Data Processing Agreement
— Aria Widget

Titolare del trattamento (Data Controller, "Cliente"): la persona fisica o giuridica che ha sottoscritto i Servizi TotalKlick e installato il widget Aria sul proprio sito.

Responsabile del trattamento (Data Processor): TotalKlick srls, con sede legale in [INSERIRE INDIRIZZO COMPLETO], P.IVA [INSERIRE P.IVA], email privacy@totalklick.it (di seguito "TotalKlick").

Il presente accordo (DPA) regola il trattamento dei Dati Personali effettuato da TotalKlick per conto del Cliente in relazione all'installazione, configurazione ed esecuzione del widget conversazionale "Aria" sul sito del Cliente, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR).

La durata del DPA coincide con la durata del rapporto contrattuale principale. Cessati i Servizi, si applicano gli obblighi di restituzione/cancellazione di cui all'art. 9.

Aria è un assistente conversazionale AI installato come script JavaScript sul sito del Cliente. Le finalità del trattamento sono:

• Conversazione utente-sito: rispondere alle domande dei visitatori del sito del Cliente in linea con le istruzioni configurate dal Cliente.
• Lead generation: raccogliere contatti dei visitatori interessati (solo previo consenso esplicito del visitatore — checkbox NON pre-flaggata).
• Analisi statistica anonima: aggregare metriche di utilizzo per migliorare il servizio.
• Cross-suggerimento Network (opt-in): se il Cliente ha aderito al Network Aria, suggerire ai propri visitatori altre attività complementari (mai concorrenti) del network — solo dopo che il goal del sito del Cliente è raggiunto.

Livello 1 — Dati anonimi/pseudonimizzati (base giuridica: interesse legittimo del Cliente, Art. 6.1.f GDPR):

• ID di sessione random (no cookie persistente)
• Contenuto della conversazione
• Percorso di navigazione sul sito del Cliente
• Country code derivato da header HTTP (Cloudflare)
• Prefisso IP /16 (pseudonimizzato per misurazioni anti-spam)
• Timestamp, durata sessione, numero messaggi

Livello 2 — Dati identificativi (base giuridica: consenso esplicito del visitatore, Art. 6.1.a GDPR):

• Nome e cognome
• Indirizzo email
• Numero di telefono
• Indirizzo IP completo
• Città derivata da geo-IP (se disponibile)
• Testo del consenso visualizzato + versione + timestamp (audit trail)

Categorie di interessati: visitatori del sito del Cliente che interagiscono con Aria.

Il Cliente garantisce:

• Di avere una base giuridica valida per il trattamento (es. cookie/consent policy pubblicata sul proprio sito).
• Di informare gli interessati con un'informativa privacy conforme agli artt. 13-14 GDPR che includa Aria come strumento utilizzato (vedi template fornito da TotalKlick).
• Di fornire istruzioni di trattamento documentate a TotalKlick attraverso il pannello di configurazione del widget.
• Di non trasmettere ad Aria categorie particolari di dati (Art. 9 GDPR) se non strettamente necessarie, e in tal caso di acquisire consenso esplicito specifico.
• Di gestire le richieste degli interessati ai sensi del Capo III GDPR (artt. 15-22), eventualmente coadiuvato da TotalKlick come previsto all'art. 7.

TotalKlick si impegna a:

• Trattare i Dati Personali solo su istruzione documentata del Cliente.
• Garantire che il personale autorizzato sia vincolato da obblighi di riservatezza (NDA).
• Adottare misure tecniche e organizzative adeguate ex art. 32 GDPR (vedi art. 8).
• Non ricorrere a sub-responsabili senza autorizzazione preventiva generale (vedi art. 7).
• Assistere il Cliente nel rispondere alle richieste degli interessati (artt. 15-22 GDPR) entro tempi compatibili con le scadenze normative.
• Assistere il Cliente in caso di violazioni dei dati (data breach) con notifica entro 48 ore dalla conoscenza.
• Cancellare o restituire tutti i Dati Personali al termine del Servizio, salvo obblighi di conservazione di legge.
• Consentire audit ragionevoli (max 1 all'anno, con preavviso 30gg) da parte del Cliente o di un revisore indipendente.

Il Cliente autorizza TotalKlick a ricorrere ai seguenti sub-responsabili per l'erogazione del Servizio:

• Anthropic, PBC (USA) — Modello linguistico Claude Haiku 4.5 per la generazione delle risposte AI. Standard Contractual Clauses UE-USA in essere. Privacy Anthropic
• Emergent Labs, Inc. — Routing API e gestione delle chiavi LLM tramite Universal Key.
• MongoDB, Inc. (Cloud EU region) — Database documentale per memorizzazione conversazioni e configurazioni.
• Cloudflare, Inc. — CDN e protezione DDoS (anche derivazione country code).
• Google LLC (USA) — Modello immagini Gemini Nano Banana per servizio TotalKlickADS (non Aria widget). SCC UE-USA.
• Resend — Servizio email transazionale per notifiche lead/cliente.

TotalKlick comunicherà al Cliente con preavviso di 30 giorni qualsiasi aggiunta o sostituzione di sub-responsabili. Il Cliente potrà obiettare per motivi ragionevoli; in caso di mancato accordo, ciascuna parte potrà recedere dal Servizio senza penali.

TotalKlick adotta le seguenti misure tecniche e organizzative:

• Cifratura in transito via TLS 1.3 su tutte le API e i widget.
• Cifratura at-rest sul database (AES-256).
• Pseudonimizzazione degli IP nei dati anonimi (troncati a /16).
• Hashing bcrypt per credenziali admin (rounds=12).
• Security Layer Aria: filtro anti-prompt-leak, anti-jailbreak, anti-impersonation con escalation 3-strike.
• Audit log di tutti gli accessi superadmin, modifiche configurazioni widget e cancellazioni dati (collection dsar_log).
• Retention automatica: TTL MongoDB 30 giorni per sessioni anonime, 24 mesi per lead identificati.
• Backup giornalieri cifrati con retention 30 giorni.
• Principio del minimo privilegio per il personale (RBAC).
• Penetration test annuale e review codice trimestrale.

Al termine del Servizio, su richiesta scritta del Cliente (entro 30 giorni dalla cessazione), TotalKlick:

• Esporta in formato JSON tutti i Dati Personali trattati per conto del Cliente.
• Cancella definitivamente i Dati dal database operativo e dai backup entro 90 giorni.
• Rilascia certificato di cancellazione al Cliente.

I dati possono essere conservati oltre la cessazione solo per obblighi di legge (es. fatturazione: 10 anni civilistici).

I trasferimenti verso paesi terzi (Anthropic, Google, Cloudflare — USA) avvengono sulla base delle Standard Contractual Clauses (SCC) Decisione UE 2021/914, integrate da misure tecniche supplementari (pseudonimizzazione + cifratura).

In caso di violazione dei Dati Personali, TotalKlick notifica al Cliente entro 48 ore dalla conoscenza, fornendo:

• Natura della violazione e categorie/numero di interessati coinvolti.
• Conseguenze probabili e misure di mitigazione adottate.
• Punto di contatto per ulteriori informazioni.

Il Cliente resta unico responsabile della notifica al Garante (entro 72 ore) e agli interessati, ai sensi degli artt. 33-34 GDPR.

Ciascuna parte è responsabile dei danni causati dalla violazione dei propri obblighi di cui al presente DPA e al GDPR. Le limitazioni di responsabilità del contratto principale si applicano per analogia, salvo quanto previsto dall'art. 82 GDPR.

Il presente DPA è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di [INSERIRE CITTÀ SEDE].

Data Protection Officer: dpo@totalklick.it
Privacy queries: privacy@totalklick.it
Sicurezza: security@totalklick.it