Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati (di seguito, il “DPA”) costituisce parte integrante dei Termini di servizio o di altro accordo scritto (l’“Accordo”) relativo ai Servizi, stipulato tra Emergent Labs Inc. (“Emergent”) e il soggetto identificato come cliente nell’Accordo (“Cliente”). Il presente DPA, insieme ai suoi allegati, stabilisce gli obblighi delle Parti riguardo al trattamento dei Dati personali effettuato da Emergent per conto del Cliente.

Il presente DPA si applica quando Emergent tratta Dati personali per conto del Cliente nell’ambito della fornitura dei Servizi. Non si applica ai Dati personali rispetto ai quali Emergent agisce come Titolare del trattamento, disciplinati dall’Informativa sulla privacy disponibile all’indirizzo privacy-policy.

Il Cliente ed Emergent sono indicati singolarmente come “Parte” e congiuntamente come “Parti”.

Premesse

A. Il Cliente ha incaricato Emergent di fornire i Servizi ai sensi dell’Accordo, la cui esecuzione comporta il trattamento di Dati personali da parte di Emergent per conto del Cliente (la “Finalità”).

B. Rispetto a tale trattamento, il Cliente agisce come Titolare del trattamento ed Emergent come Responsabile del trattamento.

C. Le Parti intendono che il presente DPA soddisfi i requisiti dell’articolo 28 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati).

D. Stipulando l’Accordo, il Cliente accetta il presente DPA e si considera che lo abbia sottoscritto, insieme alle Clausole contrattuali standard e ai relativi allegati, nella misura in cui siano applicabili ai sensi della sezione 9 del presente DPA.

Definizioni

“Affiliata” indica qualsiasi soggetto che, direttamente o indirettamente, controlla una Parte, è controllato da essa oppure è sottoposto a controllo comune con essa. Per “controllo” si intende la titolarità di oltre il cinquanta per cento (50%) dei diritti di voto del soggetto interessato.

“Accordo” indica l’accordo identificato nel paragrafo introduttivo del presente DPA.

“Normativa applicabile” indica qualsiasi legge, disposizione legislativa, dichiarazione, decreto, direttiva, provvedimento normativo, ordine, ordinanza, regolamento, norma o altra restrizione vincolante cui una Parte sia soggetta, inclusa la Normativa sulla protezione dei dati.

“Referente autorizzato” indica una persona autorizzata dal Cliente a impartire istruzioni a Emergent ai sensi del presente DPA, compresi gli amministratori dell’account del Cliente relativo ai Servizi.

“Dati personali del Cliente” indica qualsiasi Dato personale trattato da Emergent o da un Sub-responsabile per conto del Cliente e secondo le sue istruzioni documentate, in relazione ai Servizi. I Dati personali del Cliente comprendono i Dati dei prompt e qualsiasi Dato personale contenuto nelle applicazioni, nei database e negli spazi di archiviazione messi a disposizione del Cliente tramite i Servizi.

“Normativa sulla protezione dei dati” indica il GDPR, il GDPR del Regno Unito e qualsiasi normativa attuativa o integrativa, insieme alle linee guida e alle decisioni vincolanti emanate da un’Autorità di controllo.

“Interessato” indica una persona fisica identificata o identificabile cui si riferiscono i Dati personali.

“SEE” indica lo Spazio economico europeo.

“GDPR” indica il Regolamento generale sulla protezione dei dati dell’Unione europea 2016/679.

“Dati di log” indica la telemetria operativa generata dai Servizi, inclusi indirizzo IP e posizione approssimativa, tipo e versione del browser, funzionalità utilizzate, marcature temporali, identificativi di sessione e dispositivo, codici di errore e di debug e statistiche di utilizzo.

“Dati personali” indica qualsiasi informazione relativa a un Interessato. Per evitare dubbi, i Dati personali comprendono i Dati appartenenti a categorie particolari e la definizione deve essere interpretata di conseguenza.

“Violazione dei dati personali” indica una violazione della sicurezza che comporta, accidentalmente o illecitamente, la distruzione, la perdita, l’alterazione, la divulgazione non autorizzata o l’accesso ai Dati personali del Cliente trasmessi, conservati o altrimenti trattati da Emergent o da un Sub-responsabile. Non comprende tentativi non riusciti o attività che non compromettono la sicurezza dei Dati personali del Cliente, come tentativi di accesso falliti, ping, scansioni delle porte o attacchi di negazione del servizio.

“Personale” indica dipendenti, agenti, consulenti, rappresentanti o collaboratori di una Parte, secondo il contesto.

“Trattare” indica qualsiasi operazione o insieme di operazioni eseguite sui Dati personali, con o senza strumenti automatizzati, come raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, utilizzo, comunicazione mediante trasmissione, diffusione o altra forma di messa a disposizione, raffronto o interconnessione, limitazione, cancellazione o distruzione. I termini “Trattamento” e “Trattati” devono essere interpretati di conseguenza.

“Dati dei prompt” indica i prompt in linguaggio naturale, le istruzioni, gli allegati e i file inviati dal Cliente o per suo conto agli agenti di intelligenza artificiale inclusi nei Servizi, insieme alla cronologia delle conversazioni e al codice, ai file e agli altri risultati generati in risposta.

“Dati del Servizio” indica qualsiasi dato, esclusi i Dati personali del Cliente, relativo all’utilizzo, all’assistenza e/o al funzionamento dei Servizi, raccolto direttamente da Emergent dagli utenti dei Servizi e/o su di essi e/o sull’utilizzo del Servizio da parte del Cliente, per finalità proprie di Emergent.

“Servizio” o “Servizi” indica i servizi forniti da Emergent al Cliente ai sensi dell’Accordo.

“Dati appartenenti a categorie particolari” indica i Dati personali rientranti nell’ambito degli articoli 9 o 10 del GDPR.

