Accordo sul trattamento dei dati

1.1 Definizioni. Nel presente DPA:

(a) Per «Dati personali del Cliente» si intendono i dati personali contenuti nei Dati del Cliente che Veliu tratta per conto del Cliente nel prestare i Servizi.

(b) Per «Normativa sulla protezione dei dati» si intendono il Regolamento (UE) 2016/679 (il «GDPR»), l’Irish Data Protection Act 2018 e le altre leggi dell’Unione europea e degli Stati membri in materia di dati personali che si applicano al trattamento e, ove applicabili, lo UK GDPR e la legge federale svizzera sulla protezione dei dati.

(c) Per «Violazione dei dati personali» si intende una violazione dei dati personali, come definita all’articolo 4, punto 12, del GDPR, che riguardi Dati personali del Cliente.

(d) Per «Clausole contrattuali tipo» si intendono le clausole allegate alla decisione di esecuzione (UE) 2021/914 della Commissione.

(e) Per «Sub-responsabile» si intende un responsabile del trattamento di cui Veliu si avvale per trattare Dati personali del Cliente.

1.2 Ruoli. Il Cliente è il titolare del trattamento dei Dati personali del Cliente e Veliu ne è il responsabile del trattamento.

1.3 Veliu come titolare del trattamento. Veliu è titolare del trattamento (a) della Telemetria anonimizzata che ricava ai sensi dell’articolo 11 e (b) dei dati personali degli Utenti che tratta per gestirne gli account, fatturare al Cliente, comunicare con gli Utenti e comprendere come vengono utilizzati i Servizi, come descritto nell’Informativa privacy (Privacy Policy) di Veliu.

1.4 Responsabilità del Cliente. Il Cliente garantisce che le proprie istruzioni sono conformi alla Normativa sulla protezione dei dati e che il trattamento ha una base giuridica; rende inoltre ai propri visitatori e clienti le informative e raccoglie i consensi previsti dalla legge, anche per il Veliu code presente sul proprio sito web.

2.1 Oggetto e finalità. Veliu tratta i Dati personali del Cliente per prestare i Servizi ai sensi del Contratto e di ciascun Ordine: per far funzionare il Brand Agent sul sito web del Cliente e sugli altri canali indicati nell’Ordine, per preparare e scrivere nei sistemi del Cliente le modifiche che il Cliente approva, per accedere in lettura ai software che il Cliente collega, per elaborare analisi e consigli e per le attività di assistenza e sicurezza.

2.2 Natura. Raccolta, registrazione, organizzazione, conservazione, estrazione, consultazione, analisi, utilizzo nelle conversazioni e nell’inferenza dei modelli, comunicazione ai Sub-responsabili e cancellazione.

2.3 Durata. La durata del Contratto e, successivamente, i periodi di cui all’articolo 10.

2.4 Categorie di dati personali.

(a) Dati di catalogo e di prodotto. Eventuali dati personali presenti nei dati di catalogo e di prodotto del Cliente.

(b) Dati dei visitatori e dei clienti. Il contenuto delle conversazioni tra il Brand Agent e i visitatori e i clienti del sito web del Cliente, identificativi online, dati sul dispositivo, sul browser e sull’utilizzo, indirizzo IP e posizione approssimativa, e dati degli ordini quali riferimenti d’ordine, prodotti e importi.

(c) Dati provenienti dai software collegati. Dati di analytics e della search console, nella misura in cui contengono dati personali, e l’indirizzo email di ciascun account collegato.

(d) Dati degli account del personale. Nomi, indirizzi email aziendali e ruoli degli Utenti del Cliente, come utilizzati nei Servizi per conto del Cliente.

2.5 Categorie di interessati. I visitatori del sito web e degli altri canali del Cliente, comprese le persone per conto delle quali un agente AI dialoga con il Brand Agent; i clienti del Cliente; il personale e gli Utenti del Cliente; e qualsiasi altra persona fisica i cui dati personali il Cliente includa nei Dati del Cliente.

3.1 Istruzioni documentate. Veliu tratta i Dati personali del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimento verso un paese terzo, salvo che lo richieda il diritto dell’Unione o dello Stato membro; in tal caso Veliu informa il Cliente di tale obbligo giuridico prima del trattamento, a meno che tale diritto vieti l’informazione per rilevanti motivi di interesse pubblico.

3.2 Contenuto. Le istruzioni documentate del Cliente sono costituite dal presente DPA, dal Contratto e da ciascun Ordine, dalle impostazioni che il Cliente sceglie nei Servizi, dalle approvazioni che dà nel back office e da qualsiasi ulteriore istruzione scritta coerente con essi. Il Cliente incarica Veliu di ricavare Telemetria ai sensi dell’articolo 11.

3.3 Istruzioni illecite. Veliu informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi la Normativa sulla protezione dei dati, e può sospendere l’esecuzione di tale istruzione finché le Parti non concordano come procedere.

4.1 Persone autorizzate. Ogni dipendente e collaboratore che Veliu autorizza a trattare Dati personali del Cliente è vincolato da un obbligo di riservatezza, contrattuale o legale, e accede a tali dati solo nella misura necessaria per prestare i Servizi o per adempiere a obblighi di legge.

5.1 Misure. Veliu adotta e mantiene le misure tecniche e organizzative di cui all’Allegato 2, che garantiscono un livello di sicurezza adeguato al rischio ai sensi dell’articolo 32 del GDPR.

5.2 Aggiornamenti. Veliu può aggiornare tali misure, a condizione che il livello complessivo di protezione sia mantenuto o migliorato.

6.1 Autorizzazione. Il Cliente concede a Veliu un’autorizzazione scritta generale a ricorrere ai Sub-responsabili elencati nell’Allegato 3 e a ulteriori Sub-responsabili ai sensi del presente articolo 6.

6.2 Condizioni e responsabilità. Veliu ricorre a ciascun Sub-responsabile in base a un contratto scritto i cui obblighi in materia di protezione dei dati tutelano i Dati personali del Cliente almeno quanto il presente DPA, e resta responsabile nei confronti del Cliente dell’adempimento di ciascun Sub-responsabile.

6.3 Comunicazione. Veliu comunica al Cliente con almeno trenta (30) giorni di preavviso l’aggiunta o la sostituzione di un Sub-responsabile, via email o nell’account del Cliente, indicandone il nome, la finalità e l’ubicazione.

6.4 Opposizione e recesso. Entro il periodo di preavviso, il Cliente può opporsi per ragionevoli motivi legati alla protezione dei dati via email all’indirizzo admin@veliu.com, e le Parti discutono l’opposizione in buona fede. Se Veliu non riesce a risolverla prima che la modifica abbia efficacia, il Cliente può recedere dall’Ordine interessato a decorrere dalla data della modifica mediante comunicazione all’indirizzo admin@veliu.com, pagando i corrispettivi solo fino a tale data; in caso di fatturazione annuale, Veliu rimborsa i corrispettivi pagati anticipatamente per il periodo successivo su richiesta del Cliente ai sensi dell’articolo 8.9 del Contratto. In assenza di opposizione entro il periodo di preavviso, la modifica si intende autorizzata.

7.1 Hosting nell’UE. Veliu conserva i Dati personali del Cliente nell’Unione europea e li tratta in tale territorio, come previsto all’articolo 4.7 del Contratto. L’inferenza dei modelli avviene nelle regioni UE ove il fornitore le offra e, in caso contrario, ai sensi dell’articolo 7.2.

7.2 Garanzie. Veliu trasferisce Dati personali del Cliente al di fuori dello Spazio economico europeo, o consente a un Sub-responsabile di farlo, solo se (a) la destinazione è coperta da una decisione di adeguatezza della Commissione europea, compreso il quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) per un destinatario certificato, o (b) le Clausole contrattuali tipo (Modulo 3, da responsabile a responsabile) vincolano Veliu e il destinatario, con le misure supplementari che il trasferimento richiede. Ove si applichi il diritto del Regno Unito o della Svizzera, le Clausole contrattuali tipo si applicano con l’UK Addendum o con gli adeguamenti previsti per la Svizzera. L’Allegato 3 indica le garanzie.

8.1 Richieste degli interessati. Tenendo conto della natura del trattamento, Veliu assiste il Cliente con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli interessati per l’esercizio dei loro diritti. Veliu inoltra al Cliente senza ingiustificato ritardo qualsiasi richiesta di questo tipo che riceva e risponde all’interessato solo su istruzione del Cliente o se la legge lo richiede.

8.2 Valutazioni d’impatto. Veliu mette a disposizione del Cliente le informazioni di cui dispone e di cui il Cliente ha ragionevolmente bisogno per le valutazioni d’impatto sulla protezione dei dati e per le consultazioni preventive ai sensi degli articoli 35 e 36 del GDPR.

8.3 Violazioni dei dati personali. Veliu notifica al Cliente una Violazione dei dati personali senza ingiustificato ritardo e comunque entro settantadue (72) ore dal momento in cui ne viene a conoscenza, via email all’Utente che amministra l’account del Cliente. La notifica descrive, per quanto noto in quel momento, la natura della violazione, gli interessati e le registrazioni di dati personali in questione, le sue probabili conseguenze, le misure adottate o proposte e un punto di contatto. Veliu integra la notifica man mano che emergono i fatti e adotta misure ragionevoli per contenere la violazione e limitarne gli effetti.

9.1 Certificazioni e report. Su richiesta, Veliu mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente DPA e dell’articolo 28 del GDPR, comprese le certificazioni e i report di audit dei propri Sub-responsabili, ove i fornitori ne consentano la divulgazione, e risposte scritte a ragionevoli questionari di sicurezza. Il Cliente si avvale in primo luogo di tali informazioni.

9.2 Ispezioni. Se tali informazioni non dimostrano il rispetto degli obblighi, il Cliente può svolgere un audit su Veliu, direttamente o tramite un revisore indipendente vincolato alla riservatezza, anche in loco, una volta ogni dodici (12) mesi, o più spesso se un’autorità di controllo lo richiede, con un preavviso di almeno trenta (30) giorni via email all’indirizzo admin@veliu.com. Gli audit si svolgono durante le Ore lavorative, arrecando il minor disturbo possibile alle attività di Veliu, e non danno accesso ai dati di altri clienti né alle strutture dei Sub-responsabili. Veliu pone rimedio a qualsiasi non conformità rilevata dall’audit.

10.1 Restituzione. Per trenta (30) giorni dalla cessazione di un Ordine, il Cliente può esportare i Dati del Cliente, compresi i Dati personali del Cliente, nei formati offerti dai Servizi ai sensi dell’articolo 4.8 del Contratto, oppure chiedere a Veliu via email di restituirli in un formato di uso comune e leggibile da dispositivo automatico.

10.2 Cancellazione. Entro sessanta (60) giorni dalla cessazione dell’Ordine, Veliu cancella i Dati personali del Cliente trattati in base a esso, anche presso i Sub-responsabili che li detengono, salvo quanto il diritto dell’Unione o dello Stato membro impone a Veliu di conservare, per il tempo richiesto da tale diritto. I Dati personali del Cliente contenuti nei backup sono cancellati con la rotazione dei backup, entro novanta (90) giorni dalla cessazione dell’Ordine. Fino alla cancellazione, il presente DPA continua a tutelarli.

10.3 Cancellazione anticipata. Il Cliente può chiedere la cancellazione anticipata via email all’indirizzo admin@veliu.com, e Veliu conferma per iscritto la cancellazione su richiesta.

11.1 Solo su istruzione del Cliente. Veliu utilizza i Dati del Cliente solo per prestare i Servizi al Cliente e per ricavare Telemetria, su istruzione del Cliente ai sensi dell’articolo 3. Veliu non utilizza i Dati del Cliente, compresi i Dati personali del Cliente, per addestrare, affinare, valutare o comunque migliorare alcun modello, agente o sistema di intelligenza artificiale messo a disposizione di soggetti diversi dal Cliente o gestito per loro conto.

11.2 Ciò che Veliu apprende dal Cliente resta al Cliente. I modelli, i prompt, le configurazioni, le conoscenze e la memoria che Veliu ricava dai Dati del Cliente servono esclusivamente al Brand Agent e ai Servizi del Cliente stesso, e Veliu non li trasferisce a nessun altro cliente né li utilizza per nessun altro cliente.

11.3 Fornitori di modelli. I fornitori di modelli elencati nell’Allegato 3 trattano i Dati personali del Cliente in base a condizioni contrattuali enterprise che vietano loro di utilizzarli per addestrare i propri modelli.

11.4 Telemetria. Veliu migliora i propri modelli, agenti e Servizi esclusivamente con la Telemetria (articolo 4.4 del Contratto). La Telemetria ricavata dai Dati personali del Cliente soddisfa tre condizioni: (a) nessuno può reidentificare a partire da essa una persona fisica, il Cliente o il suo brand con i mezzi di cui si può ragionevolmente prevedere l’utilizzo, da sola o combinata con altri dati; (b) è aggregata tra più brand; (c) non nomina alcun brand né alcuna persona e non rivela alcun dato non pubblicato del Cliente. Veliu non tenta di reidentificare la Telemetria e non autorizza nessun altro a farlo.

11.5 Informazioni pubbliche. L’articolo 4.6(e) del Contratto disciplina le informazioni che il Cliente pubblica sul proprio sito web o nei propri feed, che gli strumenti di valutazione di Veliu leggono dall’esterno, come fa qualsiasi agente AI d’acquisto.

11.6 Ultrattività. Il presente articolo 11 resta in vigore finché Veliu detiene Dati del Cliente.

12.1 Limiti. La responsabilità di ciascuna Parte ai sensi del presente DPA è soggetta all’articolo 12 del Contratto e concorre al raggiungimento dei limiti ivi stabiliti. Nessuna disposizione del presente DPA limita i diritti degli interessati ai sensi della Normativa sulla protezione dei dati.

13.1 Durata. Il presente DPA ha efficacia dal primo Ordine del Cliente e si applica finché Veliu tratta Dati personali del Cliente, anche durante i periodi di cui all’articolo 10.

13.2 Prevalenza. L’articolo 18.11 del Contratto stabilisce l’ordine di prevalenza, e il presente DPA prevale sul Contratto e su qualsiasi Ordine nelle materie relative al trattamento dei dati personali. Le Clausole contrattuali tipo, ove applicabili, prevalgono su ogni altra disposizione.

13.3 Lingua. Al presente DPA si applica l’articolo 18.13 del Contratto.

(a) Titolare del trattamento. Il Cliente, come identificato nell’Ordine.

(b) Responsabile del trattamento. Veliu Limited, admin@veliu.com.

(c) Interessati e dati personali. Articoli 2.5 e 2.4.

(d) Categorie particolari. I Servizi non ne richiedono; un visitatore può comunicarle spontaneamente in una conversazione, per esempio un’esigenza di salute alla base di una domanda su un prodotto.

(e) Natura, finalità, durata e conservazione. Articoli da 2.1 a 2.3 e articolo 10.

(f) Frequenza. Continuativa, per la durata del Contratto.

(g) Sub-responsabili. Allegato 3.

(h) Autorità di controllo capofila di Veliu. Data Protection Commission, Irlanda.

(a) Hosting nell’UE. I Dati del Cliente sono conservati e trattati su infrastrutture situate nell’Unione europea, gestite da fornitori cloud in possesso di report SOC 2 Type II e, ove il fornitore ne disponga, della certificazione ISO/IEC 27001: Amazon Web Services, Google Cloud, Vercel e Supabase, in regioni UE.

(b) Cifratura. In transito con TLS 1.2 o superiore; a riposo con AES-256.

(c) Backup e resilienza. Backup giornalieri e ridondanza su più zone di disponibilità; disponibilità monitorata da almeno due località nell’Unione europea.

(d) Controllo degli accessi. Accesso secondo il principio del privilegio minimo, con autenticazione a più fattori e registrazione degli accessi; credenziali dei software collegati dal Cliente conservate in forma cifrata.

(e) Vulnerabilità e incidenti. Gestione delle vulnerabilità e risposta agli incidenti, con comunicazione al Cliente ai sensi dell’articolo 8.3.

(f) Inferenza dei modelli. Nelle regioni UE ove il fornitore le offra, altrimenti sulla base delle Clausole contrattuali tipo (articoli 7 e 11).

I trasferimenti ai Sub-responsabili stabiliti al di fuori dello Spazio economico europeo, o che vi accedono dall’esterno, avvengono sulla base delle Clausole contrattuali tipo o di una decisione di adeguatezza, compreso il quadro UE-USA per la protezione dei dati personali per i Sub-responsabili certificati.