Versione 1.0 — 2 settembre 2026. Questo contratto forma parte integrante del contratto di servizio (termini e condizioni) e si accetta all’interno dell’applicazione al momento dell’attivazione dell’account. Su richiesta se ne fornisce copia firmata.
1. Parti e ruoli
- Titolare del trattamento: l’azienda cliente che contratta la piattaforma.
- Responsabile del trattamento: AIRON TEAM SL, con sede in Plaza Mayor 23, 1.º A, 47001 Valladolid, España, NIF En trámite de asignación (sociedad de reciente constitución), email privacidad@airon.team.
2. Oggetto, durata, natura e finalità
Oggetto: erogazione della piattaforma AIRON, che comporta il trattamento automatizzato dei dati personali contenuti nei sistemi collegati dal Cliente (email, fatturazione, CRM, account di marketing, archiviazione documentale e canali di messaggistica) e nelle sue interazioni con la piattaforma. Durata: per tutta la vigenza del contratto principale, più il periodo di transizione della clausola 12 e i termini di conservazione applicabili. Natura: raccolta, registrazione, strutturazione, conservazione, consultazione, estrazione, raffronto, interconnessione, trasmissione a sub-responsabili, generazione di contenuto derivato mediante modelli linguistici e cancellazione. Finalità: esclusivamente erogare il servizio contrattato e le funzioni che il Cliente attiva.
3. Categorie di dati e di interessati
Dati identificativi e di contatto, dati commerciali e di fatturazione, contenuto di email e allegati, dati di CRM, dati di marketing aggregati, audio e trascrizioni vocali e metadati d’uso, relativi a personale, clienti, fornitori e contatti del Cliente. Il servizio non è destinato al trattamento di categorie particolari di dati (art. 9 GDPR), benché possano comparire in modo incidentale nel contenuto delle email sincronizzate: è una circostanza che il Titolare deve valutare nella propria analisi dei rischi.
4. Istruzioni documentate — art. 28.3.a)
Il Responsabile tratta i dati unicamente secondo le istruzioni documentate del Titolare. Costituiscono istruzioni documentate: il presente contratto, il contratto principale, la configurazione stabilita dal Cliente nella piattaforma (connettori attivati, agenti abilitati, politiche di approvazione, ambito documentale per reparto) e le istruzioni scritte inviate a privacidad@airon.team. Se un’istruzione risulta contraria alla normativa, il Responsabile lo comunica senza indugio e può sospenderne l’esecuzione.
5. Riservatezza — art. 28.3.b)
Le persone autorizzate al trattamento sono vincolate alla riservatezza, per contratto o per obbligo di legge, e tale vincolo sopravvive alla cessazione del rapporto.
6. Misure di sicurezza — art. 28.3.c) e art. 32
Si applicano le misure tecniche e organizzative descritte in misure di sicurezza, che distinguono espressamente ciò che è verificato oggi da ciò che è pianificato. Le misure sono riviste almeno una volta l’anno e dopo ogni incidente rilevante.
7. Sub-responsabili — art. 28.3.d) e 28.2
Il Titolare concede autorizzazione generale. L’elenco vigente è pubblicato in lista di sub-responsabili. Ogni inserimento o sostituzione si notifica con 30 giorni naturali di anticipo; il Titolare può opporsi motivatamente entro tale termine e, se l’opposizione è fondata e non esiste alternativa ragionevole, risolvere senza penali il servizio interessato. Il Responsabile impone contrattualmente a ogni sub-responsabile gli stessi obblighi e risponde del loro inadempimento.
8. Assistenza sui diritti — art. 28.3.e) e f)
- Se un interessato si rivolge direttamente al Responsabile, questi non risponde nel merito e trasmette la richiesta al Titolare entro un massimo di 3 giorni lavorativi.
- Il Responsabile evade le richieste di assistenza del Titolare entro un massimo di 10 giorni lavorativi, termine sufficiente perché il Titolare rispetti il mese dell’art. 12.3 GDPR.
- Il Responsabile assiste inoltre il Titolare negli artt. da 32 a 36 GDPR: sicurezza, notifica delle violazioni, valutazione d’impatto e consultazione preventiva.
