Accordo sul trattamento dei dati (DPA) — GuardrailX

Ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), tra:

• il Cliente che ha accettato i Termini di servizio di GuardrailX, titolare del trattamento ("Titolare");
• WebbergatePlus+ s.r.l., Strada Farnesiana 45, 29122 Piacenza (PC), Italia, P. IVA 03871830166, capitale sociale € 10.000, responsabile del trattamento ("Responsabile").

Questo accordo fa parte dei Termini di servizio e vale per tutta la durata del contratto.

1. Oggetto e durata

Il Responsabile tratta dati personali per conto del Titolare solo per fornire il Servizio descritto nei Termini, per la durata del contratto e per il tempo necessario alla cancellazione indicata al punto 9.

2. Natura e finalità del trattamento

Il recapito delle notifiche tramite Webhook dipende dalla corretta configurazione e disponibilità dei sistemi del Cliente. WebbergatePlus+ s.r.l. non risponde per il mancato o ritardato ricevimento degli avvisi dovuto a malfunzionamenti, blocchi o indisponibilità degli endpoint forniti dal Cliente.

3. Tipi di dati e categorie di interessati

Dipendono da ciò che il Titolare fa inviare ai suoi agenti: potenzialmente qualsiasi dato contenuto nelle domande e nei documenti inviati ai modelli (per esempio dati di clienti, dipendenti, fornitori del Titolare). Il Titolare valuta se inviare categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10) e, se lo fa, ne garantisce la base giuridica; in quel caso si consiglia di non attivare i Confronti sulle chiamate interessate e di escludere dall'Autopilot gli agenti che le inviano. Privacy Guard riduce i dati personali che arrivano al provider ma non li esclude: riconosce i dati con regole automatiche, non tratta immagini e file allegati e lascia al provider il resto del testo. Per i dati che non devono arrivare al provider il Titolare usa la modalità che blocca le chiamate, o non li invia.

Il Titolare si impegna formalmente a non immettere dati personali appartenenti alle categorie particolari di cui all'art. 9 GDPR o dati relativi a condanne penali e reati ex art. 10 GDPR all'interno dei campi header (X-GuardrailX-*) o nelle impostazioni di configurazione. Qualora il Titolare decida di inoltrare tali categorie di dati nel payload delle chiamate o nei Confronti fra Modelli, garantisce sotto la propria esclusiva responsabilità di essere in possesso di un'idonea base giuridica e di aver adempiuto a tutti gli obblighi previsti dalla legge (compresa l'eventuale DPIA), manlevando integralmente il Responsabile.

4. Provider di intelligenza artificiale

Il Titolare può configurare nel Servizio provider di intelligenza artificiale di propria scelta (ad esempio OpenAI, Anthropic, Google, Mistral AI, DeepSeek e OpenRouter), utilizzando credenziali o chiavi API associate al proprio rapporto con tali provider. Il Responsabile trasmette i dati al provider selezionato esclusivamente sulla base delle istruzioni e delle configurazioni del Titolare e nella misura necessaria all'esecuzione della richiesta. L'utilizzo di un provider configurato dal Titolare costituisce istruzione documentata al Responsabile a trasmettere a tale provider i dati necessari all'esecuzione della richiesta. Il Titolare è responsabile della scelta del provider, dei modelli utilizzati e della verifica dei relativi termini contrattuali, delle condizioni applicabili al trattamento dei dati personali e delle eventuali garanzie richieste per trasferimenti verso paesi terzi. Le funzionalità di instradamento, di Confronto fra modelli e l'Autopilot trasmettono dati esclusivamente ai provider configurati dal Titolare. L'attivazione dell'Autopilot costituisce istruzione documentata a inviare un campione delle chiamate, con la chiave del Titolare, ad altri modelli dello stesso provider scelti dall'Autopilot e al modello in uso come giudice, entro gli obiettivi e la spesa fissati dal Titolare.

5. Obblighi del Responsabile

Il Responsabile:

1. tratta i dati solo su istruzioni documentate del Titolare, cioè i Termini, questo accordo e le configurazioni fatte dal Titolare nel Servizio; informa senza ingiustificato ritardo il Titolare se ritiene che un'istruzione violi il GDPR o altra normativa applicabile in materia di protezione dei dati e può sospendere l'esecuzione dell'istruzione interessata fino alla sua modifica, revoca o conferma della relativa liceità;
2. garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
3. adotta le misure di sicurezza dell'Allegato A (art. 32 GDPR) e le aggiorna nel tempo;
4. ricorre ai sub-responsabili secondo il punto 6;
5. assiste il Titolare, per quanto possibile, nel rispondere alle richieste degli interessati (artt. 15-22) e negli adempimenti degli artt. 32-36;
6. notifica al Titolare le violazioni dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili;
7. mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche (punto 8).

L'assistenza del Responsabile in materia di valutazioni d'impatto (DPIA) e gestione delle richieste degli interessati è fornita nei limiti della natura del Servizio. Qualora l'assistenza richiesta dal Titolare comporti un impegno operativo o tecnico straordinario, il Responsabile si riserva il diritto di addebitare al Titolare i relativi costi sulla base delle proprie tariffe orarie vigenti.

6. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili dell'Allegato B. Il Responsabile comunica con almeno 30 giorni di preavviso l'aggiunta o la sostituzione di un sub-responsabile; entro quel termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, in mancanza di una soluzione, recedere dal contratto senza penali. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli di questo accordo e ne risponde.

7. Trasferimenti fuori dallo SEE

Il Responsabile conserva i dati in Italia. Eventuali trasferimenti fuori dallo Spazio economico europeo da parte dei sub-responsabili avvengono solo sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo della Commissione europea, con le misure supplementari necessarie.

L'integrazione del bot Telegram per la ricezione di avvisi costituisce una scelta del tutto opzionale ed esclusiva del Titolare. Abilitando tale canale, il Titolare impartisce istruzione diretta al Responsabile di trasmettere i metadati degli avvisi a Telegram Messenger Inc. / Telegram FZ-LLC, dichiarando di aver valutato e accettato i relativi rischi connessi al trasferimento verso paesi extra-UE

8. Verifiche

Il Titolare può chiedere informazioni scritte sul rispetto di questo accordo; il Responsabile risponde entro 30 giorni. Verifiche ispettive, anche tramite un revisore vincolato alla riservatezza, si concordano con almeno 30 giorni di preavviso, al massimo una volta l'anno salvo violazioni, e sono a carico del Titolare.

I costi e le spese derivanti dall'esercizio del diritto di verifica da parte del Titolare o di un suo revisore sono interamente a carico del Titolare medesimo. Tali verifiche dovranno svolgersi durante i normali orari lavorativi, con un preavviso minimo di 30 giorni, senza interferire con l'operatività del Servizio e con modalità tali da non compromettere la sicurezza dei sistemi o la riservatezza dei dati di altri clienti.

9. Fine del trattamento

Alla chiusura dell'account o alla risoluzione del contratto, il Responsabile cancella i dati personali trattati per conto del Titolare dai sistemi di produzione entro 30 giorni. Relativamente alle copie di sicurezza (backup), i dati del Titolare permangono in ambienti ad accesso riservato (la copia esterna è cifrata) e vengono eliminati o sovrascritti al termine del naturale ciclo di rotazione dei backup (14 giorni sul server, 60 giorni per la copia esterna). Prima della chiusura dell'account, il Titolare ha la facoltà di esportare il registro delle chiamate e i propri dati in formato CSV dalla dashboard. Restano esclusi dalla cancellazione immediata i soli dati che il Responsabile è tenuto a conservare in virtù di un obbligo di legge.

10. Responsabilità

Fermo restando quanto previsto dall'art. 82 GDPR in materia di responsabilità verso gli interessati, la responsabilità complessiva del Responsabile nei confronti del Titolare per qualsiasi violazione del presente DPA sarà soggetta alle limitazioni e al tetto massimo (cap) previsto all'art. 11 dei Termini di Servizio (pari all'importo complessivamente corrisposto nei dodici mesi precedenti).

Allegato A — Misure tecniche e organizzative

• Cifratura in transito: HTTPS (TLS) tra agenti, Servizio e provider; dashboard solo su HTTPS con intestazioni di sicurezza (HSTS, Content Security Policy restrittiva).
• Cifratura a riposo: chiavi API dei provider e testi dei Confronti e dell'Autopilot cifrati con AES-256-GCM e una chiave master conservata fuori dal database.
• Minimizzazione: il contenuto delle chiamate non viene salvato (salvo Confronti e Autopilot attivati dal Titolare); con Privacy Guard, facoltativo, i dati personali riconosciuti diventano segnaposti prima dell'inoltro al provider, e le voci del dizionario del progetto sono conservate cifrate; il registro contiene solo metadati; conservazione limitata per piano (90 o 365 giorni), poi solo totali mensili; testi dei Confronti cancellati 30 giorni dopo la fine del confronto, quelli dell'Autopilot 30 giorni dopo la raccolta.
• Accessi: password conservate come impronta bcrypt; email confermata prima del primo accesso; accesso con Google o Microsoft opzionale; limiti ai tentativi di accesso e di registrazione; chiavi gr_… conservate solo come impronta SHA-256; ogni utente vede solo i propri progetti; accesso ai server via SSH con chiave, riservato a personale autorizzato.
• Rete: database non esposto su internet; applicazione raggiungibile solo tramite il reverse proxy HTTPS; indirizzi webhook verso reti private rifiutati.
• Continuità: backup giornaliero del database, verificato e conservato 14 giorni sul server e 60 giorni in una copia esterna cifrata (contenuto e nomi dei file) presso un altro fornitore; procedura di ripristino documentata; monitoraggio dello stato del Servizio.
• Aggiornamenti: dipendenze e sistema aggiornati; migrazioni del database versionate e verificate.
• Violazioni: procedura di gestione e notifica entro 48 ore (punto 5.6).

Allegato B — Sub-responsabili autorizzati

Stripe (pagamenti), Google e Microsoft (accesso con Google o Microsoft) trattano solo i dati dell'account del Cliente, come titolari o responsabili per nostro conto: sono indicati nell'Informativa privacy e non ricevono i dati delle chiamate. I provider di IA configurati direttamente dal Titolare e utilizzati mediante credenziali/API key riconducibili al rapporto contrattuale tra il Titolare e il provider non sono selezionati dal Responsabile quali propri sub-responsabili. Il Responsabile agisce esclusivamente quale intermediario tecnico, trasmettendo i dati al provider indicato dal Titolare sulla base delle istruzioni documentate di quest'ultimo. La qualificazione del provider ai sensi della normativa applicabile resta determinata dal rapporto e dalle condizioni intercorrenti tra il Titolare e il provider. L'integrazione del bot Telegram per la ricezione di avvisi costituisce una scelta del tutto opzionale ed esclusiva del Titolare. Abilitando tale canale, il Titolare impartisce istruzione diretta al Responsabile di trasmettere i metadati degli avvisi a Telegram Messenger Inc. / Telegram FZ-LLC, dichiarando di aver valutato e accettato i relativi rischi connessi al trasferimento verso paesi extra-UE

Ultimo aggiornamento: 27 ottobre 2026