Nomina a Responsabile del trattamento ex art. 28 GDPR

La presente Nomina a Responsabile del trattamento (la «Nomina») è stipulata tra il cliente che registra un'Attività su Kera Office (il «Titolare») e Internetbusiness s.r.l., con sede legale in Via Bonifacio VIII n. 22, 00165 Roma (RM), P.IVA 17111271007, PEC internetbusiness.srl@pec.it (il «Responsabile»).

Il Titolare usa il servizio Kera Office (il «Servizio») alle condizioni dei Termini e Condizioni di utilizzo (i «Termini»). Nell'erogare il Servizio il Responsabile tratta per conto del Titolare dati personali di cui il Titolare è titolare. Con la presente il Titolare nomina il Responsabile responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 («GDPR») e il Responsabile accetta.

La Nomina costituisce parte integrante dei Termini (art. 8) ed è accettata dal Titolare al momento della registrazione, insieme ai Termini. I termini con iniziale maiuscola non definiti qui hanno il significato indicato nei Termini o nel GDPR.

Oggetto della Nomina è il trattamento dei dati personali inseriti, inoltrati o generati dal Titolare e dai suoi Utenti nell'Attività (i «Dati»), nella misura necessaria a erogare il Servizio.

Natura del trattamento: raccolta tramite applicazione web, chat interna, canale WhatsApp e casella email dell'assistente; registrazione, organizzazione e conservazione su schede clienti, appunti, promemoria e documenti; consultazione e ricerca; elaborazione con modelli di intelligenza artificiale per leggere testi, documenti, immagini e audio e proporre o eseguire appunti, promemoria e aggiornamenti; invio di notifiche agli Utenti; cancellazione.

Finalità: esclusivamente l'erogazione, la manutenzione, la sicurezza e l'assistenza del Servizio richiesto dal Titolare. Il Responsabile non tratta i Dati per finalità proprie, non li usa per addestrare modelli di intelligenza artificiale e non li vende né li comunica a terzi, salvo quanto previsto dalla Nomina o richiesto dalla legge.

Restano esclusi dalla Nomina i dati che il Responsabile tratta come titolare autonomo (account, fatturazione, sicurezza, assistenza), descritti nell'Informativa Privacy (/privacy).

La Nomina ha la stessa durata del contratto di Servizio e cessa con esso, fermi gli obblighi che per loro natura proseguono dopo la cessazione (in particolare quelli degli artt. 6, 13 e 16) e il periodo di 30 giorni previsto per la restituzione e la cancellazione dei Dati.

Categorie di interessati:

• clienti, potenziali clienti e contatti del Titolare (persone fisiche, anche referenti di persone giuridiche) e i loro familiari o terzi eventualmente citati nei messaggi e nei documenti;
• collaboratori e Utenti del Titolare, per i dati che li riguardano contenuti nell'Attività;
• mittenti di messaggi WhatsApp ed email ricevuti dall'assistente dell'Attività.

Categorie di dati:

• dati anagrafici e di contatto (nome, cognome, indirizzo, telefono, email, codice fiscale, partita IVA);
• dati relativi al rapporto con il Titolare: appunti, promemoria, scadenze, pratiche, contratti, polizze, preventivi e dati economici, compresi IBAN e dati di pagamento indicati dai clienti;
• documenti e immagini (ad esempio documenti d'identità, patenti, libretti, contratti, PDF e foto), messaggi WhatsApp ed email con i relativi allegati, registrazioni e trascrizioni vocali;
• dati di settore che il Titolare decide di gestire in base alla propria attività.

Categorie particolari di dati (art. 9 GDPR) e dati relativi a condanne penali (art. 10 GDPR): il Servizio non li richiede, ma il Titolare o i suoi clienti possono inserirli (ad esempio certificati o referti medici, dati sanitari per pratiche assicurative o per l'attività di nutrizionisti e personal trainer). In tal caso il Titolare garantisce di disporre di una base giuridica e di una condizione di liceità adeguate. Il Servizio applica le misure specifiche dell'Allegato A, punto 7, che non garantiscono il riconoscimento di tutti i casi.

Il Responsabile tratta i Dati soltanto su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi, salvo che lo richieda il diritto dell'Unione o nazionale; in tal caso informa il Titolare prima del trattamento, se la legge non lo vieta.

