Accordo sul Trattamento dei Dati Personali

Data Processing Agreement (DPA) ex art. 28 del Regolamento (UE) 2016/679 — tra A-ESP S.R.L. (Responsabile del trattamento) e l'Azienda Cliente (Titolare del trattamento) — Contesto Azienda, in cui l'archivio aziendale è condiviso tra i membri del team

Premesse

Il presente Accordo sul trattamento dei dati personali (di seguito «Accordo» o «DPA») integra e costituisce parte sostanziale del contratto di servizio (di seguito «Contratto principale») stipulato tra:

A-ESP S.R.L., società a responsabilità limitata iscritta nella sezione speciale delle start-up innovative, con sede legale in Viale Rimembranza 19/B, 20871 Vimercate (MB), codice fiscale, partita IVA e numero di iscrizione al Registro delle Imprese di Milano Monza Brianza Lodi 14874150965, REA MB-2812690, domicilio digitale (PEC) a-esp@pec.it, in persona del legale rappresentante pro tempore Gabriele Mari (Presidente del Consiglio di Amministrazione), di seguito «A-ESP» o «Responsabile», in qualità di fornitore della Piattaforma; e

l'Azienda cliente identificata nel Contratto principale, con ragione sociale, sede, codice fiscale o partita IVA e referente indicati nel medesimo Contratto principale (di seguito «Azienda» o «Titolare»), che utilizza la Piattaforma per centralizzare e gestire la corrispondenza e gli adempimenti aziendali, con accesso condiviso tra i membri del proprio team secondo i ruoli e le regole di visibilità (riserve e concessioni) definiti dall'Azienda stessa.

Premesso che:

(a) la piattaforma A-ESP, disponibile via web e tramite app native iOS e Android che utilizzano il medesimo backend, collega caselle di posta elettronica ordinaria e di posta elettronica certificata (PEC), ne legge i messaggi, estrae tramite intelligenza artificiale metadati strutturati (categoria, importi, scadenze, controparte, sintesi), crea scadenze, consente la ricerca semantica, importa in lettura gli eventi del calendario, gestisce il registro di fatture e movimenti, genera brief periodici e notifiche, e mette a disposizione un assistente AI denominato «Komo» che propone azioni eseguite solo previa conferma dell'utente;

(b) la Piattaforma offre inoltre, come funzione facoltativa, disponibile solo quando A-ESP la rende attiva nel Servizio, la possibilità di rispondere ai messaggi ricevuti dalla casella collegata, su istruzione esplicita dell'utente impartita messaggio per messaggio; finché non è attiva, nessun dato è trattato per questa finalità. La Piattaforma non invia mai messaggi PEC;

(c) nel contesto Azienda A-ESP tratta, per conto dell'Azienda, i dati personali contenuti nelle caselle e nei documenti aziendali, inclusi quelli dei corrispondenti terzi e dei membri del team, rendendoli accessibili ai membri autorizzati secondo il modello di visibilità configurato dall'Azienda;

tutto ciò premesso, le Parti convengono di disciplinare tale trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR»).

Articolo 1 — Definizioni

I termini «dato personale», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato», «violazione dei dati personali» e «pseudonimizzazione» hanno il significato loro attribuito dall'art. 4 GDPR. Ai fini del presente Accordo si intende inoltre per:

• «Piattaforma»: il software A-ESP nelle sue interfacce web, iOS e Android e nel relativo backend;
• «Dati dell'Azienda»: i dati personali trattati da A-ESP per conto dell'Azienda in esecuzione del Contratto principale;
• «Sub-responsabile»: un ulteriore responsabile del trattamento di cui A-ESP si avvale ai sensi dell'art. 28, parr. 2 e 4, GDPR;
• «Casella collegata»: una casella di posta (Gmail, Outlook/Microsoft 365, IMAP ordinario o PEC) collegata alla Piattaforma mediante autorizzazione OAuth 2.0 o credenziali fornite dall'utente;
• «Membri»: le persone abilitate dall'Azienda alla Piattaforma con ruolo di TITOLARE, AMMINISTRATORE o DIPENDENTE.

