Accordo sul trattamento dei dati

1. Addendum sul trattamento dei dati

CitaAI si impegna a garantire la privacy, la sicurezza e il trattamento conforme dei dati dei clienti. Il presente Addendum sul trattamento dei dati (“DPA”) definisce i termini che regolano il modo in cui trattiamo, archiviamo e proteggiamo i dati personali in conformità con le leggi applicabili sulla protezione dei dati. Il DPA integra il nostro accordo principale con i Clienti e si applica quando CitaAI tratta i dati personali per conto del Cliente in qualità di responsabile del trattamento.

Stabilisce responsabilità chiare per entrambe le parti in merito al trattamento dei dati e garantisce il rispetto delle leggi sulla privacy applicabili. Utilizzando CitaAI, i Clienti riconoscono e accettano i termini del presente DPA. Se hai bisogno di una copia controfirmata ai fini della conformità, contattaci all'indirizzo [email protected].

2. Definizioni

Affiliato si riferisce a qualsiasi entità che direttamente o indirettamente controlla, è controllata da o è sotto il controllo comune di una parte. “Controllo” indica la proprietà diretta o indiretta di almeno il 50% delle azioni con diritto di voto, delle partecipazioni o di diritti simili nell'entità. Gli affiliati sono considerati vincolati dagli obblighi e dalle responsabilità delineati nel presente DPA nella misura in cui si impegnano nel trattamento dei dati personali.

Per Sub-responsabile autorizzato si intende qualsiasi fornitore o appaltatore terzo incaricato da CitaAI di elaborare i Dati personali del Cliente esclusivamente per conto e secondo le istruzioni di CitaAI. Tutti i Sub-responsabili devono rispettare gli stessi obblighi di protezione dei dati, mantenendo sicurezza, riservatezza e conformità normativa.

Per Dati dell'account si intendono tutte le informazioni aziendali raccolte, archiviate ed elaborate da CitaAI nell'ambito del rapporto contrattuale con il Cliente. Sono inclusi nomi, indirizzi e-mail, numeri di telefono, dati di pagamento e credenziali delle persone autorizzate dal Cliente a gestire il proprio account sulla piattaforma. I Dati dell'account vengono utilizzati esclusivamente per finalità amministrative, di fatturazione e di assistenza.

Le leggi sulla protezione dei dati comprendono tutte le leggi, i regolamenti e i quadri applicabili che disciplinano la raccolta, l'elaborazione, l'archiviazione, il trasferimento e la protezione dei dati personali — inclusi, a titolo esemplificativo, il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione Europea, il GDPR del Regno Unito, il California Consumer Privacy Act (CCPA) e qualsiasi altra legge nazionale o internazionale sulla privacy relativa al trattamento dei dati ai sensi del presente Contratto.

Per Dati personali si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile (“Interessato”). I dati personali escludono i dati anonimizzati o aggregati che non possono essere utilizzati per identificare un individuo.

Per Trattamento si intende qualsiasi operazione o insieme di operazioni eseguite sui Dati personali, sia con mezzi automatizzati che manualmente — inclusa la raccolta, la registrazione, l'organizzazione, la strutturazione, l'archiviazione, l'adattamento, l'alterazione, il recupero, la consultazione, l'utilizzo, la divulgazione, la trasmissione, la limitazione, la cancellazione o la distruzione dei Dati personali.

Le Misure di sicurezza sono le garanzie tecniche e organizzative adottate per garantire la riservatezza, l’integrità e la disponibilità dei Dati personali. Comprendono crittografia, controlli di accesso, firewall, mascheramento dei dati, pseudonimizzazione, verifiche di sicurezza periodiche e meccanismi di notifica delle violazioni.

Per Autorità di controllo si intende un’autorità pubblica indipendente responsabile di vigilare sul rispetto delle leggi sulla protezione dei dati e di farle applicare — ad esempio, il Comitato europeo per la protezione dei dati (EDPB), l’Information Commissioner’s Office del Regno Unito (ICO) e la California Privacy Protection Agency (CPPA).

I Diritti dell'interessato si riferiscono ai diritti concessi agli individui dalle leggi sulla protezione dei dati applicabili, inclusi accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e il diritto di presentare reclami a un'autorità di controllo.

3. Trattamento dei dati

Il Cliente può agire in qualità di Titolare o di Responsabile del trattamento, a seconda del suo rapporto con l’Interessato e delle finalità per le quali i Dati personali vengono trattati. In tutti i casi, CitaAI agisce in qualità di Responsabile del trattamento, trattando i Dati personali per conto e secondo le istruzioni del Cliente.

Il Cliente è responsabile di garantire che tutte le attività di trattamento dei dati svolte tramite i nostri servizi rispettino le leggi applicabili sulla protezione dei dati. Il Cliente riconosce di disporre di una base giuridica per trattare i Dati personali e manleva CitaAI da qualsiasi reclamo, responsabilità o danno derivante dal mancato rispetto di tali requisiti.

