1. Parti
Il presente DPA è concluso tra l'Utente in qualità di Titolare del trattamento (in particolare per i dati dei propri clienti finali contenuti nei documenti caricati) e Diligenx in qualità di Responsabile del trattamento.
2. Oggetto
Diligenx tratta i dati personali per conto del Titolare al solo scopo di erogare il Servizio descritto nei Termini di Servizio (analisi documentale, estrazione clausole, generazione report).
3. Durata
Il presente DPA ha la stessa durata del contratto principale e cessa al momento della cessazione del medesimo.
4. Natura e categoria dei dati
- Categorie di interessati: parti contrattuali, amministratori, dipendenti, terzi citati nei documenti caricati.
- Categorie di dati: dati di identificazione (nome, cognome, codice fiscale, P.IVA), dati di contatto, dati professionali, dati contrattuali.
- Diligenx non tratta categorie particolari ex art. 9 GDPR salvo casi in cui esse siano incidentalmente contenute nei documenti caricati dal Titolare.
5. Obblighi di Diligenx
- Trattare i dati esclusivamente sulla base di istruzioni documentate del Titolare.
- Garantire la riservatezza del personale autorizzato.
- Adottare misure tecniche e organizzative adeguate ex art. 32 GDPR (cfr. Security Overview).
- Notificare al Titolare ogni violazione dei dati senza ingiustificato ritardo e comunque entro 72 ore.
- Assistere il Titolare nel riscontro delle richieste degli interessati.
- Mettere a disposizione le informazioni necessarie a dimostrare la conformità.
6. Subprocessor
L'Utente autorizza Diligenx ad avvalersi dei seguenti subprocessor. Eventuali modifiche saranno comunicate con preavviso di almeno 30 giorni, con facoltà di opposizione motivata da parte del Titolare.
| Subprocessor | Funzione | Sede | Region dati |
|---|---|---|---|
| Vercel Inc. | Hosting frontend | USA | Edge globale |
| Railway Corp. | Hosting backend e database | USA | us-east4 (Virginia) |
| Cloudflare R2 | Storage file | USA / EU | EU (jurisdiction) |
| Anthropic PBC | Modelli linguistici (Claude) | USA | USA |
| OpenAI L.L.C. | Embedding semantici | USA | USA |
7. Trasferimenti extra-SEE
Per i trasferimenti verso gli Stati Uniti, Diligenx adotta le Clausole Contrattuali Standard (Decisione UE 2021/914) ed eventuali misure supplementari (cifratura in transito TLS 1.3, accordi contrattuali di no-training con i fornitori di modelli AI).
8. Audit
Il Titolare ha il diritto di richiedere informazioni sulle misure adottate e, previo congruo preavviso scritto, di svolgere audit con frequenza non superiore a una volta all'anno, secondo modalità concordate.
9. Cessazione e restituzione dei dati
Alla cessazione del rapporto, Diligenx provvederà — a scelta del Titolare — alla restituzione o alla cancellazione di tutti i dati personali trattati per conto del Titolare, salvo diversi obblighi di legge.
10. Legge applicabile
Il presente DPA è regolato dalla legge italiana e dal Regolamento UE 2016/679.