Data Processing Agreement (DPA)

Il presente accordo ("DPA") è parte dei Termini di Servizio e regola, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), il trattamento dei dati personali che Polaris Digital di Cristini Paolo ("Polaris Digital", Responsabile del trattamento) svolge per conto dell'Organizzazione cliente ("Cliente", Titolare del trattamento) nell'uso della piattaforma TRIQ. In caso di contrasto con i Termini, per la protezione dei dati prevale il DPA.

1. Oggetto, natura e finalità

Polaris Digital tratta i dati personali solo per erogare TRIQ al Cliente: ricevere e conservare le Conversazioni dai canali collegati (widget web, Instagram, WhatsApp), generare le risposte dell'Assistente, cercare nella Conoscenza, gestire i Contatti, inviare avvisi agli operatori, fornire assistenza tecnica. Il trattamento dura quanto il contratto, più il tempo necessario alla cancellazione indicata al punto 10.

2. Interessati e categorie di dati

• Interessati: visitatori e clienti del Cliente che scrivono all'Assistente; utenti del Cliente (amministratori e operatori); persone citate nei documenti della Conoscenza.
• Dati: nome e recapiti lasciati dal visitatore, identificativi di canale (ID Instagram, numero WhatsApp, identificativo del widget), contenuto delle Conversazioni, dati tecnici (indirizzo IP, browser, pagina di provenienza), dati contenuti nei documenti che il Cliente carica nella Conoscenza.
• Il servizio non è pensato per categorie particolari di dati (art. 9 GDPR) né per dati giudiziari (art. 10). Se il Cliente li fa trattare, ne valuta la base giuridica e lo indica a Polaris Digital.

3. Istruzioni del Cliente

Polaris Digital tratta i dati solo su istruzione documentata del Cliente. Sono istruzioni il presente DPA, i Termini e le impostazioni che il Cliente sceglie in TRIQ (canali, Assistenti, Conoscenza, Automazioni, conservazione). Polaris Digital informa subito il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati (art. 28, paragrafo 3, ultimo comma). Polaris Digital non usa i dati del Cliente per finalità proprie e non li usa, né li fa usare, per addestrare modelli di intelligenza artificiale.

Fa parte del servizio il controllo di qualità. Il personale di Polaris Digital autorizzato può consultare le risposte dell'Assistente, le bozze bloccate dal controllo automatico, le chat con il Copilot, le valutazioni lasciate sulle risposte e i costi di utilizzo, per verificare che il servizio funzioni come previsto e correggerne i difetti. È un trattamento per conto del Cliente, soggetto agli stessi obblighi di riservatezza del punto 4.

4. Riservatezza

Le persone autorizzate da Polaris Digital ad accedere ai dati sono vincolate alla riservatezza e accedono solo quando serve per erogare il servizio, per l'assistenza chiesta dal Cliente o per la sicurezza.

5. Misure di sicurezza

Polaris Digital adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui: cifratura in transito (TLS) e a riposo; isolamento fra Organizzazioni nel database con Row-Level Security; accessi per ruolo e con privilegio minimo; chiavi dei canali cifrate; backup giornalieri conservati fino a 30 giorni; registro delle operazioni svolte tramite API e Copilot. Le misure possono evolvere, senza ridurre il livello di protezione.

6. Sub-responsabili

Il Cliente autorizza in via generale Polaris Digital ad avvalersi di sub-responsabili (art. 28, paragrafo 2, GDPR). L'elenco aggiornato, con finalità, sede e garanzie per il trasferimento, è pubblicato nella pagina Sub-responsabili. Oggi sono: Supabase (database e autenticazione), Vercel (hosting), Anthropic (modelli AI), Voyage AI del gruppo MongoDB (embedding della Conoscenza), OpenAI (embedding di riserva, in dismissione), Resend (email di servizio), Sentry (monitoraggio errori).

• Polaris Digital impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta pienamente responsabile verso il Cliente del loro operato (art. 28, paragrafo 4).
• Prima di aggiungere o sostituire un sub-responsabile, Polaris Digital aggiorna la pagina e scrive ai amministratori dell'Organizzazione almeno 15 giorni prima che la modifica abbia effetto.
• Entro quei 15 giorni il Cliente può opporsi per iscritto, per motivi ragionevoli legati alla protezione dei dati. Le parti cercano in buona fede una soluzione; se non la trovano, il Cliente può recedere senza penali dal servizio interessato prima che la modifica abbia effetto. Dopo il recesso non è addebitato altro; per la parte del mese già pagata non è previsto un rimborso.
• Se un sub-responsabile va sostituito con urgenza per sicurezza o continuità del servizio, Polaris Digital avvisa appena possibile e il termine per opporsi decorre dall'avviso.

Meta non è un sub-responsabile di Polaris Digital. Collegando Instagram o WhatsApp il Cliente usa servizi di Meta secondo i termini che accetta con Meta. Su Instagram Meta è titolare del proprio servizio e, per i trattamenti legati al profilo professionale del Cliente, il Cliente e Meta possono essere contitolari (Corte di giustizia UE, cause C-210/16 e C-40/17). Sulla WhatsApp Business Platform (Cloud API) Meta tratta i messaggi come responsabile del Cliente, secondo i WhatsApp Business Data Processing Terms. Polaris Digital riceve e invia i messaggi tramite le API di Meta per conto del Cliente.

7. Trasferimenti fuori dallo Spazio economico europeo

Database e hosting sono nell'Unione europea (Francoforte). Alcuni sub-responsabili trattano dati negli Stati Uniti: i trasferimenti avvengono secondo il Capo V del GDPR, con le Clausole contrattuali tipo approvate dalla Commissione europea (Decisione 2021/914) o, dove il fornitore vi aderisce, l'EU-U.S. Data Privacy Framework.

8. Violazioni dei dati personali

Polaris Digital informa il Cliente di una violazione dei dati personali che lo riguarda senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza (art. 33, paragrafo 2, GDPR). L'avviso va per email ai amministratori dell'Organizzazione e contiene, per quanto già noto, le informazioni dell'art. 33, paragrafo 3: natura della violazione, categorie e numero approssimativo di interessati e di dati, conseguenze probabili, misure adottate o proposte, contatto per saperne di più. Ciò che non è ancora noto viene comunicato appena disponibile.

La notifica al Garante entro 72 ore e la comunicazione agli interessati (artt. 33 e 34) spettano al Cliente come titolare. Polaris Digital lo assiste con le informazioni in suo possesso. L'avviso non vale come ammissione di responsabilità.

9. Assistenza al Cliente

• Diritti degli interessati (artt. 15-22): TRIQ offre al Cliente gli strumenti per consultare, esportare, correggere e cancellare Contatti e Conversazioni. Se un interessato scrive a Polaris Digital, la richiesta viene girata al Cliente senza rispondere nel merito.
• Sicurezza, valutazioni d'impatto e consultazione preventiva (artt. 32-36): Polaris Digital fornisce le informazioni sul servizio di cui dispone.

10. Fine del contratto

Il Cliente può esportare i propri dati in qualsiasi momento. Alla cessazione del contratto, su richiesta scritta del Cliente, Polaris Digital cancella i dati personali entro 30 giorni dalla richiesta e comunque entro 12 mesi dalla cessazione, salvo obblighi di conservazione previsti dalla legge. Le copie di sicurezza vengono sovrascritte entro i successivi 30 giorni.

11. Informazioni e verifiche

Polaris Digital mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR e consente verifiche, anche tramite un revisore indipendente vincolato alla riservatezza, con preavviso di almeno 30 giorni, non più di una volta l'anno salvo violazioni o richieste di un'autorità, a spese del Cliente e senza accesso ai dati di altre Organizzazioni.

12. Contatti

Per richieste sul trattamento dei dati e per segnalare problemi di sicurezza: hello@polarisdigital.it.