Accordo di trattamento dei dati (modello)

Questo è il modello dell’accordo di trattamento dei dati (DPA) che GPT Workspace stipula con i clienti business. Per riceverlo precompilato, scrivi a contact@gpt.space con la ragione sociale della tua azienda, l’indirizzo, la persona di contatto e il numero di postazioni. I processori nominati sono elencati e mantenuti aggiornati nel Trust Center.

Questo modello è fornito a scopo informativo e non costituisce consulenza legale. Fallo revisionare dal tuo consulente legale prima di firmare. I campi tra parentesi quadre vengono compilati prima della firma.

---

Questo Accordo di trattamento dei dati (“DPA”) forma parte dell’accordo per l’utilizzo di GPT Workspace (il “Servizio”) tra:

• [CUSTOMER LEGAL NAME], [CUSTOMER ADDRESS], [REGISTRATION NUMBER] (il “Cliente” o “Titolare del trattamento”), e
• GPTW LLC, 150 Central Park, Los Alamos, New Mexico, USA (il “Fornitore” o “Responsabile del trattamento”),

collettivamente le “Parti”. Entrato in vigore in data [EFFECTIVE DATE] e si applica per tutto il tempo in cui il Fornitore tratta Dati Personali per conto del Cliente.

Con “GDPR” si intende il Regolamento (UE) 2016/679 e, ove applicabile, il GDPR del Regno Unito come definito nel Data Protection Act 2018. “Dati Personali”, “Trattamento”, “Titolare del trattamento”, “Responsabile del trattamento”, “Interessato”, “Autorità di controllo” e “Violazione dei Dati Personali” hanno i significati indicati all’articolo 4 del GDPR. Con “Subprocessore” si intende una terza parte incaricata dal Fornitore di trattare Dati Personali per conto del Cliente. Con “Dati del Cliente” si intendono i Dati Personali che il Fornitore tratta per il Cliente nell’ambito dell’accordo per il Servizio, come descritto nell’Allegato 1.

2.1 Il Cliente è il Titolare del trattamento e il Fornitore è il Responsabile del trattamento dei Dati del Cliente. Qualora il Cliente agisca come responsabile del trattamento per i propri clienti, il Fornitore agisce come sub-responsabile del trattamento e il Cliente garantisce che le proprie istruzioni siano autorizzate dal relativo titolare del trattamento.

2.2 L’oggetto, la durata, la natura e la finalità del Trattamento, i tipi di Dati Personali e le categorie di Interessati sono indicati nell’Allegato 1.

3.1 Il Fornitore tratta i Dati del Cliente solo sulle istruzioni documentate del Cliente, anche per quanto riguarda i trasferimenti verso un paese terzo, a meno che non sia richiesto di farlo dal diritto dell’Unione o dello Stato membro a cui il Fornitore è soggetto; in tal caso il Fornitore informa il Cliente di tale requisito legale prima del trattamento, a meno che la legge non lo vieti.

3.2 Le istruzioni del Cliente sono: l’accordo per il Servizio, questo DPA, la configurazione che il Cliente e i suoi utenti impostano nel Servizio e le richieste che gli utenti del Cliente inviano al Servizio. Il Fornitore informa immediatamente il Cliente se, a suo avviso, un’istruzione viola il GDPR.

Il Fornitore garantisce che le persone autorizzate a trattare i Dati del Cliente si siano impegnate alla riservatezza o siano soggette a un appropriato obbligo legale di riservatezza e che l’accesso sia limitato a ciò di cui ciascuna persona ha bisogno per erogare il Servizio.

Il Fornitore implementa le misure tecniche e organizzative elencate nell’Allegato 2 e le mantiene sotto esame. Tenendo conto dello stato dell’arte, dei costi di implementazione e della natura, dell’ambito, del contesto e delle finalità del Trattamento, le misure garantiscono un livello di sicurezza adeguato al rischio.

6.1 Il Cliente concede al Fornitore un’autorizzazione scritta generale di incaricare i Subprocessori elencati nell’Allegato 3.

