Avviso: questa versione italiana è fornita solo a fini informativi. In caso di divergenza tra le versioni, prevale la versione inglese.

Il presente Master Data Processing Addendum ("MDPA") è incorporato per riferimento nell'accordo che disciplina l'uso dei servizi Voice2Evolve ("Accordo") concluso tra il Cliente (come definito nell'Accordo) ("Cliente") e Voice2Evolve UG (haftungsbeschränkt) ("Voice2Evolve"), al fine di riflettere l'accordo delle Parti in merito al trattamento dei Dati personali da parte di Voice2Evolve esclusivamente per conto del Cliente. Le parti sono indicate collettivamente come "Parti" e singolarmente come "Parte".

Salvo quanto diversamente previsto nel presente MDPA, i termini dell'Accordo restano pienamente efficaci. Tutti i termini con iniziale maiuscola non definiti nel presente MDPA hanno il significato attribuito loro nell'Accordo. Qualsiasi clausola o accordo precedente in materia di privacy o protezione dei dati tra Voice2Evolve e il Cliente è sostituito dal presente MDPA.

Il presente MDPA è originariamente efficace dall'08.02.2026 ed è stato aggiornato da ultimo il 27 aprile 2026. È efficace tra il Cliente e Voice2Evolve dalla data di efficacia dell'Accordo (la "Data di efficacia del MDPA").

Le Parti convengono quanto segue.

1. Definizioni

Salvo diversa definizione nel presente documento, i termini con iniziale maiuscola hanno il significato previsto dalle leggi applicabili in materia di protezione dei dati.

Affiliata: qualsiasi entità che controlla direttamente o indirettamente una Parte, è controllata da essa o è sottoposta a controllo comune con essa.
Giurisdizione approvata: qualsiasi paese nello Spazio economico europeo o riconosciuto dalla Commissione europea come idoneo ad assicurare un livello di protezione adeguato.
Titolare del trattamento: l'entità che determina le finalità e i mezzi del trattamento dei Dati personali.
Responsabile del trattamento: l'entità che tratta Dati personali per conto di un Titolare del trattamento.
Dati personali: qualsiasi informazione riguardante una persona fisica identificata o identificabile.
Trattamento: qualsiasi operazione compiuta su Dati personali, quali raccolta, conservazione, modifica, trasmissione o cancellazione.
Sub-responsabile: un responsabile terzo incaricato da Voice2Evolve.
Interessato: una persona fisica identificabile cui si riferiscono i Dati personali.
Misure di sicurezza: le misure tecniche e organizzative implementate da Voice2Evolve come descritte nell'Allegato A.
Violazione dei dati: qualsiasi incidente di sicurezza che comporti distruzione, perdita, alterazione, divulgazione non autorizzata o accesso non autorizzato, in modo accidentale o illecito, a Dati personali.
Autorità di controllo: un'autorità pubblica indipendente istituita ai sensi dell'articolo 51 GDPR.
Categorie particolari di Dati personali: come definite dall'articolo 9 GDPR, incluse salute, dati biometrici o dati relativi a condanne penali.
Leggi sulla protezione dei dati: GDPR, UK GDPR, CPRA e, ove applicabile, la legge canadese PIPEDA e la legge del Quebec sulla protezione delle informazioni personali nel settore privato, come modificata dalla Law 25, collettivamente.

2. Ruoli e responsabilità

2.1 Rapporto tra le Parti

Il Cliente agisce quale Titolare del trattamento e Voice2Evolve quale Responsabile del trattamento.

2.2 Istruzioni del Cliente

Voice2Evolve tratterà i Dati personali solo su istruzioni documentate del Cliente. Se Voice2Evolve ritiene che un'istruzione violi il GDPR o la legge applicabile, informerà immediatamente il Cliente.

2.3 Ambito e finalità

Il trattamento riguarda sparring vocale basato su IA, trascrizione, punteggi e analisi correlate.

2.4 Durata

Il trattamento prosegue per la durata dell'Accordo e termina quando tutti i dati sono restituiti o cancellati ai sensi della Sezione 14.

2.5 Categorie particolari e dati vocali

I Servizi trattano audio vocale live per sparring conversazionale, formazione e analisi basati su IA. Nel flusso di servizio attualmente documentato, Voice2Evolve non conserva l'audio grezzo della sessione dopo il trattamento e non tratta dati vocali allo scopo di identificare in modo univoco una persona fisica (identificazione biometrica) ai sensi dell'articolo 9(1) GDPR. Di conseguenza, l'audio vocale live trattato ai sensi del presente MDPA non è considerato Categoria particolare di Dati personali solo perché è dato vocale. Il Cliente non deve inviare ai Servizi Categorie particolari di Dati personali (articolo 9 GDPR) salvo espresso accordo scritto.

