Titolare del trattamento: l'Attività che sottoscrive l'abbonamento ad AraWeb CRM, con i dati indicati in Impostazioni → Dati di fatturazione (di seguito "Titolare" o "Attività").
Responsabile del trattamento: Simone Garbuglia – AraWeb, P.IVA IT02386250688, Via Morrone 15, 65124 Pescara (PE), simone@araweb.cloud (di seguito "Responsabile" o "AraWeb").
L'accordo si conclude con l'accettazione elettronica nel gestionale da parte del titolare dell'Attività; AraWeb conserva data, versione accettata e persona che ha accettato. Sostituisce la sottoscrizione su carta.
1.1 AraWeb fornisce all'Attività il gestionale in cloud AraWeb CRM: gestione dei clienti finali (anagrafiche, prenotazioni e appuntamenti, visite e spese, note, consensi), modulo pubblico e prenotazione online, ricezione automatica di contatti, collegamento facoltativo con l'assistente di intelligenza artificiale scelto dall'Attività, funzioni WhatsApp quando attivate, assistenza tecnica e backup. Per farlo tratta dati personali per conto dell'Attività.
1.2 Il trattamento dura quanto l'abbonamento. Alla cessazione i dati restano consultabili ed esportabili dall'Attività per 12 mesi, poi vengono cancellati; le copie di backup si eliminano entro i 14 giorni successivi (art. 7).
2.1 Interessati: clienti e potenziali clienti dell'Attività; persone che compilano il modulo pubblico o prenotano online; personale dell'Attività e consulenti o agenzie da essa autorizzati, in quanto utenti del gestionale.
2.2 Dati: anagrafici e di contatto (nome, cognome, telefono, email, data di nascita); prenotazioni, appuntamenti, visite e spese; preferenze, tag, note e informazioni aggiuntive definite dall'Attività; consensi alle comunicazioni promozionali con data e testo dell'informativa; dati relativi alla salute (allergie e intolleranze), solo con il consenso esplicito dell'interessato (art. 9 GDPR); dati tecnici del registro delle operazioni.
3.1 AraWeb tratta i dati solo per erogare il servizio e secondo le istruzioni documentate dell'Attività, anche per i trasferimenti verso paesi terzi, salvo obblighi di legge (in tal caso AraWeb informa prima l'Attività, se la legge lo consente).
3.2 Costituiscono istruzioni documentate: le presenti condizioni; l'uso del gestionale e delle sue impostazioni da parte dell'Attività e delle persone che essa autorizza (per esempio inserire o importare contatti, attivare il modulo o la prenotazione online, invitare consulenti o agenzie, accendere il collegamento con l'assistente AI, collegare WhatsApp); le richieste scritte all'assistenza.
3.3 AraWeb non usa i dati per finalità proprie, non li vende e non li comunica a terzi se non nei casi previsti da questo accordo. Se ritiene che un'istruzione violi la normativa sulla protezione dei dati, lo segnala subito all'Attività.
4.1 Le persone autorizzate da AraWeb al trattamento sono vincolate alla riservatezza.
4.2 AraWeb adotta le misure dell'art. 32 GDPR, tra cui: server nell'Unione europea (Francoforte, Germania); separazione dei dati di ogni Attività direttamente nel database, con un utente applicativo senza privilegi di amministrazione; connessioni cifrate (HTTPS/TLS); password conservate in forma non reversibile, limiti ai tentativi di accesso e sessioni a scadenza; accessi per ruolo (titolare, staff, consulenti e agenzie) revocabili con effetto immediato; registro delle operazioni rilevanti, comprese quelle eseguite tramite assistente AI; backup giornalieri del database con verifica di integrità; dati sulla salute mai trasmessi all'assistente AI; backup preventivo prima di ogni aggiornamento del software.
5.1 L'Attività autorizza AraWeb ad avvalersi dei seguenti sub-responsabili:
| Sub-responsabile | Attività svolta | Luogo del trattamento |
|---|---|---|
| Hostinger International Ltd., 61 Lordou Vironos Street, 6023 Larnaca, Cipro | Infrastruttura server su cui gira il gestionale e casella di posta da cui partono le email di servizio | Unione europea (server a Francoforte, Germania) |
| Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublino 2, Irlanda | WhatsApp Business Platform, solo se l'Attività collega il proprio account WhatsApp Business (funzione in arrivo) | UE; possibili trasferimenti negli Stati Uniti sulla base dell'EU-U.S. Data Privacy Framework o delle Clausole Contrattuali Standard |
5.2 AraWeb impone ai sub-responsabili obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile verso l'Attività del loro operato.
5.3 AraWeb comunica all'Attività, con almeno 30 giorni di anticipo, tramite il gestionale o per email, l'aggiunta o la sostituzione di un sub-responsabile. L'Attività può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può recedere dal servizio senza penali.
5.4 Non sono sub-responsabili di AraWeb i fornitori che l'Attività sceglie e con cui ha un rapporto diretto: in particolare l'assistente di intelligenza artificiale che l'Attività o i suoi collaboratori collegano al gestionale (per esempio Anthropic o OpenAI), e gli strumenti di automazione o i fogli di calcolo da cui l'Attività invia contatti. AraWeb trasmette loro i dati solo su istruzione dell'Attività (art. 3.2); condizioni d'uso, eventuale accordo sul trattamento dei dati e uso dei dati per l'addestramento restano nel rapporto tra l'Attività e quel fornitore.
6.1 Diritti degli interessati: il gestionale permette all'Attività di consultare, correggere, esportare e cancellare (rendere anonimi) i dati di ogni cliente; per le richieste che non può soddisfare da sola, AraWeb la assiste entro tempi compatibili con il termine di un mese dell'art. 12 GDPR.
6.2 Violazioni dei dati: AraWeb informa l'Attività senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di qualsiasi violazione che riguardi i suoi dati, con le informazioni disponibili per la notifica al Garante e, se necessaria, la comunicazione agli interessati (artt. 33–34 GDPR).
6.3 Valutazione d'impatto e consultazione preventiva: AraWeb fornisce all'Attività le informazioni sul servizio necessarie per la valutazione d'impatto e l'eventuale consultazione del Garante (artt. 35–36 GDPR).
7.1 Durante l'abbonamento, il gestionale applica il termine di conservazione dei dati dei clienti finali indicato nell'informativa che l'Attività fornisce tramite il modulo e la prenotazione online: 24 mesi dall'ultimo contatto, poi i dati personali vengono resi anonimi; 30 giorni prima l'Attività ne riceve avviso nel gestionale e può conservare chi è ancora suo cliente registrando un nuovo contatto. L'Attività può cancellare in qualsiasi momento i dati di un cliente.
7.2 Alla cessazione, l'Attività può esportare tutti i contatti dal gestionale, anche quando è in sola lettura. Trascorsi 12 mesi dalla fine dell'abbonamento (scadenza più 7 giorni di tolleranza), AraWeb cancella l'Attività e tutti i dati trattati per suo conto; l'Attività può chiederne la cancellazione anticipata scrivendo a simone@araweb.cloud. Le copie di backup vengono eliminate entro i 14 giorni successivi.
7.3 Restano esclusi i dati che AraWeb deve conservare per legge in qualità di titolare autonomo (per esempio i dati di fatturazione dell'Attività), descritti nella Privacy Policy.
8.1 AraWeb mette a disposizione dell'Attività le informazioni necessarie a dimostrare il rispetto di questo accordo e consente verifiche, anche tramite un incaricato vincolato alla riservatezza, con preavviso scritto di almeno 30 giorni, al massimo una volta l'anno salvo in caso di violazione dei dati, senza accesso ai dati di altre Attività e a spese dell'Attività.
9.1 L'Attività: fornisce istruzioni lecite; è responsabile della base giuridica dei trattamenti e dell'informativa ai propri clienti (il gestionale genera un'informativa per il modulo e la prenotazione online, che l'Attività verifica); raccoglie i consensi necessari, in particolare per le comunicazioni promozionali e per i dati sulla salute; autorizza al gestionale solo persone di cui si fida e toglie gli accessi quando non servono più; tiene il proprio registro dei trattamenti.
10.1 Per quanto non previsto valgono il GDPR, il D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 e le Condizioni del servizio. In caso di contrasto, prevale questo accordo per quanto riguarda la protezione dei dati.
10.2 Le modifiche a questo accordo sono comunicate con almeno 30 giorni di anticipo e richiedono una nuova accettazione nel gestionale.