Accordo sul Trattamento dei Dati Personali (DPA)

2. Durata e Istruzioni Documentate del Titolare

2.1. Il presente DPA ha efficacia dalla data di attivazione dell'account aziendale e resta valido fino alla completa cancellazione di tutti i Dati Personali del Cliente dai sistemi di Monaci.AI.

2.2. Monaci.AI tratta i Dati Personali esclusivamente sulla base delle istruzioni documentate del Cliente, costituite dal presente DPA, dai Termini di Servizio e dalle configurazioni operative, pianificazioni, domini autorizzati e approvazioni impartite dal Cliente tramite la console della piattaforma, salvo che il trattamento sia richiesto dal diritto dell'Unione o dello Stato membro; in tal caso Monaci.AI informa tempestivamente il Cliente prima del trattamento. Qualora un'istruzione appaia manifestamente contraria al GDPR, Monaci.AI ne informa immediatamente il Cliente ex art. 28, par. 3, secondo comma GDPR.

3. Obblighi di Riservatezza e Persone Autorizzate

Monaci.AI garantisce che tutte le persone fisiche autorizzate a trattare i Dati Personali del Cliente (amministratori di sistema e ingegneri di supporto) si siano impegnate formalmente alla riservatezza mediante specifici accordi scritti, abbiano ricevuto formazione periodica in materia di protezione dei dati e sicurezza AI e accedano ai sistemi secondo il principio del privilegio minimo (Least Privilege) esclusivamente quando strettamente necessario alla risoluzione di ticket di supporto aperti dal Cliente.

4. Sicurezza del Trattamento ex Art. 32 GDPR

Tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, Monaci.AI mette in atto e mantiene per tutta la durata del Contratto le misure tecniche e organizzative descritte in dettaglio nell'Allegato B per garantire un livello di sicurezza adeguato al rischio.

5. Autorizzazione Generale ai Sub-Responsabili e Notifica Variazioni

5.1. Ai sensi dell'art. 28, par. 2 GDPR, il Cliente conferisce a MONACI.AI S.R.L. autorizzazione scritta generale a ricorrere ai Sub-Responsabili elencati nell'Allegato C. Monaci.AI impone a ciascun Sub-Responsabile, mediante contratto vincolante ex art. 28, par. 4 GDPR, i medesimi obblighi in materia di protezione dei dati contenuti nel presente DPA, restando pienamente responsabile nei confronti del Cliente dell'adempimento degli obblighi dei Sub-Responsabili.

5.2. Monaci.AI informerà il Cliente con un preavviso di almeno 15 (quindici) giorni in caso di aggiunta o sostituzione di Sub-Responsabili; entro tale termine il Cliente potrà sollevare obiezioni motivate sotto il profilo della protezione dei dati personali e, in mancanza di soluzione tecnica alternativa (quale l'attivazione della modalità On-Premises), recedere dal servizio senza penali.

6. Assistenza per Diritti degli Interessati, DPIA e Consultazione Preventiva

Monaci.AI assiste il Cliente con misure tecniche e organizzative adeguate nell'evadere le richieste degli interessati di cui al Capo III del GDPR (accesso, rettifica, cancellazione, esportazione) e fornisce tutte le informazioni tecniche sull'architettura degli Agenti e delle micro-VM necessarie al Cliente per redigere eventuali Valutazioni d'Impatto sulla Protezione dei Dati (DPIA ex Art. 35 GDPR) o valutazioni d'impatto sui diritti fondamentali ai sensi dell'EU AI Act.

7. Gestione e Notifica di Violazioni dei Dati Personali (Data Breach)

In caso di violazione della sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati Personali del Cliente (Data Breach), Monaci.AI ne darà notifica scritta al Cliente senza ingiustificato ritardo e comunque entro 36 (trentasei) ore dal momento in cui ne è venuta a conoscenza, così da consentire al Cliente di rispettare il termine di 72 ore verso l'Autorità Garante ex Art. 33 GDPR, fornendo natura della violazione, categorie e numero approssimativo di record coinvolti, conseguenze probabili e misure di mitigazione adottate.

8. Audit, Ispezioni e Dimostrazione della Conformità

Ai sensi dell'art. 28, par. 3, lett. h) GDPR, Monaci.AI mette a disposizione del Cliente tutta la documentazione tecnica, i report di conformità dei data center Sub-Responsabili (SOC 2 Type II / ISO 27001) e risponde a questionari di verifica sicurezza una volta l'anno. Previo preavviso scritto di almeno 30 giorni e sottoscrizione di accordo di riservatezza, il Cliente potrà altresì condurre audit documentali o tecnici concordati senza arrecare pregiudizio alla continuità operativa o alla riservatezza degli altri tenant.

9. Restituzione e Cancellazione dei Dati a Fine Contratto

Alla cessazione per qualsiasi causa dei Servizi, il Cliente dispone di una finestra di 90 giorni per scaricare integralmente in autonomia tutti gli elaborati, report e log del proprio Workspace. Decorso tale termine (o immediatamente su richiesta scritta anticipata del Cliente inviata a monaci.ai@pec.it), Monaci.AI provvede alla cancellazione definitiva di tutte le copie dei Dati Personali del Cliente e delle relative chiavi del Vault crittografico, salvo obblighi di conservazione previsti dal diritto dell'Unione o italiano.

Allegato B — Misure Tecniche e Organizzative di Sicurezza (TOMs ex Art. 32 GDPR)

1. Segregazione Multi-Tenant Database: PostgreSQL Row Level Security (RLS) attiva su ogni singola tabella applicativa con controllo rigoroso su org_id e ruoli (owner, operator, viewer).
2. Vault Crittografico Credenziali: Cifratura autenticata AES-256-GCM con Initialization Vector casuale a 96-bit per singola credenziale (vault_secrets) e scanner automatico anti-esfiltrazione segreti nei log (secretScanner).
3. Isolamento Hardware Micro-VM: Esecuzione dei Desktop Remoti e delle Sandbox in micro-VM KVM/Firecracker isolate a livello di kernel con policy di rete restrittive basate su whitelist di domini (allowedDomains).
4. Integrità Crittografica Approvazioni Umane: Firma HMAC-SHA256 su ciascuna richiesta di azione (action_requests.signature) per impedire manomissioni tra l'anteprima mostrata all'operatore umano e il payload effettivamente eseguito.
5. Opzione On-Premises Zero-Egress: Connessione autenticata con mutuo TLS (mTLS), zero persistenza cloud dei payload sensibili e possibilità di inferenza su LLM locale interno alla LAN del Cliente.

Allegato C — Elenco Ufficiale dei Sub-Responsabili Autorizzati

• Supabase, Inc. — Database relazionale PostgreSQL, Auth e Storage cifrato — Data Center: Stoccolma, Svezia (UE - eu-north-1).
• Fornitori Cloud IaaS & AI Gateway Certificati (ISO 27001 / SOC 2 Type II) — Orchestrazione Micro-VM Firecracker isolate, Agent Box, Desktop Remoti Linux/Windows e gateway LLM con policy Zero-Training — Data Center primario: Germania (UE) (escluso quando il Cliente utilizza il proprio nodo On-Premises; dettaglio nominativo rilasciato ai Clienti contrattualizzati su richiesta).
• Vercel Inc. — Infrastruttura serverless front-end, routing HTTPS/TLS e mitigazione attacchi DDoS — Edge Europeo (Francoforte/Milano) + DPF/SCC UE.
• Stripe Payments Europe, Limited — Elaborazione pagamenti e fatturazione ricorrente — Sede: Dublino, Irlanda (UE).