“Clausole contrattuali standard” indica le clausole contrattuali standard per il trasferimento di Dati personali verso Paesi terzi adottate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914.

“Sub-responsabile” indica qualsiasi persona fisica o giuridica incaricata da Emergent di effettuare, integralmente o parzialmente, il trattamento dei Dati personali del Cliente per conto del Cliente.

“Autorità di controllo” indica un’autorità di controllo ai sensi dell’articolo 4, punto 21, del GDPR e, nel Regno Unito, l’Information Commissioner.

“Durata” indica il periodo specificato nella clausola 1.4.

“Paese terzo” indica una giurisdizione esterna al SEE o al Regno Unito, secondo il caso, per la quale non sia in vigore una decisione di adeguatezza.

“Addendum del Regno Unito” indica l’Addendum sui trasferimenti internazionali di dati alle Clausole contrattuali standard della Commissione europea, emanato dall’Information Commissioner ai sensi della sezione 119A del Data Protection Act 2018.

“GDPR del Regno Unito” indica il GDPR nella forma in cui è incorporato nel diritto di Inghilterra e Galles, Scozia e Irlanda del Nord in virtù della sezione 3 dell’European Union (Withdrawal) Act 2018.

I termini utilizzati con iniziale maiuscola ma non definiti nel presente DPA hanno il significato attribuito loro nell’Accordo. I termini “Titolare del trattamento” e “Responsabile del trattamento” hanno i significati stabiliti nell’articolo 4 del GDPR.

1. Oggetto e durata del trattamento dei dati

1.1 Nell’erogazione dei Servizi, Emergent tratta i Dati personali del Cliente per suo conto e secondo le sue istruzioni documentate, esclusivamente per la Finalità.

1.2 Rispetto ai Dati personali del Cliente, il Cliente agisce come Titolare del trattamento ed Emergent come Responsabile del trattamento. Quando il Cliente agisce a sua volta come Responsabile per conto di un Titolare terzo, Emergent agisce come Sub-responsabile. Il Cliente garantisce di essere autorizzato da tale Titolare a stipulare il presente DPA e a impartire le istruzioni in esso contenute o quelle successivamente fornite per iscritto.

1.3 Il presente DPA non istituisce un rapporto di contitolarità ai sensi dell’articolo 26 del GDPR. Ciascuna Parte rimane responsabile del rispetto della Normativa sulla protezione dei dati relativamente ai propri trattamenti. Nessuna disposizione del presente DPA esonera una Parte da obblighi imposti direttamente da tale normativa.

1.4 Il presente DPA entra in vigore alla data di efficacia dell’Accordo e rimane valido finché Emergent tratta Dati personali del Cliente (“Durata”).

2. Ambito, natura e finalità del trattamento dei dati

2.1 L’oggetto, la durata, la natura e la finalità del trattamento, le tipologie di Dati personali del Cliente e le categorie di Interessati sono specificati nell’Allegato 1, “Dettagli del trattamento”.

2.2 Emergent tratta i Dati personali del Cliente rigorosamente nel rispetto:

• (a) delle istruzioni documentate del Cliente, comprendenti il presente DPA, l’Accordo, le istruzioni impartite da un Referente autorizzato tramite i Servizi e quelle eventualmente fornite per iscritto dal Cliente o dal Referente autorizzato;
• (b) della Normativa sulla protezione dei dati applicabile a Emergent;
• (c) delle disposizioni del presente DPA.

Quando la Normativa applicabile impone a Emergent di trattare Dati personali del Cliente, Emergent informa il Cliente prima del trattamento, salvo che tale normativa vieti la comunicazione per ragioni di interesse pubblico.

2.3 Emergent non determina le finalità o i mezzi del trattamento dei Dati personali del Cliente. Il Cliente non deve impartire istruzioni che richiedano a Emergent di trattare tali dati in violazione della Normativa sulla protezione dei dati.

2.4 Emergent può rifiutare, sospendere o proporre un’alternativa commercialmente ragionevole a un’istruzione che ritenga ragionevolmente possa violare il presente DPA o la Normativa sulla protezione dei dati, oppure compromettere in misura significativa la sicurezza, la riservatezza, la disponibilità o le prestazioni dei Servizi.

2.5 Emergent non trasferisce, copia, duplica o condivide i Dati personali del Cliente, salvo quanto consentito dal presente DPA o dalle istruzioni scritte del Cliente.

2.6 I Dati dei prompt sono inviati come contenuti in forma libera scelti dal Cliente. Emergent non è tenuta a monitorare, verificare o indagare sul contenuto, sull’esattezza, sulla completezza o sulla liceità dei Dati personali del Cliente o delle istruzioni, purché non siano in diretta violazione del presente DPA o della Normativa sulla protezione dei dati.

3. Obblighi di Emergent

3.1 Emergent tratta i Dati personali ai sensi del presente DPA esclusivamente secondo le istruzioni documentate del Cliente, per le seguenti finalità limitate:

• Eseguire i Servizi secondo le condizioni dell’Accordo.
• Quando applicabile ai Servizi forniti, predisporre, gestire e monitorare l’infrastruttura sottostante — hardware, software, server, ambienti, connettività e altri elementi — necessaria per fornire i Servizi e soddisfare i requisiti tecnici, di sicurezza e organizzativi del trattamento.
• Eseguire trattamenti avviati dal Referente autorizzato del Cliente durante l’utilizzo dei Servizi.
• Eseguire le istruzioni documentate del Cliente, purché pertinenti e coerenti con i Servizi forniti.
• Risolvere problemi relativi ai Servizi o problemi tecnici.
• Adempiere a requisiti espressamente previsti dalla Normativa sulla protezione dei dati. In tal caso, Emergent informa il Cliente prima del trattamento, salvo divieto previsto dalla Normativa applicabile.

