Accordo sul trattamento dei dati personali (art. 28 GDPR) — Vigenza

Allegato ai Termini di servizio di Vigenza (art. 8), versione v1.2-2026-10-21, 21 ottobre 2026. Costituisce parte integrante del contratto e si accetta con le Condizioni; resta distinta l'approvazione specifica prevista dai Termini.

---

1. Parti, ruoli e oggetto

1.1 Titolare del trattamento: il cliente che sottoscrive le Condizioni generali di Vigenza (il «Cliente»), impresa o professionista che utilizza la piattaforma di supporto alla compliance regolamentare.

1.2 Responsabile del trattamento: X20 Digital Trust Services S.r.l., Via Luigi Varanini 24, 20127 Milano, C.F. e P. IVA 12300800963, PEC x20digitaltrust@pec.x20digitaltrust.com, email info@x20digitaltrust.com («X20»).

1.3 Il presente accordo disciplina il trattamento dei dati personali che X20 svolge per conto del Cliente, inclusi i dati degli operatori del Cliente che lavorano nei fascicoli: decisioni, motivazioni, evidenze e registri delle operazioni. X20 è titolare autonomo per la gestione degli account, la fatturazione e l’assistenza amministrativa, con i relativi adempimenti, come descritti nell'Informativa privacy. Il fatto che un operatore disponga di un account non sottrae i suoi dati nel fascicolo al presente accordo.

1.4 Le definizioni sono quelle dell'art. 4 GDPR. «Servizio» è Vigenza come descritto nei Termini; «Dati» sono i dati personali trattati per conto del Cliente, descritti nell'Allegato A. L'accordo è efficace dall'attivazione dell'account, anche in un eventuale accesso di prova concordato. Le funzioni AI trattano i Dati solo con i sub-responsabili e alle condizioni dell'Allegato C.

1.5 Catena di trattamento (in particolare piano Studio). Se il Cliente tratta i Dati per conto di propri clienti, è responsabile verso di essi e X20 agisce come suo sub-responsabile. Il Cliente garantisce di aver ottenuto dal proprio titolare l'autorizzazione scritta, specifica o generale, a ricorrere a X20 e ai sub-responsabili dell'Allegato C, e di avergli comunicato le modifiche ai sensi dell'art. 5. Le istruzioni del titolare finale giungono a X20 solo tramite il Cliente. Prima dell'affidamento il Cliente verifica che questo accordo gli consenta di rispettare gli obblighi di protezione dei dati assunti verso il titolare finale e comunica a X20 le eventuali prescrizioni ulteriori pertinenti; le integrazioni necessarie sono concordate per iscritto prima del trattamento interessato e, in mancanza, quel trattamento non può essere affidato a X20. Non sono incorporati obblighi a monte non comunicati e accettati per iscritto; restano inderogabili gli obblighi dell'art. 28 GDPR.

1.6 Obblighi del Cliente quale titolare. Il Cliente: determina finalità e mezzi essenziali; assicura una base giuridica valida e l'informativa agli interessati, compresi i propri operatori; carica solo i Dati necessari; valuta l'adeguatezza del Servizio ai propri obblighi, inclusi valutazione d'impatto e registro dei trattamenti; gestisce utenti, permessi e collegamenti a servizi esterni; decide se e quali Dati inviare alle funzioni AI; risponde delle istruzioni impartite e dei dati di terzi caricati senza titolo.

2. Istruzioni documentate

2.1 X20 tratta i Dati soltanto su istruzione documentata del Cliente. Costituiscono istruzioni documentate: il presente accordo con i suoi allegati, le Condizioni generali, le configurazioni impostate dal Cliente nel Servizio (modelli, criteri di rischio, promemoria, utenti e permessi) e le richieste successive inviate per iscritto ai recapiti dell'art. 1.2.

2.2 X20 non utilizza i Dati per finalità proprie, non li vende e non li impiega per addestrare propri modelli AI. Le funzioni AI attive (estrazioni, classificazioni e bozze) trattano solo i dati necessari alla funzione richiesta su istruzione del Cliente. X20 ricorre solo a fornitori AI i cui termini escludono l'addestramento dei modelli sui Dati. Le condizioni effettive di conservazione, accesso e trasferimento dei fornitori figurano nell'Allegato C; non si presume una conservazione zero.

2.3 X20 informa immediatamente il Cliente qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati, ai sensi dell'art. 28, paragrafo 3, lettera h), GDPR, e non esegue l'istruzione illecita. Una conferma scritta del Cliente non ne sana l'illiceità; l'esecuzione può riprendere solo sulla base di istruzioni conformi.

2.4 Qualora il diritto dell'Unione o dello Stato membro obblighi X20 a un trattamento ulteriore, X20 ne informa il Cliente prima di procedere, salvo che la legge vieti tale informazione per rilevanti motivi di interesse pubblico.

3. Riservatezza e persone autorizzate

3.1 X20 autorizza al trattamento soltanto le persone necessarie all'erogazione e all'assistenza del Servizio, individuate per iscritto e istruite ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice privacy, vincolate alla riservatezza anche dopo la cessazione del rapporto.

3.2 L'accesso ai Dati da parte del personale di X20 avviene solo quando indispensabile per la manutenzione, la sicurezza o l'assistenza richiesta dal Cliente, con privilegi minimi e tracciamento delle operazioni.

4. Misure di sicurezza

4.1 L'Allegato B v1.2-2026-10-21 è contrattuale: descrive le misure tecniche e organizzative adottate, con il loro perimetro. Non incorpora promesse ulteriori di materiali commerciali.

4.2 X20 può aggiornare le misure per adeguarle all'evoluzione tecnica o normativa, purché il livello di sicurezza non sia ridotto; le modifiche rilevanti sono comunicate al Cliente.

4.3 Il Cliente configura utenti e permessi, usa credenziali personali e protegge i dispositivi. È disponibile l'autenticazione TOTP. Le misure in codice non sostituiscono la verifica della configurazione di produzione né autorizzano accessi non necessari.

5. Sub-responsabili

5.1 Il Cliente autorizza in via generale X20 a ricorrere ai sub-responsabili elencati nell'Allegato C, con i quali X20 stipula accordi che impongono obblighi di protezione dei dati non meno onerosi di quelli del presente accordo.

5.2 X20 tiene aggiornato l'elenco dell'Allegato C e informa il Cliente, via email all'amministratore dell'account e con avviso nell'app, di aggiunte o sostituzioni almeno 15 giorni prima dell'affidamento. Entro tale termine il Cliente può opporsi per iscritto con motivi ragionevoli attinenti alla protezione dei dati. Nessun Dato è affidato al nuovo sub-responsabile prima della scadenza del termine. L'urgenza non elimina la possibilità di opposizione: un affidamento anticipato richiede l'autorizzazione scritta specifica del Cliente; in mancanza, X20 usa fornitori già autorizzati oppure sospende le sole operazioni interessate, senza che ciò costituisca inadempimento. In caso di opposizione tempestiva i Dati non sono affidati al nuovo sub-responsabile fino alla soluzione concordata o alla cessazione del trattamento interessato. In caso di opposizione le parti cercano in buona fede una soluzione; in mancanza, il Cliente può cessare il trattamento interessato o recedere senza penali, con restituzione dei dati e rimborso della parte pagata non goduta. Il recesso è il rimedio esclusivo per il disaccordo sul sub-responsabile, salvo inadempimento di X20.

5.3 X20 risponde dell'operato dei propri sub-responsabili come del proprio.

5.4 Subfornitori dei sub-responsabili. L'Allegato C rinvia agli elenchi aggiornati dei subfornitori pubblicati da ciascun sub-responsabile, tra cui Cloudflare, Inc. per la rete che serve l'app. X20 si iscrive, dove disponibili, agli avvisi di modifica dei fornitori e inoltra al Cliente senza ritardo le modifiche rilevanti ricevute, con le facoltà di opposizione e recesso dell'art. 5.2; il preavviso dipende da quello concesso dal fornitore. Il solo aggiornamento degli elenchi dei fornitori non sostituisce l'inoltro.

6. Trasferimenti fuori dallo Spazio economico europeo

6.1 Banca dati e documenti sono ospitati nella regione UE eu-west-1 (Irlanda); le email dell'app inviate tramite Resend sono trattate negli Stati Uniti; le funzioni AI comportano trattamenti anche negli Stati Uniti. Entità, luoghi di trattamento e garanzie dei sub-responsabili sono elencati nell'Allegato C.

6.2 Prima di un trasferimento X20 verifica per la specifica entità e il trattamento la garanzia applicabile. Quando X20 trasferisce direttamente Dati a un sub-responsabile extra-SEE e ricorre alle clausole contrattuali standard della decisione di esecuzione (UE) 2021/914, le conclude quale responsabile esportatore con il modulo 3 (anche nella forma incorporata nell'accordo del fornitore accettato da X20). Quando il trasferimento extra-SEE è effettuato da un sub-responsabile stabilito nel SEE (per esempio Anthropic Ireland, Brevo o Google Cloud Italy verso i propri subfornitori), quest'ultimo assicura la garanzia pertinente quale esportatore e X20 ne verifica e documenta l'applicabilità. In entrambi i casi è svolta la valutazione del trasferimento con le misure supplementari necessarie. Il DPF può essere utilizzato solo dopo la verifica dell'adesione valida della specifica entità e della copertura del trattamento. Copia della documentazione pertinente è fornita al Cliente, oscurando soltanto informazioni riservate non necessarie alla verifica.

7. Assistenza al Cliente

7.1 Diritti degli interessati. Tenuto conto della natura del trattamento, X20 assiste il Cliente, con misure tecniche e organizzative adeguate e nella misura del possibile, nel dare seguito alle richieste di esercizio dei diritti del capo III GDPR, ai sensi dell'art. 28, paragrafo 3, lettera e). Le funzioni del Servizio consentono consultazione, esportazione e rettifica nei limiti di ruoli e stati delle pratiche; la cancellazione completa si richiede tramite assistenza. X20 dà seguito alle istruzioni del Cliente senza ingiustificato ritardo e comunque entro 30 giorni; quando l'intervento serve a rispondere a un interessato o a un'autorità, opera entro il termine più breve necessario, comunicato dal Cliente con la relativa scadenza, e segnala subito eventuali impedimenti. La cancellazione segue l'art. 9. Le richieste degli interessati ricevute direttamente da X20 sono trasmesse al Cliente senza indebito ritardo; X20 non decide nel merito.

7.2 Violazioni. X20 notifica al Cliente ogni violazione dei dati personali di cui venga a conoscenza senza ingiustificato ritardo e comunque entro 48 ore dalla constatazione, fornendo le informazioni di cui all'art. 33, par. 3, GDPR nella misura disponibile, e collabora alle valutazioni e alle notifiche del Cliente. La notifica non costituisce riconoscimento di responsabilità.

7.3 Sicurezza, violazioni, valutazioni d'impatto e consultazione preventiva. Ai sensi dell'art. 28, paragrafo 3, lettera f), GDPR, X20 assiste il Cliente nel garantire il rispetto degli obblighi degli artt. 32–36, tenendo conto della natura del trattamento e delle informazioni a sua disposizione: misure di sicurezza, valutazione e gestione delle violazioni, notifiche all'autorità, comunicazioni agli interessati, valutazioni d'impatto e consultazione preventiva. Fornisce informazioni e collaborazione pertinenti al trattamento affidato; l'Allegato B e la documentazione di sicurezza fornita su richiesta sono elementi di supporto e non esauriscono l'assistenza dovuta.

7.4 X20 mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR.

8. Verifiche

8.1 Il Cliente ha diritto a una verifica documentale all'anno: X20 risponde entro 30 giorni a un questionario ragionevole sulla protezione dei dati e fornisce copia della documentazione disponibile (Allegato B aggiornato, esiti delle revisioni di sicurezza, elenco dei sub-responsabili e dei loro subfornitori).

8.2 Ispezioni in loco o verifiche presso i sistemi sono ammesse per giustificato motivo — in particolare a seguito di una violazione dei dati che riguardi il Cliente — oppure quando richieste da un'autorità di vigilanza cui il Cliente è soggetto, con preavviso di 30 giorni, in orario lavorativo, senza interruzione del Servizio, tramite incaricati vincolati alla riservatezza e non concorrenti di X20. I costi delle verifiche eccedenti la prima annuale sono a carico del Cliente, salvo che la verifica accerti un inadempimento rilevante di X20.

8.3 I limiti di frequenza, preavviso e modalità previsti dai commi precedenti riguardano le verifiche ordinarie e non impediscono quelle ulteriori necessarie ai sensi dell'art. 28, paragrafo 3, lettera h), GDPR. In caso di incidente, di fondato sospetto di inadempimento o di richiesta dell'autorità, il preavviso è ridotto nella misura necessaria. Le modalità tutelano la sicurezza, i segreti commerciali e i dati degli altri clienti senza rendere ineffettiva la verifica; le condizioni economiche dell'art. 8.2 restano ferme purché non ostacolino l'esercizio di tali diritti.

8.4 Nulla in questo articolo limita i poteri delle autorità di vigilanza né gli obblighi di X20 verso di esse.

9. Cancellazione e restituzione

9.1 Durante il rapporto il Cliente può usare gli strumenti di esportazione disponibili o richiedere assistenza e il passaggio ad altro fornitore ai sensi dell'art. 12 dei Termini. Alla cessazione sceglie fra restituzione (esportazione) e cancellazione. Se sceglie la restituzione, dispone di 90 giorni per completarla; X20 presta assistenza anche se l'accesso ordinario è sospeso e, su richiesta, consegna i Dati in formato strutturato di uso comune. Dopo la restituzione X20 cancella i Dati e le copie esistenti, salvo obblighi di legge di X20 o istruzioni documentate per una diversa conservazione, concordata per iscritto quanto a durata e condizioni. L'assenza di istruzioni diverse comporta la disponibilità per restituzione per 90 giorni dalla cessazione, con cancellazione entro la scadenza dei 90 giorni. Dopo un passaggio ad altro fornitore, il recupero resta possibile per almeno 30 giorni dalla fine della transizione. La scelta della cancellazione segue il termine dell'art. 9.2, senza attendere i 90 giorni.

9.2 Il Cliente può chiedere la cancellazione anche prima della cessazione, tramite l'assistenza; X20 la esegue dai sistemi attivi entro 30 giorni dalla richiesta (o entro il termine più breve dell'art. 7.1), salvo obblighi di legge di X20, e impartisce senza ritardo ai sub-responsabili istruzioni riferite al singolo Cliente. Le sole copie tecniche non eliminabili in modo selettivo, come le copie di sicurezza, sono isolate, escluse dall'uso ordinario e sovrascritte nel ciclo del fornitore; in caso di ripristino le cancellazioni sono riapplicate. I tempi dei fornitori per le copie residue sono indicati nell'Allegato C; i termini legati alla cessazione dell'intero contratto del fornitore non sostituiscono la cancellazione del singolo Cliente. La cancellazione comprende dati strutturati, documenti, file residui, dati di account trattati per conto del Cliente e registri relativi ai fascicoli. X20 conserva soltanto i dati che una norma le impone di conservare, documentandone norma, finalità e durata e limitandone il trattamento a tale obbligo. Il vincolo tecnico del registro di audit non costituisce un autonomo obbligo legale di conservazione. Le prove di accettazione delle Condizioni e dell'approvazione specifica delle clausole non sono Dati del Cliente: X20 le conserva come titolare autonomo, con i soli dati minimi, per 10 anni dalla cessazione del contratto, per provare il contratto e difendere i propri diritti, e le cancella alla scadenza salvo controversie in corso.

9.3 La conservazione regolamentare dei documenti è un obbligo del Cliente secondo la disciplina a esso applicabile. L'esportazione non assicura da sola conservazione a norma; un affidamento specifico a X20 richiede un distinto accordo scritto.

9.4 Su richiesta, X20 attesta per iscritto l'avvenuta cancellazione, dopo averne verificato l'esito, distinguendo cancellazione dai sistemi attivi, copie residue e loro completamento, e indicando eventuali dati ancora conservati per obblighi di legge e il relativo fondamento.

9.5 Il registro delle attività sui fascicoli, comprese le istantanee delle decisioni, fa parte dei Dati del Cliente e segue l'art. 9. Non è modificabile dagli utenti; le cancellazioni dovute sono eseguite da X20 con una procedura tracciata.

10. Responsabilità e rapporti con le Condizioni generali

10.1 Nei rapporti fra le parti si applica il limite dell'art. 9.2 dei Termini: corrispettivi del servizio dei dodici mesi precedenti il fatto dannoso; per eventuale accesso gratuito, 1.000 €. Sono esclusi dal limite dolo, colpa grave, danni alla persona e responsabilità inderogabili. Restano integri i diritti degli interessati e i poteri delle autorità. Le sanzioni irrogate direttamente a X20 e i risarcimenti dovuti agli interessati ai sensi dell'art. 82 GDPR per fatto proprio di X20 non sono soggetti al massimale. Le esportazioni autorizzate non riducono la responsabilità di X20.

10.2 Ciascuna parte risponde delle proprie violazioni degli obblighi che il GDPR pone specificamente a suo carico; resta il regresso dell'art. 82, paragrafo 5, GDPR, nella misura della rispettiva responsabilità. Il Cliente garantisce di disporre di una base giuridica per i trattamenti che affida a X20, di aver fornito agli interessati l'informativa dovuta e di non caricare nel Servizio dati non necessari alle finalità di compliance documentate. Il Cliente tiene indenne X20 dalle pretese risarcitorie di terzi e dalle ragionevoli spese di difesa nella sola misura causalmente imputabile a proprie istruzioni illecite o all'affidamento di Dati senza base giuridica. Sono escluse le conseguenze delle violazioni proprie di X20, compresi gli obblighi di controllo e segnalazione delle istruzioni illecite dell'art. 2.3, e le sanzioni irrogate a X20. Si applicano le garanzie procedurali dell'art. 9.3 dei Termini.

10.3 Il presente accordo prevale sulle Condizioni generali per ciò che riguarda il trattamento dei dati personali per conto del Cliente. In caso di conflitto con altri accordi fra le parti relativi allo stesso trattamento, prevale il presente accordo, salvo che l'altro accordo preveda garanzie maggiori per gli interessati.

11. Durata, cessione, legge e foro

11.1 L'accordo ha la durata del contratto relativo al Servizio e, per quanto necessario, sopravvive fino al completamento della cancellazione di cui all'art. 9.

11.2 Cessione e subentro. In caso di cessione o conferimento dell'azienda o del ramo d'azienda cui il Servizio appartiene, di fusione, scissione, trasformazione o di cessione del contratto principale a società del gruppo o comunque aventi causa, il cessionario subentra automaticamente a X20 nel presente accordo, nella qualità di responsabile del trattamento, senza necessità di rinegoziazione o di nuova sottoscrizione, alle medesime condizioni e con le medesime garanzie, misure di sicurezza e istruzioni. X20 ne dà comunicazione scritta al Cliente con almeno 15 giorni di preavviso, indicando il cessionario e la data di efficacia e fornendo le informazioni necessarie a verificarne le garanzie ai sensi dell'art. 28, paragrafo 1, GDPR; l'elenco dei sub-responsabili può essere aggiornato dal cessionario con il preavviso e il diritto di opposizione dell'art. 5. Il subentro non riduce alcun diritto del Cliente né degli interessati. In caso di cessione, il Cliente ha diritto all'esportazione e all'uscita. Può esercitarli prima dell'efficacia del subentro, anche per garanzie ritenute insufficienti, senza penali, secondo gli artt. 11.2 e 12 dei Termini. Il Cliente non può cedere il presente accordo separatamente dal contratto principale.

11.3 Si applica la legge italiana; per le controversie è competente in via esclusiva il Foro di Milano, salvi i fori inderogabili.

---

Allegato A — Descrizione del trattamento

Allegato B — Misure tecniche e organizzative

Versione v1.2-2026-10-21. Sono descritte le misure adottate nel Servizio e gli impegni organizzativi di X20; la descrizione non equivale a una certificazione di efficacia dell'intero ambiente. X20 verifica periodicamente che le misure siano operative in produzione.

X20 garantisce l'adozione di misure adeguate ai sensi dell'art. 32 GDPR, considerando rischi, natura del trattamento e stato dell'arte. Questa descrizione non limita tale obbligo e viene aggiornata senza ridurre la protezione. La cancellazione dell'art. 9 deve comprendere i sistemi dei sub-responsabili e le copie, salvo specifici obblighi di legge.

Allegato C — Sub-responsabili e servizi collegati

Elenchi dei subfornitori: Supabase, Resend, Lovable, Anthropic, Brevo e Google li pubblicano nelle pagine legali richiamate dai rispettivi DPA. Resend e Lovable trattano inoltre, come titolari autonomi secondo i loro contratti, dati di account, tecnici e d'uso del servizio per sicurezza, antiabuso, gestione del rapporto e, per Lovable, analisi e sviluppo del prodotto: tali trattamenti non riguardano i Dati dei fascicoli come istruzione di X20 e seguono le informative dei fornitori. Non è attiva la trascrizione audio e nessun fornitore di trascrizione riceve Dati; l'eventuale attivazione segue l'art. 5. Il Cliente può chiedere in ogni momento l'elenco aggiornato e copia delle garanzie pertinenti. L'autorizzazione dell'art. 5 non sana l'assenza di un accordo art. 28 o di una garanzia di trasferimento. Per trasferimenti svolti da X20 come responsabile esportatore si applica il modulo 3 delle SCC, con valutazione e misure supplementari; per i trattamenti di X20 come titolare, il modulo pertinente è il 2. L'eventuale DPF richiede verifica della specifica entità e del trattamento. Microsoft 365/SharePoint e Google/Gmail collegati dal Cliente operano secondo i contratti e le autorizzazioni del Cliente; non diventano automaticamente sub-responsabili scelti da X20. X20 tratta i dati importati e i token secondo questo DPA. Paddle è titolare autonomo per la vendita e non è sub-responsabile dei fascicoli. Le autorità che ricevono dati per legge operano nel proprio ruolo.

Accordo v1.2-2026-10-21, 21 ottobre 2026.