Accordo sul trattamento dei dati

1. Parti e ruoli

Il presente DPA integra i Termini di servizio tra il cliente professionale, in qualità di titolare del trattamento, e Giuseppe Cerutti, operante con il nome Repliku, P.IVA IT03365870835, in qualità di responsabile del trattamento ai sensi dell articolo 28 GDPR per i dati trattati per conto del cliente.

2. Oggetto, durata e finalità

Repliku tratta i dati esclusivamente per collegare le sedi autorizzate, importare e gestire recensioni, generare e pubblicare risposte secondo le istruzioni del cliente, produrre report e insight, offrire supporto e garantire sicurezza e continuità del servizio. Il trattamento dura per il periodo di utilizzo del servizio e per il tempo tecnico necessario a restituzione o cancellazione.

3. Dati e interessati

• Interessati: autori delle recensioni, referenti e personale del cliente, utenti autorizzati e persone citate nei contenuti conferiti.
• Dati: identificativi pubblici degli autori, testo e valutazione delle recensioni, risposte, dati delle sedi, metadati provider, comunicazioni di supporto e dati tecnici necessari al servizio.
• Categorie particolari: non sono richieste. Il cliente deve evitare di inserire dati sensibili non necessari e informare Repliku se un trattamento specifico lo richiede.

4. Istruzioni del cliente

Le configurazioni del prodotto, le autorizzazioni provider e le richieste documentate del cliente costituiscono istruzioni. Repliku informa il cliente se ritiene che un istruzione violi la normativa, salvo divieti di legge, e può sospenderne l esecuzione fino a chiarimento.

5. Obblighi di Repliku

• trattare i dati solo su istruzione documentata e per le finalità concordate;
• vincolare alla riservatezza le persone autorizzate al trattamento;
• adottare misure tecniche e organizzative adeguate al rischio;
• assistere ragionevolmente il cliente su diritti degli interessati, valutazioni di impatto e richieste delle autorità;
• mettere a disposizione informazioni utili a dimostrare il rispetto del presente DPA.

6. Misure di sicurezza

Le misure includono, secondo pertinenza:

• controllo degli accessi, separazione dei ruoli e autenticazione gestita da Supabase;
• cifratura in transito, gestione server-side dei segreti e cifratura dei token di integrazione;
• RLS e controlli applicativi per separare i dati dei clienti;
• audit log, rate limit, monitoraggio operativo, retry tracciati e procedure di ripristino;
• minimizzazione dei dati inviati ai provider AI e controlli sui contenuti generati.

7. Sub-responsabili

Il cliente autorizza l uso dei sub-responsabili necessari al servizio, inclusi Supabase, Vercel, Google, provider LLM configurati tramite OpenRouter o integrazione diretta, Resend e Stripe. Repliku impone obblighi di protezione coerenti con il presente DPA e resta responsabile della scelta e gestione dei sub-responsabili nei limiti di legge.

Modifiche sostanziali alla catena dei sub-responsabili saranno comunicate tramite il servizio o email. Il cliente può presentare un opposizione motivata per ragioni di protezione dati; le parti cercheranno una soluzione ragionevole.

8. Trasferimenti internazionali

Quando un trattamento comporta trasferimenti fuori dallo Spazio Economico Europeo, Repliku usa un meccanismo valido ai sensi del GDPR, incluse decisioni di adeguatezza, Data Privacy Framework ove applicabile o Clausole Contrattuali Standard, con misure supplementari quando necessarie.

9. Violazioni di dati personali

Repliku informa il cliente senza ingiustificato ritardo dopo aver accertato una violazione che coinvolga dati trattati per suo conto e fornisce le informazioni ragionevolmente disponibili per consentire gli adempimenti previsti dagli articoli 33 e 34 GDPR.

10. Restituzione e cancellazione

Alla cessazione, su richiesta del cliente Repliku cancella o restituisce i dati trattati per suo conto, salvo obblighi legali di conservazione e copie tecniche temporanee soggette a ciclo di eliminazione e accesso limitato.

11. Verifiche

Repliku fornisce documentazione ragionevole sulla sicurezza e sul trattamento. Eventuali audit ulteriori devono essere concordati con preavviso, limitati a una volta l anno salvo incidente o richiesta dell autorità, condotti senza compromettere sicurezza o riservatezza di altri clienti e sostenuti dal cliente per i costi straordinari.

12. Priorità e contatti

In caso di contrasto sulle materie di protezione dati, prevale il presente DPA sui Termini. Per richieste privacy: privacy@repliku.io.