Trattamento dei dati (GDPR)

Chi è responsabile di cosa

L'azienda cliente che usa Kalyo per rispondere alle proprie chiamate è titolare del trattamento dei dati dei suoi chiamanti: ne stabilisce finalità e mezzi. Human Echo Connect, che pubblica Kalyo, agisce come responsabile del trattamento ai sensi dell'articolo 28 del GDPR: trattiamo questi dati solo su istruzione documentata del cliente e per suo conto.

Per i dati raccolti su questo sito (moduli di contatto, richieste di chiamata dimostrativa), Human Echo Connect è titolare del trattamento: sono descritti nella nostra informativa sulla privacy.

Dati trattati durante una chiamata

L'agente è configurato per raccogliere solo le informazioni necessarie alla richiesta (principio di minimizzazione, articolo 5 del GDPR):

• Identificazione: numero di telefono del chiamante e, se necessario, il suo nome;
• Contenuto della chiamata: registrazione audio per il tempo del trattamento e trascrizione scritta;
• Informazioni utili alla richiesta: fascia oraria desiderata, indirizzo dell'intervento, motivo, livello di urgenza;
• Dati tecnici: data, ora e durata della chiamata.

L'agente non chiede dati sensibili (salute, opinioni, coordinate bancarie). Se un chiamante li comunica spontaneamente, servono solo a gestire la sua richiesta.

Finalità e basi giuridiche

Le finalità sono stabilite dall'azienda cliente. A titolo indicativo, il trattamento previsto è il seguente:

• Rispondere alla chiamata e gestire la richiesta (prenotazione, appuntamento, richiesta di intervento, informazioni): misure precontrattuali o esecuzione di un contratto con il chiamante (art. 6.1.b);
• Inviare una scheda di chiamata all'azienda via SMS, e-mail o CRM: stessa base giuridica, oppure legittimo interesse dell'azienda a seguire le proprie chiamate (art. 6.1.f);
• Filtrare spam e telemarketing: legittimo interesse dell'azienda a proteggere la propria linea (art. 6.1.f);
• Migliorare il servizio: solo a partire da dati anonimizzati, o con l'accordo dell'azienda cliente.

I dati dei chiamanti non vengono mai venduti, né usati a fini pubblicitari, né riutilizzati per conto di un altro cliente.

Informazione dei chiamanti

All'inizio della chiamata, un messaggio di benvenuto concordato con l'azienda cliente informa il chiamante che sta parlando con un assistente IA, che la chiamata viene registrata e trascritta per gestire la sua richiesta e a chi rivolgersi per esercitare i propri diritti (articolo 13 del GDPR e articolo 50 dell'AI Act).

Periodo di conservazione

• Registrazioni audio e trascrizioni: 90 giorni al massimo per impostazione predefinita, periodo che l'azienda cliente può ridurre;
• Schede di chiamata inviate agli strumenti dell'azienda (e-mail, CRM): conservate secondo la politica dell'azienda cliente;
• Fine del contratto: cancellazione o restituzione di tutti i dati, a scelta del cliente, e successiva cancellazione delle copie (art. 28.3.g).

Hosting e sub-responsabili

I dati sono ospitati e trattati all'interno dell'Unione europea. Ricorriamo a sub-responsabili strettamente necessari al servizio (hosting, telefonia, motore vocale), vincolati a obblighi di protezione dei dati equivalenti ai nostri. L'elenco è riportato nell'accordo sul trattamento dei dati; l'azienda cliente è informata di ogni modifica e può opporvisi (art. 28.2).

Se si rendesse necessario un trasferimento al di fuori dell'UE, sarebbe coperto dalle clausole contrattuali tipo della Commissione europea o da un meccanismo equivalente.

Sicurezza e riservatezza

In conformità con l'articolo 32 del GDPR, adottiamo misure tecniche e organizzative adeguate al rischio:

• cifratura degli scambi;
• accesso limitato alle sole persone autorizzate, tenute alla riservatezza;
• hosting europeo;
• misure riviste e rafforzate nel corso dello sviluppo del prodotto.

Violazione dei dati personali

In caso di violazione dei dati personali, ne informiamo l'azienda cliente senza ingiustificato ritardo dopo esserne venuti a conoscenza, con tutti gli elementi utili, affinché possa notificarla all'autorità di controllo entro 72 ore e, se necessario, alle persone interessate (articoli 33 e 34 del GDPR).

Diritti dei chiamanti

I chiamanti hanno diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. Li esercitano presso l'azienda che hanno chiamato; la aiutiamo a rispondere entro un mese (art. 28.3.e). Ogni richiesta che ci giunge direttamente le viene trasmessa senza ritardo. I chiamanti possono inoltre proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Accordo sul trattamento dei dati (DPA)

Ogni azienda cliente sottoscrive con Human Echo Connect un accordo sul trattamento dei dati conforme all'articolo 28 del GDPR, che definisce le istruzioni, le misure di sicurezza e l'elenco dei sub-responsabili. Ti aiutiamo inoltre a tenere il registro dei trattamenti (articolo 30) e, se la tua attività lo richiede, a svolgere una valutazione d'impatto (DPIA, articolo 35). Per ottenere l'accordo o fare una domanda: contact@kalyo.ai.