Questa traduzione è fornita per comodità. La versione inglese è il testo vincolante.
Vocito.ai · Piattaforma di receptionist vocale AI
Il presente Accordo sul trattamento dei dati ("DPA") è stipulato tra il cliente identificato nell'account Vocito.ai ("Titolare", "Cliente", "Lei") e Vocito.ai B.V. ("Responsabile", "Vocito", "noi"), e costituisce parte integrante dei Termini di servizio e dell'accordo tra le parti per la fornitura del Servizio Vocito.
Il presente DPA riflette l'accordo tra le parti in merito al trattamento dei dati personali da parte del Responsabile per conto del Titolare, in conformità ai requisiti dell' Articolo 28 del Regolamento generale sulla protezione dei dati (UE) 2016/679 ("GDPR").
Addendum sul periodo Beta (maggio 2026, GA): Mentre Vocito è in Beta, il periodo di conservazione di cui all'Allegato A si applica come 90 giorni per le registrazioni delle chiamate, le trascrizioni e i metadati delle conversazioni AI (i periodi predefiniti GA si applicano al termine della Beta). I sub-responsabili e le misure tecniche e organizzative di cui agli Allegati B/C si applicano invariati durante la Beta. Il Titolare (Cliente) riconosce che il trattamento nel periodo Beta può comportare brevi interruzioni, regressioni delle funzionalità o reset dei dati, come descritto nei nostri Termini di servizio §2 (Programma Beta). Vocito continuerà a rispettare i diritti degli interessati, la notifica delle violazioni e gli obblighi di audit ai sensi del presente DPA durante la Beta senza alcuna modifica.
Salvo diversa definizione nel presente documento, i termini con iniziale maiuscola hanno il significato attribuito loro nel GDPR o nei Termini di servizio. Si applicano le seguenti definizioni aggiuntive:
Il Cliente è il Titolare e Vocito è il Responsabile in relazione ai Dati Personali trattati tramite il Servizio. Il Responsabile tratta i Dati Personali esclusivamente per conto del Titolare e in conformità alle sue istruzioni documentate.
Il presente DPA si applica a tutti i Dati Personali che il Responsabile tratta per conto del Titolare in relazione alla fornitura del Servizio, come ulteriormente descritto nell' Allegato A.
Il presente DPA integra i Termini di servizio e ne costituisce parte. In caso di conflitto tra il presente DPA e i Termini di servizio in materia di protezione dei dati, prevale il presente DPA.
I dettagli delle attività di trattamento sono indicati nell' Allegato A e includono:
Il Responsabile:
Il Responsabile garantisce che tutte le persone autorizzate al trattamento dei Dati Personali si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
Il Responsabile adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, come descritto nell' Allegato B e in conformità all'Articolo 32 GDPR.
Il Responsabile rispetta le condizioni di cui alla Sezione 6 per l'incarico a sub-responsabili.
Il Responsabile assiste il Titolare nell'adempimento dei suoi obblighi di risposta alle richieste degli interessati, come indicato nella Sezione 9.
Tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile, il Responsabile assiste il Titolare nel garantire il rispetto degli Articoli da 32 a 36 GDPR, inclusi gli obblighi relativi alla sicurezza del trattamento, alla notifica delle violazioni dei dati personali, alle valutazioni d'impatto sulla protezione dei dati e alla consultazione preventiva delle autorità di controllo.
Il Responsabile, su scelta del Titolare, cancella o restituisce tutti i Dati Personali al termine della prestazione dei servizi, come indicato nella Sezione 13.
Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto dell'Articolo 28 GDPR e consente e contribuisce alle attività di audit, come indicato nella Sezione 12.
Il Titolare:
Il Titolare fornisce un' autorizzazione scritta generale al Responsabile per l'incarico a sub-responsabili che assistano nella fornitura del Servizio, nel rispetto delle condizioni di cui alla presente sezione. L'elenco attuale dei sub-responsabili autorizzati è riportato nell' Allegato C.
Qualora il Responsabile ricorra a un sub-responsabile:
Il Responsabile informa il Titolare con almeno 30 giorni di anticipo di eventuali modifiche previste riguardanti l'aggiunta o la sostituzione di sub-responsabili, dando al Titolare la possibilità di opporsi a tali modifiche.
Qualora il Titolare abbia motivi ragionevoli per opporsi all'incarico a un nuovo sub-responsabile, il Titolare ne informa il Responsabile entro 14 giorni dal ricevimento della notifica. Le parti discutono in buona fede le preoccupazioni del Titolare. Se le parti non raggiungono una soluzione, il Titolare può risolvere i servizi interessati senza penali mediante comunicazione scritta.
