Come trattiamo i dati dei tuoi clienti

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dei Termini di servizio di RuleInside ed è stipulato tra Ruleinside LLC (che opera con il nome commerciale RuleInside), numero di registrazione nel Wyoming 2023-001209068, 30 N Gould St, Ste 32376, Sheridan, WY 82801, Stati Uniti ("RuleInside", "responsabile del trattamento") e l'impresa che usa il servizio ("Esercente", "titolare del trattamento"). Si intende accettato contestualmente ai Termini di servizio; non è richiesta alcuna firma separata.

Disciplina il trattamento, da parte di RuleInside, dei dati personali relativi ai clienti e ai chiamanti dell'Esercente ("Dati degli Acquirenti").

Non disciplina i dati dell'account dell'Esercente stesso (nome, email, dati identificativi di fatturazione, dati di accesso). Per tali dati RuleInside è titolare autonomo del trattamento e la Privacy policy si applica.

1. Oggetto, durata, natura e finalità

2. Trattamento su istruzione documentata

2.1 RuleInside tratta i Dati degli Acquirenti soltanto su istruzione documentata dell'Esercente, anche in caso di trasferimenti verso un paese terzo. I Termini di servizio, il presente DPA e la configurazione del servizio effettuata dall'Esercente nel portale di RuleInside costituiscono, nel loro insieme, tali istruzioni.

2.2 Se RuleInside diventa soggetta a un obbligo di legge di trattare i Dati degli Acquirenti in altro modo, ne informerà l'Esercente prima del trattamento, salvo che tale legge vieti questa informazione per rilevanti motivi di interesse pubblico.

2.3 RuleInside informerà l'Esercente qualora, a suo parere, un'istruzione violi la normativa applicabile in materia di protezione dei dati, e potrà sospendere il trattamento interessato finché l'istruzione non sarà revocata o modificata.

2.4 RuleInside non utilizza i Dati degli Acquirenti per addestrare, affinare o migliorare alcun modello, e non li vende né li condivide a fini pubblicitari.

3. Riservatezza

3.1 RuleInside garantisce che le persone autorizzate al trattamento dei Dati degli Acquirenti siano vincolate da obblighi di riservatezza, contrattuali o di legge, che restano in vigore anche dopo la cessazione del loro incarico.

3.2 L'accesso è limitato a chi ne ha bisogno per fornire o supportare il servizio, e gli accessi amministrativi sono registrati in un registro di audit in sola aggiunta.

4. Sicurezza

RuleInside attua le misure tecniche e organizzative indicate in Allegato II, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura e delle finalità del trattamento e del rischio per gli interessati. RuleInside può aggiornare tali misure a condizione che il livello di protezione non venga ridotto.

5. Sub-responsabili del trattamento

5.1 L'Esercente concede autorizzazione scritta generale affinché RuleInside ricorra a sub-responsabili del trattamento (ciascuno è "un altro responsabile del trattamento", art. 28(2) GDPR). I sub-responsabili incaricati alla data del presente DPA sono elencati in Allegato III e pubblicati su ruleinside.com/it/sub-processori.

5.2 RuleInside dà all'Esercente un preavviso di almeno 14 giorni prima di nominare un sub-responsabile del trattamento nuovo o sostitutivo, aggiornando tale pagina e informandone l'Esercente all'indirizzo di contatto registrato.

5.3 L'Esercente può opporsi entro tale periodo per motivi ragionevoli legati alla protezione dei dati. Le parti si adopereranno in buona fede per risolvere l'opposizione. Se non vi riescono, l'Esercente può recedere dalla parte del servizio interessata senza penali e ottenere il rimborso dei corrispettivi pagati in anticipo per la parte cessata.

5.4 RuleInside impone a ciascun sub-responsabile del trattamento, mediante contratto scritto, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA, e resta pienamente responsabile nei confronti dell'Esercente per l'adempimento dei loro obblighi.

