Data Processing Agreement (DPA)

1. Definizioni

• Titolare del Trattamento (Data Controller): il Cliente che utilizza Business Tuner per raccogliere, organizzare e analizzare informazioni, comprese quelle raccolte con interviste, chatbot, posta in ingresso e percorsi di formazione.
• Responsabile del Trattamento (Data Processor): Lino's & Co Srl, fornitore di Business Tuner, che tratta i dati per conto del Titolare.
• Dati Personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile trattata tramite Business Tuner (per esempio risposte a un'intervista, messaggi a un chatbot, contatti, documenti caricati che contengono dati personali).
• Trattamento: qualsiasi operazione eseguita sui dati: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modifica, estrazione, analisi, cancellazione.
• Sub-Responsabile: fornitore terzo autorizzato da Lino's & Co Srl per erogare il servizio (per esempio hosting, archiviazione dei file, modelli di intelligenza artificiale).

2. Oggetto e durata

Questo DPA regola le modalità con cui Lino's & Co Srl tratta i Dati Personali per conto del Cliente nell'ambito dell'utilizzo di Business Tuner, in conformità al Regolamento (UE) 2016/679 (GDPR) e alla normativa italiana applicabile.

Durata: questo accordo vale per tutta la durata del contratto di servizio o dell'incarico tra Cliente e Lino's & Co Srl, e termina con la cancellazione dell'account e dei dati secondo la sezione 9.

3. Ruoli e responsabilità

3.1 Il Cliente (Titolare) è responsabile di

• Determinare le finalità e i mezzi del trattamento dei dati
• Informare le persone che rispondono alle interviste o usano il chatbot e raccoglierne il consenso dove serve
• Configurare correttamente gli avvisi privacy e i consensi nelle interviste e nel chatbot
• Indicare quali documenti caricati contengono dati personali o informazioni da non usare
• Rispettare i diritti degli interessati (accesso, rettifica, cancellazione, portabilità)
• Condurre una DPIA (Data Protection Impact Assessment) se necessaria per trattamenti ad alto rischio

3.2 Lino's & Co Srl (Responsabile) è responsabile di

• Trattare i dati solo su istruzione documentata del Cliente
• Garantire la riservatezza del personale e dei consulenti autorizzati al trattamento, che accedono solo ai progetti a cui sono assegnati
• Applicare misure tecniche e organizzative adeguate per la sicurezza dei dati
• Assistere il Cliente nel rispondere alle richieste degli interessati
• Notificare senza ritardo eventuali violazioni dei dati
• Cancellare o restituire i dati al termine del servizio, su richiesta del Cliente
• Mettere a disposizione le informazioni necessarie per dimostrare la conformità

4. Natura e finalità del trattamento

Tipologie di dati trattati:

• Documenti e materiali caricati dal Cliente, e i fatti estratti da questi con la loro fonte
• Risposte alle interviste e conversazioni con il chatbot, con i metadati tecnici della sessione (data, ora, durata)
• Dati di contatto, se richiesti dal Cliente: nome, email, telefono
• Dati raccolti nella modalità di raccolta dati delle interviste, se attivata (per esempio competenze ed esperienze)
• Messaggi ricevuti nella casella di posta del progetto, se attivata
• Dati dei partecipanti ai percorsi di formazione: risposte alle prove, esiti, attestati
• Risultati delle analisi: temi, citazioni, sintesi

Finalità del trattamento

• Raccolta di risposte e conversazioni tramite interviste e chatbot
• Organizzazione della conoscenza del Cliente e preparazione di risposte, contenuti e analisi
• Analisi qualitativa (temi, citazioni, sintesi)
• Conservazione delle trascrizioni e dei materiali
• Generazione di report ed esportazioni per il Cliente
• Miglioramento del servizio, solo con dati aggregati e anonimizzati

Categorie di interessati

• Partecipanti a interviste
• Visitatori del sito del Cliente che usano il chatbot
• Candidati, se il Cliente usa la modalità di raccolta dati per la selezione
• Dipendenti e collaboratori del Cliente, anche come partecipanti ai percorsi di formazione
• Clienti, fornitori e altri interlocutori del Cliente presenti nei materiali o nella posta del progetto

5.1 Misure tecniche

• Cifratura in transito: le connessioni verso la piattaforma sono cifrate con TLS.
• Cifratura delle credenziali: le chiavi dei fornitori e le credenziali dei collegamenti del Cliente sono cifrate nel database con AES-256-GCM. Le password degli utenti sono salvate solo come impronta (bcrypt).
• Controllo accessi: ogni organizzazione e ogni progetto sono separati; ruoli e permessi per persona; un utente vede solo i progetti a cui è stato invitato.
• Copie di sicurezza: copie giornaliere del database, conservate su Cloudflare R2, che cifra i dati a riposo.
• Registri: registro degli accessi e delle attività sui dati.
• Sviluppo sicuro: controlli automatici sul codice per la separazione fra organizzazioni e per le richieste verso l'esterno; aggiornamenti tempestivi delle dipendenze.

5.2 Misure organizzative

• Formazione: personale formato sulla protezione dei dati
• Riservatezza: accordi di riservatezza per dipendenti e consulenti
• Gestione degli incidenti: procedura documentata di risposta a una violazione dei dati
• Accesso limitato: principio del minimo privilegio; accesso ai dati solo per il personale autorizzato
• Approvazione umana: ogni pubblicazione o invio verso l'esterno passa dall'approvazione di una persona

6. Sub-responsabili autorizzati

Lino's & Co Srl si avvale dei seguenti sub-responsabili per l'erogazione del servizio:

6.1 Fornitori di modelli di intelligenza artificiale

I fornitori di modelli di intelligenza artificiale elencati sopra agiscono come sub-responsabili e sono utilizzati con condizioni commerciali. Secondo tali condizioni i contenuti inviati dal Cliente non sono usati per addestrare i modelli dei fornitori. Ogni operazione invia al modello solo il testo che le serve, non l'intero progetto. Il fornitore che non è più in uso viene tolto dall'elenco e le modifiche all'elenco sono comunicate al Cliente secondo la procedura di obiezione descritta di seguito.

6.2 Altri servizi

Per le funzioni di analisi di mercato e di visibilità usiamo anche SerpAPI e DataForSEO, che ricevono parole chiave, nomi di marchio e domini, non dati personali degli interessati.

I servizi che il Cliente collega al proprio progetto (per esempio Google Analytics, Search Console, LinkedIn, Facebook, Instagram, WordPress, Brevo) sono scelti dal Cliente e trattano i dati secondo i contratti tra il Cliente e quei fornitori.

Diritto di obiezione

Per i trasferimenti extra-UE, Lino's & Co Srl utilizza le Standard Contractual Clauses approvate dalla Commissione Europea, come previste dagli accordi di trattamento dei singoli fornitori.

Il Cliente ha il diritto di obiettare all'ingaggio di un nuovo sub-responsabile entro 30 giorni dalla notifica. In caso di obiezione motivata, le parti cercheranno una soluzione alternativa o, se non possibile, il Cliente potrà recedere dal contratto.

7.1 Richieste degli interessati (DSAR)

Lino's & Co Srl mette a disposizione del Cliente questi strumenti per gestire le richieste degli interessati:

• Accesso e portabilità: esportazione delle risposte delle interviste e delle conversazioni in formato CSV; esportazione dei dati personali di un utente della piattaforma
• Cancellazione: eliminazione di singole conversazioni o di intere interviste; cancellazione dei dati di una persona nei percorsi di formazione
• Rettifica e richieste particolari: con l'assistenza del team, scrivendo a businesstuner@voler.ai

7.2 Data Protection Impact Assessment (DPIA)

Per richieste complesse, il Cliente può contattare il team a businesstuner@voler.ai e riceverà assistenza entro 72 ore lavorative.

Lino's & Co Srl fornisce le informazioni necessarie per consentire al Cliente di condurre una DPIA quando richiesta dal GDPR (art. 35). La documentazione tecnica e le misure di sicurezza sono disponibili su richiesta.

8. Notifica delle violazioni dei dati

In caso di violazione dei dati personali, Lino's & Co Srl notifica il Cliente entro 72 ore dalla scoperta, via email agli amministratori dell'account, indicando:

• Natura della violazione (tipo di dati coinvolti, numero di interessati)
• Probabili conseguenze
• Misure adottate o proposte per limitarne gli effetti
• Un resoconto completo dell'incidente entro 7 giorni

Chi notifica il Garante

Il Cliente, in qualità di Titolare, resta responsabile della notifica all'Autorità Garante e agli interessati quando richiesta dagli artt. 33 e 34 del GDPR.

9. Conservazione e cancellazione dei dati

• Dati del progetto, interviste e conversazioni: conservati finché il Cliente mantiene l'account o l'incarico, salvo cancellazione da parte del Cliente
• Cancellazione dell'account: su richiesta scritta, entro 30 giorni, con la cancellazione dei progetti e dei loro file e poi dell'organizzazione
• Copie di sicurezza: sette copie giornaliere e tre mensili, sovrascritte a rotazione. Un dato cancellato scompare dalle copie entro circa tre mesi
• Registro degli accessi: 365 giorni per i servizi di ascolto (interviste e chatbot); per le altre parti della piattaforma fino alla cancellazione dell'organizzazione
• Registro dei consumi (operazione, modello, crediti): conservato per gli obblighi contabili; non contiene il testo dei documenti
• Messaggi della posta in ingresso del progetto: per il periodo scelto dal Cliente, da 7 a 730 giorni

Modalità di cancellazione

Al termine del contratto il Cliente può:

• Esportare le risposte e le conversazioni e ricevere, su richiesta, i risultati consegnati e l'elenco delle fonti
• Chiedere la cancellazione, che rimuove i dati dal database e dai file; dalle copie di sicurezza i dati escono con la rotazione descritta sopra

10. Audit e conformità

Il Cliente ha il diritto di verificare la conformità di Lino's & Co Srl al presente DPA tramite:

• Questionari di audit (risposta entro 30 giorni dalla richiesta)
• Documentazione delle misure tecniche e organizzative
• Audit in sede, previo accordo, a carico del Cliente, al massimo una volta l'anno

11. Modifiche al DPA

Lino's & Co Srl può modificare questo DPA per motivi di conformità legale o di evoluzione del servizio. Le modifiche sostanziali sono notificate con almeno 30 giorni di preavviso via email e con un avviso nella piattaforma.

12. Legge applicabile e foro competente

Legge applicabile: legge italiana e Regolamento (UE) 2016/679 (GDPR). Foro competente: Tribunale di Verona, Italia.

13. Contatti

Email privacy: info@linosandco.com · Email generale: businesstuner@voler.ai · Oggetto consigliato: "DPA - [Nome Cliente] - [Richiesta]".

Versione firmata del DPA: si richiede a businesstuner@voler.ai con oggetto "Richiesta DPA firmato", indicando ragione sociale e partita IVA del Cliente, nome ed email del referente privacy e l'identificativo dell'organizzazione in Business Tuner. Tempo di emissione: 5-7 giorni lavorativi.

Lino's & Co Srl · Vicolo Carmelitani Scalzi 1, 37122 Verona (VR) · P.IVA IT04339670236 · Tel. 045 5864932.