Accordo sul trattamento dei dati di Vavus Concierge

Il presente Accordo sul trattamento dei dati («DPA») è concluso tra DCI Brands LLC («Vavus», «noi», il responsabile del trattamento), 312 W 2nd Street, Casper, WY 82601, United States, e l'azienda che gestisce uno spazio di lavoro di Vavus Concierge (il tenant, il titolare del trattamento). Si applica ai dati dei visitatori che Vavus tratta secondo le istruzioni del tenant tramite il servizio Concierge: la console, il widget per siti web, le pagine dell'agente ospitate, i canali telefonici e di messaggistica e le prenotazioni.

Integra i Termini di servizio di Vavus Concierge, che il tenant accetta unitamente al presente DPA. In caso di conflitto tra il presente DPA e i Termini di Concierge in merito al trattamento dei dati dei visitatori, prevale il presente DPA. È redatto per soddisfare l'articolo 28 del Regolamento generale sulla protezione dei dati (GDPR) e del GDPR del Regno Unito, l'articolo 9 della legge federale svizzera sulla protezione dei dati (LPD) e gli analoghi impegni dei responsabili del trattamento previsti altrove; laddove la legge locale imponga obblighi più rigorosi ai responsabili del trattamento, questi prevalgono per il trattamento in tale giurisdizione. L'Allegato IV si applica in aggiunta laddove una legge sulla privacy di uno Stato degli Stati Uniti disciplini i dati dei visitatori del tenant.

Il tenant è il titolare del trattamento dei dati dei visitatori: decide che cosa fa l'assistente, quali conoscenze contiene, quali canali sono operativi e che cosa viene chiesto ai visitatori. Vavus è il responsabile del trattamento: agiamo esclusivamente secondo le istruzioni del tenant impartite tramite la console e il normale funzionamento del servizio, e trattiamo i dati dei visitatori al solo fine di fornire Concierge.

Informeremo immediatamente il tenant qualora, a nostro parere, un'istruzione violi la normativa applicabile in materia di protezione dei dati, e non daremo seguito a un'istruzione manifestamente illecita. Se la legge impone un trattamento al di fuori delle istruzioni documentate, informeremo il tenant prima di tale trattamento, salvo che la legge lo vieti. Non trattiamo i dati dei visitatori per finalità proprie, non li utilizziamo per addestrare i nostri modelli e non li vendiamo.

Il presente DPA, comprese le condizioni di trasferimento di cui alle Sezioni 7 e da 13 a 15, riguarda il tenant che è titolare del trattamento dei dati dei propri visitatori. Non riguarda il tenant che tratta i dati per conto di un altro titolare del trattamento, poiché non offre il Modulo tre (da responsabile del trattamento a responsabile del trattamento) delle Clausole; tale azienda non può accettarlo per tali dati.

Il tenant è responsabile della liceità di ciò che ci chiede di fare. Conferma di disporre di una base giuridica per il trattamento, anche ai sensi degli articoli 6, 9 e 10 del GDPR ove applicabili; di aver fornito ai visitatori le informazioni richieste dagli articoli da 12 a 14 e di aver ottenuto qualsiasi consenso richiesto dalla legge, anche per la registrazione o la traduzione di una chiamata; e che le sue istruzioni sono conformi alla normativa in materia di protezione dei dati. Salvo che lo spazio di lavoro sia configurato per l'ambito sanitario, il tenant non immetterà nel servizio dati dei visitatori che comprendano numeri di identificazione rilasciati da autorità pubbliche, numeri di carte di pagamento, credenziali di conti finanziari, password di altri servizi, dati biometrici, dati raccolti consapevolmente da minori di 16 anni o categorie particolari di dati quali dati relativi alla salute, all'origine razziale o etnica, alle opinioni politiche, alla religione o all'orientamento sessuale, e rimuoverà quelli che dovessero pervenire accidentalmente. Il tenant custodisce in modo sicuro le proprie credenziali della console, decide chi nel proprio team vi ha accesso, conserva una propria copia di tutto ciò che non può permettersi di perdere e conferma di aver esaminato le misure di cui alla Sezione 5 e all'Allegato II e di ritenerle adeguate ai dati che tratta tramite Concierge.

Categorie di dati dei visitatori, nella misura in cui la configurazione del tenant li raccoglie: identificativi forniti dal visitatore (nome, numero di telefono, indirizzo e-mail), contenuto delle conversazioni (messaggi, audio vocale, trascrizioni ed eventuali registrazioni gestite dal tenant), dati relativi a contatti e prenotazioni creati dall'assistente in base alle azioni del visitatore, dati tecnici della sessione (marche temporali, canale, lingua) e dati personali contenuti nel materiale che il tenant carica nelle conoscenze dell'assistente o nei campioni vocali che il tenant fornisce per creare una voce personalizzata.