2.6 Decisioni automatizzate

I Servizi generano punteggi, analisi e feedback tramite modelli di IA. Tali output sono forniti solo a fini informativi e formativi e non producono effetti giuridici o effetti analogamente significativi sugli Interessati ai sensi dell'articolo 22(1) GDPR. Nessuna decisione con conseguenze giuridiche o equivalenti è presa esclusivamente sulla base di trattamento automatizzato.

2.7 Isolamento dei dati dei tenant

Voice2Evolve garantisce contrattualmente la separazione logica dei Dati personali di ciascun Cliente da quelli di altri clienti. L'isolamento è applicato tramite policy di row-level security del database, autenticazione scoped per tenant e controlli di accesso applicativi. I Dati personali di un Cliente non sono mescolati con quelli di un altro cliente né accessibili a quest'ultimo.

2.8 Contatto protezione dati

Il contatto designato per le questioni di protezione dei dati ai sensi del presente MDPA è: Voice2Evolve UG (haftungsbeschränkt) — Email: help@voice2evolve.com

3. Obblighi del Titolare

Il Cliente informerà tempestivamente Voice2Evolve di reclami, richieste o indagini di Interessati o Autorità di controllo relativi al trattamento ai sensi del presente MDPA. Le Parti coopereranno per assicurare comunicazioni coerenti e tempestive con regolatori e Interessati.

Il Cliente deve:

assicurare una base giuridica per tutti i dati forniti;
adempiere agli obblighi di informazione e consenso verso gli Interessati;
fornire dati accurati e minimizzati;
documentare le proprie finalità di trattamento e informare Voice2Evolve di eventuali modifiche.

4. Obblighi del Responsabile (art. 28(3)(a)-(h) GDPR) e conformità transgiurisdizionale

Voice2Evolve osserva anche obblighi equivalenti del Responsabile ai sensi delle leggi statunitensi sulla privacy, incluse CPRA (California) e CDPA (Virginia), e delle leggi canadesi sulla privacy, incluse PIPEDA e Quebec Law 25, applicando principi coerenti di protezione dei dati, riservatezza e diritti dei consumatori.

Voice2Evolve deve:

trattare i Dati personali solo su istruzioni scritte del Cliente;
assicurare la riservatezza del personale (art. 28(3)(b));
implementare misure tecniche e organizzative adeguate (art. 28(3)(c));
rispettare l'autorizzazione sui sub-responsabili e mantenere un elenco aggiornato (art. 28(3)(d));
assistere il Cliente nel rispondere alle richieste degli Interessati (art. 28(3)(e));
assistere il Cliente con DPIA e consultazioni con autorità di controllo (art. 28(3)(f));
cancellare o restituire i dati dopo la cessazione salvo obbligo di legge (art. 28(3)(g));
mettere a disposizione le informazioni necessarie per dimostrare la conformità e supportare la verifica come descritto nella Sezione 10 (art. 28(3)(h));
cooperare con le autorità di controllo;
mantenere registri di trattamento ai sensi dell'art. 30(2) GDPR.

5. Sub-trattamento

Voice2Evolve può incaricare sub-responsabili elencati nell'Allegato B e nell'elenco pubblico corrente dei sub-responsabili. I sub-responsabili che trattano Dati personali per conto di Voice2Evolve sono soggetti a termini scritti di trattamento dei dati, garanzie di trasferimento e obblighi di sicurezza adeguati al loro ruolo. Voice2Evolve resta responsabile degli atti e delle omissioni dei sub-responsabili incaricati ai sensi del presente MDPA.

Per chiarezza: quando un Interessato sceglie di autenticarsi tramite un fornitore esterno di identità (ad esempio Google o Microsoft Azure), tale fornitore può agire come titolare autonomo per il trattamento svolto nel proprio servizio di autenticazione. Tali fornitori non sono incaricati da Voice2Evolve come sub-responsabili salvo che siano espressamente elencati nell'Allegato B per il trattamento di Dati personali del Cliente per conto del Cliente.

5.1 Preavviso di nuovi sub-responsabili

Voice2Evolve informerà il Cliente almeno trenta (30) giorni di calendario prima di autorizzare un nuovo sub-responsabile a trattare Dati personali. La notifica sarà fornita tramite i dati di contatto associati all'account del Cliente o tramite un meccanismo di notifica delle modifiche cui il Cliente può iscriversi.