Articolo 2 — Oggetto e durata

Il presente Accordo disciplina il trattamento dei Dati dell'Azienda effettuato da A-ESP esclusivamente per l'esecuzione del Contratto principale e per la fornitura della Piattaforma. La durata coincide con quella del Contratto principale; gli obblighi che per loro natura sopravvivono alla cessazione (riservatezza, restituzione e cancellazione) restano efficaci fino al loro integrale adempimento.

Articolo 3 — Ruoli delle Parti

L'Azienda agisce quale Titolare del trattamento dei Dati dell'Azienda; A-ESP agisce quale Responsabile del trattamento ai sensi dell'art. 28 GDPR. L'Azienda è titolare autonoma della corrispondenza e dei documenti transitati per le proprie caselle e per i canali che collega alla Piattaforma. Qualora l'Azienda tratti dati per conto di terzi, A-ESP assume il ruolo di sub-responsabile e gli obblighi del presente Accordo si intendono assunti anche nei confronti del titolare a monte, fermo che l'Azienda garantisce di disporre dell'autorizzazione necessaria a ricorrere ad A-ESP.

L'Azienda determina, tramite i propri Membri con ruolo di TITOLARE o AMMINISTRATORE, quali Membri accedono a quali caselle e categorie di documenti (modello «riserve e concessioni»). A-ESP fornisce gli strumenti tecnici di segregazione (Row-Level Security, ruoli, riserve per casella e per categoria) ma non decide autonomamente le visibilità, che sono impostate dall'Azienda. L'Azienda garantisce di aver informato i propri Membri e di disporre di base giuridica adeguata per rendere la corrispondenza aziendale accessibile al team e, ove utilizzi la funzione di cui all'art. 6, per consentire ai Membri di rispondere dalle caselle aziendali. A-ESP non effettua alcun controllo dell'attività dei lavoratori.

A-ESP è titolare autonomo del trattamento dei dati di account dei Membri necessari all'autenticazione, alla sicurezza del Servizio e alle comunicazioni proprie di A-ESP, secondo l'informativa privacy pubblicata. Google, Microsoft e i gestori delle caselle IMAP e PEC forniscono il servizio di posta e agiscono come titolari autonomi; non sono Sub-responsabili di A-ESP.

Articolo 4 — Natura del trattamento, dati e interessati

La natura e le finalità del trattamento, le tipologie di dati personali, le categorie di interessati e le operazioni consentite sono descritte nell'Allegato A, che costituisce, unitamente al presente Accordo, istruzione documentata del Titolare ai sensi dell'art. 28, par. 3, lett. a), GDPR.

Articolo 5 — Trattamento su istruzione documentata

A-ESP tratta i Dati dell'Azienda soltanto su istruzione documentata del Titolare. Costituiscono istruzioni documentate: il presente Accordo con i suoi Allegati, la configurazione della Piattaforma scelta dal Titolare e le azioni che gli utenti autorizzati dal Titolare compiono esplicitamente nella Piattaforma. In particolare, le istruzioni comprendono:

• la lettura delle caselle collegate: per Gmail e Outlook/Microsoft 365 mediante autorizzazioni OAuth di lettura; per le caselle IMAP e PEC in modalità di sola consultazione (comando EXAMINE e lettura BODY.PEEK, che non altera lo stato di lettura dei messaggi); al primo collegamento sono acquisiti i messaggi degli ultimi 10 giorni, ricevuti e inviati, e successivamente i nuovi messaggi;
• l'estrazione, tramite fornitori di intelligenza artificiale, di metadati strutturati dai messaggi e dagli allegati, la creazione di scadenze, l'indicizzazione per la ricerca semantica, la generazione di brief e notifiche;
• alcune operazioni automatiche e reversibili di organizzazione dell'archivio (ad esempio il raggruppamento di messaggi sullo stesso argomento, la segnatura come già pagato o già incassato di un documento con archiviazione, quando riconosce il relativo movimento, e la rimozione della versione superata di un evento riprogrammato), che non producono effetti giuridici;
• le azioni proposte dall'assistente Komo, che sono eseguite soltanto dopo conferma esplicita dell'utente; le azioni distruttive o di invio richiedono una conferma manuale e non possono essere confermate a voce o con un semplice assenso digitato;
• l'invio di risposte dalle caselle collegate, alle sole condizioni dell'art. 6.

