Data Processing Agreement

1. Identità delle parti

Titolare del trattamento: il cliente persona giuridica, impresa o professionista che sottoscrive il servizio Swavo, identificato dai dati account e di fatturazione inseriti nel portale.

Responsabile del trattamento: SWAVO S.R.L., con sede legale in Via Olmo 20, 41030 San Prospero (MO), Italia, P.IVA e C.F. 04273800369, società con socio unico, contattabile a admin@swavo.ai (di seguito «Swavo» o «il Responsabile»).

Il presente accordo è accettato dal Titolare al momento della registrazione, insieme ai Termini di servizio e alla Privacy Policy, e ne costituisce parte integrante.

2. Oggetto, durata e natura del trattamento

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di erogare il servizio Swavo (CRM, agenda, ticket, assistente AI vocale, canali WhatsApp ed email, automazioni) per la durata del contratto sottoscritto. Le operazioni includono raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione e cancellazione.

3. Tipologie di dati personali trattati

• Dati identificativi clienti finali del Titolare (nome, cognome, telefono, email)
• Trascrizioni e metadati delle conversazioni vocali gestite dall'assistente AI. L'audio delle chiamate non viene registrato
• Funzione «Ricorda le conversazioni precedenti» (attiva di serie, il Titolare può disattivarla dal portale in qualsiasi momento): le conversazioni telefoniche e WhatsApp degli ultimi 90 giorni con lo stesso numero e, per i ristoranti, gli ordini dello stesso numero negli ultimi 90 giorni (solo piatti, data, tipo e totale; mai nome dell'intestatario, indirizzo o note), consultati dall'assistente AI quando quel numero ricontatta il Titolare, al solo fine di dare continuità alla richiesta. Mai tra Titolari diversi e mai nella chat del sito; per gli studi sanitari e legali solo i riassunti. L'assistente usa le conversazioni e gli ordini precedenti solo se l'interessato vi fa riferimento o se servono alla richiesta in corso, e non li richiama mai per primo
• Messaggi WhatsApp scambiati con i clienti finali
• Rubrica dei contatti del dispositivo del Titolare e storico delle conversazioni WhatsApp precedenti all'attivazione, trasferiti da Meta su richiesta esplicita del Titolare in modalità coesistenza
• Messaggi email ricevuti e inviati tramite la casella di posta che il Titolare collega alla piattaforma (mittente, destinatario, oggetto e testo; gli allegati non vengono importati)
• Storico operativo: appuntamenti, ticket, preventivi, fatture
• Metadata operativi: orari interazione, durata, esito

3-bis. Categorie particolari di dati (art. 9 GDPR)

Se il Titolare opera in un settore in cui i suoi clienti finali possono comunicare dati relativi alla salute o altre categorie particolari (per esempio studi medici, dentistici o di fisioterapia), l'assistente AI può riceverli durante le conversazioni, quando è l'interessato a dirli per fissare o gestire un appuntamento. In questo caso:

• il Titolare individua la base giuridica del trattamento (art. 9.2 GDPR, per esempio finalità di cura o consenso dell'interessato) e ne informa i propri clienti finali; Swavo tratta tali dati solo per suo conto e solo per erogare il servizio;
• l'assistente non chiede dati sanitari oltre quanto serve alla richiesta, non dà indicazioni cliniche (art. 17 dei Termini) e non comunica per primo dati relativi alla salute, nemmeno quando la funzione «Ricorda le conversazioni precedenti» è attiva (§3);
• si applicano le stesse misure di sicurezza e la stessa durata di conservazione degli altri dati delle conversazioni (§5 e Privacy Policy); Swavo non li usa per addestrare modelli di intelligenza artificiale;
• il Titolare non configura l'assistente perché raccolga dati sanitari che il servizio non richiede (per esempio referti o diagnosi): restano fuori dalla destinazione d'uso del servizio.

4. Categorie di interessati

Clienti finali, prospect, dipendenti e collaboratori del Titolare i cui dati sono inseriti nella piattaforma o catturati durante le interazioni vocali, WhatsApp ed email gestite dagli agenti AI, nonché i contatti presenti nella rubrica del dispositivo del Titolare e i corrispondenti della casella email collegata.

5. Obblighi del Responsabile

• Istruzioni documentate (art. 28.3.a): il Responsabile tratta i dati solo su istruzione documentata del Titolare. Le istruzioni sono costituite dal presente accordo, dalla configurazione impostata dal Titolare nel portale e dalle autorizzazioni espresse che il Titolare presta prima di specifici trattamenti (ad esempio il trasferimento della rubrica e dello storico WhatsApp, o il collegamento di una casella email), che il Responsabile conserva con data, utente e testo accettato. Il Titolare garantisce di essere legittimato a trasferire tali dati e ne individua la base giuridica; il Responsabile non li utilizza per finalità proprie e non li rende disponibili ad altri Titolari.
• Confidenzialità: il personale autorizzato è vincolato da accordo di riservatezza.
• Misure di sicurezza: crittografia in transito (TLS) e a riposo (AES-256), segregazione multi-tenant tramite Row Level Security PostgreSQL, principio di privilegio minimo, audit log degli accessi a dati sensibili.
• Sub-processors: l'elenco aggiornato è disponibile alla pagina /subprocessors. Modifiche all'elenco saranno notificate con 30 giorni di preavviso via email; il Titolare può opporsi entro tale termine richiedendo la cessazione del servizio.
• Breach notification: in caso di violazione di dati personali, il Responsabile notifica il Titolare entro 24 ore dalla conoscenza dell'evento con tutte le informazioni utili.
• Supporto agli adempimenti del Titolare: cooperazione per rispondere a richieste degli interessati, valutazioni d'impatto, audit del Garante.

6. Sub-processors autorizzati

Lista completa, sede legale, ubicazione dati e base giuridica del trasferimento extra-UE sono disponibili alla pagina /subprocessors. I sub-processors extra-UE operano sulla base della certificazione EU-US Data Privacy Framework o di Standard Contractual Clauses approvate dalla Commissione UE.

7. Diritti del Titolare

• Richiedere documentazione delle misure di sicurezza adottate
• Audit periodico (su richiesta motivata, max 1/anno, preavviso 30 giorni)
• Ottenere in qualsiasi momento i dati in formato strutturato (JSON/CSV): i clienti si scaricano dal portale, l'esportazione completa si chiede a Swavo e arriva entro 30 giorni (art. 24 dei Termini)
• Cancellazione di tutti i dati su richiesta, salvo obblighi legali di conservazione

8. Restituzione e cancellazione dati a fine contratto

Alla fine del piano a pagamento l'account passa al piano gratuito e i dati restano disponibili al Titolare, che può chiederne l'esportazione completa (art. 24 dei Termini). Su richiesta del Titolare dal portale si apre un periodo di ripensamento di 25 giorni; trascorso tale termine, tutti i dati sono cancellati definitivamente — inclusi i contenuti conversazionali, la base di conoscenza e i derivati di intelligenza artificiale (memoria, indici vettoriali) — ad eccezione di: (a) documentazione fiscale e contabile, conservata 10 anni ex art. 2220 c.c.; (b) log di sicurezza pseudonimizzati, conservati 24 mesi; (c) numeri in lista di soppressione. Le copie nei backup cifrati decadono con la rotazione tecnica dei backup; un ripristino comporta la ri-applicazione automatica delle cancellazioni già eseguite.

9. Contatti

Per domande: admin@swavo.ai