Accordo sul trattamento dei dati

1. Definizioni

Termini come titolare del trattamento, responsabile del trattamento, sub-responsabile, interessato, dati personali, trattamento e violazione dei dati personali hanno il significato attribuito dal UK GDPR e dal GDPR dell’UE. «Normativa sulla protezione dei dati» indica il UK GDPR, il GDPR dell’UE (Regolamento 2016/679), il UK Data Protection Act 2018 e qualsiasi altra legge applicabile sulla protezione dei dati o sulla privacy.

2. Ruoli e ambito

Per i dati personali trattati ai sensi dell’accordo, il Cliente è il titolare e Clavio il responsabile (oppure, se il Cliente è a sua volta responsabile per i propri utenti finali, Clavio è sub-responsabile). Clavio tratta dati personali solo per fornire e supportare il Servizio. Oggetto, durata, natura e finalità del trattamento, tipi di dati personali e categorie di interessati sono descritti nell’Allegato A di seguito.

3. Obblighi del Responsabile (articolo 28)

Clavio si impegna a:

• Istruzioni documentate — trattare dati personali solo su istruzioni documentate del Cliente (comprese quelle nell’accordo e in questo DPA), salvo diverso obbligo di legge; in tal caso Clavio informerà preventivamente il Cliente, ove consentito dalla legge.
• Riservatezza — garantire che le persone autorizzate al trattamento dei dati personali siano vincolate da un adeguato obbligo di riservatezza.
• Sicurezza — attuare le misure tecniche e organizzative descritte nel §6 e nell’Allegato B (articolo 32).
• Sub-responsabili — ricorrere a sub-responsabili solo in conformità al §5.
• Assistenza per i diritti degli interessati — tenendo conto della natura del trattamento, assistere il Cliente con misure adeguate nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione).
• Assistenza alla conformità — assistere il Cliente nel garantire il rispetto degli articoli 32–36 (sicurezza, notifica delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva), tenendo conto delle informazioni disponibili a Clavio.
• Cancellazione o restituzione — a scelta del Cliente, cancellare o restituire tutti i dati personali al termine dei servizi e cancellare le copie esistenti, salvo obbligo legale di conservazione (vedi §8).
• Audit — mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell’articolo 28 e consentire e contribuire agli audit, comprese le ispezioni, svolti dal Cliente o da un revisore da esso incaricato, nel rispetto di ragionevoli disposizioni di riservatezza e sicurezza.

4. Violazione dei dati personali

Clavio informerà il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione che riguarda i dati personali del Cliente e fornirà le informazioni ragionevolmente disponibili per aiutarlo ad adempiere ai propri obblighi di notifica alle autorità di controllo e agli interessati ai sensi degli articoli 33 e 34.

5. Sub-responsabili

Il Cliente concede a Clavio un’autorizzazione generale a ricorrere a sub-responsabili per fornire il Servizio. Gli attuali sub-responsabili di Clavio sono elencati nella nostra Informativa sulla privacy e di seguito. Clavio imporrà a ciascuno obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo DPA e resta responsabile del loro adempimento. Clavio informerà il Cliente delle modifiche previste ai sub-responsabili e gli darà la possibilità di opporsi per ragionevoli motivi di protezione dei dati.

• Anthropic — rifinitura con IA del testo trascritto; tratta trascrizioni e contenuti dettati.
• OpenAI (Whisper) — trascrizione da voce a testo; tratta registrazioni vocali.
• Groq — può fornire trascrizione da voce a testo quando configurato; tratta registrazioni vocali e dati di inferenza correlati secondo i controlli sui dati applicabili all’account.
• Lemon Squeezy — elaborazione dei pagamenti e fatturazione degli abbonamenti come Merchant of Record; tratta dati di account e identità (nome, email), informazioni di fatturazione e pagamento e paese ai fini fiscali.
• Apple — accesso e verifica dell’identità; tratta dati di account e identità.
• Google — accesso e verifica dell’identità; tratta dati di account e identità.
• Railway — hosting dell’applicazione e infrastruttura di database; può trattare tutte le categorie descritte nell’Allegato A.
• GitLab — distribuzione del software e strumenti operativi; tratta dati diagnostici e operativi.

6. Misure di sicurezza (articolo 32)

Clavio mantiene misure tecniche e organizzative adeguate a proteggere i dati personali, tra cui: cifratura in transito (TLS); conservazione dei soli hash dei token di autenticazione anziché delle password; controlli di accesso secondo necessità; uso di fornitori di infrastruttura affidabili; e pratiche operative progettate per garantire costantemente riservatezza, integrità, disponibilità e resilienza del Servizio. Una sintesi è riportata nell’Allegato B.

7. Trasferimenti internazionali

Se il trattamento previsto da questo DPA comporta un trasferimento di dati personali al di fuori del Regno Unito o del SEE verso un paese privo di decisione di adeguatezza, le parti convengono che tali trasferimenti avvengano con garanzie adeguate ai sensi dell’articolo 46: le Clausole contrattuali tipo della Commissione europea (EU 2021/914) e, per i trasferimenti dal Regno Unito, l’Accordo internazionale sul trasferimento dei dati del Regno Unito / Addendum del Regno Unito, qui incorporati per riferimento e completati con i dettagli degli Allegati. Firmiamo abitualmente queste clausole senza negoziazione.

8. Durata, cancellazione e restituzione

Questo DPA si applica finché Clavio tratta dati personali per conto del Cliente. Alla cessazione o scadenza del Servizio, e a scelta del Cliente, Clavio cancellerà o restituirà i dati personali del Cliente ed eliminerà le copie esistenti, fatti salvi brevi periodi di rotazione dei backup e gli obblighi legali di conservazione.

9. Allegato A — Dettagli del trattamento

• Oggetto e natura: fornitura di un servizio di dettatura vocale con IA: acquisizione, trasmissione, trascrizione e rifinitura dei dettati, e gestione di account e abbonamenti.
• Finalità: fornire il Servizio al Cliente e ai suoi utenti autorizzati.
• Durata: per la durata dell’accordo, oltre a qualsiasi periodo limitato di conclusione previsto dal §8.
• Categorie di interessati: utenti autorizzati del Cliente (ad esempio dipendenti o membri del team).
• Tipi di dati personali: dati di account e identità (identificativo utente, nome, email, inclusi gli indirizzi di inoltro privato Apple); registrazioni vocali e trascrizioni; informazioni su abbonamento, fatturazione e pagamento (gestite dal nostro Merchant of Record, Lemon Squeezy), incluso il paese ai fini fiscali; dati di utilizzo, diagnostica e dispositivo/sistema operativo.
• Categorie particolari di dati: registrazioni vocali, trattate temporaneamente per produrre trascrizioni; non utilizzate per addestrare modelli di IA.

10. Allegato B — Misure di sicurezza (sintesi)

• Cifratura dei dati personali in transito (TLS).
• Autenticazione tramite provider di identità con accesso effettuato; conservazione dei soli hash dei token, non delle password.
• Controlli di accesso a sistemi e dati basati sui ruoli e sulla necessità di conoscere.
• Uso di sub-responsabili di infrastruttura e IA affidabili, sottoposti a verifica di sicurezza e vincolati da condizioni di protezione dei dati.
• Registrazione e monitoraggio per rilevare eventi di sicurezza e rispondervi, e una procedura per notificare al Cliente le violazioni dei dati personali.
• Misure progettate per ripristinare tempestivamente disponibilità e accesso ai dati personali dopo un incidente.

11. Contatti

Per richiedere o firmare questo DPA o porre domande al riguardo, contatta office@justetools.co.uk .