Ultimo aggiornamento: 20 aprile 2026 - Versione 1.0
Il presente Data Processing Agreement (DPA) integra i Termini e Condizioni di V Support e disciplina il trattamento dei dati personali svolto dal Fornitore per conto del Cliente ai sensi dell'Art. 28 Regolamento UE 2016/679 (GDPR) e del D.Lgs 196/2003.
| Titolare del trattamento | Il Cliente, per i dati dei propri utenti finali trattati tramite la Piattaforma |
| Responsabile del trattamento | V Digital di Victor Gobbetti, P.IVA 05092370237, Via Lavatoio Vecchio 42, 37010 Rivoli Veronese (VR) |
| Contatto privacy | assistenza@vsupport.it · PEC vdigital@pec.it |
Il Fornitore agisce come Titolare autonomo per i soli dati di fatturazione, amministrazione, marketing diretto dei propri servizi e gestione del rapporto contrattuale con il Cliente.
Il trattamento affidato al Fornitore ha le seguenti caratteristiche:
| Oggetto | Erogazione del Servizio V Support: chatbot, voicebot, CRM, gestione contatti, integrazioni messaggistica, booking. |
| Natura | Raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, trasmissione, cancellazione. |
| Finalità | Fornire al Cliente le funzionalità della Piattaforma per le interazioni con i propri utenti finali, secondo le istruzioni documentate del Cliente. |
| Durata | Per tutta la durata del Contratto, più i periodi di retention tecnica e legale indicati nel presente DPA. |
3.1 Categorie di interessati
3.2 Categorie di dati trattati
| Categoria | Base giuridica del Titolare | Retention |
|---|---|---|
| Dati identificativi (nome, email, telefono) | Art. 6(1)(b) GDPR (contratto) o 6(1)(f) (leg. interesse) | Durata contratto + 24 mesi |
| Contenuto conversazioni chatbot e trascrizioni | Art. 6(1)(b) GDPR | 24 mesi |
| Registrazioni audio voicebot | Art. 6(1)(b) GDPR, con disclosure Art. 50 AI Act | 24 mesi (salvo diversa configurazione) |
| Log di accesso e audit trail | Art. 6(1)(f) GDPR (sicurezza) | 12 mesi |
| Embedding vettoriali della knowledge base | Art. 6(1)(b) GDPR | Durata contratto + 30gg |
| Semantic cache e cache delle risposte | Art. 6(1)(f) GDPR (performance) | Max 30 giorni rolling |
| Dati di fatturazione del Cliente (trattamento autonomo) | Obbligo legale ex Art. 2220 c.c. | 10 anni |
Categorie particolari (Art. 9 GDPR): il Fornitore non raccoglie intenzionalmente dati sensibili. Se il Cliente utilizza la Piattaforma in contesti che comportano il trattamento di categorie particolari, è tenuto a darne comunicazione scritta e a concordare misure supplementari.
Minori: il Cliente garantisce di non utilizzare la Piattaforma in contesti esposti a minori di 14 anni senza aver acquisito il consenso del genitore o tutore ai sensi dell'Art. 8 GDPR (soglia italiana di 14 anni ex Art. 2-quinquies D.Lgs 101/2018, in deroga al default UE di 16 anni).
Il Fornitore tratta i dati personali esclusivamente sulla base di istruzioni documentate del Cliente, incluse quelle impartite attraverso la configurazione della Piattaforma (parametri chatbot, prompt personalizzati, retention configurabile), il DPA, i Termini e Condizioni e istruzioni scritte successive. Il Fornitore informa immediatamente il Cliente se, a suo parere, un'istruzione viola il GDPR o altra normativa applicabile.
Il Fornitore si obbliga a non utilizzare, in alcun caso e per alcuna finalità, i dati del Cliente o dei suoi utenti finali per addestrare, migliorare o sviluppare modelli di intelligenza artificiale propri o di terzi. Tale divieto è ribaltato contrattualmente su tutti i sub-responsabili che operano modelli linguistici.
Il Fornitore si impegna a:
Il Fornitore adotta le seguenti misure tecniche e organizzative:
Le misure dei sub-responsabili sono certificate (ISO 27001, SOC 2 Type II, PCI-DSS Level 1 ove applicabile) e verificate periodicamente dal Fornitore.
Il Cliente autorizza il Fornitore all'utilizzo dei sub-responsabili elencati per categoria nella pagina Elenco Sub-Responsabili, consultabile pubblicamente. L'elenco nominativo completo è disponibile su richiesta scritta a privacy@vsupport.it indicando "Privacy/GDPR" nell'oggetto.
Le modifiche all'elenco sono notificate con 60 giorni di preavviso; il Cliente può opporsi entro 30 giorni per motivi ragionevoli e documentati, secondo la procedura descritta nella pagina citata.
I trasferimenti verso Paesi terzi (extra-SEE) sono disciplinati dalle Clausole Contrattuali Standard della Decisione UE 2021/914 e dal Transfer Impact Assessment mantenuto dal Fornitore, disponibile su richiesta previa firma di NDA.
Il Fornitore assiste il Cliente nell'adempimento degli obblighi relativi all'esercizio dei diritti degli interessati (Artt. 15-22 GDPR) tramite funzioni di Dashboard e, ove necessario, operazioni manuali. Le richieste rispettano i seguenti SLA:
Se l'interessato si rivolge direttamente al Fornitore, la richiesta viene inoltrata al Cliente entro 5 giorni lavorativi, senza rispondere nel merito salvo istruzione contraria o obblighi di legge.
Il Cliente ha diritto di verificare il rispetto degli obblighi del presente DPA mediante:
Audit aggiuntivi rispetto a quello annuale sono consentiti in caso di data breach che coinvolga il Cliente o di richiesta motivata di un'autorità di controllo.
In caso di violazione di dati personali, il Fornitore:
Le comunicazioni pubbliche relative al breach sono coordinate tra le Parti ove la legge lo consenta.
Al termine del Contratto, il Fornitore mette a disposizione del Cliente i dati in formato JSON/CSV strutturato per un periodo di 30 giorni. Entro 72 ore dal termine di tale periodo, i dati attivi sono cancellati in modo irreversibile dai sistemi di produzione.
I backup cifrati residuali sono cancellati automaticamente entro 90 giorni dalla cessazione. Le copie in cache o in sistemi di log sono sovrascritte entro il medesimo termine secondo le politiche di rotazione.
Un certificato di avvenuta cancellazione firmato dal legale rappresentante del Fornitore è rilasciato d'ufficio al Cliente al completamento del processo.
Il regime di responsabilità per il trattamento è disciplinato dall'Art. 82 GDPR. La responsabilità contrattuale del Fornitore verso il Cliente per violazione del presente DPA è soggetta ai limiti dei Termini e Condizioni, fermo restando che tali limiti non operano per dolo, colpa grave e per sanzioni del Garante derivanti da inadempimento del Fornitore.
In caso di conflitto tra il presente DPA e i Termini e Condizioni in materia di protezione dei dati, prevale il presente DPA. Le modifiche al DPA richieste da evoluzioni normative (es. Schrems III, nuove Linee Guida EDPB) sono comunicate con almeno 30 giorni di preavviso e accettate via Dashboard.