5.2 Diritto di opposizione

Il Cliente può opporsi a un nuovo sub-responsabile per motivi ragionevoli di protezione dei dati comunicandolo per iscritto a Voice2Evolve entro il periodo di preavviso di trenta (30) giorni. Voice2Evolve compirà sforzi commercialmente ragionevoli per gestire l'obiezione, anche offrendo un sub-responsabile o una configurazione alternativa. Se Voice2Evolve non può ragionevolmente accogliere l'obiezione entro trenta (30) giorni dalla ricezione, il Cliente può risolvere i Servizi interessati, o l'Accordo se il sub-responsabile è essenziale all'intero Servizio, senza penale, mediante avviso scritto prima che il nuovo sub-responsabile inizi il trattamento.

6. Misure di sicurezza (art. 32 GDPR)

Voice2Evolve mantiene le Misure di sicurezza descritte nell'Allegato A, incluse:

cifratura dei dati a riposo e in transito;
controllo degli accessi basato sui ruoli e sul privilegio minimo;
autenticazione multifattore;
logging, monitoraggio e gestione degli incidenti;
valutazioni periodiche delle vulnerabilità e test di sicurezza proporzionati al rischio;
cancellazione sicura e politica di conservazione di 30 giorni.

7. Notifica di violazione dei dati (art. 33 GDPR)

Voice2Evolve informerà il Cliente di qualsiasi Violazione dei Dati personali senza indebito ritardo e comunque entro settantadue (72) ore da quando ne venga a conoscenza. La notifica iniziale includerà, per quanto ragionevolmente disponibile, la natura della violazione, le categorie e il numero approssimativo di Interessati e registrazioni interessate, le probabili conseguenze e le misure adottate o proposte. Se i dettagli completi non sono ancora disponibili, Voice2Evolve fornirà informazioni ulteriori per fasi senza ulteriore indebito ritardo.

8. Diritti degli Interessati

Verifica dell'identità dell'Interessato

Prima di soddisfare qualsiasi richiesta di un Interessato, Voice2Evolve verifica l'identità del richiedente ai sensi dell'articolo 12(6) GDPR. I metodi possono includere autenticazione tramite le credenziali dell'account registrato o altri processi ragionevoli per prevenire accessi o divulgazioni non autorizzati. (Artt. 15-22 GDPR)

Voice2Evolve assisterà il Cliente nel soddisfare richieste di accesso, rettifica, limitazione, cancellazione, portabilità o opposizione. Per le richieste di portabilità, Voice2Evolve renderà disponibili i Dati personali pertinenti in formato strutturato, di uso comune e leggibile da macchina (JSON o CSV). Voice2Evolve non risponderà direttamente agli Interessati salvo autorizzazione del Cliente.

9. Trasferimenti internazionali (artt. 44-49 GDPR)

Voice2Evolve conduce Transfer Impact Assessments (TIA) prima di qualsiasi trasferimento internazionale di dati in linea con le linee guida EDPB, considerando leggi di sorveglianza, accesso delle autorità pubbliche e mezzi di ricorso. Le TIA sono mantenute nella nostra documentazione sui fornitori e sono disponibili ai Clienti su richiesta legittima.

I trasferimenti fuori dal SEE si basano su:

Clausole contrattuali tipo UE (Allegato C);
Addendum UK (Allegato D); oppure
decisioni di adeguatezza o altre garanzie lecite.

Voice2Evolve assicura che i dati trasferiti verso paesi terzi restino protetti a un livello equivalente al GDPR.

10. Verifica della conformità e documentazione

Voice2Evolve metterà a disposizione informazioni ragionevolmente necessarie a dimostrare la conformità tramite documentazione scritta e misure di assurance da remoto progettate per proteggere sicurezza, riservatezza e privacy di altri clienti. Non sono offerte ispezioni routinarie in loco di residenze private, home office o strutture di data center di terzi.

Il Cliente può richiedere informazioni di conformità annualmente o dopo una Violazione dei Dati personali confermata che riguardi i Dati del Cliente.
Voice2Evolve può soddisfare tali richieste tramite policy, riepiloghi di sicurezza, risposte a questionari, sintesi di audit o certificazioni indipendenti e sessioni di chiarimento da remoto.
Qualsiasi ispezione ulteriore rispetto a revisione documentale o da remoto richiede previo accordo scritto di Voice2Evolve o un chiaro obbligo legale imperativo di un'autorità competente.
La documentazione necessaria alla dimostrazione della conformità sarà mantenuta e fornita su richiesta, soggetta a garanzie di riservatezza, sicurezza e proporzionalità.

11. Responsabilità

La responsabilità complessiva di ciascuna Parte derivante dal presente MDPA o connessa ad esso è limitata al totale dei corrispettivi pagati ai sensi dell'Accordo nei dodici (12) mesi precedenti l'evento che ha dato origine al reclamo.

Questa limitazione non si applica a: (a) responsabilità derivante da dolo o frode; (b) violazioni delle Leggi sulla protezione dei dati nella misura in cui la responsabilità non possa essere limitata da norme imperative; (c) violazioni degli obblighi di riservatezza.

Ciascuna Parte è l'unica responsabile per sanzioni amministrative o provvedimenti imposti direttamente nei suoi confronti da un'Autorità di controllo a causa della propria non conformità alle Leggi sulla protezione dei dati applicabili.

12. Conformità alla protezione dei dati svizzera (FADP)

Voice2Evolve si conforma anche alla Legge federale svizzera sulla protezione dei dati (FADP). Per i trasferimenti dalla Svizzera si applicano le stesse garanzie, Clausole contrattuali tipo e Misure di sicurezza previste nel presente MDPA. L'autorità competente è il Federal Data Protection and Information Commissioner (FDPIC).

13. Legge applicabile e foro

Il presente MDPA è regolato dalle leggi della Repubblica federale di Germania. Il foro competente per le controversie è Stoccarda, Germania, salvo diversa previsione di norme imperative.

14. Conservazione e cancellazione dei dati

Voice2Evolve mantiene programmi chiari di conservazione e cancellazione dei dati ai sensi degli articoli 30 e 32 GDPR. Tutti i Dati personali sono conservati solo per il tempo necessario alle finalità del trattamento o agli obblighi legali. I periodi di conservazione sono definiti secondo i seguenti criteri:

Trascrizioni di sessione: soggette all'impostazione configurabile del Cliente (7-365 giorni; default 30 giorni). Alla scadenza, il Cliente può scegliere l'anonimizzazione in loco, sostituendo il contenuto parlato con un marker redatto e conservando i metadati di sessione, invece della cancellazione. L'opzione di anonimizzazione alla scadenza è abilitata di default. In assenza di configurazione, le trascrizioni sono anonimizzate o cancellate entro 30 giorni dalla fine della sessione.
Analisi e punteggi di sessione (non trascrizione): punteggi, risultati di analisi, metriche comportamentali e altri dati di sessione non trascrittivi sono conservati per la durata dell'account utente e cancellati entro 30 giorni dalla chiusura dell'account, salvo richiesta precedente del Cliente o dell'Interessato.
Report di valutazione della qualità del servizio: i report generati dal processo automatizzato di valutazione della qualità del servizio sono conservati 30 giorni e poi cancellati. Essi valutano componenti del servizio e non contengono dati di valutazione degli utenti. Vedere Sezione 15.1.
Dati aggregati anonimizzati: dati comportamentali pienamente anonimizzati e k-anonimi, dai quali nessun individuo, sessione o tenant può essere reidentificato, sono conservati indefinitamente perché fuori dalla definizione di Dati personali ai sensi dell'articolo 4(1) GDPR e del Considerando 26. Vedere Sezione 15.2.
Restituzione post-cessazione: alla cessazione o scadenza dell'Accordo, Voice2Evolve renderà disponibili i Dati personali del Cliente per esportazione per novanta (90) giorni di calendario. Decorso tale periodo, Voice2Evolve cancellerà o anonimizzarà in modo sicuro i Dati personali residui, salvo obbligo di conservazione legale.
Dati account utente: conservati per la durata dell'account e cancellati in modo sicuro entro 30 giorni dalla chiusura.
Registri di pagamento e fatturazione: conservati per i periodi fiscali e contabili di legge (tipicamente 6-10 anni) prima della cancellazione.
Log di audit e sicurezza: conservati 90 giorni salvo maggiore conservazione richiesta per indagini su incidenti o conformità.

Voice2Evolve assicura che le cancellazioni usino metodi sicuri e che siano registrati audit trail delle attività di cancellazione. La Società rivede annualmente le policy di conservazione e adegua i programmi alle esigenze normative e operative.

15. Finalità secondarie autorizzate di Voice2Evolve

Nonostante la Sezione 4.1, i seguenti usi secondari dei Dati del Cliente sono espressamente autorizzati dall'Accordo e non costituiscono trattamento fuori dalle istruzioni documentate del Cliente.

15.1 Valutazione della qualità del servizio

Voice2Evolve gestisce un processo automatizzato di valutazione della qualità del servizio che tratta trascrizioni di sessione e risultati di analisi tramite sub-responsabili LLM terzi (elencati nell'Allegato B) solo per mantenere e migliorare la qualità tecnica dei Servizi forniti al Cliente. Non valuta singoli utenti, non produce output visibili all'utente e non genera punteggi o profili utente. I report non sono accessibili nell'applicazione cliente e sono cancellati entro 30 giorni.