9. Violazioni della sicurezza — art. 33
Il Responsabile notifica al Titolare senza indebito ritardo, con l’obiettivo di non superare le 48 ore dalla presa di conoscenza, indicando natura della violazione, categorie e numero approssimativo di interessati e registri, conseguenze probabili, misure adottate e punto di contatto. Se l’informazione non è disponibile integralmente, si trasmette in modo graduale. Il Responsabile non notifica all’autorità di controllo in nome del Titolare salvo istruzione scritta di quest’ultimo.
10. Trasferimenti internazionali e luogo del trattamento — art. 28.3.a) e Capo V
Il trattamento principale avviene a Francoforte sul Meno (Germania, UE). Le trasferte verso paesi terzi si amparano nel Data Privacy Framework UE-USA, quando l’importatore è certificato e attivo, o nelle Clausole Contrattuali Tipo della Decisione (UE) 2021/914, Modulo 3, con valutazione d’impatto del trasferimento e misure supplementari. Il dettaglio per fornitore è in lista di sub-responsabili. In caso di conflitto tra il presente contratto e le clausole tipo, prevalgono queste ultime.
11. Trattamento mediante intelligenza artificiale
- La piattaforma invoca modelli linguistici di terzi per generare risposte, bozze e classificazioni.
- Nessun addestramento con i dati del Cliente, né di modelli propri né di terzi; l’esclusione dall’addestramento è contrattata con il fornitore di inferenza.
- Revisione umana degli invii: nessuna comunicazione in uscita verso terzi parte automaticamente. È una garanzia contrattuale, non solo una caratteristica del prodotto.
- Non si adottano decisioni automatizzate ai sensi dell’art. 22 GDPR.
- Regolamento (UE) 2024/1689: AIRON è fornitore del sistema di IA e mantiene registro degli avvisi di trasparenza e marcatura del contenuto generato (art. 50). Il Cliente, come deployer, assume gli obblighi che il Regolamento gli attribuisce, inclusa l’alfabetizzazione in materia di IA dell’art. 4.
- I modelli generativi possono produrre contenuti inesatti: la verifica umana resta necessaria.
12. Cambio di fornitore — Regolamento (UE) 2023/2854 (Data Act)
- Preavviso di risoluzione: massimo 2 mesi.
- Periodo di transizione: 30 giorni naturali con servizio pienamente operativo, prorogabile una sola volta con giustificazione scritta.
- Formato: aperto, strutturato, di uso comune e leggibile da macchina; il registro dei dati esportabili è pubblicato in portabilità e cambio di fornitore.
- Tariffe: AIRON non applica alcuna tariffa di cambio, anticipando il divieto in vigore dal 12 gennaio 2027.
- Accesso di autorità di paesi terzi (art. 32): si verifica la base giuridica, si informa il Cliente salvo divieto legale, si fornisce il minimo consentito e si documenta la richiesta e la risposta.
13. Cancellazione o restituzione al termine — art. 28.3.g)
A scelta del Titolare, comunicata per iscritto prima della fine del periodo di transizione, il Responsabile cancella o restituisce i dati e cancella le copie esistenti. La cancellazione si esegue in modo coordinato su database relazionale, base vettoriale e cache. Le copie di sicurezza cifrate hanno una conservazione di 30 giorni: i dati cancellati spariscono dalle copie per rotazione entro tale termine, senza cancellazione selettiva all’interno di una copia. Su richiesta si emette certificato di distruzione entro 15 giorni dall’esecuzione.
14. Informazione e audit — art. 28.3.h)
Il Responsabile mette a disposizione le informazioni necessarie a dimostrare l’adempimento e consente audit e ispezioni, con preavviso minimo di 30 giorni (5 giorni lavorativi dopo una violazione che riguardi il Titolare), un audit ordinario per periodo di 12 mesi, accordo di riservatezza dell’auditor e senza accesso ai dati di altri clienti. AIRON non dispone di certificazioni ISO 27001 o SOC 2: la via è l’audit diretto.
15. Responsabilità, legge applicabile e versioni
Ciascuna parte risponde dei danni causati da un trattamento contrario alla normativa nei termini dell’art. 82 GDPR. Il contratto è disciplinato dal diritto spagnolo e dal diritto dell’Unione Europea. Per i clienti colombiani si applica in parallelo la Politica di trattamento dei dati personali (Colombia) e il relativo contratto di trasmissione internazionale.
Ogni modifica di questo contratto si numera e si comunica al Cliente con 30 giorni di anticipo. Contesto operativo nell’informativa della piattaforma. Per richiedere copia firmata: privacidad@airon.team o info@airon.team.