Accordo sul trattamento dei dati personali

Versione 1.2 · in vigore dal 21 settembre 2026

Servizio [H]AIdafare — art. 28 del Regolamento (UE) 2016/679. Integra le Condizioni generali e si accetta contestualmente ad esse.

Chi tratta i dati, e dove

È l'elenco dell'Allegato B, che l'art. 16.4 delle Condizioni impone di tenere pubblicato. Le variazioni sono comunicate con trenta giorni di preavviso.

• Railway

  Infrastruttura applicativa e database.

  Amsterdam, Paesi Bassi (società statunitense) · Sempre.

• Resend

  Invio delle email di servizio: inviti, reimpostazione delle password, avvisi.

  Infrastruttura europea (società statunitense) · Sempre.

• Anthropic

  Elaborazione del testo della conversazione e del contesto aziendale per generare le risposte dell'assistente.

  Stati Uniti · Solo se il Cliente utilizza l'assistente scritto.

• OpenAI

  Elaborazione dell'audio della conversazione e del contesto aziendale per generare la risposta parlata.

  Stati Uniti · Solo se il Cliente utilizza l'assistente a voce.

Il fornitore che incassa gli abbonamenti non è in questo elenco: tratta i dati di pagamento come titolare autonomo e i dati della carta non passano dai nostri sistemi (art. 8 del presente accordo).

Servizio [H]AIdafare — art. 28 del Regolamento (UE) 2016/679

Versione 1.2 — in vigore dal 21 settembre 2026

Il presente accordo integra le Condizioni generali di contratto e d'uso del Servizio (art. 3 e art. 16.3) e si accetta contestualmente ad esse.

1. Definizioni e gerarchia dei documenti

I termini «dato personale», «trattamento», «titolare del trattamento», «responsabile del trattamento», «sub-responsabile», «interessato» e «violazione dei dati personali» hanno il significato di cui all'art. 4 del Regolamento (UE) 2016/679 («GDPR»).

«Condizioni» indica le Condizioni generali di contratto e d'uso del Servizio; «Contenuti del Cliente» ha il significato ivi definito; «Servizio» indica la piattaforma [H]AIdafare accessibile all'indirizzo haidafare.it.

In caso di contrasto prevalgono, nell'ordine: (i) le clausole contrattuali tipo applicabili ai trasferimenti verso paesi terzi; (ii) il presente accordo; (iii) le Condizioni. Per quanto non espressamente previsto si rinvia alle Condizioni.

2. Parti, ruoli e oggetto

Titolare del trattamento: il Cliente, ossia l'impresa, il professionista o l'ente che sottoscrive l'abbonamento al Servizio.

Responsabile del trattamento: Grace & Partners S.r.l., Via Armando Diaz angolo Via R. Caputo n. 2, 73039 Tricase (LE), C.F. e P. IVA 04843880750.

Oggetto: il trattamento dei dati personali contenuti nei Contenuti del Cliente, effettuato dal Responsabile per erogare il Servizio.

Recapito per le comunicazioni relative al presente accordo: privacy@haidafare.it.

2.1 Distinzione dei ruoli

Grace & Partners agisce in due qualità distinte:

• come titolare autonomo, per i dati relativi alla gestione dell'account, del rapporto contrattuale e degli adempimenti amministrativi e fiscali (art. 15 delle Condizioni), trattati secondo la propria informativa privacy;
• come responsabile del trattamento, per i dati personali che il Cliente inserisce nella piattaforma, trattati secondo il presente accordo.

I due rapporti sono autonomi e restano disciplinati da fonti diverse.

2.2 Partner commerciali

Quando l'abbonamento è sottoscritto tramite un partner o rivenditore, titolare del trattamento resta il Cliente. I partner commerciali non sono sub-responsabili del trattamento e non accedono ai Contenuti del Cliente.

3. Durata

Il trattamento ha inizio con l'attivazione dell'account e si protrae per tutta la durata del contratto. Alla cessazione si applica l'art. 10.

Gli obblighi di riservatezza di cui all'art. 7 e gli obblighi di assistenza relativi a fatti verificatisi nel corso del contratto sopravvivono alla sua cessazione.

4. Natura e finalità del trattamento

Il Responsabile tratta i dati personali esclusivamente per:

• erogare le funzioni della piattaforma: registro dei sistemi di intelligenza artificiale, valutazioni, azioni, documenti, formazione, monitoraggio e assistente;
• garantire la sicurezza, la continuità e la manutenzione tecnica del Servizio;
• adempiere agli obblighi di legge applicabili al Responsabile.

Il Responsabile non tratta i dati del Cliente per finalità proprie e non li comunica a terzi al di fuori di quanto previsto dall'art. 8.

Il Responsabile non utilizza, e non consente che i propri sub-responsabili utilizzino, i dati personali contenuti nei Contenuti del Cliente per l'addestramento di modelli di intelligenza artificiale. A tal fine il Responsabile mantiene i propri rapporti con i fornitori di modelli su piani commerciali che escludono contrattualmente l'uso degli input e degli output per finalità di addestramento, e ne verifica la configurazione a ogni variazione di piano o di fornitore.

La natura, le finalità, i tipi di dati e le categorie di interessati sono dettagliati nell'Allegato A.

5. Categorie particolari di dati

Il Servizio non è progettato per il trattamento delle categorie particolari di dati personali di cui all'art. 9 GDPR né dei dati relativi a condanne penali e reati di cui all'art. 10 GDPR.

Il Cliente si obbliga a non inserirli nella piattaforma, salvo diverso accordo scritto preventivo con il Responsabile che ne definisca finalità, misure aggiuntive e durata.

Coerentemente, e in attuazione dell'art. 14 delle Condizioni, la piattaforma è progettata perché il Cliente descriva categorie di dati anziché caricare elenchi di persone.

6. Istruzioni documentate

Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso un paese terzo, salvo che vi sia tenuto per obbligo di legge; in tal caso ne informa il Titolare prima del trattamento, a meno che la legge lo vieti per rilevanti motivi di interesse pubblico.

Costituiscono istruzione documentata: il presente accordo e le Condizioni, le configurazioni scelte dal Cliente nella piattaforma e le richieste inviate per iscritto al recapito indicato all'art. 2.

Qualora un'istruzione appaia in contrasto con la normativa applicabile in materia di protezione dei dati, il Responsabile ne informa immediatamente il Titolare e può sospendere l'esecuzione di quella specifica istruzione fino a chiarimento, senza che ciò costituisca inadempimento.

La verifica della liceità delle finalità perseguite e dell'idoneità della base giuridica resta di competenza esclusiva del Titolare.

7. Riservatezza e persone autorizzate

Accedono ai dati personali soltanto le persone autorizzate dal Responsabile, vincolate a un obbligo di riservatezza di natura contrattuale o legale e istruite sul trattamento.

L'accesso del personale del Responsabile ai dati di un'organizzazione cliente è subordinato a un'abilitazione esplicita sull'account e avviene tramite una console separata dall'applicazione utilizzata dai clienti, che registra ogni operazione compiuta.

L'abilitazione è concessa su autorizzazione scritta dell'organo amministrativo del Responsabile, a persone nominativamente individuate e limitatamente alle finalità di assistenza, manutenzione e sicurezza. L'elenco delle persone abilitate è mantenuto aggiornato ed è riesaminato con cadenza almeno semestrale. L'abilitazione è revocata contestualmente alla cessazione del rapporto o del ruolo che la giustificava.

8. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a ricorrere ai sub-responsabili elencati nell'Allegato B, pubblicato e aggiornato all'indirizzo haidafare.it/dpa.

Il Responsabile impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati non meno onerosi di quelli assunti con il presente accordo, e risponde del loro operato come del proprio.

Le variazioni dell'elenco sono comunicate al Cliente con un preavviso di 30 giorni, entro i quali il Cliente può opporsi per motivi ragionevoli e documentati. In caso di mancato accordo il Cliente può recedere senza oneri, ai sensi dell'art. 16.4 delle Condizioni.

Il fornitore dei servizi di incasso dell'abbonamento tratta i dati di pagamento in qualità di titolare autonomo e non per conto del Responsabile; i dati della carta non transitano dai sistemi del Servizio. Non è pertanto un sub-responsabile ai sensi del presente articolo.

9. Trasferimenti verso paesi terzi

I dati della piattaforma — registro dei sistemi, valutazioni, documenti, referenti e cronologia delle attività — risiedono nell'Unione europea.

I dati escono dall'Unione europea soltanto in due casi, entrambi attivati dal Cliente mediante l'uso delle funzioni di assistente: l'assistente scritto e l'assistente a voce. In tali casi il trasferimento riguarda il testo o l'audio della conversazione e il contesto aziendale necessario a generare la risposta. Il Cliente può escludere ogni trasferimento verso paesi terzi non utilizzando tali funzioni.

I trasferimenti verso paesi terzi sono fondati sulle clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914, incorporate negli accordi stipulati con i rispettivi fornitori, unitamente alle misure supplementari eventualmente necessarie.

Il paese di trattamento di ciascun sub-responsabile è indicato nell'Allegato B.

10. Cancellazione e restituzione dei dati

10.1 Esportazione

In qualunque momento, per tutta la durata del contratto, il Cliente può esportare l'intero contenuto della propria organizzazione in un unico file: profilo, referenti, membri, sistemi di intelligenza artificiale, valutazioni con le relative risposte, decisioni, red flag, azioni con le evidenze, documenti con tutte le versioni, revisioni, persone e formazione, scansioni del sito, eventi di monitoraggio e cronologia completa delle attività.

10.2 Cancellazione richiesta dal Cliente in corso di contratto

La cancellazione dell'organizzazione può essere richiesta esclusivamente da un utente con ruolo *owner*, mediante conferma esplicita che richiede la digitazione per esteso del nome dell'organizzazione.

La cancellazione si perfeziona decorsi sette giorni dalla richiesta, entro i quali resta revocabile dal Cliente.

10.3 Cessazione del contratto

Alla cessazione del contratto si applica l'art. 17.4 delle Condizioni: l'accesso al Servizio è disattivato, i contenuti restano esportabili per 30 giorni e sono cancellati definitivamente decorsi ulteriori 30 giorni, fatti salvi gli obblighi di conservazione previsti dalla legge.

10.4 Rapporto fra i termini

I termini di cui ai punti 10.2 e 10.3 disciplinano situazioni distinte: i sette giorni costituiscono un termine di ripensamento su una cancellazione richiesta dal Cliente mentre il Servizio è attivo; i termini di 30 + 30 giorni decorrono dalla cessazione del contratto e sono destinati, rispettivamente, al recupero dei dati e alla loro cancellazione definitiva.

Qualora una richiesta di cancellazione ai sensi del punto 10.2 sia pendente al momento della cessazione del contratto, si applica il termine più breve.

10.5 Copie di sicurezza

I dati cancellati permangono nelle copie di sicurezza dell'infrastruttura per il periodo indicato nell'Allegato C, decorso il quale sono sovrascritti. Durante tale periodo non sono accessibili tramite il Servizio e non sono oggetto di alcun trattamento ulteriore.

11. Misure tecniche e organizzative (art. 32)

Il Responsabile adotta le misure descritte nell'Allegato C, tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche.

Il Responsabile può modificare le misure nel corso del tempo, a condizione che il livello complessivo di sicurezza non risulti inferiore a quello descritto nell'Allegato C.

12. Assistenza al Titolare

Il Responsabile assiste il Titolare, nella misura in cui la natura del trattamento lo consente e tenuto conto delle informazioni a sua disposizione.

