Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante dell'accordo che disciplina l'uso dei servizi di Zell da parte del Cliente (l'"Accordo principale"). Si applica ogni qualvolta Zell tratta Dati personali per conto del Cliente. Termini quali Titolare del trattamento, Responsabile del trattamento, Interessato, Dati personali, Trattamento e Autorità di controllo hanno i significati loro attribuiti dal GDPR.

1. Parti e priorità

Le parti sono Zell UG (haftungsbeschränkt), c/o Moritz Beck, Wühlischstraße 55, 10245 Berlino, Germania ("Zell", "Responsabile del trattamento" o "Fornitore di servizi"), e la persona giuridica identificata come cliente nell'Accordo principale ("Cliente").

Il presente DPA entra in vigore con l'Accordo principale o quando viene altrimenti accettato da entrambe le parti. Qualora le sue disposizioni in materia di protezione dei dati siano in contrasto con l'Accordo principale, il presente DPA prevale nella misura di tale conflitto. L'Accordo principale rimane per il resto invariato.

2. Ruoli e ambito di applicazione

Per i Dati personali del Cliente, il Cliente agisce in qualità di Titolare del trattamento e Zell agisce in qualità di Responsabile del trattamento. Qualora il Cliente tratti Dati personali per un altro Titolare del trattamento, il Cliente agisce in qualità di Responsabile del trattamento e nomina Zell come suo Sub-responsabile. Ciascuna parte rispetterà le leggi sulla protezione dei dati applicabili al proprio ruolo, tra cui il Regolamento (UE) 2016/679 ("GDPR") e la Legge federale tedesca sulla protezione dei dati, ove applicabile.

Il presente DPA copre i Dati personali del Cliente trattati per fornire i servizi di sales coaching supportati dall'IA e di conversation intelligence di Zell, inclusi la registrazione o l'importazione di chiamate, la trascrizione, l'analisi, il feedback di coaching, i giochi di ruolo vocali e gli avatar, i corsi e le valutazioni, le funzionalità di valutazione delle assunzioni, le integrazioni con calendari e riunioni, l'assistente IA di Zell e le relative operazioni di supporto e sicurezza, in ciascun caso come abilitato dal Cliente.

3. Istruzioni e responsabilità del Cliente

Zell tratterà i Dati personali del Cliente solo sulla base di istruzioni documentate del Cliente, a meno che non sia richiesto dal diritto dell'Unione o dello Stato membro. L'Accordo principale, il presente DPA, la configurazione del prodotto del Cliente e l'uso autorizzato dei servizi da parte del Cliente costituiscono insieme istruzioni documentate. Ulteriori istruzioni devono essere concordate per iscritto e possono essere soggette a tariffe ragionevoli qualora richiedano un lavoro che esula dai servizi.

Qualora Zell ritenga che un'istruzione violi la legge applicabile in materia di protezione dei dati, informerà il Cliente senza indebito ritardo e potrà sospendere il trattamento interessato fino a quando le parti non avranno risolto la questione. Qualora la legge richieda un trattamento che esula dalle istruzioni del Cliente, Zell informerà il Cliente prima del trattamento, a meno che la legge non lo vieti.

Il Cliente è responsabile della liceità, correttezza e trasparenza del proprio trattamento; di fornire le informative necessarie e ottenere l'eventuale consenso richiesto; di decidere quali riunioni, chiamate, registrazioni e contenuti inviare; e di garantire che le proprie istruzioni e l'uso dei servizi siano conformi alla legge applicabile. Il Cliente non deve inviare intenzionalmente Dati personali non necessari per gli scopi concordati.

4. Dettagli del trattamento

L'oggetto, la natura, lo scopo e la durata del trattamento, le categorie di Interessati e i tipi di Dati personali sono descritti nell'Allegato 1. Zell tratterà i Dati personali del Cliente per la durata dell'Accordo principale e per qualsiasi periodo limitato successivo necessario per restituirli o cancellarli, conformarsi alla legge, risolvere controversie o mantenere backup sicuri.

5. Riservatezza

Zell garantirà che il personale autorizzato al trattamento dei Dati personali del Cliente sia vincolato da obblighi di riservatezza e riceva l'accesso solo ove necessario per lo svolgimento delle proprie mansioni. Tali obblighi continuano anche dopo la cessazione del loro accesso.

