In breve
- Trattiamo i tuoi dati solo su tue istruzioni e solo per fornirti Graphorum.
- Un'istanza per cliente: nessun dato in comune con gli altri.
- Violazioni dei dati: te le notifichiamo entro 48 ore dalla scoperta.
- Nuovi sub-responsabili: preavviso di 30 giorni e diritto di opporti.
- Alla fine scarichi tutto e cancelli tu; noi eliminiamo le copie residue.
Parti e oggetto
Questo accordo fa parte dei termini di servizio e si applica a ogni Cliente di Graphorum («Titolare»). AM Solutions di Vera Alexandru Nicolae («Responsabile») tratta i dati personali contenuti nei Dati del Cliente per conto del Titolare, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) e del Codice Privacy.
- Titolare
- AM Solutions di Vera Alexandru Nicolae
- Forma giuridica
- Impresa individuale
- Sede
- Via Potenza 12, 25125 Brescia (BS)
- Partita IVA
- 04419500980
- Codice fiscale
- VRELND86B24Z129Y
- [email protected]
Natura, finalità e durata del trattamento
- Natura: ospitare, conservare, elaborare con l'intelligenza artificiale, sincronizzare con i canali collegati, salvare in backup, esportare e cancellare i Dati del Cliente; addestrare il modello del Cliente; fornire assistenza e manutenzione.
- Finalità: solo fornire Graphorum al Titolare, nelle formule PC locale o Cloud, e i servizi di assistenza collegati.
- Durata: quella del contratto, più il periodo concesso per scaricare i dati e cancellarli.
Interessati e categorie di dati
- Interessati: clienti, fornitori, collaboratori, dipendenti e altri contatti del Titolare; gli utenti della sua Piattaforma; le persone che scrivono al Titolare sui canali collegati.
- Dati: anagrafici e di contatto; contenuto di email, chat e messaggi sui social; documenti e allegati; dati contabili e commerciali; registrazioni vocali e trascrizioni, se il Titolare usa la voce; registri di accesso e di attività.
- Categorie particolari (art. 9 GDPR) e dati giudiziari (art. 10): Graphorum non è pensato per trattarli. Se il Titolare li inserisce, ne valuta la base giuridica e le misure adatte e lo comunica al Responsabile.
Istruzioni del Titolare
Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Sono istruzioni il contratto, questo accordo, le impostazioni che il Titolare sceglie nella Piattaforma (per esempio quali canali collegare, quali servizi AI esterni accendere, quanta autonomia dare agli agenti) e le richieste scritte di assistenza. Se un'istruzione gli sembra contraria alla legge, il Responsabile lo segnala subito.
Obblighi del Responsabile
- Garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza e istruite.
- Adottare le misure di sicurezza dell'art. 32 GDPR descritte qui sotto e tenerle aggiornate.
- Non usare i Dati del Cliente per fini propri, in particolare per addestrare modelli di intelligenza artificiale diversi dal modello del Titolare, né per altri clienti né per terzi.
- Aiutare il Titolare a rispondere alle richieste degli interessati (artt. 15–22), con le funzioni della Piattaforma (ricerca, esportazione, «Dimentica», cancellazione) e, se serve, con l'assistenza.
- Aiutare il Titolare negli adempimenti degli artt. 32–36: sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva.
- Notificare al Titolare ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni disponibili, così che il Titolare possa rispettare il termine di 72 ore verso il Garante (art. 33).
- Tenere il registro delle attività di trattamento svolte per conto dei titolari (art. 30, par. 2).
- Mettere a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo.
Sub-responsabili
Il Titolare autorizza in via generale il Responsabile a servirsi dei sub-responsabili elencati qui sotto. Il Responsabile impone a ciascuno gli stessi obblighi di protezione di questo accordo e ne risponde verso il Titolare. Prima di aggiungere o sostituire un sub-responsabile il Responsabile avvisa il Titolare con 30 giorni di preavviso; il Titolare può opporsi per motivi ragionevoli e, se non si trova una soluzione, recedere senza costi.