5.5 Alcuni responsabili del trattamento della catena sono incaricati da ElevenLabs, non da RuleInside: telefonia, modelli linguistici che generano le risposte dell'agente e consegna dei messaggi WhatsApp per un Esercente la cui messaggistica passa attraverso ElevenLabs. L'obbligo di RuleInside riguardo a tali soggetti discende dal suo contratto con ElevenLabs. Sono indicati nell'Allegato III affinché la catena sia visibile.

5.6 Se un Esercente collega a RuleInside il proprio account WhatsApp Business, l'Esercente accetta direttamente le condizioni commerciali di WhatsApp e WhatsApp tratta i messaggi in qualità di responsabile del trattamento dell'Esercente. RuleInside scambia i messaggi con WhatsApp su istruzione dell'Esercente e senza passare per ElevenLabs. RuleInside non risponde del trattamento effettuato da WhatsApp stesso in base all'accordo tra l'Esercente e WhatsApp.

5.7 Richieste delle autorità pubbliche. Se RuleInside riceve da un'autorità pubblica una richiesta giuridicamente vincolante relativa a dati personali trattati ai sensi del presente Accordo, RuleInside: (a) verifica la validità giuridica della richiesta prima di divulgare qualsiasi informazione; (b) contesta la richiesta se la ritiene illegittima e chiede misure cautelari, ove disponibili; (c) divulga soltanto i dati minimi necessari per adempiere; (d) registra la richiesta, la risposta, le motivazioni giuridiche e i soggetti coinvolti; e (e) informa l'Esercente, salvo che ciò le sia vietato per legge, nel qual caso RuleInside compie ragionevoli sforzi per ottenere una deroga a tale divieto. RuleInside non concede ad alcuna autorità pubblica un accesso diretto o illimitato ai dati personali.

6. Diritti degli interessati

6.1 Tenendo conto della natura del trattamento, RuleInside assiste l'Esercente con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo dell'Esercente di dare seguito alle richieste ai sensi del capo III del GDPR.

6.2 Il servizio offre funzioni di esportazione per il diritto di accesso e di cancellazione, ciascuna limitata a un singolo interessato e riferita sia al database di RuleInside sia ai dati delle conversazioni conservati presso ElevenLabs.

6.3 Se RuleInside riceve direttamente da un interessato una richiesta relativa ai Dati degli Acquirenti, non vi risponde nel merito e la inoltra all'Esercente senza ingiustificato ritardo, fermo restando che può confermare che la richiesta riguarda l'Esercente o indirizzare la persona all'Esercente, fatto salvo quanto previsto alla sezione 6.5, e fermo restando che l'annullamento dell'iscrizione di un Acquirente a un promemoria del carrello, o la sua risposta a un promemoria, viene gestito immediatamente.

6.4 I dati che restano conservati dopo una cancellazione sono indicati nell'Allegato II. I registri dei consensi e delle richieste di esclusione (tranne la registrazione delle spunte per i promemoria del carrello, che viene cancellata con il suo carrello) sono conservati ai sensi dell'art. 17(3)(b) GDPR, perché cancellarli distruggerebbe la prova che la persona ha chiesto di essere esclusa. Le voci dell'elenco degli indirizzi a cui non inviare email aggiunte da una cancellazione (Allegato II) sono conservate affinché nessun promemoria del carrello venga inviato all'indirizzo dopo la cancellazione, e non sono usate per nient'altro.

6.5 Opposizione alla registrazione. Se un Acquirente dice all'agente, durante una chiamata, di non volere che la chiamata sia registrata, e ciò viene rilevato dall'analisi automatica della chiamata effettuata dal servizio, l'Esercente dà istruzione a RuleInside di cancellare, e RuleInside cancella, la registrazione e la trascrizione di quella chiamata, insieme al relativo riepilogo, alle risposte raccolte, al relativo sentiment e a qualsiasi inoltro della chiamata non ancora inviato, sia nel database di RuleInside sia nei dati delle conversazioni conservati presso ElevenLabs. RuleInside dà seguito all'opposizione senza sottoporla all'Esercente. Le copie di RuleInside vengono cancellate entro pochi minuti dall'arrivo della chiamata al servizio; la conversazione presso ElevenLabs viene cancellata dopo che la chiamata è stata conteggiata ai fini della fatturazione, normalmente entro due giorni. RuleInside conserva l'informazione che la chiamata è avvenuta (data, durata, agente ed esito), i dati di contatto forniti dall'Acquirente, qualsiasi richiesta fatta dall'Acquirente durante la chiamata di cui l'Esercente ha bisogno per darvi seguito (per esempio una richiesta di rimborso con il motivo indicato, o una richiesta di esclusione) e l'identificativo della conversazione, affinché la chiamata non venga mai più memorizzata; il portale mostra la chiamata come cancellata su richiesta del chiamante. Il contenuto cancellato non può essere recuperato. Una copia che l'Esercente riceve o conserva al di fuori del servizio, per esempio tramite un proprio webhook, è sotto la responsabilità dell'Esercente.

7. Violazioni dei dati personali, valutazioni d'impatto e consultazione preventiva

7.1 RuleInside informa l'Esercente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali che riguarda i Dati degli Acquirenti, e in ogni caso in tempo utile per consentire all'Esercente di adempiere entro 72 ore al proprio obbligo ai sensi dell'art. 33. La comunicazione indica la natura della violazione, le categorie interessate e il loro numero approssimativo, le probabili conseguenze e le misure adottate.

7.2 Il punto di contatto designato è info (at) ruleinside.com.

7.3 RuleInside fornisce un'assistenza ragionevole per le valutazioni d'impatto sulla protezione dei dati e per la consultazione preventiva, tenendo conto della natura del trattamento e delle informazioni a sua disposizione.

8. Cancellazione o restituzione

8.1 Alla cessazione o alla scadenza, l'Esercente può esportare i Dati degli Acquirenti tramite il servizio per 30 giorni.

8.2 Al termine di tale periodo RuleInside cancella definitivamente tutti i Dati degli Acquirenti, compresi i relativi dati delle conversazioni conservati presso ElevenLabs, salvo che la conservazione sia richiesta dalla legge. Si tratta di una cancellazione, non di una disattivazione. Due cose conservate da Resend per i promemoria del carrello non sono raggiunte da questa cancellazione: un indirizzo che si trova nella lista di soppressione dell'account dei promemoria perché un promemoria è stato respinto vi resta e continua ad applicarsi ai promemoria di tutti gli Esercenti (Allegato II), e Resend conserva per 30 giorni le proprie copie delle email di promemoria, delle risposte degli Acquirenti e dei relativi inoltri.

8.3 Su scelta scritta dell'Esercente, comunicata entro il periodo di 30 giorni, RuleInside restituirà invece i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e successivamente li cancellerà.

8.4 Su richiesta, la cancellazione viene confermata per iscritto.

8.5 Durante il periodo di vigenza, le categorie di Dati degli Acquirenti scadono automaticamente secondo i periodi più brevi indicati nell'Allegato II. La sezione 8 disciplina la fine del rapporto; l'Allegato II disciplina la vita dei dati durante il rapporto.

9. Informazioni e audit

9.1 RuleInside mette a disposizione dell'Esercente tutte le informazioni necessarie per dimostrare il rispetto dell'art. 28, compresi il presente DPA, l'Allegato II e l'elenco dei sub-responsabili del trattamento.

9.2 RuleInside risponderà a un questionario scritto sulla protezione dei dati una volta in ogni periodo di dodici mesi, entro 30 giorni.

9.3 Se l'Esercente richiede ragionevolmente un audit, questo può essere svolto dall'Esercente o da un revisore indipendente da esso nominato che non sia un concorrente di RuleInside, con un preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, non più di una volta in ogni periodo di dodici mesi, nel rispetto della riservatezza e a spese dell'Esercente, salvo che l'audit riveli una non conformità sostanziale, nel qual caso RuleInside sostiene i costi ragionevoli. Ulteriori audit possono essere svolti se richiesti da un'autorità di controllo o a seguito di una violazione dei dati personali.

