Accordo sul trattamento dei dati (DPA) – art. 28 GDPR

Tra il Cliente (titolare del trattamento, "Titolare") e Idealize S.r.l., P.IVA 03921900241, in persona del legale rappresentante Mattia Gamba (responsabile del trattamento, "Responsabile").

Per i CRM ospitati da Idealize, questo accordo integra (non sostituisce) la nomina a responsabile già sottoscritta per l'hosting del CRM; in caso di contrasto sul Gateway prevale questo accordo.

Allegati: Allegato A – Misure di sicurezza · Allegato B – Sub-responsabili autorizzati

1. Oggetto, natura e finalità

Il Responsabile tratta dati personali per conto del Titolare al solo scopo di trasmettere al CRM del Titolare le richieste degli assistenti AI e di restituire le risposte (funzione di gateway MCP), autenticando le chiamate e verificando la licenza.

Operazioni: ricezione, inoltro, trasmissione in memoria. Nessuna conservazione del contenuto di richieste e risposte.
Dati trattati in transito: quelli contenuti nel CRM e restituiti/ricevuti dagli strumenti MCP (es. anagrafiche, contatti, attività, note, documenti). Il Servizio non è progettato per trattare categorie particolari di dati (art. 9 GDPR: ad esempio dati sanitari, opinioni politiche, appartenenza sindacale, convinzioni religiose) né dati relativi a condanne penali e reati (art. 10). Poiché il Responsabile non può controllare il contenuto dei campi liberi del CRM (es. note), tali dati potrebbero comunque transitare se il Titolare li inserisce; in tal caso si applicano l'art. 6 e le stesse misure dell'Allegato A, che sono commisurate a questo rischio.
Esclusioni: il Responsabile non salva né registra il contenuto, i parametri o i risultati delle richieste (neppure nei log applicativi, nei log dei server o nei backup); non associa le chiamate all'utente del CRM che le ha effettuate; non vede né conserva le password del CRM; non accede direttamente al database del CRM (solo tramite le sue API e con i permessi dell'utente); non ispeziona, classifica o riutilizza il contenuto in transito (neppure per addestrare modelli, profilare o fare marketing) e non lo comunica a terzi diversi dall'assistente AI scelto dal Titolare.
Interessati: clienti, contatti, dipendenti e collaboratori del Titolare presenti nel CRM.
Dati conservati dal Responsabile: solo metadati di utilizzo (strumento, esito, codice HTTP, durata, data/ora) e token di accesso del CRM, cifrati.
Durata: quella del contratto di Servizio.

2. Obblighi del Responsabile

Il Responsabile si impegna a:

trattare i dati solo su istruzioni documentate del Titolare (costituiscono istruzioni questo accordo, i Termini e l'uso del Servizio) e informarlo se ritiene che un'istruzione violi la normativa;
garantire che il personale autorizzato sia vincolato da riservatezza e limitare l'accesso ai soli addetti necessari;
adottare le misure di sicurezza dell'Allegato A;
non ricorrere ad altri responsabili senza le condizioni dell'art. 3;
assistere il Titolare, per quanto di competenza, nel dare seguito alle richieste degli interessati e negli obblighi degli artt. 32-36 GDPR (sicurezza, violazioni, DPIA);
notificare al Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, ogni violazione di dati personali relativa al Gateway, con le informazioni disponibili per consentire al Titolare di rispettare l'art. 33;
alla cessazione, cancellare i token e i dati di cui al punto 1 entro 30 giorni, salvo obblighi di legge. (Non sono conservati contenuti da restituire);
mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire audit ragionevoli (con preavviso di 30 giorni, nei giorni lavorativi, a spese del Titolare, nel rispetto della riservatezza e della sicurezza degli altri clienti; di norma assolti tramite documentazione e questionari).

3. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato B. Il Responsabile informa il Titolare via email di aggiunte o sostituzioni con preavviso di almeno 15 giorni; il Titolare può opporsi per motivi legittimi entro tale termine, altrimenti può disdire il Servizio. Il Responsabile impone ai sub-responsabili obblighi equivalenti e risponde del loro operato.

4. Trasferimenti extra-UE

Il Responsabile non trasferisce i dati del CRM fuori dallo Spazio Economico Europeo (il VPS IONOS è in un datacenter UE). Eventuali trasferimenti futuri avverranno solo con garanzie ai sensi del Capo V GDPR.

5. Assistenti AI scelti dal Titolare – esclusione

Gli assistenti AI collegati dal Titolare (es. OpenAI/ChatGPT, Anthropic/Claude) e i loro fornitori non sono sub-responsabili del Responsabile. Una volta che la risposta è consegnata all'assistente AI, ogni ulteriore trattamento è deciso e governato dal Titolare, che deve stipulare con tali fornitori i propri accordi (compresi eventuali accordi art. 28 e garanzie di trasferimento) e ne è l'unico responsabile. Il Responsabile non ha alcun potere o obbligo su quel trattamento.

6. Responsabilità del Titolare

6.1 Il Titolare garantisce di avere una valida base giuridica e di aver informato gli interessati per i dati che rende accessibili tramite il Servizio, e di configurare i permessi degli utenti del CRM in modo appropriato.

6.2 Il Titolare è l'unico responsabile del contenuto del proprio CRM, compresi i campi liberi. Se vi inserisce categorie particolari di dati o dati giudiziari, è tenuto a verificare la sussistenza di una condizione di liceità (artt. 9-10 GDPR), a valutare la necessità di una DPIA e a decidere se rendere tali dati accessibili agli assistenti AI collegati. Il Titolare può limitare l'esposizione configurando i permessi degli utenti nel CRM o scegliendo di non collegare il Servizio.

6.3 Il Responsabile non ispeziona né classifica il contenuto in transito e non risponde dell'inserimento di tali dati nel CRM, né del loro successivo invio agli assistenti AI scelti dal Titolare.

7. Responsabilità

Si applicano i limiti di responsabilità dei Termini, nei limiti consentiti dalla legge e fermo l'art. 82 GDPR verso gli interessati.

8. Legge e foro

Come nei Termini di Servizio.

Allegato A – Misure di sicurezza

Cifratura in transito (TLS) per tutte le connessioni al Gateway e verso il CRM.
Richieste al CRM firmate (HMAC-SHA256) con un segreto per installazione, a durata limitata (timestamp) e legato al contenuto della richiesta.
Protezione SSRF: solo URL HTTPS pubblici verso il CRM, con risoluzione DNS verificata e collegamento vincolato all'indirizzo controllato; nessun redirect.
Token di accesso del CRM e segreti di firma cifrati a riposo nel database.
Flusso OAuth con PKCE; token del Gateway distinti dai token del CRM e revocabili.
Controllo della licenza a ogni richiesta; limiti di frequenza.
I permessi sui dati sono decisi dal CRM (token dell'utente), non dal Gateway.
Minimizzazione: nessuna conservazione del contenuto di richieste/risposte; solo metadati di utilizzo.
Accesso amministrativo al Gateway protetto da autenticazione (password, oppure account Google di utenti già abilitati).
Accesso ai server (SSH) solo con chiavi crittografiche, con accesso a password disattivato; firewall attivo che espone solo le porte necessarie.
Aggiornamenti di sicurezza del sistema operativo applicati automaticamente.
Backup giornalieri del database cifrati con chiave pubblica (la chiave privata necessaria a decifrarli non è conservata sul server), con conservazione di 30 giorni.

Allegato B – Sub-responsabili autorizzati

Sub-responsabile	Servizio	Sede/Regione dati
IONOS SE	Hosting VPS del Gateway	UE
Google Ireland Ltd. (Google Workspace)	Invio link di accesso ed email di servizio (solo dati dell'account, non dati CRM)	UE/USA (DPF o SCC)

Stripe Payments Europe Ltd. e Fatture in Cloud (TeamSystem S.p.A.) trattano solo dati di pagamento e fatturazione del Cliente, non dati del CRM, e sono descritti nella Privacy Policy.

Versione del documento: d346d4577545