Caricamento...
Caricamento...
Data Processing Agreement ai sensi dell'Art. 28 del Regolamento (UE) 2016/679
In caso di discrepanza tra la versione italiana e quella inglese del presente accordo, prevale la versione italiana.
Ultimo aggiornamento: 12 aprile 2026
Data di efficacia: 12 aprile 2026
Il presente Accordo sul Trattamento dei Dati (di seguito "DPA") disciplina il trattamento di dati personali effettuato da Gitogi Srl, con sede legale in Piazza IV Novembre 4, 20124 Milano, P.IVA IT14288420962 (di seguito il "Responsabile del trattamento" o "Responsabile"), per conto del cliente che sottoscrive i servizi Gitogi (di seguito il "Titolare del trattamento" o "Titolare").
Il presente DPA è parte integrante e sostanziale dei Termini di Servizio e del contratto di fornitura dei servizi Gitogi (di seguito il "Contratto Principale"). Il DPA si applica nella misura in cui Gitogi tratti dati personali per conto del Titolare nell'ambito dell'erogazione dei servizi di AI Adoption & Governance.
Il presente DPA è redatto ai sensi e per gli effetti dell'Art. 28 del Regolamento (UE) 2016/679 (di seguito "GDPR") e dell'Art. 28 del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 (di seguito "Codice Privacy").
Il presente DPA ha ad oggetto la disciplina del trattamento dei dati personali che il Responsabile effettua per conto del Titolare nell'ambito dell'erogazione dei servizi previsti dal Contratto Principale, ivi inclusi a titolo esemplificativo: piattaforma di e-learning (Academy), assistente AI, assessment di maturità AI, consulenza AI governance, template documentali e strumenti di compliance.
Il presente DPA entra in vigore alla data di sottoscrizione del Contratto Principale e rimane efficace per tutta la durata dello stesso, nonché per il periodo necessario alla restituzione o cancellazione dei dati personali ai sensi della Sezione 13.
Il Responsabile tratta i dati personali esclusivamente per le seguenti finalità, tutte strettamente necessarie all'erogazione dei servizi previsti dal Contratto Principale:
Nell'ambito dell'erogazione dei servizi, il Responsabile può trattare le seguenti categorie di dati personali:
Il Responsabile non tratta categorie particolari di dati personali (Art. 9 GDPR) né dati relativi a condanne penali (Art. 10 GDPR). Il Titolare si impegna a non inserire tali dati nella piattaforma.
I dati personali trattati riguardano le seguenti categorie di interessati:
Ai sensi dell'Art. 28(3) GDPR, il Responsabile si obbliga a quanto segue:
Il Responsabile tratta i dati personali esclusivamente sulla base di istruzioni documentate del Titolare, anche in caso di trasferimento verso un paese terzo o un'organizzazione internazionale, salvo che lo richieda il diritto dell'Unione o dello Stato membro cui è soggetto il Responsabile; in tal caso, il Responsabile informa il Titolare circa tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione per rilevanti motivi di interesse pubblico. Le istruzioni del Titolare sono contenute nel Contratto Principale, nel presente DPA e in eventuali istruzioni scritte successive.
Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. Tutto il personale di Gitogi che accede ai dati personali del Titolare è vincolato da accordi di riservatezza e riceve formazione periodica in materia di protezione dei dati personali.
Il Responsabile adotta tutte le misure tecniche e organizzative necessarie per garantire un livello di sicurezza adeguato al rischio, ai sensi dell'Art. 32 GDPR. Le misure di sicurezza sono descritte in dettaglio nella pagina Misure di sicurezza.
Il Titolare conferisce al Responsabile un'autorizzazione generale al ricorso ad altri responsabili del trattamento (sub-responsabili), ai sensi dell'Art. 28(2) GDPR. Il Responsabile informa il Titolare di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di sub-responsabili, dando così al Titolare l'opportunità di opporsi a tali modifiche con un preavviso di almeno 30 giorni. L'elenco aggiornato dei sub-responsabili è disponibile alla pagina Elenco sub-responsabili.
Il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste per l'esercizio dei diritti dell'interessato di cui al Capo III del GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Il Responsabile notifica tempestivamente al Titolare qualsiasi richiesta ricevuta direttamente da un interessato, senza darvi seguito autonomamente salvo diversa istruzione del Titolare.
Il Responsabile assiste il Titolare nel garantire il rispetto degli obblighi di notifica delle violazioni dei dati personali all'Autorità di Controllo (Art. 33 GDPR) e di comunicazione agli interessati (Art. 34 GDPR), tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile. Le modalità di notifica sono disciplinate dalla Sezione 11 del presente DPA.
Al termine della prestazione dei servizi relativi al trattamento, il Responsabile, a scelta del Titolare, cancella o restituisce tutti i dati personali e cancella le copie esistenti, a meno che il diritto dell'Unione o dello Stato membro non ne preveda la conservazione. Le modalità sono disciplinate dalla Sezione 13 del presente DPA.
Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'Art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato. Le modalità sono disciplinate dalla Sezione 14 del presente DPA.
Il Titolare si impegna a:
Il Titolare conferisce al Responsabile un'autorizzazione generale preventiva al ricorso a sub-responsabili del trattamento, ai sensi dell'Art. 28(2) GDPR. Il Responsabile impone a ciascun sub-responsabile, mediante contratto o altro atto giuridico a norma del diritto dell'Unione o dello Stato membro, i medesimi obblighi in materia di protezione dei dati contenuti nel presente DPA, ai sensi dell'Art. 28(4) GDPR.
Il Responsabile informa il Titolare di qualsiasi modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con un preavviso minimo di 30 giorni, per consentire al Titolare di esprimere eventuali obiezioni. In assenza di obiezioni entro il termine indicato, la modifica si intende approvata. In caso di obiezione motivata, le parti si impegnano a negoziare in buona fede una soluzione. Qualora non sia possibile raggiungere un accordo, il Titolare ha diritto di risolvere il Contratto Principale limitatamente ai servizi interessati.
L'elenco completo e aggiornato dei sub-responsabili è disponibile alla pagina Elenco sub-responsabili.
| Sub-responsabile | Finalità | Ubicazione dati | Meccanismo di trasferimento |
|---|---|---|---|
| Supabase | Database, autenticazione, storage | EU (eu-central-1, Frankfurt) | N/A (dati in EU) |
| Stripe | Elaborazione pagamenti e abbonamenti | USA / EU | EU-US DPF + SCCs |
| Anthropic | Chat AI (Claude Sonnet 4 — provider primario) | USA | EU-US DPF + SCCs |
| OpenAI | Chat AI fallback (GPT-4o-mini), embeddings (text-embedding-3-small), validazione batch | USA | EU-US DPF + SCCs |
| Resend | Invio email transazionali e notifiche | USA | EU-US DPF |
| Upstash | Rate limiting (Redis) | EU | N/A (dati in EU) |
| PostHog | Analisi prodotto e comportamento utenti | EU Cloud (eu.posthog.com) | N/A (EU Cloud) |
| Analytics (GA4), reCAPTCHA Enterprise, Google Workspace | USA / EU | EU-US DPF + SCCs | |
| Sentry | Monitoraggio errori e session replay | USA | EU-US DPF |
| Perplexity | Ricerca web per Knowledge Base Brain (opzionale) | USA | EU-US DPF |
| Google AI | Cross-referencing documentale a contesto lungo (opzionale) | USA / EU | EU-US DPF + SCCs |
| AWS | Cloud hosting (AWS Amplify — frontend, SSR, CDN) | EU (eu-west-1, Ireland) | N/A (dati in EU) |
| Aruba | Cloud hosting (Aegis), fatturazione elettronica e conservazione sostitutiva | Italia | N/A (dati in Italia) |
| Microsoft / Azure | Infrastruttura cloud (Aegis) | EU (Ireland) | N/A (dati in EU) |
| Browserless | Scraping JS-rendered per monitoraggio normativo (opzionale, nessun dato personale) | USA | EU-US DPF |
Il Responsabile archivia i dati personali primari nell'Unione Europea (Supabase, regione eu-central-1, Francoforte). Alcuni sub-responsabili possono trattare dati personali al di fuori dello Spazio Economico Europeo, esclusivamente nei limiti strettamente necessari all'erogazione dei servizi.
