Il presente Accordo sul Trattamento dei Dati Personali ("DPA") forma parte integrante dell'MSA e disciplina il Trattamento dei Dati Personali da parte di Claresia S.r.l. ("Claresia", "Responsabile") per conto del Cliente ("Titolare") in relazione all'utilizzo da parte del Cliente della Claresia Agent Operations Platform (il "Servizio"). È redatto in conformità al Regolamento (UE) 2016/679 ("GDPR"), al Decreto Legislativo 196/2003 e successive modifiche ("Codice della Privacy"), ai provvedimenti vincolanti del Garante per la Protezione dei Dati Personali ("Garante"), alla Direttiva (UE) 2022/2555 recepita in Italia con D.Lgs. 138/2024 ("NIS2") e alla sentenza Schrems II della Corte di Giustizia dell'Unione Europea (causa C-311/18).
I termini in maiuscolo non definiti nel presente DPA assumono il significato attribuito dal GDPR. A scanso di equivoci:
Il presente DPA si applica a tutti i Trattamenti di Dati Personali effettuati da Claresia nella prestazione del Servizio al Cliente. Entra in vigore alla Data di Decorrenza dell'MSA e rimane efficace fino alla risoluzione dell'MSA e all'adempimento degli obblighi di cui all'Articolo 14.
Il Cliente è Titolare del Trattamento dei Dati del Cliente. Claresia è Responsabile del Trattamento e agisce esclusivamente sulla base di istruzioni documentate del Cliente. Qualora Claresia incarichi Sub-responsabili per specifiche attività di Trattamento, tali Sub-responsabili agiscono in qualità di sub-responsabili di Claresia e del Cliente.
Il Cliente garantisce di aver ottenuto tutti i consensi e le informative necessarie dagli Interessati e che le proprie istruzioni a Claresia rispettino la normativa applicabile. Claresia informerà il Cliente qualora, a suo parere, un'istruzione violi il GDPR.
Categorie di Interessati: dipendenti, collaboratori, partner e altri Utenti Autorizzati del Cliente; utenti finali ai quali sono erogati i servizi del Cliente; soggetti menzionati nei documenti di business immessi nel Servizio.
Categorie di Dati Personali: dati identificativi (nome, indirizzo e-mail, identificativo dipendente, ruolo organizzativo, gerarchia di riporto); dati professionali; metadati di comunicazione; contenuto di artefatti aziendali ingeriti o generati attraverso il Servizio. Claresia non Tratta Categorie Particolari di Dati Personali (art. 9 GDPR) per progettazione.
Claresia Tratta i Dati Personali esclusivamente nella misura necessaria a (a) erogare il Servizio in base all'MSA, (b) attenersi alle istruzioni documentate del Cliente, (c) adempiere alla normativa applicabile.
Claresia garantisce che tutto il personale autorizzato a Trattare Dati Personali sia vincolato da appropriati obblighi scritti di riservatezza. L'accesso è concesso secondo il principio del bisogno di sapere ed è registrato nella catena di audit governance (Pilastro SCUDO C — Catena di custodia).
Claresia attua e mantiene misure tecniche e organizzative adeguate al rischio. L'inventario completo è riportato nell'Allegato II. In sintesi:
Il Cliente autorizza Claresia ad incaricare i Sub-responsabili elencati all'indirizzo https://claresia-trust.netlify.app/sub-processors. Claresia mantiene la lista aggiornata.
Claresia fornirà al Cliente preavviso scritto di trenta (30) giorni di qualsiasi aggiunta o sostituzione. Il Cliente potrà opporsi per iscritto entro tale termine sulla base di motivi ragionevoli e documentati attinenti alla protezione dei dati; in mancanza di soluzione, il Cliente potrà recedere dalla porzione di Servizio interessata senza penale.
Claresia impone a ciascun Sub-responsabile obblighi non meno protettivi e resta integralmente responsabile del loro operato.
Il Cliente è responsabile della risposta alle richieste degli Interessati ai sensi degli artt. 12-23 GDPR. Claresia assisterà il Cliente con misure tecniche e organizzative adeguate. Claresia mette a disposizione nel Command Center strumenti self-service per esportazione, rettifica e cancellazione.
Claresia fornisce al Cliente le informazioni ragionevolmente disponibili per la DPIA ai sensi dell'art. 35 GDPR e per la consultazione preventiva ai sensi dell'art. 36 GDPR. La documentazione tecnica AI Act Allegato IV (auto-generata per tenant ai sensi del Pilastro SCUDO U) costituisce uno di tali input.
Claresia notificherà al Cliente, senza ingiustificato ritardo e comunque entro settantadue (72) ore, qualsiasi Violazione di Dati Personali. La notifica descriverà natura, conseguenze, misure adottate e contatti del DPO di Claresia.