Gli interessati sono i visitatori, i clienti, i potenziali clienti e il personale del tenant le cui informazioni sono fornite al servizio. Il trattamento comprende raccolta, trasmissione, organizzazione, conservazione, estrazione, traduzione, generazione di risposte, comunicazione al personale autorizzato e ai fornitori collegati e cancellazione. Finalità: fornire Concierge secondo le istruzioni del tenant. La durata segue le impostazioni di conservazione applicabili e la Sezione 9, anziché protrarsi automaticamente per l'intera durata dello spazio di lavoro.

Ha accesso soltanto il personale che ne ha bisogno per gestire o proteggere il servizio, nel rispetto di obblighi di riservatezza, e l'accesso è registrato per gli spazi di lavoro configurati per l'ambito sanitario. Non inseriamo contenuti dei visitatori nei dati inviati per le analisi, nelle chat di assistenza o in tracker pubblici.

Il servizio opera sulla nostra infrastruttura con le misure descritte nella nostra pagina Sicurezza: TLS in transito, crittografia a riposo, accesso secondo il principio del privilegio minimo, registrazione a fini di audit, cancellazione sicura dei file oltre il periodo di conservazione ed endpoint protetti dietro un web application firewall. Le registrazioni sono conservate in un'archiviazione a oggetti con controllo degli accessi; l'accesso alla console è autenticato e limitato in base ai ruoli. Possiamo aggiornare tali misure con l'evoluzione della tecnologia e delle minacce, a condizione che la protezione complessiva dei dati dei visitatori non diminuisca in modo sostanziale.

Ci avvaliamo di sub-responsabili del trattamento in base alla funzione: hosting e archiviazione cloud (Google Cloud); riconoscimento vocale, sintesi vocale, traduzione e modelli di IA (Google, OpenAI, Anthropic, ElevenLabs e AssemblyAI); instradamento semantico dei turni di conversazione, laddove lo spazio di lavoro lo attivi (TypeSafe); telefonia e messaggi di testo per i numeri di telefono che forniamo al tenant (Twilio); pagamenti relativi al piano e all'utilizzo del tenant stesso (Stripe); invio di e-mail (Resend, oltre al nostro server Postal ospitato sulla nostra infrastruttura); e, laddove il tenant colleghi sistemi di telefonia, messaggistica, pagamento, prenotazione o gestionali, i fornitori del tenant stesso (quali il suo account Twilio, il fornitore di WhatsApp, il suo account Stripe, il suo calendario o il suo CRM), di cui il tenant si avvale direttamente sotto la propria autorità. L'Allegato III indica nominativamente ciascun sub-responsabile del trattamento e la relativa funzione.

Il tenant concede un'autorizzazione scritta generale per i sub-responsabili del trattamento indicati nell'elenco aggiornato fornito per il suo servizio. Imponiamo a ciascun sub-responsabile del trattamento, mediante un contratto scritto, obblighi in materia di protezione dei dati equivalenti a quelli del presente DPA e restiamo responsabili nei confronti del tenant del suo operato. I contenuti dei visitatori non devono essere utilizzati per l'addestramento di modelli in assenza di un'istruzione lecita separata e di una base contrattuale. L'elenco nominativo aggiornato costituisce l'Allegato III ed è inoltre disponibile su richiesta; diamo al tenant un preavviso di almeno 30 giorni, nella console o via e-mail, prima che un nuovo sub-responsabile del trattamento tratti dati dei visitatori, periodo durante il quale il tenant può opporsi per ragionevoli motivi attinenti alla protezione dei dati. Collaboriamo quindi in buona fede con il tenant per risolvere l'opposizione; se non vi riusciamo, il tenant può chiudere lo spazio di lavoro prima che il nuovo sub-responsabile del trattamento tratti i suoi dati, e questo è l'unico rimedio per l'opposizione. I corrispettivi già dovuti restano esigibili e qualsiasi rimborso segue i Termini di Concierge.

Il servizio opera negli Stati Uniti e, per ridurre la latenza, con un nodo periferico nell'Unione europea (Francoforte). I dati dei visitatori possono quindi essere trattati in una qualsiasi delle due regioni, secondo quanto richiesto dall'instradamento della sessione. Prima che abbia luogo un trasferimento internazionale soggetto a restrizioni, le parti devono stabilire il meccanismo di trasferimento lecito applicabile e documentare le destinazioni e le garanzie. Laddove si utilizzino clausole contrattuali tipo, le clausole, il modulo, le opzioni applicabili e gli allegati compilati devono costituire parte integrante dell'accordo di trasferimento.

Per i trasferimenti di dati dei visitatori a noi negli Stati Uniti, il presente DPA costituisce tale accordo di trasferimento e il tenant vi fa affidamento senza una firma separata: per i trasferimenti disciplinati dal GDPR (dallo Spazio economico europeo), le Clausole come riportate nella Sezione 13 e nei relativi allegati; per i trasferimenti disciplinati dalla normativa del Regno Unito in materia di protezione dei dati, le Clausole unitamente all'International Data Transfer Addendum del Regno Unito come riportato nella Sezione 14; e per i trasferimenti disciplinati dalla LPD svizzera, le Clausole con gli adattamenti per la Svizzera di cui alla Sezione 15. Ciascuno si applica a ogni trasferimento disciplinato dalla rispettiva legge, a prescindere dalla risposta fornita dal tenant nella console in merito ai dati del Regno Unito o della Svizzera. Laddove più di una di tali leggi disciplini lo stesso trasferimento, ciascuna serie di condizioni si applica nei limiti della propria legge e nessuna riduce la protezione offerta da un'altra.

