Accordo sul trattamento dei dati personali

Versione 2026-10-17, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"). Fa parte dei Termini e si accetta con essi, in forma elettronica (art. 28.9 GDPR).

1. Parti e ruoli

1.1 Titolare: il Cliente, identificato dai dati inseriti alla registrazione.

1.2 Responsabile: Federico De Cillia, impresa individuale GPT Chatbot di Federico De Cillia, Via Ernesto Teodoro Moneta 50, 20161 Milano, P.IVA IT13990330964, email info@flylabs.ai, PEC federico.decillia@spidmail.it (il "Responsabile").

1.3 Le recensioni sono pubblicate dagli interessati su piattaforme di terzi (Google, TripAdvisor, Booking.com e altre), che ne sono titolari autonomi. Questo Accordo riguarda la raccolta, la conservazione e l'elaborazione di quei contenuti per conto del Titolare.

1.4 In caso di conflitto con i Termini sulla protezione dei dati, prevale questo Accordo.

2. Oggetto, durata, istruzioni

2.1 Il Responsabile tratta dati personali per conto del Titolare solo per erogare il servizio descritto nell'Allegato A, per la durata del contratto e fino alla cancellazione prevista all'art. 10.

2.2 Termini, configurazione dell'account e questo Accordo sono le istruzioni documentate del Titolare. Istruzioni ulteriori si danno per email a info@flylabs.ai.

2.3 Il Responsabile avvisa subito il Titolare se ritiene che un'istruzione violi la legge, e può sospenderne l'esecuzione fino a chiarimento.

3. Categorie di dati

3.1 Interessati, dati e operazioni sono descritti nell'Allegato A.

3.2 Il Responsabile non tratta consapevolmente categorie particolari di dati (art. 9 GDPR). Il testo di una recensione, scritto liberamente, può contenerle in modo incidentale (salute, dieta, famiglia). Il Responsabile non le estrae, non le usa come criterio di elaborazione e applica loro le stesse misure di sicurezza.

4. Obblighi del Responsabile

Il Responsabile:

• a) tratta i dati solo su istruzione documentata del Titolare, anche per i trasferimenti verso paesi terzi, salvo obblighi di legge di cui informa il Titolare se la legge lo consente;
• b) garantisce che chi tratta i dati sia vincolato alla riservatezza;
• c) adotta le misure dell'art. 32 GDPR descritte nell'Allegato B;
• d) ricorre a sub-responsabili solo alle condizioni dell'art. 7;
• e) assiste il Titolare nel rispondere alle richieste degli interessati (art. 6);
• f) assiste il Titolare negli obblighi degli artt. 32-36 GDPR, tenuto conto della natura del trattamento e delle informazioni disponibili;
• g) alla fine del servizio cancella o restituisce i dati secondo l'art. 10;
• h) mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente le verifiche dell'art. 11.

5. Violazioni dei dati

5.1 Il Responsabile informa il Titolare di ogni violazione dei dati personali senza ingiustificato ritardo e, ove possibile, entro 48 ore da quando ne viene a conoscenza, indicando natura della violazione, categorie e numero approssimativo di interessati e registrazioni, conseguenze probabili e misure adottate o proposte. Se non può dare subito tutte le informazioni, le dà in fasi successive.

5.2 La notifica al Garante e agli interessati resta del Titolare; il Responsabile lo assiste.

6. Diritti degli interessati

6.1 Se un interessato si rivolge al Responsabile, questi inoltra la richiesta al Titolare senza ingiustificato ritardo e non risponde da solo nel merito.

6.2 Su richiesta del Titolare, entro 30 giorni, il Responsabile estrae, rettifica o cancella i dati di un interessato nei propri sistemi e, per le recensioni cancellate, ne impedisce la riacquisizione nelle sincronizzazioni successive (lista di esclusione). Il Titolare può farlo anche da solo, recensione per recensione, con l'azione "Elimina dall'app": recensione, bozze e note si cancellano subito e la recensione entra nella lista di esclusione.

6.3 Il Responsabile non controlla le piattaforme: cancellare una recensione dai propri sistemi non la rimuove dalla piattaforma d'origine.

7. Sub-responsabili

7.1 Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato C, pubblicato anche su questa pagina.

7.2 Il Responsabile impone ai sub-responsabili, per contratto, obblighi di protezione dei dati non meno rigorosi di questo Accordo e resta responsabile verso il Titolare del loro operato.

