Accedi

Addendum sul trattamento dei dati

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)Ultimo aggiornamento:

Indice del documento

1. Premesse e ambito

Il presente Addendum sul trattamento dei dati (Addendum) disciplina il trattamento dei dati personali effettuato da Michele Bogoni, P.IVA 04555040239 (TrueReply o Responsabile), per conto del Cliente (Titolare) nell'ambito dell'erogazione del Servizio. Costituisce parte integrante dei Termini e Condizioni e si applica ogni volta che TrueReply tratta dati personali per conto del Cliente, in particolare in relazione al chatbot sul sito, all'assistente vocale in entrata e in uscita, al canale WhatsApp Business e, ove il Titolare lo attivi, al canale email conversazionale sulla casella di posta del Titolare. In caso di conflitto con i Termini e Condizioni in materia di dati personali, prevale il presente Addendum.

2. Ruoli

Il Cliente è Titolare del trattamento dei dati personali dei propri utenti finali, contatti e destinatari. TrueReply è Responsabile del trattamento e tratta tali dati esclusivamente su istruzioni documentate del Titolare, costituite dai Termini e Condizioni, dal presente Addendum e dalle configurazioni impostate dal Cliente. Per i dati relativi al proprio account, alla fatturazione e all'utilizzo del Servizio, TrueReply agisce come autonomo Titolare, secondo l'Informativa Privacy.

3. Oggetto, durata, natura e finalità

  • Oggetto e natura: raccolta, registrazione, conservazione, consultazione, uso, comunicazione mediante trasmissione e cancellazione dei dati necessari all'erogazione del Servizio
  • Finalità: fornire le funzionalità di assistente AI testuale e vocale (in entrata e in uscita), di messaggistica WhatsApp e, ove attivato, di assistenza conversazionale sulla casella email del Titolare, inclusa la gestione di conversazioni, lead, campagne, opt-out e relative analisi; tenere per conto del Titolare l'anagrafica unificata dei suoi contatti; gestire per conto del Titolare gli appuntamenti sui calendari Google che il Titolare configura, cioè proporre, fissare, spostare e disdire appuntamenti, per sé e per le persone del suo team; eseguire le automazioni che il Titolare configura
  • Durata: per tutta la durata del rapporto contrattuale e fino alla cancellazione dei dati

Anagrafica di contatto unificata. Il Servizio riconduce a un unico contatto le interazioni che la stessa persona ha sui diversi canali del Titolare (chat sul sito, WhatsApp, telefono e, ove attivato, email), usando come chiavi il numero di telefono e l'indirizzo email normalizzati. L'anagrafica raccoglie identità, recapiti con la relativa provenienza, azienda, etichette, variabili configurate dal Titolare, stato di ciascun canale, la scelta del Titolare su chi risponde a ciascun contatto (l'assistente AI, una persona del team del Titolare indicata per nome, oppure nessuno), uno stato del contatto scelto dal Titolare fra cinque valori predefiniti (nuovo, da ricontattare, in corso, concluso, non interessato), l'una e l'altro con il ruolo di chi li ha impostati e la data, e, se il Titolare la scrive, una nota di testo libero sul contatto; non conserva il contenuto delle conversazioni. Il Titolare può inserire a mano un contatto, indicandone il recapito, che nessun canale ha verificato (anche con il gesto «Ignora questo mittente» di un thread email, che se manca crea la scheda del mittente con il solo indirizzo). Su istruzione del Titolare («nessuno» per un contatto) il Responsabile, ad eccezione della chat del sito (descritta più avanti), non risponde alla persona indicata, non registra le sue comunicazioni su WhatsApp, per email e al telefono (dove la chiamata in entrata è deviata al numero di deviazione che il Titolare ha impostato: se il Titolare lo toglie, la chiamata arriva all'assistente come per ogni altra persona; di un messaggio WhatsApp resta per 7 giorni un registro tecnico di servizio, senza il contenuto, e di un'email scartata restano i soli metadati, per il periodo di cui alla sezione 6) e non le invia messaggi, telefonate né email per conto del Titolare. Sulla chat del sito il Servizio può riconoscere la persona solo quando lascia un recapito: fino ad allora l'assistente risponde e il testo della sessione si conserva come ogni conversazione, insieme alle variabili che ne vengono estratte, alla riga della conversazione nel foglio Google collegato dal Titolare (se c'è) e a un eventuale appuntamento già prenotato sul calendario del Titolare, mentre il lead che porta quel recapito non si registra. Se il Titolare indica invece una persona del suo team, su WhatsApp l'assistente AI non risponde a quel contatto e i messaggi si registrano (le note vocali, le immagini e i PDF restano soggetti alla trascrizione e alla lettura, per completare la registrazione della conversazione), e il Responsabile non invia a quel contatto messaggi promozionali né effettua campagne. Per queste verifiche il Responsabile confronta l'identificativo di chi scrive o chiama e il destinatario di ogni invio in uscita (numero di telefono, indirizzo email, identificativo WhatsApp) con le chiavi dell'anagrafica del Titolare, in una lettura che di per sé non scrive niente. Il Responsabile trasferisce nell'anagrafica le liste di esclusione che il Titolare ha già impostato per WhatsApp e per l'email (numeri e indirizzi esclusi), come istruzione già data dal Titolare con quelle esclusioni e quindi senza una nuova conferma, creando per ciascun recapito una scheda con il solo recapito, impostata su «nessuno»; le opposizioni espresse dalle persone e gli elenchi di soppressione non sono toccati. Per riconoscere un contatto escluso che scrive con un identificativo WhatsApp diverso dal numero, il Responsabile conserva sulla scheda quell'identificativo. La nota è scritta dal Titolare o da chi opera per suo conto, non è letta da nessuna funzione di assistente AI del Servizio, è sempre protetta da cifratura applicativa di campo (sezione 9) ed è cancellata insieme al contatto. Lo stato è impostato dal Titolare, da chi opera per suo conto o, dove il Titolare lo configura, da un'automazione; non è scritto né letto da nessuna funzione di assistente AI del Servizio e, quando vale «non interessato», il Servizio non avvia per quel contatto messaggi promozionali automatici né campagne: è una scelta del Titolare e non sostituisce le opposizioni degli interessati, che il Servizio continua a rispettare. È il registro dei contatti del Titolare, con finalità propria e distinta dal contenuto conversazionale: per questa ragione non segue il termine di 6 mesi delle conversazioni, persiste finché esiste l'account del Titolare ed è cancellata con esso (sezione 10). La cancellazione automatica per inattività è stata deliberatamente esclusa come impostazione predefinita, perché svuoterebbe il registro dei contatti del Titolare senza una sua istruzione. Su istruzione del Titolare, i contatti dell'anagrafica che hanno uno stato scelto dal Titolare possono essere copiati (numero di telefono, nome e variabili) nella lista di una campagna di chiamate in uscita del Titolare, previa l'attestazione del consenso e della sua fonte che il Titolare rende a ogni aggiunta: la copia è una riga della lista della campagna, segue il ciclo di vita delle liste delle campagne (sezione 10), si redige alla cancellazione del singolo contatto e non modifica la scheda di origine. Il Servizio non lascia fuori né include nessun contatto di propria iniziativa: applica le regole di conformità delle campagne (opposizioni, numeri non chiamabili, presidio per persona) e l'esclusione dei contatti esclusi dal Titolare o seguiti da una persona.

