Data Processing Agreement (DPA)

1. Definizioni

• Titolare del Trattamento (Data Controller): il Cliente che utilizza Business Tuner per raccogliere e analizzare dati tramite interviste.
• Responsabile del Trattamento (Data Processor): Lino's & Co Srl, fornitore di Business Tuner, che tratta i dati per conto del Titolare.
• Dati Personali: qualsiasi informazione relativa a una persona fisica identificata o identificabile raccolta tramite interviste (es. risposte, email di contatto se fornite, metadata).
• Trattamento: qualsiasi operazione eseguita sui dati — raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, modifica, estrazione, analisi, cancellazione.
• Sub-Responsabile: servizi terzi autorizzati da Lino's & Co Srl per supportare l'erogazione del servizio (es. hosting, AI providers).

2. Oggetto e durata

Questo DPA regola le modalità con cui Lino's & Co Srl tratta i Dati Personali per conto del Cliente nell'ambito dell'utilizzo di Business Tuner, in conformità al Regolamento (UE) 2016/679 (GDPR) e alla normativa italiana applicabile.

Durata: questo accordo è valido per tutta la durata del contratto di servizio tra Cliente e Lino's & Co Srl, e termina al momento della cancellazione dell'account e della definitiva rimozione dei dati.

3. Ruoli e responsabilità

3.1 Il Cliente (Titolare) è responsabile di

• Determinare le finalità e i mezzi del trattamento dei dati
• Garantire che i partecipanti alle interviste siano informati e abbiano fornito consenso esplicito
• Configurare correttamente le privacy notice e i consensi nelle interviste
• Rispettare i diritti degli interessati (accesso, rettifica, cancellazione, portabilità)
• Condurre DPIA (Data Protection Impact Assessment) se necessario per trattamenti ad alto rischio

3.2 Lino's & Co Srl (Responsabile) è responsabile di

• Trattare i dati solo su istruzione documentata del Cliente
• Garantire la riservatezza del personale autorizzato al trattamento
• Implementare misure tecniche e organizzative adeguate per la sicurezza dei dati
• Assistere il Cliente nel rispondere alle richieste degli interessati
• Notificare prontamente eventuali data breach
• Cancellare o restituire i dati al termine del servizio, su richiesta del Cliente
• Mettere a disposizione informazioni necessarie per dimostrare la conformità

4. Natura e finalità del trattamento

Tipologie di dati trattati:

• Dati delle interviste: risposte testuali, metadata (timestamp, durata, IP address anonimizzato)
• Dati di contatto (opzionali): email, nome, telefono se richiesti dal Cliente nel setup dell'intervista
• Dati di recruitment (opzionali): skill, esperienze, location se attivata la modalità Data Collection
• Dati analitici: sentiment score, topic coverage, quotes estratte da AI

Finalità del trattamento

• Raccolta di risposte via chatbot AI
• Analisi qualitativa automatica (sentiment, themes, key quotes)
• Archiviazione sicura dei transcript
• Generazione report e export per il Cliente
• Miglioramento del servizio (solo con dati aggregati e anonimizzati)

Categorie di interessati

• Partecipanti a interviste di ricerca qualitativa
• Candidati a processi di selezione (se modalità recruitment attivata)
• Stakeholder aziendali (dipendenti, clienti, partner) del Cliente

5.1 Misure tecniche

• Cifratura: tutti i dati in transito sono cifrati via TLS 1.3. API keys cifrate con AES-256-GCM.
• Controllo accessi: autenticazione multi-fattore disponibile, RBAC (Role-Based Access Control)
• Database security: PostgreSQL con SSL obbligatorio, backup automatici giornalieri cifrati
• Pseudonimizzazione: IP address mascherati per impostazione predefinita nelle interviste pubbliche
• Logging: audit log di accessi e modifiche ai dati sensibili
• Vulnerability management: scansioni di sicurezza periodiche, patch tempestive

5.2 Misure organizzative

• Formazione: personale formato su GDPR e data protection best practices
• Confidenzialità: accordi di riservatezza firmati da tutti i dipendenti
• Incident response: piano di risposta a data breach documentato
• Accesso limitato: principio del "least privilege", accesso ai dati solo per personale autorizzato

6. Sub-responsabili autorizzati

Lino's & Co Srl si avvale dei seguenti sub-responsabili per l'erogazione del servizio:

6.1 Fornitori di modelli di intelligenza artificiale

I fornitori di modelli di intelligenza artificiale elencati sopra agiscono come sub-responsabili e sono utilizzati con condizioni commerciali. Secondo tali condizioni i contenuti inviati dal Cliente non sono usati per addestrare i modelli dei fornitori. Il fornitore che non è più in uso viene tolto dall'elenco e le modifiche all'elenco sono comunicate al Cliente secondo la procedura di obiezione descritta di seguito.

Diritto di obiezione

Nota: tutti i sub-responsabili hanno firmato accordi di data processing conformi al GDPR. Per trasferimenti extra-UE, Lino's & Co Srl utilizza Standard Contractual Clauses approvate dalla Commissione Europea.

Il Cliente ha il diritto di obiettare all'ingaggio di un nuovo sub-responsabile entro 30 giorni dalla notifica. In caso di obiezione motivata, le parti cercheranno una soluzione alternativa o, se non possibile, il Cliente potrà recedere dal contratto.

7.1 Richieste degli interessati (DSAR)

Lino's & Co Srl fornisce strumenti self-service per consentire al Cliente di gestire le richieste degli interessati:

• Accesso: export CSV/PDF delle risposte tramite dashboard
• Rettifica: modifica manuale dei transcript tramite interfaccia admin
• Cancellazione: eliminazione permanente di conversazioni specifiche o intere interviste
• Portabilità: export in formato machine-readable (JSON, CSV)

7.2 Data Protection Impact Assessment (DPIA)

Per richieste complesse, il Cliente può contattare il team a businesstuner@voler.ai e riceverà assistenza entro 72 ore lavorative.

Lino's & Co Srl fornirà informazioni necessarie per consentire al Cliente di condurre DPIA quando richiesto dal GDPR (Art. 35). Documentazione tecnica e misure di sicurezza sono disponibili su richiesta.

8. Data Breach Notification

In caso di violazione dei dati personali (data breach), Lino's & Co Srl notifica al Cliente entro 72 ore dalla scoperta, via email a tutti gli admin dell'account, fornendo:

• Natura della violazione (tipo di dati coinvolti, numero di interessati)
• Probabili conseguenze
• Misure adottate o proposte per mitigare effetti
• Documentazione: incident report completo fornito entro 7 giorni

Chi notifica il Garante

Importante: il Cliente, in qualità di Titolare, rimane responsabile della notifica all'Autorità Garante e agli interessati se richiesto dall'Art. 33 e 34 del GDPR.

9. Conservazione e cancellazione dati

• Dati interviste attive: conservati finché il Cliente mantiene l'account
• Dati account cancellato: cancellazione entro 30 giorni dalla richiesta
• Backup: sovrascritti automaticamente dopo 30 giorni
• Log di sicurezza: conservati per 90 giorni per finalità di audit

Modalità di cancellazione

Al termine del contratto, il Cliente può scegliere:

• Export completo: download di tutti i dati in formato JSON prima della cancellazione
• Cancellazione immediata: rimozione permanente da database e backup (non reversibile)

10. Audit e conformità

Il Cliente ha il diritto di verificare la conformità di Lino's & Co Srl al presente DPA tramite:

• Questionari di audit (forniti entro 30 giorni dalla richiesta)
• Certificazioni di sicurezza (SOC 2, ISO 27001 se disponibili)
• Audit on-site (previo accordo, a carico del Cliente, max 1 volta l'anno)

11. Modifiche al DPA

Lino's & Co Srl si riserva il diritto di modificare questo DPA per motivi di conformità legale o miglioramento del servizio. Modifiche sostanziali saranno notificate con almeno 30 giorni di preavviso via email e banner in-app.

12. Legge applicabile e foro competente

Legge applicabile: legge italiana e Regolamento UE 2016/679 (GDPR). Foro competente: Tribunale di Verona, Italia.

13. Contatti DPO

Email privacy: info@linosandco.com — Email generale: businesstuner@voler.ai — Oggetto email consigliato: "DPA - [Nome Cliente] - [Richiesta]".

Versione firmata del DPA: i clienti con piano BUSINESS possono richiedere una versione firmata di questo DPA per archivio compliance, scrivendo a businesstuner@voler.ai con oggetto "DPA Signature Request" e includendo ragione sociale e P.IVA del Cliente, nome ed email del referente privacy, Organization ID Business Tuner. Tempo di emissione: 5-7 giorni lavorativi.

Lino's & Co Srl — Vicolo Carmelitani Scalzi 1, 37122 Verona (VR) — P.IVA IT04339670236 — Tel. 045 5864932.