Il Contratto quadro di servizio GDPRLocal e le Condizioni aggiuntive ivi contenute regolano i nostri prodotti, servizi e rapporti con i clienti.
Non è previsto alcun obbligo di acquisto dei servizi. Non è necessaria una carta di credito per registrarsi e, una volta effettuata la registrazione, i servizi possono essere acquistati e attivati in qualsiasi momento.
Il presente Allegato costituisce parte integrante del Contratto quadro di servizi (“Contratto”) stipulato tra il Cliente e GDPRLocal Ltd (“GDPRLocal”). Esso definisce l’ambito di applicazione del servizio di rappresentante autorizzato ai sensi dell’articolo 22 della Legge UE sull’IA fornito da GDPRLocal tramite la propria affiliata, Instant EU GDPR Representative Ltd (il “Rappresentante designato”), un soggetto con sede nell’Unione Europea incaricato da GDPRLocal di svolgere la funzione di rappresentante autorizzato ai sensi del presente Allegato. I riferimenti a GDPRLocal contenuti nel presente Allegato includono il Rappresentante Designato che agisce nella sua veste legale, salvo che il contesto non richieda diversamente. I termini utilizzati nel presente Allegato hanno lo stesso significato attribuito loro nel Contratto Quadro di Servizi o nei Regolamenti Applicabili.
Nel presente allegato: per “Legge sull’IA” si intende il regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio che stabilisce norme armonizzate in materia di intelligenza artificiale; per “sistema di IA ad alto rischio” si intende un sistema di IA classificato come ad alto rischio ai sensi dell’articolo 6 e degli allegati I e III della Legge sull’IA; per “fornitore” si intende il soggetto di cui all’articolo 3 della Legge sull’IA; per «documentazione tecnica» si intende la documentazione tecnica richiesta ai sensi dell’articolo 11 e dell’allegato IV dell’AI Act; per «dichiarazione di conformità UE» si intende la dichiarazione richiesta ai sensi dell’articolo 47; per «valutazione di conformità» si intende la procedura di valutazione di conformità applicabile ai sensi dell’articolo 43; e per «autorità competenti» si intendono le autorità di vigilanza del mercato competenti, le autorità nazionali competenti e l’Ufficio per l’IA.
Contesto normativo. Le parti riconoscono che gli obblighi previsti dalla Legge sull’IA, compreso l’obbligo relativo al rappresentante autorizzato di cui all’articolo 22, si applicano in modo graduale e che gli obblighi applicabili a determinati sistemi di IA ad alto rischio non sono ancora in vigore alla data del presente Allegato. Il Cliente ha scelto di nominare il Rappresentante Designato su base volontaria, in base alla propria disponibilità, in anticipo rispetto alla data di applicazione pertinente. I Servizi vengono forniti a partire dalla Data di Inizio del Servizio, indipendentemente dalla data di applicazione dell’obbligo di legge sottostante.
1.1 Ciclo di vita del servizio. Il servizio si articola in tre fasi:
1.2 Nomina. A decorrere dalla Data di entrata in vigore della nomina, il Cliente, in qualità di fornitore dei sistemi di IA ad alto rischio identificati nella Dichiarazione di lavoro, nomina il Rappresentante designato affinché agisca in qualità di suo rappresentante autorizzato nell’Unione ai sensi dell’articolo 22 della Legge sull’IA. Il presente Allegato, unitamente alla Dichiarazione di lavoro, costituisce il mandato scritto richiesto ai sensi dell’articolo 22, paragrafo 1, della Legge sull’IA. Le attività di onboarding di cui alla clausola 1.1(a) hanno inizio a partire dalla Data di Inizio del Servizio. La nomina acquista efficacia contrattuale in qualità di Rappresentante Autorizzato al completamento con esito positivo della Fase di Verifica, momento a partire dal quale gli Obblighi Fondamentali di cui alla clausola 1.3 si applicano su base continuativa. Il Rappresentante Designato accetta la presente nomina e si impegna a prestare i servizi in conformità all’articolo 22 della Legge sull’IA. Il mandato non rende il Rappresentante Designato il Fornitore del Sistema di IA ad alto rischio, non trasferisce alcun obbligo del Fornitore al Rappresentante Designato, non conferisce l’autorità di prendere decisioni sostanziali per conto del Cliente e non costituisce rappresentanza legale in contenziosi o procedimenti esecutivi.
1.3 Obblighi fondamentali (mandato ai sensi dell’articolo 22, paragrafo 3). A partire dal momento in cui GDPRLocal assume il ruolo attivo di cui alla clausola 1.1(c), GDPRLocal dovrà (tramite il Rappresentante designato), secondo i termini del mandato:
1.4 Rapporto di verifica e misure correttive. Qualora GDPRLocal individui lacune o carenze sostanziali in materia di conformità durante la fase di verifica, GDPRLocal redigerà un rapporto di verifica destinato al Cliente in cui saranno descritti in dettaglio i risultati emersi e le misure correttive raccomandate. I servizi di consulenza, di progetto o di altro tipo necessari a supportare le misure correttive del Cliente sono disponibili ai sensi della clausola 1.9 (Servizi aggiuntivi e derivati), alla tariffa scontata per i servizi professionali indicata nel listino prezzi.
1.5 Referente. Ai sensi dell’articolo 22, paragrafo 4, della legge sull’IA, il mandato autorizza le autorità competenti a rivolgersi al rappresentante designato, in aggiunta o in sostituzione del fornitore, per tutte le questioni relative alla garanzia della conformità del sistema di IA ad alto rischio alla legge sull’IA.
1.6 Obbligo di risoluzione e di notifica. Il Cliente riconosce che, ai sensi dell’articolo 22, paragrafo 4, della Legge sull’IA, il Rappresentante Designato è tenuto a risolvere il mandato qualora ritenga o abbia motivo di ritenere che il Fornitore stia agendo in contrasto con gli obblighi previsti dalla Legge sull’IA e, in tal caso, a informare l’autorità di vigilanza del mercato competente, nonché, se del caso, l’organismo notificato competente, in merito alla risoluzione e alle relative motivazioni. Si tratta di un obbligo di legge inderogabile. Il suo esercizio in buona fede da parte del Rappresentante Designato non costituisce una violazione del presente Contratto e si applicano le conseguenze della risoluzione di cui alla clausola 6.8. Il Cliente si assume la responsabilità esclusiva di qualsiasi conseguenza normativa derivante da tale risoluzione, inclusa l’eventuale lacuna di copertura che ne derivi.
1.7 Natura della verifica. La verifica ai sensi del presente Allegato conferma che la Dichiarazione di conformità UE, la Documentazione tecnica e qualsiasi Valutazione di conformità applicabile siano state redatte e risultino, a prima vista, complete e organizzate in una forma idonea all’ispezione normativa, sulla base dei documenti e delle informazioni forniti dal Cliente. La verifica non costituisce, né deve essere presentata come, una rivalutazione sostanziale, un audit, una certificazione o una garanzia della conformità, della sicurezza o delle prestazioni del sistema di IA ad alto rischio, che rimangono di esclusiva responsabilità del Fornitore.
1.8 Assistenza normativa continuativa. Nell’ambito dell’abbonamento attivo, GDPRLocal fornirà aggiornamenti normativi e assistenza continuativi e ragionevoli in relazione all’AI Act man mano che questo si evolve, in misura proporzionata alla natura, alla portata e al profilo di rischio delle attività di IA del Cliente. L’assistenza normativa continuativa ha carattere consultivo e non include attività sostanziali relative a progetti, redazione di documenti o consulenza, che sono disponibili ai sensi della clausola 1.9.
