Addendum al trattamento dei dati

Data ultimo aggiornamento: 1 maggio 2026

Il presente DPA è integrato e costituisce parte dei Termini di Servizio Commerciali o di altro accordo tra le parti che regola l’uso dei Servizi da parte del Cliente (l’“Accordo”). In caso di conflitto tra i termini del presente DPA e l’Accordo, i termini del presente DPA prevarranno rispetto all’oggetto del presente. I termini in lettera maiuscola utilizzati ma non definiti nel presente DPA hanno i significati attribuiti nell’Accordo.

1. Definizioni

“Leggi applicabili sulla protezione dei dati” indica tutte le leggi applicabili in materia di protezione dei dati e privacy, tra cui: (a) il Regolamento generale sulla protezione dei dati dell'UE (Regolamento (UE) 2016/679) (“GDPR”); (b) il GDPR e la Legge britannica sulla protezione dei dati del 2018 (c) l’nFADP svizzera; e (d) le leggi statunitensi sulla privacy in vigore, tra cui la CCPA e leggi statali analoghe, in ciascun caso e successive modifiche.

“Dati personali del Cliente” indica qualsiasi dato personale contenuto nei Dati del Cliente che viene inviato tramite i Servizi dal Cliente o per conto di quest’ultimo o di un’Affiliata del Cliente.

“Affiliata del Cliente” indica un’entità che (a) ha il permesso di utilizzare i Servizi ai sensi dell’Accordo tra Plaud e il Cliente, e (b) controlla direttamente o indirettamente, è controllata da, o è sotto il comune controllo con il Cliente, dove “controllo” indica la proprietà di più del 50% degli interessi di voto dell’entità in oggetto.

“Richiesta da parte del soggetto interessato” indica una richiesta da un soggetto che esercita i diritti disponibili ai sensi delle Leggi applicabili sulla protezione dei dati per quanto riguarda i Dati personali del Cliente (ad es., accesso, correzione, eliminazione, portabilità o limitazione).

“SCC” indica le Clausole Contrattuali Standard allegate alla Decisione di esecuzione della Commissione Europea (UE) 2021/914 del 4 giugno 2021 sulle clausole contrattuali standard per il trasferimento dei dati personali a Paesi terzi ai sensi del GDPR.

“Incidente di sicurezza” indica una violazione confermata delle misure di sicurezza di Plaud che porta a una distruzione, perdita, alterazione accidentale o illegale, divulgazione non autorizzata o accesso non autorizzato ai Dati personali del Cliente.

“Sub responsabile” indica qualsiasi terza parte incaricata da Plaud (o Affiliate di Plaud) a trattare i Dati personali del Cliente in relazione alla fornitura dei Servizi.

“Addendum Regno Unito” indica l’Addendum sul trasferimento di dati internazionale alle Clausole contrattuali standard della Commissione Europea emanate dall’Information Commissioner’s Office del Regno Unito alla Sezione 119A(1) della Legge britannica sulla protezione dei dati del 2018.

I termini “dati personali”, “soggetto interessato,” “trattamento”, “titolare del trattamento” e “responsabile del trattamento” hanno i significati ad essi attribuiti dalle Leggi applicabili sulla protezione dei dati, o, in assenza di tali definizioni, dal GDPR. I termini “titolare del trattamento” e “responsabile del trattamento” includono rispettivamente “aziende” e “fornitori di servizi”, come richiesto dalle Leggi applicabili sulla protezione dei dati.

2. Ruoli e scopo

2.1 Ruoli. Per quanto attiene i Dati personali del Cliente, il Cliente agisce in qualità di titolare del trattamento (o azienda) e Plaud agisce in qualità di responsabile del trattamento (o fornitore di servizi) per conto del Cliente. Ogni parte adempirà ai suoi rispettivi obblighi ai sensi delle Leggi applicabili sulla protezione dei dati.

