Acuerdo de tratamiento de datos
Actualizada el 22 de agosto de 2026
Acuerdo de tratamiento de datos está redactado en italiano y la versión italiana es la que prevalece: 10Human es una sociedad italiana y el contrato es italiano. Una traducción sería un segundo documento con vida propia, y el día que las dos diverjan nadie sabrá cuál cuenta.
1. Cos'è questo documento, e cosa vince se c'è contrasto
Quando usi i nostri prodotti per lavorare sui dati di persone tue — clienti, pazienti, candidati, dipendenti, fornitori — quei dati li decidi tu e noi li trattiamo per conto tuo. L'articolo 28 del GDPR dice che questo rapporto va messo per iscritto prima che il trattamento cominci: questo è lo scritto. Vale come allegato al contratto di servizio e si firma prima di attivare l'organizzazione, non dopo. La struttura ricalca le clausole tipo della Commissione europea per il rapporto titolare-responsabile (decisione di esecuzione (UE) 2021/915), così che il tuo ufficio legale trovi le cose dove si aspetta di trovarle. Se una clausola di questo accordo contrasta con il contratto di servizio o con i termini e condizioni, su tutto ciò che riguarda i dati personali vince questo accordo. Se contrasta con una norma imperativa, vince la norma e il resto resta in piedi. I dati che lasci in un modulo su 10human.com, invece, li trattiamo noi come titolari: quelli stanno nell'informativa privacy, non qui. Se il tuo ufficio legale usa un proprio modello, si parte da quello: scrivi a hello@10human.com.
2. Chi è titolare, chi è responsabile, e quando siamo titolari noi
Titolare del trattamento sei tu. Decidi quali dati entrano, con quale base giuridica, per quale finalità e per quanto restano. Sei tu che dai l'informativa alle persone che li riguardano. Responsabile del trattamento siamo noi: 10Human S.r.l., startup innovativa, con sede legale in Via Colorni 8, 20138 Milano (número de IVA y de registro mercantil en trámite). Ci sono due trattamenti in cui siamo titolari e non responsabili, e li dichiariamo invece di lasciarteli scoprire: · i dati di contatto delle persone della tua organizzazione, per fatturare, dare assistenza e mandare le comunicazioni di servizio; · i dati tecnici di utilizzo aggregati o pseudonimizzati che usiamo per far funzionare, misurare e mettere in sicurezza il prodotto — mai i contenuti che carichi. Per questi due vale l'informativa privacy, e non li usiamo per finalità nostre diverse da quelle scritte lì. Se colleghi i tuoi account Google, Microsoft o il tuo CRM, quei fornitori restano fornitori TUOI: il rapporto è fra te e loro, e noi ci limitiamo a usare l'autorizzazione che ci dai.
3. Trattiamo solo su tua istruzione documentata
Trattiamo i dati personali soltanto su tua istruzione documentata, compreso per quanto riguarda i trasferimenti fuori dall'Unione, salvo che una legge dell'Unione o di uno Stato membro ci obblighi diversamente: in quel caso te lo diciamo prima di procedere, a meno che quella stessa legge lo vieti per motivi rilevanti di interesse pubblico. L'istruzione documentata è: questo accordo, il contratto di servizio, le configurazioni che imposti nel prodotto e le richieste che ci mandi per iscritto. Un'istruzione fuori da questo perimetro va messa per iscritto per valere. Se un'istruzione ci sembra violare il GDPR o un'altra norma sulla protezione dei dati te lo diciamo subito, e possiamo sospendere l'esecuzione di quella istruzione finché non la confermi o la correggi. Non è un modo per discutere le tue scelte: è la ragione per cui un responsabile che esegue e basta perde la propria protezione, e ci finiamo dentro tutti e due.
4. Finalità e durata
Trattiamo i dati solo per fornirti il servizio che hai comprato, come descritto nell'Allegato II. Non li usiamo per finalità nostre, non li incrociamo con quelli di altri clienti, non li vendiamo e non li cediamo. Non usiamo i tuoi contenuti per addestrare modelli, nostri o di terzi. I fornitori di modelli che impieghiamo non addestrano sul traffico delle API, ed è scritto nei contratti con loro. Il trattamento dura quanto dura il contratto di servizio, più il periodo di grazia previsto alla clausola 16. Dopo, si cancella.