Costituiscono istruzioni documentate: la Nomina, i Termini, la configurazione dell'Attività e le operazioni compiute dal Titolare e dai suoi Utenti con le funzioni del Servizio (inserimento, modifica, inoltro, cancellazione di dati; collegamento di numeri WhatsApp e caselle email; abilitazione di collaboratori), nonché le ulteriori istruzioni scritte inviate ai contatti dell'art. 15 e accettate dal Responsabile, se compatibili con il Servizio.

Il Responsabile informa immediatamente il Titolare se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, e può sospenderne l'esecuzione fino a conferma o modifica.

Il Responsabile consente l'accesso ai Dati solo al personale e ai collaboratori che ne hanno bisogno per erogare, mantenere o assistere il Servizio, autorizzati per iscritto, istruiti sul trattamento e vincolati da un obbligo di riservatezza contrattuale o legale, che prosegue dopo la fine del loro incarico.

Il Responsabile designa gli amministratori di sistema nel rispetto del provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 e successive modifiche.

Tenuto conto dello stato dell'arte, dei costi, della natura, dell'oggetto, del contesto e delle finalità del trattamento e dei rischi per gli interessati, il Responsabile adotta le misure tecniche e organizzative dell'Allegato A, ai sensi dell'art. 32 GDPR.

Il Responsabile può aggiornare le misure nel tempo, purché il livello complessivo di sicurezza non diminuisca. Il Titolare resta responsabile della sicurezza di ciò che è sotto il suo controllo: credenziali e dispositivi degli Utenti, gestione degli Utenti abilitati, numeri e caselle collegati.

Il Titolare concede al Responsabile un'autorizzazione scritta generale a ricorrere ad altri responsabili (sub-responsabili). I sub-responsabili in uso alla data della Nomina sono indicati nell'Allegato B.

Il Responsabile informa il Titolare, via email o nell'Area riservata, di ogni aggiunta o sostituzione di sub-responsabili con almeno 30 giorni di preavviso, salvo urgenze legate alla sicurezza o alla continuità del Servizio. Entro tale termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se le parti non trovano una soluzione, il Titolare può recedere dal contratto senza penali prima che la modifica abbia effetto.

Il Responsabile impone ai sub-responsabili, per contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli della Nomina, in particolare garanzie sufficienti sulle misure tecniche e organizzative, e resta responsabile verso il Titolare del loro adempimento ai sensi dell'art. 28.4 GDPR.

I Dati, comprese le copie di backup, sono ospitati nell'Unione europea (Paesi Bassi, Google Cloud regione europe-west4): l'hosting non comporta trasferimenti fuori dall'UE. Google può accedere ai Dati da paesi terzi solo in casi limitati, ad esempio per l'assistenza tecnica da remoto o tramite propri sub-responsabili. OpenAI e Meta trattano i Dati inviati ai rispettivi servizi anche fuori dallo Spazio economico europeo, in particolare negli Stati Uniti (Allegato B).

In tutti questi casi il Responsabile effettua o consente trasferimenti solo in presenza di una delle garanzie del Capo V GDPR: decisione di adeguatezza, compresa quella relativa al Data Privacy Framework UE-USA per i destinatari certificati, oppure Clausole contrattuali standard approvate dalla Commissione europea, con le eventuali misure supplementari.

Su richiesta il Responsabile fornisce al Titolare le informazioni sulle garanzie adottate.

Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 15–22 GDPR). Molte richieste possono essere soddisfatte dal Titolare direttamente con le funzioni del Servizio (ad esempio consultazione, modifica e cancellazione delle schede clienti).

Se un interessato si rivolge direttamente al Responsabile per dati trattati per conto del Titolare, il Responsabile inoltra la richiesta al Titolare senza ingiustificato ritardo e non vi risponde nel merito, salvo diversa istruzione.

Il Responsabile assiste inoltre il Titolare, fornendo le informazioni in suo possesso, negli adempimenti degli artt. 32–36 GDPR, tra cui la valutazione d'impatto sulla protezione dei dati (DPIA) e l'eventuale consultazione preventiva dell'autorità di controllo.

L'assistenza che richieda attività non ordinarie può essere oggetto di un compenso ragionevole, concordato in anticipo, salvo che si renda necessaria per un inadempimento del Responsabile.

Il Responsabile informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando ne è venuto a conoscenza, di ogni violazione dei dati personali (data breach) che riguardi i Dati, scrivendo all'indirizzo email dell'amministratore dell'Attività.

