fonio.ai
Prenota una demo
Iscriviti ora
Iscriviti ora

Accordo sul trattamento dei dati (DPA)

Tutto quello che devi sapere sulla privacy e sull'utilizzo di fonio.

Accordo

sul

trattamento dei dati ai sensi dell'art. 28 GDPR

Data di pubblicazione della versione attuale: 06.08.2026

Il Titolare del trattamento

Cliente responsabile del trattamento

(di seguito il Cliente)

Il Responsabile del trattamento fonio GmbH Neustiftgasse 73-75/3/7 1070 Wien Wien Österreich (di seguito il Contraente)

Salvo diverso accordo tra il Cliente e il Contraente, il presente Accordo sul trattamento dei dati costituisce parte integrante delle Condizioni Generali di Contratto (CGC) del Contraente, disponibili all'indirizzo https://www.fonio.ai/agbs. Il presente DPA si applica tra il Cliente e il Contraente ogniqualvolta il Contraente, nell'ambito della fornitura dei propri servizi, tratti dati personali per conto del Cliente.

1. CONTESTO E SPECIFICAZIONE DEL TRATTAMENTO DEI DATI

1.1 Il Contraente è una società che offre i seguenti servizi:

  • Configurazione, gestione e messa a disposizione di un assistente telefonico AI tramite la web app B2B fonio.ai

1.2 Il Cliente è una società che intende avvalersi dei servizi del Contraente nei settori indicati.

1.3 Il presente Accordo sul trattamento dei dati stabilisce le condizioni per il trattamento dei dati personali da parte del Contraente, con l'approvazione del Cliente, in conformità al Regolamento Generale sulla Protezione dei Dati (GDPR). Il Contraente agisce in qualità di responsabile del trattamento ai sensi del GDPR.

2. NATURA, FINALITÀ, OGGETTO E BASE GIURIDICA DEL TRATTAMENTO DEI DATI

2.1 I servizi del Contraente sono descritti nelle Condizioni Generali di Contratto (CGC) del Contraente, consultabili all'indirizzo https://www.fonio.ai/agbs.

2.2 Nel corso dell'erogazione del servizio, il Cliente mette a disposizione del Contraente i dati personali necessari all'erogazione del servizio secondo le modalità di volta in volta più idonee al caso concreto. Ad esempio per via elettronica o fisica, tramite colloqui e analisi, mediante lo svolgimento di altre attività disciplinate contrattualmente, in forma orale oppure tramite strumenti software.

2.3 Il trattamento dei dati personali può avvenire in particolare mediante organizzazione, ordinamento, memorizzazione nonché, se necessario, adattamento o modifica, consultazione, collegamento, limitazione, cancellazione, combinazione, copia, oscuramento, connessione, analisi, lettura, ricezione, invio, aggiornamento, nella misura in cui ciò sia necessario per l'erogazione dei servizi concordati.

2.4 La finalità del trattamento consiste nell'erogazione del servizio concordata contrattualmente nei confronti del Cliente.

2.5 Il Contraente non è tenuto a verificare la liceità dei trattamenti di dati sottostanti effettuati dal Cliente.

3. DATI PERSONALI OGGETTO DI TRATTAMENTO E CATEGORIE DI INTERESSATI

3.1 Nell'ambito dei servizi concordati possono essere trattati i dati personali necessari all'erogazione del servizio. In particolare, possono trattarsi dei seguenti dati:

  • Dati relativi alla qualità del servizio
  • Dati di fatturazione
  • Numeri di telefono
  • Dati di contatto
  • Dati sul comportamento e sulle interazioni degli utenti
  • Informazioni sul dispositivo
  • Informazioni sul browser
  • Dati identificativi
  • Dati tecnici di accesso (ad esempio chiavi API)
  • Dati delle conversazioni telefoniche
  • Tutti i dati che i partecipanti alla conversazione forniscono spontaneamente nel corso della conversazione con l'AI
  • Dati relativi agli appuntamenti
  • Dati di configurazione
  • Dati audio vocali
  • Informazioni trasmesse via e-mail
  • Dati di comunicazione
  • Informazioni tecniche
  • Informazioni fornite in formato testo libero
  • Dati di pagamento
  • Dati di log
  • Metadati di telefonia
  • Indirizzi IP
  • Preferenze personali
  • Cookie e tecnologie simili
  • Prompt AI e altre informazioni relative all'AI
  • Dati tecnici relativi agli errori
  • Dati di autenticazione
  • Comportamento dell'utente rilevante per l'analisi degli errori
  • Dati di abbonamento
  • Dati delle transazioni

3.2 Il trattamento comprende, in linea di principio, tutte le categorie particolari di dati personali (Art. 9 GDPR) necessarie all'erogazione dei servizi concordati. In particolare, nell'ambito dell'erogazione dei servizi concordati possono essere trattate le seguenti categorie particolari di dati personali (ad esempio per gli studi medici):

  • Dati relativi alla salute

3.3 Il trattamento comprende, in linea di principio, tutte le categorie di interessati necessarie all'erogazione dei servizi concordati. In particolare, rientrano tra queste le seguenti categorie di interessati:

  • Clienti
  • Terzi sotto contratto con il Cliente
  • Dipendenti del Cliente
  • Clienti dei clienti del Cliente
  • Partner del Cliente
  • Fornitori del Cliente

3.4 Vista la natura dei servizi concordati, il Cliente riconosce che il Contraente non è in grado, se non in misura limitata, di verificare o mantenere aggiornato l'elenco delle categorie di interessati. Il Cliente si impegna pertanto a informare il Contraente di ogni modifica necessaria all'elenco delle categorie di interessati.

3.5 Il Contraente tratterà i dati personali del Cliente relativi a tutti gli interessati sopra elencati in conformità ai servizi concordati. Qualora, a seguito di modifiche all'elenco delle categorie di interessati, si rendano necessarie modifiche ai trattamenti concordati, il Cliente impartirà al Contraente le corrispondenti istruzioni aggiuntive.

3.6 Nessuna identificazione vocale o verifica vocale

(a) Nell'ambito dei servizi concordati, il Contraente non effettua alcuna identificazione vocale né alcuna verifica vocale. In particolare, non crea, non memorizza e non confronta profili vocali ("voiceprint", modelli vocali) e non impiega procedimenti tecnici volti all'identificazione univoca o al riconoscimento, tra conversazioni diverse, di una persona fisica sulla base della sua voce. I dati audio vocali sono trattati esclusivamente per l'input e l'output vocale nonché per la trascrizione (speech-to-text/text-to-speech). Un'eventuale distinzione, dovuta a ragioni tecniche, tra i contributi conversazionali all'interno di una singola conversazione (ad es. la separazione tra chiamante e assistente) non è finalizzata all'identificazione e non consente il riconoscimento oltre la rispettiva conversazione.

