Accordo sul trattamento dei dati (DPA)

Versione: 21 ottobre 2026.

1. Parti, efficacia e ambito

Il presente accordo ai sensi dell'art. 28 GDPR è parte integrante dei Termini e condizioni di Tender Hound AI. È concluso tra il cliente identificato nel contratto e nei dati del workspace, che agisce come titolare o come responsabile per conto del proprio titolare (il "Cliente"), e Laser Romae S.r.l., Via Barzanò 61, 00119 Roma, P.IVA IT12314111001, REA Roma 1364976, che agisce come responsabile o sub-responsabile (il "Responsabile"). Contatto privacy: info@laserromae.it. Il contatto del Cliente è il referente autorizzato del workspace, salvo diversa comunicazione scritta.

L'accettazione elettronica dei Termini da parte del Cliente tramite un rappresentante autorizzato comprende il presente DPA; non sono necessarie una richiesta o una firma separata. Chi conclude il contratto per un'organizzazione deve avere il potere di rappresentarla. Un semplice membro del workspace non diventa per questo titolare dei dati dell'organizzazione.

Il DPA riguarda i dati personali trattati per conto del Cliente nel workspace. I trattamenti per cui Laser Romae determina autonomamente le finalità, come gestione degli account e del contratto, fatturazione, sicurezza del servizio e riutilizzo/classificazione degli avvisi pubblici, sono descritti nell'Informativa privacy. Se il Cliente è un responsabile, deve essere autorizzato dal proprio titolare a nominare Laser Romae e comunica le istruzioni pertinenti.

2. Istruzioni documentate e obblighi del Cliente

L'Allegato A descrive oggetto, durata, natura, finalità, dati e interessati. Il Responsabile tratta i dati solo per erogare il servizio e secondo le istruzioni documentate del Cliente: contratto, DPA, configurazione e operazioni degli utenti autorizzati, ulteriori istruzioni scritte compatibili con il servizio.

Il Responsabile non vende questi dati né li utilizza per pubblicità o addestramento di modelli. Non invia note o configurazioni private del Cliente ai fornitori di inferenza. Un trattamento o trasferimento imposto dalla legge viene comunicato prima di procedere, salvo divieto legale. Il Responsabile informa immediatamente il Cliente se ritiene che un'istruzione violi la normativa sulla protezione dei dati e può sospendere l'operazione fino al chiarimento.

Il Cliente determina la base giuridica, fornisce le informative necessarie, assicura la liceità delle istruzioni e gestisce autorizzazioni e accessi degli utenti. Il servizio non è progettato per categorie particolari di dati, dati penali o informazioni di minori: il Cliente non deve inserirli senza un accordo scritto sulle misure adeguate.

3. Riservatezza e sicurezza

Le persone autorizzate devono essere vincolate alla riservatezza, ricevere istruzioni adeguate e accedere ai dati solo per le attività necessarie. Il Responsabile applica le misure dell'Allegato B, commisurate al rischio, senza ridurle in modo sostanziale durante il rapporto.

4. Sub-responsabili

Il Cliente autorizza in via generale i sub-responsabili dell'Allegato C per le attività indicate. Il Responsabile impone loro obblighi di protezione almeno equivalenti a quelli pertinenti del presente DPA e resta responsabile verso il Cliente dell'adempimento dei loro obblighi.

L'aggiunta o sostituzione di un sub-responsabile che tratti dati del Cliente viene comunicata al referente del workspace con almeno trenta giorni di anticipo, indicando identità, attività e luoghi. Il Cliente può opporsi per ragioni documentate di protezione dei dati entro tale periodo. Le parti cercano una soluzione; se non è possibile, il Cliente può cessare il servizio interessato prima dell'impiego del nuovo sub-responsabile. Un elenco aggiornato e informazioni sulla catena di trattamento sono disponibili su richiesta.

5. Trasferimenti internazionali

Il Responsabile trasferisce dati fuori dallo SEE soltanto secondo istruzioni documentate del Cliente e con un meccanismo valido ai sensi del capo V GDPR. Se utilizza clausole contrattuali standard, completa gli allegati e le valutazioni richieste e adotta eventuali misure supplementari. L'autorizzazione a un sub-responsabile non costituisce da sola un meccanismo di trasferimento. Il Cliente può richiedere informazioni sulle garanzie.

6. Diritti, assistenza e incidenti

Tenendo conto della natura del trattamento e delle informazioni disponibili, il Responsabile assiste il Cliente nella risposta agli interessati e negli adempimenti degli artt. 32-36 GDPR, comprese valutazioni d'impatto e consultazioni preventive. Inoltra le richieste relative ai dati del Cliente senza rispondere per suo conto, salvo istruzioni o obblighi legali.

Il Responsabile comunica al Cliente una violazione dei dati senza ingiustificato ritardo dopo esserne venuto a conoscenza. Fornisce, anche per aggiornamenti successivi, natura dell'incidente, categorie e numero approssimativo di interessati e registrazioni, probabili conseguenze, misure adottate o proposte e un contatto. Coopera a contenimento, recupero e notifiche del Cliente. Non rinvia la comunicazione iniziale in attesa di completare l'indagine.

7. Restituzione e cancellazione

Alla cessazione del servizio, il Cliente sceglie restituzione o cancellazione dei dati personali trattati per suo conto scrivendo a info@laserromae.it. Il Responsabile esegue l'istruzione senza ingiustificato ritardo, cancella le copie esistenti e conferma l'esecuzione, salvo conservazione imposta dalla legge; in tal caso comunica obbligo e ambito e limita il trattamento alla conservazione richiesta.

Le copie di sicurezza ancora da eliminare sono protette e isolate dall'uso ordinario; le cancellazioni vengono riapplicate prima di rimettere in uso un ripristino. Disattivare i backup non elimina le copie pregresse. Eliminare l'account di un membro non costituisce un'istruzione a eliminare il workspace del Cliente.

8. Verifica e prevalenza

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto del DPA e consente e contribuisce alle verifiche, comprese ispezioni del Cliente o di un revisore incaricato. Le parti concordano modalità proporzionate e sicure, proteggendo riservatezza e dati di altri clienti, senza impedire controlli necessari, richieste delle autorità o accertamenti su incidenti.

Per la protezione dei dati questo DPA prevale sui Termini in caso di contrasto; prevalgono comunque le clausole contrattuali standard applicabili e le norme imperative. Restano salvi i diritti degli interessati e i poteri delle autorità. Il DPA rimane efficace fino alla restituzione o cancellazione dei dati trattati per conto del Cliente.

Allegato A. Descrizione del trattamento

| Elemento | Descrizione | | ------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Oggetto e finalità | Workspace SaaS per collaborare sulle gare, gestire note, menzioni, assegnazioni, preferenze e notifiche; assistenza su istruzione del Cliente. | | Natura e operazioni | Raccolta su istruzione, registrazione, conservazione, organizzazione, consultazione, accesso dei membri autorizzati, invio di notifiche, rettifica, restituzione e cancellazione. | | Durata | Contratto e tempo necessario a eseguire restituzione/cancellazione, salvo obblighi legali comunicati. | | Interessati | Utenti e collaboratori del Cliente; rappresentanti di clienti, fornitori e altre persone legittimamente menzionate nei contenuti. | | Tipi di dati | Nomi, email professionali e profili necessari alla collaborazione; appartenenze e ruoli; note e menzioni; assegnazioni e attività; preferenze, contenuto delle notifiche e identificativi tecnici pertinenti. | | Frequenza | Continuativa durante l'utilizzo del servizio. |

Allegato B. Misure tecniche e organizzative

Accesso applicativo autenticato, password protette mediante hashing, supporto per passkey e autenticazione a due fattori.
Verifica di appartenenza e ruoli per le operazioni del workspace e separazione logica tramite identificativi dell'organizzazione.
HTTPS per connessioni pubbliche e richieste ai fornitori; URL firmati a scadenza per autorizzare il caricamento delle immagini del profilo.
Accesso del personale limitato alle necessità, riservatezza, gestione delle credenziali e revoca degli accessi non più necessari.
Gestione di vulnerabilità, incidenti e richieste sui dati; minimizzazione nei log, compresa l'esclusione dei corpi degli errori AI che potrebbero ripetere il prompt.
Disponibilità e ripristino proporzionati al rischio. I backup eventualmente attivati devono avere accessi limitati, conservazione definita e prove di ripristino; questa clausola non dichiara attivo un processo specifico.
Conservazione e cancellazione secondo le istruzioni del Cliente, verificando copie, storage e destinatari interessati.

Allegato C. Sub-responsabili autorizzati

| Operatore | Attività e dati | Luoghi | | ----------------------------- | ---------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Railway Corporation | Hosting applicativo, PostgreSQL, Redis e log; dati del workspace necessari al servizio. | Servizi attualmente nei Paesi Bassi; assistenza e subfornitori possono comportare trattamenti fuori dallo SEE secondo le garanzie applicabili. DPA. | | Cloudflare, Inc. | R2 per immagini del profilo e, solo se configurati, backup con dati del workspace. | Infrastruttura distribuita e localizzazione del bucket configurato; nessuna garanzia generale di residenza esclusivamente SEE. DPA. | | Plus Five Five, Inc. (Resend) | Inviti, menzioni, notifiche e digest; destinatari, oggetto e contenuti necessari al messaggio. | Stati Uniti e infrastrutture dei subfornitori secondo le garanzie applicabili. DPA. |

OpenRouter e i fornitori di inferenza elaborano i campi degli avvisi pubblici descritti nell'informativa, non note o configurazioni private del Cliente. Stripe e l'eventuale fornitore di fatturazione fiscale sono utilizzati per il rapporto commerciale di Laser Romae, nei ruoli descritti nell'informativa.