Codice etico

Codice Etico

DEVIBRAIN S.r.l. — IndustryUX · Decreto Legislativo 231/2001

Avviso — traduzione di cortesia. Questo documento è la traduzione italiana di cortesia del documento inglese IUX-EN-36, che è l'unica versione facente fede. In caso di divergenza fra le due versioni prevale, per ogni fine, la versione inglese.

DEVIBRAIN S.R.L., con sede legale in Via Coghetti 6, 24128 Bergamo (BG), Italia, partita IVA e codice fiscale IT04507220160, indirizzo di posta elettronica certificata devibrain@pec.it (Fornitore (DevIBrain), designato come Fornitore nella documentazione contrattuale IndustryUX e indicato nel presente Codice come Società), titolare della piattaforma IndustryUX e del marchio registrato INDUSTRYUX®, adotta il presente Codice Etico quale enunciazione dei principi di condotta che governano ogni attività svolta in suo nome, per suo conto, nel suo interesse o a suo vantaggio.

DevIBrain progetta e fornisce software industriale: modelli tridimensionali, dashboard, contenuti tecnici e assistenti di intelligenza artificiale che i suoi clienti incorporano in macchine, impianti e sistemi di controllo. La qualità di tale software produce conseguenze su impianti condotti da altri. Per questa ragione la Società tratta l'integrità, l'onestà tecnica e il rispetto della legge non come una formalità di governance, ma come un requisito ingegneristico del proprio prodotto.

Art. 1 — Finalità, quadro normativo e natura del presente Codice

1.1 Finalità

Il presente Codice Etico enuncia i valori, i principi e le regole di condotta che i Destinatari definiti all'Articolo 2 sono tenuti a osservare. Esso ha lo scopo di prevenire condotte illecite, di rendere prevedibile e verificabile la condotta attesa da ciascun Destinatario e di tutelare la reputazione, il patrimonio e i diritti immateriali della Società e dei suoi clienti.

1.2 Quadro normativo

Il Decreto Legislativo 8 giugno 2001, n. 231 disciplina la responsabilità amministrativa degli enti per i reati commessi nel loro interesse o a loro vantaggio da soggetti in posizione apicale o da soggetti sottoposti alla loro direzione. Ai sensi degli articoli 6 e 7 del medesimo Decreto, l'ente può essere esonerato dalla responsabilità soltanto ove abbia adottato ed efficacemente attuato un modello di organizzazione, gestione e controllo idoneo a prevenire reati della specie di quello verificatosi e ove a un organismo autonomo di vigilanza sia stato affidato il compito di vigilare su tale modello.

1.3 Natura del presente documento e suoi limiti

Il presente Codice è adottato come documento autonomo. Esso non costituisce, di per sé, un modello di organizzazione, gestione e controllo ai sensi del Decreto Legislativo 231/2001 e non produce da solo l'effetto esimente descritto alla clausola 1.2, il quale richiede in aggiunta la mappatura dei rischi di reato propri dell'attività della Società, i protocolli preventivi per i processi sensibili, l'organismo di vigilanza, i flussi informativi e il sistema disciplinare. La Società enuncia espressamente tale limite, anziché lasciare intendere uno stato di conformità che non ha ancora raggiunto. Ove sia successivamente adottato un modello completo, il presente Codice ne diviene parte integrante alle condizioni dell'Articolo 11.

1.4 Efficacia vincolante

Il presente Codice è un atto aziendale unilaterale, approvato dall'organo amministrativo di DevIBrain. Esso è vincolante per i Destinatari:

• per gli organi sociali e i dipendenti, quale istruzione sullo svolgimento delle loro mansioni ai sensi degli articoli 2104 e 2106 del codice civile;

• per i terzi, ove sia incorporato nel relativo contratto in conformità alla clausola 2.4.

Il presente Codice non crea diritti a favore di terzi, non modifica le condizioni contrattuali concordate con clienti, fornitori o partner e non limita alcun obbligo imposto da norme imperative.

1.5 Valori

La condotta della Società si fonda su cinque valori, che devono essere utilizzati quale criterio di interpretazione di ogni disposizione del presente Codice:

1. Legalità. Nessun obiettivo commerciale, tecnico o reputazionale giustifica la violazione di una norma di legge.

2. Onestà tecnica. Le capacità, le prestazioni e i limiti della piattaforma IndustryUX sono descritti per quello che sono. Nessuna dimostrazione, benchmark, specifica o output di intelligenza artificiale viene presentato come più affidabile di quanto sia.

3. Rispetto della persona. Dignità, sicurezza e parità di trattamento delle persone che lavorano con la Società e delle persone che lavorano sugli impianti in cui il suo software è in esecuzione.

4. Tutela di ciò che è affidato alla Società. I dati dei clienti, il know-how industriale e la proprietà intellettuale ricevuti nel corso di un rapporto sono trattati come se fossero propri della Società e non sono mai utilizzati al di fuori della finalità per la quale sono stati ricevuti.

5. Tracciabilità. Ogni decisione, spesa e comunicazione rilevante deve restare ricostruibile ex post da una persona che non era presente nel momento in cui è stata assunta.

Art. 2 — Ambito di applicazione e Destinatari

2.1 Destinatari

Il presente Codice si applica:

• ai membri dell'organo amministrativo e di ogni altro organo sociale della Società, nonché a chiunque eserciti, di fatto, poteri di gestione o di controllo;

• ai dipendenti di ogni livello e categoria, inclusi apprendisti, tirocinanti e persone in distacco;

• ai collaboratori autonomi, consulenti, professionisti, appaltatori e loro personale, agenti, intermediari negli acquisti e lavoratori somministrati;

• a rivenditori, distributori, integratori, partner tecnologici e a chiunque sia autorizzato a promuovere, rivendere o integrare IndustryUX;

• ai fornitori di beni e servizi, inclusi i fornitori di infrastrutture cloud, connettività e componenti software.

