I termini dell'Art. 28 GDPR in base ai quali Nextarp B.V. elabora i dati del tuo spazio di lavoro. Chiari, brevi e pubblicati — non disponibili su richiesta.
Questo DPA fa parte dei Termini di Servizio di Avatorial per i clienti business e si applica quando Nextarp B.V. elabora dati personali per tuo conto ai sensi dell'Art. 28 GDPR. Versione 1.0 — 27 luglio 2026.
Tu (lo spazio di lavoro del cliente) sei il titolare del trattamento dei dati personali nel tuo spazio di lavoro — il corpus di scrittura del tuo team, le bozze, gli identificatori degli account collegati e i nomi delle connessioni importate. Nextarp B.V. (Wilhelminaplein 1, 3072 DE Rotterdam, Paesi Bassi, “Avatorial”) è il responsabile del trattamento.
Il trattamento è limitato alla fornitura del servizio Avatorial come descritto nei Termini: apprendimento dello stile di scrittura di ciascun utente dal contenuto fornito, generazione di bozze, mantenimento delle stesse per esplicita approvazione umana e pubblicazione del contenuto approvato sulle piattaforme collegate dall'utente — per la durata dell'abbonamento più il periodo di cancellazione indicato di seguito.
Avatorial elabora i dati personali solo su istruzioni documentate del titolare del trattamento — la configurazione e le azioni intraprese nel prodotto costituiscono tali istruzioni. Avatorial non pubblica mai contenuti senza un'esplicita approvazione per ogni post da parte di un utente autorizzato; ciò è imposto nello schema del database e nel codice dell'applicazione, non solo come politica.
Le misure includono: hosting nella regione UE (Google Cloud europe-west1); token di piattaforma archiviati esclusivamente in Google Secret Manager, mai nel database; TLS in transito e crittografia a riposo; isolamento del tenant imposto da un livello di accesso al database che limita ogni query allo spazio di lavoro; accesso basato sui ruoli senza alcun ruolo che conceda il controllo sull'account personale di un'altra persona; registrazione di audit per approvazioni, pubblicazioni, modifiche di ruolo e connessioni; accesso del personale solo in base alla necessità di sapere.
Il titolare del trattamento concede un'autorizzazione generale per i sub-responsabili elencati su avatorial.com/subprocessors. Avatorial fornisce un preavviso di almeno 30 giorni per aggiunte o sostituzioni, durante il quale il titolare del trattamento può opporsi per motivi ragionevoli di protezione dei dati.
Avatorial assiste il titolare del trattamento con richieste di accesso, rettifica, cancellazione e portabilità. I proprietari dello spazio di lavoro possono effettuare l'eliminazione completa in autonomia (Fatturazione → Elimina spazio di lavoro), che rimuove permanentemente tutti i contenuti, i profili vocali, i record dei membri e distrugge i token di piattaforma memorizzati; i backup residui scadono entro 30 giorni.
Avatorial notifica il titolare del trattamento senza indebito ritardo, e in ogni caso entro 72 ore dal momento in cui viene a conoscenza di una violazione dei dati personali che interessa il loro spazio di lavoro, con le informazioni richieste dall'Art. 33(3) GDPR non appena disponibili.
Il trattamento primario rimane nell'UE. Laddove un sub-responsabile elabori dati al di fuori del SEE (vedi il registro), i trasferimenti si basano sulle Clausole Contrattuali Standard della Commissione Europea e su misure supplementari.
La generazione di bozze e gli embeddings vengono eseguiti su Google Vertex AI nella regione UE ai sensi del DPA di Google Cloud. Il contenuto del cliente non viene utilizzato da Avatorial o dai suoi sub-responsabili per addestrare modelli di base. Il profilo vocale di ciascun utente è costruito solo dal contenuto fornito dall'utente; Avatorial non offre l'imitazione di terze parti.
Alla cessazione, i dati dello spazio di lavoro vengono eliminati entro 30 giorni. Durante l'abbonamento, il titolare del trattamento può esportare i propri contenuti in qualsiasi momento ed eliminare lo spazio di lavoro in qualsiasi momento.
Avatorial rende disponibili le informazioni ragionevolmente necessarie per dimostrare la conformità con l'Art. 28 e consente audit — normalmente soddisfatti dalla documentazione e dalle attestazioni di terze parti dei suoi fornitori di infrastrutture.
Per sottoscrivere questo DPA per la tua organizzazione, o per porre domande al riguardo, contatta privacy@avatorial.com.