3.2 Emergent comunica al Cliente senza ingiustificato ritardo qualsiasi richiesta, intimazione o ordine ricevuto da un’Autorità di controllo competente o da un Interessato relativo al trattamento di Dati personali per conto del Cliente. Se un Interessato presenta una richiesta a Emergent, questa la inoltra tempestivamente al Cliente dopo aver accertato che proviene da un Interessato di cui il Cliente è responsabile. Il Cliente riconosce che Emergent non è tenuta a interagire direttamente con Interessati o Autorità di controllo rispetto a tali richieste, intimazioni o ordini, salvo quanto espressamente previsto dalla Normativa sulla protezione dei dati o concordato per iscritto tra le Parti.

3.3 Fatti salvi gli obblighi legali di conservazione, alla cessazione dell’Accordo Emergent restituisce al Cliente o cancella i Dati personali trattati per suo conto, secondo quanto previsto nel presente DPA.

3.4 Emergent utilizza per il trattamento esclusivamente Personale vincolato alla riservatezza per contratto o per legge e adotta misure ragionevoli per limitare l’accesso ai Dati personali al Personale che ne ha necessità per eseguire i Servizi. Emergent garantisce che chiunque operi sotto la sua autorità e abbia accesso ai Dati personali del Cliente li tratti soltanto secondo le istruzioni del Cliente, conformemente agli articoli 29 e 32, paragrafo 4, del GDPR, salvo obblighi imposti dalla Normativa applicabile.

3.5 Emergent informa tempestivamente il Cliente se ritiene che un’istruzione o una richiesta violi la Normativa applicabile, la Normativa sulla protezione dei dati o il presente DPA e declina qualsiasi obbligo o responsabilità riguardo a tali istruzioni o richieste.

3.6 Il Cliente può richiedere assistenza a Emergent quando effettua una valutazione d’impatto sulla protezione dei dati o una relativa consultazione preventiva con l’autorità competente ai sensi dell’articolo 36 del GDPR. Tale assistenza consiste nella fornitura di informazioni pertinenti sui Dati personali trattati nell’erogazione del Servizio. Emergent può addebitare al Cliente i corrispettivi applicabili per tali prestazioni professionali, calcolati sulla base del tempo impiegato e delle risorse utilizzate.

3.7 Il Cliente accetta che le richieste di informazioni, assistenza o attività che eccedono l’ordinaria operatività, le procedure o le prassi di Emergent, oppure quanto commercialmente ragionevole, debbano essere specificamente concordate per iscritto e possano comportare costi aggiuntivi.

3.8 Emergent attua misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio, come ulteriormente previsto nella sezione 5 e nell’Allegato 2.

3.9 Nessuna disposizione della presente sezione obbliga Emergent a compiere azioni che:

• (i) violino la Normativa sulla protezione dei dati o la Normativa applicabile;
• (ii) richiedano la divulgazione di segreti commerciali o informazioni riservate di terzi;
• (iii) superino i massimali di responsabilità stabiliti nel presente DPA.

3.10 Emergent nomina un responsabile della protezione dei dati o un referente equivalente, i cui recapiti sono indicati nell’Allegato 1.

4. Obblighi del Cliente

4.1 Il Cliente, tramite il proprio Referente autorizzato, costituisce l’unico punto di contatto per Emergent per tutte le questioni relative al presente DPA, anche per conto delle proprie Affiliate. È responsabile del coordinamento e dell’invio delle istruzioni e dell’ulteriore distribuzione delle notifiche o dei rapporti forniti da Emergent.

4.2 Il Cliente garantisce che le istruzioni ricevute da Emergent da un Referente autorizzato siano debitamente autorizzate e vincolanti per il Cliente.

4.3 Il Cliente garantisce di disporre e mantenere per tutta la Durata una base giuridica e tutti i diritti, consensi e autorizzazioni necessari per il trattamento dei Dati personali del Cliente da parte di Emergent e dei suoi Sub-responsabili. Il Cliente è l’unico responsabile dell’esattezza, della qualità, della minimizzazione e della liceità di tali dati e dei mezzi con cui sono stati ottenuti.

4.4 Il Cliente è responsabile della fornitura agli Interessati di tutte le informazioni richieste dagli articoli 13 e 14 del GDPR e della gestione delle richieste di esercizio dei loro diritti.

4.5 Il Cliente è responsabile del proprio utilizzo dei Servizi, compresi:

• (a) la configurazione dei Servizi e delle applicazioni create, affinché mantengano un livello di sicurezza appropriato al rischio;
• (b) la limitazione dell’accesso alle applicazioni pubblicate, che altrimenti risultano pubblicamente accessibili sotto il dominio di Emergent;
• (c) la protezione delle credenziali di autenticazione, dei sistemi e dei dispositivi utilizzati per accedere ai Servizi;
• (d) la conservazione e la cancellazione dei Dati personali del Cliente presenti nei database e negli spazi di archiviazione messi a sua disposizione, che non sono soggetti a cancellazione automatica.

4.6 I Servizi non sono progettati né destinati al trattamento di Dati appartenenti a categorie particolari e il Cliente si impegna a non inviare tali dati ai Servizi. Qualora vengano comunque inviati, il Cliente garantisce di disporre sia di una base giuridica ai sensi dell’articolo 6 del GDPR sia di una condizione applicabile ai sensi degli articoli 9 o 10 del GDPR. Riconosce inoltre che un Interessato non può validamente prestare il consenso per conto di un’altra persona i cui Dati personali siano contenuti in un prompt, in un caricamento o in un’applicazione.

4.7 Il Cliente collabora ragionevolmente con Emergent rispetto a richieste di Interessati del Cliente o di un’Autorità di controllo relative al trattamento e rimborsa a Emergent i costi ragionevoli e documentati sostenuti.

