Accordo sul trattamento dei dati

Ultimo aggiornamento: 10 maggio 2026. Questa versione riflette l'attuale configurazione dei sub-responsabili, incluso OpenAI per gli embedding di testo e le risposte AI contestuali. Per le future modifiche ai sub-responsabili necessari si applicano le regole di notifica e opposizione previste dalla Sezione 7.3.

La versione tedesca del presente DPA è giuridicamente vincolante. Le traduzioni sono fornite per comodità; in caso di conflitto, prevale la versione tedesca.

1. Premessa e Ambito di Applicazione

Il presente Accordo sul Trattamento dei Dati (DPA) disciplina il trattamento dei dati personali ai sensi dell'Art. 28 GDPR tra:

Titolare del Trattamento: Il cliente di PlotonIQ (di seguito "Titolare del Trattamento")
Responsabile del Trattamento: K-Werbetechnik, titolare: Ralph Kowalski, Banatstraße 31, 66424 Homburg, Germania, rappresentato tramite la piattaforma PlotonIQ (di seguito "Responsabile del Trattamento")

Il presente DPA costituisce parte integrante dei Termini di Servizio e disciplina il trattamento dei dati personali per conto del Titolare del Trattamento nel contesto dei servizi PlotonIQ.

2. Oggetto e Durata del Trattamento

Il Responsabile del Trattamento tratta i dati personali esclusivamente per conto del Titolare del Trattamento e secondo le sue istruzioni documentate.

2.1 Oggetto del Trattamento

Il trattamento dei dati comprende le seguenti categorie:

Dati dei Clienti: Nomi, indirizzi, email, telefono, ragione sociale dei clienti del Titolare del Trattamento
Dati degli Ordini: Descrizioni dei progetti, tempistiche, requisiti, modifiche
Dati di Prestazione: Calcoli, specifiche dei materiali, dimensioni, superfici
Dati di Comunicazione: Email, messaggi di chat, promemoria e registrazioni audio nelle attività aziendali
Dati del Team: Dati dei dipendenti, dati di localizzazione (se il geofencing è attivato), permessi
Dati Finanziari: Informazioni di fatturazione, dati di pagamento (tokenizzati), dati di carte di credito (solo Stripe)
Dati Visivi: Foto per il riconoscimento delle misurazioni tramite IA, screenshot, proposte di design

2.2 Durata del Trattamento

Il trattamento dei dati avviene durante l'intera durata contrattuale e oltre, conformemente alla Sezione 8 (Cancellazione e Conservazione dei Dati).

3. Natura e Finalità del Trattamento

Il Responsabile del Trattamento tratta i dati per le seguenti finalità:

Erogazione e gestione dei servizi PlotonIQ (calcolo dei preventivi, riconoscimento delle misurazioni, gestione delle commesse, CRM, rilevazione dei tempi)
Calcoli e analisi basati su IA tramite l'API Anthropic Claude
Embedding di testo con OpenAI text-embedding-3-large (1536 dimensioni) per ricerca semantica e risposte AI contestuali (RAG)
Riconoscimento automatico delle misurazioni dalle foto tramite Computer Vision (SAM/DINO)
Comunicazione con gli utenti (email transazionali, notifiche)
Elaborazione dei pagamenti e fatturazione
Implementazione di misure di sicurezza e autenticazione
Logging e monitoraggio del sistema per sicurezza e diagnosi degli errori
Geofencing e gestione del team (opzionale, solo se attivato)

4. Categorie di Interessati

Il Responsabile del Trattamento tratta i dati delle seguenti persone:

Clienti del Titolare del Trattamento (clienti finali dei servizi di insegnistica)
Dipendenti del Titolare del Trattamento (utenti della piattaforma)
Subappaltatori e partner del Titolare del Trattamento
Persone di contatto e rappresentanti

5. Categorie di Dati Personali

Il Responsabile del Trattamento tratta le seguenti categorie:

Dati Anagrafici: Nome, titolo, indirizzo, telefono, indirizzo email, ragione sociale
Dati di Identificazione: ID utente, token JWT, cookie di sessione, fingerprint del browser (con hash)
Dati di Localizzazione: Indirizzo IP, coordinate GPS (solo se il geofencing è attivato)
Dati Aziendali: Descrizioni dei progetti, calcoli, preventivi, ordini, fatture
Dati di Comunicazione: Messaggi, trascrizioni audio, email
Dati Tecnici: File di log, log del server, accessi al sistema, registri degli errori
Categorie Particolari: Nessuna (eccetto informazioni identificative fornite volontariamente)

