Nomina a responsabile del trattamento

Versione: 2026-10-13
Si applica a: HiText Business (piani mensile e annuale e registrazione gratuita con interlocutori)

Questo testo è una traduzione. In caso di discrepanza prevale la versione in spagnolo: leggi la versione in spagnolo.

Questo contratto regola il modo in cui trattiamo, per conto del cliente, i dati personali contenuti nelle registrazioni che carica su HiText Business, ai sensi dell'articolo 28 del Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati, «GDPR») e della Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD», la legge organica spagnola sulla protezione dei dati personali e la garanzia dei diritti digitali).

1. Parti

• Titolare del trattamento (il «Cliente»): la persona fisica o giuridica titolare dell'account di HiText Business, con i dati che indica al momento della registrazione e del pagamento.
• Responsabile del trattamento (il «Responsabile»): Roberto Díaz Badra, professionista autonomo che opera con il nome commerciale Disruptive Normality, con sede in Spagna, contatto: disruptivenormality@gmail.com.

2. Accettazione e versione

Il Cliente accetta questo contratto spuntando l'apposita casella prima di caricare la registrazione gratuita con interlocutori o prima di pagare l'abbonamento, a seconda di cosa avvenga prima. Conserviamo la versione accettata, la data e un identificativo pseudonimo della connessione da cui è stata accettata. Questo contratto fa parte delle condizioni del servizio e prevale su di esse per quanto riguarda la protezione dei dati.

3. Oggetto

Il Responsabile presta al Cliente un servizio online che, a partire dalle registrazioni audio o video caricate dal Cliente:

• trascrive la registrazione e separa gli interventi per interlocutore (opzione attiva per impostazione predefinita, che il Cliente può disattivare per usare la trascrizione normale senza interlocutori);
• genera documenti con dei modelli (intervista per interlocutore, sintesi di più interviste, verbale di riunione o il formato del Cliente);
• conserva le trascrizioni, i documenti, i progetti, i nomi degli interlocutori, il glossario e i modelli del Cliente perché possa consultarli, modificarli ed esportarli;
• avvisa il Cliente via email quando una trascrizione è pronta.

Il Responsabile tratta i dati solo per prestare questo servizio, secondo le istruzioni documentate del Cliente. Sono considerate istruzioni documentate questo contratto, l'uso che il Cliente fa del servizio (caricare, elaborare, modificare, esportare e cancellare) e la sua configurazione.

4. Durata

Questo contratto dura quanto il rapporto del Cliente con HiText Business, inclusa la registrazione gratuita con interlocutori, e continua ad applicarsi finché il Responsabile conserva dati del Cliente secondo il punto 12.

5. Dati e interessati

Tipi di dati personali:

• la voce delle persone che compaiono nelle registrazioni e il contenuto di ciò che dicono;
• i dati menzionati nella conversazione: nomi, ruoli, dati di contatto o professionali, opinioni ed esperienze;
• i nomi che il Cliente assegna agli interlocutori, i nomi dei file e dei progetti, il glossario e i modelli;
• le trascrizioni e i documenti generati.

Interessati: persone intervistate e intervistatrici, presenti e partecipanti alle riunioni, e terzi menzionati nelle registrazioni.

Dati esclusi. HiText Business non è progettato per trattare categorie particolari di dati (articolo 9 del GDPR: dati relativi alla salute, origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici intesi a identificare in modo univoco una persona, e dati relativi alla vita sessuale o all'orientamento sessuale) né dati relativi a condanne penali e reati (articolo 10 del GDPR). Il Cliente si impegna a non usare il servizio per registrazioni il cui oggetto sia il trattamento di tali dati, come visite mediche, sedute di terapia o procedimenti penali. Se ciononostante compaiono in modo incidentale in una registrazione, il Cliente è l'unico responsabile di disporre di una base giuridica valida per trattarli.

Separazione degli interlocutori, non identificazione. Il servizio distingue le voci all'interno di ogni registrazione per attribuire gli interventi. Non crea impronte vocali né confronta voci tra registrazioni diverse per identificare persone: i nomi degli interlocutori li assegna il Cliente.

6. Obblighi del Cliente

Il Cliente, in qualità di titolare del trattamento:

• decide cosa registrare e cosa caricare, e garantisce di avere una base giuridica per farlo;
• informa le persone registrate e, quando la legge lo richiede, ne ottiene il consenso;
• dà seguito ai diritti degli interessati, con l'assistenza del Responsabile prevista al punto 10;
• non carica dati esclusi ai sensi del punto 5;
• mantiene la sicurezza del proprio account (password e accesso alla propria email).

