Accordo sul trattamento dei dati
Accordo ai sensi dell’articolo 28 del Regolamento (UE) 2016/679 («GDPR») tra il Cliente di Concierge, titolare del trattamento, e [RAGIONE SOCIALE], responsabile del trattamento. Fa parte dei termini del servizio e si accetta con essi.
1. Parti e ruoli
Titolare del trattamento è il Cliente, cioè il gestore che usa Concierge per le sue strutture: decide perché e come trattare i dati dei suoi ospiti.
Responsabile del trattamento è [RAGIONE SOCIALE], con sede in [SEDE], partita IVA [P.IVA] (il «Fornitore»), che tratta quei dati solo per conto del Cliente e per fornirgli il servizio. Contatto per la protezione dei dati: [EMAIL PRIVACY].
Per i dati dell’account del Cliente (email, fatturazione, accessi) il Fornitore è invece titolare autonomo, come descritto nell’informativa sulla privacy.
2. Oggetto, natura e finalità del trattamento
Il Fornitore tratta i dati personali necessari a erogare il servizio:
- leggere e conservare le prenotazioni dai gestionali e dai calendari collegati dal Cliente, e quelle inserite a mano;
- ricevere e inviare i messaggi WhatsApp tra gli ospiti e l’assistente automatico;
- generare le risposte dell’assistente con un modello di intelligenza artificiale, a partire dalla conversazione e dalle informazioni inserite dal Cliente;
- riconoscere l’ospite dal numero di telefono o dal codice di prenotazione e dal cognome;
- avvisare il Cliente quando una conversazione richiede una persona;
- mostrare al Cliente prenotazioni, conversazioni e avvisi nel pannello.
Le operazioni sono: raccolta, registrazione, conservazione, consultazione, uso, trasmissione e cancellazione. Il trattamento dura quanto il contratto, più il tempo necessario alla restituzione e alla cancellazione dei dati (punto 10).
3. Interessati e categorie di dati
Interessati: gli ospiti delle strutture del Cliente e le persone che scrivono al numero WhatsApp dell’assistente; i collaboratori del Cliente indicati come contatti per gli avvisi.
Categorie di dati:
- nome e cognome, numero di telefono, lingua;
- dati della prenotazione: codice, struttura e appartamento, date di arrivo e partenza, numero di ospiti, canale di provenienza;
- contenuto dei messaggi scambiati con l’assistente e delle risposte;
- riepiloghi degli avvisi inviati al Cliente.
Il servizio non è pensato per categorie particolari di dati (articolo 9 del GDPR), come i dati sulla salute. Un ospite può però comunicarle di sua iniziativa in un messaggio, per esempio segnalando un malore: in quel caso il dato viene trattato solo per gestire la conversazione e avvisare il Cliente. Il Cliente non istruisce l’assistente a raccogliere dati di questo tipo, né documenti d’identità o dati di pagamento.
4. Istruzioni del Cliente
Il Fornitore tratta i dati solo su istruzione documentata del Cliente. Le istruzioni sono contenute in questo accordo, nei termini del servizio e nelle impostazioni che il Cliente sceglie nel pannello. Se un’istruzione appare contraria al GDPR o ad altre norme sulla protezione dei dati, il Fornitore lo segnala subito al Cliente.
Il Fornitore non usa i dati degli ospiti per scopi propri, non li vende e non li usa per addestrare modelli di intelligenza artificiale.
5. Obblighi del Fornitore
- Riservatezza: accedono ai dati solo le persone autorizzate che ne hanno bisogno, vincolate alla riservatezza.
- Sicurezza: adotta le misure dell’articolo 32 del GDPR descritte nell’allegato (punto 12).
- Diritti degli interessati: aiuta il Cliente a rispondere alle richieste degli ospiti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Se un ospite si rivolge direttamente al Fornitore, la richiesta viene inoltrata al Cliente senza ritardo.
- Collaborazione: aiuta il Cliente, per quanto di sua competenza, nelle valutazioni d’impatto e nelle consultazioni con l’autorità di controllo.
- Registro: tiene il registro delle attività di trattamento svolte per conto del Cliente.
6. Violazioni dei dati
Se il Fornitore viene a conoscenza di una violazione che riguarda i dati del Cliente, lo avvisa senza ingiustificato ritardo e comunque entro 48 ore, all’email dell’account. L’avviso descrive, per quanto noto, la natura della violazione, le categorie e il numero approssimativo di interessati e di dati coinvolti, le probabili conseguenze e le misure adottate o proposte. Il Fornitore fornisce poi le informazioni che servono al Cliente per notificare la violazione all’autorità e, se necessario, agli interessati.
7. Sub-responsabili
Il Cliente autorizza in via generale il Fornitore a ricorrere ad altri responsabili («sub-responsabili»). Il Fornitore impone a ciascuno, per contratto, obblighi di protezione dei dati non inferiori a quelli di questo accordo e resta responsabile del loro operato verso il Cliente.
