Accordo sul trattamento dei dati

1. Parti

• Titolare: la società o ditta individuale che ha accettato le Condizioni generali di utilizzo di Jedro+ (l'"Utente").
• Responsabile: Sonja Žužek s.p., Prešernova cesta 21A, 1234 Mengeš, Slovenia, numero di registrazione 9323228000, persona autorizzata Tim Kogej, tim.kogej@jedroplus.com (il "Fornitore").

2. Oggetto e durata

Il Fornitore tratta dati personali per conto dell'Utente esclusivamente per fornire l'app Jedro+ nei limiti delle funzioni utilizzate. L'accordo vale finché vale il contratto di utilizzo e fino alla cancellazione dei dati dopo la sua fine.

3. Natura e finalità del trattamento

Conservazione, organizzazione, visualizzazione, invio di messaggi (e-mail, SMS), ricezione e trascrizione di chiamate, preparazione di risposte con modelli AI, gestione di pagamenti online, esportazione e cancellazione — per la gestione di appuntamenti e clienti, promemoria, avvisi, messaggi di marketing, prenotazione online, Chatbot+ e Receptionist+.

4. Tipi di dati e interessati

• Clienti dell'Utente: nome, cognome, e-mail, telefono, genere, lingua, note, tipo di cliente, storico appuntamenti, servizi, prezzi e sconti, stato dei pagamenti, consenso alle comunicazioni e disiscrizione.
• Chiamanti (Receptionist+): numero di telefono, registrazione e trascrizione della conversazione, esito della chiamata.
• Visitatori della chat (Chatbot+): contenuto della conversazione e dati inseriti.
• Dipendenti dell'Utente: nome, contatto, turni, assenze, appuntamenti assegnati.

Le categorie particolari di dati sono trattate solo se l'Utente le inserisce (ad es. nelle note); l'Utente garantisce una base giuridica e le limita al necessario.

5. Obblighi del Fornitore

• Tratta i dati solo su istruzioni documentate dell'Utente, impartite tramite l'uso e le impostazioni dell'app, e lo informa se ritiene un'istruzione illecita.
• Vincola alla riservatezza le persone che hanno accesso ai dati.
• Attua le misure tecniche e organizzative di cui al punto 7.
• Assiste l'Utente nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, esportazione) e negli obblighi degli artt. da 32 a 36 GDPR.
• Notifica all'Utente una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dalla conoscenza, con tutte le informazioni disponibili.
• Fornisce su richiesta le informazioni necessarie a dimostrare la conformità e consente verifiche ragionevoli (di norma tramite documentazione e risposte scritte).

6. Sub-responsabili

L'Utente autorizza in via generale i sub-responsabili elencati nella pagina "Sub-responsabili". Il Fornitore vincola ciascuno agli stessi obblighi di protezione dei dati e ne risponde come per sé.

Il Fornitore informa l'Utente di nuovi o sostituiti sub-responsabili con almeno 30 giorni di anticipo (via e-mail o nell'app). L'Utente può opporsi per motivi fondati; se non si trova una soluzione, può recedere senza costi.

I trasferimenti verso paesi terzi avvengono solo con garanzie adeguate (clausole contrattuali tipo, Data Privacy Framework UE-USA).

7. Misure tecniche e organizzative

• Cifratura in transito (TLS) e cifratura dei dati memorizzati presso il fornitore del database.
• Database, hosting, e-mail e server di automazione nell'UE.
• Separazione dei dati per impresa; regole di accesso a livello di database (RLS); scrittura dei dati solo tramite percorsi server verificati.
• Accesso basato sui ruoli (titolare, amministratore, dipendente) e principio del privilegio minimo; chiavi segrete solo sul server.
• Limitazione delle richieste e protezione dagli abusi; link firmati (ad es. per la disiscrizione).
• Backup regolari presso il fornitore del database; registrazione delle modifiche ad appuntamenti e clienti.
• Cancellazione automatica delle registrazioni delle chiamate dopo 90 giorni e dei dati dopo la fine del contratto.

8. Obblighi dell'Utente

• Dispone di una base giuridica per il trattamento dei dati di clienti, dipendenti e chiamanti e li informa (ad es. nella propria informativa privacy).
• Invia messaggi di marketing solo ai clienti per cui ha una base e rispetta le disiscrizioni.
• Mantiene attivo l'avviso di registrazione di Receptionist+ o garantisce autonomamente la liceità della registrazione.
• Concede l'accesso all'app solo a chi ne ha bisogno e lo revoca tempestivamente.

9. Fine del trattamento

Dopo la fine del contratto l'Utente può esportare i dati. Il Fornitore li cancella 90 giorni dopo la fine, comprese le copie presso i sub-responsabili nei tempi dei loro backup, salvo obblighi di conservazione di legge.

10. Disposizioni finali

Per la responsabilità valgono le Condizioni generali di utilizzo, salvo diversa disposizione del GDPR. Si applica la legge della Repubblica di Slovenia. In caso di differenze tra versioni linguistiche prevale quella slovena.