Data Processing Agreement

L'accordo sul trattamento dei dati personali che disciplina i rapporti tra Ottoo e gli Utenti Business ai sensi dell'art. 28 GDPR

Il presente Data Processing Agreement (il "DPA") disciplina il trattamento di dati personali effettuato da Giuseppe Caccavale, con sede legale in Via Saccaccio 68, 80035 Nola (NA), P. IVA/C.F. IT07949151216, e-mail privacy@ottoo.eu, PEC giuseppecaccavale@certificalatuapec.it (il "Responsabile" o "Ottoo"), per conto dell'Utente Business identificato nell'Account o nella documentazione contrattuale (il "Titolare").

Il DPA è concluso ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), integra i Termini di Servizio per Utenti Business e si applica quando Ottoo tratta dati personali per conto dell'Utente Business. In caso di contrasto, prevale il presente DPA per le attività svolte da Ottoo quale responsabile del trattamento; prevalgono invece le clausole contrattuali standard applicabili a eventuali trasferimenti verso Paesi terzi.

L'accettazione elettronica dei Termini Business, che incorporano il presente DPA, costituisce forma scritta anche elettronica ai sensi dell'art. 28, par. 9, GDPR. La versione applicabile è quella resa disponibile al Titolare al momento dell'accettazione, fatte salve le successive modifiche comunicate secondo il presente DPA.

1. Definizioni

Ai fini del presente DPA:

• Dati del Titolare: i dati personali trattati da Ottoo per conto del Titolare attraverso la Piattaforma;
• Interessato, Dati personali, Trattamento, Titolare, Responsabile, Violazione dei dati personali e Autorità di controllo hanno il significato attribuito dal GDPR;
• Sub-responsabile: un terzo incaricato da Ottoo di trattare Dati del Titolare;
• Piattaforma o Servizi: il servizio SaaS Ottoo, comprese dashboard Business, webapp Clienti, applicazioni, API e funzionalità collegate;
• Assistente AI: la funzione generativa facoltativa che, nella dashboard o sul canale WhatsApp della Sede, elabora richieste in linguaggio naturale, consulta dati tramite strumenti autorizzati, genera risposte e può proporre operazioni soggette a conferma;
• Normativa privacy applicabile: il GDPR, il D.lgs. 196/2003 come modificato e le altre norme applicabili al trattamento oggetto del DPA;
• SCC: le clausole contrattuali standard adottate dalla Commissione europea per i trasferimenti verso Paesi terzi, ove applicabili.

2. Ruoli e ambito di applicazione

Il Titolare determina finalità e mezzi essenziali del trattamento dei dati dei propri clienti, dipendenti, collaboratori e altri soggetti inseriti o gestiti tramite la Piattaforma. Ottoo tratta tali dati per conto del Titolare esclusivamente nei limiti del presente DPA e delle istruzioni documentate.

Ottoo opera invece quale autonomo titolare per i trattamenti necessari a gestire il proprio rapporto contrattuale, fatturare i Servizi, proteggere account e infrastruttura, prevenire abusi, adempiere a obblighi propri o fornire funzionalità direttamente richieste dagli Utenti Clienti. Tali trattamenti sono descritti nella Privacy Policy e non sono disciplinati dal presente DPA.

3. Oggetto, durata, natura e finalità

Oggetto, durata, natura e finalità del trattamento, categorie di dati e interessati sono descritti nell'Allegato I, che costituisce parte integrante del DPA.

Il DPA resta efficace per la durata del rapporto contrattuale e, successivamente, finché Ottoo conserva o tratta Dati del Titolare, salvo che i dati siano stati restituiti, cancellati o resi anonimi in modo irreversibile.

4. Istruzioni documentate

Ottoo tratta i Dati del Titolare esclusivamente:

• per erogare, proteggere, mantenere e supportare i Servizi;
• secondo le configurazioni, le azioni e le funzionalità scelte dal Titolare e dagli utenti da questo autorizzati;
• quando l'Assistente AI è abilitato, per trasmettere al fornitore del modello soltanto i dati e il contesto operativo necessari alla richiesta, generare la risposta, preparare eventuali azioni e dare seguito alle conferme esplicite ricevute;
• secondo i Termini Business, il presente DPA e gli Allegati;
• secondo ulteriori istruzioni scritte lecite e compatibili con i Servizi concordate tra le parti.