15.2 Analisi aggregate anonimizzate

Come autorizzato dall'Accordo e dalla presente Sezione 15.2, Voice2Evolve deriva statistiche comportamentali pienamente anonimizzate e aggregate dai dati di sessione per migliorare i Servizi e sviluppare benchmark di prodotto. Prima dell'aggregazione, gli identificatori diretti e indiretti sono rimossi. L'aggregazione è soggetta a soglie di k-anonimato (minimo 50 sessioni per gruppo di dimensioni); i gruppi sotto soglia sono esclusi. Una volta anonimizzati secondo tale standard, i dati risultanti non sono più Dati personali ai sensi dell'articolo 4(1) GDPR e del Considerando 26.

ALLEGATO A - MISURE DI SICUREZZA

Controlli tecnici:

Cifratura: AES-256 a riposo e TLS 1.3 in transito. Le chiavi sono gestite secondo politiche di ciclo di vita conformi a ISO 27001 e NIST SP 800-57.
Controllo accessi: RBAC con MFA per personale Voice2Evolve e accesso alle piattaforme fornitore. La MFA è applicata a livello amministrativo e infrastrutturale; non è richiesta per gli account cliente finali, protetti da autenticazione e gestione sicura della sessione. L'accesso è concesso secondo privilegio minimo, riesaminato trimestralmente e registrato.
Logging e monitoraggio: logging centralizzato continuo degli accessi amministrativi e di sistema. I log sono tamper-evident, conservati almeno 90 giorni e riesaminati per anomalie.
Sicurezza di rete: Voice2Evolve opera esclusivamente su infrastruttura PaaS gestita. Le protezioni di rete, incluse mitigazione DDoS, regole firewall, isolamento traffico e rilevamento intrusioni, sono fornite dai rispettivi provider. Gli accessi amministrativi sono protetti da MFA e limitati al personale autorizzato.
Pseudonimizzazione: dati analitici e di trascrizione sono pseudonimizzati separando identificatori e usando token casuali.
Sviluppo sicuro: sicurezza integrata nel ciclo di sviluppo tramite code review, controlli dipendenze e scansioni vulnerabilità prima del rilascio.
Backup e ripristino: backup giornalieri cifrati e procedure di ripristino sono documentati per il datastore di produzione; le prove di restore test e disaster-recovery drill sono mantenute come evidenza operativa quando eseguite.

Controlli organizzativi:

Governance sicurezza: policy di sicurezza informativa riesaminata annualmente dal management.
Riservatezza: personale e contractor con accesso ai Dati personali sono soggetti a obblighi di riservatezza adeguati al ruolo.
Formazione: i requisiti di formazione privacy e sicurezza sono documentati per il personale con accesso ai Dati personali; le prove sono conservate nell'ISMS.
Gestione fornitori: i sub-responsabili sono sottoposti a risk assessment e verifica DPA prima dell'incarico e sono contrattualmente tenuti a mantenere formazione protezione dati per il personale che tratta Dati personali.
Risposta agli incidenti: procedure documentate per rilevazione, escalation, mitigazione e revisione post-incidente. Le notifiche sono fornite senza indebito ritardo ai sensi dell'articolo 33 GDPR.
Audit e riesame: audit interni, management review e azioni correttive sono conservati nell'ISMS. Audit report o certificazioni indipendenti sono riesaminati quando disponibili.
Continuità operativa: piani BCP/DR coprono interruzioni di servizio, ripristino, ridondanza ed emergenza.
Sicurezza fisica: Voice2Evolve non gestisce propri data center. L'infrastruttura è ospitata da provider terzi con controlli fisici standard di settore, incluse certificazioni ISO 27001 o SOC 2, controlli accessi e monitoraggio ambientale.

ALLEGATO B - SUB-RESPONSABILI

Voice2Evolve mantiene un processo documentato per revisioni e aggiornamenti periodici dei Sub-responsabili e fornisce ai Clienti autorizzazione generale a incaricare Sub-responsabili ai sensi dell'articolo 28(2) GDPR. I Clienti possono iscriversi alle notifiche di modifica per ricevere ragionevole preavviso di nuovi incarichi.

