DPA
Accordo sul trattamento dei dati
Ultimo aggiornamento: 3 settembre 2026
Il presente Accordo sul Trattamento dei Dati (“DPA”) costituisce parte integrante dei Termini e condizioni (l’“Accordo Principale”) e li integra, ed è concluso tra il Cliente (come definito nell’Accordo Principale), in qualità di Titolare del trattamento (il “Titolare”), e Generation Impact Global SA, Rue de Lausanne 82, 1202 Ginevra, Svizzera, CHE-260.384.863, in qualità di Responsabile del trattamento (il “Responsabile” o “noi”, “ci”, “nostro”).
Il presente DPA stabilisce i termini e le condizioni in base ai quali il Responsabile tratta i Dati Personali per conto del Titolare in relazione ai Servizi forniti ai sensi dell’Accordo Principale.
Premesso che
(A) Il Titolare ha incaricato il Responsabile di fornire servizi di gestione dei dati ESG, rendicontazione di sostenibilità, analisi d’impatto e gestione delle utenze (i “Servizi”) ai sensi dell’Accordo Principale.
(B) La fornitura dei Servizi comporta il Trattamento di Dati Personali da parte del Responsabile per conto del Titolare, anche tramite funzionalità assistite dall’intelligenza artificiale e di elaborazione documentale esterna messe a disposizione tramite la Piattaforma di volta in volta.
(C) Le Parti intendono garantire che il Trattamento dei Dati Personali sia conforme a tutte le Leggi applicabili in materia di protezione dei dati.
(D) Il presente DPA è inteso a soddisfare i requisiti dell’Articolo 28 del GDPR dell’UE, dell’Articolo 9 della LPD svizzera e delle disposizioni equivalenti di altre Leggi applicabili in materia di protezione dei dati.
Si conviene quanto segue:
Indice
Vai alla sezione
1. Interpretazione e definizioni
“Leggi applicabili in materia di protezione dei dati” indica tutte le leggi e i regolamenti relativi al trattamento dei Dati Personali applicabili al Trattamento ai sensi del presente DPA, inclusi a titolo esemplificativo: (a) la Legge federale svizzera sulla protezione dei dati del 25 settembre 2020 (LPD/nDSG) e la relativa Ordinanza (OPDa); (b) il Regolamento generale sulla protezione dei dati dell’UE (UE) 2016/679 (GDPR dell’UE); (c) lo UK GDPR e lo UK Data Protection Act 2018; (d) la Direttiva 2002/58/CE (Direttiva ePrivacy); (e) il California Consumer Privacy Act / California Privacy Rights Act (CCPA/CPRA); (f) il Personal Information Protection and Electronic Documents Act (PIPEDA) del Canada e la legislazione che gli succede; (g) il Protection of Personal Information Act (POPIA) del Sudafrica; (h) il Data Protection Act (NDPA) della Nigeria; (i) il Data Protection Act (DPA) del Kenya; (j) la Lei Geral de Proteção de Dados (LGPD) del Brasile; (k) la Ley Federal de Protección de Datos Personales (LFPDPPP) del Messico; (l) la legge cilena sulla protezione dei dati; (m) la Legge 1581 del 2012 della Colombia; (n) la legge argentina sull’Habeas Data; (o) l’Act on the Protection of Personal Information (APPI) del Giappone; (p) il Personal Data Protection Act (PDPA) di Singapore; (q) il Digital Personal Data Protection Act (DPDP Act) dell’India; (r) il Privacy Act 1988 dell’Australia (come modificato); e (s) qualsiasi altra legislazione applicabile in materia di protezione dei dati, in ciascun caso come di volta in volta modificata o sostituita.
“Titolare” indica il Cliente (come definito nell’Accordo Principale), che determina le finalità e i mezzi del Trattamento dei Dati Personali.
“Interessato” indica la persona fisica identificata o identificabile a cui si riferiscono i Dati Personali.
“Dati Personali” indica qualsiasi informazione relativa a una persona fisica identificata o identificabile che è Trattata dal Responsabile per conto del Titolare in relazione ai Servizi.
“Violazione dei Dati Personali” indica una violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai Dati Personali. Una Violazione dei Dati Personali non include i tentativi non riusciti o le attività che non compromettono la sicurezza dei Dati Personali, quali tentativi di accesso non riusciti, ping, scansioni di porte, attacchi denial of service o altri attacchi di rete a firewall o sistemi in rete.
“Trattamento” indica qualsiasi operazione o insieme di operazioni compiute su Dati Personali, con o senza l’ausilio di processi automatizzati, come la raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento, la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, la diffusione, il raffronto, l’interconnessione, la limitazione, la cancellazione o la distruzione.
