Accordo

Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento: 5 ottobre 2026

1. Parti, oggetto e prevalenza

Il presente Accordo sul trattamento dei dati ("DPA") è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") tra:

• il Cliente, come definito nei Termini di Servizio, che agisce come Titolare del trattamento;
• RedLemon Srl, con sede legale in Via Case Bianche - Torre Mangoni, 30 - 84076 Torchiara (SA), P.IVA IT05984740653, PEC unrealclub@legalmail.it, che agisce come Responsabile del trattamento.

Il DPA regola i trattamenti di dati personali che RedLemon svolge per conto del Cliente nell'erogazione di Giana. È parte integrante dei Termini di Servizio e viene accettato con essi al momento della registrazione. In caso di contrasto tra DPA e Termini in materia di protezione dei dati, prevale il DPA.

I termini non definiti nel DPA hanno il significato previsto dal GDPR o dai Termini di Servizio.

Il DPA non si applica ai dati del Cliente e dei suoi Utenti autorizzati trattati da RedLemon come titolare autonomo (account, fatturazione, assistenza), regolati dalla Privacy Policy.

2. Dettagli del trattamento

RedLemon tratta i dati solo per queste finalità e non li usa per scopi propri, per marketing o per addestrare modelli di intelligenza artificiale.

3. Obblighi delle parti

Obblighi del Responsabile. RedLemon:

• tratta i dati solo su istruzione documentata del Cliente. Costituiscono istruzioni i Termini, il DPA e le configurazioni impostate dal Cliente nella piattaforma. Se un'istruzione appare contraria al GDPR, RedLemon ne informa il Cliente senza ritardo;
• garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;
• adotta le misure di sicurezza dell'art. 32 GDPR descritte nell'Allegato;
• ricorre a sub-responsabili solo secondo la sezione 4;
• assiste il Cliente, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati (artt. 15-22 GDPR), anche mettendo a disposizione funzioni di consultazione, esportazione e cancellazione delle conversazioni;
• inoltra al Cliente senza ritardo le richieste degli interessati ricevute direttamente, senza rispondere nel merito salvo istruzione del Cliente;
• assiste il Cliente negli obblighi degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva), nei limiti delle informazioni di cui dispone;
• mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR, secondo la sezione 6.

Obblighi del Titolare. Il Cliente:

• è responsabile della liceità del trattamento, inclusa la base giuridica e l'informativa agli Utenti finali;
• informa gli Utenti finali che stanno interagendo con un sistema di intelligenza artificiale;
• non carica nella Base di conoscenza né fa raccogliere dagli Assistenti dati non necessari, categorie particolari di dati o dati di minori, salvo accordo scritto;
• configura tempi di conservazione delle conversazioni adeguati alle proprie finalità.

4. Sub-responsabili

Il Cliente autorizza in via generale RedLemon a ricorrere ai sub-responsabili elencati di seguito. RedLemon impone a ciascuno, con contratto scritto, obblighi di protezione dei dati equivalenti a quelli del DPA e resta responsabile verso il Cliente del loro operato.

I fornitori dei modelli variano in base al modello usato; l'elenco aggiornato è disponibile su richiesta a info@giana.io. RedLemon instrada le richieste solo verso fornitori che non conservano i dati dopo l'elaborazione e non li usano per l'addestramento.

Meta. Il collegamento a WhatsApp avviene tramite l'account WhatsApp Business del Cliente, che accetta direttamente le condizioni di Meta. Meta tratta i messaggi in base al rapporto contrattuale con il Cliente e non è un sub-responsabile di RedLemon.

Modifiche. RedLemon comunica via email al Cliente l'aggiunta o la sostituzione di un sub-responsabile con almeno 15 giorni di preavviso. Il Cliente può opporsi per motivi fondati legati alla protezione dei dati entro lo stesso termine. Se le parti non trovano una soluzione, il Cliente può recedere senza penali e il Credito residuo gli viene rimborsato.

5. Trasferimenti extra-UE

L'infrastruttura principale e i dati conservati (conversazioni e Base di conoscenza) risiedono nell'Unione europea. Per generare le risposte, il testo dei messaggi e i passaggi pertinenti della Base di conoscenza vengono trasmessi a OpenRouter e ai fornitori dei modelli, che possono trovarsi negli Stati Uniti o in altri paesi extra-UE.

Questi trasferimenti avvengono sulla base di:

• decisioni di adeguatezza della Commissione europea, incluso il Data Privacy Framework UE-USA per i fornitori che vi aderiscono;
• clausole contrattuali standard approvate con Decisione di esecuzione (UE) 2021/914, incluse nel DPA tra RedLemon e OpenRouter, negli altri casi.

Come misure supplementari, RedLemon applica la cifratura in transito, trasmette solo i dati necessari alla singola risposta e usa esclusivamente endpoint con politica di Zero Data Retention, che non conservano i dati dopo l'elaborazione.

6. Violazioni dei dati e audit

Violazioni dei dati. RedLemon informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione dei dati personali trattati per suo conto. La comunicazione, inviata all'email dell'account, contiene per quanto disponibile:

• la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti;
• le probabili conseguenze;
• le misure adottate o proposte per porvi rimedio e attenuarne gli effetti;
• un referente per ulteriori informazioni.

Le informazioni non disponibili subito vengono fornite in fasi successive. RedLemon collabora con il Cliente per la notifica al Garante e l'eventuale comunicazione agli interessati, che restano a carico del Cliente come titolare.

Audit. Su richiesta scritta, RedLemon fornisce al Cliente le informazioni necessarie a dimostrare il rispetto del DPA, inclusa la descrizione aggiornata delle misure di sicurezza. Se queste informazioni non bastano, il Cliente può svolgere un audit, direttamente o tramite un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, non più di una volta all'anno salvo violazioni accertate, in orario lavorativo e senza accesso ai dati di altri clienti. I costi dell'audit sono a carico del Cliente.

7. Durata, cancellazione e disposizioni finali

Durata. Il DPA ha la stessa durata dei Termini di Servizio e cessa con essi. Gli obblighi di riservatezza e di cancellazione restano in vigore finché RedLemon conserva dati del Cliente.

Restituzione e cancellazione. Alla cessazione il Cliente può esportare le conversazioni e la Base di conoscenza dall'area riservata entro 30 giorni. Trascorso questo termine, RedLemon cancella i dati dai sistemi attivi e, entro ulteriori 30 giorni, dai backup, salvo obblighi di conservazione previsti dalla legge. Su richiesta, RedLemon conferma per iscritto l'avvenuta cancellazione.

Responsabilità. La responsabilità di ciascuna parte derivante dal DPA è disciplinata dai Termini di Servizio, inclusa la limitazione di responsabilità della sezione 9, nei limiti consentiti dall'art. 82 GDPR.

Modifiche. RedLemon può aggiornare il DPA per adeguarlo a modifiche normative, a indicazioni delle autorità o all'elenco dei sub-responsabili, con le modalità previste dai Termini di Servizio per le modifiche e, per i sub-responsabili, dalla sezione 4.

Legge e foro. Il DPA è regolato dalla legge italiana. Per le controversie è competente in via esclusiva il Foro di Vallo della Lucania.

Allegato – Misure tecniche e organizzative

RedLemon adotta le seguenti misure, che può aggiornare nel tempo purché il livello di protezione complessivo non diminuisca.