5. Misure tecniche e organizzative

5.1 Emergent attua e mantiene le misure tecniche e organizzative (“TOM”) specificate nell’Allegato 2, per garantire un livello di sicurezza appropriato al rischio ai sensi dell’articolo 32 del GDPR.

5.2 Le TOM sono soggette al progresso tecnico e a ulteriori sviluppi. Emergent può modificarle e attuare misure adeguate, purché le misure e le prassi di sicurezza non siano meno rigorose di quelle previste nel presente DPA.

5.3 Emergent mantiene per tutta la Durata le certificazioni ISO 27001 e SOC 2 Tipo II, oppure certificazioni equivalenti riconosciute dal settore, e sottopone i propri sistemi, prassi, locali e operazioni a verifiche annuali effettuate da revisori esterni indipendenti. Su richiesta del Cliente e nel rispetto degli obblighi di riservatezza dell’Accordo, Emergent fornisce una copia del rapporto risultante.

6. Diritti di verifica e informazione

6.1 Su richiesta scritta, non più di una volta ogni dodici (12) mesi e nel rispetto degli accordi di riservatezza previsti nell’Accordo, Emergent mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi del presente DPA. Queste possono includere informazioni sulle certificazioni applicabili, ad esempio SOC 2, e altre informazioni ragionevolmente necessarie. Emergent può adempiere a tale obbligo fornendo, a propria esclusiva discrezione, sintesi dei risultati e/o dei rapporti.

6.2 Emergent mantiene un registro di tutte le categorie di trattamento effettuate per conto del Cliente ai sensi dell’articolo 30, paragrafo 2, del GDPR.

7. Rettifica dei dati e diritti degli Interessati

7.1 Salvo quanto previsto nelle sezioni 11 e 14, Emergent può rettificare, cancellare o limitare il trattamento dei Dati personali del Cliente soltanto secondo le istruzioni del Cliente.

7.2 Tenendo conto della natura del trattamento, Emergent assiste il Cliente mediante TOM adeguate, per quanto possibile, nell’adempimento dell’obbligo di rispondere alle richieste degli Interessati per l’esercizio dei diritti previsti dal capo III del GDPR.

7.3 Quando un Interessato contatta direttamente Emergent riguardo ai Dati personali del Cliente, Emergent non risponde alla richiesta se non per indirizzare l’Interessato al Cliente e informa il Cliente senza ingiustificato ritardo.

7.4 Quando Emergent rileva o viene informata di incompletezze o inesattezze nei Dati personali del Cliente che tratta, informa il Cliente senza ingiustificato ritardo.

7.5 Emergent informa tempestivamente il Cliente di qualsiasi misura adottata o indagine condotta da un’Autorità di controllo riguardo al trattamento e collabora con tale autorità nello svolgimento dei suoi compiti ai sensi dell’articolo 31 del GDPR.

8. Ricorso a Sub-responsabili

8.1 Il Cliente concede a Emergent un’autorizzazione scritta generale, ai sensi dell’articolo 28, paragrafo 2, del GDPR, a incaricare Sub-responsabili del trattamento dei Dati personali del Cliente.

8.2 Emergent informa il Cliente delle modifiche previste riguardanti l’aggiunta o la sostituzione di altri Responsabili aggiornando l’elenco dei Sub-responsabili disponibile all’indirizzo app.emergent.sh/subprocessors. L’elenco viene aggiornato almeno annualmente.

8.3 Se il Cliente non intende acconsentire all’utilizzo di un nuovo Sub-responsabile, può comunicarlo a Emergent entro venti (20) giorni lavorativi dalla relativa comunicazione, indicando motivi ragionevoli riguardanti la protezione dei Dati personali e scrivendo a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo..

8.4 In tali casi, il Cliente ed Emergent collaborano in buona fede per individuare una soluzione reciprocamente accettabile alle obiezioni. Se non raggiungono una soluzione entro un periodo ragionevole, il Cliente può, quale unico ed esclusivo rimedio, risolvere l’Accordo e annullare i Servizi mediante comunicazione scritta a Emergent, ricevendo il rimborso degli importi anticipati ai sensi dell’Accordo.

8.5 Quando Emergent incarica un altro Responsabile di specifiche attività di trattamento per conto del Cliente, impone a tale soggetto, mediante contratto, gli stessi obblighi di protezione dei dati previsti nel presente DPA.

8.6 Emergent rimane pienamente responsabile nei confronti del Cliente dell’adempimento degli obblighi di ciascun Sub-responsabile, ai sensi dell’articolo 28, paragrafo 4, del GDPR.

9. Trasferimenti successivi e internazionali

9.1 Emergent può trattare i Dati personali del Cliente in qualsiasi giurisdizione in cui operino Emergent o i suoi Sub-responsabili, purché i trasferimenti verso Paesi terzi siano soggetti a garanzie adeguate ai sensi dell’articolo 46 del GDPR o del GDPR del Regno Unito, secondo il caso.

9.2 Per i trasferimenti di Dati personali del Cliente al di fuori del SEE non coperti da una decisione di adeguatezza, le Clausole contrattuali standard sono incorporate nel presente DPA mediante rinvio e completate come segue:

• Si applica il Modulo due, da Titolare a Responsabile, quando il Cliente è Titolare, e il Modulo tre, da Responsabile a Sub-responsabile, quando il Cliente è Responsabile.
• La clausola di adesione prevista nella clausola 7 delle Clausole contrattuali standard non si applica.
• Nella clausola 9 si applica l’Opzione 2, autorizzazione scritta generale, con il termine di preavviso previsto nella clausola 8.3 del presente DPA.
• L’opzione prevista nella clausola 11 non si applica.
• Ai fini della clausola 17, la legge applicabile è quella individuata nella sezione 17 del presente DPA.
• Ai fini della clausola 18, lettera b), sono competenti gli organi giurisdizionali individuati nell’Accordo.
• Gli Allegati 1 e 2 del presente DPA costituiscono rispettivamente gli Allegati I e II delle Clausole contrattuali standard. Il requisito relativo all’Allegato III è soddisfatto dall’elenco dei Sub-responsabili che costituisce parte del presente DPA a tutti gli effetti.

