Accordo sul trattamento dei dati personali (DPA)

1. Parti e oggetto

Il presente Accordo sul trattamento dei dati personali (di seguito, “DPA”) disciplina il trattamento dei dati personali effettuato nell’ambito dell’utilizzo della piattaforma IKIbrain.

L’Accordo è concluso tra:

• il Cliente, identificato attraverso i dati forniti in fase di registrazione o sottoscrizione del servizio, in qualità di Titolare del trattamento;
• IKIweb Internet Media S.r.l., con sede legale in Via Varzi 6, 21052 Busto Arsizio (VA), Italia, P. IVA 02848390122, in qualità di Responsabile del trattamento (di seguito, “IKIweb”).

Il presente DPA costituisce parte integrante delle Condizioni generali del servizio IKIbrain.

2. Natura e finalità del trattamento

IKIweb tratta i dati personali esclusivamente per conto del Cliente e nei limiti necessari all’erogazione, gestione, manutenzione, sicurezza e assistenza tecnica del servizio IKIbrain, secondo le istruzioni documentate del Cliente, comprese quelle contenute nel presente Accordo e nelle configurazioni del servizio.

Le caratteristiche essenziali del trattamento sono descritte nell’Allegato A.

IKIweb non utilizza i contenuti delle conversazioni o della Knowledge Base per finalità commerciali proprie né per addestrare propri modelli di intelligenza artificiale.

Il Cliente determina autonomamente le finalità e le basi giuridiche del trattamento ed è responsabile della liceità dei dati e dei contenuti trattati attraverso il servizio.

3. Obblighi del Responsabile

IKIweb si impegna a:

• a) trattare i dati personali esclusivamente sulla base delle istruzioni documentate del Cliente, salvo obblighi di legge;
• b) garantire che le persone autorizzate al trattamento siano soggette a obblighi di riservatezza;
• c) adottare misure tecniche e organizzative adeguate ai rischi, conformemente all’articolo 32 del GDPR;
• d) assistere il Cliente, tenendo conto della natura del trattamento e delle informazioni disponibili, nell’adempimento degli obblighi previsti dagli articoli 32-36 del GDPR;
• e) assistere il Cliente, mediante misure tecniche e organizzative adeguate e nei limiti del possibile, nella gestione delle richieste degli interessati;
• f) informare il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali trattati per suo conto;
• g) mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall’articolo 28 del GDPR.

Qualora ritenga che un’istruzione del Cliente violi la normativa applicabile in materia di protezione dei dati personali, IKIweb ne informa il Cliente.

4. Obblighi del Cliente

Il Cliente, in qualità di Titolare del trattamento, è responsabile:

• a) della determinazione delle finalità e delle basi giuridiche del trattamento;
• b) della predisposizione delle informative privacy e dell’adempimento degli obblighi nei confronti degli interessati;
• c) della liceità dei dati e dei contenuti immessi nella piattaforma;
• d) della configurazione e dell’utilizzo del servizio in conformità alla normativa applicabile;
• e) della gestione delle richieste degli interessati e delle eventuali comunicazioni alle autorità competenti.

Il servizio standard non è destinato al trattamento intenzionale delle categorie particolari di dati personali di cui all’articolo 9 del GDPR, salvo diverso accordo scritto.

Il Cliente si impegna a non configurare o utilizzare il servizio per raccogliere sistematicamente tali dati senza aver preventivamente concordato con IKIweb le condizioni applicabili.

L’eventuale inserimento spontaneo di tali informazioni da parte degli utenti non costituisce autorizzazione a utilizzarle per finalità ulteriori.

5. Sub-responsabili del trattamento

Il Cliente autorizza in via generale IKIweb a ricorrere a sub-responsabili per l’erogazione del servizio.

IKIweb si impegna a imporre ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente Accordo, secondo quanto richiesto dall’articolo 28 del GDPR.

