Accordo sul trattamento dei dati - AIXEL CRM

1. Parti

Titolare del trattamento: il Cliente, identificato dai dati inseriti nell'acquisto. Responsabile del trattamento:

Ragione sociale

AIXEL Solutions S.r.l., società a responsabilità limitata a socio unico

Sede legale

Via Polidoro da Caravaggio 30B, 20156 Milano (MI), Italia

C.F. e P.IVA

14884460966 (partita IVA comunitaria IT14884460966)

Registro Imprese

Milano Monza Brianza Lodi, n. 14884460966 - REA MI-2813180

Capitale sociale

€ 1.000,00 interamente versato

Email

hello@aixel.solutions

PEC

aixel.solutions@pec.it

2. Oggetto, natura e finalità

Trattiamo i dati personali che voi, i vostri Utenti o il vostro Assistente AI inserite nell'Istanza al solo scopo di fornirvi AIXEL CRM: conservarli, renderli consultabili e modificabili, farne copie di backup, inviare agli Utenti le email di accesso e prestarvi assistenza. Le operazioni sono raccolta, registrazione, organizzazione, conservazione, consultazione, modifica, estrazione, cancellazione e distruzione.

3. Durata

Per tutta la durata del contratto e fino alla cancellazione dei dati prevista dalla sezione 13.

4. Categorie di interessati e di dati

• Interessati: gli Utenti; i contatti, clienti, potenziali clienti, fornitori e partner del Cliente e i loro referenti; le altre persone citate in note e allegati.
• Dati: dati identificativi e di contatto (nome, ruolo, azienda, email, telefono, indirizzo, profili social); dati commerciali (trattative, importi, attività, note, allegati, etichette); dati degli Utenti (nome, email, credenziali in forma protetta, impostazioni, registri tecnici degli accessi).

Il Servizio non è pensato per categorie particolari di dati (articolo 9 del GDPR) né per dati relativi a condanne penali e reati (articolo 10). Se decidete di inserirli, ne valutate voi la necessità e le misure adeguate.

5. Istruzioni

Trattiamo i dati solo su vostra istruzione documentata. Valgono come istruzioni le condizioni e questo accordo, le impostazioni e le operazioni che voi, i vostri Utenti e il vostro Assistente AI eseguite nell'Istanza e le richieste scritte che ci inviate. Se riteniamo che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, vi avvisiamo subito. Trattiamo i dati diversamente solo se la legge ce lo impone, informandovi prima, salvo che la legge lo vieti.

6. Riservatezza del personale

Possono accedere ai dati solo le persone di AIXEL che ne hanno bisogno per fornire il Servizio, l'assistenza o la sicurezza, vincolate alla riservatezza. Non consultiamo i contenuti dell'Istanza, salvo che serva per una vostra richiesta di assistenza, per la manutenzione o per la sicurezza.

7. Sicurezza

Adottiamo le misure tecniche e organizzative dell'articolo 32 del GDPR descritte nell'allegato «Misure di sicurezza» in fondo a questo accordo. Possiamo aggiornarle nel tempo senza ridurre il livello di protezione.

8. Subresponsabili

Ci autorizzate in via generale ad avvalerci dei subresponsabili elencati nella pagina Subresponsabili, sezione AIXEL CRM. Imponiamo a ciascuno obblighi di protezione dei dati equivalenti a quelli di questo accordo e restiamo responsabili del loro operato.

Vi avvisiamo via email almeno 30 giorni prima di aggiungere o sostituire un subresponsabile che tratta i dati dell'Istanza. Potete opporvi per motivi ragionevoli legati alla protezione dei dati; se non troviamo una soluzione, potete recedere senza costi prima che la modifica abbia effetto, con il rimborso della parte già pagata e non goduta.

Il fornitore dell'Assistente AI che collegate non è un nostro subresponsabile: lo scegliete voi e il rapporto con esso intercorre direttamente tra voi e il fornitore.

9. Trasferimenti fuori dallo Spazio economico europeo

Il database di ogni Istanza si trova nell'Unione europea (Francoforte) e l'applicazione web funziona su server in Germania. Se un subresponsabile conserva i dati o può accedervi da fuori dello Spazio economico europeo, il trasferimento si basa su una decisione di adeguatezza della Commissione europea, compreso l'EU-U.S. Data Privacy Framework per i destinatari certificati, oppure sulle clausole contrattuali tipo approvate dalla Commissione.

10. Diritti degli interessati

L'Istanza vi permette di consultare, correggere, esportare e cancellare i dati di una persona. Se un interessato si rivolge a noi, vi inoltriamo la richiesta senza ritardo e non rispondiamo nel merito senza vostra istruzione. Vi aiutiamo, nella misura ragionevole, a rispondere alle richieste che non potete gestire da soli.

