Accordo di trattamento dei dati (ATD)

1. Parti e oggetto

Il titolare del trattamento è lo Studio in qualità di cliente dei servizi Voxtra; l'incaricato è Voxtra GmbH (in costituzione), Zurigo. Voxtra tratta dati personali di chiamanti e di altri interessati esclusivamente su istruzione documentata dello Studio, per la durata dell'abbonamento più il periodo di transizione per il ritorno e la cancellazione.

2. Natura e finalità del trattamento

• Risposta alle chiamate telefoniche in nome dello Studio.
• Trascrizione delle registrazioni delle chiamate.
• Prenotazione, spostamento e disdetta di appuntamenti nel sistema di agenda collegato.
• Invio di notifiche via SMS ed e-mail a chiamanti e personale.
• Conservazione delle registrazioni e trascrizioni per i periodi indicati nell'informativa sulla privacy.
• Generazione di metriche anonimizzate e aggregate per lo Studio.

3. Categorie di dati e di interessati

• Categorie di dati: identificativi di contatto (numero di telefono, nome, ove applicabile indirizzo e-mail), audio delle chiamate, trascrizioni derivate, dettagli di prenotazione (prestazione, orario, annotazioni) e dati tecnici quali marcature temporali e registri di sistema.
• Categorie di interessati: i chiamanti dello Studio, i membri del personale menzionati nelle chiamate e altre persone menzionate durante una chiamata.

4. Obblighi dello Studio

Lo Studio determina le finalità e i mezzi del trattamento, impartisce istruzioni tramite la configurazione del servizio o per iscritto, informa Voxtra tempestivamente delle modifiche e garantisce gli avvisi e i consensi richiesti nei confronti dei chiamanti, in particolare l'avviso di registrazione.

5. Obblighi di Voxtra

• Trattamento esclusivamente su istruzione documentata, compresi i trasferimenti in paesi terzi; informiamo tempestivamente lo Studio di obblighi legali contrastanti, ove consentito.
• Vincolo di riservatezza per tutte le persone coinvolte.
• Attuazione delle misure tecniche e organizzative dell'allegato A.
• Ricorso a incaricati solo secondo la sezione 7.
• Assistenza allo Studio per richieste degli interessati, valutazioni d'impatto e obblighi di notifica.
• Notifica delle violazioni dei dati personali senza ingiustificato ritardo, al più tardi entro 72 ore (sezione 8).
• Restituzione o cancellazione dei dati al termine del contratto (sezione 9) e dimostrazione della conformità, inclusi audit ragionevoli (sezione 10).

6. Riservatezza

Ogni persona in Voxtra con accesso a dati personali è vincolata da un obbligo di riservatezza contrattuale o legale.

7. Incaricati

Lo Studio autorizza gli incaricati indicati nell'allegato B. Voxtra vincola contrattualmente ogni incaricato almeno nella stessa misura del presente accordo. Nuovi incaricati o sostituzioni sono annunciati con almeno 30 giorni di preavviso via e-mail o nel portale; lo Studio può opporsi entro 14 giorni per motivi di protezione dei dati. In mancanza di intesa, lo Studio può disdire l'abbonamento senza penalità.

8. Notifica delle violazioni

Voxtra notifica allo Studio ogni violazione della sicurezza dei dati personali senza ingiustificato ritardo, al più tardi 72 ore dalla conoscenza, indicando natura ed entità, conseguenze probabili, misure adottate e un punto di contatto. Voxtra documenta tutti gli incidenti e sostiene gli obblighi di notifica dello Studio.

9. Richieste degli interessati, restituzione e cancellazione

Se un interessato invia una richiesta direttamente a Voxtra, la inoltriamo senza ritardo allo Studio e rispondiamo solo su istruzione dello Studio. Al termine del contratto, Voxtra restituisce tutti i dati personali in un formato comune leggibile a macchina oppure li cancella entro 30 giorni a scelta dello Studio, salvo obblighi legali di conservazione.