Fornitore	Ruolo	Localizzazione	Base giuridica / Garanzie
Supabase Inc.	Database, Autenticazione	UE (Stoccolma, Svezia, hosting primario); trasferimenti successivi a sub-responsabili negli Stati Uniti / Singapore	DPA Supabase + SCC + misure supplementari documentate nella TIA Supabase
OpenAI, L.L.C.	Inferenza IA e trattamento vocale quando utilizzati	UE / Stati Uniti / internazionale, secondo la configurazione del servizio	DPA OpenAI + SCC + garanzie contrattuali e tecniche aggiuntive ove applicabili
Google Cloud Platform (Google Cloud EMEA Limited / Google LLC)	Inferenza IA e trattamento cloud quando utilizzati	UE / Stati Uniti / regioni Google Cloud selezionate secondo la configurazione del servizio	CDPA Google Cloud + SCC + DPF ove applicabile
Microsoft Azure (Microsoft Ireland Operations Limited / Microsoft Corporation)	Inferenza IA e trattamento cloud quando utilizzati	UE / Stati Uniti / regioni Microsoft Azure selezionate secondo la configurazione del servizio	DPA Microsoft Products and Services + SCC + DPF ove applicabile
Stripe Payments Europe Ltd.	Elaborazione pagamenti	UE / Stati Uniti	DPA GDPR + SCC
Vercel Inc.	Hosting frontend (CDN)	UE / Stati Uniti (AWS + Microsoft Azure + GCP; regioni edge UE: Parigi, Francoforte, Svezia)	SCC (Modulo 2, C2P) + UK IDTA
Railway Corp. (railway.com)	Infrastruttura backend	Stati Uniti / distribuzione regione UE (infrastruttura sottostante: GCP)	DPA sottoscritto + SCC UE (Modulo 2, C2P) + DPF
Cloudflare, Inc.	Risoluzione DNS, relay TURN WebRTC	UE / Stati Uniti	DPA GDPR + SCC
Sentry, Inc.	Monitoraggio errori	UE / Stati Uniti	DPA GDPR + DPF + SCC + UK IDTA
Rybbit	Analisi web e prodotto	UE (SEE - Hetzner; Cloudflare Object Storage)	DPA GDPR (accettato tramite utilizzo) + SCC
Plus Five Five, Inc. (Resend)	E-mail transazionali	Stati Uniti	DPA GDPR + DPF + SCC + UK IDTA
Anthropic PBC	Inferenza IA (LLM)	Stati Uniti	DPA GDPR + SCC
Haufe-Lexware GmbH & Co. KG (Lexware)	Sincronizzazione fatture e contabilità	UE (Germania)	DPA GDPR (AVV)

ALLEGATO C - CLAUSOLE CONTRATTUALI TIPO

Ai sensi dell'articolo 46 GDPR e della Decisione di esecuzione (UE) 2021/914 della Commissione, le Clausole contrattuali tipo (Modulo 2: Titolare a Responsabile) sono incorporate per riferimento nella loro interezza e costituiscono parte integrante del presente Accordo. Il testo ufficiale completo è pubblicato nella Gazzetta ufficiale dell'Unione europea (GU L 199, 7.6.2021, p. 31-61) ed è disponibile all'indirizzo https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

ALLEGATO I - DETTAGLI DEL TRASFERIMENTO

A. Elenco delle Parti

Esportatore dei dati (Titolare): il Cliente identificato nell'Accordo.
Importatore dei dati (Responsabile): Voice2Evolve UG (haftungsbeschränkt), registrata in Germania. Contatto: help@voice2evolve.com.

B. Descrizione del trasferimento

Categorie di Interessati: utenti finali (dipendenti, candidati o altri individui) che utilizzano i Servizi per conto o su istruzione del Cliente.
Categorie di Dati personali: audio vocale live durante le sessioni, trascrizioni, analisi e punteggi, dati account utente (nome, email), metadati d'uso e indirizzi IP.
Categorie particolari di dati: nessuna (vedere Sezione 2.5).
Frequenza: continua per la durata dell'Accordo.
Natura e finalità: (1) fornitura di sparring vocale, formazione, trascrizione, punteggio e analisi basati su IA. (2) Se il Cliente è un'agenzia di reclutamento ai sensi dell'Addendum Recruitment Agency: sessioni di preparazione colloquio per candidati e analisi di coaching accessibile a candidato e Cliente per debrief e supporto alla preparazione, ai sensi della Sezione 16.
Periodo di conservazione: come specificato nella Sezione 14.

C. Autorità di controllo competente L'autorità competente è l'autorità dello Stato membro UE in cui l'Esportatore è stabilito o, se non stabilito nell'UE, l'autorità dello Stato membro in cui è stabilito il rappresentante UE. Ove nessuna delle due ipotesi si applichi, l'autorità competente è il Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg (Germania). Per dati soggetti al diritto canadese, l'autorità competente è l'Office of the Privacy Commissioner of Canada (OPC) (www.priv.gc.ca); per residenti del Quebec, anche la Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca).

ALLEGATO II - MISURE TECNICHE E ORGANIZZATIVE
Vedere Allegato A.

