Customer Data Processing Agreement / Accordo sul trattamento

Parties, hierarchy and duration

CARTVERTSING di Claudio Bisanti, Via Camillo Prampolini 16 B, Campagnola Emilia (RE), Italy; VAT IT08872281210. Contact: hello@bisanti.agency. The customer identified in the workspace acceptance acts as controller or, where applicable, processor authorized by its controller. Intakely acts as processor or subprocessor. This DPA governs personal data processed to supply the service for the service term and the agreed return/deletion period. It prevails on processing duties over conflicting general terms. The English version is the contractual reference.

Description and documented instructions

Purposes: collect and organize ordinary inquiries, assess and manage requests/quotes, schedule appointments, draft optional AI outputs, deliver approved service communications and operate customer-configured integrations. Subjects: customer staff, business contacts, prospects and private consumers contacting the customer. Data: names, professional details, contact information, inquiry contents, form attribution, appointment and delivery details, customer instructions and related outputs. Identity, health and tax documents and regulated decisions are excluded. Instructions comprise accepted service settings, retention policy, approved integrations and separately recorded AI instructions. Intakely informs the customer if an instruction appears to breach applicable data-protection law and does not independently change its purpose.

Confidentiality and security

Personnel access is limited to service need and confidentiality obligations. Measures include handler-level tenant and role checks, server-side secrets, HTTPS at the edge, hashed revocable seven-day booking tokens, minimization of prompts and logs, versioned releases, isolated synthetic tests, controlled exports and deletion previews. Measures must be maintained against verified operational evidence and proportionate risks. No SOC 2, end-to-end encryption, unverified backup duration or untested recovery guarantee is represented.

Subprocessors and transfers

The customer gives general authorization only for the reviewed service-specific list attached to this DPA. Intakely remains responsible for the applicable downstream processing obligations and provides notice of proposed changes with a reasonable opportunity to raise a substantiated data-protection objection before using the new service for that customer. If no reasonable resolution exists, the affected processing is not enabled or may be terminated under the service agreement. Provider contracts, regions, onward subprocessors and safeguards must be verified before activation; a server region alone is insufficient. Non-EEA processing requires an applicable adequacy decision or appropriate safeguards and necessary additional measures.

AI and other integrations

Optional AI, research and embeddings require separate documented instructions and approved services; missing or withdrawn instructions suspend new processing while intake remains available. AI results require human approval before external messages or consequential decisions. Customer-enabled calendar, email and webhook destinations must be lawfully instructed and documented. Instructions do not replace a subject’s legal basis or marketing choice. Customer data is not sold or shared for Intakely’s own advertising.

Assistance and incidents

Taking into account the nature of the processing and available information, Intakely assists with rights requests, security obligations, DPIA and regulatory consultation. It informs the customer without undue delay after becoming aware of a personal-data breach affecting its processing, providing known facts, likely effects, containment and remediation, with updates as information becomes available. The customer decides and performs its own regulator/subject notifications unless expressly agreed otherwise; the controller’s statutory deadlines are not represented as a processor’s fixed investigation period.

Return, deletion and backup restoration

At end of service or on valid instruction, the customer chooses return or deletion, subject to applicable legal retention. Complete workspace export is scoped and excludes credentials. Deletion starts with a reviewable preview, documented exceptions and explicit authorized confirmation; controlled submissions, related outputs, identified workflow copies, notifications, linked booking and correlated webhook payloads are addressed. Independent deletion tombstones are reconciled after restore. Shared contacts, separate contracts/choice evidence, transformed payloads, destination mailboxes/calendars and backup copies require specific review and external-action evidence. No historical deletion is implicit in a migration, and completion is not claimed while required external actions remain open.

Information and audit

Intakely provides the information reasonably necessary to demonstrate the processing duties and allows proportionate audits or inspections by the customer or its mandated auditor, coordinated to protect other customers, confidentiality and service security. Requests begin with available evidence and documentation; reasonable notice and mutually agreed practical arrangements apply without defeating mandatory audit rights. The customer maintains lawful instructions, its own notices, authority and data minimization.

Retention annex and acceptance

The workspace acceptance identifies the customer/controller, OWNER representative, version and time, confirmed ordinary-lead retention (proposed 24 months from request), categories, exceptions and optional AI providers. This annex is operational evidence, not a marketing consent. Legal holds and separate records are documented by purpose. Liability, transfers, fiscal retention and jurisdiction require the targeted review described in the release record before this candidate becomes the operative agreement.

Parti e durata

CARTVERTSING di Claudio Bisanti, Via Camillo Prampolini 16 B, Campagnola Emilia (RE), Italia; P.IVA IT08872281210. Contatti: hello@bisanti.agency. Il cliente identificato nell’accettazione opera come titolare oppure come responsabile autorizzato dal proprio titolare; Intakely opera come responsabile o sub-responsabile. Il DPA disciplina i dati del servizio per durata e periodo di restituzione/cancellazione concordati e prevale per il trattamento. L’inglese è il riferimento contrattuale.

