Accordo sul trattamento dei dati

1. Parti e oggetto

Questo accordo è parte dei Termini di servizio e si applica tra:

• lo studio, l’amministratore o l’impresa che usa Limeline («Titolare»);
• CHAINWEB Corporation Srls, Via Frassineto 42, 10139 Torino, P.IVA IT13486060018, che offre il servizio Limeline («Responsabile»).

Il Responsabile tratta dati personali per conto del Titolare per erogare il servizio Limeline. L’accordo dura quanto il contratto e, dopo la sua fine, fino alla cancellazione dei dati (punto 10).

2. Natura e finalità del trattamento

Il trattamento consiste nel raccogliere, registrare, trascrivere, organizzare, conservare, consultare, comunicare e cancellare dati per:

• rispondere alle chiamate e ai messaggi dei condòmini con un assistente virtuale;
• aprire e seguire le richieste di intervento, avvisare lo studio e i fornitori incaricati;
• tenere informati i condòmini sullo stato delle richieste;
• rendere i dati consultabili nel portale e tramite API, preparare riepiloghi e statistiche per lo studio;
• garantire sicurezza, qualità e assistenza tecnica.

3. Categorie di interessati e di dati

Interessati	Dati
Condòmini, residenti, inquilini e chi chiama per loro	nome, telefono, condominio, scala, piano, interno, descrizione del problema, messaggi, foto e vocali, registrazione e trascrizione delle chiamate, riepiloghi
Fornitori dello studio	nome, ditta, telefono, categoria, risposte agli incarichi
Persone dello studio indicate come contatti	nome, telefono, email, orari di reperibilità

Il servizio non è pensato per trattare categorie particolari di dati (art. 9 GDPR), per esempio dati sulla salute. Possono però emergere in una segnalazione (per esempio «mia madre è disabile e l’ascensore è fermo»): in questi casi sono trattati solo per gestire la richiesta.

4. Istruzioni del Titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Sono istruzioni: questo accordo, i Termini di servizio, le impostazioni scelte dal Titolare nel portale (orari, fornitori, emergenze, tempi di conservazione, canali) e le richieste scritte del Titolare. Se un’istruzione sembra violare il GDPR, il Responsabile lo segnala subito al Titolare.

5. Obblighi del Responsabile

Il Responsabile:

• garantisce che le persone autorizzate a trattare i dati siano vincolate alla riservatezza;
• adotta le misure di sicurezza dell’allegato (punto 12);
• aiuta il Titolare a rispondere alle richieste degli interessati (accesso, cancellazione e gli altri diritti), inoltrandogli senza ritardo quelle che riceve direttamente;
• aiuta il Titolare con la valutazione d’impatto e i rapporti con il Garante, quando servono;
• non usa i dati per scopi propri, non li vende e non li usa per addestrare modelli di intelligenza artificiale pubblici;
• tiene il registro dei trattamenti svolti per conto dei Titolari (art. 30.2 GDPR).

Il Responsabile può usare dati aggregati e anonimi (per esempio il numero di chiamate o i tipi di guasto più frequenti) per migliorare il servizio: da questi dati non è possibile risalire a persone o condomini.

6. Obblighi del Titolare

Il Titolare:

• tratta e carica nel servizio solo dati che ha il diritto di trattare, con una base giuridica valida;
• informa condòmini e fornitori del trattamento, anche usando l’informativa messa a disposizione da Limeline;
• sceglie i tempi di conservazione e le impostazioni adatte alla propria organizzazione;
• gestisce gli accessi al portale delle proprie persone.

7. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a usare sub-responsabili. Questi sono quelli in uso alla data di questo accordo:

Sub-responsabile	Attività	Luogo del trattamento
Supabase Inc.	database, accesso al portale, archivio delle registrazioni	Unione europea
Cloudflare Inc.	siti web, protezione, copia di sicurezza delle registrazioni	rete globale; copia di sicurezza in UE
Retell AI Inc.	gestione delle chiamate, trascrizione	USA
OpenAI LLC / OpenAI Ireland Ltd	modello linguistico, trascrizione	USA
ElevenLabs Inc.	voce dell’assistente	USA
Telnyx LLC	numeri di telefono, SMS	USA / UE
Vonage	SMS	USA / UE
Meta Platforms Ireland Ltd	WhatsApp Business Platform	UE / USA
Resend Inc.	invio di email	USA

Il Responsabile impone a ogni sub-responsabile, con un contratto, obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile verso il Titolare del loro operato. Prima di aggiungere o sostituire un sub-responsabile il Responsabile aggiorna questa pagina e avvisa il Titolare per email almeno 15 giorni prima; il Titolare può opporsi per motivi legati alla protezione dei dati e, se non si trova una soluzione, disdire il servizio senza penali.

8. Trasferimenti fuori dall’Unione europea

Quando un sub-responsabile tratta dati fuori dallo Spazio economico europeo, il trasferimento avviene sulla base di una decisione di adeguatezza (per gli Stati Uniti, l’EU-US Data Privacy Framework per i fornitori certificati) o delle clausole contrattuali standard approvate dalla Commissione europea, con le misure aggiuntive necessarie.

9. Violazione dei dati

Se il Responsabile viene a conoscenza di una violazione dei dati personali (data breach) che riguarda i dati del Titolare, lo avvisa senza ingiustificato ritardo e comunque entro 48 ore, con le informazioni disponibili: cosa è successo, dati e persone coinvolte, conseguenze probabili, misure prese. Aiuta poi il Titolare nelle eventuali notifiche al Garante e agli interessati.

10. Fine del trattamento: restituzione e cancellazione

• Registrazioni e trascrizioni sono cancellate in automatico allo scadere del tempo scelto dal Titolare, al massimo 12 mesi.
• Alla fine del contratto il Titolare può chiedere una copia dei dati entro 90 giorni. Trascorsi 90 giorni il Responsabile cancella i dati di condòmini e fornitori, le chiamate, le registrazioni, i messaggi e i ticket, anche dalle copie di sicurezza.
• Restano i dati che la legge obbliga a conservare (per esempio quelli di fatturazione) e la prova della firma di questo accordo.

11. Verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto di questo accordo e risponde per iscritto alle sue domande. Il Titolare può fare, o far fare a un revisore vincolato alla riservatezza, una verifica all’anno, con preavviso di almeno 30 giorni e senza intralciare il servizio; le spese della verifica sono a carico del Titolare, salvo che emergano violazioni gravi.

12. Allegato: misure di sicurezza

• Cifratura del traffico (HTTPS/TLS) su siti, portale e API.
• Separazione dei dati di ogni studio nel database con regole di accesso per riga; ogni utente vede solo i dati del proprio studio.
• Password conservate cifrate; accesso al portale con email confermata; chiavi API revocabili dallo studio.
• Archivio delle registrazioni privato, accessibile solo con link temporanei.
• Copia di sicurezza delle registrazioni in un archivio separato con sede in Unione europea.
• Accesso del personale di Limeline ai dati degli studi solo per assistenza e manutenzione, limitato alle persone che ne hanno bisogno.
• Cancellazione automatica allo scadere dei tempi di conservazione.
• Allarmi tecnici automatici al nostro team in caso di errori o anomalie.
• Chiavi e segreti dei servizi conservati fuori dal codice.

13. Accettazione

Il Titolare accetta questo accordo durante l’attivazione del servizio nel portale. Conserviamo data e ora, nome e ruolo di chi accetta, indirizzo IP e versione dell’accordo. Una copia è sempre disponibile su questa pagina.