Accordo sul Trattamento dei Dati

Questo Accordo sul Trattamento dei Dati ("DPA") integra il contratto di servizi tra FFID e il Cliente, disciplinando il trattamento dei dati personali ai sensi della Legge Generale sulla Protezione dei Dati (Legge 13.709/2018 — LGPD, la legge brasiliana sulla protezione dei dati).

Titolare del trattamento: Il Cliente, che determina le finalità e i mezzi del trattamento dei dati personali dei propri clienti e lead.

Responsabile del trattamento: FFID, che tratta i dati personali per conto del Titolare e secondo le sue istruzioni.

Dati Personali Trattati: Nome, telefono (WhatsApp), e-mail, dati di interazione con gli AI Agents, cronologia delle conversazioni, dati di credito (quando applicabile ad Auria Cred) e altri dati raccolti durante il percorso di assistenza.

Interessati: Clienti, lead e prospect del Cliente che interagiscono via WhatsApp o altri canali integrati nella piattaforma FFID.

Il Titolare (Cliente) è responsabile di:

Ottenere un consenso valido degli interessati per il trattamento dei dati e per l'invio di messaggi via WhatsApp;

Definire le finalità del trattamento dei dati personali;

Garantire la liceità della raccolta e della condivisione dei dati con FFID;

Dare seguito alle richieste degli interessati relative ai diritti previsti dalla LGPD;

Mantenere aggiornati e verificabili i registri del consenso (opt-in).

Il Responsabile (FFID) è responsabile di:

Trattare i dati personali esclusivamente secondo le istruzioni documentate del Titolare;

Attuare misure tecniche e organizzative adeguate a proteggere i dati;

Notificare al Titolare gli incidenti di sicurezza entro 48 ore;

Assistere il Titolare nel dare seguito alle richieste degli interessati;

Non condividere dati personali con terzi senza la previa autorizzazione del Titolare.

FFID attua le seguenti misure tecniche e organizzative per la protezione dei dati:

Crittografia: Dati in transito protetti con TLS 1.2+ e dati a riposo con crittografia AES-256;

Controllo degli accessi: Autenticazione a più fattori (MFA), principio del privilegio minimo e revisione periodica degli accessi;

Infrastruttura: Server presso provider enterprise (AWS/GCP) con certificazioni SOC 2 e ISO 27001;

Monitoraggio: Log di accesso e di audit, rilevamento delle intrusioni e avvisi in tempo reale;

Backup: Backup crittografati con politica di conservazione definita e test di ripristino periodici;

Formazione: Team formato in protezione dei dati e sicurezza delle informazioni.

FFID si avvale dei seguenti sub-responsabili per l'erogazione dei servizi:

Meta Platforms, Inc. (USA) — WhatsApp Business API per l'invio e la ricezione di messaggi;

Amazon Web Services / Google Cloud Platform — Infrastruttura di hosting ed elaborazione;

OpenAI / Anthropic — Elaborazione del linguaggio naturale per gli AI Agents;

Il Cliente è informato e accetta l'uso di questi sub-responsabili. Qualsiasi modifica all'elenco dei sub-responsabili sarà comunicata con 30 giorni di anticipo, consentendo al Cliente di opporsi con motivazione.

Tutti i sub-responsabili sono vincolati da clausole contrattuali di protezione dei dati equivalenti a quelle di questo DPA.

In ragione della natura dei servizi (WhatsApp Business API, infrastruttura cloud), alcuni dati personali possono essere trasferiti fuori dal Brasile.

Tali trasferimenti sono effettuati ai sensi dell'Art. 33 della LGPD, utilizzando:

Clausole contrattuali standard approvate dall'ANPD (l'Autorità nazionale brasiliana per la protezione dei dati);

Trasferimento verso paesi con un adeguato livello di protezione dei dati;

Consenso specifico dell'interessato, quando applicabile.

FFID tiene un registro dei trasferimenti internazionali e garantisce che i destinatari offrano un livello di protezione equivalente a quello della LGPD.

Durante il contratto: I dati sono conservati per il periodo necessario all'erogazione dei servizi e secondo le istruzioni del Titolare.

Dopo la cessazione: FFID conserverà i dati per 90 giorni ai fini dell'esportazione da parte del Cliente. Trascorso tale termine, i dati saranno eliminati in modo sicuro e irreversibile.

Eccezioni alla conservazione: I dati potranno essere conservati per periodi più lunghi quando richiesto da un obbligo legale o regolamentare (es.: registri fiscali, obblighi del Marco Civil da Internet).

Il Titolare può richiedere la cancellazione anticipata dei dati in qualsiasi momento, nel rispetto degli obblighi legali applicabili.

In caso di incidente di sicurezza che coinvolga dati personali trattati ai sensi di questo DPA, FFID si impegna a:

Notificare il Titolare entro 48 ore dalla conferma dell'incidente, indicando: natura dell'incidente, categorie di dati interessati, numero approssimativo di interessati coinvolti, misure adottate e raccomandazioni;

Cooperare pienamente con il Titolare nell'indagine, nella mitigazione e nella comunicazione dell'incidente all'ANPD e agli interessati, come richiesto dalla LGPD;

Documentare l'incidente in un registro apposito, conservando le registrazioni per almeno 5 anni.

FFID assiste il Titolare nel dare seguito alle richieste degli interessati previste dall'Art. 18 della LGPD:

Conferma dell'esistenza di un trattamento;

Accesso ai dati personali;

Correzione di dati incompleti, inesatti o non aggiornati;

Anonimizzazione, blocco o cancellazione di dati non necessari;

Portabilità dei dati;

Cancellazione dei dati trattati sulla base del consenso;

Informazioni sulla condivisione con terzi;

Revoca del consenso.

Le richieste devono essere indirizzate al Titolare, che potrà rivolgersi a FFID per supporto tecnico nella gestione.