Data Processing Agreement (DPA) di Zephiris

Accordo sul trattamento dei dati personali ai sensi dell'articolo 28 del Regolamento (UE) 2016/679

Ultimo aggiornamento: 20 agosto 2026

Il presente Data Processing Agreement ("DPA") costituisce parte integrante delle Condizioni Generali relative all'utilizzo del servizio Zephiris ed è concluso tra il Cliente, in qualità di Titolare del trattamento ("Titolare"), e Inspire Comunicaton, Brand: Zephiris, P. IVA: 12370731007, Sede: Via Angelo De Gubernatis 9 - 00124 Roma, E-mail: info@zephiris.it, in qualità di Responsabile del trattamento ("Responsabile"). Titolare e Responsabile sono congiuntamente definiti "Parti".

1. Oggetto del DPA

Il presente DPA disciplina il trattamento di dati personali effettuato da Zephiris per conto del Cliente nell'ambito dell'erogazione del Servizio. Il Cliente nomina Inspire Comunicaton quale Responsabile del trattamento ai sensi dell'art. 28 GDPR limitatamente ai trattamenti effettuati per suo conto.

Il DPA non disciplina i trattamenti per i quali Zephiris determina autonomamente finalità e mezzi e agisce quindi come Titolare autonomo, disciplinati dalla Privacy Policy di Zephiris.

2. Durata

Il presente DPA ha efficacia per tutta la durata del rapporto contrattuale tra il Cliente e Zephiris e, successivamente, per il tempo necessario alla restituzione o cancellazione dei dati secondo quanto previsto dal presente accordo e dalla normativa applicabile.

3. Natura e finalità del trattamento

Zephiris tratta i dati personali esclusivamente per fornire al Cliente le funzionalità previste dal Servizio e dalle sue istruzioni.

Le operazioni possono comprendere raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, utilizzo, elaborazione, analisi, classificazione, trascrizione, generazione di riepiloghi, trasmissione, messa a disposizione del Cliente e cancellazione.

Le finalità possono comprendere gestione delle conversazioni con gli interlocutori, risposta a messaggi, gestione di chiamate, raccolta delle informazioni necessarie alla richiesta, qualificazione di contatti e opportunità, gestione degli appuntamenti, individuazione di urgenze, passaggio della conversazione a un operatore umano, creazione di riepiloghi e classificazioni, gestione dello storico dei contatti ed esecuzione delle altre funzionalità configurate dal Cliente.

4. Categorie di interessati

I dati possono riferirsi, a seconda dell'utilizzo effettuato dal Cliente, a clienti, potenziali clienti, utenti, contatti, fornitori, collaboratori, dipendenti, professionisti, referenti e altre persone che comunicano con il Cliente attraverso i canali collegati a Zephiris.

5. Categorie di dati personali

Il trattamento può riguardare, a seconda della configurazione, nome e cognome, numero di telefono, indirizzo e-mail, azienda o organizzazione, ruolo, contenuto delle conversazioni, richieste effettuate, informazioni commerciali, appuntamenti, disponibilità, storico delle interazioni, informazioni necessarie a qualificare la richiesta, metadati delle comunicazioni, trascrizioni, eventuale audio quando la relativa funzionalità sia attiva, file e documenti trasmessi e ulteriori dati forniti spontaneamente dall'interessato.

6. Categorie particolari di dati

In relazione alla natura dell'attività del Cliente, gli interlocutori potrebbero comunicare categorie particolari di dati ai sensi dell'art. 9 GDPR, inclusi, ad esempio, dati relativi alla salute. Ciò può verificarsi soprattutto quando Zephiris viene utilizzato da strutture sanitarie, studi professionali o attività che ricevono richieste contenenti informazioni sensibili.

Il Cliente è responsabile di verificare la liceità di tali trattamenti e di configurare il Servizio secondo principi di necessità e minimizzazione. Zephiris tratta tali dati esclusivamente in conformità alle istruzioni documentate del Cliente.

7. Istruzioni del Titolare

Zephiris tratta i dati esclusivamente secondo le istruzioni documentate del Cliente, per le finalità necessarie all'erogazione del Servizio e nel rispetto del presente DPA e della normativa applicabile.

La configurazione effettuata dal Cliente nella piattaforma e l'utilizzo delle funzionalità costituiscono istruzioni documentate nella misura in cui determinano le modalità con cui Zephiris deve trattare i dati. Qualora Zephiris ritenga che un'istruzione violi la normativa applicabile in materia di protezione dei dati, informerà il Cliente senza ingiustificato ritardo, salvo divieti di legge.

8. Riservatezza

Zephiris garantisce che le persone autorizzate a trattare dati personali accedano esclusivamente alle informazioni necessarie, siano soggette a obblighi di riservatezza e ricevano istruzioni adeguate relativamente al trattamento dei dati.

9. Sicurezza

Zephiris adotta misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR. Tali misure possono comprendere, in funzione dell'infrastruttura utilizzata, controllo degli accessi, autenticazione degli utenti, separazione logica dei dati dei diversi clienti, gestione dei ruoli e delle autorizzazioni, cifratura delle comunicazioni tramite protocolli sicuri, sistemi di backup ove applicabili, logging delle operazioni rilevanti, gestione degli aggiornamenti e delle vulnerabilità, procedure per la gestione degli incidenti, limitazione dell'accesso ai dati, principi di minimizzazione e cancellazione o anonimizzazione quando applicabile.

Le misure possono evolvere nel tempo in funzione dello stato della tecnica e del livello di rischio.

10. Sub-responsabili

Il Cliente autorizza in via generale Zephiris a ricorrere a sub-responsabili quando necessari all'erogazione del Servizio. I sub-responsabili possono comprendere fornitori di hosting e infrastruttura, servizi cloud, telecomunicazioni, messaggistica, intelligenza artificiale, elaborazione o trascrizione vocale, sintesi vocale, e-mail, monitoraggio tecnico, sicurezza e altre infrastrutture necessarie al Servizio.

Zephiris impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente DPA, per quanto applicabili ai servizi da essi forniti. Zephiris rimane responsabile nei confronti del Cliente dell'adempimento degli obblighi del sub-responsabile nella misura prevista dall'art. 28 GDPR.

Elenco dei sub-responsabili

L'elenco aggiornato dei sub-responsabili effettivamente utilizzati da Zephiris sarà pubblicato o reso disponibile attraverso la documentazione del Servizio.

Prima dell'entrata in produzione con clienti reali, Zephiris dovrà completare tale elenco indicando almeno: nome del fornitore, servizio fornito, sede o Paese di trattamento ed eventuale meccanismo di trasferimento internazionale.

Il Cliente può richiedere informazioni aggiornate scrivendo a info@zephiris.it.

11. Modifica dei sub-responsabili

In caso di aggiunta o sostituzione sostanziale di un sub-responsabile che tratta dati personali per conto del Cliente, Zephiris renderà disponibile l'informazione al Cliente attraverso modalità ragionevoli. Il Cliente potrà presentare un'obiezione motivata basata su ragioni concrete relative alla protezione dei dati personali. Le Parti collaboreranno in buona fede per individuare una soluzione ragionevole.

12. Sistemi di intelligenza artificiale

Zephiris può utilizzare provider esterni di intelligenza artificiale nell'esecuzione del Servizio. I dati trattati per conto del Cliente non sono utilizzati da Zephiris per addestrare modelli AI per proprie finalità autonome.

Zephiris utilizzerà, per quanto disponibile nell'ambito dei servizi contrattualmente selezionati, configurazioni e condizioni che impediscano al provider di utilizzare i dati del Cliente per l'addestramento generale dei propri modelli o per finalità incompatibili con l'erogazione del Servizio.

13. Trasferimenti internazionali

Qualora un trattamento comporti il trasferimento di dati fuori dallo Spazio Economico Europeo, Zephiris garantisce che tale trasferimento avvenga nel rispetto degli articoli 44 e seguenti del GDPR. A seconda del fornitore e del Paese possono essere utilizzati decisioni di adeguatezza, Data Privacy Framework quando applicabile, Standard Contractual Clauses e ulteriori garanzie previste dalla normativa.

14. Diritti degli interessati

Tenuto conto della natura del trattamento, Zephiris assiste il Cliente, per quanto ragionevolmente possibile, nel rispondere alle richieste degli interessati relative ai diritti previsti dagli articoli 15-22 GDPR. Se Zephiris riceve direttamente una richiesta riguardante dati trattati per conto di un Cliente, provvederà, ove possibile, a informare il Cliente e a non rispondere autonomamente nel merito, salvo istruzioni del Cliente o obblighi di legge.

15. Assistenza al Titolare

Tenuto conto della natura del trattamento e delle informazioni disponibili, Zephiris presta ragionevole assistenza al Cliente nell'adempimento degli obblighi relativi a sicurezza, gestione delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazioni preventive con l'autorità di controllo, ove applicabili.

16. Violazioni dei dati personali

Qualora Zephiris venga a conoscenza di una violazione dei dati personali relativa a dati trattati per conto del Cliente, informerà il Cliente senza ingiustificato ritardo. La comunicazione conterrà, nella misura in cui le informazioni siano disponibili, natura dell'incidente, categorie di dati e di interessati coinvolti, possibili conseguenze, misure adottate o previste e informazioni utili affinché il Cliente possa adempiere ai propri obblighi. Qualora tutte le informazioni non siano immediatamente disponibili, potranno essere fornite progressivamente.

Spetta al Cliente, in qualità di Titolare, valutare gli eventuali obblighi di notifica all'autorità di controllo e agli interessati.

17. Cancellazione e restituzione

Alla cessazione del rapporto contrattuale, Zephiris, secondo quanto previsto dal Servizio e salvo obblighi legali di conservazione, provvede a cancellare i dati trattati per conto del Cliente oppure a renderli disponibili per esportazione o restituzione, quando previsto dalle funzionalità o dagli accordi tra le Parti.

Eventuali copie residue presenti nei sistemi di backup vengono eliminate secondo i normali cicli tecnici di conservazione e non sono riutilizzate per finalità ulteriori.

18. Informazioni e verifiche

Zephiris mette a disposizione del Cliente le informazioni ragionevolmente necessarie a dimostrare il rispetto degli obblighi previsti dall'art. 28 GDPR. In presenza di motivate esigenze di conformità, il Cliente può richiedere informazioni aggiuntive.

Eventuali audit devono essere concordati preventivamente, non compromettere la sicurezza o riservatezza di altri clienti, svolgersi con modalità proporzionate e non interferire irragionevolmente con l'attività di Zephiris. Qualora un audit richieda attività straordinarie significative, le Parti potranno concordarne preventivamente modalità e costi.

19. Registro dei trattamenti

Zephiris mantiene, quando richiesto dalla normativa, il registro delle categorie di attività di trattamento svolte per conto dei propri clienti ai sensi dell'art. 30 GDPR.

20. Responsabilità del Titolare

Il Cliente, quale Titolare del trattamento, è responsabile della liceità della raccolta dei dati, dell'individuazione delle basi giuridiche, delle informative agli interessati, degli eventuali consensi, delle istruzioni impartite a Zephiris, della configurazione del Servizio, della minimizzazione dei dati, della determinazione dei tempi di conservazione e del rispetto della normativa applicabile al proprio settore.

21. Prevalenza

In caso di contrasto tra il presente DPA e le Condizioni Generali relativamente al trattamento di dati personali per conto del Cliente, prevale il presente DPA.

22. Legge applicabile

Il presente DPA è regolato dalla legge italiana e dal Regolamento (UE) 2016/679.

23. Foro competente

Per ogni controversia relativa al presente DPA è competente in via esclusiva il Foro di Roma, salvo diversa disposizione inderogabile di legge.

Allegato A – Riepilogo del trattamento

Oggetto: erogazione del servizio Zephiris.

Durata: durata del rapporto contrattuale e successivo periodo tecnico necessario alla restituzione/cancellazione.

Finalità: gestione delle comunicazioni e delle funzionalità configurate dal Cliente.

Interessati: clienti, prospect, contatti, utenti, dipendenti, collaboratori, fornitori e altri interlocutori del Cliente.

Dati: identificativi, contatto, conversazioni, richieste, metadati, appuntamenti, trascrizioni, eventuali audio e dati forniti dall'interlocutore.

Categorie particolari: possibili quando richieste o comunicate nell'ambito dell'attività del Cliente.

Frequenza: continuativa per la durata dell'utilizzo del Servizio.

Allegato B – Misure tecniche e organizzative

Zephiris mantiene un programma di sicurezza proporzionato alla natura del Servizio e al rischio del trattamento, comprendente almeno, ove applicabile:

1. controllo degli accessi e delle autorizzazioni;
2. autenticazione;
3. segregazione logica dei tenant;
4. connessioni cifrate;
5. backup e recovery;
6. logging;
7. aggiornamenti di sicurezza;
8. gestione delle vulnerabilità;
9. gestione degli incidenti;
10. procedure di cancellazione;
11. obblighi di riservatezza;
12. minimizzazione degli accessi;
13. gestione dei sub-responsabili.

Le misure possono essere aggiornate per mantenere o migliorare il livello di sicurezza senza ridurre materialmente le garanzie offerte al Cliente.