Esecuzione di automazioni e trasmissione a sistemi di terzi (art. 28.3.a). Sulla base di regole che il Titolare configura, un evento della conversazione (messaggio, lead, esito di una chiamata, appuntamento, richiesta ricevuta su un indirizzo webhook dedicato al flusso, pianificazione oraria) avvia un'esecuzione. Le azioni oggi disponibili sono otto: avviso interno al Titolare e al suo personale, per posta elettronica o su WhatsApp, verso l'intestatario dell'account oppure verso un massimo di cinque recapiti che il Titolare scrive nella regola, mai un recapito ricavato dalla conversazione o dal payload di un terzo; invio di un'email al destinatario finale del Titolare, ad esempio il promemoria di un appuntamento, spedita dall'infrastruttura di posta di TrueReply con il nome dell'attività del Titolare e il suo indirizzo come recapito di risposta, entro tetti giornalieri per account; invio di un template WhatsApp approvato da Meta; aggiunta di una riga al foglio Google collegato dal Titolare, con il foglio derivato esclusivamente dalla configurazione di un assistente del Titolare stesso e mai da un identificativo libero; aggiornamento delle variabili estratte e delle etichette della conversazione in corso, che non comporta alcuna uscita di dati; impostazione o rimozione dello stato di un contatto, scelto fra cinque valori predefiniti, che non comporta alcuna uscita di dati; chiamata HTTP verso un endpoint pubblico configurato dal Titolare; chiamata vocale automatica verso un numero telefonico indicato dalle regole del Titolare, condotta dall'assistente vocale del Titolare e dal numero assegnato al suo account, con la dichiarazione di intelligenza artificiale pronunciata come prima frase e l'esito della telefonata registrato sull'esecuzione. Quando un'azione scrive a un destinatario finale del Titolare, TrueReply esegue l'invio come Responsabile e su istruzione documentata del Titolare: non determina né il contenuto né il destinatario, che il Titolare definisce nella regola. Il fornitore del servizio SMTP indicato nell'Informativa Privacy (OVHcloud) è sub-responsabile per questo trattamento, come già lo è per gli avvisi interni. La configurazione di un'azione che trasmette dati a un sistema di terzi (il foglio Google del Titolare, l'endpoint HTTP che il Titolare indica) costituisce istruzione documentata del Titolare ai sensi dell'art. 28.3.a: TrueReply esegue la trasmissione ma non ne determina né il contenuto né il destinatario, e non valuta la liceità del trasferimento verso quella destinazione, inclusa l'eventuale localizzazione del sistema ricevente al di fuori dell'Unione Europea, che resta responsabilità del Titolare. Alla stessa istruzione documentata appartiene la configurazione, per ciascun assistente, di indirizzi HTTPS dei sistemi del Titolare (webhook) cui il Servizio invia con firma gli eventi che il Titolare sceglie. L'evento che segnala il cambio di stato di un contatto trasmette l'identificativo del contatto, il nome (se noto), un indirizzo email e un numero di telefono, lo stato di partenza e quello d'arrivo, chi ha operato (il ruolo, oppure un'automazione del Titolare) e l'istante; non trasmette la nota di testo libero né gli altri campi dell'anagrafica. Il Servizio non invia l'evento ai webhook che non lo hanno scelto e non lo invia per un contatto già cancellato. Sulle chiamate HTTP il Servizio applica un controllo tecnico delle destinazioni (blocco degli indirizzi di rete interni, privati e riservati e connessione al solo indirizzo IP verificato) e, per i segreti registrati dal Titolare, un vincolo agli host che il Titolare stesso autorizza; non è invece prevista un'allowlist di destinazioni a livello di account. Ogni azione che trasmette dati fuori dal Servizio è registrata nel registro delle operazioni rilevanti di cui alla sezione 6, con la sola destinazione e l'esito e mai il contenuto trasmesso: il registro dura 24 mesi e resta quindi disponibile, su richiesta del Titolare a TrueReply, oltre i 90 giorni di conservazione dei dati di esecuzione. Alla stessa istruzione documentata appartengono anche le automazioni che il Titolare configura sullo stato del contatto: possono partire quando lo stato cambia, leggerlo, usarlo nei testi e nei dati che le loro azioni inviano ai sistemi indicati dal Titolare, e impostarlo o toglierlo. Il Servizio registra ogni cambio di stato fatto da un'automazione (contatto, valore di partenza e d'arrivo, automazione ed esecuzione) nel registro delle operazioni per ventiquattro mesi e non attribuisce mai uno stato di propria iniziativa.

Assenza di decisioni automatizzate. L'unificazione dei contatti fra canali e l'esecuzione dei flussi riguardano l'identità del contatto, lo stato dei canali e lo stato del contatto e non producono decisioni automatizzate che generino effetti giuridici o incidano in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR. Il trattamento è però percepibile dall'interessato, che può essere riconosciuto da un canale diverso da quello su cui scrive o ricevere un messaggio proattivo: il Titolare estende di conseguenza la propria informativa ai sensi degli artt. 13 e 14 GDPR.

4. Categorie di interessati e di dati

  • Interessati: utenti finali del sito del Cliente, chiamanti e destinatari delle chiamate, contatti delle liste outbound, utenti che scrivono al numero WhatsApp del Cliente, persone censite nell'anagrafica di contatto del Cliente, le persone del team del Cliente (dipendenti e collaboratori), sia quelle i cui nomi il Cliente inserisce, come etichette, nell'elenco delle persone che rispondono ai contatti, sia quelle che il Cliente configura per ricevere appuntamenti, e destinatari delle azioni automatiche che il Cliente configura e, ove il canale email sia attivato, i terzi corrispondenti del Cliente, cioè chiunque scriva alla casella email collegata o riceva un messaggio inviato da essa (clienti, fornitori, candidati, controparti e altri mittenti e destinatari), i quali non intrattengono alcun rapporto diretto con TrueReply e non sono da questa contattati né informati
  • Dati: dati identificativi e di contatto, contenuto delle conversazioni chat e voce, contenuto e metadati dei messaggi WhatsApp, metadati delle chiamate, attestazioni di consenso, elenchi di opt-out e di soppressione, l'anagrafica di contatto unificata (identità, recapiti telefonici ed email con la relativa provenienza, azienda, etichette, variabili configurate dal Cliente, stato per canale, scelta del Cliente su chi risponde a ciascun contatto con il ruolo di chi l'ha impostata e la data, stato del contatto scelto dal Cliente fra cinque valori predefiniti e nota di testo libero che il Cliente può scrivere sul contatto), l'elenco dei nomi delle persone del team del Cliente, i dati delle persone che il Cliente configura per ricevere appuntamenti (nome, eventuali altre denominazioni, descrizione, servizi offerti, fasce orarie e luoghi, calendario Google e calendari che il Cliente indica come impegni della persona), che l'assistente usa per proporre e fissare gli appuntamenti e può riferire agli utenti finali, la disponibilità di quei calendari, letta come intervalli occupati e non conservata (nei luoghi che ospitano un solo appuntamento alla volta si leggono anche orari, stato e tipo degli eventi delle altre persone e la risposta del proprietario del calendario, senza titoli, descrizioni né identità degli invitati, e non si conservano), il servizio prenotato e i dati di esecuzione delle automazioni (evento che le innesca, contesto dell'esecuzione con i dati identificativi del contatto, parametri ed esiti dei singoli passi in forma troncata, attese di risposta) e, ove il canale email sia attivato, la corrispondenza email in ingresso e in uscita della casella collegata (intestazioni tecniche, mittente e destinatari, oggetto, data, corpo del messaggio e allegati) unitamente alle credenziali di accesso alla casella
  • Informativa al personale: TrueReply non informa direttamente le persone del team del Titolare. L'informativa ai sensi degli artt. 13 e 14 GDPR nei confronti delle persone che il Titolare configura per ricevere appuntamenti, o di cui inserisce il nome fra le persone che rispondono ai contatti, resta obbligo del Titolare, che si impegna a rilasciarla in modo da comprendere il trattamento dei loro dati da parte di un responsabile esterno del trattamento e, per gli appuntamenti, con l'ausilio di un assistente di intelligenza artificiale

Il Titolare si impegna a non utilizzare il Servizio per trattare categorie particolari di dati (art. 9 GDPR) o dati relativi a condanne e reati, salvo tutele e basi giuridiche adeguate e istruzione documentata. La nota di testo libero sui contatti è sempre protetta da cifratura applicativa di campo, quale che sia l'assistente; il Titolare resta responsabile dei dati che vi scrive.

5. Canale email conversazionale: perimetro e impegni specifici

Quando il Titolare collega al Servizio una propria casella di posta elettronica, TrueReply tratta per suo conto la corrispondenza di quella casella. Data l'ampiezza di tale trattamento e il fatto che i mittenti sono terzi estranei al rapporto contrattuale, le parti convengono espressamente quanto segue.

  • Perimetro: il trattamento riguarda i messaggi ricevuti nella casella collegata e i messaggi da essa inviati, gli uni e gli altri a partire dal momento del collegamento e indipendentemente dallo strumento con cui l'invio è avvenuto, cioè tanto dal Servizio quanto dal programma di posta del Titolare. Lo storico della casella non viene importato. Le cartelle interessate sono limitate a quelle necessarie all'erogazione del canale: posta in arrivo; posta inviata, non limitata alle risposte agli scambi già presenti nel Servizio, cosicché anche un messaggio in uscita che apre una corrispondenza nuova entra nel Servizio e vi crea la conversazione corrispondente, con l'esclusione dei messaggi in uscita che i marcatori tecnici standard del protocollo o l'oggetto identificano come spediti automaticamente (risposte di fuori sede, comunicazioni di liste e newsletter, inviti di calendario, avvisi di mancato recapito), di quelli diretti a più di dieci destinatari visibili e di quelli i cui destinatari rientrano negli elenchi di limitazione impostati dal Titolare, che sui messaggi inviati si applicano al destinatario anziché al mittente e per impostazione predefinita escludono la corrispondenza diretta al dominio del Titolare stesso; il riconoscimento è automatico e si basa sui soli marcatori, quindi un messaggio automatico che non ne porti alcuno viene trattato come scritto da una persona; e, salvo disattivazione da parte del Titolare nelle impostazioni del canale, la posta che il fornitore della casella ha classificato come indesiderata, resa disponibile al Titolare con un contrassegno della sua provenienza. Le altre cartelle della casella, comprese le cartelle personali e gli archivi, non vengono lette; l'unica scrittura del Servizio fuori dalle cartelle lette è lo spostamento nel cestino di un messaggio che il Titolare elimina dall'area riservata, cioè su sua azione espressa. Dal mittente autenticato di ogni messaggio ricevuto che supera il pre-filtro e non rientra negli elenchi di limitazione del Titolare il Servizio crea o aggiorna, per conto del Titolare, una scheda dell'anagrafica unificata (sezione 3) con l'indirizzo e il nome indicato dal mittente nell'intestazione. Il collegamento a una scheda esistente avviene solo sull'indirizzo del mittente. Quando l'indirizzo non ha ancora una scheda, per segnalare al Titolare un possibile doppione il Servizio legge, con una regola fissa e senza modelli di intelligenza artificiale, i numeri di telefono scritti dal mittente nel messaggio, firma compresa, senza conservarli né aggiungerli alla scheda nuova; né un numero né un nome scritti nel messaggio collegano due schede. La scheda segue il ciclo di vita dell'anagrafica e non quello della conversazione. Nessuna elaborazione da parte dei modelli AI avviene senza una richiesta del Titolare
  • Informativa ai corrispondenti: TrueReply non contatta né informa direttamente i corrispondenti. L'informativa agli interessati ai sensi degli artt. 13 e 14 GDPR resta obbligo del Titolare, che si impegna a estenderla in modo da comprendere il trattamento della corrispondenza in ingresso e in uscita della casella con l'ausilio di un assistente di intelligenza artificiale e di un responsabile esterno del trattamento, nonché la registrazione del mittente nell'anagrafica dei contatti del Titolare, e a rivolgerla anche ai destinatari dei messaggi che partono dalla casella
  • Pre-filtro deterministico prima del modello di intelligenza artificiale: prima di qualsiasi elaborazione da parte dei modelli, il Servizio scarta con regole automatiche e verificabili i messaggi non conversazionali, quali avvisi di mancato recapito, messaggi di sistema e risposte automatiche, comunicazioni di liste e newsletter, messaggi provenienti da indirizzi di sola notifica. Di tali messaggi il Servizio conserva i soli metadati (mittente, oggetto, data) e non trasmette il contenuto ad alcun fornitore di intelligenza artificiale
  • Messaggi resi disponibili al Titolare: i messaggi che superano il filtro automatico sono resi disponibili al Titolare nell'area riservata del Servizio, dove il Titolare li legge e vi risponde; il loro contenuto è conservato con le conversazioni per il periodo di conservazione previsto
