Accordo sul trattamento di dati personali per conto terzi

【Ragione sociale del Committente】 (il «Committente») e AlienPeoples (il «Fornitore») stipulano il seguente accordo ai sensi dell’articolo 26 della legge coreana sulla protezione delle informazioni personali, affidando al Fornitore il trattamento dei dati del Committente.

Articolo 1Finalità

L’accordo definisce diritti e obblighi delle parti quando il Committente affida al Fornitore il trattamento necessario al servizio di assistenza clienti IA SiCusto e il Fornitore lo esegue diligentemente secondo l’accordo e le leggi applicabili.

Articolo 2Definizioni

• Cliente finale — Interessato che usa la pagina di assistenza del Committente (https://sicusto.com/chat/{identificativo-committente}).
• Subfornitore — Soggetto a cui il Fornitore affida ulteriormente parte delle attività. È elencato nell’allegato 1.
• Pagina di gestione — Interfaccia fornita dal Fornitore per consultare conversazioni, utilizzo e impostazioni da parte del personale del Committente (/portal/).
• Per gli altri termini valgono la legge coreana sulla protezione delle informazioni personali e le condizioni d’uso del servizio.

Articolo 3Ambito delle attività e dati trattati

① Il Fornitore svolge esclusivamente le seguenti attività.

② Il Fornitore non amplia i dati trattati senza istruzioni del Committente. Il Committente collabora al mantenimento degli avvisi sulla pagina affinché i clienti finali non inseriscano numeri coreani di registrazione dei residenti, numeri di carta o conto e password (il Fornitore li maschera sul server, ma il metodo basato su espressioni regolari può non rilevarli tutti).

Articolo 4Durata dell’incarico

La durata coincide con quella del contratto di servizio (【Data iniziale】 fino alla sua scadenza). Le clausole di riservatezza, distruzione e risarcimento restano efficaci dopo la cessazione fino al compimento della loro finalità.

Articolo 5Limiti al subaffidamento 【Revisione legale】 Modalità di consenso al subaffidamento

1. Il Fornitore non riaffida le attività a terzi senza consenso preventivo del Committente. Con la firma, il Committente acconsente ai subfornitori elencati nell’allegato 1.
2. Nella fase 1 del servizio, i fornitori IA sono gli stessi 3 per tutte le aziende clienti (allegato 1); non vengono fissati separatamente per ciascun Committente.
3. Per aggiungere o cambiare un subfornitore, il Fornitore informa il Committente per iscritto (anche via e-mail) 【N】 giorni prima dell’applicazione. In caso di opposizione entro tale termine, il Fornitore non applica la modifica a quel Committente, oppure il Committente può recedere dal contratto di servizio senza penali.
4. Il Fornitore impone ai subfornitori obblighi di protezione equivalenti e risponde del loro trattamento verso il Committente.

Articolo 6Misure di sicurezza

Il Fornitore adotta le misure seguenti ai sensi dell’articolo 29 della legge coreana sulla protezione delle informazioni personali e dei relativi provvedimenti.

• Ubicazione e separazione — Archiviazione nella regione di Seoul, Repubblica di Corea (Google Cloud asia-northeast3), con percorsi separati per Committente. L’archivio è riservato al server; i browser non possono leggerlo o modificarlo direttamente.
• Controllo degli accessi — L’accesso del Fornitore è limitato al responsabile operativo. Per il Committente accedono solo i membri della pagina (ruoli proprietario/membro); per operazioni del proprietario come applicazione delle conoscenze, modifica dei membri ed esportazione viene riverificato un accesso recente (entro 12 ore).
• Conservazione minima — Vengono salvate e inviate ai fornitori IA solo copie con dati sensibili (numeri coreani di registrazione dei residenti e stranieri, numeri di carta e conto, password), telefoni ed e-mail mascherati. I recapiti delle richieste di passaggio sono conservati in originale per consentire la risposta (periodi dell’allegato 2).
• Registri di accesso — Consultazione integrale, esportazioni, modifiche di impostazioni, cancellazioni e modifiche dei membri sono registrate nei log di audit (periodi dell’allegato 2).
• Trasmissione — Pagina di assistenza, pagina di gestione e chiamate API IA usano HTTPS (TLS).
• Backup e ripristino — Sono gestiti ripristino a un dato momento e backup giornalieri (conservazione di 7 giorni); il ripristino segue una procedura distinta (documento operativo D-5).

Articolo 7Divieto di utilizzo per altre finalità

1. Il Fornitore non utilizza né comunica a terzi i dati personali per finalità diverse dalle attività affidate.
2. Il Fornitore non usa i dati per addestrare modelli IA o migliorare i propri servizi e utilizza i fornitori IA subincaricati solo a condizioni che escludono l’addestramento (allegato 3).
3. Il Fornitore non divulga dati appresi nelle attività affidate, né durante né dopo il contratto.

Articolo 8Gestione e supervisione

1. Il Committente può chiedere documenti sul trattamento, sull’attuazione delle misure e sui subaffidamenti; il Fornitore li consegna senza ritardo. I documenti di base sono allegato 1 (elenco subfornitori), allegato 2 (conservazione/cancellazione), documento operativo D-5 e registri delle attività della pagina di gestione.
2. Il Committente può effettuare 【1】 verifica scritta all’anno. Se ne deriva una richiesta correttiva, il Fornitore interviene entro un termine ragionevole e ne comunica l’esito.

Articolo 9Formazione

Il Fornitore forma almeno annualmente gli addetti al trattamento (incluso il responsabile operativo) sulla protezione dei dati e presenta la documentazione su richiesta. Il Committente può indicare contenuti formativi se necessario.

Articolo 10Garanzia dei diritti degli interessati

1. Il Committente riceve e gestisce le richieste dei clienti finali di accesso, rettifica, cancellazione e sospensione del trattamento; il Fornitore lo assiste su richiesta. Le richieste ricevute direttamente vengono inoltrate senza ritardo al Committente.
2. Il Committente può cancellare una conversazione con lo strumento di eliminazione delle sessioni e chiedere aiuto al Fornitore se i dati di un cliente finale sono difficili da trovare. Ambito e termini seguono l’allegato 2.

Articolo 11Notifica degli incidenti sui dati 【Revisione legale】 Termini e ripartizione degli obblighi di segnalazione

1. Quando viene a conoscenza di perdita, furto o divulgazione di dati nelle attività affidate («Incidente»), il Fornitore informa il Committente senza ritardo. L’obiettivo per la prima notifica è entro 24 ore dalla conoscenza; i fatti non confermati vengono inizialmente indicati come «in verifica».
2. La notifica comprende circostanze, dati e quantità coinvolti (anche stimati), misure adottate, azioni richieste al Committente e referente. Seguono aggiornamenti man mano che i fatti sono confermati.
3. Le notifiche agli interessati e le segnalazioni alla Commissione coreana per la protezione delle informazioni personali e agli organismi specializzati (articolo 34) spettano al Committente quale titolare; il Fornitore offre documenti e collaborazione necessari. L’impegno contrattuale è distinto dagli obblighi legali di segnalazione.
4. I dettagli procedurali (canali · conservazione delle prove · sostituzione in assenza del rappresentante) seguono «Risposta agli incidenti e notifica» nel documento operativo D-5.

Articolo 12Restituzione e distruzione alla cessazione

1. Alla cessazione, il Fornitore consegna conversazioni, richieste di passaggio e registri di utilizzo al Committente come file di esportazione (JSON · CSV) entro il termine richiesto. Il Committente può scaricare conversazioni integrali dalla pagina anche durante il contratto.
2. Dopo la restituzione (o, se non desiderata, entro 【30】 giorni dalla cessazione), il Fornitore cancella gli originali di produzione e comunica l’esito. Le copie di backup scadono dopo 7 giorni; copie dei subfornitori ed e-mail già inviate seguono l’allegato 2.
3. I documenti di transazione da conservare per legge (fatture fiscali, ecc.) sono archiviati separatamente per il periodo prescritto e poi distrutti. Gli aggregati senza dati personali possono restare per finalità contabili per i periodi dell’allegato 2.

Articolo 13Trattamento all’estero 【Revisione legale】 Base dei trasferimenti all’estero (articolo 28-8 della legge)

1. Per generare risposte, messaggi mascherati e materiali di conoscenza sono inviati ai fornitori IA dell’allegato 1 (Stati Uniti e altri paesi); le e-mail possono transitare su infrastrutture estere. L’archiviazione è nella regione di Seoul, Repubblica di Corea.
2. L’accordo stabilisce solo le condizioni tra le parti e non costituisce di per sé una base giuridica per trasferire all’estero i dati dei clienti finali. Il Committente pubblica nella propria informativa dati, paesi, tempi, metodi, destinatari e contatti, finalità, conservazione, modalità ed effetti del rifiuto, oppure acquisisce il consenso necessario. Il Fornitore fornisce i testi (set di informative IA D-3).
3. Il Committente decide la base dopo revisione legale (consenso · pubblicazione dell’affidamento e della conservazione necessari all’esecuzione contrattuale, ecc.).

Articolo 14Risarcimento 【Revisione legale】 Limiti ed esoneri

1. Se una violazione del Fornitore o di un subfornitore danneggia il Committente o un interessato, il Fornitore risarcisce il danno.
2. Il limite è 【Scegliere: corrispettivi dei 12 mesi precedenti il mese del danno / importo fisso di ○○ KRW】; non vale per dolo o colpa grave del Fornitore né per responsabilità non limitabili per legge.
3. Se il Committente risarcisce un interessato per causa imputabile al Fornitore, può rivalersi su di esso.

Articolo 15Prevalenza e altre disposizioni

• Sul trattamento dei dati personali, l’accordo prevale su condizioni d’uso e preventivi.
• Le materie non previste seguono le leggi applicabili, inclusa la legge coreana sulla protezione delle informazioni personali; il foro è quello delle condizioni d’uso.

Data di stipula 【YYYY-MM-DD】

Allegato 1Elenco dei subfornitori (fornitori incaricati)

Si allega la versione del registro dei fornitori e subfornitori (D-2) vigente alla stipula.

Allegato 2Tabella di conservazione e cancellazione

I periodi sono verificati alla stipula sulla base della tabella e dell’informativa privacy.

Cancellazione per singolo cliente finale (richiesta del Committente)

Allegato 3Impegni su mancato addestramento e mancata conservazione