ACCORDO SUL TRATTAMENTO DEI DATI PERSONALI

Art. 1 —Parti, conclusione e documenti

1.1 Il presente accordo (l'«Accordo») è concluso tra:

a)Millesia Srl, con sede in via Giulio Uberti 34, 20900 Monza (MB), partita IVA e codice fiscale 92639039996, iscritta al Registro delle imprese di Milano Monza Brianza Lodi, REA MB-2058412, capitale sociale euro 2.000,00 interamente versato, PEC amministrazione@pec.millesia.net, in persona del legale rappresentante pro tempore («Millesia»); e

b)il soggetto che sottoscrive l'abbonamento alla Piattaforma, quale identificato nell'ordine e nei dati di fatturazione (il «Cliente»).

1.2 L'Accordo integra le CONDIZIONI DI SERVIZIO e si intende concluso per iscritto, ai sensi dell'art. 28, par. 9, GDPR, mediante l'accettazione in forma elettronica prestata dal Cliente in sede di attivazione dell'abbonamento, di cui Millesia conserva evidenza con data e ora. Su richiesta del Cliente, Millesia mette a disposizione copia dell'Accordo sottoscrivibile con firma elettronica.

1.3 In caso di contrasto tra l'Accordo e le Condizioni di servizio, l'Accordo prevale limitatamente al trattamento dei dati personali di cui all'art. 3.

1.4 Costituiscono parte integrante dell'Accordo:

a)l'Allegato A — Dettagli del trattamento;

b)l'Allegato B — Misure tecniche e organizzative;

c)l'elenco dei Sub-responsabili pubblicato nella pagina CHI TOCCA I TUOI DATI.

Art. 2 —Definizioni

2.1 Ai fini dell'Accordo si intende per:

a)«GDPR»: il Regolamento (UE) 2016/679;

b)«Piattaforma»: il servizio software denominato Millesia, erogato in modalità SaaS;

c)«Dati del Cliente»: i dati personali che il Cliente tratta mediante la Piattaforma, compresi quelli relativi ai condomìni amministrati;

d)«Interessato»: la persona fisica cui si riferiscono i Dati del Cliente;

e)«Sub-responsabile»: il soggetto di cui Millesia si avvale per il trattamento dei Dati del Cliente;

f)«Violazione»: la violazione di dati personali ai sensi dell'art. 4, n. 12, GDPR.

2.2 I termini non definiti hanno il significato loro attribuito dal GDPR e dalle Condizioni di servizio.

Art. 3 —Ruoli delle parti

3.1 Il Cliente agisce in qualità di titolare del trattamento ovvero, ove il ruolo di titolare spetti al condominio amministrato, in qualità di responsabile del trattamento per conto di quest'ultimo.

3.2 Millesia agisce, corrispondentemente, in qualità di responsabile o di sub-responsabile del trattamento e non determina finalità o mezzi propri in relazione ai Dati del Cliente.

3.3 Millesia agisce in qualità di titolare del trattamento in relazione ai dati relativi all'account, al contratto, alla fatturazione e all'assistenza, secondo quanto indicato nella pagina PRIVACY DELLA PIATTAFORMA. Tali trattamenti non sono oggetto dell'Accordo.

3.4 Le parti prendono atto che il Garante per la protezione dei dati personali, con provvedimento n. 209 del 10 aprile 2025, ha avviato una consultazione pubblica sulle «Linee guida sul trattamento dei dati personali nell'ambito del condominio». Ove le linee guida siano adottate in via definitiva con una diversa ripartizione dei ruoli, ciascuna parte può chiedere l'adeguamento dell'Accordo; Millesia ne propone il testo aggiornato con un preavviso di almeno trenta giorni e si applica la procedura di cui all'art. 14.

Art. 4 —Durata

4.1 L'Accordo ha efficacia dalla data di attivazione dell'abbonamento e per l'intera durata dello stesso.

4.2 L'Accordo continua ad applicarsi, dopo la cessazione dell'abbonamento, fino al completamento delle operazioni di restituzione e cancellazione di cui all'art. 11.

Art. 5 —Oggetto e istruzioni del Cliente

5.1 La natura, le finalità, le categorie di Interessati e le categorie di dati oggetto del trattamento sono indicate nell'Allegato A.

5.2 Millesia tratta i Dati del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente — art. 28, par. 3, lett. a, GDPR. Costituiscono istruzioni documentate le Condizioni di servizio, l'Accordo, la documentazione del servizio e le richieste impartite dal Cliente mediante la Piattaforma.

5.3 Millesia informa senza indugio il Cliente qualora ritenga che un'istruzione violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati, e può sospenderne l'esecuzione fino al chiarimento.

5.4 Qualora Millesia sia tenuta per legge a un trattamento non previsto dalle istruzioni del Cliente, ne informa il Cliente prima di procedere, salvo che la legge lo vieti.

5.5 Millesia non effettua profilazione degli Interessati né decisioni basate unicamente su trattamenti automatizzati ai sensi dell'art. 22 GDPR, non comunica i Dati del Cliente a terzi al di fuori di quanto previsto dall'art. 8, non li utilizza per finalità proprie, non li utilizza per l'addestramento di modelli di intelligenza artificiale e non li aggrega con i dati di altri Clienti.

5.6 Il Cliente è responsabile della liceità del trattamento, dell'individuazione delle basi giuridiche, dell'informativa agli Interessati e, ove necessario, della raccolta del consenso.

Art. 6 —Funzioni che impiegano l'intelligenza artificiale

6.1 Su istruzione del Cliente, la Piattaforma impiega un modello linguistico di intelligenza artificiale fornito dal Sub-responsabile indicato nell'elenco per lo smistamento della corrispondenza, la redazione di bozze di risposta e l'assistente sui dati dello studio.

6.2 Al modello sono trasmessi i soli dati necessari alla singola operazione richiesta. Per lo smistamento della corrispondenza la trasmissione comprende il contenuto del messaggio ricevuto, prima che ne sia individuato il condominio di riferimento.

6.3 Il calcolo di millesimi, riparti, adeguamenti ISTAT, saldi e chiusure è effettuato senza impiegare il modello.

6.4 Le funzioni producono proposte e bozze; nessuna comunicazione è inviata e nessuna registrazione è resa definitiva senza l'intervento di una persona incaricata dal Cliente.

6.5 I dati trasmessi al modello non sono utilizzati per l'addestramento e sono conservati dal fornitore secondo i termini standard del medesimo, che ne prevedono la cancellazione entro trenta giorni, salvo i casi previsti dalle condizioni del fornitore.

6.6 La Piattaforma contrassegna i contenuti generati mediante intelligenza artificiale. Restano fermi gli obblighi che il Regolamento (UE) 2024/1689 pone a carico del Cliente in relazione all'uso che ne fa, compresa l'informazione agli Interessati ove prevista.

Art. 7 —Riservatezza, personale autorizzato e accessi

7.1 Millesia garantisce che le persone autorizzate al trattamento dei Dati del Cliente si siano impegnate per iscritto alla riservatezza e che l'autorizzazione sia limitata a quanto necessario alle rispettive mansioni — art. 28, par. 3, lett. b, GDPR.

7.2 Il personale di Millesia accede ai Dati del Cliente esclusivamente per fornire assistenza su segnalazione del Cliente o per un intervento tecnico indifferibile.

7.3 Ogni accesso è registrato con data, ora, operatore e motivo. Il registro è consultabile dal Cliente ed è conservato per dodici mesi.

Art. 8 —Sub-responsabili

8.1 Il Cliente autorizza in via generale Millesia a ricorrere ai Sub-responsabili indicati nell'elenco pubblicato nella pagina CHI TOCCA I TUOI DATI — art. 28, par. 2, GDPR.

8.2 Millesia stipula con ciascun Sub-responsabile un accordo che impone obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dall'Accordo e resta responsabile del rispetto di tali obblighi — art. 28, par. 4, GDPR.

8.3 Millesia comunica al Cliente ogni aggiunta o sostituzione di Sub-responsabili con un preavviso di almeno trenta giorni, indicando l'identità del nuovo Sub-responsabile, l'attività svolta e il luogo del trattamento. Qualora il termine di preavviso concesso a Millesia dal proprio fornitore sia inferiore, Millesia informa il Cliente senza indugio dalla ricezione della comunicazione, indicandone la data.