2.2 Scopo e istruzioni. Plaud tratterà solo i Dati personali del Cliente: (a) per fornire, aggiornare e supportare i Servizi; (b) per rispettare la legge applicabile; (c) per tutelare la sicurezza e l’integrità dei Servizi; e (d) ai sensi delle altre istruzioni documentate del Cliente come reciprocamente concordato per iscritto. L’Accordo e il presente DPA costituiscono le istruzioni documentate del Cliente a partire dalla Data di entrata in vigore. Plaud informerà tempestivamente il Cliente nel caso in cui un’istruzione di trattamento violasse, a ragionevole giudizio di Plaud, le Leggi applicabili sulla protezione dei dati.

2.3 Nessun addestramento. Ai sensi della Sezione 4.4 dell’Accordo, Plaud non utilizzerà i Dati personali del Cliente per addestrare o perfezionare i modelli di IA generici di Plaud o quelli dei Sub responsabili, salvo decisione scritta a parte del Cliente.

3. Obblighi di Plaud

3.1 Riservatezza del trattamento. Plaud garantirà che tutto il personale autorizzato a trattare i Dati personali del Cliente sia soggetto a obblighi di riservatezza appropriati e sia addestrato sui requisiti in materia di protezione dei dati applicabili al loro ruolo.

3.2 Notifica. Plaud informerà tempestivamente il Cliente nel caso in cui accerti di non essere più in grado di adempiere ai propri obblighi ai sensi del presente DPA e il Cliente potrà adottare misure adeguate per interrompere o porre rimedio al trattamento non autorizzato.

3.3 Sub responsabili. Il Cliente concede a Plaud un’autorizzazione generale a incaricare i Sub responsabili elencati sul sito https://it.plaud.ai/pages/trust-center/ (l’“Elenco dei Sub responsabili”), come aggiornato ai sensi della presente Sezione. Plaud invierà una notifica scritta almeno trenta (30) giorni prima di incaricare un nuovo Sub responsabile che tratterà i Dati personali del Cliente. Il Cliente può opporsi entro quindici (15) giorni per motivi ragionevoli sulla protezione dei dati. Nel caso in cui non sia disponibile un’alternativa fattibile sotto il profilo commerciale e l’obiezione è irrisolta, il Cliente può recedere dal Servizio interessato per giusta causa e ricevere un rimborso proporzionale relativo ai costi prepagati non utilizzati. Tale diritto di risoluzione rappresenta l’unica soluzione da parte del Cliente per un’obiezione a un nuovo Sub responsabile.

Plaud imporrà obblighi di protezione dei dati a ogni Sub responsabile che non siano meno protettivi rispetto a quelli del presente DPA e rimane responsabile di qualsiasi conformità in capo al Sub responsabile in egual misura come se Plaud prestasse i servizi direttamente.

3.4 Diritti del Soggetto interessato. Plaud fornirà ragionevole assistenza tecnica e organizzativa per aiutare il Cliente a rispondere alle Richieste del Soggetto interessato e, ove richiesto dalle Leggi applicabili sulla protezione dei dati, effettuerà valutazioni sull’impatto della protezione dei dati e relative consultazioni con le autorità di vigilanza.

3.5 Sicurezza. Plaud provvederà all’implementazione e alla manutenzione delle misure di sicurezza tecniche e organizzative descritte nel Programma 2, volte a proteggere i Dati personali dei Clienti da accesso non autorizzato, distruzione, perdita, alterazione o divulgazione. Plaud può aggiornare le presenti misure a condizione che tali aggiornamenti non riducano sostanzialmente il livello globale di protezione.

4. Obblighi del Cliente

4.1 Base giuridica e consensi. Il Cliente dichiara e garantisce di avere tutti i diritti, i consensi, le notifiche e le autorizzazioni richieste ai sensi delle Leggi applicabili sulla protezione dei dati per inviare i Dati personali del Cliente ai Servizi e autorizzare Plaud a trattarli come descritto nel presente DPA. Fermo restando quanto riportato sopra, il Cliente è l’unico responsabile di ottenere tutti i consensi di registrazione necessari e di fornire le notifiche richieste ai soggetti la cui voce o dati personali vengono acquisiti tramite i Servizi o i dispositivi di Plaud.

