Kreedl - Accordo sul trattamento dei dati

I termini «dati personali», «titolare del trattamento», «responsabile del trattamento», «trattamento», «interessato», «violazione dei dati personali» e «autorità di controllo» hanno il significato loro attribuito dal regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE («GDPR»). Per «Dati personali del Cliente» si intendono i dati personali che il Cliente fornisce o rende accessibili a Kreedl, o che Kreedl raccoglie per conto del Cliente nella prestazione dei servizi, compresi il contenuto delle comunicazioni, le registrazioni e le trascrizioni, indipendentemente dal fatto che i dati identifichino il Cliente o un terzo che instaura un rapporto contrattuale con il Cliente. Per «Sub-responsabile» si intende qualsiasi terzo incaricato da Kreedl del trattamento dei Dati personali del Cliente. Per «UK GDPR» si intende il GDPR come recepito nel diritto del Regno Unito.

Il Cliente è il titolare del trattamento dei Dati personali del Cliente. Kreedl è il responsabile del trattamento di tali dati. Kreedl è titolare autonomo del trattamento soltanto per i dati relativi all'account, alla fatturazione, all'utilizzo e al marketing del Cliente stesso, oppure quando un terzo utilizza i servizi di Kreedl senza aver instaurato un rapporto contrattuale con il Cliente. Le attività sono descritte in modo più dettagliato nel documento di Kreedl denominato Informativa sulla privacy, disponibile all'indirizzo kreedl.com/it/privacy («Informativa sulla privacy»).

Oggetto e finalità. Gestione di un assistente AI che comunica per conto del Cliente con inquilini, residenti, utilizzatori delle strutture, candidati, fornitori e altre persone tramite telefono, WhatsApp, SMS ed e-mail e compie le azioni autorizzate dal Cliente.

Natura del trattamento. Ricezione, registrazione, trascrizione, conservazione, analisi e sintesi delle comunicazioni; lettura o conservazione delle schede del Cliente secondo la modalità scelta (sezione 4); fissazione di appuntamenti; incarico dei fornitori; e, su istruzione, redazione di graduatorie dei candidati o sintesi di informazioni pubblicamente disponibili sui potenziali inquilini.

Categorie di interessati. Inquilini, residenti, potenziali inquilini o acquirenti, responsabili di punti vendita e utilizzatori delle strutture, fornitori e tecnici, dipendenti e rappresentanti del Cliente e qualsiasi altra persona che contatta un immobile servito da Kreedl.

Tipi di dati personali. Nome, recapiti, edificio e unità, durata e condizioni della locazione, importo del canone e stato dei pagamenti, documenti contrattuali, segnalazioni di guasti, foto, note vocali, registrazioni delle chiamate, trascrizioni, contenuto dei messaggi e metadati. Per i potenziali inquilini o acquirenti, inoltre, la data di ingresso prevista, la composizione del nucleo familiare, l'occupazione, il reddito, la modalità di finanziamento e le referenze, se il Cliente li richiede per valutare la domanda. Se il Cliente dispone la verifica dell'identità, le ultime quattro cifre del numero di identificazione nazionale ceco possono essere confrontate con le schede del Cliente; il numero completo non viene conservato. Kreedl non tratta codici delle porte né altre credenziali di accesso fisico.

Durata. I dati personali sono trattati per la durata del servizio ordinato e successivamente fino al completamento della restituzione e della cancellazione ai sensi della sezione 12. Le parti stabiliscono i limiti di conservazione dei dati in modo che rispecchino la natura intrinseca del servizio prestato. In particolare, ma non esclusivamente, i limiti di conservazione tengono conto della cessazione dei rapporti di locazione tra il Cliente e terzi, della tutela dei legittimi interessi del Titolare del trattamento in relazione al proprio patrimonio e dei periodi di conservazione obbligatori previsti dalla normativa di generale applicazione.