I trasferimenti disciplinati dalle norme sui trasferimenti di qualsiasi altro paese richiedono il meccanismo previsto da tale legge; ci contatti prima di attivare un trattamento che ne richieda uno. Non siamo certificati ai sensi dell'EU-US Data Privacy Framework, della sua UK Extension o dello Swiss-US Data Privacy Framework, e nessun trasferimento ai sensi del presente DPA si basa su di essi.

I visitatori sono clienti del tenant: le richieste di un visitatore relative ai propri dati (accesso, rettifica, cancellazione, opposizione) sono indirizzate al tenant in qualità di titolare del trattamento, che vi risponde utilizzando la funzione di eliminazione per singolo contatto della console. Tenendo conto della natura del trattamento, prestiamo assistenza, mediante misure tecniche e organizzative adeguate, in relazione alle richieste ai sensi del capo III del GDPR e ai diritti equivalenti previsti dal GDPR del Regno Unito e dalla LPD. Tenendo conto delle informazioni a nostra disposizione, prestiamo inoltre assistenza in materia di sicurezza, notifiche delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva delle autorità di controllo ai sensi degli articoli da 32 a 36 del GDPR e delle disposizioni equivalenti del GDPR del Regno Unito e della LPD. L'assistenza che va oltre quanto il servizio già fornisce, come la compilazione di documentazione per una valutazione d'impatto sulla protezione dei dati, può essere addebitata alle nostre tariffe per servizi professionali in vigore in quel momento, comunicate preventivamente al tenant.

Se veniamo a conoscenza di un incidente di sicurezza che riguarda i dati dei visitatori in uno spazio di lavoro, informiamo il tenant senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati personali. Non attendiamo il completamento di un'indagine né consideriamo il termine di notifica all'autorità previsto per il titolare del trattamento come il nostro periodo di notifica. Forniamo i dettagli disponibili sulla violazione, sui dati e sulle persone interessati, sulle probabili conseguenze, sul punto di contatto e sulle misure di attenuazione, e forniamo ulteriori informazioni in fasi successive man mano che si rendono disponibili. Il tenant, in qualità di titolare del trattamento, gestisce qualsiasi notifica ai propri visitatori o alle autorità di regolamentazione.

I tentativi non riusciti che non compromettono i dati dei visitatori, quali tentativi di accesso bloccati, scansioni o ping, non costituiscono incidenti e non vengono segnalati. Una notifica non costituisce ammissione di colpa o di responsabilità. Ove la legge lo consenta, il tenant ci informa prima di menzionare Vavus in una comunicazione relativa a un incidente destinata a un'autorità di regolamentazione, ai visitatori o al pubblico, e valuta in buona fede qualsiasi rettifica da noi richiesta in merito al nostro ruolo nell'incidente.

L'eliminazione dello spazio di lavoro rimuove la configurazione e il materiale delle conversazioni dello spazio di lavoro, comprese le registrazioni dall'archiviazione a oggetti, fatti salvi i backup cifrati che scadono secondo la nostra politica sul ciclo di vita e le registrazioni che la legge ci impone di conservare (la documentazione di fatturazione per il periodo fiscale previsto dalla legge). L'eliminazione per singolo contatto rimuove il materiale delle conversazioni di tale contatto. Alla cessazione, a scelta del tenant, restituiamo i restanti dati personali in un formato utilizzabile o li cancelliamo, e cancelliamo le copie esistenti salvo che la legge applicabile ne imponga la conservazione. Una richiesta di restituzione deve precedere un'istruzione di cancellazione irreversibile. Le copie di backup conservate restano protette, non sono utilizzate per il trattamento ordinario e sono cancellate secondo il ciclo di vita documentato applicabile; in caso di ripristino, le istruzioni di cancellazione devono essere applicate nuovamente.

Se il tenant non impartisce alcuna istruzione entro 30 giorni dalla cessazione dello spazio di lavoro, cancelliamo i restanti dati personali. Su richiesta, confermiamo la cancellazione per iscritto.

Mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto del presente DPA e consentiamo e contribuiamo alle attività di revisione, comprese le ispezioni, realizzate dal tenant o da un revisore indipendente da esso incaricato. Tali diritti spettano a ogni tenant e non sono subordinati a un abbonamento aziendale.

Gli audit iniziano dai documenti. Su richiesta forniamo la nostra documentazione sulla sicurezza, le misure di cui all'Allegato II e le risposte a un ragionevole questionario di sicurezza e, laddove una relazione recente di un revisore indipendente riguardi i controlli in questione, forniamo tale relazione anziché sottoporli a un nuovo audit. Laddove i documenti siano effettivamente insufficienti, dopo una violazione accertata che riguarda i dati del tenant, o laddove un'autorità di controllo lo richieda, il tenant può effettuare un'ispezione: una volta ogni 12 mesi, salvo che una violazione o un'autorità di regolamentazione ne richiedano di più, con un preavviso scritto di 30 giorni corredato di una proposta di ambito, durante l'orario lavorativo, in base a un accordo di riservatezza, senza accesso ai dati di altri clienti e avvalendosi di un revisore che non sia un nostro concorrente. Gli audit sono a carico del tenant, che condivide con noi le proprie risultanze. Nulla di quanto precede impedisce un'ispezione legittimamente richiesta da un'autorità di regolamentazione.

Il presente DPA resta in vigore finché esiste lo spazio di lavoro del tenant e cessa quando lo spazio di lavoro viene eliminato; i relativi obblighi in materia di protezione dei dati permangono finché noi o i nostri sub-responsabili del trattamento conserviamo dati personali dei visitatori. Le disposizioni dei Termini di Concierge in materia di controversie, responsabilità e legge applicabile si applicano solo nella misura in cui non limitino i diritti imperativi in materia di protezione dei dati, i poteri delle autorità di regolamentazione o un accordo di trasferimento applicabile; in caso di conflitto prevale tale accordo.

Questioni relative alla protezione dei dati, elenchi dei sub-responsabili del trattamento, clausole contrattuali tipo, Addendum del Regno Unito e adattamenti per la Svizzera: support@vavusai.com.

Per i trasferimenti di dati personali dei visitatori dallo Spazio economico europeo a noi negli Stati Uniti, il presente DPA incorpora le clausole contrattuali tipo per il trasferimento di dati personali verso paesi terzi adottate con la decisione di esecuzione (UE) 2021/914 della Commissione, del 4 giugno 2021 (le «Clausole»), Modulo due (trasferimento da titolare del trattamento a responsabile del trattamento), completate dagli allegati che seguono. Per i trasferimenti disciplinati dal GDPR le Clausole sono incorporate senza modifiche; le Sezioni 14 e 15 stabiliscono come le stesse Clausole si applicano ai trasferimenti disciplinati dal diritto del Regno Unito e dal diritto svizzero. Sono perfezionate mediante l'accettazione registrata, da parte del tenant, dei Termini di Concierge unitamente al presente DPA: la versione e la marca temporale di tale accettazione registrate dal servizio, unitamente alla nostra pubblicazione del presente DPA in tale versione, costituiscono l'accordo scritto delle parti sulle Clausole, per cui non è necessaria una firma separata.

Le opzioni delle Clausole sono esercitate come segue. La clausola facoltativa di adesione successiva (clausola 7) non è utilizzata. La clausola 9, lettera a), opera secondo l'opzione dell'autorizzazione scritta generale: il regime dei sub-responsabili del trattamento di cui alla Sezione 6 costituisce l'autorizzazione concordata e il relativo preavviso di 30 giorni definisce il periodo di preavviso della clausola. L'organismo indipendente di risoluzione delle controversie facoltativo di cui alla clausola 11, lettera a), non è previsto. L'autorità di controllo competente ai sensi della clausola 13 è determinata in base ai criteri della clausola 13, lettera a), come indicato nell'Allegato I.C. Ai sensi della clausola 17, le Clausole sono disciplinate dal diritto dello Stato membro in cui il tenant è stabilito oppure, qualora il tenant non sia stabilito in uno Stato membro o tale diritto non riconosca i diritti del terzo beneficiario, dal diritto dell'Irlanda; ai sensi della clausola 18, lettera b), sono competenti le autorità giurisdizionali di tale Stato membro o, in tal caso, le autorità giurisdizionali dell'Irlanda, e ai sensi della clausola 18, lettera c), l'interessato può inoltre adire le autorità giurisdizionali dello Stato membro in cui ha la residenza abituale. Nelle Clausole, così come si applicano ai sensi della presente Sezione, gli Stati membri comprendono gli Stati dello Spazio economico europeo che non sono membri dell'Unione europea.

In caso di conflitto tra le Clausole e il presente DPA, prevalgono le Clausole nella misura del conflitto, coerentemente con la Sezione 11. Ai sensi della clausola 8.3 (Modulo due), il tenant mette a disposizione dell'interessato che ne faccia richiesta le Clausole, compresi i presenti allegati; a tal fine forniamo il testo su richiesta.

Per i trasferimenti di dati personali dei visitatori a cui si applica la normativa del Regno Unito in materia di protezione dei dati (trasferimenti soggetti a restrizioni ai sensi del GDPR del Regno Unito), il presente DPA incorpora l'International Data Transfer Addendum to the EU Commission Standard Contractual Clauses emanato dall'Information Commissioner ai sensi della sezione 119A(1) del Data Protection Act 2018, versione B1.0 in vigore dal 21 marzo 2022 (l'«Addendum»), completato dalle tabelle della presente Sezione. Si applica a ogni trasferimento di questo tipo, a prescindere dalla risposta fornita dal tenant nella console in merito ai dati del Regno Unito. Come consentito dalla Sezione 2 dell'Addendum, le parti lo concludono mediante l'accettazione registrata, da parte del tenant, del presente DPA in questa versione e la nostra pubblicazione del presente DPA in questa versione, che lo rendono giuridicamente vincolante per entrambe le parti e consentono agli interessati di far valere i diritti che ne derivano; non è necessaria una firma separata.

Tabella 1 - Parti. Data di inizio: la data in cui la console registra l'accettazione di questa versione da parte del tenant. Esportatore: il tenant, con la denominazione legale completa, la denominazione commerciale, l'indirizzo principale, il numero di registrazione ufficiale e il referente principale (il nome e il ruolo della persona che ha accettato e l'indirizzo e-mail del referente aziendale per la privacy) registrati con la sua accettazione nella console. Importatore: DCI Brands LLC, con la denominazione commerciale Vavus; indirizzo principale 312 W 2nd Street, Casper, WY 82601, United States; numero di registrazione ufficiale: Wyoming Secretary of State filing ID 2017-000762309; referente principale: Dragos Ignat, Owner and Founder, support@vavusai.com. Firma: non richiesta, come indicato sopra.

Tabella 2 - Clausole contrattuali tipo, moduli e clausole selezionati. Le Approved EU SCCs (clausole contrattuali tipo UE approvate), comprese le Appendix Information (informazioni dell'appendice), con efficacia, ai fini dell'Addendum, soltanto dei seguenti moduli, clausole e disposizioni facoltative: è operativo il Modulo 2 (da titolare del trattamento a responsabile del trattamento) e non lo sono i Moduli 1, 3 e 4; la clausola 7 (clausola di adesione successiva) non è utilizzata; l'opzione della clausola 11 (organismo indipendente di risoluzione delle controversie) non è utilizzata; la clausola 9, lettera a), opera secondo l'autorizzazione scritta generale, con un periodo di preavviso di 30 giorni.

Tabella 3 - Informazioni dell'appendice. Allegato 1A (Elenco delle parti): Allegato I.A del presente DPA. Allegato 1B (Descrizione del trasferimento): Allegato I.B del presente DPA. Allegato II (misure tecniche e organizzative, comprese quelle volte a garantire la sicurezza dei dati): Allegato II del presente DPA. Allegato III (Elenco dei sub-responsabili del trattamento): Allegato III del presente DPA.

Tabella 4 - Cessazione del presente Addendum in caso di modifica dell'Approved Addendum. Parti che possono porre fine al presente Addendum come previsto dalla Sezione 19 dell'Addendum: nessuna delle parti. Quando l'Information Commissioner emana un Approved Addendum riveduto ai sensi della Sezione 18 dell'Addendum, il presente Addendum è modificato secondo quanto specificato dalla revisione a decorrere dalla data di inizio da essa stabilita.

Clausole obbligatorie: la Parte 2: Mandatory Clauses (clausole obbligatorie) dell'Approved Addendum, ossia il modello di Addendum B.1.0 emanato dall'ICO e presentato al Parlamento ai sensi della sezione 119A del Data Protection Act 2018 il 2 febbraio 2022, come rivisto ai sensi della Sezione 18 di tali clausole obbligatorie. Ai sensi di tali clausole obbligatorie, l'Addendum è disciplinato dal diritto di Inghilterra e Galles, le controversie sono risolte dai tribunali di Inghilterra e Galles, l'interessato può inoltre agire nei confronti di una qualsiasi delle parti dinanzi ai tribunali di qualsiasi paese del Regno Unito e l'Information Commissioner è l'autorità di controllo. Forniamo il testo dell'Addendum su richiesta.

Valutazione del rischio di trasferimento per il Regno Unito. Per il trasferimento a noi negli Stati Uniti, il tenant in qualità di esportatore si basa, per la valutazione della legislazione e delle prassi statunitensi in materia di accesso delle autorità pubbliche ai dati personali e dell'applicabilità dell'Addendum, sull'analisi delle pertinenti leggi e prassi statunitensi elaborata dal Department for Science, Innovation and Technology del Governo del Regno Unito, come consentito dalle linee guida dell'Information Commissioner sulla compilazione di una valutazione del rischio di trasferimento per i trasferimenti verso gli Stati Uniti, anche nel caso di un destinatario non certificato ai sensi della UK Extension to the EU-US Data Privacy Framework. In base a tale analisi, la protezione dei dati trasferiti, con l'Addendum in vigore, non è sostanzialmente inferiore a quella prevista dalla normativa del Regno Unito in materia di protezione dei dati. Non siamo certificati ai sensi di tale quadro e la presente valutazione non si basa su alcuna certificazione. Il trasferimento a cui si riferisce è quello descritto nell'Allegato I.B, con i trasferimenti successivi di cui all'Allegato III e le garanzie di cui all'Allegato II e alla sintesi della valutazione d'impatto sul trasferimento. Informeremo il tenant senza ingiustificato ritardo qualora il Governo del Regno Unito ritiri o modifichi in modo sostanziale tale analisi o qualora non fossimo più in grado di rispettare l'Addendum, e le parti riesamineranno quindi la presente valutazione.

Per i trasferimenti di dati personali dei visitatori a cui si applica la legge federale svizzera del 25 settembre 2020 sulla protezione dei dati (LPD), le Clausole incorporate nella Sezione 13 si applicano in quanto clausole tipo di protezione dei dati riconosciute dall'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ai sensi dell'art. 16 cpv. 2 lett. d LPD, con gli adattamenti di seguito indicati. Si applicano a ogni trasferimento di questo tipo, a prescindere dalla risposta fornita dal tenant nella console in merito ai dati svizzeri. Laddove un trasferimento sia disciplinato sia dalla LPD sia dal GDPR, le parti mantengono disposizioni separate: i presenti adattamenti si applicano soltanto nella misura in cui la LPD disciplina il trasferimento e la Sezione 13 continua ad applicarsi senza modifiche nella misura in cui lo disciplina il GDPR.

• I riferimenti al regolamento (UE) 2016/679 vanno intesi come riferimenti alla LPD, nella misura in cui il trasferimento è soggetto alla LPD.
• L'IFPDT è l'autorità di controllo competente ai sensi della clausola 13 e dell'Allegato I.C per i trasferimenti disciplinati dalla LPD; laddove anche il GDPR disciplini un trasferimento, l'autorità determinata ai sensi della clausola 13, lettera a), resta competente per tale parte, parallelamente.
• Per i trasferimenti disciplinati esclusivamente dalla LPD, le Clausole sono disciplinate dal diritto svizzero ai sensi della clausola 17 e le controversie tra le parti ai sensi della clausola 18, lettera b), sono risolte dai tribunali svizzeri della sede legale del tenant.
• L'espressione «Stato membro» nelle Clausole non deve essere interpretata in modo da escludere gli interessati in Svizzera dalla possibilità di far valere i propri diritti nel luogo di residenza abituale, la Svizzera, ai sensi della clausola 18, lettera c).
• La sintesi della valutazione d'impatto sul trasferimento si applica a tali trasferimenti, da intendersi con riferimento alla LPD. Non siamo certificati ai sensi dello Swiss-US Data Privacy Framework, per cui il riconoscimento degli Stati Uniti da parte del Consiglio federale per le società certificate non copre i trasferimenti a noi. La LPD non richiede che l'utilizzo di tali clausole sia comunicato all'IFPDT.

Esportatore dei dati: il tenant, titolare del trattamento dei dati dei visitatori, stabilito nel paese registrato per lo spazio di lavoro nella console, che può essere uno Stato membro dello Spazio economico europeo, il Regno Unito, la Svizzera o un altro paese; laddove un tenant stabilito altrove sia soggetto al GDPR, alla normativa del Regno Unito in materia di protezione dei dati o alla LPD per il trattamento dei dati dei visitatori, esso è l'esportatore dei dati per i trasferimenti disciplinati da tale legge. Le sue attività pertinenti al trasferimento consistono nella gestione della propria attività e nella direzione dello spazio di lavoro di Concierge tramite la console. La sua denominazione legale completa, la denominazione commerciale, l'indirizzo, il numero di registrazione, l'indirizzo e-mail di contatto per la privacy e il nome e il ruolo della persona che ha accettato per suo conto sono quelli registrati con la sua accettazione nella console. Ruolo: titolare del trattamento.

Importatore dei dati: DCI Brands LLC («Vavus», il responsabile del trattamento), 312 W 2nd Street, Casper, WY 82601, United States (Wyoming Secretary of State filing ID 2017-000762309); attività pertinenti al trasferimento: fornitura del servizio Concierge ai sensi del presente DPA; contatto per le questioni relative alla protezione dei dati: support@vavusai.com. Ruolo: responsabile del trattamento.

Firma e data: per l'esportatore dei dati, la sua accettazione del presente DPA registrata nella console (versione, data e ora e persona che ha accettato); per l'importatore dei dati, la nostra pubblicazione del presente DPA in questa versione, come previsto dalla Sezione 13.

Categorie di interessati: i visitatori, i clienti, i potenziali clienti e il personale del tenant le cui informazioni sono fornite al servizio.

Categorie di dati personali: identificativi forniti dal visitatore (nome, numero di telefono, indirizzo e-mail), contenuto delle conversazioni (messaggi, audio vocale, trascrizioni ed eventuali registrazioni gestite dal tenant), dati relativi a contatti e prenotazioni creati dall'assistente in base alle azioni del visitatore, dati tecnici della sessione (marche temporali, canale, lingua) e dati personali contenuti nel materiale che il tenant carica nelle conoscenze dell'assistente o nei campioni vocali che il tenant fornisce per creare una voce personalizzata.

Dati sensibili: il servizio non raccoglie di norma dati appartenenti a categorie particolari. Laddove la configurazione di un tenant renda prevedibile la presenza di informazioni sanitarie (spazi di lavoro configurati per l'ambito sanitario), l'accesso è limitato al personale che ne ha bisogno ed è registrato, e il tenant resta responsabile di garantire che la loro raccolta si fondi sulla propria base giuridica e sulle proprie istruzioni.

