Accordo sul trattamento dei dati

Versione del 21 ottobre 2026

1. Parti e ambito

1.1. Il presente accordo (Accordo o DPA) disciplina i trattamenti che Gitogi Srl, con sede in Piazza IV Novembre 4, 20124 Milano, partita IVA e codice fiscale 14288420962 (Gitogi), effettua per conto del cliente identificato nell'offerta accettata (Cliente). Quando il Cliente è titolare del trattamento (Titolare), Gitogi opera come responsabile (Responsabile). Quando il Cliente è responsabile per un altro titolare, Gitogi opera come sub-responsabile, alle condizioni del paragrafo 1.5; i richiami ai ruoli nell'Accordo si leggono secondo tale catena di trattamento.

1.2. L'Accordo integra il Contratto definito dall'art. 13 dei Termini e condizioni: l'offerta accettata (Offerta), gli allegati identificati nell'Offerta, le variazioni concordate e le condizioni generali applicabili. È concluso in forma scritta, anche elettronica, mediante sottoscrizione oppure accettazione di un'Offerta che lo richiami e ne identifichi la versione, resa disponibile al Cliente prima dell'accettazione. La sola pubblicazione sul sito non costituisce la nomina di Gitogi a responsabile.

1.3. L'Accordo riguarda, per esempio, migrazioni di dati, configurazione e assistenza di gestionali, sviluppo e manutenzione di software e integrazioni di intelligenza artificiale, quando queste attività comportano un trattamento per conto del Cliente.

1.4. Sono esclusi i trattamenti per i quali Gitogi determina autonomamente finalità e mezzi, come la gestione dei referenti commerciali e degli adempimenti amministrativi propri, descritti nella Privacy policy. I tempi di conservazione previsti per il sito non si applicano automaticamente ai dati dei progetti.

1.5. Se il Cliente opera a sua volta come responsabile per un altro titolare, deve comunicarlo prima del trattamento e documentare l'autorizzazione a incaricare Gitogi come sub-responsabile. L'Accordo si applica alla relativa catena di trattamento, con gli adattamenti necessari e gli eventuali obblighi aggiuntivi comunicati e concordati prima dell'accesso ai dati.

1.6. I termini relativi alla protezione dei dati hanno il significato del Regolamento (UE) 2016/679 (GDPR). In questa materia l'Accordo prevale sulle disposizioni incompatibili del Contratto. Sono ammesse integrazioni specifiche del progetto che rispettino il GDPR e non riducano le garanzie dell'Accordo. Restano prevalenti le clausole contrattuali tipo applicabili ai trasferimenti internazionali, secondo le loro regole.

2. Descrizione e durata del trattamento

2.1. Il trattamento ha per oggetto esclusivamente i dati necessari ai servizi identificati nell'Offerta. La finalità è eseguire tali servizi secondo le istruzioni del Cliente, senza riutilizzare i dati per finalità autonome di Gitogi.

2.2. Prima di iniziare il trattamento, le parti documentano nell'Offerta o in una scheda di trattamento allegata al Contratto:

2.3. Gli esempi della tabella non autorizzano tutte le categorie o operazioni elencate. Se mancano informazioni necessarie, le parti le completano per iscritto prima di avviare il trattamento interessato. La semplice disponibilità di dati in un sistema non costituisce un'istruzione a utilizzarli.

2.4. Il trattamento dura quanto necessario ai servizi e alle operazioni di cessazione previste dall'art. 11. Durante il progetto Gitogi rispetta i tempi di conservazione e le istruzioni di cancellazione documentati dal Cliente.

2.5. Il Cliente non mette a disposizione categorie particolari di dati ai sensi dell'art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR senza una preventiva previsione scritta del progetto, i pertinenti presupposti di liceità e misure adeguate. Se Gitogi rileva dati eccedenti o non previsti, informa il Cliente e ne limita il trattamento a quanto necessario per proteggerli e gestirne la restituzione o cancellazione su istruzione.

3. Obblighi e diritti del Cliente

3.1. Quando opera come titolare, il Cliente determina finalità e mezzi essenziali del trattamento ed è responsabile delle basi giuridiche, delle informative dovute, anche quando i dati non sono raccolti direttamente presso gli interessati, e della liceità delle istruzioni impartite. Quando opera come responsabile, trasmette a Gitogi soltanto istruzioni conformi a quelle del titolare e all'autorizzazione ricevuta, senza assumere per questo il potere di determinare finalità e mezzi essenziali.