10. Trasferimenti internazionali

10.1 Il trattamento avviene in due regioni.

• Il database si trova nell'Unione europea (Irlanda). Contiene i registri dei contatti, i metadati delle chiamate, la copia della trascrizione, i registri dei consensi, lo storico degli eventi e i carrelli del checkout conservati per i promemoria del carrello.
• L'elaborazione della voce avviene negli Stati Uniti. Lì vengono gestiti l'audio delle chiamate e la trascrizione principale.
• Le email passano da Resend, che conserva i propri dati negli Stati Uniti, comprese le email di promemoria del carrello e le risposte degli Acquirenti.

10.2 RuleInside è un soggetto statunitense, pertanto il suo accesso costituisce un trasferimento. I trasferimenti si basano sulle Clausole contrattuali tipo (modulo due, da titolare del trattamento a responsabile del trattamento) approvate con la decisione di esecuzione (UE) 2021/914 della Commissione e, per i trasferimenti dal Regno Unito, sul documento denominato UK International Data Transfer Addendum (versione B1.0), entrambi incorporati nel presente DPA mediante rinvio e considerati sottoscritti al momento della sua entrata in vigore.

10.3 Se un sub-responsabile del trattamento è certificato ai sensi dell'EU-U.S. Data Privacy Framework, tale certificazione può essere invocata in aggiunta. ElevenLabs, che tratta l'audio delle chiamate, è certificata ai sensi dell'EU-U.S. Data Privacy Framework, dello Swiss-U.S. Framework e della UK Extension.

10.4 Il trattamento dell'audio delle chiamate esclusivamente nell'UE non è disponibile. L'Esercente che lo richieda dovrebbe segnalarlo prima di stipulare l'accordo.

11. Categorie particolari di dati personali

11.1 Il servizio non è progettato per trattare i dati di cui all'art. 9 GDPR, e l'Esercente non deve configurarlo per richiedere tali dati.

11.2 RuleInside non crea un'impronta vocale né alcun altro identificativo biometrico a partire dall'audio dei chiamanti. Archivia le registrazioni e le trascrizioni di ciò che è stato detto; non ne ricava alcun modello che identifichi una persona dalla sua voce.

11.3 Poiché una conversazione vocale, o la risposta di un Acquirente a un promemoria del carrello, ha un andamento libero, un Acquirente può fornire spontaneamente categorie particolari di dati personali senza che gli siano richieste, a parole o in un allegato. Tali dati sono soggetti alle stesse disposizioni previste per tutti gli altri Dati degli Acquirenti; un allegato a una risposta è conservato solo da Resend, per 30 giorni (Allegato II, "Dati conservati dopo la cancellazione").

12. Prevalenza

In caso di conflitto tra il presente DPA e i Termini di servizio, il presente DPA prevale per quanto riguarda il trattamento dei Dati degli Acquirenti.

Allegato I: descrizione del trattamento

Come indicato nella sezione 1.

Allegato II: misure tecniche e organizzative

Isolamento dei tenant

Ogni query filtra per identificativo del negozio. Il ruolo di servizio aggira la sicurezza a livello di riga, quindi il confine operativo tra tenant è il filtro applicato a ogni query, non la sicurezza a livello di riga; la regola deny-all a livello di riga è una misura di difesa in profondità. Un'eccezione, per i promemoria del carrello: la lista di soppressione del fornitore di email sull'account dei promemoria di RuleInside è condivisa da tutti gli Esercenti per gli indirizzi respinti (vedi "Nel dubbio, nessun contatto in uscita"). Ogni voce contiene l'indirizzo, il motivo per cui è stato aggiunto e l'email che lo ha causato; nessun Esercente può leggere la lista. Le segnalazioni e le risposte provenienti dal fornitore di email sono abbinate al relativo Esercente tramite un identificativo emesso da RuleInside (l'email o la fase del promemoria), e tutto ciò che segue è limitato a quell'Esercente.