11. Assistenza al titolare

Vi forniamo le informazioni ragionevolmente necessarie per la sicurezza del trattamento, la notifica delle violazioni, le valutazioni d'impatto e le consultazioni preventive (articoli da 32 a 36 del GDPR).

12. Violazioni dei dati personali

Se veniamo a conoscenza di una violazione dei dati personali della vostra Istanza ve la notifichiamo via email senza ingiustificato ritardo e comunque entro 48 ore, con le informazioni disponibili: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili, le misure adottate o proposte e un contatto. Vi mandiamo le altre informazioni appena le abbiamo. Spetta a voi, come titolare, decidere se e come notificare la violazione al Garante e agli interessati.

13. Restituzione e cancellazione

Alla fine del contratto potete chiederci, entro 30 giorni, una copia completa dei dati in un formato di uso comune; prima della cancellazione vi ricordiamo via email la data in cui avverrà. Trascorsi 30 giorni cancelliamo l'Istanza e i dati; le copie di backup sono cancellate automaticamente entro i 30 giorni successivi. Su richiesta vi confermiamo per iscritto la cancellazione. Conserviamo dati solo se la legge ce lo impone.

14. Verifiche

Vi mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e rispondiamo alle vostre richieste scritte. Potete svolgere un audit, anche tramite un revisore vincolato alla riservatezza, con un preavviso di almeno 30 giorni, in orario lavorativo e non più di una volta all'anno, salvo che lo richieda un'autorità di controllo o a seguito di una violazione dei dati. Ciascuna parte sostiene i propri costi.

15. Nessun altro uso dei dati

Non usiamo i dati dell'Istanza per finalità nostre, non li vendiamo e non li usiamo per addestrare modelli di intelligenza artificiale.

16. Legge applicabile e contatti

Questo accordo è regolato dalla legge e dal foro indicati nell'articolo 21 delle condizioni. Richieste sul trattamento dei dati: hello@aixel.solutions o aixel.solutions@pec.it.

Allegato: misure di sicurezza

• Isolamento: ogni Istanza ha un proprio database, separato da quello degli altri clienti.
• Ubicazione: database nell'Unione europea (Supabase, Francoforte); applicazione web e collegamento dell'assistente su server Hetzner in Germania (Falkenstein).
• Cifratura: tutte le connessioni usano HTTPS con HSTS; i database sono cifrati a riposo dal fornitore (AES-256).
• Accesso all'Istanza: registrazione pubblica disattivata; gli Utenti sono creati dall'amministratore del Cliente; password di almeno 12 caratteri; solo gli amministratori gestiscono Utenti e impostazioni; il numero di Utenti attivi è limitato al Piano.
• Accesso in due passaggi: ogni Utente può attivare un secondo passaggio con un codice da un'app di autenticazione; da quel momento, senza il codice, il database non restituisce né accetta dati, nel CRM e tramite l'assistente AI. Un amministratore può disattivarlo per un Utente che ha perso il telefono.
• Accesso ai dati: le regole di sicurezza del database (row-level security) consentono di leggere e modificare i record del CRM solo agli Utenti autenticati e attivi dell'Istanza. Un Utente disattivato perde subito l'accesso, anche tramite l'assistente AI. Le funzioni del server applicano le stesse regole.
• File: i file allegati alle note sono privati: si aprono solo per gli Utenti autenticati dell'Istanza, tramite collegamenti che scadono dopo un'ora.
• Assistente AI: si collega solo con un'autorizzazione concessa dall'Utente su una schermata di consenso; agisce con i permessi di quell'Utente e può solo leggere e modificare dati, non la struttura del database. Ogni richiesta dura al massimo 15 secondi e restituisce al massimo 500 righe; i registri tecnici non contengono il testo delle richieste.
• Protezione dell'applicazione: Content Security Policy e intestazioni di sicurezza su ogni risposta; nessuno strumento di tracciamento o di analisi di terzi nel CRM; le esportazioni CSV neutralizzano le celle che un foglio di calcolo eseguirebbe come formule.
• Rilasci: ogni nuova versione viene provata su un ambiente di test, anche con prove automatiche dell'accesso, prima di arrivare alle Istanze dei clienti; dopo ogni rilascio controlliamo la configurazione di sicurezza del database, e ogni rilascio si può annullare.
• Copie di sicurezza: ogni notte facciamo una copia cifrata del database e dei file di ogni Istanza, leggibile solo da AIXEL, conservata per 14 giorni; prima di ogni aggiornamento del database ne facciamo un'ulteriore copia cifrata, conservata per 7 giorni.
• Accesso amministrativo: l'infrastruttura è gestibile solo dalle persone autorizzate di AIXEL, con accesso tramite chiavi crittografiche; il pannello di gestione dei server non è esposto su internet.
• Cancellazione: alla fine del contratto i dati sono cancellati come previsto dalla sezione 13.