accordo sul trattamento dei dati (DPA)

Il presente accordo sul trattamento dei dati (di seguito „DPA") precisa gli obblighi previsti dall'art. 28 GDPR per il trattamento dei dati personali che effettuiamo per conto dei nostri clienti. Integra le Condizioni generali di contratto (di seguito „contratto principale") e va letto insieme alla informativa sulla privacy . In caso di contrasto tra il contratto principale e questo DPA prevalgono le disposizioni di questo DPA, per quanto riguarda il trattamento di dati personali per conto del cliente.

1. Parti del contratto e ruoli

Responsabile del trattamento è la HACO d. Gschnitzer Franz Josef KG, Angerweg 43 - Gasteig, 39040 Ratschings (BZ), Alto Adige, Italia (di seguito „noi" o „fornitore"). Contatto: team@smartchat.marketing.

Titolare del trattamento sei tu, come cliente che usa SmartChat per raccogliere e contattare i propri contatti.

La ripartizione dei ruoli è duplice ed è descritta più nel dettaglio nella sezione 3 dell'informativa sulla privacy: per i dati del tuo account (registrazione, profilo di onboarding e aziendale, fatturazione, chat AI, canali collegati) siamo noi stessi titolari; per questi dati il presente DPA non si applica. Per i dati dei contatti che raccogli e contatti tramite SmartChat sei tu il titolare e noi trattiamo esclusivamente per tuo conto. Qui si parla solo di questi dati.

2. Oggetto e durata dell'incarico

Oggetto dell'incarico è la fornitura dei servizi di SmartChat descritti nel contratto principale, nella misura in cui vengono trattati dati personali dei tuoi contatti: in particolare la raccolta di contatti tramite landing page, widget per siti web, inserimento manuale o importazione, lo svolgimento della procedura di doppio opt-in, l'invio di newsletter WhatsApp e follow-up, la gestione dei messaggi in arrivo nella casella di posta, la creazione di statistiche e, se da te attivata, la risposta automatica ai messaggi in arrivo.

La durata dell'incarico corrisponde alla durata del contratto principale. Il DPA termina con la sua cessazione, senza bisogno di una disdetta separata. Gli obblighi di cancellazione e restituzione (sezione 10) e di riservatezza (sezione 5) restano validi anche dopo.

3. Natura, finalità e portata del trattamento

Trattiamo i dati esclusivamente allo scopo di fornirti i servizi concordati nel contratto principale. Non avviene alcun trattamento per scopi propri, in particolare per creare profili propri, per pubblicità propria o per la cessione a terzi.

3.1 Categorie di interessati

Gli interessati sono i contatti che registri e contatti tramite SmartChat (di seguito „contatti finali"): ad esempio potenziali clienti, iscritti alla tua newsletter e i tuoi clienti.

3.2 Tipi di dati trattati

• Dati anagrafici dei contatti finali: nome, indirizzo e-mail, numero di telefono, lingua
• Dati del consenso: stato del consenso, momento e canale del consenso o della conferma, nonché dati tecnici come indirizzo IP e browser
• Dati di contenuto: contenuti dei messaggi e delle conversazioni in entrata e in uscita
• Metadati dell'invio: informazioni su consegna e stato e statistiche che ne derivano
• Altri campi che raccogli tu stesso nei tuoi moduli

Le categorie particolari di dati personali ai sensi dell'art. 9 GDPR non sono oggetto dell'incarico. Se raccogli comunque questi dati tramite SmartChat, lo fai sotto la tua esclusiva responsabilità; in questo caso ci informi in anticipo.

4. Diritto di impartire istruzioni

Trattiamo i dati esclusivamente su tua istruzione documentata. Valgono come istruzioni questo DPA, il contratto principale e le impostazioni e gli inserimenti che fai tu stesso nell'applicazione (ad es. la creazione di una landing page, l'avvio di un invio o l'attivazione della risposta automatica).

Le singole istruzioni le invii in forma scritta a team@smartchat.marketing. Se riteniamo che un'istruzione violi la normativa vigente sulla protezione dei dati, te lo segnaliamo e possiamo sospenderne l'esecuzione fino alla tua conferma.

Se il diritto dell'Unione o di uno Stato membro ci obbliga a un trattamento ulteriore, ti informiamo prima del trattamento, a meno che il diritto non lo vieti per importanti motivi di interesse pubblico.

5. Riservatezza

Per il trattamento impieghiamo solo persone vincolate alla riservatezza o soggette a un adeguato obbligo legale di segretezza. L'obbligo resta valido anche dopo la fine dell'attività. La cerchia delle persone con accesso è limitata a quanto necessario per fornire il servizio.

6. Misure tecniche e organizzative (art. 32 GDPR)

Adottiamo misure tecniche e organizzative adeguate per garantire un livello di protezione adeguato al rischio. Tra queste in particolare:

• Separazione dei clienti: rigorosa separazione degli ambienti dei clienti a livello di database (Row Level Security); ogni ambiente cliente è separato logicamente.
• Crittografia della trasmissione: TLS/HTTPS per l'intera trasmissione dei dati.
• Crittografia dei dati di accesso sensibili: i token di WhatsApp e delle integrazioni sono salvati in forma crittografata (AES-256-GCM) e non vengono mai trasmessi al frontend del browser.
• Controllo degli accessi: accessi limitati a quanto necessario; accesso in scrittura al database esclusivamente lato server.
• Integrità: verifica della firma dei webhook in arrivo.
• Prova del consenso: registrazione del momento e del canale del consenso nella procedura di doppio opt-in.

