Accordo sul Trattamento dei Dati (DPA)

Bozza — in attesa di revisione legale esterna. Questo documento definisce i requisiti e le decisioni di prodotto che il testo definitivo dovrà riflettere; non è stato revisionato da un avvocato. Non costituisce consulenza legale né una versione finale pubblicabile.

Ultimo aggiornamento: [DATA DI ENTRATA IN VIGORE]

1. Oggetto

Il presente Accordo sul Trattamento dei Dati ("DPA") integra i Termini di Servizio stipulati tra ZARZA CORP, S.A. ("il Responsabile del trattamento", "noi") e il Workspace che sottoscrive un piano a pagamento di iNTELIGENCIA VIVA ("il Titolare del trattamento", "il Cliente"). Si applica esclusivamente ai piani a pagamento (Pro, Business, Enterprise), nell'ambito dei quali trattiamo i dati personali dei Contact del Cliente per suo conto. Non si applica alla Directory gratuita né al Plugin di WordPress gratuito, livelli che non inviano dati alla nostra infrastruttura.

In caso di conflitto tra il presente DPA e i Termini di Servizio in materia di trattamento dei dati personali, prevale il presente DPA.

2. Definizioni

Dati Personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile che il Cliente o i suoi Contact inseriscono nel Servizio.
Titolare del Trattamento (Controller): il Cliente, rispetto ai Dati Personali dei propri Contact e dei propri Agenti.
Responsabile del Trattamento (Processor): noi, rispetto agli stessi Dati Personali, che trattiamo esclusivamente per fornire il Servizio sottoscritto.
Interessato (Data Subject): la persona fisica cui si riferiscono i Dati Personali — tipicamente un Contact, e in alcuni casi un Agente del Cliente.
Sub-responsabile del trattamento: un terzo a cui ricorriamo per trattare Dati Personali per nostro conto, ai sensi della Sezione 6.
Incidente di Sicurezza: qualsiasi violazione della sicurezza che comporti la distruzione, la perdita, l'alterazione, la comunicazione o l'accesso non autorizzati a Dati Personali.

3. Durata

Il presente DPA entra in vigore alla data di accettazione dei Termini di Servizio da parte del Cliente e rimane in vigore finché il Cliente mantiene un Workspace su un piano a pagamento, nonché durante il successivo periodo di conservazione descritto nella Sezione 10.

4. Natura, finalità, durata e categorie del trattamento

Natura e finalità. Trattiamo Dati Personali per fornire la piattaforma di conversazione con i clienti: ricezione e instradamento dei messaggi, generazione di risposte di intelligenza artificiale, passaggio ad Agenti umani, ricerca semantica sulle fonti di conoscenza del Cliente, analitica aggregata e fatturazione dell'uso.

Durata. Per tutta la durata del contratto relativo al piano a pagamento, e per il periodo di conservazione configurato dal Cliente ai sensi della Sezione 10.

Categorie di Interessati. I Contact del Cliente (i suoi clienti finali) e, ove pertinente, gli Agenti del Cliente.

Categorie di Dati Personali. Identificativi di contatto a seconda del canale di origine (numero di telefono, nome utente, indirizzo e-mail), nome, contenuto dei messaggi scambiati, metadati della conversazione (canale, marca temporale, reparto, riepilogo generato dall'IA, etichette), e qualsiasi dato aggiuntivo che l'Interessato includa volontariamente nei propri messaggi.

5. Obblighi del Responsabile del trattamento

In qualità di Responsabile del trattamento, ci impegniamo a:

Trattare i Dati Personali esclusivamente in base alle istruzioni documentate del Cliente, espresse tramite la sua configurazione del Servizio e i presenti Termini, salvo che una legge ci obblighi a un trattamento diverso — nel qual caso, ove la legge lo consenta, informeremo il Cliente di tale obbligo legale prima di procedere.
Garantire che le persone autorizzate a trattare i Dati Personali siano vincolate da un impegno di riservatezza.
Attuare le misure tecniche e organizzative descritte nella Sezione 8, allineate alla Sezione 15 della nostra documentazione di prodotto: cifratura in transito e a riposo, chiavi API con ambito revocabile, firma HMAC dei webhook in uscita, e isolamento dei dati per Workspace in ogni livello di archiviazione.
Non trasferire Dati Personali a un Sub-responsabile del trattamento senza rispettare la Sezione 6.
Assistere il Cliente ai sensi della Sezione 7.
Notificare al Cliente senza ingiustificato ritardo un Incidente di Sicurezza che riguardi i suoi Dati Personali, ai sensi della Sezione 9.
Su scelta del Cliente, eliminare o restituire i Dati Personali al termine del rapporto, ai sensi della Sezione 10.
Mettere a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare la conformità al presente DPA, ai sensi della Sezione 11.

6. Sub-responsabili del trattamento

Il Cliente autorizza in via generale il ricorso a Sub-responsabili del trattamento per fornire il Servizio. Alla data del presente documento, i Sub-responsabili attuali sono:

Sub-responsabile	Funzione
Cloudflare, Inc.	Infrastruttura di calcolo, database (D1), archiviazione di file (R2) e di vettori per la ricerca semantica (Vectorize), Durable Objects per le conversazioni in tempo reale.
Prestatore/i di servizi di pagamento selezionato/i da Zarza Corp, S.A.	Elaborazione dei pagamenti. Zarza Corp, S.A. può aggiungere o modificare i prestatori di servizi di pagamento senza modificare questa tabella.
Fornitore di consegna delle e-mail transazionali (configurabile; Resend per impostazione predefinita)	Invio delle e-mail transazionali del Servizio.
Fornitori di modelli IA all'avanguardia (in base alla configurazione del router dei modelli)	Generazione di risposte IA quando il router instrada una richiesta al di fuori di Workers AI.

Manterremo pubblicato o disponibile su richiesta un elenco aggiornato dei Sub-responsabili. Notificheremo al Cliente con ragionevole preavviso l'aggiunta di un nuovo Sub-responsabile che tratti Dati Personali, affinché possa opporsi per motivi ragionevoli legati alla protezione dei dati; qualora l'obiezione non venga risolta, il Cliente potrà risolvere il piano a pagamento interessato senza penali aggiuntive per tale specifico motivo.

Restiamo responsabili del rispetto degli obblighi di protezione dei dati da parte dei nostri Sub-responsabili nella stessa misura in cui lo siamo noi stessi ai sensi del presente DPA.

7. Assistenza al Titolare del trattamento

Assisteremo ragionevolmente il Cliente per: (i) rispondere alle richieste degli Interessati che esercitano i propri diritti di accesso, rettifica, cancellazione, portabilità od opposizione; (ii) effettuare valutazioni d'impatto sulla protezione dei dati quando il trattamento lo richieda; e (iii) consultare preventivamente l'autorità di controllo competente quando la valutazione indichi un rischio elevato. Quando un Interessato ci contatta direttamente in merito a dati che trattiamo per conto del Cliente, lo indirizzeremo al Cliente e notificheremo al Cliente la richiesta senza ingiustificato ritardo.

8. Misure di sicurezza

Applichiamo, come minimo: cifratura in transito su tutte le superfici del Servizio (sito, API, WebSocket) e a riposo nei database e negli archivi di file e vettori; controllo degli accessi basato su chiavi API con ambito di autorizzazioni configurabile e revoca individuale; firma crittografica (HMAC) di ogni consegna di webhook in uscita; isolamento logico dei dati di ciascun Workspace a livello di query in ogni livello di archiviazione, in modo che nessun Workspace possa accedere ai dati di un altro; e processi di eliminazione effettiva (non solo logica) dei dati al termine del periodo di conservazione configurato.

9. Notifica degli Incidenti di Sicurezza

Notificheremo al Cliente senza ingiustificato ritardo dopo aver confermato un Incidente di Sicurezza che riguardi Dati Personali che trattiamo per suo conto, fornendo le informazioni ragionevolmente disponibili sulla sua natura, le categorie e il numero approssimativo di Interessati e registri coinvolti, le misure adottate o proposte per mitigarlo, e un punto di contatto per ulteriori informazioni. Tale notifica non costituisce ammissione di responsabilità ed ha l'unico scopo di consentire al Cliente di adempiere ai propri obblighi legali di notifica.

10. Eliminazione o restituzione dei dati

Il Cliente configura, entro i limiti offerti dal Servizio, il periodo di conservazione dei dati di conversazione del proprio Workspace. Al termine di tale periodo, o alla cessazione del rapporto contrattuale trascorso l'eventuale periodo di grazia applicabile, elimineremo effettivamente — non tramite semplice cancellazione logica — i Dati Personali dai nostri sistemi di produzione e dai relativi backup secondo il rispettivo ciclo di vita, salvo che la legge ci obblighi a conservare copie specifiche, nel qual caso tali copie restano soggette ai medesimi obblighi di riservatezza e sicurezza del presente DPA fino alla loro eliminazione. Su richiesta del Cliente formulata prima dell'eliminazione, agevoleremo l'esportazione dei Dati Personali tramite i meccanismi della API pubblica.

11. Verifiche

Forniremo al Cliente, previa richiesta ragionevole e con adeguata riservatezza, le informazioni necessarie a dimostrare la conformità al presente DPA, incluse sintesi di verifiche o certificazioni di sicurezza di terzi ove esistenti. Un più ampio diritto di verifica, comprese ispezioni in loco o da parte di un terzo designato, può essere concordato specificamente per i piani Enterprise.

12. Responsabilità

La responsabilità di ciascuna parte ai sensi del presente DPA è disciplinata dal limite e dalle esclusioni previsti nella sezione sulla limitazione di responsabilità dei Termini di Servizio, salvo nella misura in cui la legge applicabile disponga che tale limitazione non sia opponibile.

13. Durata e modifiche del presente DPA

Possiamo aggiornare il presente DPA per riflettere cambiamenti normativi o del Servizio, notificando il Cliente con ragionevole preavviso. Le modifiche che riducano sostanzialmente le garanzie qui descritte richiederanno il consenso espresso del Cliente ove la legge lo richieda.

14. Contatti

Richieste relative al presente DPA, incluse richieste sui Sub-responsabili o sulla notifica di incidenti: legal@inteligenciaviva.com.