Il Responsabile adotta e mantiene le misure di sicurezza tecniche e organizzative descritte nell' Allegato B, che includono come minimo:
Il Responsabile valuta e aggiorna regolarmente le misure di sicurezza per garantire che restino adeguate ai rischi connessi al trattamento. Il Responsabile non riduce in modo sostanziale il livello complessivo di sicurezza durante la durata del presente DPA.
Il Responsabile notifica al Titolare una Violazione dei Dati Personali senza ingiustificato ritardo e in ogni caso entro 72 ore dopo esserne venuto a conoscenza. La notifica viene inviata all'indirizzo email associato all'account del Titolare e include, nella misura in cui siano disponibili:
Venuto a conoscenza di una Violazione dei Dati Personali, il Responsabile:
Il Titolare è responsabile di determinare se la Violazione dei Dati Personali debba essere notificata a un'autorità di controllo e/o agli Interessati ai sensi degli Articoli 33 e 34 GDPR. Il Responsabile fornisce al Titolare ogni ragionevole cooperazione e assistenza nell'effettuare tali valutazioni e nell'adempiere a tali obblighi.
Il Responsabile, tenendo conto della natura del trattamento, assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste degli Interessati per l'esercizio dei loro diritti di cui al Capo III del GDPR, tra cui:
Qualora il Responsabile riceva una richiesta direttamente da un Interessato, il Responsabile indirizza tempestivamente (e in ogni caso entro 5 giorni lavorativi) l'Interessato al Titolare e informa il Titolare della richiesta. Il Responsabile non risponde direttamente a tale richiesta, salvo autorizzazione del Titolare o obbligo di legge.
Il Responsabile mette a disposizione, tramite il dashboard del Servizio, funzionalità che consentono al Titolare di esportare i Dati del Cliente in formati di uso comune leggibili da dispositivo automatico (JSON, CSV). Il Titolare può utilizzare tali strumenti per soddisfare le richieste di portabilità dei dati.
Il Responsabile fornisce ragionevole assistenza al Titolare nello svolgimento delle valutazioni d'impatto sulla protezione dei dati ("DPIA") e delle consultazioni preventive con le autorità di controllo ai sensi degli Articoli 35 e 36 GDPR, ove richieste in relazione al trattamento dei Dati Personali tramite il Servizio. Tale assistenza include la fornitura di informazioni sulle attività di trattamento del Responsabile, sulle misure tecniche e organizzative e sugli accordi con i sub-responsabili.
Il Responsabile archivia i Dati del Cliente, inclusi i Dati Personali, principalmente all'interno dello Spazio Economico Europeo (SEE), in particolare nell'infrastruttura Supabase situata nella regione Irlanda (eu-west-1).
Alcuni sub-responsabili incaricati dal Responsabile si trovano negli Stati Uniti. Qualora i Dati Personali siano trasferiti verso un paese al di fuori del SEE che non abbia ottenuto una decisione di adeguatezza dalla Commissione europea, si applicano le seguenti garanzie:
Il Responsabile conduce e mantiene valutazioni d'impatto sui trasferimenti per ogni trasferimento internazionale, valutando il quadro giuridico del paese destinatario e l'efficacia delle garanzie in essere. Tali valutazioni sono messe a disposizione del Titolare su richiesta.
Il Responsabile mette a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'Articolo 28 GDPR e al presente DPA.
Il Responsabile consente e contribuisce alle attività di audit, comprese le ispezioni, realizzate dal Titolare o da un revisore incaricato dal Titolare, alle seguenti condizioni:
Ove disponibili, il Responsabile può fornire certificazioni pertinenti, report di audit (ad es. report SOC 2 Type II) o sintesi di audit indipendenti di terzi per soddisfare i requisiti di audit del Titolare. Il Titolare accetta di considerare tale documentazione in luogo di un audit fisico qualora essa risponda ragionevolmente alle preoccupazioni del Titolare.
Alla risoluzione o alla scadenza dell'accordo tra il Titolare e il Responsabile:
Il Responsabile può conservare Dati Personali dopo la risoluzione soltanto qualora:
In ogni caso, il Responsabile continua a proteggere tali dati conservati in conformità al presente DPA e limita il trattamento alle finalità richieste dalla legge.
Durante la durata dell'accordo, il Titolare può richiedere la cancellazione di specifici Dati del Cliente tramite il dashboard del Servizio o mediante richiesta scritta al Responsabile. Il Responsabile dà seguito a tali richieste entro 30 giorni, fatte salve la fattibilità tecnica e gli obblighi legali di conservazione.
Ciascuna parte è responsabile dei danni causati da un trattamento che violi il GDPR, in conformità all'Articolo 82 GDPR:
La responsabilità complessiva totale di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni di responsabilità previste nei Termini di servizio, fermo restando che tali limitazioni non si applicano a:
Ciascuna parte manleva l'altra parte da costi, pretese, danni o spese sostenuti a seguito della violazione, da parte della parte manlevante, del presente DPA o dei propri obblighi ai sensi del GDPR, a condizione che la parte che richiede la manleva informi tempestivamente l'altra parte e fornisca ragionevole cooperazione.
Il presente DPA decorre dalla data in cui il Titolare utilizza per la prima volta il Servizio e resta in vigore per tutto il tempo in cui il Responsabile tratta Dati Personali per conto del Titolare.
Gli obblighi del Responsabile ai sensi del presente DPA sopravvivono alla risoluzione dell'accordo nella misura necessaria ad adempiere ai propri obblighi di restituzione o cancellazione dei Dati Personali e a eventuali obblighi di confidenzialità in corso.
Il presente DPA è disciplinato e interpretato in conformità alle leggi dei Paesi Bassi, senza riguardo ai relativi principi sul conflitto di leggi. Qualsiasi controversia derivante dal presente DPA è soggetta alla giurisdizione esclusiva dei tribunali competenti di Amsterdam, Paesi Bassi.
Qualora una disposizione del presente DPA sia ritenuta invalida o inapplicabile, le restanti disposizioni rimarranno pienamente valide ed efficaci. La disposizione invalida sarà sostituita da una disposizione valida che rifletta il più fedelmente possibile l'intento originario.
Il presente DPA può essere modificato dal Responsabile per riflettere cambiamenti nella legge applicabile o nelle pratiche di trattamento dei dati del Responsabile. Le modifiche sostanziali sono notificate al Titolare con almeno 30 giorni di anticipo. L'uso continuato del Servizio dopo tale notifica costituisce accettazione del DPA modificato.
Il presente DPA, unitamente ai Termini di servizio, all'Informativa sulla privacy e a eventuali Moduli d'ordine applicabili, costituisce l'intero accordo tra le parti in relazione all'oggetto dello stesso.
Le domande relative al presente DPA devono essere indirizzate a: privacy@vocito.ai
| Oggetto | Trattamento di Dati Personali tramite la piattaforma di receptionist vocale AI Vocito |
|---|---|
| Durata | Per la durata dell'accordo tra Titolare e Responsabile, più i periodi di conservazione applicabili |
| Attività di trattamento | Finalità |
|---|---|
| Ricezione di chiamate telefoniche in entrata | Risposta alle chiamate per conto dell'azienda del Titolare tramite agente vocale AI |
| Registrazione delle chiamate | Registrazione delle conversazioni per la revisione, il controllo qualità e la tenuta dei registri del Titolare |
| Trascrizione delle chiamate | Conversione delle registrazioni vocali in testo per revisione, ricerca ed estrazione dei lead |
| Elaborazione AI delle conversazioni | Utilizzo di LLM per comprendere l'intento del chiamante, generare risposte ed estrarre informazioni strutturate |
| Messaggistica SMS | Invio di messaggi di testo di follow-up ai chiamanti per conto del Titolare |
| Gestione dei lead | Acquisizione, archiviazione e organizzazione delle informazioni sui lead provenienti dalle chiamate |
| Prenotazioni e pianificazione | Creazione di appuntamenti e voci di calendario per conto del Titolare |
| Integrazione email | Invio di notifiche e gestione delle comunicazioni email tramite Gmail/Microsoft 365 |
| Gestione dei dati CRM | Archiviazione e organizzazione dei dati relativi alle relazioni con i clienti |
| Analisi e reportistica | Generazione di statistiche di utilizzo, analisi delle chiamate e report sulle prestazioni |
| Archiviazione dei dati | Archiviazione dei Dati del Cliente in infrastruttura situata nell'UE |
Il Responsabile adotta le seguenti misure tecniche e organizzative ai sensi dell'Articolo 32 GDPR:
| Misura | Attuazione |
|---|---|
| Cifratura in transito | TLS 1.2+ per tutte le trasmissioni di dati, incluse chiamate API, accesso al dashboard e comunicazioni con i sub-responsabili |
| Cifratura a riposo | Cifratura AES-256 per tutti i Dati Personali archiviati, incluse registrazioni delle chiamate, record del database e archiviazione dei file |
| Gestione delle chiavi | Chiavi di cifratura gestite tramite servizi sicuri di gestione delle chiavi con separazione dei compiti |
| Misura | Attuazione |
|---|---|
| Autenticazione | Politiche di password robuste; MFA per tutti gli accessi amministrativi e di produzione |
| Autorizzazione | Controllo degli accessi basato sui ruoli (RBAC) secondo il principio del privilegio minimo; isolamento dei dati dei clienti |
| Revisioni degli accessi | Revisione trimestrale di tutte le autorizzazioni di accesso; revoca immediata in caso di cambio di ruolo o cessazione |
