Accordo sul trattamento dei dati (DPA)

• Titolare del trattamento: il Cliente che sottoscrive il servizio LeadPronto (l'attività professionale — es. agenzia immobiliare, salone).
• Responsabile del trattamento: Simone Bernazzi, ditta individuale che gestisce LeadPronto, P.IVA 11443370017, sede Corso Casale 313, Torino, email privacy@leadpronto.it.

Il presente accordo integra i Termini di Servizio. In caso di conflitto sui temi di protezione dati, prevale il presente accordo.

Servizio acquistato tramite un'agenzia partner. Se il Cliente ha acquistato LeadPronto da un'agenzia che lo rivende (il «Partner»), il presente accordo si applica a catena: il Cliente è Titolare, il Partner è Responsabile e lo stipula con il Cliente nei propri termini, e LeadPronto è sub-responsabile del Partner (art. 28.4 GDPR) con obblighi non inferiori a quelli qui previsti. Il Partner gestisce il contratto e la configurazione del servizio, ma non accede ai dati dei Contatti/Lead tramite la piattaforma: ne vede solo dati aggregati (ad esempio i consumi). Per l'informativa sulla privacy e i termini e condizioni applicabili al rapporto fra il Cliente e l'agenzia, fanno fede i documenti dell'agenzia partner, a cui il Cliente deve fare riferimento. Un'agenzia che usa il servizio per la propria attività, anche dando accesso ai propri collaboratori, è invece Titolare e sottoscrive il presente accordo direttamente.

Il Responsabile tratta i dati personali per conto del Titolare al solo fine di erogare i servizi LeadPronto (assistente vocale IA, gestione lead, messaggistica, calendario). Il trattamento dura quanto il contratto di servizio ed è disciplinato dalle istruzioni del Titolare.

Ricezione e gestione di contatti in ingresso, conversazioni vocali e testuali gestite dall'IA, organizzazione dei lead, prenotazione di appuntamenti, invio di comunicazioni sui canali abilitati.

• Interessati: persone che contattano il Titolare (clienti, potenziali clienti, lead).
• Categorie di dati: dati anagrafici e di contatto (nome, numero di telefono, email), contenuto delle conversazioni (audio, trascrizioni, messaggi), criteri di ricerca e preferenze espresse, appuntamenti, metadati della comunicazione (data, ora, durata, esito).
• Il servizio non è progettato per il trattamento di categorie particolari di dati (art. 9 GDPR). Il Titolare si impegna a non configurare l'assistente per raccoglierne e a non trattare tramite la piattaforma dati sanitari o altre categorie particolari senza tutele aggiuntive concordate per iscritto.

Il Responsabile si impegna a:

1. trattare i dati solo su istruzione documentata del Titolare (il presente accordo, la configurazione della piattaforma e le richieste successive costituiscono tali istruzioni). È istruzione del Titolare anche il collegamento di sistemi esterni (API, webhook verso il suo CRM o altri servizi): i dati inviati a quei sistemi sono da quel momento sotto la responsabilità del Titolare;
2. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
3. adottare le misure di sicurezza adeguate ai sensi dell'art. 32 (Sezione 8);
4. rispettare le condizioni per il ricorso a sub-responsabili (Sezione 6);
5. assistere il Titolare nel dar seguito alle richieste degli interessati (artt. 15–22) tramite apposite funzionalità e supporto;
6. assistere il Titolare nel garantire il rispetto degli obblighi di sicurezza, notifica dei data breach e valutazioni d'impatto (artt. 32–36);
7. su scelta del Titolare, cancellare o restituire i dati al termine del servizio (Sezione 9);
8. mettere a disposizione le informazioni necessarie a dimostrare la conformità e consentire audit ragionevoli (Sezione 10);
9. informare senza ingiustificato ritardo il Titolare in caso di violazione dei dati di cui venga a conoscenza, con le informazioni utili agli adempimenti dell'art. 33.

Il Titolare autorizza il ricorso ai sub-responsabili elencati nell'Allegato A. Il Responsabile può aggiungere o sostituire sub-responsabili dandone preavviso al Titolare, che può opporsi per motivi legittimi entro 15 giorni. Il Responsabile impone ai sub-responsabili obblighi di protezione dati equivalenti a quelli del presente accordo e resta responsabile del loro operato.

Alcuni sub-responsabili trattano dati fuori dall'Unione Europea (in particolare Meta, Google, Resend, Cloudflare e i servizi push dei browser). Tali trasferimenti avvengono sulla base delle Clausole Contrattuali Standard (art. 46 GDPR) e di misure supplementari. Il backbone dati (database, storage, hosting applicativo) è invece ubicato nell'Unione Europea (Germania).

Chiamate e messaggistica IA (Telnyx). Dal 16 settembre 2026 sono gestite da Telnyx: l'audio in tempo reale è ancorato a Francoforte (Germania) e registrazioni e dati archiviati sono conservati in Germania. L'elaborazione in tempo reale è orientata verso l'UE ma il fornitore non la garantisce (in caso di guasto o di carenza di capacità può spostarsi in un'altra regione), e per le componenti di intelligenza artificiale (riconoscimento vocale, modello linguistico, sintesi vocale), attraverso cui passa il contenuto della conversazione, non offre un vincolo di regione. Il Responsabile considera quindi possibile un trattamento fuori dall'UE, coperto dalle Clausole Contrattuali Standard del suo accordo sul trattamento dei dati. Al termine della chiamata la registrazione è copiata nell'infrastruttura UE del Responsabile.

• Isolamento multi-tenant tramite Row Level Security del database: ogni Titolare accede solo ai propri dati.
• Cifratura in transito (TLS) e a riposo per i dati gestiti dal database e dallo storage; credenziali dei canali conservate cifrate.
• Controllo degli accessi basato sui ruoli; segreti applicativi accessibili solo lato server.
• Backup e continuità operativa forniti dall'infrastruttura in UE.
• Registrazione degli accessi e monitoraggio degli eventi di sicurezza.
• Principio di minimizzazione: conservazione dei soli dati necessari (nome, contatto, motivo, esito) e cancellazione secondo i tempi concordati.

Alla cessazione del servizio, su scelta del Titolare, il Responsabile cancella o restituisce tutti i dati personali e ne elimina le copie esistenti, salvo obblighi di conservazione previsti dalla legge.

Il Responsabile mette a disposizione, su richiesta ragionevole e con adeguato preavviso, la documentazione utile a dimostrare la conformità. Gli audit non devono compromettere la sicurezza o la riservatezza degli altri Clienti dell'infrastruttura multi-tenant.

Il Titolare garantisce di avere una base giuridica valida per il trattamento dei Contatti/Lead, di aver fornito loro l'informativa dovuta (anche tramite l'avviso di inizio chiamata reso disponibile dal Responsabile) e di impartire istruzioni conformi al GDPR.