Prenota una demo

Accordo sul trattamento dei dati (DPA)

Ultimo aggiornamento:

1. Parti e ruoli

Questo accordo sul trattamento dei dati (“DPA”) è stipulato tra:

  • il Cliente, titolare del trattamento;
  • TONAY S.R.L. (“Tonay”), Via San Nicola 1, 73020 Martignano (LE), P.IVA 05443850754, responsabile del trattamento.

Il DPA si applica quando Tonay tratta dati personali per conto del Cliente nell’erogazione del Servizio. Fa parte dei Termini e condizioni e si intende accettato con l’accettazione dei Termini o con l’attivazione del Servizio.

2. Oggetto, durata, natura e finalità

Tonay tratta i dati personali del Cliente solo per fornire il Servizio, per la durata del contratto e secondo le istruzioni documentate del Cliente. I dettagli sono nell’Allegato 1.

3. Istruzioni del Cliente

Il Cliente dà istruzioni a Tonay tramite le configurazioni e l’uso del Servizio (compreso il collegamento di caselle email e numeri WhatsApp) e tramite richieste scritte. Tonay informa il Cliente se ritiene che un’istruzione violi il GDPR o altre norme.

4. Riservatezza

Tonay garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza e ricevano istruzioni adeguate.

5. Misure tecniche e organizzative

Tonay adotta misure adeguate ai rischi, descritte nell’Allegato 2.

6. Sub-responsabili

Il Cliente autorizza Tonay a ricorrere ai sub-responsabili necessari per erogare il Servizio. L’elenco aggiornato è nella pagina Sub-responsabili.

Tonay comunica le modifiche rilevanti con un preavviso ragionevole; il Cliente può opporsi per motivi legati alla protezione dei dati. Se l’opposizione non si risolve, il Cliente può recedere per le sole componenti interessate.

7. Assistenza al Cliente

Tonay assiste il Cliente, nei limiti del ragionevole, per:

  • le richieste degli interessati (artt. 15-22 GDPR);
  • la gestione delle violazioni di dati personali;
  • le valutazioni d’impatto e le richieste delle autorità, ove pertinenti.

8. Violazioni di dati personali

Tonay informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali, con le informazioni disponibili utili a gestirla.

9. Verifiche

Su richiesta ragionevole, Tonay fornisce le informazioni necessarie a dimostrare il rispetto di questo DPA e consente verifiche:

  • con un preavviso scritto di almeno 30 giorni;
  • al massimo una volta l’anno, salvo violazioni di dati personali o richieste di un’autorità di controllo;
  • in orario lavorativo, nel rispetto della riservatezza e della sicurezza di Tonay e degli altri clienti.

10. Restituzione e cancellazione dei dati

Alla cessazione, su richiesta del Cliente, Tonay restituisce i dati in un formato esportabile entro 30 giorni e li cancella entro i 30 giorni successivi, salvo obblighi di legge. Le copie di backup sono sovrascritte secondo il loro ciclo di conservazione, entro 30 giorni.

11. Trasferimenti fuori dallo SEE

Se necessari, Tonay applica garanzie adeguate (decisioni di adeguatezza o Clausole contrattuali standard) e, su richiesta, fornisce informazioni sulle misure adottate.

12. Prevalenza

In caso di conflitto tra questo DPA e altri accordi tra le parti, per la protezione dei dati prevale il DPA.

Allegato 1 – Dettagli del trattamento

  • Oggetto: fornitura del Servizio Tonay.
  • Durata: durata del contratto più i tempi tecnici di esportazione e cancellazione.
  • Finalità: erogare le funzioni del Servizio e l’assistenza tecnica richiesta dal Cliente. Nessun uso per pubblicità, vendita a terzi o addestramento di modelli di intelligenza artificiale.
  • Analisi per lo studio: su istruzione del Cliente, i dati dei suoi clienti possono essere analizzati per suggerire al Cliente opportunità di servizi da proporre. I suggerimenti sono visibili solo al Cliente, che decide se e come usarli. Il Cliente, come titolare, individua la base giuridica di queste analisi (per esempio il legittimo interesse a proporre servizi ai propri clienti) e ne informa i propri clienti nella sua informativa.
  • Categorie di interessati: clienti, fornitori, dipendenti, collaboratori e altri contatti del Cliente.
  • Categorie di dati:
    • dati identificativi e di contatto;
    • dati amministrativi, contrattuali e di pagamento (compreso l’IBAN per gli addebiti SDD);
    • documenti caricati dal Cliente;
    • email lette dalle caselle collegate: metadati, contenuto e allegati;
    • messaggi e allegati WhatsApp dei numeri collegati, e i relativi contatti.
  • Dati delicati: le comunicazioni possono contenere dati finanziari e, occasionalmente, dati appartenenti a categorie particolari (per esempio dati sanitari) inviati dai clienti dello studio. Tonay li tratta con le misure dell’Allegato 2 e fornisce al Cliente le informazioni necessarie per l’eventuale valutazione d’impatto (DPIA).
  • Operazioni: raccolta, registrazione, consultazione, organizzazione, conservazione, cancellazione, esportazione; analisi automatizzata con modelli di intelligenza artificiale per abbinare messaggi, documenti e pagamenti ai clienti, preparare fascicoli, riassunti e bozze di risposta.
  • Intelligenza artificiale: i modelli sono ospitati da Tonay su server nell’Unione Europea; i dati non sono inviati a fornitori esterni di IA. Il Cliente stabilisce i livelli di autonomia e le autorizzazioni degli agenti, comprese le comunicazioni che possono essere inviate senza approvazione.
  • Luogo del trattamento: Unione Europea (Paesi Bassi per l’applicazione e il database, Francia per i modelli di intelligenza artificiale).
  • Fonti dei dati collegati: Microsoft Graph (sola lettura della posta, anche caselle condivise), WhatsApp Business Platform di Meta; in futuro Gmail API.
  • Conservazione: le email restano presso il provider e vengono lette al bisogno (in Tonay solo i riferimenti); i messaggi e gli allegati WhatsApp sono conservati cifrati. Riferimenti e messaggi restano per la durata del contratto o finché la casella o il numero restano collegati, e sono cancellati entro 30 giorni dallo scollegamento o dalla cessazione, salvo diversa istruzione del Cliente.

Allegato 2 – Misure di sicurezza

  • Cifratura in transito (HTTPS/TLS) e cifratura a riposo dei messaggi e degli allegati WhatsApp.
  • Controllo degli accessi e autorizzazioni secondo il principio del privilegio minimo.
  • Registrazione e monitoraggio degli eventi di sicurezza.
  • Backup periodici e procedure di ripristino.
  • Gestione delle vulnerabilità e aggiornamenti con priorità sui componenti critici.
  • Accesso amministrativo limitato e tracciato.

Allegato 3 – Sub-responsabili

L’elenco aggiornato è nella pagina Sub-responsabili.