Termini e condizioni

Versione 1.0 · 5 novembre 2026

Art. 1 – Definizioni

Nei presenti Termini e condizioni ("Condizioni") i termini seguenti hanno il significato indicato:

• Fornitore o AEVI: AEVI S.r.l., startup innovativa con sede in Via di San Tommaso d'Aquino 116, Roma, P.IVA 18486551007, titolare della piattaforma TwoMuch (in corso di deposito la domanda di registrazione del marchio).
• Piattaforma o Servizio: la piattaforma software TwoMuch, erogata in modalità SaaS (Software as a Service) e accessibile via web, comprensiva dei verticali TwoVector e delle relative funzionalità.
• TwoVector: ciascun verticale specializzato della Piattaforma dedicato a un ruolo professionale (es. TwoVector OdV231, TwoVector CS, TwoVector DPO).
• Cliente: l'impresa, la società o il professionista titolare di partita IVA che sottoscrive l'Abbonamento.
• Utente: la persona fisica autorizzata dal Cliente ad accedere alla Piattaforma con credenziali personali.
• Azienda cliente: l'ente o la società per cui il Cliente svolge un incarico e i cui dati e documenti sono gestiti nella Piattaforma.
• Contenuti del Cliente: documenti, file audio, testi, domande, dati anagrafici e ogni altro contenuto caricato o generato dal Cliente nella Piattaforma.
• Dataset proprietario: la raccolta di normativa, giurisprudenza e best practice selezionata e aggiornata dal Fornitore, su cui operano le funzionalità di intelligenza artificiale.
• Abbonamento: il piano a pagamento che dà diritto all'uso del Servizio per un periodo determinato.
• Fornitori terzi: i soggetti di cui il Fornitore si avvale per erogare il Servizio, indicati all'art. 12.
• Prestatore di servizi di pagamento: Stripe (Stripe Payments Europe, Limited e Stripe Technology Company, Limited, società irlandesi del gruppo Stripe), Fornitore terzo certificato PCI DSS tramite il quale avvengono tutti i pagamenti del Servizio (artt. 7.3 e 12.3).

Art. 2 – Oggetto e destinatari

2.1 Le presenti Condizioni regolano l'accesso e l'uso della Piattaforma e costituiscono, unitamente alla procedura di attivazione online, all'Accordo sul trattamento dei dati (art. 11) e all'Informativa agli utenti sui sistemi di intelligenza artificiale, il contratto tra Fornitore e Cliente ("Contratto").

2.2 Il Servizio è riservato a imprese e società, nonché a professionisti titolari di partita IVA, che agiscono nell'esercizio della propria attività imprenditoriale o professionale. Il Servizio non è destinato ai consumatori ai sensi del D.Lgs. n. 206/2005 (Codice del consumo). Con l'accettazione, il Cliente dichiara di agire per scopi imprenditoriali o professionali e di essere titolare di partita IVA.

2.3 In caso di contrasto, prevalgono nell'ordine: l'Accordo sul trattamento dei dati, eventuali condizioni particolari concordate per iscritto, le presenti Condizioni.

Art. 3 – Registrazione e account

3.1 Per usare il Servizio il Cliente crea un account fornendo dati veritieri, completi e aggiornati, e si impegna a comunicarne ogni variazione.

3.2 L'accesso avviene con nome utente, password e codice OTP (autenticazione a due fattori). Le credenziali sono personali e non cedibili. Il Cliente risponde della loro custodia e di ogni attività svolta con le stesse, e informa senza ritardo il Fornitore di qualsiasi uso non autorizzato scrivendo a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo..

3.3 Il Cliente può abilitare più Utenti secondo i limiti del piano sottoscritto e risponde del loro operato come del proprio.

Art. 4 – Descrizione del Servizio

4.1 La Piattaforma supporta il professionista nell'intero ciclo di lavoro sulle Aziende clienti. In base al piano sottoscritto comprende i moduli seguenti:

• Gestione aziende clienti e Rubrica: anagrafica di ogni Azienda cliente, incarico, referenti e recapiti.
• Assistente AI: risposte su normativa, giurisprudenza e best practice e analisi dei documenti, su tre livelli di fonti (Dataset proprietario, tutti i documenti dell'Azienda cliente, un solo documento), come descritto all'art. 5.
• Documenti aziendali: caricamento e indicizzazione di file PDF, DOCX, DOC, ODT e TXT fino a 64 MB ciascuno.
• Trascrizioni audio: trascrizione integrale di registrazioni (MP3, WAV, M4A, OGG, FLAC), sunto e individuazione degli impegni.
• Calendario: impegni e scadenze, inseriti manualmente dall'Utente oppure suggeriti dall'IA a partire da trascrizioni; gli impegni suggeriti entrano in calendario solo dopo la verifica e la conferma dell'Utente.
• Editor documentale: redazione di verbali, missive, relazioni e documenti formali, anche a partire da risposte dell'Assistente o da trascrizioni, ed esportazione in PDF.
• Firma elettronica: firma con autenticazione SPID o CIE, tramite il servizio di un Fornitore terzo (art. 6), dei documenti che l'Utente ha portato dallo stato "bozza" allo stato "definitivo" nell'Editor.
• Invio e memo programmati: invio via email dei documenti ai referenti indicati dal Cliente e programmazione di memo per i flussi informativi.

4.2 L'uso delle funzionalità di IA è soggetto a limiti giornalieri di consumo, espressi in token, indicati nel piano sottoscritto e visibili in tempo reale nella Piattaforma. Raggiunto il limite, le funzionalità interessate tornano disponibili dal giorno successivo; in alternativa il Cliente può acquistare pacchetti aggiuntivi di token alle condizioni pubblicate. I token aggiuntivi non sono rimborsabili.

4.3 Il Fornitore può aggiornare e migliorare il Servizio, anche modificando o sostituendo funzionalità, a condizione che le prestazioni essenziali del piano sottoscritto non siano ridotte in modo significativo. Le modifiche rilevanti sono comunicate con almeno 30 giorni di preavviso.

4.4 Il Servizio non comprende la consulenza professionale, legale o fiscale. Il Cliente rimane l'unico responsabile delle valutazioni e delle decisioni assunte nell'esercizio del proprio incarico.

Art. 5 – Funzionalità di intelligenza artificiale

5.1 Le funzionalità di IA usano un modello linguistico di grandi dimensioni (LLM) con architettura RAG: le risposte sono generate a partire dalle fonti scelte dall'Utente (Dataset proprietario, tutti i documenti dell'Azienda cliente o un solo documento). Il sistema non effettua ricerche sul web aperto. Il funzionamento, i limiti e i canali di segnalazione sono descritti nell'Informativa agli utenti sui sistemi di intelligenza artificiale, redatta ai sensi della norma ISO/IEC 42001:2023, che costituisce parte integrante del Contratto.

5.2 I contenuti generati dall'IA (risposte, sunti, bozze di documenti, impegni proposti) sono proposte e possono contenere errori, omissioni o riferimenti inesatti. Non costituiscono parere legale né consulenza professionale. Il Cliente si impegna a verificarli prima di usarli, firmarli o trasmetterli a terzi: le citazioni di norme e sentenze sul testo della fonte originale, i fatti, le date e le cifre sul documento da cui provengono, e non sulla sintesi prodotta dall'IA. La trasparenza sulle fonti offerta dalla Piattaforma agevola questo controllo ma non lo sostituisce. La valutazione giuridica, la decisione e la sottoscrizione restano in ogni caso dell'Utente, che ne risponde come per ogni altro atto del proprio incarico.

5.3 La Piattaforma non adotta decisioni automatizzate che producono effetti giuridici o incidono in modo significativo sul Cliente o su terzi. Ogni contenuto diventa documento, impegno, firma o invio solo dopo la revisione e la conferma dell'Utente.

5.4 I Contenuti del Cliente e i contenuti generati non sono mai usati per addestrare o perfezionare modelli di IA, né dal Fornitore né dai Fornitori terzi.

5.5 Il Fornitore aggiorna periodicamente il Dataset proprietario, tuttavia non garantisce che contenga in ogni momento le modifiche normative o gli orientamenti giurisprudenziali più recenti. La data dell'ultimo aggiornamento è indicata nella Piattaforma.

5.6 Uso previsto e sistemi ad alto rischio. Il Servizio è progettato come strumento di supporto all'attività professionale dei componenti degli organi di controllo e dei professionisti che li assistono e, in base a tale finalità prevista, non costituisce un sistema di IA ad alto rischio ai sensi dell'art. 6 e dell'Allegato III del Regolamento (UE) 2024/1689 (AI Act). È vietato usare il Servizio, e in particolare le funzionalità di IA, per finalità diverse da quelle previste e in ogni caso per: (a) valutare, selezionare, profilare o monitorare persone fisiche, inclusi lavoratori, candidati e segnalanti; (b) assumere decisioni relative ai rapporti di lavoro (assunzione, promozione, cessazione, assegnazione di compiti) o valutare le prestazioni e il comportamento dei lavoratori; (c) svolgere attività per conto di un'autorità giudiziaria o amministrativa, o decidere controversie, anche in sede arbitrale o di risoluzione alternativa delle controversie; (d) porre in essere pratiche vietate dall'art. 5 dell'AI Act; (e) elaborare dati non pertinenti all'incarico. Il Cliente che usa il Servizio per tali finalità, o lo modifica o integra in modo da renderlo un sistema ad alto rischio, assume ai sensi dell'art. 25 dell'AI Act tutti gli obblighi del fornitore, ne risponde in via esclusiva e tiene indenne il Fornitore ai sensi dell'art. 9.2. In questi casi il Fornitore può sospendere il Servizio (art. 15.2) e risolvere il Contratto (art. 15.3).

Art. 6 – Firma elettronica con autenticazione SPID e CIE

6.1 La funzione di firma, disponibile nei piani che la includono, è erogata tramite il servizio di un fornitore terzo specializzato (art. 12), soggetto aggregatore per l'accesso ai sistemi pubblici di identità digitale: ha stipulato con l'Agenzia per l'Italia Digitale (AgID) la convenzione per l'adesione dei fornitori di servizi privati al sistema SPID, ai sensi dell'art. 64 del CAD, ed è aderente al sistema di autenticazione "Entra con CIE".

