Informativa privacy progetti

Informativa sul trattamento dei dati personali e accordo di riservatezza

Documento redatto ai sensi del Regolamento (UE) 2016/679 ("GDPR") e del Regolamento (UE) 2024/1689 ("AI Act"), relativo all'incarico di consulenza descritto nella Lettera d'Incarico (il "Progetto").

PREMESSA E OGGETTO DEL DOCUMENTO. Il presente documento disciplina, in un unico testo, (a) l'informativa resa ai sensi degli articoli 13 e 14 del GDPR in relazione al trattamento dei dati personali effettuato nell'ambito del Progetto, avente ad oggetto l'analisi dei dati aziendali, il controllo di gestione, la reportistica e, ove previsto, la configurazione di sistemi gestionali e di business intelligence, e (b) l'accordo di riservatezza (Non-Disclosure Agreement, "NDA") che regola l'uso, la protezione e la restituzione delle informazioni e dei dati, ivi compresi i dati personali, cui il Consulente accede nello svolgimento dell'incarico. Il documento tiene altresì conto degli obblighi di trasparenza e delle disposizioni applicabili in materia di sistemi di intelligenza artificiale previsti dall'AI Act, nella misura in cui il Progetto preveda l'utilizzo di funzionalità o strumenti basati su intelligenza artificiale, sia nativi della piattaforma gestionale sia impiegati dal Consulente a supporto delle attività di consulenza.

LE PARTI. Il soggetto indicato come cliente nella Lettera d'Incarico (preventivo) sottoscritta, in persona del legale rappresentante pro tempore (di seguito, il "Cliente" o il "Titolare del trattamento"), e A.M.P. CONSULTING S.r.l., con sede legale in Viale dell'Industria 37, 36100 Vicenza (VI), P.IVA IT03147510246, in persona del legale rappresentante pro tempore (di seguito, il "Consulente" o "AMP Consulting" o il "Responsabile del trattamento"), incaricata delle attività di consulenza descritte nella Lettera d'Incarico nell'ambito del Progetto (di seguito, congiuntamente, le "Parti").

PARTE PRIMA - INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI (ARTT. 13-14 GDPR)

1. TITOLARE DEL TRATTAMENTO. Titolare del trattamento dei dati personali oggetto del Progetto è il Cliente, contattabile ai recapiti indicati nella Lettera d'Incarico e, ove nominato, tramite il proprio Responsabile della Protezione dei Dati (DPO).

2. IL CONSULENTE QUALE RESPONSABILE DEL TRATTAMENTO. Per lo svolgimento delle attività previste dal Progetto, il Cliente designa il Consulente quale Responsabile del trattamento ai sensi dell'art. 28 GDPR, mediante la nomina di cui alla Parte Seconda del presente documento, che ne è parte integrante e sostanziale. Il Consulente tratta i dati personali esclusivamente su istruzione documentata del Titolare e per le finalità di cui al successivo punto 3.

3. FINALITÀ E BASE GIURIDICA DEL TRATTAMENTO. I dati personali sono trattati per le seguenti finalità:

esecuzione del contratto di consulenza e delle attività tecniche necessarie all'analisi dei processi e dei dati aziendali, al controllo di gestione, alla reportistica e, ove previsto, alla configurazione di sistemi gestionali e di business intelligence (base giuridica: art. 6, par. 1, lett. b) e f), GDPR - esecuzione del contratto e legittimo interesse all'erogazione del servizio);
adempimento di obblighi di legge connessi alla tenuta della contabilità, agli adempimenti fiscali e alla gestione amministrativa del personale, ove i relativi moduli siano oggetto di migrazione (base giuridica: art. 6, par. 1, lett. c), GDPR);
attività di assistenza tecnica, manutenzione correttiva/evolutiva e supporto post go-live sul sistema implementato (base giuridica: art. 6, par. 1, lett. b), GDPR);
sicurezza informatica, prevenzione di frodi e tracciamento degli accessi ai sistemi durante il Progetto (base giuridica: art. 6, par. 1, lett. f), GDPR).

Il conferimento dei dati necessari all'esecuzione del Progetto è condizione necessaria per lo svolgimento delle attività di consulenza; l'eventuale rifiuto di fornirli, ove riferito a dati indispensabili, comporta l'impossibilità di dare corso, in tutto o in parte, alle attività previste.

4. CATEGORIE DI DATI PERSONALI TRATTATI. Nell'ambito del Progetto possono essere trattate, a seconda dei moduli del sistema gestionale oggetto di implementazione, le seguenti categorie di dati riferiti a dipendenti, collaboratori, clienti e fornitori del Titolare:

dati anagrafici e di contatto (nome, cognome, codice fiscale/P.IVA, indirizzo, telefono, e-mail);
dati amministrativo-contabili e fiscali (fatturazione attiva/passiva, condizioni commerciali, dati bancari per pagamenti/incassi);
dati relativi al rapporto di lavoro e alle risorse umane, ove sia oggetto di migrazione il modulo HR (dati anagrafici del personale, presenze, inquadramento contrattuale - con esclusione di categorie particolari di dati, salvo diversa e specifica indicazione del Titolare);
dati di navigazione e log di accesso ai sistemi generati durante le attività tecniche di configurazione e test.

Non sono in alcun caso oggetto di trattamento, migrazione o riconciliazione nell'ambito del Progetto dati o ricavi non contabilizzati o non risultanti dalle scritture contabili ufficiali del Cliente.

5. MODALITÀ DEL TRATTAMENTO E UTILIZZO DI STRUMENTI AUTOMATIZZATI. Il trattamento è effettuato con strumenti informatici e, in parte, con modalità automatizzate necessarie all'elaborazione e all'analisi dei dati, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza di cui all'art. 5 GDPR. Le eventuali componenti o funzionalità basate su intelligenza artificiale utilizzate nell'ambito del trattamento sono descritte al successivo punto 11.

6. COMUNICAZIONE DEI DATI E SUB-RESPONSABILI. I dati personali possono essere comunicati, nei limiti strettamente necessari alle finalità del Progetto, ai seguenti soggetti, nominati sub-responsabili ai sensi dell'art. 28, par. 4, GDPR ove applicabile:

il fornitore della piattaforma di hosting/cloud del sistema gestionale, incluso Odoo S.A. per i servizi Odoo Online/Odoo.sh e i relativi fornitori infrastrutturali, come specificato nell'Appendice C.1;
i fornitori di servizi di intelligenza artificiale generativa utilizzati mediante workspace aziendali o API, inclusi OpenAI, Anthropic e Google, nei soli casi e alle condizioni indicate nell'Appendice C.2 e, ove trattino dati personali per conto del Consulente, in qualità di sub-responsabili;
eventuali fornitori di servizi di sviluppo, integrazione o manutenzione tecnica specialistica coinvolti dal Consulente, previa autorizzazione generale o specifica del Titolare;
il commercialista, il consulente del lavoro o altri professionisti del Cliente, ove necessario al coordinamento delle attività di migrazione dei rispettivi moduli.

Quando l'abbonamento Odoo è stipulato direttamente dal Cliente con Odoo S.A., quest'ultima tratta i dati del database quale responsabile del trattamento del Cliente, in forza dell'art. 6.5 "Data Protection" dell'Odoo Enterprise Subscription Agreement (www.odoo.com/terms), e non quale sub-responsabile del Consulente. L'elenco aggiornato dei sub-responsabili è mantenuto nell'Appendice C.1. Ogni nuova nomina o modifica rilevante del servizio è comunicata al Titolare con il preavviso previsto dall'Accordo, ferma la possibilità di opposizione motivata nei termini ivi indicati.

7. TRASFERIMENTO DEI DATI VERSO PAESI TERZI. Ove il fornitore della piattaforma o dei servizi cloud tratti i dati anche al di fuori dello Spazio Economico Europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea ovvero mediante le clausole contrattuali standard approvate dalla Commissione europea, unitamente alle misure supplementari eventualmente necessarie ai sensi della normativa applicabile e degli orientamenti dell'EDPB. Copia della documentazione contrattuale pertinente è resa disponibile al Titolare nei limiti consentiti dal fornitore.

Con specifico riferimento a Odoo/Odoo.sh, la selezione della regione di hosting europea opera nei limiti tecnici, funzionali e contrattuali del servizio attivato e non si estende automaticamente a backup e disaster recovery, log tecnici, assistenza e operazioni dei sub-responsabili. Secondo la documentazione pubblicata da Odoo S.A., i database dei clienti europei sono ospitati nella regione Europa (data center in Francia e Belgio, forniti da Google Cloud e OVH), con backup in Francia, Paesi Bassi e Svezia e, per i database creati con versioni precedenti a Odoo 19 e fino al completamento della transizione annunciata, un'ulteriore copia in Canada (Paese adeguato); il personale di società del gruppo Odoo fuori dal SEE può accedere ai dati in modo limitato e temporaneo sulla base delle clausole contrattuali standard.

I fornitori degli strumenti di IA dell'Appendice C.2 possono trattare i dati anche al di fuori del SEE, in particolare negli Stati Uniti. Il Consulente utilizza tali strumenti esclusivamente con contratti stipulati con le società europee dei rispettivi gruppi, sulla base dei termini commerciali/business e degli accordi sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR predisposti dai fornitori; i trasferimenti si fondano sulle clausole contrattuali standard previste da tali accordi e, per Google LLC, anche sulla decisione di adeguatezza relativa all'EU-U.S. Data Privacy Framework. Il Consulente verifica tali condizioni all'attivazione di ciascuno strumento e ne segue gli aggiornamenti per tutta la durata del Progetto.

8. PERIODO DI CONSERVAZIONE. I dati personali trattati nell'ambito del Progetto sono conservati dal Consulente per la durata dell'incarico e per il periodo strettamente necessario alle attività di assistenza post go-live concordate contrattualmente; alla cessazione del rapporto, i dati sono restituiti e/o cancellati secondo quanto previsto all'Art. 8 della Parte Seconda, salvi gli obblighi di conservazione previsti dalla legge (es. termini di prescrizione, obblighi fiscali). I dati contenuti nel database Odoo sono conservati da Odoo S.A. secondo il contratto di abbonamento del Cliente.

9. DIRITTI DELL'INTERESSATO. Gli interessati possono esercitare, nei confronti del Titolare, i diritti previsti dagli articoli da 15 a 22 GDPR: diritto di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati, opposizione, nonché il diritto di non essere sottoposti a una decisione basata unicamente su un trattamento automatizzato, compresa la profilazione, che produca effetti giuridici o incida in modo analogo significativamente sulla loro persona. Le richieste possono essere indirizzate al Titolare ai recapiti indicati al punto 1; il Consulente, in qualità di Responsabile del trattamento, presta al Titolare adeguata assistenza nel riscontro di tali richieste, secondo quanto disciplinato nella Parte Seconda.

10. RECLAMO ALL'AUTORITÀ DI CONTROLLO. Fermo restando ogni altro rimedio amministrativo o giurisdizionale, gli interessati hanno diritto di proporre reclamo al Garante per la protezione dei dati personali, quale autorità di controllo competente in Italia (www.garanteprivacy.it), qualora ritengano che il trattamento dei dati che li riguarda violi la normativa vigente.

11. SISTEMI DI INTELLIGENZA ARTIFICIALE IMPIEGATI NEL PROGETTO - INFORMATIVA AI SENSI DELL'AI ACT. Il Progetto può prevedere l'impiego di funzionalità basate su intelligenza artificiale, sia integrate nella piattaforma gestionale (es. riconoscimento ottico dei documenti, categorizzazione automatica di fatture, chatbot o funzionalità predittive) sia utilizzate dal Consulente quale supporto alle attività tecniche, anche mediante workspace aziendali multiutente o API (ad es. ChatGPT Business, già ChatGPT Team; OpenAI API; Claude Team e Claude Code; Anthropic Claude API; Gemini in Google Workspace; Google Gemini API o Vertex AI). Tali strumenti sono impiegati esclusivamente per le finalità e con le misure indicate all'Art. 5 della Parte Seconda e nell'Appendice C.2. In relazione ai sistemi che interagiscono con persone o generano contenuti destinati a terzi, ai sensi dell'art. 50 dell'AI Act:

qualora gli utenti del Cliente interagiscano direttamente con un sistema di intelligenza artificiale (es. chatbot integrato nel gestionale), essi ne sono informati sin dal primo utilizzo, salvo che ciò non risulti già evidente dal contesto;
i contenuti generati o modificati artificialmente da sistemi di IA impiegati nell'ambito del Progetto (es. testi, report, sintesi) sono, ove tecnicamente possibile, contrassegnati in formato leggibile e riconoscibile come generati o assistiti da IA;
non sono previsti, nell'ambito del Progetto, sistemi di riconoscimento delle emozioni o di categorizzazione biometrica applicati al personale o alla clientela del Titolare, salvo diversa e specifica indicazione concordata per iscritto tra le Parti;
il sistema gestionale e le relative funzionalità di IA non assumono, in autonomia, decisioni che producano effetti giuridici o incidano in modo analogo significativamente sugli interessati: ogni output è soggetto a supervisione e validazione umana da parte del personale del Titolare.

Per l'uso interno di assistenti generativi, i dati inseriti sono limitati a quanto strettamente necessario e, ove possibile, anonimizzati o pseudonimizzati. Dati personali sono inseriti solo alle condizioni del punto 7 e dell'Art. 5 della Parte Seconda; in difetto, sono utilizzati esclusivamente dati anonimi, sintetici o comunque non personali.

L'elenco puntuale degli strumenti e delle funzionalità di intelligenza artificiale autorizzati e/o effettivamente attivati nell'ambito del Progetto, con indicazione della modalità di accesso, delle finalità, delle garanzie contrattuali, del regime di conservazione e della classificazione indicativa del rischio, è riportato nell'Appendice C.2 ed è aggiornato in caso di modifica nel corso dell'incarico.

12. TITOLARITÀ E RESPONSABILITÀ DELL'INFORMATIVA. Il Titolare resta responsabile della corretta divulgazione della presente informativa ai propri interessati (dipendenti, collaboratori, clienti, fornitori) prima dell'avvio delle attività di migrazione dei rispettivi dati; il Consulente presta, ove richiesto, assistenza tecnica a tal fine, senza che ciò comporti trasferimento della qualifica di Titolare del trattamento.

PARTE SECONDA - ACCORDO DI RISERVATEZZA (NDA) E NOMINA A RESPONSABILE DEL TRATTAMENTO

Tra il Cliente e il Consulente, come sopra identificati, si conviene e stipula quanto segue in relazione alle informazioni e ai dati, ivi compresi i dati personali, cui il Consulente accede nello svolgimento delle attività previste dal Progetto.

Art. 1 - Definizioni. Ai fini del presente Accordo, per "Informazioni Riservate" si intendono tutte le informazioni, di qualsiasi natura e su qualsiasi supporto, relative all'organizzazione, ai processi, ai dati contabili, finanziari, commerciali, tecnici e del personale del Cliente, incluse le anagrafiche e i dati personali di dipendenti, clienti e fornitori, cui il Consulente ha accesso in ragione e nel corso del Progetto, anche tramite l'accesso al sistema gestionale, ai database, alla documentazione contrattuale e amministrativa del Cliente.

Art. 2 - Oggetto e finalità. Il presente Accordo disciplina gli obblighi di riservatezza, protezione e corretto utilizzo delle Informazioni Riservate nell'ambito dello svolgimento del Progetto, nonché, per quanto concerne i dati personali, la nomina del Consulente a Responsabile del trattamento ai sensi dell'art. 28 GDPR.

Art. 3 - Obblighi di riservatezza e non utilizzo.

il Consulente si impegna a mantenere strettamente riservate le Informazioni Riservate e a non divulgarle a terzi, salvo quanto previsto dal presente Accordo o richiesto dalla legge;
le Informazioni Riservate sono utilizzate esclusivamente per le finalità del Progetto e non per scopi ulteriori o diversi, né a beneficio di soggetti terzi, inclusi eventuali altri clienti del Consulente;
l'accesso alle Informazioni Riservate è limitato al personale del Consulente direttamente coinvolto nel Progetto, adeguatamente istruito sugli obblighi di riservatezza e di protezione dei dati personali;
il Consulente non copia, estrae o conserva le Informazioni Riservate al di fuori degli ambienti e degli strumenti concordati con il Titolare per lo svolgimento del Progetto, tra i quali rientrano gli strumenti elencati nell'Appendice C.2.

Art. 4 - Nomina a Responsabile del trattamento (art. 28 GDPR). Con la sottoscrizione del presente Accordo, il Cliente nomina il Consulente Responsabile del trattamento dei dati personali trattati nell'ambito del Progetto. Il Consulente:

tratta i dati personali unicamente su istruzione documentata del Titolare, anche con riferimento ai trasferimenti verso Paesi terzi, salvo che sia tenuto a diverso trattamento in forza del diritto dell'Unione o italiano cui è soggetto;
garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo di legge in materia;
adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, ai sensi dell'art. 32 GDPR (a titolo esemplificativo: controllo degli accessi, autenticazione, cifratura dei dati in transito, backup, log di sistema);
rispetta le condizioni per ricorrere a un altro responsabile del trattamento (sub-responsabile) di cui ai paragrafi 2 e 4 dell'art. 28 GDPR, informando previamente il Titolare di ogni modifica prevista, che ha il diritto di opporsi entro 15 giorni dalla comunicazione;
tenuto conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste degli interessati per l'esercizio dei loro diritti;
assiste il Titolare nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR (sicurezza, notifica di violazioni, valutazione d'impatto, consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a disposizione del Consulente;
su scelta del Titolare, cancella o restituisce tutti i dati personali dopo che è terminata la prestazione dei servizi relativi al trattamento, cancellando le copie esistenti, salvo che il diritto dell'Unione o degli Stati membri preveda la conservazione dei dati;
mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente articolo e consente e contribuisce alle attività di revisione, comprese le ispezioni, realizzate dal Titolare o da un altro soggetto da questi incaricato, con preavviso di almeno 10 giorni lavorativi;
notifica al Titolare, senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, ogni violazione di dati personali (data breach) di cui venga a conoscenza, fornendo le informazioni necessarie a consentire al Titolare di adempiere agli obblighi di cui agli artt. 33 e 34 GDPR.

Art. 5 - Utilizzo di strumenti e sistemi di intelligenza artificiale. In relazione all'impiego di sistemi di intelligenza artificiale nell'ambito del Progetto, ai sensi dell'AI Act, le Parti convengono quanto segue:

il Consulente dichiara che gli strumenti di IA impiegati nell'ambito del Progetto sono quelli elencati nell'Appendice C.2, nella quale sono indicate finalità, modalità di accesso e misure di controllo; salvo diversa indicazione scritta, i relativi casi d'uso non rientrano tra i sistemi ad alto rischio di cui all'Allegato III dell'AI Act, né tra le pratiche vietate di cui all'art. 5 del medesimo Regolamento;
il Consulente può utilizzare servizi di IA generativa in modalità workspace aziendale multiutente e/o mediante API aziendali, inclusi servizi OpenAI, Anthropic e Google, purché l'accesso avvenga tramite account, progetti o credenziali organizzative controllati dal Consulente e non tramite account personali o servizi consumer non autorizzati;
quando prompt, allegati o output contengano dati personali o Informazioni Riservate, il fornitore è utilizzato sulla base di termini commerciali/business e di un accordo sul trattamento dei dati idoneo ai sensi dell'art. 28 GDPR; sono inoltre attivate, ove disponibili, le opzioni che escludono l'uso dei contenuti per l'addestramento o il miglioramento dei modelli e che limitano la conservazione;
l'utilizzo con dati personali è ammesso solo se strettamente necessario alla singola attività, con le garanzie per i trasferimenti di cui al punto 7 della Parte Prima e con dati minimizzati e, ove possibile, anonimizzati o pseudonimizzati; qualora tali condizioni non siano documentabili, lo strumento è utilizzato esclusivamente con dati anonimi, sintetici o non personali;
le conversazioni e i file contenenti dati del Cliente sono cancellati dagli strumenti quando non più necessari e comunque al termine del Progetto, secondo l'Art. 8; la successiva rimozione dai sistemi del fornitore avviene nei tempi indicati dai rispettivi accordi;
salvo preventiva e specifica istruzione scritta del Titolare e valutazione delle misure aggiuntive, non sono inseriti nei servizi di IA categorie particolari di dati ai sensi dell'art. 9 GDPR, dati giudiziari ai sensi dell'art. 10 GDPR, credenziali, chiavi API, segreti industriali non necessari, dataset integrali o informazioni eccedenti rispetto alla singola attività;
i prompt, gli allegati e gli output sono trattati come Informazioni Riservate e non sono riutilizzati dal Consulente per addestrare modelli propri o per finalità estranee al Progetto, salvo previa anonimizzazione effettiva e specifica autorizzazione scritta del Titolare;
ove il Consulente utilizzi assistenti di intelligenza artificiale per la produzione di documentazione, analisi, report o codice nell'ambito del Progetto, ogni output è sottoposto a revisione e validazione da parte di personale qualificato del Consulente prima della consegna al Cliente (supervisione umana);
qualora sistemi di IA siano impiegati per l'interazione diretta con gli utenti del Cliente (es. chatbot integrati nel gestionale), il Consulente supporta il Cliente nell'adempimento degli obblighi informativi previsti dall'art. 50 dell'AI Act, secondo quanto già descritto al punto 11 della Parte Prima;
il Consulente garantisce che il proprio personale coinvolto nel Progetto possieda un livello adeguato di alfabetizzazione in materia di intelligenza artificiale, commisurato alle conoscenze tecniche, all'esperienza, all'istruzione e al contesto in cui i sistemi di IA sono utilizzati, in coerenza con l'art. 4 dell'AI Act;
qualsiasi introduzione di nuovi strumenti di IA, modifica della modalità di utilizzo (consumer, workspace aziendale o API) o variazione rilevante delle condizioni di trattamento non prevista nell'Appendice C.2 è preventivamente comunicata al Cliente e recepita mediante aggiornamento della medesima Appendice.

Art. 6 - Sicurezza delle informazioni. Il Consulente adotta e mantiene misure tecniche e organizzative adeguate a proteggere le Informazioni Riservate da accessi non autorizzati, perdita, distruzione o divulgazione accidentale o illecita, ivi inclusi: gestione degli accessi basata sul principio del minimo privilegio, autenticazione degli utenti, cifratura delle credenziali e dei dati sensibili in transito, tracciamento degli accessi ai sistemi del Cliente, formazione periodica del personale in materia di protezione dei dati e sicurezza informatica.

Art. 7 - Durata. Gli obblighi di riservatezza di cui al presente Accordo hanno efficacia per tutta la durata del Progetto e permangono per un periodo di 5 anni dalla data di cessazione o completamento delle attività, fermi restando gli obblighi di durata superiore eventualmente previsti dalla normativa applicabile in materia di protezione dei dati personali.

Art. 8 - Restituzione e cancellazione delle informazioni. Al termine del Progetto, ovvero su richiesta del Titolare in qualsiasi momento, il Consulente restituisce o cancella, a scelta del Titolare, tutte le Informazioni Riservate e i dati personali in proprio possesso, comprese le copie di backup e le conversazioni conservate negli strumenti di cui all'Appendice C.2, fornendo attestazione scritta dell'avvenuta cancellazione, salvo gli obblighi di conservazione previsti dalla legge. La cancellazione presso i fornitori di tali strumenti avviene secondo i tempi tecnici da essi indicati.

Art. 9 - Esclusioni. Gli obblighi di riservatezza non si applicano alle informazioni che: (a) siano o divengano di dominio pubblico senza violazione del presente Accordo; (b) fossero già lecitamente in possesso del Consulente prima della loro comunicazione da parte del Cliente; (c) siano sviluppate autonomamente dal Consulente senza utilizzo delle Informazioni Riservate; (d) debbano essere divulgate in forza di un obbligo di legge, di un ordine di autorità giudiziaria o amministrativa, previa, ove possibile, comunicazione al Cliente.

Art. 10 - Responsabilità. In caso di violazione degli obblighi di cui al presente Accordo, la Parte inadempiente risponde dei danni cagionati all'altra Parte secondo le regole ordinarie di responsabilità contrattuale, fermo restando quanto previsto in materia di responsabilità solidale tra titolare e responsabile del trattamento dagli artt. 82 e 83 GDPR e dall'AI Act per i profili di rispettiva competenza.

Art. 11 - Legge applicabile e foro competente. Il presente Accordo è disciplinato dalla legge italiana. Per ogni controversia relativa alla sua validità, interpretazione ed esecuzione è competente in via esclusiva il Foro di Vicenza, salva diversa inderogabile disposizione di legge.

Art. 12 - Disposizioni finali. Il presente Accordo costituisce parte integrante e sostanziale della documentazione contrattuale relativa al Progetto. Eventuali modifiche sono valide solo se apportate in forma scritta e sottoscritte da entrambe le Parti. Le Appendici C.1 e C.2 costituiscono parte integrante del presente documento.

APPENDICE C.1 - SUB-RESPONSABILI DEL TRATTAMENTO

Elenco dei soggetti terzi che possono essere nominati sub-responsabili del trattamento ai sensi dell'art. 28, par. 4, GDPR, nella misura in cui trattino dati personali per conto del Consulente. L'attivazione effettiva, la specifica offerta e la relativa entità contraente sono verificate alla data di sottoscrizione e durante il Progetto:

Odoo S.A. (Chaussée de Namur 40, 1367 Grand-Rosière, Belgio, P.IVA BE0477472701; Odoo Online / Odoo.sh) - hosting e gestione della piattaforma ERP e degli ambienti di produzione, staging e sviluppo; backup, disaster recovery e assistenza tecnica. Regione primaria: Europa, ove selezionata e disponibile per il servizio attivato. La replica di backup, il supporto e altri trattamenti accessori possono avvenire in località ulteriori secondo la documentazione del fornitore e dei suoi sub-responsabili (tra cui OVH, Google Cloud, Scaleway); non è garantita la localizzazione esclusiva nel SEE. Se l'abbonamento è stipulato dal Cliente, Odoo S.A. è responsabile del Cliente (punto 6). Riferimenti: www.odoo.com/terms (art. 6.5), www.odoo.com/privacy, www.odoo.com/gdpr, www.odoo.com/security, www.odoo.com/cloud-sla, iap.odoo.com/privacy;
OpenAI Ireland Limited (Dublino, Irlanda) e/o altra società del gruppo OpenAI indicata nei termini applicabili - ChatGPT Business (già ChatGPT Team), Codex e/o OpenAI API, per supporto alla redazione, sintesi, analisi tecnica, generazione o revisione di codice e integrazioni. Uso in modalità business/API con account organizzativi; accordo sul trattamento dei dati di OpenAI (Data Processing Addendum) e clausole contrattuali standard per i trasferimenti; secondo i termini applicabili, i dati aziendali non sono utilizzati per addestrare i modelli per impostazione predefinita;
Anthropic Ireland, Limited (Dublino, Irlanda, per i clienti del SEE), Anthropic, PBC e/o altra società del gruppo Anthropic indicata nei termini applicabili - Claude Team, Claude Code e/o Claude API, per supporto alla redazione, analisi tecnica, documentazione e generazione o revisione di codice. Uso con termini commerciali (Commercial Terms) e accordo sul trattamento dei dati di Anthropic, che vi è incorporato; clausole contrattuali standard per i trasferimenti; i termini commerciali escludono l'addestramento dei modelli sui contenuti del cliente;
Google (Google Cloud EMEA Limited, Google Cloud Italy S.r.l., Google Ireland Limited, Google LLC e/o altra società del gruppo indicata nei termini applicabili) - Gemini in Google Workspace, Gemini API e/o Vertex AI, per analisi, estrazione, classificazione, generazione di contenuti e integrazioni. Uso con account aziendali e offerte coperte dal Google Cloud Data Processing Addendum; trasferimenti sulla base dell'EU-U.S. Data Privacy Framework (Google LLC) e delle clausole contrattuali standard; per Google Workspace i dati dei clienti non sono usati per addestrare i modelli senza loro autorizzazione;
Eventuali ulteriori fornitori - da indicare con denominazione, servizio, finalità, Paesi o regioni rilevanti, DPA applicabile e garanzie per gli eventuali trasferimenti prima dell'attivazione.

Nota sulla localizzazione della piattaforma. L'indicazione della regione di hosting di Odoo riguarda soltanto i dati e le funzionalità espressamente coperti dal servizio attivato e non si estende automaticamente a backup, log di sicurezza, telemetria, assistenza, fatturazione o attività dei sub-responsabili.

APPENDICE C.2 - REGISTRO DEGLI STRUMENTI DI INTELLIGENZA ARTIFICIALE AUTORIZZATI E IMPIEGATI NEL PROGETTO

Il presente registro individua il perimetro degli strumenti di intelligenza artificiale che il Consulente è autorizzato a utilizzare nell'ambito del Progetto. Ciascuna voce si considera effettivamente attiva soltanto quando necessaria alla specifica attività; il Consulente ne mantiene evidenza nel fascicolo di progetto, indicando account o progetto, modalità di accesso e data di attivazione.

Classificazione e misure indicate di seguito sono riferite all'uso interno di supporto. Se uno strumento è integrato nel gestionale, interagisce direttamente con gli utenti o contribuisce a decisioni che incidono sugli interessati, il caso d'uso è rivalutato prima dell'attivazione e, ove necessario, sottoposto a ulteriori obblighi di trasparenza, valutazione d'impatto e controllo umano.

Odoo/Odoo.sh - funzionalità native o integrate di IA/OCR (ove attivate) - fornitore: Odoo S.A. e relativi sub-fornitori (per le funzioni generative OpenAI e Google Gemini; per la digitalizzazione documenti server in Belgio e Francia); finalità: digitalizzazione e riconoscimento ottico di documenti, categorizzazione, suggerimenti e automazioni nel gestionale; dati: quelli strettamente necessari al modulo interessato; localizzazione: secondo l'Appendice C.1; classificazione indicativa: rischio minimo per funzioni di supporto, limitato in caso di interazione diretta con utenti o contenuti soggetti a obblighi di trasparenza; supervisione: verifica dell'utente e validazione prima della contabilizzazione o di altre operazioni rilevanti;
ChatGPT Business (già ChatGPT Team) ed eventualmente Codex - fornitore: OpenAI; modalità: workspace aziendale multiutente; finalità: redazione, sintesi, traduzione, analisi tecnica, documentazione e revisione di codice; garanzie: termini business e Data Processing Addendum di OpenAI, clausole contrattuali standard, esclusione dell'addestramento sui dati aziendali per impostazione predefinita; controlli: account organizzativo, divieto di account consumer personali, input minimizzati e preferibilmente pseudonimizzati, cancellazione delle conversazioni non più necessarie; classificazione indicativa: rischio minimo per uso interno di supporto; supervisione: revisione umana integrale prima dell'utilizzo o consegna;
OpenAI API - fornitore: OpenAI; modalità: progetto e chiavi API organizzative controllate dal Consulente; finalità: estrazione strutturata, classificazione, generazione o sintesi di contenuti e integrazioni tecniche; garanzie: termini business/API e Data Processing Addendum, clausole contrattuali standard, esclusione dell'addestramento per impostazione predefinita; controlli: chiavi riservate, input minimizzati, conservazione ridotta ove disponibile; classificazione indicativa: rischio minimo o limitato in base all'integrazione; supervisione: nessuna decisione autonoma e validazione umana degli output;
Claude Team e Claude Code - fornitore: Anthropic; modalità: workspace aziendale multiutente; finalità: redazione, analisi tecnica, documentazione e generazione o revisione di codice; garanzie: termini commerciali e accordo sul trattamento dei dati di Anthropic, clausole contrattuali standard, esclusione dell'addestramento sui contenuti del cliente; controlli: account organizzativo, divieto di account consumer personali, input minimizzati, cancellazione delle conversazioni non più necessarie; classificazione indicativa: rischio minimo per uso interno di supporto; supervisione: revisione umana integrale;
Anthropic Claude API - fornitore: Anthropic; modalità: account e chiavi API aziendali; finalità: supporto alla redazione, analisi, documentazione e generazione o revisione di codice; garanzie: termini commerciali e accordo sul trattamento dei dati, clausole contrattuali standard, esclusione dell'addestramento sui contenuti del cliente; controlli: chiavi riservate, input minimizzati e impostazioni di conservazione disponibili; classificazione indicativa: rischio minimo o limitato in base al caso d'uso; supervisione: revisione umana integrale;
Gemini in Google Workspace - fornitore: Google; modalità: account Google Workspace aziendale; finalità: redazione, sintesi, analisi e documentazione; garanzie: Cloud Data Processing Addendum, EU-U.S. Data Privacy Framework (Google LLC) e clausole contrattuali standard, esclusione dell'addestramento sui dati dei clienti Workspace; controlli: account amministrato dal Consulente, conservazione delle conversazioni impostata dall'amministratore, input minimizzati; classificazione indicativa: rischio minimo per uso interno di supporto; supervisione: revisione umana integrale;
Google Gemini API e/o Vertex AI - fornitore: Google; modalità: API a pagamento e/o progetto Google Cloud; finalità: estrazione, classificazione, analisi, generazione di contenuti e integrazioni; garanzie: offerte coperte dal Google Cloud Data Processing Addendum, EU-U.S. Data Privacy Framework (Google LLC) e clausole contrattuali standard; controlli: chiavi e progetti riservati, configurazioni di conservazione ridotta; funzioni quali grounding, file storage o caching possono avere condizioni ulteriori, verificate prima dell'uso; classificazione indicativa: rischio minimo o limitato; supervisione: revisione umana e divieto di decisioni autonome con effetti significativi;
Ulteriori strumenti o funzionalità - da inserire nel presente registro prima dell'attivazione, indicando fornitore, piano o endpoint, finalità, categorie di dati, regime di conservazione, localizzazione, classificazione indicativa del rischio e forma di supervisione umana.

Regola comune di utilizzo. Gli strumenti elencati si impiegano nel rispetto dell'Art. 5 della Parte Seconda e del punto 7 della Parte Prima: account o API aziendali, termini business e DPA del fornitore, minimizzazione o pseudonimizzazione, garanzie adeguate per i trasferimenti, cancellazione dei contenuti non più necessari e supervisione umana. In difetto, sono ammessi soltanto dati anonimi o sintetici. Restano vietate decisioni autonome con effetti giuridici o analogamente significativi.