1.9 Servizi aggiuntivi e derivati. Qualsiasi servizio richiesto dal Cliente che non rientri negli Obblighi Fondamentali di cui alla clausola 1.3, inclusi, a titolo esemplificativo ma non esaustivo, l’implementazione di un quadro di governance dell’IA, i quadri di gestione dei rischi, le valutazioni dei rischi, il supporto alla valutazione di conformità, le politiche e le procedure relative all’IA, la documentazione sulla governance interna, la formazione dei dipendenti, i workshop di gestione o l’attività di consulenza continuativa in materia di AI Act che vada oltre quanto previsto dalla clausola 1.8, non rientra nel presente Allegato. Tali servizi sono disponibili come servizi di consulenza o di progetto e vengono fatturati come Servizi e Attività Aggiuntivi in conformità con il §5.5 del MSA, alla tariffa scontata per i servizi professionali indicata nel Listino Prezzi.
2.1 Erogazione del servizio. GDPRLocal agirà secondo le istruzioni fornite dal referente del Cliente indicato nel profilo dell’account del Cliente, o da qualsiasi altra persona espressamente autorizzata per iscritto dal Cliente.
2.2 Assegnazione delle ore di verifica. La tariffa una tantum per l’onboarding e la verifica include un’assegnazione iniziale di sessanta (60) ore di servizi professionali per la verifica della documentazione, come indicato nel listino prezzi. Qualora la verifica richieda ore aggiuntive a causa della portata, della complessità, dell’ambito giurisdizionale o del livello di maturità in materia di conformità delle attività di IA del Cliente, le ore aggiuntive saranno fatturate alla tariffa scontata per i servizi professionali indicata nel listino prezzi. Qualora vengano individuate lacune rilevanti, sono disponibili interventi correttivi ai sensi della clausola 1.9.
2.3 Richieste motivate e termini. Qualora GDPRLocal riceva una richiesta motivata da un’autorità competente, o qualsiasi comunicazione che richieda una risposta entro un termine definito, GDPRLocal ne darà comunicazione al Referente del Cliente senza indebito ritardo, specificando il termine di risposta. Qualora il Cliente non fornisca tempestivamente le informazioni, la documentazione o le istruzioni necessarie, GDPRLocal potrà (a) inviare all’autorità una conferma di ricezione provvisoria, oppure (b) comunicare all’autorità che la questione viene inoltrata al Fornitore. Il Cliente riconosce che GDPRLocal non può essere ritenuta responsabile per il mancato rispetto delle scadenze causato dalla mancata fornitura tempestiva di informazioni o istruzioni da parte del Cliente.
Oltre agli obblighi previsti dal §6 dell’MSA, il Cliente è tenuto a:
3.1 fornire a GDPRLocal le informazioni, i documenti e la collaborazione ragionevolmente necessari per l’esecuzione dei Servizi, tra cui: dati precisi relativi alla persona giuridica del Cliente in qualità di Fornitore; identificazione e descrizione dei sistemi di IA ad alto rischio rientranti nell’ambito di applicazione e della loro finalità prevista; la Documentazione Tecnica; la Dichiarazione di conformità UE; ove applicabile, il certificato dell’organismo notificato e i registri di valutazione della conformità; nonché l’accesso ai registri generati automaticamente nella misura in cui siano sotto il controllo del Fornitore;
3.2 durante la fase di verifica, garantire al team di verifica un accesso adeguato, la necessaria collaborazione e risposte tempestive;
3.3 garantire che la documentazione tecnica, la dichiarazione di conformità UE e tutta la documentazione correlata siano e rimangano, per tutta la durata del contratto, complete, accurate e aggiornate, e fornire tempestivamente a GDPRLocal le versioni aggiornate a seguito di qualsiasi modifica;
3.4 rispondere tempestivamente a tutte le comunicazioni inoltrate da GDPRLocal e fornire tempestivamente le istruzioni, le informazioni e le decisioni necessarie per la gestione di tali comunicazioni;
3.5 comunicare tempestivamente a GDPRLocal: (a) qualsiasi incidente grave o malfunzionamento del sistema di IA ad alto rischio; (b) qualsiasi modifica sostanziale al sistema di IA ad alto rischio, o cambiamento della sua finalità prevista, che incida sulla sua conformità o sull’ambito del presente incarico; (c) qualsiasi comunicazione ricevuta dal Cliente da parte di un’autorità competente, dell’Ufficio IA o di un organismo notificato; (d) qualsiasi azione correttiva, ritiro o richiamo relativo al sistema di IA ad alto rischio; e (e) qualsiasi contenzioso, provvedimento esecutivo o procedimento normativo relativo al sistema di IA ad alto rischio;
3.6 adempiere, in qualità di Fornitore, agli obblighi di registrazione previsti dall’articolo 49 della Legge sull’IA (con il supporto di GDPRLocal come previsto dalla clausola 1.3(e)), e garantire che le informazioni di cui all’Allegato VIII siano corrette e aggiornate;
3.7 si assume la responsabilità esclusiva della conformità, della sicurezza e delle prestazioni del sistema di IA ad alto rischio, nonché dell’accuratezza, della completezza e dell’aggiornamento della documentazione tecnica, della dichiarazione di conformità UE, della valutazione di conformità e dei registri; e
3.8 Non intraprendere alcuna azione che possa (a) esporre GDPRLocal o il Rappresentante Designato a procedimenti esecutivi o sanzioni normative, salvo che ciò costituisca una conseguenza inevitabile del ruolo di rappresentante autorizzato; (b) obbligare GDPRLocal o il Rappresentante Designato a fornire dichiarazioni inesatte a un’autorità competente; oppure (c) indurre GDPRLocal o il Rappresentante Designato ad agire in violazione delle Normative Applicabili.
4.1 Salvo quanto espressamente concordato come Servizio Aggiuntivo, i Servizi non includono la redazione della Documentazione Tecnica, della Dichiarazione di Conformità UE o della Valutazione di Conformità, né la consulenza di merito in merito alle stesse, né alcuna azione volta a rendere conforme il Sistema di IA ad alto rischio, né la fornitura di consulenza legale o rappresentanza legale. Qualora tali attività fossero necessarie, potranno essere richieste ai sensi della clausola 1.9 oppure il Cliente dovrà rivolgersi a un consulente legale indipendente.
4.2 GDPRLocal e il rappresentante designato non assumeranno alcuna responsabilità gestionale, alcun controllo operativo né alcuna autorità decisionale in relazione al sistema di IA ad alto rischio; tali responsabilità, controllo e autorità rimangono di competenza esclusiva del fornitore.
4.3 Il rappresentante designato non certifica, non garantisce né si assume alcuna responsabilità in merito alla conformità, alla sicurezza, alle prestazioni o ai risultati del sistema di IA ad alto rischio.
4.4 Eventuali servizi che esulano dal ruolo di rappresentante autorizzato previsto dall’articolo 22 della legge possono essere richiesti come Servizi e Attività aggiuntivi a pagamento, in conformità con il Contratto quadro di prestazione servizi e il Listino prezzi.
5.1 Riconoscimento del quadro di riferimento in materia di responsabilità. Le parti riconoscono che:
5.2 Limitazione di responsabilità (specifica per il servizio).
5.2.1 Fatta salva la clausola 5.5, la responsabilità complessiva di ciascuna delle parti ai sensi del presente Allegato non potrà superare l’importo totale dei corrispettivi pagati o dovuti dal Cliente in relazione al Servizio (esclusi il corrispettivo di uscita per la conservazione della documentazione di cui alla clausola 6.6 e il corrispettivo per l’esportazione della documentazione di cui alla clausola 6.7) nel periodo di dodici (12) mesi immediatamente precedente l’evento che ha dato origine alla richiesta di risarcimento.
5.2.2 Nessuna delle parti sarà responsabile per danni indiretti, consequenziali, speciali o punitivi.
5.2.3 Fatta salva la clausola 5.2.1, GDPRLocal e il Rappresentante Designato non si assumono alcuna responsabilità, mentre il Cliente si assume la responsabilità esclusiva per: qualsiasi danno, lesione, decesso, pregiudizio o perdita causati da o derivanti dal Sistema di IA ad alto rischio stesso, dai suoi risultati, dalle sue prestazioni o dalla sua sicurezza; qualsiasi reclamo in materia di responsabilità per danno da prodotto, difetto o sicurezza relativo al Sistema di IA ad alto rischio; qualsiasi multa, sanzione o penalità inflitta al Cliente; qualsiasi perdita derivante dal mancato rispetto da parte del Cliente della Legge sull’IA o dalla mancata fornitura di Documentazione Tecnica, Dichiarazione di Conformità UE, registri o istruzioni accurati, completi o tempestivi; qualsiasi perdita attribuibile alla mancata notifica da parte del Cliente di un evento rilevante ai sensi della clausola 3; e qualsiasi perdita derivante dall’inoltro in buona fede da parte di GDPRLocal di comunicazioni, o dall’esercizio in buona fede dell’obbligo di cui alla clausola 1.6, qualora il Cliente non abbia risposto in modo adeguato.
5.3 Indennizzo da parte del Cliente. Il Cliente dovrà indennizzare, difendere e manlevare GDPRLocal, il Rappresentante Designato e le rispettive affiliate, amministratori, dipendenti e agenti (di seguito, singolarmente, una “Persona Indennizzata”) da ogni perdita (comprese le spese legali ragionevoli su base di indennizzo totale) derivante da: procedimenti esecutivi o normativi relativi al Sistema di IA ad alto rischio; qualsiasi reclamo di terzi, in materia di responsabilità per danno da prodotto, lesioni personali o sicurezza, derivante da o connesso al Sistema di IA ad alto rischio; qualsiasi responsabilità prevista dalla legislazione nazionale a carico del Rappresentante autorizzato in relazione alla non conformità del Fornitore; l’inadempimento da parte del Cliente degli obblighi di cui alla clausola 3; l’inesattezza o l’incompletezza della Documentazione tecnica, della Dichiarazione di conformità UE o dei registri; e i costi sostenuti per rispondere a richieste motivate o procedimenti per conto del Cliente.
5.4 Procedura di difesa. Alla notifica di qualsiasi richiesta di risarcimento potenzialmente indennizzabile: GDPRLocal ne dà tempestiva comunicazione al Cliente; il Cliente si fa carico della conduzione della difesa a proprie spese (la Persona Indennizzata può partecipare a spese del Cliente e non può essere raggiunto alcun accordo sfavorevole alla Persona Indennizzata senza il suo consenso); la Persona Indennizzata collabora in misura ragionevole; e, in mancanza di assunzione della difesa entro 15 Giorni Lavorativi, GDPRLocal può subentrare nella conduzione della difesa a spese del Cliente.
5.5 Esclusioni dalla limitazione di responsabilità. Il limite di responsabilità di cui alla clausola 5.2 non si applica a: gli obblighi di indennizzo del Cliente ai sensi della clausola 5.3; la responsabilità per morte o lesioni personali causate da negligenza; frode o dichiarazione fraudolenta; o qualsiasi altra responsabilità che non possa essere limitata dalle Normative Applicabili.
5.6 Assicurazione di responsabilità civile professionale. GDPRLocal dovrà mantenere in vigore per tutta la durata del contratto un’assicurazione di responsabilità civile professionale con un massimale non inferiore a 1.000.000 di sterline per sinistro e complessivamente per ogni anno di polizza. La relativa documentazione è disponibile previa ragionevole richiesta scritta.
6.1 Durata. Il presente Allegato ha inizio alla Data di avvio del servizio e ha una durata iniziale di dodici (12) mesi (la “Durata iniziale”), calcolata a partire dalla data in cui GDPRLocal assume il ruolo attivo ai sensi della clausola 1.1(c), salvo che non venga risolto anticipatamente in conformità alla presente clausola 6 o al §12 dell’MSA. Si rinnova automaticamente per Periodi di rinnovo successivi di dodici mesi, a meno che non venga data comunicazione di mancato rinnovo almeno novanta (90) giorni prima della scadenza del periodo allora in corso.
6.2 Tariffe. Le tariffe relative al Servizio sono indicate nel Listino prezzi e comprendono:
Tutte le tariffe sono al netto dell'IVA e di eventuali imposte applicabili.
6.3 Risoluzione per motivi di convenienza. In deroga al §12.3 del MSA, ciascuna delle parti può risolvere il presente Allegato mediante preavviso scritto di almeno novanta (90) giorni, esercitabile solo dopo la scadenza del Periodo Iniziale. Il preavviso di 90 giorni riflette il legittimo interesse di GDPRLocal alla continuità e la necessità del Cliente di individuare un rappresentante autorizzato sostitutivo per evitare di violare l’articolo 22 dell’AI Act.
6.4 Risoluzione obbligatoria prevista dalla legge. GDPRLocal può risolvere il presente Allegato con effetto immediato qualora sia tenuta a farlo ai sensi dell’articolo 22, paragrafo 4, della Legge sull’IA, come descritto nella clausola 1.6.
6.5 Diritto di recesso aggiuntivo. GDPRLocal potrà inoltre recedere dal contratto con effetto immediato qualora (a) il Cliente fornisca documentazione sostanzialmente inesatta, tale da comportare una dichiarazione mendace nei confronti di un’autorità competente; oppure (b) le istruzioni del Cliente richiedano l’adozione di misure illegali o espongano GDPRLocal o il Rappresentante Designato a una responsabilità sproporzionata.
6.6 Conservazione della documentazione (obbligo di legge decennale) e commissione di recesso obbligatoria. Il Cliente riconosce che l’obbligo del Rappresentante Designato, ai sensi della clausola 1.3(b), di conservare la Documentazione Tecnica, la Dichiarazione di Conformità UE, il certificato dell’organismo notificato (ove applicabile), e i dati di contatto del Fornitore a disposizione delle autorità competenti per dieci (10) anni dopo l’immissione sul mercato o la messa in servizio del Sistema di IA ad alto rischio, costituisce un obbligo di legge inderogabile che sopravvive alla risoluzione o alla scadenza del presente Allegato e persiste per l’intero periodo di conservazione previsto dalla legge, indipendentemente dal fatto che l’abbonamento rimanga attivo. Poiché tale obbligo è inderogabile e sussiste anche in caso di mancato pagamento dell’abbonamento, al momento della risoluzione o della scadenza è dovuta una «Commissione di uscita», come indicato nel Listino prezzi. La Commissione di uscita è obbligatoria (non facoltativa), non rimborsabile e viene addebitata come importo forfettario unico prepagato al momento della risoluzione o della scadenza. Essa finanzia l’archiviazione sicura e conforme della documentazione conservata e l’accesso su richiesta da parte delle autorità competenti e del Cliente durante il periodo di conservazione. GDPRLocal metterà la documentazione conservata a disposizione delle autorità competenti come richiesto dall’AI Act e del Cliente su richiesta.
6.7 Esportazione facoltativa della documentazione. In qualsiasi momento fino alla scadenza del periodo di conservazione di dieci anni, il Cliente può richiedere che GDPRLocal prepari e consegni tutta la Documentazione Tecnica conservata, la Dichiarazione di Conformità UE, il certificato dell’organismo notificato (ove applicabile), i registri di assistenza, la corrispondenza normativa e la relativa documentazione di conformità a un rappresentante autorizzato di nuova nomina o al Cliente stesso, a fronte del corrispettivo una tantum indicato nel Listino Prezzi (l’“Esportazione completa della Libreria di Conformità”). L’esercizio di questa opzione non esonera il Cliente dall’obbligo di nominare un rappresentante autorizzato sostitutivo laddove richiesto dall’AI Act, né esonera GDPRLocal dal proprio obbligo di conservazione previsto dalla legge per il resto del periodo di conservazione, a meno che e nella misura in cui tale documentazione non sia stata legalmente trasferita al nuovo rappresentante.
6.8 Conseguenze della risoluzione. Entro cinque (5) giorni lavorativi dalla risoluzione, GDPRLocal cessa di presentarsi come rappresentante autorizzato del Cliente e, ove richiesto, ne dà comunicazione all’autorità competente. Entro quindici (15) giorni lavorativi, GDPRLocal consegna una copia del registro delle comunicazioni e conferma la documentazione conservata ai sensi della clausola 6.6. Il Cliente paga tutte le tariffe e i costi in sospeso, compresa la Commissione di uscita obbligatoria di cui alla clausola 6.6. Le clausole 1.3(b), 1.6, 5, 6.6, 6.7 e la presente clausola 6.8 rimangono valide anche dopo la risoluzione.
6.9 Avviso normativo. Il Cliente si assume la responsabilità esclusiva di nominare un rappresentante autorizzato sostitutivo prima o immediatamente dopo la risoluzione del contratto, al fine di evitare di violare l’articolo 22 della Legge sull’IA. GDPRLocal collaborerà a titolo di cortesia con qualsiasi sostituto, applicando le tariffe standard in vigore in quel momento.
La presente Dichiarazione di lavoro (“SOW”) è allegata all’Allegato 10 ai Servizi (Servizio di rappresentante autorizzato ai sensi dell’articolo 22 della Legge UE sull’IA) e ne costituisce parte integrante; tale Allegato, a sua volta, fa parte integrante del Contratto quadro di servizi stipulato tra il Cliente e GDPRLocal Ltd. I termini in maiuscolo hanno lo stesso significato attribuito loro nell’Allegato o nel Contratto.
Il SOW viene generato e registrato da GDPRLocal al momento dell'attivazione del Servizio. I campi segnaposto (evidenziati di seguito) vengono compilati attingendo dai dati dell'account del Cliente e dal Registro di attivazione del Servizio.
| Nome dell'azienda | [Nome dell'azienda] |
| Nome del referente | [Nome del referente] |
| Indirizzo e-mail di contatto | [Indirizzo e-mail di contatto] |
| Numero di telefono | [Numero di telefono] |
| Sistemi di intelligenza artificiale ad alto rischio rientranti nell'ambito di applicazione | [nome / descrizione di ciascun sistema] |
| Finalità prevista | [scopo previsto] |
| Criteri di classificazione come caso ad alto rischio | [Caso d'uso dell'Allegato III / Prodotto dell'Allegato I e categoria] |
| Data di immissione sul mercato / di messa in servizio | [data in cui il sistema di IA ad alto rischio è stato immesso per la prima volta sul mercato dell’UE o messo in servizio; inserire “da comunicare” se non è stato ancora immesso] |
| Territorio | Unione europea |
| Esclusioni dall'ambito di applicazione (se presenti) | [altrimenti “nessuno”] |
Tutte le tariffe relative al presente Servizio sono riportate nel Listino prezzi MSA.
4. Personale incaricato e conservazione della documentazione
| Entità rappresentante designata | Instant EU GDPR Representative Ltd |
| Sede legale | Ufficio 2, 12A Lower Main Street, Lucan, Contea di Dublino, K78 X5P8, Irlanda |
| [email protected] | |
| Tel. | +44 1772 217 800 |
| Archiviazione della documentazione | Archiviazione sicura e conforme alle normative, gestita da GDPRLocal; accesso su richiesta alle autorità competenti e al Cliente |
Il nome della persona che, in qualità di Rappresentante Designato, ricopre di volta in volta il ruolo di rappresentante autorizzato sarà comunicato al Cliente a seguito dell’attivazione. GDPRLocal informerà il Cliente di qualsiasi modifica definitiva relativa al referente designato entro trenta (30) giorni lavorativi.
Il Cliente dovrà garantire che i seguenti dati relativi al rappresentante autorizzato siano forniti alle autorità competenti e conservati insieme alla documentazione tecnica, come previsto dalla legge sull’intelligenza artificiale (AI Act), nonché inclusi in qualsiasi registro o dichiarazione in cui sia richiesta l’identificazione del rappresentante autorizzato:
“Rappresentante autorizzato ai sensi della legge dell’UE sull’intelligenza artificiale (articolo 22 del regolamento (UE) 2024/1689): Instant EU GDPR Representative Ltd, Ufficio 2, 12A Lower Main Street, Lucan, Contea di Dublino, K78 X5P8, Irlanda. Contatti: [email protected], +44 1772 217 800.”
