Accordo sul trattamento dei dati (DPA)

Questa pagina è una traduzione realizzata con l’aiuto dell’AI, fornita per comodità, e può contenere errori. Fanno fede solo la versione inglese e il relativo PDF, anche in sede giudiziaria.

Il presente Accordo sul trattamento dei dati («DPA») costituisce parte integrante dei Termini di servizio di Zipchat pubblicati all’indirizzo https://www.zipchat.ai/legal/terms-conditions (il «Contratto») tra Zipchat Inc. («Zipchat») e il cliente che ha accettato il Contratto (il «Cliente» e, insieme a Zipchat, le «Parti»).

Il presente DPA è pubblicato all’indirizzo https://www.zipchat.ai/legal/dpa e si applica automaticamente al trattamento dei Dati Personali effettuato da Zipchat per conto del Cliente a partire dalla data in cui il Cliente accetta il Contratto. Non è richiesta alcuna firma. Il Cliente che necessita di una copia controfirmata può richiederla scrivendo a support@zipchat.ai. Zipchat stipula il presente DPA per conto proprio e, nella misura richiesta dalle Leggi sulla Privacy, delle proprie società affiliate. I termini con iniziale maiuscola usati ma non definiti nel presente DPA hanno il significato loro attribuito nel Contratto.

1. Definizioni

1.1 «Metriche di Utilizzo Aggregate» (Aggregated Usage Metrics) ha il significato attribuito nella Sezione 6.5 del Contratto.

1.2 «Sub-responsabile Autorizzato» (Authorized Subprocessor) indica un terzo incaricato da Zipchat di trattare Dati Personali al fine di fornire i Servizi, in base all’autorizzazione generale di cui alla Sezione 6.

1.3 «Dati dell’Account Zipchat» (Zipchat Account Data) indica i dati personali relativi al rapporto tra Zipchat e il Cliente, compresi i nomi e i recapiti delle persone autorizzate dal Cliente ad accedere al suo account e i dati di fatturazione delle persone che il Cliente ha associato al proprio account.

1.4 «Dati di Utilizzo Zipchat» (Zipchat Usage Data) indica i dati sull’utilizzo del Servizio raccolti e trattati da Zipchat in relazione alla fornitura dei Servizi, compresi i dati usati per identificare l’origine e la destinazione di una comunicazione, i log delle attività e dati analoghi.

1.5 «Data Privacy Framework» o «DPF» indica, a seconda dei casi, l’EU-U.S. Data Privacy Framework, la UK Extension to the EU-U.S. Data Privacy Framework e lo Swiss-U.S. Data Privacy Framework.

1.6 «Interessato» (Data Subject) indica una persona fisica i cui Dati Personali sono tutelati dalle Leggi sulla Privacy. Il termine «Interessato» comprende il termine «Consumatore» (Consumer) ai sensi delle Leggi sulla Privacy.

1.7 «Richiesta dell’Interessato» (Data Subject Request) indica una richiesta con cui un Interessato esercita i propri diritti sui Dati Personali ai sensi delle Leggi sulla Privacy.

1.8 «Utente Finale» (End User) indica una persona che interagisce con i Servizi sui canali del Cliente, come un acquirente o un visitatore del sito web.

1.9 «SCC UE» (EU SCCs) indica le clausole contrattuali tipo approvate dalla Commissione europea con la decisione di esecuzione (UE) 2021/914 del 4 giugno 2021, come di volta in volta modificate o sostituite, e come completate dalla Sezione 9 del presente DPA.

1.10 «Trasferimento extra-SEE» (ex-EEA Transfer) indica un trasferimento di Dati Personali soggetti al GDPR UE dallo Spazio economico europeo (il «SEE») verso un paese o un destinatario non coperto da una decisione di adeguatezza della Commissione europea.

1.11 «Trasferimento extra-Regno Unito» (ex-UK Transfer) indica un trasferimento di Dati Personali soggetti allo UK GDPR dal Regno Unito («UK») verso un paese o un destinatario non coperto dai regolamenti di adeguatezza adottati ai sensi dello UK GDPR e del Data Protection Act 2018.

1.12 «Dati Personali» (Personal Data) indica qualsiasi informazione fornita a Zipchat dal Cliente o per suo conto, oppure raccolta da Zipchat per conto del Cliente in relazione ai Servizi, che si riferisce a un Interessato identificato o identificabile e che costituisce «dato personale», «informazione personale» (personal information) o un termine equivalente ai sensi delle Leggi sulla Privacy. I Dati Personali non comprendono i Dati dell’Account Zipchat, i Dati di Utilizzo Zipchat né le Metriche di Utilizzo Aggregate.

1.13 «Leggi sulla Privacy» (Privacy Laws) indica tutte le leggi e i regolamenti applicabili al trattamento dei Dati Personali ai sensi del Contratto, compresi, nella misura applicabile: (i) il Regolamento (UE) 2016/679 (il «GDPR UE») e il GDPR UE come recepito nel diritto di Inghilterra e Galles, Scozia e Irlanda del Nord in forza della sezione 3 dello European Union (Withdrawal) Act 2018 (lo «UK GDPR» e, insieme al GDPR UE, il «GDPR»); (ii) la legge federale svizzera sulla protezione dei dati del 25 settembre 2020 (la «FADP»); (iii) il Data Protection Act 2018 del Regno Unito; (iv) le Privacy and Electronic Communications (EC Directive) Regulations 2003; e (v) le leggi statali statunitensi di portata generale sulla privacy, come il California Consumer Privacy Act, come modificato dal California Privacy Rights Act del 2020 (il «CCPA»); in ciascun caso come di volta in volta modificati o sostituiti. I termini «finalità aziendale» (business purpose), «Titolare del trattamento» (Controller), «Violazione dei Dati Personali» (Personal Data Breach), «Responsabile del trattamento» (Processor), «trattare» o «trattamento» (process, processing), «vendere» (sell), «condividere» (share) e «autorità di controllo» (supervisory authority) hanno il significato loro attribuito, o attribuito ai termini equivalenti, dalle Leggi sulla Privacy. «Titolare del trattamento» comprende «Business» e «Responsabile del trattamento» comprende «Service Provider», come definiti nel CCPA.

1.14 «Clausole Contrattuali Tipo» (Standard Contractual Clauses) indica, a seconda dei casi, le SCC UE e le SCC UK.

1.15 «Elenco dei Sub-responsabili» (Subprocessor List) indica l’elenco dei Sub-responsabili Autorizzati di Zipchat pubblicato all’indirizzo https://www.zipchat.ai/legal/subprocessors, come aggiornato ai sensi della Sezione 6.

1.16 «Addendum UK» (UK Addendum) indica l’International Data Transfer Addendum alle SCC UE emanato dall’Information Commissioner del Regno Unito ai sensi della sezione 119A del Data Protection Act 2018, come di volta in volta modificato, e come completato dall’Appendice D.

1.17 «SCC UK» (UK SCCs) indica le SCC UE come modificate dall’Addendum UK.

2. Ruolo delle Parti; descrizione del trattamento

2.1 Per quanto riguarda i Dati Personali, il Cliente è il Titolare del trattamento e Zipchat è un Responsabile del trattamento oppure, quando il Cliente è Responsabile del trattamento per conto di un Titolare terzo, Zipchat è un sub-responsabile. Il trattamento dei Dati dell’Account Zipchat e dei Dati di Utilizzo Zipchat effettuato da Zipchat in qualità di Titolare del trattamento è disciplinato dalla Sezione 13.

2.2 Zipchat tratta i Dati Personali esclusivamente: (i) per le finalità indicate nel Contratto; (ii) sulla base delle istruzioni documentate del Cliente, che comprendono il Contratto, il presente DPA e la configurazione e l’uso dei Servizi da parte del Cliente; e (iii) nella misura richiesta dalle Leggi sulla Privacy o da un’autorità di controllo, nel qual caso Zipchat informa il Cliente di tale obbligo giuridico prima del trattamento, salvo che la legge lo vieti. L’oggetto, la natura, la finalità e la durata del trattamento, i tipi di Dati Personali e le categorie di Interessati sono descritti nell’Appendice A.

2.3 I Dati Personali sono conservati negli Stati Uniti, salvo diverso accordo scritto.

3. Obblighi del Cliente

3.1 Nell’utilizzo dei Servizi, il Cliente tratta i Dati Personali e impartisce le istruzioni per il loro trattamento nel rispetto delle Leggi sulla Privacy, e garantisce che il trattamento conforme alle sue istruzioni non comporti per Zipchat una violazione delle Leggi sulla Privacy. Il Cliente è l’unico responsabile dell’esattezza, della qualità e della liceità dei Dati Personali forniti a Zipchat dal Cliente o per suo conto, delle modalità con cui li ha ottenuti, delle istruzioni che impartisce a Zipchat e delle informative che deve fornire ai propri Utenti Finali e dei consensi che deve ottenere da essi.

3.2 Il Cliente non fornisce né mette a disposizione di Zipchat Dati Personali in violazione del Contratto, compresi i dati descritti nella Sezione 5.2 del Contratto, o comunque non adeguati alla natura dei Servizi, e tiene indenne Zipchat da qualsiasi pretesa e perdita derivante da tali dati.

3.3 Zipchat informa tempestivamente il Cliente se, a suo parere, un’istruzione viola le Leggi sulla Privacy o un’istruzione di un’autorità di controllo.

4. Uso dei Dati Personali

4.1 Zipchat si impegna a non: (i) vendere o condividere Dati Personali; (ii) conservare, usare o comunicare Dati Personali al di fuori del rapporto commerciale diretto con il Cliente, o per finalità diverse da una finalità aziendale ai sensi del CCPA per conto del Cliente o da quanto necessario per eseguire i Servizi per il Cliente ai sensi del Contratto, salvo quanto diversamente consentito dal Contratto o dalle Leggi sulla Privacy; né (iii) combinare i Dati Personali ricevuti dal Cliente o per suo conto con dati personali ricevuti da un’altra persona o per conto di essa, salvo quanto necessario per fornire i Servizi o secondo le istruzioni del Cliente.

4.2 Nessun addestramento senza l’autorizzazione del Cliente. Zipchat non usa i Dati Personali, comprese le conversazioni degli Utenti Finali, né gli output dell’AI generati a partire da essi, per addestrare o perfezionare (fine-tuning) alcun modello di AI, che si tratti di modelli propri di Zipchat o di modelli di terzi. Se in futuro Zipchat intendesse farlo, chiederà prima l’autorizzazione al Cliente, via email o all’interno del prodotto, spiegando quali dati verrebbero usati e per quale finalità. Il Cliente può accettare o rifiutare. In assenza di un’accettazione espressa del Cliente non cambia nulla: il silenzio o il proseguimento dell’uso dei Servizi non valgono come accettazione. Il Cliente può revocare un’accettazione in qualsiasi momento, con effetto per il futuro. Nessuna modifica del Contratto o del presente DPA può eliminare o restringere questo impegno. I sub-responsabili AI di Zipchat trattano i Dati Personali solo per fornire il proprio servizio a Zipchat, in base a contratti che vietano loro di usarli per addestrare i propri modelli. Alcuni possono conservare dati limitati per un certo periodo, a fini di osservabilità o di monitoraggio degli abusi. Il trattamento dei Dati Personali per fornire i Servizi al Cliente, per esempio indicizzare i contenuti del Cliente e conservare per il Cliente la memoria degli Utenti Finali che tornano, non costituisce addestramento.