8.4 Entro il termine di preavviso il Cliente può opporsi per motivi ragionevoli attinenti alla protezione dei dati. In caso di opposizione le parti ricercano in buona fede una soluzione alternativa. Ove non sia raggiunta entro trenta giorni, il Cliente può recedere dall'abbonamento senza penali, con restituzione della quota di canone non goduta e con l'esportazione dei dati secondo l'art. 11.

8.5 L'elenco è aggiornato prima che il nuovo Sub-responsabile inizi a trattare i Dati del Cliente.

Art. 9 —Trasferimenti verso Paesi terzi

9.1 I Dati del Cliente sono trasferiti verso Paesi terzi limitatamente a quanto necessario all'erogazione della Piattaforma, secondo quanto indicato nella pagina CHI TOCCA I TUOI DATI.

9.2 I trasferimenti sono disciplinati dalle clausole contrattuali tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914, incluse negli accordi sul trattamento dei rispettivi fornitori — art. 46, par. 2, lett. c, GDPR. Alcuni fornitori hanno inoltre aderito al quadro UE-Stati Uniti per la protezione dei dati, oggetto della decisione di esecuzione (UE) 2023/1795, in vigore e impugnata con ricorso pendente dinanzi alla Corte di giustizia; per tali fornitori l'adesione si aggiunge alle clausole contrattuali tipo, sulle quali Millesia fonda in ogni caso i trasferimenti.

9.3 Millesia ha valutato, per ciascun trasferimento, il livello di protezione assicurato nel Paese di destinazione e la necessità di misure supplementari, in una valutazione documentata che riesamina almeno annualmente e di cui mette a disposizione copia al Cliente su richiesta.

9.4 Millesia informa il Cliente qualora una garanzia sulla quale si fonda un trasferimento venga meno, e indica le misure che intende adottare. In tal caso il Cliente può esercitare il diritto di cui all'art. 8.4.

Art. 10 —Sicurezza e Violazioni

10.1 Millesia adotta le misure tecniche e organizzative indicate nell'Allegato B, adeguate al rischio ai sensi dell'art. 32 GDPR — art. 28, par. 3, lett. c, GDPR.

10.2 Millesia comunica al Cliente ogni Violazione dei Dati del Cliente senza ingiustificato ritardo e comunque entro ventiquattro ore dal momento in cui ne acquisisce conoscenza — art. 28, par. 3, lett. f, GDPR, in relazione all'art. 33, par. 2, GDPR.

10.3 La comunicazione contiene la descrizione della Violazione, le categorie di dati, le categorie e il numero approssimativo di Interessati e di registrazioni, le probabili conseguenze e le misure adottate o proposte. Qualora non tutte le informazioni siano disponibili, la prima comunicazione è effettuata comunque entro il termine di cui all'art. 10.2 e le informazioni mancanti sono trasmesse senza ulteriore ingiustificato ritardo.

10.4 Il termine di ventiquattro ore è convenuto affinché il Cliente possa rispettare il termine di settantadue ore previsto dall'art. 33, par. 1, GDPR, che decorre dalla sua conoscenza della Violazione.

10.5 Millesia non effettua la notifica all'autorità di controllo né la comunicazione agli Interessati in luogo del Cliente, salvo istruzione scritta di quest'ultimo.

Art. 11 —Cessazione, esportazione e cancellazione

11.1 Alla cessazione dell'abbonamento Millesia, a scelta del Cliente, restituisce o cancella i Dati del Cliente — art. 28, par. 3, lett. g, GDPR, secondo i termini seguenti:

11.2 Millesia assiste il Cliente nel passaggio a un diverso fornitore, mettendo a disposizione le informazioni sui dati esportabili e sui formati disponibili, e non applica ostacoli contrattuali, tecnici od organizzativi al recesso e alla migrazione. Le condizioni economiche del passaggio sono indicate nelle Condizioni di servizio, in conformità al Regolamento (UE) 2023/2854.

11.3 Sono fatti salvi i dati che Millesia sia tenuta a conservare per obbligo di legge, per il solo tempo previsto e per le sole finalità imposte dalla legge.

Art. 12 —Assistenza al Cliente e richieste degli Interessati

12.1 Millesia assiste il Cliente, tenuto conto della natura del trattamento e delle informazioni in suo possesso — art. 28, par. 3, lett. e ed f, GDPR, nel:

a)garantire la sicurezza del trattamento — art. 32 GDPR;

b)gestire le Violazioni e le relative notifiche e comunicazioni — artt. 33 e 34 GDPR;

c)svolgere la valutazione d'impatto sulla protezione dei dati e l'eventuale consultazione preventiva — artt. 35 e 36 GDPR, anche mediante la valutazione di supporto messa a disposizione dei Clienti;

d)rispondere alle richieste degli Interessati, mediante gli strumenti della Piattaforma che consentono di estrarre, rettificare e cancellare i dati.

12.2 Le richieste di esercizio dei diritti di cui agli artt. 15-22 GDPR sono rivolte al titolare del trattamento. Qualora un Interessato si rivolga direttamente a Millesia, questa non risponde nel merito, trasmette la richiesta al Cliente senza ingiustificato ritardo e ne informa l'Interessato.

12.3 Millesia mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR — art. 28, par. 3, lett. h.

Art. 13 —Verifiche

13.1 Millesia consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Cliente o da un soggetto da questi incaricato — art. 28, par. 3, lett. h, GDPR.

13.2 Le verifiche si svolgono con preavviso di almeno quindici giorni, in orario di lavoro, senza pregiudizio per la continuità del servizio e nel rispetto della riservatezza degli altri Clienti, non più di una volta per anno civile. Il limite non si applica in caso di Violazione accertata o di richiesta dell'autorità di controllo.

13.3 Millesia può assolvere alla richiesta mettendo a disposizione la documentazione relativa alle misure adottate e gli eventuali rapporti di verifica o certificazioni di cui disponga, riferiti a data non anteriore a dodici mesi. Ove tale documentazione non risponda alle esigenze di verifica del Cliente, si procede secondo l'art. 13.1.

Art. 14 —Modifiche dell'Accordo

14.1 Millesia può modificare l'Accordo per adeguarlo a disposizioni di legge, a provvedimenti dell'autorità di controllo o a modifiche del servizio, comunicando al Cliente il testo aggiornato con un preavviso di almeno trenta giorni.

14.2 Qualora la modifica riduca le tutele previste per i Dati del Cliente, il Cliente può recedere dall'abbonamento senza penali entro il termine di preavviso, con restituzione della quota di canone non goduta.

Art. 15 —Legittimazione del Cliente

15.1 Il Cliente dichiara di essere legittimato ad affidare a Millesia il trattamento dei Dati del Cliente e, ove il ruolo di titolare spetti ai condomìni amministrati, di essere stato da questi autorizzato a ricorrere a un responsabile del trattamento.

15.2 La Piattaforma genera, per ciascun condominio amministrato, l'atto di nomina a responsabile precompilato con i dati del condominio. La raccolta delle sottoscrizioni resta a carico del Cliente.

15.3 Millesia non assume il ruolo di consulente del Cliente in materia di protezione dei dati personali.

Art. 16 —Disposizioni finali

16.1 Per quanto non previsto dall'Accordo si applicano le Condizioni di servizio.

16.2 Per ogni richiesta relativa all'Accordo, compresa la copia sottoscrivibile: privacy@millesia.net.

Allegato A —Dettagli del trattamento

Allegato B —Misure tecniche e organizzative

Millesia adotta, tra le altre, le misure seguenti:

• cifratura dei dati in transito e a riposo;
• separazione dei dati tra i Clienti imposta a livello di banca dati e verificata mediante prove automatiche dedicate, eseguite a ogni rilascio;
• autenticazione a due fattori per il personale con accesso ai sistemi;
• copie di sicurezza giornaliere, con prove di ripristino documentate;
• registrazione degli accessi e delle operazioni sui dati, con registro degli accessi del personale consultabile dal Cliente;
• minimizzazione dei dati in fase di importazione, secondo quanto indicato nell'Allegato A;
• limitazione degli accessi secondo il principio del minimo privilegio;
• procedura interna per la gestione delle Violazioni dei dati personali;
• contrassegno dei contenuti generati mediante intelligenza artificiale.