4.1 Il Cliente sceglie una delle tre modalità descritte nell'Informativa sulla privacy. Modalità A - nessun accesso alle schede del Cliente. Modalità B - accesso in lettura ai sistemi del Cliente senza conservazione delle schede. Modalità C - schede del Cliente conservate da Kreedl. In ogni modalità Kreedl conserva il contenuto delle comunicazioni, le registrazioni, le trascrizioni e i recapiti delle persone che comunicano con esso.

4.2 Le istruzioni documentate del Cliente consistono nella modalità scelta, nella configurazione concordata durante l'onboarding, nelle impostazioni effettuate dal Cliente nell'applicazione Kreedl, nei dati che il Cliente carica o rende accessibili e in qualsiasi istruzione scritta inviata a [email protected]. Il caricamento di dati, l'attivazione di un abbonamento, la creazione di un profilo o qualsiasi altra messa a disposizione di dati a Kreedl costituiscono un'istruzione del Cliente a trattare tali dati per le finalità di cui alla sezione 3.

4.3 Il Cliente può modificare la modalità o le proprie istruzioni in qualsiasi momento via e-mail, nell'applicazione o con un comportamento dal quale la modifica risulti chiaramente. Kreedl attua le modifiche entro 14 giorni.

4.4 Kreedl può rifiutare un'istruzione che, a suo ragionevole giudizio, violi il GDPR o altre norme di legge, informandone il Cliente. Kreedl può inoltre trattare i Dati personali del Cliente quando lo richieda il diritto dell'Unione o degli Stati membri; in tal caso ne informa il Cliente, salvo che la legge lo vieti.

Il Cliente dichiara e si impegna a quanto segue -

• dispone, e determina correttamente, di una base giuridica valida per tutti i Dati personali del Cliente che ottiene e trasferisce a Kreedl e per ogni comunicazione che incarica Kreedl di avviare. Il Cliente è l'unico responsabile dell'eventuale assenza di una base giuridica per la fornitura o il trasferimento dei dati;
• adempie all'obbligo di informare gli interessati ai sensi degli articoli 12, 13 e 14 del GDPR, compresa la pubblicazione delle informazioni per i chiamanti contenute nella Parte A delle Condizioni di conformità di Kreedl, e sostiene tale obbligo in via esclusiva, indipendentemente dal fatto che Kreedl pubblichi informazioni sull'attività in questione nella propria Informativa sulla privacy. Resta fermo l'obbligo di informazione di Kreedl in qualità di titolare autonomo del trattamento;
• qualora incarichi Kreedl di raccogliere informazioni pubblicamente disponibili sui potenziali inquilini, informa tali persone della fonte dei dati al più tardi al momento del primo contatto;
• qualora fornisca numeri di identificazione nazionale cechi, rispetta il § 13c della legge ceca n. 133/2000 Sb.;
• è responsabile dei limiti di autonomia che stabilisce e della gestione delle escalation;
• adotta misure tecniche e attuative che garantiscano la massima protezione possibile dei dati personali degli interessati ed è l'unico responsabile di tali misure, salvo che i dati siano conservati su un dispositivo o in un database detenuto o gestito esclusivamente da Kreedl;
• le sue istruzioni sono conformi alla legge. Il Cliente è l'unico responsabile della liceità delle proprie istruzioni e di qualsiasi sanzione connessa al loro mancato rispetto. Qualora una delle parti ritenga che l'esecuzione di un'istruzione del Cliente possa essere subordinata a una valutazione d'impatto sulla protezione dei dati («DPIA»), l'istruzione è sospesa fino all'approvazione della sua liceità sulla base di una DPIA, il cui costo è a carico del Cliente. Kreedl non è tuttavia tenuta a verificare attivamente o in altro modo la liceità delle istruzioni del Cliente.

Kreedl -

• tratta i Dati personali del Cliente esclusivamente sulla base delle istruzioni documentate del Cliente e solo per le finalità di cui alla sezione 3;
• garantisce che le persone autorizzate al trattamento dei Dati personali del Cliente siano vincolate da accordi di segretezza e riservatezza, qualora Kreedl le abbia autorizzate a effettuare il trattamento;
• attua le misure tecniche e organizzative di cui all'Allegato 1;
• non utilizza i Dati personali del Cliente per addestrare o perfezionare (fine-tuning) alcun modello di AI;
• assiste il Cliente nella gestione delle richieste degli interessati (sezione 9), in materia di sicurezza, di notifica delle violazioni e di valutazioni d'impatto sulla protezione dei dati (sezione 10), tenendo conto della natura del trattamento;
• cancella o restituisce i Dati personali del Cliente in conformità alla sezione 12;
• mette a disposizione le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR e consente gli audit in conformità alla sezione 11;
• tiene separati i dati resi accessibili dal Cliente da quelli che tratta in qualità di titolare autonomo del trattamento;
• adotta misure tecniche e attuative che garantiscano la massima protezione possibile dei dati personali degli interessati qualora i dati siano conservati su un dispositivo o in un database detenuto o gestito esclusivamente da Kreedl.

7.1 Il Cliente concede a Kreedl un'autorizzazione generale a ricorrere a sub-responsabili. L'elenco aggiornato si trova nella sezione 7 dell'Informativa sulla privacy, disponibile all'indirizzo kreedl.com/it/privacy.

7.2 Kreedl informa il Cliente via e-mail dell'aggiunta o della sostituzione di un sub-responsabile almeno 14 giorni prima che la modifica abbia effetto.

7.3 Se il Cliente si oppone entro 14 giorni dalla comunicazione per ragionevoli motivi attinenti alla protezione dei dati, Kreedl può proporre un'alternativa. In mancanza di accordo, l'unico rimedio del Cliente è recedere dai servizi interessati mediante comunicazione scritta, senza penali per la parte oggetto di recesso, con effetto dalla data in cui la modifica del sub-responsabile acquista efficacia. Kreedl non è tenuta a sostituire il sub-responsabile.

7.4 Kreedl impone a ciascun sub-responsabile obblighi in materia di protezione dei dati non meno rigorosi di quelli previsti dal presente DPA e rimane responsabile del loro adempimento.

7.5 Quando Kreedl ricorre a un nuovo sub-responsabile, è tenuta a indicarne l'identità nell'Informativa sulla privacy e a informarne il Cliente ai sensi del punto 7.2, affinché il Cliente possa adempiere al proprio obbligo di informazione di cui alla sezione 5.

Kreedl conserva i Dati personali del Cliente nell'Unione europea. L'elaborazione AI e la telefonia possono coinvolgere fornitori situati al di fuori del SEE o del Regno Unito. Per ciascuno di tali trasferimenti Kreedl si avvale delle clausole contrattuali tipo dell'UE, di una decisione di adeguatezza (compreso il quadro UE-USA per la protezione dei dati personali, EU-US Data Privacy Framework, se il fornitore è certificato) o, per i dati del Regno Unito, dell'addendum del Regno Unito sui trasferimenti internazionali di dati (UK International Data Transfer Addendum). Su richiesta scritta Kreedl offre una configurazione di trattamento esclusivamente UE; la richiesta spetta al Cliente. Il Cliente autorizza Kreedl a sottoscrivere per suo conto le clausole contrattuali tipo con i sub-responsabili. L'addendum del Regno Unito è disponibile su richiesta.

Se Kreedl riceve una richiesta di un interessato relativa ai Dati personali del Cliente, la inoltra al Cliente entro 3 giorni lavorativi e non risponde nel merito senza istruzioni. Kreedl fornisce un'assistenza ragionevole affinché il Cliente possa rispondere entro i termini di legge. L'assistenza che superi cinque richieste al mese o che richieda un impegno superiore al ragionevole è fatturata alla tariffa oraria di Kreedl in vigore.