6. Obblighi del Responsabile del Trattamento — Misure Tecniche e Organizzative

6.1 Misure Tecniche di Sicurezza

Cifratura dei Dati:
- Cifratura AES-256 per i dati sensibili nel database
- TLS 1.2+ per la trasmissione (HTTPS)
- Autenticazione JWT con cookie httpOnly (non accessibili da JavaScript)
Protezione del Database:
- Database PostgreSQL con autenticazione robusta
- Connessioni cifrate tra applicazione e database
- Backup automatici regolari con cifratura
- Archiviazione ridondante e disaster recovery
Controllo degli Accessi:
- Controllo degli accessi basato su ruoli (RBAC)
- Architettura multi-tenant con stretto isolamento dei tenant
- Audit log per tutti gli accessi amministrativi
- Principio del minimo privilegio: nessun permesso non necessario
Sicurezza della Rete:
- Protezione DDoS tramite Cloudflare
- Regole firewall e rilevamento delle intrusioni
- Aggiornamenti e patch di sicurezza regolari
Sicurezza delle API:
- Autenticazione API basata su JWT
- Rate limiting per prevenire attacchi brute-force
- Nessun dato sensibile negli URL o nei parametri di query

6.2 Misure Organizzative di Sicurezza

Personale e Formazione:
- Numero limitato di dipendenti con accesso ai dati dei clienti
- Accordi di riservatezza (NDA) con tutti i dipendenti
- Formazione sulla protezione dei dati per il personale interessato
Governance della Protezione dei Dati:
- Informativa sulla Privacy e presente DPA
- Responsabile della Protezione dei Dati (ove richiesto)
- Politiche per la protezione e l'utilizzo dei dati personali
Risposta agli Incidenti:
- Procedure per il rilevamento e la segnalazione delle violazioni dei dati
- Notifica al Titolare del Trattamento entro 24 ore dalla conoscenza degli incidenti di sicurezza
- Cooperazione negli obblighi di notifica alle autorità e agli interessati
Documentazione e Monitoraggio:
- Registro delle Attività di Trattamento ai sensi dell'Art. 30 GDPR
- Audit di sicurezza regolari
- Logging di tutti gli accessi ai dati (ove tecnicamente possibile)
Sicurezza Fisica:
- Hosting presso Hetzner Online GmbH (Falkenstein, Germania) con certificazione ISO-27001
- Controllo dell'accesso fisico al data center
- Monitoraggio e misure di sicurezza del provider di hosting

7. Sub-responsabili e Terze Parti

Il Responsabile del Trattamento si avvale dei seguenti sub-responsabili e fornitori di servizi per erogare i servizi:

7.1 Sub-responsabili Necessari

Servizio	Fornitore	Ubicazione	Finalità	Trasferimento Dati
Hosting del Server	Hetzner Online GmbH	Falkenstein, Germania	Database, application server	Intra-UE (DE)
CDN / Protezione DDoS	Cloudflare, Inc.	San Francisco, USA	Performance del sito web, sicurezza	USA (EU-US DPF, SCC)
Email Transazionali	Brevo SAS	Parigi, Francia	Email di conferma e di notifica	Intra-UE (FR)
Elaborazione Pagamenti	Stripe, Inc.	San Francisco, USA	Pagamenti con carta, gestione abbonamenti	USA (SCC) — tokenizzati
API IA (Calcoli)	Anthropic, PBC	San Francisco, USA	Calcoli IA, generazione di testo	USA (SCC) — Zero Data Retention
API IA (trascrizione audio opzionale, primaria)	Groq, Inc.	Mountain View, USA	Trascrizione STT primaria per i memo audio con whisper-large-v3 quando la funzione opzionale di trascrizione audio viene utilizzata dal Titolare del Trattamento	USA (SCC) — trattamento ai sensi del DPA di GroqCloud per fornire la funzione STT
API IA (embedding di testo e assistenza contestuale)	OpenAI, L.L.C.	San Francisco, USA	Embedding di testo con text-embedding-3-large (1536 dimensioni) per ricerca semantica e risposte AI contestuali (RAG); funzioni di testo e di assistente selezionate ove attive	USA (EU-US DPF, SCC) — i dati dell'API non vengono utilizzati per l'addestramento per impostazione predefinita; log di monitoraggio degli abusi conservati fino a 30 giorni
API IA (trascrizione audio opzionale)	OpenAI, L.L.C.	San Francisco, USA	OpenAI gpt-4o-transcribe solo come percorso STT di riserva qualora Groq STT non sia disponibile e la trascrizione audio venga utilizzata dal Titolare del Trattamento e configurata di conseguenza	USA (EU-US DPF, SCC) — percorso opzionale, separato da embedding/RAG

