Accordo sul trattamento dei dati personali

Bozza, non in vigore. Versione 0.1 del 6 ottobre 2026.

Entra in vigore il {{EFFECTIVE_DATE}}.

Accordo ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (il "GDPR") per il servizio Socializza, un prodotto di ITALDRONI S.r.l.

1. Parti

Il presente accordo è concluso tra:

• [dati del cliente], con sede in [dati del cliente], partita IVA [dati del cliente], in qualità di titolare del trattamento (il "titolare" o il "cliente");
• ITALDRONI S.r.l., con sede in Via Camillo Benso Conte di Cavour 13, 10019 Strambino (TO), Italia, partita IVA e codice fiscale 13399080012, numero REA TO-1360305, in qualità di responsabile del trattamento (il "responsabile").

I dati di contatto delle parti sono nell'Allegato I.

2. Definizioni

Valgono le definizioni del GDPR. Valgono inoltre le seguenti:

• "Contratto" indica il contratto con cui il titolare usa Socializza;
• "workspace" indica lo spazio del titolare in Socializza, con un piano, una fatturazione, i suoi account e i suoi agenti, a cui appartiene ogni dato del titolare;
• "account" indica un account social che il titolare collega al workspace;
• "agente" indica un programma di intelligenza artificiale che il titolare sceglie e fa funzionare fuori da Socializza e che collega a Socializza con una propria credenziale;
• "autorizzazione" indica il collegamento di un agente a un account, con i permessi, la modalità e i limiti che il titolare sceglie nella schermata di consenso di Socializza;
• "approvazione" indica la decisione di una persona fisica designata dal titolare su un contenuto proposto da un agente;
• "registro di approvazione" indica la registrazione, una per ogni post, di come si è svolta l'approvazione e del suo esito;
• "Clausole" indica le clausole contrattuali tipo adottate all'articolo 4.

3. Oggetto e ambito

3.1. Il responsabile tratta dati personali per conto del titolare per fornire Socializza al workspace del titolare. L'Allegato II descrive il trattamento.

3.2. Il presente accordo si applica a ogni workspace usato per un'attività professionale o d'impresa, su ogni piano, Gratis compreso.

3.3. Restano fuori dal presente accordo i trattamenti per cui ITALDRONI S.r.l. è titolare. L'informativa privacy li descrive. Sono i seguenti:

• gli account dei membri del workspace e la loro autenticazione;
• i token dei dispositivi per le notifiche push;
• la fatturazione;
• i log di sicurezza;
• i contatori di prodotto;
• le segnalazioni di contenuti illegali e le decisioni sui contenuti del Regolamento (UE) 2022/2065;
• ogni trattamento svolto in un workspace usato per finalità esclusivamente personali o domestiche, ai sensi dell'articolo 2, paragrafo 2, lettera c), e del considerando 18 del GDPR.

4. Adozione delle clausole contrattuali tipo

4.1. Le parti adottano le clausole contrattuali tipo della Decisione di esecuzione (UE) 2021/915 della Commissione, nel testo italiano pubblicato nella Gazzetta ufficiale dell'Unione europea (EUR-Lex). Le Clausole sono parte integrante del presente accordo e non vi sono trascritte.

4.2. In caso di conflitto le Clausole prevalgono sul presente accordo e su ogni altro accordo tra le parti, come prevede la Clausola 4.

4.3. Gli articoli da 5 a 14 sono clausole aggiuntive ammesse dalla Clausola 2. Non contraddicono le Clausole, né direttamente né indirettamente, e non pregiudicano i diritti e le libertà fondamentali degli interessati.

4.4. Gli allegati delle Clausole sono i seguenti:

• Allegato I, Elenco delle parti, in questo documento;
• Allegato II, Descrizione del trattamento, in questo documento;
• Allegato III, Misure tecniche e organizzative, comprese misure tecniche e organizzative per garantire la sicurezza dei dati, in questo documento;
• Allegato IV, Elenco dei sub-responsabili del trattamento, in un documento separato.

L'Allegato V, la dichiarazione di residenza dei dati, è un allegato aggiuntivo del presente accordo, in un documento separato.

4.5. Le parti compiono le scelte seguenti:

• La Clausola 5, facoltativa, non si applica.
• Alla Clausola 7.7, lettera a), si applica l'opzione 2, autorizzazione scritta generale. Il periodo di preavviso è di 30 giorni. Il responsabile informa il titolare per email al contatto [dati del cliente] e con un banner nell'app. Un preavviso più breve è ammesso solo per la sostituzione d'urgenza dell'articolo 7.5.
• Ai fini della Clausola 9.2, il responsabile notifica al titolare la violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, al contatto [dati del cliente].

5. Istruzioni documentate

5.1. La configurazione che il titolare imposta nell'app costituisce l'istruzione documentata ai sensi dell'articolo 28, paragrafo 3, lettera a), del GDPR e della Clausola 7.1. La configurazione comprende:

• gli account collegati;
• le autorizzazioni, con i permessi, la modalità e i limiti per ogni agente e account;
• le regole di approvazione;
• il kill switch, con cui il titolare revoca in un solo gesto un agente, un brand o l'intero workspace.

5.2. Il responsabile esegue come istruzione del titolare ogni richiesta che un agente del titolare invia entro un'autorizzazione. Il responsabile non esegue le richieste che eccedono l'autorizzazione.

5.3. Il titolare modifica le istruzioni in ogni momento attraverso la configurazione. Ogni modifica dei permessi, della modalità o dei limiti di un'autorizzazione ne crea una nuova versione, conservata nella cronologia.

5.4. Il titolare dà istruzione di effettuare i trasferimenti indicati negli Allegati IV e V, con i meccanismi del capo V del GDPR ivi indicati. Ogni altro trasferimento richiede un'istruzione documentata, come prevede la Clausola 7.8.

5.5. Il responsabile comunica ogni modifica dell'Allegato V con il preavviso e nei modi dell'articolo 7.3. Il titolare può opporsi alle condizioni dell'articolo 7.4.

6. Uso dei dati del workspace

6.1. Il responsabile tratta i dati del workspace solo per fornire Socializza al titolare. Non li usa per finalità proprie.

6.2. Il responsabile non usa i dati del workspace per addestrare, affinare o valutare alcun modello di intelligenza artificiale.

6.3. Il responsabile non redige contenuti per il titolare e non elabora i dati del workspace con modelli linguistici.

6.4. Il responsabile non inserisce dati del workspace nei campi descrittivi o nei metadati dei servizi di pagamento.

7. Sub-responsabili del trattamento

7.1. Con la Clausola 7.7, opzione 2, il titolare concede l'autorizzazione scritta generale al ricorso ai sub-responsabili elencati nell'Allegato IV. Il responsabile pubblica l'Allegato IV all'indirizzo stabile https://app.socializza.com/legal/sub-processors. Per ogni sub-responsabile l'Allegato IV indica denominazione, sede, funzione, categorie di dati, luogo del trattamento e meccanismo di trasferimento.

7.2. Il responsabile tiene un registro datato di ogni versione dell'Allegato IV. Il registro prova che la comunicazione di ogni modifica è avvenuta e in quale data.

7.3. Il responsabile comunica ogni aggiunta o sostituzione di un sub-responsabile almeno 30 giorni prima, nei modi dell'articolo 4.5.

7.4. Entro il periodo di preavviso il titolare può opporsi per iscritto, per motivi attinenti alla protezione dei dati personali. Il responsabile cerca prima di accogliere l'opposizione, per esempio trattando altrove i dati del titolare. Se non può, il titolare può recedere dal servizio interessato senza penali. In tal caso il responsabile rimborsa pro rata i corrispettivi pagati per il periodo non goduto.

7.5. Se un sub-responsabile cessa il servizio, o un problema di sicurezza impone una sostituzione immediata, il responsabile può sostituirlo con un preavviso inferiore a 30 giorni. Il responsabile comunica la sostituzione nei modi dell'articolo 4.5. Il titolare può opporsi entro 30 giorni dalla comunicazione, alle condizioni dell'articolo 7.4.

7.6. Ogni contratto con un sub-responsabile impone gli stessi obblighi in materia di protezione dei dati del presente accordo, come richiede l'articolo 28, paragrafo 4, del GDPR. Il responsabile rimane pienamente responsabile nei confronti del titolare dell'adempimento degli obblighi dei sub-responsabili (Clausola 7.7, lettera d)).

8. Piattaforme social

8.1. Le piattaforme su cui il titolare collega account ricevono i dati perché il titolare lo decide. Sono destinatari scelti dal titolare, indicati nell'Allegato II.

8.2. Ogni piattaforma tratta i dati come titolare autonomo, in base al proprio rapporto con il titolare. Nessuna piattaforma è sub-responsabile del trattamento, e nessuna figura nell'Allegato IV.

8.3. Il responsabile accede alle piattaforme solo attraverso le loro API ufficiali.

9. Comunicazioni

9.1. Il responsabile invia le comunicazioni previste dal presente accordo e dalle Clausole al contatto [dati del cliente].

9.2. Il titolare invia le comunicazioni, le richieste di assistenza della Clausola 8 e le opposizioni dell'articolo 7 a privacy@socializza.com.

10. Attività di revisione e ispezioni

10.1. Il responsabile dimostra il rispetto dei propri obblighi, come prevede la Clausola 7.6, anzitutto con documentazione e con risposte ai questionari del titolare.

10.2. Il titolare può svolgere un'ispezione in loco, direttamente o tramite un revisore indipendente, una volta all'anno e con un preavviso di 30 giorni.

10.3. Ispezioni in loco più frequenti sono ammesse solo dopo una violazione dei dati personali, in presenza di indicazioni di inosservanza delle Clausole o su richiesta di un'autorità di controllo.

11. Cancellazione e restituzione dei dati

11.1. Alla cessazione del Contratto il titolare sceglie tra la restituzione e la cancellazione dei dati, come prevede la Clausola 10, lettera d).

11.2. Fanno eccezione i registri di approvazione. Il titolare dà istruzione al responsabile di conservare ogni registro di approvazione per 5 anni dalla pubblicazione del post, su ogni piano, anche dopo la cessazione del Contratto.

11.3. Alla cessazione del Contratto il responsabile consegna al titolare l'esportazione firmata dei registri di approvazione. Il titolare può ordinare per iscritto la cancellazione anticipata dei registri. Allo scadere dei 5 anni il responsabile cancella ogni registro.

11.4. La cancellazione del workspace elimina gli altri dati dai sistemi attivi entro 30 giorni. Si conclude con la distruzione della chiave di cifratura del workspace (crypto-shred). La distruzione della chiave rende irrecuperabili i dati cifrati con quella chiave, a partire dai token delle piattaforme.

11.5. I backup comprendono 30 giorni a rotazione e una copia mensile conservata 12 mesi. Un dato cancellato può quindi restare nei backup fino a 13 mesi, solo in forma cifrata. I backup non consentono la cancellazione selettiva e scadono da soli.

12. Regolamento (UE) 2024/1689 sull'intelligenza artificiale

12.1. Il titolare è il deployer dei sistemi di intelligenza artificiale che usa attraverso i propri agenti. Il titolare ha la responsabilità editoriale dei contenuti pubblicati.

12.2. L'esenzione dell'articolo 50, paragrafo 4, del Regolamento (UE) 2024/1689 per i testi sottoposti a revisione umana o a controllo editoriale spetta al titolare. Il responsabile non dichiara la conformità del titolare in suo nome.

12.3. Il responsabile conserva un registro di approvazione per ogni post, per il periodo dell'articolo 11.2. Il titolare può usarlo per dimostrare la revisione umana. Su richiesta del titolare, il responsabile esporta il registro in formato firmato.

12.4. Approva solo una persona fisica designata dal titolare e autenticata nell'app. Un token di un agente non può mai approvare.

12.5. I contenuti pubblicati senza revisione recano automaticamente l'etichetta che indica l'uso dell'intelligenza artificiale.

13. Durata e lingua

13.1. Il presente accordo ha la stessa durata del Contratto. Resta efficace finché non sono scaduti i backup che contengono i dati del titolare, al massimo 13 mesi dopo la cancellazione prevista dall'articolo 11.4, in linea con la Clausola 10, lettera d). Per i registri di approvazione resta efficace fino alla loro cancellazione secondo l'articolo 11.3.

13.2. Il presente accordo è redatto in italiano, inglese, spagnolo, francese e tedesco. In caso di difformità prevale il testo italiano. La prevalenza del testo italiano non si applica alle Clausole. Ogni versione linguistica del presente accordo adotta le Clausole nella propria lingua, e ogni versione pubblicata nella Gazzetta ufficiale dell'Unione europea fa ugualmente fede.

14. Limite di responsabilità

14.1. La responsabilità del responsabile verso il titolare per il presente accordo e per le Clausole rientra nel limite dell'articolo 18.2 delle condizioni generali di servizio.

14.2. Il limite non si applica nei casi dell'articolo 18.3 delle condizioni generali di servizio (art. 1229, commi 1 e 2, c.c.). Non pregiudica il risarcimento dovuto agli interessati (art. 82 del GDPR). Il presente articolo non modifica le Clausole e si applica solo in quanto non le contraddice (Clausola 2).

Allegato I. Elenco delle parti

Titolare del trattamento

Responsabile del trattamento

Allegato II. Descrizione del trattamento

Categorie di interessati

• I membri del workspace, compresi gli approvatori e, nel piano Agenzia, gli approvatori dei clienti dell'agenzia, per i dati che li riguardano nelle autorizzazioni, nelle approvazioni e nel registro di audit.
• Le persone che gestiscono gli account collegati.
• Il pubblico degli account collegati, per i dati che le API delle piattaforme restituiscono.
• I terzi presenti nei contenuti delle piattaforme: autori di commenti, persone menzionate o taggate, autori dei risultati di ricerca, interlocutori nei messaggi diretti.
• Le persone che compaiono nelle bozze, nei testi e nei media del titolare.

Categorie di dati personali

• Account collegati: piattaforma, identificativo esterno, nome utente, nome visualizzato, immagine del profilo e profilo pubblico (nome, nome utente, immagine del profilo, numero di follower, biografia), aggiornato ogni giorno. I token delle piattaforme sono conservati solo in forma cifrata e non lasciano mai il vault.
• Contenuti del titolare: bozze e post con testo, media, opzioni, data di programmazione, indicazione ai_generated e riferimento al post pubblicato. I media sono immagini e video.
• Contenuti di terzi letti tramite le API: commenti, menzioni, messaggi diretti, risultati di ricerca, statistiche e dati del pubblico.
• Agenti e autorizzazioni: nome dell'agente, ambiente di esecuzione, metodo di collegamento, ultimo accesso e ultimo indirizzo IP. Le autorizzazioni, con permessi, modalità, limiti, versioni e membro che le ha create. Il registro di consenso di ogni autorizzazione, con membro, copia dell'autorizzazione, dispositivo, indirizzo IP, lingua e metodo. Le credenziali degli agenti, conservate solo come impronta crittografica.
• Registri di approvazione, uno per post: impronte SHA-256 della bozza dell'agente e del testo approvato, con le differenze; riferimento al post, piattaforma, account, ora di pubblicazione; identificativo dell'agente, ora di generazione, modello o fornitore se l'agente li dichiara; revisore persona fisica, con identificativo e metodo di autenticazione; ruolo e competenza del revisore; tempo di apertura, testo visualizzato, modifiche, link aperti, nota e attestazione del revisore; decisione con marca temporale; soggetto responsabile, persona responsabile e URL della pagina pubblica dei contatti; indicazione di interesse pubblico e chi l'ha impostata; presenza di media; valutazione sui deep fake.
• Registro di audit: tipo di evento, attore, account, strumento o azione, argomenti oscurati, esito, indirizzo IP, data e ora. Gli argomenti non contengono segreti né token, e ogni testo libero è troncato a 2000 caratteri.

Dati sensibili

Nessun campo di Socializza è progettato per le categorie particolari di dati dell'articolo 9 del GDPR. Commenti e messaggi diretti possono tuttavia contenerle. Per questi dati si applicano le misure dell'Allegato III, come prevede la Clausola 7.5, con queste garanzie specifiche:

• il responsabile si limita a conservare i dati, consegnarli agli agenti del titolare e cancellarli;
• il responsabile non effettua alcuna profilazione;
• nessun modello linguistico tratta i dati;
• l'accesso è limitato come prevede l'Allegato III;
• i contenuti di terzi sono cancellati entro 30 giorni.

Natura del trattamento

Il responsabile svolge le operazioni seguenti:

• conserva i token delle piattaforme nel vault, in forma cifrata, e non li consegna mai agli agenti;
• legge tramite le API ufficiali commenti, menzioni, messaggi diretti, statistiche e risultati di ricerca;
• consegna agli agenti i contenuti di terzi come dati non attendibili, con un marcatore di provenienza e un limite di lunghezza, mai come istruzioni;
• riceve dagli agenti bozze e media, li programma e li pubblica sugli account del titolare;
• gestisce il flusso di approvazione e conserva i registri di approvazione;
• registra nel registro di audit ogni chiamata degli agenti e ogni azione dei membri;
• invia le notifiche di approvazione per email e push, che non contengono il testo dei post.

Finalità

Consentire agli agenti del titolare di operare sugli account del titolare entro le autorizzazioni e le regole di approvazione impostate dal titolare.

Frequenza

Continua, per la durata del Contratto.

Durata e conservazione

Il trattamento dura quanto il Contratto, salvo i registri di approvazione dell'articolo 11.2. Valgono i termini seguenti.

Alla cessazione del Contratto si applica l'articolo 11.

Destinatari scelti dal titolare

Le piattaforme su cui il titolare collega account. Al lancio sono X e Meta per Pagine Facebook, Instagram e Threads. Si applica l'articolo 8.

Trattamento da parte dei sub-responsabili

L'Allegato IV indica per ogni sub-responsabile la funzione, le categorie di dati e il luogo del trattamento. I sub-responsabili trattano i dati finché il presente accordo resta efficace secondo l'articolo 13.1. Il periodo dura fino alla scadenza dei backup, al massimo 13 mesi dopo la cancellazione prevista dall'articolo 11.4, e per i registri di approvazione fino alla loro cancellazione.

Trasferimenti

L'Allegato V indica cosa resta nell'Unione europea e ogni eccezione, con il relativo meccanismo del capo V del GDPR.

Allegato III. Misure tecniche e organizzative, comprese misure tecniche e organizzative per garantire la sicurezza dei dati

Cifratura

• Il traffico pubblico usa solo TLS 1.3, con HSTS. I server comunicano su una rete privata WireGuard. Anche le connessioni al database usano TLS.
• Ogni volume che contiene dati è cifrato per intero con LUKS2. Lo swap è disattivato su ogni server, perché il materiale delle chiavi non arrivi mai su disco.
• Con la cifratura a busta, ogni token di accesso e di rinnovo delle piattaforme è cifrato con una chiave dati propria del workspace (AES-256-GCM). Le credenziali che Socializza rilascia agli agenti sono conservate solo come hash, mai in chiaro. I segreti delle app di sviluppatore di Socializza sono comuni a tutti i workspace e sono cifrati con una chiave di sistema distinta. Ciascuna di queste chiavi è a sua volta cifrata da una chiave che non lascia mai il deposito delle chiavi. Il database conserva questi segreti solo in forma cifrata.
• I backup sono cifrati sul server prima dell'invio, con una chiave che il fornitore dell'archivio dei backup non detiene.

Gestione delle chiavi

• Il deposito delle chiavi (OpenBao) gira sul server di Socializza. Lo sblocco richiede 3 quote su 5, custodite fuori dai server.
• Il responsabile non usa servizi di gestione delle chiavi di fornitori statunitensi.
• Le chiavi dati dei workspace sono ruotate a ogni sospetto di compromissione. I segreti delle app delle piattaforme ruotano ogni 6 mesi, le chiavi di firma ogni trimestre.
• I servizi prelevano i segreti dal deposito delle chiavi all'avvio. Nessun segreto si trova in un file di configurazione. Ogni disco è cifrato.

Isolamento tra workspace

• Ogni riga di dati del titolare appartiene a un solo workspace.
• La sicurezza a livello di riga del database è imposta su ogni tabella che contiene dati del titolare. Senza un workspace impostato, l'applicazione non legge alcuna riga.
• Il vault dei token è separato dagli altri dati, con ruoli propri.

Accesso degli agenti

• Gli agenti ricevono solo credenziali emesse da Socializza, legate al destinatario e a breve durata, un'ora al massimo. I token delle piattaforme non lasciano mai il vault.
• Gli agenti si collegano con OAuth 2.1 e PKCE, con corrispondenza esatta degli indirizzi di reindirizzamento.
• Ogni agente vede solo gli strumenti che la sua autorizzazione consente.
• La revoca di un'autorizzazione o la pausa di un agente ha effetto entro un minuto. Il kill switch revoca un agente, un brand o l'intero workspace.

Accesso dei membri

• L'autenticazione a due fattori è obbligatoria per proprietari e amministratori del workspace e disponibile per ogni membro.
• Nuova autenticazione per modificare un'autorizzazione, usare il kill switch o cambiare la fatturazione.
• Sessioni legate al dispositivo e avvisi di accesso.
• Protezione CSRF e Content Security Policy su ogni pagina.

Rete e server

• Due controlli su ogni percorso di rete: le regole della rete privata per ruolo, poi un firewall che nega per impostazione predefinita.
• Solo il proxy risponde al pubblico, sulle porte 80 e 443. Il database e il deposito delle chiavi sono raggiungibili solo in locale o dalla rete privata.
• Protezione anti-DDoS del fornitore di hosting. Limiti di frequenza per credenziale, workspace e indirizzo IP. Limiti alla dimensione delle richieste. CrowdSec sui server, con la lista di blocco della comunità.
• Aggiornamenti di sicurezza automatici, pacchetti minimi, un utente di sistema per servizio, container senza privilegi.

Accesso amministrativo

• Una sola persona autorizzata di ITALDRONI S.r.l. ha accesso ai sistemi di produzione.
• Accesso SSH solo dalla rete privata, con chiavi su dispositivo hardware. Password e accesso come root disattivati. Ogni sessione amministrativa è registrata.
• Gli strumenti automatici di sviluppo non detengono credenziali di produzione. Il rilascio avviene solo dalla pipeline di integrazione continua, da modifiche revisionate.

Contenuti non attendibili e media

• I contenuti di terzi arrivano agli agenti con un marcatore di provenienza e un limite di 2000 caratteri, mai come istruzioni.
• I media sono verificati in un processo isolato, con limiti di dimensione e di tempo, riconoscimento del tipo, ricodifica delle immagini e transcodifica dei video in un container senza rete.
• I media sono pubblicati a indirizzi non indovinabili, che scadono.

Registri

• Il registro di audit è in sola aggiunta, con una riga prima della chiamata alla piattaforma e una dopo, legate dallo stesso identificativo. L'applicazione può solo inserire righe.
• Gli argomenti registrati sono oscurati. Nessun segreto o token entra nel registro di audit.
• I registri di approvazione sono in sola aggiunta, concatenati tramite impronte crittografiche ed esportabili in formato firmato. Nessuna operazione modifica un registro di approvazione.

Backup e continuità

• Il registro delle transazioni (WAL) del database è archiviato in modo continuo.
• Backup continui verso un archivio dei backup AWS S3 nella regione eu-central-1, Francoforte, Germania, con blocco degli oggetti in modalità di conformità e conservazione delle versioni. L'identità che scrive i backup non può leggerli né cancellarli. Il ripristino usa un'identità separata, con autenticazione a più fattori.
• Gli obiettivi di ripristino sono un RPO inferiore a 5 minuti e un RTO inferiore a 4 ore per la ricostruzione completa dai backup.
• Prova di ripristino automatica ogni mese, con verifica di integrità. Ricostruzione completa provata due volte l'anno.

Sviluppo

• Dipendenze bloccate, riviste ogni settimana e verificate in integrazione continua. Ricerca di segreti nel codice in integrazione continua.
• Distinta dei componenti (SBOM) per ogni rilascio. Immagini dei container firmate.
• Revisione umana obbligatoria per le modifiche al vault, al server di autorizzazione, alla gestione dei token e all'isolamento dei media.

Incidenti

• Procedura scritta per ogni scenario, con scala di gravità.
• Notifica al titolare di ogni violazione dei dati personali entro 48 ore dalla scoperta, come prevede l'articolo 4.5.
• Analisi dell'incidente entro una settimana.

Allegato IV. Elenco dei sub-responsabili del trattamento

L'Allegato IV è l'elenco dei sub-responsabili, pubblicato all'indirizzo stabile https://app.socializza.com/legal/sub-processors, con il suo registro delle modifiche.

Allegato V. Dichiarazione di residenza dei dati

L'Allegato V è la dichiarazione di residenza dei dati.