Accordo sul trattamento dei dati (DPA)

1. Le parti e come si conclude

Questo accordo è fra il Cliente, titolare del trattamento, e Alessio Battagliero, Via Orti 12, Milano, partita IVA IT02771920069, che gestisce il Servizio SIO («Responsabile», «noi»).

L'accordo si conclude insieme ai termini di servizio, senza bisogno di firma separata, e ne segue la durata. Il Cliente che vuole una copia firmata può chiederla a [email protected]. Le parole con l'iniziale maiuscola hanno il significato dei termini di servizio. In caso di contrasto sui dati personali, prevale questo accordo.

2. Oggetto e ambito

L'accordo regola il trattamento dei dati personali contenuti nei Contenuti del Cliente, che svolgiamo per conto del Cliente per erogare il Servizio. Non riguarda i dati che trattiamo come titolari (account degli Utenti, fatturazione, lista d'attesa, sicurezza, statistiche aggregate e anonime per gli studi): per quelli vale l'informativa sulla privacy.

3. Dettagli del trattamento

Voce	Contenuto
Natura e finalità	Porre agli assistenti AI, tramite un fornitore di dati, i prompt configurati dal Cliente; conservare le risposte e le fonti citate; riconoscere i marchi seguiti; calcolare metriche; mostrare risposte, fonti e rapporti al Cliente, ai suoi Utenti e a chi riceve un suo link di sola lettura; fare backup; cancellare.
Operazioni	Raccolta (tramite il fornitore di dati), registrazione, organizzazione, conservazione, consultazione, analisi automatica, comunicazione ai sub-responsabili elencati, cancellazione.
Categorie di interessati	Persone nominate nelle risposte degli assistenti AI (per esempio fondatori, dirigenti, autori, esperti, personaggi pubblici); persone il cui nome compare nei marchi, nei domini o nei prompt configurati dal Cliente; autori o soggetti di pagine web citate come fonti.
Categorie di dati	Nome e cognome, ruolo, informazioni che la risposta associa a una persona, indirizzi di pagine web. Il Servizio non è progettato per categorie particolari di dati (articolo 9 GDPR) né per dati su condanne penali (articolo 10), e il Cliente non deve inserirle.
Durata	Per la durata del contratto, più il tempo necessario alla cancellazione (articolo 11).

4. Istruzioni del Cliente

Trattiamo i dati solo secondo le istruzioni documentate del Cliente. Le istruzioni sono: i termini di servizio, questo accordo e le impostazioni che il Cliente sceglie nell'app (progetti, prompt, Motori, marchi, Utenti, link). Altre istruzioni scritte si concordano a [email protected]. Se un'istruzione ci sembra contraria al GDPR o ad altre norme, lo diciamo subito al Cliente. Se la legge ci obbliga a trattare dati in altro modo, informiamo il Cliente prima, salvo che la legge lo vieti.

5. Riservatezza

Possono accedere ai dati solo le persone che lavorano per noi e che ne hanno bisogno per erogare il Servizio o per dare assistenza, vincolate alla riservatezza per contratto o per legge. Il nostro personale autorizzato accede agli Spazi di lavoro dalla console interna in sola lettura, salvo le operazioni di amministrazione, ognuna delle quali resta in un registro con data e autore.

6. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio (articolo 32 GDPR). Questa è la descrizione di ciò che il Servizio fa oggi. Ciò che non è ancora in funzione è scritto come «previsto».

Accesso e autenticazione

Accesso solo su invito. Password di almeno 10 caratteri, diverse dall'email.
Password conservate solo come hash scrypt con sale casuale per ogni password. Non conserviamo né registriamo password in chiaro.
Codici di sessione conservati solo come hash: il codice vero sta solo nel cookie del browser. Il cookie è HttpOnly, Secure e SameSite=Lax. La sessione scade dopo 30 giorni senza uso; uscendo, la sessione si cancella.
Codici di invito, di reimpostazione della password e dei link di sola lettura conservati solo come hash, monouso dove previsto e con scadenza (2 ore per la password, 14 giorni per un invito).
Limiti ai tentativi: accessi falliti per email e per indirizzo IP, richieste di reimpostazione, uso di codici non validi.
Ruoli per Spazio di lavoro e per progetto, compresa la sola lettura limitata a un progetto. Le rotte della console interna rispondono «non trovato» a chi non è operatore.

