Nomina a Responsabile del trattamento (art. 28 GDPR)

Versione 1.2 · Ultimo aggiornamento: 21 ottobre 2026

Parti

Titolare del trattamento ("Titolare")
Ragione sociale: ______________________________
P.IVA / C.F.: ______________________________
Sede: ______________________________
Referente per la privacy (nome, email, telefono): ______________________________

Responsabile del trattamento ("Responsabile")
VE VE di Udila Costin Eduard, ditta individuale che opera con i marchi studio jem e racconta.si
P.IVA IT03883630927 · Via Roma 35, 09037 San Gavino Monreale (SU), Italia
Email: eduard@studiojem.it · PEC: eduard.costin@pec.it

Premesse

Il Titolare ha affidato al Responsabile il servizio Racconta.si (il "Servizio"): un assistente virtuale basato su intelligenza artificiale installato sul sito web del Titolare, regolato dai Termini di servizio di Racconta.si (il "Contratto"). Per erogare il Servizio il Responsabile tratta dati personali per conto del Titolare. Con il presente atto, che costituisce parte integrante del Contratto, il Titolare nomina il Responsabile ai sensi dell'art. 28 del Regolamento UE 2016/679 ("GDPR") e il Responsabile accetta.

1. Oggetto, natura e finalità

1.1 Oggetto: trattamento dei dati personali dei visitatori del sito del Titolare che usano l'assistente.

1.2 Natura: raccolta, registrazione, conservazione, consultazione, elaborazione con modelli di intelligenza artificiale, pseudonimizzazione, oscuramento automatico, messa a disposizione del Titolare, cancellazione.

1.3 Finalità: rispondere alle domande dei visitatori con le informazioni fornite dal Titolare; consentire al visitatore di rivedere, riprendere e cancellare le proprie conversazioni; mettere a disposizione del Titolare, anche con notifiche sul telefono e con un riepilogo email giornaliero che il Titolare può disattivare, le conversazioni con la loro provenienza, le domande senza risposta, le richieste di contatto o di parlare con una persona e statistiche aggregate; prevenire abusi; erogare la sintesi vocale se attivata dal Titolare; trasmettere dati ai sistemi del Titolare se questi configura funzioni di contatto o prenotazione.

2. Durata

Il presente atto ha la stessa durata del Contratto. Gli obblighi di riservatezza, cancellazione e restituzione restano in vigore finché il Responsabile detiene dati per conto del Titolare.

3. Categorie di interessati e di dati

3.1 Interessati: visitatori del sito del Titolare che usano l'assistente. Possono includere clienti e potenziali clienti, pazienti o assistiti del Titolare.

3.2 Dati:

testo dei messaggi dei visitatori e delle risposte, con data e ora; titolo della conversazione ricavato dal primo messaggio;
identificativi casuali di conversazione e di dispositivo (per singolo assistente);
hash dell'indirizzo IP (HMAC con chiave segreta e rotazione giornaliera), solo per i limiti anti-abuso;
domande senza risposta e segnalazioni "risposta non utile";
provenienza della conversazione: pagina del sito, sito di provenienza (per esempio Instagram o Google) e tipo di dispositivo;
click sui pulsanti e aperture dell'assistente, in forma aggregata e senza identificativi del visitatore;
richiesta del visitatore di parlare con una persona, con le sue ultime domande;
numero di visite e ultimi argomenti aperti dal visitatore, conservati solo sul suo dispositivo e inviati con la domanda per formulare la risposta, senza conservazione da parte del Responsabile;
registrazione audio della domanda, solo quando il visitatore parla e il suo browser non può trascriverla da sé: inoltrata al fornitore di riconoscimento vocale per la trascrizione e mai conservata dal Responsabile;
dati tecnici transitori (lingua del browser, titolo della pagina, indirizzo IP nei log dei fornitori);
dati forniti dal visitatore con il modulo di contatto o per richieste di prenotazione, se il Titolare attiva tali funzioni (nome, recapito, messaggio e gli altri campi scelti dal Titolare), conservati per la durata del Contratto e trasmessi ai sistemi indicati dal Titolare.

