Termini e Condizioni Generali di Servizio

1. Definizioni

Ai fini delle presenti Condizioni Generali, si intende per:

• "Fornitore" o "EasyWhistleblowing": Grem SRL, con sede legale in Via Matteo La Fragola, 4 — 84134 Salerno (SA), P.IVA 06136730659, titolare e gestore della piattaforma EasyWhistleblowing.
• "Piattaforma": il software in modalità SaaS (Software as a Service) denominato "EasyWhistleblowing", accessibile tramite internet, destinato alla gestione dei canali interni di segnalazione ai sensi del D.Lgs. 24/2023.
• "Cliente": la persona giuridica (società, ente pubblico o privato) che sottoscrive un abbonamento per l'utilizzo della Piattaforma.
• "Utente" o "Amministratore": la persona fisica autorizzata dal Cliente ad accedere e gestire la Piattaforma tramite credenziali di accesso.
• "Gestore delle segnalazioni": il soggetto designato dal Cliente alla ricezione e gestione delle segnalazioni ai sensi dell'art. 4 del D.Lgs. 24/2023.
• "Segnalante": la persona fisica che effettua una segnalazione tramite la Piattaforma, ai sensi dell'art. 3 del D.Lgs. 24/2023.
• "Segnalazione": la comunicazione di informazioni relative a violazioni, come definite dall'art. 2 del D.Lgs. 24/2023, effettuata tramite il canale interno di segnalazione della Piattaforma.
• "Servizio": l'insieme delle funzionalità offerte dalla Piattaforma, incluse la ricezione, gestione e archiviazione delle segnalazioni, la comunicazione tra segnalante e gestore, e le funzionalità di amministrazione.
• "Contratto": l'accordo tra il Fornitore e il Cliente composto dalle presenti Condizioni Generali, dal piano di abbonamento selezionato e dall'eventuale accordo sul trattamento dei dati (DPA).

2. Oggetto del Servizio

EasyWhistleblowing è una piattaforma SaaS per la gestione dei canali interni di segnalazione di illeciti (whistleblowing) in conformità al Decreto Legislativo 10 marzo 2023, n. 24, di recepimento della Direttiva (UE) 2019/1937.

Il Servizio comprende, a titolo esemplificativo e non esaustivo:

• Messa a disposizione di un portale dedicato per la ricezione delle segnalazioni
• Supporto alla segnalazione sia in forma identificata che anonima
• Sistema di tracciamento delle segnalazioni mediante codice univoco e password
• Chat crittografata tra segnalante e gestore delle segnalazioni
• Crittografia end-to-end del contenuto delle segnalazioni (AES-256-GCM)
• Upload di allegati crittografati
• Dashboard di gestione per gli Amministratori e i Gestori delle segnalazioni
• Personalizzazione del portale di segnalazione (branding dell'organizzazione)
• Configurazione del questionario di segnalazione
• Gestione multi-utente con ruoli e permessi

Il Servizio non comprende la consulenza legale in materia di whistleblowing, l'attività di indagine sulle segnalazioni, né la responsabilità sulla corretta gestione delle segnalazioni da parte del Cliente.

3. Registrazione e Account

L'accesso al Servizio richiede la creazione di un account da parte del Cliente, con indicazione di un indirizzo email valido e la scelta di una password sicura.

• Il Cliente garantisce la veridicità e completezza dei dati forniti in fase di registrazione e si impegna a mantenerli aggiornati.
• Le credenziali di accesso sono strettamente personali e il Cliente è responsabile della loro custodia e riservatezza.
• Il Cliente deve informare immediatamente il Fornitore di qualsiasi accesso non autorizzato o sospetto utilizzo del proprio account.
• Il Fornitore si riserva il diritto di sospendere o chiudere gli account che violino le presenti Condizioni.
• Il Cliente è responsabile di tutte le attività svolte tramite il proprio account.

4. Obblighi del Cliente (Amministratore/Gestore)

Il Cliente si impegna a:

• Utilizzare la Piattaforma in conformità alla normativa vigente, con particolare riferimento al D.Lgs. 24/2023 e al Regolamento (UE) 2016/679 (GDPR).
• Designare il/i soggetto/i preposto/i alla ricezione e gestione delle segnalazioni (Gestore/i), ai sensi dell'art. 4 del D.Lgs. 24/2023.
• Garantire la formazione adeguata dei Gestori delle segnalazioni in materia di whistleblowing e protezione dei dati personali.
• Mantenere la riservatezza dell'identità del segnalante e delle informazioni contenute nella segnalazione, ai sensi dell'art. 12 del D.Lgs. 24/2023.
• Fornire riscontro al segnalante entro tre mesi dalla data di avviso di ricevimento, ai sensi dell'art. 5 del D.Lgs. 24/2023.
• Non porre in essere atti ritorsivi nei confronti dei segnalanti, ai sensi dell'art. 17 del D.Lgs. 24/2023.
• Informare i propri dipendenti e collaboratori dell'esistenza del canale di segnalazione e delle modalità di utilizzo, ai sensi dell'art. 5, comma 1, lett. e) del D.Lgs. 24/2023.
• Conservare le credenziali di accesso in modo sicuro e non condividerle con soggetti non autorizzati.
• Non utilizzare la Piattaforma per finalità illecite, fraudolente o comunque contrarie alle presenti Condizioni.
• Non tentare di accedere ai dati di altre organizzazioni o di compromettere la sicurezza della Piattaforma.

