Accordo sul trattamento dei dati (DPA)

1. Parti

Titolare: il Cliente

Responsabile: YecoAI

2. Oggetto

3. Obblighi del responsabile (art. 28(3))

• Trattare solo su istruzioni documentate (Termini, impostazioni pannello, questo DPA), inclusi i trasferimenti, salvo obblighi di legge UE/italiana. Possiamo rifiutare un’istruzione che, secondo una valutazione ragionevole, violi il GDPR o altra norma UE/nazionale, e ti indicheremo il motivo (art. 28(3)(a)).
• Riservatezza delle persone autorizzate.
• Misure art. 32 (sezione 4).
• Sub-responsabili solo come autorizzato sotto; stessi obblighi art. 28 per contratto.
• Assistenza su diritti, artt. 32–36 e sul tuo art. 22 (revisione umana via Copilot/Approvals).
• Cancellare o restituire i dati Utenti finali a fine rapporto (sezione 8).
• Rendere disponibili le informazioni per dimostrare la conformità; audit (sezione 9).

4. Misure e Yeco-PII

• TLS in transito; AES-256 (o equivalente) a riposo per credenziali e corpi ticket.
• Yeco-PII: rilevazione e mascheramento automatici dei dati personali prima dell’invio a LLM, job di riepilogo o altri sistemi a valle. Yeco-PII stesso tratta dati personali a tale fine. Il personale non legge i ticket.
• Controllo accessi, audit log, backup in UE, processo incidenti.

5. Sub-responsabili (autorizzazione generale)

Autorizzi i soggetti dell’elenco sub-responsabili (ripetuto sotto). Preavviso di almeno 14 giorni per le modifiche (email o pannello) per opporti. Se l’opposizione è fondata sul GDPR valuteremo alternative; in mancanza potrai recedere dal servizio interessato. Un modello BYOK o self-hosted che operi tu non è sub-responsabile di YecoAI.

Il Privacy Shield non è uno strumento di trasferimento. Restì solo responsabile delle informative artt. 13/14 verso gli Utenti finali e del tuo registro art. 30 come titolare. YecoAI tiene internamente il proprio registro art. 30 da responsabile; non è un certificato pubblico.

6. Trasferimenti

I trasferimenti extra-SEE, UK e svizzeri usano SCC UE e/o UK IDTA / Addendum UK a tali SCC, SCC riconosciute in Svizzera, e DPF UE-USA, UK-USA e CH-USA se l’importatore è certificato. Non ci basiamo sul Privacy Shield. Gli addenda UK e svizzeri §§11–12 si applicano automaticamente quando quelle leggi disciplinano il trattamento.

7. Violazioni

Ti notifichiamo senza ingiustificato ritardo e entro 48 ore dalla conoscenza di una violazione sui dati Utenti finali che trattiamo, con informazioni perché tu possa avvisare Garante, ICO, IFPDT o un AG USA nel termine di legge se sei titolare/business. Contatto: [email protected] / PEC.

8. Restituzione e cancellazione

Alla cessazione, a tua scelta cancelliamo o restituiamo i dati Utenti finali entro 30 giorni, salva conservazione di legge. Conferma scritta su richiesta.

9. Audit

Puoi verificare la conformità con 14 giorni di preavviso in orario lavorativo, o accettare un report indipendente aggiornato se disponibile. Gli audit non devono pregiudicare altri tenant.

10. Addendum Regno Unito

Quando si applica il UK GDPR, questo DPA è il contratto art. 28 UK GDPR. È incorporato l’International Data Transfer Addendum ICO alle SCC della Commissione (versione B.1.0, come aggiornata dall’ICO). Tabelle: esportatore = YecoAI (processor) e/o Cliente (controller) secondo i casi; importatore = ciascun sub-processor extra-UK dell’elenco; frequenza = continua per l’abbonamento; natura e finalità = §2; fine = cessazione del trattamento più cancellazione/restituzione. Le clausole inderogabili dell’Addendum prevalgono su questo DPA per i trasferimenti UK.

11. Addendum Svizzera

Quando si applica la nLPD, questo DPA è il contratto di subappalto (art. 9 nLPD). Le SCC UE si applicano con gli adattamenti svizzeri: i riferimenti al GDPR includono la nLPD; ‘Stato membro’ include la Svizzera; l’autorità è l’IFPDT; la legge delle SCC può essere svizzera ove richiesto. Lo Swiss-US DPF può essere usato se l’importatore è certificato.

12. Termini service provider USA

Quando le leggi privacy statali USA (incluso CPRA, VCDPA, CPA, CTDPA, UCPA, TDPSA) si applicano ai dati Utenti finali che ci invii, YecoAI è tuo service provider / processor / contractor. Noi: (a) trattiamo solo per le finalità di business del §2 e del pannello; (b) non vendiamo né facciamo share di quei dati; (c) non li conserviamo, usiamo o comunichiamo fuori dal rapporto diretto salvo quanto quelle leggi consentono; (d) non li combiniamo con dati di altre fonti salvo per erogare il Servizio o come quelle leggi permettono; (e) ti assistiamo sulle richieste dei consumatori che ci inoltri validamente; (f) ti avvisiamo se non possiamo più rispettare questi obblighi; (g) ti consentiamo misure ragionevoli per fermare usi non autorizzati, inclusi gli audit §9. Dichiari di aver dato informative e consensi dovuti agli Utenti finali USA.

13. Legge

Il contratto commerciale è legge italiana (Tribunale di Cuneo). GDPR, UK GDPR, nLPD e le leggi privacy statali USA si applicano ai trattamenti che coprono. I procedimenti di diritto pubblico seguono l’autorità competente. Il riparto civilistico segue i Termini.