Note legali

Accordo sul trattamento dei dati

La presente traduzione è fornita per comodità. In caso di differenze rispetto alla versione inglese, prevale la versione inglese. Leggi la versione inglese

Ultimo aggiornamento: 21 ottobre 2026

Questo Accordo sul trattamento dei dati (“DPA”) fa parte delle Condizioni di servizio tra CIPHRA SOFTWARE INC. (“Ciphra”, “noi”), che gestisce ReceptionWorks, e l’attività che utilizza ReceptionWorks (“tu”). Si applica quando trattiamo dati personali per tuo conto e quando al trattamento si applicano il GDPR, il GDPR del Regno Unito, la legge federale svizzera sulla protezione dei dati o un’altra legge sulla protezione dei dati (“normativa sulla protezione dei dati”). Accetti il presente DPA quando accetti le Condizioni di servizio; non è necessaria alcuna firma. In caso di conflitto tra il presente DPA e le Condizioni di servizio sul trattamento dei dati personali, prevale il presente DPA.

1. Definizioni

• Dati personali del cliente: dati personali che tu, il tuo team o i tuoi clienti inviate a ReceptionWorks e che trattiamo per tuo conto, come conversazioni e schede dei clienti.
• Sub-responsabile: un terzo che incarichiamo di trattare dati personali del cliente.
• Violazione di dati personali: una violazione della sicurezza che causa la distruzione, la perdita, la modifica accidentali o illecite, o la divulgazione o l’accesso non autorizzati ai dati personali del cliente.
• Titolare del trattamento, responsabile del trattamento, interessato e trattamento hanno i significati previsti dalla normativa sulla protezione dei dati.

2. Ruoli e istruzioni

• Tu sei il titolare del trattamento dei dati personali del cliente, oppure un responsabile che agisce per conto di un altro titolare. Noi siamo il tuo responsabile del trattamento.
• Trattiamo i dati personali del cliente solo sulla base delle tue istruzioni documentate. Le tue istruzioni sono le Condizioni di servizio, il presente DPA, le impostazioni che scegli e le azioni che compi in ReceptionWorks, come configurare i dipendenti IA, collegare canali ed eliminare dati, nonché qualsiasi altra istruzione scritta su cui ci accordiamo. Se la legge ci obbliga a trattare i dati personali del cliente in altro modo, te lo comunicheremo prima, salvo che la legge lo vieti.
• Ti informeremo se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.
• Sei responsabile di avere una base giuridica lecita per il trattamento, di fornire ai tuoi clienti le informative richieste dalla legge, inclusa l’indicazione che stanno parlando con un’IA ove richiesto, e della liceità dei dati che fornisci.

3. Dettagli del trattamento

• Oggetto e durata: fornitura di ReceptionWorks mentre lo utilizzi, e il periodo di cancellazione di cui alla sezione 9.
• Natura e finalità: hosting e archiviazione dei dati; ricezione e consegna di messaggi sui canali che colleghi; produzione di risposte, riepiloghi e traduzioni IA; gestione di prenotazioni, richieste e schede dei clienti; notifica al tuo team; assistenza; e protezione del servizio.
• Interessati: i tuoi clienti e altre persone che ti contattano tramite ReceptionWorks, i membri del tuo team e le persone menzionate nei contenuti che aggiungi.
• Categorie di dati personali: nomi; dati di contatto come indirizzi email, numeri di telefono e nomi utente e ID di messaggistica; contenuti dei messaggi e allegati; dettagli di prenotazioni e richieste; note e riepiloghi scritti dall’IA sui clienti; dati tecnici come identificativi dei canali e orari dei messaggi; e qualsiasi altra informazione che tu o i tuoi clienti scegliete di condividere.
• Categorie particolari: ReceptionWorks non è progettato per raccogliere categorie particolari di dati personali, come dati sulla salute. Decidi tu se i tuoi clienti possono condividere tali dati con te tramite ReceptionWorks e sei responsabile di avere una base giuridica lecita per farlo.

4. Riservatezza

Le persone che autorizziamo a trattare i dati personali del cliente sono vincolate da obblighi di riservatezza e vi accedono solo nella misura necessaria a fornire il servizio.

5. Sicurezza

Manteniamo misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito tra utenti, canali, i nostri servizi e i nostri fornitori;
• cifratura dei token di accesso ai canali memorizzati;
• ambienti di produzione e sviluppo separati che non condividono database, archiviazione o credenziali;
• accesso ai nostri strumenti di amministrazione solo tramite Cloudflare Access, per il personale che ne ha bisogno;
• accesso ai dati di ciascuna attività limitato ai membri del suo team, in base ai rispettivi ruoli;
• backup regolari dei database in archiviazione privata separata dai server dei database, con checkpoint di backup protetti da modifiche o cancellazioni tramite Object Lock.

Possiamo aggiornare tali misure purché il livello complessivo di protezione non diminuisca.

6. Sub-responsabili

• Ci concedi un’autorizzazione generale a incaricare sub-responsabili. L’elenco aggiornato è disponibile nella pagina Sub-responsabili del trattamento.
• Richiediamo a ciascun sub-responsabile di proteggere i dati personali del cliente almeno quanto richiede il presente DPA per il servizio che fornisce, e restiamo responsabili nei tuoi confronti per il suo operato.
• Inviamo un’email al proprietario della tua attività almeno 30 giorni prima che un nuovo sub-responsabile inizi a trattare dati personali del cliente. Puoi opporti per motivi ragionevoli di protezione dei dati entro tale periodo scrivendoci. Discuteremo le tue preoccupazioni in buona fede. Se non riusciamo a risolverle, puoi interrompere l’utilizzo del servizio interessato e rimborseremo le quote pagate in anticipo per il periodo successivo all’interruzione.
• Se dobbiamo sostituire urgentemente un sub-responsabile per mantenere il servizio sicuro o funzionante, ti informeremo il prima possibile dopo la modifica, e potrai opporti nello stesso modo.

7. Assistenza per richieste e conformità

• ReceptionWorks ti consente di visualizzare, correggere ed eliminare i dati di un cliente nella sua scheda. Se ti servono ulteriore assistenza per rispondere a una richiesta di un interessato, ti aiuteremo tenendo conto della natura del trattamento.
• Se un interessato ci contatta direttamente per i dati personali del cliente, inoltreremo la richiesta a te o gli chiederemo di rivolgersi a te, e non risponderemo noi stessi, salvo che tu ce lo chieda o la legge lo richieda.
• Ti forniremo informazioni e assistenza ragionevoli per le valutazioni d’impatto sulla protezione dei dati e le consultazioni con le autorità di controllo che riguardano il servizio.

8. Violazioni di dati personali

Ti notificheremo senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione di dati personali che riguarda i dati personali del cliente. Ne descriveremo la natura, le probabili conseguenze e le misure adottate o proposte, nella misura in cui tali informazioni siano disponibili, e ti aggiorneremo man mano che ne sapremo di più. Adotteremo misure ragionevoli per contenere la violazione e limitarne le conseguenze.

9. Cancellazione e restituzione

• Quando un’attività viene eliminata da un account, i suoi dati personali del cliente vengono conservati per 90 giorni, così da poterli ripristinare su richiesta del proprietario, e poi cancellati definitivamente.
• Quando il tuo account viene chiuso, cancelliamo i dati personali del cliente entro 30 giorni, salvo i dati che la legge ci obbliga a conservare. Prima della chiusura dell’account, puoi chiederci una copia dei dati personali del cliente in un formato di uso comune scrivendo a contact@ciphra.ca.
• I dati eliminati possono restare nei backup fino alla loro scadenza secondo il calendario a rotazione. Conserviamo i backup protetti e li utilizziamo solo per ripristinare il servizio.

10. Audit

Metteremo a disposizione le informazioni ragionevolmente necessarie a dimostrare che rispettiamo i nostri obblighi ai sensi del presente DPA, come risposte a questionari di sicurezza. Se tali informazioni non sono sufficienti, o un’autorità di controllo lo richiede, tu o un revisore indipendente vincolato da riservatezza potete sottoporre a audit la nostra conformità, con preavviso di almeno 30 giorni, a tue spese, durante l’orario di lavoro e non più di una volta all’anno, salvo che una violazione di dati personali o un’autorità di controllo renda necessario un altro audit.

11. Trasferimenti internazionali

• Abbiamo sede in Canada e il nostro database è ospitato in Canada. La Commissione europea, il Regno Unito e la Svizzera riconoscono il Canada come paese che offre una protezione adeguata alle organizzazioni soggette alla sua legge federale sulla privacy nel settore privato, come noi, quindi i trasferimenti di dati personali del cliente da te a noi non richiedono ulteriori garanzie.
• Quando un sub-responsabile tratta dati personali del cliente in un paese privo di tale riconoscimento, ci basiamo su un meccanismo di trasferimento consentito dalla normativa sulla protezione dei dati, come la certificazione del sub-responsabile ai sensi dell’EU–U.S. Data Privacy Framework e delle sue estensioni per il Regno Unito e la Svizzera, oppure le clausole contrattuali tipo adottate dalla Commissione europea con le integrazioni per il Regno Unito e la Svizzera.
• Se il riconoscimento del Canada cessa di applicarsi, le clausole contrattuali tipo (modulo due, da titolare a responsabile) si applicano tra te, come esportatore dei dati, e noi, come importatore dei dati, completate con le informazioni contenute nel presente DPA, insieme alle integrazioni per il Regno Unito e la Svizzera per i trasferimenti da tali paesi.

12. Leggi statali statunitensi sulla privacy

Ove si applichino leggi statali statunitensi sulla privacy, come il California Consumer Privacy Act, agiamo in qualità di tuo fornitore di servizi o responsabile del trattamento. Non vendiamo né condividiamo dati personali del cliente e non li conserviamo, utilizziamo o divulghiamo per alcuna finalità diversa dalla fornitura di ReceptionWorks a te, né al di fuori del nostro rapporto commerciale diretto con te, salvo quanto consentito da tali leggi.

13. Durata e responsabilità

Il presente DPA si applica finché trattiamo dati personali del cliente per tuo conto. La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alla limitazione di responsabilità prevista dalle Condizioni di servizio, nella misura consentita dalla normativa sulla protezione dei dati.

14. Modifiche al presente DPA

Possiamo aggiornare il presente DPA con le stesse modalità delle Condizioni di servizio. Non ridurremo la protezione che offre ai dati personali del cliente, salvo che la legge lo richieda.

Contatti

CIPHRA SOFTWARE INC., Columbia Britannica, Canada. Email: contact@ciphra.ca.