Sub-responsabili in uso:
| Fornitore | Finalità | Luogo del trattamento | Trasferimenti fuori dall’UE e garanzie |
|---|---|---|---|
| Cloudflare, Inc. | Hosting del servizio, esecuzione del codice, database di prenotazioni e conversazioni | Database con giurisdizione UE: dati conservati nell’Unione europea. Le richieste passano dalla rete globale di Cloudflare, dal centro più vicino all’utente. | Possibile accesso dagli Stati Uniti: Data Privacy Framework UE-USA e clausole contrattuali standard nel DPA di Cloudflare |
| Anthropic | Generazione delle risposte dell’assistente (modello Claude). Riceve la conversazione recente e le informazioni della struttura necessarie alla risposta. | Stati Uniti | Clausole contrattuali standard (decisione 2021/914) nel DPA di Anthropic. Secondo i termini commerciali di Anthropic, i dati inviati tramite API non sono usati per addestrare i modelli. |
| Meta Platforms Ireland Ltd. | Trasmissione dei messaggi WhatsApp tra ospiti e assistente (WhatsApp Business Platform) | Unione europea e Stati Uniti | Data Privacy Framework UE-USA e clausole contrattuali standard previste dai termini di WhatsApp Business |
| Resend | Invio delle email di servizio agli utenti del Cliente. I dati degli ospiti possono comparirvi solo se inclusi in un avviso. | Stati Uniti | Clausole contrattuali standard (decisione 2021/914) nel DPA di Resend |
Il Fornitore comunica per email al Cliente ogni nuovo sub-responsabile o sostituzione almeno 30 giorni prima. Il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati entro lo stesso termine; se le parti non trovano una soluzione, il Cliente può recedere dal contratto senza penali prima che il cambiamento abbia effetto.
I gestionali e i calendari collegati dal Cliente (per esempio Smoobu, Beds24, Hostaway o i calendari iCal dei portali) non sono sub-responsabili del Fornitore: sono fornitori scelti dal Cliente, ai quali il servizio accede con le credenziali e su istruzione del Cliente.
8. Trasferimenti fuori dallo Spazio economico europeo
Il Fornitore trasferisce dati fuori dallo Spazio economico europeo solo verso i sub-responsabili elencati e solo con una delle garanzie del Capo V del GDPR: decisione di adeguatezza (compreso il Data Privacy Framework UE-USA per i fornitori certificati) o clausole contrattuali standard, con le misure supplementari necessarie. Su richiesta il Fornitore fornisce copia delle garanzie.
9. Verifiche
Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo, a partire dalla documentazione delle misure di sicurezza e dalle certificazioni dei sub-responsabili. Se queste non bastano, il Cliente può chiedere una verifica, anche tramite un revisore vincolato alla riservatezza, con preavviso di almeno 30 giorni, in orario lavorativo e non più di una volta l’anno, salvo violazioni o richieste di un’autorità. I costi della verifica sono a carico del Cliente.
10. Fine del trattamento
Alla cessazione del contratto il Fornitore, a scelta del Cliente, restituisce i dati in un formato di uso comune o li cancella. La scelta va comunicata entro 30 giorni dalla cessazione; in mancanza, i dati vengono cancellati entro 60 giorni dalla cessazione, comprese le copie, salvo quelli che la legge obbliga a conservare. Le copie di sicurezza vengono sovrascritte secondo il loro ciclo naturale.
Durante il contratto i dati restano conservati finché il Cliente non li cancella o non ne chiede la cancellazione. L’assistente risponde a un ospite solo dal momento in cui la prenotazione entra nel sistema fino a due giorni dopo la partenza.
11. Responsabilità
Ogni parte risponde dei danni causati dalla violazione degli obblighi che il GDPR e questo accordo le attribuiscono, secondo l’articolo 82 del GDPR e nei limiti dei termini del servizio, dove la legge lo consente.
12. Allegato: misure di sicurezza
- Cifratura in transito: tutte le connessioni avvengono in HTTPS, con HSTS.
- Cifratura delle credenziali: le credenziali dei gestionali sono cifrate con AES-GCM a 256 bit, con chiave conservata separatamente dal database.
- Password: conservate solo come derivazione PBKDF2-SHA256 con sale casuale, mai in chiaro.
- Sessioni: codici casuali in cookie protetti (HttpOnly, Secure, SameSite); nel database solo la loro impronta. Il cambio della password chiude tutte le sessioni.
- Separazione dei clienti: ogni dato è legato all’account del Cliente e ogni lettura e scrittura è filtrata per account, con test automatici dedicati.
- Protezione dagli abusi: limiti ai tentativi di accesso, di registrazione e di recupero; verifica della firma dei messaggi in arrivo da WhatsApp.
- Accesso ai sistemi: riservato al personale autorizzato, con autenticazione a più fattori sugli account dei fornitori.
- Minimizzazione: all’intelligenza artificiale arrivano solo la conversazione recente e le informazioni necessarie a rispondere.
- Registri: gli errori vengono registrati senza il contenuto delle email e dei link di accesso.