Accordo sul trattamento dei dati (DPA).

Ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (GDPR)

Versione 1.2 — 13 ottobre 2026

Il presente Accordo (il "DPA") è concluso tra:

• il Cliente del servizio Atropox, come identificato nel proprio account, in qualità di titolare del trattamento (il "Titolare"); e
• NoK Group S.r.l., con sede legale in Via Cassia 1280, 00189 Roma (RM), C.F. e P.IVA 17725341006, capitale sociale euro 10.000,00 i.v., PEC nokgroup@legalmail.it, in qualità di responsabile del trattamento (il "Responsabile").

Il DPA costituisce parte integrante dei Termini e Condizioni di Servizio di Atropox (il "Contratto Principale") e si intende accettato dal Titolare al momento dell'accettazione dei medesimi. Nei Piani Team il Titolare è l'Organizzazione e l'accettazione è prestata, in suo nome, dall'Amministratore che crea o gestisce la Rete; nei Piani Individuali il Titolare è il Cliente persona fisica o giuridica che inserisce o genera nel Servizio dati relativi a terzi.

Premesse

a) Nell'ambito dell'uso del Servizio, il Titolare inserisce, carica o genera dati personali relativi a terzi (tra cui contatti, clienti, partecipanti alle commesse e soggetti dei report di intelligence), dei quali determina finalità e mezzi del trattamento.

b) Per l'esecuzione del Servizio, il Responsabile tratta tali dati personali per conto del Titolare.

c) L'art. 28 GDPR richiede che tale trattamento sia disciplinato da un contratto che vincoli il Responsabile al Titolare e preveda i contenuti minimi di legge.

1. Definizioni

I termini in maiuscolo non definiti nel presente DPA hanno il significato loro attribuito dal GDPR e dal Contratto Principale.

2. Oggetto, natura, finalità e durata

2.1. Oggetto, natura, finalità del trattamento, tipologie di dati e categorie di interessati sono descritti nell'Allegato 1.

2.2. La durata del trattamento coincide con quella del Contratto Principale, salvi gli obblighi che per loro natura sopravvivono.

3. Istruzioni documentate del Titolare

3.1. Il Responsabile tratta i dati personali esclusivamente sulla base delle istruzioni documentate del Titolare, costituite dal Contratto Principale, dal presente DPA, dalle configurazioni e dalle azioni che il Titolare e i suoi Utenti compiono nel Servizio (incluse le richieste puntuali di generazione dei report di intelligence), nonché da ulteriori istruzioni impartite per iscritto.

3.2. Il Responsabile informa il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre norme sulla protezione dei dati, salvo il caso in cui ne sia legalmente impedito.

3.3. Il Titolare garantisce di disporre di una idonea base giuridica per i trattamenti affidati al Responsabile e di adempiere agli obblighi informativi verso gli interessati, con particolare riferimento all'art. 14 GDPR per i dati non raccolti presso l'interessato, come nei report di intelligence. Il Titolare si astiene dal trattare, tramite il Servizio, categorie particolari di dati (art. 9 GDPR) e dati relativi a condanne penali e reati (art. 10 GDPR).

3.4. Istruzioni standard sulle ricerche relative a persone. Con l'accettazione del presente DPA il Titolare impartisce al Responsabile le seguenti istruzioni, che il Responsabile applica in modo uniforme per tutti i titolari: a) non svolgere ricerche su persone (report di intelligence, compilazione della scheda, ricerca della foto, ricerche dell'assistente) che riguardino minori; nei confronti di persone che rivestono o hanno rivestito funzioni pubbliche — appartenenti a forze dell'ordine, forze armate, magistratura o servizi di informazione — svolgere le ricerche limitatamente alla dimensione pubblica e professionale, escludendo indirizzo privato, composizione del nucleo familiare, abitudini e spostamenti, veicoli, luoghi frequentati, incarichi operativi di servizio e misure di protezione; b) escludere dai report sulle persone fisiche i dati relativi a condanne penali, reati e procedimenti penali e ogni valutazione del merito creditizio o della solvibilità personale; c) mantenere e applicare un elenco delle persone che si sono opposte al trattamento ai sensi dell'art. 21 GDPR, non svolgendo su di esse alcuna delle ricerche indicate alla lettera a), indipendentemente dalle funzioni da esse rivestite; d) cancellare automaticamente i report relativi a persone fisiche decorsi 12 mesi dalla generazione; e) registrare in ciascun report la finalità e la dichiarazione d'uso rese dall'utente; f) conservare per 12 mesi, per conto del Titolare, il registro delle azioni delle funzioni di intelligenza artificiale, comprensivo dell'identificativo del contatto analizzato e degli esiti delle tutele.

4. Riservatezza

4.1. Il Responsabile garantisce che le persone autorizzate al trattamento siano vincolate a un adeguato obbligo di riservatezza e ricevano istruzioni operative ai sensi dell'art. 29 GDPR.

5. Misure di sicurezza (art. 32 GDPR)

5.1. Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, descritte nell'Allegato 2, e le mantiene aggiornate alla luce dello stato dell'arte.

6. Sub-responsabili

6.1. Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato 3.

6.2. Il Responsabile informa il Titolare, tramite il Servizio o altro mezzo idoneo, di ogni modifica relativa all'aggiunta o sostituzione di sub-responsabili, con un preavviso di almeno 30 giorni. Il Titolare può opporsi per motivi legittimi entro 15 giorni; in difetto di accordo, il Titolare può recedere dalla parte di Servizio interessata.

6.3. Il Responsabile vincola ciascun sub-responsabile a obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile del loro operato nei confronti del Titolare.

