DATA PROCESSING AGREEMENT

Accordo sul trattamento dei dati personali ai sensi dell’art. 28 GDPR

Versione: 1.0
Data di efficacia: 16 ottobre 2026

Il presente Data Processing Agreement (“DPA”) costituisce parte integrante del contratto relativo all’utilizzo di GreenClaim Guard.

TRA

Aicod S.r.l., con sede legale in Via Emilia Ovest 45, 43126 Parma (PR), Italia, C.F. e P.IVA 02452460344 (“Aicod” o “Responsabile”)

e

l’organizzazione identificata nel workspace, nell’offerta commerciale, nell’ordine o nel contratto applicabile (“Cliente” o “Titolare”).

Aicod e Cliente sono di seguito congiuntamente definite le “Parti”.

1. Oggetto e ruoli

Il Cliente determina le finalità e i mezzi essenziali del trattamento dei dati personali contenuti nei materiali caricati, collegati, estratti o analizzati tramite GreenClaim Guard e agisce, per tali trattamenti, quale Titolare del trattamento.

Aicod tratta tali dati esclusivamente per fornire il Servizio al Cliente e agisce quale Responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”).

Il presente DPA non disciplina i trattamenti per i quali Aicod opera quale autonomo Titolare, inclusi i trattamenti relativi alla propria gestione contrattuale, fatturazione, amministrazione degli account e sicurezza dell’infrastruttura, descritti nell’Informativa Privacy.

2. Durata

Il DPA entra in vigore insieme al rapporto contrattuale cui si riferisce o dalla data della sua specifica accettazione o sottoscrizione.

Rimane applicabile per tutto il periodo durante il quale Aicod tratta Dati Personali del Cliente per conto del Cliente.

Gli obblighi che per loro natura devono sopravvivere alla cessazione, inclusi riservatezza, cancellazione, restituzione e cooperazione in relazione a eventi verificatisi durante il rapporto, continuano ad applicarsi per il tempo necessario.

3. Trattamenti disciplinati

La natura, le finalità, le categorie di interessati e le categorie di dati sono specificate nell’Allegato 1.

Aicod tratta i Dati Personali del Cliente esclusivamente:

• per mettere a disposizione GreenClaim Guard;
• per memorizzare, organizzare ed elaborare i materiali del Cliente;
• per effettuare le analisi richieste;
• per eseguire scansioni o acquisizioni attivate dal Cliente;
• per consentire workflow, audit trail, revisione e collaborazione;
• per fornire funzionalità AI richieste dal Cliente;
• per assicurare sicurezza, disponibilità, manutenzione e assistenza del Servizio;
• secondo le ulteriori istruzioni documentate e lecite impartite dal Cliente.

4. Istruzioni documentate

Aicod tratta i Dati Personali del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente.

Costituiscono istruzioni documentate:

• il contratto;
• il presente DPA;
• le configurazioni effettuate dal Cliente nel Servizio;
• le operazioni avviate dagli Utenti autorizzati;
• eventuali ulteriori istruzioni scritte compatibili con il Servizio.

Aicod non utilizza i Dati Personali del Cliente per finalità proprie incompatibili con il proprio ruolo di Responsabile.

Qualora Aicod ritenga che un’istruzione del Cliente violi il GDPR o altra normativa applicabile sulla protezione dei dati, ne informa il Cliente senza ingiustificato ritardo, salvo che ciò sia vietato dalla legge.

Qualora una norma vincolante imponga ad Aicod un trattamento diverso dalle istruzioni del Cliente, Aicod informa preventivamente il Cliente dell’obbligo giuridico, salvo che la legge vieti tale comunicazione per rilevanti motivi di interesse pubblico.

5. Obblighi del Cliente

Il Cliente garantisce, nell’ambito delle proprie responsabilità quale Titolare, che:

• i trattamenti effettuati tramite GreenClaim Guard dispongano di un’idonea base giuridica;
• siano fornite agli interessati le informazioni richieste dalla normativa;
• siano rispettati i principi di liceità, correttezza, trasparenza, minimizzazione, esattezza e limitazione della conservazione;
• gli Utenti autorizzati impartiscano istruzioni coerenti con la normativa;
• i Contenuti del Cliente siano acquisiti e utilizzati lecitamente;
• siano evitati dati personali non necessari rispetto alle finalità del Servizio.