  • Minimizzazione a disposizione del Titolare: il Titolare può limitare il trattamento ai soli domini che indica ed escludere domini determinati; per impostazione predefinita sono esclusi i messaggi provenienti dal dominio del Titolare stesso
  • Elaborazione tramite intelligenza artificiale: il contenuto dei messaggi è trasmesso ai fornitori di intelligenza artificiale indicati nell'Informativa Privacy esclusivamente su richiesta del Titolare e per la sola elaborazione in tempo reale necessaria a predisporre la proposta di risposta, senza utilizzo per l'addestramento dei modelli; nessuna elaborazione AI avviene sui messaggi per i quali il Titolare non richiede una proposta
  • Allegati: saranno trattati esclusivamente allegati in formato PDF e immagine, entro i limiti dimensionali previsti dal Servizio; gli altri formati non verranno scaricati né conservati. Gli allegati trattati saranno conservati in un archivio dedicato con separazione per Cliente e resi accessibili solo tramite collegamenti temporanei firmati, emessi previa autenticazione. Per gli account che trattano categorie particolari di dati su istruzione documentata del Titolare, anche il file sarà cifrato con la chiave dedicata prevista per i contenuti delle conversazioni. Gli impegni di questo punto riguardano il canale email. Sul canale WhatsApp il Servizio scarica da Meta le immagini e i documenti PDF ricevuti, entro i limiti dimensionali previsti, e li conserva con la conversazione secondo le stesse modalità di archiviazione e di accesso descritte in questo punto (archivio dedicato in UE, separato per Cliente, accesso solo previa autenticazione, cifratura con la chiave dedicata per gli account che trattano categorie particolari di dati su istruzione documentata del Titolare); il loro contenuto può essere letto dai modelli AI nel turno in cui arrivano. Le note vocali sono trascritte in testo nell'Unione Europea e l'audio non è conservato; gli altri media (video, adesivi, file audio che non sono note vocali) non sono scaricati né conservati e di essi resta nella conversazione un segnaposto testuale con l'eventuale didascalia. Il chatbot del sito non consente l'invio di allegati
  • Credenziali della casella: la credenziale di accesso a una casella di posta consente l'accesso all'intera corrispondenza, storica e futura, e l'invio a nome del Titolare. Le parti la qualificano come categoria di rischio autonoma: è conservata cifrata con envelope encryption su chiave Google Cloud KMS, non è restituita da alcuna interfaccia del Servizio, è cancellata alla disconnessione della casella e alla cancellazione dell'account. Ogni violazione che riguardi tali credenziali è notificata al Titolare senza ingiustificato ritardo, anche in assenza di evidenza di accesso ai messaggi
  • Identità, autenticazione del mittente e limiti di invio: il Servizio invia esclusivamente dalla casella e con l'identità del Titolare, verso i soli destinatari definiti dal Titolare (un destinatario principale e, ove indicati, ulteriori destinatari in copia o in copia nascosta, fino a dieci in totale per messaggio), senza alcuna funzione di invio massivo e con un limite giornaliero di invii per casella; l'assistente non avvia autonomamente nuove conversazioni email. Per impostazione predefinita le risposte sono indirizzate all'indirizzo del mittente del messaggio originario e ogni modifica dei destinatari è una scelta espressa del Titolare in sede di revisione; le nuove email sono avviate esclusivamente dal Titolare, che ne sceglie i destinatari e ne scrive il testo. Nessun messaggio è inviato in modo automatico: ogni invio è disposto dal Titolare previa revisione. Le richieste di non essere più contattati producono effetti sugli elenchi di opt-out solo quando il mittente risulta autenticato dai controlli tecnici standard del protocollo; negli altri casi sono segnalate al Titolare. Indipendentemente da ciò, ogni email che le automazioni inviano al cliente finale porta un collegamento di disiscrizione conforme allo standard RFC 8058: chi lo usa è inserito nell'elenco di soppressione dell'account senza che occorra alcuna verifica del mittente, perché l'autorizzazione è nel collegamento stesso
  • Trasparenza: ogni proposta di risposta generata dal Servizio è predisposta con l'indicazione, attiva per impostazione predefinita, che è stata preparata da un assistente di intelligenza artificiale. Poiché ogni invio è preceduto dalla revisione del Titolare, l'indicazione resta nella sua disponibilità: il Titolare che la modifichi o la rimuova prima dell'invio se ne assume la responsabilità
  • Caselle di posta elettronica certificata (PEC): sono escluse dal canale e il collegamento è rifiutato dal Servizio

6. Obblighi del Responsabile

  • Trattare i dati solo su istruzione documentata del Titolare, salvo obblighi di legge
  • Garantire la riservatezza delle persone autorizzate al trattamento
  • Adottare misure tecniche e organizzative adeguate (art. 32 GDPR)
  • Assistere il Titolare nel dare seguito alle richieste degli interessati (artt. 15-22), anche mettendo a disposizione strumenti self-service (cancellazione, dalla dashboard, del singolo thread email, del singolo contatto dalla pagina Contatti dell'anagrafica unificata e dell'intero account; esportazione in formato strutturato dei dati dell'account, della configurazione degli assistenti e delle relative conversazioni, fino a 5.000 per assistente, e dell'anagrafica di contatto, compresi in chiaro la scelta su chi risponde, la nota di testo libero e lo stato del contatto con chi li ha impostati e quando, fino a 5.000 contatti, con indicazione esplicita dell'eventuale troncamento, più l'esportazione del singolo contatto dalla sua scheda), e negli obblighi artt. 32-36. La cancellazione del singolo contatto elimina il contatto, i recapiti che lo identificano, la scelta su chi risponde, la nota di testo libero e lo stato eventualmente impostati su di esso e il registro degli invii ricevuti, e rimuove il riferimento all'anagrafica dalle conversazioni, dalle esecuzioni dei flussi e dalle attese collegate; non cancella le conversazioni, che hanno il proprio termine di conservazione. La cancellazione del singolo thread email sposta nel Cestino della casella collegata i messaggi ricevuti che il Servizio ha sincronizzato, lascia nella casella le copie presenti nella posta inviata ed elimina dal Servizio la conversazione, i dati raccolti in essa e i relativi allegati; il contatto in anagrafica e le righe già scritte sul foglio Google del Titolare non sono toccati, e lo spostamento nel Cestino è possibile soltanto se la casella di quel thread è collegata e attiva. Le conversazioni degli altri canali (chat sul sito, WhatsApp, telefonate) non sono cancellabili singolarmente dalla dashboard e sono cancellate automaticamente allo scadere del termine di conservazione; per dare seguito a una richiesta di cancellazione di un interessato (art. 17) prima di tale termine, il Titolare ne fa richiesta a TrueReply all'indirizzo info@truereply.it, che vi provvede senza ingiustificato ritardo. L'esportazione self-service non comprende le definizioni dei flussi e i dati di esecuzione delle automazioni, le campagne in uscita con le relative liste e attestazioni, gli elenchi di opt-out e il registro delle operazioni rilevanti: su richiesta del Titolare TrueReply li fornisce comunque entro i termini utili all'evasione della richiesta dell'interessato
  • Conservare le conversazioni (chat testuale, voce, WhatsApp e, ove attivato, email) per un massimo di 6 mesi dall'ultima attività salvo diversa istruzione del Titolare, applicando il principio di minimizzazione (art. 5). Gli allegati seguono la conservazione della conversazione di cui fanno parte; i messaggi scartati dal pre-filtro e quelli riconosciuti come non conversazionali sono conservati per lo stesso periodo come soli metadati. Il Titolare può conservare lo storico senza limiti collegando un proprio Google Sheet, di cui resta Titolare
  • Conservare l'anagrafica di contatto per la durata dell'account del Titolare (sezione 3), gli eventi che innescano le automazioni per 30 giorni, le esecuzioni dei flussi con i relativi passi e le attese di risposta per 90 giorni e il registro delle operazioni rilevanti (audit) per 24 mesi. Il registro riporta l'identità reale di chi ha compiuto ciascuna operazione, distinta dall'account su cui ha operato, anche quando si tratta di un'agenzia o di un collaboratore del Titolare; non è esposto nella dashboard e il Titolare lo ottiene su richiesta a TrueReply. Il registro degli invii proattivi ricevuti dal singolo contatto segue il ciclo di vita del contatto ed è cancellato con esso. Le definizioni dei flussi e le loro versioni restano finché il Titolare mantiene l'account: l'eliminazione dalla dashboard le archivia, conservandone le versioni come prova della configurazione applicata
  • Notificare al Titolare senza ingiustificato ritardo ogni violazione dei dati personali; per le credenziali delle caselle email collegate vale l'obbligo di notifica specifico di cui alla sezione 5
  • Mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentire e contribuire alle attività di revisione e ispezione, con modalità ragionevoli e concordate

7. Sub-responsabili

Il Titolare autorizza TrueReply a ricorrere ai sub-responsabili indicati nell'Informativa Privacy (Google Cloud, Anthropic, OpenAI Ireland Ltd, Telnyx, Meta Platforms per il canale WhatsApp, Stripe, OVHcloud per la posta elettronica di piattaforma e delle automazioni, e gli altri ivi elencati) e, se il Titolare ha affidato la gestione del proprio account a un'agenzia partner di TrueReply, a quell'agenzia, vincolata da un accordo ai sensi dell'art. 28 GDPR. TrueReply impone a ciascun sub-responsabile obblighi equivalenti e resta responsabile del loro operato. TrueReply informa il Titolare di modifiche relative all'aggiunta o sostituzione di sub-responsabili, consentendo al Titolare di opporsi per motivi legittimi.

8. Trasferimenti extra-UE

Eventuali trasferimenti verso Paesi terzi avvengono nel rispetto del Capo V del GDPR, in particolare tramite Clausole Contrattuali Standard e, ove applicabile, il Data Privacy Framework UE-USA. Il database principale è ospitato nell'Unione Europea. OpenAI Ireland Ltd, società stabilita nell'Unione europea, trasferisce i dati che tratta per la generazione delle risposte della chat verso società affiliate e fornitori situati fuori dallo Spazio economico europeo, in particolare negli Stati Uniti, sulla base delle Clausole Contrattuali Standard o di una decisione di adeguatezza: l'elaborazione avviene quindi anche negli Stati Uniti. Sul servizio API di OpenAI l'archiviazione delle richieste e delle risposte è disattivata, i registri necessari ai controlli di prevenzione degli abusi sono conservati da OpenAI per un massimo di 30 giorni e i contenuti non sono utilizzati per l'addestramento dei modelli.

9. Misure di sicurezza

TrueReply adotta le misure descritte nell'Informativa Privacy, tra cui cifratura in transito e a riposo, isolamento dei dati per cliente, controllo degli accessi e registrazione delle operazioni rilevanti.

Sono cifrati con envelope encryption su chiave Google Cloud KMS dedicata il refresh token OAuth di Google Calendar, il token di accesso WhatsApp Business, i segreti che il Titolare registra per le automazioni verso API di terzi e, ove il canale email sia attivato, le credenziali della casella collegata; il valore in chiaro di tali segreti non è restituito da alcuna interfaccia del Servizio.

Per gli assistenti che il Titolare ha dichiarato destinati al trattamento di categorie particolari di dati, la cifratura a livello di campo su una chiave Google Cloud KMS distinta copre i contenuti conversazionali (messaggi, dati di lead, variabili estratte) e i dati di esecuzione delle automazioni: il contesto dell'esecuzione, la sintesi dei parametri e dell'esito di ogni passo e il messaggio di errore sono conservati cifrati e vengono decifrati solo al momento dell'uso e per mostrarli al Titolare nel dettaglio dell'esecuzione. Le parti danno atto che, alla data di aggiornamento del presente Addendum, tale cifratura non si estende agli eventi che innescano le automazioni, il cui identificativo di sessione incorpora in chiaro il numero WhatsApp dell'interessato per i 30 giorni di conservazione; su quegli eventi, per gli assistenti dichiarati destinati a categorie particolari di dati, il contenuto della conversazione non viene comunque registrato.

I campi identificativi dell'anagrafica di contatto (nome, cognome, nome visualizzato, azienda e valori dei recapiti e degli identificativi WhatsApp) sono conservati senza cifratura applicativa di campo, anche per i Titolari che hanno dichiarato assistenti destinati al trattamento di categorie particolari di dati, con cifratura dell'infrastruttura a riposo, protezione del trasporto e controlli di accesso. La nota di testo libero che il Titolare può scrivere su un contatto è invece conservata sempre con cifratura applicativa di campo, per tutti i Titolari, quale che sia l'assistente, con la stessa cifratura a livello di campo dei contenuti conversazionali: è decifrata solo per mostrarla al Titolare nella scheda del contatto e per l'esportazione dei suoi dati, e nessuna funzione di assistente AI del Servizio la legge. Lo stato del contatto, uno fra cinque valori predefiniti, è conservato senza cifratura applicativa di campo, per tutti i Titolari, con cifratura dell'infrastruttura a riposo, protezione del trasporto e controlli di accesso, perché lo legge a ogni invio automatico la verifica che precede ogni messaggio; nessuna funzione di assistente AI del Servizio lo legge o lo scrive. Lo stesso vale per la scelta del Titolare su chi risponde a ciascun contatto, che i canali leggono a ogni messaggio e a ogni chiamata in entrata.

10. Cancellazione e restituzione

Alla cessazione del Servizio, TrueReply, a scelta del Titolare, cancella o restituisce i dati trattati per suo conto ed elimina le copie esistenti, salvo obblighi di conservazione di legge. Salvo diversa istruzione, i dati del Cliente sono cancellati trascorsi 30 (trenta) giorni dalla cessazione del rapporto, dalla procedura automatica descritta sotto. Un dato cancellato, da questa procedura come dagli strumenti di cancellazione della sezione 6, può restare nelle copie di sicurezza, usate soltanto per il ripristino dopo un guasto, per un massimo di 14 giorni.

Come si esegue oggi la cancellazione. Il termine di 30 giorni è l'impegno contrattuale di TrueReply su tutti i dati trattati per conto del Titolare. Alla data di aggiornamento del presente Addendum la cancellazione è eseguita da una procedura automatica, che si avvia da sola alla cessazione del rapporto o alla richiesta di cancellazione dell'account dalle Impostazioni, e che copre gli assistenti con le loro conversazioni, la knowledge base, il catalogo e i dati di utilizzo, le campagne in uscita con i relativi contatti e tentativi, l'elenco di soppressione delle chiamate vocali, l'anagrafica di contatto con le sue chiavi e il registro degli invii ricevuti, le definizioni dei flussi con le loro versioni, le esecuzioni dei flussi con i relativi passi, le attese di risposta e i lock tecnici di esecuzione, i segreti che il Titolare ha registrato per le automazioni verso API di terzi, il registro di autorizzazione dei thread WhatsApp nati da inserzione, il numero telefonico, la sottoscrizione WhatsApp presso Meta, i token delle integrazioni presenti sul profilo, l'abbonamento e l'utenza del Titolare. Non rientrano in tale procedura i soli eventi che innescano le automazioni, che si cancellano da sé entro 30 giorni per effetto della propria scadenza automatica.

Ciò che non viene cancellato. Restano esclusi dalla cancellazione, per finalità di prova e per obbligo del Responsabile: le attestazioni di consenso relative alle campagne in uscita, il registro delle operazioni rilevanti (audit, 24 mesi) e l'elenco di soppressione del canale WhatsApp. Quest'ultimo sopravvive alla cessazione del rapporto perché chi ha chiesto di non essere più contattato non deve esserlo nemmeno dopo la chiusura dell'account (art. 130 del Codice Privacy); il numero di telefono non vi è conservato in chiaro, ma soltanto come impronta crittografica non reversibile, sufficiente a riconoscere il recapito se qualcuno tentasse di ricontattarlo e inidonea a risalire al numero. Alle stesse condizioni e per la stessa ragione sopravvive l'elenco di soppressione del canale email, che raccoglie chi ha chiesto di non ricevere più messaggi rispondendo alla casella collegata, usando il collegamento di disiscrizione presente in ogni email inviata dalle automazioni, oppure il cui recapito è risultato definitivamente inesistente; anche qui l'indirizzo non è conservato in chiaro ma soltanto come impronta crittografica non reversibile. L'elenco di soppressione delle chiamate vocali è invece cancellato con l'account. Restano infine nel registro delle operazioni rilevanti, per il suo periodo di conservazione e anche dopo la cancellazione dell'account, le registrazioni dell'accettazione dei Termini e Condizioni e dell'approvazione specifica delle loro clausole da parte del Cliente (data, versione dei documenti e modulo da cui sono state prestate), che TrueReply conserva come autonomo Titolare per la difesa di un proprio diritto in giudizio (art. 17, par. 3, lett. e GDPR).

Il registro di autorizzazione dei thread WhatsApp nati da un'inserzione Click-to-WhatsApp è cancellato con l'account. Non è un elenco di opt-out: viene scritto per ogni conversazione autorizzata, anche quando nessun opt-out è mai stato espresso, e contiene il numero di telefono dell'interessato, l'identificativo del clic sull'inserzione e il titolo e l'indirizzo dell'inserzione; l'art. 130 non giustificherebbe la conservazione di questo contenuto oltre la cessazione del rapporto, e cessato il rapporto non resta un Titolare a cui il registro serva. Prima di eliminarlo, la procedura riporta gli opt-out eventualmente espressi su quei thread nell'elenco di soppressione WhatsApp, così che la cancellazione del registro non possa far perdere la volontà di non essere più contattati. Il registro è scritto soltanto per gli assistenti configurati per rispondere esclusivamente ai thread nati da inserzione: alla data di aggiornamento del presente Addendum tale configurazione non è attivabile dal Titolare, né dalla dashboard né dalle API, ed è in uso soltanto sul numero WhatsApp di TrueReply.

La cancellazione comprende gli allegati archiviati (del canale email, ove attivato, e del canale WhatsApp) e, ove il canale email sia stato attivato, le credenziali delle caselle collegate e lo stato di sincronizzazione delle stesse. Il Titolare può inoltre disconnettere in qualsiasi momento una casella email: la disconnessione comporta la cancellazione immediata delle relative credenziali.

11. Contatti

Per ogni richiesta relativa al presente Addendum: info@truereply.it. Titolare del Servizio: Michele Bogoni, P.IVA 04555040239, Via Novella 5/E, 37032 Monteforte d'Alpone (VR).