12.1 Diritti degli interessati

Le funzioni della piattaforma consentono al Titolare di accedere ai dati, correggerli, esportarli e cancellarli autonomamente, così da riscontrare le richieste degli interessati senza necessità di intervento del Responsabile.

Qualora un interessato si rivolga direttamente al Responsabile, questi trasmette la richiesta al Titolare senza ingiustificato ritardo e non vi dà riscontro nel merito.

12.2 Sicurezza, valutazioni d'impatto e consultazione preventiva

Il Responsabile assiste il Titolare nell'adempimento degli obblighi di cui agli articoli 32, 35 e 36 GDPR, fornendo le informazioni tecniche in proprio possesso.

12.3 Violazioni dei dati personali

Il Responsabile informa il Titolare di ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza.

La comunicazione contiene le informazioni disponibili al momento in cui è resa ed è integrata dagli aggiornamenti successivi via via che gli elementi emergono. L'incompletezza delle informazioni non giustifica il ritardo della prima comunicazione.

12.4 Corrispettivo

L'assistenza è compresa nel canone. Non comportano in alcun caso oneri per il Titolare la comunicazione delle violazioni dei dati personali, il supporto alle richieste degli interessati e l'esportazione dei dati.

Le attività che eccedono l'ordinaria assistenza — in particolare le ricerche massive su contenuti liberi e il supporto ad attività di audit oltre i limiti dell'art. 13 — sono fornite dietro corrispettivo, sulla base del listino a tempo del Responsabile comunicato prima dell'avvio dell'attività.

13. Audit e informazioni

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente le attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un terzo da questi incaricato, alle seguenti condizioni:

• frequenza: una volta per anno solare, salvo il caso di una violazione dei dati personali che abbia interessato il Titolare o di una richiesta motivata di un'autorità di controllo;
• preavviso: 30 giorni, per iscritto;
• modalità: in orario lavorativo, con il minor impatto possibile sull'operatività del Servizio;
• precedenza alla documentazione: il Responsabile può riscontrare la richiesta fornendo documentazione, questionari compilati o relazioni di terzi; l'accesso in loco è ammesso quando tali elementi risultino insufficienti;
• limiti: le attività di revisione non possono riguardare dati relativi ad altri clienti, informazioni coperte da segreto industriale né infrastrutture di terzi;
• incaricato: l'eventuale terzo incaricato non deve essere un concorrente del Responsabile e deve sottoscrivere un obbligo di riservatezza;
• oneri: a carico del Titolare, salvo che la revisione accerti una non conformità sostanziale, nel qual caso restano a carico del Responsabile unitamente ai costi della relativa rimozione.

14. Responsabilità

Ciascuna parte risponde dei danni cagionati dal proprio inadempimento agli obblighi del GDPR e del presente accordo, ai sensi dell'art. 82 GDPR.

Le limitazioni di responsabilità previste dalle Condizioni si applicano anche al presente accordo, nei limiti consentiti dalla legge e senza pregiudizio per i diritti degli interessati e per i poteri delle autorità di controllo.

Il Titolare tiene indenne il Responsabile dalle conseguenze pregiudizievoli derivanti dall'inserimento nella piattaforma di dati in violazione dell'art. 5 o di dati trattati in assenza di idonea base giuridica.

15. Modifiche, legge applicabile e foro

Il Responsabile può modificare il presente accordo per adeguarlo a mutamenti normativi, a provvedimenti delle autorità di controllo o a variazioni tecniche del Servizio, con le modalità e i preavvisi previsti dalle Condizioni per le modifiche contrattuali. Le modifiche che riducono le tutele del Titolare gli attribuiscono il diritto di recedere senza oneri.

Il presente accordo è regolato dalla legge italiana. Per le controversie si applica il foro previsto dalle Condizioni.

L'accettazione avviene con le medesime modalità delle Condizioni e contestualmente ad esse.

