1. Ruoli oggetto e durata
Per i dati di clienti, fornitori, lavoratori e altri interessati inseriti nel workspace, il cliente è titolare del trattamento e LAIO Sagl è responsabile del trattamento. Se il cliente agisce a sua volta per un terzo titolare, conferma di poter impartire le istruzioni e autorizzare LAIO nei limiti del mandato ricevuto.
Il presente accordo disciplina i trattamenti necessari a erogare i moduli acquistati per la durata del contratto e fino alla restituzione o cancellazione secondo l’allegato C. Le attività, le categorie e le misure sono specificate nell’allegato A. I trattamenti di cui LAIO determina autonomamente finalità, per account, rapporto commerciale e sicurezza, sono descritti nell’informativa privacy.
2. Istruzioni e limiti del trattamento
LAIO tratta i dati soltanto su istruzioni documentate del cliente, comprese le operazioni effettuate nell’app dagli utenti abilitati. Le istruzioni ulteriori provengono dal referente autorizzato indicato nell’ordine e sono conservate in forma verificabile. LAIO segnala senza ritardo istruzioni che ritiene contrarie alle norme applicabili e sospende l’operazione interessata in attesa di chiarimenti.
LAIO non vende i dati del cliente né li usa per pubblicità o per addestrare propri modelli. L’eventuale trattamento imposto dalla legge è limitato al necessario e comunicato al cliente prima dell’esecuzione, salvo divieto legale. Le condizioni applicabili ai fornitori AI devono essere indicate nell’allegato B; nessuna assenza di conservazione o addestramento da parte di terzi è presunta.
3. Persone autorizzate e assistenza
LAIO limita gli accessi alle persone necessarie, vincolate alla riservatezza, e gestisce assegnazione e revoca delle abilitazioni. L’accesso al workspace per assistenza avviene sulla base di una richiesta o istruzione documentata del cliente, limitatamente alla necessità dell’intervento.
Per un incidente urgente LAIO può eseguire gli accessi indispensabili a proteggere dati e servizio, documentandoli e informando il cliente appena possibile. L’istruzione non autorizza consultazioni estranee all’assistenza o accessi indiscriminati.
4. Sicurezza e continuità
LAIO adotta misure tecniche e organizzative adeguate al rischio e mantiene quelle concordate nell’allegato A, con riesame periodico. Le misure comprendono controllo degli accessi, separazione dei clienti, protezione degli allegati riservati, trasmissione protetta e gestione degli incidenti.
L’allegato A specifica la copertura effettiva dei backup di database e file, la frequenza, la conservazione, gli accessi e l’ultima prova di ripristino. Gli obiettivi di ripristino sono vincolanti solo se espressamente compilati e concordati. Le misure possono evolvere senza ridurre il livello di protezione concordato.
5. Sub responsabili e trasferimenti
Il cliente autorizza i sub-responsabili elencati nell’allegato B consegnato con l’offerta firmata, nei limiti di servizio, dati, Stati e garanzie ivi indicati. Le funzioni opzionali richiedono anche l’istruzione nell’allegato C. LAIO impone ai sub-responsabili obblighi di protezione coerenti con questo accordo e resta responsabile dell’adempimento dei propri obblighi verso il cliente.
LAIO comunica nuovi sub-responsabili o sostituzioni con almeno 30 giorni di anticipo quando il preavviso ricevuto dal fornitore lo consente. Se il termine è più breve, inoltra il preavviso senza indugio e comunque entro 24 ore dalla ricezione, indicando data di introduzione e scadenza effettiva per opporsi; il termine interno non può consumare il termine del fornitore. LAIO presidia le notifiche anche nei giorni non lavorativi e presenta tempestivamente al fornitore le opposizioni ricevute. Il cliente può opporsi per motivi documentati di protezione dei dati prima dell’introduzione. Se il preavviso non permette una valutazione effettiva, LAIO chiede una proroga o sospende il trattamento interessato prima del cambiamento. Le parti cercano una soluzione; in mancanza cessano il servizio interessato, regolando i corrispettivi delle prestazioni non fruite. Non sono introdotti trasferimenti privi dei presupposti necessari.
LAIO verifica la liceità dei trasferimenti, documenta Stati e garanzie, e informa il cliente delle modifiche pertinenti. L’autorizzazione contrattuale non sostituisce adeguatezza, clausole applicabili o altre condizioni previste dalla legge. Google e altri soggetti che operano come titolari autonomi sono identificati separatamente.
6. Richieste degli interessati
LAIO assiste il cliente nel reperimento, accesso, rettifica, consegna, limitazione e cancellazione dei dati nei limiti della legge. Inoltra senza ingiustificato ritardo le richieste relative ai dati di cui il cliente è titolare e non risponde per suo conto senza istruzione, salvo obbligo legale.
L’assistenza comprende i dati personali pertinenti nei diversi moduli e negli allegati; l’export autonomo limitato dell’account non è presentato come risposta completa a una richiesta dell’interessato. Le parti verificano identità, competenza e diritti di terzi prima della consegna.
7. Violazioni della sicurezza
LAIO informa il cliente il più rapidamente possibile di ogni violazione della sicurezza dei dati trattati per suo conto, senza attendere una valutazione definitiva del rischio. Comunica natura, cronologia nota, categorie e stime degli interessati, conseguenze plausibili, misure adottate e contatto operativo. Integra quanto inizialmente non disponibile appena possibile.
LAIO preserva le evidenze necessarie, contiene l’incidente e coopera alle notifiche e alle misure correttive. Il cliente decide le notifiche dovute quale titolare; restano gli obblighi propri di LAIO. La comunicazione iniziale non è rinviata alla conclusione dell’indagine.
8. Evidenze verifiche e valutazioni di impatto
LAIO mette a disposizione informazioni pertinenti per dimostrare l’adempimento dell’accordo e assiste nelle valutazioni d’impatto e nelle consultazioni richieste dalla normativa. Il cliente può chiedere verifiche proporzionate, concordando preavviso, ambito e riservatezza; urgenze e richieste dell’autorità sono gestite senza ritardi ingiustificati.
Le verifiche proteggono dati di altri clienti e segreti di sicurezza. Eventuali costi di attività straordinarie devono essere concordati prima, senza impedire l’adempimento di obblighi legali o la verifica di violazioni imputabili a LAIO.
9. Restituzione conservazione e cancellazione
Le istruzioni e i termini sono nell’allegato C, consegnato con i termini di conservazione adottati da LAIO il 06.10.2026: il cliente li conferma o li sostituisce con i propri, e nessun termine si considera accettato per silenzio. Alla fine del rapporto LAIO restituisce o cancella i dati secondo tali istruzioni, incluse copie e allegati, salvo specifici obblighi legali di conservazione che comunica e documenta. I dati trattenuti sono separati o soggetti a accessi limitati e non riutilizzati per altre finalità.
I backup scadono secondo il ciclo massimo concordato; l’eventuale ripristino comporta la riapplicazione delle cancellazioni già richieste. LAIO conferma per iscritto le operazioni eseguite, le eccezioni e le date residue. Archiviazione o disattivazione del workspace non sono considerate cancellazione.
10. Accettazione e allegati
L’accordo è accettato con la firma dell’offerta LAIO OS, che identifica versione e data del fascicolo e degli allegati A, B, C e C bis consegnati. Nessun elenco fornitori, termine di cancellazione o misura mancante si considera approvato per silenzio. Modifiche alle istruzioni sono documentate dal referente autorizzato.
Restano ferme le norme imperative applicabili, inclusa la LPD e il GDPR quando pertinente al trattamento concreto. La legge applicabile al contratto è disciplinata nelle condizioni d’uso, senza derogare alle garanzie inderogabili in materia di protezione dei dati.