Condizioni di Cicora sui Dati aziendali e Condizioni generali sul trattamento dei dati

Versione del 16 settembre 2026. Questa pagina stabilisce il livello B2B generale per un'Organizzazione che utilizza Cicora tramite uno Spazio di lavoro, un'API o un altro ordine aziendale. Lo specifico ordine B2B e l'addendum sul trattamento dei dati determinano ruoli, percorsi, audit, periodi, condizioni di trasferimento e impostazioni speciali applicabili. Queste condizioni si applicano a un Cliente quando sono espressamente incorporate nell'accordo B2B di tale Cliente con RIZZ TRADE.

Per un normale Account personale, RIZZ TRADE determina generalmente le finalità del trattamento di Account, pagamenti, sicurezza e assistenza come titolare autonomo; si applica l'Informativa sulla privacy. Per i Dati personali che un Cliente Organizzazione fornisce tramite Cicora in relazione al proprio personale, ai clienti o ad altre persone, quando tale Cliente determina finalità e mezzi sostanziali, il quadro seguente si applica come «Cliente quale parte titolare — RIZZ TRADE quale responsabile del trattamento» nell'ambito dell'accordo B2B effettivamente concluso.

1. Ruoli, ambito e gerarchia

In questa pagina:

• Cliente indica un'Organizzazione o un imprenditore che ha concluso un ordine B2B Cicora con RIZZ TRADE;
• Parte Titolare indica il Cliente quando determina le finalità e i mezzi sostanziali del trattamento dei Dati personali relativi ai propri utenti, dipendenti, clienti o altre persone;
• Responsabile del trattamento indica RIZZ TRADE quando tratta i Dati personali del Cliente secondo le istruzioni documentate del Cliente per fornire Cicora;
• Dati del Cliente indica i dati che un Cliente, il suo amministratore, un utente API o un partecipante allo Spazio di lavoro fornisce a Cicora per conto del Cliente, compresi i Dati personali;
• Dati personali del Cliente indica la parte dei Dati del Cliente costituita da Dati personali ai sensi della legge applicabile;
• Sub-responsabile indica una parte incaricata da RIZZ TRADE di trattare i Dati personali del Cliente per conto del Cliente nel ruolo applicabile; e
• Istruzioni documentate indica l'accordo/ordine scritto, la configurazione selezionata dal Cliente, le impostazioni dello Spazio di lavoro/dell'API e le altre istruzioni di una persona autorizzata che RIZZ TRADE può eseguire legittimamente e tecnicamente.

Il singolo ordine B2B o DPA prevale su questa pagina generale per le materie che disciplina specificamente. Per le questioni relative ai Dati personali, il DPA prevale sulle condizioni commerciali generali in caso di conflitto. Le norme imperative prevalgono sull'accordo. Nulla in questa pagina elimina i diritti degli interessati ai sensi della legge applicabile né rende automaticamente ogni fornitore esterno un Sub-responsabile: il ruolo dipende dal flusso effettivo dei dati, dall'accordo e dalla finalità del trattamento.

RIZZ TRADE resta titolare autonomo del trattamento per i dati minimi necessari ad amministrare il proprio accordo e prodotto: creazione e amministrazione dell'Account del Cliente, fatturazione e imposte, prevenzione di frodi e violazioni, protezione dell'infrastruttura, conservazione delle registrazioni obbligatorie, risoluzione delle controversie e difesa da pretese legali. A tali finalità autonome si applica l'Informativa sulla privacy di Cicora, anziché un'istruzione illimitata del Cliente.

2. Trattamento esclusivamente su istruzioni e per finalità consentite

Quando RIZZ TRADE agisce in qualità di Responsabile del trattamento, tratta i Dati personali del Cliente soltanto per fornire, assistere, proteggere ed eseguire Cicora ai sensi dell'accordo B2B, dell'ordine, della configurazione selezionata e delle legittime istruzioni del Cliente. Il trattamento può comprendere raccolta, registrazione, organizzazione, conservazione, accesso, trasmissione a un percorso selezionato, presentazione di un risultato, memorizzazione limitata nella cache, cancellazione/deidentificazione, diagnostica tecnica e misure di sicurezza, soltanto nella misura necessaria per la relativa funzione.

Il Cliente è responsabile di garantire che le proprie istruzioni siano lecite, trasparenti per gli interessati, non violino diritti di terzi, corrispondano alla propria base giuridica e includano le comunicazioni e i consensi necessari. Il Cliente incarica Cicora di trattare solo dati che ha diritto di trattare e non utilizza l'interfaccia per effettuare un trasferimento occulto di informazioni particolari, biometriche, mediche, relative a minori o altrimenti ad alto rischio senza valutazione, accordo e protezione adeguati.

