Accordo di trattamento dati (modello)

Questo è il modello dell’accordo di trattamento dati (DPA) che GPT Workspace firma con i clienti business. Per riceverlo precompilato, scrivi a contact@gpt.space con il nome legale della tua azienda, l’indirizzo, la persona di contatto e il numero di postazioni. I responsabili del trattamento ivi indicati sono elencati e mantenuti aggiornati nel Trust Center.

Questo modello è fornito a scopo informativo e non costituisce consulenza legale. Fallo esaminare dal tuo consulente legale prima di firmarlo. I campi tra parentesi quadre vengono compilati prima della firma.

---

Questo Accordo di trattamento dati (“DPA”) forma parte dell’accordo per l’utilizzo di GPT Workspace (il “Servizio”) tra:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (il “Cliente” o “Titolare”), e
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (il “Fornitore” o “Responsabile del trattamento”),

insieme le “Parti”. È stipulato in data [EFFECTIVE DATE] e si applica per tutto il tempo in cui il Fornitore tratta Dati Personali per conto del Cliente.

“GDPR” indica il Regolamento (UE) 2016/679 e, ove applicabile, il GDPR del Regno Unito come definito nel Data Protection Act 2018. “Dati Personali”, “Trattamento”, “Titolare”, “Responsabile del trattamento”, “Interessato”, “Autorità di controllo” e “Violazione di Dati Personali” hanno i significati indicati all’Articolo 4 del GDPR. “Sub-responsabile” indica una terza parte incaricata dal Fornitore di trattare Dati Personali per conto del Cliente. “Dati del Cliente” indicano i Dati Personali che il Fornitore tratta per il Cliente nell’ambito dell’accordo per il Servizio, come descritto nell’Allegato 1.

2.1 Il Cliente è il Titolare e il Fornitore è il Responsabile del trattamento dei Dati del Cliente. Qualora il Cliente agisca come responsabile del trattamento per i propri clienti, il Fornitore agisce come sub-responsabile e il Cliente garantisce che le proprie istruzioni siano autorizzate dal titolare pertinente.

2.2 L’oggetto, la durata, la natura e le finalità del Trattamento, i tipi di Dati Personali e le categorie di Interessati sono indicati nell’Allegato 1.

3.1 Il Fornitore tratta i Dati del Cliente solo sulle istruzioni documentate del Cliente, comprese quelle relative ai trasferimenti verso un paese terzo, a meno che non sia richiesto di farlo dalla legge dell’Unione o dello Stato membro a cui il Fornitore è soggetto; in tal caso il Fornitore informa il Cliente di tale requisito legale prima del trattamento, a meno che la legge non lo vieti.

3.2 Le istruzioni del Cliente sono: l’accordo per il Servizio, il presente DPA, la configurazione che il Cliente e i suoi utenti impostano nel Servizio e le richieste che gli utenti del Cliente inviano al Servizio. Il Fornitore informa immediatamente il Cliente se, a suo avviso, un’istruzione viola il GDPR.

Il Fornitore garantisce che le persone autorizzate a trattare i Dati del Cliente si siano impegnate alla riservatezza o siano soggette a un appropriato obbligo statutario di riservatezza, e che l’accesso sia limitato a quanto necessario a ciascuna persona per erogare il Servizio.

Il Fornitore implementa le misure tecniche e organizzative elencate nell’Allegato 2 e le mantiene sotto revisione. Tenendo conto dello stato dell’arte, dei costi di implementazione e della natura, dell’ambito, del contesto e delle finalità del Trattamento, le misure garantiscono un livello di sicurezza adeguato al rischio.

6.1 Il Cliente concede al Fornitore un’autorizzazione scritta generale a coinvolgere i Sub-responsabili elencati nell’Allegato 3.

