Allegato A alle condizioni d'uso: accordo sul trattamento dei dati

Versione del 16 ottobre 2026 (prima versione: 10 settembre 2026; il 1° ottobre cambiati il luogo del server OVHcloud e il paragrafo sui trasferimenti; il 16 ottobre l'indirizzo email del responsabile, ora privacy@vociamo.app, e la trascrizione con le sue traduzioni, leggibile dai partecipanti e scaricabile se il titolare lo abilita). Non rivista da un avvocato (per ora non c'è). Scritta seguendo l'articolo 28 del Regolamento UE 2016/679 («GDPR»), che elenca cosa deve contenere il contratto fra chi decide sui dati e chi li tratta per suo conto.

1. Le parti e i ruoli

• Titolare: il cliente, cioè l'organizzazione che usa Vociamo per i propri tour (agenzia, museo, associazione, guida in proprio). Decide quali tour fare, cosa dicono le guide, quali termini stanno nel glossario, e risponde verso i partecipanti.
• Responsabile: Alessandro Nardoni, via XXV Aprile 33, 50065 Pontassieve (FI), privacy@vociamo.app, che fornisce Vociamo e tratta i dati solo per far funzionare il servizio.

Per gli account degli operatori (email, password, ruoli) il responsabile è invece titolare in proprio: lo dice l'informativa privacy.

2. Oggetto, durata, natura e finalità del trattamento

Il responsabile tratta per conto del titolare, per tutta la durata del contratto e con i mezzi descritti nell'informativa privacy:

• il parlato delle guide, riconosciuto in testo frase per frase, e le sue traduzioni, per tradurlo, sottotitolarlo, farlo rileggere ai partecipanti durante l’evento e, solo se il titolare lo abilita per quell’evento, farlo scaricare ai telefoni che hanno partecipato, anche dopo la fine (conservato 30 giorni da quando ogni frase è stata detta);
• le domande scritte dei partecipanti e le «mani alzate», per farle arrivare alla guida tradotte (conservate 90 giorni);
• le partecipazioni ai tour: chiave anonima del telefono (solo impronta), lingua, preferenza voce o sottotitoli, ora di ingresso e uscita (conservate 90 giorni);
• i contenuti caricati dal cliente: tappe, glossari, eventuali registrazioni della voce della guida (finché il cliente li cancella);
• i contatori di consumo per tour (senza dati personali, conservati per la fatturazione).

Categorie di interessati: le guide e i moderatori del cliente; i partecipanti ai tour. Nessun dato di categorie particolari (salute, opinioni, eccetera) viene richiesto; se una guida o un partecipante lo pronuncia o lo scrive, viene trattato come il resto del parlato e cancellato con le stesse regole.

3. Obblighi del responsabile

Il responsabile:

1. tratta i dati solo su istruzione documentata del titolare, e l'istruzione è l'uso del servizio come descritto nelle condizioni d'uso; se una legge gli impone altro, avvisa il titolare prima, salvo divieto di legge;
2. garantisce che le persone che accedono ai dati (oggi il solo responsabile) siano tenute alla riservatezza;
3. adotta le misure di sicurezza dell'informativa privacy (cifratura in transito, password conservate come impronte, regole di isolamento fra organizzazioni nel database, codici di accesso ai tour revocabili, cancellazione automatica per età) e le aggiorna con la tecnica;
4. ricorre ad altri responsabili (i fornitori del punto 5) solo con l'autorizzazione generale del titolare, data con l'accettazione delle condizioni d'uso; avvisa il titolare via email prima di aggiungere o cambiare un fornitore, e il titolare può opporsi entro 30 giorni recedendo dal contratto;
5. aiuta il titolare a rispondere alle richieste degli interessati (accesso, cancellazione e gli altri diritti), entro 10 giorni dalla richiesta del titolare, con i mezzi che ha: per esempio cancellando le domande di un partecipante indicato per tour e orario;
6. aiuta il titolare negli obblighi di sicurezza e di notifica: comunica al titolare ogni violazione dei dati (accesso non autorizzato, perdita, divulgazione) entro 48 ore da quando ne viene a conoscenza, con quello che sa del fatto, delle persone coinvolte e dei rimedi;
7. alla fine del contratto cancella i dati trattati per conto del titolare entro 30 giorni, salvo i contatori di consumo necessari alla fatturazione e salvo obblighi di legge; il titolare può prima chiedere l'esportazione dei propri contenuti (tappe, glossari) in un formato leggibile;
8. mette a disposizione del titolare le informazioni necessarie a dimostrare il rispetto di questo accordo (l'informativa privacy, l'elenco dei fornitori, le regole di conservazione scritte nel codice) e consente verifiche ragionevoli, concordate con almeno 15 giorni di preavviso e a spese del titolare.

4. Obblighi del titolare

Il titolare:

1. informa i partecipanti e le proprie guide del trattamento (la riga privacy sulla pagina del tour e l'informativa fanno parte del servizio, ma l'obbligo di informare resta suo);
2. non fa registrare persone senza consenso e non carica nel glossario o nelle tappe dati che non ha il diritto di trattare;
3. gestisce gli account dei propri operatori (aggiunte e revoche);
4. decide, evento per evento, se i partecipanti possono scaricare la trascrizione: lo scaricamento è spento finché un proprietario o un amministratore del titolare non lo accende, e il responsabile non lo accende mai da sé; accendendolo, il titolare si impegna ad averne informato chi parla in quell’evento.

5. Altri responsabili autorizzati

Quelli dell'informativa privacy alla data di questo accordo: Supabase (database e account, Francoforte), Vercel (app web, Francoforte), OVHcloud (server del motore e centralino, Francoforte), Google Cloud (riconoscimento vocale, traduzione, sintesi vocale, assistenza al glossario; regioni europee, clausole contrattuali standard per il resto), Resend (email, Irlanda), OpenAI (solo se il cliente chiede la traduzione «diretta», oggi spenta; Stati Uniti con clausole contrattuali standard).

6. Trasferimenti fuori dall'Unione europea

Nessun trasferimento programmato: i dati stanno in Germania, in Irlanda (solo le email allo staff) e nelle regioni europee di Google. Dove un fornitore (Google, OpenAI) può trattare dati fuori dall'Unione, valgono le clausole contrattuali standard della Commissione europea incluse nei suoi contratti.

7. Durata e modifiche

Questo accordo dura quanto le condizioni d'uso. Le modifiche seguono la regola delle condizioni (30 giorni di preavviso via email).

English summary (the Italian text prevails)

This annex is the data processing agreement required by Article 28 GDPR. The customer (the organisation running tours) is the controller of tour content: guides' speech recognised as text (kept 30 days), visitors' written questions and raised hands (90 days), tour participations (90 days), uploaded stops, glossaries and stop recordings (until deleted), usage counters (kept for invoicing). Alessandro Nardoni, via XXV Aprile 33, 50065 Pontassieve (FI), Italy, privacy@vociamo.app, is the processor and: processes only to provide the service; keeps the data confidential; applies the security measures of the privacy notice; uses the sub-processors listed there (Supabase, Vercel, OVHcloud, Google Cloud, Resend, OpenAI only if enabled) under the customer's general authorisation, notifying changes by email with a 30-day right to withdraw; helps with data-subject requests within 10 days; notifies personal data breaches within 48 hours; deletes the customer's data within 30 days after the contract ends, except usage counters needed for invoicing; provides the information needed to demonstrate compliance and allows reasonable audits on 15 days' notice at the customer's expense. Data stays in the EU except where Google or OpenAI may process outside it under the EU standard contractual clauses.