6.2 Tipo di firma. Il servizio appone una firma elettronica ai sensi del Regolamento (UE) n. 910/2014 (eIDAS) e del D.Lgs. n. 82/2005 (Codice dell'Amministrazione Digitale), nel rispetto delle Linee Guida AgID in materia di formazione, gestione e conservazione dei documenti informatici, rafforzata da due elementi: l'autenticazione del firmatario con la propria identità SPID o CIE, con livello di sicurezza "significativo" (livello 2), e un audit trail che documenta in modo completo e verificabile l'intero processo di sottoscrizione (art. 6.3), a garanzia della non ripudiabilità dell'operazione. Non è una firma elettronica avanzata (FEA) né una firma elettronica qualificata o digitale (FEQ). Ai sensi dell'art. 20, comma 1-bis, del CAD, l'idoneità del documento così firmato a soddisfare la forma scritta e il suo valore probatorio sono liberamente valutabili in giudizio, in relazione alle caratteristiche di sicurezza, integrità e immodificabilità della soluzione. Il Cliente è responsabile della scelta di usare questa firma in relazione alla natura di ciascun documento e, per gli atti per cui la legge richiede la FEA, la FEQ o la firma digitale, ricorre a strumenti diversi.

6.3 Come funziona. La funzione di firma si attiva solo dopo che l'Utente ha portato il documento dallo stato "bozza" allo stato "definitivo" nell'Editor; selezionando "Firma" si avvia il processo di sottoscrizione. Il firmatario visualizza l'anteprima del documento, si autentica con SPID o CIE presso il proprio gestore di identità e conferma la sottoscrizione. Durante tutto il processo può visualizzare il documento e scaricarlo per consultarlo prima di firmare. Il servizio traccia e conserva digitalmente ogni passaggio in un audit trail, che comprende:

• i dati anagrafici del firmatario trasmessi dal gestore di identità (nome, cognome, codice fiscale e gli altri attributi previsti dalle regole AgID);
• la risposta del gestore di identità che certifica il riconoscimento (asserzione SAML2 firmata), con il livello di autenticazione usato;
• i dati tecnici della sessione: identificativo univoco della transazione, data e ora di richiesta, esito e risposta, indirizzo IP;
• le azioni compiute dal firmatario durante la procedura guidata (presa visione, accettazioni e conferme), ciascuna con data e ora;
• il documento informatico sottoscritto.

Al termine il servizio restituisce alla Piattaforma un archivio che contiene il documento PDF firmato e il relativo file di audit trail. Le evidenze delle autenticazioni (log e asserzioni SAML2) sono conservate dal fornitore del servizio in forma protetta, nei termini imposti dai regolamenti e dalle convenzioni AgID; in caso di cessazione del rapporto con il fornitore del servizio di firma, le evidenze di tracciamento degli ultimi 24 mesi sono consegnate al Fornitore, che le conserva per il periodo residuo, come previsto dall'art. 29 del Regolamento attuativo AgID in materia di SPID.

6.4 Conservazione. Il documento firmato e l'audit trail restituiti dal servizio di firma sono Contenuti del Cliente e sono archiviati dalla Piattaforma per suo conto (art. 11.2), senza alterarne il contenuto e con le misure di sicurezza dell'art. 11.4, per la durata dell'Abbonamento; alla cessazione si applica l'art. 11.9. Il Cliente può scaricarli in ogni momento, insieme, in un formato idoneo al versamento in un sistema di conservazione. La conservazione digitale a norma dei documenti firmati e delle evidenze del processo di firma (audit trail), ove richiesta dalla legge, resta a carico del Cliente. Prima della scadenza dell'Abbonamento il Fornitore ricorda al Cliente di scaricare i documenti firmati e i relativi audit trail.

6.5 Gestori di identità. I gestori dell'identità digitale SPID accreditati da AgID e l'Istituto Poligrafico e Zecca dello Stato per la CIE operano come titolari autonomi del trattamento. Il Fornitore non risponde di disservizi o malfunzionamenti dei sistemi SPID e CIE o dei relativi gestori.

Art. 7 – Abbonamento, corrispettivi e pagamento

7.1 Piani. Il Servizio è offerto in abbonamento secondo i piani, le funzionalità incluse, i limiti di consumo e i prezzi pubblicati su twomuch.eu al momento della sottoscrizione. I prezzi si intendono IVA esclusa.

7.2 Durata. L'Abbonamento ha durata mensile o annuale a scelta del Cliente a partire dalla data di attivazione.

7.3 Pagamento. Il pagamento è anticipato. Tutti i pagamenti, sia per l'Abbonamento sia per i pacchetti aggiuntivi di token, avvengono esclusivamente tramite un prestatore di servizi di pagamento terzo, con i metodi da questo resi disponibili in fase di acquisto. I dati della carta sono trattati direttamente dal prestatore, certificato PCI DSS Service Provider Level 1: il Fornitore non conosce né conserva i numeri completi delle carte. Il Cliente autorizza l'addebito automatico dei corrispettivi alle scadenze previste. Il ruolo del prestatore nel trattamento dei dati è descritto all'art. 12.3.

7.4 Fatturazione. Il Fornitore emette fattura elettronica per ogni corrispettivo incassato, sulla base dei dati fiscali indicati dal Cliente (ragione sociale, P.IVA, codice destinatario o PEC).

7.5 Rinnovo automatico. Alla scadenza l'Abbonamento si rinnova automaticamente per un periodo di uguale durata, salvo disdetta del Cliente inviata a mezzo PEC all'indirizzo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. entro i seguenti termini: per gli abbonamenti annuali, almeno 60 giorni prima della scadenza naturale; per gli abbonamenti mensili, almeno 5 giorni lavorativi prima della scadenza naturale. La disdetta ha effetto alla fine del periodo in corso.

7.6 Rimborsi. I corrispettivi pagati, compresi quelli per i pacchetti aggiuntivi di token, non sono rimborsabili, neppure in parte, in caso di disdetta, recesso o mancato utilizzo, salvo i casi inderogabili previsti dalla legge.

7.7 Mancato pagamento. Il Servizio e i pacchetti aggiuntivi di token si attivano solo a pagamento avvenuto: se il primo pagamento o l'acquisto di un pacchetto non va a buon fine, non sono attivati. Se non va a buon fine l'addebito di un rinnovo, il Fornitore ne informa il Cliente e ritenta l'incasso. Trascorsi 7 giorni senza pagamento, il Fornitore può sospendere l'accesso al Servizio fino alla regolarizzazione, conservando i Contenuti del Cliente secondo l'art. 11.9. Sulle somme non pagate alla scadenza decorrono, senza necessità di costituzione in mora, gli interessi moratori previsti dal D.Lgs. n. 231/2002, oltre al rimborso dei costi di recupero ai sensi dell'art. 6 dello stesso decreto.

7.8 Variazioni di prezzo. Il Fornitore può modificare i prezzi dell'Abbonamento comunicandolo al Cliente via email e/o in Piattaforma con un preavviso di almeno 30 giorni per i piani mensili e di almeno 90 giorni per i piani annuali rispetto alla scadenza. Le variazioni si applicano solo dal rinnovo successivo e non incidono sul periodo già pagato. Il Cliente che non le accetta può disdire l'Abbonamento con le modalità dell'art. 7.5. Le variazioni del prezzo dei pacchetti aggiuntivi di token valgono per gli acquisti successivi alla loro pubblicazione nella Piattaforma.

7.9 Cambio di piano. Il Cliente può passare a un piano superiore in qualsiasi momento, con addebito della differenza calcolata in proporzione al periodo residuo; il passaggio a un piano inferiore ha effetto dal rinnovo successivo.

Art. 8 – Obblighi e uso consentito

8.1 Il Cliente usa il Servizio nel rispetto della legge, delle presenti Condizioni e degli obblighi deontologici e di riservatezza propri del suo incarico. In particolare si impegna a:

• caricare solo Contenuti che ha il diritto di trattare e che sono pertinenti e necessari all'incarico;
• non usare il Servizio per finalità illecite, per inviare comunicazioni indesiderate o per violare diritti di terzi;
• non tentare di accedere ad aree, dati o account non autorizzati, né di aggirare i limiti tecnici o di consumo;
• non decompilare, copiare o rivendere il Servizio, né estrarre in modo massivo il Dataset proprietario;
• non usare il Servizio per sviluppare prodotti concorrenti o per addestrare altri modelli di IA;
• usare le funzionalità di IA secondo l'uso previsto, i limiti e le avvertenze indicati nell'Informativa agli utenti sui sistemi di intelligenza artificiale redatta ai sensi della norma ISO/IEC 42001:2023 (art. 5.1), senza impiegarle per gli usi che l'Informativa indica come non previsti.

8.2 In caso di violazione grave il Fornitore può sospendere l'account, dandone comunicazione motivata al Cliente, e risolvere il Contratto ai sensi dell'art. 15.

Art. 9 – Contenuti del Cliente

9.1 Il Cliente può caricare nella Piattaforma solo Contenuti che ha il diritto di caricare e di trattare, in base alla legge, al proprio incarico e alle autorizzazioni ricevute; la verifica di tale diritto spetta esclusivamente al Cliente, che ne risponde ai sensi dell'art. 9.2. I Contenuti caricati dal Cliente restano di sua proprietà. Il Cliente concede al Fornitore, per la sola durata del Contratto, il diritto di conservarli ed elaborarli nella misura strettamente necessaria ad erogare il Servizio.

9.2 Garanzie e manleva. Il Cliente garantisce di avere tutti i diritti e le autorizzazioni necessari sui Contenuti caricati, che il loro caricamento e trattamento nella Piattaforma è lecito e che il Servizio è usato da lui e dagli Utenti nel rispetto della legge e delle presenti Condizioni. Il Cliente risponde dell'operato degli Utenti anche ai sensi dell'art. 1381 c.c. e tiene indenne il Fornitore, i suoi amministratori, dipendenti e collaboratori da qualsiasi pretesa, azione, danno, sanzione o spesa, comprese le spese legali, derivante da: (a) i Contenuti caricati e la loro eventuale illiceità o lesività di diritti di terzi; (b) l'uso dei contenuti generati dall'IA, compresi gli errori non rilevati per mancata o inadeguata verifica (art. 5.2); (c) la violazione dell'art. 5.6 e degli obblighi previsti dal Regolamento (UE) 2024/1689 a carico del Cliente; (d) la violazione della normativa sulla protezione dei dati personali; (e) la violazione delle presenti Condizioni da parte del Cliente o degli Utenti; (f) dati fiscali o di fatturazione errati o non aggiornati.

9.3 I documenti, i testi e gli altri contenuti generati per il Cliente con le funzionalità della Piattaforma possono essere liberamente usati dal Cliente, che ne assume la responsabilità per l'uso che ne fa.

Art. 10 – Proprietà intellettuale

10.1 La Piattaforma, il software, il Dataset proprietario, le denominazioni e i segni distintivi TwoMuch e TwoVector, la grafica e la documentazione sono di titolarità esclusiva del Fornitore o dei suoi licenzianti. Per TwoMuch è in corso di deposito la domanda di registrazione come marchio.

10.2 Il Contratto attribuisce al Cliente un diritto d'uso del Servizio non esclusivo, non trasferibile e limitato alla durata dell'Abbonamento. Nessun altro diritto è concesso.

10.3 Suggerimenti e segnalazioni del Cliente sul Servizio possono essere usati dal Fornitore per migliorarlo, senza obbligo di compenso.

10.4 Referenze commerciali. Il Fornitore può indicare la denominazione e il logo del Cliente tra le proprie referenze commerciali, sul sito e nei materiali promozionali, per la durata del Contratto. Non sono in nessun caso indicate le Aziende clienti né gli incarichi svolti dal Cliente. Il Cliente può opporsi in qualsiasi momento scrivendo a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.; il Fornitore rimuove la referenza entro 15 giorni.

Art. 10-bis – Riservatezza

10-bis.1 Sono Informazioni riservate le informazioni di natura tecnica, commerciale, finanziaria o legale che una parte comunica all'altra in relazione al Contratto e che sono indicate come riservate o lo sono per loro natura. Sono in ogni caso riservati: per il Cliente, i Contenuti del Cliente e le informazioni sulle Aziende clienti; per il Fornitore, il software, il Dataset proprietario, la documentazione tecnica e di sicurezza, le configurazioni dei modelli e le condizioni economiche.

10-bis.2 La parte che riceve Informazioni riservate si impegna a: usarle solo per eseguire il Contratto; non comunicarle a terzi senza il consenso scritto dell'altra parte; proteggerle con misure almeno pari a quelle usate per le proprie e comunque adeguate; limitarne l'accesso a dipendenti, collaboratori, consulenti e Fornitori terzi che ne abbiano necessità e siano vincolati a obblighi di riservatezza almeno equivalenti.

10-bis.3 Gli obblighi non si applicano alle informazioni che la parte ricevente dimostra essere di pubblico dominio per cause a lei non imputabili, già in suo possesso senza vincoli di riservatezza o da lei sviluppate autonomamente.

10-bis.4 Se una parte è tenuta per legge o per ordine di un'autorità a comunicare Informazioni riservate, ne informa l'altra parte, ove consentito, entro 48 ore e limita la comunicazione a quanto strettamente richiesto.

10-bis.5 Gli obblighi di riservatezza restano in vigore per 5 anni dalla cessazione del Contratto e, per i Contenuti del Cliente e i dati personali, senza limiti di tempo.

Art. 11 – Protezione dei dati personali e sicurezza informatica

11.1 Principio. La protezione dei dati è posta alla base della Piattaforma fin dalla sua progettazione (privacy by design e by default, art. 25 GDPR). Il Fornitore adotta un sistema di gestione conforme alle norme ISO/IEC 27001:2022 (sicurezza delle informazioni) e ISO/IEC 42001:2023 (sistemi di gestione dell'IA).

11.2 Ruoli.

• Per i dati dell'account, della fatturazione e dei pagamenti, dell'assistenza, per i log di sicurezza e per i dati di identità usati nell'autenticazione SPID/CIE del firmatario e i relativi tracciamenti previsti dalle regole AgID, nonché per le comunicazioni commerciali e le referenze commerciali (art. 10.4), il Fornitore agisce come titolare del trattamento e rende le informazioni previste dagli artt. 13 e 14 GDPR nell'Informativa privacy, di cui il Cliente dichiara di aver preso visione.
• Per i Contenuti del Cliente che contengono dati personali (ad esempio documenti, verbali e trascrizioni dell'Azienda cliente, documenti firmati e relativi audit trail, dati dei referenti), il titolare è il Cliente oppure, quando il Cliente opera per conto di un ente (ad esempio come componente dell'Organismo di Vigilanza, che secondo il Garante privacy agisce come soggetto autorizzato dell'ente), l'ente stesso. Il Fornitore agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR o, quando il Cliente è a sua volta responsabile, come sub-responsabile. Il Cliente cura il rapporto con l'Azienda cliente in materia di protezione dei dati; si applica l'art. 3.7 dell'Accordo sul trattamento dei dati. In attuazione del principio di minimizzazione (art. 5, par. 1, lett. c GDPR), il Cliente carica nella Piattaforma solo i dati personali necessari alle proprie finalità e, quando possibile, anonimizza o pseudonimizza i documenti prima del caricamento, ad esempio sostituendo i nominativi con le iniziali o ruoli aziendali.
• Il trattamento svolto per conto del Cliente è regolato dall'Accordo sul trattamento dei dati (Data Processing Agreement), allegato alle presenti Condizioni, che ne costituisce parte integrante ed è accettato con esse.

11.3 Impegni del Fornitore come responsabile. Il Fornitore tratta i dati solo su istruzione documentata del Cliente e per erogare il Servizio; vincola alla riservatezza il personale autorizzato; nomina e verifica gli amministratori di sistema; assiste il Cliente nell'esercizio dei diritti degli interessati, nelle valutazioni d'impatto (DPIA) e negli adempimenti di sicurezza; mette a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consente verifiche secondo l'Accordo sul trattamento dei dati.

11.4 Misure di sicurezza. Il Fornitore adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• cifratura dei dati in transito (HTTPS/TLS) e a riposo, sia nei database sia nello storage dei documenti;
• autenticazione a due fattori con codice OTP;
• separazione logica dei dati per Cliente e per Azienda cliente;
• infrastruttura dedicata, con server separati per funzione, firewall perimetrale dedicato e rete segmentata tra componenti di presentazione, applicativi e di database;
• gestione di ruoli e controllo degli accessi per progetto e per Azienda cliente, secondo il principio del privilegio minimo, con registrazione degli eventi di sicurezza e degli accessi amministrativi;
• backup automatici e cifrati, conservati in un sito geograficamente separato, con procedure di ripristino e di continuità operativa;
• aggiornamento costante dei sistemi e gestione delle vulnerabilità e test di penetrazione;
• fornitori infrastrutturali certificati ISO/IEC 27001, 27017 e 27018 e qualificati dall'Agenzia per la Cybersicurezza Nazionale (ACN) come fornitori di servizi cloud per la PA (art. 12); autenticazione SPID e CIE e firma erogate da un aggregatore convenzionato con AgID (art. 6).

11.5 Intelligenza artificiale. Indicizzazione dei documenti, ricerca nelle fonti e generazione dei documenti avvengono sull'infrastruttura della Piattaforma. Al servizio che esegue i modelli linguistici, su infrastruttura in Italia, sono inviati tramite connessione cifrata solo i contenuti strettamente necessari a elaborare ciascuna richiesta, con politica di zero data retention: domande e risposte sono elaborate in memoria e cancellate dopo la risposta, senza conservazione su disco né registrazione nei log del fornitore dei modelli. I contenuti non sono mai usati per addestrare modelli.

11.6 Localizzazione dei dati. I server di produzione della Piattaforma si trovano in Italia e i dati sono trattati sotto la giurisdizione dell'Unione europea. Per garantire la separazione geografica e il ripristino in caso di disastro, le sole copie di backup, cifrate, sono conservate in Svizzera, Paese riconosciuto dalla Commissione europea come in grado di assicurare un livello di protezione adeguato (decisione 2000/518/CE, che resta in vigore ai sensi dell'art. 45, par. 9, GDPR). Nella relazione del 15 gennaio 2024 sul primo riesame delle decisioni di adeguatezza (COM(2024) 7 final) la Commissione ha confermato: «Sulla base delle constatazioni complessive esposte nel documento di lavoro dei servizi della Commissione, la Commissione conclude che la Svizzera continua a fornire un livello adeguato di protezione dei dati personali trasferiti dall'UE». I soli dati di pagamento possono essere trasferiti dal Prestatore di servizi di pagamento verso Paesi terzi, tra cui gli Stati Uniti, sulla base delle garanzie previste dagli artt. 44 e seguenti del GDPR (EU-US Data Privacy Framework e clausole contrattuali tipo), come indicato all'art. 12.

11.7 Sub-responsabili. Il Cliente autorizza in via generale il Fornitore ad avvalersi dei sub-responsabili indicati per categoria all'art. 12. Il Fornitore comunica con almeno 15 giorni di preavviso l'aggiunta o la sostituzione di un sub-responsabile; il Cliente può opporsi per motivi legittimi e, in mancanza di soluzione, recedere senza penali.

11.8 Violazioni dei dati. In caso di violazione di dati personali trattati per conto del Cliente, il Fornitore ne dà notizia al Cliente senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, con le informazioni disponibili sulla natura della violazione, le conseguenze probabili e le misure adottate, per consentire al Cliente di notificarla al Garante entro 72 ore (art. 33 GDPR).

11.9 Conservazione e cancellazione. I Contenuti del Cliente sono conservati per la durata del Contratto; il Cliente mantiene il controllo sul ciclo di vita dei propri dati e può cancellarli in ogni momento. Alla cessazione il Cliente può esportarli per 30 giorni; decorso tale termine sono cancellati in modo sicuro dai sistemi di produzione e, secondo i cicli tecnici di rotazione, dalle copie di backup entro 180 giorni dalla cessazione, salva la conservazione dei dati necessari al Fornitore per adempiere a obblighi di legge (ad esempio i log e le evidenze relative alle autenticazioni SPID/CIE, conservati dal fornitore del servizio di firma secondo le regole AgID).

11.10 Obblighi del Cliente. Il Cliente garantisce la liceità dei trattamenti che affida al Fornitore, custodisce le credenziali e segnala senza ritardo qualsiasi incidente di sicurezza di cui venga a conoscenza a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo..

11.11 Responsabile della protezione dei dati. Il Fornitore sta individuando il proprio responsabile della protezione dei dati (DPO); i relativi contatti saranno pubblicati nell'Informativa privacy.

Art. 12 – Fornitori terzi e sub-responsabili

12.1 Per erogare il Servizio il Fornitore si avvale dei Fornitori terzi indicati di seguito per categoria, selezionati per le garanzie di sicurezza e protezione dei dati e vincolati da accordi conformi all'art. 28 GDPR quando trattano dati per conto del Cliente.

12.2 L'elenco aggiornato dei sub-responsabili è inviato al Cliente che ne fa richiesta scritta a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. o via PEC a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.. Il Fornitore risponde verso il Cliente dell'operato dei propri sub-responsabili nei limiti previsti dall'art. 28, paragrafo 4, GDPR.

12.3 Pagamenti. Il prestatore di servizi di pagamento è l'unico strumento di pagamento del Servizio. Per i dati di pagamento ha un doppio ruolo: (a) responsabile del trattamento del Fornitore, quando elabora i pagamenti per suo conto, sulla base del Data Processing Agreement di Stripe, che include per i trasferimenti verso Paesi terzi le clausole contrattuali tipo del Data Transfers Addendum; (b) titolare autonomo per le proprie finalità, tra cui prevenzione delle frodi e sicurezza, adempimenti antiriciclaggio e di verifica della clientela, controlli sulle sanzioni internazionali e altri obblighi di legge, miglioramento dei propri servizi. Per queste finalità si applica l'informativa privacy di Stripe; i relativi diritti si esercitano verso Stripe. Il Fornitore non conosce né conserva i dati completi delle carte di pagamento e riceve dal prestatore solo le informazioni necessarie alla gestione amministrativa del pagamento (ad esempio esito, importo, data e metodo usato).

Art. 13 – Disponibilità del Servizio e assistenza

13.1 Il Fornitore si impegna a mantenere il Servizio disponibile 24 ore su 24, 7 giorni su 7, con l'obiettivo di una disponibilità del 99% su base mensile, e garantisce in ogni caso una disponibilità minima del 90% su base mensile. Sono esclusi dal calcolo: gli interventi di manutenzione programmata, comunicati con almeno 48 ore di preavviso e svolti preferibilmente in orari di basso utilizzo; le manutenzioni ordinarie che non bloccano l'uso del Servizio; le cause di forza maggiore; i disservizi imputabili a Fornitori terzi o a reti e servizi esterni (infrastruttura cloud, servizi di IA, email, connettività, servizio di firma, sistemi SPID e CIE); l'uso improprio della Piattaforma da parte degli Utenti. Il mancato raggiungimento della soglia minima non dà diritto a penali o rimborsi, salvo quanto previsto dall'art. 14.

13.2 La disponibilità può essere limitata da cause non imputabili al Fornitore, quali malfunzionamenti della rete internet, dei sistemi SPID e CIE, dei Fornitori terzi o eventi di forza maggiore.

13.3 L'assistenza è fornita via email a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. nei giorni lavorativi, dalle 9 alle 18. Il Fornitore prende in carico le richieste entro 1 giorno lavorativo.

Art. 14 – Responsabilità

14.1 Il Fornitore risponde del corretto funzionamento della Piattaforma secondo le presenti Condizioni. Non risponde dei contenuti generati dall'IA, dell'uso che il Cliente ne fa, delle decisioni professionali assunte dal Cliente, né dei Contenuti caricati dal Cliente.

14.2 Salvo dolo o colpa grave (art. 1229 c.c.), la responsabilità complessiva del Fornitore per danni connessi al Contratto non supera l'importo dei corrispettivi pagati dal Cliente nei 12 mesi precedenti l'evento. Sono esclusi i danni indiretti, il lucro cessante, la perdita di opportunità e la perdita di dati non imputabile a inadempimento del Fornitore.

14.3 Il Cliente è invitato a esportare periodicamente i documenti di maggiore importanza.

Art. 15 – Durata, sospensione e risoluzione

15.1 Il Contratto ha la durata dell'Abbonamento e dei suoi rinnovi.

15.2 Il Fornitore può sospendere il Servizio, con comunicazione al Cliente, in caso di mancato pagamento (art. 7.7), di violazione grave degli artt. 5.6 o 8 o per esigenze urgenti di sicurezza.

15.3 Il Fornitore può risolvere di diritto il Contratto ai sensi dell'art. 1456 c.c., mediante comunicazione via PEC al Cliente, in caso di: (a) mancato pagamento protratto per oltre 30 giorni dalla scadenza; (b) violazione degli artt. 5.6, 8 o 10-bis; (c) violazione delle garanzie dell'art. 9.2 o degli obblighi in materia di protezione dei dati personali a carico del Cliente; (d) sospensione ai sensi dell'art. 15.2 protratta per oltre 60 giorni per causa imputabile al Cliente. In tali casi non è dovuto alcun rimborso dei corrispettivi già pagati, salvo il risarcimento del maggior danno.

15.4 Alla cessazione si applica l'art. 11.9 sull'esportazione e la cancellazione dei Contenuti; in caso di passaggio ad altro fornitore si applica l'art. 15-bis.

Art. 15-bis – Passaggio ad altro fornitore e portabilità dei dati

15-bis.1 Diritto al passaggio. Ai sensi del capo VI del Regolamento (UE) 2023/2854 (Data Act), il Cliente può in qualsiasi momento chiedere di: (a) trasferire i Dati esportabili a un altro fornitore di servizi di trattamento dei dati; (b) trasferirli su una propria infrastruttura; (c) ottenerne la cancellazione. La richiesta è inviata via PEC a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo., con un preavviso massimo di 2 mesi; il Fornitore la riscontra senza ingiustificato ritardo.

