Accordo sul trattamento dei dati

Ultimo aggiornamento: 24 ottobre 2026

Questa traduzione è fornita per facilitare la lettura. In caso di discrepanza, prevale la versione spagnola.

Il presente documento regola il trattamento dei dati personali che BIOMAG, S.L.U. (il «Responsabile del trattamento») effettua per conto del Cliente (il «Titolare») nel fornirgli il servizio AIM CODEX, ai sensi dell’articolo 28 del GDPR. Fa parte delle Condizioni di contratto e si applica quando il Cliente include dati personali di terzi nei documenti che tratta tramite il Servizio.

1. Oggetto e ruolo delle parti

Il Titolare (il Cliente) determina le finalità e i mezzi del trattamento dei dati personali contenuti nei suoi documenti e relativi ai suoi destinatari. Il Responsabile del trattamento (BIOMAG, S.L.U.) li tratta solo per fornire il Servizio e secondo le istruzioni documentate del Titolare, contenute nel presente accordo e nell’uso che il Titolare fa del Servizio.

2. Descrizione del trattamento

• Natura e finalità: ospitare, sigillare, conservare e verificare i documenti del Titolare, consentirne la condivisione e l’accettazione, e generare e conservare la relativa prova.
• Durata: finché è in vigore il rapporto di servizio, fatti salvi i tempi di conservazione della prova stabiliti dal Titolare.
• Tipi di dati: quelli che il Titolare decide di includere nei suoi documenti (di solito identificativi e di contatto; il Titolare deve evitare di includere categorie particolari salvo che disponga di una base giuridica e lo comunichi).
• Categorie di interessati: quelle stabilite dal Titolare (per es. clienti, dipendenti, firmatari, destinatari).

La catena pubblica di marcatura temporale riceve solo l’impronta crittografica (hash) del documento; non riceve né il contenuto né alcun dato personale.

3. Obblighi del Responsabile del trattamento (art. 28.3 GDPR)

• Trattare i dati solo su istruzione documentata del Titolare, anche per i trasferimenti internazionali, salvo obbligo di legge (in tal caso ne informerà il Titolare, se la legge lo consente).
• Garantire che le persone autorizzate a trattare i dati si siano impegnate alla riservatezza.
• Applicare misure di sicurezza tecniche e organizzative adeguate (art. 32 GDPR): controllo degli accessi, cifratura in transito, integrità e sigillatura della prova, registro degli incidenti e copie di sicurezza.
• Assistere il Titolare nel dare seguito ai diritti degli interessati e nel rispettare i propri obblighi (sicurezza, notifica delle violazioni, valutazioni d’impatto e consultazioni preventive).
• Notificare senza ingiustificato ritardo al Titolare le violazioni di dati di cui venga a conoscenza.
• A scelta del Titolare, cancellare o restituire i dati al termine della prestazione, salvo conservazione imposta dalla legge.
• Mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire e contribuire alle attività di revisione, comprese le ispezioni.

4. Sub-responsabili

Il Titolare autorizza il Responsabile del trattamento a ricorrere ai sub-responsabili pubblicati su aim-codex.ai/subencargados: Railway (hosting, server nei Paesi Bassi), Resend (e-mail, regione europea), Migadu-Mail GmbH (casella e posta di riserva, Svizzera) e, solo quando il Titolare o i suoi utenti usano le funzioni di intelligenza artificiale, OpenRouter, Inc. (USA), con instradamento verso fornitori che non conservano i dati né li usano per l’addestramento. Il Responsabile impone a ciascun sub-responsabile, per contratto, gli stessi obblighi di protezione dei dati che il presente documento impone a lui, e risponde verso il Titolare del loro rispetto. Ogni aggiunta o modifica di un sub-responsabile è pubblicata su quella pagina prima di applicarsi; il Titolare può opporsi scrivendo a hola@aim-codex.ai.

Le funzioni di intelligenza artificiale sono facoltative e trattano solo ciò che viene loro inviato: il testo e, per i verbali delle riunioni, la registrazione audio, che viene inviata al fornitore di intelligenza artificiale per essere trascritta e che CODEX non conserva (solo la sua impronta e la sua dimensione). Il Titolare decide se usarle, informa gli interessati i cui dati possono comparire in quei documenti – e i partecipanti prima di registrare una riunione – e non le usa con categorie particolari di dati.

5. Trasferimenti internazionali

I dati sono ospitati nell’Unione europea. Ogni trasferimento o accesso dall’esterno dello Spazio economico europeo – poiché Railway, Resend e OpenRouter sono aziende statunitensi, e poiché il testo e l’audio inviati all’intelligenza artificiale sono elaborati negli Stati Uniti – è coperto dalle clausole contrattuali tipo della Commissione europea incluse negli accordi sul trattamento dei dati di quei fornitori (il Modulo 2 in quello di OpenRouter) e, nel caso di Resend, anche dal quadro UE-USA per la protezione dei dati. La Svizzera e il Regno Unito dispongono di una decisione di adeguatezza.

6. Obblighi del Titolare

Il Titolare garantisce di disporre di una base giuridica per il trattamento dei dati che include nel Servizio, di aver informato gli interessati quando necessario e di dare al Responsabile istruzioni lecite. Il Titolare è l’unico responsabile della liceità dei contenuti che sigilla o condivide.

7. Formalizzazione

L’accettazione delle Condizioni di contratto comporta quella del presente Accordo sul trattamento dei dati. Se il Titolare ha bisogno di un documento firmato specifico per il proprio archivio di conformità, può richiederlo a hola@aim-codex.ai.