Accordo sul Trattamento dei Dati (ATD) — AI4PLAN

Applicabile a decorrere dal 27 agosto 2026

Traduzione fornita a titolo informativo. Il presente Accordo sul Trattamento dei Dati è redatto in lingua francese. Solo la versione francese fa fede (CGV, art. 1).

1. Parti

Titolare del trattamento

Il Cliente, come definito nelle Condizioni Generali di Vendita (CGV).

Responsabile del trattamento

AI4PLAN SAS – SIRET: 847 604 873 00020 8B rue Michelet, 92150 Suresnes rgpd@ai4plan.com

2. Oggetto e durata

Il presente ATD disciplina i trattamenti effettuati da AI4PLAN per conto del Cliente, conformemente all’articolo 28 del GDPR e nei limiti definiti dalle CGV, che prevalgono in caso di contrasto — senza che tale prevalenza possa vanificare gli obblighi imperativi derivanti dal GDPR.

Durata: identica a quella del contratto principale.

3. Finalità del trattamento

AI4PLAN tratta i dati unicamente per:

• l’esecuzione del servizio SaaS AI4PLAN;
• il trattamento tecnico dei file importati;
• la generazione dei Risultati;
• il supporto, la manutenzione e la risoluzione degli incidenti;
• la supervisione tecnica, la sicurezza e la prevenzione degli abusi;
• la registrazione tecnica dei log.

Ogni finalità aggiuntiva richiede un’istruzione conforme alle CGV.

Anonimizzazione. AI4PLAN può anonimizzare i dati trattati per conto del Cliente. I dati così anonimizzati, che non consentono più di identificare una persona fisica, cessano di essere dati personali ed escono dall’ambito del presente ATD; il loro utilizzo è disciplinato dall’articolo 10.5 delle CGV, in particolare ai fini del miglioramento del Software e degli algoritmi di AI4PLAN.

4. Categorie di dati

• dati di identificazione professionale;
• log tecnici e registri di accesso;
• metadati;
• dati contenuti nei file importati.

Categorie particolari di dati. Il Servizio non è concepito per il trattamento delle categorie particolari di dati di cui all’articolo 9 del GDPR, né dei dati relativi a condanne penali e reati di cui all’articolo 10. AI4PLAN non ha né la capacità né i mezzi per identificarli all’interno dei file importati.

Il Cliente che introduce tali dati nel Servizio ne resta il solo responsabile: spetta a lui disporre di una base giuridica valida, aver condotto, se del caso, la valutazione d’impatto richiesta, e informarne preventivamente AI4PLAN affinché possano essere previste misure di protezione adeguate. Le conseguenze di un’introduzione non segnalata rientrano nell’articolo 14.

5. Interessati

• dipendenti del Cliente;
• partner o collaboratori del Cliente;
• ogni persona che compaia nei file importati.

6. Obblighi del Responsabile del trattamento (AI4PLAN)

AI4PLAN si impegna a:

1. trattare i dati secondo le istruzioni scritte e conformi alle CGV;
2. rifiutare ogni istruzione illecita, impossibile o non coperta contrattualmente;
3. limitare l’accesso alle sole persone autorizzate, e vigilare affinché queste siano tenute a un obbligo di riservatezza, contrattuale o legale, relativo ai dati trattati;
4. attuare le misure di sicurezza definite nel presente ATD;
5. documentare la conformità del trattamento.

Ogni richiesta che ecceda il perimetro contrattuale può richiedere un preventivo o un atto aggiuntivo, conformemente alle CGV.

7. Sub-responsabili del trattamento

AI4PLAN può ricorrere a responsabili appartenenti alle seguenti categorie:

• hosting cloud;
• supervisione tecnica;
• archiviazione e backup;
• invio di email transazionali;
• supporto e gestione dei ticket;
• sicurezza informatica;
• agente conversazionale messo a disposizione nel Servizio.

Il Cliente conferisce ad AI4PLAN un’autorizzazione generale a ricorrere a sub-responsabili rientranti in tali categorie. L’elenco nominativo in vigore è comunicato su richiesta.

AI4PLAN impone contrattualmente a ciascuno dei propri sub-responsabili obblighi di protezione dei dati equivalenti a quelli del presente ATD, e resta pienamente responsabile nei confronti del Cliente dell’esecuzione dei loro obblighi.

AI4PLAN informa il Cliente di ogni aggiunta o sostituzione di sub-responsabile, almeno trenta (30) giorni prima della sua attuazione. Il Cliente può opporsi per iscritto e in modo motivato entro tale termine; in mancanza di una soluzione alternativa ragionevole, ciascuna delle parti può allora risolvere l’Abbonamento alle condizioni dell’articolo 6 delle CGV. Il Cliente riconosce che un’opposizione può limitare in tutto o in parte le funzionalità del Servizio.

8. Sicurezza dei trattamenti

AI4PLAN applica:

• cifratura delle comunicazioni;
• separazione degli ambienti;
• gestione degli accessi secondo il principio del privilegio minimo;
• backup;
• sorveglianza e allerte;
• irrobustimento degli ambienti.

Il Cliente resta responsabile di:

• la sicurezza delle proprie postazioni e dei propri accessi;
• la gestione dei propri account utente;
• le proprie configurazioni interne.

Tali obblighi sono complementari agli impegni delle CGV e delle CGU.

9. Notifica delle violazioni

AI4PLAN notifica al Cliente ogni violazione di dati personali che lo riguardi, senza ingiustificato ritardo dopo esserne venuta a conoscenza, conformemente all’articolo 11.8 delle CGV.

La notifica descrive la natura della violazione, le categorie e il volume approssimativo dei dati e degli interessati coinvolti, le probabili conseguenze, nonché le misure adottate o proposte per porvi rimedio. Qualora tali informazioni non possano essere fornite immediatamente, esse sono comunicate in modo scaglionato man mano che divengono disponibili.

AI4PLAN fornisce al Cliente la ragionevole assistenza necessaria all’adempimento dei propri obblighi ai sensi degli articoli 33 e 34 del GDPR.

10. Assistenza GDPR

AI4PLAN fornisce una ragionevole assistenza in merito a:

• i diritti degli interessati;
• le valutazioni d’impatto.

Ogni assistenza supplementare o eccezionale può essere fatturata alle condizioni previste dalle CGV.

AI4PLAN non garantisce la conformità al GDPR del Cliente.

11. Audit

AI4PLAN mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi previsti all’articolo 28 del GDPR.

Il Cliente può far effettuare un audit, da sé stesso o tramite un revisore indipendente da lui incaricato e che non sia un concorrente di AI4PLAN, alle seguenti condizioni:

• la richiesta è formulata per iscritto con un preavviso di almeno trenta (30) giorni;
• l’audit si svolge durante le ore lavorative, senza perturbare l’esercizio del Servizio, e al massimo una volta all’anno, salvo incidente di sicurezza accertato o ingiunzione di un’autorità di controllo;
• il revisore è tenuto a un obbligo di riservatezza;
• AI4PLAN può soddisfare la richiesta comunicando le relazioni di audit, certificazioni o attestazioni esistenti, qualora coprano il perimetro interessato;
• gli audit intrusivi, in particolare i test di intrusione e gli accessi diretti ai sistemi, richiedono l’accordo scritto preventivo di AI4PLAN e possono essere rifiutati per motivi di sicurezza o di riservatezza nei confronti dei suoi altri clienti.

I costi dell’audit sono a carico del Cliente. Il tempo dedicato da AI4PLAN al di là di una ragionevole assistenza può essere fatturato alle condizioni dell’articolo 10.

12. Trasferimenti al di fuori dell’UE

I dati del Cliente — file importati, Risultati, account e registri applicativi — sono ospitati in una regione dell’Unione europea del fornitore di infrastruttura di AI4PLAN.

