Contratto di trattamento dati (DPA)

Aggiornato: settembre 2026

tra il cliente («titolare del trattamento») e la Rylivo UG (haftungsbeschränkt), Friedrichstr. 155, 10117 Berlino («responsabile del trattamento»).

§ 1 Oggetto e durata

(1) Il responsabile fornisce al titolare i servizi di risposta telefonica basata sull’AI descritti nel contratto di utilizzo. Oggetto del presente DPA è il trattamento di dati personali che ne deriva, effettuato per conto del titolare.

(2) La durata del presente DPA corrisponde alla durata del contratto di utilizzo. Termina con la cessazione di quest’ultimo e comunque con la cancellazione completa o la restituzione dei dati ai sensi del § 8.

§ 2 Natura e finalità del trattamento

Il trattamento comprende la risposta telefonica alle chiamate in entrata, la trascrizione in tempo reale delle conversazioni, il riepilogo automatico e la registrazione strutturata delle richieste (in particolare richieste di richiamata e di appuntamento), nonché la notifica al titolare via e-mail e la messa a disposizione dei dati nel pannello. Finalità sono la reperibilità del titolare e la gestione ordinata delle sue chiamate.

§ 3 Categorie di dati e interessati

Categorie di dati:

• Dati identificativi dei chiamanti, se comunicati nella conversazione (ad es. nome, azienda)
• Numeri di telefono e dati di connessione (ora, durata)
• Contenuti delle conversazioni in forma testuale (trascrizione, riepilogo, richieste registrate come numero di richiamata e richiesta di appuntamento)

Interessati: chiamanti del titolare (in particolare clienti, potenziali clienti, fornitori e altre persone di contatto).

§ 4 Obblighi del responsabile

Il responsabile del trattamento

1. tratta i dati esclusivamente su istruzione documentata del titolare (art. 28, par. 3, lett. a) GDPR); il contratto di utilizzo e la configurazione dell’assistente da parte del titolare valgono come istruzioni. Se ritiene un’istruzione illecita, ne informa immediatamente il titolare;
2. garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza (art. 28, par. 3, lett. b) GDPR);
3. adotta tutte le misure tecniche e organizzative richieste dall’art. 32 GDPR (allegato 1);
4. assiste il titolare con mezzi adeguati nel rispondere alle richieste degli interessati (artt. 12–23 GDPR) e negli obblighi di cui agli artt. 32–36 GDPR, in particolare nella notifica delle violazioni dei dati personali; segnala tali violazioni al titolare immediatamente;
5. cancella o restituisce i dati secondo quanto previsto dal § 8;
6. mette a disposizione del titolare tutte le informazioni necessarie per dimostrare il rispetto dell’art. 28 GDPR (§ 7).

§ 5 Sub-responsabili

(1) Il titolare approva i sub-responsabili elencati nell’allegato 2. Il responsabile ha stipulato con ciascun sub-responsabile un contratto che impone a quest’ultimo gli stessi obblighi di protezione dei dati stabiliti nel presente DPA.

(2) Il responsabile informa il titolare in forma scritta dell’intenzione di ricorrere a nuovi sub-responsabili o di sostituirli. Il titolare può opporsi alla modifica entro 14 giorni per gravi motivi di protezione dei dati. Se non è possibile una soluzione concordata, entrambe le parti hanno un diritto di recesso straordinario.

§ 6 Trasferimenti verso paesi terzi

Il trattamento in paesi terzi avviene solo alle condizioni degli artt. 44 e ss. GDPR, in particolare sulla base delle clausole contrattuali standard dell’UE (SCC) con i sub-responsabili indicati nell’allegato 2, integrate da misure di protezione aggiuntive (in particolare cifratura del trasporto, pseudonimizzazione ove possibile).

§ 7 Diritti di controllo del titolare

(1) Il titolare ha il diritto di verificare il rispetto del presente DPA. Il responsabile consente e supporta le verifiche — comprese le ispezioni — effettuate dal titolare o da un revisore da lui incaricato.

(2) I controlli avvengono previo congruo preavviso durante il normale orario di lavoro. Il responsabile può fornire le prove in primo luogo tramite documentazione adeguata, attestazioni o certificazioni.

§ 8 Cancellazione e restituzione

(1) Il responsabile cancella singoli record in qualsiasi momento su istruzione del titolare.

(2) Dopo la cessazione del contratto di utilizzo, il responsabile, a scelta del titolare, cancella tutti i dati personali o li restituisce in un formato di uso comune e cancella le copie esistenti, salvo obblighi di conservazione previsti dalla legge.

§ 9 Disposizioni finali

(1) In caso di contrasto tra il presente DPA e il contratto di utilizzo, prevalgono, per le questioni di protezione dei dati, le disposizioni del presente DPA.

(2) Si applica il diritto tedesco. Modifiche e integrazioni richiedono la forma scritta.

Allegato 1: Misure tecniche e organizzative (TOM)

• Cifratura: Tutte le trasmissioni di dati avvengono in forma cifrata durante il trasporto (TLS); i dati conservati sono mantenuti su sistemi cifrati dei fornitori di infrastruttura.
• Controllo degli accessi: ai dati delle chiamate hanno accesso solo il rispettivo cliente (pannello con protezione di accesso, cookie di sessione HttpOnly) e i collaboratori autorizzati del responsabile secondo il principio della necessità di conoscere; gli accessi amministrativi sono protetti separatamente.
• Scelta della sede: trattamento e conservazione avvengono in data center dell’UE, ove consentito dai fornitori utilizzati.
• Conservazione audio con politica di cancellazione: le conversazioni vengono registrate in audio previo annuncio e trascritte; registrazione e trascrizione sono conservate e cancellate secondo la politica di cancellazione concordata.
• Registrazione degli eventi: gli eventi di sistema e gli accessi amministrativi vengono registrati e valutati regolarmente.
• Separazione: i dati dei clienti sono separati logicamente (attribuzione di tutti i dati delle chiamate al rispettivo cliente).
• Ripristinabilità: backup regolari del database e procedure di ripristino documentate.

Allegato 2: Sub-responsabili approvati