Accordo sul Trattamento dei Dati

1. Parti

Responsabile del trattamento: John Afinni, operante come Future_AI_Lab, Barcellona, Spagna (“Voix”). Titolare del trattamento: l’entità cliente indicata nel modulo d’ordine o nel blocco firma (“Cliente”). Il presente DPA fa parte dei Termini di servizio di Voix ed è ad essi soggetto; in caso di conflitto sulla protezione dei dati, prevale il presente DPA.

2. Definizioni

“GDPR”, “dati personali”, “trattamento”, “interessato”, “titolare del trattamento”, “responsabile del trattamento”, “sub-responsabile del trattamento”, “violazione dei dati personali” e “autorità di controllo” hanno il significato loro attribuito dal Regolamento (UE) 2016/679 (GDPR). Per “Normativa applicabile in materia di protezione dei dati” si intende il GDPR e la LOPDGDD spagnola, come modificata.

3. Ruoli e ambito (Art. 28(3))

• Il Cliente è il Titolare del trattamento; Voix è il Responsabile del trattamento e agisce esclusivamente in base alle istruzioni documentate del Cliente.
• L’oggetto, la durata, la natura, la finalità, i tipi di dati personali e le categorie di interessati sono indicati nell’Allegato 1.
• I Termini di servizio, il presente DPA e la configurazione del Servizio da parte del Cliente costituiscono, nel loro insieme, le istruzioni documentate complete del Cliente. Qualsiasi istruzione aggiuntiva deve essere concordata per iscritto.

4. Obblighi del Responsabile del trattamento (Art. 28(3)(a)–(h))

Voix dovrà:

• (a) trattare i dati personali esclusivamente in base alle istruzioni documentate del Cliente, anche per quanto riguarda i trasferimenti, salvo che ciò sia richiesto dal diritto dell’UE o di uno Stato membro (nel qual caso Voix informa prima il Cliente, salvo divieto legale);
• (b) garantire che le persone autorizzate a trattare i dati siano vincolate alla riservatezza;
• (c) attuare le misure tecniche e organizzative dell’Allegato 2 (Art. 32);
• (d) ricorrere a sub-responsabili del trattamento esclusivamente in conformità alla Sezione 5;
• (e) assistere il Cliente, con misure tecniche e organizzative appropriate, nel dar seguito alle richieste di esercizio dei diritti degli interessati (Art. 12–22);
• (f) assistere il Cliente nell’adempimento dei suoi obblighi ai sensi degli Art. 32–36 (sicurezza, notifica delle violazioni, valutazione d’impatto sulla protezione dei dati, consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni disponibili;
• (g) a scelta del Cliente, cancellare o restituire tutti i dati personali al termine della prestazione dei servizi e cancellare le copie esistenti, salvo che il diritto dell’UE o di uno Stato membro ne imponga la conservazione (vedere la Sezione 8);
• (h) mettere a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto dell’Art. 28 e consentire e contribuire alle attività di audit ai sensi della Sezione 9.

5. Sub-responsabili del trattamento (Art. 28(2), 28(4))

• Il Cliente concede un’autorizzazione generale affinché Voix ricorra ai sub-responsabili del trattamento elencati nell’Allegato 3.
• Voix impone a ciascun sub-responsabile del trattamento obblighi di protezione dei dati non meno tutelanti del presente DPA e resta pienamente responsabile nei confronti del Cliente per l’operato di ciascun sub-responsabile.
• Voix fornisce al Cliente un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento. Il Cliente può opporsi per ragionevoli motivi di protezione dei dati; se l’opposizione non può essere risolta, il Cliente può cessare il servizio interessato.

6. Trasferimenti internazionali (Capo V)

• Qualora Voix o un sub-responsabile del trattamento trasferisca dati personali al di fuori del SEE, il trasferimento si basa su una garanzia adeguata ai sensi dell’Articolo 46: le Clausole Contrattuali Standard (Decisione della Commissione 2021/914) e/o il Quadro UE-USA sulla privacy dei dati, laddove l’importatore sia certificato.
• Le CCS (Modulo Due, da Titolare a Responsabile; Modulo Tre laddove sia coinvolto un sub-responsabile) sono incorporate mediante rinvio e completate dall’Allegato 1, dall’Allegato 2 e dall’Allegato 3. In caso di conflitto, prevalgono le CCS.

7. Richieste degli interessati (Art. 28(3)(e))

Voix, senza ingiustificato ritardo, notificherà al Cliente qualsiasi richiesta ricevuta direttamente da un interessato e non vi darà seguito se non su istruzione del Cliente. Il Servizio offre controlli self-service di cancellazione e di disconnessione che il Cliente può usare per dare attuazione alla cancellazione e alla revoca dell’accesso.

8. Cancellazione e restituzione (Art. 28(3)(g))

• Al termine, il Cliente può esportare o richiedere la restituzione dei dati personali. È disponibile un’esportazione self-service dei dati principali dell’account; qualsiasi elemento ulteriore è fornito su richiesta.
• Voix cancella i dati personali secondo il proprio modello di conservazione: il contenuto dei briefing è ripulito entro 30 giorni dalla generazione; alla cancellazione dell’account, tutte le righe associate all’utente sono rimosse entro 30 giorni, i backup entro 60 giorni, senza che rimanga alcuna copia dopo 90 giorni. La cancellazione si propaga a cascata dal record dell’utente, e le concessioni OAuth lato provider (Google, Slack) sono revocate per prime.