2.2 Ambito territoriale e operativo

Il presente Codice si applica a tutte le attività della Società, ovunque svolte, incluso il lavoro prestato da remoto, le attività svolte all'interno delle sedi dei clienti e le attività svolte su ambienti cloud e tenant dedicati gestiti per i clienti. Ove la legge di un Paese in cui un'attività è svolta imponga uno standard più rigoroso, prevale tale standard più rigoroso; ove ne imponga uno meno rigoroso, il presente Codice continua ad applicarsi.

2.3 Obbligo di conoscere, rispettare e segnalare

Ciascun Destinatario deve conoscere i contenuti del presente Codice, rispettarlo, astenersi da ogni condotta che possa determinarne la violazione da parte della Società e segnalare ai canali dell'Articolo 9 ogni condotta che ragionevolmente ritenga esserne una violazione. L'ignoranza del presente Codice non costituisce scusante; la Società ha l'onere di renderlo disponibile e comprensibile ai sensi dell'Articolo 11.

2.4 Obblighi ulteriori dei soggetti con responsabilità

Coloro che dirigono il lavoro altrui, che rappresentano la Società verso terzi o che dispongono di poteri di spesa devono inoltre: dare l'esempio con la propria condotta, assicurare che le persone che dirigono conoscano il presente Codice, astenersi dall'impartire istruzioni in conflitto con esso e non tollerarne la violazione perché appare conveniente o urgente. Nessuna istruzione, obiettivo o scadenza, da qualunque livello dell'organizzazione provenga, può derogare al presente Codice; il Destinatario che riceva una simile istruzione deve rifiutarne l'esecuzione e segnalarla ai sensi dell'Articolo 9, e tale rifiuto non può mai costituire motivo di alcuna misura sfavorevole.

2.5 Incorporazione nei contratti con i terzi

La Società inserisce nei propri contratti con consulenti, fornitori, partner e rivenditori una clausola con la quale la controparte dichiara di aver ricevuto il presente Codice, si impegna a rispettarlo nell'esecuzione del contratto e riconosce che una sua grave violazione legittima la Società a risolvere il contratto con effetto immediato ai sensi dell'articolo 1456 del codice civile. L'Allegato 1 contiene il modulo di presa d'atto utilizzato a tale scopo.

Art. 3 — Principi generali di condotta

3.1 Legalità

I Destinatari rispettano le leggi e i regolamenti in vigore in ogni Paese in cui la Società opera, incluse le norme penali, societarie, tributarie, giuslavoristiche, di salute e sicurezza, ambientali, di protezione dei dati, di controllo delle esportazioni e in materia di sanzioni. Ove una condotta sia lecita ma incompatibile con i valori della clausola 1.5, essa è comunque vietata dal presente Codice.

3.2 Onestà, buona fede e assenza di conflitto di interessi

I Destinatari agiscono in buona fede, mantengono gli impegni assunti e non sfruttano l'ignoranza, l'urgenza o l'inesperienza di una controparte. Non perseguono, direttamente o tramite altri, un interesse personale in conflitto con l'interesse della Società e comunicano ogni situazione idonea a generare tale conflitto in conformità alla clausola 5.4.

3.3 Imparzialità e non discriminazione

La Società non discrimina in ragione di sesso, identità di genere, orientamento sessuale, età, origine etnica o nazionale, cittadinanza, lingua, disabilità, condizione di salute, religione, opinione politica, appartenenza sindacale o condizioni personali e sociali, in sede di assunzione, retribuzione, assegnazione delle mansioni, formazione, promozione, disciplina o cessazione del rapporto, e applica la medesima regola alla selezione di fornitori e partner.

3.4 Tutela della persona

La Società tutela l'integrità fisica e morale delle persone che lavorano per essa. Le molestie, incluse quelle sessuali, il mobbing, l'intimidazione, l'isolamento di un collega e ogni condotta lesiva della dignità della persona sono vietati e costituiscono grave illecito disciplinare. È vietato lavorare sotto l'effetto di sostanze che compromettono la capacità di svolgere mansioni rilevanti per la sicurezza.

3.5 Trasparenza e completezza dell'informazione

Le informazioni fornite a colleghi, organi sociali, clienti, autorità e pubblico devono essere veritiere, complete, tempestive e non fuorvianti per omissione. Ogni registrazione contabile, ogni voce di un foglio ore, di una nota spese, di un registro delle licenze o di un report destinato al cliente deve corrispondere a un evento reale, documentato e verificabile.

3.6 Tutela dei beni aziendali e dei beni affidati da terzi

I beni aziendali, inclusi hardware, credenziali, chiavi crittografiche, codice sorgente, documentazione e risorse cloud, sono utilizzati esclusivamente per finalità aziendali, protetti da perdita, uso improprio e accesso non autorizzato, e mai distolti a beneficio privato. La medesima tutela si applica ai beni, ai dati e al know-how di clienti e terzi detenuti dalla Società.

3.7 Concorrenza leale

La Società compete sui meriti dei propri prodotti. Sono vietati gli accordi o le pratiche concordate con i concorrenti su prezzi, mercati, clienti o gare, l'acquisizione di informazioni riservate dei concorrenti con mezzi illeciti, il denigramento dei concorrenti e ogni condotta idonea a integrare un delitto contro l'industria e il commercio.

3.8 Aree di particolare esposizione

Fermo restando il carattere generale del presente Codice, le aree seguenti sono quelle in cui l'attività della Società è maggiormente esposta ai reati rilevanti ai sensi del Decreto Legislativo 231/2001 e sono disciplinate dagli articoli indicati.

Art. 4 — Rapporti con la Pubblica Amministrazione

4.1 Regola generale

I rapporti con pubbliche amministrazioni, pubblici ufficiali, incaricati di pubblico servizio, imprese pubbliche, autorità di vigilanza e di regolazione e istituzioni dell'Unione europea sono intrattenuti esclusivamente da soggetti espressamente autorizzati per iscritto dall'organo amministrativo e sono documentati in modo che il contenuto di ciascun contatto resti ricostruibile. I Destinatari non così autorizzati non avviano trattative, non assumono impegni e non rendono dichiarazioni per conto della Società.