(b) Secondo la propria valutazione, il Contraente ritiene pertanto che i dati audio vocali trattati non costituiscano dati biometrici ai fini dell'identificazione univoca di una persona fisica ai sensi dell'Art. 4, punto 14, e dell'Art. 9, par. 1, GDPR. Il punto 3.6, lett. a, contiene una descrizione fattuale, mentre la lett. b esprime una valutazione giuridica del Contraente; ciò non comporta alcuna garanzia o assicurazione in senso giuridico. La qualificazione, ai fini della protezione dei dati, dei trattamenti avviati dal Cliente nel singolo caso concreto è di competenza del Cliente in qualità di titolare del trattamento; resta impregiudicato il punto 2.5.

(c) Resta impregiudicato il fatto che il trattamento possa comprendere, per altri motivi, categorie particolari di dati personali ai sensi dell'Art. 9 GDPR, in particolare dati relativi alla salute (punto 3.2), e che il contenuto delle conversazioni possa consentire di trarre conclusioni su tali dati.

4. CONDIZIONI DEL TRATTAMENTO DEI DATI

4.1 Il Contraente si impegna a rispettare tutte le disposizioni del GDPR per l'intera durata dell'erogazione del servizio.

4.2 Il Contraente si impegna a trattare i dati personali solo su istruzione scritta, nella forma di un contratto con il Cliente. Eventuali deroghe a tali istruzioni richiedono il previo consenso scritto del Cliente.

4.3 Il Contraente tratta i dati personali secondo il principio di minimizzazione dei dati ai sensi dell'Art. 5, par. 1, lett. c, GDPR, e quindi solo nella misura necessaria all'erogazione dei servizi concordati.

4.4 L'accesso ai dati personali del Cliente è concesso esclusivamente alle persone che necessitano di tale accesso in virtù di disposizioni contrattuali o di legge.

4.5 Tutte le persone, dal lato del Contraente, che hanno accesso ai dati personali del Cliente devono essere vincolate alla riservatezza. In particolare, l'obbligo di riservatezza delle persone incaricate del trattamento dei dati permane anche dopo la cessazione della loro attività e la loro uscita dal Contraente.

Qualora il Cliente sia soggetto a un obbligo legale di riservatezza professionale, si applica in aggiunta la dichiarazione di impegno alla riservatezza e alla protezione dei dati di cui all'Allegato 4, nella versione prevista per lo Stato di sede del Cliente; tale dichiarazione è consultabile, nella versione esatta, alla fonte indicata nell'Allegato 4. Essa si considera concordata al momento della conclusione del contratto, senza necessità di un accordo separato o di una sottoscrizione; una controfirma viene apposta su richiesta del Cliente, ma non è necessaria ai fini della sua validità. Per i Clienti con sede in Svizzera si applica, al riguardo, l'Addendum per i clienti con sede in Svizzera.

4.6 Il Contraente è tenuto ad adottare e mantenere tutte le misure tecniche e organizzative idonee, adeguate e conformi allo stato dell'arte, al fine di garantire la disponibilità, la riservatezza e l'integrità dei dati personali. Un elenco delle misure tecniche e organizzative concordate è allegato al presente Accordo sul trattamento dei dati come Allegato 1.

4.7 Il Contraente supporta il Cliente nell'adempimento dei propri obblighi ai sensi del GDPR, in particolare per quanto riguarda i diritti degli interessati.

4.8 Salvo che disposizioni di legge vi ostino, il Contraente informerà tempestivamente il Cliente qualora riceva un'informazione o una comunicazione da parte di un interessato, dell'autorità di controllo per la protezione dei dati o di un'altra autorità o terzo, e tale informazione o comunicazione sia direttamente o indirettamente collegata al trattamento dei dati personali nell'ambito del presente Accordo sul trattamento dei dati.

4.9 In relazione al trattamento dei dati affidato, il Contraente supporterà il Cliente — nella misura richiesta dalla legge — nella predisposizione e nell'aggiornamento del registro delle attività di trattamento, nell'esecuzione della valutazione d'impatto sulla protezione dei dati nonché, se necessario, nelle eventuali consultazioni preventive con l'autorità di controllo per la protezione dei dati ai sensi dell'Art. 36 GDPR, fornendo tutte le indicazioni e informazioni necessarie a tal fine. Inoltre, il Contraente terrà un proprio registro delle attività di trattamento e, se necessario, effettuerà valutazioni d'impatto sulla protezione dei dati e nominerà un responsabile della protezione dei dati.

4.10 Il Contraente è tenuto a informare il Cliente senza indugio, e comunque entro 24 ore, qualora i dati personali messi a sua disposizione siano stati utilizzati illecitamente e/o sussista un rischio di danno per gli interessati. Il Contraente mette a disposizione del Cliente tutte le informazioni necessarie affinché il Cliente possa adempiere ai propri obblighi di notifica nei confronti degli interessati ai sensi della normativa in materia di protezione dei dati.

4.11 Ogni trasferimento di dati personali da parte del Contraente verso un paese terzo o un'organizzazione internazionale avviene in conformità al diritto dell'Unione o nazionale e deve, in particolare, essere conforme alle disposizioni del GDPR.

4.12 Le parti possono concordare nell'Allegato 2 ulteriori clausole relative all'erogazione del servizio di trattamento dei dati personali, purché queste non siano in contrasto, diretto o indiretto, con il presente Accordo sul trattamento dei dati né pregiudichino i diritti fondamentali o le libertà fondamentali dell'interessato e la tutela garantita dal GDPR.

4.13 Il Contraente è tenuto a informare tempestivamente il Cliente qualora ritenga che un'istruzione del Cliente violi le disposizioni in materia di protezione dei dati dell'Unione o degli Stati membri.

5. SUB-RESPONSABILI DEL TRATTAMENTO

5.1 A seconda dei servizi concordati contrattualmente, un elenco specifico di sub-responsabili del trattamento autorizzati viene coinvolto nel trattamento dei dati.