6.2 Il Fornitore informa il Cliente di qualsiasi aggiunta o sostituzione prevista di un Sub-responsabile almeno [30] giorni prima che la modifica abbia effetto, via e-mail a [CUSTOMER NOTIFICATION E-MAIL] e aggiornando l’elenco su https://gpt.space/trust. Il Cliente può opporsi per motivi ragionevoli di protezione dei dati entro tale periodo; se le Parti non riescono a risolvere l’obiezione, il Cliente può recedere dalla parte interessata del Servizio senza penalità.

6.3 Il Fornitore impone a ciascun Sub-responsabile, tramite contratto, gli stessi obblighi di protezione dei dati previsti dal presente DPA, fornendo in particolare garanzie sufficienti per implementare adeguate misure tecniche e organizzative. Qualora un Sub-responsabile non adempia ai propri obblighi, il Fornitore rimane pienamente responsabile verso il Cliente per l’adempimento degli obblighi di tale Sub-responsabile.

Tenendo conto della natura del Trattamento, il Fornitore assiste il Cliente con adeguate misure tecniche e organizzative, per quanto possibile, per l’adempimento dell’obbligo del Cliente di rispondere alle richieste di esercizio dei diritti dell’Interessato ai sensi del Capitolo III del GDPR. Il Fornitore inoltra al Cliente, senza ingiustificato ritardo, qualsiasi richiesta ricevuta direttamente da un Interessato riguardante i Dati del Cliente, e non risponde ad essa se non su istruzione del Cliente o ove richiesto dalla legge.

Il Fornitore assiste il Cliente nel garantire la conformità agli obblighi derivanti dagli Articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva), tenendo conto della natura del Trattamento e delle informazioni a disposizione del Fornitore.

Il Fornitore notifica al Cliente senza ingiustificato ritardo, e in ogni caso entro [48] ore, dopo essere venuto a conoscenza di una Violazione di Dati Personali che riguarda i Dati del Cliente, via e-mail a [CUSTOMER NOTIFICATION E-MAIL]. La notifica descrive, per quanto noto al momento, la natura della violazione, le categorie e il numero approssimativo di Interessati e registrazioni coinvolti, le probabili conseguenze, le misure adottate o proposte e un punto di contatto; le informazioni non ancora disponibili vengono fornite in fasi senza ulteriore ingiustificato ritardo.

10.1 A scelta del Cliente, il Fornitore cancella o restituisce tutti i Dati del Cliente dopo la fine dell’erogazione del Servizio, e cancella le copie esistenti, a meno che la legge dell’Unione o dello Stato membro non richieda la conservazione dei Dati Personali.

10.2 Indipendentemente dal punto 10.1, il Cliente e ciascuno dei suoi utenti possono eliminare il proprio account e i dati detenuti dal Fornitore dal Servizio in qualsiasi momento; la cancellazione viene eseguita entro 24 ore dalla richiesta. Fatture e registrazioni di pagamento sono conservate per la durata richiesta dalla legge fiscale.

11.1 Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie per dimostrare la conformità agli obblighi stabiliti dall’Articolo 28 del GDPR, e consente e contribuisce agli audit, comprese le ispezioni, condotti dal Cliente o da un revisore incaricato dal Cliente.

11.2 Il Fornitore soddisfa in primo luogo le richieste di audit fornendo il proprio certificato ISO 27001 e relativo rapporto di audit (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), la propria valutazione CASA Tier III e risposte scritte a un questionario sulla sicurezza. Un’ispezione in loco o remota viene condotta al massimo [una volta all’anno], con un preavviso scritto di [30] giorni, durante l’orario di lavoro, in base a un accordo di riservatezza e a spese del Cliente, a meno che un’Autorità di controllo non richieda diversamente o non si sia verificata una Violazione di Dati Personali.