CitaAI tratta i Dati personali solo in conformità con le istruzioni scritte del Cliente ed esclusivamente come richiesto per fornire i servizi, salvo diversamente previsto dalla legge. Non utilizziamo, divulghiamo o condividiamo i Dati personali per scopi diversi da quelli autorizzati dal Cliente o esplicitamente delineati nel presente Contratto.

Alla risoluzione del Contratto o su richiesta del Cliente, CitaAI, a scelta del Cliente, (a) eliminerà in modo sicuro tutti i Dati personali trattati ai sensi del presente Contratto, assicurando che non ne rimangano copie salvo obblighi di legge, oppure (b) restituirà i Dati personali al Cliente in un formato strutturato, di uso comune e leggibile da dispositivo automatico prima di cancellarli.

4. Sicurezza e riservatezza

CitaAI si impegna a proteggere la sicurezza e la riservatezza dei Dati personali trattati per conto del Cliente. Implementiamo e manteniamo misure di sicurezza leader del settore progettate per impedire l'accesso non autorizzato, la divulgazione, l'alterazione o la distruzione dei dati personali, tra cui:

• Crittografia dei dati. I dati personali vengono crittografati in transito (TLS 1.2+) e durante l’archiviazione (AES-256) utilizzando protocolli standard del settore.
• Controlli di accesso. Rigorose politiche di gestione degli accessi garantiscono che solo il personale autorizzato abbia accesso ai Dati personali, secondo il principio del privilegio minimo.
• Sicurezza del sistema & della rete. Firewall, sistemi di rilevamento delle intrusioni e monitoraggio continuo aiutano a prevenire l'accesso non autorizzato e le minacce informatiche.
• Anonimizzazione & pseudonimizzazione dei dati. Ove applicabile, i dati personali vengono anonimizzati o pseudonimizzati per ridurre i rischi associati alla loro esposizione.
• Controlli di sicurezza regolari. Valutazioni periodiche della sicurezza, test di vulnerabilità e controlli di conformità identificano e mitigano i rischi.
• Piano di risposta agli incidenti. Un protocollo strutturato garantisce che gli incidenti di sicurezza vengano tempestivamente identificati, mitigati e segnalati in conformità con le leggi applicabili sulla protezione dei dati.

Qualsiasi individuo — dipendente, appaltatore o fornitore di servizi autorizzato — che tratta i dati personali per nostro conto è vincolato da rigorosi obblighi di riservatezza, inclusi accordi di non divulgazione firmati e adesione alle politiche interne di gestione dei dati.

5. Subresponsabili del trattamento

CitaAI si avvale di subresponsabili del trattamento di terze parti per la fornitura e il mantenimento del servizio. Questi subresponsabili svolgono funzioni specifiche, come l’hosting dell’infrastruttura, l’elaborazione dei pagamenti, l’invio di e-mail transazionali e la sicurezza. Garantiamo che tutti i subresponsabili incaricati rispettino obblighi di protezione dei dati equivalenti a quelli previsti dal presente DPA, sanciti da accordi firmati.

Un elenco aggiornato è disponibile su richiesta a [email protected]. Gli attuali sub-responsabili del trattamento includono (ma non sono limitati a):

• Stripe — elaborazione dei pagamenti, fatturazione e screening delle frodi.
• Mailgun — invio di email transazionali e di notifica.
• Cloudflare — CDN, protezione DDoS e verifiche anti-bot Turnstile.
• Fornitori di database gestiti — archiviazione crittografata dei dati delle applicazioni.

Endpoint dei sistemi di IA

Per misurare il modo in cui gli assistenti generativi descrivono l’attività di un cliente, CitaAI invia query pubbliche preparate con cura alle API ufficiali di ChatGPT (OpenAI), Claude (Anthropic), Gemini (Google), DeepSeek e Grok (xAI). Questi motori sono fornitori di servizi indipendenti che gestiscono la propria infrastruttura secondo le proprie condizioni.

• Inviamo solo i prompt creati dal nostro team per l’ottimizzazione: non i dati del tuo account, non i tuoi file privati e non i dati personali dei tuoi clienti.
• Non inviamo mai dati personali o contenuti proprietari come dati di addestramento. Quando il fornitore offre l’opzione “non utilizzare i miei dati per addestrare i modelli”, la abilitiamo sui nostri account di servizio.
• Ciascun sistema tratta le richieste secondo la propria informativa sulla privacy e i propri tempi di conservazione. I collegamenti a tali informative sono elencati nell’appendice dell’Informativa sui cookie e sono disponibili su richiesta.

Diritti e opposizioni del Cliente. CitaAI informerà i Clienti di ogni nuovo subresponsabile del trattamento con almeno 10 giorni di anticipo. I Clienti possono presentare un’opposizione scritta entro tale termine se hanno fondati motivi di preoccupazione per la protezione dei dati. Cercheremo una soluzione in buona fede; se non si raggiunge una soluzione accettabile per entrambe le parti, il Cliente può avere il diritto di interrompere i servizi interessati.

