ultimo aggiornamento 21 ottobre 2026 · Human Forward LTD · hello@humanforward.io · Svizzera

Accordo sul trattamento dei dati

Tradotto con l'IA e verificato da noi. Se noti un errore, scrivici a hello@humanforward.io. La versione inglese è quella che si applica. Leggi la versione inglese →

Il presente Accordo sul trattamento dei dati (DPA) costituisce parte integrante dei Termini per le app e gli strumenti di IA e di qualsiasi proposta, modulo d'ordine o lettera di incarico in base ai quali Human Forward LTD fornisce servizi a un cliente (congiuntamente, l'Accordo). Si applica ogni volta che trattiamo dati personali per Suo conto nella fornitura dei servizi. È da noi sottoscritto preventivamente: accettando l'Accordo, Lei accetta il presente DPA e non è necessaria alcuna firma separata. Se necessita di una copia controfirmata, scriva a hello@humanforward.io.

In caso di conflitto tra il presente DPA e l'Accordo in materia di protezione dei dati, prevale il presente DPA. In caso di conflitto tra il presente DPA e le Clausole contrattuali tipo o l'UK Addendum, prevalgono questi ultimi.

1. Ruoli delle parti

Lei è il titolare del trattamento (controller) (o, ai sensi del diritto statunitense, la business) dei dati personali che trattiamo per Suo conto, e noi siamo il Suo responsabile del trattamento (processor) (o service provider). Ciò riguarda i dati personali presenti nel Suo negozio, nel Suo sito, nei Suoi account, nella Sua community e in tutto ciò che ci fornisce per le attività di consulenza. Nell'Allegato 1 sono denominati Dati personali del Cliente
Per alcuni dati siamo titolari del trattamento a titolo autonomo: i dati del Suo account, la fatturazione, il nostro sito web, il nostro marketing, la nostra documentazione aziendale e i dati che raccogliamo sul Suo negozio o sito da fonti pubbliche per gestire i servizi. Tali dati sono disciplinati dalla nostra Informativa sulla privacy, non dal presente DPA
Qualora Lei gestisca una community sulla nostra piattaforma, Lei è il titolare del trattamento dei dati dei Suoi membri e noi siamo il Suo responsabile del trattamento. Qualora Lei accetti pagamenti tramite Stripe Connect, Stripe è titolare autonomo del trattamento per i dati delle carte
Ciascuna parte rispetta la Normativa sulla protezione dei dati ad essa applicabile

2. Definizioni

Normativa sulla protezione dei dati indica tutte le leggi applicabili al trattamento di dati personali ai sensi dell'Accordo, inclusi lo UK GDPR e il Data Protection Act 2018 (legge britannica sulla protezione dei dati), il GDPR dell'UE (Regolamento (UE) 2016/679), le norme ePrivacy, la Legge federale svizzera sulla protezione dei dati e le Leggi statali statunitensi sulla privacy
Leggi statali statunitensi sulla privacy indica il California Consumer Privacy Act come modificato dal California Privacy Rights Act, e le leggi comparabili di Virginia, Colorado, Connecticut, Utah, Texas, Oregon, Montana, Delaware, New Jersey, New Hampshire, Iowa, Nebraska, Tennessee, Minnesota, Maryland, Indiana, Kentucky, Rhode Island e di qualsiasi altro Stato degli Stati Uniti, ciascuna nella versione vigente
CCT indica le Clausole contrattuali tipo dell'UE adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione. UK Addendum indica l'International Data Transfer Addendum alle CCT dell'Information Commissioner del Regno Unito, versione B1.0. IDTA indica l'International Data Transfer Agreement del Regno Unito
Trasferimento soggetto a restrizioni indica un trasferimento di dati personali verso un paese che il Regno Unito, l'UE o la Svizzera (a seconda dei casi) non hanno riconosciuto come adeguato, qualora il trasferimento sarebbe illecito in assenza di una garanzia
Subresponsabile indica un terzo di cui ci avvaliamo per trattare Dati personali del Cliente per Suo conto
Dati personali, trattamento, titolare del trattamento, responsabile del trattamento, interessato, violazione dei dati personali, business, service provider, sell e share hanno il significato attribuito loro dalla Normativa sulla protezione dei dati

