Accordo sul trattamento dei dati personali

Registro delle modifiche

1. Parti e ruoli

1.1. Titolare del trattamento (titolare della banca dati personali): il Cliente, che decide la finalità e il contenuto dei dati che carica in XEN.

1.2. Responsabile del trattamento: Xeneural Technologies E.I.R.L., RUC 20606521261.

1.3. Xeneural non acquisisce alcuna titolarità sui dati, non li usa per fini propri e non li utilizza per addestrare modelli di intelligenza artificiale, propri o di terzi.

2. Oggetto, natura e durata

2.1. Xeneural tratta i dati personali esclusivamente per fornire il Servizio XEN conformemente al contratto, alla configurazione che il Cliente effettua sulla piattaforma e alle sue istruzioni scritte.

2.2. Categorie di interessati: dipendenti, clienti, fornitori, contatti e firmatari designati dal Cliente.

2.3. Categorie di dati: identificazione, contatto, dati lavorativi, di presenza, economici e fiscali, documenti e firme, e gli altri che il Cliente decida di inserire. Se il Cliente inserisce dati sensibili, garantisce di disporre del consenso scritto o della base giuridica richiesti dalla legge.

2.4. Durata: quella del contratto principale. Gli obblighi di riservatezza, restituzione e cancellazione sopravvivono alla sua cessazione.

3. Istruzioni

3.1. Xeneural tratta i dati solo secondo le istruzioni documentate del Cliente: il contratto, il presente Accordo, la configurazione di XEN e le richieste scritte del suo contatto designato. Non tratta i dati per altre finalità né li trasferisce oltre quanto qui previsto.

3.2. Se Xeneural ritiene che un'istruzione violi la normativa sulla protezione dei dati, lo comunica immediatamente al Cliente e può sospenderne l'esecuzione fino a chiarimento.

3.3. Quando una legge obbliga Xeneural a trattare i dati in modo diverso, ne informa il Cliente prima di farlo, salvo che tale legge lo vieti.

4. Obblighi di Xeneural

4.1. Riservatezza del personale. Ogni persona con accesso ai dati è soggetta a un obbligo scritto di riservatezza prima di accedervi, riceve formazione sulla protezione dei dati al momento dell'ingresso e ogni anno, e accede solo a quanto necessario per la propria funzione. Xeneural conserva il registro di tale formazione e di tali impegni.

4.2. Misure tecniche e organizzative. Xeneural applica le misure dell'Allegato di sicurezza (sezione 9), le mantiene sotto un sistema di gestione conforme alla norma ISO/IEC 27001:2022 e le riesamina almeno una volta all'anno. Xeneural può aggiornarle purché non riduca in modo sostanziale il livello di sicurezza del Servizio, e informa il Cliente delle modifiche rilevanti su sua richiesta.

4.3. Assistenza al Cliente. Xeneural assiste il Cliente nella gestione dei diritti degli interessati (trasmissione di ogni richiesta ricevuta entro un massimo di due (2) giorni lavorativi), nelle valutazioni d'impatto, nelle consultazioni con l'autorità e nella notifica degli incidenti. XEN permette al Cliente di accedere, rettificare, esportare e cancellare i dati autonomamente.

4.4. Registro. Xeneural mantiene un registro delle attività di trattamento che svolge per conto del Cliente e di ogni accesso di assistenza ai suoi dati, disponibile su richiesta.

4.5. Dimostrazione della conformità. Xeneural mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto del presente Accordo e della normativa applicabile.

5. Incidenti di sicurezza

5.1. «Incidente di sicurezza» è ogni violazione della sicurezza di Xeneural o dei suoi subresponsabili che provochi, in modo accidentale o illecito, la distruzione, la perdita, l'alterazione, la comunicazione o l'accesso non autorizzati ai dati personali trattati per conto del Cliente; non lo sono i tentativi non riusciti che non ne compromettono la riservatezza, l'integrità o la disponibilità. Xeneural notifica al Cliente ogni Incidente di sicurezza senza ingiustificato ritardo e al più tardi entro le ventiquattro (24) ore successive al momento in cui ha ragionevole conoscenza del suo verificarsi, tramite l'e-mail del contatto designato, con le informazioni disponibili: natura dell'incidente, categorie e numero approssimativo di interessati e di record coinvolti, misure adottate e raccomandate, e punto di contatto.

5.2. Xeneural completa le informazioni per fasi, man mano che le ottiene, e consegna un rapporto con causa principale, impatto e misure correttive entro un massimo di dieci (10) giorni lavorativi. La notifica o la risposta a un Incidente di sicurezza non implica riconoscimento di colpa né di responsabilità.

5.3. Tale notifica permette al Cliente di rispettare i propri termini nei confronti dell'Autorità nazionale di protezione dei dati personali del Perù (48 ore) o dell'autorità di controllo competente (72 ore ai sensi del GDPR). Xeneural non comunica l'incidente a terzi né al pubblico in nome del Cliente senza la sua autorizzazione scritta, salvo obbligo di legge proprio.

6. Subresponsabili

6.1. Il Cliente autorizza in via generale i subresponsabili che figurano nell'elenco pubblico di xeneural.com/legal/subencargados, incorporato nel presente Accordo, ciascuno vincolato da un contratto scritto con obblighi equivalenti a quelli del presente Accordo.

6.2. Xeneural pubblica qualsiasi aggiunta o sostituzione di un subresponsabile, con il suo nome, la sua finalità e il paese di trattamento, e la comunica via e-mail agli iscritti all'avviso, con almeno trenta (30) giorni di preavviso rispetto al suo accesso ai dati. Entro tale termine, il Cliente può opporsi per iscritto indicando motivi ragionevoli legati alla protezione dei dati. Xeneural risponde entro un massimo di dieci (10) giorni lavorativi con una di queste opzioni: (i) non usare tale subresponsabile per i dati del Cliente; (ii) proporre una configurazione che lo eviti; oppure (iii) se nessuna delle due è praticabile, riconoscere al Cliente il diritto di risolvere il servizio interessato senza penali e con il rimborso di quanto pagato in anticipo. Se il Cliente non si oppone entro il termine, si intende che accetta il subresponsabile.

6.3. Xeneural risponde nei confronti del Cliente degli atti e delle omissioni dei propri subresponsabili come se fossero propri.

7. Trasferimenti internazionali

7.1. I dati sono trattati in questi luoghi, secondo la finalità: hosting dell'applicazione, del database e dei documenti negli Stati Uniti d'America; distribuzione e protezione del traffico nella rete globale del fornitore di edge, con copie temporanee nella cache; e risposte di XENI nell'infrastruttura globale di Google. Ogni subresponsabile figura nell'elenco con la propria ubicazione. Per i clienti del Perù, Xeneural comunica il flusso transfrontaliero al Registro nazionale di protezione dei dati personali e consegna al Cliente la scheda necessaria per iscrivere o aggiornare la propria banca dati.

7.2. Per i clienti dello Spazio economico europeo, del Regno Unito o della Svizzera, le Parti incorporano senza modifiche le clausole contrattuali tipo della Commissione europea (Decisione 2021/914, modulo due, da titolare a responsabile) e, ove applicabile, l'addendum del Regno Unito, con gli allegati compilati con le informazioni del presente Accordo e dell'elenco dei subresponsabili.

7.3. Xeneural non sposta l'hosting dei dati al di fuori dei luoghi indicati senza il previo consenso scritto del Cliente e senza le garanzie richieste dalla legge.

8. Diritti di audit

8.1. Il Cliente, direttamente o tramite un revisore indipendente vincolato alla riservatezza, può verificare il rispetto del presente Accordo una volta all'anno e, inoltre, quando si verifichi un incidente che interessi i suoi dati o una richiesta di un'autorità, con trenta (30) giorni di preavviso, in orario lavorativo, su documentazione, configurazione e controlli, senza accesso ai dati di altri clienti.

8.2. I rapporti di certificazione (ISO/IEC 27001) e le sintesi esecutive dei test di intrusione e degli audit interni soddisfano l'audit salvo ragionevole indizio di non conformità. Finché la certificazione è in corso, Xeneural consegna lo stato documentato del proprio sistema di gestione e il proprio piano con le date.

8.3. Questo diritto sopravvive alla cessazione finché Xeneural conserva dati del Cliente.

9. Allegato di sicurezza: misure tecniche e organizzative

10. Restituzione e cancellazione

10.1. Dopo la cessazione, il Cliente dispone di trenta (30) giorni per esportare i propri dati in formati aperti con dizionario dei dati. A sua scelta, Xeneural consegna un'esportazione completa entro un massimo di dieci (10) giorni lavorativi dalla richiesta.

10.2. Xeneural cancella i dati dai sistemi attivi entro un massimo di trenta (30) giorni dopo tale termine e dalle copie di backup entro un massimo di novanta (90) giorni, e lo certifica per iscritto su richiesta del Cliente.

10.3. I registri soggetti a obbligo legale di conservazione (documenti di pagamento, scritture contabili, buste paga: cinque anni in Perù) vengono mantenuti in un archivio ad accesso limitato e con verifica di integrità, e cancellati alla scadenza del termine di legge.

11. Responsabilità

Ciascuna Parte risponde dei danni che causa per violazione del presente Accordo o della normativa sulla protezione dei dati, e Xeneural risponde dei propri subresponsabili. La responsabilità derivante dal presente Accordo è soggetta al limite rafforzato dei Termini di servizio: due (2) volte quanto pagato dal Cliente durante i dodici (12) mesi precedenti il primo fatto che ha dato origine alla pretesa. Tale limite non si applica al dolo né alla colpa grave (articolo 1328 del Codice civile).

12. Designazioni e contatti

Il 21 settembre 2026 Xeneural ha designato il proprio Titolare-Gerente come Responsabile dei dati personali. Contatto: privacy@xeneural.com. Contatto per sicurezza e incidenti: security@xeneural.com.

13. Vigenza

Dall'accettazione dei Termini di servizio o dalla firma del presente documento, e per tutta la durata del contratto principale. Le sezioni 4.1, 5, 8, 10 e 11 sopravvivono alla cessazione.

Firme, quando viene formalizzato come documento separato: per il Cliente, il suo rappresentante autorizzato, con nome, carica e data; per Xeneural Technologies E.I.R.L., il suo Titolare-Gerente.