7.2 Trasferimenti verso Paesi Terzi

Per i trasferimenti di dati verso gli USA si applicano i seguenti meccanismi:

EU-US Data Privacy Framework (DPF): Cloudflare e OpenAI sono dichiarati dai fornitori come certificati ai sensi dell'EU-US Data Privacy Framework
Clausole Contrattuali Standard (SCC): Per Anthropic, Groq, OpenAI e Stripe ove siano coinvolti trasferimenti verso paesi terzi

Il Titolare del Trattamento acconsente a tali trasferimenti accettando i Termini di Servizio.

7.3 Modifiche ai Sub-responsabili

Il Responsabile del Trattamento informerà il Titolare del Trattamento prima di incaricare nuovi sub-responsabili necessari o di modificare in modo sostanziale sub-responsabili necessari esistenti. Il Titolare del Trattamento ha il diritto di opporsi all'utilizzo di sub-responsabili necessari nuovi o modificati in modo sostanziale mediante comunicazione scritta entro 30 giorni dalla notifica. Se non viene presentata un'opposizione tempestiva, l'utilizzo delle modifiche future si intende accettato decorso il termine di preavviso. In tal caso, ciascuna delle parti può recedere dal rapporto contrattuale.

8. Cancellazione e Conservazione dei Dati

8.1 Termini di Cancellazione dopo la Cessazione del Contratto

Dati dei Clienti e dei Progetti: Saranno cancellati su richiesta del Titolare del Trattamento, al più tardi 30 giorni dopo la cessazione del contratto
Backup: Saranno cancellati automaticamente in base alle policy di conservazione di Hetzner dopo circa 30-90 giorni
File di Log e Dati di Sistema: Saranno automaticamente anonimizzati o cancellati dopo 90 giorni
Documenti Finanziari e Fatture: Saranno conservati ai sensi della normativa fiscale tedesca (§14 StGB, §239 HGB) per 6-10 anni

8.2 Diritto alla Cancellazione durante l'Utilizzo

Il Titolare del Trattamento può richiedere in qualsiasi momento la cancellazione di singoli record, salvo che ciò sia impedito dalla legge. I dati cancellati non saranno recuperati.

8.3 Esportazione dei Dati

Il Titolare del Trattamento può richiedere l'esportazione dei dati in un formato strutturato e di uso comune (es. CSV, JSON) per consentirne la portabilità.

9. Diritti e Obblighi del Titolare del Trattamento

9.1 Istruzioni del Titolare del Trattamento

Il Titolare del Trattamento può impartire istruzioni per il trattamento dei dati personali tramite:

Configurazione delle impostazioni della piattaforma
Istruzione esplicita per iscritto via email a [email protected]
Utilizzo degli endpoint API con i parametri appropriati

9.2 Cooperazione del Titolare del Trattamento

Il Titolare del Trattamento è responsabile di:

Tutela delle credenziali di accesso e dei codici di accesso
Conformità con le leggi applicabili nella raccolta dei dati dei clienti
Esattezza e liceità dei dati trattati
Documentazione della base giuridica del trattamento
Notifica agli interessati ai sensi del GDPR (ove richiesto)

9.3 Informativa sulla Privacy del Titolare del Trattamento

Il Titolare del Trattamento è responsabile di fornire ai propri clienti finali una propria informativa sulla privacy che indichi che i dati vengono trasmessi a PlotonIQ / al Responsabile del Trattamento.

