Accordo sul trattamento dei dati (DPA)

I termini «dato personale», «trattamento», «interessato», «titolare del trattamento», «responsabile del trattamento», «sub-responsabile» e «violazione dei dati personali» hanno il significato loro attribuito dal GDPR.

«Titolare»: l'utente del Servizio. «Responsabile»: [Ragione sociale] («Whaiz»). «Dati»: i dati personali trattati da Whaiz per conto del Titolare nell'ambito del Servizio.

Con il presente Accordo il Titolare nomina Whaiz Responsabile del trattamento per i Dati trattati ai fini dell'erogazione del Servizio. Whaiz tratta i Dati solo su istruzione documentata del Titolare, salvo obblighi di legge.

Le istruzioni del Titolare sono costituite dai Termini, dalla presente DPA e dalle configurazioni e azioni impostate tramite il Servizio (ad esempio l'attivazione del Bot su un contatto o gruppo). Il trattamento dura per il tempo di vigenza del rapporto contrattuale.

Categorie di interessati: i contatti del Titolare e i partecipanti ai gruppi e alle conversazioni che il Titolare decide di gestire tramite il Servizio.

Categorie di Dati: dati identificativi e di contatto (es. numero di telefono, nome visualizzato) e contenuto dei messaggi delle conversazioni che il Titolare decide di importare o far elaborare al Bot. Il Titolare si impegna a non trattare tramite il Servizio categorie particolari di dati salvo che disponga di una base giuridica idonea.

Whaiz: (a) tratta i Dati solo su istruzione documentata del Titolare; (b) garantisce che le persone autorizzate al trattamento siano tenute alla riservatezza; (c) adotta le misure di sicurezza di cui all'art. 32 GDPR; (d) assiste il Titolare con misure adeguate per dar seguito alle richieste degli interessati e per gli obblighi di cui agli artt. 32-36 GDPR; (e) mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi.

Whaiz informa senza ingiustificato ritardo il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati.

Whaiz adotta misure tecniche e organizzative adeguate al rischio, tra cui: cifratura dei dati in transito, controlli di accesso e autenticazione, segregazione degli ambienti, registrazione degli accessi, infrastruttura ospitata su server nell'Unione Europea e principio di minimizzazione (al collegamento di WhatsApp nessun dato viene importato in automatico).

Il Titolare autorizza Whaiz ad avvalersi di sub-responsabili per l'erogazione del Servizio. Whaiz impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli previsti dalla presente DPA e resta responsabile del loro operato.

Sub-responsabili attualmente impiegati: Anthropic, PBC (fornitore dei modelli di intelligenza artificiale «Claude»); Stripe (gestione dei pagamenti); il fornitore di hosting e infrastruttura nell'Unione Europea; il servizio di invio delle email transazionali.

Whaiz informerà il Titolare di eventuali modifiche relative all'aggiunta o sostituzione di sub-responsabili, dando al Titolare la possibilità di opporsi per motivi legittimi.

Tenuto conto della natura del trattamento, Whaiz assiste il Titolare, con misure tecniche e organizzative adeguate, per dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione).

Qualora Whaiz riceva direttamente una richiesta da parte di un interessato relativa a Dati trattati per conto del Titolare, la inoltra senza indebito ritardo al Titolare, che ne è il riferimento principale.

Whaiz notifica al Titolare, senza ingiustificato ritardo dopo esserne venuto a conoscenza, ogni violazione dei Dati personali trattati per suo conto, fornendo le informazioni ragionevolmente disponibili per consentire al Titolare di adempiere agli obblighi di notifica di cui agli artt. 33-34 GDPR.

Gli obblighi di notifica all'autorità di controllo e agli interessati restano in capo al Titolare.

I Dati sono trattati, ove possibile, su server nell'Unione Europea. Eventuali trasferimenti verso Paesi terzi avvengono solo in presenza di garanzie adeguate ai sensi del Capo V del GDPR, quali decisioni di adeguatezza o clausole contrattuali standard (SCC), in particolare con riferimento al fornitore del modello di intelligenza artificiale.

Whaiz mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi del presente Accordo e consente e contribuisce, nei limiti di proporzionalità e di riservatezza, ad attività di revisione (audit) condotte dal Titolare o da un soggetto da questi incaricato, con ragionevole preavviso.

Alla cessazione del Servizio, su scelta del Titolare, Whaiz cancella o restituisce i Dati trattati per suo conto e cancella le copie esistenti, salvo che la conservazione sia richiesta dal diritto dell'Unione o nazionale.

L'eliminazione di una sessione o dell'account comporta la rimozione o l'inaccessibilità dei Dati associati secondo le tempistiche tecniche necessarie.

Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente il foro di [foro]. Per qualsiasi richiesta relativa al trattamento dei dati puoi contattarci all'indirizzo supporto@whaiz.info.