Accordo sul Trattamento dei Dati

Allegato ai Termini e Condizioni Generali — Ultimo aggiornamento: giugno 2026

1. Ambito di applicazione e definizioni

1.1. Il presente accordo sul trattamento dei dati (l’“Accordo di Trattamento dei Dati” o “DPA”) disciplina il trattamento dei Dati Personali durante la fornitura dei Servizi resi da LIDIA all’Utente e costituisce parte integrante dell’Accordo tra le Parti.

1.2. LIDIA e l’Utente convengono ciascuno di rispettare le Leggi Applicabili in materia di protezione dei dati nell’utilizzo della piattaforma LIDIA Legal AI.

1.3. I termini con iniziale maiuscola nel testo del presente DPA hanno il significato ad essi attribuito:

• nel Modulo d’Ordine; ovvero, se non definiti nel Modulo d’Ordine
• alla clausola 2.2 dei Termini e Condizioni Generali di Contratto;

e sono interpretati di conseguenza.

1.4. Definizioni:

“Certificazioni” avrà il significato di cui alla Clausola 4.2.

“Dati Personali” indica i dati personali (o concetti analoghi definiti dalle Leggi in materia di protezione dei dati) che sono forniti dall’Utente al Responsabile del Trattamento o ai Sub-responsabili per avvalersi dei Servizi. I Dati Personali includono anche i dati personali dell’Interessato.

“Divulgazione Obbligatoria” avrà il significato di cui alla Clausola 8.1.

“Finalità” avrà il significato di cui alla Clausola 3.1.

“Interessato” avrà il significato attribuito a tale termine dal GDPR.

“Leggi Applicabili in materia di protezione dei dati” indica qualsiasi legge, giurisprudenza e regolamentazione in materia di protezione dei dati, vincolante a livello nazionale o internazionale, applicabile all’interno di European Union (la “EU”), incluso il Regolamento generale sulla protezione dei dati della EU (“GDPR”), nonché la normativa subordinata e i regolamenti applicabili che danno attuazione a tali leggi, come di volta in volta modificati e integrati.

“Responsabile del Trattamento” indica LIDIA S.r.l., con sede legale in Italy, Genova, Corso Andrea Podestà 8/3, in persona del legale rappresentante pro tempore, iscritta al Registro delle Imprese presso Chamber of Commerce of Genova, Codice Fiscale e Partita IVA 02976860995, quale Parte che tratta dati personali secondo le istruzioni dell’Utente e per conto di quest’ultimo.

“Sub-responsabile/i” e “Elenco dei Sub-responsabili” hanno il significato rispettivamente attribuito nella Clausola 4.1 e nella Clausola 4.2.

1.5. Il seguente allegato forma parte integrante del DPA:

• Appendice A – Elenco dei Sub-responsabili.

2. Titolare, Responsabile e ambito del trattamento

2.1. Ai sensi dell’art. 28 GDPR, il presente DPA disciplina i diritti e gli obblighi dell’Utente nella sua qualità di titolare del trattamento o responsabile del trattamento, nonché i diritti e gli obblighi di LIDIA nella sua qualità di responsabile del trattamento o sub-responsabile del trattamento (il “Responsabile del Trattamento”), quando LIDIA tratta Dati Personali (o fa sì che i Sub-responsabili trattino Dati Personali) per conto dell’Utente ai sensi dell’Accordo.

3. Finalità del trattamento

3.1. LIDIA, in qualità di Responsabile del Trattamento dell’Utente, tratterà i Dati Personali (i) per fornire e/o mantenere i Servizi in conformità all’Accordo e (ii) per le finalità indicate nel presente DPA (la “Finalità”). LIDIA riconosce che l’Utente comunica i Dati Personali esclusivamente per tale Finalità specifica e limitata.

3.2. LIDIA si impegna a trattare i Dati Personali esclusivamente in conformità alla Finalità e alle istruzioni scritte dell’Utente.