Frequenza e durata: continua, per la durata dello spazio di lavoro, man mano che si svolgono sessioni, prenotazioni e utilizzo della console; la conservazione segue le Sezioni 3 e 9. Natura e finalità: raccolta, trasmissione, organizzazione, conservazione, estrazione, traduzione, generazione di risposte, comunicazione al personale autorizzato e ai sub-responsabili del trattamento di cui all'Allegato III e cancellazione, al fine di fornire Concierge secondo le istruzioni del tenant. I trasferimenti successivi sono limitati a quanto previsto dalla clausola 9, dalla Sezione 6 e dall'elenco di cui all'Allegato III.

Per i trasferimenti disciplinati dal GDPR, l'autorità di controllo competente è determinata dalla clausola 13, lettera a): qualora il tenant (in qualità di esportatore dei dati) sia stabilito in uno Stato membro, l'autorità di controllo incaricata di garantire il rispetto del GDPR da parte del tenant per quanto riguarda il trasferimento; qualora il tenant non sia stabilito in uno Stato membro ma rientri nell'ambito di applicazione dell'articolo 3, paragrafo 2, del GDPR e abbia designato un rappresentante ai sensi dell'articolo 27, paragrafo 1, l'autorità di controllo dello Stato membro in cui è stabilito tale rappresentante; e qualora il tenant non sia stabilito in uno Stato membro, rientri nell'ambito di applicazione dell'articolo 3, paragrafo 2, e non sia tenuto a designare un rappresentante ai sensi dell'articolo 27, paragrafo 2, l'autorità di controllo di uno degli Stati membri in cui si trovano gli interessati i cui dati personali sono trasferiti in relazione all'offerta di beni o servizi loro destinati, o il cui comportamento è oggetto di monitoraggio.

Per i trasferimenti disciplinati dalla normativa del Regno Unito in materia di protezione dei dati, l'Information Commissioner, come previsto dalla Sezione 14. Per i trasferimenti disciplinati dalla LPD, l'Incaricato federale della protezione dei dati e della trasparenza, come previsto dalla Sezione 15, parallelamente all'autorità sopra indicata laddove anche il GDPR disciplini il trasferimento.

Le misure che l'importatore dei dati applica per proteggere i dati, come descritte nelle Sezioni 4, 5, 8 e 9 del presente DPA:

• TLS per i dati in transito e crittografia a riposo in tutto il servizio
• Accesso secondo il principio del privilegio minimo e limitato in base ai ruoli tramite la console autenticata; personale vincolato da obblighi di riservatezza
• Registrazione degli accessi per gli spazi di lavoro configurati per l'ambito sanitario e registrazione a fini di audit delle azioni amministrative
• Registrazioni conservate in un'archiviazione a oggetti con controllo degli accessi
• Cancellazione sicura dei file oltre il periodo di conservazione; backup cifrati secondo un ciclo di vita documentato
• Backup cifrati orari, con verifiche di ripristino, ai fini della continuità e del recupero
• Monitoraggio delle vulnerabilità del software e delle dipendenze del servizio, con applicazione di patch
• Modifiche rilasciate tramite controllo di versione e una procedura di deploy automatizzata con controlli di integrità e ripristino della versione precedente
• Password conservate esclusivamente come hash con salt; account bloccati dopo ripetuti tentativi di accesso non riusciti
• Sicurezza fisica dei data center garantita da Google Cloud in base alle sue certificazioni
• Endpoint protetti dietro un web application firewall con limitazione della frequenza delle richieste
• Notifica al tenant delle violazioni dei dati personali senza ingiustificato ritardo dopo esserne venuti a conoscenza, con dettagli e aggiornamenti in fasi successive
• Assistenza in relazione alle richieste degli interessati e agli obblighi del tenant ai sensi degli articoli da 32 a 36 del GDPR e delle disposizioni equivalenti del GDPR del Regno Unito e della LPD
• Contratti scritti con i sub-responsabili del trattamento che prevedono, nella sostanza, gli stessi obblighi in materia di protezione dei dati del presente DPA

I sub-responsabili del trattamento autorizzati ai sensi della clausola 9, lettera a) (autorizzazione scritta generale), e della Sezione 6, per funzione. Le modifiche seguono le condizioni di preavviso e opposizione di cui alla Sezione 6.

I fornitori che il tenant collega autonomamente (i suoi account di telefonia o di messaggistica, quali il suo account Twilio o il fornitore di WhatsApp, il suo account Stripe per i pagamenti che riceve dai propri clienti e i sistemi di calendario, CRM, ticketing o negozio che collega) sono incaricati direttamente dal tenant sotto la propria autorità e non sono nostri sub-responsabili del trattamento.

• Google Cloud - hosting e archiviazione cloud (regione principale negli Stati Uniti, nodo periferico UE a Francoforte)
• Google - riconoscimento vocale, sintesi vocale, traduzione e modelli di IA
• OpenAI - modelli di IA, riconoscimento vocale e sintesi vocale
• Anthropic - modelli di IA
• ElevenLabs - riconoscimento vocale, sintesi vocale e voci personalizzate (non utilizzato per gli spazi di lavoro configurati per l'ambito sanitario)
• AssemblyAI - riconoscimento vocale, laddove l'impostazione vocale dello spazio di lavoro lo utilizzi
• TypeSafe - instradamento semantico dei turni di conversazione, laddove le impostazioni dell'assistente dello spazio di lavoro lo attivino
• Twilio - telefonia e messaggi di testo per i numeri di telefono che forniamo al tenant
• Stripe - pagamenti relativi al piano Concierge e all'utilizzo del tenant stesso
• Resend - invio di e-mail
• Postal ospitato sulla nostra infrastruttura - invio di e-mail

Laddove ai dati dei visitatori si applichino il California Consumer Privacy Act o un'altra legge sulla privacy di uno Stato degli Stati Uniti, il tenant è il business o controller e Vavus è il suo service provider, contractor o processor, e i termini del presente Allegato hanno il significato loro attribuito da tali leggi. Il tenant ci comunica i dati dei visitatori esclusivamente per la finalità limitata e specifica di fornire Concierge come descritto nel presente DPA e nei Termini di Concierge.

Ci impegniamo a: trattare i dati dei visitatori esclusivamente per tale finalità e secondo le istruzioni del tenant, e a non venderli né condividerli mai; non conservarli, utilizzarli o comunicarli per qualsiasi altra finalità, compresa qualsiasi finalità commerciale, o al di fuori del nostro rapporto commerciale diretto con il tenant; non combinarli con informazioni personali che riceviamo da altri soggetti o che raccogliamo direttamente, salvo nella misura consentita da tali leggi al fine di fornire il servizio; rispettare gli obblighi che tali leggi impongono ai service provider e garantire ai dati dei visitatori lo stesso livello di tutela della privacy da esse richiesto; informare per iscritto il tenant qualora stabilissimo di non essere più in grado di adempiere a tali obblighi; consentire al tenant di adottare misure ragionevoli e appropriate per verificare che utilizziamo i dati dei visitatori in modo coerente con i suoi obblighi, anche tramite la Sezione 10, e per far cessare e porre rimedio a qualsiasi uso non autorizzato; e comunicare al tenant i nuovi sub-responsabili del trattamento ai sensi della Sezione 6, il che soddisfa la comunicazione richiesta da tali leggi. Certifichiamo di comprendere tali restrizioni e di impegnarci a rispettarle.

Le richieste dei visitatori ai sensi di tali leggi sono indirizzate al tenant e prestiamo assistenza come descritto nella Sezione 8.

La legislazione degli Stati Uniti consente alle autorità pubbliche di imporre, in circostanze definite, la comunicazione di dati personali detenuti da fornitori di servizi (in particolare la Section 702 del FISA e l'Executive Order 12333). Prima di concordare le presenti Clausole abbiamo valutato il trasferimento alla luce di tali leggi e prassi, come richiesto dalla clausola 14, tenendo conto delle circostanze specifiche del trasferimento: dati di supporto all'attività aziendale (identificativi, contenuto delle conversazioni, dati delle prenotazioni, dati tecnici della sessione), una catena di trattamento breve (il tenant, noi e i sub-responsabili del trattamento di cui all'Allegato III), la nostra valutazione secondo cui, nel fornire Concierge, non agiamo in qualità di fornitore di servizi di comunicazione elettronica per tale traffico, e le garanzie contrattuali, tecniche e organizzative in essere. Manteniamo tale valutazione sotto riesame, la documentiamo e la mettiamo a disposizione dell'autorità di controllo competente su richiesta.

Misure supplementari: le misure tecniche e organizzative di cui all'Allegato II, la minimizzazione mediante una raccolta configurata dal tenant, i diritti di audit di cui alla Sezione 10 e gli obblighi che assumiamo ai sensi delle clausole 14 e 15: informare il tenant di una richiesta di comunicazione giuridicamente vincolante ove la legge lo consenta, adoperarci per ottenere la revoca di qualsiasi divieto di notifica e fornire informazioni aggregate a intervalli regolari, verificare la legittimità di una richiesta e contestarla qualora vi siano motivi ragionevoli per ritenerla illegittima, e comunicare la quantità minima di informazioni consentita. Qualora concludessimo di non essere più in grado di rispettare le Clausole, ne informeremo tempestivamente il tenant, che potrà sospendere il trasferimento come previsto dalle Clausole. Qualora una decisione di adeguatezza venga a coprire un trasferimento (ad esempio, se ottenessimo la certificazione ai sensi dell'EU-US Data Privacy Framework), le Clausole si applicano a tale trasferimento solo nella misura in cui non vi si applichi la decisione di adeguatezza.

Per i trasferimenti dal Regno Unito si applica la valutazione del rischio di trasferimento di cui alla Sezione 14. Per i trasferimenti dalla Svizzera si applica la presente valutazione, da intendersi con riferimento alla LPD, come previsto dalla Sezione 15.