3.3 Categorie particolari (art. 9 GDPR) e dati giudiziari (art. 10). Il Servizio non è progettato per raccoglierli e non li richiede. Non si può escludere che un visitatore li scriva spontaneamente (per esempio sintomi, terapie, vicende legali). Misure di mitigazione:

avviso permanente sotto la chat e informativa che invitano a non scrivere dati sanitari o personali e a usare i canali diretti del Titolare;
oscuramento automatico, prima del salvataggio e prima dell'invio ai modelli AI, di email, numeri di telefono, codici fiscali, IBAN e numeri di carta;
i messaggi riconosciuti come emergenza o crisi sono conservati solo come segnaposto, con indicazione del numero 112;
cancellazione automatica dopo 12 mesi;
accesso ai dati limitato al Titolare e al Responsabile.

Il Titolare riconosce che l'oscuramento automatico non è infallibile e che resta sua responsabilità valutare l'idoneità del Servizio al proprio contesto, anche mediante una valutazione d'impatto (DPIA) ove necessaria.

4. Nota per i settori sanitario e legale

Se il Titolare opera in ambito sanitario, psicologico, socio-assistenziale o legale (o in altri contesti in cui i visitatori possono essere indotti a raccontare dati particolari), il Titolare:

istruisce l'assistente (tramite i contenuti e le impostazioni della dashboard) a non raccogliere sintomi, diagnosi, terapie, dettagli di pratiche o procedimenti, e a indirizzare il visitatore ai propri canali (telefono, WhatsApp, email, appuntamento);
non configura funzioni di contatto o prenotazione che chiedano dati sanitari o giudiziari;
non usa l'assistente per fornire pareri medici, psicologici o legali, né per il triage;
valuta la necessità di una DPIA e ne informa il Responsabile.

Il Responsabile fornisce su richiesta testi di istruzione consigliati.

5. Obblighi del Responsabile

Il Responsabile:

tratta i dati solo su istruzione documentata del Titolare (art. 6), anche per i trasferimenti verso Paesi terzi, salvo che lo richieda il diritto dell'Unione o italiano; in tal caso ne informa il Titolare prima del trattamento, se la legge lo consente;
informa subito il Titolare se ritiene che un'istruzione violi il GDPR o altre norme;
garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza (art. 7);
adotta le misure di sicurezza dell'Allegato A (art. 32 GDPR);
ricorre a sub-responsabili solo alle condizioni dell'art. 9;
assiste il Titolare nel rispondere alle richieste degli interessati (art. 10) e negli adempimenti degli artt. 32-36 GDPR;
notifica le violazioni dei dati come indicato all'art. 11;
al termine cancella o restituisce i dati come indicato all'art. 12;
mette a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consente le verifiche dell'art. 13;
non usa i dati per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.

Il Responsabile non è tenuto a tenere il registro dei trattamenti in qualità di responsabile ai sensi dell'art. 30.5 GDPR, ma si impegna a tenerlo comunque.

6. Istruzioni del Titolare

6.1 Costituiscono istruzioni documentate: il presente atto, il Contratto e le configurazioni impostate dal Titolare nella dashboard (contenuti, funzioni attive, voce premium, origini autorizzate, eventuali funzioni di contatto o prenotazione e relativi indirizzi di destinazione).

6.2 Con l'attivazione di funzioni di contatto o prenotazione collegate a sistemi indicati dal Titolare, questi istruisce il Responsabile a trasmettere a tali sistemi i dati della richiesta. Il Titolare è responsabile della sicurezza e della liceità dei sistemi di destinazione.

6.3 Conservazione (istruzione predefinita): conversazioni e messaggi cancellati 12 mesi dopo l'ultima attività; domande senza risposta dopo 12 mesi; hash dell'IP rimosso dalle conversazioni dopo 7 giorni; dati di limite per la voce dopo 1 giorno; click aggregati senza identificativi conservati 24 mesi. Il Titolare può chiedere per iscritto tempi più brevi.

6.4 Istruzioni ulteriori vanno date per iscritto (anche via email). Se comportano costi o sviluppi non previsti, le parti li concordano.

7. Riservatezza

Il Responsabile e chiunque agisca sotto la sua autorità trattano i dati come riservati. Oggi l'accesso ai dati è limitato al titolare della ditta individuale (l'operatore). Eventuali collaboratori saranno autorizzati per iscritto, istruiti e vincolati alla riservatezza.

8. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative dell'Allegato A, adeguate al rischio, e le aggiorna in base all'evoluzione tecnica, senza ridurne il livello complessivo.

9. Sub-responsabili

9.1 Il Titolare concede un'autorizzazione scritta generale al ricorso ai sub-responsabili. Le categorie attuali sono nell'Allegato B; l'elenco nominativo aggiornato è fornito al Titolare su richiesta scritta.

9.2 Il Responsabile informa il Titolare via email di ogni aggiunta o sostituzione con almeno 15 giorni di preavviso. Entro tale termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Titolare può recedere dal Contratto senza penali, con effetto dalla data della modifica, e ha diritto al rimborso della parte di corrispettivo già pagata e non goduta.

9.3 Il Responsabile impone ai sub-responsabili, con contratto o altro atto giuridico, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente atto e risponde verso il Titolare del loro inadempimento, nei limiti dell'art. 28.4 GDPR.

9.4 Trasferimenti extra UE: alcuni sub-responsabili trattano dati negli Stati Uniti. I trasferimenti si fondano sull'EU-US Data Privacy Framework, per i fornitori certificati, e/o sulle Clausole contrattuali standard della Commissione europea (art. 46 GDPR), incluse nei termini dei fornitori.

10. Diritti degli interessati

10.1 Tenuto conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate per rispondere alle richieste di esercizio dei diritti (artt. 15-22 GDPR).

10.2 Strumenti disponibili: il Titolare consulta le conversazioni dalla dashboard; il visitatore può cancellare da solo le proprie conversazioni e le relative domande senza risposta dal widget ("Le tue conversazioni" → "Cancella"); per ricerche, esportazioni o cancellazioni mirate il Titolare può rivolgersi al Responsabile, che vi provvede entro 10 giorni lavorativi.

10.3 Se un interessato si rivolge direttamente al Responsabile, questi inoltra la richiesta al Titolare entro 5 giorni lavorativi e non risponde nel merito senza istruzioni, salvo indicare all'interessato che la richiesta è stata trasmessa.

11. Violazioni dei dati personali

11.1 Il Responsabile notifica al Titolare ogni violazione dei dati personali che riguarda i dati del Titolare senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, via email al referente indicato e, se possibile, via PEC.

11.2 La notifica contiene, nei limiti di quanto noto: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni, probabili conseguenze, misure adottate o proposte, un contatto. Le informazioni non disponibili subito sono fornite in fasi successive.

11.3 Il Responsabile collabora con il Titolare per la notifica al Garante (art. 33) e l'eventuale comunicazione agli interessati (art. 34), che restano a cura del Titolare.

12. Fine del trattamento

Alla cessazione del Contratto, a scelta del Titolare comunicata entro 30 giorni, il Responsabile restituisce i dati in formato elettronico di uso comune (per esempio JSON o CSV) e/o li cancella. In assenza di scelta li cancella entro 60 giorni dalla cessazione. Le copie nei backup gestiti dai fornitori sono eliminate secondo i cicli di rotazione dei fornitori. Su richiesta il Responsabile conferma per iscritto la cancellazione. Restano salvi gli obblighi di conservazione imposti dalla legge.

13. Verifiche

13.1 Il Responsabile fornisce al Titolare, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto del presente atto, incluse la documentazione delle misure dell'Allegato A e, ove disponibili, le certificazioni o i rapporti di audit dei sub-responsabili.

13.2 Il Titolare può svolgere un'ispezione, direttamente o tramite un revisore vincolato alla riservatezza, con preavviso di almeno 30 giorni, durante l'orario lavorativo, non più di una volta l'anno salvo violazione dei dati o richiesta di un'autorità. Le spese sono a carico del Titolare. Le verifiche sui sub-responsabili si svolgono secondo i loro termini.

14. Responsabilità

Ciascuna parte risponde dei danni causati dalla propria violazione del GDPR nei limiti dell'art. 82 GDPR. Nei rapporti tra le parti si applicano le limitazioni di responsabilità del Contratto, salvo dolo o colpa grave e salvo quanto non derogabile per legge.

Il Titolare è responsabile della liceità del trattamento, dell'informativa ai visitatori sul proprio sito, dei contenuti forniti all'assistente, delle istruzioni impartite e delle funzioni che attiva.

15. Disposizioni finali

In caso di contrasto tra il presente atto e il Contratto in materia di protezione dei dati, prevale il presente atto. Si applicano la legge italiana e il foro indicato nel Contratto.

Luogo e data: ____________________

Il Titolare ____________________ (firma)

Il Responsabile ____________________ (firma)

Allegato A · Misure tecniche e organizzative

Riservatezza e controllo degli accessi

Comunicazioni cifrate con TLS (HTTPS) tra browser, server e fornitori.
Isolamento per cliente: sicurezza a livello di riga (Row Level Security) attiva su tutte le tabelle del database; ogni cliente vede solo i dati dei propri assistenti. Le funzioni pubbliche del widget filtrano ogni operazione sull'assistente a cui appartiene la chiave usata.
Tabelle tecniche sensibili (token operativi, limiti voce) accessibili solo con credenziali di servizio lato server.
Token operativi conservati solo come hash (SHA-256), revocabili.
Password degli utenti della dashboard gestite dal servizio di autenticazione e conservate solo come hash.
Accesso amministrativo ai dati limitato all'operatore del Responsabile.

Minimizzazione e pseudonimizzazione

Oscuramento automatico di email, telefoni, codici fiscali, IBAN e numeri di carta prima del salvataggio e prima dell'invio ai modelli AI.
Messaggi di emergenza o crisi conservati solo come segnaposto.
Nessun identificativo del visitatore (IP, codici di sessione o di dispositivo) inviato ai modelli AI.
Indirizzo IP mai conservato in chiaro: solo hash HMAC con chiave segreta e rotazione giornaliera, rimosso dopo 7 giorni.
Identificativi del visitatore casuali e separati per singolo assistente.
Nessun cookie, nessuna profilazione e nessuno strumento di analisi nel widget; sul sito del cliente solo sessionStorage; caratteri tipografici ospitati in proprio.
Click sui pulsanti registrati in forma aggregata senza identificativi.

Conservazione

Cancellazione automatica: conversazioni e messaggi dopo 12 mesi dall'ultima attività; domande senza risposta dopo 12 mesi; dati di limite voce dopo 1 giorno.
Cancellazione in autonomia da parte del visitatore delle proprie conversazioni e delle relative domande senza risposta.

Integrità e protezione del widget

Elenco delle origini autorizzate (allow-list) per le chiamate del widget, configurabile per assistente.
Protezione dall'incorporamento non autorizzato con Content Security Policy frame-ancestors.
Limiti di frequenza anti-abuso (nuove conversazioni per ora, richieste di sintesi e di trascrizione vocale).

Disponibilità e resilienza

Infrastruttura gestita da fornitori cloud professionali; backup del database a cura del fornitore.

Organizzazione

Trattamento svolto personalmente dall'operatore, vincolato alla riservatezza.
Procedura di gestione delle violazioni con notifica al Titolare entro 48 ore.
Verifica periodica dei sub-responsabili e delle loro condizioni.

Allegato B · Sub-responsabili autorizzati

Categoria di sub-responsabile	Attività	Dati trattati	Luogo / garanzie
Infrastruttura cloud	Hosting dell'applicazione, database, archiviazione e accesso ai modelli AI	Tutti i dati del Servizio; testo delle conversazioni inoltrato ai modelli	UE, con sub-fornitori extra UE; DPF e/o SCC
Rete di distribuzione e protezione (CDN)	Consegna delle pagine e protezione dagli attacchi	Dati di traffico (IP, URL richiesti), contenuti in transito	Rete globale, sede USA; DPF e/o SCC
Modelli di intelligenza artificiale	Generazione delle risposte, classificazione delle domande, calcolo degli embedding per la ricerca	Testo delle conversazioni oscurato, senza identificativi	USA; DPF e/o SCC
Sintesi e riconoscimento vocale	Lettura delle risposte e trascrizione delle domande a voce, solo se la voce è attivata dal Titolare	Testo delle risposte dell'assistente; audio della domanda, non conservato dal Responsabile	USA; DPF e/o SCC
Invio delle email	Avvisi e riepiloghi al Titolare e alle persone da lui invitate	Testo degli avvisi: domande, richieste di contatto, recapiti lasciati nel modulo	USA; DPF e/o SCC

L'elenco nominativo aggiornato dei sub-responsabili (ragione sociale, sede, garanzie) è fornito al Titolare su richiesta scritta a eduard@studiojem.it, entro 10 giorni lavorativi. Le aggiunte o sostituzioni sono comunicate con il preavviso dell'art. 9.2.

Le immagini importate dal sito del Titolare non vengono copiate: il Servizio conserva solo il collegamento. Sono conservati dal Responsabile solo i file caricati dal Titolare nella dashboard e i saluti vocali generati.

Non sono sub-responsabili del Responsabile: i servizi di riconoscimento vocale del browser del visitatore (Google, Apple, Microsoft), scelti e usati dal visitatore; i servizi di notifica push del browser o del telefono del Titolare, che consegnano notifiche cifrate; i sistemi di destinazione indicati dal Titolare per contatti e prenotazioni; i siti che ospitano immagini o mappe mostrate nell'assistente.