Accordo sul trattamento dei dati

Ruoli: chi decide e chi esegue

Il GDPR distingue due figure. Il titolare del trattamento è chi decide perché e come si usano i dati personali. Il responsabile del trattamento è chi li tratta per conto del titolare, facendo solo quello che il titolare gli dice di fare.

Per i dati delle persone che chiamano il tuo numero, il titolare sei tu: sono i tuoi clienti, il rapporto è con te, sei tu a decidere cosa l'assistente deve chiedere loro. Il responsabile siamo noi: Francesco Vitale, ditta individuale operante come Idra, Via della Repubblica 51, 95040 Ramacca (CT), P.IVA IT06178100878, privacy@ciaoidra.com.

I cappelli sono due e non vanno confusi. Per i dati del tuo account — la tua email, il nome della tua attività, il tuo abbonamento — il titolare siamo noi, e valgono le regole della privacy policy. Questo accordo riguarda solo i dati dei tuoi chiamanti.

Questo documento fa parte dei Termini e diventa vincolante tra noi nel momento in cui crei l'account. Se su come trattiamo i dati dei chiamanti i Termini dicessero qualcosa di diverso da qui, vale quello che c'è scritto qui. Se lo aggiorniamo ti scriviamo all'indirizzo email dell'account, con almeno 30 giorni di preavviso quando la modifica è sostanziale.

Oggetto, durata, natura e finalità

Cosa facciamo, in concreto. Rispondiamo alle chiamate in entrata sul numero che colleghi; parliamo con chi chiama usando una voce sintetica; trascriviamo la conversazione; ne estraiamo i dati che servono a te (chi ha chiamato, dove, che problema ha, quanto è urgente); creiamo o aggiorniamo la scheda cliente e il lavoro; ti avvisiamo sui canali che hai attivato; se lo hai attivato, mandiamo un SMS di conferma a chi ha chiamato; se hai attivato la registrazione, la chiamata viene registrata.

Perché lo facciamo. Solo per erogarti il servizio. I dati dei tuoi chiamanti non li usiamo per finalità nostre, non li vendiamo, non li cediamo a terzi per scopi loro e non li usiamo per addestrare modelli di intelligenza artificiale nostri.

Per quanto tempo. Per tutta la durata dell'abbonamento, più le finestre di conservazione qui sotto. Sono i tempi massimi entro cui il dato viene eliminato dal servizio.

Queste finestre non sono un proposito: un processo automatico notturno le applica al database e, per l'audio, chiede a Vapi di eliminare la registrazione, perché quella non è in casa nostra e azzerare il link non sarebbe una cancellazione. Se Vapi non risponde, la richiesta resta in coda e viene ritentata la notte dopo finché non è confermata.

Quali dati trattiamo e di chi

Gli interessati — cioè le persone a cui i dati si riferiscono — sono i tuoi clienti e chiunque altro chiami il numero collegato a Idra: chi chiede un preventivo e poi sparisce, un familiare che chiama per conto di qualcun altro, un amministratore di condominio, un fornitore, chi ha sbagliato numero. Rientrano anche le persone eventualmente nominate durante la chiamata.

I dati che l'assistente raccoglie e che finiscono nel tuo pannello:

• Nome di chi chiama e numero di telefono. Il numero è la chiave con cui riconosciamo la persona da una chiamata all'altra.
• Email, indirizzo e città, quando li dice.
• Il problema che descrive, con titolo, descrizione, urgenza e valore stimato del lavoro.
• Data, ora e note degli appuntamenti presi.
• La trascrizione integrale della chiamata e ogni singola battuta, sua e dell'assistente.
• Il riassunto della chiamata generato dall'intelligenza artificiale.
• Il link alla registrazione audio, quando la registrazione è attiva.
• Il motivo per cui una chiamata è stata passata a te (escalation) e il contenuto testuale degli strumenti che il modello ha usato durante la chiamata.

L'audio non lo conserviamo noi. La registrazione resta sull'infrastruttura di Vapi: noi teniamo solo il link, e quando la riascolti dal pannello è il tuo browser a scaricarla direttamente da Vapi.

Idra non è pensata per raccogliere categorie particolari di dati — salute, convinzioni religiose, opinioni politiche, orientamento sessuale, dati giudiziari. Non chiedere all'assistente di raccoglierli: vedi «Cosa devi fare tu».

