Accordo sul trattamento dei dati
Introduzione
Il presente accordo disciplina il trattamento dei dati personali da parte di revzper SAS (responsabile del trattamento) per conto del cliente (titolare del trattamento).
1. Ambito e istruzioni
Il responsabile del trattamento tratterà i dati personali esclusivamente sulla base di istruzioni scritte fornite tramite un canale sicuro e registrate nei registri dei trattamenti del titolare del trattamento. revzper SAS confermerà la ricezione delle istruzioni e documenterà tutte le azioni adottate per garantire la conformità in risposta alle stesse. Il responsabile del trattamento garantirà che le persone autorizzate a trattare i dati personali si siano impegnate a rispettare la riservatezza. Il responsabile del trattamento attuerà misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio. Il responsabile del trattamento assisterà il titolare del trattamento nel garantire il rispetto degli obblighi.
2. Codice sorgente e metadati del repository
Laddove il titolare del trattamento li sottoponga per analisi, i dati personali trattati ai sensi del presente Accordo comprendono il codice sorgente e i metadati del repository: percorsi dei file, oggetti, date e conteggi dei commit, e righe di configurazione, che possono identificare i collaboratori del titolare del trattamento, nonché i nomi, i numeri di processo e gli orari di avvio dei programmi in esecuzione sui computer del titolare del trattamento.
Rif.: GDPR Art. 28(3)
3. Nessun addestramento sui dati personali
revzper SAS non utilizza i dati personali trattati ai sensi del presente Accordo per addestrare o perfezionare modelli di AI. Il perfezionamento di un modello per il titolare del trattamento richiede un accordo scritto separato con il titolare del trattamento e viene effettuato esclusivamente sui dati che il titolare del trattamento ha esplicitamente designato a tale scopo. L'unica eccezione è costituita dai feedback che un utente invia tramite un'applicazione dopo aver selezionato, per tale feedback, una casella separata che viene deselezionata ogni volta e non viene mai selezionata per l'utente. revzper SAS tratta quindi tale feedback in qualità di titolare del trattamento, sulla base del consenso dell'utente: rimuove i segreti e i dati che identificano una persona prima che il feedback confluisca in un dataset; utilizza tale dataset esclusivamente per testare, addestrare e perfezionare i modelli di AI che alimentano le funzionalità della piattaforma per tutti gli utenti, e mai un modello creato per un altro cliente; può far eseguire l'addestramento da un fornitore di AI nell'Unione europea che agisce in qualità di suo responsabile del trattamento, ai sensi di un contratto che vieta a tale fornitore di utilizzare il dataset per proprie finalità; e conserva ciascun elemento per un periodo massimo di un anno. Il titolare del trattamento rimane responsabile del fatto che i propri utenti abbiano il diritto di condividere i contenuti allegati al loro feedback.
Rif.: GDPR Art. 28(3)(a), GDPR Art. 28(10)
4. Azioni successive alla cessazione
In caso di cessazione del presente Accordo o delle istruzioni del titolare del trattamento, revzper SAS dovrà:
Azioni predefinite
- Cancellare tutti i dati personali entro 30 giorni dalla cessazione, salvo diversa istruzione scritta del titolare del trattamento.
- Restituire tutti i dati personali al titolare del trattamento in un formato strutturato, di uso comune e leggibile meccanicamente, qualora richiesto per iscritto dal titolare del trattamento entro 15 giorni dalla cessazione.
- Fornire al titolare del trattamento una certificazione scritta che confermi il completamento della cancellazione o della restituzione, inclusi la data e il metodo dell'azione.
- Consentire al titolare del trattamento di verificare la conformità alla presente clausola su ragionevole richiesta.
Obblighi aggiuntivi
- revzper SAS non conserverà alcun dato personale oltre il completamento delle azioni sopra indicate, salvo ove richiesto dalla legge.
Luogo del trattamento e sub-responsabili
Tutti i trattamenti dei dati personali ai sensi del presente Accordo avvengono all'interno dell'Unione europea. I dati personali sono ospitati in Francia (regione di Parigi) da Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France. I dati di pagamento sono trattati da Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands, in qualità di titolare del trattamento indipendente ai sensi dei propri termini. Le funzionalità di AI sono trattate da Microsoft Ireland Operations Limited, Dublin, Ireland (Microsoft Foundry, Azure OpenAI Service, implementazioni nella zona dati dell'Unione europea su una risorsa in Francia) e da Mistral AI SAS, 15 rue des Halles, 75001 Paris, France (La Plateforme, dati ospitati nell'Unione europea), in qualità di sub-responsabili. Un fornitore di AI configurato su richiesta del titolare del trattamento viene comunicato a tale titolare prima dell'utilizzo. revzper SAS informa il titolare del trattamento prima di incaricare qualsiasi altro sub-responsabile.
2. Fornitori e modelli di AI scelti dal titolare del trattamento
Qualora il titolare del trattamento, o un utente che agisce per suo conto, disponga di una funzionalità di AI fornita da un fornitore di AI configurato con l'account del titolare del trattamento o con l'account personale dell'utente, oppure da un modello in esecuzione sulle apparecchiature del titolare del trattamento, tale fornitore o modello è incaricato dal titolare del trattamento e non è un sub-responsabile di revzper SAS; revzper SAS al massimo gli inoltra le richieste. Il titolare del trattamento è responsabile di tale scelta, del proprio accordo con tale fornitore e della liceità del conseguente trasferimento di dati personali, indipendentemente dal ruolo svolto nel servizio dall'utente che ha effettuato tale scelta, incluso quello di creatore o amministratore.
Rif.: GDPR Art. 24, GDPR Art. 28(2)