5.2 Il ricorso a sub-responsabili del trattamento può comportare un trasferimento di dati verso paesi terzi. Il Contraente garantisce che, in caso di trasferimento di dati personali verso paesi terzi, siano rispettati i requisiti di cui agli Artt. 44–49 GDPR e informa il Cliente delle garanzie di volta in volta applicate (ad es. clausole contrattuali standard, decisione di adeguatezza).

5.3 Un elenco dei sub-responsabili del trattamento approvati dal Cliente al momento della conclusione dell'Accordo è contenuto nell'Allegato 3.

5.4 Tra il Contraente e il sub-responsabile del trattamento deve essere concluso un contratto ai sensi dell'Art. 28, par. 4, GDPR. Il subappalto deve tenere conto delle disposizioni in materia di protezione dei dati nella stessa misura in cui queste sono state concordate tra il Cliente e il Contraente nel presente Accordo, e il trattamento dei dati può avvenire esclusivamente per la finalità indicata nel servizio separatamente affidato.

5.5 Il Contraente è tenuto a verificare regolarmente che i sub-responsabili del trattamento rispettino gli obblighi in materia di protezione dei dati previsti dal presente Accordo sul trattamento dei dati. Qualora, nell'ambito di tale verifica, il Contraente venga a conoscenza del fatto che il sub-responsabile del trattamento non adempie, o non adempie sufficientemente, agli obblighi in materia di protezione dei dati a suo carico ai sensi del presente Accordo, ne informa il Cliente spontaneamente e senza indugio.

5.6 Il conferimento di incarichi a sub-responsabili del trattamento o la modifica dei sub-responsabili del trattamento esistenti sono ammessi a condizione che:

  • il Contraente annunci tale conferimento a sub-responsabili del trattamento con almeno due settimane di anticipo, in forma scritta o in forma testuale, e
  • il Cliente non sollevi obiezioni, in forma scritta o in forma testuale, alla modifica o al conferimento previsti entro due settimane dal ricevimento della comunicazione, oppure, in caso di primo trasferimento di dati al Contraente, al più tardi entro il momento di tale trasferimento. In caso di opposizione al coinvolgimento o alla modifica previsti di un sub-responsabile del trattamento, quest'ultimo non potrà essere impiegato fino al raggiungimento di un accordo. Costituisce modifica ai sensi del presente punto anche l'ampliamento dell'ambito di impiego di un sub-responsabile del trattamento già designato, in particolare l'aggiunta di un ulteriore luogo di trattamento in un paese terzo.

6. VERIFICA E CONFORMITÀ

6.1 Il Contraente consente al Cliente o ai suoi rappresentanti designati di condurre audit e ispezioni al fine di verificare il rispetto delle disposizioni del presente Accordo sul trattamento dei dati. Tali audit devono essere condotti con un ragionevole preavviso e non devono compromettere in modo indebito l'attività del Contraente. Il Cliente prende atto che eventuali ispezioni presso i sub-responsabili del trattamento devono essere concordate direttamente con questi ultimi e che il Contraente non ha alcuna influenza sulle condizioni ivi applicate.

I costi dell'esecuzione dell'audit sono a carico del Cliente, salvo che l'audit riveli una violazione grave del presente DPA da parte del Contraente.

6.2 Tutti i revisori esterni sono soggetti a un accordo di riservatezza.

6.3 Il Contraente mette a disposizione del Cliente tutte le informazioni necessarie e collabora con quest'ultimo per dimostrare la conformità al GDPR.

7. DURATA E CESSAZIONE DEL CONTRATTO

7.1 Il presente Accordo sul trattamento dei dati rimane in vigore per la durata delle attività di trattamento dei dati e si estingue al termine dell'erogazione del servizio o secondo quanto diversamente concordato dalle parti.

7.2 Alla cessazione dell'Accordo sul trattamento dei dati (o anche in qualsiasi momento precedente, su corrispondente richiesta del Cliente), il Contraente, a scelta del Cliente, distruggerà autonomamente i dati personali trattati (comprese eventuali copie) oppure li consegnerà integralmente al Cliente, salvo che vi ostino obblighi legali di conservazione. Fino alla cancellazione o alla restituzione dei dati, il Contraente continua a garantire il rispetto di tutte le disposizioni. Qualora il Cliente non si esprima in merito alla modalità da seguire, il Contraente distruggerà i dati, fatti salvi gli obblighi legali di conservazione, decorsi 30 giorni dalla cessazione dell'Accordo.

7.3 Il Contraente è parimenti tenuto a far sì che gli eventuali sub-responsabili del trattamento procedano alla distruzione o alla consegna dei dati.

8. DISPOSIZIONI FINALI

8.1 Le modifiche e le integrazioni al presente Accordo sul trattamento dei dati e a tutte le sue componenti richiedono un accordo scritto, che può avvenire anche in forma elettronica (forma testuale), nonché l'espressa indicazione che si tratta di una modifica o integrazione del presente Accordo sul trattamento dei dati. Ciò vale anche per la rinuncia a tale requisito di forma.

Il punto 2.3 delle CGC (modifica per accettazione tacita) non trova applicazione al presente Accordo e ai suoi Allegati.

8.2 Il presente Accordo sul trattamento dei dati è disciplinato dal diritto vigente in Austria e va interpretato conformemente a esso. Il foro competente è Wien.

8.3 Qualora singole disposizioni del presente Accordo sul trattamento dei dati siano o divengano invalide o inapplicabili, ciò non pregiudica il resto dell'Accordo. Tali disposizioni si considerano sostituite da disposizioni valide ed eseguibili che meglio realizzano lo scopo economico perseguito dalle parti contraenti.

Allegati

Allegato 1: Misure tecniche e organizzative (MTO)