Le istruzioni comprendono i trasferimenti necessari verso i Sub-responsabili autorizzati indicati nell'Allegato III. Ottoo informa immediatamente il Titolare se, a proprio ragionevole giudizio, un'istruzione viola la normativa privacy applicabile, salvo che la legge vieti tale comunicazione. Ottoo può sospendere l'esecuzione dell'istruzione contestata per il tempo necessario a verificarne la liceità.

Qualora una norma dell'Unione o dello Stato membro imponga a Ottoo un trattamento non previsto dalle istruzioni, Ottoo ne informa preventivamente il Titolare, salvo divieto imposto dalla legge per rilevanti motivi di interesse pubblico.

5. Riservatezza e persone autorizzate

Ottoo garantisce che le persone autorizzate a trattare i Dati del Titolare:

• accedano ai dati solo nella misura necessaria alle proprie mansioni;
• ricevano istruzioni adeguate in materia di protezione dei dati e sicurezza;
• siano vincolate da obblighi di riservatezza contrattuali o legali;
• siano soggette a revoca o aggiornamento tempestivo delle autorizzazioni quando cambiano ruolo o cessano la collaborazione.

6. Sicurezza del trattamento

Ottoo adotta e mantiene misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR. Le misure principali sono descritte nell'Allegato II.

Il Titolare riconosce che la sicurezza è una responsabilità condivisa e si impegna a configurare correttamente ruoli e permessi, proteggere credenziali e dispositivi, abilitare i controlli disponibili e non inserire nei campi liberi dati eccedenti o non necessari.

Ottoo può aggiornare le misure di sicurezza in funzione dell'evoluzione tecnologica e dei rischi, purché non riduca in modo sostanziale il livello complessivo di protezione dei Dati del Titolare.

7. Sub-responsabili

Il Titolare autorizza in via generale Ottoo a ricorrere ai Sub-responsabili indicati nell'Allegato III per le finalità ivi specificate.

Ottoo:

• effettua una valutazione ragionevole delle garanzie offerte dal Sub-responsabile;
• stipula un contratto scritto che imponga obblighi di protezione dei dati sostanzialmente equivalenti a quelli applicabili a Ottoo;
• resta responsabile nei confronti del Titolare dell'adempimento degli obblighi del Sub-responsabile, nei limiti previsti dalla legge e dal contratto;
• mantiene disponibili l'identità, la funzione e l'ubicazione dei Sub-responsabili e, su richiesta ragionevole, le informazioni rilevanti sulla catena di sub-trattamento.

Ottoo comunica l'aggiunta o sostituzione di un Sub-responsabile con almeno 30 giorni di preavviso, tramite e-mail, notifica in-app o aggiornamento evidenziato dell'Allegato III. Il Titolare può opporsi entro 15 giorni per motivi documentati relativi alla protezione dei dati.

Le parti collaborano in buona fede per individuare una soluzione ragionevole. Se non è possibile evitare il trattamento contestato, il Titolare può interrompere la funzionalità interessata o, quando questa è essenziale, risolvere il Servizio interessato senza penali ulteriori rispetto agli importi già maturati.

8. Diritti degli interessati

Tenuto conto della natura del trattamento, Ottoo assiste il Titolare con misure tecniche e organizzative adeguate per consentirgli di rispondere alle richieste di esercizio dei diritti previsti dagli artt. 15-22 GDPR.

Se Ottoo riceve direttamente una richiesta relativa a Dati del Titolare:

• ne informa il Titolare senza ingiustificato ritardo;
• non risponde nel merito salvo istruzione del Titolare o obbligo di legge;
• può indirizzare l'Interessato al Titolare quando ciò consente di gestire correttamente la richiesta.

Alcune rettifiche sono propagate dalla Piattaforma senza necessità di intervento del Titolare: la modifica o la cancellazione della data di nascita effettuata dall'Interessato nel proprio profilo Ottoo aggiorna automaticamente la scheda cliente che lo riguarda presso ogni Sede collegata al suo account. Il Titolare resta libero di correggere il dato nella propria scheda quando l'Interessato si rivolga direttamente a lui.

Il Titolare resta responsabile della verifica dell'identità del richiedente, della valutazione della richiesta e del rispetto dei termini di legge.

9. Violazioni dei dati personali

Ottoo informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una Violazione dei dati personali riguardante Dati del Titolare.

Nei limiti delle informazioni disponibili, la comunicazione contiene:

• natura della violazione;
• categorie e numero approssimativo di Interessati e registrazioni coinvolte;
• probabili conseguenze;
• misure adottate o proposte per contenere e rimediare alla violazione;
• punto di contatto per gli aggiornamenti.

Le informazioni possono essere fornite progressivamente quando non sono disponibili nello stesso momento. Ottoo adotta misure ragionevoli per contenere la violazione, preservare le evidenze e prevenirne il ripetersi.

Il Titolare resta responsabile delle valutazioni e comunicazioni previste dagli artt. 33 e 34 GDPR, salvo gli obblighi direttamente applicabili a Ottoo.

10. Assistenza per sicurezza, DPIA e consultazione preventiva

Tenuto conto della natura del trattamento e delle informazioni disponibili, Ottoo assiste ragionevolmente il Titolare nell'adempimento degli obblighi previsti dagli artt. 32-36 GDPR, comprese valutazioni di impatto e consultazioni preventive.

L'assistenza ordinaria mediante documentazione esistente, esportazioni e funzionalità della Piattaforma è inclusa nei Servizi. Attività straordinarie, personalizzate o rese necessarie da istruzioni del Titolare possono essere soggette a un corrispettivo preventivamente concordato, salvo che siano dovute a una violazione imputabile a Ottoo.

11. Restituzione e cancellazione

Durante il rapporto il Titolare può utilizzare le funzionalità disponibili per consultare o esportare i propri dati.

Alla cessazione dei Servizi, Ottoo, a scelta del Titolare comunicata prima della chiusura dell'Account e nei limiti tecnicamente disponibili:

• mette a disposizione un'esportazione dei Dati del Titolare; oppure
• cancella i Dati del Titolare secondo le procedure e i tempi descritti nell'Allegato I.

In assenza di una scelta tempestiva, Ottoo procede alla cancellazione secondo la procedura ordinaria. Sono escluse dalla restituzione le informazioni proprietarie di Ottoo, i dati di altri clienti e i dati che Ottoo tratta quale autonomo titolare.

Eventuali copie residue nei backup sono isolate dall'uso ordinario e sovrascritte secondo il normale ciclo di conservazione. Ottoo può conservare dati quando richiesto dalla legge, limitandone il trattamento alla finalità che giustifica la conservazione.

12. Informazioni e audit

Ottoo mette a disposizione del Titolare le informazioni ragionevolmente necessarie a dimostrare il rispetto dell'art. 28 GDPR e del presente DPA.

Il Titolare può richiedere un audit, anche tramite un revisore indipendente vincolato alla riservatezza, alle seguenti condizioni:

• preavviso scritto di almeno 30 giorni, salvo violazioni, richieste dell'Autorità di controllo o altri motivi urgenti;
• ambito proporzionato e previamente concordato;
• svolgimento durante l'orario lavorativo, senza compromettere sicurezza, riservatezza o continuità dei Servizi;
• divieto di accesso ai dati di altri clienti e ai segreti non pertinenti alla verifica.

Di regola, non può essere richiesto più di un audit ogni 12 mesi, salvo incidenti rilevanti, fondati dubbi di non conformità o richieste dell'Autorità di controllo. Ottoo può soddisfare la richiesta mediante questionari, policy, report, attestazioni, test di sicurezza o altra documentazione adeguata prima di consentire verifiche in presenza.

I costi ragionevoli dell'audit sono sostenuti dal Titolare, salvo che l'audit accerti una violazione sostanziale imputabile a Ottoo.

13. Trasferimenti verso Paesi terzi

Ottoo non trasferisce Dati del Titolare al di fuori dello Spazio Economico Europeo se non:

• su istruzione documentata del Titolare;
• quando necessario per utilizzare un Sub-responsabile autorizzato;
• quando richiesto dalla legge.

Ogni trasferimento soggetto agli artt. 44 e seguenti GDPR avviene sulla base di una decisione di adeguatezza o di garanzie appropriate. Quando necessario, Ottoo incorpora le SCC approvate con Decisione di esecuzione (UE) 2021/914, utilizza il modulo coerente con i ruoli delle parti, valuta le circostanze del trasferimento e adotta misure supplementari ragionevoli.

