Codice di condotta per i fornitori

Conformemente alla legge francese **Sapin II** (legge n. 2016-1691 del **9 dicembre 2016**), il fornitore si asterrà da qualsiasi forma di corruzione attiva o passiva, dal traffico di influenze, dalla concussione e dal conflitto di interessi non dichiarato.

In particolare, il fornitore:

1. Non offre o accetta alcun **regalo o invito** suscettibile di influenzare una decisione, al di là della ragionevole pratica professionale (tetto indicativo: **80€** per persona e per anno solare);
2. Non paga o sollecita alcuna tangente;
3. Non utilizza **qualsiasi intermediario o società di comodo** per aggirare le norme anticorruzione;
4. Dichiara qualsiasi **legame familiare, finanziario o patrimoniale** con un dipendente o un dirigente di Stayinto, non appena ne viene a conoscenza;
5. Rispetta le **sanzioni internazionali** (UE, ONU, OFAC) e le misure restrittive per combattere il riciclaggio di denaro e il finanziamento del terrorismo.

Il fornitore che tratta i dati personali per conto di Stayinto lo fa in qualità di **subprocessore** ai sensi dell'articolo **28 del RGPD**. A tal fine, sottoscrive un **accordo sul trattamento dei dati (DPA)**, allegato al contratto, e si impegna a:

- Trattare i dati **solo** su istruzione documentata di Stayinto;
- Attuare adeguate **misure tecniche e organizzative** (crittografia in transito e a riposo, gestione degli accessi per ruolo, registrazione, test di ripristino);
- Utilizzare un **ulteriore subappaltatore** solo previa autorizzazione scritta di Stayinto;
- **Localizzare** i dati, per default, all'interno dell'Unione Europea o in un paese che beneficia di una decisione di adeguatezza. Qualsiasi trasferimento al di fuori dell'UE è soggetto a un quadro specifico (**clausole contrattuali standard della Commissione europea**, **BCR**, analisi **Schrems II**);
- **Notificare** a Stayinto entro **48 ore** qualsiasi violazione dei dati che lo riguardano, in conformità con l'articolo **33 del GDPR**;
- **Restituire o distruggere** i dati al termine del contratto, con prova di distruzione su richiesta.

Il fornitore che accede al sistema informativo di Stayinto, o che ospita dati di Stayinto, implementa un livello di sicurezza coerente con lo stato dell'arte (norma **ISO 27001**, guida **ANSSI**). Garantisce :

- Una politica di **gestione degli accessi** basata su *least privilege* e **autenticazione a due fattori**;
- Una **separazione** degli ambienti di sviluppo, accettazione e produzione;
- Un **monitoraggio** attivo delle vulnerabilità dei componenti utilizzati e un ciclo di patch documentato;
- La **reversibilità** del servizio (esportazione dei dati in un formato standard, documentazione degli schemi, periodo di transizione di almeno **tre mesi**);
- La **tracciabilità** delle azioni di amministrazione e la conservazione dei log per il periodo legale applicabile.

Conformemente al regolamento europeo **IA Act** (Regolamento (UE) 2024/1689), qualsiasi fornitore che offra sistemi di intelligenza artificiale o modelli di fondazione a Stayinto si impegna a:

- Documentare chiaramente il **livello di rischio** del proprio sistema ai sensi del regolamento;
- Fornire, per i sistemi ad **alto rischio**, la documentazione tecnica di cui all'allegato IV del regolamento;
- Vietare qualsiasi uso **proibito** (social rating, predictive policing al di fuori dell'ambito di applicazione, categorizzazione biometrica sensibile al di fuori dell'ambito delle eccezioni);
- Informare Stayinto, **prima della messa in servizio**, di qualsiasi modifica sostanziale dei dati di formazione o dell'architettura del modello.

Stayinto si riserva il diritto di verificare, almeno una volta all'anno, i controlli implementati e, se necessario, di ricorrere a un revisore indipendente a spese del fornitore in caso di deviazioni significative.

In linea con la nostra politica di **sostenibilità**, il fornitore si impegna a:

- Rispettare le **regole ambientali** applicabili alle sue attività;
- Ridurre, per quanto tecnicamente possibile, il consumo energetico e i rifiuti associati al servizio fornito a Stayinto;
- Essere in grado di **documentare**, su richiesta, l'origine delle merci consegnate (minerali, legno, tessuti, componenti elettronici);
- Collaborare, nell'ambito della **CSRD** e del **duty of care** (legge n. 2017-399 del **27 marzo 2017**), alle indagini svolte da Stayinto sui fornitori di primo e secondo livello.

Qualunque persona - dipendente Stayinto, dipendente del fornitore, terzo - può segnalare in buona fede una violazione del presente Codice o delle leggi applicabili, senza timore di ritorsioni, tramite il seguente indirizzo:

- **Email**: Scrivici

Le segnalazioni sono trattate in modo **confidenziale** dall'ufficio legale di Stayinto (o da un referente esterno quando la segnalazione riguarda l'ufficio stesso). L'identità del whistleblower è protetta in conformità alla legge francese **n° 2022-401 del 21 marzo 2022** e alla direttiva **(UE) 2019/1937**.

Il fornitore si impegna a **non punire**, licenziare o discriminare un dipendente o un subappaltatore per aver segnalato una violazione a Stayinto in buona fede.

Stayinto può, in qualsiasi momento, verificare il rispetto del presente Codice:

1. Inviando un **questionario scritto** (autovalutazione);
2. Richiedendo documenti mirati di **supporto**;
3. Mediante una **verifica in loco**, effettuata da Stayinto o da una terza parte incaricata, con un ragionevole preavviso di **quindici (15) giorni di calendario**.

In caso di violazione, Stayinto può, a seconda della gravità:

- Richiedere un **piano di rimedio** con un calendario preciso;
- **Sospendere** tutti o parte degli ordini in corso;
- **Cancellare** il contratto a danno del fornitore, con effetto immediato per le violazioni più gravi.

Per qualsiasi domanda relativa al presente Codice, potete contattarci:

- **Compliance ed etica**: Scrivici
- **Reparto legale**: Scrivici
- **Segnalazione riservata**:
Scrivici
- **Indirizzo postale** : OPIDUN,
11 rue de Magdebourg, 75016 Paris, France

L'accettazione del presente Codice è comprovata dalla sua **firma come appendice** al contratto quadro, o dall'**inizio effettivo del servizio** dopo la comunicazione del documento al fornitore.