Data Processing Agreement

Quando Lei come Utente e/o Cliente (ai sensi dei Termini e Condizioni di Servizio o qualsiasi altro accordo quadro stipulato con Diluvia Srl di seguito indicato indistintamente come "Accordo") (la "Parte Contraente"), stipula un accordo con Diluvia Srl per l'accesso e l'utilizzo di uno qualsiasi dei nostri servizi API docunext di elaborazione automatizzata di documenti disponibili tramite la nostra piattaforma (i "Servizi"), accetta che il conseguente trattamento dei Dati Personali sia disciplinato dalle disposizioni del presente DPA (Data Processing Agreement).

Il presente DPA integra le disposizioni dell'Accordo. Di conseguenza, in caso di contraddizione tra le clausole dell'Accordo e le clausole del presente DPA, le Parti concordano che prevarranno le clausole di quest'ultimo.

Ai fini del presente documento, Diluvia Srl e la Parte Contraente sono indicati congiuntamente come le "Parti" e individualmente come una "Parte". I termini che iniziano con la lettera maiuscola e non definiti nel presente documento hanno il significato loro attribuito nel documento contrattuale applicabile (vale a dire i Termini e Condizioni d'Uso del nostro sito web, i Termini e Condizioni di Servizio della nostra Piattaforma o qualsiasi altro accordo quadro stipulato con Diluvia Srl) in cui è incorporato il presente DPA (quando Diluvia Srl agisce come Responsabile del trattamento).

Termini quali "Trattamento", "Titolare del trattamento", "Responsabile del trattamento", "Dati Personali" e "Interessato" utilizzati nel presente Trattamento dei Dati hanno il significato loro attribuito nel Regolamento Applicabile e nel Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

1. Conformità al regolamento applicabile

L'esecuzione dei Termini d'Uso del Sito Web e dei Termini di Servizio della Piattaforma richiede il trattamento di Dati Personali.

Ciascuna Parte si impegna a rispettare i propri obblighi ai sensi del Regolamento Applicabile.

2. Trattamento effettuato da Diluvia Srl come responsabile del trattamento

Importante: Diluvia Srl non raccoglie né origina dati personali attraverso il servizio docunext. Trattiamo esclusivamente i dati contenuti nei documenti che la Parte Contraente ci invia volontariamente per l'elaborazione, restituiamo i risultati e cancelliamo immediatamente tutto.

Diluvia Srl agisce come Responsabile del trattamento per conto della Parte Contraente per le operazioni di trattamento definite nell'Allegato 1-A per la fornitura di Servizi e nell'Allegato 1-B per l'eventuale miglioramento dei Servizi.

3. Obblighi di Diluvia Srl in qualità di responsabile del trattamento

Diluvia Srl si impegna a:

1. trattare i Dati Personali solo per le finalità descritte nell'Allegato 1-A e nell'Allegato 1-B.
2. trattare i Dati Personali in conformità con le istruzioni della Parte Contraente come stabilito nell'Accordo. Se Diluvia Srl ritiene che un'istruzione costituisca una violazione del Regolamento Applicabile, ne informerà la Parte Contraente. Inoltre, se Diluvia Srl è tenuta a trasferire dati verso un paese terzo o un'organizzazione internazionale, ai sensi del diritto dell'Unione europea o delle leggi di uno Stato membro a cui è soggetta, Diluvia Srl informerà la Parte Contraente di tale obbligo prima del trattamento, a meno che la legge in questione non vieti tali informazioni per motivi di interesse pubblico.
3. garantire la riservatezza dei Dati Personali trattati ai sensi del presente DPA.
4. garantire che le persone autorizzate a trattare i Dati Personali (compresi i sub-responsabili del trattamento):
   1. si impegnino a rispettare gli obblighi di riservatezza o siano soggette a un adeguato obbligo legale di riservatezza.
   2. ricevano la formazione necessaria in termini di protezione dei Dati Personali.
5. mettere a disposizione della Parte Contraente, su richiesta scritta, tutte le informazioni ragionevolmente necessarie per dimostrare la conformità ai propri obblighi e per consentire lo svolgimento di audit in conformità con l'articolo 9 di seguito.
6. tenere un registro delle attività di trattamento svolte per conto della Parte Contraente in conformità con il Regolamento Applicabile.
7. tenere conto, per quanto riguarda i suoi strumenti, prodotti, applicazioni o servizi necessari per l'esecuzione dei Servizi, dei principi di protezione dei dati fin dalla progettazione e protezione per impostazione predefinita.
8. adottare tutte le misure richieste ai sensi dell'articolo 32 del GDPR.
9. fornire assistenza alla Parte Contraente ragionevolmente necessaria per rispondere alle richieste di esercizio dei diritti da parte degli interessati interessati dalle operazioni di trattamento di cui al presente articolo 3.
10. eseguire le azioni richieste dalla Parte Contraente sui Dati Personali in risposta alle richieste degli interessati di esercitare i propri diritti.
11. fornire alla Parte Contraente l'assistenza ragionevole richiesta nell'ambito di una valutazione d'impatto relativa al Trattamento di cui all'articolo 2 dell'DPA da effettuare da parte della Parte Contraente o per la consultazione preliminare di un'autorità di controllo, il tempo impiegato per tale assistenza può essere fatturato da Diluvia.

4. Obblighi generali della parte contraente in qualità di titolare del trattamento

Quando agisce come Titolare del trattamento in conformità con l'articolo 2 del presente DPA, la Parte Contraente si impegna a:

1. garantire il rispetto di tutti i principi essenziali del Regolamento Applicabile, in particolare definendo finalità pertinenti per il Trattamento dei Dati Personali e base giuridica adeguata.
2. documentare per iscritto eventuali istruzioni riguardanti il Trattamento dei Dati Personali degli Interessati da parte di Diluvia Srl.
3. informare Diluvia Srl se i Servizi vengono utilizzati per trattare categorie particolari di Dati Personali.
4. supervisionare il Trattamento affidato a Diluvia Srl.
5. cooperare con Diluvia Srl per l'esecuzione della valutazione d'impatto sulla privacy (se necessaria) e in caso di violazione dei dati, in particolare per rispondere tempestivamente a Diluvia Srl.
6. mantenere la propria documentazione di conformità al Regolamento Applicabile; e
7. se applicabile, fornire i dati di contatto del proprio DPO.

5. Informazione e diritti dell'interessato

È responsabilità della Parte Contraente fornire informazioni sulla protezione dei Dati Personali agli Interessati coinvolti nel Trattamento al momento della raccolta dei Dati Personali.

Laddove la liceità del trattamento effettuato da Diluvia Srl per conto della Parte Contraente si basi sul consenso degli Interessati, in particolare se la Parte Contraente utilizza i Servizi per trattare categorie particolari di dati personali come definito nell'articolo 9 del GDPR, la Parte Contraente è la sola responsabile, nei confronti di Diluvia, di informare e ottenere il consenso dell'Interessato nelle forme e secondo i requisiti prescritti dal Regolamento Applicabile.

Se un Interessato invia una richiesta alla Parte Contraente per esercitare i propri diritti, la Parte Contraente è tenuta a informarne Diluvia, entro i termini stabiliti dal Regolamento Applicabile, in modo che Diluvia Srl possa comunicare le informazioni in suo possesso e/o attuare i diritti dell'Interessato secondo le istruzioni della Parte Contraente.

Laddove gli Interessati presentino richiesta a Diluvia Srl per esercitare i propri diritti, Diluvia Srl invierà tempestivamente tali richieste via e-mail alla Parte Contraente (e al suo Responsabile della Protezione dei Dati, se Diluvia Srl ne ha i dati di contatto). Diluvia Srl non è autorizzata a rispondere all'esercizio dei diritti dell'Interessato senza il previo consenso scritto della Parte Contraente.

6. Sub-responsabili di Diluvia

La Parte Contraente autorizza espressamente Diluvia Srl a nominare sub-responsabili del trattamento e a sostituire o aggiungere eventuali sub-responsabili successivi. Prima di nominare un sub-responsabile, Diluvia Srl informerà la Parte Contraente con qualsiasi mezzo (inclusa e-mail) e la Parte Contraente avrà sette (7) giorni di calendario per opporsi. Qualsiasi opposizione da parte della Parte Contraente deve essere legittima e debitamente motivata (come la mancanza di misure di sicurezza appropriate). Se la Parte Contraente non notifica la sua opposizione dopo questo periodo, la Parte Contraente sarà considerata aver accettato tale sub-responsabile. In caso di opposizione persistente da parte della Parte Contraente, Diluvia Srl cesserà di fare affidamento su tale sub-responsabile, per quanto possibile, o se impossibile la Parte Contraente può risolvere, senza violazione, tutto o parte dell'Accordo che richiede l'uso di questo sub-responsabile.

Diluvia si impegna a stipulare un accordo legale con i suoi sub-responsabili e a imporre obblighi che siano almeno altrettanto rigorosi di quelli applicabili a Diluvia Srl in relazione alla Parte Contraente ai sensi del presente DPA. Se il sub-responsabile non rispetta i propri obblighi in termini di protezione dei Dati Personali, Diluvia Srl rimarrà pienamente responsabile nei confronti della Parte Contraente per i suoi sub-responsabili secondo i termini dell'Accordo.

Alla data di entrata in vigore dell'DPA, Diluvia Srl si avvale dei sub-responsabili elencati nell'Allegato 2.

7. Trasferimenti di dati

Ove necessario, la Parte Contraente autorizza espressamente Diluvia Srl a trasferire Dati Personali verso paesi situati al di fuori dello Spazio Economico Europeo (SEE) o che non beneficiano di una decisione di adeguatezza resa dalla Commissione Europea, subordinatamente all'attuazione, prima del trasferimento, delle garanzie appropriate, in conformità con gli articoli 45 e 46 del GDPR. Diluvia Srl si impegna a rispettare le Clausole Contrattuali Standard ("SCC") adottate dalla Commissione Europea il 4 giugno 2021. A tal fine la Parte Contraente conferisce a Diluvia Srl un mandato generale per stipulare, a suo nome e per suo conto, qualsiasi SCC al fine di disciplinare il trasferimento di Dati Personali a un sub-responsabile stabilito in un paese al di fuori del SEE o che non beneficia di una decisione di adeguatezza per svolgere operazioni di trattamento.

Gli eventuali trasferimenti di Dati Personali al di fuori del SEE sono elencati nell'Allegato 2.

8. Sicurezza

8.1. Misure di sicurezza

Diluvia Srl dichiara alla Parte Contraente di implementare misure tecniche e organizzative che, tenendo conto dello stato dell'arte, dei costi di implementazione e della natura, dell'ambito, del contesto e delle finalità del trattamento, nonché dei rischi associati, sono appropriate per garantire un livello di sicurezza adeguato al trattamento dei Dati Personali.

Diluvia Srl implementa diverse misure e utilizza diversi strumenti per rilevare le vulnerabilità, inclusi test di penetrazione annuali.

Diluvia Srl garantisce la riservatezza e l'integrità dei Dati Personali trattati e si impegna a rispettare i seguenti obblighi e a farli rispettare dai propri dipendenti:

• non effettuare copie dei Dati Personali e dei materiali che le sono affidati, ad eccezione di quelle necessarie per effettuare il trattamento, senza la preventiva approvazione della Parte Contraente.
• non utilizzare i Dati Personali per scopi diversi da quelli indicati nel trattamento.
• non divulgare i Dati Personali a terzi.
• adottare tutte le misure appropriate per evitare qualsiasi appropriazione indebita o uso fraudolento dei Dati Personali durante il trattamento.

Diluvia Srl garantirà che tutti i suoi dipendenti autorizzati a trattare Dati Personali siano vincolati da obblighi di riservatezza equivalenti a quelli che Diluvia Srl ha nei confronti della Parte Contraente e formi i propri dipendenti ogni anno sulla protezione dei dati e sulla sicurezza.

Diluvia Srl ha implementato diverse politiche di sicurezza per i suoi dipendenti relative a password, gestione dei fornitori, crittografia, disaster recovery e piano di continuità aziendale, gestione delle risorse o uso accettabile.

Le misure sistematiche, organizzative e tecniche implementate da Diluvia Srl sono elencate nell'Allegato 3.

8.2 Notifica di violazione dei dati personali

Diluvia si impegna a notificare alla Parte Contraente qualsiasi violazione dei Dati Personali senza indebito ritardo dopo essere venuta a conoscenza della violazione. La notifica sarà effettuata tramite e-mail inviata al punto di contatto della Parte Contraente o al suo Responsabile della Protezione dei Dati o a qualsiasi altro contatto responsabile delle violazioni dei Dati Personali identificato dalla Parte Contraente.

Questa notifica sarà accompagnata da tutta la documentazione pertinente per consentire alla Parte Contraente, se necessario, di notificare la violazione all'autorità di controllo competente e agli Interessati, a seconda dei casi.

9. Audit

La Parte Contraente è autorizzata a effettuare o a far effettuare, a proprie spese, in qualsiasi momento durante l'esecuzione dell'Accordo ma non più di una volta all'anno, un audit di tutto o parte del Trattamento di cui all'articolo 3 eseguito da Diluvia Srl come Responsabile del trattamento.

Qualsiasi audit deve essere oggetto di un preavviso, inviato almeno sei (6) settimane prima dello svolgimento dell'audit, e di un accordo delle Parti sull'ambito dell'audit.

Diluvia Srl si riserva il diritto di fatturare alla Parte Contraente la sua assistenza nell'audit.

L'audit sarà effettuato dal team interno della Parte Contraente o da persone incaricate dalla Parte Contraente (a condizione che tali terze parti non siano concorrenti di Diluvia Srl) soggette al segreto professionale e a un accordo di non divulgazione stipulato con Diluvia Srl, che protegga le informazioni di Diluvia Srl a cui avranno accesso nel corso dell'audit.

L'audit sarà eseguito durante l'orario di lavoro di Diluvia Srl e non deve disturbare le attività di Diluvia Srl. L'audit non deve, in alcun modo, interferire con (i) le misure tecniche e organizzative implementate da Diluvia Srl, (ii) la sicurezza e la riservatezza dei dati di altri clienti di Diluvia Srl, o (iii) il corretto funzionamento e organizzazione dell'attività di Diluvia Srl.

La bozza del rapporto di audit sarà sottoposta a Diluvia Srl, che produrrà le sue osservazioni per iscritto. Saranno allegate al rapporto finale.

Se i risultati del rapporto di audit rivelano violazioni degli obblighi di Diluvia Srl come Responsabile del trattamento, Diluvia Srl adotterà misure ragionevoli per porvi rimedio entro un periodo di tempo concordato tra le Parti, senza costi aggiuntivi per la Parte Contraente.

Se i risultati del rapporto di audit contengono raccomandazioni tendenti alla modifica o al miglioramento delle regole e procedure verificate, le condizioni per la loro attuazione, nonché eventuali costi aggiuntivi, saranno prima concordati dalle Parti. In ogni caso, Diluvia Srl avrà la decisione finale su queste modifiche o miglioramenti.

10. Cancellazione dei dati personali

Al termine dell'Accordo, a seconda della scelta della Parte Contraente, quando Diluvia Srl agisce come Responsabile del trattamento ai sensi dell'articolo 2 del presente DPA, Diluvia Srl si impegna a:

• distruggere, in modo automatizzato o manuale, tutti i Dati Personali trattati per conto della Parte Contraente; o

• restituire alla Parte Contraente o al responsabile del trattamento da lui designato, in un formato comunemente utilizzato e leggibile dalla Parte Contraente o in un formato interoperabile i Dati Personali trattati da Diluvia Srl come responsabile del trattamento. La restituzione sarà accompagnata dalla distruzione di tutte le copie esistenti nei sistemi informativi di Diluvia Srl.

In ogni caso, Diluvia Srl applicherà i periodi di conservazione dettagliati negli Allegati 1-A e 1-B ai Dati Personali. In via eccezionale, i Dati Personali possono essere soggetti a un periodo di conservazione aggiuntivo per consentire a Diluvia Srl di rispettare i propri obblighi legali applicabili.

11. Contatti

Per qualsiasi domanda relativa all'DPA o ai Servizi docunext di Diluvia Srl, si prega di contattare Diluvia Srl via e-mail:

Responsabile del trattamento: Diluvia Srl

• Diluvia Srl all'indirizzo: privacy@diluvia.it
• Il DPO di Diluvia Srl all'indirizzo: privacy@diluvia.it

Questi indirizzi non devono essere utilizzati per l'esercizio dei diritti degli interessati, tutte queste richieste devono essere inviate esclusivamente via e-mail a privacy@diluvia.it o per lettera all'attenzione del DPO di Diluvia Srl.

12. Garanzia e responsabilità

Ciascuna Parte sarà responsabile:

• in conformità con la legge, dei propri inadempimenti nei confronti dell'altra Parte nell'esecuzione dell'DPA.
• del rispetto del Regolamento Applicabile e garantisce l'altra Parte in caso di non conformità ai propri obblighi e se tale non conformità le causa un danno diretto e certo.

Di conseguenza, la Parte Contraente rimarrà l'unica responsabile per tutti i danni che possono derivare, per Diluvia Srl e per gli Interessati del trattamento dei Dati Personali, dal mancato rispetto dei propri obblighi. Nonostante quanto sopra, il limite di responsabilità previsto nei Termini d'Uso e nei Termini di Servizio si applicherà al presente DPA.

Le Parti concordano che nel caso in cui Diluvia Srl sia ritenuta responsabile, ai sensi dell'articolo 82 del GDPR o da qualsiasi autorità di controllo competente, per una violazione attribuibile alla Parte Contraente, la Parte Contraente indennizzerà e terrà indenne Diluvia Srl da e contro tutti i costi, le spese (incluse le spese legali), le multe e i danni sostenuti da Diluvia Srl.

In caso di controversie derivanti dal presente Accordo, il foro competente sarà quello di Brindisi.

Allegato 1-A: Fornitura di servizi

Ai fini della fornitura dei Servizi, Diluvia Srl elabora i Dati del Cliente inclusi i Dati in Ingresso e i Risultati a seguito dell'elaborazione di una Richiesta tramite le sue API e/o come parte della Manutenzione da remoto (tramite SaaS, Software as a Service) basata su un'infrastruttura cloud pubblica ospitata da uno dei sub-responsabili di Diluvia Srl secondo i termini e le condizioni stabiliti nel presente DPA e nell'Accordo.

Finalità del Trattamento	Finalità 1: Elaborazione dei Dati in Ingresso per la gestione delle Richieste nell'ambito dei Servizi e fornitura dei Risultati agli Utenti - Finalità 2: Elaborazione dei Dati del Cliente per la Manutenzione dei Servizi
Categorie di interessati	Individui identificabili (come clienti, prospect o fornitori della Parte Contraente, Entità Affiliate o Clienti Finali) nei Dati in Ingresso e nei Risultati.
Categoria di Dati Personali	Finalità 1 e 2: tipi di dati (Dati in Ingresso e Risultati) come indicato nella Documentazione per ciascuna API pertinente; in particolare dati contenuti in documenti di identità (carte d'identità, passaporti, patenti di guida, tessere sanitarie) e bollette di utenze (elettricità e gas). Diluvia Srl non conserva alcuna copia dei documenti o dei dati personali dopo l'elaborazione.
Fonte dei Dati Personali	Documenti inviati volontariamente dai clienti alle API per l'elaborazione - I dati personali non sono raccolti dall'API ma sono contenuti nei documenti forniti dai clienti
Destinatari dei Dati Personali	Personale di Diluvia Srl espressamente autorizzato per scopi di elaborazione - Sub-responsabili del trattamento di Diluvia Srl- Parte Contraente, Entità Affiliate, membri del personale di Fornitori di Servizi Terzi o qualsiasi altro membro del personale dei Clienti Finali
Processo decisionale automatizzato (art. 22 GDPR)	No
Periodo di Conservazione	Se l'API è sincrona: - Dati in Ingresso: eliminati immediatamente dopo l'elaborazione e la restituzione dei risultati; - Risultati: eliminati immediatamente dopo l'invio alla Parte Contraente Se l'API è asincrona, i dati in ingresso e i risultati saranno conservati per un periodo massimo di 7 giorni, poi eliminati automaticamente

Allegato 1-B: Miglioramento dei servizi

Ai fini del miglioramento dei Servizi, Diluvia Srl può elaborare set di Dati in Ingresso divulgati dal Cliente e Risultati elaborati a seguito di una Richiesta per migliorare i Servizi e gli algoritmi.

Finalità del Trattamento	Finalità 1: Elaborazione di set di Dati del Cliente per migliorare i Servizi e gli algoritmi - Finalità 2: creazione di un'API su richiesta della Parte Contraente e utilizzo dei Dati in Ingresso della Parte Contraente per addestrare questa API
Categorie di interessati	Individui come clienti, prospect o fornitori della Parte Contraente, Entità Affiliate o clienti finali interessati dai Dati in Ingresso.
Categoria di Dati Personali	Tipi di dati (Dati in Ingresso e Risultati) come indicato nella Documentazione per ciascuna API pertinente; - Dati della richiesta; - Dati del rapporto anomalie inseriti dal Cliente o risultanti da misure di amministrazione tecnica sul sito Web o sulla piattaforma.
Fonte dei Dati Personali	Documenti inviati volontariamente dai clienti alle API per l'elaborazione - I dati personali non sono raccolti dall'API ma sono contenuti nei documenti forniti dai clienti
Destinatari dei Dati Personali	Personale di Diluvia Srl espressamente autorizzato per scopi di elaborazione - Sub-responsabili del trattamento di Diluvia Srl- Personale del Cliente incaricato di dare seguito alle richieste degli interessati di esercitare i diritti
Processo decisionale automatizzato (art. 22 GDPR)	No
Periodo di Conservazione	Massimo 3 anni, ad eccezione dei dati utilizzati per misurare le prestazioni dei modelli nel tempo, che vengono archiviati per la durata dell'Accordo. Se la Parte Contraente sceglie di utilizzare un'API senza formazione, i Dati in Ingresso non saranno conservati da Diluvia Srl per addestrare l'API.

Allegato 2 – Elenco dei sub-responsabili e trasferimento dati al di fuori del SEE

Nome del Responsabile	Attività di trattamento	Ubicazione	Garanzie per i trasferimenti al di fuori dell'UE
Microsoft Azure OpenAI	Elaborazione documenti tramite AI	Unione Europea	N/A
Mistral AI	Elaborazione documenti tramite AI	Unione Europea	N/A
Google Cloud Platform (Google Generative AI)	Elaborazione documenti tramite AI	Unione Europea	N/A
Supabase	Hosting database PostgreSQL	Unione Europea	N/A
Vercel	Hosting sito web	Unione Europea	N/A
GitHub	Esecuzione processi batch tramite GitHub Actions	Unione Europea	N/A
Unkey	Gestione chiavi API e autenticazione	Unione Europea	N/A

Allegato 3 – Sicurezza del trattamento

Come indicato nell'articolo 8 del presente Accordo, gli accordi tra le parti riguardanti specifiche misure di sicurezza tecniche e organizzative sono delineati di seguito. Le misure implementate sono incluse in questo allegato e saranno integrate o modificate secondo necessità. Il Titolare del trattamento ritiene queste misure appropriate per il trattamento dei dati personali.

Descrizione delle misure di sicurezza tecniche e organizzative implementate da Diluvia Srl:

• Politica di sicurezza implementata e aggiornamento periodico e implementazione della politica di sicurezza aggiornata.
• Codice di condotta implementato.
• Obblighi di riservatezza nei contratti di lavoro.
• Archiviazione sicura dei file di dati.
• Controlli di accesso logico tramite conoscenza, come password o codici di accesso personali, autenticazione a due fattori.
• Utilizzo di un gestore di password.
• Controlli di accesso logico tramite mezzi di accesso fisico, come un pass di sicurezza.
• Monitoraggio dei diritti assegnati.
• Registrazione e controllo dell'accesso al sistema (incluso il monitoraggio dei segni di accesso non autorizzato ai dati personali).
• Implementazione di procedure di recupero.
• Crittografia dei Dati Personali durante il trasferimento elettronico a parti esterne.
• Rispetto delle disposizioni di riservatezza del presente accordo.
• Designazione di un numero limitato di individui responsabili dell'esecuzione del trattamento e autorizzati a concedersi l'accesso, che sono espressamente autorizzati a eseguire solo le azioni necessarie per l'esecuzione dell'Accordo di Servizio Master.
• La durata per la conservazione dei dati personali è conforme alle leggi o alle politiche applicabili.
• Misure per rilevare vulnerabilità e gestione degli incidenti come test di penetrazione annuali.
• Eliminazione immediata e automatica dei documenti processati dopo la restituzione dei risultati.
• Nessuna conservazione di dati personali per finalità diverse da quelle specificate.

---

Ultimo aggiornamento: 7 Ottobre 2025.