3. I Suoi obblighi

Lei è responsabile dei dati personali che inserisce nei servizi e di ciò che ci chiede di farne. Lei garantisce e si impegna a quanto segue:

Lei dispone di una base giuridica per il trattamento, ha fornito agli interessati ogni informativa richiesta dalla legge e ha ottenuto ogni consenso necessario, anche affinché noi trattiamo i dati, affinché i nostri subresponsabili li trattino e per qualsiasi Trasferimento soggetto a restrizioni che i servizi comportino
Le Sue istruzioni a noi dirette sono lecite, e Lei non ci darà istruzioni che possano porre una delle parti in violazione della Normativa sulla protezione dei dati
Lei non ci fornirà, né ci consentirà di raccogliere, categorie particolari di dati o dati sensibili (salute, dati biometrici, genetici, origine razziale o etnica, opinioni politiche, convinzioni religiose, vita o orientamento sessuale, dati relativi a reati, geolocalizzazione precisa, credenziali di conti finanziari, dati di minori, identificativi governativi) salvo che ciò sia stato concordato per iscritto e l'Accordo lo preveda. I servizi non sono progettati per tali dati
Lei ci fornirà soltanto i dati personali di cui i servizi hanno bisogno, li manterrà accurati e conserverà le proprie copie e i propri backup
Qualora i nostri agenti operino su account da Lei collegati, Lei è il titolare del trattamento di tutto quanto contenuto in tali account ed è responsabile della liceità delle attività che gli agenti sono impostati a svolgere
Lei risponderà agli interessati, alle autorità di controllo e ai terzi in merito al trattamento, e gestirà qualsiasi reclamo relativo al Suo utilizzo dei servizi
Lei ci terrà indenni da qualsiasi sanzione, pretesa, perdita o costo che subiamo a causa della Sua violazione della presente sezione o della Normativa sulla protezione dei dati

4. I nostri obblighi

Noi:

Istruzioni. Tratteremo i Dati personali del Cliente soltanto in base alle Sue istruzioni documentate, costituite dall'Accordo, dal presente DPA, dalla Sua configurazione dei servizi e da qualsiasi istruzione scritta che Lei ci fornisca, salvo che la legge disponga diversamente, nel qual caso La informeremo preventivamente salvo che la legge lo vieti. La informeremo qualora riteniamo che un'istruzione violi la Normativa sulla protezione dei dati, e potremo sospendere tale istruzione fino alla risoluzione della questione. Un'istruzione al di fuori dell'Accordo costituisce una modifica che possiamo addebitare o rifiutare
Riservatezza. Garantiremo che chiunque da noi autorizzato a trattare i dati sia vincolato alla riservatezza
Sicurezza. Adotteremo le misure tecniche e organizzative di cui all'Allegato 2, le terremo sotto revisione e le aggiorneremo in funzione dell'evoluzione della tecnologia e dei rischi. Possiamo modificarle, ma non in modo da ridurre il livello complessivo di protezione durante la vigenza dell'Accordo
Subresponsabili. Ci avvarremo di essi soltanto come previsto nella sezione 5
Assistenza. Tenuto conto della natura del trattamento e delle informazioni a nostra disposizione, La assisteremo in relazione alle richieste degli interessati (sezione 7), ai Suoi obblighi di sicurezza, alle notifiche di violazione, alle valutazioni d'impatto sulla protezione dei dati e alle consultazioni con un'autorità di controllo, nella misura in cui Lei non possa provvedervi autonomamente tramite i servizi. Possiamo addebitare le nostre tariffe per l'assistenza che eccede quanto i servizi già forniscono
Cancellazione e restituzione. Gestiremo i dati al termine dell'Accordo come previsto nella sezione 9
Informazioni e audit. Metteremo a disposizione le informazioni necessarie per dimostrare il rispetto del presente DPA e consentiremo gli audit come previsto nella sezione 8

Non siamo responsabili di ciò che qualsiasi motore di IA, motore di ricerca o altro terzo di cui non ci avvaliamo come subresponsabile dica, faccia o memorizzi. Porre a un motore una domanda sul Suo negozio, nell'app Findability, invia contenuti pubblici del negozio a tale motore; il motore non è nostro subresponsabile a tale fine e si applicano i suoi termini.

