Accordo sul trattamento dei dati personali (DPA)

Ex art. 28 GDPR · Testo del 14 luglio 2026, in revisione legale

Il presente Accordo («DPA») disciplina il trattamento dei dati personali che lo Studio cliente («Titolare») effettua tramite DiploScore avvalendosi di AurorArt SRL Impresa Sociale («Responsabile»), e costituisce parte integrante dei Termini di Servizio. Per i dati degli account utente, il Responsabile agisce come titolare autonomo secondo la Privacy Policy.

1. Definizioni

Si applicano le definizioni dell'art. 4 GDPR (Reg. UE 2016/679) e del D.Lgs. 196/2003 e s.m.i.

2. Oggetto e ruoli

Il Responsabile tratta i dati personali per conto del Titolare nella misura necessaria a erogare il Servizio, secondo le istruzioni documentate del Titolare (art. 28.3 GDPR). In caso di conflitto con i Termini, prevale il presente DPA per le materie di protezione dei dati.

3. Durata, natura e finalità

Durata pari al contratto di servizio. Natura: hosting, archiviazione ed elaborazione di un gestionale per studi legali (anagrafiche, fascicoli, attività/timesheet, spese, preventivi e fatture, allegati), inclusa la funzione facoltativa di importazione assistita da AI. Finalità: esclusivamente l'erogazione del Servizio secondo le istruzioni del Titolare.

4. Categorie di interessati e di dati

Interessati: assistiti, controparti e loro rappresentanti, referenti, altri soggetti citati nei fascicoli, utenti dell'account. Categorie di dati: identificativi e di contatto; economici e di fatturazione (inclusi IBAN, P.IVA, codice fiscale); contenuti dei fascicoli; dati relativi a condanne penali e reati (art. 10 GDPR) (es. numero di ruolo/R.G.N.R.); eventuali categorie particolari (art. 9) presenti nei contenuti liberi; dati di autenticazione.

5. Istruzioni documentate del Titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare, coincidente con l'uso del Servizio, le configurazioni scelte e l'attivazione facoltativa (opt-in) dell'importazione AI. Il Responsabile informa il Titolare se ritiene che un'istruzione violi la normativa applicabile.

6. Riservatezza

Le persone autorizzate al trattamento sono vincolate a idoneo obbligo di riservatezza e formate; l'accesso è limitato al bisogno effettivo.

7. Misure di sicurezza (art. 32)

Il Responsabile adotta misure tecniche e organizzative adeguate: isolamento per-tenant dei dati, controllo degli accessi «fail-closed», autorizzazione lato server, autenticazione a più fattori con verifica rafforzata per le azioni privilegiate, URL firmati a scadenza per i file, registro delle azioni (audit), cifratura in transito e a riposo, residenza dei dati nell'UE, backup con point-in-time recovery e protezione da cancellazione. Misure ulteriori pianificate (impegni): cifratura a livello di campo per i dati più sensibili e prova di ripristino documentata.

8. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili indicati nella Privacy Policy (Google Cloud EMEA Limited per Firestore, Firebase Auth, Cloud Run, Storage, Tasks/Scheduler; Gemini Enterprise Agent Platform per l'elaborazione AI, su endpoint UE — region singole o multi-region UE — con residenza ed elaborazione esclusivamente negli stati membri dell'Unione Europea; mai endpoint globali). Le modifiche sono comunicate con preavviso di [DA DEFINIRE: 30] giorni, con facoltà di opposizione motivata del Titolare.

9. Assistenza al Titolare (artt. 32–36)

Il Responsabile assiste il Titolare per l'esercizio dei diritti degli interessati (tramite le funzioni di export e cancellazione) entro [DA DEFINIRE: 15] giorni dalla richiesta del Titolare, nonché per sicurezza, notifica delle violazioni e valutazioni d'impatto.

10. Violazioni dei dati personali

Il Responsabile notifica al Titolare ogni violazione senza ingiustificato ritardo e comunque entro [DA DEFINIRE: 48] ore dalla presa di conoscenza, con le informazioni utili agli adempimenti del Titolare (artt. 33–34).

11. Audit e ispezioni

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente audit tramite report ed evidenze documentali; ispezioni in loco su ragionevole preavviso e con modalità proporzionate.

12. Trasferimenti extra-SEE

In via ordinaria nessun trasferimento fuori dal SEE: i dati risiedono e sono elaborati nell'Unione Europea (per l'elaborazione AI: endpoint regionali o multi-region UE, con elaborazione nei soli data center degli stati membri dell'Unione Europea; mai endpoint globali). Per eventuali trattamenti residuali si applicano le salvaguardie del Capo V del GDPR (Clausole Contrattuali Tipo).

13. Sorte dei dati a fine rapporto

Alla cessazione, a scelta del Titolare, il Responsabile restituisce (export completo) o cancella i dati e le copie, salvi gli obblighi di legge, secondo la procedura di offboarding (export finale → cancellazione del database del tenant e dei file → pulizia dei riferimenti → verbale di cancellazione), entro [DA DEFINIRE: 60] giorni.

14. Responsabilità

[DA DEFINIRE] Limitazioni ed eventuale massimale di responsabilità, coerenti con i Termini di Servizio e con l'art. 82 GDPR.

15. Legge applicabile e foro

Legge italiana. Foro competente: [DA DEFINIRE].