15-bis.2 Dati esportabili. Sono Dati esportabili tutti i Contenuti del Cliente e i contenuti generati per il Cliente con la Piattaforma, tra cui: documenti caricati, conversazioni con l'Assistente, trascrizioni e sunti, documenti redatti nell'Editor, impegni del calendario, anagrafiche delle Aziende clienti e dei referenti, documenti firmati con i relativi audit trail. Sono esportati in formati strutturati, di uso comune e leggibili da dispositivo automatico (es. PDF, DOCX, CSV e JSON). Sono esclusi il software, il dataset proprietario, le configurazioni dei modelli e ogni altro elemento protetto da diritti di proprietà intellettuale o da segreto commerciale del Fornitore o di terzi (art. 10 e 10-bis).

15-bis.3 Periodo transitorio. Il passaggio si conclude entro un periodo transitorio di 30 giorni dalla fine del preavviso, durante il quale il Contratto resta in vigore e il Fornitore: (a) presta al Cliente e al fornitore da lui indicato un'assistenza ragionevole; (b) garantisce la continuità del Servizio; (c) informa il Cliente dei rischi noti per la continuità; (d) mantiene un livello elevato di sicurezza, anche durante il trasferimento. I Dati esportabili sono consegnati tramite download protetto o canale cifrato: la cifratura usata per proteggere i dati non ne impedisce la consegna in chiaro al Cliente o al soggetto da lui autorizzato.

15-bis.4 Impossibilità tecnica e proroga. Se il passaggio entro 30 giorni è tecnicamente impossibile, il Fornitore lo comunica al Cliente entro 14 giorni lavorativi dalla richiesta, spiegandone i motivi e indicando un periodo transitorio alternativo non superiore a 7 mesi. Il Cliente può prorogare una sola volta il periodo transitorio, per il tempo che ritiene adeguato.

15-bis.5 Recupero e cancellazione. Al termine del periodo transitorio il Cliente dispone di almeno 30 giorni per recuperare i Dati esportabili. Decorso tale periodo, o completato il passaggio, il Fornitore cancella i Dati esportabili secondo l'art. 11.9 e, su richiesta, ne attesta per iscritto la cancellazione.

15-bis.6 Cessazione e corrispettivi. Il Contratto cessa al completamento del passaggio o della cancellazione. Il passaggio è gratuito. Restano dovuti, e non sono rimborsabili ai sensi dell'art. 7.6, i corrispettivi relativi al periodo di Abbonamento in corso.

15-bis.7 Informazioni e collaborazione. Il Fornitore fornisce su richiesta, le informazioni sulle procedure, i metodi e i formati disponibili per il passaggio. Il Cliente collabora in buona fede con il Fornitore e con il nuovo fornitore per consentire un trasferimento tempestivo e sicuro. Il presente articolo prevale, per le parti incompatibili, sugli artt. 11.9 e 15.4.

Art. 16 – Modifiche delle Condizioni

16.1 Il Fornitore può modificare le presenti Condizioni per adeguarle a novità normative, tecniche o di servizio. Le modifiche sono comunicate con almeno 30 giorni di preavviso via email e nella Piattaforma. Il Cliente che non le accetta può recedere prima della loro entrata in vigore, senza penali e con rimborso della parte di corrispettivo non goduta.

Art. 17 – Comunicazioni

17.1 Le comunicazioni al Fornitore sono inviate a Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.; la disdetta e le comunicazioni con effetti contrattuali sono inviate a mezzo PEC all'indirizzo Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.. Le comunicazioni al Cliente sono inviate all'email indicata nell'account o mostrate nella Piattaforma.

Art. 18 – Disposizioni generali

18.1 Il Cliente non può cedere il Contratto senza il consenso scritto del Fornitore. Il Fornitore può cedere il Contratto, in tutto o in parte, anche nell'ambito di operazioni di cessione o conferimento d'azienda o di ramo d'azienda, fusione o scissione: il Cliente vi presta fin d'ora il consenso ai sensi dell'art. 1407 c.c. e la cessione ha effetto dalla comunicazione scritta al Cliente. L'eventuale invalidità di una clausola non incide sulle altre.

Art. 19 – Legge applicabile e foro competente

19.1 Il Contratto è regolato dalla legge italiana.

19.2 Per ogni controversia relativa al Contratto è competente in via esclusiva il Foro di Roma.

Approvazione specifica delle clausole

Ai sensi degli artt. 1341 e 1342 del Codice civile, il Cliente dichiara di aver letto e di approvare specificamente le seguenti clausole: art. 4.3 (modifiche del Servizio); art. 5.2 (natura dei contenuti generati dall'IA); art. 5.6 (usi vietati e assunzione degli obblighi del fornitore); art. 6.2, 6.4 e 6.5 (tipo di firma, conservazione e gestori di identità); art. 7.5 (rinnovo automatico); art. 7.6 (esclusione dei rimborsi); art. 7.7 e 15.2 (sospensione); art. 7.8 (variazioni di prezzo); art. 9.2 (garanzia e manleva); art. 11.7 (autorizzazione generale ai sub-responsabili); art. 13.1 e 13.2 (livelli e limitazioni di disponibilità); art. 14 (limitazioni di responsabilità); art. 15.3 (clausola risolutiva espressa); art. 16 (modifiche delle Condizioni); art. 18.1 (cessione del Contratto); art. 19.2 (foro competente).