Accordo sul Trattamento dei Dati

Il presente Accordo sul Trattamento dei Dati ("ATD") è stipulato tra l'entità identificata come Titolare nel relativo ordine o contratto di servizio ("Titolare") e PZX (CNPJ: 62.054.402/0001-26), con sede nello Stato di San Paolo, Brasile ("Responsabile"), e costituisce parte integrante del contratto che disciplina l'uso di Konn ("Contratto").

1. Definizioni

"Dati Personali" indica qualsiasi informazione relativa a una persona fisica identificata o identificabile, come definita dalla Legge Generale brasiliana sulla Protezione dei Dati (LGPD, Legge n. 13.709/2018).

"Trattamento" indica qualsiasi operazione effettuata sui Dati Personali, inclusa la raccolta, conservazione, uso, accesso, trasmissione e cancellazione.

"Titolare" indica la persona fisica o giuridica che ha potere decisionale sul Trattamento dei Dati Personali.

"Responsabile" indica la persona fisica o giuridica che tratta i Dati Personali per conto del Titolare, secondo le istruzioni di quest'ultimo.

"Interessato" indica la persona fisica a cui si riferiscono i Dati Personali.

"Sub-responsabile" indica qualsiasi terza parte incaricata dal Responsabile per trattare Dati Personali per conto del Titolare.

"Servizi" indica la piattaforma Konn e qualsiasi funzionalità correlata messa a disposizione da PZX ai sensi del Contratto.

2. Ambito di applicazione e rapporto tra le parti

Il presente ATD disciplina il trattamento dei Dati Personali da parte di PZX nella sua qualità di Responsabile, per conto del Titolare, in relazione alla fornitura dei Servizi.

Il Titolare determina le finalità e i mezzi del trattamento. PZX tratta i Dati Personali esclusivamente per fornire e gestire i Servizi, secondo le istruzioni del Titolare stabilite nel presente ATD e nel Contratto.

3. Natura, finalità e durata del trattamento

Natura: conservazione, organizzazione, indicizzazione, elaborazione semantica, recupero e visualizzazione dei contenuti forniti dal Titolare e dai suoi utenti autorizzati.

Finalità: fornitura della piattaforma Konn, inclusi gestione documentale, grafo della conoscenza, ricerca semantica e funzionalità contestuali assistite da IA.

Durata: per la durata del Contratto. Alla cessazione, si applicano le disposizioni della Sezione 12.

4. Categorie di Dati Personali e Interessati

Le categorie di Dati Personali trattate ai sensi del presente ATD dipendono dai contenuti forniti dal Titolare. Possono includere, senza limitazione:

• Dati identificativi e di contatto: nomi, indirizzi e-mail e informazioni professionali degli utenti del Titolare e di qualsiasi persona menzionata nei contenuti caricati;

• Dati organizzativi: strutture di team, ruoli e comunicazioni interne;

• Dati di contenuto: documenti, note e voci di conoscenza che possono contenere Dati Personali relativi a dipendenti, clienti o terzi del Titolare.

Il Titolare riconosce che PZX non può controllare né prevedere le categorie di Dati Personali contenute nei contenuti caricati nei Servizi. Il Titolare è responsabile di garantire che tutti i Dati Personali forniti ai Servizi abbiano una base giuridica valida per il trattamento ai sensi della legge applicabile.

Gli Interessati sono principalmente i dipendenti e gli utenti autorizzati del Titolare, e potenzialmente terzi i cui dati appaiono nei contenuti caricati dal Titolare.

5. Obblighi del Responsabile

PZX, nella sua qualità di Responsabile, si impegna a:

5.1 Seguire le istruzioni: trattare i Dati Personali esclusivamente secondo le istruzioni documentate del Titolare, salvo quando richiesto dalla legge applicabile. PZX informerà il Titolare se ritiene che un'istruzione violi la legge applicabile, prima di procedere.

5.2 Riservatezza: assicurare che il personale autorizzato che tratta i Dati Personali sia soggetto a obblighi di riservatezza.

5.3 Sicurezza: implementare e mantenere misure tecniche e organizzative appropriate per proteggere i Dati Personali, come descritto nella Sezione 8.

5.4 Sub-responsabili: incaricare Sub-responsabili esclusivamente secondo la Sezione 7.

5.5 Diritti degli Interessati: assistere il Titolare nella risposta alle richieste di esercizio dei diritti degli Interessati, come descritto nella Sezione 9.

5.6 Cancellazione: cancellare o restituire i Dati Personali alla cessazione, come descritto nella Sezione 12.

5.7 Audit: mettere a disposizione le informazioni necessarie per dimostrare la conformità al presente ATD, come descritto nella Sezione 11.

5.8 Notifica di incidenti: notificare al Titolare senza ingiustificato ritardo, e comunque entro 72 ore dalla conoscenza, qualsiasi incidente di sicurezza confermato relativo a Dati Personali trattati ai sensi del presente ATD. La notifica includerà la natura dell'incidente, le categorie e il numero approssimativo di Interessati coinvolti, le probabili conseguenze e le misure adottate o proposte.

6. Obblighi del Titolare

Il Titolare si impegna a:

6.1 Base giuridica: garantire che tutti i Dati Personali forniti ai Servizi abbiano una base giuridica valida per il trattamento ai sensi della legge applicabile, inclusi i dati di terzi caricati come parte di documenti o contenuti di conoscenza.

6.2 Esattezza: fornire istruzioni accurate e aggiornate e garantire che i Dati Personali forniti siano adeguati e pertinenti rispetto alla finalità prevista.

6.3 Diritti degli Interessati: gestire le richieste degli Interessati indirizzate al Titolare e coordinarsi con PZX quando è richiesta l'assistenza del Responsabile.