Separazione fra Clienti

Ogni tabella con dati dei Clienti porta l'identificativo dello Spazio di lavoro. I collegamenti fra tabelle includono quell'identificativo, così un dato non può puntare a un dato di un altro Cliente.
Il codice accede ai dati solo tramite componenti legati a un singolo Spazio di lavoro.
Una batteria di test automatici, generata dall'elenco completo delle rotte dell'app, verifica su ogni rotta che un Cliente non possa leggere o modificare i dati di un altro, che i ruoli di sola lettura non possano modificare, e che le rotte riservate restino riservate. Una rotta nuova senza questi test fa fallire la verifica.
Fanno eccezione, dichiarata, il catalogo dei domini e degli indirizzi delle pagine citate come fonti, condiviso fra i Clienti; il collegamento fra una risposta e le sue fonti resta nello Spazio di lavoro del Cliente.

Trasmissione e infrastruttura

Traffico cifrato (HTTPS) fra il browser e il Servizio.
Ambiente di produzione, attivo dal 12 novembre 2026: server di netcup GmbH in Germania. Il sito e l'app non hanno porte aperte verso Internet: sono raggiungibili solo attraverso un tunnel cifrato di Cloudflare. La manutenzione avviene con SSH, solo con chiave crittografica; l'accesso con password è disattivato.
Le richieste che modificano dati sono accettate solo se arrivano dall'app stessa (controllo dell'origine). Intestazioni di sicurezza su ogni risposta (Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy).
Chiavi e segreti solo nella configurazione del server, mai nel codice sorgente né nei registri.

Registri, backup e continuità

I registri tecnici contengono identificativi, operazioni, esiti e tempi. Per regola del codice non contengono contenuti delle richieste, codici, email o testi delle risposte.
Previsti: backup notturno del database e delle risposte grezze, cifrato prima di uscire dal server, conservato su Cloudflare R2 con rotazione (7 giornalieri, 4 settimanali, 6 mensili), prove di ripristino periodiche e un avviso automatico se un backup non riesce.
Ogni Motore e ogni fornitore ha tetti di spesa e interruttori, così un guasto o un abuso non si propaga.

Organizzazione

Accesso ai sistemi limitato alle persone autorizzate. Operazioni di amministrazione registrate.
Modifiche al codice verificate da test automatici. Previsto: rilascio automatico solo dopo che tutti i test sono passati.
Rivediamo queste misure quando cambia il Servizio e almeno una volta all'anno.

7. Sub-responsabili

Il Cliente ci autorizza in via generale a ricorrere ai sub-responsabili elencati nella pagina pubblica Sub-responsabili.
Imponiamo a ogni sub-responsabile, per contratto, obblighi di protezione dei dati non meno rigorosi di questi. Rispondiamo verso il Cliente del loro operato.
Avviso dei cambiamenti. Prima di aggiungere o sostituire un sub-responsabile, o di attivarne uno segnato «non ancora attivo», aggiorniamo la pagina e avvisiamo i Clienti per email almeno 15 giorni prima.
Opposizione. Entro quel termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati, scrivendo a [email protected]. Cerchiamo insieme una soluzione; se non c'è, il Cliente può recedere senza penali per la parte del Servizio interessata, con rimborso della parte già pagata e non goduta.
In caso di urgenza (per esempio un fornitore che cessa il servizio o un rischio per la sicurezza) possiamo sostituire un sub-responsabile con un preavviso più breve, spiegandone il motivo.

8. Trasferimenti fuori dallo SEE

Trasferiamo dati fuori dallo Spazio economico europeo solo con una garanzia prevista dal Capo V del GDPR: decisione di adeguatezza (compreso l'EU-U.S. Data Privacy Framework per i fornitori certificati) o clausole contrattuali tipo della Commissione europea. La garanzia per ogni sub-responsabile è indicata nell'elenco pubblico.

