1. Le parti
- Titolare del trattamento: lo studio legale, l'avvocato o l'ente che ha registrato l'account e che immette i dati (di seguito il «Titolare»).
- Responsabile del trattamento: Alma Technology S.r.l., sede legale in Largo Somalia 62, 00199 Roma (RM), partita IVA 11614961008 (di seguito il «Responsabile»), che fornisce la piattaforma LexCloud.
Il Responsabile e' invece titolare autonomo per i dati dell'account e per i dati tecnici d'uso della piattaforma: quel trattamento e' descritto nell' Informativa privacy.
2. Oggetto, natura, finalita' e durata
Il Responsabile tratta i dati personali per conto del Titolare al solo scopo di erogare le funzioni della piattaforma: conservazione dei fascicoli e dell'anagrafica, gestione di scadenze e udienze, archiviazione e consultazione dei documenti, invio e ricezione di posta elettronica e PEC, riconoscimento del testo dei documenti, redazione assistita degli atti, predisposizione e trasmissione dei depositi telematici, generazione di parcelle e preventivi, assistenza tecnica su richiesta.
Le operazioni comprendono raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, elaborazione, estrazione, comunicazione mediante trasmissione, cancellazione e distruzione.
Il trattamento dura quanto il rapporto contrattuale relativo all'account e cessa con esso, salvo quanto previsto all'articolo 9.
3. Categorie di interessati e di dati
Interessati: assistiti del Titolare e loro familiari, controparti, testimoni, consulenti tecnici, periti, altri difensori, magistrati e personale di cancelleria, dipendenti e collaboratori dello Studio, ogni altro soggetto i cui dati il Titolare decida di inserire.
Categorie di dati: dati anagrafici e di contatto, codice fiscale e partita IVA, dati economici e patrimoniali, contenuto di atti, documenti e corrispondenza.
Il trattamento riguarda categorie particolari di dati (art. 9 GDPR — in particolare dati relativi alla salute, alla vita familiare e sessuale, all'appartenenza sindacale) e dati relativi a condanne penali e reati (art. 10 GDPR), in quanto naturalmente contenuti negli atti giudiziari. Il Responsabile ne tiene conto nella valutazione del rischio e nella scelta delle misure di sicurezza.
4. Istruzioni del Titolare
Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare (art. 28 par. 3 lett. a). Costituiscono istruzioni documentate: il presente accordo, i Termini di servizio, la documentazione della piattaforma e le operazioni che il Titolare compie o attiva attraverso l'interfaccia (ad esempio l'attivazione di un'integrazione, l'avvio di un'elaborazione con intelligenza artificiale, la trasmissione di un deposito).
Il Responsabile informa immediatamente il Titolare qualora ritenga che un'istruzione violi il Regolamento o altre disposizioni sulla protezione dei dati (art. 28 par. 3, ultimo periodo).
Il Responsabile non utilizza i dati del Titolare per finalita' proprie, non li cede a terzi, non li impiega per attivita' pubblicitarie e non li utilizza per addestrare modelli di intelligenza artificiale, propri o di terzi.
5. Riservatezza
Il Responsabile garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza (art. 28 par. 3 lett. b), e limita l'accesso ai dati del Titolare al personale che ne ha effettiva necessita' per l'assistenza tecnica o per la manutenzione della piattaforma.
Il Responsabile e' consapevole che i dati trattati sono coperti dal segreto professionale forense e adotta le cautele conseguenti.
6. Misure di sicurezza (art. 32)
Il Responsabile adotta, tra le altre, le seguenti misure:
- cifratura del traffico in transito (HTTPS obbligatorio, cookie di sessione trasmessi solo su canale sicuro);
- autenticazione con password conservate come impronta non reversibile e disponibilita' dell'autenticazione a due fattori;
- separazione logica dei dati fra studi diversi: ogni interrogazione e' vincolata all'identificativo dello studio dell'utente autenticato;
- gestione differenziata di ruoli e permessi all'interno dello studio;
- archiviazione dei documenti al di fuori delle cartelle raggiungibili dal web;
- registrazione degli accessi, dei tentativi falliti e delle operazioni rilevanti;
- conferma obbligatoria dell'indirizzo email prima che un account diventi operativo;
- riconoscimento ottico dei documenti eseguito, per i piani gratuiti, su infrastruttura del Responsabile, senza trasmissione del documento a terzi;
- ospitalita' dell'infrastruttura principale — server, banca dati e archivio documentale — in data center situati nell'Unione Europea.
Il Responsabile riesamina periodicamente l'adeguatezza delle misure. Restano ferme la ripartizione di responsabilita' e le limitazioni previste dall'articolo 9 dei Termini di servizio, e in particolare l'obbligo del Titolare di conservare copie autonome dei dati.
7. Sub-responsabili
Il Titolare autorizza in via generale il Responsabile a servirsi di sub-responsabili per le attivita' necessarie all'erogazione del servizio. Il Responsabile impone a ciascuno, mediante contratto, obblighi di protezione dei dati non meno rigorosi di quelli assunti con il presente accordo, e risponde del loro operato come del proprio (art. 28 par. 4).
Le categorie di sub-responsabili sono le seguenti:
| Sub-responsabile | Attivita' | Luogo del trattamento |
|---|---|---|
| Fornitori di servizi di hosting e infrastruttura | Ospitalita' del server applicativo, della banca dati e dell'archivio documentale | Unione Europea |
| Fornitori di servizi di posta elettronica | Invio e ricezione delle comunicazioni di servizio | Unione Europea |
| Fornitori di servizi di intelligenza artificiale | Riconoscimento ottico dei documenti e funzioni assistite da intelligenza artificiale (redazione di bozze, estrazione di dati), attivate puntualmente dall'utente | Unione Europea e Stati Uniti (extra UE) |
| Google Ireland Ltd. | Sincronizzazione calendario e rubrica — solo se l'utente la attiva | Unione Europea, con possibili trasferimenti negli Stati Uniti (extra UE) |
| Microsoft Ireland Operations Ltd. | Accesso alla casella Outlook/Microsoft 365 — solo se l'utente la collega | Unione Europea, con possibili trasferimenti negli Stati Uniti (extra UE) |
| Namirial S.p.A. | Firma elettronica e certificati per il deposito telematico | Italia |
Il Responsabile mantiene l'elenco nominativo completo e aggiornato dei sub-responsabili e lo trasmette al Titolare su semplice richiesta, scritta a support@lexcloud.it. La pubblicazione per categoria non limita in alcun modo il diritto del Titolare di conoscere l'identita' di ciascun sub-responsabile.
Le modifiche all'elenco sono comunicate con almeno 30 giorni di preavviso via email o con avviso in applicazione. Entro tale termine il Titolare puo' opporsi per motivi ragionevoli attinenti alla protezione dei dati: in tal caso, se non e' possibile individuare una soluzione alternativa, il Titolare puo' recedere dal contratto senza oneri, esportando i propri dati.
Per i sub-responsabili che trattano dati al di fuori dello Spazio economico europeo il Responsabile adotta le garanzie dell'art. 46 GDPR, in particolare le clausole contrattuali tipo della Commissione europea, e valuta le misure supplementari necessarie.
8. Assistenza al Titolare
Il Responsabile, tenuto conto della natura del trattamento:
- assiste il Titolare con misure tecniche e organizzative adeguate per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 12-22 GDPR). Se una richiesta e' indirizzata direttamente al Responsabile, questi non vi da' autonomo seguito e la trasmette senza ritardo al Titolare (art. 28 par. 3 lett. e);
- assiste il Titolare nel garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (artt. 32-36 GDPR), tenuto conto delle informazioni in suo possesso (art. 28 par. 3 lett. f);
- informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di ogni violazione di dati personali che riguardi i dati trattati per suo conto, fornendo gli elementi necessari agli adempimenti degli artt. 33 e 34 GDPR.
9. Cancellazione e restituzione dei dati
Alla cessazione del rapporto il Responsabile, a scelta del Titolare, cancella i dati oppure gliene restituisce una copia in formato elettronico di uso comune, cancellando poi le copie esistenti, salvo che la conservazione sia richiesta dal diritto dell'Unione o dello Stato membro (art. 28 par. 3 lett. g).
La scelta va comunicata entro 30 giorni dalla cessazione; in mancanza il Responsabile procede alla cancellazione. Le copie contenute nelle procedure di salvataggio vengono meno con la loro ordinaria rotazione.
Il Titolare e' comunque tenuto a esportare autonomamente i propri dati prima della cessazione (art. 8 dei Termini di servizio).
10. Verifiche
Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 e consente le verifiche, comprese le ispezioni, svolte dal Titolare o da un incaricato da lui autorizzato (art. 28 par. 3 lett. h).
Le verifiche sono concordate con un preavviso ragionevole, si svolgono in orario lavorativo, non possono compromettere la sicurezza o la riservatezza dei dati di altri studi e sono limitate a una all'anno, salvo che una violazione o una richiesta dell'autorita' ne rendano necessarie altre. Tenuto conto della gratuita' del servizio, i costi straordinari della verifica sono a carico del Titolare che la richiede.
11. Registro dei trattamenti
Il Responsabile tiene il registro delle categorie di attivita' di trattamento svolte per conto dei titolari, ai sensi dell'art. 30 par. 2 GDPR, e lo mette a disposizione dell'autorita' di controllo su richiesta.
12. Rapporto con gli altri documenti
Il presente accordo prevale, per quanto riguarda il trattamento dei dati eseguito per conto del Titolare, su ogni disposizione difforme dei Termini di servizio. Nulla in esso puo' essere interpretato come rinuncia del Titolare a diritti inderogabili previsti dal Regolamento, ne' come esclusione della responsabilita' che il Regolamento pone direttamente in capo al Responsabile.
Per qualsiasi richiesta relativa a questo documento o all'esercizio dei tuoi diritti: support@lexcloud.it.