Il Cliente non deve utilizzare il Servizio per trattamenti incompatibili con la natura e le caratteristiche dichiarate di GreenClaim Guard.

6. Categorie particolari e dati giudiziari

GreenClaim Guard non è progettato per richiedere categorie particolari di dati personali ai sensi dell’art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR.

Il Cliente deve evitare di inserire tali dati quando non siano pertinenti e necessari.

Qualora tali informazioni siano incidentalmente contenute in documentazione aziendale sottoposta al Servizio, Aicod le tratta esclusivamente nell’ambito delle istruzioni del Cliente e senza finalità autonome di classificazione o profilazione.

Trattamenti sistematici di categorie particolari o dati giudiziari non previsti dalla normale configurazione del Servizio richiedono preventiva valutazione e accordo scritto tra le Parti.

7. Persone autorizzate e riservatezza

Aicod assicura che le persone autorizzate a trattare Dati Personali del Cliente:

• siano vincolate alla riservatezza mediante obblighi contrattuali, professionali o legali;
• ricevano accesso esclusivamente quando necessario per le rispettive funzioni;
• siano soggette a principi di minimo privilegio;
• ricevano istruzioni appropriate in materia di sicurezza e protezione dei dati.

L’accesso ordinario del personale Aicod ai Contenuti del Cliente non è previsto.

L’accesso può avvenire quando necessario per fornire assistenza richiesta dal Cliente, gestire incidenti di sicurezza, adempiere a obblighi di legge o rispondere a richieste vincolanti delle autorità, nei limiti delle relative autorizzazioni.

8. Misure tecniche e organizzative

Aicod adotta e mantiene misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 GDPR.

Le misure principali sono descritte nell’Allegato 2.

Aicod può evolvere tali misure nel tempo purché il livello complessivo di sicurezza non venga materialmente ridotto.

9. Segregazione dei Clienti

GreenClaim Guard utilizza un’architettura multi-tenant con segregazione logica dei dati.

I dati dei workspace sono associati all’organizzazione di appartenenza e protetti mediante controlli di accesso e regole di autorizzazione a livello applicativo e database.

Aicod non utilizza i dati o i contenuti di un Cliente per fornire ad altri Clienti accesso ai relativi documenti o informazioni riservate.

10. Intelligenza artificiale

Quando il Cliente utilizza funzionalità AI di GreenClaim Guard, Aicod può trasmettere ai fornitori tecnologici coinvolti le porzioni di contenuto necessarie per effettuare l’elaborazione richiesta.

Aicod configura e seleziona tali servizi in modo che, secondo le condizioni applicabili, i Contenuti del Cliente non siano utilizzati per addestrare o migliorare i modelli generali del fornitore.

Aicod non utilizza i Contenuti del Cliente per addestrare propri modelli generali, effettuare benchmarking tra clienti o creare profili commerciali.

Gli Output AI rimangono soggetti alla revisione e decisione umana del Cliente.

11. Sub-responsabili

Il Cliente concede ad Aicod un’autorizzazione generale al ricorso a sub-responsabili ai sensi dell’art. 28, paragrafo 2, GDPR.

Aicod impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli applicabili ad Aicod in relazione ai trattamenti affidati.

Aicod rimane responsabile nei confronti del Cliente dell’adempimento degli obblighi del sub-responsabile nei limiti previsti dalla normativa applicabile.

L’elenco dei principali fornitori coinvolti nei trattamenti è riportato nell’Allegato 3.

Aicod informa il Cliente di modifiche rilevanti relative all’aggiunta o sostituzione di sub-responsabili prima che il nuovo soggetto inizi trattamenti materiali di Dati Personali del Cliente, ove ragionevolmente possibile.

Il Cliente può formulare entro 15 giorni un’opposizione motivata esclusivamente sulla base di concrete ragioni relative alla protezione dei dati.

