Accordo sul trattamento dei dati personali

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) · Versione 1.0 del 15 ottobre 2026

Stampa o salva in PDF

1. Definizioni

I termini "dati personali", "trattamento", "titolare del trattamento", "responsabile del trattamento", "interessato", "violazione dei dati personali" e "sub-responsabile" hanno il significato attribuito dal Regolamento (UE) 2016/679 ("GDPR"). Per "Servizi" si intendono i servizi di Incentivato descritti al punto 3. Per "Termini" si intendono i Termini e Condizioni di Incentivato.

2. Oggetto e durata

1. Il presente Accordo disciplina il trattamento dei dati personali che il Responsabile effettua per conto del Titolare nell'erogazione dei Servizi, ai sensi dell'art. 28 GDPR.
2. L'Accordo ha la stessa durata del rapporto contrattuale regolato dai Termini e cessa alla chiusura dell'account o al termine dell'ultimo Servizio attivo, fatto salvo quanto previsto al punto 13.
3. Il presente Accordo non si applica ai trattamenti per i quali Capital AI S.r.l. agisce come titolare autonomo, in particolare la gestione dell'account, la fatturazione, l'assistenza, la sicurezza del sito e le misurazioni statistiche, descritti nell'Informativa sulla Privacy.

3. Natura e finalità del trattamento

Il Responsabile tratta i dati personali al solo fine di erogare i seguenti Servizi richiesti dal Titolare:

1. Verifica dei requisiti e Monitoraggio: lettura dei dati dell'impresa dal Registro Imprese a partire dalla P.IVA indicata dal Titolare, confronto con i requisiti dei bandi e invio di alert via email all'indirizzo dell'account.
2. EU-Dimension: calcolo della dimensione d'impresa secondo la Raccomandazione 2003/361/CE e generazione del report PDF, a partire dai dati del Registro Imprese relativi all'impresa indicata e alle imprese collegate e associate.
3. API Incentivi: elaborazione delle richieste inviate dal Titolare tramite chiave API.

Le operazioni di trattamento consistono in raccolta, registrazione, consultazione, elaborazione, conservazione, comunicazione al Titolare e cancellazione, svolte in modo automatizzato.

4. Categorie di dati e di interessati

I Servizi trattano principalmente dati di impresa, che non sono dati personali quando riferiti a persone giuridiche. I dati personali trattati per conto del Titolare sono limitati a:

I Servizi non sono progettati per trattare categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati (art. 10 GDPR). Il Titolare si impegna a non inserirli.

5. Istruzioni del Titolare

1. Il Responsabile tratta i dati personali soltanto su istruzione documentata del Titolare. Costituiscono istruzioni documentate i Termini, il presente Accordo e le impostazioni configurate dal Titolare nei Servizi (ad es. le P.IVA da monitorare, i filtri, le richieste API).
2. Il Responsabile informa il Titolare se ritiene che un'istruzione violi il GDPR o altre norme in materia di protezione dei dati.
3. Il Titolare garantisce di disporre di un'idonea base giuridica per i dati che comunica al Responsabile e di aver fornito agli interessati le informazioni richieste dagli artt. 13 e 14 GDPR.

6. Riservatezza

Il Responsabile garantisce che le persone autorizzate al trattamento dei dati personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che accedano ai dati solo nella misura necessaria all'erogazione e all'assistenza dei Servizi.

7. Misure di sicurezza (art. 32 GDPR)

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito (HTTPS con HSTS) e cifratura a riposo fornita dall'infrastruttura Google Cloud;
• autenticazione degli utenti tramite Firebase Authentication e chiavi API individuali e revocabili;
• controllo degli accessi secondo il principio del privilegio minimo e regole di sicurezza sul database;
• conservazione dei dati applicativi nell'Unione europea (punto 9);
• assenza di conservazione dei dati completi delle carte di pagamento, trattati esclusivamente da Stripe;
• registrazione degli eventi tecnici per individuare malfunzionamenti e accessi anomali.

Il Responsabile può aggiornare le misure nel tempo, purché il livello di sicurezza complessivo non si riduca.

8. Sub-responsabili

1. Il Titolare concede un'autorizzazione generale al ricorso ai sub-responsabili elencati di seguito. Il Responsabile impone a ciascuno obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo e resta responsabile nei confronti del Titolare del loro adempimento.

2. Il Responsabile informa il Titolare di ogni aggiunta o sostituzione di sub-responsabili aggiornando l'elenco pubblicato alla pagina incentivato.it/fornitori, con indicazione della data, almeno 15 giorni prima che la modifica abbia effetto.
3. Il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati scrivendo a [email protected] o via PEC a [email protected] entro tale termine. In mancanza di una soluzione, il Titolare può recedere dai Servizi interessati, disdicendo l'abbonamento con le modalità previste dai Termini.

9. Trasferimenti fuori dallo Spazio economico europeo

I dati applicativi sono conservati nell'Unione europea. Qualora un sub-responsabile tratti dati al di fuori dello Spazio economico europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea, incluso l'EU-U.S. Data Privacy Framework per i destinatari certificati, oppure delle clausole contrattuali standard adottate dalla Commissione, con le eventuali misure supplementari.

10. Assistenza al Titolare

1. Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15–22 GDPR). Il Titolare può consultare, modificare e rimuovere direttamente dai Servizi i dati che ha inserito, ad esempio le P.IVA monitorate.
2. Se un interessato si rivolge direttamente al Responsabile, questo inoltra la richiesta al Titolare senza ingiustificato ritardo e non vi dà seguito autonomamente, salvo diversa istruzione.
3. Il Responsabile fornisce al Titolare le informazioni disponibili utili per la valutazione d'impatto (art. 35 GDPR) e per l'eventuale consultazione preventiva (art. 36 GDPR).

11. Violazione dei dati personali

Il Responsabile notifica al Titolare ogni violazione dei dati personali che riguardi i dati trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne viene a conoscenza, all'indirizzo email associato all'account del Titolare, inviando la notifica da [email protected] o da [email protected]. Le comunicazioni del Titolare relative a violazioni dei dati personali possono essere inviate agli stessi indirizzi. La notifica contiene, nella misura in cui sono disponibili, le informazioni previste dall'art. 33, paragrafo 3, GDPR; le informazioni non disponibili subito sono fornite in fasi successive. Il Responsabile adotta senza ritardo le misure necessarie per contenere la violazione e attenuarne gli effetti.

12. Verifiche

1. Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR, in forma documentale: il presente Accordo, l'elenco dei sub-responsabili, la descrizione delle misure di sicurezza e, su richiesta scritta, le risposte a questionari ragionevoli in materia di protezione dei dati.
2. Le verifiche ispettive in loco sono ammesse solo se la documentazione non è sufficiente a dimostrare il rispetto dell'Accordo o se richieste da un'autorità di controllo, con preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, a spese del Titolare e senza accesso ai dati di altri clienti né ai sistemi dei sub-responsabili.

13. Cancellazione e restituzione dei dati

Al termine dei Servizi il Titolare può esportare o rimuovere i propri dati. Su richiesta del Titolare, il Responsabile cancella i dati personali trattati per suo conto entro 30 giorni, salvo che la conservazione sia richiesta dal diritto dell'Unione o italiano, ad esempio per gli obblighi civilistici e fiscali relativi alla fatturazione. Le copie di backup sono sovrascritte secondo i normali cicli di conservazione dell'infrastruttura.

14. Responsabilità

La responsabilità delle parti per il presente Accordo è regolata dai Termini, inclusi i limiti ivi previsti, fatto salvo quanto inderogabilmente stabilito dall'art. 82 GDPR.

15. Accettazione, prevalenza e modifiche

1. Il presente Accordo integra i Termini e si applica a ogni Cliente che utilizzi i Servizi in qualità di impresa, professionista o ente. È accettato con l'accettazione dei Termini e l'utilizzo dei Servizi, senza necessità di sottoscrizione separata.
2. In caso di contrasto tra il presente Accordo e i Termini, per quanto riguarda il trattamento dei dati personali prevale il presente Accordo.
3. Il Responsabile può aggiornare l'Accordo per adeguarlo a modifiche normative o dei Servizi, pubblicando la nuova versione su questa pagina con la relativa data. Le modifiche non possono ridurre il livello di protezione dei dati personali.
4. Il presente Accordo è regolato dalla legge italiana. Il foro competente è quello indicato nei Termini.

Capital AI S.r.l. · P.IVA 13856590966 · REA MI-2748256 · Via Giuseppe Ripamonti 19, 20136 Milano (MI) · [email protected] · PEC [email protected]