ADDENDUM SULL'ELABORAZIONE DEI DATI

Ultimo aggiornamento: 9 aprile 2026

Il presente Addendum sul trattamento dei dati ("DPA") integra il Termini di servizio di APIANT (l'"Accordo") tra Apiant, Inc. ("APIANT", "noi", "ci" o "nostro") e il cliente ("Cliente", "tu" o "vostro") e disciplina il trattamento dei dati personali da parte di APIANT per conto del Cliente in relazione ai Servizi, compresi i dati trattati tramite l'infrastruttura server MCP (Model Context Protocol) del Cliente.

Il presente Accordo sul trattamento dei dati si applica nella misura in cui APIANT tratta dati personali per conto del Cliente in qualità di responsabile del trattamento (o fornitore di servizi, a seconda dei casi ai sensi delle leggi sulla privacy degli Stati Uniti). In caso di conflitto tra il presente Accordo sul trattamento dei dati e il Contratto, prevarrà il presente Accordo sul trattamento dei dati personali.

1. Definizioni

"Dati personali" con il termine "Informazioni" si intende qualsiasi informazione relativa a una persona fisica identificata o identificabile che venga trattata da APIANT per conto del Cliente tramite i Servizi.

"Elaborazione" Con il termine "operazione" si intende qualsiasi operazione eseguita sui Dati Personali, inclusa la raccolta, la registrazione, l'organizzazione, la conservazione, l'adattamento, l'estrazione, la consultazione, l'uso, la divulgazione, l'interconnessione, la limitazione, la cancellazione o la distruzione.

"Sottoprocessore" indica qualsiasi terza parte incaricata da APIANT di elaborare i Dati Personali per conto del Cliente.

"Leggi sulla protezione dei dati" con tale espressione si intendono tutte le leggi e i regolamenti applicabili in materia di privacy e protezione dei dati, inclusi il Regolamento generale sulla protezione dei dati (GDPR) dell'UE, il GDPR del Regno Unito, il California Consumer Privacy Act (CCPA) come modificato dal California Privacy Rights Act (CPRA), il Virginia Consumer Data Protection Act (VCDPA) e qualsiasi altra legge statale statunitense applicabile in materia di privacy.

"Infrastruttura del server MCP" indica il/i server compatibili con MCP che il Cliente implementa sulla propria infrastruttura APIANT dedicata (inclusi i nomi di dominio del Cliente), attraverso i quali gli utenti finali del Cliente possono interagire con la Piattaforma tramite piattaforme di intelligenza artificiale di terze parti.

2. Ambito di applicazione e ruoli

2.1 Con riferimento ai Dati Personali trattati tramite i Servizi, il Cliente è il titolare del trattamento (o l'azienda, a seconda dei casi) e APIANT è il responsabile del trattamento (o il fornitore di servizi, a seconda dei casi).

2.2 APIANT tratta i Dati Personali esclusivamente per conto del Cliente e in conformità con le sue istruzioni documentate. L'utilizzo dei Servizi da parte del Cliente, inclusa la configurazione delle automazioni e i dati elaborati tramite l'infrastruttura server MCP del Cliente, costituisce istruzioni documentate ai fini del presente Accordo sul trattamento dei dati.

2.3 APIANT non tratterà i Dati Personali per scopi diversi dalla fornitura dei Servizi, a meno che non sia obbligata a farlo dalla legge applicabile. In tal caso, APIANT informerà il Cliente di tale obbligo legale prima del trattamento, a meno che la legge non vieti tale notifica.

3. Categorie di dati elaborati

3.1 Servizi della piattaforma

Quando il Cliente utilizza direttamente la Piattaforma, APIANT può trattare le seguenti categorie di Dati Personali, in base alla configurazione del Cliente:

Informazioni di contatto (nomi, indirizzi email, numeri di telefono)
Credenziali di accesso e token di autenticazione
Dati aziendali trasmessi tra applicazioni di terze parti
Qualsiasi altro dato che il Cliente scelga di elaborare tramite la Piattaforma

3.2 Infrastruttura del server MCP

Quando i dati vengono elaborati tramite l'infrastruttura del server MCP del Cliente, APIANT (in qualità di fornitore della piattaforma sottostante) può elaborare:

Credenziali di autenticazione (come i token OAuth 2.0) utilizzati per verificare l'identità e autorizzare l'accesso al server MCP del Cliente
Parametri di chiamata dello strumento: gli input strutturati trasmessi da una piattaforma di IA al server MCP del cliente per eseguire le azioni richieste
risposte alle chiamate degli strumenti: i risultati restituiti dal server MCP del Cliente alla piattaforma AI

APIANT lo fa non Ricevere o elaborare il testo completo delle conversazioni degli utenti finali con piattaforme di intelligenza artificiale. Sul server del Cliente, basato su APIANT, vengono elaborati solo i dati strutturati delle chiamate agli strumenti necessari per eseguire l'azione richiesta.

4. Conservazione ed eliminazione dei dati

4.1 APIANT conserva i Dati Personali trattati tramite i Servizi per tutta la durata del Contratto, a meno che il Cliente non richieda la cancellazione anticipata.

4.2 Nello specifico, per i dati elaborati tramite l'infrastruttura server MCP:

Token di autenticazione vengono mantenuti in memoria per la durata della sessione e non vengono conservati dopo la disconnessione.
Registri delle chiamate degli strumenti (i parametri e le risposte) possono essere conservati fino a novanta (90) giorni per scopi di debug e operativi, dopodiché vengono automaticamente eliminati.
Nessun profilo utente sono costruiti a partire dai dati di interazione MCP.

4.3 Entro trenta (30) giorni dalla scadenza o dalla risoluzione del Contratto, APIANT cancellerà o restituirà tutti i Dati Personali in suo possesso o sotto il suo controllo, salvo nella misura in cui la conservazione sia richiesta dalla legge applicabile.

4.4 Il cliente può richiedere la cancellazione dei dati personali in qualsiasi momento contattando privacy@apiant.com. APIANT si conformerà a tali richieste entro trenta (30) giorni, fatto salvo qualsiasi obbligo di conservazione previsto dalla legge.

5. Nessuna formazione sui dati dei clienti

APIANT lo fa non Utilizzare Dati personali, Dati utente, parametri di chiamata degli strumenti, risposte alle chiamate degli strumenti o qualsiasi altro dato del Cliente per addestrare modelli di intelligenza artificiale, modelli di apprendimento automatico o qualsiasi forma di sistema decisionale automatizzato. Ciò si applica a tutti i dati elaborati tramite la Piattaforma, l'infrastruttura del server MCP e qualsiasi altro componente dei Servizi.

6. Sottoprocessori

6.1 Il cliente autorizza APIANT ad avvalersi dei seguenti subappaltatori per la fornitura dei Servizi:

Sottoprocessore	Scopo	Posizione
Amazon Web Services (AWS)	Infrastruttura e hosting cloud	Stati Uniti
Ricorrentemente	Elaborazione della fatturazione e dei pagamenti	Stati Uniti
Google (Google Analytics)	Analisi del sito web	Stati Uniti
HubSpot	Gestione delle relazioni con i clienti e comunicazioni	Stati Uniti
Smartlook	Registrazione delle sessioni e analisi dell'esperienza utente (solo dati del sito web, non dati della piattaforma)	UE (Repubblica Ceca)
Splunk	Monitoraggio e registrazione delle prestazioni della piattaforma	Stati Uniti

6.2 APIANT informerà il Cliente di qualsiasi modifica prevista ai Sub-responsabili del trattamento aggiornando il presente DPA. Il Cliente può opporsi a un nuovo Sub-responsabile del trattamento contattando legal@apiant.com entro trenta (30) giorni dalla notifica.

6.3 APIANT stipulerà accordi scritti con ciascun sub-responsabile del trattamento che impongano obblighi di protezione dei dati non meno restrittivi di quelli stabiliti nel presente Accordo sul trattamento dei dati.

7. Misure di sicurezza

APIANT implementa e mantiene misure tecniche e organizzative adeguate per proteggere i Dati Personali, tra cui:

Crittografia in transito: Tutti i dati trasmessi da e verso i server di APIANT, comprese le comunicazioni con il server MCP, sono crittografati tramite HTTPS/TLS.
Crittografia dei dati a riposo: I dati personali archiviati sull'infrastruttura di APIANT vengono crittografati a riposo utilizzando la crittografia standard del settore.
Controlli di accesso: L'accesso ai dati personali è limitato al personale autorizzato e solo se strettamente necessario per lo svolgimento delle proprie mansioni.
Autenticazione: La piattaforma richiede l'accesso autenticato. L'infrastruttura del server MCP richiede l'autenticazione OAuth 2.0 o equivalente.
Monitoraggio: APIANT monitora i propri sistemi per individuare incidenti di sicurezza e accessi non autorizzati.
Risposta all'incidente: APIANT mantiene una procedura di risposta agli incidenti e informerà il Cliente senza indebito ritardo (e in ogni caso entro 72 ore) non appena verrà a conoscenza di una violazione dei Dati Personali.
Infrastruttura: La piattaforma è ospitata sull'infrastruttura di Amazon Web Services (AWS), che possiede le certificazioni SOC 2, ISO 27001 e altre certificazioni di settore.