ALLEGATO III - SUB-RESPONSABILI
Vedere Allegato B.

ALLEGATO D - ADDENDUM UK (ICO)

Si applica ai trasferimenti di dati dal Regno Unito ai sensi dell'addendum approvato dall'ICO alle SCC UE. L'addendum assicura trasferimenti leciti ai sensi di UK GDPR e Data Protection Act 2018.

Disposizioni principali:

le SCC UE (Modulo 2) sono adottate con le modifiche richieste dall'addendum UK;
i riferimenti al GDPR si intendono riferiti allo UK GDPR;
i riferimenti all'Unione europea o agli Stati membri includono il Regno Unito;
l'autorità competente è l'Information Commissioner's Office (ICO);
legge applicabile e foro: Inghilterra e Galles.

ALLEGATO D.1 - ADDENDUM SVIZZERO (FADP)

Si applica ai trasferimenti dalla Svizzera ai sensi della Legge federale svizzera sulla protezione dei dati (FADP) e della relativa ordinanza. Le stesse SCC UE (Modulo 2) sono adottate con gli adeguamenti necessari: i riferimenti al GDPR sono interpretati come riferimenti alla FADP; l'autorità competente è il Federal Data Protection and Information Commissioner (FDPIC); i riferimenti agli Stati membri UE includono la Svizzera.

ALLEGATO E - ADDENDUM PRIVACY STATI UNITI

Questo Allegato si applica solo ove e nella misura in cui leggi statali statunitensi sulla privacy disciplinino l'uso dei Servizi da parte del Cliente.

Voice2Evolve agisce come Service Provider e Processor ai sensi delle leggi statali applicabili, incluse CCPA come modificata da CPRA, CDPA Virginia, Colorado Privacy Act, Connecticut Data Privacy Act e altre leggi che impongano obblighi di processor/service-provider.

Ai sensi di tali leggi, Voice2Evolve deve:

trattare Dati personali solo su istruzioni documentate del Cliente e per finalità contrattuali;
non vendere, condividere o usare Dati personali per pubblicità mirata, profilazione o finalità non contrattuali;
assistere il Cliente nelle richieste verificate dei consumatori;
assicurare che trasferimenti successivi rispettino requisiti e salvaguardie contrattuali applicabili;
implementare pratiche di sicurezza ragionevoli;
mantenere documentazione di trattamento e valutazioni ove richiesto;
notificare tempestivamente al Cliente violazioni, reclami o indagini relativi a CDPA o CPRA;
consentire verifica tramite documentazione scritta e assurance da remoto, soggetta alla Sezione 10;
cancellare o restituire Dati personali su richiesta o cessazione, salvo obbligo di conservazione.

Illinois Biometric Information Privacy Act (BIPA) - Nota di ambito: Le funzionalita vocali di Voice2Evolve sono limitate all IA conversazionale e al trattamento voce-testo. Voice2Evolve non identifica i parlanti e non tratta dati vocali per identificare in modo univoco una persona fisica. Voice2Evolve ottiene il consenso esplicito dell utente prima di ogni sessione vocale.

ALLEGATO F - ADDENDUM PRIVACY CANADA

Questo Allegato si applica ove il diritto federale o provinciale canadese disciplini l'uso dei Servizi o il trattamento da parte di Voice2Evolve per conto del Cliente.

F.1 Leggi applicabili

PIPEDA, Quebec Law 25, Alberta PIPA e British Columbia PIPA, nella misura applicabile.

F.2 Ruoli

Voice2Evolve agisce come organizzazione che tratta Dati personali per conto del Cliente in conformità alle istruzioni documentate del Cliente, coerentemente con la Sezione 2.

F.3 Obblighi PIPEDA

Voice2Evolve, per Dati personali di residenti canadesi:

raccoglie, usa e divulga Dati personali solo per finalità identificate e autorizzate dal Cliente;
implementa salvaguardie tecniche e organizzative adeguate alla sensibilità dei dati;
conserva Dati personali solo per il tempo necessario;
assiste il Cliente nelle richieste di accesso e correzione;
notifica il Cliente non appena possibile dopo la scoperta di una violazione delle salvaguardie che possa creare un rischio reale di danno significativo e mantiene registri per almeno due (2) anni;
assicura che trasferimenti a sub-responsabili siano soggetti a protezioni equivalenti.

F.4 Obblighi aggiuntivi Quebec Law 25

Per Dati personali di residenti del Quebec, Voice2Evolve tratta i dati solo per finalità specifiche comunicate al Cliente, coopera su richieste di deindicizzazione e portabilità, notifica incidenti di riservatezza senza indebito ritardo e applica minimizzazione e limitazione delle finalità.