La comunicazione contiene, nella misura in cui sono disponibili, le informazioni dell'art. 33.3 GDPR: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolti, contatto presso cui ottenere informazioni, conseguenze probabili, misure adottate o proposte per porvi rimedio e attenuarne gli effetti. Le informazioni non disponibili subito sono fornite in seguito, senza ulteriore ingiustificato ritardo.

Il Responsabile adotta senza ritardo le misure ragionevoli per contenere la violazione, documenta i fatti e collabora con il Titolare per le notifiche all'autorità di controllo e le comunicazioni agli interessati, che restano di competenza del Titolare.

Alla cessazione del contratto, per 30 giorni il Responsabile conserva i Dati e, su richiesta del Titolare inviata ai contatti dell'art. 15, ne restituisce una copia in un formato strutturato e di uso comune oppure li cancella anticipatamente (Termini, art. 18).

Decorsi 30 giorni il Responsabile cancella i Dati, salvo che il diritto dell'Unione o nazionale ne preveda la conservazione, e su richiesta ne dà conferma scritta. I Dati cancellati scompaiono anche dalle copie di sicurezza (backup) entro al massimo ulteriori 7 giorni (copia giornaliera; sull'istanza è conservata solo l'ultima copia, mentre nel bucket le copie sono conservate per un massimo di 7 giorni, dopodiché vengono cancellate automaticamente); nel frattempo restano protetti e non utilizzati.

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi dell'art. 28 GDPR e consente e contribuisce alle attività di revisione, comprese le ispezioni, svolte dal Titolare o da un revisore da lui incaricato e vincolato alla riservatezza.

Salvo che siano richieste da un'autorità di controllo o seguano una violazione dei dati personali, le verifiche si svolgono non più di una volta all'anno, con preavviso scritto di almeno 30 giorni, in orario lavorativo, senza pregiudicare la sicurezza del Servizio né la riservatezza dei dati degli altri clienti. Il Responsabile può soddisfare la richiesta anche fornendo documentazione, risposte scritte o certificazioni proprie o dei sub-responsabili. I costi della verifica sono a carico del Titolare, salvo che emergano inadempimenti rilevanti del Responsabile.

Ciascuna parte risponde verso gli interessati e le autorità secondo l'art. 82 GDPR. Il Responsabile risponde per il danno causato dal trattamento solo se non ha adempiuto gli obblighi del GDPR specificamente diretti ai responsabili o ha agito in modo difforme o contrario alle istruzioni legittime del Titolare.

Nei rapporti tra le parti si applicano i limiti di responsabilità dell'art. 15 dei Termini, salvo i casi di dolo o colpa grave e quelli in cui la legge non consente limitazioni. Il Titolare tiene indenne il Responsabile dalle conseguenze di trattamenti eseguiti secondo le sue istruzioni o di Dati inseriti senza una base giuridica valida (Termini, art. 9).

Referente privacy / punto di contatto per la protezione dei dati del Responsabile: Fabio Murolo, raggiungibile all'indirizzo info@kera-office.io e alla PEC internetbusiness.srl@pec.it.

Le comunicazioni del Responsabile al Titolare avvengono all'indirizzo email dell'amministratore dell'Attività e/o nell'Area riservata; il Titolare mantiene aggiornato tale indirizzo.

In caso di contrasto tra la Nomina e i Termini, per quanto riguarda la protezione dei dati personali prevale la Nomina. Le modifiche della Nomina seguono la procedura dell'art. 19 dei Termini; restano salve le modifiche imposte dalla legge o dalle autorità, comprese eventuali clausole contrattuali tipo adottate dalla Commissione europea o dal Garante.

La Nomina è regolata dalla legge italiana; per le controversie è competente il Foro indicato nei Termini (art. 22).