9.3 Per i trasferimenti al di fuori del Regno Unito non coperti da disposizioni di adeguatezza, si applicano le Clausole contrattuali standard come modificate e integrate dall’Addendum del Regno Unito. Le Tabelle da 1 a 3 dell’Addendum sono completate mediante rinvio agli Allegati 1 e 2 del presente DPA, letti insieme all’elenco dei Sub-responsabili. Nella Tabella 4, le Parti possono porre fine all’Addendum secondo quanto previsto nella sua sezione 19.

9.4 Emergent non comunica Dati personali del Cliente in risposta a richieste di autorità governative, forze dell’ordine o servizi di intelligence, salvo obbligo di legge. In tal caso:

• (a) informa il Cliente della richiesta, salvo divieto della Normativa applicabile;
• (b) cerca di indirizzare l’autorità al Cliente;
• (c) comunica soltanto la quantità minima di Dati personali del Cliente richiesta.

Alla data del presente DPA, Emergent non ha ricevuto richieste di questo tipo.

9.5 Se un meccanismo di trasferimento utilizzato ai sensi della presente sezione cessa di essere valido, le Parti collaborano in buona fede per attuare senza ingiustificato ritardo un meccanismo alternativo lecito. Emergent può sospendere i trasferimenti interessati finché tale meccanismo non sia operativo.

9.6 In caso di conflitto tra le Clausole contrattuali standard e altre disposizioni del presente DPA o dell’Accordo, prevalgono le Clausole contrattuali standard.

10. Notifica delle violazioni dei dati personali

10.1 Emergent informa il Cliente senza ingiustificato ritardo e comunque entro settantadue (72) ore dal momento in cui viene a conoscenza di una Violazione dei dati personali, secondo quanto richiesto dalla Normativa applicabile.

10.2 La notifica contiene, nella misura in cui tali informazioni siano disponibili al momento:

• (a) una descrizione della natura della violazione, comprese, ove possibile, le categorie e il numero approssimativo di Interessati e registrazioni coinvolti;
• (b) il nome e i recapiti del responsabile della protezione dei dati o di altro referente da cui ottenere ulteriori informazioni;
• (c) una descrizione delle probabili conseguenze della violazione;
• (d) una descrizione delle misure adottate o proposte per affrontarla, comprese le misure per attenuarne i possibili effetti negativi.

10.3 La notifica di una violazione o la risposta a essa non costituiscono riconoscimento di colpa o responsabilità.

10.4 Se il Cliente informa un’Autorità di controllo, un Interessato o il pubblico di una violazione e la comunicazione identifica o menziona Emergent, il Cliente informa preventivamente Emergent e valuta in buona fede eventuali chiarimenti o correzioni ragionevolmente richiesti da Emergent, salvo che ciò impedisca il rispetto di un termine di legge.

10.5 Emergent può ritardare la notifica prevista dalla clausola 10.1 quando un’autorità competente delle forze dell’ordine stabilisce che essa ostacolerebbe un’indagine penale. Informa il Cliente non appena tale restrizione viene revocata.

10.6 Gli obblighi della presente sezione non si applicano nella misura in cui la violazione sia causata dal Cliente, da una sua Affiliata o da persone che agiscono per suo conto. Emergent deve comunque informare il Cliente della violazione e fornire le informazioni scoperte fino al momento in cui ne identifica tale causa.

10.7 Se la violazione è causata dal Cliente, da una sua Affiliata o da persone che agiscono per suo conto, Emergent effettua la notifica e fornisce le informazioni richieste dalla presente sezione in modo ragionevole. Le eventuali attività di indagine, rimedio o assistenza fornite da Emergent comportano costi ragionevoli e documentati a carico del Cliente.

11. Dati del Servizio e Dati di log

11.1 Il Cliente riconosce e accetta che Emergent possa raccogliere, utilizzare e comunicare i Dati del Servizio per le proprie finalità aziendali, comprese, a titolo non esaustivo:

• Finalità contabili, fiscali, di fatturazione, verifica e conformità.
• Fornitura, miglioramento, sviluppo, ottimizzazione e manutenzione dei Servizi.
• Indagini su frodi, spam e utilizzi impropri o illeciti dei Servizi.
• Addestramento o messa a punto di modelli proprietari di apprendimento automatico utilizzati per erogare i Servizi.
• Altre finalità consentite o richieste dalla Normativa sulla protezione dei dati.

11.2 Per evitare dubbi, i Dati del Servizio non sono “Dati personali del Cliente” e gli obblighi del presente DPA non si applicano al loro trattamento da parte di Emergent. Emergent può conservarli finché sussista una legittima esigenza aziendale, comunicarli alle proprie Affiliate e ai Sub-responsabili per le finalità indicate nella presente clausola e creare, commercializzare e pubblicare dati anonimizzati, aggregati o de-identificati derivati da essi, purché non identifichino il Cliente o singoli Interessati. Emergent garantisce che qualsiasi de-identificazione soddisfi lo standard di “pseudonimizzazione” previsto dal GDPR e da normative analoghe.

11.3 Il Cliente riconosce che non sono dovuti royalty, corrispettivi o altri compensi per il trattamento dei Dati del Servizio ai sensi della presente sezione e che non può rinunciare a tale trattamento finché rimane cliente dei Servizi.

11.4 Emergent tratta i Dati di log come Titolare del trattamento, e non per conto del Cliente, esclusivamente per garantire la sicurezza, migliorare e gestire i Servizi, individuare e prevenire frodi e abusi ed effettuare la fatturazione. Tale trattamento avviene secondo l’Informativa sulla privacy di Emergent e sulla base di una propria base giuridica. Emergent non utilizza i Dati di log per ricavare informazioni su singoli Interessati per altre finalità.