Le tue istruzioni

Trattiamo i dati dei tuoi chiamanti solo su tua istruzione documentata. Le istruzioni sono: questo documento, i Termini, la configurazione che imposti nel pannello e le richieste che ci mandi per iscritto a privacy@ciaoidra.com.

La configurazione è un'istruzione. Il messaggio di benvenuto, i dati della tua attività, l'elenco dei servizi, le regole che scrivi all'assistente, il livello di autonomia, la registrazione accesa o spenta, i canali su cui vuoi le notifiche: ognuna di queste scelte è un ordine che ci dai su cosa raccogliere e cosa farne. Se dici all'assistente di chiedere un dato, quel dato lo stiamo raccogliendo per conto tuo, e la responsabilità di poterlo raccogliere è tua.

Autonomia dell'assistente. Di default l'assistente lavora in modalità di assistenza: raccoglie i dati e ti chiede di richiamare. Non prende appuntamenti da solo e non fa preventivi vincolanti. Se alzi il livello di autonomia, l'assistente può fissare appuntamenti e mandare messaggi da solo. In più, una chiamata classificata come emergenza può essere trasferita in diretta al tuo telefono. Sono azioni automatiche che avvengono perché le hai istruite tu.

Due cose le facciamo sempre e non si possono spegnere. All'inizio di ogni chiamata l'assistente dice di essere un assistente automatico e non una persona; se la registrazione è attiva, dice anche che la chiamata è registrata. È un obbligo dell'articolo 50 del Regolamento europeo sull'intelligenza artificiale, è scritto nel codice in due punti indipendenti e non c'è un interruttore nel pannello per disattivarlo.

Se un'istruzione ci sembra illegittima te lo diciamo. Se quello che ci chiedi viola, a nostro giudizio, il GDPR o un'altra norma sulla protezione dei dati, te lo scriviamo e possiamo sospendere quella singola istruzione finché non l'abbiamo chiarita insieme. Non è un parere legale: è un dovere che l'articolo 28 mette in capo a noi.

Fuori dalle tue istruzioni facciamo solo quello che serve a tenere in piedi il servizio (manutenzione tecnica, sicurezza, statistiche aggregate che non identificano nessuno) e quello che ci impone la legge. Se una legge ci obbliga a trattare i dati in modo diverso da come ci hai detto tu, ti avvisiamo prima, a meno che la legge stessa ce lo vieti.

I nostri obblighi come responsabile

Sono gli obblighi che l'articolo 28, paragrafo 3, del GDPR mette per iscritto. Ci impegniamo a:

• Trattare i dati dei tuoi chiamanti solo su tua istruzione documentata, compreso il trasferimento fuori dall'Unione europea, salvo un obbligo di legge di cui ti informiamo prima quando possiamo.
• Far sì che chi ha accesso ai dati sia vincolato alla riservatezza. Oggi l'unica persona con accesso amministrativo è il titolare della ditta individuale; se in futuro ci sarà qualcun altro, sarà vincolato per contratto prima di poter accedere.
• Adottare misure tecniche e organizzative adeguate ai sensi dell'articolo 32: quelle che abbiamo davvero sono elencate in «Sicurezza».
• Usare un altro fornitore (sub-responsabile) solo alle condizioni descritte in «I fornitori che usiamo», imponendogli per contratto gli stessi obblighi che abbiamo verso di te, e restando noi responsabili verso di te del suo operato.
• Aiutarti a rispondere alle richieste dei tuoi clienti che esercitano i loro diritti, con misure adeguate alla natura del trattamento.
• Assisterti negli obblighi degli articoli da 32 a 36 — sicurezza, notifica delle violazioni, valutazione d'impatto, consultazione preventiva del Garante — tenendo conto di quello che sappiamo e di quello che abbiamo a disposizione.
• Cancellare o restituirti i dati alla fine del rapporto, secondo quello che scegli tu, e cancellare le copie residue salvo obbligo di conservazione per legge.
• Metterti a disposizione le informazioni necessarie a dimostrare che rispettiamo questi obblighi e permettere le verifiche descritte in «Verifiche».

