Accordo per il trattamento dei dati personali

ai sensi dell’art. 28 del Regolamento (UE) 2016/679 – Allegato alle Condizioni Generali del servizio Smartypilot

Il presente accordo (l’“Accordo”) è concluso tra il cliente che accetta le Condizioni Generali del servizio Smartypilot (il “Titolare” o il “Cliente”) e Arkomedia S.r.l., con sede legale in Viale dell’Arte 19, 00144 Roma, codice fiscale e partita IVA 13236941004, titolare del servizio Smartypilot (il “Responsabile” o “Arkomedia”), di seguito congiuntamente le “Parti”.

L’Accordo è parte integrante delle Condizioni Generali e si intende concluso, in forma elettronica ai sensi dell’art. 28, par. 9, GDPR, con l’accettazione delle Condizioni Generali al momento della registrazione o, per i clienti già registrati, al primo accesso successivo alla sua pubblicazione. Su richiesta Arkomedia fornisce copia dell’Accordo sottoscritta.

Premesse

1. il Cliente utilizza il servizio Smartypilot, comprendente la ricerca intelligente per siti e-commerce, l’assistente virtuale basato su intelligenza artificiale, il Product Q&A e i servizi collegati (il “Servizio”), in forza delle Condizioni Generali (il “Contratto”);
2. nell’erogazione del Servizio Arkomedia tratta, per conto del Cliente, dati personali dei visitatori e dei clienti del sito del Cliente, del quale il Cliente determina finalità e mezzi del trattamento;
3. con l’Accordo le Parti disciplinano tale trattamento in conformità all’art. 28 del Regolamento (UE) 2016/679.

Art. 1 – Premesse, allegati e definizioni

1.1Le premesse e gli allegati costituiscono parte integrante e sostanziale dell’Accordo. L’Accordo forma parte integrante del Contratto e, in materia di protezione dei dati personali, prevale su di esso in caso di contrasto.

1.2I termini “dato personale”, “trattamento”, “titolare del trattamento”, “responsabile del trattamento”, “interessato”, “violazione dei dati personali” e “autorità di controllo” hanno il significato loro attribuito dal Regolamento (UE) 2016/679 (“GDPR”). Per “Normativa Applicabile” si intendono il GDPR, il D.Lgs. 30 giugno 2003, n. 196 come modificato dal D.Lgs. 10 agosto 2018, n. 101, e i provvedimenti del Garante per la protezione dei dati personali. Per “Sub-responsabile” si intende il soggetto al quale Arkomedia affida in tutto o in parte il trattamento ai sensi dell’art. 28, parr. 2 e 4, GDPR. Per “AI Act” si intende il Regolamento (UE) 2024/1689.

Art. 2 – Oggetto e ruoli

2.1Il Cliente, in qualità di titolare del trattamento, designa Arkomedia quale responsabile del trattamento dei dati personali trattati nell’ambito del Servizio, nei limiti descritti nell’Allegato 1. Arkomedia accetta la designazione.

2.2Restano esclusi dall’Accordo i trattamenti che Arkomedia effettua in qualità di titolare autonomo, in particolare la gestione dell’account, della fatturazione e dei rapporti commerciali con il Cliente, disciplinati dalla Privacy Policy di Smartypilot.

Art. 3 – Istruzioni del Titolare

3.1Arkomedia tratta i dati personali soltanto su istruzione documentata del Cliente. Costituiscono istruzioni documentate il Contratto, il presente Accordo e le impostazioni configurate dal Cliente nel pannello di amministrazione del Servizio, quali l’attivazione dei canali e degli strumenti dell’assistente virtuale e la cancellazione delle conversazioni.

3.2Arkomedia informa senza ritardo il Cliente qualora, a suo parere, un’istruzione violi la Normativa Applicabile.

3.3Arkomedia non utilizza i dati personali trattati per conto del Cliente per finalità proprie, non li cede a terzi e non li utilizza, né consente ai Sub-responsabili di utilizzarli, per l’addestramento di modelli di intelligenza artificiale.