10. Audit

Su richiesta ragionevole, al massimo una volta ogni dodici mesi, Voxtra fornisce attestazioni aggiornate o risponde a un quesitorio di protezione dei dati ragionevole. Audit in loco sono ammessi solo se richiesti dalla legge o da un'autorità di controllo, con 30 giorni di preavviso, in orario lavorativo, in forma riservata e senza disagi ingiustificati.

11. Trasferimenti in paesi terzi

Quando dati sono trattati fuori da Svizzera o UE, Voxtra si basa sulle decisioni di adeguatezza della Commissione europea o sulle clausole contrattuali standard con l'addendum svizzero riconosciuto dall'IFPDT, integrate da misure tecniche. La panoramica attuale è nell'allegato B.

12. Responsabilità, rango, diritto

La responsabilità è disciplinata dalle condizioni d'uso. In caso di conflitto, il presente accordo prevale in materia di protezione dei dati. Si applica il diritto svizzero; foro secondo le condizioni d'uso.

Allegato A: Misure tecniche e organizzative

• Riservatezza: controllo degli accessi basato sui ruoli secondo il principio del minimo privilegio con conti nominali; autenticazione forte e a più fattori per gli accessi privilegiati; accesso ai database solo tramite percorsi sicuri; TLS 1.2+ per tutte le connessioni esterne; cifratura degli archivi di dati; segmentazione della rete tra sito web, applicazione, telefonia e database.
• Integrità: registrazione completa delle azioni amministrative con attore, marcatura temporale e finalità (conservazione 12 mesi); revisione del codice e test automatici per ogni modifica in produzione; input validati tramite contratti API.
• Disponibilità: backup giornalieri del database con procedura di ripristino documentata e regolarmente verificata; monitoraggio continuo di tutti gli endpoint pubblici con avviso in caso di degrado.
• Ripristino: runbook documentati con obiettivi di tempo e punto di ripristino definiti; piano di risposta agli incidenti con termine di notifica di 72 ore.
• Minimizzazione dei dati: dati dei chiamanti solo nella misura necessaria alla mediazione degli appuntamenti; pseudonimizzazione ove tecnicamente possibile; cancellazione automatica alla scadenza dei tempi di conservazione.
• Nessun addestramento di modelli: i dati dei clienti non sono usati per addestrare modelli di IA propri o di terzi senza consenso esplicito.
• Revisione: queste misure sono revisionate almeno annualmente, oltre alla costante sorveglianza degli avvisi di sicurezza dei componenti in uso.

Allegato B: Incaricati

Prima del lancio di future funzionalità (in particolare l'elaborazione dei pagamenti) amplieremo tempestivamente l'elenco secondo la sezione 7.

• Hetzner Online GmbH: hosting di server; Germania (UE).
• Cloudflare Inc.: DNS, CDN, hosting del sito marketing, protezione anti-bot; USA/globale; clausole contrattuali standard più addendum IFPDT.
• Sipcall (sipcall.ch): telefonia SIP e numeri di telefono; Svizzera.
• Twilio Inc.: infrastruttura di telefonia e webhook; USA; clausole contrattuali standard più addendum IFPDT.
• Google LLC: elaborazione vocale (riconoscimento, sintesi, modello linguistico) e integrazione Google Calendar; USA; clausole contrattuali standard più addendum IFPDT.
• Scaleway SAS: invio di e-mail; Francia (UE).
• TextBee (textbee.dev, progetto open source): invio di SMS tramite un proprio dispositivo gateway con numero svizzero; servizio di inoltro globale; clausole contrattuali standard più addendum IFPDT per i trasferimenti fuori CH/UE.
• OneDoc SA: integrazione di prenotazione, se lo Studio usa OneDoc; Svizzera.
• ePhysio (Pharmed Solutions AG): integrazione di prenotazione, se lo Studio usa ePhysio; Svizzera.

Allegato C: Istruzioni

L'istruzione è: fornire i servizi Voxtra come descritto nelle condizioni d'uso e nella documentazione. La configurazione concreta (prestazioni, sedi, orari, assenze, notifiche) è effettuata dallo Studio nel portale. Le istruzioni sono modificate tramite il portale o per iscritto a hello@voxtra.ch.