Data Processing Agreement (DPA)

#Parti

#1. Definizioni e interpretazione

1.1 I termini con iniziale maiuscola non definiti nel presente DPA hanno il significato loro attribuito nei Termini relativi ad Aurora Suite AI o, in mancanza, nel GDPR.

1.2 Ai fini del presente DPA:

• Dati Personali del Cliente: i dati personali trattati da Umanize in qualità di responsabile del trattamento per conto del Cliente nell'ambito del Servizio.
• Sub-responsabile: qualsiasi terzo nominato da Umanize per trattare Dati Personali del Cliente per conto del Cliente in connessione al Servizio.
• Violazione dei Dati Personali: una violazione di sicurezza che comporti accidentalmente o in modo illecito distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai Dati Personali del Cliente trasmessi, conservati o comunque trattati.
• Legislazione Applicabile in materia di protezione dei dati: il GDPR, le normative nazionali di attuazione applicabili, nonché ogni altra normativa privacy applicabile al trattamento oggetto del presente DPA.
• Clausole Contrattuali Standard o SCC: le clausole contrattuali standard adottate dalla Commissione europea o altro meccanismo di trasferimento riconosciuto ai sensi degli artt. 44 e ss. GDPR, come di volta in volta applicabile.

1.3 Salvo diverso contesto, i riferimenti al Cliente in qualità di Titolare si intendono comprensivi anche del caso in cui il Cliente agisca quale responsabile del trattamento per conto di un proprio titolare terzo; in tale caso Umanize opererà quale sub-responsabile.

#2. Ambito e ruolo delle parti

2.1 Il presente DPA si applica nella misura in cui Umanize tratta Dati Personali del Cliente in qualità di responsabile del trattamento per conto del Cliente nell'ambito dell'erogazione di Aurora Suite AI.

2.2 Il Cliente agisce come titolare del trattamento oppure, ove applicabile, come responsabile del trattamento per conto di un titolare terzo.

2.3 Umanize agisce come responsabile del trattamento o, se il Cliente agisce per conto di un titolare terzo, come sub-responsabile del trattamento.

2.4 Il Cliente è responsabile del rispetto degli obblighi applicabili ai titolari del trattamento, inclusi, ove necessario, gli obblighi di informativa, la definizione della base giuridica, la raccolta di eventuali consensi, la liceità delle istruzioni impartite e l'adempimento dei diritti degli interessati.

2.5 Se il Cliente agisce per conto di un titolare terzo, il Cliente garantisce di avere tutte le autorizzazioni necessarie a vincolare tale titolare in relazione al presente DPA e resterà l'unico punto di contatto di Umanize.

#3. Oggetto, natura e finalità del trattamento

3.1 Umanize tratta i Dati Personali del Cliente esclusivamente per fornire il Servizio, garantire sicurezza, supporto tecnico, prevenzione abusi e adempiere agli obblighi contrattuali e di legge, secondo le istruzioni documentate del Cliente.

3.2 Le categorie di dati, le categorie di interessati, la natura del trattamento, le finalità e la durata sono descritte nell'Allegato I, che costituisce parte integrante del presente DPA.

3.3 Umanize non tratta i Dati Personali del Cliente per finalità proprie incompatibili con quelle del presente DPA e, salvo diverso accordo scritto, non utilizza i Dati Personali del Cliente per addestrare modelli generali di intelligenza artificiale.

#4. Istruzioni documentate del Cliente

4.1 Umanize tratta i Dati Personali del Cliente solo su istruzione documentata del Cliente, come risultante dai Termini, dalla configurazione del Servizio effettuata dal Cliente, dal presente DPA e da eventuali ulteriori istruzioni scritte concordate tra le parti.

4.2 Il Cliente garantisce che tutte le istruzioni impartite a Umanize sono lecite e conformi alla Legislazione Applicabile in materia di protezione dei dati.

4.3 Qualora Umanize ritenga che un'istruzione del Cliente violi la normativa applicabile, ne informerà il Cliente senza ingiustificato ritardo.

4.4 Qualora Umanize sia soggetta a un obbligo legale che imponga un trattamento dei Dati Personali del Cliente difforme dalle istruzioni del Cliente, Umanize ne informerà il Cliente nei limiti consentiti dalla legge.

#5. Personale autorizzato e riservatezza

5.1 Umanize garantisce che le persone autorizzate al trattamento dei Dati Personali del Cliente siano vincolate da obblighi di riservatezza o soggette a un adeguato obbligo legale di confidenzialità.

5.2 L'accesso ai Dati Personali del Cliente è limitato al personale che abbia effettiva necessità di conoscerli per l'esecuzione del Contratto.

#6. Misure tecniche e organizzative

6.1 Tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche, Umanize adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR.

6.2 Le principali misure tecniche e organizzative adottate da Umanize sono descritte nell'Allegato II del presente DPA.

6.3 Umanize può aggiornare o modificare tali misure nel tempo, purché il livello complessivo di protezione non venga materialmente diminuito.

#7. Sub-responsabili del trattamento

7.1 Il Cliente autorizza Umanize, ai sensi dell'art. 28, par. 2 GDPR, a nominare Sub-responsabili per l'esecuzione del Servizio.

7.2 Umanize impone ai Sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente DPA, nella misura applicabile al servizio affidato.

7.3 L'elenco dei Sub-responsabili, con servizio svolto, dati trattati, luogo del trattamento e garanzie per i trasferimenti, è riportato nell'Allegato III ed è disponibile anche su richiesta all'indirizzo [email protected]. Le nuove nomine e le sostituzioni sono comunicate secondo gli artt. 7.4 e 7.5.

7.4 Umanize informerà il Cliente di nuove nomine o sostituzioni di Sub-responsabili con preavviso ragionevole, di norma non inferiore a 15 giorni, salvo urgenze legate a sicurezza, continuità operativa o obblighi di legge.

7.5 Il Cliente potrà opporsi per motivi ragionevoli e documentati relativi alla protezione dei dati entro il termine indicato nel preavviso. Le parti collaboreranno in buona fede per trovare una soluzione ragionevole; in mancanza, il Cliente potrà cessare l'utilizzo del servizio specificamente impattato, se del caso.

#8. Assistenza al Cliente e diritti degli interessati

8.1 Tenuto conto della natura del trattamento e delle informazioni ragionevolmente disponibili a Umanize, Umanize fornisce al Cliente assistenza ragionevole per permettergli di adempiere agli obblighi relativi alle richieste di esercizio dei diritti degli interessati. Il Servizio mette a disposizione del Cliente strumenti per gestire tali richieste, tra cui la scheda e la cronologia del contatto, il registro delle basi giuridiche e delle preferenze di contatto, la cancellazione della memoria del contatto, la cancellazione del contatto, l'impostazione dei periodi di conservazione, le esportazioni e le API.

8.2 Se Umanize riceve direttamente una richiesta di un interessato relativa ai Dati Personali del Cliente, Umanize ne informerà il Cliente senza ingiustificato ritardo e non darà seguito alla richiesta salvo obbligo di legge o istruzione documentata del Cliente, restando salva la facoltà di reindirizzare l'interessato al Cliente.

8.3 Umanize presta inoltre assistenza ragionevole al Cliente in relazione a valutazioni d'impatto, consultazioni preventive con le autorità competenti e altri adempimenti privacy che dipendano dal trattamento svolto da Umanize per conto del Cliente.

#9. Violazioni dei Dati Personali

9.1 Umanize notifica al Cliente, all'indirizzo email dell'amministratore dell'account, ogni Violazione dei Dati Personali che riguardi i Dati Personali del Cliente senza ingiustificato ritardo dopo esserne venuta a conoscenza e comunque entro 48 ore dalla conferma della violazione.

9.2 La notifica includerà, nella misura ragionevolmente disponibile al momento, informazioni sulla natura della violazione, categorie di dati coinvolti, categorie di interessati coinvolti, possibili conseguenze note e misure adottate o proposte per contenere e mitigare l'incidente.

9.3 Qualora non sia possibile fornire tutte le informazioni contestualmente, Umanize potrà comunicarle progressivamente man mano che diventino disponibili.

9.4 Umanize fornirà al Cliente ragionevole cooperazione per consentirgli di adempiere agli eventuali obblighi di notifica verso autorità o interessati, nei limiti richiesti dalla normativa applicabile.

#10. Trasferimenti internazionali di dati

10.1 Qualora il trattamento dei Dati Personali del Cliente comporti trasferimenti verso paesi terzi non coperti da decisione di adeguatezza, Umanize assicura che tali trasferimenti avvengano nel rispetto degli artt. 44 e ss. GDPR mediante SCC o altro meccanismo valido ai sensi della normativa applicabile.

10.2 Quando un Sub-responsabile tratta Dati Personali del Cliente in un paese terzo privo di decisione di adeguatezza, Umanize stipula con tale Sub-responsabile le SCC (modulo 3, da responsabile a responsabile) o si avvale di altro meccanismo valido, come l'adesione del Sub-responsabile all'EU-U.S. Data Privacy Framework. Se il Cliente è stabilito fuori dallo SEE, le parti applicano, ove richiesto, il modulo 4 (da responsabile a titolare) delle SCC, che si intendono incorporate per riferimento nel presente DPA.

10.3 Le informazioni relative alle categorie di dati, alle finalità del trattamento e alle misure di sicurezza descritte negli Allegati I e II si intendono richiamate anche ai fini delle SCC, se applicabili.

#11. Data residency e accessi da altre giurisdizioni

11.1 I Dati Personali del Cliente sono conservati principalmente nell'Unione europea: database e file su DigitalOcean a Francoforte (Germania); voce e conversazioni degli agenti presso ElevenLabs con residenza dei dati nell'Unione europea. Tale localizzazione si riferisce alla collocazione infrastrutturale principale dei dati e non esclude che taluni Sub-responsabili trattino dati, o che vi siano accessi, da altre giurisdizioni nei limiti consentiti dalla normativa applicabile e con le garanzie dell'art. 10.

11.2 In particolare, accessi o trattamenti da giurisdizioni diverse possono avvenire per supporto tecnico, sicurezza, gestione incidenti, interventi dei Sub-responsabili o altre esigenze operative lecite, sempre con adeguate garanzie di trasferimento ove richieste.

#12. Cancellazione, restituzione e conservazione dei dati

12.1 Il presente DPA resta in vigore per tutta la durata del trattamento effettuato da Umanize per conto del Cliente.

12.2 Fino alla data di cessazione il Cliente può esportare i Dati Personali del Cliente con le esportazioni disponibili nel pannello e con le API.

12.3 Entro 30 giorni dalla cessazione del Contratto, o dalla richiesta scritta del Cliente a [email protected] se anteriore, Umanize cancella definitivamente i Dati Personali del Cliente dai propri sistemi e chiede ai Sub-responsabili di cancellarli. Su richiesta, Umanize conferma per iscritto l'avvenuta cancellazione.

12.4 Le copie presenti nei backup del database sono cifrate e sono sovrascritte entro i 7 giorni successivi alla cancellazione.

12.5 I dati che Umanize è tenuta a conservare per obbligo di legge potranno essere mantenuti per il periodo richiesto e trattati esclusivamente per tale finalità.

12.6 Durante il Contratto la cancellazione di un contatto dall'interfaccia o tramite API lo esclude dal Servizio; la cancellazione definitiva dal database è eseguita da Umanize su richiesta del Cliente, con le stesse modalità dell'art. 12.3.

#13. Audit e verifiche

13.1 Su richiesta ragionevole del Cliente, Umanize metterà a disposizione informazioni ragionevoli necessarie a dimostrare la conformità al presente DPA, inclusi eventuali report, attestazioni o riepiloghi delle misure di sicurezza disponibili.

13.2 Nella misura in cui ciò sia richiesto dalla normativa applicabile e non possa essere soddisfatto con la documentazione resa disponibile, il Cliente potrà richiedere audit o verifiche ulteriori, da svolgersi con congruo preavviso, in orari lavorativi, con ambito ragionevole e senza interferire irragionevolmente con le attività di Umanize.

13.3 Eventuali audit saranno soggetti a obblighi di riservatezza adeguati, non dovranno comportare accesso a dati o informazioni di altri clienti o terzi e, salvo il caso in cui emergano violazioni materiali del presente DPA imputabili a Umanize, saranno a spese del Cliente.

#14. Responsabilità

14.1 La responsabilità di Umanize ai sensi del presente DPA resta soggetta ai limiti e alle esclusioni previsti nei Termini, salvo quanto diversamente previsto da norme inderogabili applicabili in materia di protezione dei dati personali.

14.2 Il Cliente resta pienamente responsabile della liceità dei dati trattati, delle basi giuridiche, degli obblighi informativi e di consenso, nonché delle istruzioni impartite a Umanize.

#15. Legge applicabile, foro e prevalenza

15.1 Il presente DPA è regolato dalla legge italiana, salvo l'applicazione di norme inderogabili previste dalla Legislazione Applicabile in materia di protezione dei dati.

15.2 Ogni controversia derivante dal presente DPA o ad esso connessa sarà devoluta in via esclusiva al Foro di Foggia, salvo diversa disposizione inderogabile di legge.

15.3 In caso di conflitto tra il presente DPA e altri documenti contrattuali, il presente DPA prevale per le materie relative al trattamento dei dati personali per conto del Cliente.

#Allegato I - Descrizione del trattamento

Oggetto del trattamento: trattamento dei Dati Personali del Cliente necessario per l'erogazione di Aurora Suite AI.

Natura del trattamento: raccolta, registrazione, organizzazione, conservazione, consultazione, uso, trasmissione, combinazione, analisi, trascrizione, classificazione, cancellazione e ogni altra operazione strettamente necessaria all'erogazione del Servizio.

