Accordo sul trattamento dei dati personali (DPA), art. 28 del Regolamento UE 2016/679

Versione 2.7, in vigore dal 30 ottobre 2026. Allegato e parte integrante delle Condizioni Generali di Contratto PassInChat (già AIBoost). Il cambio di nome da AIBoost a PassInChat non modifica le parti, i ruoli né le garanzie di questo accordo.

1. Parti e ruoli

1.1 Il Cliente è il Titolare del trattamento dei dati personali dei Clienti finali e degli altri interessati trattati nel proprio workspace.

1.2 TeamXen di Marinangeli Fabio (il "Responsabile") tratta tali dati per conto del Cliente come Responsabile del trattamento ai sensi dell'art. 28 GDPR.

1.3 Per i dati dei propri clienti (account, fatturazione, assistenza) TeamXen è invece Titolare autonomo, come descritto nella Privacy Policy. Questo DPA non riguarda quei dati.

2. Oggetto, durata, natura e finalità

2.1 Oggetto: trattamento necessario per erogare il Servizio PassInChat: ricezione, archiviazione e invio di messaggi; generazione di risposte con l'AI; gestione di contatti e lead; automazioni; campagne; notifiche d'ordine collegate a Shopify e WooCommerce; statistiche del workspace; messa a disposizione dei dati alle applicazioni AI e ai servizi collegati dal Cliente tramite MCP o API, su sua istruzione. Comprende inoltre, quando il Cliente usa le relative funzioni (art. 2.5): canale Telegram; segmenti di contatti e automazioni che partono dai segmenti; misurazione delle vendite generate; traduzione dei messaggi; voto di gradimento; riconoscimento delle richieste di disiscrizione; Aiuto IA e segnalazioni; ricezione di dati inviati dai sistemi del Cliente tramite API o indirizzi webhook delle automazioni; conservazione dei file caricati dalle applicazioni AI collegate.

2.2 Durata: per tutta la durata del contratto e fino alla cancellazione dei dati prevista dall'art. 10.

2.3 Natura: raccolta tramite i canali collegati, registrazione, organizzazione, conservazione, consultazione, elaborazione automatizzata con modelli linguistici, trasmissione ai canali, cancellazione.

2.4 Finalità: esclusivamente l'erogazione del Servizio secondo le istruzioni del Cliente.

2.5 Funzioni aggiunte nella versione 2.7 (descrizione delle attività già comprese nel Servizio):

3. Categorie di interessati e di dati

3.1 Interessati: Clienti finali e potenziali clienti del Cliente; persone che compilano moduli Lead Ads o altri moduli collegati; persone che scrivono al bot Telegram del Cliente; clienti del negozio online del Cliente; persone presenti negli elenchi che il Cliente importa; visitatori del sito del Cliente che usano il widget; Utenti autorizzati del Cliente.

3.2 Dati: nome e nome profilo; numero di telefono o, se l'utente WhatsApp lo nasconde, il nome utente e l'identificativo assegnato da Meta per l'azienda; email; identificativi dei canali (es. ID Instagram/Messenger); lingua, Paese e fuso orario; stato del consenso ai messaggi promozionali con fonte e data; contenuto dei messaggi, note vocali, immagini e documenti scambiati; commenti lasciati sui post e sui contenuti del Cliente; risposte ai moduli Lead Ads; dati d'ordine ricevuti da Shopify o WooCommerce (numero ordine, importo, stato, rimborsi, spedizione e tracciamento) e carrelli non completati; identificativo della chat, nome, nome utente e lingua del profilo Telegram; dati inseriti dal Cliente nella rubrica e nei campi personalizzati; dati di consegna e lettura dei messaggi; documenti caricati nella base di conoscenza e le loro rappresentazioni numeriche (embedding); trascrizioni delle note vocali; richieste di pagamento in chat (importo, descrizione, esito, email di chi paga se comunicata da Stripe); dati dell'annuncio Click-to-WhatsApp da cui è nata la conversazione (titolo, testo, link, identificativi); email, ruoli e dispositivi iscritti alle notifiche degli Utenti autorizzati; etichette di chat e schede contatto (sincronizzate tra loro); stato di disiscrizione e di "disiscrizione da verificare", con la chiave del numero o dell'identificativo conservata anche dopo l'eliminazione della scheda; appartenenza ai segmenti; vendite abbinate ai messaggi; traduzioni dei messaggi; voti di gradimento e commenti; domande senza risposta; collega assegnato e tempi di risposta; file caricati dalle applicazioni AI collegate; dati ricevuti dai sistemi del Cliente tramite API o webhook; contenuto delle conversazioni con l'Aiuto IA e delle segnalazioni, compresi gli screenshot.

3.3 Dati particolari: il Servizio non è progettato per trattare categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10 GDPR). Il Cliente non deve chiedere tali dati tramite l'assistente AI né caricarli nella base di conoscenza. Se i Clienti finali li inviano spontaneamente, il Cliente ne valuta la gestione come Titolare.

4. Istruzioni del Titolare

4.1 Il Responsabile tratta i dati solo su istruzione documentata del Cliente. Le istruzioni sono costituite dal contratto, da questo DPA e dalle configurazioni che il Cliente imposta nella Piattaforma (canali collegati, istruzioni all'AI, automazioni, campagne).

4.2 Il Responsabile informa immediatamente il Cliente se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati.

4.3 Il trattamento al di fuori delle istruzioni è ammesso solo se lo impone il diritto dell'Unione o dello Stato membro; in tal caso il Responsabile informa il Cliente prima del trattamento, salvo divieto di legge.

4.4 Se un Utente autorizzato attiva gli avvisi, il Responsabile gli invia per email e/o notifica push un avviso con il nome del Cliente finale, il canale e un estratto dell'ultimo messaggio. Gli avvisi possono riguardare anche: nuovi contatti e lead, primo messaggio a un lead non consegnato (con nome, telefono, email e motivo), lead non ricontattati, menzioni tra colleghi, esito dei modelli WhatsApp e variazioni della qualità del numero. Il Cliente decide quali utenti ricevono gli avvisi tramite le loro preferenze.

5. Riservatezza

5.1 Il Responsabile garantisce che le persone autorizzate a trattare i dati sono vincolate alla riservatezza e ricevono istruzioni adeguate. L'accesso al workspace per assistenza è limitato al necessario e viene registrato (Condizioni, art. 11.4); il registro è conservato 24 mesi.

5.2 Agenzie partner: se il Cliente è seguito da un'agenzia partner che il Responsabile ha autorizzato (white label), le persone dell'agenzia con ruolo di titolare o amministratore possono accedere al workspace del Cliente per gestirlo. Gli accessi sono registrati, il registro è visibile al Cliente ed è conservato 24 mesi. Il Cliente può chiedere in qualsiasi momento di interrompere l'accesso dell'agenzia scrivendo a info@passinchat.com.

6. Misure di sicurezza (art. 32 GDPR)

Il Responsabile adotta le misure tecniche e organizzative indicate nell'Allegato A, adeguate al rischio. Può aggiornarle purché il livello di protezione complessivo non si riduca.

7. Sub-responsabili

7.1 Il Cliente concede un'autorizzazione generale al ricorso ai sub-responsabili elencati nell'Allegato B.

7.2 Il Responsabile comunica al Cliente, via email e/o in console, l'aggiunta o la sostituzione di sub-responsabili con almeno 15 giorni di preavviso. Entro questo termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Cliente può recedere dal contratto con rimborso della parte di canone già pagata e non goduta.

7.3 Il Responsabile impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli di questo DPA e risponde nei confronti del Cliente del loro operato, nei limiti dell'art. 28, par. 4, GDPR.

7.4 Servizi scelti dal Cliente: Meta (WhatsApp, Instagram, Messenger, Lead Ads), Telegram, Shopify e WooCommerce sono servizi con cui il Cliente ha un proprio rapporto contrattuale e che il Cliente sceglie di collegare. Per i dati che il Cliente scambia con tali piattaforme, queste agiscono secondo i propri termini con il Cliente; il Responsabile si limita a trasmettere i dati secondo le istruzioni del Cliente. Allo stesso modo, le applicazioni di intelligenza artificiale e i servizi di automazione che il Cliente collega tramite MCP, chiavi API, webhook in uscita o il blocco "Webhook" delle automazioni, e l'account Stripe che il Cliente collega per i pagamenti in chat (Condizioni, art. 10-bis), sono scelti dal Cliente e non sono sub-responsabili del Responsabile: il Responsabile mette a disposizione i dati solo nei limiti dei permessi autorizzati dal Cliente. Vale anche per Claude di Anthropic, se il Cliente lo collega al proprio workspace.

8. Trasferimenti fuori dallo Spazio Economico Europeo

8.1 Il database principale si trova nell'Unione Europea (Irlanda).

8.2 Alcuni sub-responsabili possono trattare dati fuori dal SEE (in particolare negli Stati Uniti). In questi casi il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per i fornitori certificati oppure delle Clausole Contrattuali Standard approvate dalla Commissione europea (art. 46 GDPR), con le misure supplementari indicate nell'Allegato A.

9. Assistenza al Titolare

9.1 Diritti degli interessati: tenuto conto della natura del trattamento, il Responsabile assiste il Cliente con misure tecniche e organizzative adeguate per rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, opposizione, limitazione, portabilità). Se riceve una richiesta direttamente da un interessato, la inoltra al Cliente senza ingiustificato ritardo e non risponde nel merito senza istruzioni, salvo per indicare all'interessato di rivolgersi al Cliente.

9.2 Opposizione ai messaggi: la Piattaforma registra le richieste di stop inviate dai Clienti finali, in più lingue (es. "STOP", "UNSUBSCRIBE", "ABMELDEN", "BAJA"), scritte a parole (es. "toglietemi dalla lista") e tramite i pulsanti di disiscrizione, ed esclude il contatto da campagne, automazioni, modelli e notifiche automatiche. L'indicazione resta anche se il Cliente elimina la scheda del contatto. Il riconoscimento usa prima regole fisse; nei casi dubbi, se la chat ha ricevuto una promozione negli ultimi 14 giorni, il Responsabile invia al sub-responsabile per l'AI il messaggio del Cliente finale (circa 800 caratteri al massimo) e l'ultima promozione (circa 400 caratteri al massimo), senza conservazione presso il fornitore oltre quanto previsto dai suoi termini e senza addestramento. Questo controllo funziona anche se il Cliente ha spento l'assistente AI o ha raggiunto il limite di consumo, perché serve a rispettare le opposizioni degli interessati. Se l'esito è dubbio, nessun messaggio automatico parte verso quel contatto finché un utente del Cliente non decide. Il Cliente non deve aggirare questa esclusione.

9.3 Sicurezza, DPIA e consultazione preventiva: il Responsabile fornisce al Cliente le informazioni ragionevolmente necessarie per gli adempimenti degli artt. 32-36 GDPR.

10. Cancellazione e restituzione dei dati

10.1 Durante il contratto il Cliente può cancellare conversazioni e contenuti dalla console, nei limiti delle funzioni disponibili, o chiederne la cancellazione a info@passinchat.com. Su richiesta del Cliente il Responsabile cancella anche l'indicazione di disiscrizione conservata dopo l'eliminazione di una scheda; il Cliente valuta prima se gli serve per rispettare l'opposizione dell'interessato.

10.2 Alla cessazione del contratto il Cliente può chiedere l'esportazione dei dati entro 30 giorni (Condizioni, art. 16.2). Trascorso tale termine il Responsabile cancella i dati personali del workspace entro i successivi 30 giorni, quindi entro 60 giorni dalla cessazione. Le copie di backup vengono sovrascritte secondo il ciclo di rotazione dei backup e comunque entro 90 giorni dalla cancellazione.

10.2-bis Se il Cliente chiede la chiusura del workspace dalla Piattaforma (Profilo → Privacy e conformità) o per iscritto, il Responsabile scollega i canali e cancella i dati del workspace e gli account degli Utenti autorizzati entro 30 giorni dalla richiesta. Prima della cancellazione il Cliente può ancora scaricare i propri dati.

10.2-ter Le cancellazioni previste da questo articolo non sono automatiche: le esegue il personale del Responsabile, che ha un promemoria interno per rispettare i termini. Su richiesta il Responsabile conferma per iscritto l'avvenuta cancellazione.

10.3 Restano esclusi i dati che il Responsabile deve conservare per obbligo di legge, che sono conservati solo per il tempo e le finalità previste.

11. Violazione dei dati personali (data breach)

11.1 Il Responsabile informa il Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando viene a conoscenza di una violazione di dati personali che riguarda i dati del Cliente.

11.2 La comunicazione contiene, per quanto disponibili, le informazioni previste dall'art. 33, par. 3, GDPR, che possono essere fornite anche in più fasi. Il Responsabile adotta subito le misure ragionevoli per contenere la violazione e ridurne gli effetti.

11.3 La notifica all'autorità di controllo e la comunicazione agli interessati spettano al Cliente in qualità di Titolare.

12. Verifiche e audit

12.1 Il Responsabile mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR (descrizione delle misure, elenco dei sub-responsabili, documentazione dei sub-responsabili ove disponibile).

12.2 Se queste informazioni non sono sufficienti, il Cliente può richiedere un audit, con preavviso scritto di almeno 30 giorni, al massimo una volta l'anno (salvo violazioni dei dati o richieste di un'autorità), eseguito durante l'orario lavorativo, senza accesso ai dati di altri clienti né ai sistemi dei sub-responsabili, da parte del Cliente o di un revisore vincolato alla riservatezza e non concorrente del Responsabile. I costi dell'audit sono a carico del Cliente.

13. Responsabilità

La responsabilità delle parti per il trattamento dei dati è regolata dall'art. 82 GDPR e, nei rapporti tra le parti, dalle limitazioni previste dalle Condizioni (art. 18), nei limiti consentiti dalla legge.

14. Durata e prevalenza

Questo DPA resta valido finché il Responsabile tratta dati personali per conto del Cliente. In caso di contrasto con le Condizioni, per quanto riguarda i dati personali prevale questo DPA.

---

Allegato A: Misure tecniche e organizzative

1. Isolamento dei clienti: ogni workspace è separato a livello di database con regole di accesso per riga (Row Level Security); i dati di un cliente non sono accessibili agli altri.
2. Credenziali dei canali: i token di accesso a WhatsApp e agli altri canali sono conservati in tabelle accessibili solo dal server, mai dal browser.
3. Cifratura: connessioni cifrate in transito (HTTPS/TLS); dati cifrati a riposo sull'infrastruttura del fornitore del database.
4. Autenticazione: password conservate solo in forma cifrata (hash) dal fornitore di autenticazione; verifica in due passaggi disponibile e obbligatoria per chi la attiva; verifica anti-bot alla registrazione.
5. Controllo degli accessi: privilegi minimi; accesso del personale tecnico ai workspace solo per assistenza e registrato in un log consultabile; il registro degli accessi del personale e quello delle agenzie partner sono conservati 24 mesi.
6. Protezione delle interfacce: webhook verificati con firma o token; limiti di frequenza delle richieste per IP; validazione degli input lato server.
7. Protezione della rete: infrastruttura dietro rete Cloudflare con protezione da attacchi DDoS.
8. Backup: backup automatici giornalieri del database gestiti dal fornitore dell'infrastruttura e una copia giornaliera aggiuntiva su un server dedicato in Italia, accessibile solo all'amministratore e conservata per 14 giorni.
9. Minimizzazione verso l'AI: ai modelli linguistici vengono inviati solo i dati necessari a generare la singola risposta, tramite API che non usano i dati per l'addestramento.
10. Gestione degli incidenti: procedura di valutazione e notifica delle violazioni secondo l'art. 11 del DPA.
11. Riservatezza del personale: impegni di riservatezza per chiunque acceda ai dati.
12. Accesso tramite app AI e API: autorizzazione OAuth 2.1 con PKCE; token e chiavi conservati solo come impronta crittografica (hash); accesso limitato al singolo workspace autorizzato e riverificato a ogni richiesta; permessi minimi (sola lettura salvo abilitazione espressa); azioni verso i Clienti finali eseguite solo dopo approvazione nella Piattaforma o, se il Cliente lo abilita espressamente per tipo di azione, dall'applicazione collegata dopo conferma dell'utente; contenuti dei Clienti finali marcati come non affidabili verso l'AI; limiti di frequenza; registro delle azioni; revoca immediata; interruttore generale per workspace.
13. Protezione dell'interfaccia di autorizzazione: pagina di consenso non incorporabile in siti terzi (anti-clickjacking) e avviso per le applicazioni non verificate.
14. Ruoli degli utenti: titolare, amministratore e operatore; pagamenti, canali, chiavi API e gestione del team riservati a titolare e amministratori.
15. Notifiche push: contenuto cifrato end-to-end (RFC 8291) e inviato solo ai servizi push ufficiali dei browser.
16. Copie di backup esterne: oltre alle copie indicate al punto 8, una copia giornaliera cifrata (AES-256) conservata per 14 giorni sull'infrastruttura Cloudflare.
17. Monitoraggio: controllo giornaliero automatico dello stato dei canali, dei token e degli invii, con avviso interno all'amministratore; controllo ogni 5 minuti dei lavori programmati (campagne, automazioni, code) e della disponibilità del servizio.
18. Registro attività: le azioni rilevanti degli utenti nel workspace (impostazioni, conoscenza, permessi delle app AI) sono registrate, senza password, token o chiavi, conservate 24 mesi e consultabili dal Cliente.
19. Registro errori: gli errori tecnici dell'app sono registrati senza parametri degli indirizzi e conservati 30 giorni.
20. Politica di sicurezza dei contenuti: le pagine dell'applicazione possono caricare script e collegarsi solo a domini autorizzati (Content Security Policy).
21. Aiuto IA: sola lettura dei dati del workspace a cui l'utente ha accesso; nessun invio ai Clienti finali; modifiche eseguite solo dopo conferma esplicita dell'utente, una volta sola ed entro 30 minuti.

Allegato B: Sub-responsabili autorizzati

Servizi collegati su scelta del Cliente (art. 7.4): Meta Platforms Ireland Ltd. (WhatsApp, Instagram, Messenger, Lead Ads), tramite l'app Meta "AIBoost Platform" (ID 1780928539914888) gestita dal Responsabile; Telegram (bot del Cliente); Shopify International Ltd. e WooCommerce (negozio online del Cliente).

La versione 2.7 aggiunge un sub-responsabile rispetto alla versione 2.6: Netsons s.r.l. (posta del Responsabile). L'aggiunta è comunicata al Cliente con il preavviso dell'art. 7.2.