9. Assistenza al Cliente

Richieste degli interessati. Se riceviamo una richiesta che riguarda i Contenuti del Cliente, la inoltriamo al Cliente senza ritardo e non rispondiamo nel merito senza sue istruzioni, salvo che si tratti di una richiesta di rimozione di dati di una persona nominata in una risposta: in quel caso, come scritto nell'informativa, cancelliamo o oscuriamo i passaggi e ne informiamo il Cliente. Aiutiamo il Cliente, con le funzioni del Servizio o su richiesta, a rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione.
Sicurezza, valutazioni d'impatto e consultazioni. Diamo al Cliente le informazioni di cui dispone per gli articoli 32-36 GDPR.
L'assistenza ordinaria è gratuita. Se una richiesta richiede un lavoro sproporzionato, ne concordiamo prima il costo.

10. Violazioni dei dati

Se veniamo a conoscenza di una violazione dei dati personali che riguarda i Contenuti del Cliente, lo informiamo senza ingiustificato ritardo e comunque entro 48 ore da quando ne siamo venuti a conoscenza, all'email dei titolari dello Spazio di lavoro. Indichiamo, per quanto noto: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili, le misure prese o proposte, un contatto. Le informazioni non ancora disponibili le diamo appena le abbiamo. Collaboriamo con il Cliente per la notifica al Garante e, se serve, agli interessati, che restano compito del Cliente come titolare.

11. Cancellazione o restituzione alla fine

Alla fine del contratto, entro 30 giorni il Cliente può chiederci un'esportazione dei suoi Contenuti in un formato leggibile da un computer (CSV o JSON). Entro 90 giorni dalla fine del contratto cancelliamo i Contenuti del Cliente dai sistemi in uso. Le copie nei backup si cancellano con la rotazione, entro 6 mesi; fino ad allora restano cifrate e non vengono usate. Conserviamo dati oltre questi termini solo se la legge ce lo impone, e lo diciamo al Cliente. Su richiesta confermiamo per iscritto l'avvenuta cancellazione.

12. Informazioni e verifiche

Mettiamo a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'articolo 28 GDPR. Prima di tutto con documentazione: questo accordo, la descrizione delle misure di sicurezza, l'elenco dei sub-responsabili e le risposte scritte alle domande del Cliente.
Se la documentazione non basta, il Cliente può chiedere una verifica, svolta da lui o da un revisore vincolato alla riservatezza e non concorrente, con un preavviso di almeno 30 giorni, in orario di lavoro, non più di una volta all'anno, salvo dopo una violazione dei dati o su richiesta di un'autorità. La verifica non può dare accesso ai dati di altri Clienti né compromettere la sicurezza. I costi della verifica sono a carico del Cliente.

13. Responsabilità

Per la responsabilità fra le parti valgono l'articolo 16 dei termini di servizio e l'articolo 82 GDPR. Il Cliente è responsabile della liceità dei dati che inserisce e delle istruzioni che dà.

14. Modifiche e cambio del Responsabile

Modifichiamo questo accordo con le stesse regole dei termini di servizio (articolo 18). Quando SIO S.r.l. subentrerà nella gestione del Servizio (articolo 19 dei termini), diventerà il Responsabile alle stesse condizioni; il Cliente sarà avvisato almeno 30 giorni prima.

Versione 1.1, in vigore dal 13 novembre 2026. Cosa cambia rispetto alla 1.0: fra le misure di sicurezza, la 1.0 indicava come previsto un server senza porte aperte verso Internet, nemmeno per la manutenzione. Il server in uso ha la porta SSH aperta, con accesso solo tramite chiave crittografica: è una misura diversa da quella scritta, e ora la descriviamo com'è. Nessun Cliente aveva ancora accettato la 1.0, perché la beta non era aperta: per questo la modifica vale da subito e non dopo i 30 giorni della sezione 14.