Per i trasferimenti da Ottoo, quale responsabile, a un Sub-responsabile stabilito in un Paese non adeguato si applica, ove necessario, il Modulo 3 delle SCC. In caso di conflitto, le SCC prevalgono sul presente DPA.

14. Registri e cooperazione

Ottoo mantiene, ove richiesto, il registro delle categorie di attività di trattamento svolte per conto dei propri clienti e coopera con l'Autorità di controllo ai sensi degli artt. 30 e 31 GDPR.

Ottoo comunica al Titolare le richieste vincolanti di un'autorità pubblica relative ai Dati del Titolare, salvo divieto di legge, e verifica nei limiti ragionevoli la competenza e la validità della richiesta.

15. Obblighi del Titolare

Il Titolare garantisce di:

• trattare e conferire i dati in modo lecito, corretto, trasparente e proporzionato;
• individuare le basi giuridiche applicabili e, per categorie particolari di dati, una condizione valida ai sensi dell'art. 9 GDPR;
• fornire informative adeguate agli Interessati;
• impartire istruzioni lecite e documentate;
• configurare accessi e funzionalità secondo minimizzazione e necessità;
• assicurare che gli utenti autorizzati rispettino il DPA e i Termini Business;
• non utilizzare la Piattaforma come cartella clinica e non caricare referti, diagnosi, anamnesi o dati eccedenti nei campi liberi;
• non inserire categorie particolari di dati nei titoli o contenuti delle notifiche push affidate a OneSignal;
• non utilizzare la data di nascita presente nella scheda cliente come prova dell'età dell'Interessato: è un dato facoltativo e dichiarato, non verificato da Ottoo, e la verifica dell'età per prestazioni soggette a limiti resta a carico del Titolare;
• prima di pubblicare una comunicazione sulla bacheca della Sede, verificare che il testo non contenga dati personali di clienti, dipendenti o terzi, poiché è visibile a chiunque consulti la pagina anche senza account;
• confermare l'unione di due schede cliente duplicate soltanto dopo avere verificato che si riferiscano alla stessa persona: l'operazione è irreversibile, trasferisce i dati collegati sulla scheda mantenuta ed elimina definitivamente l'altra;
• se collega a Ottoo il numero già utilizzato nell'app WhatsApp Business, considerare che le conversazioni condotte dal personale tramite l'app restano sotto la propria esclusiva titolarità e responsabilità, informarne il personale che usa l'app, decidere consapevolmente se condividere la cronologia al momento del collegamento e considerare che Meta sincronizza separatamente i contatti, indipendentemente dalla scelta sulla cronologia (Ottoo scarta contatti e cronologia importati senza utilizzarli né conservarli) e mantenere il collegamento attivo secondo le regole di Meta;
• prima di attivare WhatsApp, verificare che nomi dei servizi e altri parametri dei template non rivelino dati sanitari, categorie particolari, dati giudiziari o informazioni soggette a segreto professionale, e rispettare le opposizioni dei destinatari;
• prima di attivare l'Assistente AI, valutare il proprio trattamento e la relativa base giuridica, aggiornare le informative destinate a clienti, staff e collaboratori, assicurare la trasparenza sull'interazione con un sistema di IA e predisporre un canale effettivo di intervento umano;
• non inserire nelle richieste all'Assistente AI diagnosi, dettagli clinici, dati giudiziari, segreti professionali o altre informazioni altamente riservate e configurare nomi di servizi e campi operativi secondo minimizzazione;
• verificare l'accuratezza delle risposte e delle proposte prima di confermare un'azione e non usare l'Assistente AI per decisioni che producano effetti giuridici o analogamente significativi sull'Interessato senza una valutazione umana adeguata;
• non includere Dati del Titolare nelle normali richieste di supporto inviate via e-mail e concordare preventivamente con Ottoo un canale adeguato quando sia indispensabile condividere esempi contenenti dati personali;
• effettuare una valutazione di impatto quando richiesta dalla natura, dal contesto o dal rischio del proprio trattamento.

16. Responsabilità

Ciascuna parte risponde delle violazioni degli obblighi direttamente applicabili al proprio ruolo.

La ripartizione interna della responsabilità tra le parti segue il presente DPA e i Termini Business, senza pregiudicare i diritti degli Interessati, i poteri delle Autorità di controllo e le disposizioni inderogabili degli artt. 82 e 83 GDPR.

17. Modifiche

Ottoo può aggiornare il DPA per adeguarlo a modifiche normative, decisioni delle autorità, evoluzioni tecniche o variazioni dei Sub-responsabili.

Le modifiche sostanziali sono comunicate con modalità adeguate e con un preavviso ragionevole. Nessuna modifica può ridurre sostanzialmente le garanzie applicabili ai Dati del Titolare durante il periodo contrattuale senza una valida base giuridica o il consenso del Titolare, quando richiesto.

18. Legge applicabile e foro

Il DPA è regolato dalla legge italiana.

Per quanto consentito dalla normativa applicabile e salvo foro inderogabile, ogni controversia relativa al DPA è devoluta al Foro di Nola (NA). Resta impregiudicato il diritto degli Interessati di rivolgersi all'Autorità di controllo o all'autorità giudiziaria competente.

Allegato I - Descrizione del trattamento

A. Parti e ruoli

B. Oggetto e finalità

Fornitura della Piattaforma Ottoo per organizzare sedi, servizi, staff, risorse, clienti, prenotazioni, liste d'attesa, comunicazioni operative, inclusi promemoria, conferme e cancellazioni tramite WhatsApp quando attivati dal Titolare, carte regalo, preventivi, pagamenti, bacheca pubblica della Sede, Assistente AI nella dashboard e su WhatsApp e funzionalità collegate.

Le finalità comprendono hosting, autenticazione, conservazione, consultazione, organizzazione, elaborazione, supporto, sicurezza, backup, invio di notifiche richieste, trasmissione dei messaggi tramite i fornitori scelti o attivati dal Titolare, generazione di risposte e proposte operative mediante l'Assistente AI, esecuzione delle sole azioni confermate e cancellazione dei Dati del Titolare.

C. Natura e frequenza

Il trattamento può includere raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, utilizzo, modifica, estrazione, trasmissione ai destinatari autorizzati, limitazione, cancellazione, anonimizzazione e distruzione.

Il trattamento avviene in modo continuativo o secondo l'utilizzo delle funzionalità da parte del Titolare per la durata dei Servizi.

D. Categorie di Interessati

• clienti e potenziali clienti del Titolare;
• clienti inseriti manualmente dal Titolare;
• dipendenti, collaboratori, professionisti e membri dello staff;
• referenti e utenti autorizzati del Titolare;
• destinatari di prenotazioni, notifiche, carte regalo, preventivi o link condivisi.

E. Categorie di dati

• dati identificativi e di contatto;
• data di nascita, quando indicata dall'Interessato nel proprio profilo Ottoo o inserita dal Titolare nella scheda cliente;
• numero di telefono in formato normalizzato, generato dalla Piattaforma per individuare schede cliente duplicate della stessa persona;
• dati relativi ad account, ruoli, permessi e autenticazione;
• dati relativi a sedi, staff, orari, assenze, servizi, risorse e organizzazione;
• prenotazioni, liste d'attesa, spostamenti di appuntamenti, cancellazioni, no-show, note e comunicazioni;
• testo delle comunicazioni pubblicate dal Titolare sulla bacheca della Sede;
• dati relativi a carte regalo, preventivi e stato dei pagamenti;
• immagini, documenti e contenuti caricati dal Titolare;
• preferenze di comunicazione, opposizioni, numeri telefonici e identificativi per notifiche;
• parametri dei messaggi WhatsApp relativi alla prenotazione, identificativi del messaggio, stato di consegna, lettura o errore e dati tecnici dell'account WhatsApp Business collegato;
• per i numeri collegati in modalità Coexistence, la notifica tecnica di Meta che segnala una risposta del personale del Titolare dall'app WhatsApp Business (di cui Ottoo utilizza solo la circostanza e il numero del destinatario, senza conservarne il testo), nonché i contatti sincronizzati separatamente da Meta e la cronologia recente eventualmente condivisa dal Titolare con la piattaforma, ricevuti da Ottoo e scartati senza conservazione;
• messaggi vocali e immagini inviati dagli Interessati all'Assistente AI sul canale WhatsApp, elaborati solo in memoria per la trascrizione o la descrizione e non conservati da Ottoo, e il testo che ne risulta;
• contenuto delle conversazioni con l'Assistente AI quando la relativa conservazione è attiva, riepiloghi, metadati di canale e conversazione, dati operativi minimizzati consultati, strumenti utilizzati, richieste di passaggio a un operatore e stati della conversazione;
• proposte di azione dell'Assistente AI, parametri congelati, conferme, rifiuti, esiti e registri di audit; conteggi di token e costo stimato privi del contenuto dei messaggi;
• dati tecnici, log, audit trail, indirizzi IP e informazioni di sicurezza.

Ottoo non memorizza i dati completi delle carte di pagamento.

F. Categorie particolari e dati soggetti a garanzie aggiuntive

La prenotazione di una prestazione può rivelare dati relativi alla salute o altre categorie particolari ai sensi dell'art. 9 GDPR. Attività legali o professionali possono inoltre trattare informazioni soggette a segreto professionale o, in casi limitati, dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR.

La Piattaforma non è progettata come cartella clinica o archivio giudiziario. Il Titolare deve limitare tali dati allo stretto necessario, utilizzare campi strutturati quando disponibili, evitare dettagli nei campi liberi e applicare le basi giuridiche e garanzie richieste.

I payload inviati a OneSignal, Meta/WhatsApp o al fornitore del modello AI non devono contenere diagnosi, dettagli clinici, categorie particolari di dati o altre informazioni altamente riservate. Messaggi vocali e immagini sono prodotti dall'Interessato e non possono essere filtrati prima della trasmissione: il Titolare ne tiene conto nelle informative rese ai propri clienti, invitandoli a non inviare all'Assistente AI contenuti di tale natura. Il Titolare deve pertanto utilizzare denominazioni di servizi e contenuti compatibili con tale divieto prima di attivare i messaggi WhatsApp o l'Assistente AI.

G. Durata e conservazione

I dati operativi sono trattati per la durata del rapporto e cancellati con la procedura di eliminazione dell'Account, salvo obblighi di legge, contenziosi o le seguenti regole documentate:

• note e collegamento personale delle prenotazioni: rimozione dopo 24 mesi dalla data dell'appuntamento;
• record anonimizzati delle prenotazioni: conservazione fino a 5 anni;
• data di nascita: conservata finché presente nel profilo dell'Interessato o nella scheda cliente; cancellata quando l'Interessato la rimuove dal proprio profilo, con propagazione alle schede collegate al suo account;
• notifiche in-app: 12 mesi;
• registri degli invii WhatsApp conservati da Ottoo: 90 giorni; contatti e cronologia sincronizzati da Meta in modalità Coexistence: non conservati;
• contenuto integrale dei messaggi dell'Assistente AI conservato da Ottoo: 30 giorni, quando la conservazione delle conversazioni è attiva;
• file dei messaggi vocali e delle immagini inviati all'Assistente AI: non conservati da Ottoo, eliminati al termine dell'elaborazione; la trascrizione o descrizione segue la conservazione del contenuto dei messaggi;
• metadati delle conversazioni AI ed eventuale riepilogo: 90 giorni; se la conservazione delle conversazioni è disattivata, testo e riepilogo non vengono salvati;
• conteggi di utilizzo dell'Assistente AI privi di contenuto: 24 mesi; azioni confermate e relativi esiti: secondo la conservazione dell'audit trail;
• input e output trasmessi a Mistral AI: tempo necessario all'elaborazione e finestra mobile fino a 30 giorni per monitoraggio degli abusi, salvo Zero Data Retention o diversa configurazione contrattuale applicabile;
• audit e log di sicurezza: 24 mesi;
• contenuto integrale degli eventi di billing: 12 mesi;
• identificativi e metadati contabili, antifrode o fiscali: fino a 10 anni quando Ottoo opera quale autonomo titolare o la legge ne richiede la conservazione;
• esportazioni: link disponibile per 24 ore;
• backup residui: cancellazione mediante sovrascrittura secondo il normale ciclo tecnico.

Il Titolare può impartire istruzioni di conservazione più brevi se compatibili con i Servizi e con gli obblighi applicabili.

Allegato II - Misure tecniche e organizzative

Ottoo applica un sistema di misure proporzionato al rischio, che comprende:

1. Controllo degli accessi

• autenticazione centralizzata e gestione sicura delle sessioni;
• ruoli e permessi per proprietari, amministratori e staff;
• separazione logica tra gli ambienti dei diversi Utenti Business;
• controlli di autorizzazione e scoping multi-tenant lato backend e database;
• autenticazione a più fattori per operazioni e ruoli supportati;
• revisione e revoca degli accessi amministrativi.