Art. 4 – Obblighi del Responsabile

4.1Arkomedia si impegna a:

1. riservatezza: consentire l’accesso ai dati al solo personale autorizzato che ne abbia necessità per l’erogazione del Servizio o per l’assistenza, vincolato da obblighi di riservatezza;
2. sicurezza: adottare le misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR descritte nell’Allegato 3, che Arkomedia può aggiornare purché il livello complessivo di protezione non diminuisca;
3. diritti degli interessati: assistere il Cliente, tenuto conto della natura del trattamento, nel dare seguito alle richieste di esercizio dei diritti degli interessati. Le richieste ricevute direttamente da Arkomedia sono inoltrate al Cliente senza ritardo e non sono evase nel merito senza sua istruzione. Il Cliente può in ogni momento cancellare le singole conversazioni dal pannello di amministrazione;
4. violazioni dei dati personali: notificare al Cliente ogni violazione relativa ai dati trattati per suo conto senza ingiustificato ritardo e comunque entro 48 (quarantotto) ore dal momento in cui ne è venuta a conoscenza, fornendo le informazioni disponibili di cui all’art. 33, par. 3, GDPR, e collaborare con il Cliente negli adempimenti verso l’autorità di controllo e gli interessati;
5. valutazioni d’impatto: fornire al Cliente, su richiesta, le informazioni ragionevolmente necessarie per la valutazione d’impatto sulla protezione dei dati e per l’eventuale consultazione preventiva (artt. 35 e 36 GDPR);
6. registro: tenere il registro delle attività di trattamento svolte per conto dei titolari ai sensi dell’art. 30, par. 2, GDPR.

Art. 5 – Sub-responsabili

5.1Il Cliente concede ad Arkomedia un’autorizzazione scritta generale a ricorrere ai Sub-responsabili elencati nell’Allegato 2.

5.2Arkomedia informa il Cliente, a mezzo email all’indirizzo associato all’account o mediante avviso nel pannello di amministrazione, di ogni aggiunta o sostituzione di Sub-responsabili con un preavviso di almeno 30 (trenta) giorni. Entro il medesimo termine il Cliente può opporsi per motivi ragionevoli attinenti alla protezione dei dati; in mancanza di una soluzione condivisa, il Cliente può recedere dal Contratto, senza penali, limitatamente alla parte del Servizio interessata, con rimborso della quota di corrispettivo già versata per il periodo non fruito.

5.3Arkomedia impone contrattualmente a ciascun Sub-responsabile obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli previsti dall’Accordo e resta responsabile nei confronti del Cliente del loro adempimento ai sensi dell’art. 28, par. 4, GDPR.

Art. 6 – Trasferimenti al di fuori dello Spazio Economico Europeo

6.1I dati sono conservati presso infrastrutture situate nell’Unione europea, come indicato nell’Allegato 2.

6.2Taluni Sub-responsabili, in particolare il fornitore del modello di intelligenza artificiale e il fornitore dei servizi di rete e sicurezza, possono trattare i dati anche al di fuori dello Spazio Economico Europeo. Tali trasferimenti avvengono esclusivamente in presenza delle garanzie di cui al Capo V GDPR: decisione di adeguatezza della Commissione europea, ivi incluso l’EU-U.S. Data Privacy Framework per i soggetti certificati, ovvero Clausole Contrattuali Standard adottate con Decisione di esecuzione (UE) 2021/914.

Art. 7 – Sistemi di intelligenza artificiale

7.1Arkomedia, in qualità di fornitore del sistema di intelligenza artificiale, garantisce che l’assistente virtuale informi l’utente, all’inizio di ogni conversazione sul sito, che sta interagendo con un sistema di intelligenza artificiale (art. 50, par. 1, AI Act) e che, se interrogato in merito, dichiari sempre di non essere una persona. Tale informativa non è disattivabile dal Cliente.

