Accordo sul Trattamento dei Dati (DPA)

Versione 1.1 · Ultimo aggiornamento 10 novembre 2026 · In vigore dal 10 novembre 2026

Il presente Accordo sul Trattamento dei Dati ("DPA") fa parte dei Termini di Servizio tra Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Italia, P. IVA 02882890698 ("Responsabile del trattamento", "noi") e un cliente business ("Titolare del trattamento", "tu") che usa LIA per i propri utenti, per esempio una scuola, uno studio o un'etichetta. Si applica quando il Titolare è stabilito nello Spazio Economico Europeo (SEE), nel Regno Unito o in Svizzera, o quando il GDPR si applica al trattamento del Titolare. Per chi usa LIA per sé il titolare siamo noi e vale la nostra Informativa privacy.

1. Definizioni

I termini usati nel presente DPA hanno il significato che hanno nel Regolamento (UE) 2016/679 ("GDPR"). Per "Dati Personali" si intende qualsiasi informazione riguardante una persona fisica identificata o identificabile.

2. Oggetto e Durata

Il Responsabile tratta i Dati Personali per conto del Titolare solo per fornire il Servizio LIA come descritto nei Termini di Servizio. Il presente DPA resta in vigore per la durata del contratto e per i periodi di conservazione che seguono la sua fine (§11).

3. Natura e Finalità del Trattamento

Il trattamento è limitato alle operazioni necessarie per fornire il Servizio LIA:

• gestione dell'account: accesso, piano e pagamenti;
• chat, scritte, dettate o a voce nel Talk Mode, e la loro elaborazione da parte del fornitore di intelligenza artificiale;
• lettura del set di Ableton Live aperto e dell'elenco dei plugin installati tramite l'app LIA e il LIA Bridge, e scrittura in Live del lavoro richiesto;
• memoria della chat, registri dei lavori, consumo del piano, minuti di voce e secondi di dettatura;
• Community e Assistenza;
• sicurezza, monitoraggio degli errori e copie di sicurezza.

4. Categorie di Dati Personali e di Interessati

Interessati: gli utenti che il Titolare autorizza a usare LIA (per esempio studenti, personale, musicisti, collaboratori).

Dati Personali: indirizzi email e, se un utente accede con un altro account, l'identificativo, il nome, il nome utente e l'immagine del profilo che quel servizio ci passa; password, salvate solo come hash non reversibile dal fornitore di autenticazione; nomi del profilo e il nome scelto nelle Impostazioni; metadati del piano, dell'abbonamento, dei codici riscattati e dei pagamenti (senza dati della carta), le richieste di recesso e il codice partner usato, se ci sono, e il nome, l'email e l'indirizzo di fatturazione negli avvisi del fornitore dei pagamenti; quando un utente accetta nell'app i Termini e l'Informativa privacy o chiede di far partire subito un piano, la registrazione dell'accettazione o della richiesta; messaggi della chat, compreso il testo delle chiamate del Talk Mode e i messaggi dettati che l'utente manda; dati letti dal set di Live (tempo, tonalità, tracce e loro nomi, dispositivi e loro parametri, mixer e livelli, clip con le loro note MIDI, locatori, nomi dei preset) e l'elenco dei plugin; memoria della chat, registri dei lavori e contatori d'uso, compresi i minuti di voce e i secondi di dettatura; post, commenti, voti, segnalazioni e sanzioni della Community; messaggi e schermate dell'Assistenza; preferenze di notifica e il permesso «Usa le mie chat per migliorare LIA»; dati tecnici come versione dell'app, sistema e lingua, errori e tracce tecniche delle chiamate ai modelli; statistiche del sito e delle email collegate all'account (pagine viste; consegna, apertura e clic delle email); indirizzi IP, con paese e browser o versione dell'app, conservati per intero nei log di accesso del server per circa 30 giorni e nei registri degli accessi all'account e di sicurezza per 12 mesi. Il Responsabile non conserva audio: l'audio del Talk Mode va dall'app direttamente al fornitore della voce, e l'audio della dettatura passa dal server di LIA solo per essere trasformato in testo.

Il Servizio non è pensato per categorie particolari di dati (art. 9 GDPR). Il Titolare non deve chiedere ai suoi utenti di inserirle in LIA.

5. Obblighi del Responsabile

1. Trattare i Dati Personali solo su istruzione documentata del Titolare, anche per i trasferimenti verso Paesi terzi (art. 28.3.a GDPR). Sono istruzioni del Titolare i Termini di Servizio, il presente DPA e le impostazioni che il Titolare usa nell'app.
2. Garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza.
3. Adottare misure tecniche e organizzative adeguate (art. 32 GDPR), vedi §9.
4. Ricorrere a Sub-responsabili solo con l'autorizzazione scritta generale del Titolare (vedi §8).
5. Assistere il Titolare nel rispondere alle richieste degli interessati (artt. 15-22 GDPR) e negli obblighi degli artt. 32-36 GDPR, tenendo conto della natura del trattamento.
6. Notificare al Titolare senza ingiustificato ritardo ogni violazione dei Dati Personali (art. 33 GDPR), vedi §10.
7. A scelta del Titolare, cancellare o restituire tutti i Dati Personali alla fine dei servizi (art. 28.3.g GDPR), vedi §11.
8. Mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consentire verifiche, con un preavviso ragionevole, in orario di lavoro e senza accesso ai dati di altri clienti (art. 28.3.h GDPR).

6. Obblighi del Titolare

Il Titolare conferma di avere una base giuridica (art. 6 GDPR) per i Dati Personali trattati con il presente DPA, di aver informato gli interessati secondo gli artt. 13 e 14 GDPR e, se gli utenti hanno meno di 16 anni, di aver raccolto il consenso dei genitori prima di dare loro accesso a LIA.

7. Dove si trattano i dati e trasferimenti internazionali

Il server di LIA è un server virtuale in affitto in Germania (Hostinger), e database e autenticazione sono nella regione dell'Unione Europea di Supabase. Alcuni Sub-responsabili trattano dati fuori dal SEE, in particolare il fornitore di intelligenza artificiale (OpenAI, Stati Uniti). Questi trasferimenti si basano su:

• l'EU-US Data Privacy Framework (DPF), se il destinatario è certificato;
• altrimenti, le Clausole Contrattuali Standard (SCC) adottate con la Decisione (UE) 2021/914 della Commissione, Modulo 3 (da responsabile a sub-responsabile).

8. Sub-responsabili

Il Titolare dà al Responsabile un'autorizzazione generale a ricorrere a Sub-responsabili. I Sub-responsabili attuali, con il loro Paese, sono indicati ai §4 e §5 della nostra Informativa privacy. L'elenco completo, con la base del trasferimento e l'accordo sul trattamento dei dati di ciascuno, è disponibile su richiesta a privacy@liaplugin.com: lo mandiamo entro 7 giorni. Il Responsabile comunica al Titolare ogni cambio previsto almeno 30 giorni prima; il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati e, se non si trova una soluzione, può recedere dal servizio senza penali. Il Responsabile impone a ogni Sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA e ne risponde.

9. Misure di Sicurezza (art. 32 GDPR)

• Cifratura in transito (TLS) per il sito, l'app e il server.
• Database gestito da Supabase con cifratura a riposo; copie di sicurezza notturne del server e del database, cifrate sul server prima di partire verso lo spazio delle copie (Backblaze, Stati Uniti).
• Login verificato a ogni richiesta al server di LIA, con limiti per account; regole del database che fanno vedere a ogni utente solo i suoi dati.
• Servizi interni del server raggiungibili solo dal server stesso o dalla nostra rete privata; accesso amministrativo solo con chiavi SSH o da pannelli protetti da un accesso dedicato.
• Log di accesso senza query string e senza intestazioni con chiavi o token; cancellazione automatica di log e tracce alla fine del periodo di conservazione.

10. Notifica delle Violazioni dei Dati Personali

Il Responsabile notifica al Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, ogni violazione che riguarda i Dati Personali trattati con il presente DPA, così che il Titolare possa rispettare il proprio termine di 72 ore. La notifica contiene, per quanto noto in quel momento:

• la natura e la portata approssimativa della violazione;
• le categorie e il numero approssimativo di interessati e di registrazioni coinvolti;
• le probabili conseguenze e le misure adottate o proposte;
• un contatto per altre informazioni: privacy@liaplugin.com.

11. Fine dei servizi

Alla fine del contratto, e su richiesta scritta del Titolare, il Responsabile cancella o restituisce tutti i Dati Personali, tranne quelli che deve conservare per legge (per esempio pagamenti e documenti fiscali). I dati cancellati spariscono dalle copie di sicurezza cifrate entro 63 giorni.

12. Responsabilità

La responsabilità prevista dal presente DPA segue i Termini di Servizio, salvo quando questo limiterebbe i diritti degli interessati previsti dall'art. 82 GDPR.

13. Legge Applicabile e Foro Competente

Il presente DPA è regolato dalla legge italiana. Foro competente: tribunale della sede legale del Titolare; per Titolari extra-SEE, foro di Abruzzo, Italia.

14. Contatti

Per tutto ciò che riguarda il presente DPA: privacy@liaplugin.com