Data Processing Agreement (DPA)

1. Oggetto del Trattamento

Il Responsabile è autorizzato a trattare i Dati Personali caricati dal Titolare sulla piattaforma (es. dati contenuti nelle fatture passive estere, anagrafiche fornitori, importi) esclusivamente per le finalità di erogazione del Servizio: estrazione dati tramite OCR/AI, generazione file XML e trasmissione telematica.

2. Obblighi del Responsabile

Il Responsabile si impegna a:

• Trattare i dati esclusivamente in base alle istruzioni documentate del Titolare (ovvero l'utilizzo delle funzionalità del software).
• Garantire che le persone autorizzate al trattamento (dipendenti e collaboratori) si siano impegnate alla riservatezza.
• Adottare tutte le misure di sicurezza richieste dall'art. 32 del GDPR (crittografia, controllo accessi, ecc.).
• Assistere il Titolare nell'evasione delle richieste di esercizio dei diritti degli interessati (es. accesso, cancellazione).
• Cancellare o restituire tutti i dati personali al termine della fornitura del servizio, salvo obblighi di legge.

3. Sub-responsabili (Sub-processors)

Il Titolare autorizza il Responsabile ad avvalersi dei seguenti fornitori terzi per l'erogazione del servizio. Il Responsabile impone ai sub-responsabili i medesimi obblighi di protezione dei dati previsti nel presente contratto.

(*) Per i trasferimenti verso gli USA (OpenAI), si fa riferimento alle Clausole Contrattuali Standard (SCC) e/o al Data Privacy Framework UE-USA, garantendo un livello di protezione adeguato. Nota: I dati inviati via API non vengono usati per il training dei modelli pubblici.

4. Sicurezza del Trattamento

Il Responsabile implementa misure tecniche e organizzative adeguate, tra cui:

• Crittografia dei dati in transito (TLS 1.2+) e a riposo (AES-256).
• Autenticazione forte e gestione rigorosa degli accessi logici.
• Procedure di backup e disaster recovery per garantire la disponibilità.
• Monitoraggio continuo dell'infrastruttura per rilevare intrusioni.

5. Notifica violazione dati (Data Breach)

In caso di violazione dei dati personali, il Responsabile notificherà il Titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza, fornendo le informazioni necessarie per consentire al Titolare di adempiere ai propri obblighi di notifica (art. 33 GDPR).

6. Durata e Cancellazione

Il presente DPA ha validità pari alla durata del Servizio. Alla cessazione del contratto, il Titolare può richiedere l'esportazione dei dati. Successivamente, il Responsabile provvederà alla cancellazione sicura dei dati dai propri sistemi entro 60 giorni, salvo obblighi di conservazione previsti dalla legge.