10. Diritti e Obblighi degli Interessati

Il Responsabile del Trattamento supporta il Titolare del Trattamento nell'adempimento dei diritti degli interessati:

Diritto di Accesso (Art. 15 GDPR): Il Titolare del Trattamento può richiedere l'accesso; il Responsabile del Trattamento risponderà entro 14 giorni
Diritto di Rettifica (Art. 16 GDPR): Gli interessati possono correggere o richiedere la correzione di dati erronei
Diritto alla Cancellazione (Art. 17 GDPR): Le richieste di cancellazione saranno trattate entro 14 giorni (salvo gli obblighi legali di conservazione)
Diritto di Limitazione del Trattamento (Art. 18 GDPR): Disponibile tramite le impostazioni della piattaforma
Diritto alla Portabilità dei Dati (Art. 20 GDPR): Il Titolare del Trattamento può esportare i dati in un formato standard
Diritto di Opposizione (Art. 21 GDPR): Si applica al trattamento basato su legittimi interessi

11. Violazioni dei Dati e Obblighi di Notifica

11.1 Notifica delle Violazioni dei Dati

In caso di violazione dei dati, il Responsabile del Trattamento informerà il Titolare del Trattamento immediatamente, ma comunque entro e non oltre 24 ore, per iscritto. La notifica include:

Natura ed entità della violazione
Categorie e numero approssimativo degli interessati coinvolti
Probabili conseguenze della violazione
Misure adottate e pianificate per porre rimedio e mitigare i danni
Nome e dati di contatto del Responsabile della Protezione dei Dati o della persona di contatto

11.2 Cooperazione con le Autorità

Il Responsabile del Trattamento coopererà con il Titolare del Trattamento e con le autorità competenti per la protezione dei dati e assisterà il Titolare del Trattamento in:

Notifica agli interessati
Segnalazione all'autorità di controllo competente
Indagini e audit

12. Diritti di Audit del Titolare del Trattamento

12.1 Diritti di Ispezione

Il Titolare del Trattamento ha il diritto, su richiesta, di verificare le modalità con cui il Responsabile del Trattamento tratta i dati personali:

Accesso al Registro delle Attività di Trattamento
Verifica delle misure di sicurezza
Audit con preavviso

Gli audit dovrebbero svolgersi durante il normale orario lavorativo e non devono compromettere in modo sostanziale le operazioni.

12.2 Certificati e Audit

Il Responsabile del Trattamento fornirà le seguenti evidenze:

Certificato Hetzner ISO-27001 (provider di hosting)
Rapporto SOC-2 (se disponibile)
Politiche di sicurezza e catalogo delle misure

13. Privacy by Design e Privacy by Default

Il Responsabile del Trattamento implementa la privacy by design ai sensi dell'Art. 25 GDPR:

Raccolta minima dei dati: vengono raccolti solo i dati necessari
Pseudonimizzazione: i fingerprint del browser sono soggetti ad hashing
Cifratura: AES-256 per i dati sensibili
Controllo degli accessi: permessi basati su ruoli
Revisione regolare: audit e penetration testing

14. Trattamento tramite IA e Decisioni Automatizzate

14.1 Natura del Trattamento tramite IA

PlotonIQ utilizza l'IA per:

Calcoli dei preventivi (API Anthropic Claude)
Embedding di testo con OpenAI text-embedding-3-large (1536 dimensioni) per ricerca semantica e risposte AI contestuali (RAG)
Riconoscimento di superfici e misurazioni dalle foto (SAM/DINO — locale presso Hetzner)
Trascrizione di memo audio (funzione STT opzionale; principalmente Groq whisper-large-v3, OpenAI gpt-4o-transcribe solo come riserva quando utilizzato e configurato)
Generazione di analisi e raccomandazioni aziendali

Per gli embedding e il RAG di OpenAI vengono trasmessi solo estratti di testo vincolati alla finalità, in particolare estratti di testi di ordini, memo e opportunità. A seconda dei contenuti dell'utente possono esservi inclusi nomi dei clienti, dati di contatto, indirizzi e dati di misurazione, di progetto o di nota.

Non vengono trasmessi a OpenAI per embedding/RAG i dati di pagamento Stripe, le credenziali di accesso o gli hash delle password, i dump grezzi del database backend o le esportazioni di dati, i dati immagine SAM/DINO per la segmentazione visiva, né intenzionalmente categorie particolari di dati personali ai sensi dell'Art. 9 GDPR.