I fornitori che usiamo

Per far funzionare il servizio ci appoggiamo ad altri fornitori. Nel linguaggio del GDPR sono sub-responsabili: trattano i dati dei tuoi chiamanti per conto nostro, che li trattiamo per conto tuo. Accettando questo documento li autorizzi tutti (è l'autorizzazione generale scritta prevista dall'articolo 28, paragrafo 2). Questo è l'elenco completo, aggiornato:

Deepgram ed ElevenLabs sono nominati anche se non li chiamiamo mai direttamente: li configuriamo noi dentro l'assistente di Vapi, e nominare solo Vapi nasconderebbe un pezzo della catena.

Telegram: leggilo prima di attivarlo. Se colleghi il canale Telegram, il numero di telefono del chiamante e la descrizione del problema passano dai server di Telegram per arrivare sul tuo cellulare. Con Telegram non abbiamo un accordo sul trattamento dei dati come con gli altri fornitori di questa tabella: usiamo il servizio alle sue condizioni pubbliche. Non lo nascondiamo perché la scelta è tua: il canale Telegram è facoltativo ed è spento finché non lo colleghi tu, e al suo posto puoi ricevere le notifiche via email, SMS o WhatsApp. Se non lo colleghi, nessun dato dei tuoi chiamanti passa da Telegram.

Se cambiamo un fornitore. Ti scriviamo all'indirizzo email dell'account almeno 30 giorni prima di aggiungerne uno nuovo o di sostituirne uno esistente, dicendoti chi è, cosa farà e quali dati riceverà. Hai 30 giorni per opporti, scrivendo a privacy@ciaoidra.com e spiegando il motivo, se è un motivo ragionevole legato alla protezione dei dati. Se ti opponi cerchiamo una soluzione — tenere il tuo account sul fornitore precedente, o escludere quella funzione per te. Se non è tecnicamente possibile, puoi disdire l'abbonamento senza penali prima che la modifica entri in vigore. Se dobbiamo sostituire un fornitore d'urgenza, perché ha un problema di sicurezza o smette di erogare il servizio, agiamo subito e ti avvisiamo appena possibile.

Trasferimenti fuori dall'Unione europea

Il database sta in Europa: il progetto Supabase è a Francoforte, e le funzioni dell'applicazione girano su Vercel nella regione di Francoforte.

Tutti gli altri fornitori della tabella trattano i dati fuori dallo Spazio economico europeo. Questi trasferimenti si appoggiano alle garanzie previste dal Capo V del GDPR: le clausole contrattuali standard della Commissione europea contenute nei contratti dei singoli fornitori o, dove applicabile, una decisione di adeguatezza.

Diciamo quello che è vero e non di più: non abbiamo negoziato clausole su misura con questi fornitori, valgono i loro accordi standard, che sono pubblici sui loro siti e che puoi leggere. Se il tuo cliente finale o il tuo consulente ti chiede copia di quelle clausole, scrivici e ti indichiamo dove trovarle.

L'eccezione è di nuovo Telegram: se attivi quel canale, i dati che ci passano viaggiano fuori dal SEE sulla base delle sole condizioni pubbliche di Telegram, senza un accordo negoziato da noi. È l'unico punto della catena in cui questo accade.

Sicurezza

Le misure che ci sono davvero, oggi:

• Ogni tabella del database ha regole di accesso a livello di singola riga, che passano tutte da un unico controllo: «questo utente è il proprietario di questa attività». Se il controllo non passa, la riga non esiste nemmeno per chi la chiede. Un account non può vedere i dati di un altro.
• La chiave tecnica che aggira quelle regole è usata solo da sei rotte di sistema (i webhook dei fornitori e i processi automatici), mai dall'applicazione che usi tu.
• Ogni webhook è autenticato prima di essere eseguito: Vapi con un confronto a tempo costante, Stripe con la firma crittografica, Twilio con la sua verifica della richiesta, Telegram con un token segreto, i processi automatici con un token dedicato.
• Le credenziali vengono rimosse dai messaggi di errore, e nei log dell'applicazione non finiscono dati personali.
• Tutte le connessioni sono cifrate in transito (TLS).
• La cifratura dei dati a riposo è quella dei fornitori che li ospitano, Supabase e Vapi: fa fede la loro documentazione, non il nostro codice.

Quello che ancora non c'è, perché tu possa tenerne conto nella tua valutazione dei rischi invece di scoprirlo dopo: l'accesso al pannello è con email e password e non è ancora disponibile l'autenticazione a due fattori; non abbiamo ancora configurato gli header di sicurezza del browser (HSTS, CSP); e non c'è un pulsante per cancellare l'account da solo, la richiesta va fatta a noi. Nel frattempo: scegli una password lunga, non riutilizzarla altrove e non condividere l'account.