2. Protezione dei dati e delle comunicazioni

• HTTPS/TLS per le comunicazioni di rete;
• gestione separata delle credenziali e dei segreti applicativi;
• link firmati e a durata limitata per esportazioni e file riservati;
• minimizzazione dei dati restituiti dalle API e dei contenuti esposti tramite link pubblici;
• minimizzazione del contesto e dei risultati trasmessi al modello AI, esclusione dei dati fiscali e dei dati completi di pagamento e uso di chiamate stateless verso il fornitore del modello;
• protezione di database, storage e backup mediante controlli infrastrutturali e applicativi.

3. Integrità, disponibilità e resilienza

• backup e procedure di ripristino;
• monitoraggio della disponibilità e dello stato dei servizi;
• gestione degli aggiornamenti e delle vulnerabilità;
• ambienti e procedure di rilascio controllati;
• misure di continuità operativa e ripristino in caso di incidente.

4. Logging e sicurezza applicativa

• audit trail per operazioni rilevanti;
• logging degli eventi di sicurezza e accesso;
• rate limiting, convalida degli input e protezioni contro abusi;
• verifica delle firme dei webhook e controlli di idempotenza per le operazioni di pagamento;
• conferma esplicita e parametri congelati per le azioni proposte dall'Assistente AI, separazione per Sede, applicazione dei permessi dell'utente autenticato e audit delle operazioni eseguite;
• procedure di gestione, analisi e contenimento degli incidenti.

5. Misure organizzative

• accesso secondo necessità e principio del minimo privilegio;
• obblighi di riservatezza;
• procedure per richieste degli Interessati, data breach e cancellazione;
• valutazione dei fornitori e imposizione di obblighi contrattuali ai Sub-responsabili;
• revisione periodica delle misure in base ai rischi e all'evoluzione dei Servizi.

Ulteriori dettagli tecnici possono essere messi a disposizione del Titolare sotto vincolo di riservatezza, quando ragionevolmente necessari e senza compromettere la sicurezza della Piattaforma.

Allegato III - Sub-responsabili autorizzati

OneSignal è utilizzato solo quando la relativa funzionalità è abilitata. Meta/WhatsApp è utilizzata solo quando il Titolare collega il proprio account WhatsApp Business e impartisce l'istruzione di inviare le comunicazioni configurate. Il Titolare mantiene il rapporto diretto con Meta per account, numero, metodo di pagamento e costi dei messaggi.

Mistral AI è utilizzata solo quando il Titolare abilita almeno un canale dell'Assistente AI. Ottoo usa l'API stateless e non l'Agents API con stato conservato dal fornitore. Secondo le condizioni applicabili alle API, input e output non sono utilizzati per addestrare i modelli; possono essere conservati per una finestra mobile fino a 30 giorni per monitoraggio degli abusi, salvo attivazione della Zero Data Retention. La disattivazione della conservazione in Ottoo non modifica automaticamente la conservazione applicata dal fornitore del modello.

Nei payload destinati a OneSignal, Meta/WhatsApp o Mistral AI non devono essere inseriti dati sanitari, altre categorie particolari di dati o contenuti altamente riservati.

La distribuzione Supabase di produzione è gestita da Ottoo sull'infrastruttura IONOS. Il mero utilizzo del software Supabase self-hosted non comporta il trasferimento dei Dati del Titolare a Supabase, Inc.

Stripe, Google Maps/Places, OpenStreetMap/Nominatim, VIES e i fornitori e-mail possono operare con ruoli diversi in base alla specifica funzionalità e ai dati trattati. Quando non trattano Dati del Titolare per conto di Ottoo, non sono Sub-responsabili ai sensi del presente DPA; i relativi trattamenti sono descritti nella Privacy Policy. Se una futura configurazione comporta un trattamento per conto del Titolare, Ottoo aggiornerà il presente Allegato prima di affidare loro tali dati.

Allegato IV - Contatti operativi

Il Titolare deve mantenere aggiornati i propri contatti affinché Ottoo possa inviare comunicazioni relative a incidenti, Sub-responsabili o modifiche del DPA.