Data Processing Agreement (DPA)

Accordo sul trattamento di dati personali ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)

Ambito di applicazione

Il presente Accordo (il "DPA") è integrato dai Termini e Condizioni generali ReQurv (i "Termini") e ne fa parte integrante. In caso di conflitto tra i Termini e il presente DPA in materia di protezione dei dati, prevale il presente DPA. Il DPA si applica a ogni trattamento di dati personali effettuato da ReQurv, in qualità di responsabile del trattamento ai sensi dell'art. 28 del GDPR, per conto del Cliente nell'erogazione del Servizio (la piattaforma API di inferenza di modelli AI).

1. Oggetto e durata del trattamento

1.1. Il presente DPA disciplina il trattamento dei dati personali effettuato dal Responsabile nel fornire il Servizio al Cliente, comprendente:

• l'inferenza sui modelli AI (generazione testuale, embedding, trascrizione e generazione audio, clonazione vocale, generazione ed edizione di immagini) tramite le API del Servizio;
• la moderazione dei contenuti delle richieste da parte del modello di moderazione del Responsabile;
• la misurazione e la fatturazione dell'utilizzo (token, secondi audio, immagini, costi);
• la registrazione delle metriche di utilizzo e delle attività operative per organizzazione.

1.2. La durata del trattamento coincide con la durata del rapporto contrattuale tra le Parti. Alla cessazione del Servizio si applica l'art. 8 del presente DPA.

2. Natura e finalità del trattamento

I contenuti delle richieste (testi, immagini, audio) non sono conservati dal Responsabile: le registrazioni di utilizzo contengono esclusivamente metriche quantitative e non includono il contenuto delle richieste.

3. Tipologie di dati personali e categorie di interessati

3.1. Categorie di interessati: utenza finale delle applicazioni del Cliente e persone i cui dati personali sono inclusi nei contenuti trattati tramite il Servizio (in seguito, gli "Interessati").

3.2. Tipologie di dati:

• dati contenuti nei testi delle richieste (prompt, conversazioni, istruzioni, output degli strumenti);
• dati contenuti in immagini, audio e documenti trasmessi tramite le API;
• dati relativi alla clonazione vocale (campioni vocali e testo di riferimento), ove il Servizio sia usato per tale finalità;
• dati identificativi degli utenti delle organizzazioni del Cliente, ove inclusi nei contenuti.

3.3. Categorie particolari di dati (Art. 9): il Servizio è una piattaforma generica e il Responsabile non tratta dati particolari con finalità identificativa. Qualora i contenuti dei Clienti includano incidentalmente categorie particolari di dati, il Cliente — in qualità di titolare — è responsabile della base giuridica del relativo trattamento e della corretta informativa agli Interessati. Il Responsabile tratta tali contenuti con le medesime garanzie tecniche applicate a tutti i contenuti.

3.4. Clonazione vocale: laddove il Servizio sia utilizzato per clonare la voce di una persona, il Cliente è responsabile dell'acquisizione del consenso esplicito del soggetto (GDPR Art. 9(2)(a)) e del rispetto degli obblighi di trasparenza ed etichettatura applicabili (incluso l'Art. 50 dell'AI Act per gli audio generati che riproducono una persona). L'API del Servizio rifiuta le richieste di clonazione prive del flag di consenso.

4. Obblighi del Responsabile (Art. 28(3))

Il Responsabile s'impegna a:

(a) Trattare i dati solo su istruzione documentata del titolare. Le istruzioni documentate del Cliente sono costituite dai Termini, dal presente DPA e, per le singole richieste, dai parametri inviati tramite le API. Il Cliente è responsabile della liceità delle istruzioni.

(b) Riservatezza del personale. Tutte le persone autorizzate a trattare i dati sono vincolate all'obbligo di segretezza o a obblighi legali di riservatezza.

(c) Misure di sicurezza (Art. 32). Il Responsabile adotta le misure tecniche e organizzative descritte nell'Allegato A (Misure tecniche e organizzative), tenendole aggiornate allo stato dell'arte.

(d) Sub-responsabili (Art. 28(4)). Il Responsabile può avvalersi dei sub-responsabili elencati nell'Allegato B, previa autorizzazione generale del Cliente. Il Responsabile informa il Cliente con preavviso di almeno 30 giorni in caso di sostituzione o aggiunta di sub-responsabili, e il Cliente può opporsi motivatamente entro 15 giorni dal ricevimento dell'avviso. In caso di opposizione insormontabile, il Cliente può recedere dal Servizio con preavviso di 30 giorni senza penali. Il Responsabile impone a ogni sub-responsabile gli obblighi di protezione dei dati equivalenti a quelli del presente DPA.