7. Obblighi del Responsabile

Il Responsabile si impegna a:

1. Trattare i dati solo su istruzione documentata del Cliente, anche in caso di trasferimenti internazionali, salvo che lo richieda il diritto dell'Unione o di uno Stato membro. In tal caso, informerà il Cliente prima del trattamento, salvo che tale diritto lo vieti.
2. Informare immediatamente il Cliente qualora ritenga che un'istruzione violi il GDPR o altre norme in materia di protezione dei dati.
3. Garantire che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza o abbiano un obbligo legale di riservatezza.
4. Applicare le misure di sicurezza del punto 9.
5. Rispettare le condizioni del punto 8 per ricorrere ad altri responsabili (sub-responsabili).
6. Assistere il Cliente, con misure tecniche e organizzative adeguate, nel dare seguito alle richieste di esercizio dei diritti degli interessati.
7. Assistere il Cliente nel garantire il rispetto degli obblighi di cui agli articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni dei dati personali, valutazioni d'impatto e consultazione preventiva), tenendo conto della natura del trattamento e delle informazioni a sua disposizione.
8. Cancellare o restituire i dati al termine del servizio, secondo il punto 12.
9. Mettere a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto di questo contratto e consentire le attività di revisione, secondo il punto 13.
10. Tenere il registro delle attività di trattamento svolte per conto di terzi di cui all'articolo 30, paragrafo 2, del GDPR.
11. Non usare i dati del Cliente per finalità proprie, non venderli né cederli, e non usarli per addestrare modelli di intelligenza artificiale, né consentire che lo facciano i suoi sub-responsabili.

Il Responsabile può trattare dati tecnici e di utilizzo aggregati o associati all'account (per esempio, la durata dei file, il numero di documenti o gli errori del servizio) per fatturare, controllare la quota, prevenire abusi e mantenere la sicurezza del servizio, senza accedere a tal fine al contenuto delle registrazioni.

8. Sub-responsabili

Il Cliente autorizza in via generale il Responsabile a ricorrere a sub-responsabili. Quelli coinvolti alla data di questa versione sono:

• Google Cloud e Firebase (Google Ireland Limited e Google LLC): autenticazione, database e archiviazione dei file, ospitati nell'Unione europea, e funzioni server che elaborano i file e le richieste, eseguite negli Stati Uniti.
• Google Vertex AI (Google Ireland Limited e Google LLC): trascrizione con separazione degli interlocutori tramite modelli Gemini, nella località multiregionale dell'Unione europea.
• Deepgram (Deepgram, Inc.): trascrizione di riserva quando il servizio principale non funziona e per i file di oltre 60 minuti, tramite il suo endpoint dell'Unione europea e con l'opzione di non usare i dati per migliorare i suoi modelli.
• Replicate (Replicate, Inc.): trascrizione normale (senza interlocutori) con il modello Whisper, quando il Cliente disattiva la separazione per interlocutore o trascrive un link video. Stati Uniti.
• Firecrawl: estrazione della traccia audio quando il Cliente trascrive un link video. Stati Uniti.
• OpenAI (servizio API per le aziende): redazione dei documenti a partire dalla trascrizione e, nella trascrizione normale, rilevamento della lingua, traduzione e riassunto. Può trattare i dati negli Stati Uniti.
• Resend (Plus Five Five, Inc.): invio degli avvisi via email. Riceve l'indirizzo email del Cliente e il nome del file, mai il testo della trascrizione. Stati Uniti.
• Stripe (Stripe Payments Europe, Limited): addebito dell'abbonamento e fatture. Tratta i dati di fatturazione del Cliente, non il contenuto delle registrazioni.
• RevenueCat (RevenueCat, Inc.): stato dell'abbonamento per sbloccare il piano sul web e nell'app. Riceve un identificativo dell'account e i dati dell'abbonamento, non il contenuto delle registrazioni. Stati Uniti.

Il Responsabile impone contrattualmente a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a quelli di questo contratto, e resta responsabile nei confronti del Cliente del loro adempimento.

Modifiche. Il Responsabile avviserà il Cliente con almeno 15 giorni di anticipo, via email o con un avviso nel servizio, prima di aggiungere o sostituire un sub-responsabile. Se il Cliente si oppone per motivi ragionevoli legati alla protezione dei dati, può annullare l'abbonamento prima che la modifica si applichi e chiedere la cancellazione dei propri dati.

9. Misure di sicurezza

Il Responsabile applica almeno queste misure, tenendo conto dello stato dell'arte, dei costi e dei rischi del trattamento:

• cifratura delle comunicazioni (HTTPS/TLS) e cifratura dei dati archiviati offerta da Google Cloud;
• accesso ai dati di ogni account limitato al suo titolare tramite regole di sicurezza per utente, e accesso del server con account di servizio con privilegi minimi;
• richieste firmate tra i servizi del Responsabile;
• cancellazione automatica delle registrazioni secondo il punto 11;
• accesso ai sistemi limitato al personale del Responsabile che ne ha bisogno;
• revisione delle misure quando il servizio cambia o si rileva un incidente.

