Accordo sul trattamento dei dati (DPA)

Ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR). Parte integrante dei Termini di servizio di disclosESG.

Versione 1, del 14 novembre 2026.

1. Parti e premesse

Il presente accordo è stipulato tra Guido Pellizzari, partita IVA 04412041206, contattabile all'indirizzo email info@disclosesg.it (di seguito, il Fornitore), e il soggetto che attiva un account sulla piattaforma disclosESG (di seguito, il Cliente).

Il Cliente usa la piattaforma per preparare relazioni di sostenibilità secondo il principio di rendicontazione di sostenibilità ad uso volontario di cui al regolamento delegato (UE) 2026/1560 (VSME), e a questo fine vi inserisce dati e documenti che riguardano l'impresa a cui la relazione si riferisce (di seguito, l'Impresa).

I ruoli sono i seguenti:

• quando il Cliente è l'Impresa stessa, il Cliente è titolare del trattamento e il Fornitore è responsabile del trattamento;
• quando il Cliente è uno studio che prepara le relazioni delle imprese proprie clienti, lo studio determina il trattamento nell'ambito del proprio incarico professionale e il Fornitore tratta i dati per suo conto. Se lo studio opera a propria volta quale responsabile del trattamento per conto dell'Impresa, garantisce di essere autorizzato dall'Impresa a ricorrere al Fornitore quale ulteriore responsabile, e i riferimenti al Cliente contenuti nel presente accordo si intendono riferiti allo studio nella sua qualità di responsabile che impartisce istruzioni a un ulteriore responsabile;
• quando un'Impresa delega uno studio a lavorare sulla propria relazione (articolo 7), titolare del trattamento resta l'Impresa e il Fornitore resta responsabile del trattamento per conto dell'Impresa. Lo studio delegato accede ai dati su istruzione dell'Impresa. Il rapporto tra l'Impresa e lo studio, anche sotto il profilo della protezione dei dati, è regolato tra loro.

Il Fornitore tratta i dati esclusivamente per conto del Cliente. Il presente accordo disciplina tale trattamento ed è accettato insieme ai Termini di servizio.

2. Oggetto, durata, natura e finalità del trattamento

Il trattamento consiste nella raccolta, conservazione, organizzazione, elaborazione e cancellazione dei dati inseriti dal Cliente, al solo fine di erogare le funzioni del servizio: gestione dell'anagrafica dell'Impresa, lettura dei dati da visura e bilancio, calcolo di indicatori ed emissioni, generazione e controllo dei testi con servizi di intelligenza artificiale, impaginazione e produzione dei documenti, conservazione dei documenti emessi, gestione delle deleghe, invio delle comunicazioni di servizio. Categorie di dati e di interessati sono nell'Allegato A.

Nell'erogare il servizio il Fornitore può calcolare sui dati inseriti conteggi e codici di controllo (impronte) che non ne riportano il contenuto, al solo fine di verificare il corretto utilizzo del servizio secondo l'articolo 11 dei Termini di servizio. Le impronte non permettono di ricostruire i dati, non sono comunicate a terzi e non sono usate per altre finalità.

La durata del trattamento coincide con la durata del rapporto contrattuale. Alla cessazione si applica l'articolo 9.

3. Istruzioni del Cliente

Il Fornitore tratta i dati soltanto su istruzione documentata del Cliente. Le funzioni della piattaforma, come descritte nella Guida e nei Termini di servizio, e le azioni compiute dagli utenti del Cliente con l'interfaccia costituiscono le istruzioni documentate ai sensi dell'art. 28, par. 3, lett. a) GDPR. Tra queste: il conferimento di una delega a uno studio e l'autorizzazione all'accesso dell'assistenza.

Il Fornitore informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

4. Obblighi del Fornitore

Il Fornitore si impegna a:

• garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;
• adottare le misure tecniche e organizzative richieste dall'art. 32 GDPR, descritte nell'Allegato B;
• assistere il Cliente, tenuto conto della natura del trattamento, nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). Le richieste che arrivano direttamente al Fornitore sono inoltrate al Cliente senza ingiustificato ritardo;
• assistere il Cliente nel rispetto degli obblighi degli artt. 32-36 GDPR, tenuto conto della natura del trattamento e delle informazioni a disposizione del Fornitore;
• notificare al Cliente, senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, ogni violazione dei dati personali, con le informazioni utili agli adempimenti degli artt. 33 e 34 GDPR;
• mettere a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto del presente accordo e contribuire alle attività di revisione, secondo l'articolo 8;
• non accedere ai contenuti dell'account del Cliente se non con l'autorizzazione del Responsabile dell'account, data nell'ambito di una richiesta di assistenza, per un tempo massimo di 7 giorni e con registrazione degli accessi.

5. Ulteriori responsabili (sub-responsabili)

Il Cliente autorizza in via generale il Fornitore a ricorrere a ulteriori responsabili per erogare il servizio. L'elenco aggiornato, con ruolo e sede del trattamento, è pubblicato nell'area riservata alla pagina «Fornitori del servizio» ed è riportato, alla data della presente versione, nell'Allegato C.

Il Fornitore comunica al Cliente, tramite la piattaforma o via email, l'intenzione di aggiungere o sostituire un ulteriore responsabile con un preavviso di almeno 15 giorni. Entro il termine il Cliente può opporsi per motivi legittimi e documentati. In caso di opposizione le parti cercano in buona fede una soluzione e, se non è possibile, il Cliente può recedere dal contratto.

Il Fornitore impone a ciascun ulteriore responsabile, con contratto, obblighi di protezione dei dati equivalenti a quelli del presente accordo e resta pienamente responsabile verso il Cliente del loro adempimento.

6. Trattamento con servizi di intelligenza artificiale

Tra gli ulteriori responsabili figura il fornitore del servizio di intelligenza artificiale. A questo fornitore sono trasmessi, tramite API e solo quando un utente avvia la relativa funzione:

• per la lettura dei documenti: il file PDF della visura o del bilancio caricato, nella sua interezza, e la denominazione dell'Impresa attesa. La visura contiene dati personali di amministratori, soci e titolari di cariche. Il bilancio in formato XBRL è letto dalla piattaforma senza ricorrere al servizio;
• per la generazione, la rigenerazione e la rifinitura dei testi e per le proposte di obiettivi: i dati dell'Impresa inseriti e confermati dal Cliente che servono alla sezione, compresa la denominazione dell'Impresa, e i testi esistenti;
• per il controllo dei testi: i testi e i dati a cui si riferiscono;
• per la classificazione delle fotografie: la fotografia in formato ridotto. Il servizio riceve l'istruzione di attribuirle una categoria senza descriverla e senza riconoscere persone, targhe o testi.

La piattaforma non prevede campi per i dati di singoli lavoratori. Il contenuto dei campi di testo libero è determinato dal Cliente, che si impegna a non inserirvi dati personali non necessari alla relazione.

Il fornitore del servizio si impegna contrattualmente a non usare i dati trasmessi tramite API per l'addestramento dei propri modelli. I risultati sono proposte e bozze, soggette alla conferma e all'approvazione del Cliente secondo i Termini di servizio. Per ogni operazione la piattaforma registra modello, data, esito, utente e veste in cui ha agito.

7. Delega a uno studio

Quando il Responsabile dell'account di un'Impresa conferisce una delega a uno studio, istruisce il Fornitore a rendere accessibili allo studio, e ai consulenti che lo studio incarica, i dati, i documenti caricati e le relazioni dell'Impresa per gli esercizi confermati, entro il livello scelto. Il Responsabile dell'account prende atto di questo effetto al momento del conferimento; testo e versione della presa d'atto sono conservati con la delega.

Il Fornitore:

• limita l'accesso dello studio agli esercizi confermati e lo fa cessare alla revoca, alla rinuncia o alla scadenza, con effetto dalla richiesta successiva;
• registra gli accessi e le operazioni dello studio delegato (ciclo di vita della delega, incarichi, primo ingresso della giornata, modifiche, caricamenti ed eliminazioni di file, generazioni, scaricamenti) e li rende consultabili al Responsabile dell'account dell'Impresa nella pagina «Accessi esterni». Lo studio non consulta il registro;
• conserva il registro per 24 mesi, poi lo cancella.

8. Trasferimenti verso paesi terzi

Il database e l'archivio dei file sono su infrastrutture situate nell'Unione Europea. Quando l'erogazione del servizio comporta trasferimenti di dati verso paesi terzi, in particolare per il servizio di intelligenza artificiale, questi avvengono nel rispetto del capo V del GDPR, sulla base di una decisione di adeguatezza della Commissione europea o delle clausole contrattuali standard incorporate nei termini dell'ulteriore responsabile interessato, come indicato nell'Allegato C.

9. Verifiche

Il Fornitore mette a disposizione del Cliente, su richiesta scritta, la documentazione idonea a dimostrare il rispetto del presente accordo, comprese le certificazioni e le relazioni di sicurezza rese disponibili dagli ulteriori responsabili. Altre attività di revisione, comprese le ispezioni, si svolgono previo accordo su modalità e tempi, con preavviso ragionevole, nel normale orario di lavoro, senza interferire in modo sproporzionato con il servizio e nel rispetto della riservatezza dei dati degli altri clienti.

10. Conservazione e cessazione del rapporto

Durante il rapporto il Fornitore applica le seguenti durate:

Che cosa	Per quanto
Originali di visura e bilancio	Fino a 12 mesi dalla chiusura della relazione, poi cancellati. Prima, se la relazione dell'esercizio successivo carica il documento corrispondente, che li sostituisce, o se il Cliente li cancella. Restano i dati letti e confermati, il nome del file, la data e l'impronta
Fotografie e logo dell'Impresa	Finché l'Impresa è presente nell'account
Relazioni e documenti emessi alla chiusura	Finché l'account è attivo
Bozze scaricate prima della chiusura	Non sono conservate: si producono a ogni richiesta
File di una relazione annullata	30 giorni
Registro degli accessi e delle attività	24 mesi

Alla cessazione del rapporto l'account resta in sola lettura per 30 giorni, durante i quali il Cliente può scaricare i propri documenti nei formati resi disponibili dalla piattaforma. Decorso il termine il Fornitore cancella i dati trattati per conto del Cliente, compresi i file in archivio, salvi gli obblighi di conservazione previsti dalla legge, e ne attesta la cancellazione su richiesta. Restano esclusi i dati di cui il Fornitore è autonomo titolare (anagrafica fiscale, ordini, movimenti dei crediti, fatture, accettazioni dei documenti contrattuali), trattati secondo la propria informativa privacy.

11. Responsabilità e disposizioni finali

Ciascuna parte risponde dei danni cagionati dal trattamento secondo l'art. 82 GDPR. Il Cliente garantisce che i dati inseriti sono trattati nel rispetto della normativa applicabile, di avere titolo per inserirli e di avere adempiuto agli obblighi informativi verso gli interessati, comprese le persone riconoscibili nelle fotografie. Il presente accordo è regolato dalla legge italiana. Per quanto non previsto si applicano i Termini di servizio e la normativa in materia di protezione dei dati personali.

Allegato A. Dettagli del trattamento

Categorie di interessati: amministratori, soci, legali rappresentanti e titolari di cariche dell'Impresa; persone nominate nella relazione per scelta del Cliente; persone riconoscibili nelle fotografie; lavoratori dell'Impresa, solo in quanto un dato aggregato di un'impresa molto piccola possa ricondurre a una persona; utenti del Cliente e consulenti dello studio delegato.

Categorie di dati: dati identificativi dell'Impresa (ragione sociale, partita IVA, codice fiscale, sede, codice ATECO); nominativi, cariche e dati anagrafici presenti nella visura; dati economici e patrimoniali del bilancio; dati ambientali (energia, emissioni, acqua, rifiuti e gli altri previsti dallo standard); dati sul personale in forma aggregata (organico, composizione per genere e per contratto, retribuzioni, infortuni, formazione); dati sulla governance e sulla condotta, comprese eventuali condanne e sanzioni dell'Impresa in materia di corruzione, nella misura in cui lo standard le richiede; testi della relazione; logo e fotografie; documenti generati.

Categorie particolari di dati: la piattaforma non le richiede.

Operazioni di trattamento: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione (comprese la lettura automatica dei documenti e la generazione assistita di testi), estrazione, messa a disposizione dello studio delegato, cancellazione.

Allegato B. Misure di sicurezza

Cifratura delle comunicazioni in transito (TLS); autenticazione con credenziali individuali e procedure sicure di ripristino della password; isolamento logico dei dati tra gli account, con accesso a ogni risorsa verificato a ogni richiesta e accesso diretto al database chiuso dall'esterno; controllo degli accessi per ruolo (Responsabile dell'account, Collaboratori e Consulenti, studio delegato con livello e scadenza, amministratori della piattaforma); accesso del personale del Fornitore ai contenuti dell'account solo con autorizzazione del Responsabile dell'account, nominativo e a tempo; archivio dei file privato, con scaricamento solo attraverso la piattaforma e registrato; protezione dei moduli dalle richieste contraffatte; registro delle attività non modificabile dagli utenti; backup periodici su infrastruttura nell'Unione Europea; database di produzione separato da quello di sviluppo; aggiornamento delle componenti software.

Allegato C. Elenco degli ulteriori responsabili

Alla data della presente versione: vedi Fornitori del servizio. L'elenco pubblicato nell'area riservata prevale, in caso di difformità, su quello allegato a questa versione.