Accordo sul trattamento dei dati personali

1. Parti e oggetto

1.1 Titolare del trattamento è l'impresa o il professionista che acquista Arenia dal sito (l'«Acquirente», come definito nelle Condizioni generali di vendita).

1.2 Responsabile del trattamento è Synergix di Petterlini Michele, ditta individuale, Via Don C. Biasi 73 int. 2, 37029 San Pietro in Cariano (VR), P.IVA 05110780235 («Synergix»), ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»).

1.3 L'accordo regola i dati personali che Synergix tratta per conto dell'Acquirente nell'erogazione del servizio Arenia acquistato. Vale dall'invio del collegamento di accesso fino alla cancellazione prevista all'art. 11.

1.4 I dati dell'Acquirente per l'ordine e la fatturazione, e i registri tecnici e di sicurezza, restano fuori da questo accordo: per quelli Synergix è titolare autonomo, come descritto nell'Informativa sulla privacy.

2. Finalità e natura del trattamento

2.1 Finalità. Permettere ai Partecipanti indicati dall'Acquirente di allenarsi a voce con l'AI-Trainer su Situazioni professionali, e restituire a ciascun Partecipante il feedback strutturato sui comportamenti allenati e la propria Scheda individuale.

2.2 Operazioni. Raccolta, registrazione della trascrizione, organizzazione, conservazione, consultazione, elaborazione con sistemi automatici di intelligenza artificiale, comunicazione ai sub-responsabili dell'art. 8, cancellazione.

2.3 Che cosa il trattamento non è. Il servizio non esprime giudizi sulla persona e non prende decisioni automatizzate che producano effetti giuridici o incidano in modo analogo sul Partecipante (art. 22 GDPR). Il feedback riguarda i comportamenti allenati nella Simulazione.

2.4 Synergix non usa i dati dei Partecipanti per finalità proprie, con tre sole eccezioni necessarie a far rispettare le Condizioni, per le quali è titolare autonomo e che descrive nella propria Informativa sulla privacy: il registro dell'accettazione dell'Allegato standard — Utenze e uso, il conteggio delle Simulazioni per il massimo mensile, il controllo della condivisione delle credenziali. Synergix non vende i dati, non li usa per profilazione commerciale e non li usa per addestrare propri modelli.

2.5 Synergix non produce graduatorie o classifiche dei Partecipanti, nemmeno su richiesta.

3. Interessati e categorie di dati

3.1 Interessati: i Partecipanti indicati dall'Acquirente e le persone dell'Acquirente che gestiscono l'ordine.

3.2 Dati particolari e dati di minori: esclusi. Il servizio non è pensato per dati sanitari, giudiziari o di altre categorie particolari (artt. 9 e 10 GDPR), né per minori. Nessun filtro tecnico impedisce a un Partecipante di pronunciarli: per questo l'Acquirente chiede ai Partecipanti di non farlo e di usare nomi di fantasia quando citano persone reali (art. 10.2 delle Condizioni).

4. Istruzioni dell'Acquirente e suoi obblighi

4.1 Synergix tratta i dati solo su istruzione documentata dell'Acquirente. Sono istruzioni documentate: le Condizioni generali di vendita, questo accordo, l'ordine e le richieste scritte inviate a info@arenia.it. Se un'istruzione le sembra contraria alla legge, Synergix lo segnala subito.

4.2 Che cosa vede l'Acquirente. L'Acquirente gestisce gli indirizzi email dei propri Partecipanti e il numero di utenze ancora libere. Non accede alle Simulazioni, alle trascrizioni, al feedback né alle Schede individuali, che restano riservati al Partecipante. Una richiesta di accedervi non è un'istruzione ammessa.

4.3 Informativa e base giuridica. Spetta all'Acquirente scegliere la base giuridica del trattamento, informare i Partecipanti prima che inizino ad allenarsi e verificare di poterlo fare nel rispetto delle norme sul lavoro. Synergix mette a disposizione un testo di informativa per i Partecipanti che l'Acquirente può completare e usare.

4.4 L'Acquirente non usa dati riferibili al singolo Partecipante per formare graduatorie, controllarne l'attività lavorativa o prendere decisioni sul rapporto di lavoro.

5. Riservatezza

5.1 Le persone autorizzate da Synergix a trattare i dati sono vincolate alla riservatezza.

5.2 Synergix è una ditta individuale: oggi l'accesso ai sistemi di produzione è riservato al titolare di Synergix.

6. Misure di sicurezza

6.1 Misure in essere.

• applicazione e database su un server in Italia;
• traffico cifrato in HTTPS;
• utenze personali create solo su invito: la registrazione libera non è attiva;
• separazione dei dati fra clienti a livello di applicazione, con prove automatiche;
• dichiarazione al Partecipante che conversa con un sistema di intelligenza artificiale;
• cancellazione automatica delle trascrizioni e dei dati tecnici alle scadenze dell'art. 11.

6.2 Limiti dichiarati. Il servizio gira in un ambiente condiviso fra i clienti: la separazione è logica, non fisica. Non esistono livelli minimi di disponibilità garantiti, accesso con credenziali aziendali centralizzate né un servizio indipendente di monitoraggio della sicurezza. Synergix non dispone di attestazioni di terza parte sulla sicurezza (per esempio ISO/IEC 27001). Copie di sicurezza: ogni giorno una copia locale del database, conservata 30 giorni; ogni 4 ore una copia cifrata fuori sede. Un dato cancellato esce dalle copie di sicurezza entro 6 mesi; le copie fuori sede sono cifrate.