“Responsabile” indica Generation Impact Global SA, che Tratta i Dati Personali per conto e su istruzione del Titolare.
“Clausole Contrattuali Standard” o “SCC” indica le clausole contrattuali standard per il trasferimento di dati personali verso paesi terzi adottate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914 della Commissione) e/o dall’Incaricato federale svizzero della protezione dei dati e della trasparenza (IFPDT), a seconda dei casi e come di volta in volta modificate o sostituite.
“Sub-responsabile” indica qualsiasi terzo incaricato dal Responsabile (o da un altro Sub-responsabile) di Trattare Dati Personali per conto del Titolare in relazione ai Servizi.
“Funzionalità IA” indica le funzionalità assistite dall’intelligenza artificiale messe a disposizione tramite la Piattaforma di volta in volta, inclusi l’elaborazione dei documenti e l’estrazione di informazioni, il recupero di informazioni, l’assistenza alla redazione e altri flussi di lavoro assistiti dall’IA descritti nella Nota sulla Trasparenza dell’IA.
2. Ambito, ruoli e dettagli del trattamento
2.1 Ruoli
Ai fini del presente DPA, il Titolare è il Titolare del trattamento e il Responsabile è il Responsabile del trattamento. I dettagli del Trattamento sono indicati nell’Allegato 1 (Dettagli del trattamento).
2.2 Ambito
Il presente DPA si applica a tutti i Trattamenti di Dati Personali effettuati dal Responsabile per conto del Titolare in relazione ai Servizi, inclusi i Trattamenti effettuati da Sub-responsabili incaricati dal Responsabile e i Trattamenti effettuati dalle Funzionalità IA. Il presente DPA non si applica ai Dati Personali per i quali il Responsabile è un Titolare del trattamento autonomo (ad esempio dati di registrazione dell’account, dati di fatturazione, analisi di utilizzo), che sono disciplinati dalla nostra Informativa sulla privacy.
2.3 Durata
Il presente DPA resta in vigore per tutta la durata del Trattamento. Esso sopravvive alla risoluzione o alla scadenza dell’Accordo Principale per tutto il tempo in cui il Responsabile continua a Trattare Dati Personali per conto del Titolare.
3. Obblighi del Responsabile
3.1 Liceità del Trattamento
Il Responsabile: (a) Tratta i Dati Personali soltanto su istruzione documentata del Titolare, anche in caso di trasferimento di Dati Personali verso un paese terzo, salvo che lo richieda la legge applicabile, nel qual caso il Responsabile informa il Titolare di tale obbligo giuridico prima del Trattamento (a meno che la legge vieti tale informazione per rilevanti motivi di interesse pubblico); (b) informa immediatamente il Titolare qualora, a suo parere, un’istruzione del Titolare violi le Leggi applicabili in materia di protezione dei dati; e (c) Tratta i Dati Personali soltanto nella misura e con le modalità necessarie alla fornitura dei Servizi, e in conformità al presente DPA e all’Accordo Principale.
3.2 Riservatezza
Il Responsabile garantisce che tutte le persone autorizzate a Trattare i Dati Personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. Il Responsabile garantisce che l’accesso ai Dati Personali sia limitato al personale che ne ha bisogno per l’esecuzione dei Servizi.
3.3 Sicurezza
Il Responsabile attua e mantiene misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, come richiesto dall’Articolo 32 del GDPR e dalle disposizioni equivalenti di altre Leggi applicabili in materia di protezione dei dati. Tali misure sono descritte nell’Allegato 2 (Misure tecniche e organizzative). Il Responsabile verifica, valuta e misura regolarmente l’efficacia di tali misure.
3.4 Assistenza al Titolare
Tenendo conto della natura del Trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare gli obblighi del Titolare di: (a) dare seguito alle richieste degli Interessati che esercitano i propri diritti ai sensi delle Leggi applicabili in materia di protezione dei dati (inclusi accesso, rettifica, cancellazione, limitazione, portabilità e opposizione); (b) adempiere agli obblighi relativi alla sicurezza del Trattamento, alla notifica delle Violazioni dei Dati Personali, alle valutazioni d’impatto sulla protezione dei dati e alla consultazione preventiva delle autorità di controllo (Articoli da 32 a 36 del GDPR e disposizioni equivalenti); e (c) adempiere a qualsiasi altro obbligo previsto dalle Leggi applicabili in materia di protezione dei dati che richieda l’assistenza del Responsabile. Tale assistenza è fornita senza costi aggiuntivi per le richieste standard.