Trattamenti e istruzioni

Finalità: raccolta e gestione di richieste e preventivi ordinari, appuntamenti, bozze AI facoltative, comunicazioni di servizio approvate e integrazioni istruite. Interessati: personale cliente, contatti professionali, prospect e consumatori che contattano il cliente. Dati: identità e recapiti, attività, contenuti, attribuzione, appuntamenti, consegna, istruzioni e output. Sono esclusi documenti sanitari, fiscali e d’identità e decisioni regolamentate. Impostazioni accettate, conservazione, integrazioni e istruzioni AI registrate costituiscono le istruzioni documentate. Segnaliamo istruzioni apparentemente contrarie alla disciplina dati e non cambiamo autonomamente le finalità.

Riservatezza e misure

Accesso del personale per necessità di servizio e con obblighi di riservatezza. Misure: controlli workspace/ruolo nei gestori API, segreti lato server, HTTPS al perimetro, token prenotazione con hash, revoca e sette giorni, minimizzazione prompt/log, versionamento e test sintetici isolati, export controllati e anteprime di cancellazione. Le misure seguono evidenze operative e rischi; non dichiariamo SOC 2, cifratura end-to-end, durate backup o ripristini non verificati.

Sub-responsabili e trasferimenti

L’autorizzazione generale riguarda solo l’elenco riesaminato per i servizi effettivi allegato al DPA. Intakely resta responsabile degli obblighi a valle applicabili. Le modifiche proposte sono comunicate con un periodo ragionevole per obiezioni motivate prima dell’uso; se non risolvibili, il trattamento interessato non viene attivato o termina secondo l’accordo. Contratti, regioni, ulteriori subfornitori e garanzie vanno verificati prima dell’attivazione. Per trasferimenti fuori SEE occorrono adeguatezza applicabile o garanzie appropriate e misure aggiuntive necessarie.

Conservazione Resend ed evidenze contrattuali

Resend dichiara dati conservati negli Stati Uniti: la regione di invio UE non prova storage UE. DPA e subfornitori sono inclusi nella revisione fornitori. Archiviare la copia firmata dell’account da Settings > Documents e verificare servizio/piano e termini dei trasferimenti. Le copie presso il provider richiedono seguito separato per la cancellazione: eliminare record Intakely non le cancella.

AI e integrazioni

AI, ricerca ed embedding facoltativi richiedono istruzioni documentate e servizi approvati. L’assenza o revoca sospende nuove elaborazioni, mantenendo intake. Output e invii richiedono controllo umano. Calendari, email e webhook scelti dal cliente richiedono istruzioni lecite. L’istruzione non sostituisce la base giuridica o il consenso marketing dell’interessato. I dati non sono venduti o usati per pubblicità propria di Intakely.

Assistenza e incidenti

Assistiamo il cliente nell’esercizio dei diritti, sicurezza, DPIA e consultazione, secondo natura e informazioni disponibili. Informiamo senza ingiustificato ritardo dopo aver appreso una violazione dei dati nel nostro trattamento, fornendo fatti noti, effetti, contenimento e rimedio e aggiornamenti successivi. Il cliente decide le notifiche ad autorità e interessati salvo accordo espresso; le sue scadenze legali non sono un periodo fisso di indagine del responsabile.

Restituzione e cancellazione

A fine servizio o su valida istruzione il cliente sceglie restituzione o cancellazione, salvi obblighi di legge. Export completo e delimitato, senza credenziali. La cancellazione richiede anteprima, eccezioni documentate e conferma autorizzata; comprende copie controllate censite di submission, output, workflow, notifiche, appuntamenti collegati e payload correlati. Un registro indipendente permette di riapplicarla dopo ripristino. Contatti condivisi, contratti/prove, payload trasformati, caselle, calendari esterni e backup richiedono verifica specifica e prove delle azioni. La migrazione non cancella lo storico e le azioni esterne aperte impediscono di dichiarare completamento generale.

Audit, allegato e accettazione

Forniamo informazioni necessarie e consentiamo audit o ispezioni proporzionati del cliente o suo incaricato, tutelando altri clienti, riservatezza e servizio. Si parte dalle evidenze disponibili con preavviso e modalità ragionevoli senza svuotare diritti inderogabili. Il cliente mantiene base lecita, informativa, poteri e minimizzazione. L’accettazione workspace registra titolare, OWNER, versione/data, durata confermata (proposta 24 mesi dalla richiesta), categorie, eccezioni e provider AI. Non è consenso marketing. Responsabilità, foro, trasferimenti e conservazione fiscale richiedono revisione mirata prima di rendere operativo questo candidato.