Finalità del trattamento: gestione automatizzata delle conversazioni con i contatti del Cliente su telefono, WhatsApp, chat sul sito, email e, se attivati, SMS, Instagram e Messenger; registrazione e trascrizione delle chiamate; riassunti, classificazione e analisi delle conversazioni; memoria del contatto; fissazione e gestione di appuntamenti nei calendari collegati; automazioni attivate dal Cliente (ad esempio follow-up dei lead, promemoria, richiami, recupero dei carrelli); sincronizzazione con CRM ed e-commerce collegati; ricezione di lead da moduli e inserzioni; misurazione delle conversioni pubblicitarie del Cliente, se attivata; registro delle basi giuridiche e delle preferenze di contatto; reportistica; supporto tecnico, sicurezza e prevenzione abusi.

Categorie di interessati: contatti, lead e clienti del Cliente; persone che chiamano, scrivono o usano la chat sul sito del Cliente; clienti dei negozi online collegati; persone che compilano moduli o inserzioni del Cliente; dipendenti e collaboratori del Cliente coinvolti nell'uso del Servizio.

Categorie di dati personali: dati identificativi e di contatto (nome, telefono, email, indirizzo); audio e registrazioni delle chiamate; trascrizioni, messaggi, email e riassunti; informazioni fornite durante le conversazioni e fatti salvati nella memoria del contatto; appuntamenti; ordini, carrelli e dati dei clienti dei negozi collegati; contatti e trattative dei CRM collegati; risposte ai moduli e consensi raccolti; basi giuridiche e preferenze di contatto; identificativi pubblicitari e di clic (ad esempio gclid, fbclid) ed email e telefono in forma di hash inviati alle piattaforme pubblicitarie, se il Cliente attiva la misurazione; metadati delle comunicazioni; dati tecnici dei visitatori della chat sul sito (ad esempio indirizzo IP); dati contenuti negli Input caricati dal Cliente.

Dati particolari: il Servizio non è progettato per trattare categorie particolari di dati personali ai sensi dell'art. 9 GDPR, inclusi i dati relativi alla salute, e non deve essere usato per trattarle. Il Cliente non configura agenti, documenti o automazioni per raccoglierle e istruisce gli agenti a indirizzare verso una persona le richieste che le riguardano. Le comunicazioni occasionali di tali dati da parte degli interessati sono trattate secondo il presente DPA, ma non costituiscono una finalità del Servizio.

Durata del trattamento: per la durata del rapporto contrattuale e per il periodo ulteriore strettamente necessario ai sensi dell'articolo 12 del presente DPA.

Conservazione: per impostazione predefinita le registrazioni delle chiamate sono cancellate dopo 6 mesi, anche presso il fornitore della voce, e trascrizioni, riassunti, messaggi e dati raccolti su tutti i canali dopo 24 mesi, mantenendo solo esito e argomento della conversazione; il Cliente può modificare tali periodi da 1 a 120 mesi in Impostazioni › Privacy e conservazione. I registri tecnici delle consegne dei webhook sono conservati 30 giorni e i backup del database 7 giorni. Gli altri dati sono conservati per la durata del Contratto e trattati alla cessazione secondo l'art. 12.

#Allegato II - Misure tecniche e organizzative

• cifratura TLS del traffico verso il Servizio e verso i fornitori;
• database cifrati a riposo e backup del database cifrati dal fornitore di hosting;
• token delle integrazioni, credenziali delle caselle email e segreti di firma cifrati nel database con chiave applicativa; chiavi API dei clienti conservate solo come hash;
• separazione logica dei dati per account e permessi per ruolo (proprietario, amministratore, operatore);
• ambienti di produzione e di test separati, con test automatici solo su database locali con dati fittizi;
• backup giornalieri del database conservati 7 giorni, con ripristino a un momento preciso, e prova di ripristino almeno ogni 6 mesi per policy interna;
• verifica in due passaggi e passkey disponibili per tutti gli utenti; verifica in due passaggi obbligatoria per il personale di Umanize per policy interna;
• registrazione delle azioni amministrative, delle sessioni di impersonazione e dell'uso delle chiavi API;
• accessi del personale secondo il principio del minimo necessario, con revisione semestrale e revoca entro il giorno di uscita, per policy interna;
• procedura di gestione degli incidenti di sicurezza, con prima valutazione entro 4 ore e notifica ai clienti secondo l'art. 9;
• vincoli di riservatezza e need-to-know per il personale autorizzato;
• registro dei Sub-responsabili coinvolti nel trattamento;
• codice e migrazioni del database gestiti in un repository con storico completo delle modifiche.

#Allegato III - Sub-responsabili del trattamento

Elenco aggiornato al 6 novembre 2026. Le nuove nomine e le sostituzioni sono comunicate secondo gli artt. 7.4 e 7.5.

Non sono Sub-responsabili scelti da Umanize gli altri servizi che il Cliente collega con un proprio account, ad esempio HubSpot, Pipedrive, Shopify, WooCommerce, Meta Lead Ads, Instagram e Messenger, caselle email IMAP/SMTP, Zapier, Make, n8n o client MCP: con tali servizi il Servizio scambia dati solo su istruzione del Cliente.