Accordo sul trattamento dei dati personali (DPA), art. 28 del Regolamento UE 2016/679

Versione 2.4, in vigore dal 15 ottobre 2026. Allegato e parte integrante delle Condizioni Generali di Contratto AiBOOST.

1. Parti e ruoli

1.1 Il Cliente è il Titolare del trattamento dei dati personali dei Clienti finali e degli altri interessati trattati nel proprio workspace.

1.2 TeamXen di Marinangeli Fabio (il "Responsabile") tratta tali dati per conto del Cliente come Responsabile del trattamento ai sensi dell'art. 28 GDPR.

1.3 Per i dati dei propri clienti (account, fatturazione, assistenza) TeamXen è invece Titolare autonomo, come descritto nella Privacy Policy. Questo DPA non riguarda quei dati.

2. Oggetto, durata, natura e finalità

2.1 Oggetto: trattamento necessario per erogare il Servizio AiBOOST: ricezione, archiviazione e invio di messaggi; generazione di risposte con l'AI; gestione di contatti e lead; automazioni; campagne; notifiche d'ordine collegate a Shopify; statistiche del workspace; messa a disposizione dei dati alle applicazioni AI e ai servizi collegati dal Cliente tramite MCP o API, su sua istruzione.

2.2 Durata: per tutta la durata del contratto e fino alla cancellazione dei dati prevista dall'art. 10.

2.3 Natura: raccolta tramite i canali collegati, registrazione, organizzazione, conservazione, consultazione, elaborazione automatizzata con modelli linguistici, trasmissione ai canali, cancellazione.

2.4 Finalità: esclusivamente l'erogazione del Servizio secondo le istruzioni del Cliente.

3. Categorie di interessati e di dati

3.1 Interessati: Clienti finali e potenziali clienti del Cliente; persone che compilano moduli Lead Ads; visitatori del sito del Cliente che usano il widget; Utenti autorizzati del Cliente.

3.2 Dati: nome e nome profilo; numero di telefono o, se l'utente WhatsApp lo nasconde, il nome utente e l'identificativo assegnato da Meta per l'azienda; email; identificativi dei canali (es. ID Instagram/Messenger); lingua, Paese e fuso orario; stato del consenso ai messaggi promozionali con fonte e data; contenuto dei messaggi, note vocali, immagini e documenti scambiati; commenti lasciati sui post e sui contenuti del Cliente; risposte ai moduli Lead Ads; dati d'ordine ricevuti da Shopify (numero ordine, importo, spedizione e tracciamento); dati inseriti dal Cliente nella rubrica e nei campi personalizzati; dati di consegna e lettura dei messaggi; documenti caricati nella base di conoscenza.

3.3 Dati particolari: il Servizio non è progettato per trattare categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10 GDPR). Il Cliente non deve chiedere tali dati tramite l'assistente AI né caricarli nella base di conoscenza. Se i Clienti finali li inviano spontaneamente, il Cliente ne valuta la gestione come Titolare.

4. Istruzioni del Titolare

4.1 Il Responsabile tratta i dati solo su istruzione documentata del Cliente. Le istruzioni sono costituite dal contratto, da questo DPA e dalle configurazioni che il Cliente imposta nella Piattaforma (canali collegati, istruzioni all'AI, automazioni, campagne).

4.2 Il Responsabile informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

4.3 Il trattamento al di fuori delle istruzioni è ammesso solo se lo impone il diritto dell'Unione o dello Stato membro; in tal caso il Responsabile informa il Cliente prima del trattamento, salvo divieto di legge.

5. Riservatezza

Il Responsabile garantisce che le persone autorizzate a trattare i dati sono vincolate alla riservatezza e ricevono istruzioni adeguate. L'accesso al workspace per assistenza è limitato al necessario e viene registrato (Condizioni, art. 11.4).

6. Misure di sicurezza (art. 32 GDPR)

Il Responsabile adotta le misure tecniche e organizzative indicate nell'Allegato A, adeguate al rischio. Può aggiornarle purché il livello di protezione complessivo non si riduca.

7. Sub-responsabili

7.1 Il Cliente concede un'autorizzazione generale al ricorso ai sub-responsabili elencati nell'Allegato B.

7.2 Il Responsabile comunica al Cliente, via email e/o in console, l'aggiunta o la sostituzione di sub-responsabili con almeno 15 giorni di preavviso. Entro questo termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Cliente può recedere dal contratto con rimborso della parte di canone già pagata e non goduta.

7.3 Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo DPA e risponde nei confronti del Cliente del loro operato, nei limiti dell'art. 28, par. 4, GDPR.

7.4 Servizi scelti dal Cliente: Meta (WhatsApp, Instagram, Messenger, Lead Ads) e Shopify sono servizi con cui il Cliente ha un proprio rapporto contrattuale e che il Cliente sceglie di collegare. Per i dati che il Cliente scambia con tali piattaforme, queste agiscono secondo i propri termini con il Cliente; il Responsabile si limita a trasmettere i dati secondo le istruzioni del Cliente. Allo stesso modo, le applicazioni di intelligenza artificiale e i servizi di automazione che il Cliente collega tramite MCP o chiavi API (Condizioni, art. 10-bis) sono scelti dal Cliente e non sono sub-responsabili del Responsabile: il Responsabile mette a disposizione i dati solo nei limiti dei permessi autorizzati dal Cliente.

8. Trasferimenti fuori dallo Spazio Economico Europeo

8.1 Il database principale si trova nell'Unione Europea (Irlanda).

8.2 Alcuni sub-responsabili possono trattare dati fuori dal SEE (in particolare negli Stati Uniti). In questi casi il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per i fornitori certificati oppure delle Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46 GDPR), con le misure supplementari indicate nell'Allegato A.

9. Assistenza al Titolare

9.1 Diritti degli interessati: tenuto conto della natura del trattamento, il Responsabile assiste il Cliente con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità). Se riceve una richiesta direttamente da un interessato, la inoltra al Cliente senza ingiustificato ritardo e non risponde nel merito senza istruzioni, salvo per indicare all'interessato di rivolgersi al Cliente.

9.2 Opposizione ai messaggi: la Piattaforma registra le richieste di stop inviate dai Clienti finali, in più lingue (es. "STOP", "UNSUBSCRIBE", "ABMELDEN", "BAJA") e tramite i pulsanti di disiscrizione, ed esclude il contatto da campagne, automazioni e notifiche automatiche. Il Cliente non deve aggirare questa esclusione.

9.3 Sicurezza, DPIA e consultazione preventiva: il Responsabile fornisce al Cliente le informazioni ragionevolmente necessarie per gli adempimenti degli artt. 32-36 GDPR.

10. Cancellazione e restituzione dei dati

10.1 Durante il contratto il Cliente può cancellare conversazioni e contenuti dalla console, nei limiti delle funzioni disponibili, o chiederne la cancellazione a info@teamxen.it.

10.2 Alla cessazione del contratto il Cliente può chiedere l'esportazione dei dati entro 30 giorni (Condizioni, art. 16.2). Trascorso tale termine il Responsabile cancella i dati personali del workspace entro i successivi 30 giorni. Le copie di backup vengono sovrascritte secondo il ciclo di rotazione dei backup e comunque entro 90 giorni dalla cancellazione.

10.3 Restano esclusi i dati che il Responsabile deve conservare per obbligo di legge, che sono conservati solo per il tempo e le finalità previste.

11. Violazione dei dati personali (data breach)

11.1 Il Responsabile informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione di dati personali che riguarda i dati del Cliente.

11.2 La comunicazione contiene, per quanto disponibili, le informazioni previste dall'art. 33, par. 3, GDPR, che possono essere fornite anche in più fasi. Il Responsabile adotta subito le misure ragionevoli per contenere la violazione e ridurne gli effetti.

11.3 La notifica all'autorità di controllo e la comunicazione agli interessati spettano al Cliente in qualità di Titolare.

12. Verifiche e audit

12.1 Il Responsabile mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR (descrizione delle misure, elenco dei sub-responsabili, documentazione dei sub-responsabili ove disponibile).

12.2 Se queste informazioni non sono sufficienti, il Cliente può richiedere un audit, con preavviso scritto di almeno 30 giorni, al massimo una volta l'anno (salvo violazioni dei dati o richieste di un'autorità), eseguito durante l'orario lavorativo, senza accesso ai dati di altri clienti né ai sistemi dei sub-responsabili, da parte del Cliente o di un revisore vincolato alla riservatezza e non concorrente del Responsabile. I costi dell'audit sono a carico del Cliente.

13. Responsabilità

La responsabilità delle parti per il trattamento dei dati è regolata dall'art. 82 GDPR e, nei rapporti tra le parti, dalle limitazioni previste dalle Condizioni (art. 18), nei limiti consentiti dalla legge.

14. Durata e prevalenza

Questo DPA resta valido finché il Responsabile tratta dati personali per conto del Cliente. In caso di contrasto con le Condizioni, per quanto riguarda i dati personali prevale questo DPA.

---

Allegato A: Misure tecniche e organizzative

1. Isolamento dei clienti: ogni workspace è separato a livello di database con regole di accesso per riga (Row Level Security); i dati di un cliente non sono accessibili agli altri.
2. Credenziali dei canali: i token di accesso a WhatsApp e agli altri canali sono conservati in tabelle accessibili solo dal server, mai dal browser.
3. Cifratura: connessioni cifrate in transito (HTTPS/TLS); dati cifrati a riposo sull'infrastruttura del fornitore del database.
4. Autenticazione: password conservate solo in forma cifrata (hash) dal fornitore di autenticazione; verifica in due passaggi disponibile e obbligatoria per chi la attiva; verifica anti-bot alla registrazione.
5. Controllo degli accessi: privilegi minimi; accesso del personale tecnico ai workspace solo per assistenza e registrato in un log consultabile.
6. Protezione delle interfacce: webhook verificati con firma o token; limiti di frequenza delle richieste per IP; validazione degli input lato server.
7. Protezione della rete: infrastruttura dietro rete Cloudflare con protezione da attacchi DDoS.
8. Backup: backup automatici giornalieri del database gestiti dal fornitore dell'infrastruttura e una copia giornaliera aggiuntiva su un server dedicato in Italia, accessibile solo all'amministratore e conservata per 14 giorni.
9. Minimizzazione verso l'AI: ai modelli linguistici vengono inviati solo i dati necessari a generare la singola risposta, tramite API che non usano i dati per l'addestramento.
10. Gestione degli incidenti: procedura di valutazione e notifica delle violazioni secondo l'art. 11 del DPA.
11. Riservatezza del personale: impegni di riservatezza per chiunque acceda ai dati.
12. Accesso tramite app AI e API: autorizzazione OAuth 2.1 con PKCE; token e chiavi conservati solo come impronta crittografica (hash); accesso limitato al singolo workspace autorizzato e riverificato a ogni richiesta; permessi minimi (sola lettura salvo abilitazione espressa); azioni verso i Clienti finali eseguite solo dopo approvazione nella Piattaforma o, se il Cliente lo abilita espressamente per tipo di azione, dall'applicazione collegata dopo conferma dell'utente; contenuti dei Clienti finali marcati come non affidabili verso l'AI; limiti di frequenza; registro delle azioni; revoca immediata; interruttore generale per workspace.
13. Protezione dell'interfaccia di autorizzazione: pagina di consenso non incorporabile in siti terzi (anti-clickjacking) e avviso per le applicazioni non verificate.

Allegato B: Sub-responsabili autorizzati

Servizi collegati su scelta del Cliente (art. 7.4): Meta Platforms Ireland Ltd. (WhatsApp, Instagram, Messenger, Lead Ads); Shopify International Ltd. (integrazione e-commerce).