3.5 Richieste degli Interessati
Qualora il Responsabile riceva da un Interessato una richiesta di esercizio di un diritto previsto dalle Leggi applicabili in materia di protezione dei dati, il Responsabile ne informa tempestivamente (e in ogni caso entro quarantotto (48) ore) il Titolare e non risponde direttamente alla richiesta, salvo istruzione in tal senso del Titolare o obbligo previsto dalla legge applicabile.
4. Obblighi del Titolare
Il Titolare dichiara, garantisce e si impegna a quanto segue: (a) ha rispettato e continuerà a rispettare tutte le Leggi applicabili in materia di protezione dei dati per quanto riguarda la raccolta, il trasferimento e il Trattamento dei Dati Personali; (b) ha ottenuto e manterrà tutti i consensi, le autorizzazioni e le basi giuridiche necessari per il Trattamento dei Dati Personali da parte del Responsabile previsto dal presente DPA; (c) ha fornito e continuerà a fornire agli Interessati tutte le informative richieste in conformità alle Leggi applicabili in materia di protezione dei dati; (d) le sue istruzioni al Responsabile saranno conformi alle Leggi applicabili in materia di protezione dei dati; e (e) è responsabile dell’accuratezza, della qualità e della liceità dei Dati Personali forniti al Responsabile.
5. Sub-responsabili
5.1 Autorizzazione generale
Il Titolare concede al Responsabile un’autorizzazione scritta generale a incaricare Sub-responsabili del Trattamento di Dati Personali per conto del Titolare, alle condizioni stabilite nella presente Sezione 5. L’elenco aggiornato dei Sub-responsabili approvati, comprensivo di denominazione legale, sede, attività di trattamento e, ove applicabile, del relativo meccanismo di trasferimento internazionale dei dati, è disponibile su richiesta scrivendo a [email protected].
5.2 Comunicazione delle modifiche
Il Responsabile comunica per iscritto al Titolare (anche via email), con almeno quattordici (14) giorni di anticipo, qualsiasi prevista aggiunta o sostituzione di un Sub-responsabile, indicandone il nome, la sede e la descrizione delle attività di trattamento.
5.3 Diritto di opposizione
Qualora il Titolare si opponga a un Sub-responsabile nuovo o sostitutivo per motivi ragionevoli attinenti alla protezione dei dati, il Titolare ne informa per iscritto il Responsabile entro quattordici (14) giorni dal ricevimento della comunicazione. Le Parti discutono l’opposizione in buona fede al fine di raggiungere una soluzione commercialmente ragionevole. Qualora non sia possibile raggiungere una soluzione entro trenta (30) giorni, ciascuna Parte può risolvere i Servizi interessati (e la corrispondente parte dell’Accordo Principale) senza penali.
5.4 Obblighi dei Sub-responsabili
Il Responsabile: (a) impone a ciascun Sub-responsabile, mediante contratto scritto, obblighi in materia di protezione dei dati non meno protettivi di quelli stabiliti nel presente DPA; (b) resta pienamente responsabile nei confronti del Titolare per gli atti e le omissioni di ciascun Sub-responsabile come se fossero propri; e (c) garantisce che ciascun Sub-responsabile presenti garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate.
6. Violazione dei dati personali
6.1 Notifica
Il Responsabile notifica al Titolare qualsiasi Violazione dei Dati Personali senza ingiustificato ritardo e, in ogni caso, entro ventiquattro (24) ore da quando ne è venuto a conoscenza. Tale tempistica è pensata per consentire al Titolare di rispettare l’obbligo di notifica entro 72 ore previsto dall’Articolo 33 del GDPR e dalle disposizioni equivalenti di altre Leggi applicabili in materia di protezione dei dati (inclusa la LPD svizzera, che richiede la notifica “il più presto possibile”).
6.2 Contenuto della notifica
La notifica include, nella misura in cui le informazioni siano disponibili: (a) una descrizione della natura della Violazione dei Dati Personali, incluse le categorie e il numero approssimativo di Interessati e di registrazioni di Dati Personali coinvolti; (b) il nome e i recapiti del punto di contatto del Responsabile presso cui ottenere ulteriori informazioni; (c) una descrizione delle probabili conseguenze della violazione; e (d) una descrizione delle misure adottate o proposte per porre rimedio alla violazione, incluse le misure per attenuarne i possibili effetti negativi.
6.3 Collaborazione
Il Responsabile collabora con il Titolare e adotta tutte le misure ragionevoli indicate dal Titolare per assistere nelle attività di indagine, mitigazione e rimedio della violazione. Il Responsabile documenta tutte le Violazioni dei Dati Personali, inclusi i loro effetti e le azioni correttive adottate.
6.4 Divieto di comunicazione agli Interessati
Il Responsabile non comunica una Violazione dei Dati Personali ad alcun Interessato o terzo (diverso dalle autorità di polizia, ove richiesto) senza il previo consenso scritto del Titolare, salvo che ciò sia richiesto dalla legge applicabile.
