Parti
Il presente accordo sul trattamento dei dati è stipulato tra il cliente che sottoscrive la piattaforma Aymar Agents (il «Titolare») e AYMAR INNOVATIONS, S.L. (il «Responsabile»), che fornisce il servizio in virtù del contratto di servizi SaaS sottoscritto tra le parti (i «Termini e condizioni», disponibili su aymaragents.com/legal/terminos), di cui il presente Accordo costituisce parte integrante come richiesto dall'articolo 28.3 del Regolamento generale sulla protezione dei dati.
1. Oggetto
Oggetto del presente Accordo è disciplinare il trattamento, da parte del Responsabile e per conto del Titolare, dei dati personali dei clienti finali di quest'ultimo — le persone che interagiscono con gli agenti conversazionali di intelligenza artificiale del Titolare tramite la piattaforma Aymar Agents —, come richiesto dall'articolo 28 del Regolamento generale sulla protezione dei dati.
2. Durata
Il presente Accordo entra in vigore alla data di accettazione dei Termini e condizioni da parte del Titolare e resta valido finché continua la fornitura del servizio Aymar Agents. Gli obblighi relativi alla cancellazione o restituzione dei dati (clausola 12) e alla riservatezza (clausola 7) sopravvivono alla cessazione dell'Accordo.
3. Natura e finalità del trattamento
Il Responsabile tratta i dati personali oggetto del presente Accordo al fine di gestire, per conto del Titolare, gli agenti conversazionali di intelligenza artificiale da questi sottoscritti: ricevere e rispondere ai messaggi dei clienti finali sui canali abilitati (WhatsApp, Telegram, Messenger, Instagram Direct, voce e il widget di chat web), acquisire e gestire lead e appuntamenti, generare documenti a partire dalle informazioni fornite, e fornire il resto delle funzionalità della piattaforma configurate dal Titolare.
4. Tipologie di dati personali trattati
Il trattamento comprende, tra l'altro: dati identificativi e di contatto (nome, telefono e, se disponibile, indirizzo email del cliente finale); il contenuto delle conversazioni con gli agenti conversazionali del Titolare; gli allegati inviati o ricevuti durante tali conversazioni (immagini, documenti); e i dati associati ad appuntamenti, lead e documenti generati tramite la piattaforma. Il Responsabile non richiede attivamente categorie particolari di dati (articolo 9 RGPD); se un cliente finale le fornisce volontariamente in un messaggio, spetta al Titolare garantire l'esistenza di una base giuridica valida per tale trattamento.
5. Categorie di interessati
I clienti finali del Titolare: le persone fisiche che contattano, o vengono contattate tramite, gli agenti conversazionali della piattaforma, indipendentemente dal canale utilizzato.
6. Istruzioni documentate
Il Responsabile tratta i dati personali unicamente in base alle istruzioni documentate del Titolare, stabilite nel presente Accordo, nei Termini e condizioni e nella configurazione che il Titolare stesso effettua sulla piattaforma (ad esempio, il contenuto e l'ambito delle istruzioni dei propri agenti). Se il Responsabile ritiene che un'istruzione violi il Regolamento generale sulla protezione dei dati o un'altra disposizione in materia, ne informa immediatamente il Titolare. Il Responsabile non tratterà i dati per finalità proprie o diverse da quelle concordate, salvo un obbligo di legge che lo imponga, nel qual caso ne informerà preventivamente il Titolare, a meno che tale informazione sia vietata per rilevanti motivi di interesse pubblico.
7. Riservatezza
Il Responsabile garantisce che il personale autorizzato al trattamento dei dati personali si sia impegnato alla riservatezza o sia soggetto a un obbligo di riservatezza di natura legale, e che tale personale riceva la formazione necessaria in materia di protezione dei dati, inclusa quella relativa ai requisiti di trasparenza del Regolamento (UE) 2024/1689 sull'uso dei sistemi di intelligenza artificiale.
8. Misure di sicurezza (articolo 32 RGPD)
Il Responsabile applica, tra le altre, le seguenti misure tecniche e organizzative: cifratura delle credenziali di accesso ai canali e ai fornitori esterni configurati da ciascun cliente; controllo degli accessi basato sui ruoli (RBAC) e isolamento verificato tra i dati di ciascun cliente (multi-tenant), inclusi test negativi specifici contro accessi incrociati tra clienti; un registro di audit delle azioni compiute sui dati, con conservazione limitata; limitazione della frequenza delle richieste (rate limiting) e controlli contro gli abusi sui canali di messaggistica; e una procedura di cancellazione effettiva dei dati di un cliente finale su richiesta, con verifica tecnica che non resti traccia nei sistemi del Responsabile. Il dettaglio di queste misure può essere ampliato su ragionevole richiesta del Titolare.
9. Subresponsabili del trattamento
Il Titolare autorizza in via generale il Responsabile a subappaltare i trattamenti descritti nel presente Accordo ad altri responsabili del trattamento (subresponsabili), soggetti ai medesimi obblighi in materia di protezione dei dati stabiliti nel presente Accordo tramite il relativo contratto. L'elenco aggiornato dei subresponsabili nominati, con il servizio fornito, la loro ubicazione e la garanzia applicabile ai trasferimenti internazionali, è pubblicato nella sezione dei subresponsabili della nostra informativa sulla privacy. Il Responsabile informerà il Titolare di qualsiasi modifica prevista a tale elenco, dando al Titolare la possibilità di opporsi per motivi ragionevoli legati alla protezione dei dati.
10. Assistenza al Titolare
Il Responsabile assiste il Titolare, mediante misure tecniche e organizzative adeguate, nell'adempimento dell'obbligo di rispondere alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, opposizione e portabilità); in particolare, la piattaforma integra una funzione di cancellazione dei dati di un cliente finale su richiesta, eseguibile dal Titolare direttamente dal proprio pannello. Il Responsabile assiste inoltre il Titolare nell'adempimento degli obblighi relativi alla sicurezza del trattamento, alla notifica delle violazioni di sicurezza e, se del caso, alle valutazioni d'impatto sulla protezione dei dati, tenendo conto della natura del trattamento e delle informazioni di cui dispone.
11. Notifica delle violazioni di sicurezza
Il Responsabile notificherà al Titolare, senza ingiustificato ritardo e comunque entro un termine ragionevole dal momento in cui ne viene a conoscenza, ogni violazione della sicurezza dei dati personali trattati per conto del Titolare, fornendo le informazioni necessarie affinché questi possa adempiere al proprio obbligo di notifica all'autorità di controllo competente e, se del caso, agli interessati coinvolti.
12. Cancellazione o restituzione dei dati
Al termine della fornitura del servizio, il Responsabile, a scelta del Titolare, restituirà o cancellerà i dati personali trattati, comprese eventuali copie, salvo che la conservazione sia necessaria per un obbligo di legge applicabile al Responsabile. In pratica, quando il Titolare chiude il proprio account, i suoi dati e quelli dei suoi clienti finali vengono conservati per un periodo di grazia di 30 giorni (nel caso la chiusura sia stata accidentale) e, trascorso tale termine senza riattivazione dell'account, vengono effettivamente eliminati dai database, dall'archiviazione dei file e dagli altri sistemi del Responsabile, come descritto nella nostra informativa sulla privacy.
13. Verifiche
Il Responsabile metterà a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dal presente Accordo, e consentirà e contribuirà allo svolgimento di verifiche, incluse ispezioni, da parte del Titolare o di un revisore da questi autorizzato, previo ragionevole preavviso e fermo restando l'obbligo di riservatezza dovuto agli altri clienti del Responsabile.
14. Responsabilità
Ciascuna parte risponde nei confronti degli interessati e delle autorità di controllo dei danni causati da un trattamento che violi il Regolamento generale sulla protezione dei dati, secondo quanto previsto dal suo articolo 82 e dalla normativa spagnola applicabile in materia di protezione dei dati.
15. Legge applicabile e foro competente
Il presente Accordo è disciplinato dalla legge spagnola ed europea in materia di protezione dei dati. Per qualsiasi controversia relativa alla sua interpretazione o esecuzione, le parti si sottopongono ai giudici e tribunali competenti ai sensi dei Termini e condizioni del servizio.