4.2 Gare pubbliche, contributi e finanziamenti agevolati

Nelle procedure di gara pubblica e nelle domande di finanziamento pubblico i Destinatari assicurano che ogni dichiarazione, certificazione, specifica tecnica e referenza presentata sia veritiera e completa e che i documenti prodotti da terzi siano verificati prima della presentazione. Sono vietati gli accordi con altri partecipanti diretti ad alterare l'esito di una procedura, la presentazione di offerte di comodo e la rappresentazione non veritiera dei requisiti tecnici della Società. I fondi pubblici e i finanziamenti agevolati ottenuti sono utilizzati esclusivamente per la finalità per la quale sono stati concessi e il loro impiego è documentato separatamente.

4.3 Ispezioni, verifiche e procedimenti

La Società collabora con le ispezioni, le indagini e le richieste delle autorità competenti. I Destinatari non occultano, alterano, distruggono o rendono indisponibili documenti, dati, file di log o backup rilevanti per un'ispezione o un procedimento, non inducono alcuno a rendere dichiarazioni false o a tacere davanti all'autorità giudiziaria e non ostacolano l'esercizio delle funzioni delle autorità di vigilanza. Ogni richiesta ricevuta da un'autorità è trasmessa senza ritardo all'organo amministrativo.

4.4 Controllo delle esportazioni, autorizzazioni e dichiarazioni doganali

Il software fornito al di fuori dell'Unione europea può essere soggetto alla normativa sul controllo delle esportazioni, in particolare al Regolamento (UE) 2021/821 sui prodotti a duplice uso e successive modifiche, nonché alle misure restrittive adottate dall'Unione europea. I Destinatari non presentano dichiarazioni false o incomplete alle autorità doganali o di rilascio delle autorizzazioni, non classificano un prodotto in modo difforme dalla classificazione formalmente adottata dalla Società e non danno corso a una fornitura per la quale sia richiesta un'autorizzazione che non sia stata ottenuta. Ogni dubbio in ordine alla classificazione o all'autorizzazione è sottoposto prima, e non dopo, la fornitura.

4.5 Divieto di pagamenti indebiti

È vietato offrire, promettere, dare, richiedere o accettare, direttamente o per interposta persona, denaro, beni, servizi, benefici, opportunità di impiego, donazioni benefiche o qualsiasi altra utilità, a o da un pubblico ufficiale o un incaricato di pubblico servizio, al fine di ottenere o remunerare un atto, un'omissione o un vantaggio. Il divieto si applica indipendentemente dal valore coinvolto e indipendentemente dalla prassi locale; sono parimenti vietati i pagamenti destinati ad accelerare un'attività amministrativa di routine. È altresì vietato offrire impieghi, tirocini o incarichi di consulenza a un pubblico ufficiale, o a un suo familiare, in un contesto idoneo a essere collegato a una decisione che riguarda la Società.

4.6 Omaggi e ospitalità verso pubblici ufficiali

Gli omaggi e l'ospitalità verso pubblici ufficiali sono vietati, con la sola eccezione di articoli promozionali recanti il marchio aziendale o di prodotto il cui valore unitario non superi EUR 50, offerti in modo trasparente, mai in denaro né in forma convertibile in denaro, autorizzati preventivamente per iscritto dall'organo amministrativo e annotati nel registro tenuto ai sensi della clausola 5.3. Le spese di viaggio, alloggio e rappresentanza per pubblici ufficiali possono essere sostenute soltanto ove si riferiscano a un evento tecnico documentato, siano proporzionate e siano autorizzate preventivamente per iscritto.

Art. 5 — Rapporti con clienti, fornitori, partner e rivenditori

5.1 Trasparenza contrattuale e correttezza dell'informazione commerciale

Le condizioni contrattuali sono presentate in modo completo e comprensibile prima della conclusione del contratto, incluse quelle relative a durata, rinnovo, adeguamenti di prezzo, metriche di licenza, livelli di servizio, limitazioni di responsabilità e conseguenze della risoluzione. I materiali commerciali, le dimostrazioni, i benchmark e i proof of concept descrivono la piattaforma per come essa realmente si comporta nella configurazione offerta; è vietato l'utilizzo di risultati ottenuti in una configurazione diversa, di dati non rappresentativi o di funzioni non ancora disponibili, senza dichiararlo chiaramente. Le affermazioni relative a certificazioni, stato di conformità o approvazioni di terzi possono essere rese soltanto ove la Società disponga delle corrispondenti evidenze.

5.2 Divieto di corruzione fra privati

È vietato offrire, promettere, dare, richiedere o accettare denaro o qualsiasi altra utilità, direttamente o per interposta persona, a o da amministratori, dirigenti, dipendenti, collaboratori o agenti di un cliente, fornitore, partner o concorrente, al fine di indurre o remunerare un atto o un'omissione in violazione dei loro doveri d'ufficio o di fedeltà, ovvero al fine di ottenere un vantaggio indebito. Una condotta di questo tipo costituisce reato ai sensi dell'articolo 2635 del codice civile e motivo di risoluzione immediata di ogni contratto con la Società.