| Isolamento dei dati dei clienti | Separazione logica dei Dati del Cliente tramite row-level security (RLS) in Supabase PostgreSQL |
| Misura | Attuazione |
|---|---|
| Hosting | Hosting nella regione UE su Railway e Supabase con infrastruttura ospitata nell'UE, cifrata a riposo |
| Sicurezza della rete | Protezione firewall, segmentazione della rete, mitigazione DDoS |
| Gestione delle vulnerabilità | Scansione periodica delle vulnerabilità; correzione tempestiva delle vulnerabilità critiche |
| Penetration test | Penetration test annuale eseguito da terzi |
| Misura | Attuazione |
|---|---|
| Monitoraggio della sicurezza | Monitoraggio continuo di eventi di sicurezza, anomalie e tentativi di accesso non autorizzato |
| Log di audit | Registrazione degli accessi ai Dati Personali, delle azioni amministrative e degli eventi di sicurezza; log conservati per un minimo di 12 mesi |
| Risposta agli incidenti | Piano documentato di risposta agli incidenti con ruoli, percorsi di escalation e procedure di comunicazione definiti; notifica delle violazioni entro 72 ore |
| Misura | Attuazione |
|---|---|
| Minimizzazione dei dati | Trattamento limitato ai Dati Personali necessari per le finalità specificate; streaming in tempo reale verso i fornitori di AI anziché trasferimenti massivi di dati |
| Gestione della conservazione | Politiche automatizzate di conservazione dei dati con periodi di conservazione configurabili; cancellazione automatica dei dati scaduti |
| Procedure di cancellazione | Cancellazione sicura dei Dati Personali su richiesta o alla scadenza del periodo di conservazione, anche dai backup entro 90 giorni |
| Misura | Attuazione |
|---|---|
| Backup | Backup automatici periodici dei Dati del Cliente; archiviazione cifrata dei backup; procedure di ripristino testate |
| Ridondanza | Infrastruttura ridondante per i servizi critici; capacità di failover |
| Obiettivi di ripristino | Recovery Time Objective (RTO) e Recovery Point Objective (RPO) definiti per i sistemi critici |
| Misura | Attuazione |
|---|---|
| Confidenzialità | Tutto il personale firma accordi di confidenzialità relativi ai Dati Personali |
| Formazione | Formazione sulla consapevolezza in materia di sicurezza e protezione dei dati per tutto il personale all'ingresso e successivamente con cadenza annuale |
| Verifiche dei precedenti | Verifiche dei precedenti per il personale con accesso ai sistemi di produzione (ove consentito dalla legge) |
A maggio 2026, il Responsabile si avvale dei seguenti sub-responsabili:
| Sub-responsabile | Soggetto giuridico | Finalità | Dati trattati | Ubicazione | Meccanismo di trasferimento |
|---|---|---|---|---|---|
| Twilio | Twilio Inc. | Infrastruttura telefonica, instradamento delle chiamate vocali, consegna SMS | Numeri di telefono, audio delle chiamate (in tempo reale), metadati delle chiamate, contenuto degli SMS | USA | SCC + DPF |
| ElevenLabs | ElevenLabs Inc. | Sintesi vocale AI, generazione vocale in tempo reale | Audio delle chiamate (streaming in tempo reale) | USA | SCC |
| Anthropic | Anthropic PBC | Modello linguistico di grandi dimensioni (Claude) per la comprensione delle conversazioni e la generazione delle risposte | Trascrizioni delle chiamate (in tempo reale), contesto della conversazione | USA | SCC |
| Google LLC | Modello linguistico di grandi dimensioni (Gemini) per l'elaborazione delle conversazioni | Trascrizioni delle chiamate (in tempo reale), contesto della conversazione | USA / UE | SCC + DPF | |
| OpenAI | OpenAI Inc. | Modello linguistico di grandi dimensioni (GPT) per l'elaborazione delle conversazioni | Trascrizioni delle chiamate (in tempo reale), contesto della conversazione | USA | SCC + DPF |
| Supabase | Supabase Inc. | Hosting del database PostgreSQL, archiviazione dei file (registrazioni delle chiamate), autenticazione | Tutti i Dati del Cliente (dati dell'account, registrazioni delle chiamate, trascrizioni, lead, dati CRM) | UE (Irlanda) | Dati archiviati nel SEE; SCC con la società madre |
| Railway | Railway Corp. | Hosting ed esecuzione dell'applicazione backend | Dati applicativi in transito e durante l'elaborazione | Regione UE | Dati trattati nel SEE; SCC con la società madre |
Il presente elenco è mantenuto e aggiornato dal Responsabile. Il Titolare sarà informato con almeno 30 giorni di anticipo di eventuali aggiunte o modifiche a questo elenco.