Protocollo Dati e Intelligenza Artificiale - Data & AI Protocol

Allegato al Contratto di licenza d'uso e servizio · GOCOTECH Ltd · Sofia, Bulgaria · EIK 208828892 · powered by GOAi&digital

**Come si usa questo documento.** E' un allegato contrattuale, sul modello dell'Allegato "Protocollo di Sicurezza GoCyber": si firma insieme al Contratto e ne diventa parte integrante. La lettera dell'allegato cambia da contratto a contratto (nei contratti che hanno gia' A/B/C/D e' la lettera successiva libera): il contenuto no. **Per i clienti che hanno gia' firmato** si consegna come atto integrativo, accettato online con la stessa firma elettronica semplice prevista dal Contratto. Non modifica prezzi, durata o obblighi economici: aggiunge trasparenza e diritti a favore del Cliente. **Non si riscrive.** Chi lo installa su un contratto lo copia parola per parola da qui. Le fonti sono `privacy/01-privacy-policy`, `privacy/03-data-processing-agreement`, `privacy/04-sub-processors-list`.

PARTE I - VERSIONE ITALIANA

1. Perche' questo allegato esiste

Il Contratto dice gia' che il Cliente e' Titolare del trattamento e GOCOTECH e' Responsabile, e che i dati non vengono usati per addestrare modelli. Non dice pero' la cosa che i clienti chiedono per prima: **quando si parla con Sofia o con Sara, dove vanno a finire quello che si scrive e quello che si detta.**

Questo allegato lo dice, con i nomi dei fornitori, i paesi, la base giuridica e i tempi. E dichiara le misure che GOCOTECH applica prima di inviare qualsiasi cosa a un modello.

**Precisazione necessaria.** Alcuni contratti affermano che i dati gestionali sono ospitati "su datacenter nell'Unione Europea". E' vero, e resta vero, **per il database**. Non e' vero per l'elaborazione dell'intelligenza artificiale: i fornitori di modelli hanno sede negli Stati Uniti, e cio' che viene inviato loro lascia l'Unione Europea. Il paragrafo 4 di questo allegato descrive come avviene e con quale base giuridica. **Dove le due formulazioni divergono, prevale questo allegato.**

2. Il giro di un messaggio, per intero

Quando un utente scrive o detta qualcosa a Sofia o a Sara:

1. il messaggio arriva ai server di GOCOTECH nell'Unione Europea; 2. se serve una scheda dal gestionale, il sistema la legge dal database del Cliente, che resta nell'Unione Europea; 3. **prima dell'invio al modello, i dati personali diretti vengono sostituiti da segnaposto** (paragrafo 3); 4. il testo cosi' trattato viene inviato al fornitore del modello, che lo elabora e risponde; 5. la risposta torna ai server di GOCOTECH, che **rimette i valori veri al posto dei segnaposto** e la mostra all'utente; 6. la conversazione viene salvata **nel database del Cliente**, nell'Unione Europea.

L'utente non si accorge di nulla: vede il numero di telefono giusto. Il fornitore del modello quel numero non lo ha mai visto.

3. Cosa non esce: la sostituzione dei dati personali

Prima di ogni invio a un modello, GOCOTECH sostituisce con segnaposto del tipo `<TELEFONO_1>`, `<EMAIL_2>` i seguenti dati:

| Dato | Sostituito |
|---|---|
| Numero di telefono, cellulare, numero WhatsApp | si' |
| Indirizzo email | si' |
| IBAN e coordinate bancarie | si' |
| Codice fiscale | si' |
| Partita IVA | si' |
| Numero di carta di pagamento | si' |

La sostituzione agisce su due livelli: **per campo**, sui dati che provengono dalle schede del gestionale, dove il sistema sa che cosa contiene ogni colonna; e **per riconoscimento**, su cio' che compare dentro un testo libero (una nota scritta a mano, la trascrizione di un messaggio vocale, un documento incollato).

**Cosa invece non viene sostituito, e perche'.** Nome della persona, nome dell'azienda e citta' restano leggibili. Non e' un'omissione: e' il contesto senza il quale l'assistente non puo' rispondere. Se l'utente chiede "chi e' Mario Rossi", quel nome lo ha scritto lui nella domanda, e nasconderlo nella risposta non protegge nessuno. E' la stessa scelta che fa Salesforce, che sui propri agenti la sostituzione la disattiva del tutto per questo motivo.

