Un contratto cloud o SaaS tiene insieme più piani normativi: il Codice civile su responsabilità e clausole vessatorie, il GDPR sul trattamento affidato al fornitore, il Data Act sul passaggio ad altro fornitore e, per le entità finanziarie, il Regolamento DORA.
Spesso, però, l’accordo è stato negoziato anni fa o viene rinnovato senza una ricognizione sistematica delle clausole.
Per questo abbiamo messo a disposizione l’ICT Third-Party Checker, uno strumento gratuito di primo orientamento che aiuta a individuare quali clausole di tutela risultano presenti, assenti o da verificare in un contratto di servizi ICT: cloud, SaaS, hosting, manutenzione, assistenza o sviluppo software.
Contratto cloud: il quadro di base tra Codice civile, GDPR e Data Act
Il punto di partenza è il diritto comune dei contratti. L’art. 1229 c.c. dichiara nullo il patto che esclude o limita preventivamente la responsabilità del debitore per dolo o colpa grave: un limite di responsabilità che non tenga conto di questa soglia è il primo punto da verificare.
Gli artt. 1341 e 1342 c.c. richiedono la specifica approvazione per iscritto delle clausole vessatorie predisposte dal fornitore; rilevano inoltre penale (artt. 1382 e 1384) e risoluzione nei rapporti continuativi (artt. 1564 e 1677).
Sul piano dei dati, il GDPR richiede che il fornitore che tratta dati personali per conto del cliente sia vincolato da un contratto con il contenuto minimo dell’art. 28, comprese le condizioni per ricorrere a sub-responsabili; gli artt. 32 e 33 riguardano sicurezza e violazioni, gli artt. 44 ss. i trasferimenti verso Paesi terzi.
Dal 12 settembre 2025 è applicabile il Data Act (Reg. UE 2023/2854). Per i servizi di trattamento dei dati, compresi cloud e SaaS, l’art. 25 fissa il contenuto minimo del contratto in materia di passaggio ad altro fornitore e recupero dei dati esportabili.
L’art. 29 prevede la progressiva eliminazione delle tariffe di passaggio, che fino al 12 gennaio 2027 possono essere solo ridotte e poi non sono più applicabili; l’art. 30 riguarda formati e interoperabilità.
Per le entità finanziarie: DORA
Dal 17 gennaio 2025 è applicabile il Regolamento (UE) 2022/2554 (DORA). Gli artt. 28-30 disciplinano la gestione del rischio derivante da terzi fornitori di servizi ICT e, all’art. 30, le disposizioni contrattuali che il contratto deve contenere, con requisiti ulteriori per i servizi a supporto di funzioni essenziali o importanti.
Gli artt. 28-30 si applicano anche alle entità soggette al quadro semplificato dell’art. 16, che sono però esonerate dall’obbligo di adottare la strategia per i rischi informatici derivanti da terzi (art. 28, par. 2).
Per questi soggetti la verifica delle clausole tipiche dell’art. 30 ha uno strumento dedicato: la DORA Contract Checklist. L’ICT Third-Party Checker lavora sul contratto ICT «di base» e segnala quando occorre passare a quel percorso.
Che cosa fa lo strumento
L’ICT Third-Party Checker richiede circa 10 minuti e si articola in tre fasi.
- Perimetro. Una sola domanda: chi è il cliente del servizio. Se è un’entità finanziaria o un soggetto vigilato, o se si è fornitori ICT di un’entità finanziaria, l’esito segnala le discipline ulteriori da verificare (DORA, disposizioni di vigilanza). La risposta non incide sul punteggio.
- 20 voci in 5 aree. Perimetro, SLA e proprietà intellettuale; sicurezza e dati (GDPR); subfornitura; exit e portabilità dei dati; responsabilità e clausole vessatorie. Per ogni voce si dichiara se la clausola è presente, assente o non nota, guardando il testo del contratto e degli allegati.
- Esito. Un semaforo per ciascuna area, calcolato sulla percentuale di clausole presenti: presidiato (almeno 75%), da sistemare (40-74%), scoperto (sotto il 40%). Le voci «non so» contano come non presenti. L’esito indica poi le tre clausole assenti più critiche, nell’ordine: responsabilità non derogabile, protezione dei dati, subfornitura ed exit.
Ogni domanda riporta le fonti pertinenti, etichettate per natura giuridica. Le risposte al questionario restano sul dispositivo dell’utente e non vengono conservate dallo Studio; i dati di contatto sono richiesti solo per accedere all’esito, che può essere salvato o stampato.
Che cosa non è
Lo strumento non è un parere legale né una certificazione di conformità a DORA, al GDPR o al Data Act. Il semaforo misura la presenza delle clausole, non la loro qualità: una clausola presente può essere inefficace o sbilanciata. Non valuta la criticità del servizio ai fini del registro delle informazioni. L’esito è un orientamento sulle risposte dichiarate, da verificare sul testo del contratto cloud.
Per le entità finanziarie che devono rivedere un contratto ICT, lo Studio offre la DORA Contract Review.
Per orientarsi: l’ICT Third-Party Checker, gli altri strumenti gratuiti dello Studio, l’area Regolamentazione finanziaria, l’area Contratti Tech, Software & IP e la pagina Chi siamo.
Domande frequenti
Lo strumento serve anche a chi non è un soggetto vigilato?
Sì: per un contratto cloud, SaaS o di altri servizi ICT, le cinque aree poggiano su Codice civile, GDPR e Data Act. La disciplina DORA entra in gioco solo se la domanda di perimetro lo indica.
Posso usarlo se sono il fornitore ICT?
Sì: la domanda di perimetro prevede il caso del fornitore ICT di un’entità finanziaria.
Che cosa significa un’area «scoperta»?
Che nelle risposte dichiarate meno del 40% delle clausole dell’area risulta presente. È un’indicazione di dove guardare nel contratto cloud, non una dichiarazione di non conformità.
Vuoi approfondire il tuo caso?
Parti dal ICT Third-Party Checker; per una valutazione sul caso concreto puoi scrivere allo Studio o prenotare una call.
Testo a cura della Redazione ADLP — aggiornato a dicembre 2025.
Nota informativa. I contenuti e lo strumento hanno finalità esclusivamente informative e non costituiscono parere legale né sollecitazione di clientela ai sensi degli artt. 17 e 17-bis del Codice Deontologico Forense. Per ogni valutazione sul caso concreto è necessario un confronto professionale.