7. Assistenza al Titolare

7.1. Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 12-22 GDPR) e nell'adempimento degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, violazioni dei dati, valutazione d'impatto, consultazione preventiva). Il Servizio mette a disposizione del Titolare funzioni di esportazione e cancellazione dei dati che agevolano tale assistenza.

8. Violazioni dei dati personali

8.1. Il Responsabile notifica al Titolare, senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza, ogni violazione di dati personali che interessi i dati trattati per conto del Titolare, fornendo le informazioni di cui all'art. 33, par. 3, GDPR non appena disponibili e collaborando alle attività di contenimento, analisi e notifica. Resta inteso che gli obblighi di notifica al Garante (art. 33 GDPR) e di comunicazione agli interessati (art. 34 GDPR) competono al Titolare.

9. Trasferimenti verso Paesi terzi

9.1. Il Responsabile non trasferisce i dati al di fuori dello Spazio economico europeo se non sulla base di una decisione di adeguatezza, delle Clausole Contrattuali Tipo (Decisione di esecuzione (UE) 2021/914) o di altra garanzia adeguata ai sensi del Capo V del GDPR, con le misure supplementari necessarie. I trasferimenti connessi ai sub-responsabili sono indicati nell'Allegato 3.

10. Audit

10.1. Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente e contribuisce ad attività di revisione, anche mediante questionari documentali ed eventuali certificazioni o report di audit di terze parti. Gli audit in loco sono ammessi con preavviso di almeno 30 giorni, non più di una volta l'anno salvo giusta causa, con oneri a carico del Titolare salvo riscontro di non conformità rilevante.

11. Restituzione o cancellazione

11.1. Alla cessazione del Contratto Principale, a scelta del Titolare, il Responsabile restituisce o cancella in modo sicuro i dati personali trattati per suo conto, salvo obblighi di legge che ne impongano la conservazione. Le funzioni di esportazione e cancellazione del Servizio sono idonee ad attuare la presente clausola.

11.2. Nel corso del rapporto, i report di intelligence relativi a persone fisiche sono cancellati automaticamente decorsi 12 mesi dalla generazione, secondo l'istruzione di cui all'art. 3.4, lett. d).

12. Durata, legge applicabile e foro

12.1. Il presente DPA ha efficacia dall'accettazione del Contratto Principale e cessa con esso o al venir meno del trattamento, se antecedente. È regolato dalla legge italiana. Per il foro competente si applicano gli artt. 20.3 (Piani Individuali) e 28.1 (Piani Team) dei Termini, fatte salve le competenze inderogabili.

Allegato 1 — Descrizione del trattamento

• Oggetto: trattamento dei dati personali contenuti nei Contenuti del Cliente, necessario all'erogazione del Servizio.
• Natura e operazioni: raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, estrazione, raffronto, generazione di analisi da fonti pubbliche (report di intelligence), cancellazione.
• Finalità: fornire al Titolare le funzioni del Servizio da questi attivate, incluse la gestione di contatti, clienti, commesse e attività, l'assistente conversazionale (anche a voce), la generazione dei report di intelligence, la compilazione delle schede con dati pubblici, la ricerca di foto e loghi, il suggerimento dei tag e la lettura dei documenti caricati, sempre su richiesta.
• Tipologie di dati: dati identificativi e di contatto (nome, e-mail, telefono, indirizzo, azienda, ruolo, profili pubblici), note e informazioni professionali, dati relativi a relazioni commerciali e, limitatamente ai report di intelligence, informazioni di fonte pubblica relative al soggetto analizzato (dati professionali e societari, risultanze da registri e fonti aperte). Sono esclusi i dati di cui all'art. 9 GDPR e, per le persone fisiche, quelli di cui all'art. 10 GDPR.
• Categorie di interessati: contatti e referenti del Titolare, clienti e potenziali clienti, partecipanti alle commesse, soggetti (persone fisiche) oggetto dei report di intelligence.
• Durata: per la durata del Contratto Principale; i report di intelligence relativi a persone fisiche per 12 mesi dalla generazione.

Allegato 2 — Misure tecniche e organizzative

• Isolamento logico dei dati per Rete e controllo degli accessi a livello di riga (row-level security), con politica di negazione predefinita.
• Autenticazione degli utenti, con possibilità di verifica in due passaggi; validazione della sessione lato server.
• Cifratura dei dati in transito (TLS) e a riposo presso i fornitori di infrastruttura; conservazione delle password in forma cifrata presso il fornitore di autenticazione.
• Segregazione dei ruoli e minimizzazione dei privilegi; assenza di chiavi ad alto privilegio nel codice lato client.
• Registri delle azioni rilevanti e monitoraggio di sicurezza.
• Backup e misure di resilienza e ripristino presso i fornitori di infrastruttura, collocati nell'Unione europea.
• Procedure di gestione delle violazioni dei dati e di valutazione periodica dell'efficacia delle misure.

Allegato 3 — Sub-responsabili autorizzati

Anthropic, PBC si avvale a sua volta di propri sub-responsabili, tra cui, per la funzione di ricerca sul web, Brave Software, Inc. (Stati Uniti), secondo l'elenco pubblicato da Anthropic, che impone loro obblighi equivalenti ai sensi dell'art. 28, par. 4, GDPR.

Stripe Payments Europe, Limited elabora i dati di pagamento in qualità di autonomo titolare per gli obblighi ad essa applicabili e, per il resto, quale responsabile; Google Ireland Limited tratta i dati di autenticazione quale autonomo titolare. Tali soggetti non trattano i Contenuti del Cliente per conto del Titolare.