Accordo sul Trattamento dei Dati Personali (DPA)

Nomina a Responsabile del trattamento ai sensi dell'art. 28 del Reg. (UE) 2016/679 (GDPR). Allegato alle Condizioni Generali di Fornitura del Servizio AviAste.

Tra il Titolare del trattamento: il Cliente, come identificato nell'Account creato in fase di registrazione nella Piattaforma; e il Responsabile del trattamento: Studio Legale Avv. Michelina D'Aniello con sede in Via delle Palme 16, 80017 Melito di Napoli (NA), P.IVA 03510911211, PEC michelinadaniello@avvocatinapoli.legalmail.it, fornitrice del software "AviAste" (di seguito il "Responsabile" o "Fornitore").

Referente del Responsabile per la protezione dei dati: nicola.cecere@aviaste.ai.

1. Oggetto e ruoli

1.1. Il presente Accordo disciplina il trattamento dei dati personali effettuato dal Responsabile per conto del Titolare nell'ambito della fornitura del Servizio AviAste, ai sensi dell'art. 28 GDPR, e costituisce parte integrante delle Condizioni Generali di Fornitura.

1.2. Il Cliente agisce quale Titolare del trattamento dei dati personali dei propri clienti e dei soggetti contenuti nei documenti caricati. Il Fornitore agisce quale Responsabile del trattamento.

2. Oggetto, durata, natura e finalità del trattamento

2.1. Natura e finalità: il trattamento ha la finalità esclusiva di consentire l'erogazione del Servizio (estrazione e strutturazione dei dati di procedura, analisi documentale con segnalazione delle criticità, assistente AI, precompilazione dei moduli d'offerta, conservazione e gestione delle aste e dei clienti del Titolare).

2.2. Durata: il trattamento ha la durata del Contratto di fornitura, comprensiva dell'eventuale Periodo di Prova, oltre al periodo di conservazione di cui all'art. 8.

3. Categorie di interessati e di dati

3.1. Interessati: clienti del Titolare, debitori esecutati, terzi e altri soggetti i cui dati siano contenuti nei documenti caricati dal Titolare.

3.2. Categorie di dati: dati anagrafici e di contatto (nome, codice fiscale, indirizzo, recapiti), dati patrimoniali e relativi a immobili e procedure, nonché ogni altro dato personale contenuto nei documenti caricati dal Titolare.

3.3. Categorie particolari: i documenti di procedura possono eventualmente contenere categorie particolari di dati (art. 9 GDPR) o dati relativi a condanne penali e reati (art. 10 GDPR); il Titolare ne è consapevole e ne risponde quanto alla liceità del caricamento.

4. Obblighi del Responsabile

4.1. Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare, salvo obblighi di legge. Le presenti clausole e il Contratto costituiscono le istruzioni del Titolare.

4.2. Il Responsabile non utilizza i dati per finalità proprie e, in particolare, non li impiega per l'addestramento di propri modelli di intelligenza artificiale, salvo in forma anonima e aggregata.

4.3. Il Responsabile garantisce che le persone autorizzate al trattamento siano vincolate a un obbligo di riservatezza.

4.4. Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR (cfr. art. 7).

4.5. Il Responsabile assiste il Titolare, con misure adeguate, nel dar seguito alle richieste di esercizio dei diritti degli interessati e nell'adempimento degli obblighi di cui agli artt. 32-36 GDPR.

4.6. Il Responsabile informa il Titolare, senza ingiustificato ritardo, di ogni violazione di dati personali (data breach) di cui venga a conoscenza, fornendo le informazioni utili agli adempimenti del Titolare.

4.7. Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi del presente Accordo e consente e contribuisce ad audit ragionevoli.

5. Sub-responsabili

5.1. Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili di seguito elencati, ciascuno vincolato a obblighi di protezione dei dati equivalenti a quelli del presente Accordo:

Sub-responsabile	Finalità	Ubicazione dati	Trasferimento extra-UE
Supabase	Database e autenticazione	Unione Europea	No
Railway	Hosting backend / API	Unione Europea	No
Anthropic (Claude API)	Analisi AI dei documenti	Stati Uniti	Sì — Clausole Contrattuali Standard (SCC)
Vercel	Hosting frontend (interfaccia)	Unione Europea	No

5.2. Il Responsabile informa preventivamente il Titolare di eventuali modifiche relative all'aggiunta o sostituzione di sub-responsabili, dando al Titolare la possibilità di opporsi per motivi ragionevoli.

5.3. I trasferimenti di dati verso Paesi terzi (Stati Uniti) avvengono in presenza di garanzie adeguate ai sensi del Capo V del GDPR, in particolare mediante le Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea.

6. Trasferimenti e trattamento AI

6.1. I dati relativi al database, all'autenticazione e all'hosting del backend sono trattati su istanze ubicate nell'Unione Europea (Supabase, Railway, Vercel).

6.2. L'analisi AI dei documenti è effettuata tramite l'API di Anthropic (Claude). Il Responsabile dà atto che, secondo le condizioni d'uso dell'API a pagamento, i dati trasmessi non sono utilizzati per l'addestramento dei modelli e sono conservati per un periodo limitato ai soli fini dell'erogazione e della sicurezza del servizio.

7. Misure di sicurezza (art. 32 GDPR)

7.1. Il Responsabile adotta, tenuto conto dello stato dell'arte e dei rischi, misure adeguate, tra cui:

• controllo degli accessi tramite autenticazione e credenziali individuali;
• cifratura dei dati in transito e a riposo (ove fornita dai servizi infrastrutturali utilizzati);
• isolamento e segregazione dei dati per singolo cliente;
• backup periodici dei dati e procedure di ripristino;
• limitazione degli accessi ai soli soggetti autorizzati.

8. Cancellazione e restituzione dei dati

8.1. Alla cessazione del Contratto, a scelta del Titolare, il Responsabile cancella i dati personali caricati dal Titolare ovvero, su richiesta del Titolare formulata prima della cancellazione, glieli restituisce, salvo che la conservazione sia richiesta dal diritto dell'Unione o nazionale.

8.2. Al termine del Periodo di Prova senza Sottoscrizione, il Responsabile conserva i dati per 30 (trenta) giorni, per consentirne il recupero in caso di Sottoscrizione successiva o la restituzione su richiesta del Titolare, e quindi li cancella, conformemente all'art. 4.3 delle Condizioni Generali.

8.3. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

9. Responsabilità e varie

9.1. Per quanto non disciplinato dal presente Accordo si applicano le Condizioni Generali di Fornitura e la normativa vigente in materia di protezione dei dati personali. In caso di contrasto sulle materie di protezione dei dati, prevale il presente Accordo.

9.2. Il presente Accordo è disciplinato dalla legge italiana.

Il presente Accordo è accettato dal Cliente online, in fase di registrazione nella Piattaforma, ai sensi dell'art. 12.2 delle Condizioni Generali, e forma parte integrante del Contratto di fornitura.