Premesse

TRA

Il Cliente, come identificato nell'Ordine, di seguito il "Titolare";

E

[RAGIONE_SOCIALE], [SEDE_LEGALE], P.IVA [PARTITA_IVA], di seguito "Refida" o il "Responsabile";

congiuntamente le "Parti".

PREMESSO CHE

a) le Parti hanno stipulato un contratto avente ad oggetto la fornitura della piattaforma Refida (il "Contratto Principale");

b) nell'esecuzione del Contratto Principale Refida tratta dati personali per conto del Titolare;

c) il Titolare determina le finalità e i mezzi di tale trattamento;

d) le Parti intendono disciplinare tale trattamento ai sensi dell'art. 28 GDPR;

SI CONVIENE QUANTO SEGUE

1. Definizioni e gerarchia

1.1 I termini "dati personali", "trattamento", "titolare", "responsabile", "interessato", "violazione dei dati personali", "sub-responsabile" e "autorità di controllo" hanno il significato loro attribuito dal GDPR.

1.2 Il presente DPA costituisce parte integrante del Contratto Principale. In caso di conflitto in materia di protezione dei dati personali, prevale il presente DPA.

2. Oggetto, natura e durata del trattamento

2.1 Oggetto, natura, finalità, tipi di dati personali e categorie di interessati sono descritti nell'Allegato A.

2.2 Il trattamento ha durata pari a quella del Contratto Principale, salvo gli obblighi che sopravvivono ai sensi dell'art. 11.

3. Ruoli delle Parti

3.1 Il Titolare è responsabile della liceità dei dati personali che inserisce o fa inserire nella piattaforma, dell'individuazione di una base giuridica adeguata, dell'assolvimento degli obblighi informativi verso gli interessati e della correttezza delle istruzioni impartite a Refida.

3.2 Il Titolare garantisce in particolare di aver assolto tali obblighi rispetto ai dati personali di terzi caricati in piattaforma, ivi compresi referenti di fornitori, appaltatori, professionisti e controparti contrattuali, nonché rispetto al contenuto delle comunicazioni caricate o inoltrate nella piattaforma.

3.3 Refida agisce esclusivamente su istruzione documentata del Titolare. Costituiscono istruzioni documentate: il Contratto Principale, il presente DPA e la documentazione ufficiale del Servizio; nonché le ulteriori istruzioni impartite per iscritto dal Titolare, purché compatibili con le funzionalità del Servizio.

3.4 Refida informa immediatamente il Titolare qualora ritenga che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, e può sospendere l'esecuzione dell'istruzione fino a chiarimento.

3.5 Se Refida determina autonomamente finalità e mezzi di un trattamento, ne risponde come titolare autonomo per quel trattamento.

4. Obblighi di Refida

Refida si impegna a:

a) trattare i dati personali solo per le finalità di cui all'Allegato A e su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi, salvo obblighi di legge — in tal caso ne informa il Titolare prima del trattamento, salvo che la legge lo vieti per motivi di interesse pubblico;

b) garantire che le persone autorizzate al trattamento siano istruite e si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza;

c) adottare le misure tecniche e organizzative di cui all'art. 32 GDPR, descritte nell'Allegato C;

d) rispettare le condizioni di cui all'art. 6 per il ricorso a sub-responsabili;

e) assistere il Titolare con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli interessati (artt. 12–23 GDPR);

f) assistere il Titolare negli adempimenti di cui agli artt. 32–36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva), tenuto conto della natura del trattamento e delle informazioni a disposizione di Refida;

g) cancellare o restituire i dati personali al termine del trattamento, secondo l'art. 11;

h) mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e consentire le verifiche di cui all'art. 10;

i) mantenere un registro dei trattamenti effettuati per conto del Titolare ai sensi dell'art. 30, par. 2 GDPR.

5. Riservatezza e minimizzazione degli accessi

5.1 L'accesso ai dati personali del Titolare da parte del personale di Refida è limitato a quanto strettamente necessario per l'erogazione, la manutenzione e il supporto del Servizio, secondo il principio del privilegio minimo.

5.2 Gli accessi del personale di Refida ai dati di produzione sono registrati e conservati per [MESI_LOG_ACCESSI] mesi.

5.3 Refida non accede al contenuto dei Contenuti del Cliente se non: (a) su richiesta di supporto del Titolare; (b) per finalità di sicurezza o diagnostica su incidente; (c) ove imposto per legge.

6. Sub-responsabili

6.1 Il Titolare autorizza in via generale il ricorso a sub-responsabili, alle condizioni del presente articolo.

6.2 I sub-responsabili in essere alla data di sottoscrizione sono elencati nell'Allegato B.

6.3 Refida comunica al Titolare l'intenzione di aggiungere o sostituire un sub-responsabile con almeno [GIORNI_PREAVVISO_SUB] giorni di preavviso, mediante [MODALITA_COMUNICAZIONE: email al referente indicato / avviso in piattaforma / pagina web dedicata con sottoscrizione notifiche].

6.4 Il Titolare può opporsi per motivi ragionevoli e documentati legati alla protezione dei dati entro [GIORNI_OPPOSIZIONE] giorni dalla comunicazione. In caso di opposizione le Parti cooperano in buona fede per individuare una soluzione alternativa. Se non è possibile, il Titolare può risolvere il Contratto Principale limitatamente ai servizi interessati, senza penali e con rimborso pro rata dei corrispettivi non goduti.

6.5 Refida impone contrattualmente ai sub-responsabili obblighi di protezione dei dati non meno onerosi di quelli del presente DPA e risponde integralmente del loro operato nei confronti del Titolare.

7. Trasferimenti verso paesi terzi

7.1 I trattamenti avvengono [ALL'INTERNO DELLO SEE / anche al di fuori dello SEE come indicato nell'Allegato B].

7.2 Ogni trasferimento verso un paese terzo avviene esclusivamente in presenza di: (a) decisione di adeguatezza ex art. 45 GDPR; (b) Clausole Contrattuali Standard adottate con decisione (UE) 2021/914, integrate ove necessario da misure supplementari sulla base di una valutazione d'impatto sul trasferimento; o (c) altra garanzia adeguata ex art. 46 GDPR.

7.3 Ove siano applicabili le Clausole Contrattuali Standard, le Parti concordano che si applica il Modulo 2 (titolare → responsabile), con: clausola 7 (docking) [applicabile / non applicabile]; clausola 9 opzione 2 (autorizzazione generale ai sub-responsabili, preavviso di cui all'art. 6.3); clausola 11 ricorso a organismo indipendente [non applicabile]; clausola 17 legge applicabile: Italia; clausola 18(b) foro: Italia. Gli Allegati A, B e C del presente DPA valgono rispettivamente come Allegati I, III e II delle Clausole.

8. Violazioni dei dati personali

8.1 Refida notifica al Titolare ogni violazione dei dati personali che coinvolga i dati trattati per suo conto senza ingiustificato ritardo e comunque entro [ORE_NOTIFICA] ore dal momento in cui ne acquisisce effettiva conoscenza.

8.2 La notifica contiene, nella misura disponibile: natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, probabili conseguenze, misure adottate o proposte, punto di contatto per ulteriori informazioni. Le informazioni non immediatamente disponibili sono fornite progressivamente senza ulteriore ritardo.

8.3 La notifica all'autorità di controllo e la comunicazione agli interessati competono al Titolare. Refida non effettua tali notifiche per conto del Titolare senza sua istruzione scritta, salvo obbligo di legge proprio.

8.4 Refida coopera e fornisce ogni assistenza ragionevole al Titolare nella gestione della violazione e nel contenimento dei relativi effetti.

9. Assistenza al Titolare

9.1 Se Refida riceve direttamente una richiesta di esercizio dei diritti da parte di un interessato relativa a dati trattati per conto del Titolare, non vi dà seguito autonomamente e la trasmette al Titolare senza ingiustificato ritardo.

9.2 Refida mette a disposizione funzionalità del Servizio che consentono al Titolare di accedere, rettificare, esportare e cancellare i dati autonomamente. Ove ciò non sia sufficiente, presta l'assistenza necessaria.

9.3 Refida fornisce al Titolare le informazioni in proprio possesso necessarie per lo svolgimento di una valutazione d'impatto sulla protezione dei dati (art. 35 GDPR).

10. Audit e verifiche

10.1 Refida mette a disposizione del Titolare, su richiesta scritta, la documentazione necessaria a dimostrare la conformità: descrizione delle misure di sicurezza, [eventuali certificazioni o report di audit di terze parti], risposte a questionari di sicurezza in formato standard.

10.2 Il Titolare può svolgere un'attività di audit una volta all'anno, con preavviso di almeno [GIORNI_PREAVVISO_AUDIT] giorni, in orario lavorativo, senza compromettere la sicurezza e la riservatezza degli altri clienti di Refida, e previa sottoscrizione di un accordo di riservatezza. Audit ulteriori sono ammessi a seguito di una violazione dei dati personali o su richiesta motivata di un'autorità di controllo.

10.3 Costi e oneri di audit sono a carico del Titolare, salvo il caso in cui l'audit accerti un inadempimento sostanziale di Refida.

11. Cessazione: restituzione e cancellazione

11.1 Alla cessazione del Contratto Principale, i dati personali restano disponibili per l'esportazione per [GIORNI_EXPORT] giorni.

11.2 Decorso tale termine, Refida cancella i dati personali dagli ambienti di produzione entro [GIORNI_CANCELLAZIONE] giorni.

11.3 Le copie contenute nei backup sono cancellate secondo il normale ciclo di rotazione, entro un massimo di [GIORNI_BACKUP] giorni. Fino a quel momento restano soggette alle misure di sicurezza di cui all'Allegato C e non sono oggetto di alcun trattamento attivo.

11.4 Refida può conservare i dati oltre tali termini solo ove imposto dal diritto dell'Unione o dello Stato membro, informandone il Titolare e limitando il trattamento alla sola conservazione.

11.5 Su richiesta, Refida rilascia attestazione scritta dell'avvenuta cancellazione.

12. Responsabilità

12.1 La responsabilità delle Parti derivante dal presente DPA è soggetta alle limitazioni previste dal Contratto Principale, nei limiti consentiti dalla legge.

12.2 Resta ferma la responsabilità diretta di ciascuna Parte verso gli interessati e le autorità di controllo ai sensi degli artt. 82 e 83 GDPR, non derogabile pattiziamente.

13. Legge applicabile e foro

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente il Foro di [FORO_COMPETENTE].

ALLEGATO A — Descrizione del trattamento

Titolare del trattamento: il Cliente come identificato nell'Ordine. Responsabile del trattamento: [RAGIONE_SOCIALE].

Oggetto

Fornitura della piattaforma SaaS Refida per la gestione di progetti e procurement in ambito real estate.

Natura e operazioni di trattamento

Raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, raffronto, limitazione, cancellazione, distruzione. In particolare: hosting, archiviazione documentale, elaborazione automatica di comunicazioni e documenti per l'estrazione di informazioni strutturate, invio di comunicazioni email per conto del Titolare, backup e ripristino.

Finalità

Esecuzione del Contratto Principale ed erogazione delle funzionalità del Servizio richieste dal Titolare.