7. Trattamento mediante funzionalità di intelligenza artificiale
7.1 Trattamento mediante IA
I Servizi possono includere Funzionalità IA che Trattano Dati Personali per conto del Titolare per le finalità descritte nell’Allegato 1. Il Responsabile riconosce che tale Trattamento è soggetto alle Leggi applicabili in materia di protezione dei dati e, ove applicabili, all’AI Act dell’UE (Regolamento (UE) 2024/1689) e alla Convenzione quadro del Consiglio d’Europa sull’intelligenza artificiale.
7.2 Fornitori di IA e di elaborazione esterna
Le Funzionalità IA e le relative fasi di elaborazione dei documenti possono utilizzare servizi di terzi. Attualmente questi includono servizi forniti direttamente da OpenAI, LLC tramite l’API OpenAI e servizi di elaborazione documentale forniti da LlamaIndex Inc. tramite LlamaParse. Alcuni flussi di lavoro avviati dal cliente possono inoltre trasmettere le informazioni inviate a un servizio esterno di classificazione, mappatura o riferimento gestito dal Centro comune di ricerca della Commissione europea (JRC); tale servizio non è trattato come una Funzionalità IA di GIG per il solo fatto di essere accessibile tramite la Piattaforma. Laddove uno di tali fornitori Tratti Dati Personali per conto del Titolare, esso è considerato un Sub-responsabile ed è soggetto alla Sezione 5. Le relative attività di trattamento, le sedi, la conservazione da parte del fornitore e le garanzie di trasferimento sono indicate nella Nota sulla Trasparenza dell’IA o nell’elenco aggiornato dei Sub-responsabili, a seconda dei casi.
7.3 Restrizioni
Il Responsabile non: (a) utilizza i Dati Personali Trattati per conto del Titolare per addestrare o migliorare alcun modello di IA generico o modello di apprendimento automatico di terzi, salvo espressa autorizzazione scritta del Titolare; (b) conserva i Dati Personali Trattati dalle Funzionalità IA oltre quanto necessario per fornire i Servizi, rispettare le istruzioni documentate del Titolare o adempiere agli obblighi legali applicabili; né (c) utilizza i Dati Personali per alcuna finalità connessa all’IA non documentata nelle istruzioni del Titolare, nell’Accordo Principale o nel presente DPA. I Contenuti del Cliente non vengono utilizzati per addestrare o migliorare modelli generici di terzi, salvo espressa autorizzazione scritta del Titolare.
7.4 Trasparenza
Il Responsabile fornisce al Titolare, su richiesta, informazioni su: (a) le categorie di tecnologie di IA di terzi utilizzate nel Trattamento; (b) la logica generale del Trattamento assistito dall’IA; e (c) le misure adottate per garantire accuratezza, correttezza e non discriminazione nel Trattamento assistito dall’IA. Ulteriori dettagli sono disponibili nella nostra Nota sulla Trasparenza dell’IA.
8. Trasferimenti internazionali di dati
8.1 Luoghi del Trattamento
I Dati Personali possono essere Trattati in Svizzera, nello Spazio economico europeo (SEE) e negli altri luoghi indicati nell’Allegato 1, nell’elenco aggiornato dei Sub-responsabili o nella Nota sulla Trasparenza dell’IA. L’autorizzazione generale del Titolare ai sensi della Sezione 5 include il Trattamento in tali luoghi indicati, nel rispetto delle garanzie di trasferimento di cui alla presente Sezione 8. Il Responsabile comunica al Titolare qualsiasi prevista aggiunta o sostituzione di un Sub-responsabile in conformità alla Sezione 5.2. Non è richiesta alcuna ulteriore autorizzazione scritta preventiva per un trasferimento coperto da tale autorizzazione generale e dalle garanzie previste dal presente DPA.
8.2 Meccanismi di trasferimento
Laddove i Dati Personali vengano trasferiti verso un paese che non è stato riconosciuto come in grado di garantire un livello adeguato di protezione dei dati dalla Commissione europea, dal Consiglio federale svizzero o dal Governo del Regno Unito (a seconda dei casi), il Responsabile garantisce che siano in essere garanzie adeguate, incluse: (a) le Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea (Decisione 2021/914), Modulo 2 (da Titolare a Responsabile) o Modulo 3 (da Responsabile a Sub-responsabile), a seconda dei casi; (b) le modifiche approvate dall’IFPDT svizzero per i trasferimenti dalla Svizzera; (c) l’International Data Transfer Addendum del Regno Unito emesso dall’ICO; (d) norme vincolanti d’impresa; oppure (e) altri meccanismi di trasferimento riconosciuti dalle Leggi applicabili in materia di protezione dei dati.