8. Diritti dell'interessato

8.1 APIANT assisterà il Cliente nell'adempimento delle richieste degli interessati ai sensi delle leggi applicabili in materia di protezione dei dati, incluse le richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento.

8.2 Qualora APIANT riceva una richiesta direttamente da un interessato in merito ai Dati Personali trattati per conto del Cliente, APIANT provvederà tempestivamente a reindirizzare l'interessato al Cliente e a informarlo della richiesta, salvo ove diversamente previsto dalla legge.

8.3 APIANT fornirà ragionevole cooperazione e assistenza al Cliente nel rispondere alle richieste degli interessati, tenendo conto della natura del trattamento.

9. Trasferimenti internazionali di dati

9.1 L'infrastruttura principale di APIANT si trova negli Stati Uniti. Utilizzando i Servizi, il Cliente autorizza il trasferimento dei Dati Personali negli Stati Uniti.

9.2 Nella misura in cui un eventuale trasferimento di Dati Personali dallo Spazio Economico Europeo (SEE), dal Regno Unito o dalla Svizzera verso gli Stati Uniti costituisca un trasferimento soggetto a restrizioni ai sensi delle leggi applicabili in materia di protezione dei dati, tale trasferimento sarà soggetto alle Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea (Modulo Due: dal Titolare al Responsabile del trattamento), che sono qui incorporate per riferimento.

9.3 Il cliente può richiedere una copia del meccanismo di trasferimento applicabile contattando legal@apiant.com.

10. Conformità al CCPA e alle leggi sulla privacy degli Stati Uniti

10.1 Nella misura in cui APIANT tratta Dati Personali soggetti al CCPA o ad altre leggi statali statunitensi sulla privacy, APIANT agisce in qualità di "fornitore di servizi" (come definito dal CCPA) o in un ruolo equivalente ai sensi della legge statale applicabile.

10.2 APIANT non venderà né condividerà (secondo la definizione del CCPA) i Dati Personali ricevuti dal Cliente.

10.3 APIANT non conserverà, utilizzerà o divulgherà i Dati Personali per scopi diversi dalla fornitura dei Servizi, inclusi scopi commerciali diversi dalla fornitura dei Servizi.

10.4 APIANT non combinerà i Dati Personali ricevuti dal Cliente con informazioni personali ricevute da altre fonti, salvo quanto consentito dalla legge applicabile per la fornitura dei Servizi.

10.5 APIANT certifica di aver compreso e di rispettare le restrizioni stabilite nella presente Sezione 10.

11. Revisioni contabili

11.1 APIANT metterà a disposizione del Cliente, su richiesta ragionevole e non più di una volta ogni dodici (12) mesi, le informazioni necessarie a dimostrare la conformità al presente DPA.

11.2 Il Cliente può condurre un audit delle attività di elaborazione dati di APIANT o nominare un revisore terzo qualificato per farlo, previa comunicazione scritta con un preavviso di trenta (30) giorni. Tali audit dovranno essere condotti durante il normale orario di lavoro e non dovranno interrompere in modo irragionevole le operazioni di APIANT. Il Cliente si farà carico dei costi di qualsiasi audit di questo tipo.

12. Durata e risoluzione

Il presente Accordo sul trattamento dei dati rimarrà in vigore per tutta la durata del Contratto. Gli obblighi di APIANT ai sensi del presente Accordo sul trattamento dei dati personali in suo possesso o sotto il suo controllo sopravvivranno alla risoluzione del Contratto fino a quando tutti i dati personali non saranno stati cancellati o restituiti in conformità con la Sezione 4.

13. Contatto

Per domande o richieste relative al presente accordo sulla protezione dei dati, si prega di contattare:

Apiant, Inc.
196 W Ashland St, Doylestown
Doylestown, PA 18901
Stati Uniti

E-mail: privacy@apiant.com
Aspetti legali: legal@apiant.com