4.3 Metriche di Utilizzo Aggregate. Zipchat può creare Metriche di Utilizzo Aggregate come descritto nella Sezione 6.5 del Contratto. Tali metriche sono calcolate sull’insieme dei clienti o su un gran numero di conversazioni, non identificano il Cliente, alcun Interessato né alcun’altra persona, non sono Dati Personali e non sono mai usate per addestrare o perfezionare (fine-tuning) modelli di AI.

4.4 Separazione. Zipchat mantiene i Dati Personali di ciascun cliente separati logicamente, così che non compaiano nelle conversazioni di un altro cliente.

5. Verifiche

5.1 Zipchat conserva una documentazione sufficiente a dimostrare la propria conformità al presente DPA. Su richiesta scritta del Cliente, a intervalli ragionevoli e nel rispetto di ragionevoli misure di riservatezza, Zipchat: (i) mette a disposizione le informazioni e la documentazione ragionevolmente necessarie per dimostrare la propria conformità al presente DPA, come una descrizione delle proprie misure tecniche e organizzative e una sintesi dei risultati del penetration test più recente; oppure (ii) se le informazioni di cui al punto (i) non sono sufficienti ai sensi delle Leggi sulla Privacy, consente a un revisore terzo indipendente nominato dal Cliente di verificare l’infrastruttura e le procedure di sicurezza dei dati di Zipchat nella misura necessaria a dimostrare la conformità alle Leggi sulla Privacy, a condizione che: (a) il Cliente dia un preavviso scritto ragionevole e la verifica non intralci in modo irragionevole l’attività di Zipchat; (b) la verifica si svolga in orario lavorativo e non più di una volta per anno solare, salvo che un’autorità di controllo disponga diversamente o a seguito di una Violazione dei Dati Personali che riguardi i Dati Personali del Cliente; e (c) la verifica sia limitata ai dati pertinenti al Cliente. I costi di qualsiasi verifica sono a carico del Cliente, compreso il rimborso del tempo impiegato da Zipchat per le verifiche in loco. Quando si applicano le Clausole Contrattuali Tipo ai sensi della Sezione 9, le verifiche descritte nella Clausola 8.9 delle SCC UE si svolgono secondo la presente Sezione 5.1.

5.2 Nella misura consentita dalle Leggi sulla Privacy, se il Cliente accerta che Zipchat tratta Dati Personali in modo non autorizzato, il Cliente può, previa comunicazione scritta e tenuto conto della natura del trattamento, adottare misure commercialmente ragionevoli e adeguate per interrompere il trattamento non autorizzato e porvi rimedio.

6. Sub-responsabili Autorizzati

6.1 Autorizzazione generale. Il Cliente concede a Zipchat un’autorizzazione scritta generale a ricorrere alle proprie società affiliate e ai Sub-responsabili Autorizzati presenti nell’Elenco dei Sub-responsabili, nonché a ulteriori sub-responsabili ai sensi della presente Sezione 6, per trattare i Dati Personali nella misura necessaria a fornire i Servizi.

6.2 Elenco dei Sub-responsabili. L’Elenco dei Sub-responsabili aggiornato è pubblicato all’indirizzo https://www.zipchat.ai/legal/subprocessors. Per ciascun Sub-responsabile Autorizzato indica che cosa tratta, dove, e se è usato sempre o solo quando il Cliente attiva una funzionalità o collega un canale. Zipchat può aggiungere, sostituire o rimuovere Sub-responsabili Autorizzati aggiornando l’Elenco dei Sub-responsabili, senza modificare il Contratto o il presente DPA. L’Appendice B riporta, per comodità, l’elenco alla data della presente versione; prevale l’Elenco dei Sub-responsabili pubblicato.

6.3 Preavviso. Almeno dieci (10) giorni prima che un nuovo sub-responsabile inizi a trattare Dati Personali, Zipchat lo aggiunge all’Elenco dei Sub-responsabili e ne informa il Cliente via email all’indirizzo associato all’account del Cliente. Quando una sostituzione urgente è necessaria per ragioni di sicurezza o di continuità del servizio, Zipchat darà comunicazione non appena ragionevolmente possibile. Il Cliente può anche chiedere di essere informato di ogni aggiornamento dell’Elenco dei Sub-responsabili scrivendo a support@zipchat.ai.

6.4 Opposizione. Il Cliente può opporsi a un nuovo sub-responsabile scrivendo a support@zipchat.ai entro dieci (10) giorni dalla comunicazione, per motivi ragionevoli legati alla protezione dei dati. Se il Cliente non si oppone entro tale termine, il sub-responsabile diventa un Sub-responsabile Autorizzato. Le Parti discuteranno l’opposizione in buona fede. Se Zipchat non è in grado di offrire un’alternativa commercialmente ragionevole entro un tempo ragionevole, l’unico rimedio a disposizione del Cliente è smettere di usare la parte dei Servizi interessata o recedere dal Contratto secondo i suoi termini. Il Cliente riconosce che alcuni sub-responsabili sono essenziali per i Servizi. Il recesso ai sensi della presente Sezione non esonera il Cliente dal pagamento dei corrispettivi dovuti in base al Contratto, e i rimborsi sono disciplinati dalla Sezione 4.6 del Contratto.

6.5 Funzionalità e canali. Alcuni Sub-responsabili Autorizzati trattano Dati Personali solo quando il Cliente attiva una funzionalità o collega un canale, come indicato nell’Elenco dei Sub-responsabili. Attivando tale funzionalità o collegando tale canale, il Cliente dà istruzione a Zipchat di ricorrere al Sub-responsabile Autorizzato corrispondente.

6.6 Obblighi. Zipchat stipula con ciascun Sub-responsabile Autorizzato un accordo scritto che impone obblighi in materia di protezione dei dati non meno tutelanti di quelli imposti a Zipchat dal presente DPA. Zipchat resta responsabile nei confronti del Cliente dell’adempimento degli obblighi di ciascun Sub-responsabile Autorizzato, fatto salvo quanto previsto dal Contratto.

6.7 Quando si applicano le Clausole Contrattuali Tipo ai sensi della Sezione 9: (i) le autorizzazioni di cui alla presente Sezione 6 costituiscono l’autorizzazione scritta preventiva del Cliente al ricorso a sub-responsabili ai sensi della Clausola 9 delle SCC UE; e (ii) le copie degli accordi con i sub-responsabili che Zipchat deve fornire ai sensi della Clausola 9, lettera c), delle SCC UE saranno fornite solo su richiesta del Cliente, e Zipchat potrà prima rimuovere le informazioni commerciali e le informazioni non pertinenti alle Clausole Contrattuali Tipo.

7. Riservatezza; sicurezza dei Dati Personali

7.1 Zipchat garantisce che ogni persona da essa autorizzata a trattare Dati Personali sia vincolata da un adeguato obbligo di riservatezza. Zipchat può comunicare Dati Personali ai propri consulenti, revisori o altri terzi nella misura ragionevolmente necessaria per adempiere ai propri obblighi ai sensi delle Leggi sulla Privacy, del presente DPA o del Contratto, o per fornire i Servizi al Cliente, purché questi siano soggetti a obblighi di riservatezza equivalenti.

7.2 Tenuto conto dello stato dell’arte, dei costi di attuazione, nonché della natura, dell’ambito di applicazione, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, Zipchat mantiene misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, come descritto nell’Appendice C. Zipchat può aggiornare tali misure, a condizione che gli aggiornamenti non riducano in modo sostanziale il livello complessivo di protezione. Nessun metodo di trasmissione o di archiviazione è completamente sicuro, e Zipchat non garantisce una sicurezza assoluta.

8. Violazione dei Dati Personali

8.1 Zipchat informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una Violazione dei Dati Personali che riguardi i Dati Personali del Cliente, e adotta le misure che ritiene ragionevolmente necessarie per contenerla e porvi rimedio, nella misura in cui il rimedio rientri nel ragionevole controllo di Zipchat. La comunicazione descrive, nella misura in cui siano note in quel momento, la natura della violazione, le categorie e il numero approssimativo di Interessati e di registrazioni coinvolti, le sue probabili conseguenze e le misure adottate o proposte.

8.2 Tenuto conto della natura del trattamento e delle informazioni a sua disposizione, Zipchat fornisce al Cliente ragionevole collaborazione e assistenza affinché il Cliente possa adempiere ai propri obblighi, ai sensi delle Leggi sulla Privacy, di notifica all’autorità di controllo competente e agli Interessati coinvolti.

8.3 Le Sezioni 8.1 e 8.2 non si applicano a una Violazione dei Dati Personali causata da atti od omissioni del Cliente o dei suoi utenti. La comunicazione di una Violazione dei Dati Personali da parte di Zipchat, o la sua risposta a tale violazione, non costituisce riconoscimento di colpa o di responsabilità.

9. Trasferimenti di Dati Personali

9.1 Il Cliente riconosce che le principali operazioni di trattamento di Zipchat, e il trattamento dei Dati Personali da parte dei suoi Sub-responsabili Autorizzati, si svolgono negli Stati Uniti, e che il trasferimento dei Dati Personali negli Stati Uniti è necessario per fornire i Servizi. Zipchat può trasferire Dati Personali al di fuori del SEE, del Regno Unito o della Svizzera nella misura necessaria a fornire i Servizi, con le garanzie richieste dalle Leggi sulla Privacy.

9.2 Data Privacy Framework. Zipchat Inc. è certificata ai sensi dell’EU-U.S. Data Privacy Framework, della UK Extension to the EU-U.S. Data Privacy Framework e dello Swiss-U.S. Data Privacy Framework. La sua certificazione è consultabile all’indirizzo https://www.dataprivacyframework.gov/list. I trasferimenti di Dati Personali dal SEE a Zipchat rientrano pertanto nella decisione di adeguatezza della Commissione europea relativa all’EU-U.S. Data Privacy Framework del 10 luglio 2023, e i trasferimenti dal Regno Unito e dalla Svizzera nelle corrispondenti decisioni di adeguatezza del Regno Unito e della Svizzera relative al DPF. Per questi trasferimenti non sono necessarie Clausole Contrattuali Tipo né una valutazione d’impatto sul trasferimento. Zipchat informa il Cliente se non è più in grado di adempiere ai propri obblighi ai sensi dei Principi del DPF.

9.3 Meccanismo di riserva. Le Clausole Contrattuali Tipo sono incorporate nel presente DPA mediante rinvio e si applicano a un Trasferimento extra-SEE, a un Trasferimento extra-Regno Unito o a un trasferimento dalla Svizzera solo: (a) se il Data Privacy Framework cessa di essere un meccanismo di trasferimento valido per quel trasferimento, o se la certificazione di Zipchat decade; oppure (b) se il Cliente chiede per iscritto che si applichino come garanzia aggiuntiva. Quando si applicano, sono completate come segue:

(a) Il Modulo Due (da titolare a responsabile) si applica quando il Cliente è Titolare del trattamento e Zipchat è Responsabile del trattamento; il Modulo Tre (da responsabile a responsabile) si applica quando il Cliente è Responsabile del trattamento e Zipchat è un sub-responsabile; il Modulo Uno (da titolare a titolare) si applica ai Dati dell’Account Zipchat e ai Dati di Utilizzo Zipchat che Zipchat tratta in qualità di Titolare del trattamento ai sensi della Sezione 13.

(b) La clausola di adesione facoltativa di cui alla Clausola 7 non si applica.

(c) Alla Clausola 9 si applica l’Opzione 2 (autorizzazione scritta generale), e il termine di preavviso per le modifiche dei sub-responsabili è quello indicato nella Sezione 6.3.

(d) Alla Clausola 11 la formulazione facoltativa non si applica.

(e) Alla Clausola 13 l’autorità di controllo competente è determinata come indicato nell’Appendice B.

(f) Alla Clausola 17 (Opzione 1), le SCC UE sono disciplinate dalla legge irlandese e, ai sensi della Clausola 18, lettera b), le controversie sono risolte dinanzi ai tribunali irlandesi.

(g) L’Allegato I è completato dalle Appendici A e B, l’Allegato II dall’Appendice C e l’Allegato III dall’Elenco dei Sub-responsabili.

(h) Accettando il Contratto, le Parti si considerano firmatarie delle SCC UE, compresi i relativi Allegati, a partire dalla data in cui il Cliente ha accettato il Contratto.

9.4 Trasferimenti extra-Regno Unito. Quando la Sezione 9.3 si applica a un Trasferimento extra-Regno Unito, si applicano le SCC UK, completate come indicato nell’Appendice D. L’Addendum UK è disciplinato dalla legge di Inghilterra e Galles, e le controversie che ne derivano sono risolte dai tribunali di Inghilterra e Galles.

9.5 Trasferimenti dalla Svizzera. Quando la Sezione 9.3 si applica a un trasferimento soggetto alla FADP, le SCC UE si applicano con le seguenti modifiche: (a) i riferimenti al GDPR comprendono la FADP per tali trasferimenti; (b) l’Incaricato federale della protezione dei dati e della trasparenza svizzero è l’autorità di controllo competente per i trasferimenti disciplinati dalla FADP; e (c) il termine «Stato membro» non impedisce agli Interessati in Svizzera di agire in giudizio nel luogo di residenza abituale ai sensi della Clausola 18, lettera c).

9.6 Richieste di accesso da parte di autorità pubbliche. Per qualsiasi trasferimento effettuato sulla base delle Clausole Contrattuali Tipo: (a) alla data della presente versione, Zipchat non ha ricevuto alcuna richiesta giuridicamente vincolante di accesso ai Dati Personali del Cliente da parte di un’agenzia governativa di intelligence o di sicurezza; (b) se Zipchat riceve da un’autorità pubblica una richiesta di Dati Personali, cercherà di indirizzare l’autorità al Cliente, potendo a tal fine fornire i recapiti di base del Cliente, e, qualora sia obbligata a comunicare Dati Personali, ne informerà il Cliente nella misura consentita dalla legge e collaborerà ragionevolmente affinché il Cliente possa chiedere un provvedimento cautelare o un altro rimedio; (c) Zipchat non comunica volontariamente Dati Personali a forze dell’ordine o ad autorità governative; e (d) se un meccanismo di trasferimento cessa di essere valido o un’autorità di controllo impone la sospensione dei trasferimenti, le Parti concordano un meccanismo alternativo conforme alle Leggi sulla Privacy.

10. Valutazioni in materia di protezione dei dati

10.1 Tenuto conto della natura del trattamento e delle informazioni a sua disposizione, Zipchat collabora ragionevolmente con il Cliente a qualsiasi valutazione d’impatto sulla protezione dei dati o consultazione preventiva richiesta dalle Leggi sulla Privacy, anche fornendo informazioni che il Cliente non può ottenere altrimenti. Ciascuna Parte resta responsabile delle misure che le Leggi sulla Privacy le attribuiscono.

11. Richieste degli Interessati

11.1 Nella misura consentita dalle Leggi sulla Privacy, Zipchat informa il Cliente se riceve una Richiesta dell’Interessato relativa a Dati Personali, e invita l’Interessato a presentare la richiesta al Cliente. Spetta al Cliente rispondere alle Richieste degli Interessati, anche usando le funzionalità dei Servizi, come l’eliminazione o l’esportazione dei dati delle conversazioni.

11.2 Su richiesta del Cliente, e tenuto conto della natura del trattamento, Zipchat assiste il Cliente con misure tecniche e organizzative adeguate nel rispondere a una Richiesta dell’Interessato, quando il Cliente non può rispondere senza l’assistenza di Zipchat e Zipchat può farlo lecitamente. Nella misura consentita dalla legge, i costi ragionevoli di tale assistenza sono a carico del Cliente.

12. Conservazione, restituzione e cancellazione dei Dati Personali

12.1 Durante l’abbonamento. Zipchat conserva i Dati Personali, compresi i dati delle conversazioni, per tutta la durata dell’abbonamento del Cliente, così che il Cliente possa accedervi e l’agente AI possa ricordarsi degli Utenti Finali che tornano. Finché l’abbonamento è attivo, le conversazioni non vengono eliminate automaticamente. Il Cliente può eliminare la cronologia delle conversazioni in qualsiasi momento e può chiedere a support@zipchat.ai di attivare l’eliminazione automatica dopo un periodo da lui scelto, che Zipchat applicherà entro un tempo ragionevole.

12.2 Esportazione. Il Cliente può esportare i dati delle conversazioni tramite la Zipchat API senza costi aggiuntivi finché il suo account è attivo e, per 90 giorni dopo la cessazione e fino all’eliminazione dei dati, tramite l’API o contattando support@zipchat.ai.

12.3 Dopo la cessazione. Zipchat elimina i Dati Personali entro 90 giorni dalla cessazione o dalla scadenza del Contratto, fatti salvi i cicli di backup, tranne quando un’ulteriore conservazione è richiesta dalla legge o necessaria per la documentazione di fatturazione, fiscale o legale. I Dati Personali conservati da Zipchat in base a questa eccezione restano tutelati dal presente DPA e non sono sottoposti ad alcun ulteriore trattamento, salvo quanto richiesto dalla legge.

12.4 Quando si applicano le Clausole Contrattuali Tipo, la certificazione della cancellazione prevista dalle Clausole 8.1, lettera d), e 8.5 delle SCC UE sarà fornita su richiesta del Cliente.

13. Zipchat come Titolare del trattamento

13.1 Per i Dati dell’Account Zipchat e i Dati di Utilizzo Zipchat, Zipchat è un Titolare del trattamento autonomo, non un contitolare con il Cliente. Zipchat tratta tali dati: (i) per gestire il proprio rapporto con il Cliente; (ii) per svolgere le proprie attività aziendali essenziali, come contabilità, revisioni, adempimenti fiscali e di conformità; (iii) per monitorare, indagare, prevenire e individuare frodi, incidenti di sicurezza e usi impropri dei Servizi; (iv) per verificare l’identità; (v) per adempiere ai propri obblighi di legge; (vi) per fornire, proteggere, mantenere e migliorare i Servizi, anche creando Metriche di Utilizzo Aggregate; e (vii) negli altri casi consentiti dalle Leggi sulla Privacy, dal Contratto e dal presente DPA. Zipchat non usa i contenuti delle conversazioni presenti in tali dati per addestrare o perfezionare (fine-tuning) modelli di AI. Questo trattamento è descritto nell’Informativa sulla privacy di Zipchat, all’indirizzo https://www.zipchat.ai/legal/privacy-policy.

14. Modifiche al presente DPA

14.1 Zipchat può aggiornare il presente DPA, per esempio per tenere conto di modifiche delle Leggi sulla Privacy, dei meccanismi di trasferimento o dei Servizi, pubblicando la versione aggiornata sul proprio sito web. Le modifiche che riducono in modo sostanziale le tutele del Cliente hanno effetto 30 giorni dopo che Zipchat ne ha informato il Cliente via email, salvo che le Leggi sulla Privacy ne impongano l’applicazione prima. Le modifiche dell’Elenco dei Sub-responsabili seguono la Sezione 6, non la presente Sezione. Nessun aggiornamento può eliminare o restringere l’impegno di cui alla Sezione 4.2.

15. Disposizioni varie

15.1 In caso di conflitto, si applica il seguente ordine di prevalenza: (1) le Clausole Contrattuali Tipo, quando si applicano ai sensi della Sezione 9; (2) il presente DPA; (3) l’Informativa sulla privacy di Zipchat, per quanto riguarda il trattamento dei dati personali, in coerenza con la Sezione 6.4, lettera d), del Contratto; e (4) il Contratto.

15.2 Qualsiasi pretesa fatta valere in relazione al presente DPA è soggetta al Contratto, compresi la legge applicabile e le esclusioni e limitazioni di responsabilità previste dal Contratto, salvo quanto diversamente previsto dalle Clausole Contrattuali Tipo.

15.3 Le comunicazioni a Zipchat ai sensi del presente DPA devono essere inviate a support@zipchat.ai. Le comunicazioni al Cliente sono inviate all’indirizzo email associato all’account del Cliente.

15.4 Il presente DPA è redatto in inglese. Qualsiasi traduzione, comprese le traduzioni realizzate con l’ausilio dell’AI pubblicate sul sito web di Zipchat, è fornita solo per comodità e può contenere errori. La versione inglese è l’unica vincolante e prevale in caso di discordanza, anche in qualsiasi controversia, arbitrato o procedimento giudiziario.

Appendice A: dettagli del trattamento

Oggetto. La fornitura dei Servizi ai sensi del Contratto: un agente AI per l’ecommerce che risponde agli Utenti Finali del Cliente e li assiste sui canali collegati dal Cliente, come la chat sul sito, la ricerca, le schede prodotto, l’email, WhatsApp, Instagram, Messenger e, se attivata, la voce.

Natura del trattamento. Raccolta, registrazione ed estrazione; conservazione e strutturazione; analisi e consultazione, compresa la generazione di risposte dell’AI; indicizzazione dei contenuti del Cliente; aggiornamento e rettifica; protezione, compresi cifratura e limitazione; comunicazione ai Sub-responsabili Autorizzati e agli strumenti collegati dal Cliente; restituzione al Cliente o agli Interessati; e cancellazione.

Finalità. Fornire, mantenere, proteggere e assistere i Servizi per il Cliente ai sensi del Contratto e secondo le istruzioni del Cliente. I Dati Personali non sono usati per addestrare o perfezionare (fine-tuning) modelli di AI senza l’autorizzazione del Cliente (Sezione 4.2).

Durata. Per la durata del Contratto e secondo quanto previsto dalla Sezione 12: i Dati Personali sono conservati finché l’abbonamento è attivo, salvo che il Cliente li elimini o attivi l’eliminazione automatica, e sono eliminati entro 90 giorni dalla cessazione, fatti salvi i cicli di backup e le eccezioni di cui alla Sezione 12.3.

Categorie di Interessati. Gli Utenti Finali del Cliente (acquirenti e visitatori del sito che interagiscono con i Servizi), nonché il personale del Cliente e gli utenti autorizzati dei Servizi.

Categorie di Dati Personali.

• Dati di contatto, come nome, indirizzo email e numero di telefono.

• Identificativi di messaggistica, come i numeri di telefono WhatsApp e gli ID dei profili Instagram e Messenger, quando il Cliente collega tali canali.

• Contenuto delle conversazioni: messaggi in chat, email, domande e richieste di assistenza, e contenuti multimediali inviati dagli Utenti Finali, come immagini e messaggi vocali.

• Informazioni su ordini e acquisti recuperate dalle piattaforme collegate dal Cliente, come numeri d’ordine, stato degli ordini e storico degli ordini.

• Informazioni restituite dagli strumenti personalizzati (custom tools) o dalle skill configurati dal Cliente, che possono comprendere dati sugli ordini e sui clienti.

• Dati tecnici, come indirizzo IP, posizione approssimativa e informazioni sul browser e sul dispositivo, compresi i segnali usati per i controlli anti-bot quando il Cliente attiva la protezione dai bot.

• Per gli utenti del Cliente: nome, indirizzo email, ruolo e attività dell’account.

Categorie particolari di dati. Zipchat non chiede mai agli Utenti Finali categorie particolari di dati personali. Un Utente Finale può fornirle spontaneamente, per esempio segnalando una gravidanza o un’allergia mentre chiede informazioni su un prodotto, perché una risposta sicura e pertinente dipende da quel dato. Per scelta progettuale, Zipchat non oscura automaticamente questi dati: rimuoverli prima che il modello di AI li veda renderebbe la risposta meno accurata o non sicura. Questi dati sono trattati solo per rispondere a quell’Utente Finale, inviati solo ai sub-responsabili AI presenti nell’Elenco dei Sub-responsabili, tutti negli Stati Uniti, cifrati in transito e a riposo, mai usati per addestrare modelli di AI ed esclusi dai log dell’applicazione di Zipchat. Il Cliente può eliminare la conversazione in qualsiasi momento. Il Cliente non deve usare i Servizi per raccogliere intenzionalmente categorie particolari di dati, né i dati esclusi dalla Sezione 5.2 del Contratto.

Frequenza. Continua, per tutto il tempo in cui il Cliente usa i Servizi.

Appendice B: Parti, descrizione del trasferimento e sub-responsabili

La presente Appendice contiene le informazioni richieste dagli Allegati I e III delle SCC UE e dalla Tabella 1 e dagli Allegati 1A e 1B dell’Addendum UK, quando si applicano ai sensi della Sezione 9.

1. Le Parti

Esportatore dei dati: il Cliente, come identificato nel suo account Zipchat. Recapiti: quelli associati all’account del Cliente. Attività pertinenti al trasferimento: uso dei Servizi ai sensi del Contratto. Ruolo: Titolare o Responsabile del trattamento, come indicato nella Sezione 2. Firma e data: accettando il Contratto, il Cliente si considera firmatario a partire dalla data di accettazione.

Importatore dei dati: Zipchat Inc., 407 E Ayre St #1207, Wilmington, Delaware DE 19804, Stati Uniti. Contatto: support@zipchat.ai. Attività pertinenti al trasferimento: fornitura dei Servizi ai sensi del Contratto. Ruolo: Responsabile del trattamento (o sub-responsabile) e Titolare del trattamento per i Dati dell’Account Zipchat e i Dati di Utilizzo Zipchat ai sensi della Sezione 13. Firma e data: fornendo i Servizi ai sensi del Contratto, Zipchat si considera firmataria a partire dalla data in cui il Cliente ha accettato il Contratto.

2. Descrizione del trasferimento

3. Autorità di controllo competente

L’autorità di controllo dell’esportatore dei dati, determinata ai sensi della Clausola 13 delle SCC UE. Se l’esportatore dei dati non è stabilito nel SEE e ha nominato un rappresentante, l’autorità di controllo dello Stato membro in cui è stabilito il rappresentante. Per l’Addendum UK, l’Information Commissioner del Regno Unito. Per i trasferimenti soggetti alla FADP, l’Incaricato federale della protezione dei dati e della trasparenza svizzero.

4. Sub-responsabili Autorizzati

L’elenco aggiornato è l’Elenco dei Sub-responsabili pubblicato all’indirizzo https://www.zipchat.ai/legal/subprocessors, che prevale e può essere aggiornato ai sensi della Sezione 6. Alla data della presente versione (12 novembre 2026), comprende i seguenti sub-responsabili. Tutti trattano i dati negli Stati Uniti.

Usati per ogni cliente

Usati quando si applica una funzionalità

Appendice C: misure tecniche e organizzative

La presente Appendice contiene le informazioni richieste dall’Allegato II delle SCC UE e dall’Allegato II dell’Addendum UK, quando si applicano ai sensi della Sezione 9. Zipchat attua le seguenti misure per proteggere i Dati Personali da accessi, comunicazioni, modifiche e perdite non autorizzati.

• Cifratura. Tutti i dati sono cifrati a riposo, compresi database, archiviazione dei file e backup. Tutto il traffico è cifrato in transito: ogni connessione passa in HTTPS attraverso Cloudflare, e le connessioni ai database sono cifrate. Alcune credenziali di integrazione sensibili, come token di accesso, password dei database e segreti delle skill personalizzate, sono inoltre cifrate a riposo a livello applicativo, e i valori dei segreti delle skill personalizzate sono di sola scrittura tramite l’API.

• Controllo degli accessi. L’applicazione per i clienti richiede l’autenticazione. Permessi basati sui ruoli distinguono proprietari, editor, membri e amministratori e limitano le funzioni sensibili. Gli strumenti interni sono riservati agli amministratori autorizzati. Le password sono conservate solo come hash con salt.

• Separazione dei dati dei clienti. I Dati Personali sono associati logicamente al workspace e all’agente AI del cliente. L’accesso all’applicazione è limitato agli agenti a cui un utente può accedere, e le ricerche nella knowledge base usano namespace specifici per ciascun agente, così da impedire accessi tra account di clienti diversi.

• Integrazioni sicure. Le integrazioni con servizi esterni usano HTTPS e richieste API autenticate. I webhook di Shopify sono verificati tramite firma, e le credenziali API del backend sono verificate con un confronto a tempo costante.

• Log e monitoraggio. Gli errori e l’attività dei sistemi sono monitorati di continuo, con segnalazione degli errori e monitoraggio delle prestazioni dell’applicazione. Segreti e contenuti dei messaggi sono esclusi dai log, e le pagine di errore dettagliate sono disattivate in produzione.

• Backup e resilienza. Zipchat effettua backup regolari dei database. L’elaborazione in background ripete le operazioni non riuscite quando l’errore è recuperabile, le procedure di rilascio sono progettate per ridurre le interruzioni del servizio, ed è disponibile un meccanismo di accesso in sola lettura, imposto a livello di database, per le indagini operative.

• Sviluppo e gestione delle modifiche. Ogni modifica al codice è tracciata nel sistema di controllo di versione e passa per una revisione e per test automatici prima di essere rilasciata, con una verifica in ambiente di staging prima della produzione.

• Gestione delle vulnerabilità. Zipchat esegue regolarmente penetration test e mantiene un processo continuo di gestione delle vulnerabilità per la propria applicazione e le sue dipendenze.

• Ciclo di vita dei dati. I clienti possono eliminare in qualsiasi momento conversazioni, agenti e dati indicizzati della knowledge base, e possono chiedere all’assistenza di attivare l’eliminazione automatica delle conversazioni dopo un periodo da loro scelto. Zipchat elimina i Dati Personali entro 90 giorni dalla cessazione, fatti salvi i cicli di backup (Sezione 12).

• Limitazione della finalità. I Dati Personali sono trattati solo secondo le istruzioni del Cliente, per fornire i Servizi. Non sono usati per la pubblicità e non sono usati per addestrare o perfezionare (fine-tuning) alcun modello di AI senza l’autorizzazione del Cliente (Sezione 4.2).

• Sub-responsabili. Zipchat ricorre a sub-responsabili sulla base di accordi scritti con obblighi in materia di protezione dei dati non meno tutelanti del presente DPA, e a sub-responsabili AI in base a condizioni che vietano l’addestramento sui Dati Personali (Sezione 6).

Appendice D: Addendum UK

International Data Transfer Addendum alle clausole contrattuali tipo della Commissione europea. La presente Appendice si applica solo quando si applicano le SCC UK ai sensi delle Sezioni 9.3 e 9.4.

Parte 1: Tabelle

Tabella 1: Parti

Tabella 2: SCC, Moduli e Clausole selezionati. La versione delle SCC UE approvate a cui è allegato il presente Addendum UK, come incorporata nel DPA e completata dalla Sezione 9.3.

Tabella 3: Informazioni sugli allegati. Allegato 1A (elenco delle parti): Appendice B. Allegato 1B (descrizione del trasferimento): Appendici A e B. Allegato II (misure tecniche e organizzative): Appendice C. Allegato III (elenco dei sub-responsabili, Moduli 2 e 3): l’Elenco dei Sub-responsabili.

Tabella 4: Cessazione del presente Addendum UK in caso di modifica dell’Addendum UK approvato. L’Importatore o l’Esportatore possono porre fine al presente Addendum UK secondo quanto previsto dalla Sezione 19 dell’Addendum UK.

Parte 2: Clausole obbligatorie

Le Clausole obbligatorie (Mandatory Clauses) dell’Addendum UK approvato, come emanate dall’Information Commissioner del Regno Unito e di volta in volta modificate, sono incorporate mediante rinvio.