Possiamo sviluppare e adattare le misure, purché il livello di protezione concordato non venga ridotto. Lo stato attuale è descritto nella sezione 6 dell'informativa sulla privacy.

7. Sub-responsabili del trattamento

Ci concedi l'autorizzazione generale a impiegare altri responsabili del trattamento. Li scegliamo con cura e li vincoliamo per contratto a obblighi di protezione dei dati conformi ai requisiti dell'art. 28 GDPR.

Ti informiamo in anticipo in forma scritta dell'aggiunta di un nuovo sub-responsabile o della sostituzione di uno esistente. Puoi opporti entro 14 giorni per un motivo importante legato alla protezione dei dati. Se poi non possiamo fornire il servizio senza il sub-responsabile in questione, entrambe le parti hanno il diritto di recedere dal contratto principale con effetto dall'entrata in vigore della modifica.

Al momento della conclusione del contratto sono impiegati i seguenti sub-responsabili:

Il nostro fornitore di servizi di pagamento Polar non è considerato sub-responsabile ai sensi di questo DPA: Polar tratta i tuoi dati di pagamento e di fatturazione sotto la propria responsabilità, non i dati dei tuoi contatti finali.

8. Trasferimento verso paesi terzi

Alcuni dei sub-responsabili indicati nella sezione 7 trattano dati al di fuori dell'UE o del SEE, in particolare negli USA. Questi trasferimenti avvengono solo in presenza di garanzie adeguate ai sensi del capo V del GDPR: sulla base dell'EU-U.S. Data Privacy Framework, se il destinatario è certificato, e/o sulla base delle clausole contrattuali standard della Commissione UE ai sensi dell'art. 46 GDPR.

9. Supporto al titolare del trattamento

Ti supportiamo, nei limiti delle nostre possibilità, nell'adempimento dei tuoi obblighi:

• Diritti degli interessati (artt. da 12 a 23 GDPR): Se un contatto finale si rivolge direttamente a noi con una richiesta di accesso, rettifica, cancellazione od opposizione, non rispondiamo noi, ma la inoltriamo subito a te. Accesso, rettifica, cancellazione ed esportazione dei tuoi contatti puoi farli tu stesso in qualsiasi momento nell'applicazione.
• Sicurezza, obblighi di notifica e valutazione d'impatto sulla protezione dei dati (artt. da 32 a 36 GDPR): Ti mettiamo a disposizione le informazioni che ti mancano per adempiere a questi obblighi.
• Disiscrizioni: Se un contatto finale si disiscrive (su WhatsApp ad es. con „STOP", per e-mail tramite il link di disiscrizione), viene bloccato automaticamente per gli invii successivi.

10. Notifica delle violazioni dei dati personali

Se veniamo a conoscenza di una violazione dei dati personali che riguarda i dati da noi trattati per tuo conto, ti informiamo senza indugio in forma scritta all'indirizzo e-mail registrato nel tuo account. La notifica contiene, se disponibili, una descrizione della natura della violazione, le categorie interessate e il numero approssimativo di persone e di record coinvolti, le probabili conseguenze e le misure adottate o proposte. La notifica all'autorità di controllo ai sensi dell'art. 33 GDPR e la comunicazione agli interessati ai sensi dell'art. 34 GDPR spettano a te come titolare.

11. Cancellazione e restituzione dopo la cessazione

Dopo la fine del contratto principale puoi esportare tu stesso entro 30 giorni i dati di contatto salvati nel tuo account. Scaduto questo termine cancelliamo i dati trattati per tuo conto o te li restituiamo, se non vi si oppone un obbligo legale di conservazione. Se esistono obblighi di conservazione, limitiamo invece il trattamento dei dati interessati.

Puoi inviare in qualsiasi momento una richiesta di cancellazione a team@smartchat.marketing; confermiamo la cancellazione entro 30 giorni.

12. Prove e controlli

Su richiesta ti dimostriamo in modo adeguato il rispetto degli obblighi di questo DPA, di norma tramite informazioni significative o prove disponibili. Hai il diritto di verificarne il rispetto. I controlli in loco vengono annunciati con il dovuto anticipo, si svolgono durante il nostro normale orario di lavoro e non devono ostacolare in modo eccessivo l'attività. I costi dei controlli che vanno oltre una semplice informazione possono esserti addebitati, se non c'è un motivo concreto per il controllo.

13. Responsabilità

Per la responsabilità valgono le disposizioni del contratto principale, salvo che l'art. 82 GDPR stabilisca in modo vincolante altrimenti. Nei rapporti interni sei tu responsabile della liceità della raccolta e dei consensi dei tuoi contatti finali; noi siamo responsabili del trattamento conforme alle istruzioni e al contratto.

14. Legge applicabile e foro competente

Si applica la legge italiana. Il foro competente per le controversie con imprenditori è, nei limiti consentiti dalla legge, la sede del fornitore a Bolzano (Italia). Restano salve le disposizioni vincolanti del GDPR.

15. Disposizioni finali

Modifiche e integrazioni di questo DPA richiedono la forma scritta. Se una disposizione dovesse essere invalida, la validità delle altre disposizioni resta invariata.

Aggiornato al: 17 luglio 2026