6.2 Il Fornitore informa il Cliente di qualsiasi aggiunta o sostituzione prevista di un Subprocessore almeno [30] giorni prima che la modifica abbia effetto, tramite e-mail a [CUSTOMER NOTIFICATION E-MAIL] e aggiornando l’elenco su https://gpt.space/trust. Il Cliente può opporti per motivi ragionevoli di protezione dei dati entro tale periodo; se le Parti non riescono a risolvere l’obiezione, il Cliente può recedere dalla parte interessata del Servizio senza penali.

6.3 Il Fornitore impone a ciascun Subprocessore, tramite contratto, gli stessi obblighi di protezione dei dati previsti in questo DPA, in particolare fornendo garanzie sufficienti per implementare adeguate misure tecniche e organizzative. Qualora un Subprocessore non adempia ai propri obblighi, il Fornitore rimane pienamente responsabile verso il Cliente per l’adempimento degli obblighi di tale Subprocessore.

Tenendo conto della natura del Trattamento, il Fornitore assiste il Cliente con adeguate misure tecniche e organizzative, per quanto possibile, per l’adempimento dell’obbligo del Cliente di rispondere alle richieste di esercizio dei diritti dell’Interessato ai sensi del Capo III del GDPR. Il Fornitore inoltra al Cliente, senza indebito ritardo, qualsiasi richiesta ricevuta direttamente da un Interessato concernente i Dati del Cliente, e non risponde ad essa se non su istruzione del Cliente o ove richiesto dalla legge.

Il Fornitore assiste il Cliente nel garantire la conformità agli obblighi degli articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva), tenendo conto della natura del Trattamento e delle informazioni disponibili per il Fornitore.

Il Fornitore notifica al Cliente senza indebito ritardo, e in ogni caso entro [48] ore, essendo venuto a conoscenza di una Violazione dei Dati Personali che riguarda i Dati del Cliente, tramite e-mail a [CUSTOMER NOTIFICATION E-MAIL]. La notifica descrive, per quanto noto al momento, la natura della violazione, le categorie e il numero approssimativo di Interessati e registrazioni interessati, le probabili conseguenze, le misure adottate o proposte e un punto di contatto; le informazioni non ancora disponibili vengono fornite in fasi senza ulteriore indebito ritardo.

10.1 A scelta del Cliente, il Fornitore cancella o restituisce tutti i Dati del Cliente al termine della fornitura del Servizio, ed elimina le copie esistenti, a meno che il diritto dell’Unione o dello Stato membro non richieda la conservazione dei Dati Personali.

10.2 Indipendentemente dal punto 10.1, il Cliente e ciascuno dei suoi utenti possono eliminare il proprio account e i dati detenuti dal Fornitore dal Servizio in qualsiasi momento; la cancellazione viene eseguita entro 24 ore dalla richiesta. Fatture e registri di pagamento sono conservati per la durata richiesta dalla legge fiscale.

11.1 Il Fornitore mette a disposizione del Cliente tutte le informazioni necessarie per dimostrare la conformità agli obblighi stabiliti nell’articolo 28 del GDPR, e consente e contribuisce agli audit, comprese le ispezioni, condotti dal Cliente o da un revisore designato dal Cliente.

11.2 Il Fornitore soddisfa innanzitutto le richieste di audit fornendo il proprio certificato ISO 27001 e il rapporto di audit (https://firebasestorage.googleapis.com/v0/b/billing-js.appspot.com/o/audit_report%2FQualtir%20ISO%2027001%20Audit%20Report.pdf?alt=media), la sua valutazione CASA Tier III e le risposte scritte a un questionario sulla sicurezza. Un’ispezione in loco o remota viene condotta al massimo [una volta all’anno], con un preavviso scritto di [30] giorni, durante l’orario di lavoro, secondo un accordo di riservatezza e a spese del Cliente, a meno che un’Autorità di controllo non richieda diversamente o non si sia verificata una Violazione dei Dati Personali.

12.1 Il Fornitore ha sede negli Stati Uniti e il Servizio è ospitato su Google Cloud Platform negli Stati Uniti. Quando i Dati del Cliente di Interessati nello SEE, nel Regno Unito o in Svizzera sono trasferiti in un paese senza decisione di adeguatezza, le Parti si basano sulle Clausole Contrattuali Standard adottate dalla Commissione Europea nella Decisione (UE) 2021/914 (Modulo Due, da titolare a responsabile, o Modulo Tre, da responsabile a responsabile, ove applicabile), che sono incorporate per riferimento, insieme all’Addendum del Regno Unito per il trasferimento internazionale dei dati per i dati del Regno Unito. I Subprocessori del Fornitore che ricevono Dati del Cliente partecipano all’EU-US Data Privacy Framework ove tale framework sia disponibile per loro; le Clausole Contrattuali Standard regolano ogni trasferimento effettuato dal Fornitore stesso.

12.2 Per le opzioni nelle Clausole Contrattuali Standard: si applica la Clausola 7 (dock clause); Clausola 9 opzione 2 (autorizzazione generale) con il periodo di preavviso di cui alla Sezione 6.2; il linguaggio facoltativo della Clausola 11 non si applica; Clausola 13 e Clausola 17: la legge di [MEMBER STATE, es. Irlanda]; Clausola 18: i tribunali di [MEMBER STATE]. L’Allegato I e l’Allegato II delle Clausole sono gli Allegati 1 e 2 di questo DPA.

Per il Cliente	Per il Fornitore
Nome: [NAME]	Nome: [NAME]
Titolo: [TITLE]	Titolo: [TITLE]
Data: [DATE]	Data: [DATE]
Firma:	Firma:

---

Elemento	Descrizione
Oggetto	Fornitura del Servizio GPT Workspace: assistenza AI all’interno di Google Docs, Sheets, Slides, Forms, Gmail, Drive, Google Chat, dell’estensione Chrome e dei server MCP.
Durata	Il termine dell’accordo per il Servizio, più i periodi di conservazione nell’Allegato 2.
Natura e scopo	Lettura dei contenuti a cui l’utente fa riferimento nel proprio account Google, invio degli stessi con il prompt dell’utente a un fornitore di modelli AI e scrittura della risposta nel file o nella chat dell’utente. Amministrazione dell’account, fatturazione e supporto.
Categorie di Interessati	Dipendenti e collaboratori del Cliente che utilizzano il Servizio; persone i cui dati compaiono nei documenti, fogli di calcolo, e-mail e file del Cliente elaborati tramite il Servizio.
Tipi di Dati Personali	Dati dell’account (nome, indirizzo e-mail, foto del profilo, identificatore dell’account Google); dati di fatturazione (nome di fatturazione, indirizzo, partita IVA); metadati di utilizzo (numero di richieste, date, titoli dei documenti); il contenuto dei prompt e dei file, e-mail e allegati Google inviati dall’utente, che possono contenere qualsiasi categoria di Dati Personali inserita dal Cliente.
Categorie speciali	Nessuna per impostazione predefinita. Il Servizio non richiede dati di categorie speciali; il Cliente decide ciò che i suoi utenti inviano. [Il Cliente deve indicare se sono previste categorie speciali: NESSUNA / DESCRIVERE]
Frequenza	Continua, ad ogni richiesta effettuata da un utente.
Conservazione	Vedere Allegato 2, “Conservazione”.

Area	Misura
Certificazioni	Sistema di gestione della sicurezza delle informazioni certificato ISO 27001 (rapporto di audit disponibile). Valutazione CASA Tier III (App Defense Alliance) per l’integrazione con Google Workspace. Conformità ai requisiti della Google API Services User Data Policy, inclusi i requisiti di Limited Use.
Hosting	Google Cloud Platform (Firebase), Stati Uniti, regioni US East e US West. I componenti che elaborano i Dati del Cliente vengono eseguiti all’interno della rete privata del Fornitore dietro bilanciatori di carico e un firewall per applicazioni Web.
Crittografia	TLS 1.2 o superiore per tutti i dati in transito. Crittografia lato server AES-256 per i dati a riposo su Firebase, gestione delle chiavi tramite GCP IAM. Token di accesso e aggiornamento Google crittografati a riposo.
Nessuna copia dei file del Cliente	I file, le e-mail e i fogli di calcolo Google vengono letti in tempo reale con il token OAuth dell’utente e non vengono copiati nell’archiviazione del Fornitore. L’unica eccezione è un file che l’utente allega per la ricerca di file, che viene caricato in un archivio vettoriale OpenAI (vedere Allegato 3): l’indice di ricerca viene eliminato 1 giorno dopo l’ultimo utilizzo e la copia viene cancellata dopo 7 giorni.
Fornitori di modelli	Utilizzati secondo i termini API che vietano l’addestramento sulle richieste. Il Fornitore non addestra mai né affina un modello sui Dati del Cliente.
Controllo degli accessi	Accesso ai sistemi di produzione limitato al personale autorizzato con account individuali, autenticazione a più fattori e privilegi minimi tramite GCP IAM. Isolamento dei dati per utente applicato dalle regole di sicurezza di Firebase. L’autenticazione a più fattori è obbligatoria per ogni account con accesso alla produzione; i diritti di accesso vengono rivisti settimanalmente.
Monitoraggio e test	Scansione continua delle vulnerabilità del GCP Security Command Center per tutte le risorse in ambito; politica di divulgazione delle vulnerabilità per ricercatori esterni.
Conservazione	Dati dell’account, thread di chat, impostazioni e metadati di utilizzo: 18 mesi dopo l’ultima attività dell’utente, o 24 ore dopo una richiesta di cancellazione. File allegati per la ricerca di file: indice di ricerca eliminato 1 giorno dopo l’ultimo utilizzo, copia caricata cancellata dopo 7 giorni. Log delle richieste del gateway dei modelli: 30 giorni, solo per uso di supporto. Prompt e risposte: elaborati in tempo reale, non conservati a lungo termine dal Fornitore. Fatture: la durata richiesta dalla legge fiscale.
Cancellazione	Cancellazione self-service dell’account e di tutti i dati correlati nel Servizio; cancellazione su richiesta entro 24 ore.
Continuità aziendale	Strumenti di backup nativi di Google Cloud e disponibilità multi-regione; backup completi ogni 7 giorni.
Personale	Obblighi di riservatezza nei contratti di lavoro e con i collaboratori; consapevolezza della sicurezza per il personale con accesso alla produzione.

L’elenco attuale è mantenuto su https://gpt.space/trust e qui riprodotto alla Data di Effetto.

Subprocessore	Scopo	Posizione
Google Cloud Platform / Firebase (Google LLC)	Hosting, database, archiviazione, autenticazione, segreti	Stati Uniti
OpenRouter, Inc.	Gateway che instrada ogni richiesta di modello al fornitore sottostante; log delle richieste conservati 30 giorni solo per supporto, mai utilizzati per l’addestramento	Stati Uniti
OpenAI	Modelli di testo e immagini; archivio vettoriale per la ricerca di file	Stati Uniti
Anthropic	Modelli Claude (fissati all’endpoint di Anthropic)	Stati Uniti
Google (AI Studio)	Modelli di testo e immagini Gemini	Stati Uniti
Perplexity	Modelli di ricerca Web	Stati Uniti
Host di inferenza OpenRouter	Host di inferenza per i modelli open-weight GLM-5.3-flash e gpt-oss-120b	Tramite OpenRouter
Typesafe	Modello decisionale dietro la formula GPT_CLASSIFY	Tramite OpenRouter
Google Programmable Search	Ricerca di immagini stock per le diapositive generate (solo query)	Stati Uniti
Stripe	Pagamenti, fatture, portale di fatturazione	Stati Uniti e Irlanda, secondo il DPA di Stripe
PostHog (istanza self-hosted)	Analisi dei prodotti	Unione Europea
Sentry	Monitoraggio degli errori	Unione Europea (regione dati UE)