In caso di contrasto tra la versione italiana e quella inglese, prevale la versione italiana. / In case of any discrepancy between the Italian and English versions, the Italian version prevails.
a. Il presente Accordo sul trattamento dei dati personali («Accordo» o «DPA») è concluso tra FD CONSULTING S.R.L., P.IVA/C.F. 04157171200, R.E.A. BO-573005, con sede in Via Giuseppe di Vittorio 9, 40018 San Pietro in Casale (BO) («Fornitore»), e l'utente del Servizio OPDesk che agisce quale titolare del trattamento ai sensi del successivo art. 2 («Cliente»).
b. L'Accordo è parte integrante dei Termini di servizio di OPDesk (https://app.opdesk.it/termini.html, «Termini»), che il Cliente accetta unitamente al presente Accordo ai sensi dell'art. 5.3 dei Termini. Per quanto riguarda il trattamento di dati personali svolto dal Fornitore per conto del Cliente, in caso di contrasto tra l'Accordo e i Termini prevale l'Accordo (art. 1.4 dei Termini). I termini definiti nei Termini hanno nel presente Accordo il medesimo significato, salvo diversa definizione. I termini «trattamento», «dati personali», «titolare», «responsabile», «interessato», «violazione dei dati personali» hanno il significato di cui all'art. 4 GDPR.
c. Il Fornitore dichiara di presentare garanzie sufficienti — in termini di conoscenza specialistica, affidabilità, risorse e misure tecniche e organizzative — per mettere in atto trattamenti conformi ai requisiti del GDPR e idonei a garantire la tutela dei diritti degli interessati, ai sensi dell'art. 28, par. 1, GDPR, come documentato nell'Allegato 2 e nel fascicolo tecnico del servizio.
1.1 L'Accordo disciplina il trattamento di dati personali che il Fornitore effettua per conto del Cliente, in qualità di responsabile del trattamento ex art. 28 GDPR, nell'erogazione del Servizio, limitatamente ai dati personali che il Cliente inserisce, importa o genera nel proprio Workspace: anagrafiche di clienti finali e altri contatti, progetti, attività e scadenze, note e documenti, contenuti importati da fatture elettroniche (FatturaPA), messaggi inviati alle funzioni AI e trascrizioni di appunti vocali («Dati del Workspace»). La descrizione analitica del trattamento è contenuta nell'Allegato 1.
1.2 Sono esclusi dall'ambito dell'Accordo, in quanto trattamenti di cui il Fornitore è titolare autonomo e che sono disciplinati dall'Informativa privacy (https://app.opdesk.it/privacy.html):
(a) i dati dell'Account (registrazione, autenticazione, sicurezza, dispositivi attendibili);
(b) i dati di fatturazione e gestione dell'abbonamento;
(c) le comunicazioni di servizio e i trattamenti effettuati per adempiere obblighi di legge o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, inclusi il log delle firme elettroniche di approvazione delle clausole, il registro dei recessi e delle richieste di esecuzione anticipata e le registrazioni contabili minime successive alla cancellazione dell'Account.
1.3 Regime «BYO key». Ove il Cliente configuri nel proprio Workspace una propria chiave API di un fornitore di modelli AI (OpenAI o Anthropic), il rapporto relativo al trattamento effettuato dal fornitore del modello intercorre direttamente tra il Cliente e tale fornitore, alle condizioni contrattuali da questi applicate: in tale regime il fornitore del modello non è sub-responsabile del Fornitore e il Fornitore si limita, quale responsabile, a trasmettere i contenuti al fornitore designato dal Cliente, secondo l'istruzione documentata impartita dal Cliente mediante la configurazione del Workspace, e a custodire la chiave cifrata ai sensi dell'art. 4.1.4 dei Termini.
2.1 Con riferimento ai Dati del Workspace, il Cliente è titolare del trattamento (ovvero, ove applicabile, responsabile che agisce per conto di un diverso titolare, nel qual caso garantisce che le istruzioni impartite al Fornitore sono conformi a quelle del titolare) e il Fornitore è responsabile del trattamento ex art. 28 GDPR.
