ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI — RISVERO

Ai sensi dell’art. 28 del regolamento (UE) 2016/679

Versione 1.1 del 5 ottobre 2026

1. Parti, oggetto e durata

1.1 Titolare del trattamento: il professionista, impresa o ente identificato nel modulo di sottoscrizione («Cliente»).

1.2 Responsabile del trattamento: X20 Digital Trust Services S.r.l., Via Luigi Varanini 24, 20127 Milano, C.F. e P. IVA 12300800963, REA MI-2652805, PEC x20digitaltrust@pec.x20digitaltrust.com, email info@x20digitaltrust.com («X20»).

1.3 Il presente accordo («DPA») disciplina i trattamenti svolti da X20 per conto del Cliente mediante Risvero: analisi documentale di contratti ICT mediante doppia lettura con intelligenza artificiale e produzione di una matrice requisito-evidenza con citazioni, a supporto della successiva revisione umana del Cliente.

1.4 Oggetto, finalità, operazioni, interessati e categorie di dati sono descritti nell’Allegato A. Le misure di sicurezza e i sub-responsabili sono indicati negli Allegati B e C, parti integranti del DPA.

1.5 Il DPA dura quanto il contratto di servizio. Gli obblighi necessari sopravvivono fino alla restituzione o cancellazione completa dei dati, comprese le copie.

1.6 X20 è titolare autonomo per fatturazione, gestione commerciale e propri obblighi di legge, secondo l’informativa privacy. I dati contenuti nei fascicoli, negli elaborati e nei registri trattati per conto del Cliente restano soggetti al DPA: la loro natura tecnica non ne modifica automaticamente il ruolo.

1.7 Le misure e i sub-responsabili sono quelli indicati negli Allegati B e C nella versione in vigore.

2. Istruzioni e obblighi del Cliente

2.1 X20 tratta i dati esclusivamente su istruzioni documentate del Cliente, comprese quelle relative ai trasferimenti internazionali. Costituiscono istruzioni il DPA, le configurazioni del Servizio, i caricamenti e le richieste scritte provenienti dai referenti autorizzati.

2.2 Le istruzioni autorizzano soltanto le operazioni necessarie all’erogazione del Servizio. X20 non vende i dati, non li riutilizza per finalità proprie e non li impiega per addestrare o perfezionare modelli di intelligenza artificiale, propri o di terzi. Il divieto comprende documenti, estratti, prompt contenenti dati del Cliente e risultati.

2.3 Se ritiene un’istruzione contraria alla normativa sulla protezione dei dati, X20 informa immediatamente il Cliente e sospende la sola operazione interessata. Una conferma del Cliente non autorizza l’esecuzione di un’istruzione illecita.

2.4 Se il diritto dell’Unione o dello Stato membro impone ulteriori trattamenti, X20 informa il Cliente prima di procedere, salvo divieto normativo per rilevanti motivi di interesse pubblico.

2.5 Il Cliente determina finalità e base giuridica, assicura le informative dovute, verifica la legittimità del caricamento e limita i dati a quelli necessari. Mantiene aggiornati utenti, autorizzazioni e recapiti.

2.6 È vietato caricare categorie particolari di dati ai sensi dell’art. 9 GDPR e dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR. Il Cliente rimuove o oscura tali informazioni prima del caricamento.

2.7 Se rileva dati vietati, X20 informa il Cliente, ne limita il trattamento e ne concorda tempestivamente la rimozione. Non è previsto un controllo preventivo capace di garantire l’individuazione di ogni dato vietato.

3. Riservatezza e personale autorizzato

3.1 X20 consente il trattamento soltanto a persone autorizzate, istruite e vincolate alla riservatezza per contratto o legge. L’obbligo permane dopo la cessazione del rapporto.

3.2 Gli accessi del personale sono limitati alle necessità di erogazione, assistenza, manutenzione e sicurezza, con privilegi minimi e tracciamento. Non è consentita la consultazione dei documenti per finalità estranee al contratto.

