Data Processing Agreement

1. Parti, ambito di applicazione e ruoli

Il presente Data Processing Agreement ("DPA") costituisce parte integrante del contratto, ordine, abbonamento o altro accordo ("Contratto") relativo all'utilizzo del servizio ProntoFacile.

Ai fini del presente DPA, il fornitore del servizio ProntoFacile è [RAGIONE SOCIALE / NOME E COGNOME], con sede in [INDIRIZZO COMPLETO], C.F./P.IVA [C.F. / P.IVA], contattabile per questioni relative alla protezione dei dati all'indirizzo privacy@prontofacile.it ("ProntoFacile" o "Responsabile").

Il soggetto che sottoscrive o utilizza il servizio ProntoFacile ("Cliente") determina le finalità e i mezzi essenziali dei trattamenti effettuati attraverso il servizio e agisce, di norma, quale Titolare del trattamento. ProntoFacile tratta i Dati Personali del Cliente per conto del Cliente e agisce quale Responsabile del trattamento ai sensi dell'art. 28 GDPR.

Qualora il Cliente tratti i dati personali per conto di un diverso titolare del trattamento, il Cliente agisce quale responsabile e ProntoFacile opera quale sub-responsabile del trattamento. In tale ipotesi il Cliente dichiara di essere autorizzato dal relativo titolare a nominare ProntoFacile quale sub-responsabile e garantisce che le istruzioni impartite a ProntoFacile siano compatibili con gli obblighi derivanti dal rapporto con il titolare.

Il presente DPA riguarda esclusivamente i trattamenti effettuati da ProntoFacile per conto del Cliente. I trattamenti effettuati autonomamente da ProntoFacile, ad esempio per gestione dell'account, fatturazione, sicurezza del proprio servizio, amministrazione e adempimenti di legge, sono disciplinati dalla Privacy Policy di ProntoFacile.

In caso di contrasto tra il presente DPA e altre disposizioni del Contratto relativamente al trattamento dei dati personali per conto del Cliente, prevalgono le disposizioni del presente DPA.

2. Oggetto, durata, natura e finalità del trattamento

• Oggetto: trattamento dei dati personali necessario all'erogazione del servizio ProntoFacile, inclusa la gestione automatizzata delle chiamate telefoniche mediante voicebot, la raccolta delle richieste, la gestione di FAQ, prenotazioni e appuntamenti, il trasferimento delle chiamate allo staff del Cliente, la produzione di riepiloghi e la visualizzazione delle informazioni nella dashboard.
• Durata: il trattamento viene effettuato per tutta la durata del Contratto e, successivamente, per il tempo strettamente necessario alla cancellazione o restituzione dei dati secondo il presente DPA e le istruzioni documentate del Cliente.
• Natura: raccolta, ricezione, registrazione ove abilitata, organizzazione, consultazione, trasmissione, trascrizione del parlato, elaborazione automatizzata del contenuto, generazione di risposte, sintesi vocale, memorizzazione, aggiornamento, estrazione, integrazione con sistemi esterni, messa a disposizione tramite dashboard e cancellazione.
• Finalità: fornire al Cliente il servizio di assistenza telefonica automatizzata configurato dal Cliente e le relative funzionalità accessorie, senza utilizzare i dati per finalità autonome incompatibili con le istruzioni ricevute.

3. Operazioni effettuate da ProntoFacile

In funzione delle funzionalità abilitate dal Cliente, il trattamento può comprendere:

• ricezione e gestione delle chiamate telefoniche dirette o inoltrate al servizio;
• acquisizione del numero chiamante e dei metadati tecnici della chiamata;
• conversione del parlato in testo mediante sistemi di speech-to-text ("STT");
• analisi della richiesta mediante regole applicative, classificazione degli intenti e, ove abilitato, sistemi di intelligenza artificiale o modelli linguistici;
• generazione della risposta da fornire al chiamante;
• conversione del testo in audio mediante sistemi text-to-speech ("TTS");
• consultazione delle FAQ, dei servizi, degli orari, delle chiusure e delle altre informazioni configurate dal Cliente;
• raccolta delle informazioni necessarie per prenotazioni, appuntamenti o richieste di contatto;
• consultazione e aggiornamento di calendari o altri sistemi esterni espressamente collegati dal Cliente;
• riconoscimento del chiamante sulla base del numero telefonico, qualora la relativa funzionalità sia abilitata;
• trasferimento o escalation della chiamata verso il personale o i numeri indicati dal Cliente;
• creazione di trascrizioni, riepiloghi e informazioni operative relative alla chiamata;
• registrazione dell'audio della chiamata esclusivamente quando tale funzionalità sia espressamente abilitata dal Cliente;
• memorizzazione e visualizzazione dei dati tramite la dashboard ProntoFacile;
• logging, diagnostica e gestione tecnica necessaria all'erogazione e alla sicurezza del servizio.

4. Categorie di interessati e dati personali

Il trattamento può riguardare le seguenti categorie di interessati:

• chiamanti;
• clienti e potenziali clienti del Cliente;
• pazienti, ove il Cliente operi in ambito sanitario o dentistico;
• ospiti o utenti dei servizi offerti dal Cliente;
• fornitori e altri contatti del Cliente;
• dipendenti, collaboratori e personale del Cliente, quando i relativi dati siano inseriti nelle configurazioni, nei calendari o nei flussi gestiti dal servizio.

Le categorie di dati personali possono comprendere:

• nome e cognome;
• numero di telefono;
• indirizzo email, se comunicato;
• data e ora della chiamata;
• durata, identificativo, stato ed esito della chiamata;
• contenuto della conversazione;
• trascrizioni e riepiloghi delle conversazioni;
• registrazioni audio, quando la registrazione è abilitata;
• richieste, preferenze, note e informazioni comunicate dal chiamante;
• dati relativi a servizi, prenotazioni e appuntamenti;
• date, orari, disponibilità e altre informazioni provenienti da calendari collegati;
• dati necessari al riconoscimento del chiamante o all'integrazione con sistemi del Cliente;
• log e altri dati tecnici necessari al funzionamento del servizio.

In funzione dell'attività del Cliente e del contenuto della conversazione, possono inoltre essere trattate categorie particolari di dati ai sensi dell'art. 9 GDPR, in particolare informazioni relative alla salute comunicate da pazienti o chiamanti.

Il Cliente deve evitare di configurare ProntoFacile per raccogliere categorie particolari di dati non necessarie alla finalità perseguita e applica il principio di minimizzazione dei dati.

5. Istruzioni documentate e obblighi del Cliente

ProntoFacile tratta i Dati Personali del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente, salvo che il trattamento sia richiesto dal diritto dell'Unione europea o dello Stato membro cui ProntoFacile è soggetto.

Costituiscono istruzioni documentate, tra l'altro, il Contratto, il presente DPA, le configurazioni effettuate dal Cliente tramite la dashboard, l'attivazione o disattivazione delle funzionalità, le configurazioni delle FAQ, dei flussi e delle integrazioni, nonché eventuali istruzioni impartite attraverso i canali di assistenza autorizzati.

Il Cliente è responsabile di:

• garantire la liceità, correttezza e trasparenza dei trattamenti effettuati mediante ProntoFacile;
• individuare una base giuridica valida ai sensi dell'art. 6 GDPR per i trattamenti effettuati;
• individuare, quando vengono trattate categorie particolari di dati, una condizione applicabile ai sensi dell'art. 9 GDPR;
• fornire agli interessati le informative richieste dagli artt. 13 e 14 GDPR;
• informare adeguatamente i chiamanti dell'eventuale utilizzo di sistemi automatizzati o di intelligenza artificiale quando previsto dalla normativa applicabile;
• informare adeguatamente il chiamante dell'eventuale registrazione della telefonata e determinare la relativa base giuridica;
• configurare il servizio nel rispetto dei principi di minimizzazione, limitazione delle finalità e limitazione della conservazione;
• garantire che i dati personali comunicati o resi accessibili a ProntoFacile siano stati raccolti e trattati legittimamente;
• gestire le richieste degli interessati in qualità di Titolare del trattamento;
• non impartire a ProntoFacile istruzioni contrarie al GDPR o ad altre norme applicabili in materia di protezione dei dati.

Qualora ProntoFacile ritenga che un'istruzione del Cliente violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati, ne informa senza ingiustificato ritardo il Cliente.

6. Obblighi di ProntoFacile

ProntoFacile si impegna a:

• trattare i dati personali esclusivamente secondo le istruzioni documentate del Cliente e per l'erogazione del servizio;
• garantire che le persone autorizzate al trattamento siano soggette a obblighi di riservatezza appropriati;
• adottare misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR;
• rispettare le condizioni previste dall'art. 28 GDPR per il ricorso a ulteriori responsabili del trattamento;
• assistere il Cliente, tenuto conto della natura del trattamento, nell'adempimento delle richieste di esercizio dei diritti degli interessati;
• assistere il Cliente, tenuto conto della natura del trattamento e delle informazioni a disposizione di ProntoFacile, nell'adempimento degli obblighi previsti dagli artt. 32-36 GDPR;
• informare il Cliente senza ingiustificato ritardo delle violazioni dei dati personali di cui venga a conoscenza e che riguardino dati trattati per conto del Cliente;
• cancellare o restituire i dati personali al termine dell'erogazione del servizio, secondo quanto previsto dal presente DPA e dalle istruzioni del Cliente;
• mettere a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR;
• consentire e contribuire agli audit previsti dal presente DPA;
• cooperare con il Cliente e, ove previsto dalla legge, con le autorità competenti in relazione ai trattamenti disciplinati dal presente DPA.

ProntoFacile non utilizza i Dati Personali del Cliente per finalità autonome, pubblicitarie o di profilazione commerciale dei chiamanti. I dati sono trattati esclusivamente per fornire e gestire il servizio secondo le istruzioni documentate del Cliente, fatte salve le attività per le quali ProntoFacile opera autonomamente come titolare e che sono descritte nella propria Privacy Policy.

7. Riservatezza e accesso ai dati

L'accesso ai Dati Personali del Cliente è limitato alle persone che necessitano di accedervi per lo svolgimento delle proprie mansioni e per l'erogazione, manutenzione, assistenza o sicurezza del servizio.

ProntoFacile garantisce che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza e ricevano istruzioni appropriate in relazione al trattamento dei dati personali.

8. Misure tecniche e organizzative di sicurezza

ProntoFacile adotta misure tecniche e organizzative proporzionate alla natura dei dati trattati e ai rischi per i diritti e le libertà degli interessati.

Le misure comprendono, ove applicabili:

• cifratura delle comunicazioni in transito mediante protocolli sicuri;
• protezione delle credenziali e conservazione delle password mediante funzioni di hashing appropriate;
• autenticazione e controllo degli accessi alla dashboard e ai sistemi amministrativi;
• autorizzazioni basate sui ruoli e principio del minimo privilegio;
• segregazione logica dei dati tra i diversi tenant;
• protezione e gestione delle credenziali, token e segreti utilizzati dalle integrazioni;
• limitazione degli accessi amministrativi all'infrastruttura;
• registrazione e monitoraggio degli eventi tecnici e di sicurezza rilevanti;
• backup dei dati necessari alla continuità operativa;
• procedure di ripristino e continuità del servizio;
• aggiornamento e manutenzione dei componenti software e dell'infrastruttura;
• procedure per la gestione degli incidenti e delle violazioni dei dati personali;
• riesame periodico delle misure di sicurezza in relazione all'evoluzione del servizio e dei rischi.

Le misure tecniche e organizzative possono essere aggiornate nel tempo purché tali modifiche non determinino una riduzione sostanziale del livello complessivo di protezione dei dati personali.

9. Sub-responsabili del trattamento

Il Cliente concede a ProntoFacile un'autorizzazione generale scritta a ricorrere a ulteriori responsabili del trattamento ("Sub-responsabili") quando ciò sia necessario all'erogazione del servizio.

I Sub-responsabili possono comprendere, in funzione delle funzionalità utilizzate, fornitori di infrastruttura e hosting, telefonia e connettività VoIP/PSTN, speech-to-text, text-to-speech, servizi di intelligenza artificiale e modelli linguistici, email, autenticazione, calendari e integrazioni, monitoraggio, logging, backup e altri servizi tecnici necessari al funzionamento di ProntoFacile.

L'elenco aggiornato dei Sub-responsabili utilizzati da ProntoFacile, con indicazione del servizio fornito e, ove pertinente, del Paese nel quale avviene il trattamento, è disponibile all'indirizzo: [URL ELENCO SUB-RESPONSABILI].

ProntoFacile informa il Cliente dell'intenzione di aggiungere o sostituire un Sub-responsabile con un preavviso ragionevole, consentendo al Cliente di formulare un'opposizione motivata per ragioni relative alla protezione dei dati personali.

In caso di opposizione, le Parti collaborano in buona fede per individuare una soluzione ragionevole. Qualora non sia possibile utilizzare il servizio interessato senza ricorrere al Sub-responsabile contestato, il Cliente potrà cessare l'utilizzo della funzionalità interessata secondo quanto previsto dal Contratto.

ProntoFacile impone a ciascun Sub-responsabile, mediante contratto o altro atto giuridico vincolante, obblighi di protezione dei dati almeno equivalenti a quelli applicabili a ProntoFacile ai sensi del presente DPA e dell'art. 28 GDPR.

ProntoFacile rimane responsabile nei confronti del Cliente per l'adempimento degli obblighi dei propri Sub-responsabili nei limiti previsti dal GDPR e dal Contratto.

10. Richieste degli interessati

Tenuto conto della natura del trattamento, ProntoFacile assiste il Cliente mediante misure tecniche e organizzative appropriate, per quanto possibile, nell'adempimento degli obblighi relativi alle richieste degli interessati previste dal Capo III del GDPR.

Qualora ProntoFacile riceva direttamente una richiesta di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione o altra richiesta relativa a dati trattati per conto del Cliente, ProntoFacile non risponde alla richiesta in qualità di titolare, salvo obbligo di legge, e la trasmette al Cliente o invita l'interessato a rivolgersi al Cliente, secondo quanto appropriato.

Il Cliente rimane responsabile della valutazione della richiesta, dell'identificazione dell'interessato e della determinazione dell'eventuale diritto dell'interessato a ottenere quanto richiesto.

11. Violazioni dei dati personali

ProntoFacile informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi Dati Personali del Cliente trattati ai sensi del presente DPA.

Nella misura in cui le informazioni siano disponibili, la comunicazione contiene o rende progressivamente disponibili gli elementi necessari al Cliente per valutare l'incidente e adempiere agli obblighi previsti dagli artt. 33 e 34 GDPR, incluse informazioni relative alla natura della violazione, alle categorie di dati e interessati coinvolti, alle possibili conseguenze e alle misure adottate o proposte per contenere o porre rimedio alla violazione.

Qualora non sia possibile fornire tutte le informazioni contestualmente, ProntoFacile può fornirle progressivamente senza ulteriore ingiustificato ritardo.

La comunicazione di una violazione al Cliente non costituisce, di per sé, riconoscimento di responsabilità da parte di ProntoFacile.

12. DPIA, consultazione preventiva e cooperazione

Tenuto conto della natura del trattamento e delle informazioni a propria disposizione, ProntoFacile fornisce al Cliente l'assistenza ragionevolmente necessaria per adempiere agli obblighi previsti dagli artt. 32-36 GDPR.

Tale assistenza può comprendere la messa a disposizione di informazioni sulle caratteristiche tecniche del servizio, sui trattamenti effettuati, sulle misure di sicurezza, sui Sub-responsabili e sui trasferimenti internazionali necessarie al Cliente per effettuare, ove richiesto, una valutazione d'impatto sulla protezione dei dati ("DPIA") o una consultazione preventiva dell'autorità di controllo.

La responsabilità di determinare se una DPIA o una consultazione preventiva siano necessarie rimane in capo al Cliente in qualità di Titolare del trattamento.

13. Trasferimenti internazionali

ProntoFacile tratta i dati personali nel rispetto del Capo V del GDPR. Qualora ProntoFacile o un proprio Sub-responsabile trasferisca Dati Personali del Cliente verso un Paese situato al di fuori dello Spazio Economico Europeo ("SEE"), tale trasferimento deve essere fondato su un meccanismo valido previsto dal GDPR.

Tali meccanismi possono comprendere una decisione di adeguatezza adottata dalla Commissione europea oppure, ove applicabile, le Clausole Contrattuali Standard approvate dalla Commissione europea ai sensi dell'art. 46 GDPR, unitamente alle eventuali misure supplementari necessarie.

ProntoFacile adotta, ove richiesto, misure ragionevoli per valutare il livello di protezione applicabile al trasferimento e per assicurare che il livello di protezione garantito dal GDPR non sia compromesso.

14. Conservazione, restituzione e cancellazione

Durante il rapporto contrattuale i Dati Personali del Cliente sono conservati secondo le funzionalità utilizzate, le impostazioni disponibili nel servizio, le istruzioni documentate del Cliente e le policy di conservazione concordate.

Alla cessazione del Contratto, il Cliente può richiedere, ove tecnicamente previsto e prima della cancellazione definitiva, la restituzione o esportazione dei dati personali.

Successivamente alla cessazione, ProntoFacile cancella o rende non più disponibili i Dati Personali del Cliente entro [INDICARE TERMINE EFFETTIVO, AD ESEMPIO 30 GIORNI], salvo che il diritto dell'Unione europea o nazionale ne imponga la conservazione.

Eventuali copie contenute nei sistemi di backup possono permanere fino al completamento del normale ciclo tecnico di rotazione dei backup, per un periodo massimo di [INDICARE RETENTION MASSIMA BACKUP]. Durante tale periodo i dati non vengono utilizzati per finalità operative ordinarie e rimangono soggetti alle misure di sicurezza e agli obblighi previsti dal presente DPA.

15. Audit e dimostrazione della conformità

ProntoFacile mette a disposizione del Cliente tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR.

Il Cliente può richiedere documentazione relativa alle misure tecniche e organizzative, ai Sub-responsabili e agli altri aspetti del trattamento disciplinati dal presente DPA.

Qualora tali informazioni non siano sufficienti, il Cliente può richiedere un audit relativo ai trattamenti effettuati da ProntoFacile. Gli audit sono effettuati con ragionevole preavviso, durante il normale orario lavorativo e con modalità tali da non compromettere la sicurezza, la riservatezza, la continuità del servizio o i dati degli altri clienti.

Ove ragionevolmente possibile, le Parti privilegiano verifiche documentali o da remoto prima di richiedere accessi fisici ai sistemi o alle infrastrutture. Tali limitazioni non si applicano qualora un audit più approfondito sia richiesto da un'autorità di controllo competente, sia necessario a seguito di una violazione significativa dei dati o sussistano ragionevoli elementi di non conformità.

Il Cliente e gli eventuali auditor incaricati devono rispettare appropriati obblighi di riservatezza e non possono accedere ai dati appartenenti ad altri clienti di ProntoFacile.

16. Autorità di controllo e richieste delle autorità

ProntoFacile coopera, nei limiti previsti dalla normativa applicabile, con il Cliente e con le autorità di controllo competenti relativamente ai trattamenti disciplinati dal presente DPA.

Qualora ProntoFacile riceva da un'autorità pubblica una richiesta legalmente vincolante relativa ai Dati Personali del Cliente, informa il Cliente prima della comunicazione, salvo che la legge applicabile vieti tale informazione.

17. Responsabilità e conformità del Cliente

Il Cliente rimane responsabile delle finalità perseguite attraverso ProntoFacile, della configurazione del servizio, della liceità della raccolta dei dati e dell'adempimento degli obblighi propri del Titolare del trattamento.

In particolare, ProntoFacile non determina autonomamente se il Cliente possa registrare una chiamata, raccogliere dati relativi alla salute, utilizzare il numero telefonico per riconoscere un chiamante o conservare una trascrizione per uno specifico periodo. Tali scelte sono effettuate dal Cliente e costituiscono istruzioni di trattamento ai sensi del presente DPA.

Resta ferma la responsabilità di ProntoFacile per gli obblighi direttamente posti a suo carico dal GDPR in qualità di Responsabile del trattamento.

18. Accettazione elettronica, efficacia e aggiornamenti

Il presente DPA è concluso in forma elettronica ed è parte integrante del Contratto tra il Cliente e ProntoFacile.

Se il DPA viene accettato attraverso la procedura di registrazione o la dashboard, la persona che effettua l'accettazione dichiara di essere autorizzata a vincolare il Cliente al presente accordo.

ProntoFacile registra, ai fini della prova dell'accettazione, almeno la versione del DPA, la data e l'ora dell'accettazione, l'identificativo dell'utente, l'indirizzo email e l'organizzazione o tenant associato. Possono inoltre essere conservati ulteriori dati tecnici necessari a documentare l'operazione, nel rispetto della Privacy Policy.

ProntoFacile può aggiornare il presente DPA quando ciò sia necessario per adeguarlo a modifiche normative, tecniche o organizzative del servizio.

Qualora una modifica incida in modo sostanziale sui termini del trattamento per conto del Cliente, ProntoFacile ne dà comunicazione al Cliente mediante la dashboard, email o altro canale appropriato prima che la modifica produca effetti, secondo quanto previsto dal Contratto e dalla normativa applicabile.