Cosa devi fare tu

Sei tu il titolare del trattamento, quindi alcune cose non possiamo farle al posto tuo. Sono poche e sono queste.

• Dillo a chi ti chiama. Le persone devono sapere che al telefono può rispondere un assistente automatico, che la conversazione viene trascritta e, se hai attivato la registrazione, registrata. La pagina che possono leggere l'abbiamo già scritta noi: informativa per chi chiama. Mettine il link sul tuo sito, dove pubblichi il numero e nella firma email, così l'informativa c'è anche prima che la persona alzi la cornetta. L'assistente lo dice anche a voce all'inizio di ogni chiamata, ma la frase parlata da sola non copre tutto quello che gli articoli 13 e 14 del GDPR chiedono a te.
• Assicurati di poter raccogliere quei dati. Devi avere una base giuridica per i dati che ci fai raccogliere: normalmente è l'esecuzione di un contratto o le misure precontrattuali richieste dall'interessato, cioè il preventivo o l'intervento che la persona ti sta chiedendo. Se configuri l'assistente per chiedere altro, la base giuridica per quell'altro devi averla tu.
• Non fargli raccogliere dati particolari. Non configurare l'assistente per chiedere informazioni su salute, convinzioni religiose o filosofiche, opinioni politiche, appartenenza sindacale, vita sessuale, dati biometrici o condanne penali. Idra non è progettata per quei dati e questo accordo non li copre.
• Non usare i numeri per marketing senza consenso. I numeri che arrivano da una chiamata di richiesta servono a rispondere a quella richiesta. Per mandare promozioni serve un consenso specifico, che devi raccogliere tu.
• Tieni il tuo registro dei trattamenti. Anche come ditta individuale sei un titolare e ti serve il registro previsto dall'articolo 30. Questo documento ti dà quasi tutto quello che ti serve per compilarlo: finalità, categorie di dati, categorie di interessati, fornitori, tempi di conservazione, trasferimenti.
• Rispondi tu ai tuoi clienti. Se un tuo cliente chiede di accedere ai propri dati o di cancellarli, la risposta la deve dare il titolare, cioè tu. Noi ti aiutiamo: vedi «I diritti dei tuoi clienti».
• Tieni al sicuro le tue credenziali e comunicaci subito se sospetti che qualcuno sia entrato nel tuo account.

Se queste cose non le fai, non possiamo farle noi al posto tuo: la posizione di titolare è tua, e le conseguenze di un'informativa mancata ricadono su di te.

Se c'è una violazione dei dati

Una violazione dei dati personali è qualsiasi incidente che porti alla distruzione, alla perdita, alla modifica, alla divulgazione o all'accesso non autorizzato ai dati: un attacco riuscito, un errore che espone dati a chi non doveva vederli, un dato cancellato per sbaglio e non recuperabile.

Se succede a noi o a uno dei fornitori dell'elenco, te lo comunichiamo senza ingiustificato ritardo da quando ne veniamo a conoscenza, scrivendo all'indirizzo email dell'account e, se la cosa è urgente, contattandoti anche su un altro canale che hai attivato.

Nella comunicazione trovi:

• Cosa è successo e quando, per quanto lo sappiamo in quel momento.
• Quali categorie di dati sono coinvolte e, in modo approssimativo, quante persone e quanti record.
• Le conseguenze probabili per le persone coinvolte.
• Cosa abbiamo già fatto e cosa proponiamo di fare per limitare i danni.
• Un contatto diretto a cui chiedere il resto: privacy@ciaoidra.com.

Se all'inizio non sappiamo tutto, ti mandiamo quello che abbiamo e poi ti aggiorniamo man mano. La notifica al Garante entro 72 ore, quando serve, la fa il titolare, cioè tu: noi non possiamo farla al posto tuo, ma ti diamo per iscritto tutto quello che ti serve per farla in tempo. Lo stesso vale per l'eventuale comunicazione alle persone coinvolte.