(e) Diritti degli Interessati (Artt. 15-22). Il Responsabile assiste il Titolare, tenuto conto della natura del trattamento, nell'adempimento degli obblighi di rispondere alle richieste degli Interessati. Il Cliente trasmette al Responsabile le richieste entro l'indirizzo privacy@requrv.io con riferimento all'organizzazione interessata. Il Responsabile risponde a ogni richiesta compatibile con l'architettura del Servizio (in particolare: i contenuti delle richieste non sono conservati e non sono pertanto oggetto di accesso; le metriche di utilizzo sono consultabili e, su richiesta, cancellabili).

(f) Sicurezza, DPIA e consultazione preventiva (Artt. 32-36). Il Responsabile assiste il Titolare, quando ragionevolmente richiesto, in materia di sicurezza, nella Valutazione d'impatto (DPIA) e nella consultazione preventiva dell'autorità di controllo. La DPIA del sistema ReQurv è pubblicata alla pagina "DPIA" del sito e resta a disposizione del Cliente.

(g) Cancellazione o restituzione dei dati (Art. 28(3)(g)). Alla cessazione del Servizio, il Responsabile cancella i dati personali trattati per conto del Cliente, con le seguenti precisazioni derivanti dall'architettura del Servizio:

• i contenuti delle richieste non sono conservati e non richiedono cancellazione;
• le metriche di utilizzo e i registri di fatturazione del Cliente vengono cancellati entro 30 giorni dalla cessazione, salvo diverse esigenze derivanti da obblighi di conservazione di natura fiscale o contabile (in tal caso i dati pertinenti sono isolati e trattati esclusivamente per tale finalità);
• i campioni vocali caricati tramite il Servizio vengono rimossi dagli archivi alla cancellazione della voce associata o, in ogni caso, entro 30 giorni dalla cessazione del Servizio.

(h) Controlli e audit (Art. 28(3)(h)). Il Responsabile contribuisce agli audit condotti dal Titolare o da un auditor da questi incaricato. Gli audit sono effettuati tramite questionari strutturati, report di sicurezza e documentazione (inclusa la DPIA pubblicata); audit in presenza o su infrastruttura sono concordati per iscritto, con preavviso di 30 giorni e nel rispetto della sicurezza e della confidenzialità del Servizio.

5. Violazioni dei dati personali (Artt. 33-34)

5.1. In caso di violazione dei dati personali che riguardi dati trattati per conto del Cliente, il Responsabile ne dà notizia al Titolare senza indebito ritardo e comunque non oltre 48 ore dalla conferma dell'evento, fornendo: natura della violazione, categorie e numeri approssimativi di Interessati e di records interessati, misure adottate o proposte, e punto di contatto del Responsabile.

5.2. Il Responsabile adotta misure per mitigare gli effetti negativi della violazione e coopera con il Titolare per l'adempimento degli obblighi di notifica all'autorità di controllo e di comunicazione agli Interessati, fornendo le informazioni ragionevolmente richieste.

6. Trasferimenti di dati fuori dall'Unione Europea

6.1. L'intero trattamento dei contenuti delle richieste (inferenza e moderazione) avviene esclusivamente su infrastruttura self-hosted situata nell'Unione Europea: nessun contenuto AI lascia il perimetro ReQurv.

6.2. I soli trasferimenti extra-UE riguardano i dati di fatturazione trattati dal sub-responsabile Stripe (Stati Uniti), garantiti dallo Standard Contractual Clauses (SCC) della Commissione Europea e dal Data Processing Agreement con Stripe. L'elenco completo dei sub-responsabili e delle relative sedi è nell'Allegato B.

7. Responsabilità

La responsabilità delle Parti per i danni derivanti dalla violazione degli obblighi in materia di protezione dei dati è disciplinata dai Termini. Nulla nel presente DPA limita la responsabilità del Responsabile per i fatti del proprio personale o dei propri sub-responsabili (Art. 82 GDPR).

8. Disposizioni finali

8.1. Il presente DPA è redatto in conformità all'allegato al modello d'accordo del Garante per la protezione dei dati personali e alla giurisprudenza e prassi applicativa del GDPR.

8.2. In caso di invalidità di una singola clausola, le restanti disposizioni restano efficaci.

8.3. Il presente DPA è disponibile in italiano e in inglese.

Allegato A — Misure tecniche e organizzative (Art. 32 GDPR)

Allegato B — Sub-responsabili e sedi del trattamento

Infrastruttura propria del Responsabile (non costituisce sub-responsabile): server di applicazione, database (Postgres), cache (Redis), infrastruttura di inferenza AI — tutti situati nel perimetro ReQurv.

Il Responsabile comunica ogni modifica all'elenco di cui al presente Allegato B con le modalità indicate all'art. 4, lettera (d).