Data Processing Agreement (DPA)

1.Premesse

Il presente Data Processing Agreement (“DPA”) costituisce Allegato A delle Condizioni Generali di Servizio (“Contratto”) e ne forma parte integrante e sostanziale. Disciplina i trattamenti di dati personali svolti da Stepcode SRL per conto del Cliente nell’ambito dell’erogazione del software e dei servizi Supportfast.ai.

1. Il Cliente, sottoscrivendo le Condizioni Generali e attivando il servizio, accetta integralmente il presente DPA.
2. Il Responsabile dichiara di disporre dell’esperienza, dell’affidabilità e delle risorse tecniche e organizzative necessarie per svolgere i trattamenti previsti, in conformità al GDPR e alla normativa nazionale applicabile.
3. I trattamenti effettuati dal Responsabile in esecuzione del Contratto avvengono esclusivamente su istruzioni documentate del Titolare, come specificate nel Contratto, nel presente DPA, nelle configurazioni operate dal Cliente in console e nelle eventuali ulteriori istruzioni scritte fornite dal Titolare.
4. Il presente DPA prevale, in caso di conflitto, sulle altre disposizioni contrattuali per gli aspetti relativi al trattamento dei dati personali, fatta salva l’Informativa sulla Privacy, da considerarsi documento complementare.

Tutto ciò premesso, il Cliente conferisce a Stepcode SRL l’incarico di Responsabile del trattamento dei dati personali ai sensi e per gli effetti dell’art. 28 GDPR, secondo i termini e le modalità di seguito definiti.

2.Definizioni

Oltre ai termini definiti nel Contratto, nel presente DPA i seguenti termini con iniziale maiuscola assumono il significato indicato:

2.1 “Dati Personali”: qualsiasi informazione relativa a una persona fisica identificata o identificabile (Interessato), trattata dal Responsabile per conto del Titolare in esecuzione del Contratto.

2.2 “Categorie Particolari di Dati”: i dati di cui all’art. 9 GDPR.

2.3 “GDPR”: il Regolamento (UE) 2016/679.

2.4 “Garante Privacy”: l’Autorità garante italiana per la protezione dei dati personali.

2.5 “Interessato”: la persona fisica identificata o identificabile a cui si riferiscono i Dati Personali. Nel contesto del presente DPA, gli Interessati sono principalmente gli utenti finali del Cliente che interagiscono con i chatbot e gli assistenti vocali distribuiti tramite Supportfast.ai.

2.6 “Trattamento”: qualsiasi operazione applicata ai Dati Personali, automatizzata o non.

2.7 “Sub-responsabile”: il soggetto terzo di cui il Responsabile si avvale per svolgere specifiche attività di trattamento per conto del Titolare, ai sensi dell’art. 28, par. 2, 3 e 4 GDPR.

2.8 “Violazione dei Dati Personali”: la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato ai Dati Personali.

2.9 “Dati Cliente”: l’insieme dei contenuti, configurazioni, basi di conoscenza, log conversazionali, registrazioni audio e ogni altro dato che il Cliente o gli utenti finali caricano o generano tramite la piattaforma.

2.10 “DPF”: il EU-U.S. Data Privacy Framework, oggetto della decisione di adeguatezza della Commissione Europea del 10 luglio 2023.

2.11 “SCC”: le clausole contrattuali tipo adottate dalla Commissione Europea con decisione 2021/914/UE.

3.Oggetto e ambito dell’incarico

3.1 Il Cliente, con la sottoscrizione del Contratto, nomina Stepcode SRL Responsabile del trattamento ai sensi dell’art. 28 GDPR, autorizzandolo a trattare i Dati Personali per conto del Titolare, esclusivamente per le finalità, secondo le istruzioni e nei limiti definiti dal presente DPA.

3.2 L’oggetto del trattamento comprende:

• Modulo chat: configurazione, esecuzione e gestione dei chatbot del Cliente sui canali sito web, WhatsApp Business, Instagram, Facebook Messenger, e-mail.
• Modulo voice (Centralino AI): configurazione, esecuzione e gestione degli assistenti vocali, inclusi trascrizione vocale, sintesi vocale e logica conversazionale.
• Storage e log: conservazione di conversazioni, configurazioni, base di conoscenza, registrazioni audio (ove abilitate) e metadati operativi.
• Integrazioni: collegamento con sistemi terzi configurati dal Cliente.
• Reportistica e analytics: generazione di statistiche aggregate sulle conversazioni.
• Supporto tecnico: assistenza al Cliente, con eventuale accesso temporaneo ai Dati Cliente strettamente necessario.

3.3 Il presente DPA non disciplina i trattamenti svolti da Stepcode SRL in qualità di Titolare autonomo per i propri scopi (account, fatturazione, marketing verso il Cliente, sicurezza dei sistemi), regolati dall’Informativa sulla Privacy.

4.Categorie di dati personali e interessati

4.1 Le categorie di Dati Personali e di Interessati trattati dal Responsabile per conto del Titolare sono dettagliate nell’Allegato C.

4.2 Categorie Particolari di Dati (art. 9 GDPR)

Il Cliente si impegna a configurare il servizio in modo da non sollecitare, raccogliere o indurre gli utenti finali a comunicare Categorie Particolari di Dati senza idonea base giuridica ai sensi dell’art. 9, par. 2 GDPR e senza informativa adeguata. Qualora tali categorie debbano essere trattate, il Cliente è tenuto a darne preventiva comunicazione al Responsabile e a richiedere un addendum specifico al presente DPA.

4.3 Su richiesta scritta del Titolare, il Responsabile aggiorna, modifica, corregge o cancella i Dati Personali trattati entro 15 giorni dalla ricezione della richiesta, salvo ostino obblighi di legge.

5.Finalità del trattamento e istruzioni del Titolare

5.1 Il Responsabile tratta i Dati Personali esclusivamente per le seguenti finalità, in stretta esecuzione del Contratto:

1. Erogazione del software e dei servizi Supportfast.ai così come configurati dal Cliente.
2. Esecuzione delle istruzioni operative impartite dal Cliente tramite la console o per iscritto.
3. Erogazione del supporto tecnico richiesto dal Cliente.
4. Adempimento di obblighi di legge cui il Responsabile è soggetto, comunicandolo previamente al Titolare salvo divieto di legge.

5.2 Il Responsabile non utilizza i Dati Cliente per finalità proprie ulteriori rispetto a quelle elencate. In particolare, i Dati Cliente non sono utilizzati per l’addestramento o il miglioramento di modelli di intelligenza artificiale (vedi Sezione 7).

5.3 Il Responsabile può trattare i Dati Personali in forma aggregata e anonimizzata — non più riconducibile ad alcun Interessato — per finalità statistiche interne, di sicurezza e di miglioramento operativo del servizio.

5.4 Qualora il Responsabile ritenga che un’istruzione del Titolare violi il GDPR o altre disposizioni applicabili, ne informa immediatamente il Titolare e si riserva di sospendere l’esecuzione dell’istruzione fino a chiarimento.

6.Obblighi del Responsabile

Il Responsabile si impegna a:

1. Rispettare integralmente il GDPR e la normativa privacy applicabile.
2. Trattare i Dati Personali esclusivamente su istruzioni documentate del Titolare, salvo gli obblighi di legge di cui all’art. 28, par. 3, lett. a) GDPR.
3. Garantire che le persone autorizzate al trattamento siano vincolate da un obbligo di riservatezza e formate periodicamente.
4. Adottare e mantenere le misure tecniche e organizzative descritte nell’Allegato B, idonee a garantire un livello di sicurezza adeguato al rischio (art. 32 GDPR).
5. Tenere un registro delle attività di trattamento svolte per conto del Titolare, ai sensi dell’art. 30, par. 2 GDPR.
6. Notificare al Titolare ogni richiesta degli Interessati relativa all’esercizio dei diritti di cui agli artt. 15-22 GDPR, senza ritardo e comunque entro 5 giorni lavorativi.
7. Comunicare al Titolare ogni contestazione, accertamento o procedimento promosso da Autorità in merito ai trattamenti oggetto del presente DPA.
8. Assistere il Titolare nell’adempimento degli obblighi di cui agli artt. 32-36 GDPR.
9. Selezionare i Sub-responsabili con la dovuta diligenza e imporre loro per iscritto obblighi equivalenti a quelli previsti dal presente DPA.
10. Restituire o cancellare i Dati Personali al termine del Contratto, secondo le modalità della Sezione 14.

7.Divieto di utilizzo per addestramento di sistemi di intelligenza artificiale

7.1 Il Responsabile utilizza esclusivamente fornitori di modelli di intelligenza artificiale configurati in modalità tale da escludere il riutilizzo dei dati trasmessi per l’addestramento dei loro modelli (modalità opt-out from training o zero data retention for training).

7.2 Il Responsabile garantisce che i Sub-responsabili che forniscono modelli AI (attualmente OpenAI, LLC; eventuali futuri fornitori saranno comunicati con preavviso ai sensi della Sezione 8) siano contrattualmente vincolati al medesimo divieto e, ove disponibili, alle API o agli endpoint che escludono l’utilizzo dei dati trasmessi per finalità di addestramento.

7.3 Il Responsabile può tuttavia utilizzare dati aggregati e anonimizzati, non più riconducibili ad alcun Interessato, per finalità di miglioramento del servizio. Tale utilizzo è limitato a metriche tecniche, statistiche d’uso e analisi di sicurezza, e non comporta in alcun caso il trattamento di Dati Personali.

8.Sub-responsabili del trattamento e modalità BYOK

8.1 Il Titolare, con la sottoscrizione del presente DPA, conferisce al Responsabile autorizzazione generale a ricorrere a Sub-responsabili per le attività di trattamento necessarie all’esecuzione del Contratto, ai sensi dell’art. 28, par. 2 GDPR.

8.2 L’elenco aggiornato dei Sub-responsabili è disponibile pubblicamente all’indirizzo supportfast.ai/it/sub-processors e nell’Allegato A al presente DPA.

8.3 Il Responsabile seleziona i Sub-responsabili sulla base di criteri di affidabilità, sicurezza e conformità, e impone loro per iscritto, mediante accordi ai sensi dell’art. 28 GDPR, obblighi equivalenti a quelli previsti nel presente DPA, incluso il divieto di utilizzo dei Dati Cliente per finalità di training AI di cui alla Sezione 7.

8.4 Notifica delle modifiche. Il Responsabile comunica al Titolare ogni modifica dell’elenco dei Sub-responsabili (aggiunta o sostituzione) con un preavviso di almeno 30 giorni, tramite pubblicazione sulla pagina dedicata, avviso in console e per modifiche sostanzial comunicazione via e-mail.

8.5 Diritto di opposizione. Il Titolare può opporsi per motivi legittimi e documentati a una modifica dell’elenco dei Sub-responsabili entro il termine di preavviso. In tal caso, le Parti negoziano in buona fede una soluzione; in assenza di accordo, il Titolare può recedere dal Contratto senza penalità.

8.6 Il Responsabile risponde nei confronti del Titolare delle violazioni del GDPR commesse dai Sub-responsabili nei limiti previsti dall’art. 28, par. 4 GDPR.

8.7 Modalità Bring Your Own Key (BYOK)

8.7.1 Il Titolare può scegliere di configurare i propri Chatbot utilizzando una chiave API di propria intestazione verso un provider di modelli di intelligenza artificiale (ad esempio una chiave OpenAI dell’account del Titolare). In tale modalità, i dati conversazionali transitano direttamente dal sistema del Responsabile al provider AI utilizzando le credenziali del Titolare.

8.7.2 In modalità BYOK, il Titolare:

• È direttamente responsabile della selezione del provider AI e della verifica dei suoi termini di servizio, informativa privacy e accordo art. 28 GDPR.
• Risponde direttamente nei confronti degli Interessati per il trattamento svolto dal provider AI.
• Garantisce che la base giuridica per il trasferimento extra-UE dei dati al provider AI sia stata verificata e documentata.
• Manleva il Responsabile da pretese di terzi derivanti dal trattamento svolto in modalità BYOK presso il provider AI scelto.

9.Trasferimenti di dati al di fuori dell’Unione Europea

9.1 Il Responsabile privilegia l’utilizzo di Sub-responsabili con server ubicati nello Spazio Economico Europeo (SEE). L’infrastruttura applicativa principale e lo storage dei dati conversazionali sono ospitati su server collocati in territorio UE (Hetzner DE, Amazon S3 eu-central-1 Francoforte). Il modulo voice utilizza LiveKit Cloud con region pinning UE (Belgio).

9.2 Per i Sub-responsabili che trattano dati al di fuori del SEE (in particolare i fornitori di modelli AI e CDN), il trasferimento avviene esclusivamente sulla base di:

Data Privacy Framework (DPF)

Ove il Sub-responsabile sia certificato al EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione UE del 10 luglio 2023), il trasferimento avviene sulla base di tale decisione. La certificazione è verificabile sul registro ufficiale dataprivacyframework.gov.

Standard Contractual Clauses (SCC)

Per i Sub-responsabili non certificati al DPF o ubicati in Paesi privi di decisione di adeguatezza, il Responsabile sottoscrive le Clausole Contrattuali Standard 2021/914/UE, integrate da misure supplementari tecniche e organizzative (cifratura, pseudonimizzazione) sulla base di valutazione documentata.

9.3 Su richiesta scritta del Titolare, il Responsabile rende disponibile, in forma redatta dove necessario per ragioni di confidenzialità commerciale, copia delle SCC sottoscritte con i singoli Sub-responsabili e il riepilogo delle valutazioni di impatto del trasferimento.

10.Misure tecniche e organizzative di sicurezza

10.1 Il Responsabile adotta e mantiene le misure tecniche e organizzative elencate nell’Allegato B, idonee a garantire un livello di sicurezza adeguato al rischio, ai sensi dell’art. 32 GDPR.

10.2 Le misure includono, a titolo non esaustivo: cifratura in transito (TLS 1.2/1.3) e a riposo, autenticazione robusta con MFA opzionale, controlli di accesso basati su ruoli, audit log degli accessi amministrativi, segregazione logica dei dati per Cliente, backup periodici con procedure di disaster recovery, monitoraggio continuo della sicurezza, gestione delle vulnerabilità, formazione del personale.

10.3 Il Responsabile rivede e aggiorna periodicamente le misure di sicurezza per tenere conto dell’evoluzione tecnologica e dei rischi.

11.Assistenza al Titolare

11.1 Il Responsabile assiste il Titolare, con misure tecniche e organizzative adeguate, in particolare per:

• Diritti degli Interessati: gestione delle richieste di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Il Responsabile rende disponibili strumenti in console per l’esportazione e la cancellazione dei dati.
• Sicurezza e violazioni: come specificato nella Sezione 13.
• Valutazione d’impatto (DPIA): il Responsabile fornisce le informazioni tecniche ragionevolmente necessarie per la DPIA ex art. 35 GDPR.
• Consultazione preventiva: il Responsabile assiste il Titolare in eventuali consultazioni preventive con il Garante ex art. 36 GDPR.

11.2 L’assistenza fornita nell’ambito delle funzionalità standard della piattaforma è inclusa nel corrispettivo del Contratto. Attività di assistenza ulteriori o non standard possono essere fatturate al Titolare, previo preventivo scritto.

12.Audit e ispezioni

12.1 Il Responsabile mette a disposizione del Titolare ogni informazione ragionevolmente necessaria per dimostrare il rispetto degli obblighi previsti dall’art. 28 GDPR.

12.2 Modalità ordinaria. Il Titolare ha diritto di richiedere, con preavviso scritto di almeno 30 giorni, copia della documentazione relativa alle misure di sicurezza, alle certificazioni vigenti, ai report di audit interni e ai risultati di test di penetrazione, in forma redatta dove necessario per ragioni di confidenzialità.

12.3 Ispezione on-site. In circostanze eccezionali e motivate (es. incidente di sicurezza grave, sospetta non conformità documentata, richiesta di Autorità), il Titolare può richiedere un audit on-site, con preavviso scritto di almeno 60 giorni, da svolgersi durante l’orario di lavoro. L’audit è soggetto a obblighi di riservatezza e i costi sono a carico del Titolare, salvo emerga una violazione sostanziale del DPA da parte del Responsabile.

12.4 Il Responsabile può soddisfare gli obblighi della presente Sezione anche tramite la condivisione di report di audit di terze parti indipendenti (es. ISO 27001, SOC 2), ove disponibili.

13.Violazione dei dati personali (data breach)

13.1 In caso di Violazione dei Dati Personali trattati per conto del Titolare, anche se causata da un Sub-responsabile, il Responsabile:

1. Notifica al Titolare senza ingiustificato ritardo e, in ogni caso, entro 48 ore dalla conoscenza dell’evento, fornendo le informazioni di cui all’art. 33, par. 3 GDPR per quanto a propria conoscenza al momento.
2. Predispone e aggiorna un registro interno delle violazioni ai sensi dell’art. 33, par. 5 GDPR, con descrizione della natura della violazione, categorie e numero approssimativo di Interessati coinvolti, possibili conseguenze, misure adottate.
3. Adotta tempestivamente le misure tecniche e organizzative necessarie per contenere gli effetti della violazione.
4. Coopera con il Titolare e con eventuali Autorità competenti, fornendo tutta l’assistenza ragionevolmente necessaria.

13.2 La notifica al Garante Privacy ai sensi dell’art. 33 GDPR e l’eventuale comunicazione agli Interessati ai sensi dell’art. 34 GDPR restano a carico del Titolare. Il Responsabile fornisce il supporto necessario per consentire al Titolare di adempiere a tali obblighi entro i termini di legge.

13.3 Il termine di 48 ore di cui alla clausola 13.1 è specifico del rapporto tra Responsabile e Titolare ed è più stringente rispetto al termine di 72 ore previsto dall’art. 33 GDPR per la notifica del Titolare al Garante, al fine di consentire al Titolare di rispettare quest’ultimo termine.

14.Durata e fine del trattamento

14.1 Il presente DPA entra in vigore alla data di accettazione del Contratto e rimane efficace per tutta la durata dello stesso. Alla cessazione del Contratto, per qualsiasi causa, il DPA cessa automaticamente di produrre effetti, salvo per le disposizioni che per loro natura devono sopravvivere (es. riservatezza, responsabilità).

14.2 Fine del trattamento. Alla cessazione del Contratto, il Responsabile, salvo diversi obblighi di legge:

1. Conserva i Dati Cliente per un periodo di grazia di 30 giorni, durante il quale il Cliente può esportare i propri dati tramite gli strumenti disponibili in console o richiedere assistenza.
2. Trascorso il periodo di grazia, procede alla cancellazione dei Dati Cliente dagli ambienti di produzione e, entro ulteriori 90 giorni, dai backup di sistema, fatte salve le copie eventualmente necessarie per esigenze di legge o di difesa di un diritto.
3. Su richiesta esplicita del Titolare formulata prima della scadenza del periodo di grazia, restituisce i Dati Cliente in un formato strutturato e di uso comune (es. JSON, CSV).

14.3 Su richiesta, il Responsabile fornisce una conferma scritta dell’avvenuta cancellazione al termine dei periodi di cui sopra.

15.Responsabilità delle Parti

15.1 La responsabilità di ciascuna Parte ai sensi del presente DPA è regolata dall’art. 82 GDPR. Ciascuna Parte risponde per i danni causati da trattamenti effettuati in violazione del GDPR o del presente DPA.

15.2 Salvo quanto inderogabilmente previsto dalla legge, la responsabilità complessiva del Responsabile per danni derivanti dal presente DPA è soggetta ai medesimi limiti di responsabilità previsti dal Contratto, con esclusione dei danni cagionati con dolo o colpa grave.

15.3 Il Cliente, in qualità di Titolare, manleva il Responsabile da pretese di terzi derivanti da trattamenti effettuati su istruzioni del Titolare in violazione del GDPR, salvo che la violazione sia imputabile al Responsabile.

16.Comunicazioni e modifiche

16.1 Le comunicazioni relative al presente DPA sono effettuate per iscritto, agli indirizzi indicati nel Contratto o all’indirizzo [email protected] per le comunicazioni dirette al Responsabile.

16.2 Il Responsabile può modificare il presente DPA per riflettere evoluzioni normative, modifiche organizzative o miglioramenti nelle garanzie a favore del Titolare. Le modifiche sono comunicate al Titolare con un preavviso di almeno 30 giorni tramite e-mail e avviso in console. Il Titolare ha facoltà di recedere dal Contratto entro tale termine qualora ritenga le modifiche pregiudizievoli.

16.3 Aggiornamenti meramente formali, correzioni di refusi o aggiornamenti normativi non sostanziali possono essere effettuati senza preavviso, con segnalazione del cambio di versione nell’intestazione del documento.

17.Legge applicabile e foro competente

17.1 Il presente DPA è regolato dalla legge italiana.

17.2 Ogni controversia relativa alla validità, efficacia, interpretazione o esecuzione del presente DPA è devoluta in via esclusiva e inderogabile alla competenza del Foro di Verona.

Allegato A: Sub-responsabili del trattamento

L’elenco aggiornato e completo è disponibile alla pagina supportfast.ai/it/sub-processors. Quanto segue è una rappresentazione dei principali Sub-responsabili alla data di pubblicazione del presente DPA.

Il Responsabile può, nel corso del Contratto, sostituire, aggiungere o rimuovere Sub-responsabili secondo la procedura di cui alla Sezione 8. L’elenco aggiornato sulla pagina pubblica costituisce l’elenco vigente.

Allegato B: Misure tecniche e organizzative di sicurezza

Misure adottate dal Responsabile ai sensi dell’art. 32 GDPR, idonee a garantire un livello di sicurezza adeguato al rischio.

B.1 – Crittografia e protezione dei dati

• Crittografia in transito: TLS 1.2 minimo, TLS 1.3 preferito, su tutti i canali di comunicazione (HTTPS, API, webhook). Certificati gestiti tramite Cloudflare SSL.
• Crittografia a riposo: database e storage cifrati con algoritmi standard di settore (AES-256 o equivalenti).
• Gestione delle chiavi: rotazione periodica, separazione dei ruoli, conservazione sicura.

B.2 – Controllo degli accessi

• Autenticazione: username e password con requisiti di complessità; autenticazione a più fattori (MFA) disponibile.
• Autorizzazione: controllo degli accessi basato su ruoli (RBAC); principio del minimo privilegio.
• Gestione delle sessioni: token sicuri, scadenza automatica, possibilità di revoca centralizzata.
• Accessi amministrativi: limitati al personale strettamente necessario, soggetti ad audit log.

B.3 – Segregazione dei dati

• Segregazione logica dei dati per Cliente; nessun accesso incrociato tra Clienti.
• Identificatori opachi per le risorse principali; impossibilità di enumerare o accedere a dati di altri Clienti tramite manipolazione di identificatori.

B.4 – Sicurezza dell’infrastruttura

• Server gestiti su infrastruttura Hetzner (Germania, UE).
• Firewall di rete e a livello applicativo (WAF Cloudflare); protezione anti-DDoS.
• Monitoraggio continuo dei servizi (uptime, performance, anomalie).
• Hardening dei sistemi operativi; rimozione di servizi e porte non necessari.

B.5 – Gestione delle vulnerabilità

• Patching regolare dei sistemi operativi, dipendenze e librerie.
• Monitoraggio continuo delle vulnerabilità note (CVE) sulle dipendenze in uso.
• Revisione del codice prima del rilascio in produzione; ambienti di staging separati.
• Test di sicurezza periodici.

B.6 – Logging e audit

• Audit log degli accessi amministrativi e delle operazioni critiche.
• Log applicativi conservati per 12 mesi in forma pseudonima.
• Log degli amministratori di sistema conservati per 6 mesi minimi ex Provv. Garante 27/11/2008.
• Log di sicurezza conservati fino a 5 anni in caso di incidenti.

B.7 – Backup e disaster recovery

• Backup automatici periodici dei dati di produzione.
• Conservazione dei backup per un periodo limitato (max 90 giorni post-cancellazione).
• Procedure di disaster recovery documentate e testate periodicamente.

B.8 – Personale

• Designazione formale del personale autorizzato al trattamento ex art. 29 GDPR.
• Vincoli contrattuali di riservatezza per tutti i dipendenti e collaboratori.
• Formazione periodica in materia di GDPR, sicurezza informatica e procedure di gestione degli incidenti.
• Procedure di onboarding/offboarding con revoca tempestiva degli accessi.

B.9 – Gestione degli incidenti

• Procedura interna di gestione delle Violazioni dei Dati Personali documentata.
• Canali di segnalazione delle vulnerabilità ([email protected]).
• Registro interno delle violazioni ai sensi dell’art. 33, par. 5 GDPR.

B.10 – Sub-responsabili

• Selezione dei Sub-responsabili sulla base di criteri di sicurezza e conformità documentati.
• Accordi ai sensi dell’art. 28 GDPR con tutti i Sub-responsabili.
• Revisione periodica della sicurezza dei Sub-responsabili principali.

Allegato C: Categorie di dati e interessati

Specifiche del trattamento svolto dal Responsabile per conto del Titolare, ai sensi dell’art. 28, par. 3 GDPR.

C.1 – Natura e finalità del trattamento

Il trattamento consiste nell’erogazione del software e dei servizi Supportfast.ai così come configurati dal Titolare: configurazione dei chatbot e degli assistenti vocali, esecuzione delle conversazioni sui canali integrati, archiviazione e gestione delle conversazioni e degli audio, integrazione con sistemi terzi configurati dal Titolare, generazione di reportistica.

C.2 – Categorie di Interessati

• Utenti finali del Titolare che interagiscono con i chatbot e gli assistenti vocali (clienti, potenziali clienti, fornitori, contatti).
• Visitatori dei canali digitali del Titolare che utilizzano i bot.
• Collaboratori del Titolare autorizzati ad accedere alla console.

C.3 – Categorie di Dati Personali

C.4 – Categorie Particolari di Dati (art. 9 GDPR)

Per impostazione predefinita, il Responsabile non tratta Categorie Particolari di Dati. Qualora il Titolare configuri il servizio in modo da trattare tali categorie (es. chatbot in ambito sanitario), il Titolare è tenuto a darne preventiva comunicazione al Responsabile, a verificare la sussistenza di idonea base giuridica ai sensi dell’art. 9, par. 2 GDPR, a fornire adeguata informativa agli Interessati e a richiedere un addendum specifico al presente DPA.

C.5 – Durata del trattamento

Per tutta la durata del Contratto, con periodi di conservazione dei singoli dati definiti dalle configurazioni del Cliente in console e, in mancanza, dai valori di default:

• Log conversazioni chat: default 12 mesi, configurabile.
• Audio voce (se registrazione abilitata): default 30 giorni, configurabile.
• Trascrizioni voce: default 12 mesi, configurabile.
• Configurazioni e basi di conoscenza: per tutta la durata del Contratto.

Al termine del Contratto si applica la procedura di cui alla Sezione 14.