Accordo di nomina a responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679. Il presente DPA è parte integrante di ogni Contratto tra Rivetti Tech S.r.l. («Rivetti» o «Responsabile») e il Cliente («Titolare») avente ad oggetto i servizi della Piattaforma Agentica Rivetti o del Gestionale Rivetti, come definiti nelle rispettive Condizioni Generali.

1. Ruoli

1.1 Con riferimento ai Dati Personali di cui il Cliente è titolare del trattamento e che sono trattati a mezzo dei Servizi («Dati Protetti»), il Cliente è Titolare e Rivetti è Responsabile del trattamento ai sensi dell'art. 28 GDPR. Per i propri dati di contatto scambiati ai fini della gestione contrattuale, ciascuna parte agisce come titolare autonomo.

1.2 Il Cliente garantisce di essere legittimato a impartire a Rivetti le istruzioni di cui al presente DPA.

2. Oggetto, natura e durata del trattamento

2.1 Rivetti tratta i Dati Protetti esclusivamente per l'erogazione dei Servizi, secondo quanto descritto nell'Appendice A. Il trattamento dura quanto il Contratto, salvo quanto previsto all'articolo 8.

3. Istruzioni del titolare

3.1 Rivetti tratta i Dati Protetti solo su istruzione documentata del Cliente, costituita dal Contratto, dalle configurazioni e regole definite dal Cliente in fase di attivazione e tramite la Piattaforma, e da eventuali istruzioni scritte successive. Le operazioni disposte dagli Utenti Autorizzati costituiscono istruzioni del Titolare.

3.2 Rivetti informa il Cliente qualora ritenga che un'istruzione violi la normativa privacy.

4. Obblighi di Rivetti

4.1 Rivetti: (a) garantisce che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza e adeguatamente istruite, con accessi limitati secondo i principi di necessità e minimo privilegio; (b) adotta le misure tecniche e organizzative di cui all'Appendice B, adeguate al rischio ai sensi dell'art. 32 GDPR; (c) assiste il Cliente, tenuto conto della natura del trattamento, nell'adempimento degli obblighi di cui agli artt. 32 e seguenti GDPR, incluse le valutazioni d'impatto; (d) mantiene il registro dei trattamenti svolti come responsabile; (e) informa il Cliente di richieste ricevute da autorità relative ai Dati Protetti, nei limiti consentiti.

4.2 Rivetti reindirizza al Cliente, senza ingiustificato ritardo, le richieste di esercizio dei diritti degli interessati (artt. 15 e seguenti GDPR) e assiste il Cliente nel darvi corso, nei limiti di quanto tecnicamente possibile. La risposta agli interessati resta a carico del Cliente.

4.3 Rivetti notifica al Cliente ogni violazione dei Dati Protetti senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, fornendo le informazioni di cui all'art. 33 GDPR nella misura disponibile. La valutazione e l'eventuale notifica all'Autorità restano a carico del Cliente.

5. Sub responsabili

5.1 Il Cliente autorizza in via generale, ai sensi dell'art. 28 par. 2 GDPR, il ricorso a sub responsabili, inclusi i fornitori di infrastruttura cloud e i Fornitori AI Terzi. L'elenco aggiornato è disponibile su richiesta scritta entro 15 giorni.

5.2 Rivetti impone a ciascun sub responsabile obblighi equivalenti a quelli del presente DPA e resta responsabile verso il Cliente per il loro operato. Il Cliente può opporsi per iscritto, con motivazione circostanziata, a un sub responsabile che presenti rischi seri e documentabili; in mancanza di soluzione concordata entro 30 giorni, il Cliente può recedere dai soli Servizi per cui il sub responsabile è indispensabile.

6. Strumenti di intelligenza artificiale

6.1 Rivetti utilizza strumenti AI per le attività descritte nel Contratto (a titolo esemplificativo: lettura e classificazione di e-mail e documenti, estrazione dati, generazione di risposte, interrogazione dei dati aziendali). Rivetti garantisce che: (a) i Dati Protetti trasmessi ai provider AI sono utilizzati solo per generare l'output della specifica elaborazione e non per addestrare i modelli dei provider; (b) i dati trasmessi sono limitati a quanto necessario; (c) i provider AI sono nominati sub responsabili; (d) i trasferimenti verso paesi terzi avvengono con le garanzie dell'art. 46 GDPR, in particolare mediante clausole contrattuali standard.

6.2 L'addestramento, le personalizzazioni e la memoria degli strumenti AI costruiti sui Dati Protetti sono utilizzati esclusivamente per l'erogazione e il miglioramento dei Servizi resi al Cliente cui i dati si riferiscono, e non a beneficio di altri clienti.

6.3 Rivetti non utilizza strumenti AI per adottare decisioni automatizzate che producano effetti giuridici o significativi sugli interessati ai sensi dell'art. 22 GDPR; ove funzionalità di tale natura fossero introdotte, Rivetti ne informerà il Cliente indicando la logica e le modalità di intervento umano.

7. Trasferimenti internazionali

7.1 I trasferimenti di Dati Protetti verso paesi terzi, effettuati da Rivetti o dai sub responsabili, avvengono esclusivamente in presenza di una decisione di adeguatezza o delle garanzie di cui all'art. 46 GDPR, come indicato nell'elenco dei sub responsabili.

8. Restituzione e cancellazione

8.1 Alla cessazione del Contratto, a scelta del Cliente comunicata entro 30 giorni, Rivetti restituisce i Dati Protetti nei formati di esportazione standard supportati dalla Piattaforma oppure li cancella dai propri sistemi e da quelli dei sub responsabili, con attestazione scritta. Decorso il termine senza comunicazione, Rivetti procede alla cancellazione.

8.2 Rivetti può conservare i Dati Protetti oltre la cessazione nei limiti richiesti da obblighi di legge o da esigenze di difesa in giudizio, limitandone il trattamento a tali finalità, nonché nei backup fino alla naturale rotazione degli stessi, senza utilizzarli per alcuna finalità.

9. Audit

9.1 Su richiesta scritta motivata, Rivetti fornisce entro 30 giorni la documentazione ragionevolmente necessaria a dimostrare la conformità al presente DPA. Audit fisici sono possibili in caso di fondato sospetto di violazione, previo accordo su ambito, tempi e modalità, con preavviso di 30 giorni, al massimo una volta per anno solare e con costi a carico del Cliente.

10. Disposizioni finali

10.1 Il presente DPA è regolato dalla legge italiana, con competenza del foro indicato nel Contratto. In materia di protezione dei dati personali, in caso di conflitto prevale il DPA. L'accettazione del Contratto costituisce stipulazione del DPA in forma scritta ai sensi dell'art. 28 par. 9 GDPR.

Appendice A · Descrizione del trattamento

Attività (secondo i Servizi attivati): lettura e smistamento delle e-mail delle caselle indicate dal Cliente; estrazione dati da documenti (a titolo esemplificativo: DDT, ordini, fatture); inserimento e aggiornamento di dati nella Piattaforma e nei sistemi terzi del Cliente; generazione di risposte a interlocutori del Cliente; gestione dei dati operativi, commerciali e amministrativi del Cliente nella Piattaforma; interrogazione dei dati aziendali; assistenza tecnica e supporto.

Categorie di interessati: clienti, fornitori, vettori e altri interlocutori commerciali del Cliente; referenti e dipendenti del Cliente e delle sue controparti; utenti della Piattaforma.

Tipi di dati: dati anagrafici e di contatto (nome, ragione sociale, indirizzi, e-mail, telefono, P. IVA e codice fiscale); dati commerciali, logistici e amministrativi (ordini, DDT, quantità, destinazioni, prezzi, fatture); contenuto delle e-mail trattate; dati di autenticazione degli utenti. Di regola non sono trattate categorie particolari di dati; ne è possibile la presenza incidentale nei contenuti trasmessi dagli interlocutori del Cliente.

Conservazione: per la durata del Contratto, secondo l'articolo 8 del DPA; backup con rotazione periodica come da Appendice B.

Appendice B · Misure di sicurezza

Infrastruttura cloud con data center nell'Unione Europea e separazione degli ambienti di test e produzione; crittografia dei dati in transito tramite TLS e a riposo secondo gli standard del provider di infrastruttura; accessi tramite credenziali nominali con permessi secondo i principi di necessità e minimo privilegio e revoca tempestiva; utenze dedicate e tracciate per l'operatività degli strumenti AI sui sistemi terzi del Cliente, ove prevista; backup periodici con rotazione; procedure di rilevazione e gestione degli incidenti e delle violazioni di dati; nomina dei sub responsabili con garanzie ai sensi dell'art. 28 GDPR; formazione e istruzione del personale autorizzato al trattamento.