Accordo sul Trattamento dei Dati (DPA)

Documento: Accordo sul Trattamento dei Dati (Art. 28 GDPR) Ultimo aggiornamento: 20 settembre 2026 Versione: v1.1

Servizio: "Alpire", disponibile su alpire.ai. Fornito da ALPIRE TECHNOLOGIES LLC, iscritta con numero 2026-002060057 (Stato del Wyoming) e con sede legale in 30 N Gould St, Ste N, Sheridan, WY 82801, Stati Uniti (il "Fornitore"). Questioni relative alla protezione dei dati: legal@alpire.ai.

Il presente Accordo sul Trattamento dei Dati (l'"Accordo" o "DPA") dà attuazione all'articolo 28 del Regolamento (UE) 2016/679 (il "GDPR") e alla Legge Organica spagnola 3/2018 sulla Protezione dei Dati Personali e la Garanzia dei Diritti Digitali ("LOPDGDD"). Esso costituisce parte del contratto di servizio stipulato tra il Cliente e il Fornitore (il "Contratto Principale") e disciplina il trattamento dei Dati Personali che il Fornitore effettua per conto del Cliente nel fornire il Servizio. In caso di conflitto in materia di protezione dei dati, il presente Accordo prevale sul Contratto Principale.

1. Definizioni

1.1. I termini con l'iniziale maiuscola non definiti nel presente Accordo hanno il significato loro attribuito nel Contratto Principale o, in mancanza, nel GDPR.

1.2. "il Servizio": il sistema telefonico cloud (PBX) e il contact center che il Fornitore gestisce con il marchio Alpire tramite i protocolli SIP e WebRTC, comprese le chiamate in entrata e in uscita, i flussi di chiamata e l'IVR, le code e gli agenti, il webphone nel browser, la registrazione delle chiamate con conservazione configurabile, la trascrizione vocale, la sintesi vocale (TTS), il controllo qualità (QA) assistito da IA, un assistente IA per i flussi di chiamata, un CRM di contatti, le campagne e un dialer di telemarketing in uscita, le liste di esclusione (DNC), i callback, i report e i registri dettagliati delle chiamate (CDR).

1.3. "il Cliente": la persona fisica o giuridica che stipula il Servizio e determina le finalità e i mezzi del trattamento dei Dati del Cliente.

1.4. "Utente Autorizzato": la persona a cui il Cliente concede l'accesso al Servizio (amministratori, supervisori e agenti), identificata dalle proprie credenziali.

1.5. "Dati del Cliente": i Dati Personali che il Cliente o i suoi Utenti Autorizzati inseriscono nel Servizio, o che il Servizio genera per conto del Cliente. Comprendono, a titolo esemplificativo e non esaustivo: i contatti e le liste che il Cliente carica o crea (comprese le etichette e i campi personalizzati); le registrazioni vocali delle chiamate; le trascrizioni di tali registrazioni; i metadati delle chiamate e i registri dettagliati delle chiamate (CDR); e le note e i dati associati a tali chiamate e contatti. I Dati del Cliente non includono i Dati dell'Account.

1.6. "Dati dell'Account": i dati degli Utenti Autorizzati (nome, email, hash della password, indirizzo IP, sessioni, geolocalizzazione approssimativa basata sull'IP, log di sicurezza e dati di autenticazione a due fattori) e i dati di fatturazione del Cliente. Con riferimento ai Dati dell'Account, il Fornitore agisce in qualità di Titolare del trattamento; il relativo trattamento è disciplinato dall'Informativa sulla Privacy del Fornitore ed esula dall'ambito di applicazione del presente Accordo.

1.7. "Dati Personali", "trattamento", "interessato", "Titolare del trattamento", "Responsabile del trattamento" e "violazione dei dati personali" (nel presente Accordo, "violazione di sicurezza") hanno il significato di cui all'articolo 4 del GDPR.

1.8. "Sub-responsabile del trattamento": un terzo incaricato dal Fornitore che tratta i Dati del Cliente al fine di fornire il Servizio.

1.9. "Regione Dati": la regione geografica in cui i dati dell'account del Cliente sono ospitati e trattati. Il Fornitore opera Regioni Dati indipendenti — Unione Europea e America; il Cliente sceglie la propria al momento della creazione dell'account, tra quelle che il Fornitore offre in quel momento, e non varia per tutta la sua durata. La migrazione dei dati tra Regioni non è disponibile: spostare un account richiede un riprovisionamento. Quando la Regione scelta è situata al di fuori dello Spazio Economico Europeo, il trasferimento si fonda sui meccanismi del Capo V del GDPR, ai sensi della clausola 8 e dell'Allegato III.

1.10. "Parte della Chiamata": la persona fisica che prende parte a una chiamata effettuata o ricevuta dal Cliente tramite il Servizio, diversa da un Utente Autorizzato.

2. Ruoli delle parti e oggetto

2.1. Con riferimento ai Dati del Cliente, il Cliente è il Titolare del trattamento e il Fornitore è il Responsabile del trattamento. Il Fornitore tratta i Dati del Cliente esclusivamente per conto del Cliente e conformemente alle sue istruzioni documentate.

2.2. Con riferimento ai Dati dell'Account, il Fornitore è il Titolare del trattamento. Tale rapporto non è disciplinato dal presente Accordo.

2.3. Oggetto del presente Accordo è stabilire i termini in base ai quali il Fornitore tratta i Dati del Cliente nel fornire il Servizio, in conformità all'articolo 28 del GDPR.

2.4. Il Fornitore non presta consulenza legale. La determinazione della liceità di qualsiasi trattamento che il Cliente scelga di effettuare tramite il Servizio è responsabilità del Cliente.

2.5. Qualora il Fornitore determini le finalità e i mezzi del trattamento dei Dati del Cliente in modo diverso dalle istruzioni documentate del Cliente, sarà considerato Titolare del trattamento con riferimento a tale trattamento, ai sensi dell'articolo 28, paragrafo 10, del GDPR.

3. Durata

3.1. Il presente Accordo ha effetto al momento dell'accettazione del Contratto Principale e rimane in vigore per tutto il tempo in cui il Fornitore tratta i Dati del Cliente, ossia per la durata del Servizio.

3.2. Gli obblighi di riservatezza, quelli relativi alla cancellazione o restituzione dei dati alla cessazione (clausola 7.8) e quelli relativi all'audit del trattamento già effettuato sopravvivono alla cessazione del Contratto Principale nella misura necessaria alla loro esecuzione.

4. Natura, finalità e ambito del trattamento

4.1. La natura del trattamento è la gestione di un servizio di telefonia cloud e contact center: instaurazione, instradamento e registrazione delle chiamate; registrazione e, ove applicabile, trascrizione delle chiamate e sintesi vocale (TTS) per i prompt dei flussi di chiamata; gestione dei contatti e delle campagne di chiamata in uscita; applicazione delle liste di esclusione; analisi della qualità mediante intelligenza artificiale; e generazione di report.

4.2. La finalità del trattamento è esclusivamente quella di fornire il Servizio al Cliente conformemente al Contratto Principale e alle istruzioni del Cliente. Il Fornitore non tratta i Dati del Cliente per finalità proprie, né divulga tali dati a terzi, salvo ai Sub-responsabili del trattamento indicati nella clausola 7.4 e nell'Allegato III, o qualora richiesto dal diritto dell'Unione o dello Stato membro cui il Fornitore è soggetto, nel qual caso ne informerà preventivamente il Cliente, salvo divieto di legge.

4.3. I dettagli del trattamento (operazioni, categorie di interessati e di dati) sono indicati nell'Allegato I.

5. Categorie di interessati e di dati

5.1. Categorie di interessati:

5.1.1. I contatti del Cliente: le persone fisiche incluse nelle liste, nelle importazioni e nelle schede di contatto che il Cliente gestisce nel Servizio.

5.1.2. Parti della Chiamata: le persone fisiche che prendono parte alle chiamate che il Cliente effettua o riceve tramite il Servizio.

5.2. Categorie di Dati Personali:

5.2.1. Dati di contatto e identificativi: nome, numero di telefono, email, etichette e campi personalizzati associati al contatto.

5.2.2. Registrazioni vocali delle chiamate.

5.2.3. Trascrizioni di tali registrazioni e analisi derivate (compreso il controllo qualità assistito da IA).

5.2.4. Metadati delle comunicazioni e registri dettagliati delle chiamate (CDR): numeri di origine e di destinazione, data e ora, durata, direzione, instradamento, esito e note associate.

5.3. Categorie particolari di dati. Il Cliente riconosce che una registrazione o una trascrizione possa contenere, in via incidentale e per iniziativa della stessa Parte della Chiamata, dati rientranti nelle categorie particolari di cui all'articolo 9 del GDPR (ad esempio, dati sanitari) qualora la Parte della Chiamata li divulghi nel corso della conversazione. Il Servizio non è né progettato né destinato al trattamento sistematico di tali categorie. La determinazione della liceità del trattamento di tali dati, e della base giuridica applicabile, è responsabilità del Cliente in qualità di Titolare del trattamento.

6. Istruzioni del Titolare del trattamento

6.1. Il Fornitore tratta i Dati del Cliente esclusivamente conformemente alle istruzioni documentate del Cliente, anche per quanto riguarda i trasferimenti internazionali. Costituiscono istruzioni documentate: il presente Accordo, il Contratto Principale, la configurazione che il Cliente applica all'interno del Servizio (tra l'altro, la conservazione delle registrazioni, i flussi di chiamata, le liste di esclusione e la scelta del provider o modello di IA) e qualsiasi ulteriore istruzione che il Cliente impartisca per iscritto.

6.2. Qualora il Fornitore ritenga che un'istruzione del Cliente violi il GDPR, la LOPDGDD o altre disposizioni di diritto dell'Unione o dello Stato membro in materia di protezione dei dati, ne informerà il Cliente senza indugio. Il Fornitore potrà sospendere l'esecuzione dell'istruzione interessata fino a quando il Cliente non la confermi, modifichi o revochi.

7. Obblighi del Responsabile del trattamento

7.1. Riservatezza. Il Fornitore garantisce che le persone autorizzate a trattare i Dati del Cliente si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza. L'accesso del personale del Fornitore ai Dati del Cliente è limitato a quanto necessario per fornire e mantenere il Servizio.

7.2. Sicurezza. Il Fornitore attua le adeguate misure tecniche e organizzative richieste dall'articolo 32 del GDPR per garantire un livello di sicurezza adeguato al rischio. Tali misure sono descritte nell'Allegato II. Il Fornitore potrà aggiornarle a condizione che il livello di sicurezza concordato non venga ridotto.

7.3. Autorizzazione generale dei Sub-responsabili del trattamento. Il Cliente conferisce al Fornitore autorizzazione generale a incaricare Sub-responsabili del trattamento al fine di fornire il Servizio. I Sub-responsabili del trattamento in vigore alla data del presente Accordo sono elencati nell'Allegato III.

7.4. Regime dei Sub-responsabili del trattamento. Il Fornitore:

7.4.1. impone a ciascun Sub-responsabile del trattamento, mediante contratto, obblighi in materia di protezione dei dati equivalenti a quelli del presente Accordo, in particolare gli obblighi di sicurezza di cui all'articolo 32 del GDPR;

7.4.2. resta responsabile nei confronti del Cliente per l'adempimento degli obblighi da parte del Sub-responsabile del trattamento; e

7.4.3. seleziona Sub-responsabili del trattamento che offrono garanzie sufficienti in materia di protezione dei dati.

7.5. Modifiche dei Sub-responsabili del trattamento. Il Fornitore informerà il Cliente di qualsiasi aggiunta o sostituzione di Sub-responsabili del trattamento con ragionevole preavviso, mediante comunicazione all'email di amministrazione dell'account o mediante pubblicazione nel pannello del Servizio. Il Cliente potrà opporsi per motivi ragionevoli attinenti alla protezione dei dati entro trenta (30) giorni dalla comunicazione. Qualora l'opposizione non possa essere risolta, il Cliente potrà risolvere la parte del Servizio che non può essere fornita senza il Sub-responsabile del trattamento contestato, quale suo unico rimedio.

7.6. Assistenza al Titolare del trattamento. Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente, mediante misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile:

7.6.1. nel dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità e opposizione), mettendo a disposizione le funzionalità del Servizio che consentono di individuare, esportare, rettificare o cancellare i Dati del Cliente, compresa l'esportazione dei contatti e la cancellazione di registrazioni, trascrizioni e schede;

7.6.2. nel garantire il rispetto degli obblighi di sicurezza di cui all'articolo 32, degli obblighi di notifica delle violazioni di sicurezza di cui agli articoli 33 e 34, e degli obblighi di valutazione d'impatto sulla protezione dei dati e di consultazione preventiva di cui agli articoli 35 e 36, fornendo le informazioni a sua disposizione sul trattamento che effettua.

7.7. Notifica delle violazioni di sicurezza. Il Fornitore notificherà al Cliente, senza ingiustificato ritardo dopo esserne venuto a conoscenza, qualsiasi violazione di sicurezza riguardante i Dati del Cliente. La notifica includerà, nella misura in cui siano disponibili al Fornitore, la natura della violazione di sicurezza, le categorie e il numero approssimativo di interessati e di schede coinvolti, le probabili conseguenze e le misure adottate o proposte. Il Fornitore collaborerà ragionevolmente con il Cliente. La notifica del Fornitore non costituisce ammissione di colpa o di responsabilità.

7.8. Cancellazione o restituzione. Alla cessazione del Servizio, e a scelta del Cliente, il Fornitore cancellerà o restituirà i Dati del Cliente e cancellerà le copie esistenti, salvo che il diritto dell'Unione o dello Stato membro ne richieda la conservazione. Durante la durata del Servizio, la cancellazione automatica delle registrazioni è disciplinata dal periodo di conservazione che il Cliente configura, come descritto nell'Allegato II. La restituzione è effettuata nei formati di esportazione offerti dal Servizio.

7.9. Informazione e audit. Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 del GDPR e consente e contribuisce agli audit, comprese le ispezioni, condotti dal Cliente o da un revisore da esso incaricato. Gli audit sono concordati con ragionevole preavviso, condotti durante l'orario di lavoro, non più di una volta all'anno salvo il caso di una violazione di sicurezza o di una richiesta di un'autorità di controllo, senza pregiudicare la sicurezza degli altri clienti e nel rispetto di un obbligo di riservatezza. Il Fornitore potrà adempiere a tale obbligo, in prima istanza, mediante la propria documentazione di sicurezza e le certificazioni o relazioni di terzi eventualmente a sua disposizione.

7.10. Costi dell'assistenza e degli audit. L'assistenza di cui alla clausola 7.6 e gli audit di cui alla clausola 7.9 che il Cliente può effettuare utilizzando le funzionalità self-service del Servizio e, nel caso degli audit, nell'ambito della frequenza annuale concordata, sono inclusi nel Servizio. Il Fornitore potrà addebitare al Cliente un compenso ragionevole, alle sue tariffe in vigore, per l'assistenza o gli audit che eccedano tali funzionalità o tale frequenza, comprese le valutazioni d'impatto sulla protezione dei dati, gli audit in loco e la gestione estesa delle richieste degli interessati. Il Fornitore fornirà una stima prima di sostenere tali costi.

8. Trasferimenti internazionali e Regione Dati

8.1. Il Fornitore ospita e tratta i Dati del Cliente nella Regione Dati dell'account, fissata al momento della sua creazione (clausola 1.9) e che non varia successivamente. Se la Regione Dati è l'Unione Europea, l'hosting e il trattamento avvengono interamente nel territorio dell'UE. Se il Cliente sceglie una Regione situata al di fuori dello Spazio Economico Europeo, il trasferimento si fonda sulle clausole contrattuali tipo e, ove applicabile, su misure supplementari o sul quadro di adeguatezza applicabile, dettagliati nell'Allegato III. La migrazione dei dati tra Regioni non è disponibile; il Fornitore lo comunicherà qualora divenisse disponibile.

8.2. Quando la Regione Dati dell'account è l'Unione Europea, i Dati del Cliente sono ospitati e trattati nell'Unione Europea, e gli unici flussi al di fuori dello Spazio Economico Europeo sono i trasferimenti ai Sub-responsabili del trattamento individuati nell'Allegato III, disciplinati dalla clausola 8.3. Quando il Cliente ha scelto una Regione situata al di fuori dello Spazio Economico Europeo, l'hosting e il trattamento ordinari avvengono in tale Regione, e il trasferimento è parimenti disciplinato dalla clausola 8.3.

8.3. Qualora la fornitura del Servizio comporti un trasferimento di Dati del Cliente verso un paese terzo o un'organizzazione internazionale al di fuori dello Spazio Economico Europeo, in particolare verso i Sub-responsabili del trattamento di cui all'Allegato III ivi ubicati, il Fornitore lo effettuerà solo laddove sia applicabile un meccanismo valido ai sensi del Capo V del GDPR: una decisione di adeguatezza o garanzie adeguate. Laddove la garanzia sia costituita dalle clausole contrattuali tipo, le Clausole Contrattuali Tipo adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione del 4 giugno 2021 sono incorporate nel presente Accordo mediante rinvio. Il Modulo applicabile è determinato dal ruolo delle parti di ciascun trasferimento: Modulo Tre (da responsabile a responsabile del trattamento) per i trasferimenti dal Fornitore a un Sub-responsabile del trattamento al di fuori dello Spazio Economico Europeo, e Modulo Due (da titolare a responsabile del trattamento) laddove le clausole disciplinino il trasferimento tra il Cliente e il Fornitore. Le relative appendici sono completate mediante rinvio all'Allegato I (parti e dettagli del trattamento), all'Allegato II (misure di sicurezza) e all'Allegato III (Sub-responsabili del trattamento) del presente Accordo. Laddove il Fornitore si avvalga di clausole contrattuali tipo già concluse con un Sub-responsabile del trattamento, tali clausole disciplinano il corrispondente trasferimento. Il Cliente autorizza i trasferimenti ai Sub-responsabili del trattamento di cui all'Allegato III in base a tali meccanismi.

8.4. Il Cliente riconosce che la scelta del provider o modello di IA e degli endpoint di trascrizione e di modello linguistico determina dove, e a quali condizioni di conservazione, sono trattati determinati Dati del Cliente. Il Fornitore offre controlli per confinare tale trattamento, tra cui l'opzione di un endpoint di trascrizione nell'Unione Europea e, laddove il gateway lo supporti, l'instradamento con conservazione dei dati pari a zero (zero-data-retention). Alcuni provider non supportano tale modalità. La scelta del provider e del modello, e la sua adeguatezza, sono responsabilità del Cliente.

8.5. Richieste delle autorità. Qualora il Fornitore o un Sub-responsabile del trattamento riceva una richiesta giuridicamente vincolante da parte di un'autorità pubblica, compresa un'autorità giudiziaria, di accedere ai Dati del Cliente o di divulgarli, il Fornitore, salvo divieto di legge: (a) notificherà il Cliente senza ingiustificato ritardo; (b) esaminerà la legittimità della richiesta e la contesterà laddove sia manifestamente illegittima o sproporzionata ai sensi del diritto applicabile; e (c) divulgherà solo i Dati del Cliente minimi necessari a conformarsi. Il Fornitore terrà un registro di tali richieste a disposizione del Cliente.

9. Obblighi e garanzie del Cliente in qualità di Titolare del trattamento

9.1. Il Cliente garantisce di disporre di una base giuridica per il trattamento dei Dati del Cliente e di aver informato gli interessati conformemente agli articoli 13 e 14 del GDPR.

9.2. Il Cliente garantisce di aver ottenuto, ove applicabile, il consenso a contattare ciascuna persona presente nelle proprie liste a fini di comunicazione commerciale o di marketing diretto, conformemente alla Direttiva 2002/58/CE (ePrivacy), alla Legge spagnola 34/2002 (LSSI-CE) e alla Legge 11/2022, Legge Generale sulle Telecomunicazioni, e di rispettare le liste di esclusione pubblicitaria, compresa la Lista Robinson in Spagna. In altre giurisdizioni, il Cliente rispetta le norme locali in materia di telemarketing e i registri di esclusione equivalenti; negli Stati Uniti, tra l'altro, i requisiti applicabili in materia di consenso preventivo e i registri DNC. Il Cliente conosce e applica le norme della propria giurisdizione e quelle delle Parti della Chiamata.

9.3. Il Cliente è responsabile della liceità della registrazione delle chiamate nella giurisdizione delle parti e di informare debitamente gli Interlocutori che la chiamata può essere registrata. Il Servizio fornisce i MEZZI per dare tale avviso — un nodo di annuncio all'inizio del flusso, il messaggio iniziale dell'agente di IA e il contrassegno di supervisione nell'ascolto in diretta — ma la loro attivazione e la loro formulazione sono decisione del Cliente: il Fornitore non inserisce alcun avviso di propria iniziativa né ne supervisiona il contenuto.

9.4. Il Cliente è responsabile del fatto che l'uso delle funzioni di intelligenza artificiale (trascrizione, sintesi vocale, agente conversazionale, controllo qualità, assistente ai flussi) rispetti il GDPR e la normativa applicabile, incluso il regolamento (UE) 2024/1689 (regolamento sull'intelligenza artificiale). Con riferimento ai sistemi di IA che il Cliente configura e gestisce tramite il Servizio, il Cliente agisce in qualità di deployer, e spetta a lui informare l'Interlocutore che sta interagendo con un sistema di intelligenza artificiale quando tale regolamento lo richieda; il messaggio iniziale dell'agente è il campo previsto a tal fine. Il Fornitore mette a disposizione informazioni e controlli — la selezione di provider, modello e regione, il contrassegno di residenza e di addestramento di ciascun modello e, quando il gateway lo supporta, l'instradamento in modalità di non conservazione dei dati; la scelta, la sua adeguatezza e la conformità spettano al Cliente.

9.5. Le istruzioni del Cliente al Fornitore sono lecite. Il Cliente non inserirà nel Servizio alcun Dato Personale che non sia legittimato a trattare.

9.6. Connettività telefonica e numerazione. Il Cliente sottoscrive e configura il trunk SIP e la numerazione con cui opera il Servizio. Gli competono: il rapporto con tale operatore, il diritto di utilizzare i numeri e gli identificativi del chiamante che presenta, e il rispetto della normativa in materia di telecomunicazioni applicabile alle sue chiamate e alle sue connessioni. L'operatore sottoscritto dal Cliente è un fornitore di quest'ultimo e non un Sub-responsabile del Fornitore, ai sensi della sezione c) dell'Allegato III.

10. Responsabilità e manleva

10.1. La ripartizione della responsabilità tra le parti è disciplinata dall'articolo 82 del GDPR e dal regime di responsabilità del Contratto Principale, comprese le sue limitazioni ed esclusioni.

10.2. Il Cliente terrà indenne il Fornitore da reclami di terzi, sanzioni delle autorità di controllo e danni derivanti dall'inadempimento da parte del Cliente dei propri obblighi di Titolare del trattamento ai sensi del presente Accordo, in particolare dal trattamento dei Dati del Cliente in assenza di base giuridica o di consenso, dall'effettuazione di chiamate senza consenso o in violazione delle liste di esclusione, e dalla registrazione illecita delle chiamate.

11. Disposizioni finali

11.1. Il presente Accordo è incorporato nel Contratto Principale e interpretato congiuntamente ad esso. Per le materie non disciplinate nel presente Accordo, si applica il Contratto Principale e, in materia di protezione dei dati, il GDPR e la LOPDGDD.

11.2. Il presente Accordo è disciplinato dalla legge applicabile al Contratto Principale. Ciò si intende fatta salva l'applicazione imperativa del GDPR al trattamento descritto nel presente Accordo e la competenza dell'autorità di controllo corrispondente al Cliente.

11.3. L'invalidità di una qualsiasi clausola non pregiudica la validità delle restanti clausole.

Allegato I — Dettagli del trattamento

Titolare del trattamento: il Cliente. Responsabile del trattamento: il Fornitore, ALPIRE TECHNOLOGIES LLC.

Oggetto: fornitura del Servizio PBX cloud e contact center Alpire.

Durata: per la durata del Servizio, oltre al periodo di cancellazione o restituzione ai sensi della clausola 7.8.

Natura e operazioni di trattamento: raccolta, registrazione, conservazione, strutturazione, instradamento delle chiamate, registrazione, trascrizione, sintesi vocale (TTS), analisi della qualità basata su IA, consultazione, esportazione, cancellazione e cancellazione automatica per conservazione.

Finalità: instaurare, instradare e registrare le comunicazioni del Cliente; registrare e, ove applicabile, trascrivere e analizzare le chiamate; gestire i contatti e le campagne di chiamata in uscita; applicare le liste di esclusione; e generare report e registri dettagliati delle chiamate (CDR).

Categorie di interessati: i contatti del Cliente e le Parti della Chiamata delle sue chiamate.

Categorie di Dati Personali: dati di contatto e identificativi (nome, telefono, email, etichette e campi personalizzati); registrazioni vocali; trascrizioni e analisi derivate; metadati delle comunicazioni e registri dettagliati delle chiamate (CDR); note associate a chiamate e contatti.

Categorie particolari (se presenti): dati di cui all'articolo 9 del GDPR che una Parte della Chiamata possa divulgare in via incidentale nel corso di una conversazione. Ciò non costituisce una finalità del trattamento; la relativa liceità è responsabilità del Cliente.

Frequenza del trattamento: continua, per tutto il tempo in cui il Cliente utilizza il Servizio.

Allegato II — Misure tecniche e organizzative di sicurezza (Art. 32 GDPR)

Il Fornitore applica, come minimo, le seguenti misure:

1. Cifratura in transito. Le comunicazioni con il pannello e il webphone sono cifrate mediante TLS. La segnalazione delle chiamate e i media sono trasportati sui canali sicuri nativi di SIP e WebRTC.

2. Controllo degli accessi e autenticazione. Le password degli Utenti Autorizzati sono memorizzate mediante una funzione di derivazione di chiave con salt (argon2id); mai in chiaro. Le sessioni sono gestite a fronte del database e scadono. L'autenticazione a due fattori (TOTP, RFC 6238) è disponibile su base individuale per utente.

3. Controllo delle autorizzazioni (RBAC). L'accesso alle funzionalità e ai dati del Servizio è disciplinato da ruoli e da permessi a livello di sezione, in modo che ciascun Utente Autorizzato acceda solo a ciò che il suo ruolo consente all'interno della propria organizzazione.

4. Isolamento multi-tenant. I dati di ciascun Cliente sono segregati logicamente per organizzazione; l'accesso ai Dati del Cliente è confinato all'organizzazione a cui appartengono, impedendo l'accesso incrociato tra clienti.

5. Log di audit. Il Servizio registra gli eventi rilevanti di sicurezza e amministrazione (tra l'altro, accessi, modifiche di configurazione e azioni amministrative), conservati ai fini di revisione.

6. Conservazione e cancellazione configurabili. Il Cliente configura il periodo di conservazione delle registrazioni (14, 30, 90, 180 o 365 giorni, oppure conservazione illimitata). Laddove il Cliente imposti un periodo, un processo automatico esegue periodicamente una scansione e cancella le registrazioni il cui periodo è scaduto; laddove il Cliente scelga la conservazione illimitata, non si applica alcuna cancellazione automatica. Il Cliente può cancellare registrazioni, trascrizioni e schede su richiesta.

7. Conservazione e accesso alle registrazioni. Le registrazioni delle chiamate e le relative copie sono conservate su un'infrastruttura di archiviazione ad accesso controllato all'interno della Regione Dati. L'accesso è confinato all'organizzazione del Cliente mediante i controlli di autorizzazione di cui al punto 3 e al personale del Fornitore strettamente per quanto necessario a operare il Servizio. La cifratura in transito di cui al punto 1 protegge la trasmissione; a riposo, le registrazioni sono protette da tali controlli di accesso.

8. Minimizzazione nel trattamento tramite IA. Il Cliente sceglie, per ciascun agente, i modelli di trascrizione, di voce e linguistici tra quelli del catalogo del Servizio; per il controllo qualità (QA) il catalogo include modelli a basso costo. Il catalogo offerto è FILTRATO in base alla Regione dei Dati dell'account: un provider situato al di fuori di tale regione non viene mostrato, salvo che il Cliente abiliti espressamente il trattamento transfrontaliero (clausola 8.2). Per impostazione predefinita — e anche quando il modello scelto non può essere verificato rispetto alla Regione dei Dati dell'account — il trattamento tramite modello linguistico non prosegue mai presso un provider non verificato: per il controllo qualità (QA) viene reindirizzato al modello europeo predefinito (Nebius, Paesi Bassi) e, per l'agente e l'assistente ai flussi, il trattamento non ha luogo. La trascrizione predefinita avviene tramite l'endpoint europeo di Speechmatics, il cui servizio in tempo reale non conserva né l'audio né la trascrizione. Ove il provider le offra, il Servizio attiva le opzioni disponibili di non conservazione e di esclusione dall'addestramento (ad esempio, l'esclusione dal programma di miglioramento dei modelli di Deepgram); altri provider non supportano tali opzioni, come indicato nell'Allegato III. La scelta del provider e del modello, e le sue conseguenze in termini di conservazione, sono responsabilità del Cliente (clausole 6.1 e 8.4).