**Su richiesta del Cliente** la sostituzione puo' essere estesa a nome e indirizzo provenienti dalle schede, con l'avvertenza che riduce la qualita' delle risposte sulle domande che riguardano una persona specifica.

4. Chi elabora, dove, e con quale base giuridica

I fornitori di modelli sono **sub-responsabili** ai sensi dell'art. 28 GDPR. Il Cliente li autorizza in via generale sottoscrivendo questo allegato, con il diritto di opposizione previsto al paragrafo 8.

| Fornitore | Cosa fa | Cosa riceve | Paese | Base per il trasferimento |
|---|---|---|---|---|
| **Anthropic, PBC** | Modello linguistico (Claude): conversazioni di Sofia e Sara | Testo dei messaggi, gia' privato dei dati del paragrafo 3 | USA | Clausole Contrattuali Standard (SCC) |
| **OpenAI, L.L.C.** (OpenAI Ireland Ltd per l'UE) | Modello linguistico, ricerca semantica, trascrizione vocale (Whisper) | Testo e audio, gia' privati dei dati del paragrafo 3 | USA / Irlanda | SCC + EU-U.S. Data Privacy Framework |
| **ElevenLabs, Inc.** | Sintesi vocale | Testo da leggere ad alta voce | USA | SCC |
| **fal.ai** (Features & Labels, Inc.) | Generazione di immagini e audio | Descrizione dell'immagine, immagini caricate | USA | SCC |
| **HeyGen** (Movio Inc.) | Generazione di video con avatar | Testo, immagini, parametri dell'avatar | USA | SCC |
| **RunPod, Inc.** | Elaborazione video (GPU) | File multimediali in lavorazione | USA / UE | SCC |

L'elenco completo e aggiornato dei sub-responsabili, compresi quelli infrastrutturali, e' pubblicato all'indirizzo indicato nel Contratto ed e' richiamato dal DPA.

**I fornitori sopra elencati sono attivati solo dall'uso.** Un Cliente che non usa la generazione di immagini non invia nulla a fal.ai.

5. Per quanto restano i dati presso i fornitori

Questo e' il punto su cui non si promette piu' di quanto sia vero.

**Oggi.** Anthropic e OpenAI conservano gli scambi inviati tramite le proprie interfacce di programmazione **per un periodo limitato, tipicamente fino a trenta giorni**, al solo fine di rilevare abusi e violazioni dei propri termini, e poi li cancellano. Nessuno dei due utilizza i dati trasmessi tramite tali interfacce per addestrare i propri modelli.

**Un'eccezione, che si dichiara invece di nasconderla.** Se uno scambio viene segnalato dai sistemi di sicurezza del fornitore come possibile violazione dei suoi termini d'uso, la conservazione presso quel fornitore puo' estendersi **fino a due anni**. Riguarda i singoli scambi segnalati, non l'insieme dei dati del Cliente, e non dipende da GOCOTECH.

**Quando sara' attiva la conservazione zero.** GOCOTECH ha richiesto ai fornitori l'attivazione della modalita' a **conservazione zero** (*zero data retention*), che elimina anche quella finestra. **Fino a conferma scritta dei fornitori, la formulazione che vale e' quella del capoverso precedente.** All'attivazione, GOCOTECH ne dara' comunicazione al Cliente e aggiornera' il presente allegato.

**Cosa non si dichiara**, per correttezza: che l'elaborazione sia "senza stato", che i dati "non vengano conservati" o che siano protetti da cifratura "end-to-end". Il canale e' cifrato in transito e i dati sono cifrati a riposo: sono cose diverse, e vengono chiamate col loro nome.

6. Cosa GOCOTECH non fa, mai

• **Non addestra modelli** sui dati del Cliente, ne' propri ne' di terzi, e ha

scelto fornitori che assumono lo stesso obbligo sui dati trasmessi via API.

• **Non vende** i dati del Cliente e non li cede per finalita' di marketing.
• **Non tratta** i dati del Cliente per finalita' proprie diverse dall'erogazione

del servizio, dalla sicurezza e dalla fatturazione.

• **Non consente** l'accesso ai dati di un Cliente da parte di un altro Cliente:

l'isolamento e' applicato a livello di database.