Per tutti i trasferimenti verso paesi terzi, il Responsabile garantisce l'applicazione di uno o più dei seguenti meccanismi di trasferimento previsti dal Capo V del GDPR:
In caso di violazione dei dati personali che interessi i dati trattati per conto del Titolare, il Responsabile notifica il Titolare senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza, al fine di consentire al Titolare di adempiere all'obbligo di notifica all'Autorità di Controllo entro 72 ore ai sensi dell'Art. 33 GDPR. La notifica contiene almeno:
Il Responsabile coopera con il Titolare e adotta tutte le misure ragionevoli per assistere nelle indagini, nella mitigazione e nella risoluzione della violazione. Il Responsabile documenta ogni violazione in un registro interno ai sensi dell'Art. 33(5) GDPR.
Il Responsabile assiste il Titolare nello svolgimento della valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'Art. 35 GDPR e nell'eventuale consultazione preventiva dell'Autorità di Controllo ai sensi dell'Art. 36 GDPR, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile.
L'assistenza include la fornitura di informazioni relative alle misure di sicurezza tecniche e organizzative adottate, ai sub-responsabili coinvolti, alle categorie di dati trattati e a ogni altro elemento utile alla conduzione della DPIA da parte del Titolare.
Al termine della prestazione dei servizi di trattamento o alla risoluzione del Contratto Principale, il Responsabile, entro 30 giorni dalla richiesta del Titolare e a scelta di quest'ultimo:
In assenza di istruzioni scritte del Titolare entro 30 giorni dalla cessazione del servizio, il Responsabile procede alla cancellazione automatica dei dati personali e di tutte le copie entro ulteriori 30 giorni. Resta salvo l'obbligo di conservazione previsto dal diritto dell'Unione o dello Stato membro applicabile, nel qual caso il Responsabile informa il Titolare e limita il trattamento alla sola conservazione, proteggendo i dati con adeguate misure di sicurezza.
Ai sensi dell'Art. 28(3)(h) GDPR, il Titolare o un revisore terzo indipendente da questi incaricato ha il diritto di effettuare audit per verificare la conformità del Responsabile agli obblighi previsti dal presente DPA, nel rispetto delle seguenti modalità:
Il Responsabile mette a disposizione del Titolare le certificazioni e i report di audit pertinenti dei propri sub-responsabili (ove disponibili), quali SOC 2 Type II, ISO 27001 e penetration test di terze parti, al fine di ridurre la necessità di ispezioni in loco.
Ciascuna parte è responsabile nei confronti dell'altra per i danni derivanti dalla violazione del presente DPA, nel rispetto di quanto previsto dall'Art. 82 GDPR. Il Responsabile è esonerato dalla responsabilità ai sensi dell'Art. 82(3) GDPR se dimostra che l'evento dannoso non gli è in alcun modo imputabile.
Le limitazioni di responsabilità eventualmente previste dal Contratto Principale si applicano anche al presente DPA, salvo che la normativa applicabile non consenta la limitazione della responsabilità per violazioni della normativa sulla protezione dei dati personali.
Il presente DPA entra in vigore contestualmente al Contratto Principale e resta efficace per tutta la durata del Contratto Principale e per il periodo ulteriore necessario al completamento delle operazioni di restituzione o cancellazione dei dati di cui alla Sezione 13.
La risoluzione del Contratto Principale comporta automaticamente la cessazione del presente DPA, fatti salvi gli obblighi di restituzione, cancellazione e riservatezza che sopravvivono alla cessazione.
Il presente DPA è regolato dalla legge italiana e dal Regolamento (UE) 2016/679 (GDPR). Per quanto non espressamente disciplinato, si applicano le disposizioni del Codice Civile italiano e del D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.
Per qualsiasi controversia derivante dall'interpretazione o dall'esecuzione del presente DPA, le parti si impegnano a un tentativo di conciliazione stragiudiziale. In caso di mancata conciliazione, il Foro di Milano avrà competenza esclusiva.
Per qualsiasi questione relativa al presente DPA o al trattamento dei dati personali:
Documenti correlati: