| Il Fornitore | La società LEYTON ITALIA S.R.L. (socio unico), con capitale sociale di 50.000,00 euro, iscritta al Registro delle Imprese di Milano con C.F. e P.IVA 09884910960, REA MI-2119395, con sede legale in Via Melchiorre Gioia 26, 20124 Milano (MI), di seguito denominata «LEYTON» o il «Fornitore». |
|---|---|
| Il Cliente | Qualsiasi persona giuridica o professionista che sottoscriva un Modulo d'Ordine facente riferimento alle presenti Condizioni Generali (il «Cliente»). |
Le presenti Condizioni Generali disciplinano l'accesso del Cliente a YouCraft, la piattaforma SaaS del Fornitore, nonché l'onboarding e il supporto ad essa correlati. Esse non contengono un blocco firma autonomo: si applicano a ciascun Modulo d'Ordine che vi fa riferimento e vi sono incorporate, e sono accettate al momento della sottoscrizione del Modulo d'Ordine da parte del rappresentante autorizzato del Cliente. Con la sottoscrizione del Modulo d'Ordine e la spunta dell'apposita casella, il Cliente conferma di aver letto, compreso e accettato le presenti Condizioni Generali, nonché il piano tariffario, il prezzo, il numero di Licenze e la durata specifici indicati nel Modulo d'Ordine. Il Cliente conferma altresì di agire esclusivamente per finalità professionali.
Ordine di prevalenza. In caso di conflitto: (i) le Condizioni Generali (ove applicabili), (ii) il DPA relativo al Trattamento dei Dati Personali del Cliente, (iii) il Modulo d'Ordine, ma unicamente nella misura in cui indichi espressamente di derogare alle presenti Condizioni Generali, (iv) le presenti Condizioni Generali, e infine (v) gli altri Allegati.
1. Definizioni
«Società Affiliata» indica qualsiasi entità che controlla una parte, è da essa controllata o è sottoposta al medesimo controllo.
«Contratto» indica le presenti Condizioni Generali, il Modulo d'Ordine applicabile e gli Allegati (ivi compreso il DPA).
«Normativa Applicabile in Materia di Protezione dei Dati Personali» indica il Regolamento (UE) 2016/679 (il «RGPD»), le leggi nazionali che lo attuano o integrano e, ove applicabile, il RGPD britannico e la legislazione svizzera in materia di protezione dei dati personali.
«Applicazioni» indica le applicazioni, gli agenti, le dashboard e le automazioni sviluppati o distribuiti tramite la Piattaforma.
«Dati di Conversazione» indica i prompt, le istruzioni, gli input, gli Output Generati e la cronologia delle conversazioni scambiati tramite le funzionalità della Piattaforma.
«Crediti» indica la quota di utilizzo mensile inclusa in un piano tariffario.
«Dati del Cliente» indica l'insieme dei dati, dei contenuti e dei documenti che il Cliente o i suoi utenti inviano alla Piattaforma o generano all'interno della stessa, ivi compresi i Dati di Conversazione e il codice delle Applicazioni.
«Dati Personali del Cliente» indica i Dati Personali contenuti nei Dati del Cliente e Trattati dal Fornitore per conto del Cliente.
«Documentazione» indica le guide per l'utente e la documentazione tecnica vigente del Fornitore.
«DPA» indica l'accordo sul trattamento dei dati di cui all'Allegato C, come aggiornato nella misura richiesta dalla Normativa Applicabile in Materia di Protezione dei Dati Personali.
«Ambiente del Fornitore» e «Ambiente del Cliente» indicano rispettivamente l'infrastruttura gestita o controllata dal Fornitore (o dai suoi fornitori) e l'infrastruttura gestita o controllata dal Cliente, nella quale un'Applicazione può essere ospitata.
«Licenza» indica un abbonamento nominativo alla Piattaforma, corrispondente al piano tariffario indicato nel Modulo d'Ordine (Starter, Business, Sovereign o Enterprise); «Licenza Lettore» indica una licenza che consente di utilizzare Applicazioni pubblicate senza crearle né modificarle (Allegato A).
«Componenti Open Source» indica i componenti software di terze parti integrati nella Piattaforma, disciplinati dalle rispettive condizioni di licenza.
«Modulo d'Ordine» indica il documento sottoscritto che conferma il o i piani tariffari, il numero di Licenze, il prezzo e la data di inizio, ivi compreso il Modulo d'Ordine relativo alla prova gratuita di cui all'Articolo 5.1.
«Output Generati» indica il testo, il codice, le analisi o qualsiasi altro contenuto generato dalla Piattaforma o da un Modello di IA di Terze Parti a partire dai prompt, dalle istruzioni o dai Dati del Cliente forniti.
«Piattaforma» o «YouCraft» indica la piattaforma SaaS del Fornitore destinata a progettare e distribuire Applicazioni.
«Servizi» indica l'accesso alla Piattaforma nonché l'onboarding, il supporto e tutti i servizi professionali forniti ai sensi del Contratto.
«Sviluppi Specifici» indica qualsiasi configurazione, connettore, flusso di lavoro, integrazione o personalizzazione su misura sviluppati dal Fornitore specificamente per il Cliente.
«Sub-responsabile del Trattamento» indica qualsiasi terzo incaricato dal Fornitore di Trattare i Dati Personali del Cliente, ivi compresi i fornitori di Modelli di IA di Terze Parti.
«Modello di IA di Terze Parti» indica un modello linguistico di grandi dimensioni o un altro modello di IA generativa fornito da un terzo (attualmente includendo AWS e Scaleway) su cui si basa la Piattaforma.
«Dati Personali», «Trattamento», «Titolare del Trattamento», «Responsabile del Trattamento», «Interessato» e «Violazione dei Dati Personali» hanno il significato loro attribuito dal RGPD.
2. Licenza e utilizzo autorizzato
2.1Subordinatamente al pagamento dei corrispettivi previsti dal Contratto e al rispetto delle disposizioni del Contratto, il Fornitore concede al Cliente un diritto non esclusivo, non trasferibile e non sublicenziabile, per la durata del Contratto, di accedere alla Piattaforma e di utilizzarla per le proprie esigenze aziendali, nei limiti del numero di Licenze e del piano tariffario indicati nel Modulo d'Ordine e, per i piani tariffari che lo consentono, di mettere le proprie Applicazioni a disposizione dei propri clienti o del pubblico.
2.2Le Licenze sono nominative e personali; non possono essere condivise ma possono essere riassegnate previa comunicazione al Fornitore. Un'Applicazione online può essere condivisa con utenti privi di licenza, i quali non possono né modificarla né collaborare al progetto sottostante. Il Cliente è responsabile del rispetto del Contratto da parte dei propri utenti e della sicurezza delle relative credenziali.
2.3Il Fornitore conserva tutti i diritti sulla Piattaforma (software, modelli, template, Documentazione e miglioramenti). Nessuna clausola del Contratto ne trasferisce la titolarità al Cliente.
2.4La Piattaforma è destinata esclusivamente all'uso professionale. Il Cliente non deve: (a) rivendere, sublicenziare, locare o ridistribuire la Piattaforma; (b) utilizzare la Piattaforma o gli Output Generati per sviluppare o addestrare un prodotto o modello di IA concorrente; (c) effettuare attività di reverse engineering, decompilazione o tentare di estrarre codice sorgente non messo a sua disposizione; (d) eludere qualsiasi restrizione tecnica, di sicurezza, di utilizzo o di Crediti; oppure (e) utilizzare la Piattaforma in violazione dell'Articolo 7.
2.5Il Fornitore può far evolvere la Piattaforma e può sostituire o cessare di offrire Modelli di IA di Terze Parti, Componenti Open Source, fornitori di hosting o funzionalità, a condizione di non ridurre in modo sostanziale le funzionalità essenziali del piano tariffario del Cliente. Il Fornitore può verificare il rispetto delle condizioni della Licenza.
3. Modelli di IA di Terze Parti, Componenti Open Source e Sviluppi Specifici
3.1Il Fornitore non è lo sviluppatore dei Modelli di IA di Terze Parti e non controlla né la loro disponibilità, né il loro comportamento, né le loro prestazioni. La licenza concessa al Cliente riguarda esclusivamente YouCraft e non il modello sottostante, e il Cliente non dispone di alcun diritto diretto nei confronti del fornitore del modello. Il Contratto non costituisce né una licenza, né una sublicenza, né una rivendita dei servizi di alcun fornitore. Il Cliente non deve presentare YouCraft o un'Applicazione come prodotto ufficiale di un fornitore di modelli, o approvato da esso, e deve rispettare le politiche di utilizzo dei fornitori di modelli rese disponibili nella Documentazione.
3.2I Componenti Open Source restano disciplinati dalle rispettive licenze. Il Fornitore non è responsabile del rispetto di tali licenze da parte del Cliente qualora quest'ultimo estragga un componente e lo riutilizzi al di fuori della Piattaforma.
3.3Gli Sviluppi Specifici restano di proprietà del Fornitore, salvo cessione per iscritto; il Cliente può utilizzarli per la durata del Contratto. Il Fornitore può riutilizzare le idee generali, i metodi, i componenti e il know-how da essi derivanti, senza divulgare le Informazioni Riservate del Cliente.
4. Corrispettivi, Crediti e pagamento
4.1I corrispettivi sono quelli previsti nel Modulo d'Ordine e nell'Allegato A, IVA e altre imposte escluse. Ogni piano tariffario include una quota mensile di Crediti; i Crediti non utilizzati non sono riportabili, salva diversa previsione del Modulo d'Ordine, e Crediti aggiuntivi possono essere acquistati alle tariffe standard. Tutto ciò che è al di fuori del piano tariffario (Crediti aggiuntivi, connettori su misura, configurazione del self-hosting, servizi professionali, assistenza supplementare) è oggetto di preventivo separato e fatturato a parte.
4.2Il Fornitore fattura mensilmente in via anticipata, sulla base delle Licenze attive. Le fatture sono pagabili entro 30 giorni dalla data di fatturazione, senza compensazione né detrazione.
4.3Qualsiasi importo non pagato alla scadenza produce interessi di mora al tasso pari a tre volte il tasso di interesse legale e comporta un'indennità forfettaria per spese di recupero di 40 € (in Francia, articoli L.441-10 e D.441-5 del Code de commerce), fermo restando il diritto del Fornitore di richiedere spese di recupero aggiuntive. Se una fattura non contestata resta insoluta 15 giorni dopo un sollecito, il Fornitore può sospendere l'accesso fino al pagamento.
4.4Il Fornitore può modificare i propri prezzi o il contenuto dei piani tariffari con un preavviso scritto di almeno 30 giorni, con effetto dal successivo periodo di fatturazione; il Cliente può recedere mediante comunicazione prima dell'entrata in vigore della modifica.
4.5Licenze aggiuntive possono essere aggiunte tramite e-mail indirizzata al referente del Fornitore indicato nell'Allegato B; il Fornitore conferma per iscritto e fattura le Licenze aggiuntive pro rata a partire dalla loro attivazione, senza necessità di un nuovo Modulo d'Ordine. Le riduzioni o i cambi di piano tariffario hanno effetto dal successivo periodo di fatturazione, salvo diverso accordo del Fornitore. Per il piano Enterprise, nessuna riduzione del numero di Licenze né alcun passaggio a un piano tariffario inferiore può avere effetto prima della scadenza del periodo di dodici (12) mesi in corso; le aggiunte di Licenze restano possibili in qualsiasi momento e sono fatturate pro rata fino al termine di tale periodo.
5. Durata, periodo di prova, risoluzione e recesso
5.1Periodo di prova. Il periodo di prova è oggetto di un Modulo d'Ordine di prova distinto. È gratuito, riguarda il piano Business e ha durata di due (2) settimane, rinnovabile previo accordo scritto delle Parti. Al suo termine, il Cliente può sottoscrivere il piano tariffario di propria scelta (Starter, Business, Sovereign o Enterprise) mediante la firma di un nuovo Modulo d'Ordine che specifichi il piano tariffario, il numero di Licenze, il prezzo e la data di inizio. Le presenti Condizioni Generali, nella versione vigente alla data di sottoscrizione del primo Modulo d'Ordine, si applicano all'insieme dei Moduli d'Ordine successivamente conclusi. In assenza di sottoscrizione di un nuovo Modulo d'Ordine al termine del periodo di prova, l'accesso cessa e nessun corrispettivo è dovuto a tale titolo. Il periodo di prova è fornito «nello stato in cui si trova» (as is) e il Fornitore può limitarne la portata.
5.2Durata. Il Contratto prosegue a tempo indeterminato. Ciascuna parte può porvi fine in qualsiasi momento mediante preavviso scritto di almeno tre (3) mesi, inviato a mezzo lettera raccomandata con avviso di ricevimento. I corrispettivi restano dovuti fino alla scadenza del preavviso.
5.3Risoluzione per inadempimento. Ciascuna parte può risolvere il Contratto qualora l'altra parte commetta un inadempimento grave al quale non sia posto rimedio entro 30 giorni dalla comunicazione scritta, ovvero qualora, fatte salve le norme imperative in materia di insolvenza, essa diventi insolvente.
5.4Sospensione e risoluzione immediata. Il Fornitore può sospendere l'accesso, in tutto o in parte, o risolvere il Contratto senza preavviso e senza indennizzo, in caso di: inadempimento grave agli Articoli 2.4, 7 o 6.6; mancato pagamento ai sensi dell'Articolo 4.3; minaccia alla sicurezza o all'integrità della Piattaforma o degli altri clienti; ingiunzione di un'autorità competente; ovvero sospensione o ritiro del servizio da parte di un fornitore di Modelli di IA di Terze Parti in ragione dell'utilizzo da parte del Cliente. Ove possibile, il Fornitore concede un preavviso, limita la sospensione a quanto necessario e la revoca una volta rimediata la causa. Ciò non pregiudica né i corrispettivi già maturati né gli altri diritti del Fornitore.
5.5Effetti. Alla risoluzione o alla scadenza, l'accesso alla Piattaforma cessa. Il Cliente può esportare il proprio codice sorgente e i Dati del Cliente durante il periodo di trenta (30) giorni successivi alla risoluzione, ove la funzionalità sia disponibile nel suo piano tariffario; successivamente il Fornitore restituisce o cancella i Dati del Cliente conformemente all'Allegato C. I corrispettivi maturati restano esigibili. Qualora le norme imperative in materia di cambio di fornitore di cui al Regolamento (UE) 2023/2854 (Data Act) si applichino ai Servizi, il Fornitore vi si conforma ed esse prevalgono su qualsiasi disposizione contraria del Contratto.
5.6Cessazione della Piattaforma. Se il Fornitore cessa definitivamente di gestire YouCraft, egli concede un preavviso scritto di almeno novanta (90) giorni, assiste il Cliente nell'esportazione del proprio codice sorgente e dei propri Dati del Cliente, e rimborsa i corrispettivi pagati in anticipo per il periodo successivo alla data di chiusura.
5.7Piano Enterprise – modifiche tariffarie. Il Fornitore invia al Cliente, almeno centoventi (120) giorni prima della scadenza di ciascun periodo, un promemoria di rinnovo che indica, ove del caso, le nuove tariffe applicabili al periodo successivo. In assenza di invio di tale promemoria entro tale termine, il Contratto è rinnovato alle tariffe applicabili durante il periodo in scadenza.
6. Protezione dei dati, sicurezza e hosting
6.1Ruoli. Per i Dati Personali del Cliente, il Cliente è Titolare del Trattamento e il Fornitore è Responsabile del Trattamento, conformemente al DPA. Il Fornitore agisce in qualità di Titolare del Trattamento autonomo per i dati di account e di autenticazione degli utenti del Cliente, i dati di fatturazione, i log di sicurezza e tecnici, i metadati di utilizzo e di servizio, che Tratta ai fini della gestione degli account, della fatturazione, della sicurezza, della prevenzione delle frodi e degli abusi, dell'affidabilità del servizio e dell'adempimento degli obblighi di legge, conformemente alla propria informativa sulla privacy.
6.2Hosting. I Dati del Cliente sono ospitati su un'infrastruttura cloud situata nell'Unione europea e isolati logicamente per Applicazione. I piani Sovereign ed Enterprise possono essere auto-ospitati o distribuiti nell'ambito di un dispositivo di residenza dei dati concordato per iscritto. Quando il Cliente utilizza una funzionalità di IA, i Dati del Cliente interessati (ivi compresi i prompt, gli input e gli Output Generati) possono essere trasmessi al fornitore del Modello di IA di Terze Parti corrispondente (AWS o Scaleway) e sono Trattati conformemente al DPA e al relativo elenco di Sub-responsabili del Trattamento, il che può comportare trasferimenti al di fuori dell'UE con garanzie adeguate. L'hosting nell'UE si applica all'Ambiente del Fornitore e non garantisce, di per sé, che un fornitore di Modelli di IA di Terze Parti attivato non Tratti dati al di fuori dell'UE, salvo accordo espresso scritto per un deployment specifico del piano Sovereign, Enterprise o auto-ospitato.
6.3Divieto di addestramento. Il Fornitore non deve utilizzare i Dati del Cliente per addestrare i propri modelli. A partire dal piano Business, il Fornitore opera secondo un regime di Zero Data Retention per il trattamento tramite IA, nella misura in cui gli impegni contrattuali dei fornitori di Modelli di IA di Terze Parti nei suoi confronti glielo consentano (non incluso nel piano Starter). I Dati Personali del Cliente sono soggetti all'Articolo 9 del DPA.
6.4Sicurezza. Il Fornitore adotta le misure previste dall'Appendice 2 del DPA ed esegue analisi di sicurezza automatizzate a ogni rilascio. A partire dal piano Business sono inclusi i log di audit; il piano Enterprise aggiunge i test di penetrazione; il piano Sovereign aggiunge i filtri di blocco dei dati riservati. Il Cliente deve notificare senza indugio al Fornitore qualsiasi incidente di sicurezza, accesso non autorizzato o compromissione delle credenziali di cui venga a conoscenza.
6.5Responsabilità del Cliente. Il Cliente è il solo responsabile: della liceità dei Dati del Cliente e delle proprie istruzioni; della disponibilità di una base giuridica valida e della fornitura agli Interessati (ivi compresi gli utenti delle proprie Applicazioni) delle informazioni richieste; della gestione delle richieste degli Interessati a lui rivolte; delle proprie regole interne sull'utilizzo dell'IA; della sicurezza di qualsiasi Ambiente del Cliente; e della conservazione di backup indipendenti dei Dati del Cliente e del codice sorgente critici per la propria attività.
6.6Dati vietati. Salvo diverso accordo scritto del Fornitore e adozione di garanzie supplementari adeguate, il Cliente non deve inviare: categorie particolari di Dati Personali (articolo 9 del RGPD, ad esempio dati sanitari, biometrici o genetici); dati relativi a condanne penali o a reati; dati di minori; segreti commerciali altamente sensibili o informazioni classificate; estremi completi di carte di pagamento o bancari; password, chiavi API o altri segreti tecnici; ovvero documenti di terzi che non è autorizzato a trattare con uno strumento di IA. Il Fornitore non è responsabile delle conseguenze di una violazione del presente Articolo.
7. Utilizzo accettabile e regolamentazione dell'IA
7.1Il Cliente non deve utilizzare la Piattaforma né alcuna Applicazione per: violare la legge o dissimulare una violazione della legge; ledere i diritti di terzi; generare contenuti di odio, discriminatori, diffamatori, violenti o costituenti molestia; effettuare una sorveglianza o una profilazione illecita; produrre codice malevolo o contenuti di phishing, eludere controlli di sicurezza o ottenere un accesso non autorizzato a sistemi; ovvero falsificare documenti, manipolare prove o agevolare la frode, la corruzione o il riciclaggio di denaro.
7.2Salvo accordo scritto, il Cliente non deve utilizzare la Piattaforma per adottare o automatizzare decisioni che producano effetti giuridici o effetti significativi analoghi su persone fisiche (articolo 22 del RGPD), in particolare in materia di assunzioni, gestione delle risorse umane, credito, assicurazioni, sanità, giustizia, scoring di persone o accesso a servizi essenziali.
7.3In qualità di fornitore e/o deployer delle Applicazioni che sviluppa, distribuisce o mette a disposizione, il Cliente è il solo responsabile di determinarne la classificazione e di conformarsi al Regolamento (UE) 2024/1689 (il «Regolamento sull'IA») nella misura applicabile, ivi compreso il divieto di determinate pratiche e i requisiti di trasparenza, controllo umano e gestione dell'IA. Il Fornitore fornisce una Documentazione ragionevole a tal fine.
7.4Il Fornitore può rimuovere o sospendere qualsiasi Applicazione o contenuto che violi il presente Articolo 7, e può cooperare con le autorità competenti.
8. Proprietà intellettuale, Output Generati e giudizio professionale
8.1Il Fornitore è titolare della Piattaforma, dei relativi miglioramenti, degli Sviluppi Specifici e della Documentazione. Il Cliente concede al Fornitore una licenza a titolo gratuito per utilizzare qualsiasi feedback o suggerimento da esso fornito. Il Fornitore può utilizzare statistiche di utilizzo e di prestazione aggregate e anonimizzate che non identifichino né il Cliente, né i suoi utenti, né alcun Interessato e che non includano il contenuto dei Dati del Cliente.
8.2Il Cliente è titolare dei propri Dati del Cliente. A partire dal piano Business, il Cliente può scaricare il codice sorgente delle proprie Applicazioni e sincronizzarlo con il proprio repository, ed è titolare delle Applicazioni e del codice che sviluppa, fatti salvi i diritti sottostanti del Fornitore sulla Piattaforma, dei Componenti Open Source e delle condizioni di terzi contenute nella Documentazione. Il piano Starter non include il download del codice; le Applicazioni restano utilizzabili tramite la Piattaforma per tutta la durata dell'abbonamento. Il Cliente concede al Fornitore una licenza limitata e non esclusiva per ospitare, Trattare, trasmettere (anche ai Sub-responsabili del Trattamento) e visualizzare i Dati del Cliente, esclusivamente ai fini della fornitura dei Servizi e della conformità alla legge.
8.3Fatti salvi i diritti di terzi e quelli del Fornitore e dei fornitori di Componenti Open Source e di Modelli di IA di Terze Parti, il Cliente può utilizzare gli Output Generati per le proprie esigenze aziendali. Gli Output Generati non sono necessariamente unici: prompt simili possono produrre Output Generati simili per altre persone.
8.4Gli Output Generati possono essere inesatti, incompleti, obsoleti, distorti o inadeguati. Il Cliente deve verificarli prima di farvi affidamento, garantire una revisione umana prima dell'utilizzo, non fondare una decisione importante esclusivamente su un Output Generato, far verificare gli Output Generati da un professionista qualificato quando le questioni siano giuridiche, fiscali, finanziarie, tecniche, relative alle risorse umane, mediche, regolamentari o strategiche, e informare i propri utenti di tali limiti. YouCraft è uno strumento tecnologico e non un consulente professionale; il Cliente resta il solo responsabile delle decisioni assunte avvalendosi di esso.
9. Riservatezza
9.1«Informazioni Riservate» indicano qualsiasi informazione non pubblica, in qualsiasi forma, comunicata da una parte (la «Parte Comunicante») all'altra (la «Parte Ricevente») nell'ambito del Contratto, contrassegnata come riservata o che sarebbe ragionevolmente considerata tale. Comprendono: per il Cliente, i Dati del Cliente, le Applicazioni e il relativo codice sorgente, i prompt, gli Output Generati, le credenziali e le informazioni commerciali; per il Fornitore, gli aspetti non pubblici della Piattaforma (architettura, codice sorgente, prompt di sistema, configurazioni dei modelli, template, misure di sicurezza, risultati dei test, roadmap), gli Sviluppi Specifici e i prezzi; e, per entrambe le parti, le condizioni del Contratto.
9.2Sono escluse le informazioni di cui la Parte Ricevente possa dimostrare che: sono o diventano pubbliche per cause diverse da un proprio inadempimento; le erano legittimamente note in precedenza; sono state legittimamente ricevute da un terzo autorizzato a divulgarle; ovvero sono state sviluppate in modo indipendente senza utilizzo delle Informazioni Riservate della Parte Comunicante.
9.3La Parte Ricevente utilizza le Informazioni Riservate esclusivamente per l'esecuzione del Contratto o l'esercizio dei propri diritti ai sensi del medesimo, le protegge con un grado di diligenza almeno ragionevole e le divulga, secondo il principio del need-to-know, unicamente al proprio personale, alle proprie Società Affiliate e ai propri consulenti professionali vincolati da obblighi di riservatezza equivalenti. Il Fornitore può altresì divulgare le Informazioni Riservate del Cliente ai propri subappaltatori e Sub-responsabili del Trattamento (ivi compresi i fornitori di hosting e di Modelli di IA di Terze Parti) esclusivamente nella misura necessaria alla fornitura dei Servizi e subordinatamente a condizioni di riservatezza scritte; tale divulgazione ai sensi del DPA non costituisce inadempimento. La Parte Ricevente resta responsabile dei soggetti ai quali divulga le Informazioni Riservate.
9.4La Parte Ricevente può divulgare Informazioni Riservate qualora la legge o un'autorità competente lo imponga, previa comunicazione alla Parte Comunicante ove la legge lo consenta, e unicamente nella misura necessaria. Essa notifica alla Parte Comunicante, senza indugio, qualsiasi divulgazione o utilizzo non autorizzato di cui venga a conoscenza.
9.5Alla risoluzione, o su richiesta, la Parte Ricevente restituisce o cancella le Informazioni Riservate della Parte Comunicante (i Dati del Cliente essendo disciplinati dall'Articolo 5.5 e dall'Allegato C), ad eccezione delle copie imposte dalla legge o conservate nei backup ordinari fino alla loro sovrascrittura, le quali restano riservate.
9.6Tali obblighi si applicano per tutta la durata del Contratto e per cinque (5) anni dopo la sua cessazione, e senza limitazione di durata per i segreti commerciali (finché sono protetti come tali) e per i Dati del Cliente detenuti dal Fornitore o dai suoi Sub-responsabili del Trattamento. Nessuna licenza è concessa sulle Informazioni Riservate e la Parte Comunicante può richiedere provvedimenti cautelari d'urgenza in aggiunta agli altri rimedi.
10. Supporto e manutenzione
10.1Il Fornitore fornisce un onboarding (della durata approssimativa di un'ora), una formazione iniziale, un'assistenza pratica per la prima Applicazione e riunioni di follow-up periodiche (circa ogni due settimane) durante il periodo iniziale, come previsto nel piano di onboarding. Il supporto standard è assicurato via e-mail/sistema di ticket durante l'orario lavorativo. Il piano Enterprise comprende un Customer Success Manager e un architetto delle soluzioni dedicati; gli eventuali livelli di servizio sono definiti in uno SLA distinto.
10.2Il Fornitore si adopera con diligenza ragionevole per mantenere la Piattaforma disponibile, non garantisce un servizio ininterrotto e comunica con preavviso le operazioni di manutenzione programmata ove possibile. I difetti confermati segnalati al supporto sono esaminati e corretti con sforzi ragionevoli entro un termine ragionevole, per ordine di priorità secondo la loro gravità, salva diversa previsione di uno SLA Enterprise.
11. Garanzie, responsabilità e manleva
11.1Ciascuna parte garantisce di avere il potere di concludere il Contratto. Il Fornitore fornisce la Piattaforma con competenza e diligenza ragionevoli, conformemente alla Documentazione. Le obbligazioni del Fornitore ai sensi del Contratto sono esclusivamente obbligazioni di mezzi (meilleurs efforts/best efforts).
11.2Nella misura consentita dalla legge, la Piattaforma è fornita «nello stato in cui si trova» (as is). Il Fornitore non garantisce che la Piattaforma sarà esente da errori, ininterrotta o adatta a tutti gli utilizzi, né l'esattezza, la completezza o l'adeguatezza degli Output Generati, la disponibilità continua di qualsivoglia Modello di IA di Terze Parti, l'assenza di vulnerabilità nei Componenti Open Source, né l'idoneità di una determinata Applicazione allo scopo del Cliente. Il Cliente deve testare e validare qualsiasi elemento critico per l'attività o regolamentato prima di farvi affidamento.
11.3Nessuna clausola del Contratto limita o esclude la responsabilità in caso di morte o lesioni personali, di frode, di dolo o colpa grave, né alcuna responsabilità che non possa essere limitata o esclusa ai sensi della legge applicabile.
11.4Fermo restando l'Articolo 11.3, nessuna delle parti è responsabile nei confronti dell'altra per la perdita di utili, di fatturato, di dati, di contratti, di clienti o di avviamento, per il danno reputazionale o per qualsiasi altra perdita indiretta o consequenziale, né, per quanto riguarda il Fornitore, per le conseguenze di una decisione fondata su un Output Generato non verificato ai sensi dell'Articolo 8.4.
11.5Fermo restando l'Articolo 11.3, la responsabilità complessiva cumulata del Fornitore derivante dal o relativa al Contratto, ivi compreso il DPA nella misura consentita dalla Normativa Applicabile in Materia di Protezione dei Dati Personali, per l'insieme dei reclami nel corso di qualsiasi periodo di dodici (12) mesi, è limitata ai corrispettivi versati dal Cliente al Fornitore nei dodici (12) mesi precedenti l'evento all'origine del reclamo. Tale limite non si applica alle obbligazioni di pagamento del Cliente. Qualsiasi reclamo deve essere proposto entro un (1) anno dall'evento che lo ha generato.
11.6Il Cliente manleva e tiene indenne il Fornitore da qualsiasi reclamo di terzi, nonché dalle sanzioni, dai risarcimenti e dalle spese ragionevoli che ne derivano, derivanti da: (a) Dati del Cliente o Applicazioni che ledano i diritti di terzi o siano oggetto di un Trattamento illecito; (b) inadempimento del Cliente agli Articoli 2.4, 6.5, 6.6 o 7, alla Normativa Applicabile in Materia di Protezione dei Dati Personali o al Regolamento sull'IA; oppure (c) istruzioni illecite del Cliente; salvo nella misura in cui siano causati da un inadempimento del Fornitore o dei suoi Sub-responsabili del Trattamento al Contratto, al DPA o alla Normativa Applicabile in Materia di Protezione dei Dati Personali. Il Fornitore notifica senza indugio il reclamo al Cliente, consente al Cliente di dirigere la difesa (senza ammissione di responsabilità in nome del Fornitore) e coopera ragionevolmente a spese del Cliente.
11.7Le parti riconoscono che i corrispettivi riflettono tale ripartizione del rischio.
12. Conformità e pubblicità
12.1Ciascuna parte rispetta le leggi ad essa applicabili, ivi comprese le norme in materia di protezione dei dati, di lotta alla corruzione, di controllo delle esportazioni e di sanzioni. Il Cliente non deve utilizzare la Piattaforma né metterla a disposizione in violazione delle sanzioni o delle restrizioni all'esportazione applicabili.
12.2Il Cliente non deve utilizzare i nomi, i loghi o i segni distintivi del Fornitore, di YouCraft o di qualsivoglia fornitore di Modelli di IA di Terze Parti nelle proprie comunicazioni pubbliche, commerciali o promozionali senza il previo consenso scritto. Il Fornitore può citare il nome e il logo del Cliente a titolo di referenza, salvo opposizione scritta del Cliente.
13. Disposizioni generali
13.1Cessione. Il Cliente non può cedere il Contratto senza il consenso del Fornitore. Il Fornitore può cederlo a una Società Affiliata o nell'ambito di una fusione o della cessione della propria attività, previa comunicazione al Cliente.
13.2Forza maggiore. Nessuna delle parti è responsabile di un ritardo o di un inadempimento causato da un evento al di fuori del proprio ragionevole controllo, ivi compresi un'interruzione di vasta portata, un attacco informatico, un guasto di rete, l'indisponibilità di un fornitore critico, una restrizione imposta da un fornitore di Modelli di IA di Terze Parti, ovvero una modifica della legge o della normativa.
13.3Intero accordo; separabilità. Il Contratto costituisce l'intero accordo tra le parti in merito al suo oggetto e sostituisce le trattative precedenti. Se una clausola è invalida, le restanti rimangono in vigore. La mancata esecuzione di un diritto non ne costituisce rinuncia.
13.4Modifiche. Qualsiasi modifica deve essere effettuata per iscritto e concordata da entrambe le parti, ad eccezione delle modifiche di prezzo e di piano tariffario (Articolo 4.4), degli aggiornamenti del DPA e delle variazioni dei Sub-responsabili del Trattamento (Allegato C), e delle condizioni di accesso tecniche, di sicurezza o regolamentari, o di quelle richieste da un fornitore di Modelli di IA di Terze Parti, che non riducano in modo sostanziale i diritti essenziali del Cliente, con un preavviso di almeno 30 giorni. Se una modifica pregiudica in modo sostanziale e sfavorevole il Cliente, quest'ultimo può recedere mediante comunicazione scritta entro tale termine.
13.5Comunicazioni. Le comunicazioni sono inviate ai referenti indicati nel Modulo d'Ordine o nell'Allegato B. Le comunicazioni di risoluzione devono essere inviate a mezzo lettera raccomandata con avviso di ricevimento (Articoli 5.2 e 5.7).
13.6Firma elettronica. Il Modulo d'Ordine può essere sottoscritto con firma elettronica, anche mediante una piattaforma di firma elettronica riconosciuta (Regolamento (UE) n. 910/2014 «eIDAS» o la legge locale equivalente); le parti accettano che la medesima abbia il medesimo effetto giuridico di una firma autografa.
13.7Legge applicabile e foro competente. Il Contratto è disciplinato dal diritto francese. I tribunali di Parigi hanno competenza esclusiva, fatte salve le disposizioni inderogabili.
13.8Sopravvivenza. Gli Articoli 5.5, 8, 9, 11, 12 e 13, nonché qualsiasi clausola destinata a sopravvivere, continuano ad applicarsi dopo la cessazione del Contratto.
Allegato A Piani tariffari, prezzi e contenuti inclusi
Prezzi di listino standard, per utente e per mese, IVA esclusa. Il Modulo d'Ordine conferma il o i piani tariffari, il numero di Licenze, gli sconti e le condizioni promozionali, e prevale sul presente Allegato ove vi deroghi espressamente.
Licenze Creatore
| Livello | Prezzo (IVA esclusa) | Incluso / principali funzionalità |
|---|---|---|
| Starter | 25 € / utente / mese | 100 crediti/mese; fino a 10 applicazioni e anteprime in tempo reale; deployment in un clic; import CSV/JSON; applicazioni e domini pubblici esclusivamente; fino a 5 utenti di applicazioni (senza autenticazione); hosting cloud SaaS standard. Nessun download del codice; nessun impegno di Zero Data Retention. |
| Business | 50 € / utente / mese | Starter più: 300 crediti/mese; nessun addestramento sui dati del cliente; Zero Data Retention (subordinatamente all'Articolo 6.3); proprietà e download del codice sorgente; SSO (Google/Microsoft/GitHub) e RBAC; applicazioni private e domini personalizzati; 10 Licenze Lettore incluse; hosting cloud regionale; log di audit. |
| Sovereign | 100 € / utente / mese | Business più: 500 crediti/mese; LLM open source sovrano; residenza regionale dei dati; opzioni di deployment auto-ospitato (costi aggiuntivi); supporto dedicato; filtri di blocco dei dati riservati. |
| Enterprise | Personalizzato (in base al volume) | Crediti di IA condivisi tra gli utenti; gestione dell'organizzazione e insight; SSO aziendale (SAML/OIDC); test di penetrazione e analisi di sicurezza; CSM e architetto delle soluzioni dedicati; contratto/SLA/governance su misura; integrazioni personalizzate; impegno annuale di dodici (12) mesi, rinnovabile tacitamente (Articolo 5.7). |
Licenze Lettore
| Livello | Prezzo (IVA esclusa) | Incluso / principali funzionalità |
|---|---|---|
| Starter | — | Fino a 5 utenti di applicazioni, senza autenticazione. |
| Business / Sovereign | + 10 € / utente / mese | 10 Licenze Lettore incluse; Licenze Lettore aggiuntive a 10 € / utente / mese oltre le prime 10. |
| Enterprise | Personalizzato (in base al volume) | 10 Licenze Lettore incluse; licenze aggiuntive a tariffa personalizzata. |
200 Crediti ≈ 3 Applicazioni semplici o 1 Applicazione di complessità moderata al mese. Crediti aggiuntivi sono disponibili alle tariffe standard. Le Licenze possono essere aggiunte, ridotte o modificate via e-mail (Articolo 4.5).
Allegato B Referenti del Fornitore
| Vendite / Moduli d'Ordine | [Nome / e-mail da completare] |
|---|---|
| Protezione dei dati (DPA) | dpo@leyton.com |
Allegato C Accordo sul trattamento dei dati (articolo 28 del RGPD)
Il presente DPA fa parte del Contratto concluso tra il Fornitore (Responsabile del Trattamento) e il Cliente (Titolare del Trattamento) e si applica ogniqualvolta il Fornitore Tratti Dati Personali del Cliente per conto del Cliente nell'ambito di YouCraft. I termini con iniziale maiuscola non definiti nel presente documento hanno il significato loro attribuito nelle Condizioni Generali. «CCS» indica le clausole contrattuali standard allegate alla decisione di esecuzione (UE) 2021/914 della Commissione, come modificata o sostituita.
1. Ambito di applicazione e ruoli
1.1Il Cliente è Titolare del Trattamento e il Fornitore è Responsabile del Trattamento. Qualora il Cliente agisca a sua volta in qualità di Responsabile del Trattamento per i propri clienti, egli garantisce che il Titolare del Trattamento interessato ha autorizzato le istruzioni del Cliente nonché il ricorso al Fornitore e ai suoi Sub-responsabili del Trattamento, e il Cliente resta responsabile nei confronti del Fornitore per tali istruzioni.
1.2L'oggetto, la durata, la natura e le finalità del Trattamento, nonché le categorie di Interessati e di Dati Personali, sono definiti nell'Appendice 1. Il Trattamento effettuato dal Fornitore in qualità di Titolare del Trattamento autonomo (Articolo 6.1 delle Condizioni Generali) è escluso dall'ambito del presente DPA.
1.3Qualora un'Applicazione sia ospitata interamente nell'Ambiente del Cliente e il Fornitore non abbia accesso ai Dati Personali interessati, il Fornitore non li Tratta per conto del Cliente, e il Cliente è responsabile della loro sicurezza, conservazione, backup, esportazione e cancellazione.
2. Istruzioni
2.1Il Fornitore Tratta i Dati Personali del Cliente unicamente su istruzioni documentate del Cliente (il Contratto, il presente DPA, il Modulo d'Ordine nonché la configurazione e l'utilizzo di YouCraft da parte del Cliente), anche per quanto riguarda i trasferimenti, al fine di fornire, mantenere, proteggere, assistere tecnicamente e gestire YouCraft, prevenire frodi, abusi e incidenti di sicurezza, e correggere errori, salvo che sia diversamente tenuto dal diritto dell'Unione o dal diritto di uno Stato membro al quale il Fornitore è soggetto, nel qual caso il Fornitore ne informa il Cliente prima del Trattamento, salvo che la legge lo vieti.
2.2Il Fornitore informa il Cliente senza indugio se, a suo parere, un'istruzione viola la Normativa Applicabile in Materia di Protezione dei Dati Personali, e può sospenderne l'esecuzione fino a che il Cliente la confermi o la modifichi. Il Fornitore non deve vendere i Dati Personali del Cliente e non deve Trattarli per proprie finalità né combinarli con altri dati, salvo che la legge lo consenta.
2.3Se il Fornitore non è più in grado di conformarsi al presente DPA, ne informa senza indugio il Cliente, e il Cliente può allora adottare misure ragionevoli per far cessare il Trattamento o porvi rimedio.
3. Responsabilità del Cliente
3.1Il Cliente si assicura di disporre di una base giuridica valida, di aver fornito le informazioni richieste e ottenuto i consensi necessari, di avere il diritto di fornire i Dati Personali del Cliente al Fornitore e ai suoi Sub-responsabili del Trattamento, di impartire istruzioni lecite, di inviare esclusivamente Dati Personali adeguati, pertinenti e limitati a quanto necessario, e di utilizzare YouCraft conformemente alla Normativa Applicabile in Materia di Protezione dei Dati Personali. Si applicano i dati vietati di cui all'Articolo 6.6 delle Condizioni Generali.
4. Riservatezza e sicurezza
4.1Il Fornitore si assicura che le persone autorizzate a Trattare i Dati Personali del Cliente siano vincolate da obblighi di riservatezza.
4.2Il Fornitore adotta misure tecniche e organizzative adeguate al rischio, come descritte nell'Appendice 2 (articolo 32 del RGPD), le quali possono essere aggiornate a condizione che la sicurezza complessiva non sia ridotta in modo sostanziale.
4.3Il Cliente è responsabile della gestione dei propri utenti e dei diritti di accesso, della sicurezza delle proprie credenziali, dispositivi, sistemi e Ambiente del Cliente, della liceità e della sicurezza dei propri prompt, dei Dati del Cliente e delle Applicazioni, nonché della configurazione delle integrazioni e dei servizi di terzi da esso selezionati.
5. Richieste degli Interessati e assistenza
5.1Il Fornitore trasmette al Cliente, ove la legge lo consenta, qualsiasi richiesta di un Interessato che riceva relativa ai Dati Personali del Cliente, e non risponde all'Interessato salvo che la legge lo imponga.
5.2Tenuto conto della natura del Trattamento e delle informazioni a sua disposizione, il Fornitore fornisce al Cliente un'assistenza ragionevole e tempestiva per rispondere alle richieste degli Interessati e per conformarsi agli articoli da 32 a 36 del RGPD (sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione preventiva). L'assistenza eccedente il supporto standard del piano tariffario del Cliente può essere fatturata a tariffe ragionevoli.
6. Violazioni dei Dati Personali
6.1Il Fornitore notifica per iscritto al Cliente, senza indugio e, ove possibile, entro quarantotto (48) ore da quando ne ha preso conoscenza, qualsiasi Violazione dei Dati Personali che interessi i Dati Personali del Cliente.
6.2La notifica descrive, nella misura nota e per fasi se necessario: la natura della violazione, le categorie e il numero approssimativo di Interessati e di registrazioni interessate, le probabili conseguenze, nonché le misure adottate o proposte (articolo 33, paragrafo 3, del RGPD). Il Cliente decide se sia necessario notificare l'autorità di controllo o gli Interessati. Una notifica non costituisce ammissione di colpa o responsabilità.
7. Sub-responsabili del Trattamento
7.1Il Cliente autorizza in via generale il Fornitore a ricorrere a Sub-responsabili del Trattamento per l'hosting, l'infrastruttura, la sicurezza, il monitoraggio, il logging, il supporto, la manutenzione, il backup, i servizi professionali e le funzionalità basate sull'IA, e autorizza specificamente AWS, Scaleway e altri fornitori di Modelli di IA di Terze Parti quando ad essi vengano inviati Dati Personali del Cliente al fine di fornire le funzionalità di IA di YouCraft.
7.2Il Fornitore impone a ciascun Sub-responsabile del Trattamento, con contratto scritto, obblighi in materia di protezione dei dati non meno protettivi di quelli del presente DPA, e resta responsabile nei confronti del Cliente dell'adempimento degli obblighi dei propri Sub-responsabili del Trattamento, come richiesto dall'articolo 28, paragrafo 4, del RGPD, fermo restando l'Articolo 11 delle Condizioni Generali nella misura consentita dalla legge.
7.3I Sub-responsabili del Trattamento attuali sono:
| Sub-responsabile | Servizio / finalità | Luogo del Trattamento | Meccanismo di trasferimento | Piano YouCraft |
|---|---|---|---|---|
| AWS (a seconda del tipo di offerta) | Modello di IA di Terze Parti / LLM | Stati Uniti | CCS | Starter |
| AWS (a seconda del tipo di offerta) | Modello di IA di Terze Parti / LLM | Unione Europea | N/A | Business |
| Scaleway (a seconda del tipo di offerta) | Modello di IA di Terze Parti / LLM | Unione Europea | N/A | Sovereign |
| AWS | Hosting cloud e infrastruttura | Mondo | CCS | Starter |
| AWS | Hosting cloud e infrastruttura | Unione Europea | N/A | Business |
I Sub-responsabili del Trattamento di AWS e di Scaleway sono elencati sui siti web dei rispettivi fornitori.
7.4Il Fornitore concede al Cliente un preavviso di almeno 30 giorni prima della nomina di un nuovo Sub-responsabile del Trattamento o della sostituzione di uno esistente che incida in modo sostanziale sul Trattamento dei Dati Personali del Cliente. Il Cliente può opporsi per motivi ragionevoli attinenti alla protezione dei dati, mediante comunicazione scritta entro 15 giorni; in assenza di opposizione, il Sub-responsabile del Trattamento si intende autorizzato. Se l'opposizione non può essere risolta in buona fede, il Fornitore può cessare di fornire il servizio interessato al Cliente, ovvero il Cliente può risolvere la parte interessata dei Servizi prima che il nuovo Sub-responsabile del Trattamento inizi il Trattamento, senza che la responsabilità di alcuna delle parti sia impegnata.
8. Trasferimenti internazionali
8.1Il Fornitore può trasferire Dati Personali del Cliente al di fuori dello SEE o del Regno Unito qualora ciò sia necessario per fornire YouCraft, anche a un fornitore di Modelli di IA di Terze Parti, a condizione che si applichi un meccanismo di trasferimento previsto dal capo V del RGPD: una decisione di adeguatezza (ivi compreso, qualora il destinatario sia certificato, il quadro per la protezione dei dati UE-USA (EU-US Data Privacy Framework)), le CCS, l'UK International Data Transfer Agreement o l'UK Addendum, ovvero un altro meccanismo lecito.
8.2Nella misura necessaria, le CCS sono incorporate per riferimento: il Modulo Due (da titolare del trattamento a responsabile del trattamento) quando il Fornitore, in qualità di importatore, riceve dati dal Cliente al di fuori dello SEE, e il Modulo Tre (da responsabile del trattamento a sub-responsabile del trattamento) per i trasferimenti dal Fornitore a un Sub-responsabile del Trattamento situato al di fuori dello SEE. Per le CCS: la clausola 9, lettera a), opzione 2, si applica con il termine di preavviso di cui all'Articolo 7.4; la clausola 17, opzione 1, si applica con il diritto francese; la clausola 18, lettera b), designa le giurisdizioni della Francia; le Appendici 1 e 2 tengono luogo degli Allegati I e II. In caso di conflitto, le CCS prevalgono sul presente DPA, e il presente DPA prevale sulle Condizioni Generali.
8.3Su richiesta ragionevole, il Fornitore fornisce le informazioni ragionevolmente necessarie per consentire al Cliente di effettuare una valutazione d'impatto del trasferimento.
9. Modelli di IA e Dati di Conversazione
9.1Il Fornitore non deve utilizzare i Dati Personali del Cliente, i Dati del Cliente o i Dati di Conversazione per addestrare i propri modelli di IA di uso generale, salvo accordo espresso scritto del Cliente.
9.2Il Fornitore si assicura, mediante contratto scritto, che ciascun fornitore di Modelli di IA di Terze Parti Tratti i Dati Personali del Cliente esclusivamente per fornire il servizio al Fornitore e su istruzioni del Fornitore, e non li utilizzi per addestrare i propri modelli di uso generale, subordinatamente alle condizioni contrattuali e alla configurazione tecnica proposte da tale fornitore. La Zero Data Retention si applica come previsto all'Articolo 6.3 delle Condizioni Generali.
9.3Il Cliente decide quali funzionalità di IA attivare e utilizzare.
10. Informazioni di conformità e audit
10.1Il Fornitore mette a disposizione, su richiesta scritta ragionevole e subordinatamente alla riservatezza, le informazioni necessarie a dimostrare il rispetto del presente DPA, quali rapporti di audit, certificazioni e valutazioni di sicurezza, nella misura in cui siano disponibili.
10.2Se tali informazioni non sono ragionevolmente sufficienti, il Cliente può sottoporre ad audit i controlli pertinenti del Fornitore, personalmente o tramite un revisore indipendente vincolato alla riservatezza, con un preavviso scritto di almeno 30 giorni, una volta ogni dodici (12) mesi (salvo che una Violazione dei Dati Personali, elementi di prova di non conformità o un'esigenza di un'autorità di controllo ne giustifichino una frequenza maggiore), con ambito, data e durata concordati in anticipo, durante l'orario lavorativo e senza perturbazione irragionevole. L'audit non dà accesso ai dati degli altri clienti, al codice sorgente del Fornitore, ai segreti commerciali né alle informazioni di sicurezza sensibili. Il Cliente sostiene i propri costi nonché i costi ragionevoli del Fornitore, salvo che l'audit riveli un inadempimento grave del Fornitore al presente DPA. Nessuna clausola limita i poteri di un'autorità di controllo.
11. Restituzione e cancellazione
11.1Dati di Conversazione. YouCraft consente a ciascun utente autorizzato di cancellare i Dati di Conversazione ai quali è autorizzato ad accedere, e agli amministratori del Cliente di cancellare qualsiasi Dato di Conversazione nell'ambiente YouCraft del Cliente. Il Fornitore li cancella quindi dai sistemi di produzione attivi; le copie presenti nei backup sono cancellate o sovrascritte entro 30 giorni dalla cancellazione in produzione e non vengono ripristinate, salvo ai fini del disaster recovery, della sicurezza o della continuità operativa.
11.2Cessazione del Contratto. Nei trenta (30) giorni successivi alla risoluzione o alla scadenza, il Cliente può, a sua scelta, richiedere la restituzione di una copia dei Dati del Cliente detenuti nei sistemi attivi del Fornitore ovvero utilizzare l'esportazione self-service, ove disponibile nel proprio piano tariffario e tecnicamente fattibile. Entro 30 giorni dalla fine di tale periodo, il Fornitore cancella i Dati del Cliente, ivi compresi i Dati Personali del Cliente, nonché le copie esistenti, e conferma la cancellazione per iscritto su richiesta.
11.3Eccezioni. I Dati del Cliente possono essere conservati unicamente se il diritto dell'Unione o di uno Stato membro lo impone, o per accertare, esercitare o difendere diritti in sede giudiziaria, o nei backup per il periodo di cui all'Articolo 11.1, nei limiti del minimo necessario, protetti ai sensi del presente DPA e cancellati al venir meno del fondamento della conservazione. Per gli Ambienti del Cliente, si applica l'Articolo 1.3.
12. Disposizioni generali
12.1In caso di conflitto tra il presente DPA e le Condizioni Generali in merito al Trattamento dei Dati Personali del Cliente, il presente DPA prevale. L'Articolo 11 delle Condizioni Generali si applica al presente DPA nella misura consentita dalla Normativa Applicabile in Materia di Protezione dei Dati Personali, fatti salvi i diritti degli Interessati. Il presente DPA resta in vigore fintantoché il Fornitore Tratti Dati Personali del Cliente per conto del Cliente. Referente per la protezione dei dati: dpo@leyton.com.
Appendice 1 Dettagli del Trattamento e dei trasferimenti
| Oggetto | Fornitura, gestione, manutenzione, supporto e sicurezza di YouCraft, ivi compresa la generazione di applicazioni no-code, le funzionalità basate sull'IA, l'hosting ove incluso, il supporto, il monitoraggio, il logging, il backup e i servizi professionali concordati. |
|---|---|
| Durata e frequenza | Continua per tutta la durata del Contratto, secondo l'utilizzo e la configurazione del Cliente, nonché per i periodi limitati di esportazione, restituzione, cancellazione, conservazione dei backup e conformità legale successivi alla risoluzione. |
| Natura del Trattamento | Raccolta, registrazione, organizzazione, conservazione, consultazione, utilizzo, trasmissione e comunicazione a Sub-responsabili del Trattamento autorizzati, estrazione, esportazione, adattamento, limitazione, cancellazione e distruzione. |
| Finalità | Fornire e gestire YouCraft; consentire al Cliente e ai suoi utenti di sviluppare, distribuire e utilizzare Applicazioni; fornire funzionalità basate sull'IA e generare Output Generati su richiesta; ospitare le Applicazioni e i Dati del Cliente ove incluso; mantenere la qualità, la sicurezza e l'integrità di YouCraft; assicurare il supporto, la manutenzione, il monitoraggio, il backup e la gestione degli incidenti; prevenire frodi, abusi e utilizzo illecito; adempiere agli obblighi di legge. |
| Categorie di Interessati | Dipendenti, collaboratori esterni e utenti autorizzati del Cliente; i suoi clienti, prospect, fornitori e partner; gli utenti delle Applicazioni sviluppate dal Cliente; le persone i cui Dati Personali figurano nei Dati del Cliente. |
| Categorie di Dati Personali | Nomi, recapiti professionali e informazioni commerciali; dati di account, di accesso e di autenticazione; informazioni relative all'impiego e informazioni professionali; dati tecnici (indirizzi IP, dati relativi ai dispositivi, log di accesso); richieste di supporto e dati di utilizzo; informazioni contenute in documenti, formulari, database, flussi di lavoro, prompt e Applicazioni. |
| Categorie particolari | Non destinate al Trattamento e vietate, salvo previa approvazione scritta del Fornitore e accordo su garanzie supplementari (Articolo 6.6 delle Condizioni Generali). |
| Esportatore / importatore | Esportatore di dati: il Cliente (e le sue Società Affiliate autorizzate). Importatore di dati: il Fornitore e, ove del caso, il Sub-responsabile del Trattamento interessato. Autorità di controllo competente: determinata conformemente alla clausola 13 delle CCS. |
| Sub-responsabili del Trattamento | Cfr. l'Articolo 7.3 del presente DPA. |
Appendice 2 Misure tecniche e organizzative
Il Fornitore adotta e mantiene misure conformi alle prassi riconosciute del settore al fine di proteggere la sicurezza, la riservatezza e l'integrità dei Dati del Cliente, ivi comprese, ove applicabili:
- un programma di sicurezza delle informazioni con personale preposto alla governance della sicurezza e impegni di riservatezza per il personale autorizzato; garanzie fisiche, tecniche e amministrative;
- la gestione degli accessi, i controlli di autenticazione e il principio del privilegio minimo; la crittografia in transito e, ove applicabile, a riposo; i controlli di sicurezza della rete, il filtraggio del traffico e la segmentazione;
- la separazione degli ambienti di produzione, sviluppo e test; le procedure di gestione delle modifiche; l'analisi delle vulnerabilità, la gestione delle patch, il rilevamento delle minacce e i controlli anti-malware;
- le procedure di logging, monitoraggio, allerta e risposta agli incidenti; le misure di backup, di continuità operativa e di disaster recovery; e
- i test di sicurezza periodici e, ove del caso, i test di penetrazione; la gestione dei rischi di sicurezza legati ai terzi per i fornitori di servizi interessati.
Accettazione. Le presenti Condizioni Generali non contengono un blocco firma autonomo. Esse sono accettate al momento della sottoscrizione del Modulo d'Ordine che vi fa riferimento da parte di un rappresentante autorizzato del Cliente e dell'accettazione elettronica delle presenti Condizioni Generali e dei relativi allegati mediante la spunta dell'apposita casella.