8.3 Misure supplementari
Ove richiesto dalla sentenza Schrems II (CGUE C-311/18) o dalle linee guida applicabili, il Responsabile attua misure supplementari di natura tecnica, organizzativa e contrattuale per garantire che il livello di protezione dei Dati Personali non sia compromesso dal trasferimento.
8.4 Richieste di divulgazione
Qualora il Responsabile riceva da un’autorità pubblica o da un’autorità di polizia una richiesta di accesso o di divulgazione di Dati Personali Trattati per conto del Titolare, il Responsabile: (a) informa tempestivamente il Titolare (salvo divieto di legge); (b) contesta la richiesta qualora appaia illegittima; e (c) fornisce la quantità minima di informazioni consentita nell’adempiere a un obbligo di divulgazione.
8.5 Territori esclusi
I Servizi non sono attualmente offerti a clienti situati nella Repubblica Popolare Cinese, in Arabia Saudita, negli Emirati Arabi Uniti o in Qatar. Nessun Dato Personale viene intenzionalmente trasferito o trattato in tali territori.
9. Cancellazione, restituzione e portabilità dei dati personali
9.1 Restituzione o cancellazione
Alla risoluzione o alla scadenza dell’Accordo Principale, o su richiesta scritta del Titolare, il Responsabile, a scelta del Titolare: (a) restituisce i Dati Personali Trattati per conto del Titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico; oppure (b) cancella in modo sicuro tali Dati Personali e le relative copie. Il Responsabile completa la restituzione o la cancellazione entro trenta (30) giorni dalla richiesta, salvo che si applichi il periodo di recupero di sessanta giorni di cui alla Sezione 9.2 o che un periodo più lungo sia tecnicamente necessario e concordato tra le Parti.
9.2 Conservazione dopo la cessazione
A seguito della risoluzione dell’Accordo Principale, il Responsabile rende disponibili per il download i Contenuti del Titolare (inclusi i Dati Personali) per sessanta (60) giorni, in conformità all’Accordo Principale. Trascorso tale periodo, il Responsabile cancella in modo sicuro i Dati Personali Trattati per conto del Titolare, salvo che la conservazione sia richiesta dalla legge applicabile. La presente Sezione 9 non richiede la cancellazione delle informazioni che il Responsabile tratta in qualità di titolare autonomo, inclusi i dati di fatturazione, sicurezza, audit, risoluzione delle controversie e le registrazioni richieste dalla legge disciplinati dall’Informativa sulla privacy, né delle informazioni irreversibilmente anonimizzate. Copie residue nei backup possono permanere fino alla loro sovrascrittura sicura nel normale ciclo di backup, a condizione che restino protette e non vengano ripristinate se non per il disaster recovery o per necessità legali.
9.3 Attestazione
Su richiesta, il Responsabile fornisce al Titolare un’attestazione scritta di aver adempiuto ai propri obblighi ai sensi della presente Sezione 9 entro dieci (10) giorni lavorativi dal completamento della cancellazione.
9.4 Portabilità dei dati (Data Act dell’UE)
Nella misura in cui si applica il Regolamento (UE) 2023/2854 (il Data Act dell’UE), il Responsabile collabora con il Titolare e, ove applicabile, con il nuovo fornitore di servizi del Titolare, per agevolare il cambio di fornitore e il trasferimento dei dati in conformità al Capo VI del Data Act dell’UE e alle condizioni dell’Accordo Principale.
10. Diritti di audit
10.1 Informazioni
Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto del presente DPA e delle Leggi applicabili in materia di protezione dei dati e contribuisce alle attività di revisione e alle ispezioni condotte dal Titolare o da un revisore da esso incaricato.
10.2 Procedura di audit
Gli audit sono condotti: (a) con ragionevole preavviso scritto di almeno trenta (30) giorni (salvo in caso di sospetta Violazione dei Dati Personali, in cui è consentito un preavviso più breve); (b) durante il normale orario di lavoro; (c) in modo da non interferire irragionevolmente con le attività del Responsabile; e (d) non più di una volta per periodo di dodici mesi, salvo che ciò sia richiesto da un’autorità di controllo o in relazione a una Violazione dei Dati Personali.
10.3 Certificazioni di terzi
Il Responsabile può soddisfare le richieste di audit fornendo la documentazione di sicurezza pertinente, report di valutazione indipendenti, sintesi dei penetration test o certificazioni mantenute dal Responsabile o dai suoi fornitori di infrastruttura, ove disponibili e appropriati. Qualora tali materiali non rispondano adeguatamente alle ragionevoli preoccupazioni del Titolare, il Titolare può richiedere un audit nel rispetto della Sezione 10.2.
10.4 Costi
Ciascuna Parte sostiene i propri costi in relazione agli audit, salvo che l’audit riveli una violazione sostanziale del presente DPA da parte del Responsabile, nel qual caso il Responsabile sostiene i ragionevoli costi dell’audit.
11. Valutazione d’impatto sulla protezione dei dati
Il Responsabile fornisce ragionevole assistenza al Titolare per qualsiasi valutazione d’impatto sulla protezione dei dati (DPIA) e, ove applicabile, per la consultazione preventiva delle autorità di controllo, come richiesto dagli Articoli 35 e 36 del GDPR, dall’Articolo 22 della LPD svizzera o dalle disposizioni equivalenti di altre Leggi applicabili in materia di protezione dei dati, in ciascun caso esclusivamente in relazione al Trattamento dei Dati Personali da parte del Responsabile e tenendo conto della natura del Trattamento e delle informazioni a disposizione del Responsabile.
12. Nessuna vendita di dati personali
Il Responsabile non vende, condivide né divulga i Dati Personali Trattati per conto del Titolare per pubblicità comportamentale cross-context, pubblicità mirata o profilazione finalizzata a decisioni che producono effetti giuridici o effetti analogamente significativi. Questo impegno è inteso, ove applicabile, a soddisfare i requisiti del CCPA/CPRA e delle leggi statali statunitensi equivalenti sulla privacy. Il Responsabile non conserva, utilizza né divulga i Dati Personali Trattati per conto del Titolare se non nella misura necessaria all’esecuzione dei Servizi ai sensi dell’Accordo Principale.
13. Disposizioni generali
13.1 Prevalenza
In caso di conflitto tra il presente DPA e l’Accordo Principale, il presente DPA prevale nei limiti del conflitto per quanto riguarda le questioni relative al Trattamento dei Dati Personali.
13.2 Responsabilità
La responsabilità di ciascuna Parte ai sensi del presente DPA o in relazione ad esso è soggetta alle limitazioni ed esclusioni di responsabilità previste nell’Accordo Principale.
13.3 Modifiche
Il presente DPA può essere modificato soltanto per iscritto con la firma di entrambe le Parti, fermo restando che il Responsabile può aggiornare di volta in volta gli Allegati al presente DPA (inclusi l’elenco dei Sub-responsabili e le Misure tecniche e organizzative), a condizione che tali aggiornamenti non riducano in modo sostanziale il livello di protezione dei Dati Personali. Il Responsabile comunica al Titolare qualsiasi aggiornamento sostanziale.
13.4 Clausola di salvaguardia
Qualora una disposizione del presente DPA sia dichiarata invalida o inapplicabile, le restanti disposizioni restano pienamente valide ed efficaci.
14. Legge applicabile e foro competente
Il presente DPA è disciplinato e interpretato in conformità al diritto svizzero, senza riguardo alle sue norme sul conflitto di leggi. I tribunali del Cantone di Ginevra, Svizzera, hanno competenza esclusiva a decidere qualsiasi controversia derivante dal presente DPA o ad esso connessa. Laddove le Leggi applicabili in materia di protezione dei dati richiedano una legge applicabile diversa per specifiche attività di Trattamento (ad esempio il GDPR per gli Interessati dell’UE), prevalgono tali disposizioni inderogabili.
15. Allegato 1: Dettagli del trattamento
Il presente Allegato 1 costituisce parte integrante del DPA e descrive il Trattamento dei Dati Personali effettuato
dal Responsabile per conto del Titolare.
| Elemento | Descrizione |
| Oggetto e finalità del Trattamento | Trattamento dei Dati Personali nella misura necessaria a fornire i Servizi ai sensi dell’Accordo Principale, inclusi gestione dei dati ESG, rendicontazione di sostenibilità, analisi d’impatto, gestione delle utenze, elaborazione dei documenti ed estrazione di informazioni, recupero di informazioni, assistenza alla redazione e altri flussi di lavoro abilitati assistiti dall’IA o basati su servizi esterni |
| Natura del Trattamento | Raccolta, conservazione, organizzazione, strutturazione, estrazione, consultazione, uso, analisi (inclusa l’analisi assistita dall’IA), comunicazione (agli Utenti Autorizzati e ai destinatari autorizzati), limitazione, cancellazione e distruzione dei Dati Personali |
| Durata del Trattamento | Per la durata dell’Accordo Principale, più sessanta (60) giorni dopo la cessazione per il recupero dei dati, più qualsiasi periodo richiesto dalla legge applicabile. Le informazioni trattate dal Responsabile in qualità di titolare autonomo sono conservate come descritto nell’Informativa sulla privacy. |
| Categorie di Interessati | Dipendenti, collaboratori e rappresentanti del Titolare; dipendenti e rappresentanti delle società in portafoglio, delle partecipate o dei partner commerciali del Titolare i cui dati vengono caricati sulla Piattaforma; Utenti Autorizzati della Piattaforma |
| Tipi di Dati Personali | Nome, indirizzo email aziendale, qualifica professionale, denominazione dell’organizzazione, ruolo e responsabilità; dati sulla forza lavoro connessi all’ESG (ad esempio metriche sulla diversità, statistiche su salute e sicurezza e numero di dipendenti per categoria) nella misura in cui tali informazioni costituiscano Dati Personali; dati del titolare dell’utenza o della fattura (inclusi nome, indirizzo, identificativo del conto o del cliente, codice fiscale e numero di telefono) nella misura in cui vengano caricati tramite un flusso di lavoro abilitato; contenuto dei documenti, nomi dei file, estratti di evidenze e campi strutturati inviati per il Trattamento; e informazioni sull’attività dell’utente o sulle attività svolte relative al Trattamento |
| Dati sensibili / categorie particolari di dati | Il Titolare non carica categorie particolari di dati (come definite all’Articolo 9 del GDPR) a meno che tale Trattamento non sia espressamente supportato dalla funzionalità pertinente e il Titolare abbia individuato un’idonea base giuridica e rispettato le Leggi applicabili in materia di protezione dei dati. Nella misura in cui i dati ESG includano metriche sulla diversità, sulla salute o metriche analoghe, il Titolare è responsabile di garantire la liceità del Trattamento |
| Luoghi del trattamento | Svizzera e Spazio economico europeo (archiviazione primaria della Piattaforma); Stati Uniti e altri luoghi utilizzati da OpenAI e dai suoi Sub-responsabili ai sensi delle condizioni sui dati e del DPA applicabili; Stati Uniti per l’endpoint LlamaParse attualmente configurato; e qualsiasi altro luogo indicato nell’elenco aggiornato dei Sub-responsabili per un servizio esterno abilitato, nel rispetto della Sezione 8 |
| Trattamento mediante IA | Il testo dei documenti pertinenti, il contenuto delle fatture, i campi strutturati o gli estratti di evidenze possono essere elaborati direttamente tramite l’API OpenAI per l’estrazione o la generazione. I documenti completi possono essere elaborati tramite LlamaParse per il parsing o l’OCR. I flussi di lavoro di classificazione o mappatura avviati dal cliente possono trasmettere le informazioni inviate al servizio esterno pertinente, incluso un servizio gestito dal JRC ove abilitato. I Contenuti del Cliente non vengono utilizzati per addestrare o migliorare modelli generici di terzi, salvo espressa autorizzazione scritta del Titolare. La conservazione da parte del fornitore è descritta nella Nota sulla Trasparenza dell’IA o nell’elenco aggiornato dei Sub-responsabili, a seconda dei casi. |
16. Allegato 2: Misure tecniche e organizzative
Il Responsabile attua le seguenti misure tecniche e organizzative per proteggere i Dati Personali:
| Categoria di misura | Descrizione |
| Cifratura | Dati cifrati in transito (TLS 1.2+) e a riposo (AES-256). Chiavi di cifratura gestite tramite un servizio dedicato di gestione delle chiavi con rotazione automatica |
| Controllo degli accessi | Controllo degli accessi basato sui ruoli (RBAC); principio del privilegio minimo; autenticazione a più fattori (MFA) obbligatoria per tutto il personale con accesso ai Dati Personali; account utente univoci; accessi riesaminati trimestralmente |
| Sicurezza della rete | Firewall, sistemi di rilevamento/prevenzione delle intrusioni (IDS/IPS), segmentazione della rete, protezione DDoS, VPN per l’accesso amministrativo remoto |
| Sicurezza delle applicazioni | Ciclo di sviluppo sicuro (SDLC); revisioni del codice; test di sicurezza applicativa statici e dinamici (SAST/DAST); scansione delle vulnerabilità delle dipendenze; mitigazione delle OWASP Top 10 |