12. Utilizzo dei Dati personali del Cliente per l’intelligenza artificiale e l’apprendimento automatico

12.1 Emergent non utilizza i Dati personali del Cliente per addestrare, riaddestrare, effettuare il fine-tuning o sviluppare altrimenti modelli di intelligenza artificiale o apprendimento automatico. Mediante contratto scritto, vieta tali utilizzi anche a ciascun Sub-responsabile che fornisce modelli di intelligenza artificiale.

12.2 I Dati personali del Cliente sono trattati esclusivamente per fornire, mantenere, proteggere e supportare i Servizi descritti nel presente DPA, secondo le istruzioni documentate e la Normativa sulla protezione dei dati.

12.3 Emergent può trattare informazioni de-identificate e aggregate derivate dai Dati personali del Cliente soltanto per report statistici, analisi di sicurezza o approfondimenti operativi, purché non possano essere utilizzate per identificare il Cliente, i suoi utenti finali o persone fisiche e non siano utilizzate per addestrare modelli di intelligenza artificiale o apprendimento automatico.

13. Servizi di terzi integrati nelle applicazioni del Cliente

13.1 Su richiesta del Cliente, l’agente di creazione delle applicazioni incluso nei Servizi può predisporre servizi di terzi direttamente in un’applicazione creata dal Cliente, compresi, tra gli altri, servizi di pagamento, messaggistica, database, hosting e servizi generativi.

13.2 Salvo quanto previsto nella sezione 8, ciascun servizio di terzi agisce come Responsabile del trattamento del Cliente, e non come Sub-responsabile di Emergent, rispetto ai trattamenti effettuati per il Cliente. Il ruolo di ciascun soggetto terzo deve essere valutato con riferimento all’attività di trattamento; un soggetto terzo può agire come Titolare autonomo rispetto ai trattamenti effettuati per proprie finalità. Il Cliente è responsabile della stipula degli eventuali contratti richiesti dall’articolo 28 del GDPR con tali servizi, della liceità dei relativi trattamenti e della loro configurazione.

13.3 Quando un servizio di terzi viene predisposto utilizzando credenziali detenute da Emergent anziché dal Cliente, il terzo agisce come Sub-responsabile di Emergent e si applica la sezione 8. 

13.4 Emergent non determina, monitora o controlla quali Dati personali un’applicazione creata dal Cliente raccolga dagli utenti finali del Cliente.

14. Restituzione e cancellazione dei dati

14.1 Emergent mantiene strettamente riservati tutti i Dati personali del Cliente che le vengono comunicati o ai quali accede ai sensi del presente DPA.

14.2 Alla scadenza o cessazione dell’Accordo, Emergent interrompe ogni trattamento dei Dati personali del Cliente, salvo la conservazione sicura e i trattamenti richiesti dalla Normativa applicabile.

14.3 Entro quarantacinque (45) giorni dalla scadenza o cessazione, il Cliente può impartire per iscritto istruzioni per la restituzione o la cancellazione dei Dati personali del Cliente. In assenza di istruzioni, Emergent li cancella o li anonimizza irreversibilmente secondo il proprio programma documentato di conservazione, riportato nell’Informativa sulla privacy disponibile su privacy-policy.

14.4 Il Cliente riconosce che i Dati personali del Cliente presenti in backup o archivi ordinari potrebbero non essere immediatamente cancellabili. Tali dati vengono isolati, resi inutilizzabili e protetti da ulteriori trattamenti fino alla cancellazione secondo il ciclo documentato dei backup di Emergent.

14.5 Su richiesta, Emergent fornisce al Cliente una conferma scritta della cancellazione.

14.6 Le disposizioni della presente sezione e delle sezioni 15, “Limitazione della responsabilità”, 16, “Manleva”, e 17, “Legge applicabile”, rimangono efficaci dopo la cessazione del DPA finché Emergent conserva Dati personali del Cliente.

15. Limitazione della responsabilità

15.1 La responsabilità di ciascuna Parte ai sensi del presente DPA è soggetta alle limitazioni e alle esclusioni previste nell’Accordo. Ogni riferimento in tali disposizioni alla responsabilità di una Parte comprende quella derivante dal presente DPA.

15.2 Nessuna Parte è tenuta a indennizzare l’altra per sanzioni amministrative pecuniarie imposte a quest’ultima da un’Autorità di controllo o da un organo giurisdizionale ai sensi della Normativa sulla protezione dei dati.

15.3 Nessuna disposizione del presente DPA limita o esclude la responsabilità di una Parte nei confronti di un Interessato ai sensi dell’articolo 82 del GDPR o delle Clausole contrattuali standard.

15.4 In nessun caso una Parte è responsabile nei confronti dell’altra per perdita di utili, ricavi o avviamento, interruzione dell’attività, perdita o corruzione dei dati, oppure danni indiretti, speciali, incidentali, punitivi, esemplari o consequenziali di qualsiasi tipo, anche se informata della possibilità di tali perdite o danni e indipendentemente dal fondamento della responsabilità.

Le suddette limitazioni ed esclusioni si applicano:

• (i) complessivamente al presente DPA e all’Accordo;
• (ii) indipendentemente dal numero o dalla natura delle pretese;
• (iii) anche qualora un rimedio limitato non raggiunga il proprio scopo essenziale.

16. Manleva

16.1 Il Cliente indennizza e tiene indenni Emergent e le sue Affiliate da pretese di terzi, indagini, sanzioni, perdite o costi legali ragionevoli derivanti da:

• (a) istruzioni del Cliente o configurazione dei Servizi effettuata dal Cliente;
• (b) mancata individuazione di una base giuridica o mancato ottenimento di consensi o autorizzazioni necessari da parte del Cliente;
• (c) invio di Dati appartenenti a categorie particolari non conforme alla clausola 4.6;
• (d) violazioni del presente DPA o della Normativa sulla protezione dei dati da parte del Cliente.