Talune risorse tecniche necessarie alla distribuzione del Servizio, in particolare quelle collegate alla rete di distribuzione dei contenuti, sono amministrate da una regione situata negli Stati Uniti, e tale rete eroga i contenuti da punti di presenza distribuiti nel mondo. I registri di accesso che ne risultano possono contenere dati tecnici quali indirizzi IP.

Tali trattamenti e trasferimenti sono disciplinati dall’accordo sul trattamento dei dati concluso da AI4PLAN con il proprio fornitore di infrastruttura, il quale incorpora le clausole contrattuali tipo approvate dalla Commissione europea, integrate da misure tecniche supplementari adeguate.

L’agente conversazionale messo a disposizione nel Servizio è fornito da un prestatore stabilito in Canada. Gli scambi a esso indirizzati sono trattati da tale prestatore in qualità di sub-responsabile, nell’ambito di un accordo sul trattamento dei dati che incorpora le clausole contrattuali tipo approvate dalla Commissione europea.

Il Cliente riconosce che tali trasferimenti sono necessari all’esecuzione del Servizio.

13. Fine del contratto

Alla cessazione del Contratto, AI4PLAN procede, a scelta del Cliente, alla restituzione o alla cancellazione dei dati trattati per suo conto, nei termini e secondo le modalità previsti all’articolo 6.4 delle CGV.

In mancanza di scelta espressa dal Cliente entro il termine ivi stabilito, i dati sono cancellati.

AI4PLAN può conservare registri tecnici pseudonimizzati a fini di sicurezza e di prova, nonché i dati la cui conservazione le è imposta dai propri obblighi legali, contabili e fiscali.

14. Obblighi del Cliente

Il Cliente garantisce:

• la liceità dei dati importati e l’esistenza di una base giuridica per il loro trattamento;
• il rispetto degli obblighi a suo carico in caso di introduzione di categorie particolari di dati, alle condizioni dell’articolo 4;
• la sicurezza del proprio ambiente;
• l’assenza di uso illecito o non conforme al servizio.

Il Cliente terrà indenne AI4PLAN per ogni danno derivante da:

• dati illegali o illeciti;
• introduzione non segnalata di categorie particolari di dati;
• una violazione imputabile al Cliente;
• un uso non conforme.

Tali obblighi integrano quelli previsti nelle CGV e nelle CGU.

15. Responsabilità

Tra le parti, la responsabilità di AI4PLAN a titolo del presente ATD è allineata al regime e ai massimali dell’articolo 9 delle CGV, senza limitazione specifica aggiuntiva.

Tale pattuizione non incide sul diritto degli interessati di ottenere il risarcimento dal titolare o dal responsabile del trattamento alle condizioni dell’articolo 82 del GDPR, né sulle sanzioni irrogate da un’autorità di controllo.

16. Gerarchia contrattuale

In caso di contrasto tra i documenti contrattuali, l’ordine di prevalenza è quello definito all’articolo 1 delle CGV: le CGV, poi le condizioni particolari convenute per iscritto, poi il presente ATD, poi le CGU, poi lo SLA.

Il presente ATD integra le CGV per gli elementi relativi al trattamento dei dati personali.

17. Contatto GDPR

rgpd@ai4plan.com

18. Conclusione dell’Accordo

Il presente ATD è redatto per iscritto in forma elettronica, conformemente all’articolo 28, paragrafo 9, del GDPR. Esso costituisce una componente del Contratto ed è accettato dal Cliente contestualmente alle CGV, alle condizioni e secondo le modalità di prova previste al loro articolo 1.

Non è richiesta alcuna firma autografa. AI4PLAN può tuttavia, su richiesta del Cliente, redigere un esemplare firmato del presente ATD.

Le Parti riconoscono che il presente ATD integra le CGV e si applica nei limiti da esse definiti.