Accordo sul trattamento dei dati

Premessa

Il presente accordo (l’«Accordo») è concluso tra il Cliente, che agisce in qualità di titolare del trattamento (o di responsabile del trattamento per conto dei propri clienti, quando è un’agenzia), e CODEVIUM SAS, editore del servizio iPand, che agisce in qualità di responsabile del trattamento («iPand»), ai sensi dell’articolo 28 del regolamento (UE) 2016/679 («GDPR»).

Costituisce l’allegato 1 alle condizioni generali di vendita («CGV») ed è accettato insieme a esse, tramite la casella di accettazione selezionata al momento della sottoscrizione o tramite l’accettazione di un preventivo Su misura. Si applica finché iPand tratta Dati personali del Cliente, anche dopo la cessazione delle CGV.

I termini «dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato» e «violazione dei dati personali» hanno il significato loro attribuito dall’articolo 4 del GDPR. Gli altri termini con iniziale maiuscola hanno il significato delle CGV.

Articolo 1 — Ambito: ciò che iPand tratta per il Cliente

1.1 iPand agisce in qualità di responsabile del trattamento per i dati personali contenuti nei Dati del Cliente (i «Dati personali del Cliente»), descritti nell’allegato A: composizione dell’Organizzazione (membri, ruoli, Brand accessibili, inviti), contenuti inseriti dai membri (prompt, entità, concorrenti, attività, pagine monitorate), conversazioni con Pandi, l’assistente GEO di iPand, e risultati prodotti per il Cliente.

1.2 iPand agisce in qualità di titolare del trattamento, e non di responsabile del trattamento, per i trattamenti che essa stessa determina: creazione e sicurezza degli account utente, autenticazione e registro di sicurezza, prova dell’accettazione delle condizioni, fatturazione e rapporto commerciale, email di servizio, assistenza, prevenzione degli abusi, misurazione dell’utilizzo dell’applicazione, misurazione del traffico del sito. Questi trattamenti sono descritti nell’informativa sulla privacy e non rientrano nell’Accordo.

1.3 Le risposte raccolte presso i motori di intelligenza artificiale e le pagine web analizzate possono menzionare persone fisiche (dirigenti, autori, recensioni pubbliche). Per la raccolta di questi contenuti pubblici e per il proprio metodo di misurazione, iPand agisce per conto proprio, in qualità di titolare del trattamento, sulla base del proprio legittimo interesse; tale trattamento è descritto nell’informativa sulla privacy.

Articolo 2 — Istruzioni

2.1 iPand tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, anche per i trasferimenti al di fuori dell’Unione europea, salvo obbligo di legge; in tal caso, iPand ne informa il Cliente prima del trattamento, salvo divieto di legge.

2.2 Le istruzioni del Cliente sono costituite dalle CGV, dalle CGU, dal presente Accordo, dalle impostazioni e dalle azioni effettuate dai membri nel Servizio (aggiunta o eliminazione di prompt, di entità, di membri; richiesta di archivio; eliminazione di un Brand o di un account; autorizzazione di un client MCP), e da qualsiasi istruzione scritta complementare accettata da iPand.

2.3 iPand informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi il GDPR o un’altra norma in materia di protezione dei dati.

2.4 iPand non utilizza i Dati personali del Cliente per finalità proprie, non li vende e non li utilizza per addestrare modelli di intelligenza artificiale.

Articolo 3 — Riservatezza

iPand garantisce che le persone autorizzate a trattare i Dati personali del Cliente si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che vi accedano soltanto nella misura necessaria all’esecuzione del Servizio, all’assistenza richiesta dal Cliente o alla sicurezza.

Articolo 4 — Sicurezza

4.1 iPand mette in atto le misure tecniche e organizzative adeguate descritte nell’allegato B, conformemente all’articolo 32 del GDPR, tenendo conto dello stato dell’arte, dei costi, della natura dei trattamenti e dei rischi.

4.2 iPand può far evolvere tali misure, a condizione di non ridurre il livello complessivo di sicurezza.

4.3 Il Cliente resta responsabile delle misure di sua competenza: gestione dei membri e dei loro diritti, revoca degli accessi delle persone che lasciano la sua organizzazione, riservatezza delle caselle di posta che ricevono i codici di accesso, scelta dei client MCP che autorizza, e contenuto che inserisce (in particolare l’assenza di dati personali nei prompt, richiesta dalle CGU).

Articolo 5 — Violazione dei dati

5.1 iPand notifica al Cliente qualsiasi violazione dei dati personali riguardante i Dati personali del Cliente senza ingiustificato ritardo e al più tardi entro 48 ore dal momento in cui ne è venuta a conoscenza, via email all’indirizzo di fatturazione e agli Amministratori.

