Il presente documento è composto da due parti, relative a due trattamenti distinti con ruoli distinti: la Parte A riguarda i dati dell'azienda/professionista che si registra sulla piattaforma (di seguito «Cliente Business»); la Parte B riguarda i dati delle persone che chiamano i numeri di telefono associati ai servizi vocali attivati dal Cliente Business.
Parte A · Rapporto con il Cliente Business (account piattaforma)
Parte B · Dati trattati durante le chiamate (utenti finali)
Data Project di Alberto Barbera (di seguito «Data Project A.B.») fornisce un servizio SaaS di risposta vocale automatizzata basato su intelligenza artificiale, utilizzato da aziende e professionisti («Cliente Business») per gestire le chiamate dei propri interlocutori (clienti, pazienti, prenotanti — di seguito «Utente Finale» o «Interessato»).
In questo modello sono presenti due trattamenti distinti, con ruoli distinti ai sensi degli artt. 4, 24 e 28 GDPR:
| Trattamento | Titolare | Responsabile | Sub-responsabili |
|---|---|---|---|
| Dati dell'account, fatturazione, uso dashboard (Parte A) | Data Project A.B. | — | Hosting/register.it, servizi di fatturazione |
| Dati raccolti durante le chiamate degli Utenti Finali (Parte B) | Cliente Business | Data Project A.B. | Fornitori Risponditori, Fornitori LLM (OpenAI, Anthropic, Google), fornitori telefonia/SIP, hosting |
Dati relativi alla registrazione, gestione e fatturazione dell'account sulla piattaforma. Qui Data Project A.B. è Titolare del trattamento.
Data Project A.B. è Titolare del trattamento dei dati personali del Cliente Business (persona fisica, libero professionista o referente dell'azienda) raccolti in fase di registrazione, configurazione del servizio e gestione contrattuale/fatturazione.
| Categoria | Dato specifico |
|---|---|
| Dati identificativi e di contatto | Nome, cognome, ragione sociale, email, telefono, indirizzo |
| Dati fiscali/amministrativi | P.IVA, C.F., dati di fatturazione e pagamento |
| Dati di configurazione del servizio | System prompt, knowledge base, parametri SIP trunk, numeri di telefono, tipologia di servizio attivato |
| Dati di accesso e log | Credenziali (in forma protetta), log di accesso alla dashboard, indirizzo IP |
| Dati di navigazione/cookie | Come da separata Cookie Policy |
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Erogazione del servizio SaaS, gestione account e configurazione | Art. 6 §1 lett. b |
| Fatturazione e adempimenti contabili/fiscali | Art. 6 §1 lett. c |
| Assistenza tecnica e supporto clienti | Art. 6 §1 lett. b |
| Sicurezza dei sistemi e prevenzione abusi | Art. 6 §1 lett. f |
| Comunicazioni commerciali su servizi analoghi (soft spam) / newsletter | Art. 6 §1 lett. f per clienti esistenti (art. 130 c.4 Codice Privacy) / lett. a per nuovi contatti |
| Dato | Periodo di conservazione |
|---|---|
| Dati account e configurazione | Durata del contratto + 3 mesi per gestione di eventuali contestazioni |
| Dati di fatturazione | 10 anni ex D.P.R. 600/1973 |
| Log di accesso alla dashboard | 180 giorni |
| Comunicazioni marketing | Fino a revoca del consenso/opposizione |
I dati raccolti in fase di registrazione e gestione dell'account (Parte A) sono comunicati ai seguenti soggetti, che trattano i dati in autonomia o per conto di Data Project A.B. nell'ambito dei rispettivi servizi:
| Fornitore | Funzione | Paese di trattamento | Garanzia per il trasferimento |
|---|---|---|---|
| register.it | Hosting piattaforma, servizio SMTP per email di conferma registrazione | Italia/UE | Nessun trasferimento extra-SEE |
| Stripe Payments Europe, Limited | Elaborazione dei pagamenti e fatturazione del servizio | UE (entità contraente); trattamento a livello di gruppo anche negli USA e in altri paesi extra-SEE | Certificazione EU-US Data Privacy Framework per i trasferimenti verso gli USA; Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea per i trasferimenti verso altri paesi extra-SEE (es. India) in cui il gruppo Stripe opera |
| Autorità competenti | Adempimenti di legge | Italia | Su richiesta motivata e nei casi previsti dalla legge |
Per i dati oggetto della presente Parte A, al di fuori di quanto sopra indicato, non sono previsti ulteriori trasferimenti verso paesi extra-SEE. Qualora ciò cambiasse, la presente informativa sarà aggiornata di conseguenza.
