Accordo sul trattamento dei dati (DPA)

1. Oggetto e durata

L'oggetto è il trattamento di dati personali nell'erogazione di LogCon come software as a service. La durata corrisponde a quella del contratto principale.

2. Natura e finalità del trattamento

Gestione dei trasporti, elaborazione degli ordini assistita dall'IA, pianificazione, comunicazione con clienti, vettori e autisti, creazione di documenti, preparazione doganale e fatturazione.

3. Categorie di dati e interessati

• Dipendenti del titolare: nome, e-mail, telefono, ruolo, lingua, dati di accesso
• Autisti (propri e di subvettori): nome, telefono, lingua, qualifiche, dati di posizione durante i viaggi
• Referenti presso clienti e vettori: nome, recapiti, contenuto delle comunicazioni
• Dati di ordini, documenti, dogana e fatture con riferimento personale

4. Obblighi del responsabile del trattamento

• Trattamento solo su istruzioni documentate del titolare
• Obbligo di riservatezza per tutte le persone autorizzate
• Attuazione delle misure tecniche e organizzative (allegato 1)
• Supporto per i diritti degli interessati, le valutazioni d'impatto sulla protezione dei dati e gli obblighi di notifica
• Informazione al titolare qualora un'istruzione, a giudizio del responsabile, violi la normativa sulla protezione dei dati

5. Subresponsabili del trattamento

Il titolare approva i subresponsabili del trattamento elencati nell'allegato 2. Il responsabile informa il titolare delle modifiche previste con almeno 30 giorni di anticipo; il titolare può opporsi per giusta causa ai sensi della normativa sulla protezione dei dati.

6. Misure tecniche e organizzative (allegato 1)

• Controllo degli accessi fisici: data center nell'UE con certificazione ISO 27001, nessun accesso fisico da parte del personale del responsabile
• Controllo degli accessi al sistema: password con hash bcrypt, autenticazione a due fattori, blocco dopo tentativi falliti, JWT con scadenza, chiavi API memorizzate solo come hash
• Controllo degli accessi ai dati: permessi basati sui ruoli, principio del privilegio minimo, amministrazione a livello di piattaforma solo con permessi verificati nel database
• Controllo della separazione: ID tenant su ogni tabella, percorsi di archiviazione separati per tenant
• Crittografia: TLS in transito, AES-256-GCM per le credenziali di integrazione, crittografia del disco presso il fornitore di hosting
• Controllo dell'immissione dei dati: registro di controllo (audit log) con stato prima/dopo per modifiche e azioni dell'IA
• Controllo della trasmissione: webhook firmati con HMAC, e-mail in uscita solo tramite server configurati
• Disponibilità: backup crittografati giornalieri del database e dei documenti, con conservazione di 7 backup giornalieri, 4 settimanali e 12 mensili, copia crittografata off-site presso un secondo fornitore, procedura di ripristino documentata, monitoraggio
• Gestione della protezione dei dati: registro delle attività di trattamento, piano di cancellazione, processo di gestione degli incidenti

7. Notifica delle violazioni dei dati

Il responsabile segnala le violazioni di dati personali senza ritardo ingiustificato, al più tardi entro 24 ore dalla presa di conoscenza, con le informazioni previste dall'art. 33, par. 3, del GDPR.

8. Diritti di audit

Il titolare può verificare il rispetto del presente accordo mediante l'esame di prove e rapporti e, con preavviso tempestivo, mediante audit in loco.

9. Cancellazione e restituzione

Al termine del contratto, il responsabile del trattamento mette a disposizione un'esportazione completa dei dati per 30 giorni, dopodiché elimina tutti i dati del titolare, comprese le copie, e conferma la cancellazione. Gli obblighi legali di conservazione restano invariati; le copie di backup crittografate vengono sovrascritte nel normale ciclo di rotazione, al più tardi dopo 12 mesi.

10. Trasferimenti verso paesi terzi

I trasferimenti verso paesi terzi avvengono solo alle condizioni di cui agli artt. 44 e seguenti del GDPR, in particolare sulla base di una decisione di adeguatezza o di clausole contrattuali standard.

11. Trasparenza dell'IA (allegato 4)

Gli agenti IA creano proposte oppure – a seconda del livello di autonomia impostato dal titolare – eseguono azioni. Ogni azione dell'IA viene registrata con modello, orario, livello di confidenza e stato prima/dopo; le azioni automatiche sono reversibili. I dati del cliente non vengono utilizzati per addestrare i modelli di IA.

12. Disposizioni finali

In caso di contrasto, il presente accordo prevale sul contratto principale in materia di protezione dei dati. Si applica il diritto austriaco; il foro competente è Wien.

Allegato 2: subresponsabili del trattamento

Vedere la tabella seguente.