5.3 Omaggi, ospitalità e sponsorizzazioni nei rapporti fra privati

Gli omaggi e l'ospitalità nei rapporti fra privati sono ammessi soltanto ove siano di modico valore, coerenti con le normali cortesie d'affari, trasparenti, mai in denaro e mai idonei a influenzare, o ad apparire idonei a influenzare, una decisione. La soglia interna di modico valore è di EUR 150 per beneficiario per anno solare, considerando cumulativamente tutte le voci; al di sopra di tale soglia è richiesta la preventiva autorizzazione scritta dell'organo amministrativo. Gli omaggi dati e ricevuti di valore superiore a EUR 50, e tutte le autorizzazioni rilasciate ai sensi della presente clausola e della clausola 4.6, sono annotati in un registro degli omaggi tenuto dalla funzione designata ai sensi dell'Articolo 11. Le sponsorizzazioni e le donazioni sono ammesse soltanto verso beneficiari identificati, sulla base di un accordo scritto, con pagamento tracciabile, e mai ove il beneficiario sia designato da una controparte nel contesto di una trattativa, di una gara o di una controversia pendente.

5.4 Conflitti di interessi

Un Destinatario si trova in conflitto di interessi ove un interesse personale, familiare, finanziario o professionale possa influenzare, o ragionevolmente apparire idoneo a influenzare, l'imparzialità di una decisione assunta per la Società, anche ove il Destinatario, un suo familiare o una persona con lui convivente detenga un interesse in un cliente, fornitore, partner o concorrente, ovvero svolga attività per uno di essi. Il Destinatario deve comunicare la situazione per iscritto all'organo amministrativo non appena essa si verifica e comunque entro cinque giorni lavorativi dal momento in cui ne ha avuto conoscenza, deve astenersi dall'assumere o influenzare la relativa decisione fino a quando non gli sia impartita un'istruzione scritta e deve conformarsi a tale istruzione. Le comunicazioni e le istruzioni sono annotate in un registro dei conflitti tenuto dalla funzione designata ai sensi dell'Articolo 11. L'omessa comunicazione costituisce illecito disciplinare indipendentemente dal verificarsi di un danno.

5.5 Selezione di fornitori, partner e rivenditori

I fornitori, i partner e i rivenditori sono selezionati sulla base di criteri oggettivi e documentati di capacità tecnica, qualità, sicurezza, affidabilità, livelli di servizio e prezzo, senza trattamenti preferenziali fondati su relazioni personali. Prima dell'incarico la Società verifica l'esistenza e la regolarità della controparte, la sua posizione rispetto alle misure restrittive dell'Unione europea e, ove la controparte tratti dati personali o gestisca infrastrutture per conto della Società o dei suoi clienti, le sue misure di sicurezza e di protezione dei dati. La nomina di un fornitore che tratta dati personali dei clienti è soggetta alle regole applicabili ai sub-responsabili ai sensi dell'accordo sul trattamento dei dati in vigore con il cliente interessato.

5.6 Pagamenti e prevenzione del riciclaggio

I pagamenti sono effettuati e ricevuti soltanto verso e da conti bancari intestati alla controparte contrattuale, nel Paese in cui tale controparte è stabilita o in cui il servizio è prestato, a fronte di fattura o documento contabile regolarmente emesso. Sono vietati i pagamenti a terzi, a conti intestati a persone fisiche collegate alla controparte o attraverso strutture la cui finalità non sia economicamente giustificata. Il contante non è utilizzato per i pagamenti verso o da controparti, salvo che per piccole spese debitamente documentate e non eccedenti EUR 100, e comunque entro i limiti fissati dalla normativa antiriciclaggio pro tempore vigente. Ogni richiesta di modifica delle istruzioni di pagamento ricevuta nel corso di un rapporto è verificata attraverso un canale diverso da quello dal quale la richiesta proviene, prima di effettuare qualsiasi pagamento.

5.7 Sanzioni, embarghi e restrizioni lungo la catena commerciale

La Società non fornisce i propri prodotti o servizi, direttamente o indirettamente, a persone, entità o Paesi soggetti a misure restrittive che vietino tale fornitura, e sottopone clienti, rivenditori e fornitori a screening rispetto alle liste applicabili di soggetti designati prima di instaurare un rapporto e, successivamente, in occasione del rinnovo. Nelle forniture a controparti stabilite al di fuori dell'Unione europea e non stabilite in un Paese partner elencato dalla normativa sanzionatoria applicabile, la Società inserisce un divieto contrattuale di riesportazione verso, o di utilizzo in, la Federazione Russa e la Bielorussia. Ogni elusione di tali regole, anche per il tramite di intermediari, è vietata e costituisce motivo di risoluzione immediata.

Art. 6 — Protezione dei dati, proprietà intellettuale e sistemi informativi

6.1 Dati personali

I dati personali sono trattati in modo lecito, corretto e trasparente, soltanto per le finalità per le quali sono stati raccolti, soltanto da soggetti autorizzati e istruiti a tal fine e soltanto nella misura necessaria. I Destinatari non accedono ad ambienti dei clienti, dati di tenant, caselle di posta o file di log se non ove necessario per l'esecuzione di un compito documentato, non estraggono né copiano dati personali al di fuori dei sistemi autorizzati e non utilizzano per finalità proprie della Società i dati personali ricevuti nel corso di un rapporto con un cliente. Il trattamento svolto per conto di un cliente è disciplinato dall'accordo sul trattamento dei dati in vigore con tale cliente; i dati personali di un cliente non sono utilizzati per addestrare, ottimizzare o valutare modelli di intelligenza artificiale, salvo che il cliente abbia impartito un'istruzione documentata in tal senso.

6.2 Riservatezza e segreti commerciali

Le informazioni relative alla Società, ai suoi clienti, ai suoi fornitori e ai suoi partner che non siano pubbliche sono riservate, a prescindere dal fatto che siano contrassegnate come tali, e sono divulgate soltanto a soggetti che ne abbiano necessità per una finalità legittima e siano vincolati da obblighi equivalenti. Gli obblighi di riservatezza permangono dopo la cessazione del rapporto di lavoro o del rapporto contrattuale, secondo i termini dell'accordo applicabile, e, per le informazioni protette come segreto commerciale, per tutto il tempo in cui ne conservano il carattere.

6.3 Proprietà intellettuale della Società

Il codice sorgente, l'architettura, gli algoritmi, la documentazione, il design, i marchi e l'infrastruttura di licensing di IndustryUX sono di proprietà esclusiva della Società. I Destinatari non li copiano, divulgano, pubblicano o riutilizzano al di fuori delle proprie mansioni, non li caricano su servizi di terzi non approvati dalla Società, inclusi i servizi pubblici di intelligenza artificiale, e non ne conservano copie dopo la cessazione del rapporto. Le chiavi crittografiche private utilizzate per firmare i Grant (record di licenza firmati) sono gestite esclusivamente dai soggetti espressamente designati, non sono mai esportate dai sistemi in cui risiedono, non sono mai copiate in un ambiente cliente e non sono mai trasmesse al di fuori di tali sistemi; ogni sospetto di compromissione è segnalato immediatamente ai sensi della clausola 6.7. Le opere create da dipendenti e collaboratori nello svolgimento delle loro mansioni appartengono alla Società in conformità alla legge e al contratto applicabili.

6.4 Proprietà intellettuale di terzi e componenti open source

La Società rispetta la proprietà intellettuale altrui. È vietato installare o utilizzare software privo di licenza valida, eccedere l'ambito di una licenza detenuta, riprodurre contenuti protetti senza autorizzazione e incorporare in IndustryUX componenti di terzi o open source senza verificare e registrare le condizioni di licenza applicabili. I componenti soggetti a condizioni di licenza reciproca non possono essere combinati con codice proprietario in modo idoneo a far sorgere un obbligo di divulgare o di concedere in licenza il codice sorgente della Società. L'inventario dei componenti di terzi e delle relative licenze è mantenuto aggiornato e costituisce condizione di ogni rilascio.

6.5 Sistemi informativi e delitti informatici

I Destinatari utilizzano i sistemi informativi aziendali in conformità alle regole di sicurezza emanate dalla Società. È vietato accedere senza autorizzazione a un sistema informativo della Società, di un cliente o di un terzo, eccedere i limiti di un'autorizzazione concessa, intercettare o interrompere comunicazioni, introdurre o diffondere software dannoso, detenere o utilizzare strumenti destinati a eludere misure tecniche di protezione o di licensing, condividere credenziali individuali e disattivare controlli di sicurezza. Le credenziali, i token e le chiavi di interfaccia sono personali, sono protetti e non sono mai trasmessi attraverso canali non sicuri. Le attività di test contro sistemi di terzi sono ammesse soltanto sulla base di una preventiva autorizzazione scritta del titolare del sistema.

6.6 Intelligenza artificiale

Ove la Società fornisca o gestisca funzioni di intelligenza artificiale, ne rende evidente la natura alle persone che vi interagiscono, non presenta il loro output come una valutazione ingegneristica verificata e mantiene la revisione umana sulle decisioni idonee a incidere sulla sicurezza di persone o impianti. I Destinatari non utilizzano strumenti di intelligenza artificiale in modo che comporti la trasmissione di informazioni riservate, dati personali o codice sorgente a servizi non approvati dalla Società, e restano personalmente responsabili dei contenuti che producono con l'ausilio di tali strumenti.

6.7 Segnalazione di incidenti e vulnerabilità

Ogni incidente di sicurezza, perdita o divulgazione non autorizzata di dati, sospetta compromissione di credenziali o chiavi, nonché ogni vulnerabilità della piattaforma di cui un Destinatario venga a conoscenza, devono essere segnalati all'organo amministrativo immediatamente al momento in cui se ne ha conoscenza e comunque senza alcun ritardo idoneo a pregiudicare gli obblighi di notifica della Società o dei suoi clienti. Occultare un incidente, o ritardarne la segnalazione al fine di evitare una conseguenza personale, costituisce grave illecito disciplinare.

Art. 7 — Scritture societarie, contabilità, fisco e integrità finanziaria

7.1 Veridicità e completezza della contabilità

Ogni operazione è registrata in modo accurato, completo, tempestivo e tale da permetterne la ricostruzione, ed è supportata da adeguata documentazione. È vietato effettuare o far effettuare una registrazione non corrispondente al vero, omettere una registrazione dovuta, costituire fondi o riserve non registrati in contabilità, emettere o ricevere fatture per operazioni inesistenti e alterare la documentazione contabile o di supporto.

7.2 Comunicazioni sociali e controlli

I bilanci, le relazioni e le comunicazioni previste dalla legge e dirette ai soci, al pubblico e alle autorità di vigilanza rappresentano fedelmente la situazione economica e finanziaria della Società. È vietato occultare informazioni o documenti ai soggetti cui sono affidate funzioni di controllo, ostacolare l'esercizio di tali funzioni, distribuire utili o riserve in violazione di legge e influenzare la formazione di una deliberazione di un organo sociale con mezzi simulati o fraudolenti.

7.3 Obblighi tributari

La Società adempie ai propri obblighi tributari correttamente e nei termini. Sono vietate le strutture il cui scopo prevalente sia il conseguimento di un vantaggio fiscale indebito, l'utilizzo o l'emissione di documentazione relativa a operazioni inesistenti e l'occultamento o la distruzione di scritture contabili.

7.4 Utilizzo delle risorse aziendali e rendicontazione delle spese

Le spese sono sostenute nell'interesse della Società, entro i poteri conferiti, e sono rendicontate in modo veritiero e con adeguati documenti giustificativi. È vietato l'utilizzo delle risorse aziendali, incluse risorse cloud e licenze, per finalità personali o a beneficio di terzi, salvo espressa autorizzazione.

Art. 8 — Salute, sicurezza, lavoro e ambiente

8.1 Salute e sicurezza sul lavoro

La Società rispetta la normativa in materia di salute e sicurezza sul lavoro e considera la sicurezza un obiettivo non negoziabile. I Destinatari rispettano le misure di prevenzione adottate, utilizzano le attrezzature e i dispositivi di protezione forniti, non rimuovono né disattivano misure di sicurezza, segnalano situazioni di rischio e quasi infortuni e osservano le regole di sicurezza delle sedi dei clienti in cui operano. Nessuna urgenza produttiva o commerciale può giustificare l'omissione di una misura di sicurezza, e la segnalazione di un rischio per la sicurezza non può mai esporre il segnalante ad alcuna conseguenza sfavorevole.

8.2 Regolarità del lavoro e tutela delle condizioni di lavoro

La Società impiega personale esclusivamente sulla base di contratti regolari, rispetta la contrattazione collettiva applicabile e gli obblighi previdenziali, non impiega persone non aventi titolo a lavorare, non ricorre all'intermediazione di manodopera al di fuori dei casi consentiti dalla legge e non tollera condizioni di sfruttamento. La Società esige i medesimi standard da appaltatori e fornitori che operano per suo conto e ne verifica il rispetto ove il loro personale operi presso le sedi della Società o di un cliente.

8.3 Responsabilità ambientale

La Società rispetta la normativa ambientale, in particolare per quanto riguarda la gestione e lo smaltimento delle apparecchiature elettriche ed elettroniche e dei rifiuti che produce, e gestisce il consumo energetico dell'infrastruttura che utilizza con attenzione all'efficienza. Sono vietate le condotte idonee a integrare un reato ambientale, incluso lo smaltimento irregolare.

Art. 9 — Segnalazione delle violazioni e tutela del segnalante

9.1 Che cosa può essere segnalato

Ogni Destinatario, e chiunque venga a conoscenza di informazioni rilevanti in un contesto lavorativo, inclusi candidati, ex collaboratori, tirocinanti e personale di fornitori e partner, può segnalare condotte che ragionevolmente ritenga costituire una violazione del presente Codice, della legge, inclusi i reati rilevanti ai sensi del Decreto Legislativo 231/2001, o del diritto dell'Unione europea nelle materie coperte dal Decreto Legislativo 10 marzo 2023, n. 24. Una segnalazione può riguardare una violazione già avvenuta, in corso oppure che, sulla base di elementi concreti, è probabile che si verifichi.

9.2 Canale interno di segnalazione

La Società mette a disposizione un canale interno di segnalazione costituito da:

• un canale scritto tramite posta elettronica all'indirizzo whistleblowing@devibrain.com, accessibile esclusivamente al soggetto designato come Gestore delle Segnalazioni e segregato dalle caselle di posta aziendali ordinarie;

• un canale scritto tramite posta ordinaria, in doppia busta sigillata contrassegnata come personale e riservata, indirizzata al Gestore delle Segnalazioni presso la sede legale della Società;

• un canale orale, mediante incontro diretto richiesto attraverso uno dei canali sopra indicati e tenuto, a scelta del segnalante, in presenza o in collegamento da remoto, entro quindici giorni dalla richiesta; l'incontro è documentato, con il consenso del segnalante, mediante registrazione o verbale sottoposto al medesimo per verifica.

Le segnalazioni possono essere effettuate in forma anonima e sono trattate allo stesso modo, nella misura in cui le informazioni fornite consentano una valutazione.

9.3 Gestione delle segnalazioni

Il Gestore delle Segnalazioni è designato per iscritto dall'organo amministrativo, agisce in autonomia ed è vincolato alla riservatezza. Il Gestore delle Segnalazioni dà avviso di ricevimento della segnalazione al segnalante entro sette giorni dalla ricezione, svolge gli accertamenti necessari, richiede ulteriori informazioni ove occorra e fornisce riscontro sulle azioni intraprese o programmate entro tre mesi dall'avviso di ricevimento oppure, in mancanza di avviso, entro tre mesi dalla scadenza del termine di sette giorni. Ove la segnalazione riguardi il Gestore delle Segnalazioni, un membro dell'organo amministrativo o un soggetto cui il Gestore delle Segnalazioni riferisce, la segnalazione è trattata da un professionista esterno indipendente designato in anticipo dall'organo amministrativo a tale scopo, e il segnalante può in ogni caso utilizzare il canale esterno di cui alla clausola 9.6.

9.4 Riservatezza e protezione dei dati personali

L'identità del segnalante, delle persone coinvolte e di ogni persona menzionata nella segnalazione, unitamente al contenuto della segnalazione e alla relativa documentazione, è mantenuta riservata e non può essere divulgata senza il consenso espresso del segnalante, salvo che la divulgazione sia obbligatoria per legge nell'ambito di procedimenti e nei limiti ivi previsti. L'accesso al canale e al fascicolo è riservato ai soggetti designati ai sensi della clausola 9.3. Le segnalazioni e la relativa documentazione sono conservate per il tempo necessario alla loro gestione e comunque per non oltre cinque anni dalla comunicazione dell'esito finale. I dati personali manifestamente non utili alla gestione della segnalazione non sono raccolti oppure, se raccolti, sono cancellati senza ritardo.

9.5 Divieto di ritorsione

È vietata ogni ritorsione nei confronti di chi abbia effettuato una segnalazione, abbia assistito un segnalante o sia a questi collegato. Costituiscono ritorsione il licenziamento, la sospensione, il demansionamento, la mancata promozione, il mutamento di mansioni o di luogo di lavoro, la riduzione della retribuzione, l'esclusione dalla formazione, la valutazione negativa, le misure disciplinari, la coercizione, l'ostracismo, la risoluzione anticipata o il mancato rinnovo di un contratto di fornitura di beni o servizi, nonché ogni altra misura sfavorevole adottata in ragione della segnalazione. Ogni misura adottata nei confronti di un segnalante successivamente a una segnalazione si presume, nei termini previsti dalla legge, ritorsiva, salvo che la Società provi che essa è fondata su ragioni estranee alla segnalazione. Coloro che effettuano una segnalazione beneficiano delle misure di protezione previste dal Decreto Legislativo 24/2023, incluse le limitazioni di responsabilità nei casi ivi previsti, e possono segnalare la ritorsione all'Autorità Nazionale Anticorruzione, che può irrogare sanzioni amministrative fino a EUR 50.000 per la ritorsione, per l'ostacolo a una segnalazione o per la mancata istituzione o la non corretta gestione dei canali di segnalazione.

9.6 Canale esterno e divulgazione pubblica

Il segnalante può utilizzare il canale esterno dell'Autorità Nazionale Anticorruzione ove il canale interno non sia attivo o non sia conforme alla legge, ove a una segnalazione interna non sia stato dato seguito, ove sussistano ragionevoli motivi per ritenere che a una segnalazione interna non verrebbe dato seguito effettivo o che essa esporrebbe il segnalante a un rischio di ritorsione, ovvero ove la violazione possa costituire un pericolo imminente o palese per il pubblico interesse. La divulgazione pubblica è tutelata nei casi e nei limiti previsti dalla legge. L'utilizzo del canale interno è incoraggiato ma non costituisce condizione della tutela ove ricorrano le predette condizioni.

9.7 Divieto di abuso del canale

È vietato effettuare una segnalazione che il segnalante sa essere falsa, o effettuata allo scopo di arrecare pregiudizio a una persona, e ciò costituisce illecito disciplinare, ferma ogni responsabilità prevista dalla legge. Il mero fatto che una segnalazione non trovi conferma all'esito degli accertamenti non costituisce mai abuso e non espone mai il segnalante ad alcuna conseguenza, ove la segnalazione sia stata effettuata sulla base di un ragionevole convincimento.

9.8 Evoluzione del canale

La Società applica gli standard del presente Articolo su base volontaria, nella consapevolezza che l'obbligo di istituire un canale interno di segnalazione sorge per legge ove la Società abbia impiegato nell'anno precedente una media di almeno cinquanta lavoratori subordinati, oppure ove adotti un modello di organizzazione, gestione e controllo ai sensi del Decreto Legislativo 231/2001. Al verificarsi di una di tali condizioni, e comunque ove il volume delle segnalazioni lo richieda, il canale descritto alla clausola 9.2 è migrato su una piattaforma dedicata che garantisca cifratura, segregazione degli accessi, gestione del dialogo anonimo e un audit trail completo, e della migrazione è data notizia ai Destinatari ai sensi dell'Articolo 11.

Art. 10 — Conseguenze disciplinari e contrattuali

10.1 Principi

La violazione del presente Codice è sanzionata indipendentemente dal fatto che ne derivi un danno per la Società e indipendentemente dal fatto che essa costituisca reato. Le sanzioni sono proporzionate alla gravità della condotta, al grado della colpa, alla posizione del soggetto e all'eventuale recidiva, e sono applicate all'esito di un procedimento che garantisce la preventiva contestazione dei fatti e il diritto dell'interessato di essere sentito e di presentare le proprie difese nel termine previsto dalla legge e dal contratto collettivo applicabili.

10.2 Dipendenti

Per i dipendenti, la violazione del presente Codice costituisce inadempimento degli obblighi di cui agli articoli 2104 e 2105 del codice civile ed è sanzionata, in conformità all'articolo 7 della legge 20 maggio 1970, n. 300 e al contratto collettivo nazionale di lavoro applicabile al rapporto, con una delle seguenti misure secondo la gravità: rimprovero verbale, rimprovero scritto, multa non superiore a quattro ore di retribuzione, sospensione dal lavoro e dalla retribuzione fino a dieci giorni, licenziamento per giustificato motivo soggettivo o per giusta causa nei casi più gravi, in particolare ove la condotta sia idonea a esporre la Società a responsabilità ai sensi del Decreto Legislativo 231/2001, comporti la deliberata falsificazione di documenti o di scritture contabili, la divulgazione o l'appropriazione di informazioni riservate o di codice sorgente, la compromissione delle chiavi di licensing, un atto di ritorsione nei confronti di un segnalante, ovvero una condotta che metta in pericolo la sicurezza delle persone.

10.3 Soggetti con funzioni direttive

Per i dirigenti e per coloro che dirigono il lavoro altrui, le sanzioni della clausola 10.2 si applicano con l'ulteriore considerazione del maggiore dovere di esempio e di vigilanza. L'omessa vigilanza, ove abbia reso possibile una violazione da parte di un sottoposto, è essa stessa sanzionabile.

10.4 Membri degli organi sociali

Ove una violazione sia attribuibile a un membro dell'organo amministrativo o di altro organo sociale, il soggetto che tratta la vicenda ne informa l'assemblea dei soci, la quale adotta le misure appropriate, inclusa la revoca dell'incarico, la revoca dei poteri conferiti e l'esercizio dell'azione di responsabilità, ferma ogni altra tutela disponibile per la Società.

10.5 Terzi

Ove una violazione sia attribuibile a un consulente, appaltatore, fornitore, agente, partner o rivenditore, la Società può, secondo la gravità della condotta, chiederne l'immediata cessazione, sospendere l'esecuzione del contratto, rifiutare il rinnovo del contratto, risolvere il contratto con effetto immediato ai sensi della clausola risolutiva espressa di cui alla clausola 2.5 e chiedere il risarcimento del danno subito, incluso il danno reputazionale.

10.6 Rapporto con la tutela del segnalante

Nessuna misura prevista dal presente Articolo può essere adottata nei confronti di una persona in ragione di una segnalazione effettuata in conformità all'Articolo 9. L'adozione di una misura disciplinare in violazione della presente clausola costituisce essa stessa grave illecito disciplinare per il soggetto che l'ha adottata.

Art. 11 — Governance, diffusione, formazione e aggiornamento

11.1 Titolarità e interpretazione

Il presente Codice è approvato, modificato e interpretato dall'organo amministrativo di DevIBrain, il quale designa per iscritto la funzione responsabile della sua applicazione, della tenuta dei registri degli omaggi e dei conflitti e della gestione delle segnalazioni ai sensi dell'Articolo 9. Fino all'adozione di un modello di organizzazione, gestione e controllo dotato di organismo di vigilanza autonomo, le funzioni di monitoraggio descritte nel presente Codice sono svolte dall'organo amministrativo, che ne riferisce almeno una volta all'anno.