6.4 Conformità: rispettare tutte le leggi applicabili in materia di protezione dei dati nella sua qualità di Titolare, inclusa l'ottenimento dei consensi richiesti dagli Interessati.

7. Sub-responsabili

7.1 Sub-responsabili attuali

Il Titolare autorizza PZX a incaricare i seguenti Sub-responsabili in relazione ai Servizi:

7.2 Sub-responsabili futuri

PZX potrà incaricare ulteriori fornitori di modelli di IA (inclusi, senza limitazione, fornitori di servizi di reranking, embedding o elaborazione audio) a mano a mano che i Servizi evolvono. PZX notificherà al Titolare qualsiasi aggiunta o sostituzione prevista di Sub-responsabili con almeno 30 giorni di anticipo.

Il Titolare potrà opporsi a un nuovo Sub-responsabile per motivi ragionevoli legati alla protezione dei dati notificando PZX per iscritto entro 15 giorni dal ricevimento della notifica. Se le parti non riescono a risolvere l'obiezione, il Titolare potrà recedere dal Contratto senza penali, con un preavviso scritto di 30 giorni.

7.3 Obblighi dei Sub-responsabili

PZX imporrà a tutti i Sub-responsabili obblighi in materia di protezione dei dati equivalenti a quelli stabiliti nel presente ATD. PZX rimane responsabile nei confronti del Titolare per l'adempimento degli obblighi dei Sub-responsabili.

8. Misure di sicurezza

PZX implementa le seguenti misure tecniche e organizzative per proteggere i Dati Personali:

• Crittografia dei dati in transito (TLS) e a riposo;

• Isolamento tra tenant: i dati di ciascun Titolare sono logicamente separati da quelli degli altri tenant;

• Controllo degli accessi basato sui ruoli che limita l'accesso al personale autorizzato;

• Monitoraggio e registrazione di sicurezza;

• Revisioni periodiche degli accessi.

PZX potrà aggiornare queste misure nel tempo, purché gli aggiornamenti non riducano sostanzialmente il livello complessivo di protezione.

9. Diritti degli Interessati

PZX assisterà il Titolare nell'adempimento dei suoi obblighi di risposta alle richieste degli Interessati ai sensi della legge applicabile, incluse le richieste di accesso, rettifica, cancellazione, portabilità e opposizione.

Il Titolare è responsabile di ricevere e valutare inizialmente le richieste degli Interessati. Quando l'evasione di una richiesta richiede un'azione da parte di PZX, il Titolare invierà la richiesta a PZX tramite il canale di contatto indicato nella Sezione 15. PZX risponderà entro 15 giorni lavorativi.

10. Trasferimenti internazionali di dati

I Dati Personali trattati ai sensi del presente ATD potranno essere trasferiti e trattati in paesi al di fuori del Brasile, inclusi gli Stati Uniti e il Regno Unito, dove operano i Sub-responsabili di PZX. Tali trasferimenti avvengono sulla base di adeguate garanzie contrattuali, conformemente all'articolo 33 della LGPD.

Per i Titolari soggetti al GDPR, i trasferimenti a Sub-responsabili situati al di fuori dello Spazio Economico Europeo sono disciplinati dai meccanismi di trasferimento applicabili, incluse le Clausole Contrattuali Tipo ove richiesto.

11. Diritti di audit

Su richiesta scritta del Titolare, PZX metterà a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità al presente ATD. PZX potrà adempiere a questo obbligo fornendo certificazioni aggiornate, documentazione di sicurezza o riassunti di rapporti di audit.

Il Titolare potrà richiedere un audit in loco non più di una volta per anno solare, con un preavviso scritto di almeno 30 giorni e a proprie spese. Qualsiasi audit dovrà essere condotto in modo da non interrompere le operazioni di PZX né compromettere la sicurezza o la riservatezza dei dati di altri clienti.

12. Durata, cessazione e cancellazione dei dati

Il presente ATD rimane in vigore per tutta la durata del Contratto.

Alla cessazione o scadenza del Contratto:

• Il Titolare avrà 30 giorni per esportare i propri dati dai Servizi;

• Trascorso questo termine, PZX cancellerà tutti i Dati Personali trattati ai sensi del presente ATD entro 30 giorni, incluse le copie detenute dai Sub-responsabili ove tecnicamente fattibile;

• PZX fornirà conferma scritta della cancellazione su richiesta del Titolare;

• PZX potrà conservare i Dati Personali oltre questo periodo esclusivamente nella misura richiesta dalla legge applicabile, nel qual caso i dati rimarranno soggetti agli obblighi di riservatezza del presente ATD.

13. Responsabilità

La responsabilità di ciascuna parte ai sensi del presente ATD è soggetta alle limitazioni stabilite nel Contratto. Nulla nel presente ATD limita la responsabilità di una delle parti per obblighi che non possono essere esclusi o limitati ai sensi della legge applicabile in materia di protezione dei dati.

14. Legge applicabile

Il presente ATD è disciplinato dalle leggi della Repubblica Federativa del Brasile, in particolare dalla LGPD (Legge n. 13.709/2018). Eventuali controversie derivanti dal presente ATD che non possano essere risolte amichevolmente saranno sottoposte ai tribunali del Distretto di San Paolo, Stato di San Paolo.

15. Contatto

Per questioni relative al presente ATD, alle richieste di esercizio dei diritti degli Interessati o agli incidenti di sicurezza:

• E-mail: privacy@pzx.app

• Sito web: pzx.app

Responsabile della Protezione dei Dati:

• Nome: Filipe Albuquerque Brauns Cazelgrandi

• E-mail: filipe@pzx.app

Allegato A, Dettagli del trattamento

Il presente allegato integra la Sezione 3 e può essere aggiornato di comune accordo scritto per riflettere le modifiche dei Servizi.