7. Assistenza all'Acquirente

Nei limiti delle informazioni di cui dispone, Synergix assiste l'Acquirente negli obblighi di sicurezza, di notifica delle violazioni e di valutazione d'impatto (artt. 32-36 GDPR), fornendo la descrizione tecnica del trattamento, dei flussi verso i fornitori e dei limiti dell'art. 6.

8. Sub-responsabili e trasferimenti fuori dall'UE

8.1 L'Acquirente autorizza in via generale Synergix ad avvalersi di sub-responsabili delle categorie seguenti:

8.2 L'elenco nominativo aggiornato dei sub-responsabili si chiede a info@arenia.it. Synergix comunica all'Acquirente ogni aggiunta o sostituzione senza ritardo da quando ne viene a conoscenza. L'Acquirente può opporsi per motivi ragionevoli entro 10 giorni. Se l'opposizione impedisce di erogare il servizio, l'Acquirente può recedere dal contratto. Il recesso non dà diritto a rimborso, salvo l'eccezione dell'art. 9.3 delle Condizioni.

8.3 Synergix aderisce ai termini standard dei fornitori, non li negozia, e resta responsabile verso l'Acquirente del loro operato.

8.4 Il trasferimento verso gli Stati Uniti avviene sulla base delle garanzie che i fornitori dichiarano (clausole contrattuali tipo della Commissione europea e, dove applicabile, EU-U.S. Data Privacy Framework). L'Acquirente ne informa i Partecipanti: i dati non restano tutti nell'Unione europea.

9. Diritti dei Partecipanti

9.1 Le richieste dei Partecipanti spettano all'Acquirente. Se arrivano a Synergix, Synergix le inoltra all'Acquirente senza ritardo e non vi dà seguito da sola.

9.2 Synergix aiuta l'Acquirente a rispondere, con operazioni svolte a mano:

• accesso e rettifica: estrazione e correzione dei dati su richiesta scritta;
• cancellazione: eseguita da Synergix con un comando che registra ciò che è stato cancellato;
• limitazione: disattivazione dell'utenza;
• portabilità: limitata ai dati identificativi e di utilizzo. Le trascrizioni non sono esportabili.

9.3 Non esiste una funzione con cui il Partecipante eserciti da solo questi diritti nel servizio.

10. Violazioni dei dati

10.1 Synergix informa l'Acquirente senza ingiustificato ritardo da quando viene a conoscenza di una violazione che riguarda i dati di questo accordo, con le informazioni disponibili: natura, categorie e numero approssimativo di interessati, conseguenze probabili, misure adottate.

10.2 L'impegno riguarda la comunicazione, non la capacità di rilevare ogni violazione: Synergix non dispone di un monitoraggio di sicurezza indipendente (art. 6.2).

10.3 La notifica al Garante e agli interessati resta dell'Acquirente.

11. Conservazione e cancellazione

11.1 Contenuto delle Simulazioni (trascrizione, messaggi, sintesi): cancellato in automatico 365 giorni dopo la Simulazione.

11.2 Dati tecnici (eventi tecnici, registri applicativi, indirizzi IP): cancellati in automatico dopo 90 giorni. La data e la durata di ogni Simulazione non sono dati tecnici: restano con l'utenza, perché servono alla Scheda individuale e ai Riscontri per tutto il Periodo di accesso, e seguono l'art. 11.3.

11.3 Utenze, Riscontri e Schede individuali: restano per il Periodo di accesso e sono cancellati entro 90 giorni dalla sua fine, salvo un nuovo acquisto per gli stessi Partecipanti. Con l'utenza si cancella il registro della sua accettazione. Dell'utenza resta solo una riga senza nome né email, a cui restano intestati la data, la durata e il conteggio delle sue Simulazioni, senza alcun contenuto.

11.4 I contenuti individuali non sono restituiti all'Acquirente (art. 4.2).

11.5 Che cosa non viene cancellato: i documenti contabili e fiscali dell'ordine, per obbligo di legge; i dati nelle copie di sicurezza, fino alla loro rotazione: un dato cancellato esce dalle copie di sicurezza entro 6 mesi, e le copie fuori sede sono cifrate; i dati presso i sub-responsabili, per i quali Synergix inoltra la richiesta di cancellazione e ne riferisce l'esito, senza poterne garantire l'esecuzione.

12. Verifiche

12.1 Synergix mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR: risposta scritta a un questionario di sicurezza una volta all'anno e un colloquio a distanza con il titolare di Synergix.

12.2 Non sono disponibili relazioni di audit di terza parte né ispezioni in sede. Altre verifiche si concordano per iscritto, a spese dell'Acquirente.

13. Recapiti, legge e foro

13.1 Le comunicazioni a Synergix su questo accordo si inviano a info@arenia.it; quelle all'Acquirente, all'email indicata nell'ordine. Nessuna delle parti ha designato un responsabile della protezione dei dati.

13.2 Legge applicabile e foro sono quelli dell'art. 17 delle Condizioni generali di vendita.

13.3 In materia di protezione dei dati, se questo accordo e le Condizioni generali di vendita dicono cose diverse, prevale questo accordo.