• 1. Cifratura in transito: il sito e il Servizio sono raggiungibili tramite HTTPS.
• 2. Separazione tra attività: ogni dato è associato all'Attività a cui appartiene e ogni richiesta è limitata ai dati dell'Attività dell'Utente; l'appartenenza viene verificata anche sulle singole risorse (schede, file, avvisi), con test automatici di isolamento.
• 3. Controllo degli accessi: credenziali personali per ogni Utente; ruoli amministratore, manager e operatore; disattivazione degli Utenti da parte dell'amministratore; area di amministrazione della piattaforma riservata al personale autorizzato del Responsabile.
• 4. Autenticazione: password conservate solo come hash bcrypt; token di accesso firmati e con scadenza; blocco temporaneo dell'accesso dopo 10 tentativi non riusciti in 15 minuti sullo stesso indirizzo email.
• 5. Segreti: le chiavi dei servizi collegati (ad esempio pagamenti, intelligenza artificiale, WhatsApp) sono conservate cifrate nel database.
• 6. Canali in ingresso: i messaggi ricevuti da WhatsApp, dal sistema di posta e da Stripe sono accettati solo con firma HMAC valida; i messaggi già ricevuti non vengono elaborati due volte.
• 7. Dati particolari e finanziari: gli IBAN compaiono parzialmente oscurati nelle risposte dell'assistente e nelle email mostrate e non vengono salvati in automatico dalle email; le informazioni sulla salute riconosciute sono segnalate come sensibili, non sono trascritte negli appunti né riportate nelle notifiche e generano un avviso «Da gestire»; i documenti che le contengono restano in quarantena nell'avviso, con il nome del file nascosto negli elenchi e nelle notifiche.
• 8. Allegati: verifica dell'impronta sha256 dei file ricevuti via email; programmi eseguibili, archivi compressi, file rovinati o oltre 12 MB non sono salvati; i file in quarantena si scaricano solo dagli Utenti dell'Attività, come allegato e senza cache.
• 9. Controlli sull'intelligenza artificiale: riconoscimento di istruzioni anomale inserite in messaggi e documenti (che non vengono eseguite); l'assistente non scrive ai clienti finali e chiede conferma prima di modificare i campi delle schede; i casi incerti diventano avvisi per gli Utenti.
• 10. Tracciabilità: registro delle operazioni di creazione, modifica e cancellazione delle schede clienti, con autore e data; log tecnici e degli accessi degli amministratori di sistema conservati 1 anno.
• 11. Infrastruttura: hosting su Google Cloud nell'Unione europea (Paesi Bassi, Google Cloud regione europe-west4), con la sicurezza fisica e ambientale dei data center garantita dal fornitore e la cifratura dei dati a riposo applicata per impostazione predefinita da Google Cloud.
• 12. Copie di sicurezza (backup): copia giornaliera dei dati, conservata sull'istanza e copiata in un bucket Google Cloud Storage nella stessa regione (europe-west4, Unione Europea). Conservazione: sull'istanza è conservata solo l'ultima copia, mentre nel bucket le copie sono conservate per un massimo di 7 giorni, dopodiché vengono cancellate automaticamente.
• 13. Organizzazione: personale autorizzato e istruito, vincolato alla riservatezza (art. 6); amministratori di sistema designati (provvedimento del Garante del 27 novembre 2008); procedura di gestione delle violazioni (art. 11).

• Google Cloud EMEA Ltd (Irlanda) / Google LLC (Stati Uniti) – hosting di server, database, file e copie di backup del Servizio; luogo del trattamento: Unione Europea – Paesi Bassi (Google Cloud, regione europe-west4). L'hosting non comporta trasferimenti fuori dall'UE; per eventuali accessi da paesi terzi (ad esempio assistenza tecnica da remoto o sub-responsabili di Google): Data Privacy Framework UE-USA e/o Clausole contrattuali standard.
• OpenAI (Stati Uniti) – elaborazione con intelligenza artificiale di testi, documenti, immagini e audio inviati all'assistente, tramite servizi API. Trasferimento: Data Privacy Framework UE-USA e/o Clausole contrattuali standard.
• Meta Platforms Ireland Ltd / Meta Platforms, Inc. – WhatsApp Business Platform (Cloud API): transito dei messaggi WhatsApp tra i numeri collegati e il Servizio. La piattaforma di collegamento è gestita direttamente dal Responsabile e si connette alle API di Meta. Trasferimento: Data Privacy Framework UE-USA e/o Clausole contrattuali standard.
• Servizi push dei browser e dei sistemi operativi (ad esempio Google, Mozilla, Apple, Microsoft, secondo il browser usato dall'Utente) – recapito delle notifiche push cifrate ai dispositivi degli Utenti che le hanno attivate.

Non sono sub-responsabili per i Dati: Stripe, che tratta soltanto i dati di pagamento e fatturazione del Titolare stesso come cliente del Servizio (trattati dal Responsabile come titolare autonomo, vedi Informativa Privacy), e non riceve dati dei clienti finali; il server di posta (basato su Modoboa) e il servizio di smistamento delle email (AI Ops Hub), gestiti direttamente dal Responsabile sulla propria infrastruttura.