3.3 X20 verifica periodicamente le autorizzazioni e revoca tempestivamente quelle non più necessarie.

4. Sicurezza

4.1 X20 adotta le misure dell’Allegato B e quelle ulteriori necessarie ai sensi dell’art. 32 GDPR, considerando rischio, stato dell’arte, natura e contesto del trattamento.

4.2 X20 verifica l’efficacia delle misure e ne conserva evidenza. Gli aggiornamenti non devono ridurre il livello complessivo di protezione; le modifiche rilevanti sono comunicate al Cliente.

4.3 Il Cliente protegge le proprie credenziali, assegna permessi coerenti con i ruoli e comunica senza ritardo accessi abusivi o incidenti di cui venga a conoscenza.

4.4 Le esportazioni effettuate dal Cliente non sostituiscono gli obblighi di sicurezza, disponibilità e ripristino di X20.

5. Sub-responsabili

5.1 Il Cliente autorizza in via generale il ricorso ai sub-responsabili identificati nell’Allegato C, nei limiti delle attività e delle condizioni ivi indicate.

5.2 Prima di consentire l’accesso ai dati, X20 stipula accordi scritti che impongono obblighi di protezione sostanzialmente equivalenti al DPA, inclusi riservatezza, sicurezza, assistenza, cancellazione e divieto di addestramento.

5.3 X20 comunica aggiunte o sostituzioni con almeno 30 giorni di preavviso, indicando identità, attività, localizzazioni e garanzie. Il Cliente può opporsi entro tale termine per motivi documentati relativi alla protezione dei dati.

5.4 Le parti cercano una soluzione che eviti il trattamento contestato. Se non è disponibile prima dell’introduzione del nuovo sub-responsabile, il Cliente può cessare il Servizio interessato senza penali, con rimborso del canone anticipato per il periodo non goduto. Durante la gestione dell’opposizione, X20 non affida i dati del Cliente al sub-responsabile contestato.

5.5 X20 resta pienamente responsabile verso il Cliente dell’adempimento degli obblighi dei sub-responsabili. Vigila sulle relative catene di fornitura e assicura il preavviso contrattuale anche quando i termini dei fornitori siano inferiori.

6. Trasferimenti internazionali e fornitori AI

6.1 Hosting e database Supabase sono previsti in regione UE; la regione effettiva, le copie, gli accessi di assistenza e le eventuali localizzazioni ulteriori devono essere precisati nell’Allegato C. La collocazione del database nell’UE non esclude trasferimenti derivanti da accessi extra-SEE.

6.2 L’elaborazione AI mediante Anthropic comporta trattamenti negli Stati Uniti. X20 effettua trasferimenti soltanto in presenza di un valido presupposto del capo V GDPR (decisione di adeguatezza EU-US Data Privacy Framework, se il fornitore vi aderisce, oppure clausole contrattuali tipo). Il front-end è servito come sito statico: i documenti vanno dal browser del Cliente allo storage Supabase nell’UE e da lì all’API di Anthropic, senza transitare dal fornitore che ospita il front-end.

6.3 X20 può utilizzare il Data Privacy Framework UE-USA soltanto dopo aver verificato che la decisione di adeguatezza sia applicabile e che l’esatta entità destinataria disponga di certificazione attiva pertinente al trattamento. L’indicazione del fornitore non costituisce attestazione della sua certificazione.

6.4 In alternativa, ove applicabili, X20 stipula in proprio, quale responsabile esportatore, le clausole contrattuali standard della decisione (UE) 2021/914, modulo 3, con il sub-responsabile importatore. Completa gli allegati, valuta il trasferimento e adotta le misure supplementari necessarie.

6.5 X20 mette a disposizione del Cliente le informazioni sulle garanzie e copia delle clausole applicabili, oscurando soltanto informazioni non necessarie alla verifica. Se una garanzia cessa di essere efficace, adotta una valida alternativa o sospende il trasferimento interessato.