F.5 Sub-responsabili

I Sub-responsabili dell'Allegato B che trattano Dati personali canadesi operano con termini contrattuali materialmente equivalenti al presente Addendum. Voice2Evolve resta responsabile dei loro atti e omissioni.

F.6 Autorità competente

Reclami o controversie possono essere indirizzati all'Office of the Privacy Commissioner of Canada (OPC) (www.priv.gc.ca) o, per il Quebec, alla Commission d'accès à l'information du Québec (CAI) (www.cai.quebec.ca).

16. Trattamento per agenzie di reclutamento

Questa Sezione si applica quando il Cliente è un'agenzia di reclutamento, executive search, headhunter o staffing business che usa i Servizi per supportare preparazione e coaching dei candidati ai sensi dell'Addendum Recruitment Agency all'MSA.

16.1 Natura degli Interessati

Nel modello di agenzia di reclutamento, gli Interessati (candidati) sono terzi che non hanno contrattato direttamente con Voice2Evolve. Sono invitati dal Cliente, quale Titolare, a usare i Servizi su istruzione del Cliente. Il Cliente resta Titolare per tutti i dati personali trattati in questo contesto.

16.2 Obbligo di informativa privacy candidato

Il Cliente deve fornire a ciascun candidato un'informativa conforme all'articolo 13 GDPR prima dell'inizio di qualsiasi sessione, come richiesto dall'Addendum Recruitment Agency. Voice2Evolve fornisce un modello all'indirizzo https://voice2evolve.com/legal/candidate-privacy-notice-template.

16.3 Base giuridica

Il Cliente deve identificare e documentare una base giuridica ai sensi dell'articolo 6 GDPR e, ove applicabile, una condizione di diritto nazionale sui dati lavorativi, come BDSG §26(1), prima di trattare dati candidato tramite i Servizi. Il consenso da solo può essere insufficiente in contesti di reclutamento per lo squilibrio di potere.

16.4 Diritti degli Interessati - accesso candidato

Voice2Evolve assisterà tecnicamente il Cliente nelle richieste dei candidati ai sensi degli articoli 15-22 GDPR, incluse accesso, rettifica, limitazione, cancellazione, portabilità, opposizione e diritto a revisione umana di decisioni automatizzate. Voice2Evolve non risponde direttamente ai candidati; le risposte sono coordinate con il Cliente.

I candidati che accedono ai Servizi ricevono la propria analisi di coaching IA come destinatari primari. Ciò soddisfa proattivamente il diritto di accesso dell'articolo 15 GDPR per l'output di analisi. I candidati possono inoltre richiedere esportazioni complete tramite il Cliente.

16.5 GDPR articolo 22 - obbligo di trasparenza

L'analisi di coaching IA costituisce profilazione ai sensi dell'articolo 4(4) GDPR. Nel modello di agenzia, Voice2Evolve mostrerà una breve disclosure nella pagina di analisi candidato che indica che il report è visibile anche al Cliente (recruiter) per supporto alla preparazione. Il Cliente resta responsabile di ogni ulteriore avviso articolo 22 e del meccanismo di revisione umana.

16.6 Descrizione del trattamento - finalità supplementare

Finalità aggiuntiva: sessioni di preparazione colloquio basate su IA organizzate da un Cliente agenzia di reclutamento; generazione di analisi di coaching IA accessibile al candidato e al Cliente per debrief e supporto alla preparazione.

Categorie aggiuntive di dati personali: registrazioni vocali, trascrizioni, analisi di coaching generate da IA (punteggi, feedback, suggerimenti), nome ed email candidato, metadati sessione.

Interessati aggiuntivi: candidati invitati dal Cliente agenzia di reclutamento. Tali Interessati non hanno contrattato direttamente con Voice2Evolve.

16.7 SCC Allegato I - copertura esistente confermata

L'Allegato I SCC copre già correttamente i candidati: "End users (employees, candidates, or other individuals) who use the Services on behalf of or at the direction of the Customer." Non è richiesta modifica solo per il modello agenzia di reclutamento.

16.8 Disponibilità locale - gating IT/ES headhunter

Il presente MDPA è ora pubblicato in inglese, tedesco, francese, italiano e spagnolo. La versione inglese prevale ai sensi della clausola sulla lingua prevalente. I Clienti recruitment-agency il cui idioma principale di contrattazione sia italiano o spagnolo possono usare questa traduzione informativa come traduzioni informative salvo diverso accordo scritto.

Il presente MDPA è concluso elettronicamente e forma parte integrante dell'Accordo. Diventa giuridicamente vincolante al momento dell'accettazione elettronica dell'Accordo da parte del Cliente, anche tramite checkbox o meccanismo simile.