Ove il Fornitore pubblichi una traduzione del presente Accordo in altra lingua, in caso di contrasto prevale la versione italiana. / Where the Provider publishes a translation of this Agreement into another language, the Italian version prevails in case of any discrepancy.
a. Il presente Accordo sul trattamento dei dati personali («Accordo» o «DPA») è concluso tra FD CONSULTING S.R.L., P.IVA, C.F. e n. iscrizione al Registro delle Imprese di Bologna 04157171200, con sede in Via Giuseppe di Vittorio 9, 40018 San Pietro in Casale (BO) («Fornitore»), e l'utente del Servizio OPDesk che agisce quale titolare del trattamento ai sensi del successivo art. 2 («Cliente»).
b. L'Accordo è parte integrante dei Termini di servizio di OPDesk (https://app.opdesk.it/termini.html, «Termini»), che il Cliente accetta unitamente al presente Accordo ai sensi dell'art. 5.3 dei Termini. Per quanto riguarda il trattamento di dati personali svolto dal Fornitore per conto del Cliente, in caso di contrasto tra l'Accordo e i Termini prevale l'Accordo (art. 1.4 dei Termini). I termini definiti nei Termini hanno nel presente Accordo il medesimo significato, salvo diversa definizione. I termini «trattamento», «dati personali», «titolare», «responsabile», «interessato», «violazione dei dati personali» hanno il significato di cui all'art. 4 GDPR.
c. Il Fornitore dichiara di presentare garanzie sufficienti — in termini di conoscenza specialistica, affidabilità, risorse e misure tecniche e organizzative — per mettere in atto trattamenti conformi ai requisiti del GDPR e idonei a garantire la tutela dei diritti degli interessati, ai sensi dell'art. 28, par. 1, GDPR, come documentato nell'Allegato 2 e nel fascicolo tecnico del servizio.
d. I riferimenti ai clienti finali del Cliente e alle persone i cui dati il Cliente inserisce nel Workspace si intendono comprensivi di qualunque interessato, comunque denominato nell'interfaccia del Servizio.
1.1 L'Accordo disciplina il trattamento di dati personali che il Fornitore effettua per conto del Cliente, in qualità di responsabile del trattamento ex art. 28 GDPR, nell'erogazione del Servizio, limitatamente ai dati personali che il Cliente inserisce, importa o genera nel proprio Workspace: anagrafiche di clienti finali e altri contatti, progetti, attività e scadenze, note e documenti, contenuti importati da fatture elettroniche (FatturaPA), messaggi inviati alle funzioni AI e trascrizioni di appunti vocali («Dati del Workspace»). La descrizione analitica del trattamento è contenuta nell'Allegato 1.
1.2 Sono esclusi dall'ambito dell'Accordo, in quanto trattamenti di cui il Fornitore è titolare autonomo e che sono disciplinati dall'Informativa privacy (https://app.opdesk.it/privacy.html):
(a) i dati dell'Account (registrazione, autenticazione, sicurezza, dispositivi attendibili);
(b) i dati di fatturazione e gestione dell'abbonamento;
(c) le comunicazioni di servizio e i trattamenti effettuati per adempiere obblighi di legge o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria, inclusi il log delle firme elettroniche di approvazione delle clausole e le accettazioni dei Termini di servizio e del DPA e la presa visione dell'Informativa privacy rese alla creazione dell'Account o al primo accesso successivo, con identificativo dell'utente, indirizzo email, data e ora, indirizzo IP, dispositivo, versione e impronta di ciascun testo, il registro dei recessi e delle richieste di esecuzione anticipata e le registrazioni contabili minime successive alla cancellazione dell'Account.
(d) le registrazioni tecniche degli accessi e dei tentativi di accesso alla pagina di consultazione di cui all'Allegato 1, trattate dal Fornitore per la sicurezza dei propri sistemi e della rete e per l'accertamento e la prevenzione degli abusi, conservate in archivi separati, non accessibili al Cliente e non compresi nell'esportazione dei Dati del Workspace, salvo quanto strettamente necessario a fornire al Cliente le informazioni di cui all'art. 10.1 in caso di violazione dei dati personali che riguardi la pagina di consultazione, e salvi gli obblighi di legge e gli ordini dell'autorità competente. Sono due, distinte per contenuto e per durata: (1) il registro del server che serve la pagina (indirizzo IP di provenienza, agente utente, data e ora, indirizzo richiesto ed esito della richiesta), conservato 14 giorni con rotazione automatica; (2) il contatore anti-abuso, che non conserva l'indirizzo IP ma la sua impronta crittografica calcolata con un segreto del Fornitore, insieme all'impronta del collegamento presentato, al quarto d'ora del tentativo e al numero dei tentativi, conservato 90 giorni e cancellato automaticamente allo scadere del termine. Il contatore registra i tentativi e non le consultazioni riuscite: la registrazione che lega un indirizzo a un collegamento è cancellata nel momento in cui l'accesso va a buon fine. Nessuna delle due contiene il contenuto della pagina né il collegamento in chiaro, e nessuna delle due esce dall'Unione europea. Il Fornitore non utilizza tali dati per identificare l'interessato e non è tenuto ad acquisire o conservare informazioni ulteriori a tale fine (art. 11, par. 1, GDPR); l'interessato che intenda esercitare su tali dati i diritti di cui agli artt. 15-22 GDPR fornisce gli elementi necessari a individuare le registrazioni che lo riguardano.
(e) le segnalazioni sui contenuti generati dalle funzioni AI inviate dal Cliente con la funzione dedicata (identificativi, indirizzo email, data, origine, motivo, commento, riferimento al contenuto ed estratto del contenuto segnalato), trattate dal Fornitore per esaminare la segnalazione e correggere i filtri e le istruzioni del sistema.
1.3 Regime «BYO key». Ove il Cliente configuri nel proprio Workspace una propria chiave API di un fornitore di modelli AI (OpenAI o Anthropic), il rapporto relativo al trattamento effettuato dal fornitore del modello intercorre direttamente tra il Cliente e tale fornitore, alle condizioni contrattuali da questi applicate: in tale regime il fornitore del modello non è sub-responsabile del Fornitore e il Fornitore si limita, quale responsabile, a trasmettere i contenuti al fornitore designato dal Cliente, secondo l'istruzione documentata impartita dal Cliente mediante la configurazione del Workspace, e a custodire la chiave cifrata ai sensi dell'art. 4.1.4 dei Termini.
2.1 Con riferimento ai Dati del Workspace, il Cliente è titolare del trattamento (ovvero, ove applicabile, responsabile che agisce per conto di un diverso titolare, nel qual caso garantisce che le istruzioni impartite al Fornitore sono conformi a quelle del titolare) e il Fornitore è responsabile del trattamento ex art. 28 GDPR.
2.2 Il Cliente garantisce che i Dati del Workspace sono trattati nel rispetto del GDPR e di disporre di idonea base giuridica, ai sensi dell'art. 5.3 dei Termini; il Fornitore tratta i Dati del Workspace esclusivamente per conto del Cliente e nei limiti dell'Accordo. Il Cliente rende agli interessati le informazioni di cui agli artt. 13 e 14 GDPR anche con riferimento alle comunicazioni e alla messa a disposizione dei dati descritte nell'Allegato 1, e li informa dell'esistenza della pagina di consultazione e del fattore di verifica con cui vi si accede.
3.1 L'Accordo ha efficacia dalla creazione dell'Account (o, se successiva, dalla data di pubblicazione) e per tutta la durata del rapporto contrattuale, e cessa con la cancellazione dei Dati del Workspace ai sensi dell'art. 11. Gli obblighi che per loro natura sono destinati a sopravvivere (riservatezza, cooperazione in caso di violazione, restituzione e cancellazione) restano efficaci fino a 2 anni dopo la cessazione del rapporto, ferma restando l'applicazione della normativa in materia di protezione dei dati personali finché il Fornitore tratti dati personali.
4.1 Il Fornitore tratta i Dati del Workspace soltanto su istruzione documentata del Cliente, anche con riguardo ai trasferimenti verso paesi terzi, salvo che lo richieda il diritto dell'Unione o nazionale cui il Fornitore è soggetto; in tale caso il Fornitore informa il Cliente circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico (art. 28, par. 3, lett. a, GDPR).
4.2 Costituiscono istruzioni documentate: i Termini, il presente Accordo e i suoi Allegati, la configurazione del Workspace effettuata dal Cliente (inclusa la selezione del fornitore di modelli AI e l'attivazione delle singole funzioni) e le ulteriori istruzioni scritte impartite tramite i canali di assistenza, purché compatibili con le funzionalità del Servizio.
4.3 Il Fornitore informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, restando in tal caso legittimato a sospenderne l'esecuzione fino a conferma o revoca.
4.4 Quando il Cliente attiva la condivisione di un calendario nella modalità che rende visibili le voci collegate a clienti o progetti, l'attivazione costituisce istruzione documentata del Cliente ai sensi dell'art. 28, par. 3, lett. a), del Regolamento. Il Cliente garantisce che le persone invitate trattano i dati resi visibili sotto la sua autorità, ai sensi dell'art. 29 del Regolamento e dell'art. 2-quaterdecies del D.Lgs. 196/2003, e che sono vincolate a un obbligo di riservatezza, ovvero che con esse ha stipulato un accordo ai sensi dell'art. 28 del Regolamento. I dati resi visibili restano Dati del Workspace del Cliente: il destinatario non ne diviene titolare, non può esportarli né altrimenti disporne, e non vi ha accesso dalla revoca.
5.1 Il Fornitore garantisce che le persone autorizzate al trattamento dei Dati del Workspace si sono impegnate alla riservatezza o hanno un adeguato obbligo legale di riservatezza, hanno ricevuto istruzioni adeguate e accedono ai dati nei soli limiti necessari all'erogazione del Servizio, secondo il principio del minimo privilegio.
6.1 Il Fornitore adotta le misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, descritte nell'Allegato 2, tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà degli interessati.
6.2 Il Fornitore può aggiornare le misure dell'Allegato 2 in ragione dell'evoluzione tecnica, purché il livello complessivo di sicurezza non risulti diminuito. La versione vigente è pubblicata su https://app.opdesk.it/dpa.html; le informazioni operative di sicurezza sono pubblicate su https://app.opdesk.it/sicurezza.html.
6.3 Il Servizio non è progettato né destinato al trattamento sistematico di categorie particolari di dati personali (art. 9 GDPR) o di dati relativi a condanne penali e reati (art. 10 GDPR). Ove il Cliente, sotto la propria responsabilità, inserisca occasionalmente tali dati nel Workspace, garantisce la sussistenza delle condizioni di liceità e delle eventuali garanzie supplementari richieste dal diritto applicabile; il Fornitore applica a tutti i Dati del Workspace, indistintamente, le misure dell'Allegato 2, senza effettuare ispezioni sui contenuti. Con riferimento alla messa a disposizione dei dati all'interessato di cui all'Allegato 1, il Cliente valuta preliminarmente se, in ragione della natura della propria attività, il solo elenco delle prestazioni erogate sia idoneo a rivelare dati relativi alla salute o altre categorie particolari di dati ai sensi dell'art. 9 GDPR, e ne tiene conto nella decisione di attivare la funzione, nella determinazione del perimetro dei dati resi visibili e nella scelta del fattore di verifica, adottando in tali casi il fattore di verifica generato dal sistema; ove ricorrano i presupposti dell'art. 35 GDPR, la valutazione d'impatto sulla protezione dei dati compete al Cliente quale titolare e il Fornitore presta l'assistenza di cui all'art. 9.2.
6.4 Qualora il collegamento o le comunicazioni di cui all'Allegato 1 raggiungano un destinatario diverso dall'interessato per effetto di dati di contatto inesatti o non aggiornati presenti nel Workspace, la relativa valutazione ai sensi degli artt. 33 e 34 GDPR compete al Cliente quale titolare del trattamento. Il Cliente ne dà comunicazione al Fornitore all'indirizzo security@fdconsultingsrl.com; il Fornitore revoca senza indugio il collegamento interessato e fornisce le informazioni di cui all'art. 10.1 in quanto disponibili.
7.1 Autorizzazione generale. Il Cliente autorizza in via generale, ai sensi dell'art. 28, par. 2, GDPR, il ricorso ai sub-responsabili elencati nell'Allegato 3, per le funzioni ivi indicate.
7.2 Modifiche. Il Fornitore informa il Cliente di ogni modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con preavviso di almeno 15 giorni, mediante comunicazione in app o via email e aggiornamento dell'elenco pubblicato su https://app.opdesk.it/dpa.html. Il Cliente può opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati entro il termine di preavviso; in mancanza di soluzione condivisa, il Cliente può recedere dal rapporto con effetto immediato limitatamente al Servizio, esportando i propri dati ai sensi dell'art. 5.4 dei Termini, senza penalità e con rimborso pro-rata del periodo non fruito.
7.3 Obblighi. Il Fornitore impone a ciascun sub-responsabile, mediante contratto ai sensi dell'art. 28, par. 4, GDPR, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo, e resta pienamente responsabile verso il Cliente dell'adempimento degli obblighi del sub-responsabile. Su richiesta scritta del Cliente, il Fornitore mette a disposizione copia degli accordi conclusi con i sub-responsabili, eventualmente espunta delle sole informazioni commerciali riservate. Il Fornitore notifica al Cliente, senza ingiustificato ritardo, ogni inadempimento sostanziale del sub-responsabile agli obblighi in materia di protezione dei dati di cui sia venuto a conoscenza.
7.4 Restano esclusi dall'elenco dei sub-responsabili i soggetti che operano quali titolari autonomi per i rispettivi servizi (in particolare Apple per Sign in with Apple, App Store e la consegna delle notifiche push, Google Ireland Limited per l'accesso con Google, la distribuzione tramite Google Play e la consegna delle notifiche push su Android, nonché Stripe Payments Europe Ltd per le finalità proprie del servizio di pagamento, ferma la sua qualità di responsabile del Fornitore per l'elaborazione dei pagamenti, estranea ai Dati del Workspace), indicati come destinatari nell'Informativa privacy, nonché i fornitori di modelli AI in regime BYO key (art. 1.3).
8.1 I Dati del Workspace sono conservati su infrastruttura ubicata nell'Unione europea (Allegato 3). Trasferimenti verso paesi terzi hanno luogo esclusivamente verso i sub-responsabili indicati nell'Allegato 3 e per le funzioni ivi descritte, sulla base di una decisione di adeguatezza ex art. 45 GDPR (incluso, ove applicabile, l'EU-U.S. Data Privacy Framework per i soggetti certificati) ovvero delle clausole contrattuali tipo ex art. 46, par. 2, lett. c, GDPR, integrate ove necessario da misure supplementari.
8.2 Il Cliente prende atto che l'utilizzo delle funzioni AI e delle funzioni che si avvalgono di sub-responsabili stabiliti in paesi terzi comporta la trasmissione dei relativi contenuti a tali soggetti, secondo la configurazione del Workspace da lui effettuata.
9.1 Diritti degli interessati. Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di dare seguito alle richieste di esercizio dei diritti di cui agli artt. 12-23 GDPR. Il Servizio consente in autonomia la consultazione, la rettifica, la cancellazione e l'esportazione dei Dati del Workspace (formato JSON); per quanto non eseguibile in autonomia, il Fornitore dà seguito alle richieste scritte del Cliente senza ingiustificato ritardo. Qualora un interessato rivolga una richiesta direttamente al Fornitore in relazione ai Dati del Workspace, il Fornitore la inoltra al Cliente senza ingiustificato ritardo e non vi dà seguito autonomamente, salvo obbligo di legge. La messa a disposizione dei dati all'interessato di cui all'Allegato 1 è eseguita dal Fornitore su istruzione specifica del Cliente, nel perimetro di dati da questi determinato e con le modalità di verifica da questi scelte: essa non costituisce riscontro autonomo del Fornitore a una richiesta di esercizio dei diritti di cui agli artt. 12-23 GDPR, non esaurisce il diritto di accesso di cui all'art. 15 GDPR e non esonera il Cliente dall'obbligo di dare riscontro alle richieste degli interessati, che resta a suo carico. Essa costituisce, per la parte di competenza del Fornitore, una delle misure tecniche di assistenza di cui al primo periodo del presente articolo, coerente con quanto raccomandato dal considerando 63 del GDPR in ordine all'accesso remoto a un sistema sicuro.
9.2 Sicurezza, violazioni, DPIA. Il Fornitore assiste il Cliente nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, tenendo conto della natura del trattamento e delle informazioni a propria disposizione: in particolare, fornisce le informazioni ragionevolmente necessarie allo svolgimento delle valutazioni d'impatto sulla protezione dei dati (art. 35 GDPR) e all'eventuale consultazione preventiva dell'autorità di controllo (art. 36 GDPR), anche mettendo a disposizione la documentazione di cui all'art. 12.
10.1 Il Fornitore notifica al Cliente, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, ogni violazione dei dati personali riguardante i Dati del Workspace, all'indirizzo email associato all'Account, fornendo — anche in fasi successive, man mano che le informazioni si rendono disponibili — le informazioni di cui all'art. 33, par. 3, GDPR: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni interessate, probabili conseguenze, misure adottate o proposte, punto di contatto (security@fdconsultingsrl.com).
10.2 Resta di competenza del Cliente, quale titolare, ogni valutazione circa la notifica all'autorità di controllo ex art. 33 GDPR e la comunicazione agli interessati ex art. 34 GDPR. Il Fornitore non effettua tali adempimenti per conto del Cliente, ma coopera fornendo le informazioni ragionevolmente necessarie. La gestione degli incidenti segue la procedura di cui all'art. 14 del Regolamento (UE) 2024/2847 per i profili di competenza del Fornitore.
11.1 Il Cliente può esportare in ogni momento i Dati del Workspace in formato aperto (JSON) tramite l'apposita funzione.
11.2 Alla cessazione del rapporto per qualsiasi causa, i Dati del Workspace restano disponibili in sola esportazione per 30 giorni; il Fornitore invia un avviso su supporto durevole prima della cancellazione, che non ha luogo senza che l'avviso risulti effettivamente consegnato. In caso di impossibilità di recapito documentata all'esito di almeno tre tentativi effettuati su un arco temporale non inferiore a 30 giorni, anche mediante i canali alternativi associati all'Account ove disponibili, la cancellazione ha luogo decorsi ulteriori 60 giorni dall'ultimo tentativo, con annotazione nel registro interno del Fornitore. Decorso il termine, i Dati del Workspace sono cancellati in modo definitivo. In caso di eliminazione dell'Account da parte del Cliente (art. 5.5 dei Termini), la cancellazione è immediata e irreversibile. Su richiesta scritta del Cliente, il Fornitore attesta per iscritto l'avvenuta cancellazione, ferma la conservazione di cui agli artt. 11.3 e 11.4.
11.3 Le copie residue presenti nei backup cifrati sono eliminate con la rotazione periodica dei backup e non sono oggetto di ripristino, salvo necessità tecnica di ripristino generale del Servizio, nel qual caso i dati già cancellati sono nuovamente rimossi senza ritardo. A questo solo fine il Fornitore conserva, separatamente dal database e dalle copie di sicurezza, salvo il tempo necessario all'invio, un registro delle eliminazioni che contiene i soli identificativi tecnici delle voci eliminate, senza alcun contenuto, e ne cancella ogni riga quando non esistono più copie di sicurezza anteriori all'eliminazione.
11.4 Restano ferme la conservazione dei dati di cui il Fornitore è titolare autonomo (art. 1.2) e la conservazione imposta dal diritto dell'Unione o nazionale, nei limiti e per la durata da esso previsti.
12.1 Il Fornitore mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR: il presente Accordo e i suoi Allegati, la documentazione di sicurezza pubblicata, le certificazioni e le relazioni di audit dei sub-responsabili ove disponibili, nonché risposte scritte a richieste ragionevoli di informazioni, entro un termine congruo.
12.2 Ove la documentazione non sia ragionevolmente sufficiente, il Fornitore consente audit e ispezioni, condotti dal Cliente o da un revisore indipendente da questi incaricato (non concorrente del Fornitore e vincolato alla riservatezza), con preavviso scritto di almeno 30 giorni, non più di una volta per anno civile salvo violazione dei dati o richiesta dell'autorità di controllo, in orario lavorativo, con modalità tali da non pregiudicare la sicurezza del Servizio, la riservatezza dei dati di altri clienti e l'operatività del Fornitore. I costi dell'audit sono a carico del Cliente, salvo che l'audit riveli violazioni sostanziali dell'Accordo imputabili al Fornitore.
12.3 Le informazioni di cui al presente articolo, inclusi i risultati di eventuali verifiche, sono messe a disposizione dell'autorità di controllo competente che ne faccia richiesta.
13.1 Il Fornitore informa prontamente il Cliente qualora, per qualunque motivo, non sia in grado di rispettare il presente Accordo. In caso di violazione dell'Accordo da parte del Fornitore, il Cliente può dargli istruzione di sospendere il trattamento dei Dati del Workspace fino al ripristino della conformità, ferma la conservazione in sicurezza dei dati.
13.2 Il Cliente può risolvere il rapporto, limitatamente al Servizio e con le modalità di esportazione di cui all'art. 11, qualora: (a) la conformità non sia ripristinata entro un termine ragionevole e comunque entro un mese dalla sospensione di cui all'art. 13.1; (b) il Fornitore violi in modo sostanziale o persistente l'Accordo o gli obblighi che gli incombono ai sensi del GDPR; (c) il Fornitore non rispetti una decisione vincolante dell'autorità giudiziaria o dell'autorità di controllo competente relativa agli obblighi derivanti dall'Accordo o dal GDPR.
13.3 Il Fornitore può risolvere il rapporto qualora, dopo aver informato il Cliente che una sua istruzione viola il GDPR o altre disposizioni in materia di protezione dei dati (art. 4.3), il Cliente insista nell'esecuzione dell'istruzione.
14.1 Ciascuna parte risponde dei danni derivanti dal trattamento secondo l'art. 82 GDPR. Nei rapporti tra le parti restano ferme le limitazioni di responsabilità di cui all'art. 7.2 dei Termini, nei limiti in cui siano state validamente approvate e siano consentite dalla legge; tali limitazioni non pregiudicano i diritti degli interessati né la responsabilità verso l'autorità di controllo.
14.2 Per quanto non previsto dall'Accordo si applicano i Termini. Legge applicabile e foro competente sono disciplinati dall'art. 9.2 dei Termini, ferme le competenze delle autorità di controllo ai sensi del GDPR.
14.3 Il Fornitore può modificare il presente Accordo dandone avviso al Cliente in app o all'indirizzo di posta elettronica associato all'Account. Le modifiche che ampliano l'oggetto o le finalità del trattamento, che introducono destinatari o categorie di destinatari ulteriori, che sottraggono trattamenti all'ambito dell'Accordo o che riducono le garanzie prestate al Cliente acquistano efficacia non prima di trenta giorni dall'avviso; entro tale termine il Cliente può recedere senza costi. Le modifiche di carattere ricognitivo, formale o migliorativo delle garanzie, e gli aggiornamenti dell'Allegato 2 consentiti dall'art. 6.2, acquistano efficacia dalla pubblicazione. Ogni versione è identificata da un numero e da una data di efficacia; le versioni precedenti restano consultabili su richiesta.
Oggetto e natura del trattamento: hosting, conservazione, organizzazione, consultazione, elaborazione (incluse le elaborazioni tramite funzioni di intelligenza artificiale attivate dal Cliente), estrazione, comunicazione ai sub-responsabili autorizzati, comunicazione ad altri utenti del Servizio nei limiti e su istruzione specifica del Cliente (condivisione di calendari in sola lettura, comprese — nella modalità dedicata ai collaboratori, attivata dal Cliente calendario per calendario e persona per persona — le voci collegate a clienti o progetti, con il titolo, il giorno, l'orario o l'indicazione di giornata intera, lo stato dell'impegno e il calendario di provenienza, e senza alcun dato della scheda del cliente o del progetto; il destinatario consulta soltanto e non acquisisce i dati, che restano Dati del Workspace del Cliente), invio di comunicazioni ai clienti finali del Cliente e agli altri contatti da lui indicati, su istruzione specifica del medesimo (promemoria degli appuntamenti inviati per posta elettronica per conto del Cliente, ovvero predisposti dal Servizio e resi disponibili al Cliente per l'invio tramite i propri strumenti di messaggistica, contenenti i dati dell'appuntamento e i recapiti indicati dal Cliente), messa a disposizione dei Dati del Workspace all'interessato cui si riferiscono, in sola lettura, nei limiti e su istruzione specifica del Cliente (pagina individuale di consultazione del proprio storico degli appuntamenti, delle prestazioni residue dei pacchetti prepagati e delle note che il Cliente ha destinato a lui; la funzione è disattivata per impostazione predefinita in ciascun Workspace ed è attivabile dal solo Cliente, il quale determina il perimetro dei dati resi visibili a partire da una configurazione predefinita restrittiva e sceglie, prima dell'attivazione e senza che alcuna opzione sia preselezionata, il fattore di verifica fra una credenziale generata dal sistema — mostrata una sola volta e da lui consegnata all'interessato su canale distinto da quello che reca il collegamento — e un dato già in possesso dell'interessato, nonché il canale sul quale il collegamento può viaggiare; l'accesso avviene mediante collegamento individuale generato dal Cliente e previa verifica di tale fattore; il collegamento è revocabile dal Cliente in ogni momento), backup, cancellazione dei Dati del Workspace, al solo fine di erogare il Servizio.
Finalità: erogazione del Servizio OPDesk (gestionale operativo con assistente AI) secondo i Termini e la configurazione del Workspace.
Durata: la durata del rapporto contrattuale, oltre il periodo di sola esportazione e la rotazione dei backup di cui all'art. 11.
Categorie di interessati: il Cliente e i suoi collaboratori; clienti finali, fornitori e altri contatti del Cliente; soggetti terzi i cui dati siano contenuti in note, documenti, appuntamenti, fatture elettroniche importate, messaggi alle funzioni AI e appunti vocali.
Categorie di dati personali: dati anagrafici e di contatto; dati contenuti in progetti, attività, scadenze, appuntamenti ed eventi di calendario (con i relativi orari, servizi, sedi, importi e stati), pacchetti di prestazioni prepagate e relativo avanzamento, note e documenti; dati contenuti in fatture elettroniche (FatturaPA), inclusi dati fiscali; contenuti dei messaggi alle funzioni AI; trascrizioni testuali di appunti vocali (l'audio non è conservato sui server del Fornitore). Il Servizio non è destinato al trattamento sistematico di categorie particolari di dati ex art. 9 GDPR o di dati ex art. 10 GDPR; ove il Cliente ve ne inserisca, si applica l'art. 6.3 dell'Accordo.
Gli accessi amministrativi ai sistemi che trattano i Dati del Workspace sono riservati a personale puntualmente autorizzato quale amministratore di sistema, previa verifica di capacità, esperienza e affidabilità, secondo il Provvedimento del Garante del 27 novembre 2008; le autenticazioni degli amministratori di sistema sono registrate (access log) con conservazione non inferiore a sei mesi e l'operato degli amministratori è verificato con cadenza almeno annuale; l'elenco degli amministratori di sistema è mantenuto aggiornato dal Fornitore.
Di seguito le misure ex art. 32 GDPR messe in atto dal Fornitore:
i. Cifratura in transito (TLS con HSTS: max-age biennale, includeSubdomains, preload);
ii. cifratura applicativa at rest delle chiavi API dei clienti con chiave dedicata;
iii. hash delle password con bcrypt;
iv. autenticazione a due fattori TOTP con recovery code;
v. invalidazione globale delle sessioni al cambio password (session-epoch);
vi. gestione dei dispositivi attendibili da parte dell'utente;
vii. isolamento multi-tenant a livello applicativo;
viii. backup cifrati con logica fail-closed;
ix. audit log di sicurezza (accessi riusciti e falliti, MFA, reset password, dispositivi, rotazione chiavi), separato per Workspace, con conservazione di 90 giorni;
x. modulo di approvazione delle clausole con registrazione immutabile e hash del testo;
xi. casella di sicurezza dedicata (security@fdconsultingsrl.com) con politica di divulgazione coordinata delle vulnerabilità e procedura di gestione degli incidenti ex art. 14 Reg. (UE) 2024/2847;
xii. gestione delle vulnerabilità e aggiornamenti di sicurezza per il periodo di assistenza pubblicato;
xiii. conformità documentata nel fascicolo tecnico CRA/AI Act;
xiv. per la pagina di consultazione messa a disposizione dell'interessato (Allegato 1): (a) collegamento individuale per ciascun interessato, generato con generatore crittograficamente sicuro e conservato dal Fornitore esclusivamente in forma di impronta; il collegamento è trasmesso nel frammento dell'indirizzo, che i browser non inviano al server, e nella chiamata di verifica viaggia nel corpo della richiesta: non compare in alcun registro; (b) accesso subordinato alla verifica dell'ulteriore fattore scelto dal Cliente ai sensi dell'Allegato 1; nessuna opzione è preselezionata e la funzione non si attiva finché il Cliente non ha scelto; la credenziale generata dal sistema è indicata come opzione consigliata ed è conservata anch'essa esclusivamente in forma di impronta; il fattore consistente in un dato già in possesso dell'interessato non protegge dall'accesso di chi conosca quel dato, e non è disponibile quando l'interessato risulti minore di età dalla data di nascita presente nel Workspace, nel qual caso i collegamenti già generati con tale fattore sono revocati; (c) rallentamento progressivo dei tentativi sul singolo collegamento e blocco per indirizzo di provenienza, con risposta identica nel contenuto tra collegamento inesistente, revocato, scaduto, anagrafica cancellata, funzione disattivata e fattore di verifica errato; (d) pagina in sola lettura, servita da un'origine distinta da quella dell'applicazione, esclusa dall'indicizzazione dei motori di ricerca, priva di cookie e di strumenti di misurazione o tracciamento e senza alcuna persistenza nel dispositivo di chi la apre; (e) revoca e rigenerazione del collegamento da parte del Cliente con effetto immediato, singolarmente o in blocco, da un elenco dei collegamenti attivi disponibile nel Servizio; (f) estinzione automatica del collegamento decorsi 90 giorni dall'ultima apertura riuscita e, in ogni caso, decorsi 24 mesi dalla generazione, nonché con la cancellazione dell'anagrafica dell'interessato, del Workspace o dell'Account; (g) registrazioni tecniche delle richieste in archivi separati, con le durate di cui all'art. 1.2, lett. d; l'accesso a tali archivi è riservato agli amministratori di sistema designati ed è a sua volta registrato.
| Sub-responsabile | Funzione | Ubicazione del trattamento | Meccanismo di trasferimento (artt. 44 ss. GDPR) | Misure supplementari e note (TIA) |
|---|---|---|---|---|
| Hostinger | Infrastruttura di hosting (backend, database, backup) | Germania (UE) — VPS Francoforte | Non previsto per l'operatività ordinaria (fornitore UE, data center UE). Per eventuali trasferimenti extra-SEE nella catena dei sub-fornitori: SCC 2021, Moduli 2/3, incorporate per rinvio nel DPA del fornitore (legge applicabile: Cipro; autorità di riferimento: Commissioner for Personal Data Protection cipriota), con UK International Data Transfer Addendum ove applicabile. Il DPA del fornitore non contiene un impegno di localizzazione esclusiva UE. | ISO/IEC 27001:2022; verifica catena sub-fornitori (CDN, backup) nell'allegato al DPA |
| OpenAI Ireland Ltd | Funzioni AI di chat (ove configurato come fornitore del piano) e trascrizione appunti vocali | USA (inferenza), con contraente UE (OpenAI Ireland Ltd). | Primo conferimento verso entità UE; per il trasferimento onward verso gli Stati Uniti: SCC 2021 incorporate nel DPA del fornitore, con UK Addendum. | TIA documentato; no training di default su dati API; retention max 30 gg. salvo ZDR; SOC 2 Type II, ISO 27001/27701 |
| OpenRouter, Inc. | Funzioni AI di chat incluse nel piano | USA | SCC 2021, Modulo 2, incorporate nel DPA standard self-service del fornitore (efficace dal 5.5.2026) | Endpoint Zero Data Retention (no conservazione prompt/output) quale misura supplementare; obbligo di flow-down ex art. 28, par. 4 verso i provider di modelli sottostanti. Divergenza modulare (rapporto processor→sub-processor, modulo naturale 3) annotata nel TIA quale rischio residuo accettato, mitigato da endpoint ZDR attivo ed esclusione dei provider con facoltà di training (evidenze a fascicolo). |
| Groq, Inc. | Trascrizione appunti vocali inclusa nel piano | USA | SCC 2021 incorporate nel DPA GroqCloud (autorità di controllo di riferimento: DPC irlandese). | Regime no-retention/no-training ex sez. 4.2 del Services Agreement (copia conforme a fascicolo); ZDR attivo (evidenza a fascicolo) |
| Plus Five Five Inc. (Resend) | Email transazionali, incluse le comunicazioni inviate ai clienti finali del Cliente su istruzione di quest'ultimo (promemoria degli appuntamenti e collegamento alla pagina di consultazione); recapito del backup cifrato e del registro delle eliminazioni di cui all'art. 11.3 | USA | Certificazione EU-U.S. DPF con estensione UK, senza estensione Swiss (adeguatezza ex art. 45 GDPR — scheda partecipante n. 8907, stato «Active», copertura Non-HR, riscontrata sul registro ufficiale); SCC 2021 di fallback incorporate nel DPA. | Cifratura del backup lato esportatore quale misura supplementare autonoma; SOC 2. |
| Aruba S.p.A. | Casella di posta elettronica aziendale del Fornitore, che riceve e conserva la copia di sicurezza cifrata del database e del registro delle eliminazioni di cui all'art. 11.3 | Italia (UE) | Non previsto (fornitore italiano, trattamento in Italia). | La copia è cifrata dal Fornitore prima di lasciare la propria infrastruttura: il gestore della casella non può leggerne il contenuto. Iscritta nel Registro dei servizi fiduciari qualificati; ISO/IEC 27001. Inserita in elenco il 12.9.2026 con il preavviso di cui all'art. 7.2, efficace dal 27.9.2026 — riceveva già le copie, e la mancata indicazione era un'omissione del Fornitore. |
| PostHog, Inc. | Analytics di prodotto | UE — eu-central-1 (Francoforte), PostHog Cloud EU. | Trasferimento non previsto per l'operatività ordinaria. | Certificazione DPF (EU, UK, Swiss) riscontrata sul registro ufficiale quale garanzia ulteriore per eventuali accessi residui della casa madre statunitense; SOC 2 Type II. |
| RevenueCat, Inc. | Gestione degli abbonamenti iOS e Android (identificativo pseudonimo ed entitlement) | USA | SCC 2021, Moduli 2/3, incorporate nel DPA del fornitore, con UK Transfer Addendum e adattamento svizzero. | Dato conferito già pseudonimizzato (identificativo app user ID, no dati anagrafici) quale misura supplementare; SOC 2 Type II |
I fornitori di modelli AI utilizzati in regime BYO key (inclusa Anthropic, PBC, la cui integrazione opera esclusivamente in tale regime), Stripe Payments Europe Ltd e Apple non figurano nel presente elenco per le ragioni indicate agli artt. 1.3 e 7.4. I modelli terzi eventualmente instradati da OpenRouter nell'ambito del piano incluso operano quali sub-fornitori di OpenRouter, coperti dal relativo DPA e dalla lista dei sub-processor pubblicata dal medesimo.
Per i sub-responsabili stabiliti in USA privi di certificazione DPF con stato «Active», il trasferimento è assistito dalle clausole contrattuali tipo di cui alla Decisione di esecuzione (UE) 2021/914, integrate da valutazione d'impatto sul trasferimento (TIA) documentata e dalle misure supplementari indicate in tabella. Ove la certificazione DPF sia riscontrata sulla lista ufficiale (www.dataprivacyframework.gov) con copertura dei dati «Non-HR», essa opera quale meccanismo primario ex art. 45 GDPR, ferma la reviviscenza automatica delle SCC in caso di sopravvenuta decadenza, sospensione o invalidazione della certificazione o della decisione di adeguatezza.