9. Resilienza e ripristino. Il Fornitore mantiene misure di backup e ripristino finalizzate a ripristinare la disponibilità e l'accesso ai dati in caso di incidente fisico o tecnico.

10. Hardening operativo. I componenti interni (tra l'altro, il motore media e le interfacce di amministrazione) sono esposti solo su reti private o protette, non sulla rete internet aperta.

Il Fornitore potrà modificare tali misure a condizione che il livello di sicurezza non scenda al di sotto di quello qui descritto.

Allegato III — Elenco dei Sub-responsabili del trattamento

Il presente elenco è esaustivo in via anticipata: comprende ogni Sub-responsabile del trattamento che il Cliente possa arrivare ad attivare dalla configurazione del proprio account, sia esso offerto o meno in questo momento. È pubblicato così di proposito. Il Cliente è il titolare del trattamento ed è lui a decidere la combinazione di modello, voce, provider e regione che il suo Servizio utilizza; il ruolo del Fornitore è dichiarare con esattezza che cosa fa ciascun Sub-responsabile e dove, affinché tale decisione sia presa con l'informazione a disposizione. Di conseguenza, attivare un'opzione già compresa qui non costituisce l'aggiunta di un nuovo Sub-responsabile ai fini della clausola 7.5: l'informativa preventiva che tale clausola richiede è il presente elenco. L'aggiunta di un Sub-responsabile non compreso in esso sarà notificata ai sensi della clausola 7.5.

Un Sub-responsabile del trattamento tratta i Dati del Cliente solo quando il Cliente seleziona il modello, la voce o il provider corrispondente. Salvo diversa scelta del Cliente, il Servizio utilizza per impostazione predefinita provider ubicati nell'Unione Europea (modelli linguistici predefiniti: Nebius nei Paesi Bassi, sia per l'agente e l'assistente ai flussi sia per la valutazione della qualità delle chiamate; trascrizione predefinita: Speechmatics tramite il suo endpoint dell'Unione Europea; sintesi vocale predefinita: Deepgram tramite il suo endpoint dell'Unione Europea). L'attivazione di un provider ubicato al di fuori dello Spazio Economico Europeo costituisce un'istruzione del Cliente ed è disciplinata dalle clausole 8.2 e 8.3.

a) Trattamento della voce e intelligenza artificiale (trascrizione, sintesi vocale e modelli linguistici sul contenuto delle chiamate e delle chat):

Trascrizione senza sub-responsabile. Il Servizio offre inoltre un motore di trascrizione che viene eseguito sull'infrastruttura propria del Fornitore, all'interno della Regione Dati dell'account. Quando il Cliente lo seleziona, l'audio non esce verso alcun terzo e non interviene alcun Sub-responsabile della presente sezione.

Utilizzo del contenuto per l'addestramento. Il Servizio segnala nel selettore dei modelli quali sono utilizzati dal rispettivo provider per addestrare o migliorare i propri sistemi, e nessuno di essi è un modello predefinito: tutti richiedono una selezione espressa del Cliente. Alla data della presente versione: Mistral AI utilizza il contenuto ai sensi delle sue condizioni di servizio nei modelli che il Servizio contrassegna come tali (a questa data, Ministral 3B, Ministral 8B, Mistral Small e la voce Voxtral); AssemblyAI lo utilizza salvo esclusione, che dipende dal piano sottoscritto con tale provider; e Deepgram lo utilizza unicamente nella variante «Nova-3 MIP», che partecipa al suo Model Improvement Program in cambio di una tariffa ridotta (la variante «Nova-3» standard, offerta in parallelo, non vi partecipa).

b) Infrastruttura e servizi di supporto:

c) Connettività telefonica. Il Fornitore non svolge attività di operatore di telecomunicazioni. La connessione alla rete telefonica avviene tramite il trunk SIP che il Cliente sottoscrive e configura nel proprio account, e tale operatore è un fornitore del Cliente stesso: non è Sub-responsabile del Fornitore, e il rapporto tra il Cliente e tale operatore esula dal presente Accordo. Qualora in futuro il Fornitore offrisse numerazione sottoscritta da sé, l'operatore corrispondente diverrebbe Sub-responsabile e sarebbe aggiunto al presente Allegato ai sensi della clausola 7.5.

Il Fornitore mantiene aggiornato il presente elenco e notifica le modifiche ai sensi della clausola 7.5.