6. Sicurezza

Tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito, del contesto e delle finalità del trattamento, come anche del rischio per le persone fisiche, Zell manterrà adeguate misure tecniche e organizzative volte a proteggere i Dati personali del Cliente da distruzione accidentale o illecita, perdita, modifica, divulgazione o accesso non autorizzati. Le categorie di misure attualmente utilizzate sono riassunte nell'Allegato 2.

Il Cliente è responsabile della sicurezza dei propri sistemi e account, della gestione degli utenti autorizzati e dei permessi, della protezione delle credenziali, della configurazione appropriata delle integrazioni e dell'utilizzo dei controlli di sicurezza disponibili.

7. Violazioni dei Dati personali

Zell notificherà al Cliente, senza indebito ritardo, il momento in cui viene a conoscenza di una Violazione dei Dati personali che interessa i Dati personali del Cliente. Nella misura in cui siano ragionevolmente disponibili, Zell fornirà informazioni sulla natura dell'incidente, sui dati e sulle persone interessate, sulle probabili conseguenze e sulle misure adottate o proposte. Le informazioni possono essere fornite in più fasi man mano che l'indagine procede.

Zell adotterà misure ragionevoli per contenere, indagare e porre rimedio alla violazione. Il Cliente rimane responsabile di decidere se siano necessarie notifiche alle Autorità di controllo o agli Interessati, a meno che la legge applicabile non attribuisca tale obbligo a Zell.

8. Richieste dell'Interessato

Tenendo conto della natura del trattamento, Zell fornirà una ragionevole assistenza attraverso adeguate misure tecniche e organizzative affinché il Cliente possa rispondere alle richieste di esercizio dei diritti dell'Interessato. Se Zell riceve una richiesta relativa ai Dati personali del Cliente direttamente da un Interessato, la inoltrerà al Cliente senza indebito ritardo e non risponderà nel merito a meno che il Cliente non lo autorizzi o la legge lo richieda.

9. Assistenza per la conformità

Considerando la natura del trattamento e le informazioni a disposizione di Zell, quest'ultima assisterà ragionevolmente il Cliente in merito agli obblighi di sicurezza, alle notifiche di violazione, alle valutazioni d'impatto sulla protezione dei dati e alle consultazioni preventive ai sensi degli articoli da 32 a 36 del GDPR. L'assistenza che richiede un lavoro sostanziale al di fuori dei servizi può essere addebitata a tariffe ragionevoli concordate in anticipo.

10. Sub-responsabili del trattamento

Il Cliente concede a Zell l'autorizzazione generale a ricorrere a Sub-responsabili ove necessario per fornire, proteggere, supportare o migliorare i servizi. Zell imporrà a ciascun Sub-responsabile obblighi scritti in materia di protezione dei dati che non siano meno protettivi nella sostanza rispetto agli obblighi applicabili a Zell ai sensi del presente DPA, nella misura in cui ciò sia rilevante per i servizi eseguiti.

Zell mantiene il suo elenco attuale dei Sub-responsabili su getzell.com/legal/sub-processors. Zell fornirà un preavviso ragionevole dell'aggiunta di un nuovo Sub-responsabile qualora la modifica possa influire materialmente sul trattamento dei Dati personali del Cliente. Il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati. Le parti collaboreranno in buona fede per trovare una soluzione commercialmente ragionevole; se non ne è disponibile alcuna, il Cliente può recedere dal servizio interessato come previsto dall'Accordo principale.

Zell rimane responsabile dell'adempimento degli obblighi di protezione dei dati da parte di ciascun Sub-responsabile nella stessa misura in cui Zell sarebbe responsabile se eseguisse essa stessa i servizi in questione.

11. Trasferimenti internazionali

Zell non trasferirà i Dati personali del Cliente verso un paese terzo al di fuori dello Spazio Economico Europeo a meno che il trasferimento non sia conforme al Capo V del GDPR. Ove richiesto, Zell si baserà su una decisione di adeguatezza, sulle Clausole Contrattuali Standard della Commissione Europea o su un'altra garanzia legalmente riconosciuta, e implementerà misure supplementari ove opportuno.

Qualora l'uso dei servizi da parte del Cliente comporti un trasferimento limitato dal Cliente a Zell che non sia altrimenti coperto da una decisione di adeguatezza, si intende incorporato per riferimento il modulo applicabile da titolare a responsabile o da responsabile a responsabile delle Clausole Contrattuali Standard della Commissione Europea in quel momento vigenti. La Germania è lo Stato membro di riferimento per le clausole facoltative e l'Autorità di controllo competente è determinata ai sensi del GDPR.

12. Restituzione e cancellazione

Al termine dei servizi che comportano il trattamento, Zell, a scelta del Cliente e nel rispetto della legge applicabile, restituirà o cancellerà i Dati personali del Cliente e cancellerà le copie esistenti. Il Cliente è tenuto a esportare tutti i dati che desidera conservare prima della risoluzione dell'accordo. Zell può conservare i dati ove richiesto dalla legge o nei backup fino a quando tali backup non verranno sovrascritti attraverso i normali cicli di conservazione, a condizione che i dati conservati rimangano protetti e non vengano utilizzati per altri scopi.

Laddove la funzionalità del prodotto lo consenta, il Cliente può cancellare chiamate, registrazioni, documenti, utenti o altri contenuti durante il periodo di validità dell'accordo. Zell estenderà la cancellazione ai sistemi pertinenti e ai Sub-responsabili in conformità con i suoi processi tecnici standard e le capacità di tali sistemi.

13. Informazioni e audit

Zell metterà a disposizione le informazioni ragionevolmente necessarie per dimostrare la conformità all'Articolo 28 del GDPR. Zell può adempiere a questo obbligo tramite documentazione sulla sicurezza, certificazioni o rapporti di audit, ove disponibili, e risposte a questionari ragionevoli.

Se tali informazioni non sono sufficienti, il Cliente può richiedere un audit da parte propria o di un auditor indipendente vincolato da riservatezza. Gli audit devono essere proporzionati, limitati ai sistemi rilevanti per i Dati personali del Cliente, condotti durante il normale orario di lavoro con un preavviso ragionevole e progettati in modo da evitare interruzioni o rischi per gli altri clienti. Salvo quanto richiesto da un'Autorità di controllo o a seguito di un incidente grave, gli audit sono limitati a una volta in un periodo di dodici mesi. Il Cliente sostiene i costi del proprio audit e potrebbe ricevere l'addebito per la ragionevole assistenza di Zell.

14. Trattamento abilitato dall'IA

Per fornire funzionalità abilitate dall'IA, Zell e i suoi Sub-responsabili autorizzati possono trattare registrazioni, trascrizioni, prompt, documenti, schede di valutazione, feedback, contesto delle riunioni e output generati. Zell limiterà tale trattamento alla fornitura dei servizi, seguendo le istruzioni documentate del Cliente, mantenendo la sicurezza e l'affidabilità e adempiendo agli obblighi di legge.

I Dati personali del Cliente non saranno utilizzati per addestrare modelli di IA per scopi generali, a meno che il Cliente non autorizzi espressamente tale uso per iscritto. Zell richiederà ai Sub-responsabili di IA di trattare i Dati personali del Cliente nel rispetto di restrizioni contrattuali coerenti con il presente DPA.

Il Cliente è responsabile di un'adeguata supervisione umana dell'output generato dall'IA e di determinare se i servizi sono idonei all'uso previsto, inclusi eventuali obblighi applicabili al Cliente in qualità di operatore ai sensi del Regolamento sull'IA dell'UE.

15. Responsabilità, durata e legge applicabile

Le limitazioni ed esclusioni di responsabilità contenute nell'Accordo principale si applicano al presente DPA nella misura consentita dalla legge. Nulla nel presente DPA limita la responsabilità che non può essere legalmente limitata.

Il presente DPA rimane in vigore finché Zell tratta i Dati personali del Cliente. Le modifiche devono essere concordate per iscritto, fermo restando che Zell può aggiornare i dettagli operativi che non riducono materialmente il livello di protezione e può aggiornare il presente DPA come consentito dall'Accordo principale. Si applica la legge tedesca e i tribunali di Berlino hanno giurisdizione, nel rispetto delle norme imperative sulla protezione dei dati e dei diritti delle Autorità di controllo competenti.

Allegato 1 — Dettagli del trattamento

Oggetto e finalità

Trattamento necessario per fornire, gestire, proteggere, mantenere e supportare i servizi di sales coaching basati su IA B2B, conversation intelligence e relative valutazioni scelti dal Cliente.

Natura del trattamento

• Raccolta, registrazione, organizzazione, strutturazione e conservazione dei dati forniti dal Cliente.

• Estrazione, consultazione, trasmissione e visualizzazione agli utenti autorizzati del Cliente.

• Registrazione o importazione di chiamate e riunioni; trascrizione e trattamento dei parlanti.

• Analisi automatizzata, classificazione, punteggio e generazione di feedback di coaching, rapporti e risposte assistite da IA.

• Integrazione con calendari, piattaforme di riunione, sistemi del cliente e altri servizi abilitati dal Cliente.

• Limitazione, esportazione, restituzione, cancellazione e anonimizzazione, ove applicabile.

Categorie di Interessati

• Dipendenti, appaltatori, amministratori e altri utenti autorizzati del Cliente.

• Partecipanti a chiamate e riunioni, inclusi potenziali clienti, clienti e partner del Cliente.

• Candidati e valutatori laddove il Cliente abiliti le funzionalità di valutazione delle assunzioni.

• Persone fisiche le cui informazioni compaiono in documenti, playbook, trascrizioni o altri contenuti caricati dal Cliente.

Tipi di Dati personali

• Informazioni sull'identità, sull'account e sui contatti di lavoro, quali nomi, indirizzi e-mail di lavoro, ruoli e dettagli dell'organizzazione.

• Metadati del calendario e delle riunioni, come titoli degli eventi, link alle riunioni, partecipanti e timestamp.

• Registrazioni audio o video, trascrizioni, etichette dei parlanti, note e contenuti delle comunicazioni.

• Dati sul sales coaching, inclusi scenari, schede di valutazione, valutazioni, feedback, progressi nell'apprendimento e rapporti generati.

• Invii di valutazioni per le assunzioni, dettagli di contatto del candidato e risultati della valutazione laddove tale modulo sia abilitato.

• Documenti caricati dal Cliente, playbook, contenuti informativi, prompt e output generati dall'IA.

• Dati tecnici e di utilizzo, inclusi indirizzi IP, informazioni sul dispositivo o sul browser, record di autenticazione, log e comunicazioni di supporto.

Categorie particolari e dati sensibili

I servizi non sono progettati per il trattamento intenzionale di categorie particolari di Dati personali ai sensi dell'Articolo 9 del GDPR o di dati relativi a condanne penali ai sensi dell'Articolo 10 del GDPR. Il Cliente non deve inviare tali dati a meno che le parti non abbiano concordato per iscritto istruzioni e garanzie adeguate. Le registrazioni e i contenuti di testo libero possono tuttavia contenere incidentalmente informazioni sensibili; il Cliente è responsabile di ridurre al minimo tali dati e di stabilire una base giuridica lecita.

Frequenza e durata

Il trattamento avviene in modo continuo o come avviato dal Cliente durante la vigenza dell'Accordo principale. La conservazione segue la configurazione del Cliente, le funzionalità del prodotto, l'Accordo principale, il presente DPA e i requisiti legali applicabili.

Allegato 2 — Misure tecniche e organizzative

Zell mantiene un programma di sicurezza basato sul rischio. Le misure possono evolvere con il mutare della tecnologia e dei servizi, purché il livello generale di protezione non venga ridotto in modo significativo. Le misure comprendono, ove opportuno:

• Controlli di accesso basati sulle esigenze aziendali, tutele di autenticazione, gestione dei ruoli e dei permessi e revisione periodica degli accessi.

• Crittografia dei dati in transito e crittografia a riposo ove supportata dai sistemi e dai fornitori di servizi pertinenti.

• Separazione logica dei tenant e controlli volti a prevenire l'accesso non autorizzato tra clienti diversi.

• Pratiche di sviluppo software sicuro, gestione delle modifiche, revisione del codice, gestione delle dipendenze e risoluzione delle vulnerabilità.

• Processi di logging, monitoraggio, allerta e risposta agli incidenti progettati per rilevare e gestire gli eventi di sicurezza.

• Misure di backup, ripristino e resilienza adeguate alle esigenze di disponibilità dei servizi.

• Uso controllato dell'archiviazione privata e meccanismi di accesso a tempo limitato o firmati per registrazioni e documenti, ove applicabile.

• Due diligence sui fornitori e impegni contrattuali in materia di sicurezza e protezione dei dati per i Sub-responsabili.

• Impegni di riservatezza, sensibilizzazione alla sicurezza e accesso limitato per il personale che gestisce i Dati personali del Cliente.

• Processi per la cancellazione, la disattivazione dell'account o del tenant e la rimozione dei media importati dai relativi fornitori di integrazione, ove supportato.

Contatti

Domande o comunicazioni relative al presente DPA possono essere inviate a hey@getzell.com o a Zell UG (haftungsbeschränkt), c/o Moritz Beck, Wühlischstraße 55, 10245 Berlino, Germania.