Accordo sul Trattamento dei Dati (DPA)

1. Premesse e Definizioni

1.1. Ai fini del presente DPA, i termini "Trattamento", "Dato Personale", "Titolare del Trattamento", "Responsabile del Trattamento", "Interessato", "Violazione dei Dati Personali" (Data Breach) e "Misure Tecniche e Organizzative" hanno il medesimo significato loro attribuito dal Regolamento (UE) 2016/679 (c.d. "GDPR").

1.2. Il Cliente agisce in qualità di Titolare del Trattamento in relazione ai dati personali dei propri consumatori, clienti e recensori presenti sui profili Google Business Profile ad esso appartenenti.

1.3. Moscatelli Digital di Saverio Moscatelli, con sede legale in via Alle Selve 93, 22038 Tavernerio (CO), P.IVA 04323410136, gestore della piattaforma Reputix, agisce in qualità di Responsabile del Trattamento ai sensi dell'art. 28 del GDPR, trattando tali dati personali per conto e secondo le istruzioni documentate del Titolare.

1.4. In caso di contrasto o discrepanza tra le disposizioni del presente DPA e i Termini Generali di Servizio con riferimento alla protezione dei dati personali, prevarranno le disposizioni del presente DPA.

2. Oggetto, Durata e Finalità del Trattamento

2.1. Oggetto: Il Responsabile si impegna a trattare i dati personali per conto del Titolare nell'ambito della fornitura dei servizi software offerti tramite la Piattaforma Reputix.

2.2. Finalità del trattamento: Il trattamento è effettuato esclusivamente per consentire l'esecuzione delle seguenti funzionalità:

• Sincronizzazione e importazione periodica delle recensioni pubbliche pubblicate dagli utenti sui profili Google Business Profile delle Sedi collegate dal Cliente;
• Analisi semantica e linguistica del contenuto testuale delle recensioni (determinazione di sentiment, categorie di argomenti, lingua e livello di priorità);
• Generazione automatica di bozze di risposte personalizzate e contestualizzate mediante modelli di intelligenza artificiale integrati;
• Messa a disposizione della console e della coda di moderazione per consentire la revisione, modifica e approvazione delle risposte;
• Pubblicazione telematica delle risposte autorizzate (manualmente o in esecuzione delle regole automatiche configurate dal Cliente) su Google Business Profile;
• Generazione di report e indicatori statistici aggregati sull'andamento della reputazione delle Sedi aziendali.

2.3. Durata: Il trattamento ha durata coincidente con la durata del contratto principale regolato dai Termini di Servizio, salvo quanto previsto all'Articolo 13 per la conservazione e cancellazione a seguito della cessazione.

3. Tipologie di Dati Personali e Categorie di Interessati

3.1. Categorie di Interessati:

• Recensori: persone fisiche o consumatori finali che hanno pubblicato una recensione o valutazione pubblica sul profilo Google Business Profile di una Sede aziendale del Cliente;
• Personale autorizzato del Cliente: dipendenti, amministratori o collaboratori del Cliente autorizzati ad accedere e operare sul pannello di controllo Reputix.

3.2. Tipologie di Dati Personali trattati per conto del Cliente:

• Dati identificativi pubblici del recensore: nome visualizzato sul profilo Google, identificativo univoco pubblico assegnato da Google (Google Author ID), immagine del profilo (URL pubblico), lingua stimata;
• Dati della recensione: punteggio numerico (stelle attribuite da 1 a 5), testo del commento pubblico, data e ora del rilascio, eventuale risposta già presente;
• Dati contestuali e metadati di geolocalizzazione: identificativo e denominazione della Sede aziendale del Cliente, ID univoco della recensione Google, timestamp di sincronizzazione, stato di pubblicazione e log di invio;
• Dati operativi degli utenti del Cliente: credenziali di autenticazione aziendali (indirizzo email, password cifrata, ruolo autorizzativo), log degli accessi e delle approvazioni espresse.

3.3. Dati particolari (art. 9 GDPR): Il Servizio non richiede né sollecita il conferimento di categorie particolari di dati personali. Qualora un recensore inserisca spontaneamente dati particolari nel testo di una recensione pubblica (es. riferimenti a condizioni di salute, convinzioni religiose o scelte personali), tali dati saranno trattati dal Responsabile in via meramente incidentale e passiva, unicamente in quanto facenti parte del corpo del testo pubblico da elaborare per la redazione della replica.

4. Istruzioni e Obblighi del Titolare del Trattamento

4.1. Il Titolare garantisce la piena legittimità del trattamento dei dati personali dei recensori e dei propri incaricati, avendo adempiuto a tutti gli obblighi previsti dal GDPR (tra cui il rilascio dell'informativa ai sensi degli artt. 13 e 14 GDPR e l'individuazione della base giuridica idonea).

4.2. Il Titolare impartisce al Responsabile le istruzioni necessarie all'esecuzione dei Servizi. Le impostazioni, le configurazioni di tono, le regole di pubblicazione automatica e le approvazioni manuali operate dal Titolare tramite l'interfaccia grafica o le API di Reputix costituiscono istruzioni documentate ai sensi dell'art. 28, par. 3, lett. a) del GDPR.

4.3. Il Titolare si impegna a non impartire istruzioni che violino la normativa comunitaria o nazionale applicabile sulla protezione dei dati personali.

5. Obblighi del Responsabile del Trattamento

5.1. Il Responsabile si obbliga a:

1. Trattare i dati personali esclusivamente su istruzione documentata del Titolare, salvo che lo richieda il diritto dell'Unione Europea o degli Stati membri cui è soggetto; in tal caso, il Responsabile informa il Titolare di tale obbligo giuridico prima del trattamento, a meno che la legge vieti tale informazione per motivi di interesse pubblico;
2. Garantire che le persone autorizzate al trattamento dei dati personali (collaboratori, dipendenti o tecnici di sistema) si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e siano adeguatamente formate in materia di protezione dei dati;
3. Adottare tutte le misure tecniche e organizzative di sicurezza richieste dall'art. 32 del GDPR, come descritte all'Articolo 9 e all'Allegato A;
4. Rispettare le condizioni stabilite ai paragrafi 2 e 4 dell'art. 28 GDPR per ricorrere a un altro responsabile del trattamento (sub-responsabile);
5. Informare immediatamente il Titolare qualora ritenga che un'istruzione ricevuta violi il GDPR o altre disposizioni di legge applicabili.

6. Flusso delle Recensioni e Utilizzo dei Sistemi di Intelligenza Artificiale

6.1. Fasi del Flusso Operativo dei Dati

1. Acquisizione e Sincronizzazione: La Piattaforma Reputix si collega ai profili Google Business Profile del Cliente tramite credenziali OAuth2 autorizzate dal Cliente. Il servizio scarica periodicamente le recensioni pubblicate pubblicamente, memorizzandole nel database PostgreSQL dedicato al tenant del Cliente ospitato sui server cloud di Reputix (OVH, Unione Europea).
2. Isolamento e Preparazione del Prompt (Pre-processing): Quando una recensione necessita di bozza di risposta, il sistema predispone un payload contenente:
   • Il testo della recensione e la valutazione (numero di stelle);
   • Il nome e la categoria merceologica della Sede del Cliente;
   • Le istruzioni stilistiche e di tono configurate dal Cliente (es. formale, cordiale, lingua da utilizzare).
   Non vengono trasmessi al fornitore AI: indirizzi email, dati bancari, token di autenticazione o credenziali segrete dell'account del Cliente, né dati identificativi dell'autore oltre a quanto strettamente contenuto nel testo pubblico della recensione.
3. Elaborazione da parte del Fornitore AI (Inferenza): Il payload viene trasmesso tramite canale crittografato (TLS 1.3) alle API del fornitore di modelli linguistici autorizzato (Google Cloud / Google Gemini tramite gateway API sicuro di OpenRouter). L'elaborazione avviene in modalità stateless (elaborazione in memoria).
4. Divieto di Addestramento dei Modelli (No Training Policy): I contratti stipulati con i fornitori API dei modelli AI prevedono espressamente che i dati inviati tramite chiamate API aziendali non vengono utilizzati per l'addestramento, il perfezionamento (fine-tuning) o il miglioramento dei modelli linguistici pubblici o commerciali dei fornitori terzi.
5. Tempi di Conservazione presso i Fornitori AI: I fornitori dei modelli AI non conservano a lungo termine i prompt o i dati inviati tramite le API commerciali. I dati vengono eliminati dai sistemi del fornitore AI non appena generata la risposta, fatto salvo il tracciamento temporaneo di log tecnici per finalità antifrode/abuso conservati per un periodo non superiore a trenta (30) giorni e non accessibili a terzi.
6. Archiviazione della Bozza e Moderazione: La bozza generata viene salvata nel database protetto di Reputix e mostrata nella coda di moderazione. Per le recensioni negative o delicate (1-3 stelle), la bozza rimane in attesa di approvazione umana. Per le recensioni positive (4-5 stelle), qualora il Cliente abbia deliberatamente attivato la pubblicazione automatica, la bozza viene inviata direttamente a Google Business Profile.

7. Sub-responsabili del Trattamento (Sub-processors)

7.1. Autorizzazione generale: Il Titolare autorizza in via generale il Responsabile a ricorrere ad altri responsabili del trattamento ("Sub-responsabili") per lo svolgimento di specifiche attività di trattamento necessarie all'erogazione del Servizio.

7.2. Elenco attuale: I Sub-responsabili approvati alla data del presente DPA sono specificamente identificati nell'Allegato B.

7.3. Modifiche e diritto di opposizione: Il Responsabile informerà il Titolare con almeno quindici (15) giorni di anticipo in caso di aggiunta o sostituzione di un Sub-responsabile, mediante avviso sulla Piattaforma o notifica email. Il Titolare ha il diritto di opporsi a tali modifiche per motivi legittimi legati alla protezione dei dati entro il medesimo termine. Qualora non sia possibile concordare una soluzione alternativa ragionevole, il Titolare avrà la facoltà di recedere dal contratto di servizio.

7.4. Obblighi contrattuali a cascata: Qualora il Responsabile ricorra a un Sub-responsabile, impone a quest'ultimo, mediante contratto scritto, gli stessi obblighi in materia di protezione dei dati previsti dal presente DPA, in conformità all'art. 28, par. 4 del GDPR.

8. Trasferimenti Internazionali di Dati Personali (Extra-UE)

8.1. Allocazione primaria in UE: I dati personali trattati dal Responsabile, inclusi i server applicativi e i database primari, risiedono fisicamente all'interno dell'Unione Europea (datacenter certificati OVH SAS in Francia e Germania).

8.2. Garanzie per trasferimenti verso Paesi Terzi: Qualora l'esecuzione dei Servizi comporti il trasferimento di dati personali verso Paesi situati al di fuori dello Spazio Economico Europeo (SEE) — segnatamente verso gli Stati Uniti d'America per l'interazione con le API di Google LLC o con il gateway API di OpenRouter Inc. — il Responsabile garantisce che tali trasferimenti avvengono esclusivamente nel rispetto del Capo V del GDPR, in virtù di:

• Decisioni di Adeguatezza adottate dalla Commissione Europea, ivi compreso il Data Privacy Framework UE-USA (DPF) ai sensi dell'art. 45 GDPR per i fornitori certificati;
• In subordine, la sottoscrizione delle Clausole Contrattuali Standard (Standard Contractual Clauses - SCC) adottate dalla Commissione Europea (Decisione di esecuzione UE 2021/914), integrate da misure tecniche e organizzative supplementari (cifratura robusta in transito TLS 1.3).

9. Misure Tecniche e Organizzative di Sicurezza (TOMs)

9.1. Tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche, il Responsabile implementa e mantiene adeguate misure tecniche e organizzative di sicurezza ai sensi dell'art. 32 del GDPR per garantire un livello di sicurezza adeguato al rischio.

9.2. L'elenco analitico delle misure di sicurezza implementate è riportato all'Allegato A del presente DPA.

9.3. Il Responsabile riesamina e aggiorna periodicamente le misure di sicurezza per adeguarle all'evoluzione tecnologica e ai nuovi vettori di rischio.

10. Assistenza per i Diritti degli Interessati (DSR)

10.1. Il Titolare è il responsabile primario della gestione delle richieste di esercizio dei diritti degli Interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione ex artt. 15-22 GDPR).

10.2. Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, per consentire al Titolare di soddisfare l'obbligo di rispondere alle richieste degli Interessati.

10.3. Qualora una richiesta di esercizio dei diritti sia indirizzata direttamente al Responsabile da un recensore del Cliente, il Responsabile informerà tempestivamente il Titolare e non risponderà direttamente all'Interessato senza espressa istruzione scritta del Titolare, salvo per comunicare il corretto canale di contatto del Titolare.