14.2 Nessuna Decisione Puramente Automatizzata

Ai sensi dell'Art. 22 GDPR, NON sussiste alcuna decisione puramente automatizzata con effetto giuridico. Ciò significa che:

I calcoli dell'IA sono SUGGERIMENTI, non vincolanti
Gli utenti decidono sempre manualmente
Nessun rifiuto automatizzato di ordini o clienti

14.3 Trasparenza nell'Uso dell'IA

Gli utenti vengono chiaramente informati quando l'IA è coinvolta in un processo tramite:

Aree etichettate nell'interfaccia utente (es. "Suggerimento IA")
Spiegazione dell'approccio IA nei testi della guida
La presente Informativa sulla Privacy e il presente DPA

15. EU AI Act — Conformità

I sistemi di IA utilizzati in PlotonIQ sono classificati ai sensi dell'EU AI Act:

Generazione di Testo (API Claude): Rischio limitato — requisiti di trasparenza adempiuti
Ricerca Semantica e RAG (OpenAI text-embedding-3-large, 1536 dimensioni): Rischio limitato — funzione di assistente e contesto, nessuna decisione automatizzata
Riconoscimento delle Misurazioni (SAM/DINO): Rischio limitato — eseguito localmente, nessun trasferimento verso paesi terzi
Trascrizione Audio (Groq whisper-large-v3, OpenAI gpt-4o-transcribe come riserva): Rischio limitato — opt-in dell'utente richiesto

NON sono presenti applicazioni di IA ad alto rischio ai sensi dell'AI Act.

16. Tariffe e Costi

Il presente Accordo sul Trattamento dei Dati è incluso come parte del contratto di abbonamento. NON sono previste tariffe aggiuntive per la conformità al presente DPA.

17. Base Giuridica e Ambito di Applicazione

Base Giuridica Primaria: GDPR UE (2016/679), GDPR, Direttiva ePrivacy (Germania)
Ambito di Applicazione: Tutti gli utenti con sede legale in Germania o nell'UE
In Vigore Dal: 1° aprile 2026
Lingua: Tedesco; in caso di discrepanze, si applica la versione tedesca

18. Durata e Cessazione

18.1 Durata Vincolata al Contratto

Il presente DPA decorre parallelamente al contratto di abbonamento. Alla cessazione dell'abbonamento, anche il presente DPA cessa.

18.2 Recesso

Il recesso dal presente DPA è possibile solo congiuntamente al recesso dal contratto di abbonamento.

18.3 Effetti della Cessazione

Dopo la cessazione, i dati dei clienti saranno cancellati ai sensi della Sezione 8 o conservati se richiesto dalla legge.

19. Modifiche al Presente DPA

Il Responsabile del Trattamento può modificare il presente DPA con un preavviso di 30 giorni se:

Lo richiedono requisiti legali o regolamentari
La modifica migliora la protezione dei dati personali
Il Titolare del Trattamento non si oppone per iscritto entro 30 giorni

Il Titolare del Trattamento sarà informato delle modifiche in anticipo per iscritto.

20. Contatti e Reclami

20.1 Indirizzo di Contatto del Responsabile del Trattamento

K-Werbetechnik / PlotonIQ
Banatstraße 31
66424 Homburg
Germania
Email: [email protected]
Telefono: +49 (0)6821-6797414

20.2 Autorità per la Protezione dei Dati

I reclami relativi al trattamento dei dati possono essere presentati all'autorità competente per la protezione dei dati. I dati di contatto per la Germania (Saarland) sono:

Independent Data Protection Center Saarland
Fritz-Dobisch-Straße 12
66111 Saarbrücken, Germania
Email: [email protected]
Sito web: www.datenschutz.saarland.de

21. Validità e Clausola di Salvaguardia

Qualora una qualsiasi disposizione del presente DPA risulti invalida, ciò non pregiudica la validità dell'intero accordo. Le parti concorderanno una valida disposizione sostitutiva che corrisponda allo scopo economico dell'accordo originario.

22. Disposizioni Finali

Il presente Accordo sul Trattamento dei Dati entra in vigore il 1° aprile 2026 ed è vincolante per tutti i clienti PlotonIQ che concludono un contratto a partire da tale data o che rinnovano contratti esistenti.

Versione: 1.1

In vigore dal: 1° aprile 2026

Ultimo aggiornamento: 10 maggio 2026