Accordo sul trattamento dei dati

Questo Accordo sul trattamento dei dati («DPA») è concluso, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»), tra:

• il cliente che usa la piattaforma Eteris — impresa, ente, professionista o agenzia — in qualità di titolare del trattamento («Titolare»);
• Absolute Beyond S.r.l., con sede legale in Viale delle Rughe n. 172, 00060 Formello (RM), C.F. e P.IVA 17880231000, iscritta al Registro delle Imprese di Roma, REA RM-1748360, in qualità di responsabile del trattamento («Responsabile» o «Eteris»).

Il DPA fa parte dei Termini e Condizioni ed è accettato con essi al momento della registrazione, senza bisogno di firme. Chi desidera una copia controfirmata può richiederla a hello@eteris.ai.

2.1. Il Titolare usa la piattaforma Eteris per gestire workspace, documenti, pratiche e per la ricerca e la valutazione di bandi pubblici, per la propria organizzazione e/o per i propri clienti.

2.2. Nella misura in cui Eteris tratta, per conto del Titolare, dati personali contenuti nei documenti e nei materiali caricati dal Titolare o dai suoi utenti autorizzati, le parti disciplinano tale trattamento con il presente DPA, che integra i Termini e Condizioni («Contratto principale»).

3.1. Il Titolare nomina Eteris, che accetta, responsabile del trattamento per i trattamenti svolti per suo conto nell'erogazione del servizio, e in particolare per:

• ospitare, organizzare, conservare e rendere disponibili i contenuti e i documenti caricati dal Titolare;
• estrarre e analizzare, anche con strumenti di intelligenza artificiale, il testo dei documenti nei casi descritti nella Privacy Policy, per erogare le funzioni richieste;
• consentire l'accesso ai workspace agli utenti autorizzati dal Titolare;
• fornire assistenza tecnica, manutenzione, copie di sicurezza e supporto operativo.

3.2. Restano esclusi i trattamenti che Eteris svolge come titolare autonomo, descritti nella Privacy Policy: gestione dell'account e del rapporto contrattuale, fatturazione, sicurezza del servizio, prevenzione degli abusi, adempimenti di legge.

Il DPA ha effetto dall'accettazione dei Termini e Condizioni e per tutta la durata del servizio. Alla cessazione si applica l'art. 14.

5.1. Il trattamento consiste in raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, messa a disposizione e cancellazione dei dati, e in ogni altra operazione necessaria al servizio.

5.2. Le finalità sono quelle determinate dal Titolare nell'ambito della propria attività e dell'uso della piattaforma per sé e per i propri clienti.

6.1. Categorie di dati: dati identificativi e di contatto; dati societari e professionali; dati contenuti in visure, bilanci, DURC, atti costitutivi e altri documenti; dati contenuti nella documentazione dei bandi e dei progetti; dati relativi a ruoli, deleghe, cariche, pratiche e candidature.

6.2. Categorie di interessati: clienti del Titolare; imprenditori individuali e professionisti; amministratori, soci e legali rappresentanti; dipendenti, collaboratori e referenti; terzi citati nei documenti caricati.

7.1. Eteris tratta i dati solo su istruzione documentata del Titolare, salvo che il diritto dell'Unione o nazionale imponga altrimenti; in tal caso ne informa il Titolare prima del trattamento, se la legge non lo vieta.

7.2. Costituiscono istruzioni documentate: il Contratto principale, il presente DPA, le impostazioni e i permessi configurati dal Titolare nella piattaforma e le ulteriori istruzioni scritte accettate da Eteris.

7.3. Il Titolare garantisce che le istruzioni e i materiali caricati sono leciti e che la loro condivisione con Eteris e con i sub-responsabili è conforme alla normativa.

Eteris si impegna a:

• a) trattare i dati secondo il DPA e le istruzioni ricevute;
• b) garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• c) adottare le misure di sicurezza dell'art. 32 GDPR descritte nell'Allegato B;
• d) assistere il Titolare nel rispondere alle richieste degli interessati;
• e) assistere il Titolare negli obblighi su sicurezza, violazioni dei dati, valutazioni d'impatto e consultazione preventiva, tenuto conto della natura del trattamento;
• f) mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consentire le verifiche dell'art. 15;
• g) al termine del rapporto cancellare o restituire i dati, salvo obblighi di legge.

9.1. Eteris adotta le misure tecniche e organizzative descritte nell'Allegato B.

9.2. Eteris può aggiornare le misure purché il livello complessivo di protezione non diminuisca.

10.1. Il Titolare autorizza in via generale Eteris a ricorrere ai sub-responsabili elencati nell'Allegato A, ai quali Eteris impone obblighi di protezione dei dati sostanzialmente equivalenti a quelli del DPA.

10.2. Eteris comunica l'aggiunta o la sostituzione di un sub-responsabile aggiornando l'Allegato A e avvisando i clienti per e-mail almeno 30 giorni prima; il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, se l'opposizione non è risolta, recedere dal Contratto principale senza penali.

10.3. Eteris resta pienamente responsabile verso il Titolare degli adempimenti dei propri sub-responsabili.

11.1. I trasferimenti verso Paesi terzi avvengono nel rispetto del Capo V del GDPR: decisione di adeguatezza, inclusa la certificazione EU-US Data Privacy Framework per i fornitori che vi aderiscono, oppure clausole contrattuali standard della Commissione europea.

11.2. Su richiesta del Titolare, Eteris fornisce informazioni sulle garanzie applicate a ciascun trasferimento.

12.1. Eteris assiste il Titolare, con misure tecniche e organizzative adeguate, nel rispondere alle richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità.

12.2. Se riceve direttamente una richiesta relativa a dati trattati per conto del Titolare, Eteris la inoltra senza ritardo al Titolare.

13.1. Eteris notifica al Titolare, senza ingiustificato ritardo, ogni violazione dei dati personali trattati per suo conto di cui venga a conoscenza.

13.2. La notifica descrive, per quanto disponibile: la natura della violazione; le categorie e il numero approssimativo di interessati e di registrazioni coinvolte; le probabili conseguenze; le misure adottate o proposte per porvi rimedio.

13.3. Eteris collabora con il Titolare per le eventuali notifiche all'autorità di controllo e agli interessati.

14.1. Alla cessazione del rapporto, salvo obblighi di legge, Eteris cancella i dati trattati per conto del Titolare o, su richiesta formulata prima della cessazione, li restituisce. Il Titolare può scaricare i propri documenti dalla piattaforma in qualsiasi momento.

14.2. La cancellazione dell'account da parte del Titolare elimina subito i dati e i documenti; un workspace archiviato è cancellato definitivamente dopo 30 giorni. Restano i tempi tecnici delle copie di sicurezza (fino a 7 giorni).

15.1. Il Titolare può chiedere le informazioni ragionevolmente necessarie a dimostrare la conformità di Eteris al DPA.

15.2. Le verifiche presso Eteris sono ammesse una volta l'anno, salvo violazioni dei dati o gravi e documentati indizi di non conformità, con richiesta scritta e preavviso di almeno 30 giorni, in orario lavorativo e senza compromettere la sicurezza, la riservatezza e l'operatività di Eteris e degli altri clienti.

15.3. I costi delle verifiche sono a carico del Titolare, salvo che emerga un grave inadempimento di Eteris.

Il Titolare dichiara e garantisce di:

• avere titolo e base giuridica per i trattamenti affidati a Eteris;
• aver informato gli interessati e, dove necessario, raccolto il loro consenso;
• non impartire istruzioni illecite;
• non usare il servizio per trattamenti vietati dalla legge;
• non caricare categorie particolari di dati (art. 9 GDPR) o dati relativi a condanne penali e reati (art. 10 GDPR) senza idonea base giuridica e adeguate garanzie.

17.1. Ciascuna parte risponde delle violazioni a lei imputabili, nei limiti di legge e del Contratto principale, fermo quanto inderogabilmente previsto dal GDPR in materia di responsabilità e risarcimento.

17.2. Il DPA è regolato dalla legge italiana; per quanto non previsto si applicano il Contratto principale e la normativa sulla protezione dei dati.

Per i fornitori stabiliti negli Stati Uniti il trasferimento si basa sulla certificazione EU-US Data Privacy Framework, se presente, o sulle clausole contrattuali standard incluse nei loro accordi sul trattamento dei dati.

• Isolamento dei dati: ogni tabella che contiene dati dei clienti è protetta da regole di sicurezza a livello di riga (Row Level Security) che limitano l'accesso al workspace dell'utente; un controllo automatico impedisce la pubblicazione di tabelle senza queste regole.
• Documenti: archivio privato, accessibile solo tramite collegamenti temporanei generati dal server dopo la verifica dell'utente; nessun documento è pubblico.
• Cifratura: tutte le comunicazioni avvengono su HTTPS/TLS; database e archivio dei documenti sono cifrati dal fornitore.
• Autenticazione: gestita da Supabase, con password conservate solo in forma cifrata, protezione contro le password compromesse e accesso con Google.
• Accessi amministrativi: area di amministrazione limitata a un elenco nominativo di persone; le chiavi di servizio non sono mai esposte ai browser.
• Ubicazione: database e documenti nell'Unione europea (Irlanda).
• Documenti scaricati da indirizzi web indicati dall'utente: protezioni contro richieste verso reti interne e limiti di dimensione.
• Continuità: copie di sicurezza giornaliere del database gestite dal fornitore; processi in background con ripetizione automatica in caso di errore.
• Riservatezza del personale: accesso ai dati limitato a chi ne ha bisogno per assistenza e manutenzione, con obbligo di riservatezza.