6. Trasferimenti di dati personali

CitaAI può trasferire i Dati personali al di fuori dello Spazio Economico Europeo (SEE), del Regno Unito o della Svizzera per facilitare la fornitura dei servizi. Quando si verificano tali trasferimenti, garantiamo che siano in atto adeguate tutele legali, tra cui:

• Clausole contrattuali standard (SCC) approvate dalla Commissione Europea o da altre autorità competenti.
• Misure supplementari — tutele tecniche, organizzative e contrattuali aggiuntive.
• Regole aziendali vincolanti (BCR) quando applicabili alle entità affiliate.
• Altri meccanismi di trasferimento approvati riconosciuti dalla legge applicabile.

7. Diritti dell'interessato

CitaAI riconosce e rispetta i diritti degli Interessati ai sensi delle leggi applicabili sulla protezione dei dati. Assisteremo il Cliente, in qualità di Titolare del trattamento, nel rispondere alle richieste degli interessati in merito ai propri Dati Personali:

• Diritto di accesso — conferma dell'eventuale trattamento dei dati e accesso agli stessi.
• Diritto di rettifica — correzione dei dati inesatti o incompleti.
• Diritto alla cancellazione (“Diritto all’oblio”) — cancellazione dei Dati personali, fatti salvi gli obblighi legali e contrattuali.
• Diritto di limitazione del trattamento — limitazione del trattamento dei Dati personali a determinate condizioni.
• Diritto alla portabilità dei dati — ottenere e trasferire i dati personali a un altro titolare del trattamento ove tecnicamente fattibile.
• Diritto di opposizione — al trattamento basato su interessi legittimi, marketing diretto o processi decisionali automatizzati.
• Diritto di revocare il consenso — in qualsiasi momento se il trattamento è basato sul consenso.

8. Notifica di violazione dei dati

CitaAI implementa misure preventive per salvaguardare i dati personali. In caso di violazione confermata dei dati personali, dovremo:

• Valutare l’impatto della violazione e adottare misure immediate di mitigazione;
• Avvisare il Cliente senza indebito ritardo (tipicamente entro 48 ore dalla conferma);
• Fornire dettagli sulla natura e la portata della violazione, il tipo di dati interessati, le potenziali conseguenze e le misure adottate;
• Assistere il Cliente nell'adempimento di eventuali obblighi normativi di notifica alle autorità e alle persone interessate;
• Adottare misure correttive per evitare che la violazione si ripeta.

Il Cliente è responsabile di determinare se informare le autorità di regolamentazione e gli Interessati in conformità con le leggi sulla protezione dei dati applicabili.

9. Conservazione e cancellazione dei dati

CitaAI conserva i Dati personali solo per il tempo necessario ad adempiere ai propri obblighi ai sensi del presente Contratto o come richiesto dalle leggi applicabili. Seguiamo i principi di minimizzazione dei dati: i dati vengono conservati solo per legittime esigenze aziendali e di conformità e vengono cancellati o resi anonimi quando non sono più necessari.

I Clienti possono richiedere la cancellazione dei Dati Personali in qualsiasi momento. Al termine dei servizi, CitaAI eliminerà o restituirà i Dati personali in conformità con le istruzioni del Cliente. Se non viene effettuata alcuna richiesta di cancellazione, i Dati Personali vengono automaticamente cancellati entro un termine ragionevole, a meno che non si applichino requisiti legali di conservazione (documentazione fiscale, indagini antifrode, ecc.).

10. Legge applicabile & risoluzione delle controversie

Il presente DPA è regolato e interpretato in conformità con le stesse leggi e giurisdizioni definite nell’accordo principale tra CitaAI e il Cliente. Le controversie verranno risolte innanzitutto attraverso una negoziazione in buona fede; se non viene raggiunta alcuna soluzione, la controversia può essere deferita alla mediazione, all’arbitrato o ai tribunali competenti della giurisdizione applicabile. In caso di conflitto tra il presente DPA e l’accordo principale, i termini del presente DPA hanno la precedenza per quanto riguarda le questioni relative alla protezione dei dati.

11. Disposizioni finali

Il presente DPA costituisce parte integrante dell’accordo complessivo tra CitaAI e il Cliente. Continuando a utilizzare i servizi, il Cliente riconosce e accetta i termini del presente DPA. Se una qualsiasi disposizione viene ritenuta non valida o inapplicabile, le restanti disposizioni continuano ad avere pieno vigore ed effetto.

CitaAI si riserva il diritto di modificare o aggiornare il presente DPA per riflettere i cambiamenti nelle leggi applicabili sulla protezione dei dati, nelle pratiche di settore o nelle esigenze operative. I clienti verranno informati delle modifiche sostanziali; l'uso continuato dei servizi implica l'accettazione dei termini aggiornati.

12. Contatti

Per qualsiasi domanda, richiesta formale o per ottenere una copia firmata del presente DPA, contatta [email protected]. Per domande generali sulla privacy, contatta [email protected].