Gestione dei segreti

Tutte le credenziali sono custodite in un vault gestito per i segreti e recuperate a ogni utilizzo. Le chiavi API degli Esercenti sono archiviate in forma di hash, mai in chiaro.

Accesso controllato ai dati personali

Ogni percorso che restituisce dati personali richiede un token di identità firmato e verificato dal server. L'ID chiamante è considerato falsificabile: il percorso di personalizzazione in entrata imposta sempre vuoto il token di identità e non restituisce dati personali, quindi un numero falsificato ottiene l'esperienza riservata agli ospiti.

Registro di audit

Il registro di audit amministrativo è in sola aggiunta; al ruolo di servizio sono revocati i permessi di aggiornamento, eliminazione e troncamento, quindi l'identità che esegue un'azione non può riscriverne la traccia. Gli eventi di consenso sono protetti allo stesso modo.

Crittografia

I dati sono cifrati in transito e a riposo.

Nel dubbio, nessun contatto in uscita

Le chiamate devono superare quattro controlli indipendenti: richiesta di esclusione, elenco di numeri da non chiamare, consenso e fascia oraria di chiamata. I messaggi WhatsApp devono superare i primi tre; i messaggi di marketing inviati automaticamente attendono anche la fascia oraria di chiamata, un messaggio trattenuto perché manca il fuso orario scade dopo 7 giorni, un codice richiesto dall'Acquirente viene inviato subito solo entro 24 ore dalla richiesta, e un messaggio di marketing che l'Esercente invia manualmente a una singola persona viene inviato subito. L'unico messaggio che conferma lo STOP o lo START di un Acquirente viene inviato senza i controlli. Qualsiasi errore, in qualunque controllo, fa sì che il destinatario non venga contattato. Un'email di promemoria del carrello viene inviata solo se la spunta dell'Acquirente per quel carrello è ancora valida, se l'Acquirente non ha risposto a un promemoria su quel carrello (una risposta interrompe i promemoria per tutti i carrelli conservati in quel momento per quell'indirizzo), se l'indirizzo non compare in alcuna voce dell'elenco di quell'Esercente degli indirizzi a cui non inviare email (un annullamento dell'iscrizione, un indirizzo respinto, una segnalazione di spam sul promemoria dell'Esercente o una cancellazione eseguita per l'Esercente), se il fornitore di email non lo rifiuta e se il registro del contatto che RuleInside conserva per l'Esercente non mostra alcuna richiesta di esclusione da chiamate, messaggi WhatsApp o email; un errore in uno qualsiasi di questi controlli fa sì che nessuna email venga inviata. I promemoria di tutti gli Esercenti vengono inviati da un unico account Resend di RuleInside. La sua lista di soppressione è condivisa solo per gli indirizzi respinti: a un indirizzo respinto per il promemoria di un qualsiasi Esercente (l'indirizzo non esiste) non vengono inviati promemoria per nessun Esercente. Una segnalazione di spam viene conservata come voce propria dell'Esercente segnalato nel suo elenco degli indirizzi a cui non inviare email e rimossa dalla lista condivisa, di norma entro pochi minuti; finché la rimozione non è avvenuta, e se il fornitore di email la rifiuta, vengono rifiutati anche i promemoria degli altri Esercenti a quell'indirizzo; nessun Esercente registra una voce a partire dall'evento di un altro Esercente. A un Esercente i cui Acquirenti segnalano troppo spesso i suoi promemoria come spam (almeno 2 segnalazioni e più dello 0,3% dei suoi invii in 7 giorni) vengono sospesi i promemoria, così che un Esercente non possa danneggiare il recapito degli altri.