Qualora la normativa italiana richieda la notifica diretta al Garante (art. 33 GDPR e art. 34 NIS2), il Cliente resta responsabile di tale notifica; Claresia coopererà come richiesto.
La regione di Trattamento di default è lo SEE, con l'Italia (eu-south-1 Milano) come regione primaria per i Clienti italiani. Per trasferimenti verso Paesi terzi senza decisione di adeguatezza si applicano le CCT come segue:
Claresia conduce e documenta una Transfer Impact Assessment ("TIA") per ciascun Sub-responsabile in Paese terzo ed applica misure tecniche supplementari (pseudonimizzazione, cifratura con chiavi nello SEE, restrizioni di egress per tenant tramite gateway ai sensi del Pilastro SCUDO D).
Claresia mette a disposizione la più recente relazione SOC 2 Tipo 2, il certificato ISO 27001:2022, il certificato ISO 42001:2023 (quando rilasciato) e l'Allegato II TOM. Il Cliente accetta tali relazioni come prova sufficiente di conformità ai fini di audit ordinari.
Per audit specifici aggiuntivi, il Cliente fornirà preavviso scritto di sessanta (60) giorni. L'audit avverrà in orario lavorativo, soggetto a riservatezza.
Alla risoluzione o scadenza dell'MSA, Claresia, a scelta del Cliente, restituirà o cancellerà tutti i Dati del Cliente entro trenta (30) giorni, salvo quanto richiesto dalla legge applicabile. Su richiesta verrà rilasciato un Certificato di Cancellazione. Le copie di backup sono cancellate entro novanta (90) giorni.
La responsabilità aggregata di ciascuna Parte è disciplinata dalle limitazioni di responsabilità previste dall'MSA. Nulla limita la responsabilità che non possa essere esclusa ai sensi della legge applicabile.
Claresia riconosce che il Servizio include la telemetria per dipendente sull'invocazione di skill (cc-064 Telemetry Pipeline) la quale costituisce controllo indiretto dei lavoratori ai sensi del diritto italiano. Il Cliente dichiara e garantisce che, prima di rendere il Servizio disponibile a dipendenti basati in Italia, abbia (a) sottoscritto un accordo scritto con la RSU/RSA, oppure (b) ottenuto autorizzazione dall'Ispettorato Territoriale del Lavoro. Claresia mette a disposizione una modalità "Soppressione Telemetria" con dati per dipendente sottoposti a hashing e aggregati in metriche di coorte; attivabile dal Cliente in qualsiasi momento e senza costi aggiuntivi.
Claresia si impegna a monitorare ed allineare la propria postura ai provvedimenti vincolanti del Garante: provv. n. 232/2024 (controllo dei lavoratori nei sistemi di IA aziendali), decisione 2023 su ChatGPT, provv. 2024 sui sistemi biometrici, provvedimento sui cookie. Aggiornamenti sostanziali con preavviso di trenta (30) giorni.
Il DPO di Claresia è raggiungibile all'indirizzo dpo@claresia.com e presso la sede legale di Claresia S.r.l. in Milano.
Laddove sia eletto il diritto italiano, il Tribunale Ordinario di Milano avrà giurisdizione esclusiva sulle controversie inerenti il presente DPA.
Il presente DPA è regolato dalla legge italiana qualora il Cliente sia stabilito in Italia. Per gli altri Clienti, dalla legge eletta nell'MSA, fermo restando che, per le materie GDPR, si applica la legge dello Stato Membro SEE dell'Interessato.
Allineate alla checklist ENISA TOM e all'Annex A della ISO/IEC 27001:2022.
Lista live mantenuta all'indirizzo https://claresia-trust.netlify.app/sub-processors con: nome, categoria, finalità, regione, categorie di dati, stato contratto, URL DPA, flag zero-retention, data ultimo riesame.
Le CCT di cui alla Decisione di Esecuzione (UE) 2021/914 sono incorporate per riferimento. Modulo 2: trasferimento Cliente-Claresia. Modulo 3: trasferimento Claresia-Sub-responsabile. Docking Clause abilitata. Clausole Opzionali 7 e 11 accettate. UK IDTA incorporato laddove applicabile.
Claresia si impegna alla forza interpretativa vincolante dei provvedimenti del Garante in contesti lavorativi, di marketing e consumer. In caso di nuovo provvedimento materiale, notifica entro trenta (30) giorni e aggiornamento del DPA al successivo ciclo trimestrale.
Sottoscritto in:
Data:
Per il Cliente (Titolare):
Nome:
Qualifica:
Per Claresia S.r.l. (Responsabile):
Nome:
Qualifica: