Data Processing Agreement
Questo Data Processing Agreement ("DPA") disciplina il trattamento dei dati personali che Exanova(Andrea Zurini) effettua, in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, per conto dell'Azienda cliente ("Titolare") nell'ambito dell'uso di SINTESI, la piattaforma di AI-readiness assessment, Knowledge Builder e governance dell'adozione AI in azienda. Il documento integra — senza sostituirla — l'Informativa Privacy generale del Servizio, ed è rivolto specificamente alle Aziende clienti che necessitano di un accordo formale sul trattamento dati per i propri adempimenti di conformità (es. registro dei trattamenti, valutazione fornitori).
1. Ruoli delle parti
Nell'ambito del rapporto contrattuale, l'Azienda cliente (il tenant che utilizza SINTESI) agisce come Titolare del trattamentoper i dati personali che carica o genera nella piattaforma (dati dei propri dipendenti/collaboratori, contenuti aziendali, risposte all'assessment). Exanova (Andrea Zurini) agisce come Responsabile del trattamentoai sensi dell'art. 28 GDPR, trattando tali dati esclusivamente secondo le istruzioni documentate del Titolare (che coincidono con le funzionalità del Servizio come descritte e configurate) e per le finalità di erogazione di SINTESI.
2. Oggetto e durata del trattamento
Il trattamento ha per oggetto i dati personali descritti nell'Informativa Privacy §2 (dati account, dati di accesso e sicurezza, contenuti aziendali caricati, dati di utilizzo) e ha durata pari a quella del rapporto contrattuale tra l'Azienda cliente ed Exanova, salvo quanto previsto alla sezione 5 (Retention e cancellazione) in caso di cessazione.
3. Istruzioni del Titolare
Exanova tratta i dati personali unicamente sulla base delle istruzioni documentate del Titolare, che si considerano date tramite: (a) l'attivazione e configurazione del Servizio da parte dell'Azienda cliente; (b) le azioni compiute dagli utenti autorizzati dell'Azienda all'interno della piattaforma; (c) il presente DPA e l'Informativa Privacy. Qualora un'istruzione ulteriore del Titolare risultasse, a giudizio di Exanova, in violazione del GDPR o di altra normativa applicabile, Exanova ne informa immediatamente il Titolare.
4. Sub-responsabili del trattamento
Per erogare il Servizio, Exanova si avvale dei seguenti sub-responsabili (stesso elenco dell'Informativa Privacy §5), ciascuno vincolato da propri termini contrattuali che impongono obblighi di riservatezza e sicurezza equivalenti:
| Fornitore | Ruolo | Dati trattati | Localizzazione |
|---|---|---|---|
| Vercel Inc. | Hosting dell'applicazione web ed esecuzione delle funzioni serverless | Tutti i dati transitano attraverso l'infrastruttura di hosting | Stati Uniti (infrastruttura globale con edge network) |
| Railway Corp. | Hosting del database applicativo (PostgreSQL) | Tutti i dati persistiti dal Servizio (account, assessment, contenuti aziendali) | Regione selezionabile in fase di provisioning; verificare la regione attiva nel pannello Railway del progetto |
| Anthropic PBC | Fornitore del modello di intelligenza artificiale (API Claude) per la generazione assistita di contenuti | Testo dei prompt e dei documenti sottoposti a generazione AI (non l'intero database) | Stati Uniti |
| Resend Inc. | Invio delle email transazionali (magic link, inviti, notifiche) | Indirizzo email, nome del destinatario, contenuto dell'email inviata | Stati Uniti |
| Stripe Inc. (se il piano prevede fatturazione) | Elaborazione dei pagamenti dell'abbonamento | Dati di fatturazione e pagamento (non transitano né sono conservati sui server di Exanova) | Stati Uniti / Unione Europea (infrastruttura Stripe distribuita) |
Il Titolare autorizza in via generale il ricorso a questi sub-responsabili. Exanova informa il Titolare di eventuali modifiche (aggiunta o sostituzione di un sub-responsabile) scrivendo a info@andreazurini.it su richiesta, dando al Titolare la possibilità di opporsi motivatamente prima dell'attivazione.
5. Retention e cancellazione — politica applicata
SINTESI applica una politica di cancellazione a due fasi, tecnicamente implementata nella piattaforma (non solo dichiarata):
- Soft-delete (cancellazione reversibile):quando l'Azienda cliente richiede la cancellazione del proprio account (o Exanova la esegue su richiesta esplicita del Titolare), il tenant viene immediatamente disattivato — tutti gli utenti dell'Azienda perdono l'accesso (login bloccato) e l'azienda non compare più nelle liste operative — ma nessun dato viene eliminato fisicamente in questa fase.
- Finestra di recupero di 30 giorni: per 30 giorni dalla richiesta di cancellazione, il Titolare può richiedere il ripristino completo del tenant (dati, configurazione e accesso tornano esattamente come prima della cancellazione).
- Purge fisico irreversibile: trascorsi i 30 giorni senza richiesta di ripristino, i dati del tenant vengono eliminati fisicamente e in modo irreversibile dal database (cancellazione a cascata di tutte le tabelle collegate: utenti, persone, assessment, contenuti Knowledge Base, percorsi formativi e relativo materiale, webhook, e ogni altra tabella tenant-scoped della piattaforma).
- Eccezione — registro di audit ed eventi: i log di audit (
audit_log) e gli eventi di piattaforma (events) relativi al tenant non vengono cancellati dal purgee sopravvivono deliberatamente alla cancellazione del tenant. Si tratta di un registro forense/di conformità (append-only) che consente di documentare — anche dopo la cancellazione fisica di tutti gli altri dati — che un determinato tenant è stato cancellato, da chi è stata richiesta e cancellata la cancellazione, e quando è avvenuto il purge definitivo. Questi log non contengono i contenuti applicativi del tenant (documenti, assessment, dati dei dipendenti), ma metadati dell'azione (identificativo del tenant, tipo di evento, timestamp, attore); sono conservati secondo la politica generale di retention dei log di sicurezza (Informativa Privacy §7: 12 mesi, salvo necessità di indagini di sicurezza in corso).
Questa politica bilancia il diritto alla cancellazione dell'interessato/Titolare (art. 17 GDPR) con la necessità di prevenire cancellazioni accidentali irreversibili (da cui la finestra di recupero) e con l'obbligo di poter dimostrare, in caso di verifica, che una cancellazione richiesta è stata effettivamente eseguita (da cui la sopravvivenza del solo registro forense, minimizzato ai metadati necessari).
6. Misure di sicurezza tecniche e organizzative
Oltre alle misure generali descritte nell'Informativa Privacy §9 (isolamento dati via Row-Level Security, cifratura in transito, cookie di sessione HttpOnly, autenticazione centralizzata, rate-limiting, audit log), specificamente per la cancellazione: l'azione di cancellazione richiede un permesso granulare dedicato lato piattaforma Exanova, una conferma esplicita da parte dell'operatore (digitazione del nome esatto dell'azienda, a prevenzione di click accidentali), ed è tracciata nel registro di audit indipendentemente dall'esito.
7. Diritti e assistenza del Titolare
Exanova assiste il Titolare, nella misura ragionevolmente possibile in base alla natura del trattamento, nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica di violazioni, valutazione d'impatto, consultazione preventiva) e nel rispondere alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, portabilità) relative ai dati trattati tramite SINTESI. Il Servizio offre già una funzione di esportazione dati del tenant a supporto della portabilità.
8. Violazioni di sicurezza (data breach)
In caso di violazione dei dati personali trattati per conto del Titolare, Exanova notifica il Titolare senza ingiustificato ritardo dal momento in cui ne viene a conoscenza, fornendo le informazioni disponibili necessarie al Titolare per adempiere ai propri obblighi di notifica verso il Garante (art. 33 GDPR) e, ove richiesto, verso gli interessati (art. 34 GDPR).
9. Contatti
Per richiedere l'attivazione formale di questo DPA sul proprio contratto, o per qualsiasi domanda sul trattamento dati, scrivi a info@andreazurini.it. Vedi anche l'Informativa Privacy, i Termini di Servizio e la Cookie Policy.