Accordo sul trattamento dei dati

Parti

Accordo ai sensi dell’art. 28 GDPR tra il cliente di QCRM in qualità di titolare («Cliente») e Medcycle UG (haftungsbeschränkt), Kolonnenstraße 8, 10827 Berlino, Germania, in qualità di responsabile del trattamento («Fornitore»). Questa è una traduzione; fa fede la versione tedesca.

§ 1 Conclusione e applicazione

Il presente accordo è parte integrante delle condizioni di utilizzo di QCRM ed è concluso insieme a esse; non è necessaria una firma separata. Si applica finché il Fornitore tratta dati personali per conto del Cliente e prevale sulle condizioni di utilizzo nelle questioni di protezione dei dati. Su richiesta il Fornitore mette a disposizione una versione da lui firmata.

§ 2 Oggetto, natura, finalità e durata

Oggetto è la fornitura di QCRM, inclusa la telefonia IA integrata Omnesto: hosting, archiviazione, backup, manutenzione e assistenza, nonché le funzioni utilizzate dal Cliente (ad es. collegamento e-mail, outreach, funzioni IA, assistente telefonico). Il Fornitore tratta i dati esclusivamente per fornire tali servizi. La durata corrisponde a quella del contratto principale più il tempo fino alla cancellazione ai sensi del § 11.

§ 3 Tipi di dati e interessati

Tipi di dati: dati anagrafici e di contatto; dati di comunicazione (e-mail, note, riassunti delle chiamate e, se il Cliente attiva la registrazione, registrazioni e trascrizioni delle chiamate); dati contrattuali, di offerta e di immobili; appuntamenti, attività e documenti; dati di utilizzo e di log; ogni altro contenuto inserito dal Cliente.

Interessati: dipendenti e utenti del Cliente nonché suoi clienti, potenziali clienti, referenti, partner commerciali e chiamanti.

Il Cliente tratta categorie particolari di dati personali (art. 9 GDPR) solo se dispone di una base giuridica.

§ 4 Istruzioni

Il Fornitore tratta i dati solo su istruzione documentata del Cliente, anche per i trasferimenti verso paesi terzi, salvo che lo richieda il diritto dell’Unione o di uno Stato membro; in tal caso informa preventivamente il Cliente di tale obbligo, salvo che la legge lo vieti. Costituiscono istruzioni il presente accordo, le condizioni di utilizzo, le impostazioni e le azioni del Cliente nell’applicazione e le istruzioni singole in forma testuale. Se il Fornitore ritiene un’istruzione illecita, ne informa senza indugio il Cliente e può sospenderne l’esecuzione fino a conferma.

§ 5 Riservatezza

Il Fornitore impiega solo persone vincolate alla riservatezza o soggette a un obbligo legale di segretezza. Accedono ai dati del Cliente solo le persone che ne hanno bisogno per esercizio, manutenzione o assistenza, e solo nella misura necessaria.

§ 6 Misure tecniche e organizzative

Il Fornitore adotta le misure ai sensi dell’art. 32 GDPR descritte nell’allegato. Può svilupparle ulteriormente purché il livello di protezione non diminuisca.

§ 7 Sub-responsabili

Il Cliente autorizza i seguenti sub-responsabili:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania – data center, hosting e backup – Germania (QCRM e backup) e Finlandia (Omnesto)
• IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Germania – invio di e-mail di sistema – Germania
• Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda, con il coinvolgimento di Google LLC, USA – API Gemini per le funzioni IA, solo quando un utente le avvia – UE e USA
• Telnyx LLC, Chicago, USA – telefonia e numeri per Omnesto – USA
• Eleven Labs Inc., New York, USA – riconoscimento e sintesi vocale e conversazione IA per Omnesto – USA
• OpenAI Ireland Ltd., Dublino, Irlanda, con il coinvolgimento di OpenAI, L.L.C., USA – analisi IA delle trascrizioni delle chiamate per Omnesto – USA

Telnyx, ElevenLabs e OpenAI sono impiegati solo se il Cliente utilizza le funzioni di telefonia di Omnesto. I fornitori di posta collegati dal Cliente stesso non sono sub-responsabili del Fornitore.

Il Fornitore informa il Cliente in forma testuale almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Entro tale termine il Cliente può opporsi per un motivo rilevante di protezione dei dati; se le parti non trovano un accordo, il Cliente può recedere dal contratto con effetto dalla modifica. Il Fornitore vincola contrattualmente ogni sub-responsabile agli obblighi del presente accordo e ne risponde ai sensi dell’art. 28, par. 4 GDPR.

§ 8 Paesi terzi

Il trattamento al di fuori dell’UE e del SEE avviene solo se sono soddisfatte le condizioni degli artt. 44 e segg. GDPR, in particolare sulla base dell’EU-US Data Privacy Framework o delle clausole contrattuali tipo della Commissione europea.

§ 9 Assistenza al Cliente

Il Fornitore assiste il Cliente con misure adeguate nell’adempimento dei diritti degli interessati (capo III GDPR) e degli obblighi di cui agli artt. da 32 a 36 GDPR. Il Cliente può effettuare in gran parte da sé accesso, rettifica, esportazione e cancellazione nell’applicazione. Se un interessato si rivolge al Fornitore, questi lo indirizza al Cliente e informa il Cliente senza indugio.

§ 10 Violazioni dei dati personali

Il Fornitore notifica al Cliente una violazione dei dati personali senza ingiustificato ritardo, possibilmente entro 48 ore dalla conoscenza, con le informazioni di cui all’art. 33, par. 3 GDPR per quanto disponibili, e adotta senza indugio misure di contenimento.

§ 11 Cancellazione e restituzione

Durante il contratto il Cliente può esportare e cancellare i dati nell’applicazione. Alla cessazione del contratto le funzioni CRM vengono bloccate; i dati restano inizialmente memorizzati. Dopo 30 giorni il Fornitore li verifica e li cancella previo avviso in forma testuale con un congruo preavviso. Su richiesta del Cliente li consegna prima in un formato comune o li cancella prima. I backup del database vengono cancellati o sovrascritti al più tardi 30 giorni dopo la loro creazione. Restano salvi gli obblighi legali di conservazione.

§ 12 Prove e verifiche

Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell’art. 28 GDPR e consente verifiche. Queste avvengono in primo luogo tramite informazioni e prove idonee, come i certificati dei data center. Le ispezioni in loco vanno annunciate con almeno 30 giorni di anticipo e svolte in orario lavorativo, senza disturbare l’esercizio e tutelando la riservatezza dei dati di altri clienti; il Cliente sostiene i propri costi.

§ 13 Responsabilità e disposizioni finali

Per la responsabilità si applica l’art. 82 GDPR e, per il resto, le regole sulla responsabilità delle condizioni di utilizzo. Si applica il diritto tedesco; foro competente è Berlino. Per i clienti in Svizzera il presente accordo vale anche come contratto ai sensi dell’art. 9 LPD. Fa fede la versione tedesca.

Allegato: misure tecniche e organizzative

• Controllo dell’accesso fisico: esercizio esclusivamente in data center di Hetzner Online GmbH in Germania e Finlandia con controllo degli accessi, videosorveglianza e personale di sicurezza; i data center sono certificati ISO/IEC 27001. Il Fornitore non dispone di sale server proprie.
• Controllo dell’accesso ai sistemi: accesso amministrativo ai server solo con chiavi SSH e solo per persone designate; firewall; database e cache non raggiungibili da Internet. Gli utenti accedono con password personale salvata solo come hash; i nuovi utenti ricevono una password monouso da sostituire al primo accesso, che scade dopo sette giorni.
• Controllo dell’accesso ai dati: separazione rigorosa dei workspace dei diversi clienti; ruoli e permessi all’interno di un workspace (tra cui amministratore, collaboratore, sola lettura); credenziali verso sistemi terzi salvate in forma cifrata.
• Controllo della trasmissione: trasmissione solo cifrata (TLS); collegamenti tra QCRM e Omnesto con richieste firmate e chiavi salvate in forma cifrata.
• Controllo dell’inserimento: registrazione degli accessi e degli eventi rilevanti per la sicurezza; cronologia delle attività sui record principali.
• Controllo della disponibilità: backup giornalieri del database su un server di backup separato in Germania; backup aggiuntivo prima di ogni aggiornamento con verifica della leggibilità; container con riavvio automatico.
• Controllo della separazione: separazione dei clienti nell’applicazione; ambienti di sviluppo e di produzione separati.
• Verifica: aggiornamenti regolari di sistema operativo e software; test automatici prima di ogni rilascio; verifica delle misure in caso di modifiche rilevanti.