Categorie di interessati

Utenti della piattaforma incaricati dal Titolare (dipendenti, collaboratori)
Referenti di fornitori, appaltatori, subappaltatori
Professionisti e consulenti coinvolti nei progetti
Referenti di committenti e controparti contrattuali del Titolare
Ogni ulteriore persona fisica menzionata nei documenti e nelle comunicazioni caricate dal Titolare

Categorie di dati personali

Dati identificativi: nome, cognome
Dati di contatto professionali: email, telefono, azienda, ruolo, indirizzo
Contenuto di comunicazioni email e relativi metadati
Contenuto di documenti caricati (offerte, contratti, ordini, fatture, verbali, corrispondenza)
Dati di utilizzo della piattaforma: log di accesso, attività, indirizzo IP
Dati economici riferibili a persone fisiche ove il fornitore sia un professionista o una ditta individuale

Categorie particolari di dati

Non previste. Il Servizio non è progettato per il trattamento di categorie particolari di dati ai sensi dell'art. 9 GDPR né di dati ex art. 10. Il Titolare si impegna a non caricarne, salvo previo accordo scritto con Refida sulle misure aggiuntive.

Frequenza del trattamento

Continuativa, per la durata del Contratto Principale.

Durata

Durata del Contratto Principale, oltre ai termini di cui all'art. 11 del DPA.

ALLEGATO B — Sub-responsabili autorizzati

Sub-responsabile	Attività	Sede	Ubicazione del trattamento	Garanzia trasferimento
[FORNITORE_HOSTING]	Hosting e infrastruttura cloud	[...]	[...]	[...]
[FORNITORE_DB]	Database gestito e archiviazione file	[...]	[...]	[...]
[FORNITORE_EMAIL]	Invio email transazionali (`noreply@refida.eu`)	[...]	[...]	[...]
[FORNITORE_LLM]	Elaborazione automatica di testi e documenti	[...]	[...]	[...]
[FORNITORE_MONITORING]	Monitoraggio errori e performance applicativa	[...]	[...]	[...]
[FORNITORE_SUPPORTO]	Piattaforma di ticketing e supporto	[...]	[...]	[...]
[FORNITORE_BACKUP]	Backup e disaster recovery	[...]	[...]	[...]

⚠️ Verificare per il fornitore LLM: DPA sottoscritto, ubicazione del trattamento, impegno espresso di non utilizzo dei dati per l'addestramento, periodo di retention lato fornitore (idealmente zero data retention). È la voce che riceverà più scrutinio in sede di security review del cliente.

ALLEGATO C — Misure tecniche e organizzative di sicurezza

Da compilare con l'assetto reale. Struttura di riferimento:

Controllo degli accessi

Autenticazione individuale per ogni utenza; divieto di credenziali condivise
[MFA disponibile / obbligatoria per ruoli amministrativi]
Controllo degli accessi basato su ruoli; segregazione dei dati per account (multi-tenancy con isolamento logico [o fisico])
Revoca degli accessi entro [ORE] ore dalla cessazione del rapporto con il personale

Cifratura

Dati in transito: TLS [versione minima]
Dati a riposo: [algoritmo e ambito — database, storage documentale, backup]
Password conservate con funzione di hashing [algoritmo]

Sicurezza applicativa e infrastrutturale

Segregazione degli ambienti di sviluppo, staging e produzione; assenza di dati di produzione negli ambienti non di produzione
Gestione delle vulnerabilità e aggiornamento delle dipendenze; [cadenza]
[Penetration test periodici — cadenza e ultimo svolto]
Registrazione degli eventi di sicurezza e conservazione per [mesi] mesi

Continuità e ripristino

Backup [frequenza], conservati per [giorni] giorni, cifrati
Test di ripristino con cadenza [...]
RPO [...] / RTO [...]

Misure organizzative

Istruzioni scritte agli autorizzati al trattamento e impegno di riservatezza
Formazione periodica del personale in materia di protezione dei dati
Procedura documentata di gestione degli incidenti e delle violazioni di dati personali
Registro dei trattamenti ex art. 30, par. 2 GDPR
Processo di valutazione e selezione dei sub-responsabili

Il Titolare ______________________ Refida ______________________

Luogo e data ______________