2.2 Il Cliente garantisce che i Dati del Workspace sono trattati nel rispetto del GDPR e di disporre di idonea base giuridica, ai sensi dell'art. 5.3 dei Termini; il Fornitore tratta i Dati del Workspace esclusivamente per conto del Cliente e nei limiti dell'Accordo.
3.1 L'Accordo ha efficacia dalla creazione dell'Account (o, se successiva, dalla data di pubblicazione) e per tutta la durata del rapporto contrattuale, e cessa con la cancellazione dei Dati del Workspace ai sensi dell'art. 11. Gli obblighi che per loro natura sono destinati a sopravvivere (riservatezza, cooperazione in caso di violazione, restituzione e cancellazione) restano efficaci fino a 2 anni dopo la cessazione del rapporto, ferma restando l'applicazione della normativa in materia di protezione dei dati personali finché il Fornitore tratti dati personali.
4.1 Il Fornitore tratta i Dati del Workspace soltanto su istruzione documentata del Cliente, anche con riguardo ai trasferimenti verso paesi terzi, salvo che lo richieda il diritto dell'Unione o nazionale cui il Fornitore è soggetto; in tale caso il Fornitore informa il Cliente circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico (art. 28, par. 3, lett. a, GDPR).
4.2 Costituiscono istruzioni documentate: i Termini, il presente Accordo e i suoi Allegati, la configurazione del Workspace effettuata dal Cliente (inclusa la selezione del fornitore di modelli AI e l'attivazione delle singole funzioni) e le ulteriori istruzioni scritte impartite tramite i canali di assistenza, purché compatibili con le funzionalità del Servizio.
4.3 Il Fornitore informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, restando in tal caso legittimato a sospenderne l'esecuzione fino a conferma o revoca.
5.1 Il Fornitore garantisce che le persone autorizzate al trattamento dei Dati del Workspace si sono impegnate alla riservatezza o hanno un adeguato obbligo legale di riservatezza, hanno ricevuto istruzioni adeguate e accedono ai dati nei soli limiti necessari all'erogazione del Servizio, secondo il principio del minimo privilegio.
6.1 Il Fornitore adotta le misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, descritte nell'Allegato 2, tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà degli interessati.
6.2 Il Fornitore può aggiornare le misure dell'Allegato 2 in ragione dell'evoluzione tecnica, purché il livello complessivo di sicurezza non risulti diminuito. La versione vigente è pubblicata su https://app.opdesk.it/dpa.html; le informazioni operative di sicurezza sono pubblicate su https://app.opdesk.it/sicurezza.html.
6.3 Il Servizio non è progettato né destinato al trattamento sistematico di categorie particolari di dati personali (art. 9 GDPR) o di dati relativi a condanne penali e reati (art. 10 GDPR). Ove il Cliente, sotto la propria responsabilità, inserisca occasionalmente tali dati nel Workspace, garantisce la sussistenza delle condizioni di liceità e delle eventuali garanzie supplementari richieste dal diritto applicabile; il Fornitore applica a tutti i Dati del Workspace, indistintamente, le misure dell'Allegato 2, senza effettuare ispezioni sui contenuti.
7.1 Autorizzazione generale. Il Cliente autorizza in via generale, ai sensi dell'art. 28, par. 2, GDPR, il ricorso ai sub-responsabili elencati nell'Allegato 3, per le funzioni ivi indicate.
7.2 Modifiche. Il Fornitore informa il Cliente di ogni modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con preavviso di almeno 15 giorni, mediante comunicazione in app o via email e aggiornamento dell'elenco pubblicato su https://app.opdesk.it/dpa.html. Il Cliente può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati entro il termine di preavviso; in mancanza di soluzione condivisa, il Cliente può recedere dal rapporto con effetto immediato limitatamente al Servizio, esportando i propri dati ai sensi dell'art. 5.4 dei Termini, senza penalità e con rimborso pro-rata del periodo non fruito.