Misure tecniche

  • Gestione in un data center certificato ISO 27001: l'app fonio è gestita in un data center certificato ISO 27001. Le certificazioni di sicurezza di terze parti, come ad esempio la ISO 27001, dimostrano che un'organizzazione soddisfa un determinato standard di gestione della sicurezza delle informazioni. Costituiscono un elemento importante per costruire fiducia presso clienti e partner.
  • Sicurezza fisica / controllo degli accessi ai locali dell'ufficio: i locali dell'ufficio sono adeguatamente protetti contro l'accesso non autorizzato, restano chiusi al di fuori dell'orario lavorativo e i visitatori possono accedervi solo se costantemente accompagnati. La protezione dei locali dell'ufficio da accessi non autorizzati e la garanzia che le persone esterne siano costantemente accompagnate contribuiscono alla protezione dei dati personali all'interno degli uffici.
  • Separazione rigorosa tra ambienti di produzione e di test: gli ambienti di produzione e di test sono rigorosamente separati sia a livello logico che infrastrutturale. Il trattamento di dati di produzione reali (dati personali autentici) in ambienti di staging è severamente vietato. Qualora siano necessari dati per finalità di test, questi devono essere completamente anonimizzati oppure devono essere utilizzati dati sintetici. Separazione rigorosa tra ambienti di produzione e di test: gli ambienti di produzione e di test sono rigorosamente separati sia a livello logico che infrastrutturale.
  • Firewall: i firewall monitorano e controllano il traffico di rete in entrata e in uscita, consentendo solo le connessioni necessarie ed esplicitamente autorizzate. I firewall sono sistemi di sicurezza di rete che monitorano e controllano il traffico di rete in entrata e in uscita sulla base di regole di sicurezza predefinite. Costituiscono una barriera tra segmenti di rete interni affidabili e reti esterne non affidabili, come Internet.
  • Protocolli e configurazioni di rete allo stato dell'arte: protocolli e configurazioni di rete sicuri e conformi allo stato dell'arte sono impiegati come misure di hardening per proteggere i dati durante la trasmissione. Protocolli di rete sicuri, come ad esempio l'HTTPS basato su TLS correttamente configurato, contribuiscono alla protezione dei dati durante la trasmissione (data in transit).
  • Monitoraggio della rete: le attività di rete sono monitorate continuamente al fine di individuare e rispondere a minacce alla sicurezza. Il monitoraggio della rete è un processo IT critico nell'ambito del quale tutti i componenti di rete, quali router, switch, firewall, server e macchine virtuali, vengono costantemente monitorati e valutati per individuare guasti, incidenti di sicurezza e problemi di performance, al fine di mantenere e ottimizzare la disponibilità dei sistemi. L'individuazione tempestiva di problemi o incidenti di sicurezza può prevenire tempi di inattività imprevisti.
  • Hardening dei sistemi: per tutti i sistemi rilevanti vengono adottate misure di hardening mediante una configurazione sicura basata sui CIS Benchmark e/o sulle raccomandazioni del fornitore. Una configurazione sicura dei sistemi significa impostare sistemi e software in modo da ridurre il rischio di sfruttamento da parte di soggetti malintenzionati. Ciò comprende misure quali la disattivazione dei servizi non necessari, l'assegnazione di autorizzazioni utente adeguate nonché l'aggiornamento regolare dei sistemi.
  • Protezione antimalware: sono state implementate misure antimalware per proteggere sistemi e dati da software dannoso. Ciò include l'installazione e l'esercizio di software per il rilevamento di malware sui sistemi rilevanti, nonché il monitoraggio e la gestione degli avvisi generati da minacce potenzialmente rilevate. Le misure antimalware comprendono l'impiego di strumenti software per il rilevamento e la rimozione di software dannoso che potrebbe compromettere la sicurezza dei sistemi e l'integrità dei dati.
  • Processo di gestione delle patch: tutti i componenti software e hardware vengono aggiornati regolarmente tramite un processo dedicato di gestione delle patch, al fine di proteggerli da vulnerabilità note. Le patch vengono applicate a intervalli diversi a seconda del tipo di sistema, con una cadenza minima trimestrale, nonché immediatamente qualora una patch risolva una vulnerabilità critica. Gli aggiornamenti regolari di software e hardware garantiscono la protezione da vulnerabilità note. Gli aggiornamenti includono spesso patch per falle di sicurezza scoperte dopo l'ultima versione del software o dell'hardware.
  • Identity & Access Management (IAM) e processi di lifecycle: è implementato un sistema centralizzato di gestione delle identità e degli accessi (IAM), unitamente a un processo strutturato di «Joiner-Mover-Leaver» (JML). Un processo integrato di IAM e JML garantisce che le identità utente, i diritti di accesso e le autorizzazioni siano gestiti in modo sistematico lungo l'intero ciclo di vita del rapporto di lavoro — dall'inserimento (joiner), ai cambi di ruolo interni (mover), fino alla cessazione del rapporto (leaver). Al termine del rapporto di lavoro o contrattuale, tutte le autorizzazioni di accesso ai dati personali e ai sistemi interni vengono revocate automaticamente e senza indugio. Ciò riduce efficacemente il rischio di «privilege creep» (espansione progressiva dei privilegi) e previene l'accesso non autorizzato da parte di ex dipendenti o fornitori esterni.