7.2Il Cliente, in qualità di deployer, si impegna a: (i) non occultare, alterare o contraddire tale informativa, ad esempio presentando l’assistente come un operatore umano; (ii) non configurare l’assistente con istruzioni ingannevoli o manipolative, né per finalità vietate dall’art. 5 AI Act; (iii) assicurare un livello sufficiente di alfabetizzazione in materia di intelligenza artificiale del personale che configura e supervisiona l’assistente (art. 4 AI Act), anche avvalendosi della documentazione resa disponibile da Arkomedia.

Art. 8 – Obblighi del Titolare

8.1Il Cliente garantisce di:

1. disporre di un’idonea base giuridica per il trattamento e aver reso agli interessati l’informativa di cui agli artt. 13 e 14 GDPR, che menzioni l’impiego di un assistente basato su intelligenza artificiale, il ruolo di Arkomedia e dei Sub-responsabili e gli eventuali trasferimenti al di fuori dello Spazio Economico Europeo. Arkomedia mette a disposizione un testo di esempio, della cui verifica e adozione resta responsabile il Cliente;
2. impartire istruzioni conformi alla Normativa Applicabile;
3. non indurre gli utenti, mediante la configurazione del Servizio, a comunicare categorie particolari di dati personali (art. 9 GDPR) o dati relativi a condanne penali e reati (art. 10 GDPR), il cui trattamento non rientra nelle finalità del Servizio;
4. inserire nelle fonti di conoscenza dell’assistente esclusivamente contenuti che è legittimato a utilizzare.

Art. 9 – Verifiche

9.1Arkomedia mette a disposizione del Cliente, su richiesta scritta e non più di una volta l’anno, le informazioni necessarie a dimostrare il rispetto degli obblighi previsti dall’Accordo, inclusa la documentazione sulle misure di sicurezza e, nelle parti non riservate, gli accordi con i Sub-responsabili.

9.2Qualora tali informazioni non risultino sufficienti, il Cliente può svolgere, direttamente o tramite un revisore indipendente vincolato alla riservatezza e non concorrente di Arkomedia, una verifica all’anno, con preavviso scritto di almeno 30 (trenta) giorni, in orario lavorativo, senza pregiudizio per la sicurezza e la riservatezza dei dati degli altri clienti e a proprie spese. Restano salvi i poteri di ispezione delle autorità di controllo.

Art. 10 – Durata e cessazione

10.1L’Accordo ha la medesima durata del Contratto e cessa automaticamente con esso, fatti salvi gli obblighi che per loro natura sono destinati a sopravvivere.

10.2Alla cessazione del Contratto Arkomedia cancella i dati personali trattati per conto del Cliente entro 30 (trenta) giorni, salvo che la conservazione sia imposta dalla legge. Su richiesta scritta del Cliente presentata prima della cessazione, Arkomedia rende disponibile un’esportazione delle conversazioni in un formato di uso comune. Le copie di backup gestite dai fornitori infrastrutturali sono sovrascritte secondo i rispettivi cicli di rotazione e non sono utilizzate per ripristinare dati cancellati.

10.3In costanza di Contratto si applicano i tempi di conservazione indicati nell’Allegato 1.

Art. 11 – Responsabilità

11.1Ciascuna Parte risponde dei danni cagionati dalla violazione dei propri obblighi ai sensi dell’art. 82 GDPR. Fermo quanto inderogabilmente previsto dalla legge, si applicano le limitazioni di responsabilità stabilite nel Contratto.

Art. 12 – Legge applicabile e foro competente

12.1L’Accordo è regolato dalla legge italiana. Per ogni controversia relativa all’Accordo è competente in via esclusiva il Foro di Roma.

Allegato 1 – Dettagli del trattamento

Natura e finalità	Erogazione del Servizio: ricerca dei prodotti sul sito del Cliente; assistente virtuale che risponde alle domande dei visitatori sul sito e, se attivato, su WhatsApp; Product Q&A sulle schede prodotto; inoltro al Cliente delle richieste di ricontatto; statistiche d’uso rese disponibili al Cliente; analisi automatica delle conversazioni (argomento ed esito) finalizzata al miglioramento del servizio reso dal Cliente.
Categorie di interessati	Visitatori e clienti del sito o del canale WhatsApp del Cliente che utilizzano la ricerca, l’assistente virtuale o il Product Q&A.
Categorie di dati	contenuto dei messaggi scritti nell’assistente virtuale e delle domande del Product Q&A, inclusi i dati che l’utente sceglie di inserirvi (ad es. nome, email, numero d’ordine, CAP); identificativo cliente del negozio, se l’utente ha effettuato l’accesso al sito del Cliente; numero di telefono, per il canale WhatsApp; email e sintesi della richiesta, quando l’utente chiede di essere ricontattato; dati tecnici di sessione: identificativo della conversazione, tipo di dispositivo, data e ora; termini di ricerca e interazioni con i risultati, registrati in forma statistica senza indirizzo IP né identificativi dell’utente. L’indirizzo IP del visitatore è utilizzato unicamente in memoria per applicare i filtri configurati dal Cliente e non è registrato nelle statistiche né nelle conversazioni.
Categorie particolari di dati	Non previste. Possono essere presenti solo ove l’utente le inserisca spontaneamente nel testo libero.
Conservazione	conversazioni dell’assistente virtuale: massimo 12 mesi, o il minor periodo previsto dal piano del Cliente, con cancellazione automatica; domande del Product Q&A: massimo 12 mesi, con cancellazione automatica; statistiche di ricerca: secondo il piano del Cliente e comunque non oltre 12 mesi; in ogni caso, cancellazione entro 30 giorni dalla cessazione del Contratto.
Frequenza	Continuativa, per la durata del Contratto.
Luogo del trattamento	Unione europea, come indicato nell’Allegato 2, fatti salvi i trasferimenti di cui all’art. 6.

Allegato 2 – Sub-responsabili autorizzati

Elenco aggiornato al 14 ottobre 2026.

Sub-responsabile	Servizio	Dati trattati	Luogo e garanzie per i trasferimenti
Microsoft Ireland Operations Ltd. (Microsoft Azure)	Hosting dell’applicazione e database di configurazione	Dati in transito durante l’erogazione del Servizio; configurazione del Servizio	Unione europea: applicazione in Italia (Azure Italy North, Milano), database nei Paesi Bassi (Azure West Europe)
Elasticsearch B.V. (Elastic Cloud)	Archivio delle ricerche, delle conversazioni, delle statistiche e del Product Q&A	Conversazioni, domande Product Q&A, statistiche di ricerca	Unione europea: AWS eu-south-1 (Milano) e Microsoft Azure France Central (Parigi)
OpenAI Ireland Ltd.	Modello di intelligenza artificiale che genera le risposte, interpreta le domande e analizza le conversazioni	Testo delle conversazioni e delle domande, dati restituiti dagli strumenti del Servizio (ad es. stato di un ordine)	Irlanda; trasferimento verso gli Stati Uniti sulla base delle Clausole Contrattuali Standard. I dati non sono utilizzati per l’addestramento dei modelli
Cloudflare, Inc.	Rete di distribuzione dei contenuti, protezione da attacchi e firewall applicativo	Traffico di rete, incluso indirizzo IP e contenuto delle richieste in transito	Rete globale; Clausole Contrattuali Standard ed EU-U.S. Data Privacy Framework
Sendinblue SAS (Brevo)	Invio delle email di servizio	Email e sintesi della richiesta dell’utente contenute nelle notifiche di ricontatto inviate al Cliente	Francia (Unione europea)
Meta Platforms Ireland Ltd. (WhatsApp Business Platform)	Canale WhatsApp, solo se attivato dal Cliente	Numero di telefono e messaggi	Irlanda; trasferimenti verso gli Stati Uniti secondo le garanzie adottate da Meta

Non sono Sub-responsabili di Arkomedia i sistemi del Cliente, o da questi scelti, ai quali il Servizio si collega su sua istruzione, quali la piattaforma e-commerce interrogata per lo stato degli ordini e le automazioni personalizzate (n8n o analoghe) gestite dal Cliente. Per tali sistemi il Cliente resta responsabile della scelta del fornitore e dei relativi accordi.

Allegato 3 – Misure tecniche e organizzative di sicurezza

Misure adottate da Arkomedia ai sensi dell’art. 32 GDPR per i dati trattati per conto del Cliente, aggiornate al 14 ottobre 2026. Le misure dei Sub-responsabili sono disciplinate dai rispettivi accordi.

Ubicazione dei dati	Applicazione su server dedicato in Italia (Microsoft Azure, regione Italy North – Milano); database in Unione europea (Microsoft Azure, regione West Europe – Paesi Bassi); archivio di conversazioni, ricerche e statistiche in Unione europea (Elastic Cloud su AWS Milano e Azure Parigi).
Cifratura in transito	tutte le comunicazioni con il Servizio avvengono esclusivamente su HTTPS; le connessioni dell’applicazione al database sono cifrate (TLS 1.2 o superiore, certificato verificato); le comunicazioni con l’archivio Elastic, con il fornitore del modello di intelligenza artificiale e con gli altri Sub-responsabili avvengono su HTTPS.
Cifratura a riposo	database con Transparent Data Encryption attiva; dischi del server cifrati a livello di piattaforma; archivio Elastic Cloud cifrato a riposo dal fornitore; le credenziali di accesso dei canali di messaggistica del Cliente (WhatsApp) sono conservate cifrate.
Credenziali e autenticazione	le password degli utenti del pannello sono conservate esclusivamente come hash PBKDF2-SHA256 con sale casuale e 600.000 iterazioni, non reversibile; password di almeno 8 caratteri; link di reimpostazione della password validi per un’ora e utilizzabili una sola volta; accesso alle API tramite token firmato a scadenza (120 minuti).
Controllo degli accessi	accesso al pannello per ruoli (amministratore dello store, manager, marketing) con permessi distinti; separazione tra clienti: ogni utente accede solo ai dati del proprio store, con verifica dell’appartenenza anche sulle singole conversazioni; accesso ai dati di più store riservato al personale tecnico autorizzato di Arkomedia, vincolato alla riservatezza; accesso al database consentito solo da indirizzi di rete autorizzati.
Protezione della rete	Il traffico verso il pannello e verso i servizi del widget transita attraverso Cloudflare, con protezione da attacchi DDoS e firewall applicativo. La documentazione delle API è protetta da autenticazione.
Minimizzazione	le statistiche di ricerca non contengono indirizzo IP né identificativi dell’utente; le conversazioni non registrano indirizzo IP né user agent, ma solo il tipo di dispositivo; i log applicativi non registrano il contenuto delle conversazioni; il fornitore del modello di intelligenza artificiale non conserva le risposte generate e non utilizza i dati per l’addestramento.
Conservazione e cancellazione	cancellazione automatica di conversazioni, domande del Product Q&A e statistiche di ricerca al più tardi dopo 12 mesi; cancellazione delle singole conversazioni dal pannello, a cura del Cliente; alla chiusura dello store, cancellazione di tutti i dati del Cliente da database e archivio Elastic.
Backup e continuità	database: backup automatici con ripristino a un istante qualsiasi degli ultimi 7 giorni; server: backup giornaliero conservato 30 giorni, ridondato su più zone della regione; archivio Elastic: snapshot automatici ogni 30 minuti, conservati 3 giorni. Allo scadere di tali periodi i dati cancellati non sono più presenti nemmeno nei backup.
Intelligenza artificiale	l’utente è informato all’inizio di ogni conversazione che interagisce con un sistema di intelligenza artificiale; istruzioni di sistema contro la manipolazione dell’assistente tramite testo inserito dall’utente (prompt injection); l’assistente risponde sulla base delle fonti configurate dal Cliente.
Gestione degli incidenti	In caso di violazione dei dati personali Arkomedia informa il Cliente entro 48 ore, secondo l’art. 4.1, lett. d), dell’Accordo.