A-ESP informa senza ritardo il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre norme applicabili. A-ESP non utilizza i Dati dell'Azienda per finalità proprie né per l'addestramento o l'affinamento di modelli di intelligenza artificiale e non li vende né li cede a terzi. A-ESP non invia in alcun caso messaggi PEC e non invia messaggi senza un'istruzione esplicita impartita dall'utente per il singolo messaggio: nessun processo automatico, pianificato o avviato dall'assistente Komo effettua invii dalle caselle collegate.

Il profilo di stile delle bozze e la personalizzazione delle offerte «Per te» sono funzioni riservate al contesto Personale dell'utente e non sono disponibili nel contesto Azienda: A-ESP non le applica ai Dati dell'Azienda.

Articolo 6 — Invio di risposte dalle caselle collegate

6.1 Attivazione. La funzione di invio è facoltativa ed è attivabile separatamente per le caselle Gmail, Outlook/Microsoft 365 e IMAP ordinarie, solo quando A-ESP la rende attiva nel Servizio. Finché non è attiva, la Piattaforma richiede ai fornitori delle caselle i soli permessi di lettura e non utilizza alcun server SMTP. Quando la funzione è attiva, al collegamento della casella è richiesto anche il permesso di invio (gmail.send per Gmail; Mail.Send per Outlook/Microsoft 365) oppure è utilizzato il server SMTP di invio dello stesso fornitore della casella IMAP, scelto da un elenco chiuso di server non PEC. Le caselle collegate prima dell'attivazione non dispongono del permesso di invio finché non vengono ricollegate con il consenso dell'utente. Per i tenant Microsoft che lo richiedano, il collegamento con permesso di invio richiede il consenso dell'amministratore del tenant. A-ESP può sospendere o disattivare la funzione in ogni momento, anche per singolo utente, per ragioni di sicurezza o di abuso.

6.2 Ambito. Per conto dell'Azienda la Piattaforma consente esclusivamente di rispondere a un messaggio ricevuto in una casella aziendale collegata. La risposta parte dalla casella aziendale in cui il messaggio è stato ricevuto ed è indirizzata unicamente al mittente del messaggio originale: il destinatario è determinato dal server sulla base del messaggio originale e non può essere modificato dall'utente (vincolo del destinatario). La composizione di nuovi messaggi verso destinatari scelti dall'utente è disponibile esclusivamente nel contesto Personale dell'utente ed è rifiutata dalla Piattaforma nel contesto Azienda; essa non costituisce pertanto un trattamento svolto per conto dell'Azienda ai sensi del presente Accordo.

6.3 Membri abilitati. Può inviare risposte dalla casella aziendale qualunque Membro attivo (TITOLARE, AMMINISTRATORE o DIPENDENTE), limitatamente ai messaggi che gli sono visibili: il DIPENDENTE resta soggetto alle riserve per casella e per categoria impostate dall'Azienda e non può rispondere a messaggi che gli sono riservati. Il Servizio non consente oggi di escludere singoli ruoli dall'invio: l'Azienda che non intende abilitare un ruolo non attiva la funzione per la casella. L'Azienda istruisce A-ESP sull'abilitazione dell'invio e dichiara di aver reso ai propri lavoratori l'informativa sull'uso del Servizio e dei sistemi di intelligenza artificiale (art. 13 GDPR; art. 11 L. 132/2025) e di aver valutato la conformità all'art. 4 della L. 300/1970 e al provvedimento del Garante del 21/12/2023 (e successive modifiche) sui metadati della posta elettronica.

6.4 Revisione umana e consenso per singolo messaggio. La bozza di risposta può essere scritta dall'utente o generata dall'intelligenza artificiale su sua richiesta, a partire dal testo del messaggio originale letto in tempo reale dalla casella (troncato a 8.000 caratteri) e dalle istruzioni dell'utente; né la bozza né il testo del messaggio originale sono conservati dalla Piattaforma. La bozza è sempre visibile e modificabile. Ogni bozza generata dall'intelligenza artificiale è contrassegnata nell'interfaccia dalla dicitura «Testo generato dall'IA: rileggilo e modificalo prima di inviarlo»; quando il testo proviene da una bozza generata dall'IA, i messaggi inviati recano un'indicazione tecnica leggibile da macchina (intestazione del messaggio «X-A-ESP-AI-Assisted: yes») che ne segnala l'origine assistita dall'IA, in attuazione dell'art. 50, par. 2, del Regolamento (UE) 2024/1689. L'intestazione è applicata ai messaggi inviati tramite Gmail (risposte e nuovi messaggi), tramite SMTP (risposte e nuovi messaggi) e ai soli nuovi messaggi inviati tramite Outlook/Microsoft 365; le risposte inviate tramite Outlook non recano l'intestazione, perché l'interfaccia di risposta di Microsoft Graph utilizzata dalla Piattaforma accetta il solo testo del commento, e per esse l'origine assistita dall'IA è registrata esclusivamente nel registro di audit dell'invio. La segnalazione che il testo proviene da una bozza IA è trasmessa dall'applicazione dell'utente. L'invio avviene soltanto con il comando «Invia ora», abilitato dopo che l'utente ha spuntato una casella mai preselezionata recante il testo: «Autorizzo A-ESP a inviare questo messaggio dalla mia casella», seguito dall'indirizzo della casella e dalla frase «L'invio è definitivo.» La conferma è trasmessa al server, che rifiuta l'invio se manca. Un assenso vocale o digitato in chat non è accettato come conferma di invio. La bozza contenente etichette di mascheramento residue (ad esempio «dato riservato») non può essere inviata.

6.5 Garanzie tecniche. Ogni invio è protetto da una chiave di idempotenza (finestra di 600 secondi), che impedisce invii doppi per ripetizione del comando; da un limite di frequenza di 20 richieste al minuto per utente; dall'assenza di pixel o collegamenti di tracciamento nei messaggi inviati. Le caselle PEC, le caselle IMAP su server di gestori PEC e i canali REM sono esclusi dall'invio per costruzione.

6.6 Registro degli invii. Per ogni tentativo di invio la Piattaforma registra, in un registro a sola aggiunta protetto da Row-Level Security, i soli metadati: identificativo dell'utente che ha effettuato l'invio, casella, documento di riferimento, tipo di invio, fornitore, identificativo del messaggio presso il fornitore, indirizzo del destinatario, esito (inviato, fallito, bloccato), codice di errore, data e ora, la conferma del consenso per il singolo messaggio (data, ora e versione del testo di consenso) e l'indicazione che il testo nasce da una bozza generata dall'IA. Il registro non contiene oggetto né corpo del messaggio. È conservato per 24 mesi dall'invio. I log applicativi dell'invio riportano solo utente, operazione, latenza, fornitore ed esito, mai destinatario, oggetto o corpo.

Articolo 7 — Riservatezza

A-ESP garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che l'accesso ai Dati dell'Azienda sia limitato al personale che deve trattarli per l'esecuzione del Contratto principale.

Articolo 8 — Misure di sicurezza (art. 32 GDPR)

A-ESP adotta le misure tecniche e organizzative descritte nell'Allegato B, tra cui in particolare: isolamento dei dati a livello di motore di database (Row-Level Security PostgreSQL) con ruolo applicativo privo di privilegi di elusione; cifratura delle credenziali di accesso alle caselle e cifratura in transito; minimizzazione della conservazione, per cui il corpo delle email e delle PEC, le bozze, i testi inviati, il testo OCR e l'audio non sono conservati sui server di A-ESP, mentre sono conservati i metadati e i dati derivati indicati nell'Allegato A; pseudonimizzazione o mascheramento dei dati prima dell'invio ai fornitori di intelligenza artificiale, nei limiti indicati nell'Allegato B; registri applicativi privi di contenuti delle email e di prompt e risposte dei modelli.

Articolo 9 — Sub-responsabili (art. 28, parr. 2 e 4, GDPR)

Il Titolare conferisce ad A-ESP autorizzazione generale scritta a ricorrere ai Sub-responsabili. L'elenco dei Sub-responsabili in essere è riportato nell'Allegato C, coerente con il documento «Elenco dei Sub-responsabili del trattamento» pubblicato da A-ESP su https://a-esp.io/legal/sub-responsabili. A-ESP ha concluso con ciascun Sub-responsabile un accordo ai sensi dell'art. 28 GDPR, nella forma delle condizioni standard di trattamento dei dati del fornitore, che impongono obblighi equivalenti a quelli del presente Accordo, e risponde nei confronti del Titolare del loro operato.

A-ESP comunica al Titolare, via email e con avviso nella Piattaforma, ogni intenzione di aggiungere o sostituire un Sub-responsabile con un preavviso di almeno 30 giorni. Il Titolare può opporsi per motivi legittimi connessi alla protezione dei dati; in caso di disaccordo con l'aggiunta o la sostituzione, può recedere dal Contratto principale senza penali entro 30 giorni dalla comunicazione.

Articolo 10 — Trasferimenti verso Paesi terzi

I dati persistenti sono conservati nell'Unione europea (database a Francoforte; applicazione in Belgio). Le funzioni basate su modelli linguistici sono eseguite tramite Microsoft Azure AI Foundry, fornito nello SEE da Microsoft Ireland Operations Limited, su una risorsa ubicata in un data center situato nello Spazio Economico Europeo; Mistral AI tratta i dati nell'Unione europea.

Per i Sub-responsabili con sede negli Stati Uniti o aventi una capogruppo statunitense (Google, Microsoft, Neon, Cloudflare, Resend), eventuali trasferimenti, anche per accesso della società madre a dati conservati in regione UE, si fondano sulla decisione di adeguatezza UE-USA (Data Privacy Framework, decisione di esecuzione (UE) 2023/1795) per le società certificate e, in mancanza, sulle clausole contrattuali standard (decisione (UE) 2021/914) incluse nell'accordo sul trattamento dei dati del fornitore. Non sono effettuati trasferimenti verso altri Paesi terzi privi di decisione di adeguatezza.

Articolo 11 — Assistenza al Titolare

Tenuto conto della natura del trattamento, A-ESP assiste il Titolare con misure tecniche e organizzative adeguate per: (a) dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 12-22 GDPR); (b) garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36 GDPR), nei limiti delle informazioni a disposizione di A-ESP. A-ESP inoltra al Titolare, senza ritardo e senza darvi seguito autonomamente, le richieste degli interessati che riguardino i Dati dell'Azienda.

Strumenti disponibili nella Piattaforma: eliminazione dei documenti; disconnessione delle caselle; esportazione dei dati dell'account in formato NDJSON (art. 20 GDPR), prodotta in tempo reale senza file conservati sul server, previa riverifica dell'identità e con un massimo di tre esportazioni al giorno; richiesta di cancellazione dell'account. L'esportazione riguarda i dati intestati all'account richiedente; i dati intestati ad altri soggetti del contesto Azienda ne sono esclusi.

Articolo 12 — Violazioni dei dati personali

A-ESP notifica al Titolare, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuta a conoscenza, ogni violazione dei Dati dell'Azienda, fornendo le informazioni utili affinché il Titolare possa adempiere agli obblighi di cui agli artt. 33 e 34 GDPR, secondo la procedura interna di gestione delle violazioni di A-ESP.

Articolo 13 — Restituzione e cancellazione

Alla cessazione del Contratto principale, a scelta del Titolare, A-ESP cancella o restituisce i Dati dell'Azienda e cancella le copie esistenti, salvo che il diritto dell'Unione o nazionale ne richieda la conservazione. Il Titolare può esportare i dati prima della cessazione con gli strumenti dell'art. 11. I periodi di conservazione sono i seguenti:

• alla richiesta di cancellazione dell'account sono revocate subito tutte le sessioni, è aperto un periodo di ripensamento di 30 giorni e, decorso questo, i dati sono cancellati in modo definitivo al primo ciclo giornaliero di pulizia successivo, con revoca dei token presso i fornitori (Google e, per gli account che hanno usato l'accesso con Apple, Apple; con tentativo best-effort) e cancellazione a cascata;
• i documenti eliminati dall'utente, o di caselle disconnesse con eliminazione, sono cancellati in modo definitivo dopo 90 giorni dall'eliminazione; le scadenze già create restano finché l'utente non le elimina;
• le conversazioni con Komo e il relativo riassunto sono cancellate dopo 12 mesi dall'ultimo messaggio; i brief dopo 90 giorni dalla generazione;
• il registro degli invii è cancellato dopo 24 mesi dall'invio; i log delle chiamate AI e il registro degli accessi (indirizzo IP in forma di hash) dopo 12 mesi; i log applicativi dopo 30 giorni;
• i registri delle attività dei Membri sono eliminati automaticamente dopo 24 mesi dalla creazione e comunque con l'account del Membro autore;
• il registro delle attività di Komo è cancellato dopo 90 giorni dall'azione; i promemoria rimandati sono cancellati alla scadenza del rinvio, al massimo 30 giorni dalla richiesta; entrambi sono cancellati con l'account del Membro autore, e l'identificativo del Membro eliminato è azzerato nelle righe degli altri Membri;
• le notifiche lette sono cancellate dopo 90 giorni; le notifiche risolte sono cancellate dopo 90 giorni dalla risoluzione; le notifiche non lette e non risolte non sono cancellate automaticamente;
• le segnalazioni degli avvisi di Komo ritirate dall'utente sono cancellate subito; quelle esaminate sono cancellate dopo 12 mesi dall'ultimo aggiornamento dello stato; quelle aperte restano fino all'esame o al ritiro;
• le copie di backup del database sono sovrascritte entro 30 giorni.

La disconnessione di una casella Gmail comporta la revoca dell'autorizzazione presso Google; per Outlook/Microsoft 365 sono cancellate le credenziali conservate e l'autorizzazione può essere revocata dall'utente nel proprio account Microsoft. I documenti già acquisiti restano in archivio salvo che l'utente scelga, alla disconnessione, di eliminarli. La cancellazione dell'account del TITOLARE è impedita finché esistono altri Membri, fino alla nomina di un altro titolare, o finché la casella aziendale resta collegata.

Restano ferme le eccezioni per contenzioso, ordine dell'autorità e obblighi di legge, per il tempo necessario e con accesso limitato.

Articolo 14 — Audit e dimostrazione della conformità

A-ESP mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un terzo da questi incaricato, vincolato a riservatezza. La revisione è richiesta con preavviso scritto di almeno 30 giorni, può essere effettuata una volta l'anno (salvo violazione dei dati personali o richiesta di un'autorità), non deve compromettere la sicurezza e la riservatezza dei dati di altri clienti ed è svolta a spese del Titolare. A-ESP può assolvere la richiesta, in tutto o in parte, mettendo a disposizione documentazione, relazioni di terzi o certificazioni, ove disponibili.

Articolo 15 — Responsabilità

Ciascuna Parte risponde dei danni cagionati dal trattamento nei limiti e secondo le regole dell'art. 82 GDPR. Per quanto non regolato dall'art. 82 GDPR, valgono le clausole di responsabilità del Contratto principale, che non limitano la responsabilità per dolo o colpa grave né i diritti inderogabili delle Parti. Il Titolare risponde dei danni derivanti da istruzioni illecite o dal mancato rispetto delle dichiarazioni e garanzie rese nel presente Accordo, e tiene indenne A-ESP da pretese di terzi derivanti da tali violazioni.

Articolo 16 — Legge applicabile e foro competente

Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il foro del luogo in cui ha sede legale A-ESP, in coerenza con il Contratto principale e con i Termini di Servizio.

Contatti per la protezione dei dati: A-ESP S.R.L., PEC a-esp@pec.it; email info@a-esp.io; Responsabile della protezione dei dati: non designato.

Per A-ESP S.R.L.

Nome e qualifica del firmatario: ______________________ Firma: ______________________ Luogo e data: ______________________

Per l'Azienda

Nome e qualifica del firmatario: ______________________ Firma: ______________________ Luogo e data: ______________________

Allegato A — Dettagli del trattamento (istruzioni documentate)

Allegato B — Misure tecniche e organizzative (art. 32 GDPR)

• Isolamento dei dati. Row-Level Security PostgreSQL attiva e imposta (FORCE) su ogni tabella dei dati, applicata a ogni interrogazione eseguita nel contesto dell'utente, compresa la tabella degli utenti; ruolo applicativo di esercizio privo dei privilegi di superutente e di elusione della RLS, con verifica bloccante all'avvio; ruolo proprietario usato solo per le migrazioni dello schema.
• Ruoli. TITOLARE, AMMINISTRATORE e DIPENDENTE; il DIPENDENTE è soggetto alle riserve per casella e per categoria impostate dall'Azienda e applicate tramite RLS.
• Accesso del personale di A-ESP. L'accesso del personale autorizzato ai dati per assistenza o manutenzione avviene tramite funzioni amministrative riservate, che richiedono riautenticazione rafforzata recente (step-up con password o passkey, OTP email escluso) e sono tracciate nei registri.
• Cifratura. Token OAuth cifrati; password delle caselle IMAP e PEC cifrate con AES-256-GCM a busta mediante chiave di cifratura delle chiavi; cifratura in transito con TLS; cifratura a riposo da parte dei fornitori di infrastruttura. Le chiavi sono custodite in Google Secret Manager.
• Segreti e accessi infrastrutturali. Secret Manager separato per ciascun progetto; account di servizio con i soli permessi di uso dei modelli AI e di lettura dei segreti; rilascio tramite federazione delle identità senza chiavi statiche.
• Minimizzazione della conservazione. Il corpo delle email e delle PEC non è conservato sui server; si conservano i metadati e i dati derivati indicati nell'Allegato A (metadati strutturati, sintesi, embedding e indice di ricerca). Altri dati conservati: testo integrale delle conversazioni con Komo e relativo riassunto, brief generati, nome visualizzato dei destinatari delle email in uscita, secondo i periodi dell'art. 13.
• Memoria locale sulle app native. Il testo delle email già aperte è conservato sul dispositivo per un massimo di 30 giorni, con cifratura del sistema operativo, esclusione dal backup cloud, cancellazione completa al logout, possibilità di disattivazione nelle impostazioni e senza alcun reinvio al server; sono escluse PEC, REM e allegati. Il testo copiato negli appunti scade dopo 2 minuti su iOS ed è marcato come sensibile e svuotato dopo circa 60 secondi su Android.
• Accesso alle caselle. Gmail: gmail.readonly, calendar.readonly, userinfo.profile, userinfo.email, più gmail.send solo con la funzione di invio attiva; Outlook/Microsoft 365: Mail.Read, Calendars.Read, User.Read, offline_access, più Mail.Send solo con la funzione di invio attiva; IMAP e PEC: consultazione senza modifica dello stato dei messaggi. Le PEC non sono mai inviate; l'invio IMAP usa solo server SMTP non PEC di un elenco chiuso, senza alternative automatiche. Il collegamento Gmail e Outlook è protetto da PKCE e associato all'utente (difesa anti-CSRF); alla disconnessione della casella Gmail l'autorizzazione è revocata presso Google con verifica dell'esito.
• Pseudonimizzazione e mascheramento verso l'AI. Per classificazione, estrazione ed embedding, rilevamento delle entità eseguito su un servizio interno separato che blocca la richiesta in caso di errore, con sostituzione di nomi, recapiti, IBAN, carte, codici fiscali, partite IVA, date e importi con surrogati sintetici; la corrispondenza tra surrogati e valori reali non è mai persistita. Per la chat di Komo, le bozze e gli altri usi del modello di chat, mascheramento con etichette dei valori riconosciuti (mittente, controparte, importi, date, codici, IBAN, codici fiscali, partite IVA, email, telefoni) ma non della prosa: oggetto, sintesi, nomi di file e, per le bozze, il testo del messaggio originale giungono al modello in chiaro salvo i valori riconosciuti. A Mistral AI sono trasmessi i file degli allegati e l'audio non pseudonimizzati (trattamento nell'Unione europea).
• Intelligenza artificiale. Nessun addestramento o affinamento di modelli da parte di A-ESP con i dati dei clienti; registro delle chiamate AI limitato a metriche (operazione, modello, token, latenza, esito), mai prompt o risposte; le risposte dei modelli sono conservate solo come dati del Servizio (Allegato A); le bozze di risposta non sono conservate.
• Registri. Log applicativi strutturati in formato JSON, minimi, privi di contenuti delle email e dell'AI; registro degli accessi con indirizzo IP conservato in forma di hash; registro degli invii con soli metadati e conferma del consenso (art. 6.6); registro dei consensi.
• Autenticazione. Accesso tramite collegamento monouso via email (validità 15 minuti, con limiti di tentativi per indirizzo IP) o password verificata contro elenchi di password compromesse mediante un controllo che non trasmette la password; sessione web con cookie httpOnly (30 giorni, massimo assoluto 90), sessione delle app native 30/180 giorni, revocata al logout con pulizia della memoria locale; riverifica dell'identità entro 300 secondi per le operazioni sensibili (esportazione, cancellazione dell'account).
• Sicurezza dell'applicazione web. Content Security Policy restrittiva; blocco dei contenuti remoti nelle email visualizzate; caratteri tipografici serviti dal Servizio; nessun servizio di analisi o tracciamento.
• Difese sull'invio. Vincolo del destinatario, consenso per singolo messaggio, blocco delle etichette di mascheramento, divieto PEC, idempotenza, limite di frequenza, registro degli invii (art. 6).
• Rilascio e dipendenze. Verifica delle vulnerabilità delle dipendenze nella pipeline di rilascio; interfaccia interna di servizio disattivata.
• Continuità. Backup del database gestiti dal fornitore, con sovrascrittura entro 30 giorni.
• Gestione delle violazioni. Procedura interna documentata di gestione delle violazioni dei dati personali, con notifica al Titolare secondo l'art. 12.

Allegato C — Sub-responsabili del trattamento

Il presente Allegato riproduce in sintesi il documento «Elenco dei Sub-responsabili del trattamento» (versione 2.1), pubblicato su https://a-esp.io/legal/sub-responsabili, che ne costituisce parte integrante e prevale in caso di difformità.

Fornitori delle caselle collegate. Google (Gmail API) e Microsoft (Microsoft Graph) forniscono il servizio di posta alle caselle che l'utente collega e alle quali A-ESP accede su sua autorizzazione; agiscono come titolari autonomi. I gestori IMAP e PEC dell'utente non sono Sub-responsabili di A-ESP.

Registro delle modifiche