Integrità del consenso

L'importazione dei dati non concede mai il consenso di un contatto a essere contattato; tale consenso viene registrato da un unico modulo. L'unico altro consenso, la spunta di un Acquirente sulla casella dei promemoria del carrello, che consente promemoria solo per quel carrello, viene registrato solo dal checkout dell'Acquirente stesso, nel record del carrello e in un registro in sola aggiunta, e non diventa mai consenso per nessun altro tipo di contatto.

Conservazione, come avviene in pratica

Le procedure di scadenza automatica vengono eseguite ogni 5 minuti: testo letterale dei messaggi 180 giorni; conversazioni, sentiment ed eventi di contatto 365 giorni; log di consegna 30 giorni; registri di idempotenza delle richieste 24 ore. I dati delle conversazioni presso ElevenLabs vengono cancellati dopo 365 giorni, salvo quando l'Esercente ha utilizzato un proprio workspace ElevenLabs, nel qual caso seguono le impostazioni di tale workspace secondo le istruzioni dell'Esercente; l'audio delle chiamate presso ElevenLabs viene conservato per 90 giorni. Una chiamata il cui Acquirente si è opposto alla registrazione viene cancellata prima, ai sensi della sezione 6.5. Un checkout conservato per i promemoria del carrello, con la registrazione della spunta, le fasi dei promemoria, i registri delle email e degli inoltri delle risposte, e la registrazione di un ordine effettuato in un negozio con i promemoria del carrello attivi, vengono cancellati 30 giorni dopo la loro ultima attività (una modifica, una spunta messa o tolta, o un ordine).

Dati conservati dopo la cancellazione

I registri dei consensi e delle richieste di esclusione (tranne la registrazione delle spunte per i promemoria del carrello, che viene cancellata con il suo carrello) restano conservati anche dopo una richiesta di cancellazione, ai sensi dell'art. 17(3)(b), perché cancellarli distruggerebbe la prova che la persona ha chiesto di essere esclusa. Per una chiamata cancellata ai sensi della sezione 6.5, vengono conservati l'informazione che la chiamata è avvenuta (data, durata, agente ed esito), i dati di contatto forniti dall'Acquirente, qualsiasi richiesta fatta dall'Acquirente durante la chiamata di cui l'Esercente ha bisogno per darvi seguito (per esempio una richiesta di rimborso con il motivo indicato, o una richiesta di esclusione) e l'identificativo della conversazione; è l'identificativo della conversazione a garantire che la chiamata non venga mai più memorizzata. Una cancellazione aggiunge all'elenco dell'Esercente degli indirizzi a cui non inviare email una forma codificata di ogni indirizzo email presente nella richiesta o nei registri dei contatti a cui corrisponde, e di qualsiasi indirizzo presente in un checkout trovato tramite il numero di telefono dell'Acquirente, conservata fino alla cancellazione dei dati dell'Esercente, affinché nessun promemoria del carrello raggiunga più quell'indirizzo. Ciò vale per ogni cancellazione, che l'Acquirente abbia mai spuntato o no una casella dei promemoria del carrello. Il codice è ricavato dall'indirizzo, non è l'indirizzo stesso; può essere verificato da chi conosce già l'indirizzo ed è trattato come dato personale. Una cancellazione non raggiunge Resend: l'indirizzo di un Acquirente che si trova nella lista di soppressione di Resend perché un promemoria è stato respinto vi resta, e Resend conserva per 30 giorni le proprie copie delle email di promemoria, delle risposte e degli inoltri.

Allegato III: sub-responsabili del trattamento

Incaricati direttamente da RuleInside

Se l'Esercente collega il proprio account WhatsApp Business, WhatsApp non è un sub-responsabile del trattamento di RuleInside: tratta i messaggi in qualità di responsabile del trattamento dell'Esercente stesso (sezione 5.6).

Incaricati da ElevenLabs, indicati per rendere visibile la catena (sezione 5.5)

L'elenco aggiornato è disponibile su ruleinside.com/it/sub-processori.