5. Obblighi del Fornitore

Il Fornitore si impegna a:

• Fornire il Servizio con diligenza professionale, garantendo la disponibilità della Piattaforma secondo i livelli di servizio indicati all'art. 6.
• Adottare misure tecniche e organizzative adeguate alla protezione dei dati personali trattati tramite la Piattaforma, in conformità all'art. 32 del GDPR.
• Garantire la crittografia at-rest (AES-256-GCM) del contenuto delle segnalazioni e degli allegati.
• Non registrare l'indirizzo IP dei segnalanti che accedono al portale di segnalazione.
• Garantire l'isolamento logico dei dati di ciascun Cliente (architettura multi-tenant sicura).
• Ospitare i dati su server ubicati nell'Unione Europea.
• Effettuare backup regolari dei dati.
• Comunicare tempestivamente al Cliente eventuali violazioni di dati personali (data breach) che riguardino i dati del Cliente, ai sensi dell'art. 33 del GDPR.
• Fornire supporto tecnico durante gli orari lavorativi (lun-ven, 9:00-18:00 CET), salvo diversi accordi contrattuali.

6. Livelli di Servizio (SLA)

Il Fornitore si impegna a garantire i seguenti livelli minimi di servizio:

• Disponibilità della Piattaforma: uptime mensile minimo del 99,5%, calcolato escludendo i periodi di manutenzione programmata.
• Manutenzione programmata: sarà comunicata con almeno 48 ore di anticipo e, ove possibile, effettuata in orari di minor utilizzo (notturni o festivi).
• Tempi di risposta per incidenti critici: il Fornitore si impegna a prendere in carico le segnalazioni di incidenti critici (indisponibilità totale del servizio) entro 4 ore lavorative.
• Tempi di risposta per richieste di supporto: entro 2 giorni lavorativi.

In caso di mancato rispetto dei livelli di servizio, il Cliente potrà richiedere un credito proporzionale al periodo di indisponibilità, secondo le modalità concordate nel piano di abbonamento.

7. Proprietà Intellettuale

• La Piattaforma, il suo codice sorgente, il design, i marchi, i loghi e ogni altro elemento distintivo sono di esclusiva proprietà del Fornitore e sono protetti dalle leggi italiane e internazionali in materia di proprietà intellettuale e industriale.
• Il Contratto non trasferisce al Cliente alcun diritto di proprietà intellettuale sulla Piattaforma. Al Cliente viene concessa una licenza d'uso non esclusiva, non trasferibile e non sub-licenziabile, limitata alla durata del Contratto.
• I dati inseriti dal Cliente nella Piattaforma (incluse le segnalazioni e le relative comunicazioni) restano di esclusiva proprietà del Cliente.
• Il Cliente non potrà decompilare, disassemblare, effettuare reverse engineering o creare opere derivate dalla Piattaforma.

8. Limitazione di Responsabilità

• Il Fornitore non è responsabile per danni diretti o indiretti derivanti da:
  • Uso improprio della Piattaforma da parte del Cliente o dei suoi utenti
  • Mancata conformità del Cliente agli obblighi di legge in materia di whistleblowing
  • Inadeguata gestione delle segnalazioni da parte del Cliente
  • Interruzioni del servizio dovute a cause di forza maggiore (eventi naturali, pandemie, guerre, attacchi informatici di portata eccezionale, provvedimenti delle autorità)
  • Malfunzionamenti imputabili a fornitori terzi di servizi di telecomunicazione o infrastruttura
• Limite massimo: in ogni caso, la responsabilità complessiva del Fornitore nei confronti del Cliente, per qualsiasi causa e a qualsiasi titolo, non potrà eccedere l'importo complessivo dei corrispettivi effettivamente versati dal Cliente nei dodici (12) mesi precedenti l'evento che ha dato origine alla responsabilità.
• Il Fornitore non sarà in alcun caso responsabile per danni indiretti, incidentali, consequenziali, punitivi o per lucro cessante.
• Responsabilità del Cliente: il Cliente è e rimane l'unico responsabile della conformità della propria organizzazione al D.Lgs. 24/2023, inclusa la corretta designazione dei gestori, la tempestività dei riscontri ai segnalanti e l'adozione delle misure a tutela del segnalante.