7. Obblighi del Cliente, in quanto Titolare

Il Cliente:

1. **informa i propri interessati** (clienti, dipendenti, fornitori) che utilizza una piattaforma con funzioni di intelligenza artificiale e che i dati possono essere elaborati dai sub-responsabili indicati al paragrafo 4; 2. **non inserisce categorie particolari di dati** (art. 9 GDPR: salute, convinzioni, dati biometrici, orientamento) nelle funzioni conversazionali, salvo che abbia effettuato la propria valutazione e ne abbia informato GOCOTECH per iscritto; 3. **istruisce i propri utenti autorizzati** all'uso conforme, e risponde delle credenziali assegnate; 4. **e' responsabile del contenuto** che immette, comprese le note scritte a mano e i messaggi vocali.

**Utenti terzi e agenti plurimandatari.** Se il Cliente estende l'uso della piattaforma a soggetti che non sono suoi dipendenti (agenti, collaboratori, officine della rete, agenti plurimandatari), il Cliente resta Titolare per i dati che tali soggetti trattano nel proprio ambiente, e si obbliga a vincolarli per iscritto agli stessi obblighi del presente allegato. **Un agente plurimandatario non puo' trasferire dati da un mandante all'altro attraverso la piattaforma**; GOCOTECH mantiene l'isolamento tecnico fra ambienti, ma non puo' impedire un'esportazione manuale, che resta responsabilita' del Cliente.

8. Nuovi sub-responsabili e diritto di opposizione

GOCOTECH puo' aggiungere o sostituire un sub-responsabile. In tal caso:

1. ne da' comunicazione al Cliente **con almeno trenta giorni di preavviso**, all'indirizzo email di riferimento e aggiornando l'elenco pubblicato; 2. entro tale termine il Cliente puo' **opporsi per motivi ragionevoli e documentati** legati alla protezione dei dati; 3. in caso di opposizione, le Parti cercano in buona fede una soluzione alternativa; se non e' possibile, il Cliente puo' **recedere dalla parte di servizio interessata senza penali**, con rimborso pro-quota di quanto eventualmente prepagato e non goduto.

Lo stesso preavviso di trenta giorni si applica alle modifiche dei documenti legali che incidono sui diritti del Cliente.

9. Come si prova che cosa e' stato accettato

Ogni accettazione dei documenti legali viene registrata dai sistemi GOCOTECH con: data e ora, indirizzo IP, dispositivo, **versione del documento e impronta crittografica (SHA-256) del testo accettato**, prodotto e punto di accettazione.

La registrazione e' **non modificabile e non cancellabile**, anche da parte degli amministratori di GOCOTECH: i sistemi rifiutano ogni tentativo di modifica o cancellazione. Il Cliente puo' chiederne copia in qualsiasi momento.

**Perche' l'impronta conta.** Un documento cambia nel tempo. Senza l'impronta, dire "ha accettato i termini" non significa nulla, perche' non si sa piu' quale testo avesse davanti. Con l'impronta, il testo accettato e' identificabile in modo univoco.

Per le accettazioni raccolte prima dell'introduzione del registro, l'impronta puo' risultare assente: in tal caso il campo e' vuoto e non viene mai riempito a posteriori.

10. Trasparenza dell'intelligenza artificiale (AI Act)

Dal **2 agosto 2026** si applica l'articolo 50 del Regolamento (UE) 2024/1689 («AI Act»), che impone obblighi di trasparenza. Qui sotto chi fa che cosa.

**10.1 GOCOTECH dichiara che si sta parlando con un'intelligenza artificiale.** Sofia e Sara sono sistemi di intelligenza artificiale, non persone. Chi apre una conversazione lo legge prima di scrivere, in chiaro e non in caratteri piccoli.

**10.2 I contenuti generati portano la loro provenienza.** Le immagini prodotte dalla piattaforma escono con i **metadati di provenienza C2PA** apposti dal fornitore del modello e conservati integri: GOCOTECH non ricomprime e non riscrive i file, quindi il marchio resta leggibile da una macchina, come richiede l'art. 50 §2. Lo stesso vale per audio e video quando prodotti.

