Accordo sul trattamento dei dati personali (DPA)

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 · Allegato A alle Condizioni generali di servizio · Versione del 29 ottobre 2026

---

Tra
il Cliente, come identificato nell'account ("Titolare"),
e
Contractbot S.r.l., Via Giacomo Puccini 1, 20121 Milano, P.IVA 14936480962 ("Responsabile" o "ContractBot").

1. Oggetto

1.1. Per fornire il servizio ContractBot il Responsabile tratta per conto del Titolare i dati personali contenuti nei documenti caricati e nei dati che ne derivano. Questo accordo stabilisce come.

1.2. In caso di contrasto tra questo accordo e le Condizioni generali, prevale questo accordo per tutto ciò che riguarda i dati personali.

2. Descrizione del trattamento

3. Istruzioni del Titolare

3.1. Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono quelle di questo accordo, delle Condizioni generali e quelle date dal Titolare usando le funzioni del servizio (caricare, modificare, cancellare, chiedere).

3.2. Se un'istruzione appare contraria al GDPR, il Responsabile informa subito il Titolare (art. 28.3, ultimo periodo).

3.3. Il Responsabile non usa i dati per scopi propri e non li usa per addestrare modelli di intelligenza artificiale.

4. Riservatezza

Le persone autorizzate dal Responsabile a trattare i dati sono vincolate alla riservatezza e ricevono istruzioni scritte. L'accesso ai documenti del Titolare da parte del personale del Responsabile avviene solo nei casi previsti dalla sua policy interna di sicurezza: richiesta di assistenza del Titolare, sicurezza, obbligo di legge.

5. Sicurezza

5.1. Il Responsabile adotta le misure tecniche e organizzative dell'Allegato 1, adeguate al rischio (art. 32).

5.2. Può aggiornarle nel tempo, purché il livello di protezione non diminuisca.

6. Sub-responsabili

6.1. Il Titolare dà un'autorizzazione generale a ricorrere ai sub-responsabili. L'elenco aggiornato è nell'Allegato 2.

6.2. Il Responsabile comunica via email con almeno 30 giorni di anticipo l'aggiunta o la sostituzione di un sub-responsabile. Entro quel termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati. Se non si trova una soluzione, il Titolare può recedere senza penali e con rimborso della parte di corrispettivo non goduta.

6.3. Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli di questo accordo e risponde verso il Titolare del loro operato (art. 28.4).

7. Trasferimenti fuori dallo Spazio economico europeo

I dati sono trasferiti fuori dallo SEE solo se c'è una delle garanzie del Capo V del GDPR: decisione di adeguatezza (incluso il EU-U.S. Data Privacy Framework per i fornitori certificati) o clausole contrattuali tipo. L'Allegato 2 indica per ogni sub-responsabile il luogo del trattamento e la garanzia.

8. Assistenza al Titolare

8.1. Diritti degli interessati. Il servizio permette al Titolare di consultare, correggere, esportare e cancellare i documenti. Se un interessato si rivolge direttamente al Responsabile, il Responsabile inoltra la richiesta al Titolare entro 5 giorni lavorativi senza rispondere nel merito.

8.2. Violazioni di dati. Il Responsabile informa il Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni dell'art. 33.3 disponibili in quel momento, integrandole appena possibile.

8.3. Valutazioni d'impatto e consultazioni. Il Responsabile fornisce le informazioni ragionevolmente necessarie per una DPIA o una consultazione preventiva del Titolare (artt. 35-36).

9. Fine del trattamento

Alla chiusura dell'account il Titolare può esportare i dati per 30 giorni. Poi il Responsabile cancella documenti e dati derivati dai sistemi attivi e, entro ulteriori 30 giorni, dai backup, salvo obblighi di conservazione previsti dalla legge. Su richiesta conferma per iscritto l'avvenuta cancellazione.

10. Verifiche

10.1. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo (art. 28.3.h), in primo luogo con risposte scritte a questionari ragionevoli e con la documentazione delle misure di sicurezza.

10.2. Il Titolare può svolgere una verifica, anche tramite un auditor vincolato alla riservatezza, con almeno 30 giorni di preavviso, non più di una volta all'anno salvo violazioni di dati, in orario lavorativo e senza accesso ai dati di altri clienti. Le spese sono a carico del Titolare.

11. Responsabilità

Si applica l'art. 82 GDPR. Per il resto valgono i limiti del punto 10 delle Condizioni generali.

---

Allegato 1: Misure tecniche e organizzative

• Separazione: Ogni contratto è accessibile solo all'account che lo possiede; indice di ricerca separato per cliente (namespace).
• Cifratura in transito: HTTPS/TLS 1.2–1.3, HSTS, cookie di sessione sicuri e HTTP-only.
• Accesso ai file: File privati su S3, nessun accesso anonimo, visualizzazione solo con link firmati a scadenza.
• Accessi amministrativi: SSH solo con chiave, accesso con password e come root disattivati, protezione contro i tentativi ripetuti; database raggiungibile solo dal server; firewall aperto solo su web e SSH.
• Servizi interni: Token interni e autorizzazioni firmate tra applicazione e servizi di elaborazione.

Allegato 2: Sub-responsabili

Non c'è un motore OCR separato: il testo dei PDF e dei documenti Office si legge sul server, le pagine scansionate e le immagini passano da OpenAI.

Stripe non è un sub-responsabile per i dati dei contratti: tratta solo i dati di pagamento del Titolare, come titolare autonomo o responsabile di ContractBot.