7.3 Obblighi. Il Fornitore impone a ciascun sub-responsabile, mediante contratto ai sensi dell'art. 28, par. 4, GDPR, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo, e resta pienamente responsabile verso il Cliente dell'adempimento degli obblighi del sub-responsabile. Su richiesta scritta del Cliente, il Fornitore mette a disposizione copia degli accordi conclusi con i sub-responsabili, eventualmente espunta delle sole informazioni commerciali riservate. Il Fornitore notifica al Cliente, senza ingiustificato ritardo, ogni inadempimento sostanziale del sub-responsabile agli obblighi in materia di protezione dei dati di cui sia venuto a conoscenza.
7.4 Restano esclusi dall'elenco dei sub-responsabili i soggetti che operano quali titolari autonomi per i rispettivi servizi (in particolare Apple per Sign in with Apple, App Store e la consegna delle notifiche push, nonché Stripe Payments Europe Ltd per le finalità proprie del servizio di pagamento, ferma la sua qualità di responsabile del Fornitore per l'elaborazione dei pagamenti, estranea ai Dati del Workspace), indicati come destinatari nell'Informativa privacy, nonché i fornitori di modelli AI in regime BYO key (art. 1.3).
8.1 I Dati del Workspace sono conservati su infrastruttura ubicata nell'Unione europea (Allegato 3). Trasferimenti verso paesi terzi hanno luogo esclusivamente verso i sub-responsabili indicati nell'Allegato 3 e per le funzioni ivi descritte, sulla base di una decisione di adeguatezza ex art. 45 GDPR (incluso, ove applicabile, l'EU-U.S. Data Privacy Framework per i soggetti certificati) ovvero delle clausole contrattuali tipo ex art. 46, par. 2, lett. c, GDPR, integrate ove necessario da misure supplementari.
8.2 Il Cliente prende atto che l'utilizzo delle funzioni AI e delle funzioni che si avvalgono di sub-responsabili stabiliti in paesi terzi comporta la trasmissione dei relativi contenuti a tali soggetti, secondo la configurazione del Workspace da lui effettuata.
9.1 Diritti degli interessati. Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di dare seguito alle richieste di esercizio dei diritti di cui agli artt. 12-23 GDPR. Il Servizio consente in autonomia la consultazione, la rettifica, la cancellazione e l'esportazione dei Dati del Workspace (formato JSON); per quanto non eseguibile in autonomia, il Fornitore dà seguito alle richieste scritte del Cliente senza ingiustificato ritardo. Qualora un interessato rivolga una richiesta direttamente al Fornitore in relazione ai Dati del Workspace, il Fornitore la inoltra al Cliente senza ingiustificato ritardo e non vi dà seguito autonomamente, salvo obbligo di legge.
9.2 Sicurezza, violazioni, DPIA. Il Fornitore assiste il Cliente nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni a propria disposizione: in particolare, fornisce le informazioni ragionevolmente necessarie allo svolgimento delle valutazioni d'impatto sulla protezione dei dati (art. 35 GDPR) e all'eventuale consultazione preventiva dell'autorità di controllo (art. 36 GDPR), anche mettendo a disposizione la documentazione di cui all'art. 12.
10.1 Il Fornitore notifica al Cliente, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, ogni violazione dei dati personali riguardante i Dati del Workspace, all'indirizzo email associato all'Account, fornendo — anche in fasi successive, man mano che le informazioni si rendono disponibili — le informazioni di cui all'art. 33, par. 3, GDPR: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni interessate, probabili conseguenze, misure adottate o proposte, punto di contatto (security@fdconsultingsrl.com).
10.2 Resta di competenza del Cliente, quale titolare, ogni valutazione circa la notifica all'autorità di controllo ex art. 33 GDPR e la comunicazione agli interessati ex art. 34 GDPR. Il Fornitore non effettua tali adempimenti per conto del Cliente, ma coopera fornendo le informazioni ragionevolmente necessarie. La gestione degli incidenti segue la procedura di cui all'art. 14 del Regolamento (UE) 2024/2847 per i profili di competenza del Fornitore.