9. Prezzi e Pagamenti

• Il Servizio è erogato in abbonamento, con piani e tariffe pubblicati sul sito web del Fornitore o comunicati direttamente al Cliente.
• I prezzi si intendono al netto di IVA, salvo diversa indicazione.
• Il pagamento avviene anticipatamente, con cadenza mensile o annuale in base al piano selezionato, tramite i metodi di pagamento accettati dalla Piattaforma (carta di credito/debito tramite Stripe).
• In caso di mancato pagamento, il Fornitore si riserva il diritto di sospendere l'accesso al Servizio previo preavviso di 15 giorni. La sospensione non esonera il Cliente dal pagamento degli importi dovuti.
• Il Fornitore si riserva il diritto di modificare i prezzi con un preavviso di almeno 30 giorni. Le nuove tariffe si applicheranno al successivo rinnovo dell'abbonamento.
• In caso di passaggio a un piano superiore (upgrade), la differenza di prezzo sarà calcolata pro-rata per il periodo residuo dell'abbonamento in corso.

10. Durata, Rinnovo e Recesso

10.1 Durata e rinnovo

• Il Contratto ha la durata prevista dal piano di abbonamento selezionato (mensile o annuale).
• Salvo disdetta, il Contratto si rinnova automaticamente alla scadenza, per periodi di pari durata.

10.2 Recesso del Cliente

• Il Cliente può recedere dal Contratto in qualsiasi momento, con effetto dalla scadenza del periodo di abbonamento in corso.
• Il recesso deve essere comunicato tramite la funzionalità apposita nella Piattaforma o tramite comunicazione scritta all'indirizzo [email protected].
• Non sono previsti rimborsi per periodi di abbonamento già pagati e non ancora scaduti, salvo quanto previsto dal diritto di recesso per i consumatori (art. 52 del D.Lgs. 206/2005 - Codice del Consumo), ove applicabile.

10.3 Recesso del Fornitore

• Il Fornitore può recedere dal Contratto con un preavviso di almeno 90 giorni, salvo i casi di grave violazione da parte del Cliente, nel qual caso il recesso può essere immediato.

10.4 Effetti della cessazione e portabilità dei dati

• Alla cessazione del Contratto, il Cliente avrà a disposizione un periodo di 30 giorni per esportare i propri dati. La Piattaforma mette a disposizione funzionalità di esportazione in formati standard (CSV, JSON) per consentire la portabilità dei dati.
• Decorso il termine di 30 giorni, i dati saranno cancellati in modo sicuro e irreversibile, fatti salvi gli obblighi di conservazione previsti dalla normativa vigente.
• In particolare, i dati relativi alle segnalazioni di whistleblowing saranno conservati per il periodo previsto dall'art. 14 del D.Lgs. 24/2023, ossia per cinque anni dalla data della comunicazione dell'esito finale della procedura di segnalazione, e successivamente cancellati in modo sicuro.
• Il Fornitore conserverà i dati di fatturazione per il periodo previsto dalla normativa fiscale.

11. Trattamento dei Dati Personali

• Il Fornitore tratta i dati personali in conformità al Regolamento (UE) 2016/679 (GDPR) e al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
• Con riferimento ai dati delle segnalazioni, il Fornitore agisce in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, mentre il Cliente è il Titolare del trattamento. Le parti sottoscrivono un accordo sul trattamento dei dati (Data Processing Agreement - DPA) che disciplina i termini del trattamento.
• Con riferimento ai dati degli Utenti registrati (account, fatturazione), il Fornitore agisce in qualità di Titolare autonomo del trattamento.
• Per le informazioni complete sul trattamento dei dati personali, si rimanda alla Privacy Policy.

12. Sicurezza e Misure Tecniche

Il Fornitore adotta le seguenti misure di sicurezza a protezione dei dati trattati tramite la Piattaforma:

• Crittografia at-rest del contenuto delle segnalazioni con algoritmo AES-256-GCM
• Crittografia in transito tramite protocollo TLS (HTTPS)
• Nessuna registrazione dell'indirizzo IP dei segnalanti
• Isolamento logico dei dati in architettura multi-tenant
• Hashing crittografico non reversibile delle password
• Controllo degli accessi basato su ruoli
• Backup regolari e crittografati
• Hosting su server ubicati nell'Unione Europea

13. Garanzie e Disclaimer

• Il Servizio è fornito "così com'è" ("as is") e "come disponibile" ("as available"), senza garanzie ulteriori rispetto a quelle espressamente previste nelle presenti Condizioni e dalla legge applicabile.
• Il Fornitore non garantisce che il Servizio sia privo di errori, ininterrotto o compatibile con tutti i sistemi e browser.
• Il Fornitore si impegna a mantenere la Piattaforma aggiornata rispetto ai requisiti del D.Lgs. 24/2023, ma non garantisce la conformità della stessa a normative settoriali specifiche del Cliente.

14. Forza Maggiore

Nessuna delle parti sarà responsabile per il mancato o ritardato adempimento delle proprie obbligazioni se tale inadempimento è causato da eventi di forza maggiore, intesi come eventi imprevedibili, inevitabili e al di fuori del ragionevole controllo della parte interessata, inclusi a titolo esemplificativo: calamità naturali, pandemie, guerre, atti di terrorismo, provvedimenti governativi, guasti alle reti di telecomunicazione, blackout elettrici, attacchi informatici di portata eccezionale.

15. Modifiche alle Condizioni

Il Fornitore si riserva il diritto di modificare le presenti Condizioni Generali. Le modifiche saranno comunicate al Cliente con un preavviso di almeno 30 giorni tramite email o notifica sulla Piattaforma. L'utilizzo continuato del Servizio dopo l'entrata in vigore delle modifiche costituirà accettazione delle stesse. In caso di disaccordo, il Cliente potrà recedere dal Contratto entro i termini previsti dall'art. 10.

16. Comunicazioni

Tutte le comunicazioni tra le parti dovranno essere effettuate per iscritto e si intenderanno validamente inviate se trasmesse:

• Tramite email all'indirizzo indicato in fase di registrazione (per le comunicazioni al Cliente) o all'indirizzo [email protected] (per le comunicazioni al Fornitore)
• Tramite PEC all'indirizzo [email protected]
• Tramite notifica all'interno della Piattaforma

17. Legge Applicabile e Foro Competente

17.1 Legge applicabile e foro competente

• Le presenti Condizioni Generali sono regolate dalla legge italiana.
• Per qualsiasi controversia derivante dall'interpretazione, esecuzione o risoluzione delle presenti Condizioni sarà competente in via esclusiva il Foro di Salerno.
• Le parti si impegnano a tentare la risoluzione amichevole delle controversie prima di adire le vie legali.

17.2 Contratti con i consumatori

Il presente Contratto è rivolto principalmente a soggetti che agiscono nell'esercizio della propria attività imprenditoriale, commerciale, artigianale o professionale (B2B). Qualora il Cliente sia qualificabile come "consumatore" ai sensi degli artt. 3 e ss. del D.Lgs. 206/2005 (Codice del Consumo), si applicano le seguenti disposizioni inderogabili a tutela del consumatore previste dal medesimo Codice:

• Il consumatore ha diritto di recedere dal contratto entro 14 giorni dalla conclusione dello stesso, senza necessità di indicarne le ragioni e senza penalità, ai sensi degli artt. 52-59 del D.Lgs. 206/2005.
• Per qualsiasi controversia sarà competente il foro del luogo di residenza o domicilio del consumatore, se ubicato nel territorio italiano, ai sensi dell'art. 66-bis del D.Lgs. 206/2005.
• Ai sensi dell'art. 141-sexies, comma 3, del D.Lgs. 206/2005, il Fornitore informa il consumatore che, nel caso in cui abbia presentato un reclamo direttamente al Fornitore e questo non sia stato risolto in modo soddisfacente, potrà avvalersi della piattaforma ODR (Online Dispute Resolution) dell'Unione Europea, accessibile al seguente indirizzo: https://ec.europa.eu/consumers/odr.

18. Clausole Finali

• Indipendenza delle clausole: l'eventuale nullità o inefficacia di una o più clausole delle presenti Condizioni non comporta la nullità delle restanti, che rimarranno pienamente valide ed efficaci.
• Rinuncia: la mancata applicazione da parte del Fornitore di una qualsiasi disposizione delle presenti Condizioni non costituirà rinuncia a far valere tale disposizione in futuro.
• Cessione: il Cliente non potrà cedere il Contratto o i diritti da esso derivanti a terzi senza il previo consenso scritto del Fornitore.
• Intero accordo: le presenti Condizioni, unitamente al piano di abbonamento e all'eventuale DPA, costituiscono l'intero accordo tra le parti in relazione all'oggetto del Contratto e sostituiscono ogni precedente intesa o accordo, scritto o verbale.

19. Clausole ai sensi degli artt. 1341 e 1342 del Codice Civile

Ai sensi e per gli effetti degli artt. 1341 e 1342 del Codice Civile, il Cliente dichiara di aver letto, compreso e specificamente approvato le seguenti clausole:

• Art. 6 — Livelli di Servizio (SLA) e relative limitazioni
• Art. 8 — Limitazione di responsabilità del Fornitore
• Art. 10 — Durata, rinnovo automatico e recesso
• Art. 13 — Garanzie e disclaimer ("as is")
• Art. 14 — Forza maggiore
• Art. 15 — Facoltà del Fornitore di modificare le Condizioni
• Art. 17 — Foro competente esclusivo di Salerno