iammi — Accordo sul Trattamento dei Dati

Il presente Accordo ("DPA") è parte integrante dei Termini e Condizioni del Servizio iammi. L'accettazione dei Termini e Condizioni al primo accesso costituisce accettazione del presente DPA da parte del Cliente, che con esso nomina formalmente SeventhSense S.r.l. come Responsabile del Trattamento ai sensi dell'art. 28 del Reg. UE 2016/679 (GDPR).

Art. 1 — Definizioni

• «GDPR»: Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016.
• «Titolare del Trattamento» / «Titolare»: il Cliente, che determina finalità e mezzi del trattamento dei dati personali dei propri dipendenti, collaboratori, fornitori e altri interessati inseriti nel Servizio.
• «Responsabile del Trattamento» / «Responsabile»: SeventhSense S.r.l., che tratta dati personali per conto e su istruzione del Titolare nell'erogazione del Servizio.
• «Sub-responsabili»: soggetti terzi nominati da SeventhSense ai sensi dell'art. 28.2 GDPR per svolgere specifiche attività di trattamento per conto del Titolare.
• «Violazione dei Dati» / «Data Breach»: violazione di sicurezza che comporti accidentalmente o illecitamente la distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai dati trattati.
• «SCC»: Clausole Contrattuali Standard adottate dalla Commissione Europea con Decisione 2021/914/UE.

Art. 2 — Oggetto, Durata e Natura del Trattamento

2.1 Con il presente Accordo il Cliente nomina formalmente SeventhSense Responsabile del Trattamento per i Dati Personali necessari all'erogazione del Servizio iammi.

2.2 Il presente Accordo ha la stessa durata del Contratto ed è automaticamente risolto alla sua cessazione, fermi restando gli obblighi di cui all'Art. 13.

2.3 Le operazioni di trattamento includono: raccolta, registrazione, organizzazione, conservazione, elaborazione, comunicazione ai Sub-responsabili autorizzati, cancellazione e distruzione dei Dati Personali necessari all'erogazione delle funzionalità della Piattaforma.

Art. 3 — Ruoli delle Parti

Le Parti concordano che:

• il Cliente agisce in qualità di Titolare dei dati personali inseriti nel Servizio (dipendenti, collaboratori, fornitori, altri interessati);
• SeventhSense agisce in qualità di Responsabile, operando esclusivamente su istruzione documentata del Titolare;
• per i dati degli Utenti della Piattaforma (dati di registrazione, dati tecnici), SeventhSense agisce come Titolare autonomo secondo quanto indicato nell'Informativa Privacy.

Il Cliente, in qualità di Titolare, è responsabile della liceità del trattamento, dell'informativa agli interessati e dell'ottenimento delle basi giuridiche necessarie prima di inserire dati nella Piattaforma.

Art. 4 — Categorie di Dati e Interessati

Art. 5 — Istruzioni del Titolare

5.1 SeventhSense tratta i Dati Personali esclusivamente su istruzione documentata del Titolare. Le istruzioni sono contenute nel presente Accordo, nei Termini e Condizioni e nelle configurazioni impostate dal Cliente nella Piattaforma.

5.2 Qualora SeventhSense ritenga che un'istruzione violi il GDPR o altra normativa applicabile, ne informa tempestivamente il Titolare.

5.3 SeventhSense non utilizza i Dati Personali del Titolare per finalità proprie diverse dall'erogazione del Servizio.

Art. 6 — Obblighi del Responsabile del Trattamento

SeventhSense si impegna a:

1. trattare i Dati Personali esclusivamente per le finalità e nei limiti del presente Accordo;
2. garantire che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza contrattuale o legale;
3. adottare e mantenere le misure di sicurezza di cui all'Art. 8;
4. non nominare Sub-responsabili al di fuori dell'autorizzazione generale di cui all'Art. 7;
5. assistere il Titolare nell'adempimento degli obblighi di risposta alle richieste degli interessati (artt. 15–22 GDPR);
6. assistere il Titolare nel rispetto degli obblighi di sicurezza (art. 32), notifica violazioni (artt. 33–34), DPIA (art. 35) e consultazione preventiva (art. 36 GDPR);
7. mettere a disposizione del Titolare le informazioni necessarie a dimostrare la conformità agli obblighi del presente Accordo e dell'art. 28 GDPR;
8. consentire e contribuire alle attività di audit di cui all'Art. 15.

Art. 7 — Sub-responsabili del Trattamento

7.1 Il Titolare concede a SeventhSense un'autorizzazione generale a nominare i Sub-responsabili elencati di seguito. SeventhSense informerà il Titolare di qualsiasi modifica con preavviso di 30 giorni, garantendo la possibilità di opposizione.

7.2 SeventhSense si assicura che i Sub-responsabili siano vincolati da obblighi equivalenti a quelli del presente Accordo.

7.3 In caso di aggiunta o sostituzione di Sub-responsabili, SeventhSense ne dà comunicazione con almeno 30 giorni di preavviso. Il Titolare può opporsi entro 15 giorni; in caso di impossibilità di trovare soluzioni alternative, le Parti possono risolvere il Contratto senza penali.

7.4 Elenco aggiornato disponibile su richiesta a privacy@seventhsensenet.com.

Art. 8 — Misure di Sicurezza (art. 32 GDPR)

Misure tecniche

• Cifratura in transito: tutti i dati tra client e server sono cifrati con TLS 1.2 o superiore. I certificati SSL/TLS sono rinnovati automaticamente.
• Cifratura a riposo: i dati in database e storage sono cifrati con AES-256.
• Autenticazione: credenziali personali (email e password) con hashing sicuro (bcrypt); invalidazione automatica delle sessioni inattive; politiche di complessità minima delle password.
• Controllo degli accessi: principio del minimo privilegio; accesso ai dati del Titolare limitato al personale strettamente necessario; segregazione degli ambienti di produzione e sviluppo.
• Pseudonimizzazione: ove tecnicamente applicabile, per ridurre il rischio in caso di accesso non autorizzato.
• Monitoraggio e logging: rilevamento anomalie e log conservati per 12 mesi; alerting automatico su eventi sospetti.
• Test di sicurezza: vulnerability assessment e penetration test periodici dell'infrastruttura.

Misure organizzative

• Politica di controllo degli accessi con procedure di autorizzazione documentate;
• Formazione periodica del personale sulla protezione dei dati e sicurezza informatica;
• Accordi di riservatezza con tutto il personale autorizzato al trattamento;
• Procedure documentate per la gestione degli incidenti di sicurezza e dei data breach;
• Revisione periodica delle misure in funzione dell'evoluzione tecnologica e dei rischi.

Art. 9 — Backup e Continuità Operativa

9.1 SeventhSense effettua backup automatici secondo le seguenti modalità:

• Frequenza: backup completo giornaliero; backup incrementale ogni 6 ore;
• Conservazione: backup operativi conservati per 30 giorni rotanti; backup mensili per 90 giorni;
• Ridondanza geografica: copie in almeno due datacenter distinti all'interno dell'Unione Europea;
• Cifratura: backup cifrati AES-256 sia in transito che a riposo;
• Test di ripristino: test periodici (almeno trimestrali) per verificare l'integrità dei backup.

9.2 In caso di perdita o corruzione imputabile a disfunzioni del Servizio, SeventhSense avvia le procedure di ripristino entro 4 ore dalla rilevazione e informa tempestivamente il Titolare.

9.3 I backup non sono accessibili direttamente dal Cliente tramite la Piattaforma. Richieste di ripristino specifico si effettuano contattando il supporto tecnico.

Art. 10 — Gestione delle Violazioni dei Dati (Data Breach)

10.1 SeventhSense ha implementato procedure documentate per la rilevazione, gestione e notifica delle violazioni dei dati personali.

10.2 In caso di data breach che coinvolga dati del Titolare, SeventhSense si impegna a:

1. notificare il Titolare senza ingiustificato ritardo e, ove possibile, entro 36 ore dalla conoscenza della violazione, per consentire al Titolare di adempiere all'obbligo di notifica al Garante entro 72 ore (art. 33 GDPR);
2. fornire: descrizione della natura della violazione, categorie e numero approssimativo di interessati coinvolti, dati di contatto del referente SeventhSense, probabili conseguenze, misure adottate o proposte per il contenimento e la remediation;
3. documentare la violazione per almeno 3 anni (art. 33.5 GDPR);
4. assistere il Titolare nell'eventuale comunicazione agli interessati (art. 34 GDPR).

10.3 Le notifiche di data breach sono inviate all'indirizzo email del Titolare comunicato in fase di registrazione. La notifica non costituisce ammissione di responsabilità.

Art. 11 — Esercizio dei Diritti degli Interessati

11.1 Se SeventhSense riceve una richiesta da un interessato relativa a dati trattati per conto del Titolare, si impegna a notificarlo entro 5 giorni lavorativi, a non rispondere direttamente senza istruzioni del Titolare, e a fornire gli strumenti tecnici necessari per evadere la richiesta.

Art. 12 — Esportazione e Portabilità dei Dati

12.1 Il Cliente ha il diritto di esportare i propri dati in qualsiasi momento durante la vigenza del Contratto.

12.2 SeventhSense mette a disposizione:

• Self-service: esportazione in formato CSV e/o JSON dalla sezione "Impostazioni > Esporta dati" della Piattaforma;
• Assistita: per esportazioni complete o in formati specifici, il Cliente scrive a privacy@seventhsensenet.com; SeventhSense fornisce i dati entro 15 giorni lavorativi.

12.3 I dati esportati comprendono: anagrafica, dati di cassa, fatture, movimenti bancari, dati del personale e dei fornitori, configurazioni account.

Art. 13 — Cessazione del Contratto: Gestione e Cancellazione dei Dati

13.2 Entro 10 giorni dalla conclusione della Fase 3, SeventhSense fornirà al Titolare, su richiesta scritta inviata entro 90 giorni dalla cessazione, una certificazione scritta dell'avvenuta cancellazione dei Dati Personali in conformità al GDPR.

13.3 Sono fatti salvi i dati che SeventhSense è obbligata a conservare per legge (es. fatture, dati contabili propri), trattati da SeventhSense come Titolare autonomo ai soli fini degli obblighi di legge.

13.4 Il Titolare è responsabile di pianificare l'esportazione dei dati in anticipo rispetto alla cessazione. SeventhSense non risponde per la perdita di dati derivante dalla mancata esportazione da parte del Titolare.

Art. 14 — Trasferimenti Internazionali di Dati

14.1 I trasferimenti verso Paesi terzi (in particolare USA) tramite i Sub-responsabili dell'Art. 7 sono disciplinati dalle Clausole Contrattuali Standard (Decisione 2021/914/UE).

14.2 SeventhSense ha effettuato, e si impegna ad aggiornare periodicamente, una valutazione del trasferimento (Transfer Impact Assessment) per ciascun Sub-responsabile con sede in Paesi terzi.

14.3 Ove disponibile, SeventhSense privilegia l'utilizzo di regioni UE (es. Supabase EU Frankfurt, Google Cloud europe-west) per minimizzare i trasferimenti extra-UE.

14.4 Per le funzionalità di IA (OpenAI e Anthropic, USA), i dati trasmessi sono limitati al minimo necessario. Il Titolare, accettando il presente Accordo, autorizza tali trasferimenti.

Art. 15 — Audit e Verifiche

Obbligatorio per legge ex art. 28.3(h) GDPR

15.1 SeventhSense mette a disposizione del Titolare tutta la documentazione necessaria a dimostrare la conformità al presente Accordo e all'art. 28 GDPR.

15.2 Il Titolare ha il diritto di effettuare audit o ispezioni per verificare la conformità di SeventhSense. Gli audit devono essere:

• comunicati con almeno 30 giorni di preavviso scritto;
• condotti in orario lavorativo senza interferire con le operazioni;
• eseguiti al massimo una volta l'anno, salvo ragioni di sicurezza motivate;
• a costo del Titolare.

15.3 SeventhSense può soddisfare le richieste di audit fornendo certificazioni di sicurezza aggiornate (es. ISO 27001, SOC 2) dei propri Sub-responsabili principali in alternativa all'ispezione fisica.

Art. 16 — Responsabilità

16.1 Ciascuna Parte risponde agli interessati per i danni causati da violazioni del GDPR nell'ambito della propria sfera di competenza (art. 82 GDPR).

16.2 SeventhSense risponde al Titolare per i danni da trattamenti in violazione del presente Accordo, nei limiti di responsabilità dei Termini e Condizioni.

16.3 Il Titolare manleva SeventhSense da pretese di interessati o autorità derivanti da violazioni del GDPR imputabili al Titolare (mancata informativa, assenza di base giuridica, ecc.).

Art. 17 — Legge Applicabile e Disposizioni Finali

17.1 Il presente Accordo è regolato dalla legge italiana. Per qualsiasi controversia è competente in via esclusiva il Foro di Brescia.

17.2 SeventhSense si riserva il diritto di aggiornare il presente Accordo per recepire modifiche normative, con le medesime modalità di preavviso dei Termini e Condizioni.

17.3 In caso di conflitto tra il presente Accordo e i Termini e Condizioni in materia di trattamento dei dati personali, prevalgono le disposizioni del presente Accordo.

17.4 I presenti Termini, l'Informativa Privacy e il presente Accordo costituiscono insieme l'intero accordo tra le Parti in materia di trattamento dei dati personali.