Se stai leggendo questa sezione perché hai chiamato un numero gestito tramite un servizio di risposta vocale automatizzata fornito da Data Project A.B., il Titolare del trattamento dei tuoi dati è l'azienda o il professionista che ha attivato ed eroga il servizio che hai contattato («Cliente Business»), i cui riferimenti sono indicati all'inizio della chiamata e/o disponibili contattando il recapito reso noto dal Cliente Business stesso.
Per l'esercizio dei diritti relativi ai dati raccolti durante la chiamata, l'Utente Finale deve
rivolgersi in primo luogo al Cliente Business (Titolare).
Data Project A.B. fornisce comunque assistenza tecnica al Cliente Business per dare seguito a tali richieste entro i termini di legge — v. Sezione 14.
Il servizio si basa su sistemi di intelligenza artificiale conversazionale (motore vocale/orchestrazione, modelli linguistici di terze parti). In conformità all'art. 50 del Regolamento UE 2024/1689 («AI Act»), Data Project A.B. e il Cliente Business dichiarano quanto segue.
L'Utente Finale conserva sempre la facoltà di richiedere di essere messo in contatto con un operatore umano o di terminare la chiamata in qualsiasi momento.
Qualificazione dei ruoli AI Act:
| Soggetto | Ruolo presunto ai sensi del Reg. UE 2024/1689 |
|---|---|
| Fornitori Agenti, OpenAI, Anthropic, Google | Provider dei sistemi/modelli AI sottostanti (incl. modelli GPAI) |
| Data Project A.B. | Provider integratore del sistema in un prodotto SaaS proprio |
| Cliente Business | Deployer del sistema AI nell'ambito della propria attività commerciale |
| Categoria | Dato specifico | Modalità di raccolta |
|---|---|---|
| Dati identificativi | Numero di telefono del chiamante (CLI/CLID) | Automatica, alla risposta della chiamata |
| Dati audio | Registrazione vocale dell'intera conversazione | Automatica, previo avviso vocale garantito a livello di piattaforma (v. Sez. 8) |
| Dati testuali derivati | Trascrizione testuale della conversazione (speech-to-text) | Elaborazione automatica del file audio tramite fornitori terzi (Sez. 12) |
| Dati di sintesi | Riepilogo strutturato del contenuto della chiamata | Elaborazione automatica tramite modello linguistico |
| Dati di contatto (derivati) | Nome, data/orario appuntamento, richieste specifiche fornite verbalmente | Dichiarazione spontanea dell'Utente Finale |
I dati sono archiviati nell'infrastruttura di Data Project A.B. per conto del Cliente Business e trasmessi via email al Cliente Business medesimo.