10. Diritti degli interessati

Se un interessato si rivolge al Responsabile per esercitare i propri diritti di accesso, rettifica, cancellazione, opposizione, limitazione del trattamento o portabilità su dati che il Responsabile tratta per conto del Cliente, il Responsabile lo comunicherà al Cliente senza ingiustificato ritardo e, al più tardi, entro 5 giorni lavorativi, senza rispondere egli stesso alla richiesta salvo istruzione del Cliente. Il servizio consente al Cliente di consultare, esportare, correggere e cancellare autonomamente i propri file e documenti.

11. Conservazione e cancellazione delle registrazioni

• File originale audio o video: viene cancellato al termine della trascrizione. Se il processo non va a buon fine, una regola automatica lo elimina al più tardi entro 7 giorni dal caricamento.
• Trascrizioni, documenti, progetti e modelli: sono conservati nell'account del Cliente finché questi non li cancella. Il Cliente può cancellare ogni file, con i relativi documenti, o tutti i propri dati dalle impostazioni dell'account.
• Copie dei sub-responsabili: i fornitori di trascrizione e di redazione trattano il contenuto solo durante l'elaborazione e possono conservarlo temporaneamente secondo le loro condizioni per le aziende, per esempio per prevenire abusi, senza usarlo per addestrare modelli.

12. Fine del servizio: restituzione e cancellazione

Al termine dell'abbonamento, o dopo aver usato la registrazione gratuita, il Cliente può continuare ad accedere al proprio account per consultare ed esportare i propri documenti, e cancellarli quando vuole. Se il Cliente lo richiede per iscritto, il Responsabile cancellerà tutti i suoi dati entro un massimo di 30 giorni. In assenza di richiesta, il Responsabile cancellerà i dati dell'account quando saranno trascorsi 12 mesi senza attività. Sono esclusi i dati che il Responsabile deve conservare per obbligo di legge, come quelli di fatturazione, che sono conservati in forma bloccata per i periodi previsti dalla legge.

13. Informazioni e attività di revisione

Il Responsabile metterà a disposizione del Cliente, su richiesta, le informazioni necessarie per dimostrare il rispetto di questo contratto, in primo luogo tramite documentazione e risposte scritte. Se ciò non fosse sufficiente, il Cliente potrà effettuare un audit, al massimo una volta all'anno, con un preavviso di 30 giorni, a proprie spese, senza accedere ai dati di altri clienti e con l'impegno di riservatezza del revisore.

14. Violazioni dei dati personali

Se il Responsabile viene a conoscenza di una violazione della sicurezza che riguarda dati del Cliente, gliela notificherà senza ingiustificato ritardo e, in ogni caso, entro un massimo di 48 ore, via email all'indirizzo dell'account. La notifica includerà, nella misura in cui siano noti: la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni di dati coinvolti, le possibili conseguenze, le misure adottate o proposte e un punto di contatto.

15. Trasferimenti internazionali

Alcuni sub-responsabili trattano dati al di fuori dello Spazio economico europeo (in particolare, negli Stati Uniti), come indicato al punto 8. Tali trasferimenti avvengono con garanzie adeguate ai sensi del capo V del GDPR: l'adesione del fornitore al Quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e/o le clausole contrattuali tipo approvate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914), con le misure supplementari del caso. Il Cliente può chiedere maggiori informazioni su queste garanzie.

16. Responsabilità

Ciascuna parte risponde dei propri obblighi ai sensi dell'articolo 82 del GDPR. Se il Responsabile tratta i dati per finalità proprie o viola questo contratto, sarà considerato titolare del trattamento per quanto riguarda tale trattamento.

17. Modifiche a questo contratto

Il Responsabile può aggiornare questo contratto per adeguarlo a modifiche normative o del servizio. Pubblicherà ogni versione con la sua data su questa pagina e avviserà il Cliente via email con almeno 15 giorni di anticipo se le modifiche sono rilevanti. Se il Cliente non è d'accordo, può annullare l'abbonamento prima che entrino in vigore.

18. Legge applicabile e foro competente

Questo contratto è regolato dalla legislazione spagnola e dal GDPR. Per qualsiasi controversia, le parti si sottopongono ai giudici e ai tribunali di Las Palmas de Gran Canaria, salvo che la legge stabilisca un diverso foro inderogabile.

19. Contatti

Per qualsiasi questione su questo contratto o sulla protezione dei dati: disruptivenormality@gmail.com.