1. Parti, oggetto e durata
Private Broker S.r.l., Via G. B. Morgagni 6, 20129 Milano, Italia · P. IVA e C.F. 08467760966 · REA MI-2028657 · capitale sociale € 10.000 i.v. (“Responsabile”) tratta i dati personali per conto del cliente identificato nell’ordine e nell’account (“Cliente” o “Titolare”). Se il Cliente opera a sua volta come responsabile per un altro titolare, garantisce di avere l’autorizzazione all’ulteriore incarico; gli obblighi sono applicati lungo tale catena.
Il presente accordo integra le condizioni symAI dalla loro accettazione e dura fino alla restituzione o cancellazione dei dati affidati. Prevale in caso di conflitto in materia di protezione dei dati, senza pregiudicare eventuali clausole contrattuali standard applicabili ai trasferimenti. La società resta titolare autonomo per i trattamenti amministrativi descritti nella privacy.
2. Natura dei trattamenti
- Finalità: raccogliere dati per il progetto, condurre interviste AI, generare e ricalcolare business plan, conservare e rendere disponibili elaborati, prestare assistenza su istruzione.
- Operazioni: raccolta, registrazione, organizzazione, consultazione, elaborazione, trasmissione ai subresponsabili autorizzati, archiviazione, esportazione e cancellazione.
- Interessati: imprenditori, rappresentanti, referenti, collaboratori e altri soggetti i cui dati siano strettamente necessari al progetto.
- Dati: dati identificativi e professionali, contenuti dell’intervista, informazioni aziendali ed economico-finanziarie riferibili a persone, documenti ed elaborati. Dati ex artt. 9 e 10 GDPR non sono richiesti e non devono essere inseriti senza un accordo specifico e adeguate garanzie.
Il Cliente determina le basi giuridiche, informa gli interessati, verifica la necessità dei dati e garantisce la liceità delle istruzioni; il Responsabile resta tenuto ai propri obblighi autonomi di legge.
3. Istruzioni documentate
Sono istruzioni l’ordine, le condizioni, il presente accordo, i comandi impartiti mediante le funzioni autorizzate e le richieste scritte del Cliente. Il Responsabile tratta i dati solo su tali istruzioni, anche per i trasferimenti, salvo obblighi di legge: in tal caso informa il Cliente prima del trattamento, se consentito.
Se ritiene che un’istruzione violi il GDPR o altra normativa applicabile, il Responsabile lo segnala immediatamente e sospende la sola operazione interessata fino al chiarimento. Non usa i dati per fini propri incompatibili, vendita, pubblicità o addestramento di modelli generali.
4. Persone autorizzate
L’accesso è limitato alle persone che ne hanno necessità per il servizio, istruite e vincolate alla riservatezza mediante obbligo contrattuale o legale. Le autorizzazioni sono proporzionate alle mansioni e revocate quando non più necessarie.
5. Misure di sicurezza
Il Responsabile adotta misure tecniche e organizzative adeguate ai rischi ai sensi dell’art. 32 GDPR, tenendo conto di stato dell’arte, costi, natura dei dati e diritti degli interessati. Le misure comprendono gestione delle identità e degli accessi, separazione logica delle risorse, cifratura in transito, protezione di segreti e archivi, backup e ripristino, gestione degli aggiornamenti e degli incidenti e verifiche proporzionate.
Il Cliente protegge postazioni, email, codici, copie locali e credenziali sotto il proprio controllo. La cifratura dei file nel percorso desktop non implica che nessuna elaborazione server possa accedere ai dati in chiaro. Su richiesta sono rese disponibili informazioni sulle misure effettive, nel rispetto della sicurezza e dei diritti degli altri clienti. Non sono dichiarate certificazioni non possedute.
6. Subresponsabili autorizzati
Il Cliente autorizza in via generale il ricorso ai subresponsabili necessari, con obblighi di protezione sostanzialmente equivalenti a quelli del presente accordo. Per i dati di progetto la catena attuale comprende:
- Anthropic, PBC — elaborazione AI tramite API commerciali; trattamento extra SEE. DPA e garanzie.
- Supabase — database e archivi; localizzazione del progetto e supporto secondo la configurazione contrattuale. DPA e subfornitori.
- Vercel, Inc. — hosting ed esecuzione delle funzioni; possibili trattamenti extra SEE. DPA e garanzie.
Resend, Upstash e Stripe sono impiegati nelle funzioni di account, sicurezza e pagamento descritte nella privacy; non sono destinatari ordinari dell’intervista o del business plan. Se una nuova funzione richiede che trattino dati affidati dal Cliente, devono essere ricompresi nella catena pertinente prima di tale uso.
Comunichiamo aggiunte o sostituzioni rilevanti con almeno 30 giorni di preavviso, indicando attività e luogo del trattamento. Il Cliente può opporsi per motivi documentati di protezione dei dati. Le parti cercano un’alternativa; se non è disponibile, il Cliente può cessare la funzione interessata prima del nuovo trattamento con rimborso del periodo non fruito. Il Responsabile resta responsabile dell’adempimento degli obblighi del subresponsabile ai sensi dell’art. 28.4 GDPR.
7. Trasferimenti fuori dal SEE
Il ricorso a un fornitore internazionale non costituisce una deroga alle regole del capo V GDPR. Il Responsabile effettua trasferimenti solo in presenza di una decisione di adeguatezza effettivamente applicabile oppure di garanzie appropriate, incluse le clausole contrattuali standard e le valutazioni e misure supplementari necessarie. I contratti dei fornitori linkati descrivono i meccanismi disponibili; la mera pubblicazione del loro DPA non prova la stipula di un accordo specifico.
Il Cliente può chiedere le informazioni sui luoghi effettivi, la catena dei destinatari e copia delle garanzie applicate, con oscuramento limitato a informazioni riservate non necessarie alla verifica. Se la garanzia diventa inapplicabile e manca un’alternativa lecita, il trasferimento interessato deve cessare.
8. Diritti e assistenza al Titolare
Tenendo conto della natura del trattamento e delle informazioni disponibili, il Responsabile assiste il Cliente nelle richieste degli interessati, nelle valutazioni d’impatto, consultazioni preventive e obblighi degli artt. 32–36 GDPR. Inoltra le richieste ricevute senza ingiustificato ritardo e non risponde nel merito in luogo del Cliente salvo istruzioni o obblighi di legge.
Le funzioni ordinarie e l’assistenza necessaria all’adempimento sono rese disponibili; eventuali attività straordinarie possono essere concordate separatamente senza ostacolare termini e diritti inderogabili.
9. Violazioni di dati personali
Il Responsabile informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione riguardante i dati affidati. Comunica, anche progressivamente, natura dell’incidente, categorie e quantità approssimative di dati e interessati quando note, contatto, conseguenze probabili e misure adottate o proposte.
Conserva le evidenze necessarie, limita gli effetti e collabora alle valutazioni e notifiche del Cliente. La prima comunicazione non attende il completamento dell’indagine. Le comunicazioni alle autorità o agli interessati spettano al soggetto obbligato, con il supporto del Responsabile.
10. Restituzione e cancellazione
Alla cessazione, a scelta del Cliente, restituiamo i dati affidati in un formato ragionevolmente utilizzabile oppure li cancelliamo, eliminando le copie salvo obblighi legali. La richiesta di esportazione può essere presentata prima della cessazione o entro 30 giorni successivi; il Cliente può richiedere prima la cancellazione. Confermiamo il completamento e indichiamo eventuali dati trattenuti per legge e la relativa base.
Le copie di sicurezza sono isolate dall’utilizzo ordinario e cancellate con il ciclo di sovrascrittura; non sono usate per riprendere l’erogazione dopo la cessazione. Se un ripristino è necessario, riapplichiamo le cancellazioni. Il Cliente conserva la responsabilità delle copie da lui scaricate.
11. Informazioni e verifiche
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto del presente accordo e consente e contribuisce a verifiche, comprese ispezioni, condotte dal Cliente o da un revisore da lui incaricato. Le parti concordano modalità ragionevoli per tutelare sicurezza, continuità e riservatezza degli altri clienti; tali modalità non escludono il diritto di verifica né i poteri dell’autorità.
Documentazione indipendente e relazioni di controllo possono agevolare la verifica, senza sostituirla obbligatoriamente quando insufficiente. Eventuali costi straordinari sono concordati in anticipo e non si applicano per impedire la verifica di una violazione imputabile al Responsabile.
12. Contatti e accettazione
Le richieste relative al presente accordo sono inviate a info@private-broker.eu. L’identità del Cliente e la data di accettazione risultano dall’ordine e dalla registrazione delle condizioni. Il DPA non comporta una rinuncia ai diritti degli interessati o ai poteri delle autorità.