Accordo sul trattamento dei dati

1Parti e ruoli

Il Cliente è titolare dei dati personali contenuti nei documenti che invia a Sinapsi. Celebron S.r.l. è responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 («GDPR») e tratta quei dati solo per conto del Cliente. Per i dati dei referenti e degli utenti della Plancia, trattati per gestire il contratto, e per quelli trattati per gli obblighi antiriciclaggio, come l’adeguata verifica e la conservazione per dieci anni, Celebron è titolare autonomo secondo la propria informativa sul trattamento dei dati personali.

L’accordo fa parte del contratto Sinapsi e ne segue la durata. I termini con l’iniziale maiuscola hanno il significato delle Condizioni del servizio Sinapsi.

2Oggetto, natura e finalità

Celebron raccoglie, registra, organizza, conserva, consulta ed elabora i dati, anche con sistemi di intelligenza artificiale, li rappresenta nella Plancia e infine li restituisce e li cancella, al solo fine di prestare Sinapsi: Plancia, «Vedi prima», cartella del contenzioso e ore di servizio.

3Interessati e tipi di dati

Sinapsi tratta dati di categorie particolari solo se compaiono nei documenti necessari al servizio e solo per quel fine. Non tratta dati relativi a condanne penali e reati (art. 10 GDPR): il Cliente non invia atti penali e, se arrivano per errore, Celebron li cancella e lo avvisa.

4Istruzioni del Cliente

Celebron tratta i dati solo su istruzione documentata del Cliente: il contratto, le impostazioni della Plancia e le richieste scritte dei referenti. Se un’istruzione le sembra in contrasto con la legge lo segnala subito e può sospenderne l’esecuzione. I dati escono dallo Spazio economico europeo solo nei casi del punto 9.

5Persone autorizzate

Accedono ai dati solo le persone di Celebron che ne hanno bisogno per il servizio, autorizzate per iscritto, vincolate alla riservatezza e formate sulla protezione dei dati e sull’uso dell’intelligenza artificiale. Gli accessi sono personali e registrati.

6Gestione, controllo e custodia dei dati

• Dove. Su server protetti di un fornitore di servizi cloud di primaria importanza, come Amazon Web Services, gestiti dal fornitore stesso o da un suo partner ufficiale, con data center nell’Unione europea, certificazione ISO/IEC 27001 e accordo sul trattamento dei dati conforme all’art. 28 del Regolamento (UE) 2016/679.
• Separazione. I dati di ogni Cliente sono tenuti separati e contrassegnati dal suo Codice cliente.
• Ingresso. La casella sinapsi@celebron.it accetta i documenti solo dagli Indirizzi autorizzati e con il Codice cliente. È un punto di passaggio: i documenti vengono trasferiti nell’ambiente protetto e tolti dalla casella entro trenta giorni.
• Controllo. Ogni accesso e ogni operazione sono registrati; i registri si conservano per almeno dodici mesi e si verificano periodicamente.
• Crescita. Con l’aumento dei clienti Celebron adegua capacità di memoria, server e misure di sicurezza, anche con ambienti dedicati, mantenendo le garanzie di questo accordo, e informa il Cliente dei cambiamenti che riguardano i fornitori.

7Misure di sicurezza

Celebron adotta le misure dell’art. 32 del GDPR adeguate ai rischi, tra cui:

• cifratura dei dati in transito e a riposo;
• autenticazione a più fattori per il personale e codici personali per gli utenti della Plancia;
• privilegi minimi: ognuno vede solo ciò che gli serve;
• copie di sicurezza cifrate, almeno giornaliere, conservate separatamente nell’Unione europea, con prove di ripristino;
• aggiornamenti di sicurezza e controllo delle vulnerabilità;
• una procedura scritta per gli incidenti e le violazioni dei dati;
• il riesame delle misure almeno una volta all’anno e a ogni cambiamento importante.

8Sub-responsabili

Il Cliente autorizza in via generale Celebron ad avvalersi di sub-responsabili. Celebron impone loro per contratto gli stessi obblighi di questo accordo, li sceglie tra fornitori che offrono garanzie adeguate e risponde verso il Cliente del loro operato (art. 28, paragrafo 4, del GDPR). Celebron comunica per e-mail ogni nuovo sub-responsabile o sostituzione almeno trenta giorni prima; il Cliente può opporsi per motivi fondati e, se non si trova una soluzione, può recedere senza costi.

L’elenco nominativo aggiornato è allegato al contratto individuale e si può chiedere in ogni momento a sinapsi@celebron.it.

9Trasferimenti fuori dall’Unione europea

I dati sono conservati nell’Unione europea. Un fornitore può elaborarli fuori dallo Spazio economico europeo solo con le garanzie degli articoli 44–49 del GDPR: una decisione di adeguatezza, come l’EU-U.S. Data Privacy Framework per le società statunitensi che vi aderiscono, o le clausole contrattuali tipo della Commissione europea, con una valutazione dei rischi e misure supplementari quando servono.

10Assistenza al Cliente

• Celebron inoltra al Cliente entro cinque giorni lavorativi le richieste degli interessati che riceve e lo aiuta a rispondere (articoli 15–22 GDPR).
• Gli fornisce le informazioni per la valutazione d’impatto e l’eventuale consultazione preventiva (articoli 35–36).
• Lo assiste nella sicurezza e nella gestione delle violazioni (articoli 32–34).

11Violazioni dei dati

Se scopre una violazione dei dati personali, Celebron avvisa il Cliente senza ingiustificato ritardo e comunque entro quarantotto ore. Indica che cosa è accaduto, quali dati e quante persone sono coinvolti, le conseguenze probabili e le misure prese o proposte, perché il Cliente possa notificare il Garante entro le settantadue ore previste dall’art. 33 del GDPR. Celebron documenta ogni violazione e collabora alle comunicazioni agli interessati.

12Intelligenza artificiale

I dati sono elaborati anche con sistemi di intelligenza artificiale, solo per prestare il servizio. Nell’app il sistema di intelligenza artificiale si presenta con il nome commerciale «Calypso». Celebron sceglie fornitori le cui condizioni escludono l’uso dei dati dei clienti per addestrare i modelli e ne limitano la conservazione; non usa i dati per addestrare modelli di terzi; non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analoghi sulle persone (art. 22 GDPR). Ogni elaborazione destinata al Cliente è verificata da una persona della squadra Celebron. Più dettagli nella pagina Come usiamo l’intelligenza artificiale e nei Termini sull’intelligenza artificiale.

13Verifiche

Celebron mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo, comprese le certificazioni dei fornitori, e consente verifiche del Cliente o di un revisore da lui incaricato e vincolato alla riservatezza, con un preavviso di trenta giorni, non più di una volta all’anno salvo violazioni, a spese del Cliente.

14Restituzione e cancellazione

Alla cessazione del contratto Celebron consegna al Cliente, su richiesta e gratuitamente, i suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico. Poi li cancella entro sessanta giorni, comprese le copie, salvo quelle che la legge impone di conservare, come i documenti dell’adeguata verifica antiriciclaggio (dieci anni, art. 31 del D.Lgs. 231/2007), e ne rilascia attestazione scritta. Le copie di sicurezza si cancellano con la loro rotazione, entro novanta giorni.

15Registro e responsabilità

Celebron tiene il registro dei trattamenti svolti per conto dei clienti (art. 30, paragrafo 2, del GDPR). Ciascuna parte risponde secondo l’art. 82 del GDPR e il contratto.