Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di servizi (“Contratto”) stipulato tra il Cliente e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito dei Servizi di governance dell’IA forniti da GDPRLocal, a supporto del Cliente nella progettazione, nella governance, nella manutenzione e nel miglioramento continuo del proprio Sistema di gestione dell’IA (“AIMS”), come descritto nella Dichiarazione di lavoro che costituisce un’Appendice al presente Allegato. I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto quadro di servizi.
Nel presente Allegato: per “AIMS” si intende il Sistema di gestione dell’IA del Cliente, ovvero l’insieme di politiche, procedure, ruoli, controlli, registri e attività di monitoraggio stabiliti dal Cliente ai fini della progettazione responsabile, della governance e del funzionamento dei propri sistemi di IA; per “AI Tracker” si intende il registro tenuto sul portale di GDPRLocal che riporta i sistemi di IA del Cliente, i rischi associati, i controlli e gli eventi relativi al loro ciclo di vita.
1.1 Panoramica. GDPRLocal fornirà al Cliente un supporto consultivo continuativo e indicazioni di massima in merito alla progettazione, alla governance, alla manutenzione e al miglioramento continuo dei suoi AIMS, come descritto nella clausola 1.2 e nella Dichiarazione di lavoro.
1.2 Pilastri fondamentali. GDPRLocal fornirà assistenza consulenziale nei seguenti quattro pilastri fondamentali dell’AIMS:
(a) Governance e responsabilità nell'ambito dell'intelligenza artificiale
(b) Gestione dei rischi legati all'intelligenza artificiale
(c) Etica e trasparenza
(d) Monitoraggio e miglioramento continui
1.3 Accesso alle risorse di GDPRLocal. Oltre ai servizi forniti mensilmente, il Cliente avrà accesso continuativo al portale di GDPRLocal e alla documentazione prodotta da GDPRLocal per il Cliente nell’ambito del presente Contratto.
2.1 Erogazione dei servizi. GDPRLocal fornirà i Servizi descritti nel SOW in conformità con l’ambito definito nel presente Allegato e con la periodicità concordata tra il rappresentante designato dal Cliente e il responsabile della conformità di GDPRLocal, tenendo conto della natura, dell’ambito, del contesto e del profilo di rischio della strategia di governance dell’IA del Cliente.
2.2 Consulenza e rendicontazione. GDPRLocal fornirà consulenza, raccomandazioni e relazioni entro i termini concordati tra le parti nel SOW, tenendo conto della complessità e dell’urgenza della questione. La forma, la frequenza e la tempistica di eventuali relazioni, riunioni o altri risultati attesi saranno quelle stabilite nel SOW applicabile.
Oltre agli obblighi previsti dal §6 dell’MSA, il Cliente è tenuto a:
3.1 designare un referente principale incaricato di coordinarsi con GDPRLocal in relazione ai Servizi;
3.2 garantire l'accesso tempestivo alle parti interessate, compresi i rappresentanti dei reparti Dati e Ingegneria, IT, Affari legali, Gestione dei rischi, Risorse umane e di qualsiasi altro reparto pertinente, nella misura ragionevolmente necessaria per l'esecuzione dei Servizi;
3.3 stabilire o confermare, su base mensile, le priorità e le aree di intervento dei Servizi;
3.4 fornire, in modo tempestivo, tutti i contributi, le informazioni, le istruzioni, le approvazioni, l’accesso e ogni altra forma di collaborazione ragionevolmente necessaria affinché GDPRLocal possa fornire i Servizi; e
3.5 si assume la responsabilità esclusiva dell’identificazione, della valutazione, dell’accettazione, della mitigazione e della segnalazione dei rischi e degli incidenti legati all’intelligenza artificiale, nonché dell’adozione, dell’attuazione e della gestione continuativa di eventuali politiche, procedure o documentazione fornite da GDPRLocal.
4.1 GDPRLocal fornisce esclusivamente servizi di supervisione, progettazione di quadri di riferimento e consulenza, e non assume alcun ruolo operativo, gestionale o decisionale all’interno dell’organizzazione del Cliente.
4.2 GDPRLocal non ricopre il ruolo di responsabile dei rischi legati all’IA né di responsabile degli incidenti legati all’IA. La responsabilità finale in merito all’identificazione, alla valutazione, all’accettazione, alla mitigazione e alla segnalazione dei rischi e degli incidenti legati all’IA spetta esclusivamente al Cliente.
4.3 I Servizi consistono in consulenze in materia di governance e conformità e non costituiscono una consulenza legale formale né pareri giuridici. Il Cliente è tenuto a far esaminare da un legale indipendente tutte le politiche, le procedure e la documentazione prima della loro adozione o attuazione.
4.4 I Servizi non includono consulenze o indicazioni relative all’implementazione tecnica o alle attività di sviluppo dei prodotti, incluse, a titolo esemplificativo ma non esaustivo, la scrittura di codice, l’esecuzione di test sul software o di test di sicurezza, la creazione o l’addestramento di modelli, la progettazione di architetture di sistema, né l’esercizio di funzioni quali sviluppatori, ingegneri o data scientist.
4.5 La ricerca mirata sugli sviluppi normativi in materia di IA e sulle leggi applicabili, nonché la consulenza al Cliente in merito agli aggiornamenti dei sistemi AIMS necessari per garantire la conformità ai requisiti in continua evoluzione, non rientrano nell’ambito dei Servizi e saranno considerate come un Servizio aggiuntivo ai sensi della clausola 5.
4.6 Eventuali servizi che esulano dall’ambito di applicazione delle clausole 1 e 2 possono essere richiesti come Servizi aggiuntivi fatturabili, in conformità con la clausola 5.
5.1 Ambito di applicazione. I Servizi sono limitati ai risultati attesi e alle attività indicati nel SOW applicabile.
5.2 Servizi aggiuntivi. Qualora GDPRLocal individui una richiesta o un’esigenza che esuli dall’ambito del SOW (comprese le voci elencate alla clausola 4.5), GDPRLocal ne darà comunicazione scritta al Cliente (è sufficiente un’e-mail), fornendo una stima in buona fede del tempo o dei costi aggiuntivi necessari. I Servizi aggiuntivi non potranno avere inizio fino a quando non saranno stati autorizzati per iscritto dal Cliente (è sufficiente un’e-mail).
5.3 Fatturazione. I Servizi aggiuntivi autorizzati ai sensi della clausola 5.2 vengono fatturati alla tariffa prevista dal Listino prezzi, salvo che le parti non concordino espressamente per iscritto una tariffa diversa prima dell’inizio dei lavori.
5.4 Modifica del capitolato d’incarico. Qualora i Servizi aggiuntivi costituiscano un’estensione sostanziale dell’incarico, le parti concorderanno una modifica scritta al capitolato d’incarico che riporti l’ambito, le tempistiche e i compensi rivisti.
5.5 Documentazione. GDPRLocal conserva la documentazione relativa alle ore lavorative e alle attività svolte nell’ambito del SOW e la metterà a disposizione del Cliente su richiesta motivata.
6.1 Natura consultiva. Le parti riconoscono che i Servizi hanno natura consultiva. GDPRLocal non garantisce l’esito di alcuna valutazione dei rischi legati all’IA, valutazione d’impatto dell’IA, revisione o attività di governance, e non si assume alcuna responsabilità per eventuali decisioni prese o azioni intraprese dal Cliente sulla base dei consigli o dei risultati forniti da GDPRLocal. Il Cliente rimane l’unico responsabile dell’adozione, dell’attuazione e della gestione di eventuali politiche, procedure o raccomandazioni fornite da GDPRLocal.
6.2 Limitazione di responsabilità. Fatta salva la clausola 6.4, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Cliente in relazione ai Servizi nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento. Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
6.3 Responsabilità del Cliente. Senza limitare quanto previsto dalla clausola 6.2, GDPRLocal non avrà alcuna responsabilità, e il Cliente si assume la responsabilità esclusiva per: qualsiasi danno, pregiudizio o perdita causati da o derivanti dai sistemi di intelligenza artificiale del Cliente stessi, dai loro risultati, dalle loro prestazioni o dalla loro sicurezza; qualsiasi multa, sanzione o penalità normativa imposta al Cliente; qualsiasi perdita derivante dalla mancata implementazione, adozione o mantenimento da parte del Cliente delle politiche, delle procedure o dei controlli raccomandati da GDPRLocal; e qualsiasi perdita attribuibile all’inattività, al ritardo o alla mancata collaborazione da parte del Cliente, come descritto nella clausola 6.5 o ai sensi del §5.9 dell’MSA.
6.4 Esclusioni dalla limitazione di responsabilità. Il limite di responsabilità di cui alla clausola 6.2 non si applica a: responsabilità per morte o lesioni personali causate da negligenza; frode o dichiarazione fraudolenta; o qualsiasi altra responsabilità che non possa essere limitata dalla legge applicabile.
6.5 Mancata collaborazione (specifico per il Servizio). Qualora il Cliente non risponda o non fornisca le priorità mensili richieste o i dati necessari in tempo utile, si applica la clausola §5.9 dell’MSA (Mancata collaborazione). Per il presente Servizio, il periodo di servizio rilevante ai sensi della clausola §5.9 dell’MSA è il periodo di servizio mensile.
7.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (la “Durata iniziale”), salvo che non venga risolto anticipatamente ai sensi della presente clausola 7 o del §12 del MSA. Esso si rinnova automaticamente per periodi di rinnovo successivi di dodici (12) mesi, salvo che una delle parti non comunichi per iscritto la propria intenzione di non rinnovarlo ai sensi della clausola 7.2.
7.2 Risoluzione per motivi di convenienza. In deroga a quanto previsto dal §12.3 del MSA, ciascuna delle parti può risolvere il presente Allegato per motivi di convenienza, dandone preavviso scritto all’altra parte con almeno trenta (30) giorni di anticipo tramite e-mail; tale preavviso avrà efficacia prima dell’inizio del successivo ciclo di fatturazione mensile.
7.3 Esportazione post-risoluzione. Al momento della risoluzione, e previo pagamento di tutti i canoni dovuti, GDPRLocal fornirà al Cliente un’esportazione finale dell’AI Tracker.
7.4 Sopravvivenza. Le clausole 4, 6 e la presente clausola 7 rimangono in vigore anche dopo la risoluzione del contratto.
La presente Dichiarazione di lavoro (“SOW”) è allegata all’Allegato 5 ai Servizi (Servizi di governance dell’IA) e ne costituisce parte integrante; tale Allegato, a sua volta, fa parte del Contratto quadro di servizi stipulato tra il Cliente e GDPRLocal Ltd. I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel Contratto.
Il SOW viene generato e registrato da GDPRLocal al momento dell'attivazione del Servizio. I campi segnati da simboli di riempimento tra parentesi quadre vengono compilati attingendo dai dati dell'account del Cliente e dal Registro di attivazione del servizio.
| Nome dell'azienda | [Nome dell'azienda] |
| Sede legale | [Sede legale] |
| Referente principale | [Nome del referente] |
| Ruolo | [Ruolo di contatto] |
| [Indirizzo e-mail di contatto] | |
| Telefono | [Numero di telefono] |
| Copertura AIMS | [elenco delle unità aziendali, delle funzioni o dei sistemi di intelligenza artificiale che rientrano nell'ambito di applicazione dell'AIMS] |
| Aree di intervento prioritarie al momento dell’attivazione | [priorità iniziali concordate in fase di inserimento] |
| Frequenza delle riunioni mensili | [ad es., il primo giovedì di ogni mese alle 14:00 (ora del Regno Unito)] |
| Frequenza di rendicontazione | [ad es., aggiornamento scritto mensile sullo stato di avanzamento; sintesi trimestrale] |
| Area di operatività | [giurisdizioni in cui i sistemi di intelligenza artificiale del Cliente sono implementati o accessibili] |
Tutte le tariffe relative al presente Servizio sono riportate nel Listino prezzi MSA. Il Servizio comprende le seguenti categorie tariffarie:
| Abbonamento a AI Governance | Come indicato nel listino prezzi. Pagabile mensilmente a partire dalla data di inizio del servizio. |
| Servizi aggiuntivi (ricerche normative, attività relative a progetti o consulenze che esulano dall’ambito dell’abbonamento, oppure voci espressamente identificate come “Servizi aggiuntivi” ai sensi del §4.5 dell’Allegato) | Alla tariffa indicata nel Listino prezzi, previa autorizzazione scritta ai sensi del §5 dell’Allegato. |
| Frequenza di fatturazione | [mensile / annuale] |
| Valuta | GBP, IVA e altre imposte applicabili escluse. |
| Responsabile della governance dell'IA locale ai sensi del GDPR | [Nome da comunicare al momento dell'attivazione] |
| Entità locale ai sensi del GDPR | GDPRLocal Ltd |
| Sede legale | Suite frontale al 1° piano, 27-29 North Street, Brighton, Inghilterra, BN1 1EB |
| [email protected] | |
| Tel. | +44 1772 217 800 |
Ciascuna parte dovrà comunicare all’altra qualsiasi modifica permanente relativa al proprio personale designato entro trenta (30) giorni lavorativi dalla data in cui tale modifica è avvenuta.
La tabella che segue illustra la gamma di risultati attesi in materia di governance dell'IA che potrebbero essere forniti nell'ambito del presente capitolato d'oneri, sulla base delle priorità concordate durante le riunioni mensili e confermate nei piani mensili.
| Area di servizio AIMS | Risultati attesi |
|---|---|
| Governance e responsabilità nell'ambito dell'intelligenza artificiale | Politica sull'IA Politica sulla governance dell'IA Politica sull'ambito di applicazione dell'AIMS Matrice dei ruoli e delle responsabilità Politica sul supporto e sulle operazioni relative all'IA Processo relativo alle risorse dell'IA Allineamento della politica sulla privacy all'AIMS Allineamento dei Termini e Condizioni all'AIMS Allineamento del Piano di continuità operativa all'AIMS Registro dei requisiti legali e normativi allineato all'AIMS |
| Gestione dei rischi legati all'intelligenza artificiale | Registro dei rischi legati all'IA Politica di gestione dei rischi legati all'IA Processo di valutazione dell'impatto dell'IA Metodologia di valutazione dei rischi legati all'IA Modello di valutazione dei rischi legati all'IA (NIST) Trattamento dei rischi legati all'IA Piano di trattamento dei rischi legati all'IA Metodologia di valutazione dell'impatto dell'IA Modello di valutazione dell'impatto dell'IA (Microsoft) Relazione sulla valutazione dell'impatto dell'IA Processo di approvazione degli strumenti di IA Valutazione dei rischi degli strumenti di IA Registro degli strumenti di IA Piano di risposta agli incidenti legati all'IA Lista di controllo per la risposta agli incidenti legati all'IA Registro degli incidenti legati all'IA Schema di classificazione degli incidenti legati all'IA |
| Etica e trasparenza | Scheda del modello di IA (esterna) Politica sull'uso operativo dei modelli di IA (interna) Politica sull'uso dell'IA (esterna) Politica sull'uso accettabile dell'IA (interna) Processo di alfabetizzazione all'IA con moduli di supporto Piano di formazione sull'IA Manuale per i dipendenti sull'alfabetizzazione all'IA |
| Monitoraggio e miglioramento continui | Politica di miglioramento dell'IA - Strumento di monitoraggio dell'IA - Valutazione delle prestazioni dell'IA - Modulo per le azioni correttive relative all'IA - Piano di monitoraggio post-commercializzazione dei sistemi di IA - Processo di audit interno con relativi moduli (Programma di audit interno, Relazione di audit interno, Lista di controllo per l'audit interno) |
Nota: la ricerca mirata sugli sviluppi normativi in materia di IA e sulle leggi applicabili, nonché la consulenza al Cliente in merito agli aggiornamenti dei sistemi AIMS necessari per garantire la conformità ai requisiti in continua evoluzione, non rientrano nell’ambito dell’abbonamento e sono considerate un Servizio aggiuntivo ai sensi dell’Allegato §5 (cfr. anche l’Allegato §4.5).
Il presente SOW potrà essere rivisto e aggiornato previo accordo scritto tra le parti, qualora ciò sia necessario per riflettere modifiche sostanziali agli AIMS del Cliente, ai requisiti di servizio o alle priorità di conformità. Qualsiasi aggiornamento di questo tipo sarà registrato come SOW revisionato associato all’account del Cliente.
Il presente capitolato d’oneri si considera accettato dal Cliente al momento dell’attivazione del Servizio (sia che avvenga tramite attivazione all’interno del portale, sia che avvenga tramite conferma scritta accettata da GDPRLocal).