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Gestione della richiesta/prenotazione dell'Utente Finale | Art. 6 §1 lett. b — esecuzione di un contratto o misure precontrattuali tra Utente Finale e Cliente Business |
| Registrazione e trascrizione della chiamata per tracciabilità e controllo qualità | Art. 6 §1 lett. f — legittimo interesse del Cliente Business (Titolare) |
| Invio del riepilogo chiamata al Cliente Business | Art. 6 §1 lett. b / f |
| Archiviazione per gestione operativa e storico | Art. 6 §1 lett. f |
La determinazione della base giuridica applicabile a ciascuna finalità è responsabilità del Cliente Business in qualità di Titolare; Data Project A.B. mette a disposizione strumenti tecnici coerenti con quanto sopra indicato.
| Dato | Periodo di conservazione |
|---|---|
| File audio della chiamata | 90 giorni dalla registrazione, salvo diversa configurazione contrattuale del Cliente Business entro i limiti previsti dall'Accordo art. 28 |
| Trascrizione testuale e riepilogo | 12 mesi dall'elaborazione |
| Numero di telefono e dati di contatto forniti a voce | Conservati da Data Project A.B. per 12 mesi per finalità di continuità del servizio, salvo istruzione di cancellazione anticipata da parte del Cliente Business o necessità di conservazione più lunga per la gestione di una specifica prenotazione/contestazione |
| Log tecnici di sistema | 365 giorni per finalità di sicurezza informatica |
Alla scadenza dei termini, i dati sono cancellati o anonimizzati in modo irreversibile, salvo diversi termini stabiliti nell'Accordo ex art. 28 con il singolo Cliente Business o obblighi di legge.
Per l'erogazione del servizio, Data Project A.B. si avvale dei seguenti sub-responsabili del trattamento, autorizzati dal Cliente Business ai sensi dell'art. 28 §2/4 GDPR:
| Fornitore | Funzione | Paese di trattamento | Garanzia per il trasferimento |
|---|---|---|---|
| OpenAI | Modello linguistico (elaborazione testuale/risposte) | USA | https://help.openai.com/it-it/articles/10658393-complying-with-the-eu-ai-acts-prohibited-practices-requirements |
| Anthropic | Modello linguistico (elaborazione testuale/risposte) | USA | https://www.anthropic.com/legal/data-processing-addendum |
| Google (Gemini/Vertex AI) | Modello linguistico (elaborazione testuale/risposte) | USA / infrastruttura multi-regione | https://cloud.google.com/security/compliance/eu-scc?hl=it |
| Fornitori di telefonia/SIP trunk | Instradamento delle chiamate | UE, salvo diversa indicazione del Cliente Business che utilizzi un proprio fornitore | Nessuna, se fornitore UE; da valutare caso per caso se il fornitore è extra-UE |
| register.it | Hosting piattaforma e archiviazione dati | Italia/UE | Nessun trasferimento extra-UE |
Data Project A.B. adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui, a titolo esemplificativo: cifratura dei dati in transito, controllo degli accessi basato su ruoli, segregazione logica dei dati tra Clienti Business, log delle operazioni critiche, procedure di cancellazione/anonimizzazione automatizzata al termine dei periodi di conservazione.
In caso di violazione dei dati personali (data breach) che coinvolga dati trattati per conto di un Cliente Business, Data Project A.B. si impegna a notificarlo al Cliente Business senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, fornendo le informazioni necessarie affinché il Cliente Business possa adempiere agli obblighi di cui agli artt. 33 e 34 GDPR nei confronti del Garante e degli interessati.
Ai sensi degli artt. 15–22 GDPR, ogni interessato ha diritto di:
Ottenere conferma dei trattamenti in corso e riceverne copia dei dati.
Ottenere la correzione di dati inesatti o incompleti.
Ottenere la cancellazione dei propri dati nei casi previsti dalla norma.
Ottenere la limitazione del trattamento in determinate circostanze.
Ricevere i propri dati in formato strutturato e leggibile.
Opporsi al trattamento basato su legittimo interesse.
Le richieste sono soddisfatte entro 30 giorni dalla ricezione, prorogabili di ulteriori 60 giorni in caso di comprovata complessità.
L'interessato che ritenga violato il GDPR ha diritto di proporre reclamo al Garante per la protezione dei dati personali:
Per questioni relative alla presente informativa, ai trattamenti di cui alla Parte A, o per assistenza nell'individuazione del Titolare corretto per i trattamenti di cui alla Parte B, contattare: