Accordo sul trattamento dei dati (DPA)

Titolare del trattamento ("Titolare" o "Cliente") è la struttura o attività che sottoscrive il servizio, come identificata nell'account e nei dati di fatturazione. Responsabile del trattamento ("Responsabile") è DENTOKU DEV, Via Bullona 8, 20154 Milano, IT, P.IVA 13625480960, info@kallmy.com.

1. Il Titolare usa il servizio kallmy ("Servizio") per far rispondere alle telefonate della propria struttura un assistente basato su intelligenza artificiale. Con questo accordo affida al Responsabile i trattamenti di dati personali necessari a erogare il Servizio.
2. I termini usati hanno il significato del Regolamento (UE) 2016/679 ("GDPR"): dati personali, trattamento, interessato, violazione dei dati personali, sub-responsabile.
3. Questo accordo prevale sui Termini di Servizio per tutto ciò che riguarda la protezione dei dati dei chiamanti.

Il Responsabile tratta i dati solo per rispondere alle telefonate del Titolare, gestire le richieste e inviargliele, per tutta la durata dell'abbonamento.

Il Responsabile tratta i dati solo su istruzione del Titolare e li protegge con le misure dell'Allegato A.

1. Istruzioni. Le istruzioni del Titolare sono questo accordo e le configurazioni che imposta nel Servizio (informazioni, regole di trasferimento, campi delle richieste, destinatari delle notifiche, numeri da bloccare). Se un'istruzione appare contraria alla legge, il Responsabile lo segnala subito al Titolare.
2. Nessun altro uso. Il Responsabile non usa i dati dei chiamanti per finalità proprie, non li vende e non li usa per addestrare modelli di intelligenza artificiale.
3. Riservatezza. Accede ai dati solo chi ne ha bisogno per erogare il Servizio o dare assistenza al Titolare, ed è vincolato alla riservatezza.
4. Sicurezza. Il Responsabile adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), descritte nell'Allegato A, e le aggiorna nel tempo senza ridurne il livello.
5. Registro. Il Responsabile tiene il registro dei trattamenti svolti per conto dei titolari (art. 30.2 GDPR).

Il Titolare autorizza in via generale i sub-responsabili elencati nell'Allegato B; ogni cambio gli viene comunicato con 15 giorni di preavviso.

1. Il Responsabile impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati non inferiori a quelli di questo accordo, e risponde verso il Titolare del loro operato.
2. Prima di aggiungere o sostituire un sub-responsabile, il Responsabile lo comunica per email all'indirizzo del Titolare almeno 15 giorni prima.
3. Entro quel termine il Titolare può opporsi per motivi legati alla protezione dei dati. Se le parti non trovano una soluzione, il Titolare può disdire l'abbonamento senza penali, con rimborso della parte di canone già pagata e non goduta.
4. L'elenco aggiornato di tutti i fornitori è anche nell'Informativa sulla Privacy, sezione 7.

Alcuni sub-responsabili trattano i dati negli Stati Uniti e a Singapore (Allegato B); ogni trasferimento avviene con le garanzie del Capo V del GDPR.

1. Per i fornitori statunitensi certificati si applica la decisione di adeguatezza sull'EU-US Data Privacy Framework; per gli altri, le Clausole Contrattuali Standard della Commissione europea (decisione 2021/914), con le misure supplementari necessarie.
2. Per DIDlogic (Singapore), che non beneficia di una decisione di adeguatezza, si applicano le Clausole Contrattuali Standard.
3. Su richiesta il Responsabile fornisce al Titolare copia delle garanzie adottate per ciascun trasferimento.

Il Responsabile aiuta il Titolare a rispondere agli interessati e lo avvisa di una violazione dei dati entro 48 ore da quando ne viene a conoscenza.

1. Richieste degli interessati. Se un chiamante chiede al Responsabile di accedere, correggere o cancellare i propri dati, il Responsabile inoltra la richiesta al Titolare entro 5 giorni lavorativi e non risponde direttamente, salvo istruzione del Titolare. Il Responsabile aiuta il Titolare a evaderla, per esempio cancellando registrazioni e trascrizioni di una chiamata.
2. Violazioni dei dati. In caso di violazione dei dati personali, il Responsabile avvisa il Titolare senza ingiustificato ritardo e comunque entro 48 ore, indicando quanto noto su natura della violazione, dati e interessati coinvolti, conseguenze probabili e misure adottate. Le informazioni mancanti seguono appena disponibili.
3. Valutazioni d'impatto e consultazioni. Il Responsabile fornisce al Titolare le informazioni di cui dispone per eventuali valutazioni d'impatto (art. 35 GDPR) e consultazioni del Garante (art. 36 GDPR).

Il Titolare resta responsabile di informare i chiamanti e di dare istruzioni lecite.

1. Avviso ai chiamanti. Il Titolare mantiene attivo, all'inizio di ogni chiamata, l'avviso che il chiamante parla con un assistente basato su intelligenza artificiale e che la chiamata può essere registrata, come richiesto dall'art. 50 del Regolamento (UE) 2024/1689 (AI Act) e dalla Legge 132/2025. Il Servizio lo prevede già nel messaggio di benvenuto.
2. Informativa. Il Titolare fornisce ai propri ospiti e clienti l'informativa sul trattamento dei dati raccolti al telefono, indicando il Responsabile e l'uso dell'intelligenza artificiale.
3. Base giuridica. Il Titolare garantisce di avere una base giuridica valida per i trattamenti affidati e, dove serve, raccoglie il consenso.
4. Configurazioni. Il Titolare non configura il Servizio per raccogliere categorie particolari di dati, dati di carte di pagamento o dati non necessari alla gestione delle richieste.

Registrazioni e trascrizioni vengono cancellate in automatico dopo 12 mesi; alla fine del rapporto tutti i dati dei chiamanti vengono cancellati entro 30 giorni.

1. Durante il rapporto. Registrazioni audio e trascrizioni sono conservate al massimo 12 mesi dalla chiamata, poi cancellate in automatico sia nei sistemi del Responsabile sia presso il fornitore della piattaforma vocale. Restano i dati essenziali della chiamata (data, durata, esito) per la fatturazione a consumo.
2. Su richiesta. Il Titolare può chiedere in qualsiasi momento la cancellazione anticipata di singole chiamate o di tutti i dati.
3. A fine rapporto. Entro 30 giorni dalla cessazione dell'abbonamento il Responsabile cancella i dati dei chiamanti, salvo che il Titolare ne chieda prima la restituzione in un formato di uso comune. Se il Titolare elimina l'account dalla dashboard, i dati nei sistemi del Responsabile si cancellano subito; registrazioni e trascrizioni conservate dal sub-responsabile per la voce (Retell AI) e gli avvisi WhatsApp conservati da Twilio entro 30 giorni.
4. Obblighi di legge. Restano esclusi i dati che il Responsabile deve conservare per legge, come i documenti di fatturazione (di norma 10 anni).

Il Responsabile mette a disposizione del Titolare le informazioni per dimostrare il rispetto di questo accordo.

1. Su richiesta scritta, il Responsabile risponde entro 30 giorni a questionari sulla sicurezza e fornisce la documentazione disponibile, comprese le certificazioni dei sub-responsabili.
2. Se queste informazioni non bastano, il Titolare può svolgere una verifica, anche tramite un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, in orario lavorativo e non più di una volta l'anno, salvo dopo una violazione dei dati. I costi della verifica sono a carico del Titolare.

L'accordo vale finché dura l'abbonamento e finché il Responsabile conserva dati del Titolare.

1. Durata. L'accordo entra in vigore con l'accettazione dei Termini di Servizio, o con la firma se precedente, e cessa quando i dati sono stati cancellati o restituiti secondo l'art. 8.
2. Responsabilità. Ciascuna parte risponde secondo l'art. 82 GDPR. Per il resto si applicano i limiti di responsabilità dei Termini di Servizio, salvo quanto non derogabile per legge.
3. Modifiche. Le modifiche richieste da nuove norme o da provvedimenti del Garante si applicano dalla loro entrata in vigore; le altre sono comunicate ai Clienti con almeno 30 giorni di preavviso, come per i Termini di Servizio.
4. Legge e foro. L'accordo è regolato dalla legge italiana. Per le controversie con Clienti business è competente il Foro di Milano.

Misure in vigore alla data di ultimo aggiornamento.

Sette fornitori trattano dati dei chiamanti. Gli altri fornitori del Responsabile (pagamenti, statistiche del sito, email di accesso, posta) non ricevono dati dei chiamanti e sono elencati nell'Informativa sulla Privacy.