| Servizio | Incluso | Cronologia |
|---|---|---|
| Nomina e mandato | Nomina di un referente dedicato e inserimento nel servizio. | Una tantum (Onboarding) |
| Mappatura degli scenari | Valutazione di alto livello dell’organizzazione, dei sistemi di intelligenza artificiale, del quadro normativo e dello stato di preparazione in materia di conformità, al fine di determinare l’ambito, le tempistiche e l’approccio per la verifica | Una tantum (Onboarding) |
| Verifica della documentazione | Verificare che siano state redatte la dichiarazione di conformità UE e la valutazione di conformità applicabile e che la documentazione obbligatoria sia disponibile e ordinata in vista di un’ispezione da parte delle autorità di controllo (articolo 22, paragrafo 3, lettera a)) | Fase di verifica e in caso di modifica sostanziale notificata; previsto sulla base delle prime 60 ore di servizi professionali |
| Rapporto di verifica | Qualora vengano individuate delle carenze, GDPRLocal emette un rapporto di verifica destinato al Cliente in cui vengono descritti in dettaglio i risultati emersi e le misure correttive raccomandate | Fine della fase di verifica |
| Attivazione della nomina del rappresentante autorizzato | L'efficacia contrattuale della nomina a Rappresentante autorizzato ha inizio al completamento con esito positivo della fase di verifica | Fine della fase di verifica |
| Conservazione della documentazione | Conservare a disposizione delle autorità, per un periodo di 10 anni, i dati di contatto del fornitore, la dichiarazione di conformità UE, la documentazione tecnica e il certificato dell’organismo notificato (articolo 22, paragrafo 3, lettera b)) | In corso / 10 anni |
| Referente in materia di regolamentazione | Ricevere richieste e comunicazioni motivate da parte delle autorità competenti; inoltrarle al Cliente; coordinare le risposte (articolo 22, paragrafo 3, lettera c), e paragrafo 4) | In corso (attivo). Spedizione entro 1–3 giorni lavorativi |
| Informazioni e accesso ai registri su richiesta | Fornire informazioni e documentazione a dimostrazione della conformità, compreso l’accesso ai registri sotto il controllo del fornitore, su richiesta motivata (articolo 22, paragrafo 3, lettera c)) | Su richiesta motivata |
| Cooperazione in materia di regolamentazione | Collaborare con le autorità competenti nelle azioni relative al sistema di intelligenza artificiale ad alto rischio, comprese le misure di mitigazione del rischio (articolo 22, paragrafo 3, lettera d)) | Come richiesto |
| Assistenza per la registrazione | Assistere il Cliente nell’adempimento (o, qualora tale adempimento sia a carico di GDPRLocal, provvedere direttamente all’adempimento) degli obblighi di registrazione previsti dall’articolo 49 e dall’Allegato VIII (articolo 22, paragrafo 3, lettera e)) | A seconda dei casi |
| Aggiornamenti normativi e linee guida in corso | Aggiornamenti normativi e orientamenti ragionevoli e costanti sull’AI Act man mano che questo si evolve, in misura proporzionata alle attività del Cliente | In corso (Attivo) |
| Supporto agli spin-off | Governance dell'IA, gestione dei rischi, valutazioni dei rischi, supporto alla conformità, politiche in materia di IA, formazione e servizi di consulenza | Su richiesta. Alla tariffa scontata per i servizi professionali (Listino prezzi) |
Il presente SOW potrà essere rivisto e aggiornato previo accordo scritto tra le parti, qualora ciò sia necessario per riflettere modifiche sostanziali ai sistemi di IA ad alto rischio, agli obblighi del Cliente o alle priorità di conformità. Qualsiasi aggiornamento di questo tipo sarà registrato come SOW revisionato associato all’account del Cliente.
Il presente capitolato d’oneri si considera accettato dal Cliente al momento dell’attivazione del Servizio (sia che avvenga tramite attivazione all’interno del portale, sia che avvenga tramite conferma scritta accettata da GDPRLocal).