Data Processing Agreement

Il presente DPA disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito della fornitura della piattaforma SaaS "Rubyno.AI". Il trattamento è svolto esclusivamente per le seguenti finalità:

• monitoraggio e analisi delle attività di marketing digitale;
• gestione e ottimizzazione delle campagne pubblicitarie;
• elaborazione di query e prompt tramite i moduli di intelligenza artificiale;
• generazione di report, insight e output automatizzati;
• autenticazione, sicurezza, manutenzione e assistenza tecnica;
• invio di notifiche e comunicazioni di servizio agli utenti della Piattaforma.

2.1 Dati trattati:

• dati identificativi degli utenti autorizzati del Cliente (username, ID account);
• dati di utilizzo (log, interazioni, query, prompt);
• contenuti caricati o collegati dal Cliente (post, creatività, documenti, materiale aziendale);
• dati relativi alle performance di campagne pubblicitarie e social;
• dati tecnici di dispositivo e browser e dati di geolocalizzazione, ove trattati, in forma aggregata e/o anonimizzata ove possibile;
• token di dispositivo e indirizzi email, ai soli fini dell'invio di notifiche push ed email tramite il sub-responsabile dedicato.

2.2 Categorie particolari. Il trattamento non ha ad oggetto categorie particolari di dati ai sensi dell'art. 9 GDPR, il cui inserimento nella Piattaforma è vietato salvo accordo scritto.

2.3 Interessati. Utenti autorizzati del Cliente (dipendenti, collaboratori); utenti, follower e pubblico presenti negli account social e pubblicitari collegati dal Cliente; clienti e contatti del Cliente.

Il trattamento ha durata pari a quella del Contratto e cessa automaticamente alla sua cessazione, fatti salvi gli obblighi di restituzione e cancellazione di cui all'art. 11 e gli obblighi di conservazione previsti dalla legge.

4.1 Il Cliente agisce quale Titolare del trattamento per i dati personali trattati tramite la Piattaforma. Il Fornitore agisce quale Responsabile del trattamento per le operazioni necessarie alla fornitura dei Servizi e tratta i dati esclusivamente su istruzioni documentate del Titolare, contenute nel Contratto, nel presente DPA e in eventuali istruzioni scritte successive.

4.2 Catena infragruppo. Il Fornitore si avvale di 3V Agency S.r.l. quale sub-responsabile per l'erogazione tecnica e la manutenzione dell'infrastruttura, ai sensi dell'art. 7, nonché degli ulteriori sub-responsabili di cui all'Allegato 1.

4.3 Modalità Managed Accounts. Qualora il Cliente attivi la modalità Managed Accounts, il Fornitore assume una duplice veste: (a) Responsabile del trattamento per i dati personali del Cliente trattati tramite la Piattaforma; (b) Titolare autonomo del trattamento per i dati delle campagne gestite sui propri account pubblicitari (o di Società del Gruppo), ai sensi dell'art. 3.2 delle Condizioni Generali. Qualora il Cliente trasmetta, nell'ambito dei Managed Accounts, liste di contatti, segmenti o "custom audience" contenenti dati personali di utenti finali, tale flusso configura un trattamento ulteriore (Cliente Titolare → Fornitore Responsabile) che le Parti disciplineranno con apposito addendum prima dell'avvio.

4.4 Piattaforme terze quali Titolari autonomi. Le piattaforme pubblicitarie e social terze che il Cliente collega con i propri account (a titolo esemplificativo Meta, Google Ads, TikTok, YouTube) operano quali Titolari autonomi del trattamento per le finalità proprie definite nelle rispettive informative e non sono sub-responsabili del Fornitore. Il Cliente è responsabile dei rapporti, delle autorizzazioni e delle basi giuridiche verso tali piattaforme relativamente ai propri account.

Il Responsabile, ai sensi dell'art. 28 GDPR, si impegna a:

• trattare i dati personali soltanto per le finalità contrattuali e su istruzione documentata del Titolare, informandolo qualora un'istruzione violi la normativa applicabile;
• garantire che le persone autorizzate al trattamento siano vincolate ad adeguati obblighi di riservatezza;
• adottare le misure tecniche e organizzative di cui all'art. 6 e all'Allegato 2;
• non utilizzare i dati per finalità proprie o diverse da quelle indicate dal Titolare;
• rispettare le condizioni per il ricorso a sub-responsabili di cui all'art. 7;
• assistere il Titolare ai sensi degli artt. 9 e 10;
• mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR.

Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:

• cifratura dei dati in transito (TLS 1.3) e a riposo;
• autenticazione tramite OAuth 2.0, token JWT e Auth0/Okta;
• controllo degli accessi basato sui ruoli (RBAC);
• rate limiting, validazione e sanitizzazione degli input;
• logging e monitoraggio degli accessi e delle operazioni;
• backup e disaster recovery;
• aggiornamenti e patch di sicurezza periodici.

Ove l'erogazione dei Servizi comporti accessi privilegiati ai sistemi che trattano i dati personali del Titolare, il Responsabile e i propri sub-responsabili rispettano il Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 in materia di Amministratori di Sistema. In particolare:

• gli Amministratori di Sistema sono designati nominativamente nell'ambito della documentazione interna e dei rapporti infragruppo del Responsabile, con elencazione degli ambiti di operatività;
• gli access log degli Amministratori di Sistema sono conservati con caratteristiche di integrità per un periodo non inferiore a 6 (sei) mesi;
• è effettuata una verifica almeno annuale del loro operato.

L'elenco nominativo degli Amministratori di Sistema è messo a disposizione del Titolare su richiesta.