| Minimizzazione dei dati | Dati Personali raccolti e Trattati solo nella misura necessaria ai Servizi; anonimizzazione e pseudonimizzazione applicate ove possibile |
| Backup e ripristino | Backup automatici regolari; archiviazione geograficamente ridondante; piano di disaster recovery documentato con RTO e RPO definiti; cifratura dei backup |
| Registrazione e monitoraggio | Registrazione centralizzata degli accessi e delle azioni amministrative; monitoraggio e segnalazione delle attività anomale; log di sicurezza e di accesso conservati per dodici (12) mesi. I registri di utilizzo dell’IA e i registri operativi sono conservati separatamente come descritto nell’Informativa sulla privacy e nella Nota sulla Trasparenza dell’IA e sono soggetti ai ruoli e alle finalità applicabili ivi indicati. |
| Risposta agli incidenti | Piano di risposta agli incidenti documentato; team di sicurezza dedicato; test periodici della risposta agli incidenti; capacità di notifica delle violazioni entro 24 ore |
| Gestione dei fornitori | Due diligence su tutti i Sub-responsabili; obblighi contrattuali in materia di protezione dei dati; riesame periodico del livello di sicurezza dei Sub-responsabili |
| Misure relative al personale | Verifiche dei precedenti per il personale con accesso ai Dati Personali; formazione obbligatoria (annuale) in materia di protezione dei dati e sicurezza; obblighi di riservatezza nei contratti di lavoro |
| Sicurezza fisica | Dati ospitati in data centre gestiti professionalmente con controlli degli accessi fisici, monitoraggio e protezioni ambientali; certificazioni pertinenti dei fornitori di infrastruttura riesaminate nell’ambito della gestione dei fornitori |
| Certificazioni | Documentazione di sicurezza pertinente, report di valutazione indipendenti, sintesi dei penetration test e certificazioni mantenute dal Responsabile o dai suoi fornitori di infrastruttura, ove disponibili e appropriati |
| Misure specifiche per l’IA | Trasmissione cifrata ai fornitori autorizzati di IA e di elaborazione documentale; controlli degli accessi basati sui ruoli; minimizzazione dei dati; registri di provenienza e operativi ove supportati; Contenuti del Cliente non utilizzati per addestrare o migliorare modelli generici di terzi, salvo espressa autorizzazione scritta del Titolare; conservazione disciplinata dall’Accordo Principale, dall’Informativa sulla privacy, dalla Nota sulla Trasparenza dell’IA e dal presente DPA |
17. Allegato 3: Sub-responsabili
L’elenco aggiornato dei Sub-responsabili è disponibile su richiesta scrivendo a [email protected].
Il Titolare può iscriversi per ricevere le comunicazioni relative alle modifiche dell’elenco dei Sub-responsabili scrivendo a [email protected] con oggetto “Sub-Processor List Request.”
Il Responsabile comunica al Titolare, con almeno quattordici (14) giorni di anticipo, qualsiasi prevista aggiunta o sostituzione di un Sub-responsabile. Il Titolare può opporsi entro quattordici (14) giorni dalla comunicazione in conformità alla Sezione 5.3 del presente DPA.
L’elenco dei Sub-responsabili identifica ciascun Sub-responsabile mediante la denominazione legale e specifica il servizio o l’attività di trattamento pertinente, il luogo del trattamento e, ove applicabile, il meccanismo di trasferimento internazionale dei dati. L’elenco aggiornato dei Sub-responsabili è disponibile su richiesta in conformità alla Sezione 5.1.
18. Allegato 4: Clausole contrattuali standard
Laddove i Dati Personali vengano trasferiti al di fuori della Svizzera e del SEE verso un paese non riconosciuto come adeguato, le Parti convengono che si applichino le seguenti Clausole Contrattuali Standard:
Per i trasferimenti soggetti al GDPR dell’UE: le Clausole Contrattuali Standard di cui alla Decisione di esecuzione (UE) 2021/914 della Commissione, Modulo Due (da Titolare a Responsabile) o Modulo Tre (da Responsabile a Responsabile), a seconda del trasferimento pertinente, sono incorporate nel presente documento mediante rinvio. Le SCC compilate, inclusi il modulo e gli allegati applicabili, sono disponibili su richiesta.
Per i trasferimenti soggetti alla LPD svizzera: le SCC riconosciute dall’Incaricato federale svizzero della protezione dei dati e della trasparenza (IFPDT) sono incorporate nel presente documento mediante rinvio, con le modifiche necessarie a riflettere il diritto svizzero (inclusi i riferimenti alla LPD e all’IFPDT quale autorità di controllo competente).
Per i trasferimenti soggetti allo UK GDPR: l’International Data Transfer Addendum alle SCC dell’UE (UK Addendum), emesso dall’Information Commissioner’s Office (ICO) del Regno Unito, è incorporato nel presente documento mediante rinvio.
Swiss-US Data Privacy Framework: per i trasferimenti verso Sub-responsabili con sede negli Stati Uniti certificati ai sensi dello Swiss-US Data Privacy Framework (in vigore dal 15 settembre 2024), il DPF costituisce il meccanismo di trasferimento principale, ove applicabile.
Le Parti convengono di compilare e sottoscrivere le SCC e gli eventuali addendum richiesti su richiesta di una delle Parti o di un’autorità di controllo.