IKIweb può modificare o sostituire i sub-responsabili, dandone comunicazione al Cliente con almeno 15 giorni di preavviso e riconoscendogli la possibilità di opporsi per motivi documentati e pertinenti alla protezione dei dati personali.

In caso di opposizione, IKIweb valuterà le possibili soluzioni alternative. Qualora non sia ragionevolmente possibile proseguire nell’erogazione del servizio, le parti potranno procedere alla cessazione del rapporto contrattuale secondo le condizioni applicabili.

IKIweb rimane responsabile nei confronti del Cliente dell’adempimento degli obblighi dei sub-responsabili nei termini previsti dal GDPR.

L’elenco dei sub-responsabili è riportato nell’Allegato C.

6. Trasferimenti internazionali

Qualora il trattamento comporti trasferimenti di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo, IKIweb assicura il rispetto delle disposizioni applicabili del Capo V del GDPR.

Tali trasferimenti potranno avvenire sulla base di decisioni di adeguatezza, clausole contrattuali standard o altri strumenti legittimamente previsti dalla normativa.

7. Sicurezza del trattamento

IKIweb adotta misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura del trattamento e delle caratteristiche del servizio.

Le misure possono essere aggiornate o sostituite nel tempo, purché sia mantenuto un livello di sicurezza adeguato ai sensi dell’articolo 32 del GDPR.

Le principali categorie di misure adottate sono descritte nell’Allegato B.

8. Conservazione, restituzione e cancellazione

I dati personali sono conservati per il tempo necessario all’erogazione del servizio, secondo le condizioni contrattuali e le impostazioni di conservazione applicabili.

Il Cliente può configurare, ove previsto, periodi di conservazione più brevi e richiedere la cancellazione anticipata dei dati.

Alla cessazione del servizio, il Cliente può esportare i dati attraverso le funzionalità disponibili nella piattaforma.

Secondo la scelta del Cliente, IKIweb provvede alla restituzione o alla cancellazione dei dati personali trattati per suo conto, nei termini operativi previsti dal servizio, cancellando le copie esistenti salvo obblighi legali di conservazione.

La cancellazione dai sistemi di backup può avvenire secondo i relativi cicli di conservazione, durante i quali i dati rimangono protetti e non vengono utilizzati per finalità ordinarie.

9. Assistenza e richieste degli interessati

IKIweb fornisce al Cliente l’assistenza ragionevolmente necessaria per adempiere agli obblighi previsti dal GDPR, tenendo conto della natura del trattamento e delle informazioni a propria disposizione.

Le richieste degli interessati ricevute direttamente da IKIweb e riferite a trattamenti effettuati per conto del Cliente vengono indirizzate al Cliente, salvo obblighi di legge.

Eventuali attività straordinarie non comprese nelle funzionalità ordinarie del servizio potranno essere oggetto di separato accordo economico, fermo restando l’adempimento degli obblighi inderogabili previsti dalla normativa.

10. Verifiche e audit

IKIweb mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall’articolo 28 del GDPR e consente e contribuisce alle verifiche previste dalla normativa.

Le modalità delle verifiche sono concordate preventivamente, nel rispetto delle esigenze di sicurezza, riservatezza e continuità del servizio, nonché dei diritti degli altri clienti.

I costi ragionevoli e documentati delle verifiche richieste dal Cliente sono a carico di quest’ultimo, nei limiti consentiti dalla normativa applicabile.

11. Durata e modifiche

Il presente DPA entra in vigore con l’accettazione delle Condizioni generali del servizio IKIbrain e rimane efficace per tutta la durata del rapporto contrattuale.

Le disposizioni che, per loro natura, devono continuare ad applicarsi dopo la cessazione del servizio rimangono efficaci fino al completamento delle relative attività.

IKIweb può aggiornare il presente Accordo per esigenze normative, tecniche o organizzative, nel rispetto della normativa applicabile.

Le modifiche sostanziali sono comunicate al Cliente via email con almeno 30 giorni di preavviso. Se il Cliente continua a utilizzare il servizio dopo tale termine, le modifiche si intendono accettate. Se non le accetta, può recedere dal contratto prima della loro entrata in vigore, secondo le condizioni contrattuali applicabili.

Resta fermo il rispetto degli obblighi inderogabili previsti dalla normativa sulla protezione dei dati personali.

12. Disposizioni finali

Il presente DPA è parte integrante delle Condizioni generali del servizio IKIbrain e si intende accettato con l’accettazione di queste ultime, la cui data e versione sono registrate dal sistema.

In caso di contrasto tra il presente Accordo e altre disposizioni contrattuali relative al trattamento dei dati personali per conto del Cliente, prevale il presente DPA.

Il presente Accordo è regolato dalla legge italiana.

Per le controversie contrattuali è competente il foro della sede legale di IKIweb, fatti salvi i limiti inderogabili di legge.

Le comunicazioni relative al presente Accordo possono essere inviate a help@ikiweb.it.

Allegato A – Descrizione del trattamento

Oggetto: trattamento dei dati personali nell’ambito dell’erogazione della piattaforma IKIbrain.

Durata: per tutta la durata del rapporto contrattuale e per il successivo periodo necessario alla restituzione o cancellazione dei dati.

Natura delle operazioni: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione, trasmissione, estrazione e cancellazione.

Finalità: erogazione del servizio di assistenza conversazionale basato sull’intelligenza artificiale, gestione delle interazioni, eventuale raccolta di contatti, analisi delle conversazioni per conto del Cliente, manutenzione, assistenza tecnica e sicurezza.

Categorie di interessati: visitatori e utenti dei siti web o dei servizi digitali del Cliente, nonché altri soggetti i cui dati siano legittimamente trattati attraverso la piattaforma.

Categorie di dati personali:

• Contenuti delle conversazioni.
• Dati identificativi e di contatto eventualmente forniti.
• Dati tecnici necessari al funzionamento e alla sicurezza del servizio.
• Eventuali dati personali presenti nei contenuti caricati dal Cliente.

Periodo di conservazione: il Cliente può impostare la cancellazione automatica delle conversazioni dopo 60, 90 o 180 giorni. In assenza di impostazione, le conversazioni sono conservate per la durata dell’abbonamento.

Cessazione del servizio: alla cessazione del servizio, conversazioni, contenuti della Knowledge Base e file caricati sono cancellati automaticamente entro 90 giorni, salvo riattivazione dell’abbonamento in tale periodo e salvo obblighi legali di conservazione. Resta ferma la possibilità di richiedere la cancellazione anticipata secondo quanto previsto dall’Accordo.

Backup: le copie di backup sono conservate per un massimo di 60 giorni e poi eliminate automaticamente.

Allegato B – Misure tecniche e organizzative

IKIweb adotta misure di sicurezza proporzionate alla natura del servizio e ai rischi del trattamento, tra cui:

• Protezione delle comunicazioni mediante protocolli di trasmissione sicuri.
• Sistemi di autenticazione e controllo degli accessi.
• Disponibilità di strumenti di autenticazione rafforzata.
• Separazione logica dei dati dei clienti.
• Procedure di backup e ripristino.
• Misure di protezione contro accessi non autorizzati e utilizzi abusivi.
• Procedure di gestione degli incidenti di sicurezza.
• Limitazione degli accessi ai dati al personale autorizzato.
• Procedure di conservazione e cancellazione dei dati.

Le misure possono essere modificate o aggiornate nel tempo, nel rispetto dei requisiti di sicurezza previsti dal GDPR.

Allegato C – Sub-responsabili

Per l’erogazione del servizio IKIbrain, IKIweb si avvale dei seguenti fornitori, nella misura in cui trattano dati personali per suo conto:

L’elenco può essere aggiornato secondo le modalità previste dall’articolo 5 del presente Accordo.

Accettazione

Il presente DPA è parte integrante delle Condizioni generali del servizio IKIbrain e si intende accettato con l’accettazione di queste ultime, la cui data e versione sono registrate dal sistema.