6.6 Per Anthropic, i dati inviati tramite API non sono usati per addestrare modelli (l’organizzazione X20 non partecipa a programmi di condivisione dei dati per l’addestramento e non invia feedback). Input e output sono conservati da Anthropic per 30 giorni e possono essere consultati solo per finalità di sicurezza e prevenzione degli abusi; la zero retention non è attiva alla data di questo DPA e, se attivata, sarà comunicata al Cliente.

6.7 In assenza di zero retention, durata, finalità e condizioni dell’eventuale conservazione devono essere definite nell’Allegato C prima dell’invio dei dati. Non sono consentite conservazioni indeterminate o incompatibili con le istruzioni del Cliente. Il divieto di addestramento resta applicabile indipendentemente dalla retention.

7. Assistenza e violazioni dei dati

7.1 X20 assiste il Cliente, tenendo conto della natura del trattamento, nell’adempimento delle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Trasmette senza ritardo le richieste ricevute direttamente, senza rispondere nel merito salvo istruzione o obbligo di legge.

7.2 X20 assiste il Cliente negli adempimenti degli artt. 32–36 GDPR, comprese valutazioni d’impatto, consultazioni preventive e gestione degli incidenti, considerando le informazioni a propria disposizione.

7.3 X20 notifica ogni violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza. Il termine non decorre dalla conclusione dell’indagine né richiede l’accertamento della responsabilità.

7.4 La prima notifica comprende, per quanto disponibile:

- natura della violazione, categorie e numero approssimativo di interessati e registrazioni;

- referente per gli aggiornamenti;

- probabili conseguenze;

- misure adottate o proposte per contenimento e rimedio.

7.5 Le informazioni mancanti sono fornite progressivamente senza ulteriore ingiustificato ritardo. X20 conserva le evidenze, collabora alla mitigazione e documenta cause e interventi correttivi.

7.6 Le notifiche sono inviate ai recapiti del Cliente indicati nella sottoscrizione. X20 non attende una valutazione del rischio per informare il Cliente. Le comunicazioni ad autorità e interessati competono al Cliente, salvo obblighi direttamente applicabili a X20.

8. Informazioni e audit

8.1 X20 mette a disposizione le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consente verifiche e ispezioni del Cliente o di un revisore da esso incaricato.

8.2 Per le verifiche ordinarie: 1 audit all’anno, con 30 giorni di preavviso, svolto inizialmente mediante documentazione e, quando necessario, mediante ispezione. I revisori sono vincolati alla riservatezza; le modalità proteggono i dati degli altri clienti e la sicurezza dei sistemi.

8.3 Frequenza e preavviso non limitano verifiche ulteriori necessarie, in particolare dopo incidenti, in presenza di fondati sospetti di violazione o su richiesta dell’autorità. In tali casi il preavviso è ridotto o escluso secondo necessità.

8.4 Ciascuna parte sostiene i propri costi ordinari. Eventuali costi straordinari di assistenza sono documentati e concordati preventivamente, senza ostacolare verifiche necessarie o urgenti. Non sono addebitati costi per rimediare a inadempimenti di X20.

8.5 Restano integri i poteri delle autorità. Certificazioni e rapporti di terzi integrano, senza sostituirlo, il diritto di verifica.

9. Conservazione, restituzione e cancellazione

9.1 I dati sono conservati soltanto per l’analisi e la gestione del fascicolo, incluse le revisioni previste. Per chiusura si intende la chiusura espressa richiesta dal Cliente oppure la conclusione della finestra di revisione, una volta terminate le elaborazioni tempestivamente richieste.

9.2 X20 cancella documenti, estratti ed elaborati contenenti dati personali dai sistemi attivi entro 30 giorni dalla richiesta del Cliente o dalla cessazione del contratto. La cancellazione automatica dopo 30 giorni dalla chiusura di ogni fascicolo sarà attivata e comunicata al Cliente quando disponibile; fino ad allora il Cliente può chiedere in qualsiasi momento la cancellazione di singoli fascicoli, che X20 esegue entro 30 giorni.

9.3 Il Cliente può impartire istruzioni di cancellazione anticipata. Alla cessazione del Servizio, a scelta del Cliente, X20 restituisce i dati e cancella le copie oppure provvede direttamente alla cancellazione, salvo conservazioni imposte dal diritto dell’Unione o nazionale. Il termine massimo è 30 giorni dalla cessazione, senza prolungare scadenze anteriori già applicabili.

9.4 Prima della cancellazione X20 consente il recupero dei dati ancora disponibili, in formato di uso comune. Il Cliente conserva autonomamente le copie necessarie alle proprie finalità. Una richiesta di restituzione non comporta conservazione indefinita.

9.5 Le copie di sicurezza giornaliere sono conservate per 7 giorni e poi sovrascritte; i dati cancellati dai sistemi attivi scompaiono quindi dalle copie entro 7 giorni. Nel frattempo le copie sono accessibili soltanto per necessità di ripristino.

9.6 X20 assicura la cancellazione anche presso i sub-responsabili secondo termini documentati compatibili con il DPA. La retention di log e copie tecniche è indicata negli Allegati B e C; i log non devono diventare copie dei documenti.

9.7 Le conservazioni obbligatorie sono limitate ai dati e ai tempi prescritti, con accessi limitati e informazione al Cliente salvo divieto di legge. Su richiesta, X20 attesta l’avvenuta cancellazione e indica eventuali eccezioni.

10. Responsabilità e prevalenza

10.1 Nei rapporti fra le parti si applicano le limitazioni delle Condizioni generali di Risvero, incluso il massimale pari ai corrispettivi pagati per il Servizio nei 12 mesi precedenti il fatto dannoso, secondo il relativo ambito temporale e nei limiti consentiti dalla legge.

10.2 Le limitazioni non operano per dolo, colpa grave, danni alla persona o altre responsabilità inderogabili. Non sono opponibili agli interessati, non limitano i loro diritti ai sensi dell’art. 82 GDPR né i poteri delle autorità. Non limitano le sanzioni direttamente irrogate a X20 o i risarcimenti da essa dovuti agli interessati. Restano salvi i diritti di regresso nella misura inderogabilmente prevista dalla legge.

10.3 Ciascuna parte risponde degli obblighi applicabili al proprio ruolo. L’uso di sub-responsabili non riduce gli obblighi di X20.

10.4 Il DPA prevale sulle Condizioni generali nelle materie relative al trattamento per conto del Cliente. Restano prevalenti le clausole contrattuali standard applicabili e le disposizioni inderogabili.

11. Disposizioni finali

11.1 Le modifiche alle istruzioni e agli allegati sono documentate. Nessuna modifica autorizza retroattivamente trattamenti o trasferimenti.

11.2 Si applica la legge italiana. Per le controversie fra le parti è competente in via esclusiva il Foro di Milano, salve competenze inderogabili e senza incidere sui diritti degli interessati.

Allegato A — Descrizione del trattamento

Allegato B — Misure tecniche e organizzative

Misure contrattualmente richieste; implementazione e parametri da verificare prima dell’attivazione.

Allegato C — Sub-responsabili autorizzati

X20 completa prima dell’attivazione le entità contrattuali, i servizi utilizzati, le localizzazioni, i termini di cancellazione e le garanzie applicabili. La catena dei sub-responsabili successivi è documentata e disponibile al Cliente. Nessun fornitore è autorizzato ad addestrare modelli sui dati del Cliente.

Sottoscrizione

Accettazione online. Il presente Accordo è accettato dal Cliente in registrazione con la spunta 1, e le clausole indicate sotto con la spunta 2. X20 registra utente, organizzazione, dati identificativi forniti in registrazione, data, ora, versione e copia integrale del testo accettato, inviata al Cliente in PDF. Per X20 l’Accordo è vincolante con la sua messa a disposizione nella presente versione.

Approvazione specifica ai sensi degli artt. 1341 e 1342 c.c. — Le clausole 8.2, 8.4, 10.1, 10.2 e 11.2 sono approvate specificamente dal Cliente in registrazione con la seconda spunta, separata e non preselezionata, registrata da X20 con data, ora e versione.