Il presente Accordo sul trattamento dei dati (DPA) è parte integrante del contratto tra un'impresa, un ente del settore pubblico o un altro cliente organizzativo (il Cliente) e František Mráz, IČO 07961731, con il nome commerciale DIRI AI (il Responsabile del trattamento), qualora DIRI AI tratti Dati Personali del Cliente per conto di quest'ultimo.
1. Definizioni e ruoli
Normativa Applicabile in materia di Protezione dei Dati indica il GDPR, la normativa ceca in materia di protezione dei dati e qualsiasi altra legge sulla privacy applicabile al trattamento in questione. Dati Personali del Cliente indica i dati personali contenuti nei Contenuti del Cliente che DIRI AI tratta esclusivamente su istruzioni documentate del Cliente. Incidente di Sicurezza ha il significato indicato nella sezione 8.
Il Cliente è titolare del trattamento o responsabile del trattamento, a seconda dei casi. DIRI AI è responsabile del trattamento o sub-responsabile del trattamento per i Dati Personali del Cliente. DIRI AI resta titolare autonomo del trattamento per le proprie finalità di gestione dell'account, fatturazione, prevenzione delle frodi, conformità legale e amministrazione della sicurezza descritte nell'Informativa sulla privacy.
2. Ambito e durata
DIRI AI tratterà i Dati Personali del Cliente esclusivamente per erogare, proteggere, assistere ed eliminare il servizio, come descritto nell'Allegato 1 e nelle istruzioni documentate. Il presente DPA decorre dall'inizio del contratto di servizio e continua fino a quando i Dati Personali del Cliente non siano stati eliminati o restituiti, fatta salva la conservazione consentita dalla legge.
Il contratto di servizio, le impostazioni, le richieste di assistenza e l'uso lecito delle funzioni del prodotto documentate costituiscono istruzioni. Un'istruzione che esula dal servizio standard può richiedere una modifica scritta, un corrispettivo o una valutazione tecnica. DIRI AI informerà tempestivamente il Cliente se, a suo ragionevole avviso, un'istruzione viola la Normativa Applicabile in materia di Protezione dei Dati e potrà sospendere il trattamento interessato mentre le parti risolvono la questione.
3. Obblighi del Responsabile del trattamento
DIRI AI:
- tratterà i Dati Personali del Cliente solo su istruzioni documentate, salvo che il diritto dell'Unione o di uno Stato membro disponga diversamente; ove consentito, informerà il Cliente prima di tale trattamento;
- garantirà che le persone autorizzate al trattamento siano vincolate da un obbligo di riservatezza;
- attuerà e manterrà misure adeguate al rischio, descritte nell'Allegato 2;
- assisterà il Cliente, tenuto conto della natura del trattamento e delle informazioni disponibili, in relazione ai diritti degli interessati, alla sicurezza, alle valutazioni delle violazioni dei dati, alle DPIA e alle consultazioni con le autorità di controllo;
- conserverà i registri e le informazioni necessari a dimostrare la conformità all'articolo 28 del GDPR;
- informerà il Cliente qualora riceva una richiesta vincolante di un'autorità riguardante i Dati Personali del Cliente, salvo che la legge vieti tale comunicazione; e
- non venderà i Dati Personali del Cliente, non li utilizzerà per pubblicità di terzi, non eseguirà identificazione biometrica né riconoscimento delle emozioni, né addestrerà un modello di uso generale su tali dati, senza un separato accordo scritto e una base giuridica valida.
4. Obblighi del Cliente
Il Cliente è responsabile della liceità, della correttezza e dell'esattezza delle proprie istruzioni e dei Dati Personali del Cliente. Il Cliente deve:
- fornire le informative richieste e individuare una base giuridica valida;
- configurare in modo proporzionato accessi, conservazione e ruoli;
- evitare dati non necessari appartenenti a categorie particolari, relativi a reati, di carte di pagamento, credenziali, relativi alla salute o segreti di clienti reali;
- gestire la consultazione dei dipendenti/lavoratori, le regole di monitoraggio, gli obblighi verso i sindacati o le rappresentanze dei lavoratori e la supervisione umana;
- rispondere agli interessati e completare ogni DPIA richiesta; e
- assicurarsi che le proprie istruzioni non impieghino DIRI AI per finalità vietate o ad alto rischio.
5. Sub-responsabili del trattamento
Il Cliente concede un'autorizzazione generale per i sub-responsabili del trattamento indicati nell'Elenco dei sub-responsabili del trattamento in vigore. DIRI AI vincolerà ciascun sub-responsabile a obblighi di protezione dei dati non meno protettivi, nella sostanza, degli obblighi pertinenti del presente DPA e resta responsabile del suo adempimento nei limiti previsti dalla legge.
DIRI AI dovrebbe fornire un preavviso di almeno 30 giorni in caso di nuovo sub-responsabile che tratterà Dati Personali del Cliente. Durante tale periodo il Cliente può opporsi per ragionevoli motivi di protezione dei dati. Le parti cercheranno una garanzia ragionevole o un'alternativa. Se nessuna è ragionevolmente disponibile, ciascuna parte potrà risolvere la funzione o il servizio interessato senza penali per il periodo interessato prepagato e non utilizzato.
Una sostituzione urgente resa necessaria da esigenze di sicurezza, di legge o di continuità del servizio può essere effettuata prima, con comunicazione appena ragionevolmente possibile. DIRI AI registra e invia tali comunicazioni attraverso un canale di contatto aziendale durevole.
6. Trasferimenti internazionali
DIRI AI non effettuerà un trasferimento soggetto a restrizioni senza un meccanismo lecito. A seconda del trasferimento, può trattarsi di una decisione di adeguatezza, delle Clausole Contrattuali Tipo della Commissione europea applicabili, dell'Addendum del Regno Unito o di un'altra garanzia valida. DIRI AI eseguirà e documenterà una valutazione del trasferimento e misure supplementari ragionevoli, ove richiesto.
Su ragionevole richiesta del Cliente, DIRI AI fornirà le informazioni pertinenti sulle garanzie, fatte salve le omissioni dovute a riservatezza e sicurezza. L'Elenco dei sub-responsabili del trattamento individua i fornitori e le finalità; il Registro dei fornitori e dei trasferimenti di DIRI AI riporta le località e i meccanismi di trasferimento applicabili. La sede principale di un fornitore o la regione selezionata, di per sé, non costituiscono prova che non avvenga alcun trasferimento.
7. Richieste degli interessati e assistenza
Se DIRI AI riceve una richiesta riguardante i Dati Personali del Cliente, non risponderà nel merito se non su istruzioni del Cliente o laddove richiesto dalla legge. Inoltrerà tempestivamente la richiesta, qualora il Cliente sia identificabile, e metterà a disposizione le funzioni di esportazione, rettifica ed eliminazione in autonomia disponibili.
È inclusa l'assistenza ragionevole standard. L'assistenza sproporzionata, ripetitiva o personalizzata può essere addebitata, per i clienti aziendali e ove la legge lo consenta, a una tariffa ragionevole concordata, ma DIRI AI non addebiterà il lavoro reso necessario da una propria violazione.
8. Incidenti di sicurezza e violazioni dei dati personali
Un Incidente di Sicurezza è una distruzione, perdita, alterazione, divulgazione non autorizzata o accesso non autorizzato, accidentali o illeciti, confermati, riguardanti i Dati Personali del Cliente. Sono esclusi i tentativi non riusciti che non compromettono i Dati Personali del Cliente, quali scansioni bloccate o accessi non riusciti.
DIRI AI informerà il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di un Incidente di Sicurezza. L'obiettivo operativo è una prima comunicazione entro 48 ore, ove ragionevolmente possibile, ma lo standard giuridico è l'assenza di ingiustificato ritardo. La comunicazione includerà le informazioni disponibili su:
- natura, momento e sistemi/interessati coinvolti;
- probabili conseguenze;
- contenimento, mitigazione e rimedio;
- un punto di contatto; e
- le informazioni ragionevolmente necessarie per gli obblighi di notifica del Cliente.
Le informazioni possono essere fornite per fasi. DIRI AI conserverà le prove pertinenti, collaborerà con il Cliente e fornirà aggiornamenti adeguati. La comunicazione non costituisce ammissione di colpa o di responsabilità. Il Cliente decide se deve notificare un'autorità di controllo o le persone interessate, salvo che DIRI AI abbia un autonomo obbligo di legge.
Il termine di 48 ore è un obiettivo operativo, non una scadenza garantita, e non ritarda alcuna comunicazione anticipata richiesta dalla legge o dal presente DPA.
9. Restituzione ed eliminazione
Durante l'abbonamento e la finestra di esportazione documentata, il Cliente può esportare i Contenuti del Cliente disponibili in un formato di uso comune e leggibile da dispositivo automatico. Alla cessazione o su richiesta scritta, DIRI AI eliminerà o restituirà i Dati Personali del Cliente, a scelta del Cliente, salvo che la legge richieda la conservazione.
L'eliminazione dai sistemi attivi dovrebbe essere completata entro 30 giorni dalla chiusura o dalla finestra di esportazione applicabile. I backup cifrati isolati possono permanere fino al ciclo di scadenza verificato del fornitore; restano protetti, non sono ripristinati per l'uso ordinario e saranno nuovamente eliminati se ripristinati per il disaster recovery. I registri di fatturazione, sicurezza, frode, reclami e blocco legale sono conservati solo per le finalità di DIRI AI quale titolare del trattamento e in conformità alla Politica di conservazione dei dati.
DIRI AI mantiene controlli del ciclo di vita per la finestra di esportazione applicabile, i processi di eliminazione e il ciclo di scadenza dei backup del fornitore e li riesamina dopo ogni modifica sostanziale del ciclo di vita o del fornitore.
10. Audit e prove
Su ragionevole richiesta scritta, non più di una volta all'anno, DIRI AI fornirà le informazioni necessarie a dimostrare la conformità, quali il presente DPA, le informazioni sui sub-responsabili, la documentazione di sicurezza e le relazioni indipendenti disponibili. Ulteriori richieste sono ammesse dopo un Incidente di Sicurezza rilevante o in caso di richiesta di un'autorità di controllo.
Se tali informazioni sono insufficienti, il Cliente può richiedere un audit da remoto proporzionato da parte di un revisore indipendente qualificato vincolato da riservatezza. L'audit in loco è l'ultima risorsa, si svolge durante il normale orario di lavoro, senza accesso ai dati di altri clienti e senza compromettere la sicurezza. Il Cliente sostiene i costi ragionevoli dell'audit, salvo che l'audit accerti una violazione rilevante da parte di DIRI AI. Nessuna certificazione di un fornitore è presentata come certificazione di DIRI AI.
11. Responsabilità e prevalenza
La responsabilità ai sensi del presente DPA segue il contratto di servizio, salvo nella misura in cui la Normativa Applicabile in materia di Protezione dei Dati non consenta una limitazione. In caso di conflitto tra il presente DPA e il contratto di servizio in materia di trattamento dei Dati Personali del Cliente, prevale il presente DPA. Prevalgono su entrambi la legge imperativa e le eventuali Clausole Contrattuali Tipo applicabili e sottoscritte.
12. Contatti e perfezionamento
Contatto per la privacy: privacy@diriai.com. Il presente DPA diventa parte di un contratto solo quando la versione esatta 1.2.0 è resa disponibile prima dell'ordine e incorporata mediante un contratto di servizio valido o un ordine sottoscritto.
Versione: 1.2.0. Data: 30 agosto 2026.
Allegato 1 — Dettagli del trattamento
| Voce | Descrizione |
|---|---|
| Oggetto | Hosting e gestione di un servizio di formazione conversazionale vocale/testuale assistito dall'IA, di reportistica, amministrazione del team, assistenza, sicurezza, esportazione ed eliminazione |
| Durata | Durata dell'abbonamento più la finestra documentata di esportazione/eliminazione e le eccezioni lecite |
| Natura | Raccolta, registrazione ove attivata, strutturazione, conservazione, consultazione, trasmissione a fornitori approvati, analisi, generazione, assegnazione di punteggi, assistenza, limitazione, esportazione ed eliminazione |
| Finalità | Fornire le simulazioni e i report richiesti dal cliente; amministrare lo spazio di lavoro e i limiti; proteggere, assistere e mantenere il servizio |
| Interessati | Utenti del Cliente, amministratori, partecipanti alla formazione, dipendenti/collaboratori rappresentati nei contenuti e altre persone i cui dati il Cliente trasmette lecitamente |
| Tipi di dati | Nomi, dati di contatto lavorativi e dell'account, ruoli, identificatori, scenari, input testuali/vocali, audio facoltativo, trascrizioni, annotazioni, report, punteggi, dati di utilizzo, di dispositivo/rete e di audit, messaggi di assistenza |
| Dati di categorie particolari | Non previsti né autorizzati nei piani standard. Il Cliente non deve trasmetterli, salvo che siano concordati un'istruzione scritta separata e una base giuridica ai sensi degli articoli 9/10, una valutazione e garanzie |
| Frequenza | A richiesta e in modo continuativo per l'amministrazione dell'account, della sicurezza e del servizio |
| Restituzione/eliminazione | Esportazione in autonomia/su richiesta seguita da eliminazione ai sensi della sezione 9 e della Politica di conservazione dei dati |
Allegato 2 — Misure tecniche e organizzative
Si tratta di requisiti contrattuali minimi di progettazione, non di una certificazione:
- Controllo degli accessi: account univoci, autorizzazione basata sui ruoli e circoscritta al tenant, privilegio minimo, appartenenza gestita dall'amministratore e riesame degli accessi privilegiati.
- Autenticazione e sessioni: cookie di sessione protetti, trasporto sicuro, limitazione della frequenza, separazione di credenziali e segreti e autenticazione a più fattori ove offerta.
- Separazione dei tenant: identificatori del tenant e autorizzazione lato server sui Contenuti del Cliente e sulle azioni amministrative; test sugli accessi tra tenant diversi.
- Cifratura: TLS per i dati supportati in transito e cifratura a riposo gestita dal fornitore ove verificata; chiavi e segreti esclusi dal codice sorgente e dai registri.
- Minimizzazione dei dati: registrazione disattivata per impostazione predefinita, telemetria controllata, debug di produzione limitato, nessun dato completo della carta, filtraggio dei contenuti dai registri e conservazione configurabile/breve.
- Registrazione e monitoraggio: eventi di sicurezza/amministrativi verificabili, monitoraggio degli errori sanificato, avvisi e prove protette con limiti di accesso e di conservazione.
- Disponibilità e ripristino: monitoraggio dello stato del servizio, code e nuovi tentativi ove opportuno, backup del fornitore, procedure di ripristino e riesame periodico del ripristino; i piani standard non prevedono alcun obiettivo di ripristino contrattuale, salvo diverso accordo espresso.
- Sviluppo sicuro: revisione delle modifiche, test automatici, controlli di dipendenze e segreti, separazione degli ambienti e modifiche controllate alla produzione.
- Risposta agli incidenti: processo documentato di valutazione iniziale, contenimento, raccolta di prove, notifica e analisi delle lezioni apprese, con responsabilità definita per i contatti.
- Gestione dei fornitori: verifica del DPA e della sicurezza, valutazione della regione e dei trasferimenti, configurazione con il minimo di dati e verifica della cessazione/eliminazione.
- Eliminazione e continuità: processi del ciclo di vita per contenuti, esportazioni, registri e oggetti del fornitore; scadenza dei backup e blocchi legali documentati separatamente.
- Personale e governance: riservatezza, accesso basato sulla necessità di sapere, riesame periodico degli accessi, formazione su privacy/sicurezza e registri dei trattamenti.
Allegato 3 — Sub-responsabili del trattamento approvati
L'elenco in vigore, disponibile all'indirizzo https://diriai.com/en/legal/subprocessors, è incorporato per rinvio. Un fornitore è autorizzato dal presente Allegato solo per la funzione indicata che DIRI AI utilizza effettivamente ai sensi di un contratto applicabile con il fornitore.