3.2. Il Cliente mette a disposizione soltanto dati pertinenti e necessari, individua i referenti autorizzati a impartire istruzioni e comunica tempestivamente le informazioni utili alla sicurezza e all'esercizio dei diritti.

3.3. Il Cliente può impartire istruzioni documentate, ottenere assistenza e informazioni, verificare il trattamento, opporsi alle modifiche dei sub-responsabili e scegliere tra restituzione e cancellazione, secondo l'Accordo.

3.4. Questi obblighi non esonerano Gitogi dai doveri e dalle responsabilità che la legge attribuisce direttamente al responsabile del trattamento. L'Accordo non costituisce, da solo, una base giuridica per il trattamento dei dati degli interessati.

4. Istruzioni documentate

4.1. Gitogi tratta i dati soltanto secondo le istruzioni documentate contenute nel Contratto, nella scheda di trattamento e nelle successive comunicazioni scritte dei referenti autorizzati, anche per i trasferimenti verso paesi terzi o organizzazioni internazionali.

4.2. Se un trattamento è imposto dal diritto dell'Unione o dello Stato membro cui Gitogi è soggetta, Gitogi informa preventivamente il Cliente dell'obbligo, salvo che la legge vieti tale informazione per rilevanti motivi di interesse pubblico.

4.3. Gitogi informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre disposizioni dell'Unione o degli Stati membri sulla protezione dei dati. Non esegue l'istruzione contestata finché il problema non sia risolto in modo conforme alla legge. La semplice conferma scritta del Cliente non rende lecita un'istruzione illecita.

4.4. Le istruzioni che modificano l'ambito dei servizi sono gestite secondo la procedura contrattuale applicabile. La definizione dei relativi costi non giustifica il rinvio degli adempimenti inderogabili di protezione dei dati.

5. Persone autorizzate e riservatezza

5.1. Gitogi consente l'accesso soltanto alle persone che ne hanno necessità per svolgere i compiti assegnati, impartisce istruzioni adeguate e assicura che siano vincolate alla riservatezza per contratto o per legge.

5.2. Gli obblighi di riservatezza continuano dopo la cessazione dell'incarico. Gitogi adegua o revoca le autorizzazioni quando viene meno la necessità di accesso.

5.3. Per i collaboratori esterni, la qualificazione dipende dall'attività e dal rapporto effettivo: chi tratta dati sotto l'autorità diretta di Gitogi è soggetto al presente articolo; chi opera come distinto responsabile è soggetto all'art. 7.

6. Sicurezza

6.1. Gitogi si impegna a mettere in atto e mantenere misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR, considerando natura, contesto e finalità del trattamento, stato dell'arte e costi di attuazione.

6.2. Prima del trattamento, le parti individuano nella documentazione del progetto le misure concretamente applicabili. La pagina Misure di sicurezza può essere richiamata identificandone versione e parti pertinenti; le caratteristiche del sito non si estendono automaticamente agli ambienti dei clienti.

6.3. Le misure devono disciplinare almeno:

• autorizzazioni, autenticazione, protezione delle credenziali e revoca degli accessi;
• protezione dei dati durante trasmissione, conservazione e lavorazione, con cifratura e pseudonimizzazione ove adeguate al rischio;
• riservatezza, integrità, disponibilità e resilienza dei sistemi utilizzati;
• ripristino della disponibilità e dell'accesso ai dati dopo un incidente, con responsabilità e modalità degli eventuali backup;
• gestione di vulnerabilità, incidenti, copie temporanee e cancellazione;
• verifiche periodiche dell'efficacia delle misure.

6.4. Se Gitogi opera su account o infrastrutture del Cliente, quest'ultimo assicura le misure relative alle componenti che gestisce direttamente o affida ai propri fornitori. Gitogi resta responsabile dei propri accessi, delle proprie attività e delle configurazioni o misure affidatele dal Contratto. Segnala le carenze rilevanti di cui viene a conoscenza e collabora alla loro gestione.

6.5. Gli aggiornamenti delle misure non devono ridurre la protezione dei dati. Le modifiche rilevanti per il progetto sono documentate e comunicate al Cliente; quelle che incidono sulle istruzioni o sulle prestazioni concordate seguono anche la procedura contrattuale applicabile.