11.2 Diffusione

Il presente Codice è pubblicato sul sito aziendale e reso permanentemente disponibile a dipendenti e collaboratori, è consegnato a ogni nuovo dipendente, collaboratore e consulente all'inizio del rapporto ed è allegato ai contratti con fornitori, partner e rivenditori ai sensi della clausola 2.5. Ove la Società adotti una nuova versione, i Destinatari ne sono informati e la nuova versione è resa disponibile con le medesime modalità.

11.3 Formazione

La Società eroga formazione sui contenuti del presente Codice a ogni dipendente e collaboratore entro trenta giorni dall'inizio del rapporto, nonché formazione di aggiornamento almeno ogni ventiquattro mesi e ogniqualvolta sia adottata una modifica significativa. La formazione è documentata e le relative registrazioni sono conservate. Coloro che operano nelle aree di esposizione elencate alla clausola 3.8 ricevono formazione specifica su tali aree.

11.4 Richieste di chiarimento

Ogni Destinatario che abbia un dubbio in ordine all'applicazione del presente Codice a una situazione concreta può rivolgere una richiesta di chiarimento alla funzione designata ai sensi della clausola 11.1, e deve farlo prima di agire ove il dubbio riguardi una condotta idonea a costituire una violazione. Una richiesta di chiarimento formulata in buona fede non espone mai chi la formula ad alcuna conseguenza sfavorevole.

11.5 Revisione

Il presente Codice è rivisto almeno ogni ventiquattro mesi e ogniqualvolta mutamenti della normativa, dell'organizzazione o dell'attività della Società lo richiedano, in particolare in occasione dell'adozione di un modello di organizzazione, gestione e controllo, dell'istituzione di un organismo di vigilanza, del raggiungimento della soglia occupazionale di cui alla clausola 9.8 e di un mutamento significativo dei prodotti forniti. Ciascuna versione reca un numero di versione e una data; la versione in vigore è la più recente pubblicata ai sensi della clausola 11.2.

Art. 12 — Disposizioni finali

12.1 Entrata in vigore

Il presente Codice, nella versione 1.0, entra in vigore il 10 agosto 2026 e sostituisce ogni precedente enunciazione di principi etici della Società.

12.2 Legge applicabile e lingua

Il presente Codice è regolato dalla legge italiana. Il testo inglese è il testo facente fede; ogni traduzione è fornita a soli fini di cortesia e, in caso di difformità, prevale il testo inglese.

12.3 Rapporto con i contratti e con la legge

Il presente Codice non modifica, e non deve essere interpretato come modificativo del, contenuto contrattuale concordato fra la Società e i suoi clienti, fornitori o partner, né limita alcun obbligo imposto da norme imperative. Ove una disposizione del presente Codice sia o divenga invalida o inefficace, le restanti disposizioni continuano ad applicarsi e la disposizione invalida è sostituita dalla disposizione lecita più prossima all'intento da essa espresso.

12.4 Contatti

Le richieste di chiarimento, le comunicazioni relative al presente Codice e le segnalazioni diverse da quelle disciplinate dall'Articolo 9 possono essere indirizzate a DEVIBRAIN S.R.L., Via Coghetti 6, 24128 Bergamo (BG), Italia, posta elettronica certificata devibrain@pec.it, posta elettronica support@devibrain.com. Le segnalazioni di cui all'Articolo 9 sono indirizzate esclusivamente ai canali indicati alla clausola 9.2.

Allegato 1 — Presa d'atto e impegno dei terzi

La sottoscritta controparte, in relazione al rapporto contrattuale in essere con DEVIBRAIN S.R.L., dichiara:

1. di aver ricevuto e letto il Codice Etico di DEVIBRAIN S.R.L., codice IUX-IT-36, versione 1.0 del 10 agosto 2026;

2. di impegnarsi a rispettarlo, e a far sì che lo rispettino i propri amministratori, dipendenti, collaboratori e subappaltatori impiegati nell'esecuzione del contratto, nell'esecuzione del rapporto contrattuale;

3. di riconoscere che una grave violazione di tale Codice legittima DEVIBRAIN S.R.L. a risolvere il contratto con effetto immediato ai sensi dell'articolo 1456 del codice civile, fermo il risarcimento del danno;

4. di essere stata informata dei canali di segnalazione di cui all'Articolo 9 di tale Codice e di impegnarsi a non adottare alcuna misura ritorsiva nei confronti di chi effettui una segnalazione attraverso tali canali;

5. che non sussiste alcuna situazione di conflitto di interessi rispetto a DEVIBRAIN S.R.L. diversa da quelle comunicate per iscritto prima della sottoscrizione della presente presa d'atto.

Luogo e data: ______________________________

Nota di validazione

Il presente testo è una release candidate, versione 1.0, del Codice Etico di DEVIBRAIN S.R.L. Esso è stato predisposto sulla base della normativa e della giurisprudenza individuate come vigenti alla data del 10 agosto 2026 e delle decisioni interne registrate alla medesima data. Non costituisce parere legale e non sostituisce la valutazione professionale di un avvocato qualificato o, per quanto riguarda le disposizioni sui dati personali e sul canale di segnalazione, di un responsabile della protezione dei dati. L'adozione del presente testo verso dipendenti, collaboratori e terzi richiede la sua preventiva validazione da parte di un professionista qualificato, la verifica della coerenza dei valori che enuncia con la realtà organizzativa della Società al momento dell'adozione e l'approvazione formale da parte dell'organo amministrativo.

IUX-IT-36 · v1.0 · 2026-08-11 · IndustryUX® è un marchio registrato di DEVIBRAIN S.r.l.