Protezione dei dati · Accordo sul trattamento (DPA)

1. Oggetto, vincolo contrattuale e identità

Il presente DPA disciplina il trattamento dei dati personali effettuato per conto del cliente (titolare) per erogare il servizio: importazione e gestione delle recensioni, generazione assistita di risposte, analisi di schemi, elaborazione di raccomandazioni e report, e consegna tramite i canali configurati.

Vincolo contrattuale

Quando RepuOrbit tratta dati personali per conto del cliente, il presente DPA (versione 1.0), basato sull’articolo 28 del GDPR, è parte integrante delle condizioni contrattuali applicabili al servizio e dei Termini e condizioni, e vincola le parti dall’accettazione di tali condizioni.

Identità del responsabile

RepuOrbit è un prodotto di IATASKIA S.L., NIF B05703038 (Spagna), che agisce in qualità di responsabile del trattamento quando tratta dati personali per conto del cliente.

Natura

Operazioni di raccolta, archiviazione, consultazione, analisi, generazione assistita da IA, comunicazione ai canali configurati e soppressione, con mezzi automatizzati.

2. Durata

Il trattamento si mantiene finché è in vigore il rapporto di servizio. Alla sua conclusione si applicherà quanto previsto nella clausola di restituzione o soppressione.

3. Categorie di interessati e tipi di dati

Categorie di interessati

• Clienti finali e autori di recensioni dell’azienda.
• Personale e utenti autorizzati dell’azienda cliente.

Tipi di dati

• Dati identificativi e di contatto contenuti nelle recensioni e nelle risposte.
• Contenuto delle opinioni e delle comunicazioni associate.
• Dati di configurazione e metadati tecnici necessari per il servizio.

Categorie particolari di dati

RepuOrbit non richiede categorie particolari di dati personali per l’erogazione ordinaria del servizio. Tuttavia, il contenuto delle recensioni o comunicazioni trattate può includere incidentalmente informazioni di questa natura introdotte dai loro stessi autori. Il cliente, nella sua qualità di titolare del trattamento, dovrà garantire l’esistenza di una base giuridica adeguata ove applicabile e configurare e utilizzare il servizio conformemente alla normativa sulla protezione dei dati.

4. Istruzioni documentate e riservatezza

RepuOrbit tratterà i dati unicamente seguendo le istruzioni documentate del cliente, incluse quelle del presente DPA e quelle derivanti dall’uso della piattaforma, salvo obbligo legale. Se un’istruzione viola la normativa, RepuOrbit ne informerà il cliente.

Le persone autorizzate a trattare i dati si impegnano a rispettare la riservatezza o sono soggette a un obbligo di riservatezza di natura equivalente.

5. Misure tecniche e organizzative

RepuOrbit applica misure tecniche e organizzative adeguate al rischio. Le misure effettivamente implementate sono descritte nell’Allegato I del presente DPA.

6. Assistenza al titolare ed esercizio dei diritti

RepuOrbit assisterà ragionevolmente il cliente per: gestire le richieste di esercizio dei diritti degli interessati; adempiere agli obblighi di sicurezza, di notifica delle violazioni e, ove opportuno, alle valutazioni d’impatto e alle consultazioni preventive.

7. Incidenti e violazioni di sicurezza

RepuOrbit notificherà il cliente senza indebito ritardo quando verrà a conoscenza di una violazione della sicurezza che interessi dati trattati per conto del cliente.

Nella misura in cui sia disponibile, fornirà:

• la natura dell’incidente;
• le categorie di dati e di interessati coinvolti;
• le conseguenze probabili;
• le misure adottate o proposte;
• le informazioni necessarie affinché il titolare possa adempiere ai suoi obblighi di notifica.

8. Sub-responsabili

• Il cliente concede un’autorizzazione generale al ricorso a sub-responsabili nell’erogazione del servizio.
• RepuOrbit informerà delle aggiunte o sostituzioni di sub-responsabili che interessano il trattamento dei dati.
• Il cliente potrà formulare obiezioni giustificate conformemente al presente DPA.
• I sub-responsabili saranno soggetti a obblighi di protezione dei dati equivalenti a quelli applicabili a RepuOrbit.

9. Sub-responsabili e fornitori di trattamento

A seconda delle funzionalità utilizzate, il servizio potrà avvalersi dei seguenti tipi di fornitori. L’elenco è predisposto per essere aggiornato con i fornitori reali; nessun fornitore non ancora contrattualizzato viene presentato come tale:

• Google Business Profile / Google — recensioni e pubblicazione.
• Meta / WhatsApp Business Platform e Telegram — consegna e approvazione delle risposte.
• Fornitori di IA configurati dal cliente — OpenAI, Anthropic, Google Gemini.
• Fornitore di pagamenti — quando verrà implementato il sistema di incasso.
• Fornitore di hosting / database — infrastruttura del servizio.
• Fornitore di email — comunicazioni del servizio.
• Servizi tecnici necessari per operare la piattaforma.

Fornitori di IA e credenziali (API Key)

• Il cliente può configurare il proprio fornitore di IA e utilizzare le proprie credenziali/API Key.
• Ciò non significa che i dati non passino mai attraverso l’infrastruttura di RepuOrbit.
• RepuOrbit può aver bisogno di ricevere, trattare e trasmettere determinati dati per eseguire la funzionalità richiesta.
• I dati necessari potranno essere inviati al fornitore di IA selezionato o configurato dal cliente.
• Le credenziali sono trattate in modo sicuro conformemente alle misure effettivamente implementate (vedi Allegato I): sono archiviate cifrate e oscurate nei registri.

10. Trasferimenti internazionali

Quando un fornitore o sub-responsabile comporta un trasferimento internazionale di dati, verrà utilizzato il meccanismo giuridico corrispondente conformemente al Capo V del GDPR, ad esempio: una decisione di adeguatezza, clausole contrattuali tipo o altre garanzie legalmente valide.

Non si afferma che la totalità dei dati rimanga sempre in Spagna o nel SEE.

Una volta confermata, l’informazione sarà dettagliata per fornitore reale, con la seguente struttura:

• fornitore;
• paese o regione di trattamento;
• servizio fornito;
• meccanismo di trasferimento applicabile.

11. Audit e informazioni sulla conformità

Fatto salvo il diritto del cliente di effettuare audit conformemente all’art. 28 GDPR, tale diritto sarà esercitato in termini ragionevoli:

• RepuOrbit metterà a disposizione del cliente le informazioni ragionevolmente necessarie per dimostrare l’adempimento dei suoi obblighi.
• Gli audit saranno effettuati con ragionevole preavviso.
• Saranno rispettate la riservatezza e la sicurezza delle informazioni proprie e di terzi.
• Si eviteranno interferenze sproporzionate con la continuità del servizio.
• Il diritto potrà essere soddisfatto mediante documentazione, evidenze o audit di terzi ove sufficienti.

12. Restituzione o soppressione dei dati

Terminata l’erogazione, e a scelta del titolare, RepuOrbit restituirà o sopprimerà i dati personali trattati per conto del cliente. A tal fine si distingue:

• Dati attivi: vengono restituiti o soppressi dopo la fine del servizio, secondo la scelta del titolare.
• Dati conservati per obbligo legale: vengono conservati bloccati per i periodi legalmente richiesti e soppressi alla loro scadenza.
• Copie di sicurezza (backup): i dati contenuti nelle copie di sicurezza vengono eliminati conformemente al ciclo di conservazione tecnicamente stabilito e restano bloccati e non accessibili per lo sfruttamento ordinario durante tale periodo, ove applicabile.
• Fine del servizio: una volta completati i passaggi precedenti, l’informazione viene eliminata salvo quella che deve essere legalmente conservata.

Allegato I — Misure tecniche e organizzative

Misure effettivamente implementate nel servizio alla data di questa versione del DPA:

• Cifratura dei segreti a riposo: le credenziali e le integrazioni sensibili (API Key dei fornitori di IA e token di accesso di Google, WhatsApp e Telegram) sono archiviate cifrate mediante AES-256-GCM.
• Protezione delle password: le password degli utenti sono archiviate con hash mediante bcrypt; mai in chiaro.
• Autenticazione: accesso mediante token firmati (JWT) verificati a ogni richiesta.
• Controllo degli accessi basato sui ruoli: autorizzazioni per ruolo all’interno di ciascuna organizzazione e separazione del ruolo di amministrazione della piattaforma.
• Isolamento logico multi-tenant: i dati sono segmentati per organizzazione e azienda; l’accesso è risolto in base all’appartenenza dell’utente.
• Validazione e sanificazione degli input: le richieste sono validate con schemi rigorosi prima di essere trattate.
• Registri di audit: vengono registrati gli eventi rilevanti (ad esempio, autenticazione e modifiche delle credenziali) per la loro tracciabilità.
• Intestazioni di sicurezza HTTP e CORS ristretto: vengono applicate intestazioni di sicurezza e una politica CORS controllata.
• Limitazione della frequenza (rate limiting): viene limitata la frequenza delle richieste, con limiti più rigorosi nell’autenticazione, per mitigare abusi e attacchi di forza bruta.
• Gestione sicura dei segreti: la configurazione sensibile viene validata e caricata dall’ambiente (non incorporata nel codice) e i dati sensibili vengono oscurati nei registri.
• Comunicazioni cifrate: le comunicazioni con i servizi esterni avvengono tramite HTTPS/TLS; l’applicazione è predisposta per operare dietro un proxy che gestisce la terminazione TLS.
• Verifica a tempo costante: la verifica di determinati token sensibili impiega confronti a tempo costante.
• Meccanismi di cancellazione: è possibile revocare ed eliminare le credenziali e le integrazioni archiviate, nonché eliminare aziende e i loro dati associati. Minimizzazione dei dati: vengono trattati i dati necessari per erogare la funzionalità richiesta.