Data Processing Agreement

StudioAgent S.r.l.

Ultimo aggiornamento: 17 Ottobre 2026

Il presente Accordo per il Trattamento dei Dati Personali ("DPA") costituisce parte integrante e sostanziale dei Termini e Condizioni di Servizio stipulati tra lo Studio di Amministrazione Condominiale / Cliente (di seguito "Titolare del Trattamento" o "Titolare") e StudioAgent S.r.l., con sede legale e operativa in Italia (di seguito "Responsabile del Trattamento", "Responsabile" o "StudioAgent").

Accettando i Termini di Servizio o utilizzando la piattaforma fornita da StudioAgent, il Cliente accetta integralmente le disposizioni contenute in questo documento, redatto ai sensi dell'Art. 28 del Regolamento (UE) 2016/679 (GDPR).

1. Oggetto dell'Incarico

Con il presente DPA, il Titolare nomina formalmente StudioAgent quale Responsabile del Trattamento per le finalità strettamente connesse all'erogazione del servizio software in abbonamento (piattaforma web, assistente AI WhatsApp, assistente vocale AI, gestione della posta e del calendario, Chat AI). StudioAgent tratterà i dati unicamente nel rispetto delle istruzioni documentate dal Titolare, ovvero quelle derivanti dalle normali interazioni con le funzionalità tecniche della Piattaforma.

2. Dettagli del Trattamento (Allegato 1)

• —Oggetto e Natura del Trattamento: Il trattamento consiste nell'acquisizione, elaborazione tramite algoritmi di Intelligenza Artificiale (LLM), memorizzazione, archiviazione e instradamento di messaggi di testo, email e audio vocali generati durante l'interazione tra condòmini/fornitori e la piattaforma StudioAgent configurata per conto del Cliente. Il trattamento comprende anche le email e gli eventi del calendario provenienti dalle caselle e dai calendari che il Titolare collega alla Piattaforma (Gmail, Google Calendar, Outlook, IMAP).
• —Finalità: Erogazione dei servizi automatizzati di risposta e gestione ticket per lo studio di amministrazione condominiale, incluso — su istruzione documentata e per conto del Titolare — l'invio di comunicazioni di servizio/informative ai condòmini (es. annuncio di nuovi canali di assistenza), anche in forma massiva tramite provider email sub-responsabili, eventualmente da un dominio mittente di StudioAgent recante in modo trasparente l'indicazione del Titolare per conto del quale la comunicazione è inviata.
• —Durata: Il trattamento avrà durata pari al periodo di validità dell'abbonamento sottoscritto. Alla sospensione, disdetta o risoluzione del contratto (anche al termine del periodo di prova), StudioAgent ritira i permessi concessi sui servizi collegati del Titolare (Google) e procede alla cancellazione o pseudonimizzazione dei dati entro i tempi tecnici standard (60 giorni dai sistemi primari, 180 giorni dai backup di sicurezza). Durante il rapporto, le copie dei dati provenienti da Gmail e Google Calendar seguono i tempi indicati nella Privacy della Piattaforma, § 4.6 (al massimo 24 mesi; cancellazione 30 giorni dopo lo scollegamento).
• —Categorie di Dati Personali trattati: Informazioni anagrafiche e di contatto (Nome, Cognome, Indirizzo email, Numero di telefono, Indirizzo di residenza/condominio), credenziali di accesso, il contenuto libero testuale e vocale dei messaggi inviati dagli utenti al centralino AI/WhatsApp/Email (che potrebbero occasionalmente contenere dati finanziari come IBAN o reclami circostanziati), gli eventi del calendario (titolo, orario, luogo, descrizione) e gli altri dati provenienti dalle caselle e dai calendari collegati dal Titolare.
• —Categorie di Interessati: Utenti della piattaforma, dipendenti del Cliente, condòmini, proprietari, inquilini, portinai e fornitori dei condomìni amministrati dal Cliente.

3. Obblighi di StudioAgent (Il Responsabile)

Il Responsabile del Trattamento si impegna a:

1. 1.Personale autorizzato: Garantire che le persone (es. dipendenti, collaboratori) autorizzate al trattamento dei Dati Personali si siano impegnate alla massima riservatezza o abbiano un adeguato obbligo legale di riservatezza, e siano formate in materia di protezione dei dati e sicurezza informatica.
2. 2.Misure di Sicurezza (Art. 32 GDPR): Adottare tutte le misure tecniche e organizzative adeguate per garantire un livello di sicurezza commisurato ai rischi dell'elaborazione AI, come dettagliato nell'Allegato 2 (Misure Tecniche e Organizzative di Sicurezza), che costituisce parte integrante del presente DPA. Tutti i dati sono crittografati in transito e a riposo, con segregazione logica per ciascun Titolare (tenant isolation).
3. 3.Assistenza sui Diritti degli Interessati: Supportare il Titolare (con misure tecniche/organizzative e nei limiti del possibile) qualora un suo condòmino/fornitore eserciti i propri diritti privacy (es. richiesta di cancellazione dei messaggi in chat, richiesta di rettifica), rispondendo celermente alle richieste del Titolare.
4. 4.Data Breach (Violazione dei dati): Comunicare tempestivamente, e comunque preferibilmente entro 48 ore dalla scoperta, al Titolare del Trattamento ogni eventuale violazione dei dati personali (Data Breach) per permettere al Cliente di compiere le valutazioni verso il Garante Privacy.
5. 5.Valutazione di Impatto (DPIA): Offrire collaborazione documentale ove il Titolare decida di redigere una Valutazione di Impatto sulla Protezione dei Dati legata all'uso spinto dell'Intelligenza Artificiale nel proprio studio.
6. 6.Audit e Ispezioni (Art. 28.3.h GDPR): Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto degli obblighi ex Articolo 28 GDPR e consentire e contribuire alle attività di verifica, comprese le ispezioni documentali, realizzate dal Titolare o da un soggetto da questi incaricato. Tali verifiche dovranno essere svolte con un preavviso minimo di 15 giorni lavorativi, durante il normale orario d'ufficio e senza interferire con l'operatività ordinaria dei sistemi di StudioAgent, con spese a carico del Titolare.
7. 7.Dati degli utenti Google. Trattare i dati ottenuti tramite le API di Google (Gmail, Google Calendar) solo per fornire le funzioni visibili della Piattaforma, nel rispetto della Google API Services User Data Policy e dei requisiti di Limited Use, come descritto nella Sezione 4 della Privacy della Piattaforma: nessuna vendita, nessun uso pubblicitario, nessun uso per addestrare modelli di intelligenza artificiale generalizzati, nessuna lettura da parte del personale al di fuori dei casi ammessi (consenso documentato del Titolare su elementi specifici, sicurezza, obblighi di legge, dati aggregati e anonimizzati).
8. 8.Accesso per assistenza. Il Titolare autorizza il personale del Responsabile ad accedere alla dashboard dello studio per l'assistenza tecnica e per il corretto funzionamento del servizio. Le sessioni di assistenza si aprono dopo una verifica aggiuntiva dell'identità del membro del personale, durano al massimo 2 ore e sono registrate; durante l'assistenza il contenuto delle email e degli eventi provenienti da Google resta oscurato.

4. Sub-Responsabili (Subprocessors)

Il Titolare del Trattamento autorizza in via generale StudioAgent a ricorrere a sub-responsabili esterni per l'esecuzione di specifiche attività di trattamento o fornitura tecnologica cloud (es. provider Cloud, provider AI, provider servizi SMS/Voice).

1. 1.L'elenco costantemente aggiornato dei Sub-responsabili attualmente approvati da StudioAgent è disponibile alla pagina pubblica Elenco Sub-Responsabili (Subprocessors).
2. 2.StudioAgent si impegna a stipulare con ciascun Sub-Responsabile accordi contrattuali stringenti, trasferire le medesime obbligazioni privacy previste in questo documento e accertarsi che i dati risiedano in Europa o in Paesi con normative adeguate o Standard Contractual Clauses legalmente valide.
3. 3.In caso di aggiunta o sostituzione di un Sub-responsabile, StudioAgent aggiornerà preventivamente la pagina sopra indicata con un preavviso di almeno 30 giorni. L'uso continuato della Piattaforma da parte del Cliente rappresenterà l'implicita accettazione del nuovo elenco.

5. Destino dei Dati a Fine Rapporto

Al termine della fornitura dei Servizi (disdetta abbonamento o chiusura account), a discrezione del Titolare che può estrarne tempestivamente copia documentale dalle funzionalità della dashboard temporanea, StudioAgent cancellerà in modo definitivo i Dati Personali dei log elaborati per quel Tenant dai propri sistemi primari in produzione entro 60 giorni, e dai backup di sicurezza secondo cicli di durata massima di 180 giorni o come previsto da norme di legge inderogabili in materia contabile/amministrativa.

I permessi concessi dal Titolare sui servizi collegati (Google) sono ritirati alla sospensione del servizio; le copie dei dati provenienti da tali servizi sono cancellate con gli altri Dati Personali secondo i termini sopra indicati.

Allegato 2 — Misure Tecniche e Organizzative di Sicurezza (Art. 32 GDPR)

StudioAgent S.r.l. implementa e mantiene le seguenti misure di sicurezza tecniche e organizzative per proteggere i Dati del Cliente da trattamenti non autorizzati, perdite accidentali o accessi abusivi:

1. 1.Sicurezza Fisica e Cloud Hosting: l'infrastruttura è ospitata presso fornitori cloud (Supabase per il database, nell'Unione Europea; Railway per l'applicazione; Google Cloud per l'intelligenza artificiale, nell'Unione Europea) dotati di certificazioni di sicurezza riconosciute (Google Cloud e Supabase: SOC 2 Tipo II; Google Cloud anche ISO/IEC 27001, 27017 e 27018). L'accesso fisico ai server è controllato e monitorato dai fornitori.
2. 2.Cifratura dei Dati: tutte le comunicazioni, le connessioni API e i webhook sono cifrati con TLS 1.2 o superiore (HTTPS); i dati sono cifrati a riposo a livello di storage e database (AES-256). I token di accesso ai servizi collegati sono cifrati anche a livello applicativo (AES-256) con chiave conservata separatamente dal database; le chiavi dei fornitori sono conservate nel Vault cifrato del database. L'audio delle chiamate è conservato da ElevenLabs (vedi Privacy della Piattaforma, § 3.3.1).
3. 3.Controllo degli Accessi e Sicurezza Logica: separazione logica dei dati di ciascun Titolare a livello di database e applicazione; password conservate solo come hash unidirezionale; verifica aggiuntiva dell'identità per le operazioni più delicate del personale (sessioni di assistenza, modifica delle chiavi, cancellazioni); sessioni di assistenza di massimo 2 ore, registrate, con il contenuto proveniente da Google oscurato; accesso del personale ai dati di produzione limitato secondo il principio del privilegio minimo e registrato.
4. 4.Resilienza e Disaster Recovery: backup automatici giornalieri, cifrati, nella regione dell'Unione Europea del database; obiettivo di ripristino entro 12 ore con perdita massima di 24 ore di dati.
5. 5.Trattamento Etico e Privacy by Design nell'AI (Art. 25 GDPR): nessun addestramento: i Dati del Cliente non sono usati per addestrare, fare fine-tuning o migliorare modelli di intelligenza artificiale. Google Cloud (Vertex AI) lo esclude per contratto; su ElevenLabs l'uso per l'addestramento è disattivato nelle impostazioni dell'account; OpenAI, sub-responsabile di ElevenLabs, non usa per l'addestramento i dati ricevuti tramite le API commerciali. I dati delle API di Google Workspace non sono mai usati per sviluppare, migliorare o addestrare modelli generalizzati. Esclusione dei dati riferiti a terzi dal contesto trasmesso alle API LLM esterne: quando l'interlocutore è un Utente Finale residente, i contenuti riferiti a soggetti diversi da lui sono esclusi dalla selezione documentale a monte dell'elaborazione.
6. 6.Verifiche e Vulnerability Testing: scansioni periodiche di vulnerabilità del codice e delle dipendenze; registri delle attività di sistema e degli accessi amministrativi conservati fino a 24 mesi e accessibili solo al personale autorizzato.

Documenti correlati

• —Termini e Condizioni di Servizio — in particolare Articolo 8 (Dati del Cliente)
• —Elenco Sub-Responsabili (Subprocessors) — Articolo 28(2) GDPR
• —Informativa Privacy — Piattaforma e Servizi AI — Artt. 13-14 GDPR e Art. 50 AI Act