11. Notifica e Gestione delle Violazioni di Dati (Data Breach)

11.1. Qualora il Responsabile venga a conoscenza di una violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati personali trattati per conto del Titolare (Data Breach), il Responsabile:

• Notifica l'evento al Titolare senza indebito ritardo e comunque entro e non oltre quarantotto (48) ore dalla conferma dell'avvenuta violazione;
• Fornisce al Titolare tutte le informazioni ragionevolmente disponibili, tra cui: natura dell'incidente, categorie e numero approssimativo di interessati e record coinvolti, probabili conseguenze della violazione e misure tecniche correttive adottate o proposte per mitigare gli effetti negativi;
• Prende immediatamente tutte le misure necessarie e ragionevoli per contenere e porre rimedio alla violazione;
• Presta la propria assistenza al Titolare affinché quest'ultimo possa adempiere ai propri obblighi di notifica all'Autorità Garante (art. 33 GDPR) e di comunicazione agli interessati (art. 34 GDPR).

12. Valutazioni d'Impatto e Consultazioni Preventive (DPIA)

12.1. Il Responsabile fornisce al Titolare, su richiesta e a spese di quest'ultimo qualora l'attività richieda impegno straordinario, una ragionevole assistenza nell'esecuzione di valutazioni d'impatto sulla protezione dei dati (DPIA ai sensi dell'art. 35 GDPR) e nell'eventuale consultazione preventiva dell'Autorità Garante (art. 36 GDPR), limitatamente alle informazioni in possesso esclusivo del Responsabile e non altrimenti accessibili al Titolare.

13. Restituzione, Esportazione e Cancellazione dei Dati alla Cessazione

13.1. Alla cessazione del rapporto contrattuale per qualsiasi causa:

• Esportazione dei dati: Il Titolare ha il diritto di richiedere entro trenta (30) giorni dalla data di cessazione l'esportazione di tutti i propri dati operativi (storico recensioni elaborate, bozze e risposte pubblicate). Il Responsabile fornirà tali dati in formato strutturato, comune e leggibile da dispositivo automatico (.CSV o .JSON) entro quindici (15) giorni lavorativi dalla richiesta a supporto@reputix.it;
• Cancellazione operativa: Decorso il predetto termine di trenta (30) giorni (ovvero immediatamente a seguito della consegna del file di esportazione o su richiesta espressa del Titolare), il Responsabile provvederà entro ulteriori trenta (30) giorni alla cancellazione definitiva o all'anonimizzazione irreversibile di tutti i dati personali dai sistemi e database di produzione;
• Cancellazione dai backup: I dati presenti nelle copie di backup di sicurezza e disaster recovery vengono sovrascritti e distrutti secondo il fisiologico ciclo di rotazione dei backup, ed entro un tempo massimo di novanta (90) giorni dalla cancellazione operativa;
• Deroghe di legge: È fatta salva la conservazione dei soli dati e documenti la cui conservazione sia imposta da inderogabili obblighi di legge dell'Unione Europea o degli Stati Membri a cui il Responsabile è soggetto (ad esempio dati contabili e fiscali conservati per 10 anni ex art. 2220 c.c.).

14. Verifiche e Audit

14.1. Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e contribuisce alle attività di revisione e audit effettuate dal Titolare o da un revisore indipendente da questi incaricato.

14.2. Qualsiasi verifica o audit in loco deve essere concordata con un preavviso scritto di almeno trenta (30) giorni lavorativi, deve svolgersi durante il normale orario di lavoro e non deve interferire ingiustificatamente con le normali attività operative del Responsabile, né compromettere la riservatezza, la sicurezza o i dati di altri clienti ospitati nell'infrastruttura multi-tenant.

14.3. I costi di eventuali audit condotti dal Titolare o dai suoi revisori terzi restano interamente a carico del Titolare.

15. Disposizioni Finali

15.1. Il presente DPA entra in vigore contestualmente all'accettazione dei Termini di Servizio da parte del Cliente e rimane valido per tutta la durata del trattamento.

15.2. Il presente DPA è regolato dalla legge italiana. Per qualsiasi controversia derivante dall'interpretazione o esecuzione del presente DPA è competente in via esclusiva il Foro di Como (CO) per i rapporti B2B, salvo diverse disposizioni inderogabili di legge.

Allegato A: Misure Tecniche e Organizzative di Sicurezza (TOMs ex art. 32 GDPR)

Il Responsabile implementa e mantiene attive le seguenti misure tecniche e organizzative per garantire la sicurezza del trattamento:

Allegato B: Elenco Ufficiale dei Sub-responsabili Autorizzati

Il Titolare prende atto e autorizza l'impiego dei seguenti Sub-responsabili del trattamento per l'erogazione delle rispettive componenti del Servizio:

Per qualsiasi informazione o chiarimento relativo al presente Accordo o al trattamento dei dati personali, è possibile contattare il Responsabile all'indirizzo email: privacy@reputix.it o info@reputix.it.