7. Sub-responsabili

7.1. Con la conclusione scritta dell'Accordo, il Cliente concede a Gitogi un'autorizzazione generale a ricorrere a sub-responsabili, alle condizioni del presente articolo.

7.2. Prima del trattamento, Gitogi comunica l'elenco dei sub-responsabili del progetto, con identità, attività, luoghi di trattamento ed eventuali trasferimenti internazionali. L'elenco può essere contenuto nell'Offerta, nella scheda di trattamento o nella sezione pertinente della pagina Sub-responsabili, purché la versione applicabile sia identificata e resa disponibile al Cliente. Un fornitore del sito non è, per questo solo fatto, autorizzato a trattare dati dei progetti.

7.3. Gitogi comunica per iscritto ogni aggiunta o sostituzione prevista almeno 15 giorni prima dell'accesso ai dati. La sola modifica di una pagina web non sostituisce questa comunicazione. Il Cliente può opporsi entro tale termine per motivi ragionevoli e documentati di protezione dei dati.

7.4. Durante il termine di opposizione, e in caso di opposizione finché non sia risolta, il nuovo soggetto non tratta i dati interessati. Le parti cercano una soluzione adeguata. In mancanza, il Cliente può recedere dai servizi coinvolti senza penali, pagando le prestazioni regolarmente eseguite; gli importi anticipati per prestazioni non eseguite sono restituiti. Restano salvi gli altri rimedi previsti dalla legge.

7.5. Un termine più breve richiede una preventiva autorizzazione scritta specifica del Cliente. Il mancato riscontro a una richiesta urgente non equivale a tale autorizzazione.

7.6. Gitogi vincola ogni sub-responsabile mediante un accordo scritto che imponga gli stessi obblighi di protezione dei dati pertinenti alle attività affidate, comprese garanzie sufficienti di sicurezza. Se il sub-responsabile non adempie, Gitogi resta pienamente responsabile verso il Cliente dell'adempimento di tali obblighi.

7.7. Il soggetto incaricato direttamente dal Cliente, che tratta dati esclusivamente nell'ambito di tale incarico, non è un sub-responsabile di Gitogi. L'intestazione dell'account o il pagamento del servizio, da soli, non determinano il ruolo: contano i rapporti contrattuali e le attività effettive. Gitogi rispetta comunque le istruzioni relative all'uso di questi ambienti.

8. Trasferimenti internazionali

8.1. Gitogi trasferisce dati fuori dallo Spazio economico europeo, o consente accessi da tali paesi, soltanto secondo istruzioni documentate e nel rispetto del Capo V GDPR. La collocazione dei server in Europa non esclude, da sola, un trasferimento.

8.2. Prima del trasferimento, Gitogi mette a disposizione informazioni su destinatari, paesi, attività e presupposto utilizzato. Ove necessario, adotta le clausole contrattuali tipo pertinenti, valuta le condizioni del trasferimento e attua misure supplementari adeguate.

8.3. Le decisioni di adeguatezza possono essere utilizzate soltanto entro il loro ambito e finché applicabili. Il ricorso al quadro UE-USA per la protezione dei dati richiede che il destinatario e il trattamento siano effettivamente coperti.

8.4. Gitogi informa il Cliente se una garanzia viene meno e non prosegue il trasferimento in assenza di un altro presupposto valido. Su richiesta fornisce la documentazione pertinente, con gli oscuramenti strettamente necessari a proteggere informazioni estranee al trattamento.

9. Assistenza al Cliente

9.1. Tenendo conto della natura del trattamento, Gitogi assiste il Cliente, mediante misure tecniche e organizzative adeguate e nella misura possibile, nel rispondere alle richieste di esercizio dei diritti degli interessati.

9.2. Se riceve direttamente una richiesta relativa ai dati del progetto, la inoltra al Cliente senza ingiustificato ritardo. Non decide autonomamente sull'accoglimento, salvo un obbligo di legge; può confermare la ricezione e indicare il contatto del Cliente.

9.3. Tenendo conto della natura del trattamento e delle informazioni disponibili, Gitogi assiste il Cliente negli adempimenti degli artt. 32-36 GDPR, comprese sicurezza, gestione delle violazioni, valutazione d'impatto e consultazione preventiva.