Allegato A — Dettagli del trattamento

Oggetto: erogazione del Servizio [H]AIdafare.

Durata: la durata del contratto, salvi i termini di cui all'art. 10.

Natura e finalità: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, uso, estrazione e cancellazione dei dati personali contenuti nei Contenuti del Cliente, per le finalità di cui all'art. 4.

Frequenza: continuativa, per tutta la durata del contratto.

Categorie di interessati e tipi di dati personali:

Categorie particolari di dati: non previste, ai sensi dell'art. 5.

Allegato B — Sub-responsabili

Elenco aggiornato e pubblicato all'indirizzo haidafare.it/dpa.

Ultimo aggiornamento dell'elenco: 8 settembre 2026.

Allegato C — Misure tecniche e organizzative

Certificazioni del Responsabile. Il sistema di gestione per la sicurezza delle informazioni di Grace & Partners è certificato secondo lo standard ISO/IEC 27001; i controlli per l'uso e l'erogazione di servizi in cloud sono certificati secondo lo standard ISO/IEC 27017, che integra il precedente. Le certificazioni riguardano l'organizzazione e i processi del Responsabile e non si estendono ai sub-responsabili dell'Allegato B, che rispondono delle proprie. Gli estremi dei certificati sono disponibili su richiesta al recapito indicato all'art. 2; l'elenco aggiornato è pubblicato all'indirizzo gracepartners.it/certificazioni. Ai sensi dell'art. 13 costituiscono documentazione idonea a riscontrare una richiesta di revisione.

Separazione fra clienti. Ogni riga di dati riporta l'identificativo dell'organizzazione di appartenenza e l'accesso ai dati passa da un unico punto che applica automaticamente il filtro per organizzazione: nessuna interrogazione può raggiungere i dati di un altro cliente per omissione. Il vincolo è verificato da test automatici che impediscono l'introduzione di modelli di dati non conformi alla regola.

Controllo degli accessi. Quattro ruoli con permessi distinti; ogni operazione verifica il permesso corrispondente. Gli utenti esterni a un'organizzazione non ne rilevano l'esistenza.

Credenziali. Le password sono conservate esclusivamente in forma di hash (bcrypt). I link di invito e di reimpostazione della password sono conservati in forma di hash, hanno scadenza e sono utilizzabili una sola volta.

Tracciabilità. Ogni operazione rilevante genera una registrazione non modificabile contenente autore, momento, valore precedente e valore nuovo. Le operazioni compiute dal personale del Responsabile sono registrate separatamente.

Accesso del personale del Responsabile. Subordinato a un'abilitazione esplicita sull'account, esercitato tramite una console separata dall'applicazione dei clienti e integralmente registrato, secondo la procedura di cui all'art. 7.

Sicurezza delle comunicazioni. Tutte le comunicazioni avvengono su protocollo HTTPS.

Minimizzazione fin dalla progettazione. La piattaforma richiede la descrizione di categorie di dati in luogo di elenchi nominativi di persone. La console interna del Responsabile espone dati numerici e non contenuti: chi presta assistenza a un cliente rileva quanti sistemi siano stati registrati, non quali.

Assistente basato su intelligenza artificiale. Non esegue alcuna modifica ai dati senza una conferma esplicita dell'utente; nella modalità a voce non esegue modifiche in alcun caso.

Copie di sicurezza. I dati sono oggetto di copie di sicurezza gestite dal fornitore dell'infrastruttura, secondo tre pianificazioni: giornaliera, conservata 6 giorni; settimanale, conservata 27 giorni; mensile, conservata 89 giorni. Il periodo massimo di permanenza di un dato in una copia è pertanto di 89 giorni, decorsi i quali la copia è sovrascritta. È inoltre attivo il recupero a un istante preciso, che consente di riportare il database a un momento determinato entro la finestra di copertura.

Grace & Partners S.r.l. — [H]AIdafare · DPA versione 1.2