5. Dati particolari: la salute, e 10Doctor
Se usi 10Doctor, o se carichi documenti sanitari nella centrale operativa, tratti dati relativi alla salute: categoria particolare ai sensi dell'articolo 9 del GDPR, per i quali la base giuridica ordinaria in ambito di cura è l'articolo 9, paragrafo 2, lettera h), e il trattamento avviene sotto la responsabilità di un professionista soggetto al segreto professionale. Su questi dati applichiamo restrizioni specifiche, oltre alle misure dell'Allegato III: accesso limitato al personale espressamente autorizzato e nominativamente individuato, tracciamento degli accessi, e divieto di riproduzione fuori dagli ambienti di produzione. Resta tuo l'obbligo di verificare la base giuridica, di dare l'informativa ai pazienti e di valutare se serve una valutazione d'impatto: sui dati sanitari trattati su larga scala il GDPR la richiede, e alla clausola 12 diciamo cosa facciamo per aiutarti. 10Doctor non è un dispositivo medico e non svolge trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sulle persone: non fa diagnosi, non propone terapie, non classifica sintomi. La decisione clinica resta del medico.
6. Sicurezza del trattamento
Adottiamo le misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, ai sensi dell'articolo 32 del GDPR. Le misure sono elencate una per una nell'Allegato III, e non con la formula «misure adeguate», che non dice niente a nessuno. Le misure si valutano rispetto al rischio: possiamo aggiornarle nel tempo, ma non possiamo abbassare il livello complessivo di protezione. Se un aggiornamento cambia qualcosa che ti riguarda, te lo diciamo. Se ci chiedi misure aggiuntive rispetto a quelle dell'Allegato III, ne parliamo: se sono ragionevoli le facciamo, e se hanno un costo te lo diciamo prima.
7. Riservatezza di chi tocca i dati
L'accesso ai tuoi dati è riservato al personale che ne ha bisogno per fornirti il servizio, ed è ridotto al minimo necessario. Le persone autorizzate sono vincolate alla riservatezza per contratto, o da un obbligo legale di riservatezza di pari efficacia, e restano vincolate anche dopo la fine del rapporto di lavoro. Ricevono istruzioni scritte e formazione sulla protezione dei dati. Gli accessi sono tracciati, e l'autorizzazione viene revocata quando la persona non ne ha più bisogno.
8. Sub-responsabili
Ci autorizzi in via generale a ricorrere a sub-responsabili. Quelli in essere alla data di questo accordo sono elencati nell'Allegato IV, con nome, ruolo e luogo del trattamento. Se intendiamo aggiungerne uno o sostituirne uno te lo comunichiamo con almeno trenta giorni di anticipo. In quei trenta giorni puoi opporti per motivi ragionevoli legati alla protezione dei dati. Se ci opponi e non troviamo insieme una soluzione — per esempio spegnere la funzione che richiede quel sub-responsabile — puoi recedere dal contratto senza penali e con rimborso della quota non goduta. Con ogni sub-responsabile stipuliamo un contratto scritto che gli impone gli stessi obblighi di protezione dei dati previsti qui. Se un sub-responsabile non adempie, restiamo noi pienamente responsabili verso di te del suo operato.
9. Trasferimenti fuori dallo Spazio economico europeo
Di regola i dati non escono: l'applicazione gira in regione europea, il database sta a Francoforte, e i sub-responsabili dell'Allegato IV trattano in Europa salvo dove indicato diversamente. L'eccezione la dichiariamo invece di nasconderla. Alcune funzioni di intelligenza artificiale — in particolare l'assistente vocale del sito pubblico — chiamano oggi l'endpoint in regione standard di OpenAI, che si trova fuori dall'Unione. L'agente telefonico della centrale operativa usa invece l'endpoint europeo. Dove un trasferimento avviene, si appoggia in quest'ordine: una decisione di adeguatezza in vigore per il destinatario, se c'è; altrimenti le clausole contrattuali tipo della Commissione europea (decisione di esecuzione (UE) 2021/914), modulo 2 o 3 secondo il caso, con la valutazione d'impatto sul trasferimento prevista dalla clausola 14. Ti diciamo su quale strumento si appoggia ciascun trasferimento e ti diamo quello che ti serve per la tua documentazione. Se una decisione di adeguatezza viene annullata o sospesa, passiamo alle clausole tipo e te lo comunichiamo: è uno scenario che negli ultimi dieci anni si è verificato due volte, quindi non è un'ipotesi di scuola. Se per te un trasferimento fuori dall'Unione non è accettabile, dillo prima di firmare: le funzioni che lo comportano si possono spegnere, e in quel caso lo scriviamo nell'Allegato II.
10. Diritti degli interessati
Il prodotto ti dà gli strumenti per rispondere da solo alla maggior parte delle richieste: cercare, esportare, rettificare e cancellare i dati di una persona. Dove gli strumenti non bastano, ti assistiamo con misure tecniche e organizzative adeguate perché tu possa dare seguito alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nei termini che il GDPR impone a te. Se una richiesta arriva a noi invece che a te, non ci rispondiamo per conto tuo: te la giriamo senza ingiustificato ritardo e aspettiamo la tua istruzione, salvo che una legge ci imponga altro.
11. Violazioni dei dati personali
Se veniamo a conoscenza di una violazione dei dati personali che riguarda i tuoi dati te lo comunichiamo senza ingiustificato ritardo, e comunque entro quarantotto ore da quando ne veniamo a conoscenza. Il nostro termine è più stretto del tuo, ed è voluto: le settantadue ore per notificare all'autorità di controllo sono tue e cominciano quando ne vieni a conoscenza tu, cioè quando te lo diciamo noi. Un responsabile che si prende settantadue ore ti lascia con zero. La comunicazione contiene quello che sappiamo in quel momento: natura della violazione, categorie e numero approssimativo di interessati e di record, conseguenze probabili, misure adottate o proposte, e un contatto a cui chiedere. Se non sappiamo ancora tutto, mandiamo quello che abbiamo e aggiorniamo man mano, invece di aspettare di avere il quadro completo. Ti assistiamo negli adempimenti verso l'autorità di controllo e verso gli interessati. Non notifichiamo a nome tuo, a meno che tu non ce lo chieda per iscritto.
12. Valutazione d'impatto e consultazione preventiva
Ti assistiamo, tenuto conto della natura del trattamento e delle informazioni a nostra disposizione, nell'effettuare la valutazione d'impatto sulla protezione dei dati e nell'eventuale consultazione preventiva dell'autorità di controllo, ai sensi degli articoli 35 e 36 del GDPR. In concreto: ti diamo la descrizione tecnica del trattamento, il flusso dei dati, le misure di sicurezza, l'elenco dei sub-responsabili e la base dei trasferimenti — cioè il materiale che serve a riempire una valutazione, non un modulo generico. La valutazione resta tua: siamo noi a conoscere il sistema, ma sei tu a conoscere il contesto in cui lo usi, e il rischio si valuta lì.
13. Documentazione, informazioni e verifiche
Teniamo il registro delle categorie di attività di trattamento svolte per tuo conto, ai sensi dell'articolo 30, paragrafo 2, del GDPR, e te ne diamo copia se lo chiedi. Mettiamo a tua disposizione tutte le informazioni necessarie per dimostrare il rispetto degli obblighi dell'articolo 28. Rispondiamo ai questionari di sicurezza dei tuoi clienti e del tuo ufficio legale: è parte del lavoro, non un favore. Consentiamo e contribuiamo alle verifiche, comprese le ispezioni, svolte da te o da un incaricato che tu autorizzi. Le condizioni sono queste, e sono le stesse per tutti: preavviso ragionevole, in orario lavorativo, una volta all'anno — oppure ogni volta che c'è un motivo serio, come una violazione dei dati o una richiesta dell'autorità; l'incaricato non deve essere un nostro concorrente e firma un accordo di riservatezza; la verifica non deve compromettere la sicurezza degli altri clienti. Se ci chiedi verifiche oltre quella annuale senza un motivo serio, i costi ragionevoli sono a tuo carico, e te lo diciamo prima.
14. Intelligenza artificiale: chi risponde di cosa
Il regolamento europeo sull'intelligenza artificiale distribuisce gli obblighi fra chi il sistema lo fornisce e chi lo usa, e la divisione non coincide con quella fra titolare e responsabile. La scriviamo qui perché non venga scoperta dopo. Noi siamo fornitore dei sistemi di AI che trovi nel prodotto. Ci occupiamo della trasparenza tecnica prevista dall'articolo 50: chi parla con un nostro agente è informato che sta parlando con un sistema di intelligenza artificiale, e i contenuti sintetici generati dai nostri sistemi sono marcati come tali nei formati in cui la marcatura è tecnicamente possibile. Tu sei utilizzatore. Restano tuoi: la scelta di usare il sistema per una certa finalità, la sorveglianza umana su quello che produce, l'informazione alle persone quando la legge la impone a chi usa e non a chi fornisce, e la valutazione se il tuo uso ricada in una categoria ad alto rischio. Se lo diventa, ce lo dici: cambiano gli obblighi di tutti e due. Non usiamo i tuoi dati per addestrare modelli. Non impieghiamo sistemi di riconoscimento delle emozioni né di categorizzazione biometrica. E resta la clausola dei termini che vale sopra tutte: quello che un agente produce è una bozza, non un parere. Chi manda, firma o decide risponde di quello che manda, firma e decide.