5. Subresponsabili

Lei ci conferisce un'autorizzazione generale ad avvalerci di subresponsabili. L'elenco corrente è riportato nell'Allegato 3 e all'indirizzo humanforward.io/dpa
Daremo un preavviso di almeno 30 giorni di qualsiasi subresponsabile nuovo o sostitutivo aggiornando tale pagina e inviando un'email all'indirizzo associato al Suo account. Lei può opporsi per iscritto entro tali 30 giorni per motivi ragionevoli e documentati relativi alla protezione dei dati. Cercheremo quindi di risolvere l'opposizione. Qualora non ci sia possibile, Lei può risolvere il servizio interessato mediante comunicazione scritta prima che la modifica abbia effetto, con rimborso pro rata di eventuali corrispettivi pagati in anticipo per il periodo successivo alla risoluzione. Tale rimborso costituisce il Suo unico rimedio. Se non si oppone entro 30 giorni, il subresponsabile si intende approvato
Vincoliamo ciascun subresponsabile con un contratto scritto contenente obblighi in materia di protezione dei dati non meno protettivi di quelli del presente DPA, e restiamo responsabili nei Suoi confronti del loro adempimento
Qualora sia necessaria una sostituzione d'urgenza per mantenere i servizi operativi o sicuri, possiamo avvalerci prima del sostituto e informarLa tempestivamente in seguito, e Lei conserva il diritto di opporsi come sopra indicato

6. Trasferimenti internazionali

Abbiamo sede nel Regno Unito. La nostra infrastruttura e la maggior parte dei subresponsabili si trovano negli Stati Uniti, e alcuni altrove. Lei ci autorizza a effettuare Trasferimenti soggetti a restrizioni di Dati personali del Cliente verso le ubicazioni indicate nell'Allegato 3, fatto salvo quanto segue, che si applica soltanto nella misura in cui un Trasferimento soggetto a restrizioni sia effettivamente realizzato:

Dal Regno Unito. Qualora la UK Extension to the EU to US Data Privacy Framework o un'altra decisione di adeguatezza non copra il trasferimento, si applica l'UK Addendum alle CCT, con le CCT compilate come indicato di seguito e l'Addendum compilato come segue: Tabella 1, le parti come indicate nell'Accordo; Tabella 2, le CCT come compilate nella presente sezione; Tabella 3, gli Allegati al presente DPA; Tabella 4, ciascuna parte può porre fine all'Addendum come consentito dalla sua sezione 19
Dal SEE. Qualora l'EU to US Data Privacy Framework o un'altra decisione di adeguatezza non copra il trasferimento, le CCT sono incorporate nel presente DPA con le seguenti opzioni: Modulo Due (da titolare a responsabile) qualora Lei sia titolare del trattamento e Modulo Tre (da responsabile a responsabile) qualora Lei sia responsabile del trattamento; la Clausola 7 (clausola di adesione) non si applica; Clausola 9, Opzione 2 (autorizzazione generale) con il periodo di 30 giorni di cui alla sezione 5; il testo facoltativo della Clausola 11 non si applica; Clausola 13 e Allegato I.C: l'autorità di controllo dello Stato membro del SEE in cui Lei è stabilito o, qualora Lei non sia stabilito nel SEE, la Data Protection Commission irlandese; Clausola 17, Opzione 1: la legge dell'Irlanda; Clausola 18: i tribunali dell'Irlanda. L'Allegato I delle CCT corrisponde all'Allegato 1 del presente DPA, l'Allegato II all'Allegato 2, l'Allegato III all'Allegato 3
Dalla Svizzera. Le CCT come sopra, da leggersi con l'Incaricato federale della protezione dei dati e della trasparenza quale autorità competente, con i riferimenti al GDPR intesi come riferimenti alla LPD svizzera, e con gli interessati in Svizzera che possono far valere i propri diritti in Svizzera
Qualora siamo certificati ai sensi di un Data Privacy Framework, o diventi disponibile un altro meccanismo valido, possiamo basarci su di esso in alternativa e La informeremo
Qualora una delle garanzie di cui sopra sia invalidata o sostituita, adotteremo una garanzia sostitutiva entro un termine ragionevole, e Lei collaborerà, anche sottoscrivendo quanto necessario
La informeremo qualora riceviamo una richiesta giuridicamente vincolante da parte di un'autorità pubblica relativa a Dati personali del Cliente, salvo che la legge lo vieti, e contesteremo le richieste che riteniamo ragionevolmente illecite

7. Richieste degli interessati

Qualora un interessato ci contatti in merito a Dati personali del Cliente, ove possiamo identificarLa, lo indirizzeremo a Lei e La informeremo, e non risponderemo direttamente salvo che Lei ce lo chieda o la legge lo richieda. Lei utilizzerà le funzionalità proprie dei servizi per esportare, rettificare o cancellare i dati, ove esistenti. Ove non esistano, forniremo assistenza alle nostre tariffe, entro un termine ragionevole.

8. Audit

Manteniamo registrazioni del nostro trattamento e della nostra sicurezza. Su richiesta scritta, non più di una volta in qualsiasi periodo di 12 mesi, le forniremo, unitamente a eventuali report o certificazioni di terzi in nostro possesso relativi all'infrastruttura che utilizziamo, e risponderemo a ragionevoli domande scritte. Nella maggior parte dei casi ciò soddisfa il Suo diritto di audit
Qualora la Normativa sulla protezione dei dati Le conferisca un diritto di audit che un report non soddisfa, o un'autorità di controllo lo richieda, Lei (o un revisore indipendente da Lei nominato, che non sia nostro concorrente e che sottoscriva i nostri termini di riservatezza) può verificare il nostro rispetto del presente DPA: una volta in qualsiasi periodo di 12 mesi, salvo che un'autorità di controllo richieda una frequenza maggiore o si sia verificata una violazione; con un preavviso scritto di almeno 30 giorni; durante l'orario lavorativo; per non più di due giorni lavorativi; senza interrompere i servizi; e a Sue spese, incluso il nostro tempo alle nostre tariffe. L'audit riguarda esclusivamente il nostro trattamento dei Suoi dati, non i dati di altri clienti, i nostri altri clienti, il nostro codice sorgente, i nostri prompt o le sedi dei nostri subresponsabili
Lei ci fornirà una copia di eventuali risultanze e tratterà l'audit e i suoi risultati come nostre informazioni riservate

9. Cancellazione e restituzione

Lei può esportare i Suoi dati tramite i servizi durante la vigenza dell'Accordo, e dovrebbe farlo prima della sua cessazione
Entro 30 giorni dalla cessazione dell'Accordo, o del servizio in questione, cancelliamo i Dati personali del Cliente, salvo che Lei abbia richiesto per iscritto prima della data di cessazione una restituzione, nel qual caso forniamo un'esportazione in un formato standard a nostra scelta e procediamo poi alla cancellazione
Le copie nei backup sono cancellate secondo il ciclo di backup, entro 90 giorni, e nel frattempo non vi si accede se non per ripristinare i servizi
Possiamo conservare i dati che la legge ci impone di conservare, e i dati necessari per la fatturazione, le controversie o la difesa da pretese, per il tempo necessario, protetti come richiesto dal presente DPA e non utilizzati per alcun altro scopo
Confermiamo la cancellazione per iscritto su richiesta

10. Violazioni dei dati personali

La informeremo senza ingiustificato ritardo, e in ogni caso entro 72 ore, dal momento in cui veniamo a conoscenza di una violazione dei dati personali che interessi Dati personali del Cliente, con le informazioni di cui disponiamo in quel momento e con ulteriori informazioni man mano che diventano disponibili: cosa è accaduto, i dati e gli interessati probabilmente coinvolti, le probabili conseguenze e le misure che stiamo adottando. La nostra comunicazione non costituisce ammissione di colpa o di responsabilità. Lei è responsabile della notifica alle autorità di controllo e agli interessati ove richiesto dalla legge; noi forniremo assistenza. Lei non ci nominerà in una notifica senza averci prima dato una ragionevole possibilità di formulare osservazioni, salvo che la legge lo richieda.

11. Leggi statali statunitensi sulla privacy

Ove si applichino le Leggi statali statunitensi sulla privacy, siamo il Suo service provider o processor e certifichiamo di comprendere e di impegnarci a rispettare quanto segue. Non venderemo né condivideremo i Dati personali del Cliente; non li conserveremo, utilizzeremo o divulgheremo per alcuna finalità diversa dalla finalità commerciale di fornire i servizi, né al di fuori del rapporto commerciale diretto con Lei; non li combineremo con dati personali che riceviamo da altri, salvo nella misura in cui la legge lo consenta a un service provider; La informeremo qualora stabiliamo di non poter più adempiere ai nostri obblighi; e Le consentiremo di adottare le misure ragionevoli e appropriate previste dalla legge per interrompere e porre rimedio a un utilizzo non autorizzato. Lei può darci istruzioni sulla gestione delle richieste dei consumatori, e noi forniremo assistenza come previsto nella sezione 7. La comunicazione dei Dati personali del Cliente a noi non costituisce una vendita, e non riceviamo alcun corrispettivo monetario o di altro valore per essa oltre ai corrispettivi per i servizi.

12. Responsabilità

La responsabilità di ciascuna parte ai sensi o in relazione al presente DPA, anche ai sensi delle CCT e dell'UK Addendum nei rapporti tra le parti, è soggetta alle esclusioni e ai limiti di responsabilità previsti nell'Accordo e concorre al raggiungimento del massimale ivi previsto. Nulla nel presente DPA limita la responsabilità di una delle parti nei confronti di un interessato o di un'autorità di controllo ove la legge non lo consenta. Lei ci terrà indenni da sanzioni, pretese, perdite e costi derivanti dalla Sua violazione del presente DPA o della Normativa sulla protezione dei dati, dalle Sue istruzioni o da dati che non avrebbe dovuto fornirci.

13. Disposizioni generali

Il presente DPA ha durata pari al periodo in cui trattiamo Dati personali del Cliente per Suo conto, e le sezioni 9, 12 e 13 sopravvivono alla sua cessazione
Possiamo aggiornare il presente DPA qualora cambino la Normativa sulla protezione dei dati, le linee guida di un'autorità di controllo, un meccanismo di trasferimento o i nostri servizi. Daremo comunicazione delle modifiche sostanziali via email e su questa pagina; l'utilizzo continuato dopo il periodo di preavviso costituisce accettazione. Qualora una modifica sia richiesta dalla legge, essa ha effetto dal momento in cui la legge lo prevede
Qualora una parte del presente DPA sia inefficace, il resto continua ad applicarsi, e tale parte è interpretata nel modo più restrittivo necessario a renderla efficace
Il presente DPA è disciplinato dalla legge dell'Inghilterra e del Galles, e i relativi tribunali hanno giurisdizione esclusiva, salvo ove le CCT o l'UK Addendum dispongano diversamente per le materie da essi disciplinate
Comunicazioni a noi dirette: hello@humanforward.io, con copia per posta a Human Forward LTD, 66 Paul Street, London EC2A 4NA
Siamo iscritti presso l'Information Commissioner's Office del Regno Unito, riferimento ZC279404

Allegato 1. Dettagli del trattamento

Oggetto. Fornitura dei servizi descritti nell'Accordo: l'app Findability e il relativo connettore, Human Forward Plus, gli Agents, la piattaforma community e le attività di consulenza
Durata. La durata dell'Accordo più il periodo di cancellazione di cui alla sezione 9
Natura e finalità. Hosting, memorizzazione, analisi e reportistica dei dati del negozio e del sito; interrogazione dei motori di IA sul negozio del cliente e valutazione delle loro risposte; generazione di raccomandazioni e contenuti; gestione degli account collegati dal cliente nell'ambito delle politiche da esso stabilite; gestione di una piattaforma community; invio di email transazionali; fornitura di supporto; e le relative operazioni tecniche (backup, logging, monitoraggio della sicurezza)
Interessati. Il personale e gli utenti del cliente; i clienti e i visitatori del sito del cliente, qualora i loro dati si trovino in un negozio, account o sito collegato; i membri della community; le persone nominate nei contenuti inviati dal cliente
Categorie di dati. Nomi, indirizzi email, ruoli e identificativi di account degli utenti del cliente; contenuti del negozio e del sito, che possono incidentalmente contenere dati personali (recensioni, articoli di blog, pagine del personale); dati relativi a ordini, clienti e marketing soltanto qualora un servizio legga espressamente un account collegato (Agents e piattaforma community), e soltanto i campi di cui il servizio ha bisogno; profili dei membri della community, iscrizioni, partecipazione a eventi e messaggi; dati di utilizzo e di log (indirizzo IP, dispositivo, marcature temporali); corrispondenza di supporto
Categorie particolari di dati. Nessuna prevista. Il cliente non deve inviarle senza accordo scritto
Frequenza. Continuativa durante l'erogazione dei servizi; su richiesta per la consulenza
Conservazione. Come previsto nella sezione 9 e nell'Informativa sulla privacy

Allegato 2. Misure di sicurezza

Cifratura in transito (TLS 1.2 o superiore) per ogni connessione, e a riposo per database e backup, fornita dalle nostre piattaforme di hosting
Credenziali, chiavi API, token di accesso e codici di accesso sono memorizzati come hash unidirezionali, mai in chiaro; i segreti sono custoditi nell'archivio dei segreti della piattaforma di hosting, mai nel codice sorgente
L'accesso ai sistemi di produzione è limitato a persone nominativamente individuate che ne hanno necessità, protetto da autenticazione a più fattori e riesaminato al variare dei ruoli
Ambienti separati per sviluppo e produzione; le modifiche passano attraverso il controllo di versione e la revisione prima del rilascio
Registrazione degli accessi e delle azioni amministrative sull'infrastruttura; avvisi per rilasci non riusciti ed errori
Backup giornalieri custoditi dalla piattaforma di hosting, verificati mediante ripristino
Il nostro crawler è limitato a host pubblici e non può essere indirizzato verso reti private; limiti di frequenza e protezione anti bot sugli endpoint pubblici; header di sicurezza su ogni risposta
I fornitori di IA sono utilizzati in base a termini API per uso aziendale ai sensi dei quali input e output non sono utilizzati per addestrare i loro modelli
I fornitori sono valutati prima dell'utilizzo in relazione alla sicurezza e ai termini di protezione dei dati
Il personale e i collaboratori sono vincolati alla riservatezza e ricevono indicazioni in materia di protezione dei dati
Un processo di risposta agli incidenti con la tempistica di notifica di cui alla sezione 10
Minimizzazione dei dati: i servizi leggono soltanto i dati di cui hanno bisogno, e contenuti pubblici ove possibile

Allegato 3. Subresponsabili

Subresponsabile	Finalità	Ubicazione
Railway Corporation	Hosting applicativo e database per le app	Stati Uniti
Vercel Inc.	Hosting del sito web, rete edge, archiviazione di file e analisi	Stati Uniti, con server edge in tutto il mondo
Cloudflare, Inc.	Protezione anti bot, DNS e sicurezza di rete	Stati Uniti, con server in tutto il mondo
Stripe, Inc. e Stripe Payments Europe Ltd	Fatturazione degli abbonamenti e portale di fatturazione per i clienti (Stripe è titolare autonomo del trattamento per i dati delle carte)	Stati Uniti, Irlanda
Resend, Inc.	Email transazionali, inclusi i codici di accesso	Stati Uniti
Klaviyo, Inc.	Email, newsletter e moduli	Stati Uniti
Cal.com, Inc.	Prenotazione di sessioni	Stati Uniti
Shopify International Ltd e Shopify Inc.	Hosting dell'app all'interno di un negozio Shopify, fatturazione, dati di installazione	Canada, Irlanda, Stati Uniti
Anthropic PBC, OpenAI OpCo LLC, Google LLC, Perplexity AI Inc., xAI Corp	Generazione di punteggi, report, raccomandazioni e contenuti dai dati inviati dal cliente; verifica di come un negozio appare nelle risposte di ciascun motore	Stati Uniti
DeepSeek (Hangzhou DeepSeek Artificial Intelligence Co., Ltd)	Verifica di come un negozio appare nelle sue risposte. Riceve soltanto contenuti pubblici del negozio, mai dati dell'account o dei clienti	Cina
Google LLC (Workspace)	Email, documenti e strumenti aziendali utilizzati per erogare consulenza e supporto	Stati Uniti, UE

Le modifiche a questo elenco sono notificate come previsto nella sezione 5. L'elenco è stato aggiornato l'ultima volta il 21 ottobre 2026.