RIZZ TRADE informa il Cliente quando ritiene ragionevolmente che un'istruzione espressa sia incompatibile con la legge applicabile o con l'accordo B2B, salvo che la legge vieti la divulgazione. RIZZ TRADE può trattare i Dati personali del Cliente in modo diverso quando lo impone una legge inderogabile e, ove consentito dalla legge, ne informa il Cliente prima di tale trattamento o senza ingiustificato ritardo dopo di esso.

Il Cliente designa amministratori autorizzati e mantiene aggiornati i loro dati di contatto. Un'istruzione che modifica modello, percorso, conservazione, accesso dell'amministratore, esportazione, tipo di dati o trasferimento internazionale deve provenire da tale persona autorizzata ed essere espressamente riflessa in una configurazione o in un ordine disponibile. Un'email poco chiara, un'istruzione di un partecipante ordinario o una richiesta al di fuori della configurazione documentata non deve necessariamente essere eseguita come istruzione della Parte Titolare.

3. Dettagli del trattamento: prospetto richiesto per ogni ordine B2B

Ogni ordine B2B contiene un prospetto fattuale del trattamento dei Dati personali del Cliente. Il prospetto identifica dati e finalità specifici e non si estende a un ambito indefinito di «qualsiasi dato per qualsiasi finalità». Come minimo, comprende:

Un Fornitore di Modelli riceve i Dati del Cliente solo tramite il Percorso applicabile selezionato. L'Elenco dei Modelli e delle Politiche consente di accedere alle condizioni pubblicate dei fornitori. Non sostituisce le informazioni concordate con il Cliente sui destinatari effettivi, sul trattamento dei dati e sui trasferimenti internazionali. Un regime senza addestramento, di conservazione limitata o relativo a un determinato territorio si applica al Cliente quando è espressamente incluso nella configurazione applicabile o nell'accordo B2B.

L'elenco pubblico delle condizioni dei modelli non sostituisce il prospetto effettivo del trattamento o il registro dei destinatari concordato con il Cliente per il suo ordine B2B.

4. Riservatezza e accesso da parte di persone autorizzate

RIZZ TRADE consente il trattamento dei Dati personali del Cliente soltanto alle persone che necessitano dell'accesso per fornire il servizio, la sicurezza, l'assistenza, la conformità legale o l'accordo B2B. Tali persone sono vincolate da obblighi di riservatezza adeguati alla natura dei dati e non meno protettivi di quanto richiesto dall'accordo e dalla legge. L'accesso è organizzato secondo necessità e proporzionalità rispetto alla funzione.

Il Cliente limita inoltre l'accesso alla propria configurazione, alle chiavi API, alle credenziali dell'amministratore e allo Spazio di lavoro. Fornire una chiave a una persona non autorizzata, utilizzare un Account condiviso senza controllo basato sui ruoli o utilizzare i dati di un'altra Organizzazione al di fuori delle istruzioni può creare un rischio del quale RIZZ TRADE non è responsabile come se derivasse da una propria azione. Ciò non esonera RIZZ TRADE dalla protezione dei sistemi e dalla risposta a un incidente confermato sotto il suo controllo.

Le informazioni riservate non comprendono le informazioni che diventano pubblicamente disponibili per motivi diversi dalla violazione del destinatario, sono legittimamente ottenute da terzi senza obbligo di riservatezza, sono sviluppate autonomamente senza accesso a informazioni riservate o devono essere divulgate per legge. Quando la divulgazione è obbligatoria, RIZZ TRADE informa il Cliente ove consentito dalla legge e limita la divulgazione a quanto necessario.

5. Sub-responsabili, Fornitori di Modelli e modifiche del percorso

RIZZ TRADE può incaricare Sub-responsabili ove necessario per fornire, assistere, proteggere o eseguire Cicora. Prima che un Sub-responsabile acceda ai Dati personali del Cliente, RIZZ TRADE applica i pertinenti obblighi contrattuali di riservatezza, sicurezza e trattamento esclusivamente per la finalità consentita. RIZZ TRADE rimane responsabile verso il Cliente, nell'ambito dell'accordo B2B, dell'adempimento degli obblighi dei propri Sub-responsabili, salvo diversa disposizione delle norme imperative.

Il DPA/ordine individuale indica come ottenere il registro corrente dei Sub-responsabili rilevanti e dei percorsi dei modelli. Il registro contiene informazioni confermate alla data di registrazione sul destinatario/categoria, la funzione, lo stato del percorso e il Paese/trasferimento, ove la divulgazione sia richiesta. Il registro è determinato dal prodotto, dal modello e dalla configurazione del Cliente.

Quando un accordo B2B prevede la comunicazione al Cliente o il diritto di opporsi ragionevolmente a un nuovo Sub-responsabile rilevante, esso definisce canale, periodo, motivazione richiesta, possibili alternative e conseguenze qualora non sia disponibile una soluzione tecnicamente consentita. Tale diritto opera nei limiti di legge, sicurezza, disponibilità dei fornitori e prodotto. Quando l'accordo B2B individuale non prevede tale diritto, la modifica di un percorso è disciplinata dalle condizioni generali e dalla legge applicabile.

Una modifica del modello o del percorso che cambia sostanzialmente le condizioni relative ai Dati personali del Cliente è trattata come una modifica della configurazione: RIZZ TRADE la comunica al Cliente autorizzato nella misura prevista dall'accordo e, prima dell'uso, ottiene la conferma/azione richiesta quando ciò è previsto dalla legge, dall'ordine o da un'impostazione concordata. Un fallback automatico non è utilizzato per eludere una restrizione sui dati concordata.

6. Sicurezza e incidenti relativi ai dati personali

RIZZ TRADE applica misure proporzionate al rischio derivante dall'effettivo trattamento dei Dati personali del Cliente. L'addendum B2B contiene un insieme verificato delle misure organizzative e tecniche applicabili. Una certificazione, un particolare algoritmo, un audit, il Paese dell'infrastruttura, il tempo di ripristino o una valutazione indipendente rientrano negli obblighi di RIZZ TRADE solo se espressamente indicati nell'accordo o nell'addendum B2B.

Quando viene a conoscenza di un incidente relativo ai dati personali sotto il controllo di RIZZ TRADE, questa adotta misure ragionevoli per contenerlo, indagarlo e mitigarne gli effetti. Se l'incidente riguarda Dati personali del Cliente e la notifica è richiesta dalla legge o dall'accordo B2B, RIZZ TRADE informa il Cliente senza ingiustificato ritardo dopo aver ottenuto informazioni iniziali sufficienti. La notifica comprende le informazioni note in quel momento sulla natura dell'evento, sulle categorie/sui sistemi interessati, sulle misure adottate o previste e su un canale per ulteriori contatti. Le informazioni possono essere integrate con il progredire dell'indagine.

Il Cliente determina se, nel proprio ruolo di Parte Titolare, deve informare gli interessati o un'autorità di controllo, salvo che la legge imponga un diverso obbligo direttamente a RIZZ TRADE. RIZZ TRADE fornisce assistenza ragionevole nei limiti delle informazioni disponibili, del prodotto effettivo e dell'accordo. Le tempistiche della comunicazione sono determinate dalla legge applicabile, dall'accordo B2B e dal processo concordato per gli incidenti.

7. Richieste degli interessati, autorità pubbliche e cooperazione

Se RIZZ TRADE riceve una richiesta di un interessato relativa a Dati personali del Cliente dei quali il Cliente è responsabile quale Parte Titolare, RIZZ TRADE, ove possibile, la inoltra al Cliente o indirizza l'interessato al Cliente. Fornisce assistenza ragionevole nei limiti dell'accordo B2B, delle informazioni disponibili e della legge. RIZZ TRADE limita la propria risposta affinché non divulghi dati di un'altra persona, informazioni riservate del Cliente, misure di sicurezza o informazioni protette dalla legge.

Su ragionevole richiesta del Cliente, RIZZ TRADE può fornire assistenza proporzionata per una valutazione d'impatto sulla protezione dei dati, una consultazione con un'autorità o un altro obbligo della Parte Titolare, quando ciò è connesso al servizio effettivamente fornito. Ambito, costi, tempistica e materiali consentiti dipendono dall'accordo B2B, dalla natura della richiesta e dalla sicurezza. Tale assistenza non rende RIZZ TRADE il consulente legale del Cliente.

In caso di richiesta legittima di un'autorità pubblica, RIZZ TRADE la valuta nei limiti della propria competenza e divulga solo quanto necessario. Quando l'accordo e la legge lo consentono, RIZZ TRADE informa il Cliente prima della divulgazione o tempestivamente dopo di essa. La comunicazione può essere ritardata o omessa quando è vietata, potrebbe interferire con un'indagine, creare un rischio o violare un obbligo legale.

