---
title: "Accordo sul trattamento dei dati (DPA) — Giana"
canonical: "https://stage.giana.io/dpa"
lang: "it"
---

# Accordo sul trattamento dei dati (DPA)

_Ultimo aggiornamento: 5 ottobre 2026_

## 1. Parti, oggetto e prevalenza

Il presente Accordo sul trattamento dei dati ("DPA") è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") tra:

- il **Cliente**, come definito nei [Termini di Servizio](https://stage.giana.io/terms), che agisce come **Titolare** del trattamento;

- **RedLemon Srl**, con sede legale in Via Case Bianche - Torre Mangoni, 30 - 84076 Torchiara (SA), P.IVA IT05984740653, PEC [unrealclub@legalmail.it](mailto:unrealclub@legalmail.it), che agisce come **Responsabile** del trattamento.

Il DPA regola i trattamenti di dati personali che RedLemon svolge per conto del Cliente nell'erogazione di Giana. È parte integrante dei Termini di Servizio e viene accettato con essi al momento della registrazione. In caso di contrasto tra DPA e Termini in materia di protezione dei dati, prevale il DPA.

I termini non definiti nel DPA hanno il significato previsto dal GDPR o dai Termini di Servizio.

Il DPA non si applica ai dati del Cliente e dei suoi Utenti autorizzati trattati da RedLemon come titolare autonomo (account, fatturazione, assistenza), regolati dalla [Privacy Policy](https://stage.giana.io/privacy).

## 2. Dettagli del trattamento

| Elemento | Descrizione |
| --- | --- |
| Natura del trattamento | Raccolta, registrazione, conservazione, consultazione, elaborazione automatizzata tramite modelli di IA, trasmissione e cancellazione |
| Finalità | Far funzionare gli Assistenti del Cliente: ricevere i messaggi WhatsApp, generare le risposte, consultare la Base di conoscenza, eseguire le azioni configurate dal Cliente, conservare lo storico delle conversazioni |
| Categorie di interessati | Utenti finali che scrivono agli Assistenti; persone eventualmente citate nella Base di conoscenza |
| Categorie di dati | Numero di telefono, nome del profilo WhatsApp, testo dei messaggi, messaggi vocali e loro trascrizioni, allegati, data e ora, stato di consegna; dati personali contenuti nella Base di conoscenza |
| Categorie particolari di dati | Non previste. Il Cliente non deve configurare gli Assistenti per raccoglierle, salvo accordo scritto con misure specifiche |
| Frequenza | Continuativa, per tutta la durata dei Termini |
| Durata della conservazione | Conversazioni: per il periodo scelto dal Cliente, al massimo 12 mesi. Base di conoscenza: fino alla rimozione da parte del Cliente o alla cessazione. In ogni caso, cancellazione alla cessazione secondo la sezione 7 |

RedLemon tratta i dati solo per queste finalità e non li usa per scopi propri, per marketing o per addestrare modelli di intelligenza artificiale.

## 3. Obblighi delle parti

**Obblighi del Responsabile.** RedLemon:

- tratta i dati solo su istruzione documentata del Cliente. Costituiscono istruzioni i Termini, il DPA e le configurazioni impostate dal Cliente nella piattaforma. Se un'istruzione appare contraria al GDPR, RedLemon ne informa il Cliente senza ritardo;

- garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza;

- adotta le misure di sicurezza dell'art. 32 GDPR descritte nell'Allegato;

- ricorre a sub-responsabili solo secondo la sezione 4;

- assiste il Cliente, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati (artt. 15-22 GDPR), anche mettendo a disposizione funzioni di consultazione, esportazione e cancellazione delle conversazioni;

- inoltra al Cliente senza ritardo le richieste degli interessati ricevute direttamente, senza rispondere nel merito salvo istruzione del Cliente;

- assiste il Cliente negli obblighi degli artt. 32-36 GDPR (sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva), nei limiti delle informazioni di cui dispone;

- mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR, secondo la sezione 6.

**Obblighi del Titolare.** Il Cliente:

- è responsabile della liceità del trattamento, inclusa la base giuridica e l'informativa agli Utenti finali;

- informa gli Utenti finali che stanno interagendo con un sistema di intelligenza artificiale;

- non carica nella Base di conoscenza né fa raccogliere dagli Assistenti dati non necessari, categorie particolari di dati o dati di minori, salvo accordo scritto;

- configura tempi di conservazione delle conversazioni adeguati alle proprie finalità.

## 4. Sub-responsabili

Il Cliente autorizza in via generale RedLemon a ricorrere ai sub-responsabili elencati di seguito. RedLemon impone a ciascuno, con contratto scritto, obblighi di protezione dei dati equivalenti a quelli del DPA e resta responsabile verso il Cliente del loro operato.

| Sub-responsabile | Attività | Luogo del trattamento |
| --- | --- | --- |
| Amazon Web Services EMEA SARL | Hosting dell'infrastruttura e dei flussi di automazione | UE (Irlanda, eu-west-1) |
| Supabase, Inc. | Database e archivio vettoriale della Base di conoscenza | UE (Irlanda, eu-west-1) |
| OpenRouter, Inc. | Instradamento delle richieste ai modelli di IA | USA |
| Fornitori dei modelli di IA raggiunti tramite OpenRouter | Generazione delle risposte, con politica di Zero Data Retention | USA e altri paesi extra-UE |

I fornitori dei modelli variano in base al modello usato; l'elenco aggiornato è disponibile su richiesta a [info@giana.io](mailto:info@giana.io). RedLemon instrada le richieste solo verso fornitori che non conservano i dati dopo l'elaborazione e non li usano per l'addestramento.