9.4. L'assistenza ordinaria e l'adempimento degli obblighi propri di Gitogi sono compresi nel corrispettivo dei servizi. Prestazioni ulteriori possono essere remunerate secondo tariffe già concordate o un preventivo accettato. Una controversia sui costi non sospende l'assistenza necessaria a rispettare termini o obblighi inderogabili.

10. Violazioni dei dati personali

10.1. Gitogi informa il Cliente di ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo dal momento in cui ne viene a conoscenza, ai sensi dell'art. 33.2 GDPR. La comunicazione non viene rinviata fino al completamento dell'indagine.

10.2. Gitogi comunica, per quanto disponibile:

• natura della violazione, categorie e numero approssimativo degli interessati e delle registrazioni coinvolte;
• probabili conseguenze;
• misure adottate o proposte per contenere la violazione e attenuarne gli effetti;
• recapito da contattare per gli aggiornamenti.

10.3. Le informazioni mancanti sono fornite progressivamente senza ulteriore ingiustificato ritardo. Gitogi documenta l'accaduto e coopera alle attività di contenimento, accertamento e ripristino.

10.4. Le decisioni sulle notifiche all'autorità di controllo e sulle comunicazioni agli interessati spettano al Cliente, salvo obblighi di legge direttamente applicabili a Gitogi. Gitogi fornisce l'assistenza necessaria.

11. Restituzione e cancellazione

11.1. Alla cessazione dei servizi di trattamento, il Cliente sceglie tra restituzione e cancellazione dei dati. In caso di restituzione, Gitogi elimina anche le copie rimaste in proprio possesso o presso i propri sub-responsabili, salvo conservazione imposta dal diritto dell'Unione o degli Stati membri.

11.2. Il Cliente può comunicare la scelta prima della cessazione o entro i 30 giorni successivi. Con l'accettazione dell'Accordo impartisce fin d'ora l'istruzione di cancellare se non comunica una scelta diversa entro tale termine. Gitogi gli ricorda per iscritto la scadenza e la conseguenza del mancato riscontro.

11.3. Restituzione e cancellazione dei dati nei sistemi attivi e delle copie di lavoro sono completate senza ingiustificato ritardo e, salvo un termine più breve concordato, entro 60 giorni dalla cessazione. La restituzione avviene attraverso un canale adeguatamente protetto e in un formato di uso comune idoneo ai dati. Eventuali attività ulteriori di migrazione sono concordate separatamente e non condizionano la restituzione dovuta.

11.4. Se il progetto utilizza backup che non consentono la cancellazione selettiva immediata, le parti ne documentano prima del trattamento il ciclo e il termine massimo di eliminazione. Fino alla loro eliminazione le copie residue rimangono protette, isolate dall'uso ordinario e utilizzabili soltanto per il ripristino necessario; in caso di ripristino, le cancellazioni già disposte sono nuovamente applicate. Non è ammessa una conservazione a tempo indeterminato.

11.5. Durante le operazioni di cessazione il trattamento è limitato a restituzione, cancellazione, sicurezza e conservazioni obbligatorie. Per queste ultime Gitogi comunica, se consentito, la norma, i dati e il periodo interessati.

11.6. Se i dati restano su sistemi del Cliente, Gitogi cessa gli accessi, elimina le proprie copie e coopera alla revoca delle credenziali. Non cancella i dati del Cliente nei suoi sistemi senza istruzione.

11.7. Gitogi conferma per iscritto il completamento delle operazioni, indicando eventuali copie residue, motivo della conservazione e termine di eliminazione. L'Accordo resta applicabile a tali copie.

12. Intelligenza artificiale

12.1. L'uso dell'IA nei servizi è disciplinato anche dall'art. 22 dei Termini e condizioni. Per i dati personali prevalgono le garanzie del presente Accordo.

12.2. Gitogi non utilizza i dati del Cliente per addestrare, rifinire o migliorare modelli propri o di terzi. Un progetto che richieda queste operazioni necessita di un accordo scritto specifico che ne definisca finalità, dati, ruoli, presupposti di liceità, destinatari e misure. La sola autorizzazione del Cliente non sostituisce tali presupposti.

12.3. Prima di trasmettere dati a un servizio di IA, la documentazione del progetto identifica il servizio, il fornitore contrattuale, i luoghi di trattamento, i dati trasmessi, i tempi di conservazione e le condizioni di utilizzo dei contenuti. Se il fornitore è incaricato da Gitogi, si applicano gli artt. 7 e 8.