7.3 Il Responsabile comunica per email, con almeno 30 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile. Il Titolare può opporsi per motivi legati alla protezione dei dati entro lo stesso termine; se non si trova una soluzione, può recedere senza costi, con rimborso tramite Link della parte non goduta del Piano.

8. Trasferimenti fuori dallo Spazio economico europeo

I trasferimenti verso paesi terzi avvengono solo sulla base di una decisione di adeguatezza (compreso il Data Privacy Framework UE-USA per i fornitori certificati) o delle Clausole contrattuali tipo della Commissione, come indicato per ciascun sub-responsabile nell'Allegato C.

9. Trattamenti del Responsabile come titolare autonomo

Per trasparenza, il Responsabile è titolare autonomo, e non agisce per conto del Titolare, per:

• a) i dati degli account e degli Utenti, la sicurezza e i log, come descritto nell'Informativa privacy;
• b) il registro delle bozze generate e le loro impronte non reversibili, conservati per adempiere all'art. 50 del Regolamento (UE) 2024/1689 (AI Act): contengono solo codici calcolati dal testo, il modello usato e la data, non il testo né dati leggibili degli ospiti, e sono conservati 5 anni anche dopo la cessazione;
• c) statistiche aggregate sul servizio che non riguardano persone identificate o identificabili.

Il Responsabile non usa i dati degli ospiti per altri scopi propri, non li cede e non li usa per addestrare modelli di terzi. Gli esempi di risposte del Titolare si usano per migliorare il servizio solo dopo un'anonimizzazione documentata che rimuove nomi e dettagli del soggiorno.

10. Cessazione

10.1 Il Titolare può scaricare in ogni momento i dati in un formato strutturato e di uso comune (CSV e JSON) da Impostazioni, Account, "Scarica i dati", anche nei 30 giorni successivi alla cessazione. Entro gli stessi 30 giorni può chiederne la restituzione anche per email.

10.2 Trascorsi 30 giorni dalla cessazione, il Responsabile cancella i dati, comprese le copie, salvo gli obblighi di conservazione previsti dalla legge e salvo quanto indicato all'art. 9. La cancellazione dal database avviene in automatico entro i due giorni successivi, dopo un controllo del Responsabile, e lascia solo un registro con l'identificativo testuale dell'account, il piano, le date e il numero di righe cancellate. Le copie di sicurezza (quelle del fornitore del database e la copia giornaliera cifrata) si sovrascrivono o si cancellano nel loro ciclo, e comunque entro 90 giorni.

11. Verifiche

11.1 Il Responsabile risponde alle richieste di informazioni del Titolare sulla conformità a questo Accordo, anche fornendo documentazione e le certificazioni dei sub-responsabili.

11.2 Se la documentazione non basta, il Titolare può svolgere una verifica, anche tramite un revisore vincolato alla riservatezza, non più di una volta l'anno salvo violazione accertata o richiesta di un'autorità, con 30 giorni di preavviso, in orario lavorativo e a proprie spese.

12. Responsabilità, legge e foro

La responsabilità segue l'art. 82 GDPR e i Termini. Legge e foro sono quelli dei Termini.

---

Allegato A: descrizione del trattamento

Voce	Contenuto
Finalità	Raccogliere le recensioni pubblicate sulle schede del Titolare; mostrarle e tradurle; preparare bozze di risposta nel tono del Titolare; riconoscere le risposte pubblicate; statistiche per il Titolare
Operazioni	Raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione automatizzata (generazione di bozze e analisi del tono delle risposte pubblicate), cancellazione
Interessati	Autori delle recensioni sulle schede del Titolare; persone nominate nelle recensioni o nelle risposte
Dati	Nome o pseudonimo pubblico, eventuale località, testo della recensione e sua traduzione, voto, date di pubblicazione e di soggiorno, lingua, tipo di viaggio, collegamento pubblico, risposta del gestore e relativa bozza
Origine	Piattaforme pubbliche, tramite un servizio di estrazione dati
Decisioni automatizzate	Nessuna con effetti sugli interessati: le bozze sono proposte e la pubblicazione è del Titolare
Durata	Per la durata del contratto, poi art. 10. Il contenuto grezzo restituito dall'estrazione si cancella dopo 90 giorni; restano i campi elencati sopra
Minori	Non destinatari; possibile menzione incidentale da parte di un adulto

Allegato B: misure tecniche e organizzative

Misure attive alla data di questa versione.

Accesso e separazione fra clienti

• Accesso al servizio con link monouso inviato via email; sessioni firmate.
• Ogni interrogazione è limitata al cliente dell'utente; vincoli di integrità nel database (chiavi composte cliente e record) impediscono di associare un dato a un cliente diverso.
• Isolamento a livello di riga nel database (row level security): ogni richiesta di un utente passa con il cliente e la persona nel contesto, e il database restituisce e modifica solo le righe di quel cliente, anche in caso di errore nel codice dell'applicazione.
• Ruoli di database separati, senza privilegi di proprietà e senza facoltà di modificare lo schema: uno per le richieste dei clienti, uno per il lavoro di sistema (motore, attività programmate, pagamenti) e uno in sola lettura per il pannello interno del Responsabile, che non vede i testi delle recensioni e delle risposte. Le credenziali di amministrazione le ha solo il Responsabile.
• Registro delle azioni sensibili (team e ruoli, schede, voce, piano, esportazione, cancellazioni, accessi del Responsabile ai dati di un cliente), in sola aggiunta e senza testi delle recensioni; il Titolare vede il registro del proprio account in Impostazioni. Conservazione 2 anni.
• Endpoint interni (motore, attività programmate) protetti da segreto confrontato a tempo costante; ambienti di anteprima protetti da autenticazione.
• Intestazioni di sicurezza su tutte le pagine (HTTPS obbligatorio, divieto di incorporamento in altri siti) e limiti di frequenza sulle richieste pubbliche e sugli accessi.

Cifratura e ubicazione

• TLS su tutte le comunicazioni, anche verso il database.
• Cifratura a riposo del database gestito.
• Database e funzioni applicative nell'Unione europea (Francoforte).

Continuità

• Ripristino del database a un istante precedente, entro la finestra offerta dal fornitore.
• Copia giornaliera del database cifrata prima di uscire dal sistema, con una chiave che ha solo il Responsabile, conservata 90 giorni.
• Coda di lavoro persistente con ritentativi: un guasto temporaneo di un fornitore non perde dati.

Controllo e monitoraggio

• Tetti di spesa e interruttore di emergenza del motore.
• Controllo giornaliero automatico delle anomalie, con avviso via email al Responsabile.
• Segreti conservati solo nei sistemi di configurazione dei fornitori, mai nel codice.

Minimizzazione

• Non si raccolgono email, telefoni né dati di pagamento degli ospiti.
• Il contenuto grezzo restituito dall'estrazione si cancella dopo 90 giorni; le recensioni eliminate dal Titolare restano solo come identificativo nella lista di esclusione, senza testo né autore.
• Esportazione dei dati e cancellazione delle recensioni dall'app, a cura del Titolare; cancellazione automatica dell'account 30 giorni dopo la cessazione (art. 10).
• Ai modelli di AI si inviano solo recensione e contesto della struttura necessari alla bozza; per l'analisi del tono delle risposte pubblicate si inviano anche estratti di al massimo 30 risposte già pubblicate (800 caratteri ciascuna) e delle recensioni a cui rispondono (300 caratteri ciascuna); il fornitore del modello non li usa per addestramento.

Organizzative

• Un solo operatore del Responsabile con accesso ai dati, vincolato alla riservatezza.
• Registro dei trattamenti; procedura di gestione delle violazioni.

Allegato C: sub-responsabili

Fornitore	Servizio	Ubicazione dei dati	Garanzia per i trasferimenti
Apify Technologies s.r.o. (Repubblica Ceca)	Estrazione delle recensioni dalle piattaforme	UE	Nessun trasferimento
Anthropic Ireland Ltd (Irlanda)	Modello di AI per bozze, traduzioni e analisi del tono delle risposte pubblicate	UE e USA	Clausole contrattuali tipo; dati conservati 30 giorni, non usati per addestrare
Google Ireland Ltd (Irlanda)	Conservazione della copia giornaliera del database, cifrata prima dell'invio: Google riceve solo testo cifrato, la chiave resta al Responsabile	UE e USA	Data Privacy Framework e clausole contrattuali tipo
Neon Inc. (USA)	Database gestito	UE (Francoforte, AWS)	Clausole contrattuali tipo
Vercel Inc. (USA)	Hosting dell'applicazione e del motore	Funzioni in UE (Francoforte); rete di distribuzione globale	Data Privacy Framework e clausole contrattuali tipo
Plus Five Five Inc., "Resend" (USA)	Email di accesso e notifiche	USA	Data Privacy Framework e clausole contrattuali tipo