Accordo sul trattamento dei dati

Traduzione di cortesia. In caso di discrepanza prevale la versione inglese.

Ultimo aggiornamento: 4 ottobre 2026

Questo Accordo sul trattamento dei dati ("DPA") forma parte integrante dei Termini di servizio tra te, l'impresa che usa Whappy ("tu" o il "Cliente"), e Whappy Inc., società costituita nel Delaware ("Whappy", "noi"). Si applica ogni volta che Whappy tratta dati personali per tuo conto nel fornire il Servizio, inclusi i dati personali ricevuti da un negozio che colleghi, come un negozio Shopify. Se questo DPA e i Termini sono in conflitto sul trattamento dei dati personali, prevale questo DPA.

1. Ruoli

Per i dati personali dei tuoi contatti e clienti ("Dati personali del Cliente"), tu sei il titolare del trattamento e Whappy è il tuo responsabile del trattamento (o "service provider" ai sensi del CCPA). Per i dati del tuo account, Whappy è il titolare del trattamento, come descritto nella nostra Privacy Policy.

2. Dettagli del trattamento

3. I nostri obblighi

1. Le tue istruzioni. Trattiamo i Dati personali del Cliente solo per fornire il Servizio e sulla base delle tue istruzioni documentate, che sono questi Termini, questo DPA e la tua configurazione del Servizio. Ti avvisiamo se riteniamo che un'istruzione violi la legge.
2. Nessun altro uso. Non vendiamo i Dati personali del Cliente, non li condividiamo per pubblicità comportamentale cross-context, non li combiniamo con i dati di un altro cliente e non li usiamo per addestrare modelli di AI.
3. Riservatezza. Solo il personale di Whappy che ha bisogno di accedervi per far funzionare o supportare il Servizio può raggiungere i Dati personali del Cliente, ed è vincolato alla riservatezza.
4. Sicurezza. Applichiamo le misure della sezione 9 e le manteniamo almeno a quel livello per tutta la durata di questo DPA.
5. Assistenza. Ti aiutiamo a rispondere alle richieste dei tuoi clienti di accedere ai propri dati, correggerli, cancellarli o esportarli, e nelle valutazioni d'impatto sulla protezione dei dati quando il nostro trattamento è rilevante. Per i negozi Shopify collegati, le richieste di accesso e cancellazione sono gestite automaticamente (sezione 8).
6. Notifica delle violazioni. Ti avvisiamo senza ingiustificato ritardo, e in ogni caso entro 72 ore da quando veniamo a conoscenza di una violazione dei dati personali che riguarda i tuoi Dati personali del Cliente, con ciò che sappiamo sulla sua natura, sui dati e sulle persone coinvolte, sulle sue probabili conseguenze e sulle misure adottate. Ti teniamo aggiornato man mano che ne sappiamo di più.
7. Registri e audit. Mettiamo a disposizione le informazioni di cui hai ragionevolmente bisogno per dimostrare il rispetto di questo DPA e rispondiamo a ragionevoli domande di audit scritte una volta l'anno, o dopo una violazione, senza alcun costo.

4. I tuoi obblighi

Sei responsabile di avere una base giuridica per il trattamento che ci istruisci a svolgere, incluso l'opt-in che WhatsApp e la legge richiedono prima che un'impresa scriva a una persona, e dell'esattezza dei dati che porti in Whappy.

5. Sub-responsabili

Ci autorizzi a usare i sub-responsabili elencati di seguito. Vincoliamo ciascuno di essi a condizioni di protezione dei dati almeno altrettanto protettive di questo DPA e restiamo responsabili del loro operato. Diamo un preavviso di almeno 30 giorni per un nuovo sub-responsabile via email all'indirizzo del tuo account; puoi opporti per ragionevoli motivi di protezione dei dati e, se non riusciamo a rispondere all'opposizione, puoi cessare la parte del Servizio interessata.

6. Trasferimenti internazionali

Quando Dati personali del Cliente soggetti al GDPR, al GDPR del Regno Unito o alla legge svizzera vengono trasferiti in un paese privo di una decisione di adeguatezza, le Clausole contrattuali tipo adottate dalla Commissione europea (Modulo 2, o Modulo 3 se sei tu stesso un responsabile del trattamento), con l'Addendum del Regno Unito ove rilevante, sono incorporate in questo DPA per rinvio, con Whappy come importatore dei dati. I tribunali e la legge indicati nei Termini si applicano nella misura consentita dalle clausole.

7. Conservazione e cancellazione

Conserviamo i Dati personali del Cliente per tutto il tempo in cui li tieni nel Servizio. Quando elimini un contatto, una campagna o il tuo account, i dati correlati vengono cancellati dai nostri sistemi di produzione; i backup scadono secondo il loro ciclo normale e non vengono ripristinati se non per recuperare da un incidente. I dati di un negozio collegato hanno limiti più brevi:

8. Negozi Shopify collegati

Quando colleghi un negozio Shopify:

• Che cosa riceviamo. Solo i clienti che in Shopify hanno acconsentito al marketing via WhatsApp diventano contatti o ricevono messaggi. Usiamo nome, email e numero di telefono; non usiamo gli indirizzi. Se un cliente revoca il consenso in Shopify, smette di ricevere da te messaggi di marketing tramite Whappy.
• Richieste degli acquirenti. Quando Shopify ci inoltra la richiesta di un acquirente di ottenere i propri dati, prepariamo un'esportazione di tutto ciò che conserviamo su quell'acquirente e inviamo via email al proprietario del negozio un link di download valido 7 giorni. Quando Shopify ci inoltra la richiesta di cancellazione di un acquirente, anonimizziamo i contatti di quell'acquirente, svuotiamo il testo delle sue conversazioni e cancelliamo i suoi appuntamenti e le registrazioni dei suoi ordini.
• Token di accesso. Il token che consente a Whappy di leggere il tuo negozio è cifrato a riposo e non viene mai mostrato a te né ad altri clienti.
• Fatturazione. I piani per i negozi Shopify sono addebitati da Shopify; Shopify non riceve da noi le conversazioni dei tuoi clienti.

9. Misure di sicurezza

• Cifratura in transito (TLS) su ogni endpoint e a riposo per database, archiviazione e backup; i token di accesso ai negozi sono inoltre sigillati con AES-256-GCM.
• Isolamento dei tenant: ogni richiesta è limitata all'account a cui appartiene.
• Segreti custoditi in un archivio di segreti gestito, con accesso concesso per singolo servizio; i bucket di archiviazione sono privati e raggiungibili solo tramite link firmati di breve durata.
• Accesso del personale limitato a chi ne ha bisogno, con password univoche e robuste e verifica in due passaggi.
• Log degli accessi ai segreti e alle esportazioni conservate tenuti per 400 giorni; log delle richieste per ogni chiamata API.
• Ambienti di sviluppo e produzione separati; i dati di produzione non vengono copiati in sviluppo.
• Una policy scritta di risposta agli incidenti di sicurezza, inclusa la notifica entro 72 ore della sezione 3.

10. Contatti

Domande su questo DPA o una richiesta in materia di protezione dei dati: team@whappy.ai, oppure Whappy Inc., 2045 Connecticut Ln, Sewickley, PA 15143, USA.