ACCORDO SUL TRATTAMENTO DEI DATI (DPA)
Sistema FormulaFinance
Il presente Accordo sul Trattamento dei Dati (“DPA”) è parte integrante dei Termini di Servizio di FormulaFinance ed è automaticamente accettato dal cliente (“il Titolare”) al momento della sottoscrizione o dell’utilizzo del servizio, senza necessità di firma separata. Il presente DPA è stipulato tra il Titolare e FORMULA FINANCE S.R.L. (“FORMULA FINANCE” o “il Responsabile”), fornitore del servizio FormulaFinance, ai sensi dell’art. 28 del Regolamento UE 2016/679 (“GDPR”). In caso di contrasto sulle materie relative al trattamento dei dati personali, prevale il presente DPA rispetto ad altre previsioni dei Termini di Servizio.
Art. 1 – Definizioni
I termini “Titolare”, “Responsabile”, “Sub-responsabile”, “Interessato”, “Dato personale” e “Trattamento” hanno il significato di cui all’art. 4 GDPR. Per “SCC” si intendono le Clausole Contrattuali Standard approvate dalla Commissione Europea con decisione di esecuzione (UE) 2021/914, e, ove applicabili, le clausole UK (IDTA / UK Addendum).
Art. 2 – Ruoli e ambito
Il Titolare determina finalità e mezzi del trattamento dei dati personali immessi nel Sistema FormulaFinance. FORMULA FINANCE agisce quale Responsabile del trattamento e tratta i dati personali esclusivamente per conto e su istruzione documentata del Titolare, ivi inclusa l’istruzione di avvalersi delle API di Anthropic per la generazione dei report e delle analisi. FORMULA FINANCE informa senza ritardo il Titolare qualora, a suo parere, un’istruzione violi il GDPR o altra normativa applicabile.
Art. 3 – Oggetto, durata, natura e finalità del trattamento
Oggetto, natura e finalità del trattamento, categorie di interessati e di dati personali, nonché la durata, sono descritti nell’Annex 1. Il trattamento ha durata pari a quella del contratto, salvi gli obblighi di conservazione previsti dalla legge.
Art. 4 – Obblighi del Responsabile
FORMULA FINANCE si impegna a: trattare i dati personali solo su istruzione documentata del Titolare, anche in caso di trasferimento verso Paesi terzi, salvo obblighi di legge; garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o vi siano tenute per legge; adottare le misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, descritte nell’Annex 3; rispettare le condizioni per il ricorso a Sub-responsabili di cui all’Art. 6; assistere il Titolare nel dare seguito alle richieste degli interessati (artt. 12-23 GDPR); mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR.
Art. 5 – Sicurezza del trattamento
FORMULA FINANCE adotta e mantiene le misure tecniche e organizzative di cui all’Annex 3, tenuto conto dello stato dell’arte, dei costi di attuazione, della natura del trattamento e dei rischi per i diritti e le libertà degli interessati, in conformità all’art. 32 GDPR.
Art. 6 – Sub-responsabili
Il Titolare conferisce a FORMULA FINANCE un’autorizzazione generale al ricorso a Sub-responsabili. L’elenco dei Sub-responsabili in essere alla data di pubblicazione è riportato nell’Annex 2 e include il fornitore delle API LLM (Anthropic) e i fornitori di infrastruttura cloud/hosting. FORMULA FINANCE pubblica sul sito eventuali modifiche relative all’aggiunta o sostituzione di Sub-responsabili con almeno 15 (quindici) giorni di anticipo, dando al Titolare la possibilità di opporsi per motivi ragionevoli e documentati connessi alla protezione dei dati. FORMULA FINANCE impone ai Sub-responsabili, mediante contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente DPA (flow-down).
Art. 7 – Trasferimenti verso Paesi terzi
Il Titolare prende atto e accetta, utilizzando il servizio, che il trattamento comporta il trasferimento di dati personali verso Anthropic, con infrastrutture ubicate anche al di fuori dell’Unione Europea, inclusi gli Stati Uniti d’America. Tali trasferimenti avvengono sulla base delle SCC e, ove applicabili, delle clausole UK, integrate dalle misure supplementari eventualmente necessarie. Questa è la medesima soluzione adottata dalla generalità dei servizi cloud e AI professionali (es. Notion, HubSpot). FORMULA FINANCE mette a disposizione del Titolare le informazioni ragionevolmente necessarie per il completamento di una valutazione d’impatto sui trasferimenti (Transfer Impact Assessment), su richiesta.
Art. 8 – Esclusione dell'addestramento dei modelli (no-training)
FORMULA FINANCE utilizza le API commerciali di Anthropic, i cui termini contrattuali escludono l’utilizzo dei dati e dei contenuti del Titolare per l’addestramento dei modelli. Trattandosi di obbligazione di mezzi, FORMULA FINANCE garantisce la diligente selezione e configurazione del fornitore e la trasposizione contrattuale di tali obblighi (flow-down), ma non assume la posizione di garante della condotta materiale di soggetti terzi al di là degli impegni contrattuali da questi assunti. FORMULA FINANCE non utilizza in alcun caso i dati del Titolare per l’addestramento di propri modelli.
Art. 9 – Assistenza e diritti degli interessati
FORMULA FINANCE assiste il Titolare, con misure tecniche e organizzative adeguate e nella misura del possibile, nel dare seguito alle richieste di esercizio dei diritti degli interessati e trasmette senza ingiustificato ritardo al Titolare le eventuali richieste ricevute direttamente, astenendosi dal rispondervi autonomamente salvo istruzione del Titolare.
Art. 10 – Violazioni dei dati personali (data breach)
FORMULA FINANCE notifica al Titolare ogni violazione dei dati personali di cui venga a conoscenza senza ingiustificato ritardo e comunque, ove possibile, entro 48 (quarantotto) ore, fornendo le informazioni ragionevolmente disponibili utili al Titolare per adempiere ai propri obblighi di notifica di cui agli artt. 33 e 34 GDPR.
Art. 11 – Revisioni e informazioni
FORMULA FINANCE mette a disposizione del Titolare le informazioni necessarie a dimostrare la conformità agli obblighi del presente DPA, anche mediante certificazioni o report di terze parti ove disponibili.
Art. 12 – Restituzione e cancellazione dei dati
Al termine del contratto, per qualsiasi causa, FORMULA FINANCE procede alla restituzione e/o cancellazione dei dati personali secondo quanto previsto dalle Condizioni Generali di Servizio, salvi gli obblighi di conservazione previsti dalla legge.
Art. 13 – Responsabilità
La responsabilità di ciascuna parte derivante dal presente DPA è soggetta alle limitazioni e alle esclusioni previste dalle Condizioni Generali di Servizio, nei limiti consentiti dalla normativa applicabile.
Art. 14 – Accettazione e durata
Il presente DPA è pubblicato sul sito FormulaFinance ed è automaticamente accettato dal Titolare al momento della registrazione o dell’utilizzo del servizio, senza necessità di sottoscrizione separata. Ha efficacia per tutta la durata del trattamento dei dati personali da parte di FORMULA FINANCE per conto del Titolare nell’ambito del servizio.
Annex 1 – Dettagli del trattamento
Categorie di interessati: clienti, dipendenti e contatti commerciali del Titolare i cui dati sono contenuti nei documenti finanziari e contabili caricati nel Sistema.
Categorie di dati personali: dati anagrafici e di contatto, dati contabili e finanziari contenuti nei documenti caricati nel Sistema per la generazione di report ed analisi. Il Titolare si impegna a non immettere categorie particolari di dati (art. 9 GDPR) senza preventiva valutazione e accordo scritto con FORMULA FINANCE.
Natura e finalità del trattamento: elaborazione automatizzata, tramite le API di Anthropic (modelli Claude), dei dati finanziari e contabili caricati dal Titolare, ai fini della generazione di report commentati e analisi.
Durata: per tutta la durata del contratto, salvi gli obblighi di legge.
Annex 2 – Elenco dei Sub-responsabili
Elenco indicativo alla data di pubblicazione; le variazioni sono comunicate ai sensi dell’Art. 6.
- Sub-responsabile: Anthropic (PBC / Ireland)
- Servizio: API modelli LLM (Claude) per generazione report e analisi
- Ubicazione: USA / IE
- Garanzia trasferimento: SCC UE
- Sub-responsabile: Provider cloud / hosting
- Servizio: Infrastruttura, hosting, sicurezza
- Ubicazione: UE
- Garanzia trasferimento: N/A (dati in UE)
Sub-responsabile
Servizio
Ubicazione
Garanzia trasferimento
Anthropic (PBC / Ireland)
API modelli LLM (Claude) per generazione report e analisi
USA / IE
SCC UE
Provider cloud / hosting
Infrastruttura, hosting, sicurezza
UE
N/A (dati in UE)
Annex 3 – Misure tecniche e organizzative di sicurezza
- Cifratura dei dati in transito (TLS) verso le API Anthropic e, ove applicabile, a riposo;
- Controllo degli accessi basato su ruoli e protezione della chiave API;
- Segregazione degli ambienti e isolamento delle istanze dei clienti;
- Registrazione degli accessi e degli eventi rilevanti (logging);
- Procedure di backup e ripristino;
- Utilizzo di un fornitore (Anthropic) che esclude l'addestramento sui dati inviati tramite API commerciali (cfr. Art. 8);
- Gestione delle vulnerabilità e aggiornamenti di sicurezza;
- Procedura di gestione e notifica delle violazioni dei dati personali.