11.1 Il Cliente può esportare in ogni momento i Dati del Workspace in formato aperto (JSON) tramite l'apposita funzione.
11.2 Alla cessazione del rapporto per qualsiasi causa, i Dati del Workspace restano disponibili in sola esportazione per 30 giorni; il Fornitore invia un avviso su supporto durevole prima della cancellazione, che non ha luogo senza che l'avviso risulti effettivamente consegnato. In caso di impossibilità di recapito documentata all'esito di almeno tre tentativi effettuati su un arco temporale non inferiore a 30 giorni, anche mediante i canali alternativi associati all'Account ove disponibili, la cancellazione ha luogo decorsi ulteriori 60 giorni dall'ultimo tentativo, con annotazione nel registro interno del Fornitore. Decorso il termine, i Dati del Workspace sono cancellati in modo definitivo. In caso di eliminazione dell'Account da parte del Cliente (art. 5.5 dei Termini), la cancellazione è immediata e irreversibile. Su richiesta scritta del Cliente, il Fornitore attesta per iscritto l'avvenuta cancellazione, ferma la conservazione di cui agli artt. 11.3 e 11.4.
11.3 Le copie residue presenti nei backup cifrati sono eliminate con la rotazione periodica dei backup e non sono oggetto di ripristino, salvo necessità tecnica di ripristino generale del Servizio, nel qual caso i dati già cancellati sono nuovamente rimossi senza ritardo.
11.4 Restano ferme la conservazione dei dati di cui il Fornitore è titolare autonomo (art. 1.2) e la conservazione imposta dal diritto dell'Unione o nazionale, nei limiti e per la durata da esso previsti.
12.1 Il Fornitore mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR: il presente Accordo e i suoi Allegati, la documentazione di sicurezza pubblicata, le certificazioni e le relazioni di audit dei sub-responsabili ove disponibili, nonché risposte scritte a richieste ragionevoli di informazioni, entro un termine congruo.
12.2 Ove la documentazione non sia ragionevolmente sufficiente, il Fornitore consente audit e ispezioni, condotti dal Cliente o da un revisore indipendente da questi incaricato (non concorrente del Fornitore e vincolato alla riservatezza), con preavviso scritto di almeno 30 giorni, non più di una volta per anno civile salvo violazione dei dati o richiesta dell'autorità di controllo, in orario lavorativo, con modalità tali da non pregiudicare la sicurezza del Servizio, la riservatezza dei dati di altri clienti e l'operatività del Fornitore. I costi dell'audit sono a carico del Cliente, salvo che l'audit riveli violazioni sostanziali dell'Accordo imputabili al Fornitore.
12.3 Le informazioni di cui al presente articolo, inclusi i risultati di eventuali verifiche, sono messe a disposizione dell'autorità di controllo competente che ne faccia richiesta.
13.1 Il Fornitore informa prontamente il Cliente qualora, per qualunque motivo, non sia in grado di rispettare il presente Accordo. In caso di violazione dell'Accordo da parte del Fornitore, il Cliente può dargli istruzione di sospendere il trattamento dei Dati del Workspace fino al ripristino della conformità, ferma la conservazione in sicurezza dei dati.
13.2 Il Cliente può risolvere il rapporto, limitatamente al Servizio e con le modalità di esportazione di cui all'art. 11, qualora: (a) la conformità non sia ripristinata entro un termine ragionevole e comunque entro un mese dalla sospensione di cui all'art. 13.1; (b) il Fornitore violi in modo sostanziale o persistente l'Accordo o gli obblighi che gli incombono ai sensi del GDPR; (c) il Fornitore non rispetti una decisione vincolante dell'autorità giudiziaria o dell'autorità di controllo competente relativa agli obblighi derivanti dall'Accordo o dal GDPR.
13.3 Il Fornitore può risolvere il rapporto qualora, dopo aver informato il Cliente che una sua istruzione viola il GDPR o altre disposizioni in materia di protezione dei dati (art. 4.3), il Cliente insista nell'esecuzione dell'istruzione.
14.1 Ciascuna parte risponde dei danni derivanti dal trattamento secondo l'art. 82 GDPR. Nei rapporti tra le parti restano ferme le limitazioni di responsabilità di cui all'art. 7.2 dei Termini, nei limiti in cui siano state validamente approvate e siano consentite dalla legge; tali limitazioni non pregiudicano i diritti degli interessati né la responsabilità verso l'autorità di controllo.
14.2 Per quanto non previsto dall'Accordo si applicano i Termini. Legge applicabile e foro competente sono disciplinati dall'art. 9.2 dei Termini, ferme le competenze delle autorità di controllo ai sensi del GDPR.
Oggetto e natura del trattamento: hosting, conservazione, organizzazione, consultazione, elaborazione (incluse le elaborazioni tramite funzioni di intelligenza artificiale attivate dal Cliente), estrazione, comunicazione ai sub-responsabili autorizzati, backup, cancellazione dei Dati del Workspace, al solo fine di erogare il Servizio.
Finalità: erogazione del Servizio OPDesk (gestionale operativo con assistente AI) secondo i Termini e la configurazione del Workspace.
Durata: la durata del rapporto contrattuale, oltre il periodo di sola esportazione e la rotazione dei backup di cui all'art. 11.
Categorie di interessati: il Cliente e i suoi collaboratori; clienti finali, fornitori e altri contatti del Cliente; soggetti terzi i cui dati siano contenuti in note, documenti, fatture elettroniche importate, messaggi alle funzioni AI e appunti vocali.
Categorie di dati personali: dati anagrafici e di contatto; dati contenuti in progetti, attività, scadenze, note e documenti; dati contenuti in fatture elettroniche (FatturaPA), inclusi dati fiscali; contenuti dei messaggi alle funzioni AI; trascrizioni testuali di appunti vocali (l'audio non è conservato sui server del Fornitore). Il Servizio non è destinato al trattamento sistematico di categorie particolari di dati ex art. 9 GDPR o di dati ex art. 10 GDPR; ove il Cliente ve ne inserisca, si applica l'art. 6.3 dell'Accordo.
Gli accessi amministrativi ai sistemi che trattano i Dati del Workspace sono riservati a personale puntualmente autorizzato quale amministratore di sistema, previa verifica di capacità, esperienza e affidabilità, secondo il Provvedimento del Garante del 27 novembre 2008; le autenticazioni degli amministratori di sistema sono registrate (access log) con conservazione non inferiore a sei mesi e l'operato degli amministratori è verificato con cadenza almeno annuale; l'elenco degli amministratori di sistema è mantenuto aggiornato dal Fornitore.
Di seguito le misure ex art. 32 GDPR messe in atto dal Fornitore:
i. Cifratura in transito (TLS con HSTS: max-age biennale, includeSubdomains, preload);
ii. cifratura applicativa at rest delle chiavi API dei clienti con chiave dedicata;
iii. hash delle password con bcrypt;
iv. autenticazione a due fattori TOTP con recovery code;
v. invalidazione globale delle sessioni al cambio password (session-epoch);
vi. gestione dei dispositivi attendibili da parte dell'utente;
vii. isolamento multi-tenant a livello applicativo;
viii. backup cifrati con logica fail-closed;
ix. audit log di sicurezza (accessi riusciti e falliti, MFA, reset password, dispositivi, rotazione chiavi), separato per Workspace, con conservazione di 90 giorni;
x. modulo di approvazione delle clausole con registrazione immutabile e hash del testo;
xi. casella di sicurezza dedicata (security@fdconsultingsrl.com) con politica di divulgazione coordinata delle vulnerabilità e procedura di gestione degli incidenti ex art. 14 Reg. (UE) 2024/2847;
xii. gestione delle vulnerabilità e aggiornamenti di sicurezza per il periodo di assistenza pubblicato;
xiii. conformità documentata nel fascicolo tecnico CRA/AI Act.