**10.3 Se il Cliente pubblica un contenuto generato, la dichiarazione spetta a lui.** L'art. 50 §4 mette in capo a chi utilizza il sistema - non a chi lo fornisce - l'obbligo di **rendere noto che un'immagine, un audio o un video che costituisce un «deep fake» e' stato generato o manipolato artificialmente**. Riguarda in particolare i **video con avatar**. Il Cliente si obbliga a dichiararlo quando pubblica tali contenuti; GOCOTECH gli fornisce i contenuti gia' marcati e i mezzi per farlo, ma non pubblica al posto suo e non puo' adempiere per lui.

**10.4 Cosa non e' in discussione.** Le piattaforme oggetto del Contratto **non sono sistemi ad alto rischio** ai sensi dell'Allegato III dell'AI Act, e non svolgono riconoscimento delle emozioni ne' categorizzazione biometrica. Se un domani una funzione dovesse rientrare in tali categorie, GOCOTECH lo comunica al Cliente **prima** di attivarla.

11. Rapporto con gli altri documenti

Questo allegato **integra e non sostituisce** il Contratto, l'Accordo sul Trattamento dei Dati (DPA), l'Informativa Privacy e il Protocollo di Sicurezza GoCyber. In caso di contrasto sui contenuti qui disciplinati (sostituzione dei dati personali, sub-responsabili AI, trasferimenti extra-UE, tempi di conservazione presso i fornitori), **prevale il presente allegato**.

PART II - ENGLISH VERSION

1. Why this annex exists

The Agreement already states that the Customer is the Controller and GOCOTECH the Processor, and that data is not used to train models. It does not state what customers ask first: **when someone talks to Sofia or Sara, where does what they write or dictate actually go.**

This annex answers that, naming providers, countries, legal bases and retention periods, and declaring the measures GOCOTECH applies before sending anything to a model.

**Necessary clarification.** Some agreements state that operational data is hosted "in European Union datacenters". That is true, and remains true, **for the database**. It is not true for AI processing: model providers are based in the United States, and what is sent to them leaves the European Union. Section 4 describes how and under which legal basis. **Where the two wordings diverge, this annex prevails.**

2. The full path of a message

1. the message reaches GOCOTECH servers in the European Union; 2. if a record is needed, it is read from the Customer's database, which stays in the European Union; 3. **before sending to the model, direct personal data is replaced with placeholders** (section 3); 4. the processed text is sent to the model provider, which returns an answer; 5. the answer returns to GOCOTECH servers, which **restore the real values** and display it to the user; 6. the conversation is stored **in the Customer's database**, in the EU.

The user sees the correct phone number. The model provider never saw it.

3. What does not leave: personal data replacement

Before every call to a model, GOCOTECH replaces with placeholders such as `<TELEFONO_1>`, `<EMAIL_2>`: **phone and mobile numbers, WhatsApp numbers, email addresses, IBANs and bank details, tax codes, VAT numbers, payment card numbers.**

Replacement works on two levels: **by field**, on data coming from database records, where the system knows what each column holds; and **by recognition**, on data appearing inside free text (handwritten notes, voice transcripts, pasted documents).

**What is not replaced, and why.** Person name, company name and city remain readable. This is not an omission: it is the context without which the assistant cannot answer. If a user asks "who is Mario Rossi", they wrote that name themselves. This is the same choice Salesforce makes, disabling masking entirely on its own agents for this reason. **On Customer request**, replacement can be extended to name and address from records, with reduced answer quality.

4. Who processes, where, and under which legal basis

Model providers are **sub-processors** under Art. 28 GDPR, generally authorised by the Customer through this annex, subject to the objection right in section 8.

| Provider | Service | Data received | Country | Transfer basis |
|---|---|---|---|---|
| **Anthropic, PBC** | LLM (Claude): Sofia and Sara conversations | Message text, already stripped per section 3 | USA | Standard Contractual Clauses |
| **OpenAI, L.L.C.** (OpenAI Ireland Ltd for the EU) | LLM, embeddings, speech transcription | Text and audio, already stripped per section 3 | USA / Ireland | SCC + EU-U.S. DPF |
| **ElevenLabs, Inc.** | Text-to-speech | Text to be spoken | USA | SCC |
| **fal.ai** (Features & Labels, Inc.) | Image and audio generation | Prompts, uploaded images | USA | SCC |
| **HeyGen** (Movio Inc.) | Avatar video generation | Text, images, avatar parameters | USA | SCC |
| **RunPod, Inc.** | Video rendering (GPU) | Media assets being processed | USA / EU | SCC |

Providers above are **activated by use only**.