16.2 Emergent comunica tempestivamente per iscritto qualsiasi pretesa ai sensi della clausola 16.1 e fornisce una collaborazione ragionevole. Il Cliente può assumere il controllo della difesa, ma non può definire una controversia mediante accordo che riconosca una colpa di Emergent o le imponga obblighi non pecuniari senza il suo preventivo consenso scritto.

17. Legge applicabile

17.1 Il presente DPA e gli obblighi extracontrattuali derivanti da esso o a esso connessi sono disciplinati e interpretati secondo il diritto irlandese.

18. Disposizioni varie

18.1 In caso di conflitto o incoerenza tra il presente DPA e l’Accordo, prevale il DPA per quanto riguarda il trattamento dei Dati personali.

18.2 Tutte le comunicazioni ai sensi del presente DPA devono essere effettuate per iscritto ai recapiti indicati nell’Accordo o nell’account del Cliente relativo ai Servizi e, per Emergent, all’indirizzo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.. Le comunicazioni via email producono effetto al momento della ricezione.

18.3 Se una disposizione del presente DPA viene dichiarata invalida o inapplicabile, le altre disposizioni rimangono pienamente efficaci. Le Parti sostituiscono la disposizione invalida con una valida che rispecchi il più possibile la loro intenzione originaria.

18.4 Le modifiche e le integrazioni al presente DPA devono essere effettuate per iscritto per essere efficaci. Ciò vale anche per qualsiasi rinuncia al requisito della forma scritta.

18.5 Nessuna Parte può cedere il presente DPA, integralmente o parzialmente, senza il preventivo consenso scritto dell’altra. Ciascuna Parte può tuttavia cederlo a un’Affiliata o a un successore nell’ambito di una fusione, acquisizione o vendita di tutti o sostanzialmente tutti i propri beni.

18.6 Il presente DPA è stipulato per iscritto; ai fini dell’articolo 28, paragrafo 9, del GDPR, la forma scritta comprende quella elettronica.

18.7 Emergent può aggiornare il presente DPA quando ciò sia richiesto da modifiche alla Normativa sulla protezione dei dati, da un’Autorità di controllo oppure per riflettere modifiche ai Servizi o ai Sub-responsabili incaricati. Emergent pubblica il DPA aggiornato e, quando un aggiornamento riduce significativamente i diritti del Cliente o amplia significativamente il trattamento, fornisce al Cliente un preavviso di almeno quindici (15) giorni.

Nessun aggiornamento può ridurre la protezione dei Dati personali del Cliente al di sotto del livello richiesto dalla Normativa sulla protezione dei dati. La versione del DPA vigente alla data dell’Accordo continua ad applicarsi fino all’entrata in vigore degli aggiornamenti.

18.8 Le sezioni da 15 a 17 rimangono efficaci dopo la scadenza o cessazione del presente DPA. La sezione 14 continua ad applicarsi finché Emergent conserva Dati personali del Cliente.

18.9 Se i Dati personali del Cliente detenuti da Emergent sono messi a rischio da sequestri, pignoramenti, procedure di insolvenza o concordatarie oppure da altri eventi o misure di terzi, Emergent informa il Cliente senza ingiustificato ritardo.

Allegato 1 — Dettagli del trattamento

Il presente Allegato 1 costituisce l’Allegato I delle Clausole contrattuali standard e, ove applicabile, completa le Tabelle da 1 a 3 dell’Addendum del Regno Unito.

A. Elenco delle Parti

Esportatore dei dati

Il Cliente, come identificato nell’Accordo, agisce per proprio conto e per conto delle proprie Affiliate i cui Dati personali vengono trattati ai sensi dell’Accordo.

• Indirizzo e referente: quelli indicati nell’Accordo o nell’account del Cliente relativo ai Servizi.
• Attività pertinenti ai dati trasferiti: ricezione dei Servizi ai sensi dell’Accordo, comprese creazione, verifica, hosting e pubblicazione delle applicazioni.
• Ruolo: Titolare del trattamento oppure Responsabile del trattamento, quando si applica la clausola 1.2.

Importatore dei dati

Emergent Labs Inc.

• Indirizzo: 2380 Via Espada, Pleasanton, CA 94566, Stati Uniti.
• Referenti: Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.; responsabile della protezione dei dati: Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.
• Attività pertinenti ai dati trasferiti: fornitura dei Servizi ai sensi dell’Accordo, come descritto nella parte B.
• Ruolo: Responsabile del trattamento oppure Sub-responsabile, quando si applica la clausola 1.2.

Firma e data

Si considera che ciascuna Parte abbia firmato i presenti Allegati e le Clausole contrattuali standard alla data di efficacia dell’Accordo, secondo il paragrafo D delle Premesse.

B. Descrizione del trattamento e del trasferimento

Oggetto

Fornitura dei Servizi da parte di Emergent al Cliente ai sensi dell’Accordo: una piattaforma di intelligenza artificiale attraverso cui il Cliente crea, verifica, ospita e pubblica applicazioni software mediante prompt in linguaggio naturale.

Natura del trattamento

Raccolta, registrazione, organizzazione, strutturazione, conservazione, estrazione, consultazione, utilizzo, trasmissione ai Sub-responsabili, hosting, compilazione, indicizzazione, generazione assistita dall’intelligenza artificiale, pubblicazione, backup, cancellazione e distruzione.

Finalità del trattamento

Fornire, mantenere, proteggere e supportare i Servizi ed eseguire le istruzioni impartite dal Cliente attraverso i Servizi.

Categorie di Interessati

• Personale del Cliente e utenti autorizzati dei Servizi, compresi sviluppatori, ingegneri, amministratori e responsabili di progetto, siano essi dipendenti, collaboratori o agenti.
• Utenti finali delle applicazioni create e pubblicate dal Cliente mediante i Servizi.
• Altre persone i cui Dati personali vengano inviati dal Cliente ai Servizi, anche attraverso i Dati dei prompt.

Categorie di Dati personali

• Dati dell’account e identificativi degli utenti autorizzati, inclusi nome, indirizzo email professionale e identificativi di autenticazione o accesso unico.
• Dati dei prompt: prompt in forma libera, cronologia delle conversazioni, file e allegati caricati, codice e file generati, che possono contenere qualsiasi Dato personale scelto dal Cliente.
• Dati personali contenuti nei database, negli spazi di archiviazione dei file e negli ambienti applicativi messi a disposizione del Cliente.
• Dati del Servizio relativi all’utilizzo, all’assistenza e/o al funzionamento dei Servizi, raccolti direttamente da Emergent.
• Dati di log: telemetria operativa generata dai Servizi, inclusi indirizzo IP e posizione approssimativa, tipo e versione del browser, funzionalità utilizzate, marcature temporali, identificativi di sessione e dispositivo, codici di errore e debug e statistiche di utilizzo.
• Configurazioni di pubblicazione e credenziali degli ambienti.
• Indirizzi IP e registri di accesso generati nei nodi periferici della rete di distribuzione dei contenuti.
• Quando viene utilizzata la relativa funzionalità, audio vocale inviato per la trascrizione e contenuti visualizzati o inseriti da un agente che opera in un browser ospitato.

Dati appartenenti a categorie particolari

Non sono richiesti né necessari. I Servizi non sono progettati per tali dati. La loro eventuale presenza deriva da una scelta del Cliente ed è soggetta alla clausola 4.6.

Frequenza del trasferimento

Continua per tutta la Durata.

Durata del trattamento

Per tutta la Durata e, successivamente, soltanto secondo quanto previsto nella sezione 14.

Periodo di conservazione

Quarantacinque (45) giorni dopo la cancellazione dell’account.

Luoghi del trattamento

Stati Uniti, Unione europea, India.

C. Autorità di controllo competente

L’Autorità di controllo dello Stato membro del SEE in cui è stabilito il Cliente oppure, se il Cliente non è stabilito nel SEE, quella dello Stato membro in cui è stabilito il rappresentante del Cliente ai sensi dell’articolo 27 del GDPR.

Per i trasferimenti soggetti all’Addendum del Regno Unito, l’autorità competente è l’Information Commissioner.

Allegato 2 — Misure tecniche e organizzative attuate da Emergent

Il presente Allegato 2 costituisce l’Allegato II delle Clausole contrattuali standard. Emergent attua e mantiene misure di sicurezza amministrative, tecniche, fisiche e organizzative per proteggere i Dati personali.

Il presente Allegato descrive esempi delle misure di protezione adottate e non costituisce una dichiarazione secondo cui ogni controllo elencato si applichi a ogni componente dei Servizi. Emergent mantiene le certificazioni ISO 27001 e SOC 2 Tipo II.

Politiche e standard di sicurezza delle informazioni. Emergent mantiene politiche, standard e procedure riguardanti i controlli e le procedure di sicurezza amministrativa, tecnica e fisica. Questi vengono aggiornati periodicamente per riflettere le modifiche ai sistemi informativi che utilizzano o conservano Dati personali.

Sicurezza fisica. Emergent mantiene sistemi di sicurezza commercialmente ragionevoli presso tutte le proprie sedi in cui si trovano sistemi informativi che utilizzano o conservano Dati personali, comprese misure per limitare l’accesso alle persone autorizzate e individuare, prevenire e affrontare minacce alla sicurezza fisica.

Risposta agli incidenti. Emergent mantiene politiche e procedure di sicurezza delle informazioni per rispondere agli incidenti. Mantiene inoltre un canale attraverso cui gli incidenti possono essere segnalati, valutati e gestiti secondo le proprie politiche.

Sicurezza della rete. Emergent mantiene politiche e procedure commercialmente ragionevoli per la sicurezza della rete, comprese misure progettate per proteggere i Dati personali del Cliente da accessi, modifiche, divulgazioni o distruzioni non autorizzati.

Controllo degli accessi. Emergent limita l’accesso ai dati al Personale autorizzato che ne ha necessità per svolgere le proprie mansioni. Verifica periodicamente i diritti di accesso degli utenti e dispone di procedure per revocare gli accessi nell’ambito delle misure previste alla cessazione del rapporto.

Protezione da virus e malware. Emergent adotta misure commercialmente ragionevoli per proteggere i Dati personali da codice dannoso, compresa, ove appropriato, l’installazione e la manutenzione di software antivirus e antimalware.

Personale. Emergent mantiene un programma di sensibilizzazione alla sicurezza per formare i dipendenti sui loro obblighi. Il Personale con accesso ai Dati personali del Cliente riceve formazione adeguata al momento dell’assunzione e periodicamente in seguito. Il Personale segue inoltre le politiche e le procedure di sicurezza stabilite. Il mancato rispetto può comportare, ove appropriato, provvedimenti disciplinari, incluso il licenziamento.

Sicurezza dei subcontraenti. Emergent seleziona e stipula contratti soltanto con subcontraenti in grado di mantenere misure di sicurezza adeguate e non meno rigorose di quelle contenute nel DPA e nel presente Allegato.

Continuità operativa. Emergent attua piani di ripristino in caso di disastro e di ripresa dell’attività, mantenuti aggiornati e revisionati regolarmente. Adegua inoltre il proprio programma di sicurezza delle informazioni alle nuove leggi e circostanze, comprese le modifiche alla propria attività e ai trattamenti.