3.3. LIDIA darà immediata comunicazione scritta all’Utente nel caso di qualsiasi istruzione che, secondo la ragionevole opinione di LIDIA, violi o possa violare le Leggi Applicabili in materia di protezione dei dati, salvo che ciò sia vietato da disposizioni imperative delle Leggi Applicabili, incluse le leggi di European Union e/o quelle italiane.

4. Sub-responsabili

4.1. Ai sensi della presente Clausola 4, LIDIA ha il diritto di incaricare subappaltatori che agiscano in qualità di sub-responsabili (i “Sub-responsabili”), stipulando con tali Sub-responsabili un accordo scritto ai sensi del quale ciascun Sub-responsabile accetti espressamente: (i) di assumere e rispettare i medesimi obblighi in materia di trattamento dei dati previsti dal presente DPA, in conformità all’art. 28 GDPR; e (ii) di non incaricare alcun ulteriore sub-responsabile per una o più delle attività qui contemplate senza il previo consenso scritto di LIDIA e dell’Utente. Le violazioni da parte dei Sub-responsabili della presente Clausola 4.1 (i) o (ii), o delle Leggi Applicabili (incluse le Leggi Applicabili in materia di protezione dei dati), attribuiscono all’Utente il diritto di ottenere la pronta sostituzione del Sub-responsabile inadempiente con un nuovo Sub-responsabile.

4.2. L’Appendice “A” contiene un elenco completo dei Sub-responsabili che, dalla data di entrata in vigore del presente DPA, sono stati preventivamente approvati dall’Utente (l’“Elenco dei Sub-responsabili”). L’Utente prende atto che MESA, essendo coinvolta nella fornitura dei Servizi, agisce quale Sub-responsabile autorizzato. MESA è impegnata nella gestione della sicurezza delle informazioni, nella sicurezza cloud e nella protezione dei dati, ed è attualmente certificata secondo lo standard ISO 27001:2013. L’adesione di MESA alla sicurezza cloud è altresì certificata da CSA STAR Level 1. LIDIA continuerà ad avvalersi di MESA per la fornitura dei Servizi e garantisce che MESA manterrà in vigore almeno le certificazioni attuali. MESA è autorizzata a incaricare ulteriori Sub-responsabili necessari per la fornitura dei Servizi, i quali dovranno rispettare i requisiti del GDPR in materia di trattamento dei dati.

4.3. Qualora LIDIA intenda aggiungere nuovi Sub-responsabili all’Elenco dei Sub-responsabili, l’Utente ne sarà informato con cadenza annuale.

4.4. A seguito della notifica ai sensi della Clausola 4.3, qualora l’Utente si opponga a uno o più nuovi Sub-responsabili, dovrà comunicare per iscritto la propria opposizione a LIDIA (l’“Opposizione al Sub-responsabile”) entro quindici (15) giorni dal momento in cui la notifica di LIDIA è stata effettuata, fornendo motivazioni ragionevoli relative all’esperienza e/o alla capacità dei nuovi Sub-responsabili proposti di rispettare le Leggi Applicabili in materia di protezione dei dati. Se LIDIA, nonostante l’opposizione dell’Utente, intende incaricare tali nuovi Sub-responsabili, le Parti discuteranno in buona fede e cercheranno di trovare una soluzione alternativa ragionevolmente accettabile per entrambe. Nell’ipotesi in cui (i) le Parti raggiungano una soluzione concordata in merito alla nomina dei nuovi Sub-responsabili e (ii) ciò comporti costi o spese aggiuntivi per LIDIA, quest’ultima avrà diritto ad adeguare il relativo Prezzo e/o corrispettivo ai sensi dell’Accordo, al fine di riequilibrare tali costi o spese aggiuntivi e/o maggiorati. Fermo quanto precede, qualora l’Opposizione al Sub-responsabile da parte dell’Utente comporti costi aggiuntivi e/o conseguenze operative che, a giudizio di LIDIA, non siano commercialmente ragionevoli, LIDIA avrà il diritto di risolvere l’Accordo mediante congruo preavviso scritto.

4.5. LIDIA sarà pienamente responsabile del trattamento dei Dati Personali effettuato da qualunque Sub-responsabile incluso nell’Elenco dei Sub-responsabili, nei limiti di cui all’articolo 82(3) GDPR.

5. Sicurezza dei dati e riservatezza

5.1. Misure di sicurezza

5.1.1. LIDIA implementerà e manterrà misure di sicurezza tecniche e organizzative ragionevoli per proteggere i Dati Personali e i diritti degli Interessati, tenendo conto dello stato dell’arte e dei costi di attuazione in relazione ai rischi e alla natura dei Dati Personali da proteggere. Tali misure includono, a titolo esemplificativo e non esaustivo, la cifratura dei dati e il controllo degli accessi.

5.1.2. Al fine di mantenere l’integrità e l’affidabilità del sistema di sicurezza, LIDIA garantisce altresì di istituire e attuare: (i) pratiche di sviluppo sicuro, (ii) un piano di continuità operativa e disaster recovery e (iii) un piano di rilevazione e risposta agli incidenti relativi a violazioni di dati o incidenti di sicurezza. Ulteriori dettagli sono forniti nella Politica di Sicurezza di LIDIA, disponibile qui.

5.2. Backup dei dati

5.2.1. LIDIA implementa servizi di backup automatizzato AWS per garantire che i dati siano sottoposti regolarmente a backup e possano essere ripristinati in caso di perdita dei dati. Ciò include capacità di point-in-time restore e conservazione a lungo termine. Ulteriori dettagli sono forniti nella Politica di Sicurezza di LIDIA, disponibile qui.

5.3. Riservatezza e misure organizzative

5.3.1. LIDIA garantirà che l’accesso ai Dati Personali sia limitato esclusivamente ai membri del Personale il cui accesso ai Dati Personali sia, di volta in volta e secondo le specifiche circostanze, necessario per consentire a LIDIA di adempiere ai propri obblighi ai sensi dell’Accordo e del presente DPA.

5.3.2. LIDIA garantisce che ciascun membro del Personale, incluse tutte le persone autorizzate a trattare i Dati Personali per conto di LIDIA o dei suoi Sub-responsabili autorizzati, sia vincolato alla riservatezza (i) ai sensi di uno specifico accordo e/o (ii) in forza di un adeguato obbligo legale di riservatezza. Inoltre, tutte le persone autorizzate al trattamento dei Dati Personali riceveranno una formazione sufficiente e necessaria in materia di consapevolezza GDPR e accordi di trattamento dei dati.

6. Violazione dei Dati Personali

6.1. LIDIA informerà l’Utente senza ingiustificato ritardo di qualsiasi violazione dei Dati Personali, fornendo le informazioni di cui agli artt. 33 e 34 GDPR e, in ogni caso, entro 72 ore dalla violazione dei Dati.

6.2. LIDIA assisterà l’Utente con qualsiasi informazione ragionevolmente necessaria per adempiere agli obblighi di notifica della violazione dei dati ai sensi delle Leggi Applicabili in materia di protezione dei dati e farà tutto quanto ragionevolmente possibile sul piano commerciale per eliminare le conseguenze derivanti dalla violazione dei Dati Personali.

7. Trasferimenti verso Paesi terzi

7.1. LIDIA e i suoi Sub-responsabili non trasferiranno, senza il previo consenso scritto dell’Utente, né direttamente né tramite terzi, Dati Personali verso Paesi situati al di fuori di EU/EAA, né incaricheranno o continueranno a collaborare con Sub-responsabili che trattino i dati personali al di fuori di EU/EEA.