| Sub-responsabile | Cosa fa | Dove | Garanzie | Quando |
|---|---|---|---|---|
| Hetzner Online GmbHGermania (UE) | Server della formula cloud: calcolo, archiviazione e backup delle istanze dei clienti | Data center in Germania e Finlandia (UE) | Trattamento nell'UE | Formula cloud |
| Cloudflare, Inc.Stati Uniti | Rete e sicurezza: DNS, protezione del sito e tunnel cifrato verso il PC locale o l'istanza cloud | Rete globale, con punti di presenza nell'UE | EU-U.S. Data Privacy Framework e clausole contrattuali tipo (Decisione UE 2021/914) | Entrambe le formule |
| Stripe Payments Europe, Ltd.Irlanda (UE) | Pagamenti con carta e addebito SEPA, gestione degli abbonamenti | UE; trasferimenti verso Stripe, Inc. (Stati Uniti) | EU-U.S. Data Privacy Framework e clausole contrattuali tipo | Pagamenti |
| Intermediario per la fattura elettronica (predefinito: Fatture in Cloud, gruppo TeamSystem)Italia | Emissione e invio delle fatture elettroniche al Sistema di Interscambio (SdI) e conservazione a norma | Italia | Trattamento nell'UE | Fatturazione |
| Meta Platforms Ireland Ltd.Irlanda (UE) | WhatsApp Business, Facebook e Instagram, solo se il cliente collega questi canali | UE; trasferimenti verso Meta Platforms, Inc. (Stati Uniti) | EU-U.S. Data Privacy Framework e clausole contrattuali tipo | Solo se il cliente collega i canali |
| Fornitori di modelli AI esterni scelti per il cliente (es. Anthropic, OpenAI, Google, Mistral AI)UE o Stati Uniti, secondo il fornitore | Elaborazione di singole richieste quando un servizio AI esterno è acceso; mai per addestrare i loro modelli | Indicato nella console per ogni fornitore attivo | Decisione di adeguatezza, EU-U.S. Data Privacy Framework o clausole contrattuali tipo; contratti che escludono l'addestramento sui dati | Solo se attivati |
| Fornitore di email transazionali (da definire, es. Brevo o Postmark)Da definire | Invio di fatture, avvisi, solleciti e risposte ai ticket | Da definire | Da definire prima dell'attivazione | Comunicazioni di servizio |
Con la formula PC locale i Dati del Cliente restano sul PC del Titolare: Hetzner non è coinvolta e Cloudflare trasporta solo il traffico cifrato del tunnel. Per i pagamenti e le fatture (Stripe e intermediario SdI) AM Solutions agisce come titolare dei dati di fatturazione del Cliente: li riportiamo qui per completezza.
Trasferimenti fuori dall'Unione europea
I server della formula cloud sono nell'Unione europea. Se un sub-responsabile tratta dati fuori dallo Spazio economico europeo, il trasferimento avviene solo con le garanzie del Capo V del GDPR: decisione di adeguatezza (compreso l'EU-U.S. Data Privacy Framework per i fornitori certificati) o clausole contrattuali tipo (decisione (UE) 2021/914), con le misure supplementari necessarie.
Misure tecniche e organizzative
| Area | Misure |
|---|---|
| Isolamento | Un'istanza per cliente, con database, cervello, file e modello separati; nessun componente condiviso che contenga Dati del Cliente. |
| Cifratura | Accesso da fuori ufficio solo in HTTPS nel tunnel cifrato; backup cifrati con AES-256-GCM e chiave derivata dalla password (scrypt); credenziali e chiavi API cifrate a riposo nella cassaforte della piattaforma. |
| Accesso | Nome utente e password personali, salvate solo come impronta (scrypt con sale); verifica in due passaggi con app Authenticator (TOTP) o via email; blocco di 15 minuti dopo troppi tentativi; sessione in cookie HttpOnly e SameSite=Strict; permessi per persona e per agente; chiavi API mostrate una sola volta. |
| Assistenza | Accesso del Responsabile solo con un collegamento a tempo e firmato, scritto nel registro dell'istanza e visibile al Titolare. |
| Tracciabilità | Registro delle operazioni di utenti, agenti e chiavi API, filtrabile ed esportabile in CSV dal Titolare. |
| Messaggi in arrivo | Smistamento che riconosce spam, truffe e phishing; il contenuto dei messaggi ricevuti non può modificare le regole e i permessi del Titolare. |
| Rete | Formula PC locale: tunnel Cloudflare in uscita, nessuna porta aperta sul router; formula cloud: istanze dietro tunnel, senza servizi esposti direttamente. |
| Continuità | Backup periodici e verificati; procedura di ripristino su un nuovo PC o su una nuova istanza. |
| Servizi AI esterni | Spenti di serie; si accendono solo per scelta, per singolo lavoro; le chiavi dei fornitori restano sul server di AM Solutions e non vengono mai mandate alle istanze; contratti che escludono l'uso dei dati per addestrare i modelli del fornitore. |
| Sviluppo e aggiornamenti | Aggiornamenti provati prima del rilascio; controllo automatico ogni 5 minuti con avviso; correzioni di sicurezza pubblicate con priorità. |
| Persone | Accesso ai dati solo per chi ne ha bisogno; impegno di riservatezza; formazione su privacy e sicurezza. |
| Formula PC locale | Dati sul PC del Titolare, raggiungibile da fuori solo dal tunnel cifrato senza porte aperte; la custodia fisica del PC spetta al Titolare. |
Verifiche
Il Titolare può verificare il rispetto di questo accordo chiedendo informazioni e documenti oppure, con almeno 30 giorni di preavviso, con un'ispezione svolta da lui o da un revisore vincolato alla riservatezza, in orario di lavoro e senza compromettere la sicurezza degli altri clienti. I costi dell'ispezione sono a carico del Titolare, salvo che emergano violazioni del Responsabile.
Fine del trattamento
Alla fine del contratto il Titolare scarica tutti i Dati del Cliente, compreso il suo modello, e li cancella da solo con le funzioni della Piattaforma, ricevendo un attestato di cancellazione. Il Responsabile elimina le copie residue (compresi i backup) entro 30 giorni dalla fine del periodo per lo scarico, salvo che la legge ne imponga la conservazione.
Responsabilità e prevalenza
Ciascuna parte risponde secondo l'art. 82 GDPR. In caso di contrasto tra questo accordo e gli altri documenti contrattuali, per la protezione dei dati prevale questo accordo.
Versione 1.0 del 9 ottobre 2026 · AM Solutions di Vera Alexandru Nicolae. Le versioni precedenti si chiedono per email.