| Sub-responsabile | Funzione | Ubicazione del trattamento | Meccanismo di trasferimento (artt. 44 ss. GDPR) | Misure supplementari e note (TIA) |
|---|---|---|---|---|
| Hostinger | Infrastruttura di hosting (backend, database, backup) | Germania (UE) — VPS Francoforte | Non previsto per l'operatività ordinaria (fornitore UE, data center UE). Per eventuali trasferimenti extra-SEE nella catena dei sub-fornitori: SCC 2021, Moduli 2/3, incorporate per rinvio nel DPA del fornitore (legge applicabile: Cipro; autorità di riferimento: Commissioner for Personal Data Protection cipriota), con UK International Data Transfer Addendum ove applicabile. Il DPA del fornitore non contiene un impegno di localizzazione esclusiva UE. | ISO/IEC 27001:2022; verifica catena sub-fornitori (CDN, backup) nell'allegato al DPA |
| OpenAI Ireland Ltd | Funzioni AI di chat (ove configurato come fornitore del piano) e trascrizione appunti vocali | USA (inferenza), con contraente UE (OpenAI Ireland Ltd). | Primo conferimento verso entità UE; per il trasferimento onward verso gli Stati Uniti: SCC 2021 incorporate nel DPA del fornitore, con UK Addendum. | TIA documentato; no training di default su dati API; retention max 30 gg. salvo ZDR; SOC 2 Type II, ISO 27001/27701 |
| OpenRouter, Inc. | Funzioni AI di chat incluse nel piano | USA | SCC 2021, Modulo 2, incorporate nel DPA standard self-service del fornitore (efficace dal 5.5.2026) | Endpoint Zero Data Retention (no conservazione prompt/output) quale misura supplementare; obbligo di flow-down ex art. 28, par. 4 verso i provider di modelli sottostanti. Divergenza modulare (rapporto processor→sub-processor, modulo naturale 3) annotata nel TIA quale rischio residuo accettato, mitigato da endpoint ZDR attivo ed esclusione dei provider con facoltà di training (evidenze a fascicolo). |
| Groq, Inc. | Trascrizione appunti vocali inclusa nel piano | USA | SCC 2021 incorporate nel DPA GroqCloud (autorità di controllo di riferimento: DPC irlandese). | Regime no-retention/no-training ex sez. 4.2 del Services Agreement (copia conforme a fascicolo); ZDR attivo (evidenza a fascicolo) |
| Plus Five Five Inc. (Resend) | Email transazionali; recapito del backup cifrato | USA | Certificazione EU-U.S. DPF con estensione UK, senza estensione Swiss (adeguatezza ex art. 45 GDPR — scheda partecipante n. 8907, stato «Active», copertura Non-HR, riscontrata sul registro ufficiale); SCC 2021 di fallback incorporate nel DPA. | Cifratura del backup lato esportatore quale misura supplementare autonoma; SOC 2. |
| PostHog, Inc. | Analytics di prodotto | UE — eu-central-1 (Francoforte), PostHog Cloud EU. | Trasferimento non previsto per l'operatività ordinaria. | Certificazione DPF (EU, UK, Swiss) riscontrata sul registro ufficiale quale garanzia ulteriore per eventuali accessi residui della casa madre statunitense; SOC 2 Type II. |
| RevenueCat, Inc. | Gestione degli abbonamenti iOS (identificativo pseudonimo ed entitlement) | USA | SCC 2021, Moduli 2/3, incorporate nel DPA del fornitore, con UK Transfer Addendum e adattamento svizzero. | Dato conferito già pseudonimizzato (identificativo app user ID, no dati anagrafici) quale misura supplementare; SOC 2 Type II |
I fornitori di modelli AI utilizzati in regime BYO key (inclusa Anthropic, PBC, la cui integrazione opera esclusivamente in tale regime), Stripe Payments Europe Ltd e Apple non figurano nel presente elenco per le ragioni indicate agli artt. 1.3 e 7.4. I modelli terzi eventualmente instradati da OpenRouter nell'ambito del piano incluso operano quali sub-fornitori di OpenRouter, coperti dal relativo DPA e dalla lista dei sub-processor pubblicata dal medesimo.
Per i sub-responsabili stabiliti in USA privi di certificazione DPF con stato «Active», il trasferimento è assistito dalle clausole contrattuali tipo di cui alla Decisione di esecuzione (UE) 2021/914, integrate da valutazione d'impatto sul trasferimento (TIA) documentata e dalle misure supplementari indicate in tabella. Ove la certificazione DPF sia riscontrata sulla lista ufficiale (www.dataprivacyframework.gov) con copertura dei dati «Non-HR», essa opera quale meccanismo primario ex art. 45 GDPR, ferma la reviviscenza automatica delle SCC in caso di sopravvenuta decadenza, sospensione o invalidazione della certificazione o della decisione di adeguatezza.