5.2 La notifica indica, per quanto possibile: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze, le misure adottate o previste e un punto di contatto. Le informazioni non disponibili sono fornite non appena possibile, in fasi successive.

5.3 iPand collabora con il Cliente per consentirgli di effettuare la notifica all’autorità di controllo e, se del caso, la comunicazione agli interessati. La notifica da parte di iPand non costituisce riconoscimento di colpa. iPand applica una procedura interna di gestione delle violazioni dei dati.

Articolo 6 — Sub-responsabili del trattamento

6.1 Il Cliente conferisce a iPand un’autorizzazione generale a ricorrere ai sub-responsabili del trattamento indicati nell’elenco che iPand tiene aggiornato (allegato C), alla data della sottoscrizione, e successivamente secondo l’evoluzione di tale elenco ai sensi del presente articolo. L’elenco aggiornato è comunicato al Cliente su richiesta, a contact@ipand.io.

6.2 Sub-responsabili scelti da iPand. iPand informa il Cliente di ogni aggiunta o sostituzione di un sub-responsabile del trattamento da essa scelto almeno 30 giorni prima che tratti Dati personali del Cliente, via email agli Amministratori di ciascuna Organizzazione cliente. Il Cliente può opporvisi per iscritto, a contact@ipand.io, entro tale termine, per un motivo ragionevole legato alla protezione dei dati. Le parti cercano allora una soluzione; in mancanza, il Cliente può disdire senza costi l’abbonamento interessato, con rimborso pro rata della parte di Periodo annuale non fruita.

6.3 Sostituzione d’urgenza. Quando la sicurezza dei dati o l’inadempienza di un fornitore impongono una sostituzione senza attendere tale termine, iPand può procedervi con un preavviso più breve. Ne informa allora il Cliente senza indugio, con le stesse modalità, e il Cliente dispone a posteriori degli stessi diritti di opposizione e di disdetta.

6.4 Cambiamenti presso i sub-responsabili dei sub-responsabili del trattamento. Alcuni sub-responsabili del trattamento ricorrono a loro volta a fornitori che scelgono e possono cambiare secondo le proprie condizioni, senza garantire sempre a iPand un preavviso di 30 giorni: in particolare i fornitori di raccolta e i loro fornitori di modelli, il fornitore di hosting, il fornitore del servizio di invio di email e gli editori dei motori del piano Su misura. iPand informa il Cliente di tali cambiamenti, con le stesse modalità, non appena ne viene a conoscenza. Il Cliente dispone allora degli stessi diritti di opposizione e di disdetta previsti dall’articolo 6.2.

6.5 iPand impone a ciascun sub-responsabile del trattamento, per contratto, obblighi di protezione dei dati equivalenti a quelli dell’Accordo, in particolare garanzie sufficienti quanto alle misure tecniche e organizzative. iPand resta responsabile nei confronti del Cliente dell’adempimento dei loro obblighi.

6.6 I client MCP (assistenti di terzi come claude.ai o ChatGPT) che un membro autorizza a leggere i dati dell’Organizzazione non sono sub-responsabili del trattamento di iPand: agiscono su iniziativa e sotto la responsabilità del Cliente, secondo le proprie condizioni. Il Cliente può revocare i loro accessi in qualsiasi momento (Impostazioni › Integrazioni).

Articolo 7 — Trasferimenti al di fuori dell’Unione europea

7.1 I Dati personali del Cliente sono ospitati nell’Unione europea, nella regione Azure «West Europe» (Paesi Bassi); le copie di backup del database, con ridondanza geografica, vi sono conservate e sono replicate da Azure nella regione abbinata «North Europe» (Irlanda), nell’Unione europea. I trattamenti tramite modello linguistico sono effettuati nell’Unione europea: le richieste e le risposte possono essere trattate in qualsiasi Stato membro dell’Unione.

7.2 Quando un sub-responsabile del trattamento tratta dati al di fuori dello Spazio economico europeo, o vi dà accesso, il trasferimento è disciplinato da una decisione di adeguatezza (tra cui il Data Privacy Framework UE-USA per una società certificata) o dalle clausole contrattuali tipo della Commissione europea (decisione 2021/914), integrate se necessario da misure supplementari. L’elenco dei sub-responsabili del trattamento (allegato C) indica, per ciascuno, il luogo del trattamento e il meccanismo adottato.

7.3 Alla data della presente versione dell’Accordo:

• Fornitori di raccolta ed editori di motori stabiliti negli Stati Uniti: clausole contrattuali tipo, modulo 2 (da titolare a responsabile del trattamento) e, per alcuni, modulo 3, previste dal loro accordo sul trattamento dei dati.
• Fornitori di raccolta stabiliti nell’Unione europea che trattano o fanno trattare dati al di fuori dell’Unione (in particolare negli Stati Uniti e nel Regno Unito): la trasmissione dei prompt da parte di iPand non costituisce un trasferimento al di fuori dell’Unione; i loro trasferimenti sono disciplinati da clausole contrattuali tipo o da decisioni di adeguatezza, secondo il loro accordo sul trattamento o la loro informativa sulla privacy.
• Editore di motore stabilito nell’Unione europea (piano Su misura): la trasmissione dei prompt non costituisce un trasferimento al di fuori dell’Unione; si avvale in via prioritaria di fornitori situati nell’Unione, e di fornitori situati al di fuori dell’Unione in casi eccezionali.
• Fornitore del servizio di invio di email (Stati Uniti): società certificata nell’ambito del Data Privacy Framework UE-USA; il suo accordo sul trattamento dei dati incorpora inoltre le clausole contrattuali tipo, modulo 2. Le email sono inviate dall’Irlanda; i dati dell’account (metadati delle email, log) sono archiviati negli Stati Uniti.
• Fornitore di hosting (Microsoft Ireland Operations Limited): i trattamenti sono disciplinati dal DPA di Microsoft (Microsoft Products and Services Data Protection Addendum).
• Le API di due fornitori di modelli servono a una sonda tecnica su prompt interni di iPand e non trattano Dati personali del Cliente. Il loro utilizzo per la raccolta dei clienti sarebbe annunciato secondo l’articolo 6.2.

Articolo 8 — Assistenza al Cliente

8.1 Diritti degli interessati. Tenendo conto della natura del trattamento, iPand assiste il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati. Il Servizio consente al Cliente, direttamente:

• di accedere ai dati e di esportarli: archivio dell’Organizzazione (Impostazioni › Organizzazione, Amministratori), esportazioni delle schermate;
• di rettificare i dati inseriti;
• di cancellare: rimozione di un membro, archiviazione di un prompt, eliminazione di un’entità, di un’attività, di una conversazione con Pandi (cancellata con i suoi messaggi 30 giorni dopo l’eliminazione), di un Brand (cancellazione definitiva 30 giorni dopo l’eliminazione);
• di limitare gli accessi di un membro a determinati Brand.

Le richieste non coperte da queste funzioni sono indirizzate a contact@ipand.io; iPand vi risponde entro un termine che consente al Cliente di rispettare il termine di un mese previsto dall’articolo 12 del GDPR. Una richiesta ricevuta direttamente da un interessato e relativa ai Dati personali del Cliente è trasmessa senza indugio al Cliente, senza rispondere nel merito, salvo istruzione del Cliente.

8.2 Altri obblighi. iPand assiste il Cliente nel garantire il rispetto degli articoli da 32 a 36 del GDPR (sicurezza, violazioni, valutazione d’impatto, consultazione preventiva), tenendo conto delle informazioni a sua disposizione, in particolare fornendo la descrizione dei trattamenti e delle misure di sicurezza dell’allegato B. Tale assistenza è fornita senza costi, in misura ragionevole.

Articolo 9 — Durata, restituzione e cancellazione

9.1 L’Accordo si applica per tutta la durata degli abbonamenti e fino all’effettiva cancellazione dei Dati personali del Cliente.

9.2 Restituzione. Prima della cancellazione, un Amministratore può in qualsiasi momento ottenere un archivio dei dati dell’Organizzazione, in formato JSON e CSV, disponibile per 24 ore dopo la sua preparazione. Contiene l’organizzazione e i suoi abbonamenti, i membri e gli inviti, i Brand (mercati, motori, etichette, entità), i prompt, un’anteprima di ogni risposta raccolta, le pagine monitorate e il risultato della loro ultima analisi, e il registro delle attività dell’Organizzazione. Le conversazioni con Pandi, le attività e i consigli, che non vi figurano, sono restituiti su richiesta indirizzata a contact@ipand.io.

9.3 Cancellazione. Al termine dei servizi, iPand cancella i Dati personali del Cliente, salvo obbligo legale di conservazione:

• fine dell’abbonamento di un Brand: dati del Brand cancellati definitivamente 12 mesi dopo la fine del suo ultimo abbonamento, al trattamento mensile successivo; durante tale periodo, il Cliente può abbonarsi di nuovo su richiesta a contact@ipand.io o richiedere l’archivio, e può ottenere una cancellazione anticipata eliminando il Brand;
• eliminazione di un Brand: dati cancellati definitivamente 30 giorni dopo l’eliminazione;
• eliminazione dell’account di un membro: sessioni, identità di accesso collegate e appartenenze rimosse immediatamente; account e tracce cancellati 30 giorni dopo;
• conversazione con Pandi eliminata dal suo autore: cancellata con i suoi messaggi 30 giorni dopo l’eliminazione; le attività create dalla conversazione sono conservate; le conversazioni di un membro rimosso dall’Organizzazione sono conservate fino all’eliminazione del Brand o del suo account;
• registro delle attività dell’Organizzazione: 12 mesi;
• inviti: cancellati 90 giorni dopo la loro scadenza, che siano stati accettati, revocati o meno;
• Organizzazione senza membri né abbonamenti in corso: contrassegnata come eliminata al trattamento quotidiano del mattino, cancellata definitivamente 30 giorni dopo.

Una volta cancellati dal database, i dati scompaiono dai backup e dagli archivi entro un massimo di 90 giorni: ripristino a un momento dato nell’arco di 14 giorni, archivi mensili del database conservati al massimo 90 giorni, eliminazione reversibile dei file per 14 giorni. I log tecnici sono conservati 30 giorni. I dati restano soggetti all’Accordo fino alla loro cancellazione.

9.4 Su richiesta scritta, iPand conferma per iscritto la cancellazione.

Articolo 10 — Informazioni e audit

10.1 iPand mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell’articolo 28 del GDPR: il presente Accordo e i suoi allegati e, su richiesta, l’elenco dei sub-responsabili del trattamento e un questionario di sicurezza compilato.

10.2 Il Cliente può far svolgere un audit, a proprie spese, da un revisore indipendente vincolato al segreto e non concorrente di iPand, al massimo una volta all’anno (salvo violazione dei dati o richiesta di un’autorità di controllo), con un preavviso di 30 giorni, durante l’orario lavorativo, senza accesso ai dati degli altri clienti né ai segreti di sicurezza, e senza disturbare il Servizio. L’audit dei sub-responsabili del trattamento si effettua tramite le loro certificazioni e relazioni (ISO 27001, SOC 2…).

Articolo 11 — Responsabilità

La responsabilità di ciascuna parte ai sensi dell’Accordo è soggetta alle limitazioni dell’articolo 19 delle CGV, salvo disposizione imperativa contraria; nei rapporti con gli interessati si applica l’articolo 82 del GDPR.

Articolo 12 — Disposizioni varie

In caso di contrasto tra l’Accordo e le CGV, l’Accordo prevale per quanto riguarda la protezione dei dati personali. L’Accordo è regolato dal diritto francese ed è soggetto ai tribunali designati dalle CGV. iPand può modificarlo alle condizioni dell’articolo 25 delle CGV; una modifica imposta dalla legge o da un’autorità si applica senza indugio.

Questo testo è redatto in francese. Le sue traduzioni sono fornite a titolo informativo; in caso di divergenza, fa fede la versione francese.

Allegato A — Descrizione dei trattamenti

Allegato B — Misure tecniche e organizzative

Misure in essere alla data di entrata in vigore della presente versione. Ulteriori informazioni possono essere comunicate al Cliente su richiesta, previo impegno di riservatezza.

Hosting e cifratura

• Hosting Microsoft Azure, regione West Europe (Paesi Bassi); copie di backup del database con ridondanza geografica, nella stessa regione e nella regione abbinata North Europe (Irlanda); nessun dato di produzione al di fuori di queste regioni, salvo presso i sub-responsabili del trattamento dell’allegato C.
• Cifratura in transito: almeno TLS 1.2 per il database, l’archiviazione e l’API; HTTPS obbligatorio; HSTS sull’API e sull’applicazione.
• Cifratura a riposo di Azure SQL e di Azure Storage, attivata per impostazione predefinita da Azure, con chiavi gestite da Microsoft.
• Segreti in Azure Key Vault (controllo degli accessi basato sui ruoli, eliminazione reversibile per 90 giorni, protezione dalla cancellazione definitiva); nessun segreto nel codice.

Controllo degli accessi

• Accesso dei servizi alle risorse tramite identità gestita; sola autenticazione Entra per il database; chiavi condivise dell’archiviazione e chiavi di accesso ai modelli linguistici disattivate; accesso pubblico anonimo ai file chiuso.
• Distribuzione tramite identità federata (OIDC) solo dal ramo principale; nessun accesso permanente tramite password.
• Utenti: accesso senza password (codice monouso con hash, valido 10 minuti, 5 tentativi; Google; Microsoft); token di accesso di 15 minuti in memoria; token di aggiornamento in un cookie HttpOnly, Secure, SameSite=Strict, revocato in caso di riutilizzo; sessioni visibili e revocabili.
• Separazione: ogni richiesta verifica l’appartenenza all’Organizzazione e l’accesso al Brand; un collaboratore vede solo i propri Brand.
• Amministratori della piattaforma: in numero ristretto, designati nel database, senza appartenenza alle Organizzazioni; azioni di amministrazione registrate.
• Accesso MCP: OAuth 2.1 con PKCE, un unico ambito in lettura, token di accesso di 60 minuti, revocabili dall’utente.

Sicurezza applicativa

• Limiti di frequenza sull’autenticazione, sui moduli, su Pandi, sul server MCP e sull’OAuth.
• Protezione contro le richieste verso la rete interna (SSRF) per qualsiasi indirizzo fornito da un cliente; browser di rendering isolato, senza segreti né accesso al database.
• Notifiche dei fornitori di pagamento e di email verificate tramite firma.
• Contenuti di terzi (risposte dei motori, pagine) trattati come non affidabili da Pandi e dal server MCP.

Registrazione e monitoraggio

• Registro di sicurezza conservato 12 mesi: l’indirizzo IP e l’indirizzo email vi figurano solo sotto forma di impronta calcolata con una chiave segreta, mai in chiaro.
• Registro delle attività dell’Organizzazione (12 mesi) e registro delle azioni di amministrazione.
• Log tecnici conservati 30 giorni, con indirizzo IP mascherato.
• Avvisi via email sugli errori del servizio, sui fallimenti della raccolta, sulle code bloccate e sui superamenti di spesa.

Continuità

• Backup del database: ripristino a un momento dato nell’arco di 14 giorni; copie con ridondanza geografica, in West Europe e nella regione abbinata North Europe (Irlanda).
• Archivio mensile del database, esportato e verificato in Azure, regione West Europe, e conservato al massimo 90 giorni nell’archiviazione Azure di tale regione; nessun dato di produzione è affidato al servizio di hosting del codice.
• Eliminazione reversibile dei file per 14 giorni.

Minimizzazione e conservazione

• Cancellazioni automatiche: trattamento quotidiano del mattino (account, Brand, organizzazioni e conversazioni eliminati, registro delle attività, inviti scaduti), trattamento mensile (Brand il cui abbonamento è chiuso da 12 mesi, richieste di contatto e di demo, feedback, eventi di utilizzo di oltre 25 mesi), pulizia oraria (codici di accesso, registro di sicurezza, sessioni, messaggi in attesa di invio, token scaduti).
• Conservazione limitata delle risposte grezze dei fornitori di raccolta (30 giorni) e delle catture delle pagine (183 giorni).
• Modelli linguistici: richieste inviate senza archiviazione delle risposte da parte del servizio (store: false); nessun addestramento dei modelli su questi dati; il fornitore conserva richieste e risposte nell’Unione europea per il monitoraggio degli abusi, per un periodo limitato da esso stabilito, con un esame automatizzato e poi, se necessario, da parte di dipendenti autorizzati situati nello Spazio economico europeo.
• Fornitori di raccolta ed editori dei motori: ciascuno conserva le richieste e le risposte di raccolta secondo il proprio accordo sul trattamento dei dati, dal tempo necessario a produrre la risposta fino a 12 mesi a seconda del fornitore, o fino alla fine del servizio; fino a 2 anni per un contenuto segnalato ai sensi di una politica di utilizzo. Per uno dei motori del piano Su misura, iPand attiva la conservazione zero proposta dal suo editore prima di aprire questo motore alla raccolta. La durata adottata da ciascuno figura nell’elenco dei sub-responsabili del trattamento (allegato C).
• Nessun dato di produzione negli ambienti di sviluppo; nessun ambiente di preproduzione.

Organizzazione

• Personale vincolato alla riservatezza; accesso ai dati di produzione limitato alle esigenze dell’assistenza e della gestione operativa.
• Procedura interna di gestione delle violazioni dei dati.

Allegato C — Sub-responsabili del trattamento autorizzati

L’elenco aggiornato dei sub-responsabili del trattamento (identità, ruolo, dati trattati, luogo del trattamento e garanzie dei trasferimenti) è tenuto da iPand e comunicato al Cliente su richiesta, a contact@ipand.io. Il Cliente è avvisato via email almeno 30 giorni prima di ogni aggiunta o sostituzione di un sub-responsabile del trattamento, e può opporvisi alle condizioni dell’articolo 6.