  • Concetto di autorizzazione: sono stati implementati rigorosi controlli di accesso ai dati personali basati sui principi «need-to-know» (accesso solo se necessario) e «least privilege» (privilegio minimo). Ove possibile e opportuno, viene applicata l'autenticazione a più fattori (MFA) ed è richiesto l'uso obbligatorio di gestori di password nonché l'utilizzo di password generate casualmente con una lunghezza minima di 20 caratteri. I diritti amministrativi vengono assegnati secondo il principio dei quattro occhi e possono essere utilizzati solo per finalità autorizzate. L'utilizzo dei diritti amministrativi è soggetto a monitoraggio. I controlli di accesso sono misure che definiscono chi è autorizzato ad accedere a determinate risorse, come ad esempio i dati personali. Sono fondamentali per prevenire l'accesso non autorizzato e garantire che solo le persone autorizzate possano accedere ai dati.
  • Limitazione delle attività amministrative al personale qualificato: solo personale specificamente formato, qualificato e autorizzato può svolgere compiti amministrativi sui componenti dell'infrastruttura. L'autorizzazione avviene rigorosamente sulla base di comprovate competenze tecniche, e gli utenti amministrativi sono tenuti a completare regolari formazioni documentate in materia di sicurezza relative alle attività amministrative. La limitazione dell'accesso amministrativo a esperti verificati garantisce che le modifiche critiche ai sistemi siano effettuate solo da persone competenti. Ciò riduce al minimo il rischio di vulnerabilità di sicurezza, configurazioni errate o perdita accidentale di dati dovuta a errore umano o a carenza di competenze tecniche.
  • Gestione delle sessioni e timeout automatico: le sessioni di utenti e amministratori nelle applicazioni e nei sistemi amministrativi interni vengono terminate automaticamente dopo un periodo di inattività predefinito. I timeout automatici delle sessioni riducono il rischio di accesso non autorizzato ai dati qualora una postazione di lavoro o un dispositivo mobile venga lasciato incustodito in un ambiente non sicuro.
  • Gestione delle credenziali e di altre informazioni sensibili: per proteggere l'accesso ai dati personali viene impiegata l'autenticazione a due fattori (2FA). Le credenziali e altre informazioni sensibili vengono memorizzate in un gestore di password. Tutti i punti di accesso al gestore di password sono crittografati. L'autenticazione a due fattori offre un ulteriore livello di sicurezza, poiché gli utenti devono fornire due prove di identità prima di poter accedere ai dati. Ciò rende significativamente più difficile per soggetti non autorizzati ottenere l'accesso a dati e sistemi.
  • Strumenti di gestione delle password: vengono utilizzati strumenti di gestione delle password per creare, memorizzare e gestire password sicure per sistemi e applicazioni in conformità alle policy interne in materia di password. Gli strumenti di gestione delle password aiutano gli utenti a generare, memorizzare e gestire password uniche e complesse per i diversi account, riducendo così il rischio di riutilizzo delle password e migliorando la sicurezza complessiva delle password.
  • Crittografia dei dati: i dati memorizzati (data at rest) e i dati in fase di trasmissione (data in transit) vengono crittografati in conformità alle migliori pratiche del settore, al fine di proteggerli da accessi non autorizzati. La crittografia dei dati garantisce che i dati sensibili siano memorizzati e trasmessi in forma non leggibile sul supporto di archiviazione, proteggendoli da accessi non autorizzati, in particolare in caso di furto o smarrimento del supporto.
  • Pseudonimizzazione dei dati: vengono impiegate tecniche di pseudonimizzazione dei dati personali al fine di ridurre il rischio di violazioni dei dati. La pseudonimizzazione è una procedura di de-identificazione mediante la quale i campi identificativi personali all'interno di un insieme di dati vengono sostituiti da uno o più identificatori artificiali o pseudonimi.
  • Registrazione (audit log): vengono tenuti audit log per registrare chi ha avuto accesso a quali dati personali e quando. Inoltre, i log rilevanti ai fini della sicurezza vengono memorizzati in forma immutabile. Gli audit log registrano quando gli utenti accedono a sistemi e dati. Ciò può risultare determinante in caso di incidente di sicurezza, poiché aiuta a ricostruire le azioni e a identificare i potenziali responsabili.
  • Backup regolari: i dati vengono sottoposti a backup regolare, ove necessario e opportuno, al fine di prevenire la perdita di dati. I backup regolari dei dati sono di fondamentale importanza per prevenire la perdita di dati in caso di incidenti quali violazioni dei dati o guasti tecnici. Garantiscono che l'organizzazione possa, anche nel peggiore dei casi, ripristinare i dati e mantenere la continuità operativa.
  • Scansione automatizzata delle vulnerabilità: vengono eseguite regolarmente scansioni automatizzate interne ed esterne delle vulnerabilità su tutti i componenti dell'infrastruttura, le applicazioni e i segmenti di rete. La scansione automatizzata integra i test di penetrazione periodici, rilevando in tempo reale nuove vulnerabilità di sicurezza e configurazioni errate, consentendo così una rapida risoluzione tramite patch.
  • Test di penetrazione: vengono condotti regolarmente test di penetrazione al fine di individuare potenziali vulnerabilità nei sistemi. I test di penetrazione, noti anche come pentest, sono attacchi informatici simulati contro sistemi informativi e ambienti IT volti a individuare vulnerabilità sfruttabili. Il processo comprende la raccolta di informazioni sull'obiettivo prima del test, l'identificazione di potenziali punti di accesso, il tentativo di sfruttarli e la relazione sui risultati.

Misure organizzative

  • Politiche di sicurezza delle informazioni: sono state implementate politiche di sicurezza delle informazioni, che vengono regolarmente riesaminate e aggiornate. Le politiche di sicurezza delle informazioni definiscono il quadro di riferimento di ciò che ci si attende da dipendenti e sistemi in materia di sicurezza delle informazioni. Il riesame e l'aggiornamento regolari di tali politiche garantiscono che restino efficaci e pertinenti a fronte dell'evoluzione del panorama delle minacce.
  • Responsabile della protezione dei dati (RPD): è stato nominato un responsabile della protezione dei dati (RPD) per vigilare sul rispetto del GDPR. Il responsabile della protezione dei dati è incaricato di supervisionare la strategia di protezione dei dati di un'azienda e la sua attuazione, al fine di garantire il rispetto dei requisiti del GDPR. Il RPD funge da punto di contatto per l'azienda, per gli interessati e per le autorità di controllo.
  • Protezione dei dati fin dalla progettazione e per impostazione predefinita (Privacy by Design e Privacy by Default): vengono rispettati i principi della protezione dei dati fin dalla progettazione (Privacy by Design) e della protezione dei dati per impostazione predefinita (Privacy by Default). Questi principi riguardano l'integrazione della protezione dei dati nelle attività di trattamento e nelle prassi aziendali, sin dalla fase di sviluppo e lungo l'intero ciclo di vita. Ciò contribuisce a fare sì che la protezione dei dati non sia un ripensamento successivo, bensì un elemento saldamente integrato nella progettazione e nell'architettura dei sistemi IT e delle prassi aziendali.
  • Principio di minimizzazione dei dati: viene rispettato il principio di minimizzazione dei dati; vengono raccolti solo i dati personali necessari per l'erogazione del servizio. La minimizzazione dei dati è un principio fondamentale del GDPR. Essa prevede che un'organizzazione raccolga e tratti solo i dati personali necessari per la finalità specifica perseguita.
  • Registro delle attività di trattamento (RAT): teniamo un registro delle attività di trattamento conforme al GDPR, che documenta tutte le operazioni di trattamento rilevanti, i relativi flussi di dati, i terzi coinvolti e la rispettiva base giuridica del trattamento. Un registro delle attività di trattamento crea trasparenza sui flussi di dati e aiuta a individuare potenziali rischi nel trattamento. Inoltre garantisce che ogni attività di trattamento e trasferimento di dati personali si fondi su una base giuridica valida.
  • Valutazioni d'impatto sulla protezione dei dati (DPIA) e Transfer Impact Assessment (TIA): vengono condotte regolarmente valutazioni d'impatto sulla protezione dei dati nonché Transfer Impact Assessment (TIA), al fine di individuare e ridurre i rischi sia nel trattamento sia nel trasferimento di dati personali oltre i confini aziendali e nazionali. Le valutazioni d'impatto sulla protezione dei dati (DPIA) e i Transfer Impact Assessment (TIA) individuano, valutano e riducono o minimizzano i rischi per la protezione dei dati nel trattamento degli stessi. Le DPIA e le TIA sono importanti in quanto aiutano le organizzazioni a individuare e risolvere tempestivamente eventuali problemi, riducendo così i relativi costi e i potenziali danni reputazionali che potrebbero altrimenti derivarne.
  • Gestione del rischio dei fornitori / accordi sul trattamento dei dati (DPA): vengono condotte verifiche sulla sicurezza delle informazioni dei responsabili del trattamento e vengono conclusi accordi sul trattamento dei dati (DPA), al fine di garantire e assicurare contrattualmente il rispetto degli standard di sicurezza. Le verifiche sulla sicurezza delle informazioni dei responsabili del trattamento sono fondamentali per accertare se i fornitori o i prestatori di servizi terzi rispettino gli stessi standard di protezione dei dati e di sicurezza della propria organizzazione. Ciò contribuisce a ridurre al minimo il rischio di violazioni dei dati o fughe di dati causate da terzi. Ai sensi del GDPR, questo aspetto deve essere disciplinato formalmente mediante un accordo sul trattamento dei dati (DPA).
  • Procedura per la gestione dei diritti degli interessati: è stato predisposto un flusso di lavoro standardizzato per garantire che le richieste degli interessati — quali il diritto di accesso, di rettifica o di portabilità dei dati — siano verificate, elaborate e soddisfatte entro i termini di legge. La predisposizione di una procedura interna chiara per i diritti degli interessati garantisce il rispetto degli obblighi di trasparenza previsti dal GDPR e previene contenziosi legali nonché reclami presso le autorità di controllo.
  • Formazione dei dipendenti: i dipendenti ricevono regolarmente formazione in materia di protezione dei dati e di conformità al GDPR. La formazione regolare garantisce che i dipendenti siano informati sui principi della protezione dei dati e sui propri obblighi ai sensi del GDPR. Ciò può contribuire a prevenire violazioni dei dati causate da errore umano e a garantire che i problemi vengano correttamente segnalati e risolti.
  • Campagne di sensibilizzazione sulla sicurezza delle informazioni: vengono condotte regolarmente campagne (formazione di sensibilizzazione) volte a sensibilizzare gli utenti in materia di sicurezza delle informazioni, al fine di informare i dipendenti sulle potenziali minacce informatiche. Le campagne di sensibilizzazione sulla sicurezza delle informazioni (formazione di sensibilizzazione) sono fondamentali per informare i dipendenti su minacce informatiche quali phishing, ingegneria sociale e malware e per promuovere le best practice in materia di protezione dei dati.
  • Formazione sulla programmazione sicura per gli sviluppatori: agli sviluppatori software viene offerta regolarmente formazione in materia di sicurezza, al fine di garantire prassi di programmazione sicure. La formazione regolare in materia di sicurezza per gli sviluppatori è essenziale per accrescere la consapevolezza in merito alle più recenti minacce alla sicurezza e alle best practice di sviluppo sicuro, riducendo così la probabilità che vulnerabilità vengano introdotte nel software.
  • Procedure di cancellazione (conservazione e cancellazione dei dati): sulla base di un concetto di cancellazione dei dati, i dati personali vengono cancellati automaticamente — nella misura consentita dalla legge — non appena la finalità dell'erogazione del servizio sia stata raggiunta o l'interessato lo richieda espressamente (diritto alla cancellazione / diritto all'oblio). La cancellazione regolare dei dati che non svolgono più alcuna finalità è una componente importante della gestione dei dati e della conformità al GDPR. Contribuisce a ridurre il rischio di violazioni dei dati e garantisce che l'organizzazione non conservi i dati personali più a lungo del necessario.
  • Piano di risposta agli incidenti di sicurezza (Incident Response Plan): è stato predisposto un piano di risposta dettagliato per gestire eventuali violazioni dei dati o incidenti di cybersicurezza che coinvolgano dati personali. Un Incident Response Plan è un insieme di istruzioni che aiuta a individuare, gestire e superare gli incidenti di sicurezza. Un piano solido è di fondamentale importanza per ridurre al minimo l'impatto di una violazione dei dati e consentire un rapido ripristino.
  • Procedura di notifica delle violazioni dei dati: è stata predisposta una procedura di notifica delle violazioni dei dati per informare gli interessati, le autorità di controllo e le altre parti rilevanti. In caso di violazione dei dati, il GDPR impone alle organizzazioni di notificare gli interessati e le autorità di controllo competenti. Questa procedura consente una notifica tempestiva e può contribuire ad attenuare le conseguenze di una violazione dei dati.
  • Verifica periodica delle prassi di protezione dei dati: le prassi di gestione della protezione dei dati vengono verificate a intervalli regolari per garantirne l'aggiornamento e la corretta attuazione, e le eventuali carenze vengono valutate e risolte. Le verifiche periodiche delle prassi di protezione dei dati garantiscono che le modifiche nel trattamento o le lacune nelle misure vengano individuate e adeguatamente affrontate, al fine di evitare, oppure individuare e risolvere tempestivamente, eventuali scostamenti dai requisiti del GDPR.

Allegato 2: Disposizioni integrative

  • I dati personali non vengono utilizzati né dal Contraente né dai suoi sub-responsabili del trattamento per l'addestramento, il miglioramento o la valutazione di modelli di AI.
  • Qualora il presente Accordo sul trattamento dei dati venga concluso con un partner rivenditore, fonio assume il ruolo di sub-responsabile del trattamento nei confronti di tale partner.
  • Si applicano i seguenti termini standard di cancellazione:
    • Registrazioni audio: 30 giorni dalla fine della chiamata
    • Trascrizioni della conversazione: 90 giorni dalla fine della chiamata
    • Log di dialogo e log tecnici: 30 giorni dalla fine della chiamata
    • Metadati di telefonia: 6 mesi dalla fine della chiamata
    • Documenti rilevanti ai fini contabili: termine di conservazione legale di 7 anni dall'emissione
    • Per eventuali altre categorie di dati si applica il punto 7.2 del presente DPA

Allegato 3: Sub-responsabili del trattamento

Versione del presente Allegato: 16.09.2026

Chiarimento per i Clienti con sede in Svizzera: le garanzie indicate nel presente Allegato per i trasferimenti verso gli Stati Uniti fanno riferimento all'EU-US Data Privacy Framework e alle clausole contrattuali standard dell'UE. Per i Clienti con sede in Svizzera, in tale ambito subentrano o si aggiungono i corrispondenti strumenti di trasferimento svizzeri, in particolare lo Swiss-U.S. Data Privacy Framework (per i destinatari certificati in tal senso; inserimento degli Stati Uniti nell'Allegato 1 dell'ordinanza sulla protezione dei dati da parte del Consiglio federale il 14.08.2024), nonché — per i destinatari non certificati e per altri paesi terzi — le clausole contrattuali standard riconosciute dall'IFPDT (SCC UE nella versione del 04.06.2021, comprensive del cosiddetto "Swiss Finish"). I dettagli sono disciplinati dall'Addendum per i clienti con sede in Svizzera.