12.1 Il Fornitore ha sede negli Stati Uniti e il Servizio è ospitato su Google Cloud Platform negli Stati Uniti. Quando i Dati del Cliente di Interessati nello SpEEA, nel Regno Unito o in Svizzera sono trasferiti in un paese privo di una decisione di adeguatezza, le Parti si basano sulle Clausole Contrattuali Standard adottate dalla Commissione Europea nella Decisione (UE) 2021/914 (Modulo Due, da titolare a responsabile, o Modulo Tre, da responsabile a responsabile, secondo quanto applicabile), che sono incorporate per riferimento, insieme all’Addendum britannico sul trasferimento internazionale dei dati quando sono coinvolti dati del Regno Unito. I Sub-responsabili del Fornitore che ricevono Dati del Cliente partecipano all’EU-US Data Privacy Framework laddove tale framework sia loro disponibile; le Clausole Contrattuali Standard regolano ogni trasferimento effettuato dal Fornitore stesso.

12.2 Per le opzioni nelle Clausole Contrattuali Standard: si applica la Clausola 7 (dock); Clausola 9 opzione 2 (autorizzazione generale) con il periodo di preavviso di cui alla Sezione 6.2; il linguaggio facoltativo della Clausola 11 non si applica; Clausola 13 e Clausola 17: la legge di [MEMBER STATE, es. Irlanda]; Clausola 18: i tribunali di [MEMBER STATE]. L’Allegato I e l’Allegato II delle Clausole corrispondono agli Allegati 1 e 2 del presente DPA.

Per il Cliente	Per il Fornitore
Nome: [NAME]	Nome: [NAME]
Titolo: [TITLE]	Titolo: [TITLE]
Data: [DATE]	Data: [DATE]
Firma:	Firma:

---

Elemento	Descrizione
Oggetto	Erogazione del Servizio GPT Workspace: assistenza AI all’interno di Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, dell’estensione Chrome e dei server MCP.
Durata	Il termine dell’accordo per il Servizio, più i periodi di conservazione nell’Allegato 2.
Natura e finalità	Lettura del contenuto a cui l’utente fa riferimento nel proprio account Google, invio con il prompt dell’utente a un fornitore di modelli AI e scrittura della risposta nel file o in chat dell’utente. Amministrazione dell’account, fatturazione e supporto.
Categorie di Interessati	I dipendenti e i collaboratori del Cliente che utilizzano il Servizio; le persone i cui dati compaiono nei documenti, fogli di calcolo, e-mail e file del Cliente elaborati tramite il Servizio.
Tipi di Dati Personali	Dati dell’account (nome, indirizzo e-mail, immagine del profilo, identificatore dell’account Google); dati di fatturazione (nome di fatturazione, indirizzo, partita IVA); metadati di utilizzo (numero di richieste, date, titoli dei documenti); il contenuto dei prompt e dei file Google, delle e-mail e degli allegati inviati dall’utente, che possono contenere qualsiasi categoria di Dati Personali inserita dal Cliente.
Categorie speciali	Nessuna per impostazione predefinita. Il Servizio non richiede dati di categorie speciali; è il Cliente a decidere cosa inviano i suoi utenti. [Il Cliente deve indicare se sono previste categorie speciali: NESSUNA / DESCRIVERE]
Frequenza	Continua, ad ogni richiesta effettuata da un utente.
Conservazione	Vedi Allegato 2, “Conservazione”.

Area	Misura
Certificazioni	Sistema di gestione della sicurezza delle informazioni certificato ISO 27001 (report di audit disponibile). Valutazione CASA Tier III (App Defense Alliance) per l’integrazione con Google Workspace. Conformità alla policy sui dati utente dei Google API Services, inclusi i requisiti di Limited Use.
Hosting	Google Cloud Platform (Firebase), Stati Uniti, regioni US East e US West. I componenti che trattano i Dati del Cliente vengono eseguiti all’interno della rete privata del Fornitore, dietro bilanciatori di carico e un firewall per applicazioni web.
Crittografia	TLS 1.2 o superiore per tutti i dati in transito. Crittografia lato server AES-256 a riposo su Firebase, gestione delle chiavi tramite GCP IAM. Token di accesso e di aggiornamento di Google crittografati a riposo.
Nessuna copia dei file del Cliente	I file Google, le e-mail e i fogli di calcolo vengono letti in tempo reale con il token OAuth dell’utente e non vengono copiati nell’archivio del Fornitore. L’unica eccezione è un file allegato dall’utente per la ricerca di file, che viene caricato in un archivio vettoriale OpenAI (vedi Allegato 3): l’indice di ricerca viene eliminato 1 giorno dopo l’ultimo utilizzo e la copia viene cancellata dopo 7 giorni.
Fornitori di modelli	Utilizzati secondo termini API che vietano l’addestramento sulle richieste. Il Fornitore non addestra mai né ottimizza un modello sui Dati del Cliente.
Controllo degli accessi	Accesso ai sistemi di produzione limitato al personale autorizzato con account individuali, autenticazione a più fattori e privilegi minimi tramite GCP IAM. Isolamento dei dati per utente applicato dalle regole di sicurezza di Firebase. L’autenticazione a più fattori è obbligatoria per ogni account con accesso alla produzione; i diritti di accesso vengono rivisti settimanalmente.
Monitoraggio e test	Scansione continua delle vulnerabilità tramite GCP Security Command Center di tutte le risorse in ambito; policy di divulgazione delle vulnerabilità per ricercatori esterni.
Conservazione	Dati dell’account, thread di chat, impostazioni e metadati di utilizzo: 18 mesi dopo l’ultima attività dell’utente, o 24 ore dopo una richiesta di cancellazione. File allegati per la ricerca: indice di ricerca eliminato 1 giorno dopo l’ultimo utilizzo, copia caricata cancellata dopo 7 giorni. Log delle richieste del gateway dei modelli: 30 giorni, solo per uso di supporto. Prompt e risposte: elaborati in tempo reale, non conservati a lungo termine dal Fornitore. Fatture: la durata richiesta dalla legge fiscale.
Cancellazione	Cancellazione self-service dell’account e di tutti i dati correlati nel Servizio; cancellazione su richiesta entro 24 ore.
Continuità operativa	Strumenti nativi di backup e disponibilità multi-regione di Google Cloud; backup completi ogni 7 giorni.
Personale	Obblighi di riservatezza nei contratti di lavoro e con i collaboratori; sensibilizzazione sulla sicurezza per il personale con accesso alla produzione.

L’elenco attuale è mantenuto su https://gpt.space/trust e riprodotto qui alla Data di Entrata in Vigore.

Sub-responsabile	Scopo	Posizione
Google Cloud Platform / Firebase (Google LLC)	Hosting, database, archiviazione, autenticazione, secret	Stati Uniti
OpenRouter, Inc.	Gateway che instrada ogni richiesta di modello al fornitore sottostante; log delle richieste conservati 30 giorni solo per supporto, mai utilizzati per l’addestramento	Stati Uniti
OpenAI	Modelli di testo e immagini; archivio vettoriale per la ricerca di file	Stati Uniti
Anthropic	Modelli Claude (fissati all’endpoint di Anthropic)	Stati Uniti
Google (AI Studio)	Modelli di testo e immagini Gemini	Stati Uniti
Perplexity	Modelli di ricerca web	Stati Uniti
Host di inferenza OpenRouter	Host di inferenza per i modelli open-weight GLM-5.3-flash e gpt-oss-120b	Tramite OpenRouter
Typesafe	Modello decisionale dietro la formula GPT_CLASSIFY	Tramite OpenRouter
Google Programmable Search	Ricerca di immagini stock per le diapositive generate (solo query)	Stati Uniti
Stripe	Pagamenti, fatture, portale di fatturazione	Stati Uniti e Irlanda, secondo la DPA di Stripe
PostHog (istanza self-hosted)	Analisi di prodotto	Unione Europea
Sentry	Monitoraggio degli errori	Unione Europea (regione dati UE)