I diritti dei tuoi clienti

Le persone che chiamano hanno diritto di sapere quali dati hai su di loro, di farli correggere, di farli cancellare, di opporsi al trattamento e di riceverne una copia. Le richieste vanno fatte a te, che sei il titolare. Se per sbaglio arrivano direttamente a noi, non rispondiamo nel merito: te le giriamo senza indugio all'indirizzo dell'account, così i termini di legge decorrono per chi deve rispondere.

Come ti aiutiamo, in pratica:

• Cancellazione. La fai da solo, dalla scheda del cliente nel pannello: confermi digitando il suo numero di telefono e la cancellazione parte. Spariscono le conversazioni e le singole battute; dalle chiamate vengono rimossi la trascrizione, il riassunto, il link alla registrazione e il numero; vengono cancellati i recuperi di chiamata persa; il contenuto degli strumenti usati dal modello viene svuotato; la scheda cliente viene eliminata. Lavori e appuntamenti restano, ma scollegati dalla persona, perché ti servono per la contabilità.
• Rettifica. Correggi i dati direttamente nella scheda cliente.
• Accesso e portabilità. Non c'è ancora un pulsante di esportazione nel pannello: scrivici a privacy@ciaoidra.com indicando il numero di telefono della persona e ti prepariamo una copia leggibile dei suoi dati, in tempo utile perché tu possa rispondere entro il mese che il GDPR ti dà.

Una precisazione onesta sull'audio. La registrazione non è su di noi: sta su Vapi, e noi conserviamo solo il link. Quando cancelli un cliente non ci limitiamo a togliere il link: chiediamo subito a Vapi di eliminare la registrazione. Se Vapi in quel momento non risponde, la richiesta resta in coda e viene ritentata ogni notte finché non è andata a buon fine. In ogni caso, indipendentemente dalle cancellazioni, ogni registrazione viene eliminata da Vapi entro 30 giorni dalla chiamata.

Quando il rapporto finisce

Quando l'abbonamento termina, per disdetta tua o per mancato pagamento, i dati restano per 30 giorni. È una finestra di tolleranza: serve a non farti perdere lo storico dei clienti per una disdetta fatta per sbaglio o per un ripensamento. Passati i 30 giorni cancelliamo l'intero account a cascata: attività, clienti, chiamate, trascrizioni, riassunti, lavori, appuntamenti.

Dentro quella finestra puoi scegliere: se vuoi una copia dei dati prima che spariscano, chiedila a privacy@ciaoidra.com e te la prepariamo; se invece vuoi che tutto venga cancellato subito, senza aspettare i 30 giorni, chiedilo e lo facciamo. Nel pannello non c'è ancora un pulsante per cancellare l'account da solo: la richiesta passa da noi.

Quello che resta anche dopo. Le fatture e le registrazioni contabili dell'abbonamento stanno presso Stripe e vanno conservate 10 anni, come impone l'articolo 2220 del codice civile. Riguardano te come nostro cliente, non i tuoi chiamanti, e questo obbligo prevale su una richiesta di cancellazione: è uno dei casi in cui il diritto alla cancellazione cede a un obbligo di legge.

Le finestre di conservazione della tabella all'inizio valgono comunque, anche mentre l'abbonamento è attivo: una trascrizione di quattordici mesi fa non c'è più, che tu chiuda l'account o no.

Verifiche

Hai diritto di verificare che stiamo facendo quello che c'è scritto qui. Su richiesta scritta a privacy@ciaoidra.com, e normalmente non più di una volta all'anno, ti diamo: la versione aggiornata di questo documento, l'elenco corrente dei fornitori con finalità e sedi, la descrizione delle misure di sicurezza in essere, i riferimenti pubblici alla documentazione e alle certificazioni dei fornitori, e le risposte scritte a un questionario ragionevole sulla protezione dei dati. Se c'è stata una violazione che ti riguarda, o se te lo chiede un'autorità, il limite di una volta all'anno non si applica.

Siamo una ditta individuale e l'infrastruttura è dei fornitori: un'ispezione fisica nei loro data center non possiamo concederla, perché non è nostra da concedere. Se la tua organizzazione ha bisogno di un livello di verifica superiore a quello descritto qui, parliamone prima che tu attivi l'abbonamento, non dopo.

Per qualunque cosa riguardi questo accordo — una verifica, un'opposizione a un nuovo fornitore, una richiesta di un tuo cliente, il sospetto di una violazione — l'indirizzo è privacy@ciaoidra.com. Rispondiamo in italiano e in inglese.