Responsabile del trattamento (GDPR)

Questo allegato alle CGV è l’accordo di responsabile del trattamento previsto dall’articolo 28 del regolamento generale sulla protezione dei dati (GDPR). Si applica quando Kroov (EVA AI TECHNOLOGIES, 5 rue Ellenhard, 67000 Strasbourg, France) tratta dati personali per conto del cliente, titolare del trattamento, nell’ambito del servizio. Ha effetto con il contratto e dura quanto esso, poi fino alla cancellazione dei dati.

• Assistente di assistenza (Nina): ricezione, classificazione, analisi con IA e risposta ai messaggi dei clienti del cliente (e-mail, WhatsApp, Gmail, Outlook, recensioni Google). Interessati: clienti e prospect del cliente. Dati: nome, indirizzo e-mail, numero di telefono, messaggi, allegati, risposte.
• Assistente telefonico (Sam): chiamate effettuate su richiesta del cliente, conversazione vocale trattata in tempo reale da IA, trascrizione e resoconto. Interessati: le persone chiamate. Dati: nome e numero, contenuto della conversazione, trascrizione, resoconto, richiesta di non essere più chiamato. L’audio non è registrato.
• Contenuti, basi di conoscenza e memoria: memorizzazione, indicizzazione e uso da parte degli assistenti dei documenti e delle informazioni che il cliente vi colloca, che possono contenere dati sui suoi contatti.
• Pubblicazioni e integrazioni: invio di contenuti e messaggi sugli account che il cliente collega.

Il cliente si astiene dall’affidare dati sensibili (salute, opinioni, dati su reati…) salvo necessità e base giuridica adeguata.

Kroov:

• tratta i dati solo su istruzione documentata del cliente, costituita dal contratto, dalle impostazioni dello spazio e dalle richieste fatte nell’applicazione; informa il cliente se un’istruzione gli pare contraria al GDPR;
• vigila affinché le persone autorizzate a trattare i dati siano tenute alla riservatezza;
• mette in opera le misure di sicurezza descritte sotto;
• aiuta il cliente, per quanto possibile, a rispondere alle richieste di esercizio dei diritti delle persone, ad assicurare la sicurezza, a notificare le violazioni e a condurre una valutazione d’impatto;
• notifica al cliente ogni violazione di dati che lo riguarda il prima possibile, e al più tardi 48 ore dopo averne avuto conoscenza, con le informazioni disponibili;
• al termine del contratto, o all’eliminazione dello spazio, cancella i dati (il cliente può esportarli prima), salvo obbligo di legge di conservazione; i backup sono cancellati a rotazione entro 14 giorni;
• mette a disposizione del cliente le informazioni necessarie a dimostrare il rispetto dei suoi obblighi e consente audit, al massimo una volta all’anno con preavviso di 30 giorni, a spese del cliente, da un auditor tenuto al segreto.

Il cliente autorizza Kroov a ricorrere ai sub-responsabili il cui elenco aggiornato, con la prestazione, il paese e la garanzia che inquadra ogni trasferimento, è consultabile nell’applicazione (Impostazioni › Sicurezza e dati, sezione « Sub-responsabili ») e comunicato su richiesta a support@kroov.ai. Kroov informa il cliente di ogni aggiunta o sostituzione almeno 30 giorni prima; il cliente può opporsi per un motivo legittimo e, in mancanza di accordo, recedere senza spese. Kroov impone a ciascuno obblighi di protezione equivalenti e resta responsabile verso il cliente.

Quando un sub-responsabile tratta dati fuori dall’Unione europea, il trasferimento è inquadrato da una decisione di adeguatezza (quadro di protezione dei dati UE–Stati Uniti per le imprese certificate) o dalle clausole contrattuali tipo della Commissione europea.

Il cliente:

• dispone di una base giuridica per ogni trattamento che affida a Kroov e informa gli interessati, in particolare i suoi clienti dell’uso di un assistente di assistenza con IA;
• chiama con l’assistente telefonico solo persone che ha il diritto di contattare, non fa prospezione automatizzata e rispetta le richieste di opposizione;
• imposta la durata di conservazione delle trascrizioni e dei file secondo le sue esigenze;
• segnala a Kroov senza ritardo ogni richiesta di un interessato che richiede il suo aiuto.

• Hosting nell’Unione europea, scambi cifrati (HTTPS).
• Token di accesso agli account collegati cifrati (AES-256-GCM), chiavi in un gestore di segreti.
• Controllo di accesso a ogni richiesta, secondo l’appartenenza allo spazio, il ruolo e la visibilità dei dati.
• Registro di audit delle azioni sensibili, conservato 13 mesi.
• File in uno storage privato, serviti con link temporanei.
• Limitazione di frequenza, verifica della firma delle notifiche ricevute.
• Nessuna registrazione audio delle chiamate; durate di conservazione regolabili e purge automatiche.
• Backup cifrati del database, cancellati a rotazione.