15. Portabilità, e come si cambia fornitore
Il regolamento europeo sui dati impone a chi fornisce un servizio di elaborazione dati di non ostacolare chi vuole andarsene. Non ci limitiamo a non ostacolarti: te lo scriviamo qui. Puoi esportare quando vuoi, senza chiedere il permesso e senza aspettare la fine del contratto, in un formato strutturato, di uso comune e leggibile da una macchina. Se vuoi passare a un altro fornitore o portare tutto sui tuoi sistemi, il preavviso massimo che ti chiediamo è di due mesi, e completiamo il passaggio entro trenta giorni dalla fine del preavviso — salvo che sia tecnicamente impossibile, e in quel caso te lo diciamo prima con la ragione e la nuova data. Durante il passaggio il servizio resta acceso e ti assistiamo nella migrazione. Paghi il canone ordinario e nient'altro: non applichiamo costi di uscita né penali di trasferimento. Alla fine del periodo di recupero cancelliamo tutto quello che era esportabile, come previsto alla clausola 16.
16. Restituzione e cancellazione
Alla fine del contratto scegli tu: restituzione o cancellazione. Se non ci dici niente, teniamo i dati per trenta giorni per darti il tempo di esportarli, poi cancelliamo. La cancellazione riguarda anche le copie esistenti, comprese quelle di backup, che si esauriscono entro il loro ciclo di rotazione — non oltre novanta giorni dalla cancellazione. Fino a quel momento restano cifrate e inaccessibili all'operatività ordinaria. Fa eccezione solo quello che una legge dell'Unione o di uno Stato membro ci obbliga a conservare: in quel caso ti diciamo quale norma, quali dati e per quanto tempo, e continuiamo a garantirne la riservatezza. Su richiesta ti confermiamo per iscritto che la cancellazione è avvenuta.
17. Responsabilità
Ciascuna parte risponde del danno causato dal proprio trattamento, secondo l'articolo 82 del GDPR. Rispondiamo del danno causato dal trattamento se non abbiamo adempiuto agli obblighi che il GDPR pone specificamente ai responsabili, o se abbiamo agito in modo difforme o contrario a una tua legittima istruzione. Se paghiamo per intero il risarcimento di un danno che è in parte tuo, possiamo chiederti la parte che ti compete, e viceversa. Le limitazioni di responsabilità dei termini e condizioni si applicano anche a questo accordo, salvo dove la legge non permette di limitarla — e non si applicano mai alle sanzioni che un'autorità irroga a una parte per fatto proprio.
18. Durata, modifiche, legge applicabile
Questo accordo entra in vigore con l'attivazione del servizio e dura finché dura il trattamento, comprese le clausole che per natura sopravvivono: riservatezza, cancellazione, responsabilità. Possiamo aggiornarlo per adeguarlo a una norma nuova, a una decisione di un'autorità o a un cambiamento del servizio. Le modifiche che riducono le tue tutele o cambiano i sub-responsabili le comunichiamo con trenta giorni di anticipo, e in quei trenta giorni puoi opporti o recedere senza penali. La data in cima dice quando l'abbiamo toccato l'ultima volta. Vale la legge italiana e, per quanto non derogabile, il diritto dell'Unione. Per le controversie è competente il foro di Milano. Resta ferma la competenza dell'autorità di controllo e il diritto di ogni interessato di rivolgersi al giudice.
Allegato I — Le parti
Titolare del trattamento (esportatore, quando c'è un trasferimento) Il cliente indicato nel contratto di servizio, con i dati e il referente privacy dichiarati al momento dell'attivazione. Responsabile del trattamento (importatore) 10Human S.r.l., startup innovativa Sede legale: Via Colorni 8, 20138 Milano Número de IVA y de registro mercantil en trámite Contatto per le questioni di protezione dei dati: hello@10human.com Responsabile della protezione dei dati: [nominato o non nominato, da completare — se non è dovuto, dirlo qui invece di lasciare il campo vuoto] Firma Questo accordo si perfeziona con l'accettazione al momento dell'attivazione, oppure con firma separata se la chiedi.
Allegato II — Descrizione del trattamento
Oggetto e natura Fornitura dei prodotti 10Human: la centrale operativa (attività, progetti, documenti, posta, CRM, risorse umane, selezione del personale) e 10Doctor (agenda, prenotazioni, posta, promemoria, rubrica pazienti). Il trattamento comprende raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione anche tramite sistemi di intelligenza artificiale, comunicazione ai destinatari che indichi tu, cancellazione. Finalità Erogare il servizio secondo le tue istruzioni. Nessuna finalità nostra. Categorie di interessati Persone della tua organizzazione; tuoi clienti e contatti commerciali; tuoi fornitori; candidati, se usi la selezione del personale; pazienti, se usi 10Doctor. Tipi di dati personali Dati identificativi e di contatto; dati di rapporto di lavoro o di collaborazione; contenuti di documenti, note e messaggi che carichi o che colleghi; dati di calendario; dati economici relativi a progetti e spese; dati di utilizzo e log tecnici. Dati particolari (art. 9) Dati relativi alla salute, se usi 10Doctor o se carichi documenti sanitari. Restrizioni alla clausola 5. Gli altri dati particolari non sono previsti: se il tuo caso d'uso li comporta, va scritto qui prima di cominciare. Frequenza Continuativa, per tutta la durata del contratto. Durata Durata del contratto, più il periodo di grazia della clausola 16.
Allegato III — Misure tecniche e organizzative
Isolamento fra clienti Imposto dal database e non dall'applicazione. Una query che dimenticasse il filtro dell'organizzazione non restituisce i dati di un'altra: restituisce zero righe. Una prova automatica lo verifica a ogni modifica dello schema, e una seconda rifiuta la creazione di una tabella che non abbia la protezione attiva. Cifratura In transito con TLS. A riposo sul database e sui backup. Le chiavi non stanno nel codice e non entrano nel controllo di versione. Controllo degli accessi Autenticazione con secondo fattore per il personale. Privilegio minimo sui ruoli applicativi e sui permessi di database. Accessi tracciati e revocati quando non servono più. Nessuna credenziale condivisa. Separazione degli ambienti Sviluppo, collaudo e produzione separati. Sui dati veri non si prova niente, e i dati di produzione non si copiano negli altri ambienti. Registro delle azioni Le azioni degli agenti e le operazioni sui dati restano in un registro consultabile da te. Nessun canale può inviare comunicazioni fuori dall'organizzazione senza un permesso esplicito verificato nel codice, e una prova automatica lo impone. Protezione da abusi Limiti di frequenza sulle rotte pubbliche, protezione antirobot sui moduli, budget di spesa sulle chiamate ai modelli. Continuità e ripristino Backup automatici con ripristino a un istante nel tempo. Il ripristino si prova, non si presume. Sviluppo sicuro Revisione del codice prima del rilascio. Analisi statica e revisione di sicurezza sulle modifiche che toccano autenticazione, isolamento o dati personali. Dipendenze bloccate a versione. Segreti solo in variabili d'ambiente. Organizzazione Istruzioni scritte e vincolo di riservatezza per chi tratta i dati. Formazione sulla protezione dei dati e sulla sicurezza. Registro dei trattamenti tenuto e aggiornato. Procedura scritta per la gestione degli incidenti. Le misure si aggiornano nel tempo. Il livello complessivo di protezione non si abbassa.
Allegato IV — Sub-responsabili
Infrastruttura · Vercel — esecuzione dell'applicazione. Regione europea. · Neon — database PostgreSQL. Francoforte, Germania. · Upstash — cache, contatori e limiti di frequenza. Europa. · Cloudflare — protezione antirobot sui moduli pubblici. Intelligenza artificiale · OpenAI — funzioni di AI e assistente vocale. L'agente telefonico della centrale operativa usa l'endpoint europeo; l'assistente vocale del sito pubblico usa oggi l'endpoint in regione standard, fuori dall'Unione. Clausola 9. · OpenRouter — instradamento verso i modelli non OpenAI previsti dal prodotto. Comunicazioni · Resend, oppure Amazon Web Services (SES) — invio delle email in uscita, secondo la configurazione della tua organizzazione. · Telnyx, oppure Twilio — vettore telefonico per l'agente vocale, se lo accendi. Non sono sub-responsabili nostri i servizi che colleghi tu con le tue credenziali — Google, Microsoft, il tuo CRM: quel rapporto è fra te e loro, e noi usiamo l'autorizzazione che ci dai. L'elenco aggiornato è sempre su questa pagina. Ogni aggiunta o sostituzione è comunicata con trenta giorni di anticipo, secondo la clausola 8.