Data Processing Agreement

Accordo ex Art. 28 GDPR tra il Cliente (Titolare del trattamento) e Littlerooms (Responsabile). Disciplina il trattamento dei dati degli utenti finali del chatbot WhatsApp/Telegram per conto del Cliente.

1. Ruoli

Nel contesto dell'utilizzo della piattaforma Littlerooms per chatbot e customer service AI:

• Cliente = Titolare del trattamento (Art. 4.7 GDPR) — decide finalità e mezzi
• Littlerooms = Responsabile del trattamento (Art. 4.8 GDPR) — tratta per conto del Cliente
• Utenti finali = gli interessati che chattano con il bot del Cliente

2. Oggetto del trattamento

3. Durata

Il DPA è in vigore per tutta la durata del contratto principale (Termini di Servizio). I dati degli utenti finali sono trattati per il tempo necessario alle finalità definite dal Cliente o fino a richiesta di cancellazione.

4. Obblighi del Responsabile (Littlerooms)

• Trattare i dati solo su istruzione documentata del Titolare
• Garantire la riservatezza del personale autorizzato
• Adottare misure di sicurezza tecniche e organizzative adeguate (Art. 32 GDPR)
• Assistere il Titolare nelle richieste degli interessati (Artt. 12-23 GDPR)
• Notificare data breach senza ingiustificato ritardo (entro 72h)
• Cooperare con l'Autorità di controllo
• Cancellare o restituire i dati al termine del contratto, su scelta del Titolare

5. Sub-responsabili

Il Titolare autorizza il ricorso ai seguenti sub-responsabili (lista completa: Sub-fornitori):

• Hosting: provider VPS in Unione Europea
• Pagamenti: Stripe (US/IE), PayPal (LU/US), Satispay (IT)
• Email transazionale: provider terzo
• Monitoring opzionale: Sentry (configurabile dal Cliente)
• Backup opzionale: provider S3-compatible

Le modifiche all'elenco sono comunicate con preavviso di 30 giorni. Il Titolare può obiettare per giustificato motivo.

6. Misure di sicurezza (Art. 32 GDPR)

Tecniche

• Cifratura at-rest AES-256-GCM su token bot e chiavi pagamento
• Cifratura in-transit TLS 1.3 obbligatorio
• Hash password Argon2id, 2FA TOTP opzionale
• Isolamento multi-tenant con tenantId + middleware ownership
• Audit log immutabile su azioni sensibili
• Backup giornalieri, opzionale off-site cifrato

Organizzative

• Personale formato su GDPR + sicurezza informatica
• Accordi di riservatezza con tutti gli operatori autorizzati
• Politiche di accesso minimo privilegio
• Procedure di incident response documentate
• Pen-test annuali

7. Diritti degli interessati

Littlerooms assiste il Titolare nel rispondere alle richieste degli interessati fornendo strumenti tecnici per:

• Accesso e portabilità: export JSON dalla dashboard
• Cancellazione: endpoint dedicato (right-to-be-forgotten) con cascade
• Rettifica: editing diretto dei record
• Opposizione e limitazione: flag opt-out e block toggle

8. Data breach

Littlerooms notifica al Titolare ogni violazione di dati personali entro 72 ore dalla scoperta, fornendo:

• Natura della violazione
• Categorie e numero approssimativo di interessati e record coinvolti
• Contatti DPO o referente
• Conseguenze probabili e misure adottate

9. Trasferimenti extra-UE

I sub-responsabili extra-UE operano in conformità alle Standard Contractual Clauses (SCC) approvate dalla Commissione UE (Decisione 2021/914). Stripe US e PayPal US sono soggetti a SCC + Data Privacy Framework.

10. Audit

Il Titolare può richiedere informazioni necessarie per dimostrare la conformità del trattamento. Su richiesta giustificata e con preavviso ragionevole (almeno 30 giorni), il Titolare può effettuare audit, anche tramite terze parti indipendenti, sostenendone i costi.

11. Cessazione

Al termine del contratto principale, il Titolare può scegliere tra:

• Export completo dei dati in formato strutturato (JSON)
• Cancellazione di tutti i dati e copie (salvo obblighi di legge)

In assenza di scelta entro 90 giorni, i dati vengono cancellati automaticamente.

12. Contatti

• Email privacy: privacy@littlerooms.it
• Email DPO: dpo@littlerooms.it

Documento redatto in ottemperanza al Regolamento UE 2016/679 (GDPR) Art. 28 e Direttiva 2002/58/CE (ePrivacy).