Fornitori principali per l'erogazione del servizio

I seguenti fornitori vengono sempre utilizzati. Nel caso in cui, su espressa richiesta del Cliente, un fornitore di riserva sia stato scelto come fornitore principale, è possibile, sempre su espressa richiesta del Cliente, non utilizzare più il fornitore precedente presente nell'elenco dei fornitori principali riportato di seguito.

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania
  • OVH GmbH, Christophstraße 19, 50670 Colonia, Germania (società del gruppo OVHcloud; società madre: OVH SAS, 2 rue Kellermann, 59100 Roubaix, Francia)
    • In uso a partire dal 01.10.2026 in aggiunta a Hetzner: verrà effettuato un trasferimento dei dati esistenti da Hetzner a OVH.
    • Descrizione del servizio: hosting del sistema
    • Base giuridica per l'eventuale trasferimento verso un paese terzo: n/d
    • Ubicazione dei server: vengono utilizzati data center in Germania e Francia.
    • Informazioni sulle certificazioni dei servizi OVH (incluse l'attestazione BSI:C5 e la certificazione ISO 27001): https://www.ovhcloud.com/de/compliance/
  • Twilio Ireland Limited, 25-28 North Wall Quay, D01 H104 Dublino, Irlanda
  • Voxbone SA, Avenue Louise 489, 1050 Bruxelles, Belgio (società del gruppo Bandwidth; società madre: Bandwidth Inc., 900 Main Campus Drive, Raleigh, NC 27606, Stati Uniti)
    • In uso a partire dal 01.10.2026 in aggiunta a Twilio
    • Descrizione del servizio: telefonia / telefonia PBX
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Il contratto relativo al trattamento dei dati viene concluso con Voxbone SA (Belgio); l'erogazione del servizio per i Clienti nel SEE avviene tramite questa società.
      • EU-US Data Privacy Framework - https://www.dataprivacyframework.gov/list
      • Le clausole contrattuali standard (Modulo 3), incluso lo "Swiss Finish", vengono inoltre concordate contrattualmente al fine di garantire in modo completo la protezione dei dati personali nei trasferimenti internazionali di dati.
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention).
    • Ubicazione dei server: Germania, Belgio, Irlanda
  • LiveKit Inc., 4285 Payne Avenue, Suite 9154, CA 95157 San Jose, California, Stati Uniti
    • Descrizione del servizio: sale conversazione virtuali
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
    • Ubicazione dei server: grazie alla configurazione del region pinning, i dati non lasciano la regione europea. Ulteriori informazioni: https://docs.livekit.io/deploy/admin/regions/region-pinning/
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione persistente (streaming in tempo reale / ZDR).
  • Soniox, Inc. 1045 Helm Ln Foster City, CA 94404 Stati Uniti
    • Descrizione del servizio: speech-to-text
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Clausole contrattuali standard (Modulo 3), stabilite contrattualmente nel DPA con Soniox.
    • Ubicazione dei server: trattamento in Europa nell'ambito dell'Enterprise Agreement. Ulteriori informazioni: https://soniox.com/europe
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention).
  • OpenAI Ireland Ltd. 1st Floor, The Liffey Trust Centre 117-126 Sheriff Street Upper, Dublino 1, D01 YC43, Irlanda
    • Descrizione del servizio: LLM
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Clausole contrattuali standard UE (SCC - Modulo 3) incluso lo "Swiss Finish", stabilite contrattualmente nel DPA con OpenAI.
    • Ubicazione dei server: trattamento in Europa nell'ambito dell'Enterprise Agreement. Ulteriori informazioni: https://openai.com/index/introducing-data-residency-in-europe/.
    • Ulteriori informazioni: viene applicata la "Zero Data Retention".
  • Theai, Inc. dba Inworld AI, 1975 W El Camino Real #300, Mountain View, CA 94040, Stati Uniti
    • Descrizione del servizio: text-to-speech
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Le clausole contrattuali standard (Modulo 3) sono concordate per il trasferimento internazionale dei dati.
    • Ubicazione dei server: residenza dei dati nell'UE concordata tramite contratto Enterprise
    • Conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention). Ulteriori informazioni: https://docs.inworld.ai/portal/zero-data-retention
    • Ulteriori informazioni su sicurezza e certificazioni: https://trust.inworld.ai/
  • Sinch AB (Mailgun), Lindhagensgatan 112, 112 51 Stoccolma, Svezia
    • Descrizione del servizio: invio di e-mail
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Il DPA è stato concluso con Sinch AB a Stoccolma, società madre dell'azienda statunitense Mailgun Technologies, Inc., 112 E Pecan St #113 San Antonio, TX 78205, Stati Uniti. Mailgun Technologies, Inc. aderisce all'EU-US Data Privacy Framework https://sinch.com/legal/terms-and-conditions/other-sinch-terms-conditions/data-processing-agreement/
      • Le clausole contrattuali standard (Modulo 3) sono concordate quale misura di sicurezza contrattuale sussidiaria (fallback) per il trasferimento internazionale dei dati.
    • Ubicazione dei server: regione "UE". Ulteriori informazioni: https://www.mailgun.com/about/regions/
  • New Relic, Inc., 188 Spear Street, Suite 1200, CA94105 San Francisco, California, Stati Uniti

Fornitori di riserva per l'aumento della disponibilità

I seguenti fornitori fungono da riserva qualora un fornitore principale non sia disponibile o non sia in grado di garantire la qualità di servizio richiesta. Ciò serve ad aumentare la disponibilità e la qualità del servizio. L'impiego di fornitori di riserva è disattivato per impostazione predefinita per i soggetti tenuti al segreto professionale e può essere attivato su richiesta del Cliente. Per tutti gli altri Clienti, non soggetti a un obbligo di segreto professionale, i fornitori di riserva sono attivati per impostazione predefinita, ma possono essere disattivati su richiesta del Cliente. È possibile utilizzare i fornitori indicati anche come fornitori principali, su espressa richiesta del Cliente.

  • Deepgram, Inc., 548 Market St, Suite 25104, CA 94104-5401 San Francisco, California, Stati Uniti
    • Descrizione del servizio: speech-to-text
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Clausole contrattuali standard UE (SCC - Modulo 3), stabilite contrattualmente nel DPA con Deepgram.
    • Ubicazione dei server: trattamento esclusivamente in Europa tramite un endpoint UE dedicato, nell'ambito dell'Enterprise Agreement
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention).
  • Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, D04 E5W5, Irlanda
    • Descrizione del servizio: LLM
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
    • Ubicazione dei server: regione Europa
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention)
  • Eleven Labs Inc., 169 Madison Ave #2484, NY 10016 New York, New York, Stati Uniti
    • Descrizione del servizio: text-to-speech
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • EU-US Data Privacy Framework https://elevenlabs.io/privacy-policy
      • Le clausole contrattuali standard (Modulo 3) sono concordate quale misura di sicurezza contrattuale sussidiaria (fallback) per il trasferimento internazionale dei dati.
    • Ubicazione dei server: nell'ambito di un contratto Enterprise, tutti i dati restano esclusivamente all'interno dell'Europa. Ulteriori informazioni: https://elevenlabs.io/docs/overview/administration/data-residency
    • Informazioni sulla conservazione dei dati: per i dati audio non è prevista alcuna memorizzazione (zero data retention).

Fornitori opzionali

I seguenti fornitori vengono impiegati facoltativamente in caso di utilizzo di offerte di servizio aggiuntive e solo su espressa richiesta del Cliente.

  • Nylas, Inc., 2100 Geng Rd. #2100, Palo Alto, CA 94303
    • Descrizione del servizio: integrazione del calendario per il collegamento di account di calendario (Google Calendar, Microsoft Outlook) tramite OAuth, ai fini della verifica della disponibilità, della prenotazione degli appuntamenti e della sincronizzazione bidirezionale degli eventi del calendario.
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
    • Ubicazione dei server: la regione di residenza dei dati è l'Europa (Irlanda). Ulteriori informazioni: https://developer.nylas.com/docs/dev-guide/platform/data-residency/
  • Meta Platforms Ireland Ltd., Merrion Road, Dublino 4, D04 X2K5, Irlanda
    • Descrizione del servizio: integrazione WhatsApp
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
  • SideGuide Technologies, Inc. (Firecrawl), 2261 Market Street STE 85367, CA 94114 San Francisco, Stati Uniti
    • Descrizione del servizio: motore di ricerca
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Clausole contrattuali standard (Modulo 3), incluso lo "Swiss Finish"
  • LangChain, Inc., 501 2nd Street, Suite 120, CA 94107 San Francisco, Stati Uniti
    • Descrizione del servizio: integrazione chat
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
      • Clausole contrattuali standard (Modulo 3)
  • Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, D04 E5W5, Irlanda
    • Descrizione del servizio: distribuzione di notifiche push a dispositivi Android tramite Firebase Cloud Messaging (FCM)
    • Impiego solo se viene utilizzata l'app telefonica fonio e le notifiche push sono attivate
    • Base giuridica per l'eventuale trasferimento verso un paese terzo:
    • Ubicazione dei server: per Firebase Cloud Messaging non è disponibile alcuna residenza dei dati europea; la distribuzione avviene tramite l'infrastruttura globale di Google, comprese le sedi negli Stati Uniti.
    • Ulteriori informazioni:
      • Nell'utilizzo delle notifiche push nell'app fonio vengono inoltre trattati i seguenti dati: token di registrazione FCM ovvero Firebase Installation ID, metadati di distribuzione nonché i dati tecnici di connessione del dispositivo (in particolare l'indirizzo IP). Le notifiche possono inoltre contenere numeri di telefono, riepiloghi delle chiamate o nomi.
      • Informazioni sulla conservazione dei dati: le notifiche push vengono conservate solo per il periodo necessario alla loro distribuzione.
      • Ulteriori informazioni: https://firebase.google.com/support/privacy
    • Integrazione relativa alle notifiche push per dispositivi iOS:
      • Per i dispositivi iOS, la distribuzione avviene tramite l'Apple Push Notification Service. Secondo la nostra valutazione, Apple agisce quale titolare del trattamento autonomo; non sussiste pertanto un trattamento per conto terzi, ragione per cui Apple non è indicata in questo Allegato come sub-responsabile del trattamento. Anche in questo caso vengono trasmessi esclusivamente token del dispositivo, metadati di distribuzione e dati tecnici di connessione, senza dati di contenuto.

Integrazioni relative ai meccanismi di failover

Per garantire la disponibilità del nostro servizio e la relativa qualità, in caso di indisponibilità o di disponibilità insufficiente delle sedi UE — e solo in tal caso — utilizziamo, per i seguenti fornitori, un failover verso gli Stati Uniti (reindirizzamento temporaneo del flusso di dati del fornitore interessato verso sedi server statunitensi):

  • Soniox, Inc
  • OpenAI Ireland Ltd.
  • Theai, Inc. dba Inworld AI

I meccanismi di failover vengono impiegati solo per il tempo minimo necessario. La disattivazione del failover verso gli Stati Uniti è possibile in qualsiasi momento su richiesta del Cliente.

Per i soggetti tenuti al segreto professionale, il failover verso gli Stati Uniti è disattivato per impostazione predefinita.

Allegato 4: Dichiarazione di impegno alla riservatezza e alla protezione dei dati

Al presente Accordo vengono allegate, come Allegato 4, le seguenti dichiarazioni di impegno alla riservatezza. Il Cliente può avvalersi della versione per lui rilevante, senza modifiche di contenuto:

  • Dichiarazione di impegno alla riservatezza e alla protezione dei dati – Germania (§§ 203, 204 StGB, § 62a StBerG, § 43e BRAO);
  • Dichiarazione di impegno alla riservatezza e alla protezione dei dati – Austria (§ 121 StGB, § 54 ÄrzteG, § 9 RAO, § 80 WTBG 2017, § 6 DSG).

Per i Clienti con sede in Svizzera non viene predisposta una dichiarazione separata; la relativa disciplina (Art. 321 chStGB, Art. 62 revDSG) è contenuta al punto 4 dell'Addendum per i clienti con sede in Svizzera.

Il presente Accordo sul trattamento dei dati è stato creato con il Metasoul DPA-Generator .