Inc. (USA) — firma elettronica dei documenti che il Cliente invia in firma da Brain (il documento, i nomi e gli indirizzi email dei firmatari) — solo se usata dal Cliente.
• Anthropic (modelli Claude), OpenAI (modelli GPT) e Google Ireland Ltd. / Google LLC (Gemini API) — i fornitori di modelli linguistici di grandi dimensioni instradati da Atomo — trattamento di prompt, estratti di documenti e immagini inviati ad Atomo per chat, classificazione, riassunti, embedding e generazione di testo, con condizioni API che escludono l'uso dei Dati del Cliente per addestrare i loro modelli e limitano la conservazione dei prompt. I trasferimenti verso gli Stati Uniti sono coperti dall'EU-U.S. Data Privacy Framework o dalle Clausole Contrattuali Standard, a seconda del provider. Il Cliente può restringere i provider usati per il proprio tenant in Impostazioni → AI.
• Notion Labs, Inc. (USA) — connettore workspace Notion (pagine e database importati in Brain) — solo se collegato dal Cliente.
• Windsor.ai (Svizzera) — connettori per le sorgenti dati marketing, advertising e analytics di Intelligence — solo per le sorgenti collegate dal Cliente.
• Questo è l'elenco completo dei nostri sub-responsabili alla data indicata in alto in questa pagina; ogni aggiunta o sostituzione segue la procedura di notifica sopra descritta.
• I sistemi collegati dal Cliente (il suo ERP, e-commerce, helpdesk, marketplace, provider di pagamento, piattaforme pubblicitarie) sono fornitori del Cliente, non nostri sub-responsabili: i dati vi fluiscono solo su istruzione del Cliente e in base ai contratti del Cliente con essi.

7. Trasferimenti internazionali

I Dati del Cliente sono conservati e trattati nell'Unione Europea. I trasferimenti verso sub-responsabili stabiliti fuori dal SEE (accessi di supporto, provider AI, strumenti con sede negli USA collegati dal Cliente) si basano sull'EU-U.S. Data Privacy Framework per le organizzazioni certificate e, altrimenti, sulle Clausole Contrattuali Standard (Decisione 2021/914, moduli 2 e 3) con valutazione d'impatto del trasferimento e misure supplementari (cifratura, minimizzazione dei dati nei prompt, pseudonimizzazione ove possibile). Su richiesta forniamo al Cliente la relativa documentazione. I sistemi propri di Nucleo (applicazione, database, storage, backup) sono ospitati esclusivamente nell'Unione Europea; i fornitori terzi elencati nella sezione 6 possono trattare i dati negli Stati Uniti in base al Data Privacy Framework o alle Clausole Contrattuali Standard, come indicato nelle rispettive informative.

8. Audit e informazioni

Mettiamo a disposizione su richiesta la nostra documentazione di sicurezza, l'elenco dei sub-responsabili, le sintesi dei penetration test e le certificazioni o i report di terze parti dei nostri fornitori di infrastruttura. Non più di una volta all'anno (o dopo una violazione o una richiesta di un'autorità di controllo), il Cliente può verificare la nostra conformità al presente DPA, direttamente o tramite un revisore indipendente vincolato alla riservatezza, con 30 giorni di preavviso, in orario lavorativo, senza interrompere il Servizio e a proprie spese; gli esiti sono confidenziali.

9. Restituzione e cancellazione

• Durante il contratto, il Cliente può esportare i Dati del Cliente tramite il Servizio (export, API, push verso data warehouse) e cancellare i record in qualsiasi momento.
• Dopo la cessazione, i Dati del Cliente restano disponibili per l'export per 30 giorni; vengono quindi cancellati dai sistemi di produzione entro 60 giorni e dai backup cifrati entro ulteriori 90 giorni, salvo che il diritto dell'UE o di uno Stato membro ne imponga la conservazione (in tal caso i dati sono isolati e trattati solo a tale scopo). La cancellazione è confermata per iscritto su richiesta.
• I dati inviati ai provider AI sono conservati da questi solo per il periodo limitato previsto dalle rispettive condizioni API e non sono mai usati per addestrare i loro modelli.

10. Responsabilità

Ciascuna parte risponde dei danni causati da trattamenti in violazione del GDPR ai sensi dell'art. 82. Tra le parti, la responsabilità ai sensi del presente DPA è soggetta alle limitazioni dei Termini di servizio (B16), salvo per i danni derivanti da dolo o colpa grave e per le sanzioni amministrative irrogate a una parte per una propria violazione.

11. Allegato A — Misure tecniche e organizzative (sintesi)

• Hosting in data center UE (Francoforte, Amsterdam) su infrastruttura certificata ISO 27001 / SOC 2; un database logicamente separato per ogni tenant cliente; architetture dedicate disponibili nel piano Custom.
• Cifratura in transito (TLS 1.2+) e a riposo (AES-256 su volumi, object storage e backup); segreti gestiti fuori dal codice e ruotati; HSTS e cipher suite moderne.
• Identità: single sign-on tramite il nostro identity provider OpenID Connect, autenticazione a due fattori, controllo degli accessi basato sui ruoli per modulo con default a privilegio minimo, scadenza delle sessioni, log di audit degli eventi amministrativi e di accesso ai dati conservati per 12 mesi.
• Operations: infrastruttura come codice, CI/CD automatizzata con test e analisi statica prima del deploy, gestione di dipendenze e vulnerabilità, firewall host limitati alle porte necessarie, monitoraggio e alerting, pagina di stato pubblica.
• Backup e continuità: backup giornalieri cifrati con conservazione di 30 giorni nell'UE, con procedure di ripristino testate periodicamente; procedure di recupero documentate per gli incidenti infrastrutturali.
• Garanzie AI: termini API dei provider senza addestramento sui dati dei clienti; prompt limitati ai dati necessari al compito; selezione dei provider per tenant; output AI etichettati; invii di messaggi, cancellazioni, unioni, operazioni massive e modifiche di prezzo soggetti a conferma umana esplicita, le altre modifiche di Atomo registrate e reversibili, attività AI in background disattivabili una per una; controlli sugli usi vietati.
• Persone: impegni di riservatezza, accessi need-to-know, formazione su sicurezza e alfabetizzazione AI, procedure di offboarding; due diligence e contratti con i sub-responsabili.
• Gestione degli incidenti: procedura di risposta documentata, notifica al cliente entro il termine di cui alla sezione 5, revisione post-incidente.

12. Come ottenere il DPA firmato

Il DPA controfirmato (con gli Allegati compilati e l'elenco aggiornato dei sub-responsabili) viene consegnato insieme all'Order Form — o in anticipo, su richiesta, scrivendo a privacy@nucleoplatform.com (o hello@madeinevolve.com).