5. How long providers keep the data

**Today.** Anthropic and OpenAI retain API exchanges **for a limited period, typically up to thirty days**, solely for abuse detection, then delete them. Neither uses API data to train its models.

**One exception, disclosed rather than hidden.** Where an exchange is flagged by the provider's safety systems as a possible breach of its usage terms, retention at that provider may extend **up to two years**. This concerns the individual flagged exchanges, not the Customer's data as a whole, and is outside GOCOTECH's control.

**Once zero data retention is active.** GOCOTECH has requested **zero data retention** from its providers, which removes that window. **Until written confirmation is received, the preceding paragraph is the wording that applies.** GOCOTECH will notify the Customer and update this annex upon activation.

**What is not claimed**, for accuracy: that processing is "stateless", that data "is not retained", or that it is "end-to-end encrypted". The channel is encrypted in transit and data is encrypted at rest: these are different things and are called by their proper names.

6. What GOCOTECH never does

Does not train models on Customer data; does not sell Customer data; does not process it for its own purposes beyond service delivery, security and billing; does not allow one Customer to access another's data (database-level isolation).

7. Customer obligations as Controller

The Customer informs its own data subjects; does not enter special categories of data (Art. 9 GDPR) into conversational features without its own assessment and written notice to GOCOTECH; instructs its authorised users; and is responsible for the content it enters.

**Third-party users and multi-principal agents.** Where the Customer extends platform use to non-employees (agents, collaborators, network workshops, multi-principal agents), the Customer remains Controller for the data those parties process in their own environment, and undertakes to bind them in writing to the obligations of this annex. **A multi-principal agent may not move data between principals through the platform**; GOCOTECH maintains technical isolation between environments but cannot prevent a manual export, which remains the Customer's responsibility.

8. New sub-processors and right to object

GOCOTECH gives **at least thirty days' notice** of any new or replacement sub-processor. Within that period the Customer may **object on reasonable, documented data protection grounds**. Failing an agreed alternative, the Customer may **terminate the affected part of the service without penalty**, with pro-rata refund of any prepaid unused amount. The same thirty-day notice applies to changes to legal documents affecting Customer rights.

9. Proof of acceptance

Every acceptance is recorded with date and time, IP address, device, **document version and SHA-256 fingerprint of the accepted text**, product and acceptance point. The record is **immutable and non-deletable**, including by GOCOTECH administrators: the systems reject any modification or deletion attempt. A copy is available to the Customer on request.

Where acceptances predate the register, the fingerprint may be absent: the field is left empty and never backfilled.

10. AI transparency (AI Act)

Article 50 of Regulation (EU) 2024/1689 (the "AI Act") applies from **2 August 2026**. Who does what:

**10.1 GOCOTECH discloses that the user is talking to an AI.** Sofia and Sara are AI systems, not people. Anyone opening a conversation reads this before writing, plainly and not in small print.

**10.2 Generated content carries its provenance.** Images produced by the platform carry **C2PA provenance metadata** applied by the model provider and kept intact: GOCOTECH does not re-encode or rewrite the files, so the marking remains machine-readable as required by Art. 50(2). The same applies to audio and video where produced.

**10.3 Where the Customer publishes generated content, the disclosure is theirs.** Art. 50(4) places on the deployer - not the provider - the duty to **disclose that an image, audio or video constituting a "deep fake" has been artificially generated or manipulated**. This concerns **avatar videos** in particular. The Customer undertakes to disclose it when publishing such content; GOCOTECH supplies the content already marked and the means to do so, but does not publish on the Customer's behalf and cannot comply for them.

**10.4 What is not in scope.** The platforms under the Agreement are **not high-risk AI systems** within the meaning of Annex III of the AI Act, and perform neither emotion recognition nor biometric categorisation. Should any feature ever fall into those categories, GOCOTECH will inform the Customer **before** activating it.

11. Relationship with other documents

This annex **supplements and does not replace** the Agreement, the DPA, the Privacy Policy and the GoCyber Security Protocol. On the matters governed here (personal data replacement, AI sub-processors, extra-EU transfers, provider retention periods), **this annex prevails**.

**GOCOTECH Ltd** · EIK 208828892 · VAT BG208828892 · Sofia 1336, Lyulin district, "Fortov pat" Str. 15, fl. 2, apt. 2, Bulgaria · info@gocotech.com · divisione operativa GOAi&digital