4.2 Configurazione. Il Cliente è responsabile della configurazione dei Servizi in modo coerente con i suoi obblighi legali. Il Cliente non invierà i Dati personali del Cliente tramite canali non protetti o tramite ticket di assistenza tecnica.

4.3 Collaborazione. Il Cliente collaborerà in modo ragionevole con Plaud per assistere quest’ultima nell’adempimento dei suoi obblighi ai sensi delle Leggi applicabili sulla protezione dei dati in relazione ai Dati personali del Cliente.

5. Incidenti di sicurezza

5.1 Notifica. Plaud informerà il Cliente per iscritto senza ingiustificato ritardo, e in ogni caso entro settantadue (72) ore da quando viene a conoscenza di un Incidente di sicurezza. Le notifiche non costituiscono ammissione di colpa o responsabilità.

5.2 Contenuto. Nella misura in cui le informazioni sono disponibili, la notifica comprenderà (a) la natura dell’Incidente di sicurezza e, ove possibile, le categorie e il numero approssimativo di soggetti e record interessati; (b) le probabili conseguenze; e (c) le misure adottate o proposte per risolvere l’incidente. Plaud fornirà ulteriori dettagli non appena saranno disponibili.

5.3 Collaborazione. Plaud collaborerà alle indagini del Cliente e adotterà ragionevoli misure indicate dal Cliente per ridurre l’Incidente di sicurezza e supportare la conformità del Cliente alle Leggi applicabili sulla protezione dei dati.

6. Verifiche e conformità

6.1 Certificazioni. Plaud è sottoposta a verifiche almeno una volta all’anno a fronte di standard di sicurezza riconosciuti (ad es. SOC 2 Type II) da parte di revisori terzi indipendenti. Su richiesta scritta del Cliente (non più di una volta in un periodo di 12 mesi, se non diversamente previsto dalle Leggi applicabili sulla protezione dei dati o in risposta a un Incidente di sicurezza), Plaud fornirà il rapporto di verifica o la certificazione più recente. Le certificazioni attuali sono disponibili sul sito https://it.plaud.ai/pages/trust-center/.

6.2 Verifiche del Cliente. Il Cliente può, previo richiesta scritta e notifica in ragionevole anticipo (non meno di trenta (30) giorni), effettuare o commissionare una verifica sulla conformità di Plaud al presente DPA, soggetta a: (a) accordo reciproco sullo scopo, le tempistiche e i controlli di riservatezza applicabili; (b) la verifica deve essere condotta durante l’orario di lavoro con una minima interruzione operativa; e (c) il Cliente dovrà sostenere i relativi costi. I risultati della verifica sono Informazioni riservate di entrambe le parti e possono essere utilizzati solo per confermare la conformità al presente DPA.

7. Restituzione ed eliminazione dei dati

7.1 Restituzione ed eliminazione. A seguito della risoluzione o della scadenza dell’Accordo, Plaud, su istruzione del Cliente, restituirà o eliminerà tutti i Dati personali del Cliente nonché le copie esistenti.

7.2 Eccezioni. Plaud può conservare i Dati personali del Cliente oltre il periodo riportato nella Sezione 7.1 solo nella misura richiesta dalle Leggi applicabili sulla protezione dei dati o da altri obblighi legali ai fini della risoluzione di una controversia tra le parti, o evitare un uso dannoso o fraudolento dei Servizi. I dati trattenuti rimangono soggetti al presente DPA.

8. Trasferimenti internazionali di dati

8.1 Generale. Il Cliente prende atto che Plaud e i suoi Sub responsabili possono trattare i Dati personali del Cliente negli Stati Uniti e in altri Paesi in cui operano Plaud o i suoi Sub responsabili. Plaud garantirà che tutti questi trasferimenti siano conformi alle Leggi applicabili sulla protezione dei dati, inclusa l’implementazione di meccanismi di trasferimento appropriati.

8.2 Trasferimenti UE/SEE. Nella misura in cui i trasferimenti dei Dati personali del Cliente dallo SEE a Plaud richiedano un meccanismo di trasferimento ai sensi del GDPR, il Modulo due (da Titolare del trattamento a Responsabile del trattamento) delle SCC è integrato a titolo di riferimento nel presente DPA e ritenuto eseguito dalle parti, con il Cliente come esportatore dei dati e Plaud come importatore dei dati. Le SCC sono completate come specificato nel Programma 3(A).

8.3 Trasferimenti Regno Unito. Nella misura in cui i trasferimenti siano soggetti alla legge sulla protezione dei dati del Regno Unito, l’Addendum del Regno Unito definito nel Programma 3(B) è integrato a titolo di riferimento e ritenuto eseguito dalle parti.

8.4 Trasferimenti svizzeri. Nella misura in cui i trasferimenti siano soggetti alla legge svizzera sulla protezione dei dati (nFADP), l’Addendum della Svizzera definito nel Programma 3(C) è integrato a titolo di riferimento e ritenuto eseguito dalle parti.

8.5 Priorità. In caso di conflitto tra i meccanismi di trasferimento applicabili (SCC, Addendum del Regno Unito o Addendum della Svizzera), il presente DPA e l’Accordo, prevale il meccanismo di trasferimento applicabile, seguito dal presente DPA.

9. Stati Uniti Leggi statali sulla privacy

Nella misura in cui siano applicabili le leggi statali sulla privacy degli Stati Uniti (compreso il CCPA), Plaud agisce come “fornitore di servizi” o “responsabile del trattamento” e certifica che:

• tratterà i Dati personali del Cliente esclusivamente ai fini commerciali descritti nel presente DPA e nell’Accordo;

• non “venderà” o “condividerà” (come definito dal CCPA) i Dati personali del Cliente;

• non tratterrà, utilizzerà o divulgherà i Dati personali del Cliente al di fuori della relazione commerciale diretta tra le parti, fatto salvo quanto previsto dalla legge;

• non abbinerà i Dati personali del Cliente con i dati personali di altre fonti fatto salvo quanto consentito dalla legge applicabile o come indicato dal Cliente;

• fornirà al Cliente il diritto di adottare misure adeguate al fine di garantire che il trattamento di Plaud sia coerente con gli obblighi del Cliente ai sensi della legge applicabile; e

• informerà tempestivamente il Cliente nel caso in cui Plaud accerti di non essere più conforme alla presente Sezione 9.

10. Termine e Modifica

10.1 Termine. Il presente DPA rimane in vigore per la durata dell’Accordo e sopravviverà alla risoluzione fino al momento in cui Plaud non completerà tutti gli obblighi di eliminazione ai sensi della Sezione 7.

10.2 Modifica. Plaud può modificare il presente DPA con adeguato preavviso scritto ove richiesto dalle modifiche alle Leggi applicabili sulla protezione dei dati o da indicazioni normative vincolanti. Modifiche sostanziali che riducono significativamente i diritti del Cliente possono essere dibattute entro quindici (15) giorni dalla notifica. Se non risolte entro trenta (30) giorni, ciascuna parte può terminare l’Accordo con un preavviso scritto di trenta (30) giorni.

Programma 1 Dettagli del trattamento

A. Parti

Esportatore dei dati: Cliente e/o Affiliate del Cliente. Recapiti come specificato nel Modulo d’ordine.

Importatore dei dati: Plaud, Inc., 8 The Green, Ste A, Dover, Delaware 19901. Contatto protezione dei dati: privacy@plaud.ai.

B. Descrizione del trattamento

Categorie di Soggetti interessati. (a) Utenti autorizzati; (b) soggetti terzi i cui dati personali vengono acquisiti in registrazioni audio o altri Dati del Cliente sottoposti ai Servizi (es., partecipanti a una riunione, clienti, colleghi).

Categorie di Dati personali. Determinate dal Cliente; possono includere:

• recapiti (nomi, indirizzi e-mail)

• registrazioni audio e dati vocali acquisiti tramite i dispositivi Plaud (es., NotePin, Note) o caricati dal Cliente

• dati derivati: trascrizioni generate dall’IA, verbali di riunioni ed elementi di azione

• metadati di riunioni (data, durata, partecipanti)

• dati sull’uso dell’account e del dispositivo

• qualsiasi altro dato personale contenuto nei Dati del Cliente inviati ai Servizi

Categorie speciali. Registrazioni audio e trascrizioni possono contenere tra l’altro dati di categorie speciali (es., informazioni sulla salute oppure opinioni politiche). Il Cliente è l’unico responsabile per garantire una base giuridica per il trattamento di tali dati.