9. Audit (Art. 28(3)(h))

Voix metterà a disposizione la propria documentazione di sicurezza, l’Allegato 2 e qualsiasi attestazione di terzi in suo possesso. Il Cliente può richiedere un audit una volta all’anno con preavviso scritto di 30 giorni, durante l’orario lavorativo, nel rispetto della riservatezza e senza perturbare in modo irragionevole le operazioni di Voix.

10. Violazione dei dati personali (Art. 33)

Voix notificherà al Cliente senza ingiustificato ritardo e, in ogni caso, entro 72 ore dopo essere venuta a conoscenza di una violazione dei dati personali che riguardi i dati del Cliente, con le informazioni allora disponibili, e coopererà con gli obblighi del Cliente stesso ai sensi degli Articoli 33 e 34.

11. Responsabilità

La responsabilità ai sensi del presente DPA è soggetta alle limitazioni previste dai Termini di servizio di Voix, salvo quando la Normativa applicabile in materia di protezione dei dati vieti tale limitazione.

12. Durata e legge applicabile

Il presente DPA ha efficacia per tutta la durata del servizio. È regolato dalle leggi della Spagna; le controversie sono soggette ai tribunali di Barcellona, fatti salvi i diritti imperativi degli interessati o dei consumatori.

Allegato 1: Dettagli del trattamento

• Oggetto: la fornitura del servizio di briefing della casella di posta di Voix agli utenti autorizzati del Cliente.
• Durata: la durata del contratto di servizio.
• Natura e finalità: lettura su richiesta dei messaggi delle caselle di posta collegate, classificazione con IA, generazione e (previa approvazione) invio di bozze di risposta, monitoraggio delle risposte e amministrazione dell’account e della fatturazione.
• Tipi di dati personali: oggetto, mittente ed estratto dell’e-mail; testo dei messaggi provenienti dalle fonti collegate; identità dell’account (nome, e-mail); riepiloghi classificati derivati; metadati di fatturazione. Nessun dato della carta (ospitato da Stripe). Nessun dato di categoria particolare (Art. 9) in modo intenzionale, sebbene possa comparire incidentalmente nella corrispondenza.
• Categorie di interessati: gli utenti autorizzati del Cliente e i terzi che compaiono nei messaggi di tali utenti.

Allegato 2: Misure tecniche e organizzative (Art. 32)

• Cifratura a riposo: cifratura AES-256-GCM a livello applicativo sui token OAuth e dei connettori, sui corpi dei messaggi archiviati e sui numeri di telefono, oltre alla cifratura del disco AES-256 a livello di database, ospitato nell’UE (Francoforte).
• Cifratura in transito: TLS 1.2 o superiore.
• Controllo degli accessi: la titolarità per utente è applicata lato server a partire dalla sessione autenticata, mai da un valore fornito dal client; sicurezza a livello di riga attivata con impostazioni predefinite di negazione totale; la chiave di servizio privilegiata è solo lato server e non raggiunge mai il browser.
• Minimizzazione: messaggi letti su richiesta (circa 10 recenti), senza archiviazione del corpo completo né degli allegati; gli ambiti di Gmail sono limitati a lettura e invio (più la lettura facoltativa del calendario).
• Nessuna azione autonoma: ogni invio di e-mail richiede l’approvazione esplicita dell’utente su una bozza completamente visibile.
• Gestione dei contenuti non attendibili: il contenuto dei messaggi è trattato come dato e mai eseguito come istruzione (difesa contro l’iniezione indiretta di prompt).
• Controlli anti-abuso: limiti di utilizzo per utente; gli endpoint di fatturazione, IA, sintesi vocale e telefonia falliscono in modo sicuro (fail-closed).
• Controlli sui sub-responsabili del trattamento: ai fornitori di IA è contrattualmente vietato addestrarsi sui dati; nessun dato è venduto o condiviso con inserzionisti.
• Conservazione e cancellazione: ripulitura dei contenuti a 30 giorni; cascata di cancellazione a 30/60/90 giorni; concessione OAuth del provider revocata al momento della cancellazione.
• Registrazione dei log: i log di accesso e di audit sono conservati per 90 giorni.

Allegato 3: Sub-responsabili del trattamento autorizzati

Voix ricorre ai seguenti sub-responsabili del trattamento. Quelli contrassegnati come condizionali sono coinvolti solo quando attiva la funzione corrispondente.

• Anthropic (USA): classificazione con IA e redazione delle risposte.
• Google Workspace + Google Cloud Text-to-Speech (USA/globale): lettura/invio della casella di posta e sintesi del briefing parlato.
• Microsoft (USA/UE): e-mail di Outlook, calendario e chat di Teams (quando Microsoft 365 è collegato).
• Clerk (USA): identità di accesso (nome + e-mail).
• Supabase (UE, Francoforte): archivio dati principale.
• Stripe (USA/UE): fatturazione.
• Vercel (USA): hosting dell’applicazione.
• PostHog (UE, Francoforte): analisi e monitoraggio degli errori, subordinati al consenso.
• Condizionali: Resend (USA, e-mail del mattino), Twilio e Vapi (USA, Chiamata Privata), Meta (USA/globale, WhatsApp/Instagram business).