12.4. Al di fuori dell'eventuale progetto specifico del paragrafo 12.2, Gitogi utilizza servizi che escludano contrattualmente l'uso dei contenuti del Cliente per l'addestramento. Non inserisce dati personali del progetto in strumenti per uso personale privi di un accordo sul trattamento adeguato al ruolo svolto.

12.5. Si applicano la minimizzazione e, quando adeguate, pseudonimizzazione o anonimizzazione prima della trasmissione. Sostituire un nome con un codice non rende automaticamente anonimi i dati.

13. Informazioni e verifiche

13.1. Gitogi mette a disposizione tutte le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e dell'Accordo e consente e contribuisce alle verifiche del Cliente o di un revisore da questo incaricato, comprese le ispezioni.

13.2. Le verifiche ordinarie sono organizzate con un preavviso normalmente di 30 giorni, durante l'orario di lavoro e con modalità proporzionate all'oggetto. Non si applica un limite rigido annuale. Il preavviso è ridotto o escluso quando lo richiedano un'autorità, un incidente, fondati indizi di non conformità o un'altra esigenza urgente di protezione dei dati.

13.3. Le parti tutelano riservatezza, sicurezza e dati di altri clienti senza impedire le verifiche necessarie. Gitogi può fornire inizialmente documentazione e relazioni di verifica disponibili, ma queste non sostituiscono un'ispezione necessaria.

13.4. Gitogi assicura che gli accordi con i sub-responsabili permettano di ottenere informazioni e verifiche sufficienti. Le condizioni di un fornitore non possono svuotare i diritti riconosciuti al Cliente dall'art. 28 GDPR.

13.5. Ciascuna parte sostiene i propri costi ordinari; il Cliente sostiene quelli del revisore che incarica. Eventuali costi straordinari di assistenza sono concordati preventivamente e non devono ostacolare il controllo. Gitogi sostiene i costi ragionevoli della verifica resa necessaria da un proprio inadempimento accertato.

14. Responsabilità

14.1. Restano fermi i diritti degli interessati e la responsabilità prevista dall'art. 82 GDPR, compreso il diritto di regresso nei termini stabiliti dalla legge.

14.2. Nei rapporti tra le parti, l'art. 27 dei Termini e condizioni si applica soltanto nella misura in cui le relative limitazioni siano validamente pattuite e consentite dalla legge. Non sono limitate la responsabilità per dolo o colpa grave, quella non limitabile ai sensi dell'art. 1229 c.c. o altri obblighi inderogabili.

14.3. Nessuna disposizione riduce i diritti degli interessati, i poteri delle autorità o gli obblighi di Gitogi relativi ai sub-responsabili. L'Accordo non prevede un trasferimento automatico delle sanzioni amministrative da una parte all'altra.

15. Durata, modifiche e disposizioni finali

15.1. L'Accordo resta efficace finché Gitogi o i suoi sub-responsabili trattano dati del progetto. Gli obblighi destinati a sopravvivere, compresi riservatezza e responsabilità, continuano secondo la loro natura.

15.2. Le modifiche seguono l'art. 34 dei Termini e condizioni, nel rispetto della forma scritta e delle garanzie del presente Accordo. La pubblicazione di una nuova versione non modifica da sola i DPA già conclusi. Le norme imperative sopravvenute si applicano secondo legge; le parti documentano gli adeguamenti necessari senza ritardarne l'attuazione.

15.3. Si applica la legge italiana. Per le controversie valgono le disposizioni del Contratto, soltanto se validamente convenute e compatibili con le competenze inderogabili e i diritti degli interessati.

15.4. Quando richiesto dagli artt. 1341 e 1342 c.c., l'Offerta deve individuare e sottoporre a specifica approvazione scritta le clausole soggette a tale requisito, comprese le limitazioni richiamate al paragrafo 14.2 e le eventuali deroghe alla competenza. Il generico richiamo al DPA non sostituisce questa approvazione.

Recapiti per la protezione dei dati

Per istruzioni e comunicazioni sull'Accordo: info@gitogi.com. PEC: pec@pec.gitogi.com.

Gitogi invia le comunicazioni al Cliente ai recapiti indicati nell'Offerta o nella scheda di trattamento. Il Cliente deve mantenerli aggiornati, in particolare per le violazioni dei dati personali.