Contratto per il trattamento dei dati personali

Allegato alle Condizioni generali · in vigore dal 2026-10-06 · traduzione italiana; prevale la versione ceca

Il presente contratto ai sensi dell'articolo 28 del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, di seguito “RGPD”) è concluso tra l'Organizzazione che utilizza la piattaforma Negotiq (di seguito il “Titolare”) e SynQflows, s.r.o., numero di identificazione 23685450, Příčná 1892/4, Nové Město, 110 00 Praha 1 (di seguito il “Responsabile”), e costituisce parte integrante delle Condizioni generali. È concluso mediante l'accettazione delle Condizioni generali e ha la medesima durata del Contratto. I termini con iniziale maiuscola hanno il significato loro attribuito nelle Condizioni generali.

1. Oggetto e ambito del trattamento

2. Istruzioni del Titolare

1. Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi. Le istruzioni sono impartite dalle Condizioni generali, dal presente contratto e dalle impostazioni della Piattaforma; configurando un'Integrazione (Indirizzo di ricezione, collegamento ERP, Webhook, Chiave API per un agente di terzi) il Titolare impartisce l'istruzione di trattare i dati nella misura richiesta dall'Integrazione. Ulteriori istruzioni sono impartite dall'Amministratore dell'Organizzazione in forma testuale.
2. Qualora il Responsabile ritenga che un'istruzione violi il RGPD o altre norme in materia di protezione dei dati personali, ne informa immediatamente il Titolare e, fino alla risposta di quest'ultimo, non è tenuto a eseguirla.
3. Qualora il diritto dell'Unione o di uno Stato membro imponga al Responsabile il trattamento, questi ne informa preventivamente il Titolare, salvo che tale diritto lo vieti (articolo 28, paragrafo 3, lettera a), del RGPD).
4. Il Responsabile non tratta i dati personali del Titolare per finalità proprie. Le statistiche anonimizzate e aggregate (articolo 11, comma 2, delle Condizioni generali) non contengono dati personali. Le registrazioni della Catena di audit, le Conferme e i Record AP2 sono trattati dal Responsabile in qualità di titolare autonomo ai sensi dell'Informativa sulla privacy, e non ai sensi del presente contratto.
5. Il Titolare risponde della liceità del trattamento, dell'informazione degli interessati e del fatto di essere legittimato a inserire i dati personali nella Piattaforma e a concedere l'accesso ai sistemi collegati.

3. Obblighi del Responsabile

1. Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un obbligo legale di riservatezza.
2. Il Responsabile adotta le misure tecniche e organizzative di cui all'articolo 32 del RGPD indicate nell'Allegato 1. Può modificarle a condizione di non ridurre il livello complessivo di sicurezza.
3. Il Responsabile assiste il Titolare nel dare seguito alle richieste degli interessati, principalmente mediante gli strumenti della Piattaforma (esportazione dei dati in formato JSON, rettifica dei dati, cancellazione dell'account di un Utente o dell'Organizzazione). Le richieste ricevute direttamente da un interessato sono trasmesse al Titolare senza ingiustificato ritardo e il Responsabile non vi risponde nel merito.
4. Il Responsabile assiste il Titolare nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del RGPD (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a sua disposizione.

4. Sub-responsabili

1. Il Titolare concede al Responsabile un'autorizzazione generale a ricorrere a sub-responsabili. Elenco attuale:

   Sub-responsabile	Attività	Ubicazione, garanzie
   Railway Corporation	hosting dell'applicazione e della banca dati, backup	USA / UE; clausole contrattuali tipo (modulo 3) o EU-U.S. Data Privacy Framework
   Anthropic, PBC	conversione di listini non strutturati in tabelle (solo in caso di utilizzo della funzione)	USA; clausole contrattuali tipo (modulo 3); nessun addestramento di modelli sui dati
   fornitore del servizio di ricezione e-mail (il fornitore specifico sarà aggiunto all'elenco prima dell'attivazione della funzione)	ricezione dei messaggi inviati agli Indirizzi di ricezione e loro trasmissione alla Piattaforma	sarà indicato insieme al fornitore; trasferimenti al di fuori del SEE solo con garanzie ai sensi dell'articolo 7
   fornitore del servizio di posta elettronica (SMTP)	recapito di fatture, solleciti e messaggi di servizio (indirizzo del destinatario e contenuto del messaggio)	UE

2. Il Responsabile informa il Titolare di ogni previsto inserimento o sostituzione di un sub-responsabile con almeno 14 giorni di anticipo, sulla Piattaforma o tramite e-mail all'Amministratore dell'Organizzazione. Entro tale termine il Titolare può opporsi per motivi fondati attinenti alla protezione dei dati personali. Le parti cercheranno di trovare una soluzione; in mancanza, il Titolare può recedere dal Contratto senza penali con effetto anteriore al ricorso al sub-responsabile.
3. Il Responsabile impone contrattualmente ai sub-responsabili gli stessi obblighi in materia di protezione dei dati personali cui è soggetto in virtù del presente contratto, comprese garanzie sufficienti per l'attuazione di misure tecniche e organizzative, e risponde nei confronti del Titolare dell'adempimento dei loro obblighi (articolo 28, paragrafo 4, del RGPD).
4. I sistemi scelti dal Titolare stesso (sistemi ERP collegati, feed di prodotto, endpoint dei Webhook e agenti di terzi) non sono sub-responsabili del Responsabile; il Responsabile trasmette loro i dati su istruzione del Titolare.

5. Violazione dei dati personali

1. Il Responsabile notifica al Titolare una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza, tramite e-mail all'Amministratore dell'Organizzazione e sulla Piattaforma.
2. La notifica contiene le informazioni di cui all'articolo 33, paragrafo 3, del RGPD di cui il Responsabile dispone (natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, punto di contatto, probabili conseguenze e misure adottate o proposte); le informazioni non ancora note sono fornite in fasi successive.
3. Il Responsabile adotta tempestivamente misure per porre rimedio alla violazione e attenuarne gli effetti, coopera con il Titolare e documenta la violazione. La notifica non costituisce riconoscimento di responsabilità.

6. Informazioni e audit

1. Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 del RGPD, principalmente mediante il documento Sicurezza e fiducia e le risposte a un ragionevole questionario di sicurezza.
2. Qualora tali informazioni non siano sufficienti, il Responsabile consente un audit da parte del Titolare o di un revisore indipendente vincolato alla riservatezza che non sia un concorrente del Responsabile, con un preavviso di almeno 30 giorni, al massimo una volta per anno civile (salvo in caso di violazione o su richiesta di un'autorità di controllo), a spese del Titolare, senza accesso ai dati degli altri clienti e senza comprometterne la sicurezza.
3. Restano impregiudicati i poteri di indagine delle autorità di controllo.

7. Trasferimenti al di fuori del SEE

1. I trasferimenti verso paesi terzi avvengono solo in presenza delle garanzie di cui al capo V del RGPD.
2. Qualora il Responsabile trasferisca dati personali a un sub-responsabile situato in un paese terzo per il quale non esiste una decisione di adeguatezza (o il destinatario non sia certificato nell'ambito dell'EU-U.S. Data Privacy Framework), conclude con esso le clausole contrattuali tipo di cui alla decisione di esecuzione (UE) 2021/914 della Commissione, modulo 3 (trasferimento da responsabile a responsabile), valuta il contesto giuridico del paese del destinatario e adotta misure supplementari (in particolare la cifratura dei dati in transito e a riposo e la minimizzazione dei dati).
3. Il Titolare autorizza con il presente atto tali trasferimenti. Il Responsabile fornisce su richiesta copia delle garanzie; le pattuizioni commerciali possono essere oscurate.

8. Cancellazione e restituzione dei dati

1. Per la durata del Contratto il Titolare può in qualsiasi momento esportare i dati dell'Organizzazione in formato JSON e cancellare i dati autonomamente.
2. Alla cessazione del Contratto il Responsabile, a scelta del Titolare, restituisce (esportazione) o cancella i dati personali entro 30 giorni, comprese le copie, salvo che la legge ne imponga l'ulteriore conservazione. I backup sono sovrascritti nel ciclo ordinario entro e non oltre 90 giorni; fino ad allora sono protetti e non vengono utilizzati.
3. I messaggi ricevuti all'Indirizzo di ricezione sono cancellati automaticamente dopo 90 giorni. Il Responsabile cessa di utilizzare le credenziali di accesso a un sistema collegato immediatamente dopo la rimozione del collegamento e le cancella al più tardi secondo quanto previsto al comma 2.
4. Il presente articolo non si applica alle registrazioni di cui all'articolo 2, comma 4, seconda e terza frase.

9. Responsabilità, prevalenza e legge applicabile

La responsabilità delle parti è disciplinata dall'articolo 82 del RGPD e dalle Condizioni generali, comprese le relative limitazioni nella misura consentita dalla legge. In materia di protezione dei dati personali il presente contratto prevale sulle Condizioni generali. Il presente contratto è disciplinato dal diritto della Repubblica ceca.

Allegato 1 — Misure tecniche e organizzative

• Cifratura e pseudonimizzazione: cifratura di tutte le comunicazioni (TLS) e cifratura dei dati conservati presso il fornitore di hosting; credenziali di accesso ai sistemi collegati e chiavi segrete di firma dei Webhook cifrate con AES-256-GCM; password conservate come hash Argon2id; codici di recupero, sessioni di accesso e chiavi API conservati solo come hash; pseudonimizzazione delle registrazioni della Catena di audit dopo la cancellazione di un account.
• Controllo degli accessi: accesso basato sui ruoli gestiti dall'Amministratore dell'Organizzazione; separazione dei dati delle singole Organizzazioni imposta a livello applicativo; allegati solo per le persone autorizzate e sempre come download; accesso all'ambiente di produzione solo per il personale incaricato del Responsabile vincolato alla riservatezza.
• Protezione degli account e delle sessioni: cookie HttpOnly, Secure e SameSite; controllo dell'origine (Origin) per le richieste che modificano i dati; blocco temporaneo dell'account dopo ripetuti tentativi di accesso non riusciti; la modifica della password chiude tutte le sessioni; limiti al numero di richieste per l'API.
• Integrità e verificabilità: Catena di audit con registrazioni collegate crittograficamente, la cui modifica o cancellazione è impedita da un trigger della banca dati; firme Ed25519 di Mandati, Conferme e Record AP2; Webhook firmati con HMAC-SHA256.
• Disponibilità e ripristino: backup periodici della banca dati; sovrascrittura dei backup entro e non oltre 90 giorni.
• Minimizzazione e cancellazione: messaggi all'Indirizzo di ricezione 90 giorni; log operativi al massimo 90 giorni; per i potenziali fornitori solo contatti aziendali generici; importazione automatica delle e-mail solo dai Mittenti verificati.
• Sviluppo sicuro: test automatici delle invarianti di sicurezza (separazione delle Organizzazioni, limiti degli Agenti, riservatezza dei limiti) a ogni modifica; dipendenze vincolate a versioni esatte; gli Agenti non interpretano il contenuto dei file come istruzioni.
• Incidenti e riesame: procedura di gestione degli incidenti e di notifica ai sensi dell'articolo 5; canale per la segnalazione di vulnerabilità; riesame periodico dell'efficacia delle misure.

Una descrizione più dettagliata è contenuta nel documento Sicurezza e fiducia.