10.1 Kreedl informa il Cliente di una violazione dei Dati personali del Cliente senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuta a conoscenza. La comunicazione iniziale contiene le informazioni note in quel momento. Le parti si prestano reciprocamente l'assistenza necessaria ai sensi degli articoli 33 e 34 del GDPR per eliminare i rischi, le conseguenze della violazione e le sanzioni dell'autorità di controllo, nonché per indagare con successo sulla violazione.

10.2 La notifica all'autorità di controllo e la comunicazione agli interessati spettano alla parte che gestisce il database o il dispositivo in cui si è verificata la violazione dei dati personali.

10.3 Qualora il Cliente debba effettuare una DPIA, Kreedl gli fornisce una descrizione del trattamento, le misure di cui all'Allegato 1 e le ulteriori informazioni ragionevoli strettamente necessarie per la redazione della DPIA. La valutazione è completata, approvata e detenuta dal Cliente. Il costo della redazione della DPIA è a carico del Cliente.

10.4 Nonostante l'approvazione del Cliente ai sensi del punto 10.3, Kreedl non è tenuta a eseguire un'istruzione del Cliente qualora, malgrado l'esistenza di una DPIA, abbia fondati motivi di sospettare che l'istruzione sia illecita, che nella redazione della DPIA non si sia tenuto sufficientemente conto del principio di minimizzazione dei dati o che la qualità e la legittimità della valutazione siano carenti.

Una volta per anno solare, con un preavviso scritto di 30 giorni, il Cliente può richiedere il questionario di sicurezza compilato da Kreedl, una copia dell'Allegato 1 e la documentazione disponibile che dimostri il rispetto del presente DPA. Un'ispezione in loco ha luogo soltanto nel luogo e nel momento in cui lo richiedano un'autorità di controllo o la legge, nel rispetto della riservatezza, senza accesso ai dati di altri Clienti e a spese del Cliente. Kreedl non è certificata ISO 27001 né SOC 2, non garantisce che le verifiche interne siano svolte in conformità a tali certificazioni e il Cliente ne prende atto.

12.1 Alla cessazione del contratto con il Cliente, e in qualsiasi momento su richiesta scritta, Kreedl esporta i Dati personali del Cliente in un formato strutturato e leggibile da dispositivo automatico (JSON; file audio per le registrazioni) e cancella i Dati personali del Cliente entro 30 giorni dalla cessazione. I backup cifrati vengono eliminati entro 90 giorni. Su richiesta Kreedl conferma per iscritto l'avvenuta cancellazione. Kreedl può conservare i dati quando ciò sia richiesto dalla legge, e soltanto a tale scopo.

12.2 Qualora venga meno la base giuridica in forza della quale il Cliente detiene i dati di un terzo in relazione a tale terzo, il Cliente ne informa Kreedl ed è l'unico responsabile di tale comunicazione. Kreedl procede alla cancellazione nel rispetto dei limiti di conservazione dei dati personali, salvo che il Cliente insista per conservare il dato per uno dei propri legittimi interessi; in tal caso il Cliente motiva il legittimo interesse. Il Cliente risponde di qualsiasi sanzione amministrativa o di altro tipo derivante dalla mancata comunicazione a Kreedl del venir meno della base giuridica, o dall'illegittimità del proprio interesse qualora tale interesse costituisca il motivo per prolungare la conservazione dei dati.

13.1 Nella misura massima consentita dalla legge, la responsabilità complessiva di Kreedl derivante dal presente DPA o ad esso connessa, comprese eventuali sanzioni amministrative o pretese degli interessati, è limitata all'importo pagato dal Cliente nei dodici mesi precedenti l'evento che ha dato origine alla pretesa, e Kreedl non risponde di danni indiretti o consequenziali, mancato guadagno, perdita di dati o danni alla reputazione.

13.2 Kreedl non ha alcun obbligo di manleva nei confronti del Cliente.

13.3 Il Cliente tiene indenne Kreedl da qualsiasi pretesa, sanzione, perdita o costo (incluse ragionevoli spese legali, e incluso il caso in cui, a causa di una condotta in alcun modo imputabile a Kreedl, Kreedl subisca una perdita o sia tenuta a soddisfare una pretesa o a pagare una sanzione ai sensi del punto 13.1 in misura eccedente il limite di responsabilità di cui al punto 13.1) derivanti dalla violazione da parte del Cliente del presente DPA o del GDPR, da un'istruzione del Cliente, da dati forniti senza una base giuridica o senza le informazioni dovute agli interessati, ove il presente DPA lo preveda espressamente, oppure dalle impostazioni di autonomia scelte dal Cliente.

Il presente DPA sopravvive alla cessazione del contratto con il Cliente fino alla prescrizione, ai sensi del diritto ceco, dell'ultima pretesa potenziale direttamente o indirettamente connessa ai diritti e agli obblighi derivanti dal presente DPA. Il DPA è disciplinato dalla legge della Repubblica Ceca e le controversie derivanti esclusivamente dal presente DPA sono decise dai tribunali competenti di Praga. Il DPA è pubblicato in inglese e in ceco; la presente versione italiana è una traduzione a titolo informativo. Prevale la versione inglese, salvo che il contratto con il Cliente disponga diversamente. Kreedl può aggiornare unilateralmente il presente DPA con un preavviso di 14 giorni comunicato ai Clienti via e-mail; l'utilizzo continuato dopo la data di efficacia equivale ad accettazione.

Cifratura. I Dati personali del Cliente sono cifrati a riposo (AES-256 o equivalente) e in transito (TLS 1.2 o superiore). Le registrazioni delle chiamate e i file sono conservati in uno storage a oggetti cifrato.

Controllo degli accessi. Accesso basato sui ruoli. Vi accede solo il personale di Kreedl che ne ha bisogno per gestire il servizio. L'autenticazione a più fattori è obbligatoria per tutto il personale di Kreedl e per ogni accesso amministrativo all'infrastruttura. Gli accessi sono riesaminati in occasione di cambiamenti del personale e almeno ogni trimestre.

Registrazione e verificabilità. Ogni azione dell'assistente AI e ogni accesso del personale ai Dati personali del Cliente vengono registrati con l'indicazione dell'ora e dell'identità. I log sono conservati per 12 mesi e il Cliente vi ha accesso per quanto riguarda i propri dati.

Gestione dei segreti. Le credenziali dei fornitori e le chiavi API sono conservate in un sistema di gestione dei segreti, mai nel codice né esposte agli utenti, e sono sostituite quando un membro del personale lascia l'azienda o si sospetta una compromissione.

Separazione dei Clienti. I dati di ciascun Cliente sono separati logicamente. Nessun Cliente ha accesso ai dati di un altro.

Backup. Backup cifrati almeno giornalieri, conservati per 90 giorni, con test di ripristino almeno una volta all'anno.

Fornitori di modelli di AI. Ai fornitori di modelli è contrattualmente vietato utilizzare i Dati personali del Cliente per l'addestramento. Kreedl non addestra né perfeziona (fine-tuning) modelli con i Dati personali del Cliente.

Personale. Tutto il personale e tutti i collaboratori sottoscrivono accordi di segretezza e riservatezza e completano una formazione sulla protezione dei dati prima di ottenere l'accesso. L'accesso è revocato il giorno stesso della cessazione del rapporto.

Gestione degli incidenti. Una procedura documentata con una persona responsabile, la comunicazione al Cliente entro 48 ore e un'analisi successiva all'incidente.

Sicurezza fisica. L'infrastruttura è ospitata presso i fornitori elencati nell'Informativa sulla privacy, che gestiscono data center certificati (ISO 27001 / SOC 2 a livello di fornitore). Kreedl non gestisce data center propri.

Cancellazione. Regole di conservazione automatiche cancellano i dati di comunicazione dopo 12 mesi o entro un altro periodo stabilito dal Cliente ai sensi della sezione 3 e del punto 12.2. Cancellazione alla cessazione entro 30 giorni, backup entro 90 giorni.