Accordo sul trattamento dei dati (art. 28 GDPR)

Il presente accordo è parte integrante dei Termini di Servizio (art. 5.1) e regola il trattamento di dati personali tra il Cliente, che agisce come titolare del trattamento, e Davide Salvatore Dicorato, domiciliato in Via Professor Raffaello Piracci 12, Trani (BT), email support@replyzer.it, che agisce come responsabile del trattamento ("Responsabile").

1. Oggetto e durata

Il Responsabile tratta i dati personali per conto del Cliente al solo scopo di erogare il servizio Replyzer. L'accordo ha la stessa durata del contratto di servizio e resta efficace fino alla restituzione e cancellazione dei dati prevista al punto 11.

2. Natura e finalità del trattamento

Il trattamento consiste nella ricezione, conservazione, elaborazione automatizzata (anche tramite sistemi di intelligenza artificiale) e messa a disposizione del Cliente dei messaggi scambiati tra i suoi clienti finali e l'assistente digitale, nella gestione delle prenotazioni tramite Google Calendar e nell'invio delle relative comunicazioni. La finalità è rispondere ai clienti finali e gestire le loro richieste per conto del Cliente.

3. Categorie di dati e di interessati

• Interessati: i clienti finali del Cliente che scrivono all'assistente o prenotano tramite la chat.
• Dati: contenuto dei messaggi e degli eventuali allegati, nome e recapiti forniti dall'interessato per prenotare, dati della prenotazione (servizio, data e ora).

Il Cliente non affida al servizio dati relativi alla salute o di altre categorie particolari (art. 9 GDPR) né dati relativi a condanne penali, salvo disporre di una base giuridica adeguata e averne informato gli interessati (art. 3.4 dei Termini).

4. Istruzioni documentate del titolare

Il Responsabile tratta i dati solo secondo le istruzioni documentate del Cliente, che sono costituite dal presente accordo, dai Termini di Servizio e dalle impostazioni che il Cliente configura nella dashboard. Il Responsabile informa il Cliente se ritiene che un'istruzione violi la normativa sulla protezione dei dati.

5. Uso dei dati e richieste delle autorità

Il Responsabile non usa i dati personali per scopi propri, salvo statistiche aggregate e anonime. Può dar seguito a richieste di autorità competenti, informando il Cliente ove consentito dalla legge.

6. Riservatezza del personale

Il Responsabile garantisce che le persone autorizzate al trattamento siano vincolate da un obbligo di riservatezza e accedano ai dati solo se necessario per erogare il servizio.

7. Misure di sicurezza (art. 32 GDPR)

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio, tra cui autenticazione e controllo degli accessi, separazione dei dati tra i diversi clienti, trasmissione dei dati su canali cifrati e limitazione dei privilegi di accesso. Le misure sono riviste periodicamente.

8. Sub-responsabili

Il Cliente autorizza in via generale il ricorso a sub-responsabili, elencati nella sezione Fornitori e sub-responsabili della Privacy Policy. Il Responsabile impone a ciascuno obblighi di protezione dei dati equivalenti a quelli del presente accordo e risponde nei confronti del Cliente del loro operato. Prima di aggiungere o sostituire un sub-responsabile, il Responsabile informa il Cliente con un preavviso di 15 giorni, via email o in dashboard; entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se non si trova una soluzione, il Cliente può disdire il servizio senza penali.

9. Assistenza per i diritti degli interessati

Tenuto conto della natura del trattamento, il Responsabile assiste il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15-22 GDPR). Se riceve direttamente una richiesta di un interessato, la inoltra al Cliente senza ingiustificato ritardo. L'export in dashboard (impostazioni, sezione "Dati e privacy") permette al Cliente di accedere ai dati trattati e di ottenerli in un formato portabile (JSON e CSV).

10. Violazioni dei dati personali

Il Responsabile notifica al Cliente ogni violazione di dati personali di cui venga a conoscenza senza ingiustificato ritardo, fornendo le informazioni disponibili per consentire al Cliente di adempiere ai propri obblighi di notifica (artt. 33-34 GDPR).

11. Cancellazione o restituzione dei dati

Alla cessazione del servizio, e con le stesse tempistiche dell'art. 8 dei Termini (cambio fornitore e portabilità dei dati), il Cliente ha 30 giorni per recuperare i dati; decorso il termine il Responsabile cancella i dati personali trattati per conto del Cliente, salvo obblighi di legge che ne impongano la conservazione.

12. Verifiche

Il Responsabile mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consente verifiche, anche tramite un revisore incaricato dal Cliente, previa richiesta motivata, con ragionevole preavviso e senza compromettere la sicurezza o i diritti di altri clienti.

13. Trasferimenti extra-UE

Il Responsabile trasferisce dati fuori dallo Spazio Economico Europeo solo se il trasferimento è coperto da una decisione di adeguatezza della Commissione europea (ad esempio il EU-US Data Privacy Framework per i fornitori aderenti) o da clausole contrattuali standard, come indicato nella Privacy Policy.