GDPR & Data Processing Agreement (DPA)
Il presente Accordo di Trattamento Dati (Data Processing Agreement) è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR) tra Skillworks S.r.l. (in qualità di Responsabile del Trattamento) e il Cliente (in qualità di Titolare del Trattamento).
1. Oggetto e Durata
Il presente DPA regola il trattamento dei dati personali da parte di Skillworks S.r.l. per conto del Cliente, nell'ambito dell'erogazione dei servizi DRIN PRO. Il DHA ha durata pari a quella del contratto di servizio.
2. Tipologie di Dati Trattati
Il Responsabile tratta le seguenti categorie di dati per conto del Titolare:
- Dati di identificazione degli utenti (nome, email, numero di interno);
- Dati di comunicazione (chiamate, chat, voicemail, registrazioni);
- Dati di traffico (CDR, log di sistema);
- Dati di configurazione (impostazioni PBX, contatti, regole di routing).
3. Finalità del Trattamento
I dati sono trattati esclusivamente per: erogare il servizio UCaaS, garantire la sicurezza, effettuare backup e disaster recovery, fornire supporto tecnico, adempiere a obblighi di legge.
4. Istruzioni del Titolare
Il Responsabile tratta i dati esclusivamente secondo le istruzioni documentate del Titolare, salvo obblighi imposti dalla legge. Il Titolare ha il diritto di modificare le istruzioni in qualsiasi momento.
5. Riservatezza
Le persone autorizzate al trattamento dei dati sono soggette a un obbligo di riservatezza o a un appropriato obbligo legale di riservatezza.
6. Misure di Sicurezza
Il Responsabile implementa le seguenti misure di sicurezza tecniche e organizzative:
- Crittografia TLS/SRTP per tutte le comunicazioni;
- Backup automatici giornalieri con cifratura;
- Accesso biometrico ai datacenter;
- Firewall Fail2Ban, auto-defense, static defense;
- Monitoring 24/7/365;
- Certificazioni ISO 27001, ISO 27017, ISO 27018;
- Datacenter in Italia, 100% energia rinnovabile.
7. Sottoprocessori
Il Responsabile può avvalersi dei seguenti sottoprocessori, tutti conformi al GDPR:
- Yeastar (tecnologia PBX P-Series Cloud Edition);
- Amazon Web Services (infrastruttura cloud);
- OpenAI / Google / ElevenLabs / Amazon (servizi AI per trascrizione e sintesi);
- Alperia (fornitura energia rinnovabile).
Il Titolare viene informato di eventuali nuovi sottoprocessori con preavviso di 30 giorni.
8. Trasferimento di Dati
I dati sono ospitati principalmente in datacenter italiani. Per i servizi AI di terze parti, il trasferimento di dati al di fuori dell'UE avviene esclusivamente con garanzie adeguate (Decisioni di adeguatezza della Commissione UE, Clausole Contrattuali Tipo).
9. Assistenza al Titolare
Il Responsabile assiste il Titolare nella gestione delle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) e nella notificazione di violazioni dei dati (data breach) entro 72 ore.
10. Cancellazione dei Dati
Al termine del contratto, il Responsabile cancella tutti i dati personali del Titolare entro 30 giorni, salvo obblighi di conservazione legale. È possibile richiedere l'esportazione dei dati prima della cancellazione.
11. Audit
Il Titolare ha diritto a verifiche ispettive (audit) presso il Responsabile, con preavviso di 30 giorni e nel rispetto delle misure di sicurezza del datacenter.
12. Registro delle Violazioni
Il Responsabile mantiene un registro di tutte le violazioni dei dati personali e ne notifica il Titolare entro 24 ore dal rilevamento.
Ultima revisione: 11 agosto 2026