8. Informazioni sulla conformità e audit

Il Cliente può richiedere le informazioni ragionevolmente necessarie per confermare l'esecuzione del livello B2B concordato. RIZZ TRADE valuta la richiesta tenendo conto di riservatezza, sicurezza, diritti degli altri clienti, prove disponibili e natura del trattamento. Documenti disponibili, risposte a questionari, un riepilogo delle misure o prove indipendenti possono costituire un'alternativa a un audit quando esistono effettivamente e sono sufficienti allo scopo.

Un audit in sede o da remoto viene svolto quando espressamente previsto dall'accordo B2B e quando ne sono concordati ambito, periodo, indipendenza del revisore, riservatezza, protezione dei sistemi, frequenza e costi. Un audit non consente l'accesso a infrastrutture, codice sorgente, chiavi, dati di altri clienti, sicurezza dei Fornitori di Modelli o altro materiale la cui divulgazione violerebbe riservatezza, sicurezza, diritti di terzi o legge.

9. Restituzione, eliminazione e cessazione di un ordine B2B

Alla cessazione dell'ordine B2B, il Cliente dispone di una ragionevole opportunità di chiedere la restituzione o l'esportazione dei Dati del Cliente in un formato disponibile, ove tecnicamente fattibile e purché ciò non violi diritti di terzi, sicurezza, legge o condizioni dei fornitori. L'ordine B2B o l'addendum sul trattamento identifica periodo, formato, costo, ambito e contatto per tale richiesta.

Dopo il periodo applicabile di restituzione/esportazione, RIZZ TRADE elimina o deidentifica i Dati personali del Cliente nell'ambito del proprio ruolo, salvo che legge, sicurezza, controversia, contabilità, difesa dei diritti o accordo ne richiedano la conservazione limitata. Le copie di backup e isolate vengono eliminate secondo il loro ciclo effettivo, non tornano all'uso ordinario e non consentono l'accesso a uno Spazio di lavoro ripristinato senza una base indipendente. I Fornitori di Modelli possono conservare i dati secondo le proprie condizioni contrattuali; la procedura pertinente e l'assistenza disponibile sono identificati nel registro/addendum.

La restituzione e la cancellazione seguono i criteri dell'ordine B2B, del prodotto effettivo, del ciclo dei backup e della legge applicabile. Un periodo speciale, la residenza dei dati, un blocco della conservazione, un certificato di distruzione o un'esportazione separata si applicano ove concordati prima del trattamento e indicati nell'addendum.

10. Trasferimenti internazionali

Per i Dati personali del Cliente soggetti a restrizioni sui trasferimenti internazionali, le parti individuano prima il flusso effettivo: esportatore, importatore, ruoli, Paesi, categorie di dati, destinatari, percorso del modello e legge applicabile. Quindi stipulano un addendum individuale o utilizzano un altro meccanismo riconosciuto ove necessario. Ciò può includere condizioni contrattuali per il SEE, il Regno Unito, la Svizzera o un altro territorio, ma solo dopo il completamento delle parti, degli allegati e delle informazioni richiesti.

Un addendum individuale sui trasferimenti internazionali entra a far parte dell'accordo B2B dopo che sono stati determinati il meccanismo applicabile e le informazioni necessarie sulle parti, sul percorso e sui dati. L'Informativa generale sulla privacy funge da informativa pubblica; una specifica garanzia di trattamento per un singolo Paese, SCC, UK Addendum o altro meccanismo di trasferimento si applica soltanto ove espressamente indicato nell'addendum individuale.

11. Responsabilità, modifiche e rapporto con le altre condizioni

Gli obblighi e i rimedi relativi al trattamento dei dati si applicano nell'ambito dell'accordo B2B e delle norme imperative. Un limite di responsabilità, un obbligo di indennizzo e di riservatezza e una procedura di risoluzione delle controversie si applicano nella misura espressamente stabilita dall'accordo B2B. Una limitazione B2B non si applica a un consumatore quando la legge non lo consente e non limita i diritti inderogabili degli interessati.

RIZZ TRADE può aggiornare il livello B2B generale quando cambiano la legge, il prodotto, un Sub-responsabile effettivo o i requisiti di sicurezza. Una modifica sostanziale si applica secondo la procedura di comunicazione ed efficacia futura concordata con il Cliente e non modifica retroattivamente un percorso, un addendum sul trattamento o diritti inderogabili già concordati. Le domande dell'Organizzazione possono essere inviate a support@cicora.ai; un ordine B2B può specificare un contatto operativo separato.

Appendice: contenuto minimo di un prospetto di trattamento

Il seguente modulo viene completato con informazioni aggiornate relative allo specifico ordine B2B: