Accordo sul trattamento dei dati (DPA)

Questo Accordo sul trattamento dei dati (“DPA”) fa parte dei Termini di servizio tra te (il “Cliente”) e Omega Nodes Company Ltd (“Omeganodes”). Lo accetti quando accetti i Termini. Si applica ogni volta che le app, i database, i file o i log che esegui sul Servizio contengono dati personali (“Dati personali del Cliente”).

Per i Dati personali del Cliente tu sei il titolare (o un responsabile che agisce per un tuo cliente) e Omeganodes è il tuo responsabile (o sub-responsabile) del trattamento. L’accordo rispetta l’articolo 28 del Regolamento generale sulla protezione dei dati dell’UE (“GDPR”) e il Data Protection and Privacy Act, 2019 dell’Uganda. I dati del tuo account e di fatturazione non rientrano qui: per quelli Omeganodes è titolare, come spiega l’Informativa privacy.

• Oggetto e finalità: ospitare, eseguire, conservare, salvare e trasmettere i tuoi carichi di lavoro, solo per fornire il Servizio.
• Durata: finché usi il Servizio, poi fino alla cancellazione secondo la sezione 9.
• Natura: conservazione, elaborazione, trasferimento in rete, backup e ripristino, e accesso operativo del nostro staff quando serve a mantenere il Servizio o quando chiedi assistenza.
• Tipi di dati personali: quelli che scegli di pubblicare, di solito dati di contatto, di account e di utilizzo dei tuoi utenti. Non ospitare categorie particolari di dati (art. 9 GDPR) se non hai una tua base giuridica e garanzie adeguate.
• Interessati: i tuoi utenti finali, clienti, dipendenti e le altre persone di cui ospiti i dati.

Trattiamo i Dati personali del Cliente solo secondo le tue istruzioni documentate: i Termini, questo DPA e le azioni che compi nella dashboard, nella CLI o tramite API. Non li trattiamo per nostri fini, non li vendiamo e non li usiamo per addestrare modelli. Se una legge impone altri trattamenti, te lo diciamo prima, salvo che quella legge lo vieti. Se riteniamo che un’istruzione violi la normativa sulla protezione dei dati, te lo segnaliamo.

Solo lo staff che ne ha bisogno per gestire il Servizio può accedere ai Dati personali del Cliente, ed è vincolato alla riservatezza. L’accesso dello staff al pannello di amministrazione richiede l’autenticazione a due fattori ed è registrato in un registro di audit.

Adottiamo almeno queste misure tecniche e organizzative:

• Hosting su server dedicati a Falkenstein, Germania (UE).
• TLS per tutto il traffico verso la dashboard, l’API e i domini predefiniti delle tue app.
• I segreti che conserviamo per te (variabili d’ambiente, chiavi di deploy, token OAuth, segreti 2FA) sono cifrati a riposo con AES-256-GCM.
• Ogni app e database gira nel proprio container con limiti di CPU, memoria e processi. I database gestiti sono creati senza porta pubblica: possono raggiungerli solo i container sulla rete privata del loro server.
• Backup giornaliero del database della piattaforma su storage esterno cifrato nell’UE (restic), con prova di ripristino ogni settimana.
• Backup giornaliero dei file delle tue app (volumi Docker) sullo stesso storage esterno cifrato, conservati fino a 3 mesi.
• Password conservate solo come hash Argon2id. Autenticazione a due fattori disponibile per tutti e obbligatoria per lo staff.
• Limiti di frequenza delle richieste, protezione dai bot e registro di audit delle azioni rilevanti per la sicurezza.
• Una procedura scritta di risposta agli incidenti che copre le violazioni di dati personali.

Sei responsabile della sicurezza all’interno delle tue app: il tuo codice, le dipendenze, il controllo degli accessi e i backup dei tuoi database (disponibili dalla pagina Database).

Ci autorizzi in via generale a usare i sub-responsabili qui sotto. Ciascuno è vincolato da condizioni scritte che proteggono i dati personali almeno quanto questo DPA:

• Hetzner Online GmbH (Germania e Finlandia (UE)) — Server dedicati che ospitano la piattaforma, le app e i database dei clienti e i backup.
• Resend, Inc. (Stati Uniti) — Invio delle email di servizio (account, fatturazione e avvisi di deploy).
• Stripe (Irlanda / Stati Uniti) — Pagamenti con carta, quando paghi con carta.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. (Lussemburgo) — Pagamenti PayPal, quando paghi con PayPal.
• Cloudflare, Inc. (Stati Uniti) — Protezione dai bot (Turnstile) su registrazione e accesso, quando attiva.
• GitHub, GitLab, Google (Stati Uniti) — Accesso e collegamento dei repository, solo se accedi con loro o colleghi un repository.
• OpenRouter, Inc. (Stati Uniti) — Instradamento delle richieste a Omega AI (prompt, dati dei prodotti e immagini) verso fornitori di modelli AI che non le usano per l'addestramento, solo quando usi Omega AI.
• Telegram (Emirati Arabi Uniti) — Avvisi operativi interni al nostro staff, limitati agli identificativi di account e progetto.

Comunichiamo ogni sub-responsabile nuovo o sostituito con almeno 30 giorni di anticipo, via email e su questa pagina. Puoi opporti per ragionevoli motivi legati alla protezione dei dati entro quel periodo. Se non possiamo ragionevolmente accogliere l’opposizione, puoi recedere dal Servizio interessato senza penali. Restiamo responsabili dei nostri sub-responsabili.

I Dati personali del Cliente sono conservati nell’Unione Europea. Omeganodes ha sede in Uganda, che non ha una decisione di adeguatezza dell’UE, e il nostro staff può accedere ai dati da lì per gestire il Servizio. Alcuni sub-responsabili si trovano in altri paesi.

Per i trasferimenti soggetti al GDPR sono incorporate per riferimento le Clausole contrattuali tipo approvate con la Decisione di esecuzione (UE) 2021/914 della Commissione: Modulo 2 quando sei titolare, Modulo 3 quando sei responsabile. Valgono queste scelte:

• la clausola 7 non si applica;
• clausola 9(a), opzione 2, con preavviso di 30 giorni;
• la formulazione facoltativa della clausola 11 non si applica;
• le clausole 17 e 18 scelgono la legge e i tribunali italiani;
• gli Allegati da I a III sono le sezioni 2, 5 e 6 di questo DPA.

Quando un sub-responsabile usa un altro strumento lecito, come l’EU-US Data Privacy Framework, si applica quello.

• Richieste degli interessati. Puoi leggere, esportare, correggere e cancellare da solo i dati nelle tue app e nei tuoi database. Se una richiesta arriva a noi, te la inoltriamo senza rispondere direttamente.
• Violazioni di dati personali. Ti avvisiamo senza ingiustificato ritardo e comunque entro 48 ore da quando veniamo a conoscenza di una violazione che riguarda i Dati personali del Cliente. Ti comunichiamo ciò che sappiamo e ti aggiorniamo man mano, così puoi rispettare le tue scadenze (72 ore secondo il GDPR).
• Valutazioni d’impatto. Ti forniamo le informazioni ragionevolmente necessarie per una valutazione d’impatto sulla protezione dei dati o una consultazione preventiva con l’autorità di controllo.
• Verifiche. Ti forniamo le informazioni necessarie a dimostrare il rispetto di questo DPA. Puoi effettuare una verifica all’anno con 30 giorni di preavviso scritto, a tue spese, in orario lavorativo, tramite un revisore indipendente vincolato alla riservatezza e senza accesso ai dati di altri clienti. Un’autorità di controllo può effettuare verifiche in qualsiasi momento nei limiti di legge.

Puoi esportare i tuoi dati in qualsiasi momento. Quando cancelli un progetto, un database o il tuo account, cancelliamo i relativi Dati personali del Cliente dalla piattaforma attiva entro 30 giorni. Le copie nei backup cifrati della piattaforma scadono entro 6 mesi. Non conserviamo nulla più a lungo, salvo obblighi di legge.

Se questo DPA è in contrasto con i Termini sui dati personali, prevale questo DPA. Se è in contrasto con le Clausole contrattuali tipo, prevalgono le Clausole. Scrivi a info@omeganodes.ai per domande o per chiedere una copia controfirmata.