7.1 Autorizzazione generale. Il Titolare autorizza il Responsabile ad avvalersi dei sub-responsabili elencati nell'Allegato 1 per l'erogazione dei Servizi. Il Responsabile impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA.

7.2 Modifiche e opposizione. Il Responsabile comunica al Titolare l'intenzione di aggiungere o sostituire sub-responsabili; il Titolare può opporsi per giustificati motivi entro 15 (quindici) giorni dalla comunicazione. In caso di opposizione, le Parti coopereranno in buona fede per individuare una soluzione; in difetto, ciascuna Parte potrà risolvere il Contratto limitatamente ai Servizi interessati.

7.3 Responsabilità. Il Responsabile resta pienamente responsabile verso il Titolare per l'operato dei propri sub-responsabili.

7.4 Routing dinamico AI. I Provider di Modelli di intelligenza artificiale raggiunti dinamicamente tramite OpenRouter sono qualificati sub-responsabili di OpenRouter. Il termine di opposizione di 15 giorni di cui all'art. 7.2 si applica ai sub-responsabili primari di cui all'Allegato 1 e non alle variazioni di Provider operate nell'ambito del routing dinamico, fermo restando il diritto del Titolare di ottenere l'elenco aggiornato dei Provider abilitati e di contestare singoli Provider privi di garanzie adeguate. Il Responsabile instrada i dati esclusivamente verso Provider configurati in modalità enterprise/API che escludano l'uso dei dati per l'addestramento dei modelli e assistiti da garanzie ex Capo V GDPR.

Il trattamento avviene in via prevalente all'interno dello Spazio Economico Europeo (SEE). Eventuali trasferimenti verso Paesi terzi avvengono nel rispetto degli artt. 44-49 GDPR, mediante Clausole Contrattuali Standard (SCC) e, ove il fornitore vi aderisca, il Data Privacy Framework UE-USA. Il Titolare prende atto che l'utilizzo dei provider di modelli di intelligenza artificiale può comportare trasferimenti internazionali, assistiti dalle garanzie sopra indicate.

Il Responsabile assiste il Titolare per: il riscontro alle richieste degli interessati (artt. 15-22 GDPR); la sicurezza del trattamento e la gestione delle violazioni; le valutazioni d'impatto sulla protezione dei dati (DPIA) e le consultazioni preventive con l'autorità di controllo.

In caso di violazione di dati personali, il Responsabile notifica al Titolare l'evento senza ingiustificato ritardo e comunque entro 72 (settantadue) ore dalla relativa conoscenza, fornendo le informazioni ragionevolmente disponibili in merito a: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte. Il Responsabile coopera con il Titolare per le eventuali notifiche all'autorità di controllo e agli interessati.

Alla cessazione del Contratto, il Responsabile, a scelta del Titolare, restituisce o cancella i dati personali trattati per suo conto entro 30 giorni, salvo gli obblighi di conservazione previsti dalla legge. I dati di tracciamento sono conservati per il periodo indicato nel Modulo d'Ordine (in difetto, 12 mesi).

La Piattaforma integra un sistema di orchestrazione che interroga molteplici modelli AI di terze parti. Il Responsabile trasmette ai relativi provider esclusivamente i dati necessari all'elaborazione delle richieste (testi dei post, commenti, query, prompt, ecc). Ove tecnicamente disponibile, il Responsabile utilizza configurazioni "enterprise/API" che escludono l'utilizzo dei dati per l'addestramento dei modelli pubblici, salvo diverso accordo scritto.

Il Titolare può verificare il rispetto del presente DPA tramite l'esame della documentazione fornita dal Responsabile o audit ragionevoli, previo congruo preavviso. I costi degli audit sono a carico del Titolare, salvo violazioni accertate imputabili al Responsabile.

14.1 Si applicano le limitazioni di responsabilità previste dal Contratto.

14.2 Il presente DPA ha durata pari al Contratto e cessa automaticamente con esso.

14.3 In caso di conflitto tra il presente DPA e il Contratto, prevalgono le disposizioni del DPA per le materie relative alla protezione dei dati personali.

14.4 Il Responsabile potrà aggiornare il presente DPA per riflettere modifiche normative, dei trattamenti o dei fornitori, dandone comunicazione al Titolare.

14.5 Il presente DPA è regolato dalla legge italiana; per ogni controversia è competente in via esclusiva il Foro di Milano.

Note: (i) Meta, Google Ads, TikTok, YouTube operano quali Titolari autonomi e non sono sub-responsabili; (ii) ngrok è utilizzato esclusivamente in ambienti di sviluppo/staging; (iii) Anthropic è accessibile unicamente tramite OpenRouter.

Misure tecniche:

• Cifratura dei dati in transito (TLS 1.3) e cifratura a riposo del database;
• Autenticazione tramite OAuth 2.0, token JWT e integrazione Auth0/Okta;
• Controllo degli accessi basato sui ruoli (RBAC);
• Sicurezza delle API: rate limiting, validazione delle richieste e sanitizzazione degli input;
• Logging e monitoraggio degli accessi e delle operazioni;
• Backup e procedure di disaster recovery;
• Aggiornamenti e patch di sicurezza periodici.

Misure organizzative:

• Accordi di riservatezza con dipendenti e collaboratori;
• Programmi di formazione e sensibilizzazione alla sicurezza;
• Procedure di risposta agli incidenti;
• Valutazioni di sicurezza periodiche;
• Designazione e gestione degli Amministratori di Sistema ai sensi dell'art. 6-bis (access log ≥6 mesi, verifica annuale).