Contratto sul trattamento dei dati per conto del cliente

Versione 2.0, 15 settembre 2026. Ai sensi dell'art. 28 del Regolamento (UE) 2016/679. Forma parte integrante delle condizioni di vendita (art. 17) e si accetta con esse.

1. Parti e ruoli

Titolare del trattamento è il Cliente. Responsabile del trattamento è Gianmaria Palumbo, partita IVA 11703831005, domicilio in via Flaminia 732/i, 00191 Roma, ciao@rispondi.eu.

2. Oggetto, durata, natura e finalità

Oggetto: lettura delle recensioni del profilo Google Business del Cliente, generazione di bozze di risposta con un sistema di intelligenza artificiale, presentazione delle bozze nella consolle e pubblicazione delle sole risposte approvate dal Cliente. Durata: quella del contratto di servizio, più il tempo necessario alla cancellazione indicato all'articolo 9. Natura: raccolta tramite API, consultazione, elaborazione automatizzata, conservazione temporanea, pubblicazione su istruzione. Finalità: esclusivamente la fornitura del servizio al Cliente.

3. Dati e interessati

Interessati: le persone che hanno scritto recensioni al profilo del Cliente. Dati: nome visualizzato, testo della recensione, valutazione, data e ogni altra informazione che il recensore abbia scelto di inserire. Il testo può contenere, per scelta del recensore, dati appartenenti a categorie particolari, per esempio riferimenti alla salute: il Responsabile non li estrae, non li classifica e non li usa per finalità diverse dalla bozza, e il sistema segnala al Cliente le recensioni che ne contengono perché la risposta non li riprenda.

4. Istruzioni documentate

Il Responsabile tratta i dati soltanto su istruzione documentata del Cliente, costituita da questo contratto, dalle condizioni di vendita e dalle scelte fatte nella consolle, anche per quanto riguarda i trasferimenti verso paesi terzi. Istruzioni vincolanti del Responsabile: nessuna risposta viene pubblicata senza l'approvazione del Cliente data per ciascuna risposta; i dati non vengono usati per addestrare modelli; i dati di clienti diversi non vengono aggregati. Se un'istruzione del Cliente viola a suo parere il Regolamento, il Responsabile lo informa senza ritardo e ne sospende l'esecuzione.

5. Riservatezza

I dati sono accessibili al solo Responsabile. Se in futuro altre persone dovessero accedervi, lo faranno solo se autorizzate per iscritto e vincolate a un obbligo di riservatezza.

6. Sicurezza (art. 32)

Il Responsabile adotta almeno queste misure, che può migliorare ma non ridurre:

cifratura di tutte le connessioni; banca dati nell'Unione europea con cifratura a riposo;
accesso al profilo Google solo tramite consenso OAuth del Cliente, con il gettone di rinnovo conservato sul server e mai esposto al browser;
nessuna richiesta né conservazione di password di account Google;
conservazione dei contenuti delle recensioni per non più di 30 giorni, con cancellazione automatica;
delle risposte pubblicate, conservazione della sola impronta crittografica SHA-256 come prova dell'approvazione;
registro delle approvazioni con autore, data, modello e versione delle istruzioni;
controlli automatici sul codice che impediscono di aggiungere servizi esterni non dichiarati in questo contratto.

7. Sub-responsabili

Il Cliente autorizza in via generale il ricorso ai sub-responsabili elencati qui sotto. Il Responsabile comunica per posta elettronica ogni aggiunta o sostituzione con almeno trenta giorni di anticipo; entro quel termine il Cliente può opporsi e, se l'opposizione non trova soluzione, recedere senza costi. Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli di questo contratto e risponde verso il Cliente del loro adempimento.

Sub-responsabile	Attività	Luogo	Garanzie per il trasferimento
Vercel Vercel Inc., Stati Uniti	esegue l'applicazione e serve le pagine del sito	funzioni eseguite nella regione di Francoforte	società statunitense certificata all'EU-U.S. Data Privacy Framework, con clausole contrattuali tipo 2021/914 nel contratto sul trattamento
Neon Databricks, Inc., Stati Uniti, che controlla Neon	ospita la banca dati	regione di Francoforte	clausole contrattuali tipo 2021/914 con Databricks, controparte del contratto sul trattamento
Mistral AI Mistral AI SAS, Francia	genera le bozze di risposta con un modello di intelligenza artificiale	Unione europea	nessun trasferimento fuori dallo Spazio economico europeo dichiarato per il servizio usato; piano API a pagamento, con i dati esclusi dall'addestramento
Resend Resend, Inc., Stati Uniti	spedisce e riceve la posta di ciao@rispondi.eu	regione eu-west-1, Irlanda	società statunitense aderente all'EU-U.S. Data Privacy Framework, con clausole contrattuali tipo 2021/914 incorporate nel contratto sul trattamento

Google Ireland Limited non è un sub-responsabile: ospita il profilo del Cliente e le recensioni come titolare autonomo, nel rapporto diretto fra il Cliente e Google.

8. Assistenza al Cliente

Il Responsabile assiste il Cliente, tenendo conto della natura del trattamento: nel rispondere alle richieste degli interessati, inoltrandogli entro cinque giorni lavorativi quelle ricevute direttamente; nel garantire la sicurezza; nella notifica e comunicazione delle violazioni; nella valutazione d'impatto e nell'eventuale consultazione preventiva del Garante, mettendo a disposizione la propria valutazione d'impatto sul servizio.

9. Fine del trattamento

Alla cessazione del servizio il Responsabile interrompe l'accesso al profilo, cancella entro 30 giorni le bozze e i contenuti delle recensioni ancora conservati e, su richiesta scritta del Cliente presentata prima della cessazione, restituisce in formato strutturato le bozze non pubblicate. Resta conservato, per 10 anni, il registro delle approvazioni, che contiene impronte e non testi, come prova dell'approvazione del Cliente.

10. Violazioni dei dati

Il Responsabile informa il Cliente di ogni violazione dei dati trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore da quando ne viene a conoscenza, con le informazioni disponibili in quel momento: natura della violazione, categorie e numero approssimativo di interessati e registrazioni, conseguenze probabili, misure adottate o proposte. Le informazioni mancanti seguono appena disponibili.

11. Informazioni e verifiche

Il Responsabile mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo contratto: il registro dei trattamenti svolti per conto dei clienti, la valutazione d'impatto, l'elenco dei sub-responsabili con i relativi contratti. Consente verifiche documentali su richiesta scritta motivata, con preavviso di trenta giorni e al massimo una volta all'anno, salvo che a seguito di una violazione.

12. Trasferimenti verso paesi terzi

I trasferimenti verso paesi fuori dallo Spazio economico europeo avvengono solo verso i sub-responsabili indicati all'articolo 7 e con le garanzie ivi indicate, in conformità al capo V del Regolamento.