Accordo sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR

Allegato ai Termini e Condizioni del Servizio Rilvo Coworker

Ultimo aggiornamento: 13 ottobre 2026

1. Parti e ambito

1.1. Il presente Accordo sul trattamento dei dati (l'”Accordo”) è concluso tra:

il Cliente che ha sottoscritto il Servizio Rilvo Coworker, in qualità di titolare del trattamento (il “Titolare”); e
S.C. Asperitas Solutions S.A., società di diritto rumeno con sede legale in Aleea Cioplea nr. 14, parter, cam. 1, Brașov, Romania, Nr. Reg. Com. J8/985/2017, CUI/Partita IVA RO37465749, contatto privacy: privacy@rilvo.net, in qualità di responsabile del trattamento (“Rilvo” o il “Responsabile”).

1.2. L’Accordo è un allegato ai Termini e Condizioni del Servizio Rilvo Coworker (i “Termini”) e forma parte integrante del Contratto. I termini con iniziale maiuscola non definiti qui hanno il significato indicato nei Termini; i termini “dati personali”, “trattamento”, “interessato”, “violazione dei dati personali” e simili hanno il significato previsto dal Regolamento (UE) 2016/679 (“GDPR”).

1.3. L’Accordo si applica ai dati personali che Rilvo tratta per conto del Cliente nell’erogazione del Servizio. Non si applica ai dati che Rilvo tratta come titolare (ad esempio dati dei referenti del Cliente, fatturazione e pagamenti), per i quali vale l’Informativa sulla privacy di Rilvo.

1.4. Per le materie di protezione dei dati personali, in caso di contrasto l’Accordo prevale sui Termini.

2. Oggetto, durata, natura e finalità del trattamento

2.1. Oggetto. Trattamento dei dati personali necessario per erogare il Servizio Rilvo Coworker, come descritto nei Termini e nell’Allegato A.

2.2. Natura e finalità. Gestione del “collega digitale” per conto del Cliente: lettura e redazione di messaggi, preparazione di bozze e preventivi, follow-up, smistamento delle richieste in arrivo, promemoria e scadenze, organizzazione di documenti, all’interno degli strumenti del Cliente e tramite Telegram, Slack, Discord e gli altri strumenti che il Cliente collega al Servizio. Le operazioni comprendono raccolta, consultazione, organizzazione, strutturazione, conservazione, elaborazione anche con sistemi di intelligenza artificiale, comunicazione su istruzione del Cliente e cancellazione.

2.3. Durata. L’Accordo ha la stessa durata del Contratto. Dopo la cessazione resta efficace fino alla restituzione o cancellazione dei dati prevista dall’art. 11 (entro il termine indicato all’art. 17.2 dei Termini).

2.4. Le categorie di interessati e di dati personali sono indicate nell’Allegato A.

3. Istruzioni del Titolare

3.1. Rilvo tratta i dati personali soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso Paesi terzi, salvo che lo richieda il diritto dell’Unione o dello Stato membro cui Rilvo è soggetta; in tal caso Rilvo informa il Cliente prima del trattamento, salvo che la legge lo vieti.

3.2. Costituiscono istruzioni documentate: i Termini, il presente Accordo, le configurazioni e le regole di approvazione concordate in fase di attivazione e le richieste successive del Cliente inviate per iscritto (anche tramite i canali del Servizio).

3.3. Rilvo informa senza ritardo il Cliente se ritiene che un’istruzione violi il GDPR o altre norme sulla protezione dei dati, e può sospenderne l’esecuzione fino a conferma o modifica.

4. Obblighi del Titolare

4.1. Il Cliente garantisce di avere una base giuridica valida per i trattamenti affidati a Rilvo, di aver fornito agli interessati le informazioni necessarie e di mettere a disposizione del Servizio solo i dati necessari.

4.2. Il Cliente non deve conferire al Servizio categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR), salvo previo accordo scritto separato con Rilvo che definisca misure adeguate.

4.3. Il Cliente concede al Servizio solo gli accessi e i permessi necessari sui propri strumenti e resta responsabile della verifica e approvazione delle azioni proposte dal Servizio, come previsto dai Termini.

5. Riservatezza del personale

Rilvo garantisce che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza, abbiano ricevuto istruzioni adeguate e accedano ai dati solo nella misura necessaria per erogare il Servizio o fornire supporto.

6. Sicurezza del trattamento

6.1. Rilvo adotta le misure tecniche e organizzative adeguate previste dall’art. 32 GDPR, descritte nell’Allegato B, tenendo conto dello stato dell’arte, dei costi, della natura del trattamento e dei rischi per gli interessati.

6.2. Rilvo può aggiornare le misure nel tempo, a condizione che il livello complessivo di sicurezza non si riduca.

7. Sub-responsabili

7.1. Il Cliente concede a Rilvo un’autorizzazione scritta generale a ricorrere ai sub-responsabili indicati nell’Allegato C e ad altri sub-responsabili secondo il presente articolo.

7.2. Rilvo informa il Cliente per email di ogni aggiunta o sostituzione di sub-responsabili con almeno 15 giorni di preavviso. Il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati entro tale termine. Se le Parti non trovano una soluzione, il Cliente può recedere dal Contratto senza costi prima che la modifica abbia effetto; questo è l’unico rimedio previsto in caso di opposizione.

7.3. Rilvo impone ai sub-responsabili, con un contratto scritto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo e resta responsabile nei confronti del Cliente del loro adempimento.

7.4. I canali e gli strumenti che il Cliente collega al Servizio (ad esempio Telegram, Slack, Discord, la casella email o il gestionale del Cliente) sono fornitori scelti dal Cliente e con cui il Cliente ha un proprio rapporto: non sono sub-responsabili di Rilvo, salvo che sia Rilvo a contrattarli per l’erogazione del Servizio.

7.5. Lo stesso vale, nel piano “Rilvo Coworker con il tuo account AI” previsto dai Termini, per il fornitore di modelli di intelligenza artificiale con cui il Cliente ha un contratto diretto (ad esempio OpenAI o Anthropic). In questo piano Rilvo invia le richieste ai modelli tramite l’account e la chiave API del Cliente, su istruzione del Cliente; il fornitore tratta i dati in base al contratto tra il Cliente e il fornitore e non è un sub-responsabile di Rilvo. Il Cliente è responsabile delle condizioni di tale fornitore, compresi l’accordo sul trattamento dei dati, le garanzie per eventuali trasferimenti fuori dallo SEE e le impostazioni sull’uso dei dati, nonché dei relativi costi.

8. Trasferimenti fuori dallo Spazio economico europeo

8.1. Rilvo trasferisce dati personali verso Paesi fuori dallo SEE solo se è presente una garanzia prevista dal Capo V del GDPR, in particolare: una decisione di adeguatezza (compreso l’EU-U.S. Data Privacy Framework per i destinatari certificati) oppure clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR), con eventuali misure supplementari.

8.2. I trasferimenti previsti sono indicati nell’Allegato C. I trasferimenti effettuati dal fornitore AI scelto dal Cliente nel piano “Rilvo Coworker con il tuo account AI” sono regolati dal contratto tra il Cliente e quel fornitore (art. 7.5).

8.3. Solo su richiesta del Cliente, Rilvo può configurare il Servizio per utilizzare esclusivamente modelli di intelligenza artificiale trattati nell’Unione europea, tramite un contratto diretto con un fornitore europeo (ad esempio Mistral AI, Francia). In tal caso non si utilizzano i modelli di OpenAI e Anthropic indicati nell’Allegato C. L’opzione può comportare differenze di funzionalità o di prezzo, concordate prima dell’attivazione.

9. Assistenza al Titolare

9.1. Tenendo conto della natura del trattamento, Rilvo assiste il Cliente con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati che esercitano i diritti previsti dagli artt. 15-22 GDPR. Se Rilvo riceve direttamente una richiesta, la inoltra al Cliente senza ritardo e non risponde nel merito senza istruzioni.

9.2. Rilvo assiste il Cliente, in base alle informazioni di cui dispone, nell’adempimento degli obblighi degli artt. 32-36 GDPR (sicurezza, notifica e comunicazione di violazioni, valutazione d’impatto e consultazione preventiva).

9.3. L’assistenza prevista dal presente articolo è fornita senza costi aggiuntivi entro limiti ragionevoli. Le attività di assistenza onerose o ripetute possono essere addebitate separatamente, a condizioni concordate preventivamente, salvo che siano dovute a un inadempimento di Rilvo.

10. Violazioni dei dati personali

10.1. Rilvo notifica al Cliente ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza.

10.2. La notifica contiene, per quanto disponibile: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, il contatto presso Rilvo, le probabili conseguenze e le misure adottate o proposte. Le informazioni non disponibili subito sono fornite in seguito, senza ulteriore ritardo.

10.3. Rilvo adotta senza ritardo le misure ragionevoli per contenere la violazione e attenuarne gli effetti, e collabora con il Cliente. La notifica non costituisce ammissione di responsabilità.

11. Restituzione e cancellazione dei dati

11.1. Alla cessazione del Contratto Rilvo cessa il trattamento dei dati del Cliente, salvo quanto necessario per la restituzione o la cancellazione.

11.2. Su richiesta del Cliente presentata entro 30 giorni dalla cessazione (art. 17.2 dei Termini), Rilvo restituisce i dati in un formato di uso comune e leggibile da dispositivo automatico. Decorso tale termine, Rilvo cancella i dati personali del Cliente, comprese le copie, salvo che il diritto dell’Unione o dello Stato membro ne richieda la conservazione. Le copie di backup sono cancellate secondo il normale ciclo di rotazione, entro 30 giorni.

11.3. Su richiesta, Rilvo conferma per iscritto l’avvenuta cancellazione.

12. Informazioni e verifiche

12.1. Rilvo mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR, ad esempio una descrizione aggiornata delle misure di sicurezza e l’elenco dei sub-responsabili.

12.2. Il Cliente, direttamente o tramite un revisore indipendente vincolato alla riservatezza, può svolgere verifiche, comprese ispezioni, con un preavviso scritto ragionevole di almeno 30 giorni, durante l’orario lavorativo e senza compromettere la sicurezza o la riservatezza dei dati di altri clienti. Le verifiche si svolgono al massimo una volta all’anno, salvo in caso di violazione dei dati personali o di richiesta di un’autorità di controllo, e i relativi costi sono a carico del Cliente.

12.3. Le verifiche presso i sub-responsabili si basano, di regola, sulle certificazioni e sui report che questi mettono a disposizione.

13. Divieto di uso dei dati per addestramento

Rilvo non utilizza i dati personali del Cliente, né i contenuti trattati per suo conto, per addestrare o migliorare modelli di intelligenza artificiale propri o di terzi. Rilvo utilizza i modelli di OpenAI e Anthropic direttamente tramite API, con le proprie chiavi API e i propri account business, le cui condizioni escludono l’uso dei dati dei clienti per l’addestramento (Allegato C). Rilvo non attiva opzioni di condivisione dei dati per l’addestramento, non invia feedback ai fornitori di modelli e non utilizza modelli sperimentali o in anteprima i cui termini prevedono l’addestramento sui dati. Nel piano “Rilvo Coworker con il tuo account AI” l’uso dei dati da parte del fornitore è regolato dal contratto e dalle impostazioni dell’account del Cliente (art. 7.5); Rilvo non invia comunque feedback al fornitore tramite l’account del Cliente.

14. Responsabilità

La responsabilità delle Parti derivante dal presente Accordo è regolata dall’art. 18 dei Termini, fermo restando quanto previsto dall’art. 82 GDPR nei confronti degli interessati e dalle norme imperative applicabili.

15. Legge applicabile e foro competente

L’Accordo è regolato dalla legge rumena. Per ogni controversia sono competenti in via esclusiva i tribunali competenti di Brașov, Romania, in conformità all’art. 24 dei Termini.

Allegato A – Interessati e categorie di dati

Categorie di interessati:

personale del Cliente (dipendenti, collaboratori, titolari);
clienti e potenziali clienti del Cliente;
fornitori e partner del Cliente;
altri contatti che compaiono nelle comunicazioni e nei documenti del Cliente.

Categorie di dati personali:

dati di contatto e identificativi (nome, ruolo, azienda, email, telefono, indirizzo);
contenuto delle comunicazioni (email, messaggi, note);
dati commerciali (richieste, preventivi, ordini, condizioni, scadenze, appuntamenti);
documenti e relativi contenuti messi a disposizione dal Cliente;
dati tecnici legati all’uso del Servizio (log delle azioni, approvazioni, identificativi degli account collegati).

Categorie particolari di dati: non previste. Il Cliente non deve conferirle salvo accordo scritto separato (art. 4.2).

Allegato B – Misure tecniche e organizzative

Infrastruttura: il Servizio è eseguito su un server privato virtuale (VPS) dedicato a ciascun Cliente, fornito da Hetzner Online GmbH in data center situati in Germania (UE). I dati di ciascun Cliente risiedono sul rispettivo VPS, isolato da quelli degli altri clienti.
Isolamento di rete e accesso amministrativo: ogni VPS è collegato a una rete privata Tailscale, basata sul protocollo WireGuard e cifrata end-to-end; l’accesso amministrativo ai VPS avviene esclusivamente attraverso tale rete privata (VPN Tailscale); l’accesso SSH non è esposto sull’interfaccia pubblica.
Accessi minimi: il Servizio usa solo gli accessi e i permessi necessari sugli strumenti del Cliente, concordati in fase di attivazione.
Approvazione umana: il Servizio può essere configurato per chiedere l’approvazione del Cliente prima di azioni sensibili o irreversibili (ad esempio invio a terzi, cancellazioni); il Cliente decide per quali azioni.
Controllo degli accessi: accesso amministrativo limitato al personale autorizzato di Rilvo, con credenziali personali, autenticazione tramite chiavi SSH e autenticazione a più fattori.
Cifratura: cifratura dei dati in transito (TLS; per l’accesso amministrativo, rete WireGuard/Tailscale) e cifratura del disco del VPS.
Backup: backup giornalieri, conservati per 30 giorni.
Registrazione: log delle azioni svolte dal Servizio e degli accessi amministrativi, conservati per 30 giorni e consultabili dal Cliente su richiesta.
Aggiornamenti e vulnerabilità: aggiornamento regolare del sistema operativo e dei componenti software; le patch di sicurezza critiche sono applicate il prima possibile.
Separazione: ogni Cliente dispone di un VPS dedicato; i dati di clienti diversi non risiedono sulla stessa macchina.
Organizzazione: istruzioni e obblighi di riservatezza per il personale; procedura di gestione delle violazioni dei dati.

Allegato C – Sub-responsabili autorizzati

Sub-responsabile	Servizio	Paese / sede del trattamento	Garanzie per il trasferimento
Hetzner Online GmbH	Hosting del VPS dedicato su cui opera il Servizio	Germania (UE)	Non necessarie (trattamento nell’UE)
OpenAI Ireland Ltd (con trattamento da parte di OpenAI OpCo, LLC e altre affiliate)	Modelli di intelligenza artificiale, utilizzati direttamente tramite API, con le chiavi API, l’account e il contratto API di Rilvo	Irlanda / Stati Uniti	Clausole contrattuali standard previste dal DPA di OpenAI
Anthropic Ireland, Limited (con trattamento da parte di Anthropic, PBC)	Modelli di intelligenza artificiale, utilizzati direttamente tramite API, con le chiavi API, l’account e il contratto API di Rilvo	Irlanda / Stati Uniti	Clausole contrattuali standard (Moduli 2 e 3) previste dal DPA di Anthropic
Mistral AI SAS	Modelli di intelligenza artificiale, solo se il Cliente richiede il trattamento esclusivamente nell’UE (art. 8.3), con contratto diretto, attivato solo su richiesta	Francia / UE (endpoint UE); anche i sub-responsabili di Mistral AI trattano i dati solo nell’UE	Non necessarie: il trattamento avviene solo nell’UE
Google Cloud EMEA Limited (Velasco, Clanwilliam Place, Dublino 2, Irlanda), con trattamento anche da parte di Google LLC (Google Workspace)	Posta elettronica aziendale di Rilvo, usata per le comunicazioni con il Cliente, che possono contenere dati personali trattati per conto del Cliente	UE e Stati Uniti / altri Paesi in cui Google opera	EU-U.S. Data Privacy Framework (Google LLC certificata) e clausole contrattuali standard previste dal Cloud Data Processing Addendum di Google

Piano “Rilvo Coworker con il tuo account AI”. In questo piano i modelli di OpenAI e Anthropic non sono utilizzati tramite l’account di Rilvo: il Cliente li utilizza tramite il proprio account e il proprio contratto diretto con il fornitore, che è un fornitore del Cliente e non un sub-responsabile di Rilvo (art. 7.5). Le condizioni del fornitore, comprese quelle sull’uso dei dati e sui trasferimenti, e i relativi costi sono a carico del Cliente. Gli altri sub-responsabili indicati sopra restano invariati.

Uso dei dati da parte dei fornitori di modelli di intelligenza artificiale (secondo le condizioni pubblicate dai fornitori, verificate l’8 ottobre 2026):

OpenAI (API): i dati inviati all’API non sono usati per addestrare i modelli, salvo adesione esplicita (opt-in). I log di monitoraggio degli abusi, che possono contenere input e output, sono conservati fino a 30 giorni, salvo obblighi di legge o necessità di prevenire danni.
Anthropic (API): le condizioni commerciali vietano ad Anthropic di addestrare modelli sui contenuti del cliente. Input e output sono cancellati entro 30 giorni, salvo conservazione più lunga per far rispettare la Usage Policy (fino a 2 anni per i contenuti segnalati dai sistemi automatici di sicurezza) o per obblighi di legge.
Mistral AI (API a pagamento): i dati del cliente non sono usati per l’addestramento, salvo adesione (opt-in), invio di feedback o uso di modelli Labs/Preview.