7.2. Tutti i trasferimenti di Dati Personali, sia all’interno sia all’esterno di EU/EAA, compresi i trasferimenti tra l’Utente, il Responsabile del Trattamento e gli eventuali Sub-responsabili, dovranno essere conformi ai requisiti del GDPR ed essere attuati mediante garanzie adeguate volte a garantire la sicurezza dei dati, come ulteriormente descritto nella Clausola 5. Qualsiasi Sub-responsabile dovrà rispettare i requisiti del GDPR per il trasferimento dei Dati Personali verso Paesi al di fuori di EEA, implementando, ove richiesto, uno specifico set di Clausole Contrattuali Standard.

8. Divulgazione obbligatoria

8.1. Il Responsabile del Trattamento non divulgherà i Dati Personali a terzi senza il previo consenso scritto dell’Utente, salvo che ciò sia richiesto dalla legge o da regolamenti applicabili (la “Divulgazione Obbligatoria”).

8.2. In caso di Divulgazione Obbligatoria, il Responsabile del Trattamento informerà l’Utente senza ingiustificato ritardo e fornirà tutte le informazioni necessarie in merito alla Divulgazione Obbligatoria, salvo che ciò sia vietato da disposizioni imperative di Leggi Applicabili, incluse quelle di European Union o italiane.

9. Cooperazione tra le Parti

9.1. Le Parti coopereranno in buona fede per adempiere ai rispettivi obblighi.

9.2. LIDIA assisterà l’Utente:

• nell’adempimento del proprio obbligo di effettuare valutazioni d’impatto sulla protezione dei Dati e consultazioni preventive con l’Autorità Garante per la protezione dei dati personali;
• nell’adempimento dei propri obblighi in relazione alle richieste degli Interessati e, a titolo esemplificativo, in materia di rettifica, cancellazione, limitazione, portabilità, opposizione, blocco o eliminazione dei Dati Personali trattati da LIDIA. Nel caso in cui una richiesta dell’Interessato sia ricevuta direttamente da LIDIA, quest’ultima inoltrerà prontamente tale richiesta all’Utente;
• in qualsiasi indagine derivante da una violazione dei Dati Personali.

9.3. Tale assistenza sarà prestata da LIDIA, e le relative attività saranno a spese ragionevoli dell’Utente, tenuto conto della natura del trattamento e dei Dati Personali a disposizione di LIDIA.

10. Impegni dell’Utente

10.1. Conformità alle Leggi Applicabili in materia di protezione dei dati

10.1.1. L’Utente si conformerà a tutte le Leggi Applicabili in materia di protezione dei dati a esso applicabili.

10.2. Garanzia sulla base giuridica del trattamento

10.2.1. L’Utente garantisce di disporre di una valida base giuridica, nonché di tutti i diritti, consensi e autorizzazioni necessari, per fornire i Dati Personali a LIDIA e per autorizzare LIDIA a trattare tali Dati Personali in conformità al presente DPA e all’Accordo.

10.2.2. Qualora la base giuridica per la comunicazione e/o il trattamento dei Dati Personali di un Interessato consista nel consenso espresso di tale Interessato, l’Utente avrà ottenuto tale consenso in conformità alla normativa applicabile in materia di protezione dei dati e ne conserverà prova.

10.3. Modifiche

10.3.1. L’Utente informerà tempestivamente il Responsabile del Trattamento di qualsiasi modifica ai Dati Personali, di qualsiasi modifica alla base giuridica del trattamento, inclusa la revoca del consenso da parte di un Interessato, nonché di qualsiasi richiesta dell’Interessato di cancellazione, rettifica, limitazione o opposizione al trattamento.

10.4. Trasferimento dei Dati Personali

10.4.1. L’Utente trasferirà i Dati Personali a LIDIA mediante metodi sicuri, ragionevoli e appropriati.

10.4.2. L’Utente si asterrà dal fornire a LIDIA categorie di dati soggette a restrizioni ai sensi della normativa in materia di protezione dei dati, incluse, a titolo esemplificativo e non esaustivo, categorie di dati genetici, biometrici, sanitari o relativi alle carte di pagamento idonei a identificare una persona.

10.5. Cooperazione con il Responsabile del Trattamento

10.5.1. L’Utente coopererà con LIDIA nell’adempimento dei suoi obblighi, ove richiesto da LIDIA e/o da qualsiasi membro del Personale di LIDIA.

11. Durata

11.1. Il presente DPA rimane efficace fintanto che LIDIA (o un Sub-responsabile) tratta Dati Personali per conto dell’Utente o di qualsiasi Interessato, oppure fino alla scadenza o cessazione dell’Accordo.

11.2. Gli obblighi di riservatezza e cooperazione restano efficaci anche dopo la cessazione del presente DPA.

12. Misure alla cessazione del trattamento dei Dati Personali

12.1. Prima della scadenza del presente DPA, LIDIA dovrà, a scelta e su istruzione dell’Utente, (i) cancellare in modo sicuro oppure (ii) restituire all’Utente tutti i Dati Personali, salvo che le Leggi Applicabili in materia di protezione dei dati impongano a LIDIA di conservarli, nel qual caso si applicheranno gli obblighi di cui alla Clausola 12.3.

12.2. LIDIA metterà a disposizione dell’Utente i mezzi tecnici per esportare i Dati Personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, facilitando la portabilità dei dati. Tali formati includeranno, a titolo esemplificativo e non esaustivo, CSV, JSON e XML.

12.3. Qualora la restituzione o la distruzione siano impraticabili oppure vietate da Leggi Applicabili, incluse le leggi italiane o europee, LIDIA adotterà misure per informare l’Utente e bloccare tali Dati Personali da ogni ulteriore trattamento (salvo nella misura necessaria alla loro continua conservazione o al trattamento richiesto dalle Leggi Applicabili, incluse le leggi italiane o europee) e continuerà a proteggere adeguatamente i Dati Personali che rimangano nel proprio possesso, custodia o controllo; inoltre, qualora un Sub-responsabile autorizzato continui a detenere Dati Personali, LIDIA richiederà a tale Sub-responsabile autorizzato di adottare le medesime misure richieste a LIDIA.

13. Modifiche al DPA

13.1. Qualsiasi modifica al presente DPA dovrà essere concordata per iscritto e debitamente sottoscritta dai rappresentanti autorizzati di entrambe le Parti.

13.2. In deroga alla Clausola 13.1, LIDIA ha il diritto di aggiornare le proprie istruzioni scritte relative al trattamento di cui all’Appendice A.

13.3. Entrambe le Parti convengono di riesaminare il presente DPA per assicurarne la conformità qualora nuove normative in materia di intelligenza artificiale vengano emanate ed entrino in vigore.

14. Legge applicabile e foro competente

14.1. L’Accordo è regolato dalla legge italiana.

14.2. Per qualsiasi controversia o disputa derivante da o relativa al presente Accordo, sarà competente in via esclusiva il foro di Milano.

Approvazione espressa ai sensi del Codice civile italiano

Ai sensi degli articoli 1341 e 1342 del Codice civile italiano, l’Utente approva espressamente le seguenti clausole, avendone letto e compreso attentamente i termini: Clausola 4.4 (Sub-responsabili); Clausola 11 (Durata dell’Accordo); Clausola 13 (Modifiche al DPA); Clausola 14 (Legge applicabile e Foro competente).

Appendice A – Elenco dei Sub-responsabili

N.	Sub-responsabile	Ubicazione	Base giuridica del trattamento
1	MESA S.R.L.	EAA/EU	GDPR
2	MICROSOFT SRL	EEA/EU	GDPR
3	STAR KAPITAL SRL	EEA/EU	GDPR
4	VECTIS SRL	EEA/EU	GDPR
5	MAILJET	EEA/EU	GDPR
6	Amazon Web Services	EEA/EU	GDPR
7	MongoDB	EEA/EU	GDPR