**Meta.** Il collegamento a WhatsApp avviene tramite l'account WhatsApp Business del Cliente, che accetta direttamente le condizioni di Meta. Meta tratta i messaggi in base al rapporto contrattuale con il Cliente e non è un sub-responsabile di RedLemon.

**Modifiche.** RedLemon comunica via email al Cliente l'aggiunta o la sostituzione di un sub-responsabile con almeno 15 giorni di preavviso. Il Cliente può opporsi per motivi fondati legati alla protezione dei dati entro lo stesso termine. Se le parti non trovano una soluzione, il Cliente può recedere senza penali e il Credito residuo gli viene rimborsato.

## 5. Trasferimenti extra-UE

L'infrastruttura principale e i dati conservati (conversazioni e Base di conoscenza) risiedono nell'Unione europea. Per generare le risposte, il testo dei messaggi e i passaggi pertinenti della Base di conoscenza vengono trasmessi a OpenRouter e ai fornitori dei modelli, che possono trovarsi negli Stati Uniti o in altri paesi extra-UE.

Questi trasferimenti avvengono sulla base di:

- decisioni di adeguatezza della Commissione europea, incluso il Data Privacy Framework UE-USA per i fornitori che vi aderiscono;

- clausole contrattuali standard approvate con Decisione di esecuzione (UE) 2021/914, incluse nel DPA tra RedLemon e OpenRouter, negli altri casi.

Come misure supplementari, RedLemon applica la cifratura in transito, trasmette solo i dati necessari alla singola risposta e usa esclusivamente endpoint con politica di Zero Data Retention, che non conservano i dati dopo l'elaborazione.

## 6. Violazioni dei dati e audit

**Violazioni dei dati.** RedLemon informa il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuta a conoscenza, di ogni violazione dei dati personali trattati per suo conto. La comunicazione, inviata all'email dell'account, contiene per quanto disponibile:

- la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti;

- le probabili conseguenze;

- le misure adottate o proposte per porvi rimedio e attenuarne gli effetti;

- un referente per ulteriori informazioni.

Le informazioni non disponibili subito vengono fornite in fasi successive. RedLemon collabora con il Cliente per la notifica al Garante e l'eventuale comunicazione agli interessati, che restano a carico del Cliente come titolare.

**Audit.** Su richiesta scritta, RedLemon fornisce al Cliente le informazioni necessarie a dimostrare il rispetto del DPA, inclusa la descrizione aggiornata delle misure di sicurezza. Se queste informazioni non bastano, il Cliente può svolgere un audit, direttamente o tramite un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, non più di una volta all'anno salvo violazioni accertate, in orario lavorativo e senza accesso ai dati di altri clienti. I costi dell'audit sono a carico del Cliente.

## 7. Durata, cancellazione e disposizioni finali

**Durata.** Il DPA ha la stessa durata dei Termini di Servizio e cessa con essi. Gli obblighi di riservatezza e di cancellazione restano in vigore finché RedLemon conserva dati del Cliente.

**Restituzione e cancellazione.** Alla cessazione il Cliente può esportare le conversazioni e la Base di conoscenza dall'area riservata entro 30 giorni. Trascorso questo termine, RedLemon cancella i dati dai sistemi attivi e, entro ulteriori 30 giorni, dai backup, salvo obblighi di conservazione previsti dalla legge. Su richiesta, RedLemon conferma per iscritto l'avvenuta cancellazione.

**Responsabilità.** La responsabilità di ciascuna parte derivante dal DPA è disciplinata dai Termini di Servizio, inclusa la limitazione di responsabilità della sezione 9, nei limiti consentiti dall'art. 82 GDPR.

**Modifiche.** RedLemon può aggiornare il DPA per adeguarlo a modifiche normative, a indicazioni delle autorità o all'elenco dei sub-responsabili, con le modalità previste dai Termini di Servizio per le modifiche e, per i sub-responsabili, dalla sezione 4.

**Legge e foro.** Il DPA è regolato dalla legge italiana. Per le controversie è competente in via esclusiva il Foro di Vallo della Lucania.

## Allegato – Misure tecniche e organizzative

RedLemon adotta le seguenti misure, che può aggiornare nel tempo purché il livello di protezione complessivo non diminuisca.

| Area | Misure |
| --- | --- |
| Cifratura | Dati in transito cifrati con TLS. Dati a riposo cifrati con AES-256 sui volumi dei server (AWS EBS) e sul database (Supabase) |
| Controllo degli accessi | Accesso ai sistemi di produzione limitato al personale autorizzato, con credenziali individuali, chiavi SSH personali e principio del minimo privilegio |
| Separazione dei dati | Separazione logica dei dati di ciascuna Organizzazione a livello applicativo e di database |
| Minimizzazione | Ai modelli di IA vengono trasmessi solo il messaggio, una parte dello storico e i passaggi pertinenti della Base di conoscenza; endpoint con Zero Data Retention |
| Disponibilità e backup | Backup periodici dei database, conservati nell'UE |
| Monitoraggio | Registrazione degli accessi e degli errori, conservata per 6 mesi |
| Gestione delle vulnerabilità | Aggiornamento periodico di sistemi operativi, container e dipendenze |
| Personale | Obbligo di riservatezza per chi accede ai dati; istruzioni sul trattamento |
| Gestione degli incidenti | Procedura di rilevazione, valutazione e notifica delle violazioni secondo la sezione 6 |