Durata. Il trattamento continuo per la durata dell’Accordo come determinato dalla configurazione del Cliente e dall’uso dei Servizi.

Natura e Scopo. Erogazione di trascrizione, riassunto basati sull’IA e di altri Servizi correlati. Le attività di trattamento includono la raccolta, l’archiviazione, la trascrizione, il riassunto e l’eliminazione dei Dati personali del Cliente in base alle necessità per l’erogazione dei Servizi.

C. Autorità di vigilanza competente.

Laddove l’esportatore dei dati risieda in uno Stato Membro dell’Unione Europea, l’autorità di vigilanza di quello Stato Membro. Laddove l’esportatore dei dati non risieda nell’Unione Europea ma rientri nell’ambito territoriale del GDPR, la Commissione irlandese per la protezione dei Dati.

Programma 2 Misure di sicurezza tecniche e organizzative

Plaud mantiene un programma scritto sulla sicurezza delle informazioni ideato per proteggere i Dati personali del Cliente da accesso non autorizzato, distruzione, perdita, alterazione o divulgazione. Plaud può aggiornare le presenti misure a condizione che tali aggiornamenti non riducano sostanzialmente la protezione globale. Le certificazioni attuali e le informazioni aggiuntive sono disponibili sul sito https://it.plaud.ai/pages/trust-center/.

Programma 3 Meccanismi di trasferimento dati internazionali

A. Clausole contrattuali standard dell’UE (Modulo Due: da Titolare del trattamento a Responsabile del trattamento)

Le SCC dell’UE sono integrate a titolo di riferimento e ritenute eseguite dalle parti con le seguenti scelte:

•  Clausola 7 (Clausola di docking): non applicabile.

•  Clausola 9 (Sub responsabili): opzione 2 (Autorizzazione generale scritta); periodo di preavviso come da Sezione 3.2(c).

•  Clausola 11 (Ricorso): la formulazione facoltativa di ricorso indipendente non è applicabile.

•  Clausola 17 (Legge applicabile): opzione 1 (legge della Repubblica d’Irlanda).

•  Clausola 18 (Forum): tribunali della Repubblica d’Irlanda.

•  Allegato I.A (Parti): Programma 1, Sezione A.

•  Allegato I.B (Descrizione del trasferimento): Programma 1, Sezione B.

•  Allegato I.C (Autorità di vigilanza): Programma 1, Sezione C.

•  Allegato II (TOM): Programma 2.

•  Allegato III (Sub responsabili): https://it.plaud.ai/pages/trust-center/.

B. Addendum del Regno Unito

L’Addendum del Regno Unito (versione B.1.0) è integrato a titolo di riferimento e ritenuto eseguito dalle parti. Le SCC selezionate sono quelle nel Programma 3(A). Per la Tabella 4, Plaud (in qualità di importatore dei dati) può porre fine all’Addendum del Regno Unito quando cambiano le SCC UE approvate.

C. Addendum della Svizzera

Per i trasferimenti soggetti esclusivamente alla legge svizzera sulla protezione dei dati (nFADP), le SCC nel Programma 3(A) vengono modificate come segue: i riferimenti al GDPR e UE/SEE vengono sostituiti con riferimenti alla legge svizzera sulla protezione dei dati e Svizzera; l’autorità di vigilanza competente è l’FDPIC; la legge applicabile è la legge svizzera e le controversie vengono risolte dai tribunali svizzeri. Laddove i trasferimenti siano soggetti sia alla legge svizzera, sia al GDPR, vengono applicate entrambe le serie di norme.

Programma 4 Sub responsabili autorizzati

L’elenco attuale di Plaud dei Sub responsabili autorizzati (tra cui nome, Paese e scopo del trattamento) viene mantenuto sul sito https://it.plaud.ai/pages/trust-center/.