Le Parti collaborano in buona fede per individuare una soluzione ragionevole. Qualora non sia possibile adottare una soluzione tecnicamente o commercialmente ragionevole, ciascuna Parte potrà cessare la sola funzionalità o, se necessario, il rapporto interessato dal nuovo sub-responsabile secondo le condizioni contrattuali applicabili.

12. Trasferimenti internazionali

Aicod privilegia, ove previsto dalla propria infrastruttura, la conservazione primaria dei dati nello Spazio Economico Europeo.

Qualora l’erogazione del Servizio comporti un trasferimento di Dati Personali verso un Paese terzo, Aicod assicura che il trasferimento avvenga conformemente al Capo V GDPR.

A seconda del fornitore e del trattamento interessato, possono essere utilizzati:

• una decisione di adeguatezza applicabile;
• il Data Privacy Framework UE-USA per destinatari validamente certificati, ove applicabile;
• Clausole Contrattuali Standard della Commissione europea;
• ulteriori garanzie richieste dalla normativa applicabile.

Aicod fornisce al Cliente, su richiesta ragionevole, informazioni sulle garanzie applicabili ai trasferimenti pertinenti al Servizio.

13. Richieste degli interessati

Tenuto conto della natura del trattamento, Aicod assiste il Cliente, mediante misure tecniche e organizzative appropriate e nella misura ragionevolmente possibile, nell’adempimento delle richieste di esercizio dei diritti previsti dagli artt. 15-22 GDPR.

Qualora Aicod riceva direttamente una richiesta relativa a Dati Personali trattati per conto del Cliente, Aicod:

• non decide autonomamente nel merito della richiesta, salvo obbligo di legge;
• informa o identifica il Cliente competente;
• trasmette tempestivamente la richiesta al Cliente;
• presta l’assistenza ragionevolmente necessaria.

14. Sicurezza, DPIA e consultazioni preventive

Tenuto conto della natura del trattamento e delle informazioni a disposizione di Aicod, Aicod assiste ragionevolmente il Cliente nell’adempimento degli obblighi applicabili previsti dagli artt. 32-36 GDPR, inclusi:

• sicurezza del trattamento;
• valutazione delle violazioni;
• valutazioni d’impatto sulla protezione dei dati;
• eventuali consultazioni preventive con l’autorità di controllo.

Qualora l’assistenza richiesta ecceda le funzionalità ordinarie del Servizio e comporti attività significative specificamente dedicate al Cliente, le Parti possono concordarne preventivamente modalità e costi, salvo che la necessità derivi da un inadempimento imputabile ad Aicod.

15. Violazioni dei dati personali

Aicod informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei Dati Personali trattati per conto del Cliente.

Per quanto disponibile, la comunicazione comprende le informazioni ragionevolmente necessarie al Cliente per adempiere agli obblighi previsti dagli artt. 33 e 34 GDPR, incluse:

• natura della violazione;
• categorie di dati e interessati potenzialmente coinvolti;
• possibili conseguenze;
• misure adottate o proposte per contenerla o mitigarne gli effetti;
• punto di contatto per gli approfondimenti.

Quando le informazioni non sono disponibili contemporaneamente, possono essere fornite progressivamente senza ulteriore ingiustificato ritardo.

La comunicazione di una violazione non costituisce riconoscimento di responsabilità da parte di Aicod.

16. Restituzione e cancellazione

Alla cessazione del rapporto, il Cliente può utilizzare gli strumenti disponibili per esportare i propri dati prima della cancellazione.

Salvo obblighi di conservazione previsti dalla legge o diverso accordo scritto:

• i Contenuti operativi del Cliente vengono cancellati dai sistemi attivi entro 30 giorni dalla chiusura del workspace;
• per workspace Trial non convertiti, si applica il periodo di conservazione indicato nell’Informativa Privacy, attualmente pari a 60 giorni dalla scadenza del Trial;
• le copie presenti nei backup di disaster recovery possono permanere fino al completamento del relativo ciclo di rotazione, per un massimo di 30 giorni, e non vengono utilizzate per finalità ordinarie.

Durante la permanenza nei backup, i dati rimangono soggetti alle misure di sicurezza e agli obblighi del presente DPA.

La cancellazione non riguarda informazioni che Aicod è tenuta a conservare per obblighi propri di legge quando agisce quale Titolare autonomo, né le evidenze strettamente necessarie alla prova del rapporto contrattuale, purché tali evidenze non comprendano i Contenuti operativi del workspace.

17. Audit e dimostrazione della conformità

Aicod mette a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi previsti dall’art. 28 GDPR.

Il Cliente può richiedere verifiche documentali ragionevoli.

Qualora tali informazioni non siano sufficienti e sussistano motivi ragionevoli, il Cliente può richiedere un audit, direttamente o tramite un revisore indipendente vincolato alla riservatezza.

Salvo incidenti rilevanti, richieste dell’autorità o ragionevoli evidenze di inadempimento:

• l’audit è effettuato con almeno 30 giorni di preavviso;
• non più di una volta per anno;
• durante il normale orario lavorativo;
• senza compromettere la sicurezza, riservatezza o disponibilità del Servizio;
• senza consentire accesso ai dati di altri Clienti.

I costi dell’audit sono sostenuti dal Cliente, salvo che l’audit accerti una violazione materiale del presente DPA imputabile ad Aicod.

18. Cooperazione con le autorità

Aicod coopera, nei limiti dei propri obblighi legali e del proprio ruolo, con le autorità di controllo competenti.

Qualora riceva una richiesta vincolante relativa ai Dati Personali del Cliente, Aicod informa il Cliente prima di darvi seguito, salvo divieto imposto dalla legge.

19. Responsabilità

Ciascuna Parte risponde delle violazioni degli obblighi ad essa imputabili secondo il GDPR e la normativa applicabile.

Nulla nel presente DPA limita i diritti degli interessati né le responsabilità inderogabili previste dalla legge.

Nei rapporti interni tra le Parti si applicano, ove compatibili con la normativa inderogabile sulla protezione dei dati personali, le condizioni di responsabilità stabilite dal contratto principale e dai Termini di Servizio.

20. Prevalenza

In caso di conflitto tra il presente DPA e i Termini di Servizio relativamente a un trattamento effettuato da Aicod quale Responsabile, prevale il presente DPA.

Eventuali DPA personalizzati specificamente sottoscritti tra le Parti prevalgono sulla versione standard limitatamente alle disposizioni espressamente modificate.

21. Modifiche

Aicod può aggiornare il DPA standard quando necessario per adeguarlo a modifiche normative, regolamentari, infrastrutturali o organizzative.

Le nuove versioni vengono archiviate e versionate.

Quando una modifica richiede una nuova accettazione da parte del Cliente, la versione aggiornata diventa applicabile soltanto a seguito della relativa accettazione o secondo altra valida modalità contrattuale concordata.

22. Legge applicabile

Il presente DPA è regolato dalla medesima legge e dalle medesime disposizioni sulla competenza previste nel contratto principale o nei Termini di Servizio, fatti salvi i poteri inderogabili delle autorità di controllo e delle autorità giudiziarie competenti ai sensi del GDPR.

ALLEGATO 1 — DETTAGLI DEL TRATTAMENTO

1. Oggetto

Trattamento dei dati personali contenuti nei Contenuti del Cliente nell’ambito della fornitura di GreenClaim Guard.

2. Durata

Per la durata dell’utilizzo del Servizio e fino alla cancellazione o restituzione dei dati secondo il presente DPA.

3. Natura e operazioni

Le operazioni possono comprendere:

• raccolta;
• registrazione;
• organizzazione;
• strutturazione;
• conservazione;
• consultazione;
• estrazione;
• analisi;
• raffronto;
• trasmissione limitata ai fornitori necessari;
• cancellazione.

4. Finalità

Fornitura delle funzionalità richieste dal Cliente, tra cui:

• Knowledge Base;
• analisi di testi e documenti;
• monitoraggio web;
• acquisizione di contenuti social tramite API autorizzate;
• rilevazione e gestione di issue;
• audit trail;
• collaborazione tra Utenti;
• elaborazioni AI;
• assistenza tecnica e sicurezza.

5. Categorie di interessati

A seconda dei Contenuti del Cliente, possono essere coinvolti:

• dipendenti;
• collaboratori;
• consulenti;
• amministratori o rappresentanti del Cliente;
• referenti di clienti o fornitori;
• autori o soggetti menzionati in documentazione aziendale;
• persone menzionate incidentalmente in pagine web o materiali analizzati.

Il Servizio non è progettato per trattamenti sistematici relativi a minori.

6. Categorie di dati

Possono essere trattati, in funzione dei materiali caricati o collegati:

• dati identificativi;
• dati professionali;
• dati di contatto;
• nominativi e ruoli presenti in documenti aziendali;
• testo di documenti e comunicazioni;
• dati presenti incidentalmente in pagine web o post social aziendali;
• audit trail e metadati operativi.

Categorie particolari ex art. 9 e dati ex art. 10 GDPR non costituiscono categorie previste ordinariamente dal Servizio e possono essere trattati soltanto incidentalmente o sulla base di specifiche istruzioni lecite del Cliente.

ALLEGATO 2 — MISURE TECNICHE E ORGANIZZATIVE

Aicod mantiene misure proporzionate al rischio, che alla data della presente versione comprendono:

Controllo degli accessi

• autenticazione degli Utenti;
• ruoli e autorizzazioni differenziati;
• segregazione per organizzazione/workspace;
• principio del minimo privilegio;
• limitazione dell’accesso amministrativo ai Contenuti del Cliente.

Sicurezza dei dati

• cifratura del traffico mediante HTTPS/TLS;
• cifratura a riposo dell’infrastruttura di database, storage e backup ove supportata dall’infrastruttura utilizzata;
• storage privato per la documentazione del Cliente;
• gestione server-side di token e segreti applicativi.

Isolamento

• controlli Row-Level Security o misure equivalenti;
• associazione dei record all’organizzazione di appartenenza;
• prevenzione dell’accesso cross-workspace.

Logging e audit

• registrazione degli eventi di autenticazione e sicurezza;
• audit trail delle principali operazioni applicative;
• retention differenziata tra log tecnici e storico operativo.

Continuità e ripristino

• sistemi di backup e disaster recovery;
• ciclo di rotazione delle copie di backup;
• procedure per il ripristino in caso di incidente.

Sicurezza applicativa

• gestione protetta dei segreti;
• segregazione delle credenziali delle integrazioni;
• controlli lato server per le operazioni privilegiate;
• procedure di gestione delle vulnerabilità e degli incidenti.

Organizzazione

• accesso del personale limitato alle necessità operative;
• obblighi di riservatezza;
• gestione degli incidenti;
• procedure di data breach;
• revisione delle autorizzazioni.

ALLEGATO 3 — SUB-RESPONSABILI E FORNITORI TECNOLOGICI

Alla data della Versione 1.0, GreenClaim Guard utilizza i seguenti principali fornitori tecnici, nella misura in cui operino quali sub-responsabili per lo specifico trattamento:

Lovable / Lovable Cloud

Funzione: infrastruttura applicativa, hosting/runtime, servizi database, autenticazione e storage utilizzati dalla piattaforma.

OpenAI / servizi AI resi disponibili attraverso il gateway tecnologico utilizzato dal Servizio

Funzione: elaborazione dei contenuti necessari all’esecuzione delle funzionalità AI richieste dal Cliente.

Cloudflare

Funzione: servizi di rete, sicurezza, CDN, protezione DDoS/WAF e trasporto delle richieste.

Altri provider eventualmente coinvolti in funzioni opzionali, quali autenticazione Single Sign-On o integrazioni social, possono operare con ruoli privacy differenti a seconda del servizio e dei rispettivi termini.

Aicod mantiene una documentazione aggiornata dei fornitori e delle garanzie applicabili ai trattamenti effettuati per conto dei Clienti.

Aicod S.r.l. — GreenClaim Guard — Data Processing Agreement v1.0