Versione 1.2 — 11 ottobre 2026 · ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)
Per aziende, professionisti ed enti che usano TraScrivo per trascrivere registrazioni contenenti dati personali di terzi (clienti, pazienti, dipendenti, interlocutori). Questo accordo stabilisce come trattiamo quei dati per vostro conto. Per attivarlo basta una email: vedi il punto 2.
L'accordo è tra il Cliente (titolare del trattamento, o responsabile per conto di un proprio cliente) e Giraffa Consulting di Nicola Ugrcic, Via San Procolo 5, 37123 Verona (VR), Italia, P.IVA IT04585570239 (il Fornitore, responsabile del trattamento), che fornisce il servizio di trascrizione TraScrivo (il Servizio). Si applica a tutti i dati personali che il Fornitore tratta per conto del Cliente nell'erogare il Servizio e integra i Termini di servizio: in caso di contrasto, per il trattamento dei dati personali prevale questo accordo.
Il Cliente scrive a ciao@trascrivo.com indicando ragione sociale, indirizzo, partita IVA o codice fiscale, l'email dell'account TraScrivo e nome e ruolo di chi firma. Il Fornitore restituisce l'accordo compilato e firmato in PDF; il Cliente lo controfirma e lo rinvia. L'accordo vale dalla data della firma del Cliente e per tutta la durata in cui il Fornitore tratta dati per suo conto.
Il Fornitore tratta i dati solo per erogare il Servizio, secondo questo accordo, i Termini e le scelte fatte dal Cliente nell'applicazione (es. lingua, piano), che costituiscono le istruzioni documentate del Cliente, salvo che il diritto dell'Unione o dello Stato membro cui il Fornitore è soggetto lo obblighi a trattarli diversamente; in tal caso il Fornitore informa il Cliente prima del trattamento, a meno che la legge lo vieti. Non tratta i dati per finalità proprie, non li vende e non li usa per addestrare modelli; sceglie sotto-responsabili e impostazioni che non usano i contenuti per addestrare i propri modelli e, dove il sotto-responsabile lo consente, disattiva esplicitamente questo uso. Se ritiene che un'istruzione violi il GDPR o altre norme, lo comunica subito al Cliente. Il Cliente garantisce di avere una base giuridica per il trattamento e, dove necessario, di aver informato gli interessati.
Solo il personale autorizzato del Fornitore accede ai dati, nei limiti strettamente necessari, ed è vincolato a obblighi di riservatezza. L'accesso ai sistemi di amministrazione è protetto da autenticazione a due fattori. Il Fornitore non accede al contenuto delle registrazioni e dei testi, salvo su richiesta del Cliente (ad esempio per l'assistenza) o per un obbligo di legge.
Il Fornitore adotta le misure tecniche e organizzative dell'Allegato 1, adeguate al rischio ai sensi dell'art. 32 GDPR, e le aggiorna nel tempo senza ridurne il livello complessivo di protezione.
Il Cliente autorizza in via generale il ricorso ai sotto-responsabili elencati nell'Allegato 2 e nella pagina Fornitori e sotto-responsabili, che fanno parte di questo accordo; nella pagina i fornitori di riconoscimento vocale e di elaborazione del testo con l'AI sono indicati per categoria, mentre l'Allegato 2 li elenca per nome. Il Fornitore avvisa il Cliente via email, all'indirizzo dell'account, almeno 30 giorni prima di aggiungere o sostituire un sotto-responsabile; il Cliente può opporsi per motivi giustificati e, se non si trova una soluzione, recedere dal Servizio con rimborso della parte di piano non goduta. Il Fornitore impone a ogni sotto-responsabile, per contratto, obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile verso il Cliente del loro operato.
Alcuni sotto-responsabili hanno sede o server fuori dall'Unione europea, in particolare negli Stati Uniti. I trasferimenti avvengono con le garanzie del Capo V del GDPR: decisione di adeguatezza (Svizzera; EU-US Data Privacy Framework per le società certificate) oppure clausole contrattuali standard della Commissione europea, con le misure supplementari necessarie.
Tenuto conto della natura del trattamento, il Fornitore assiste il Cliente, con misure ragionevoli, nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, opposizione, portabilità) e negli obblighi degli artt. 32-36 GDPR (sicurezza, violazioni, valutazione d'impatto, consultazione preventiva), fornendo le informazioni in suo possesso. Poiché l'audio viene cancellato dopo la trascrizione e i testi restano sui server del Fornitore solo con l'elaborazione sul server (per 30 giorni, nell'account del Cliente, che può cancellarli prima), le richieste che riguardano i contenuti vanno gestite dal Cliente nei propri sistemi e, per i testi ancora presenti nell'account, cancellandoli dall'account o chiedendone la cancellazione al Fornitore. Il Fornitore inoltra al Cliente, senza rispondere nel merito, le richieste degli interessati che riceve direttamente e che riguardano trattamenti del Cliente.
Se viene a conoscenza di una violazione dei dati personali che riguarda il Cliente, il Fornitore lo avvisa senza ingiustificato ritardo e comunque entro 48 ore, via email all'indirizzo dell'account, con le informazioni disponibili (natura della violazione, categorie e numero approssimativo di interessati e di dati, probabili conseguenze, misure adottate o proposte) e le aggiorna man mano. Il Fornitore collabora con il Cliente per le eventuali notifiche all'autorità e comunicazioni agli interessati.
L'audio è trattato solo il tempo necessario a produrre il testo e poi viene cancellato; con l'elaborazione sul server è conservato cifrato fino alla fine della trascrizione e comunque per non più di 24 ore. Il testo delle trascrizioni non viene conservato sui server del Fornitore e compare solo nel browser del Cliente (o nella chat del bot), salvo con l'elaborazione sul server: in quel caso è conservato cifrato nell'account del Cliente per 30 giorni e poi cancellato automaticamente, e il Cliente può cancellarlo prima. Le trascrizioni interrotte nel browser restano solo nel browser del Cliente, al massimo 48 ore. I testi inviati per riassunti e traduzioni e i relativi risultati non vengono conservati dal Fornitore, che tiene solo contatori d'uso, cancellati dopo 60 giorni. Alla fine del Servizio, o quando il Cliente lo chiede, il Fornitore cancella i dati dell'account; il Cliente può farlo anche da solo dalla pagina «Il mio account». La cancellazione dal database è immediata; le copie di backup del database eseguite dal fornitore di hosting vengono sovrascritte entro 7 giorni (Allegato 1). Prima della cancellazione, a scelta del Cliente, i dati gli vengono restituiti: il Cliente può scaricare da «Il mio account» i dati dell'account e i testi ancora conservati, oppure chiederne una copia a ciao@trascrivo.com. Dopo la cancellazione restano solo dati tecnici in forma anonima o aggregata (l'indirizzo IP è cancellato dopo 30 giorni) e un'impronta non reversibile degli ordini e delle chiavi di licenza già usati, che serve solo a impedirne la riattivazione su un altro account. Fanno eccezione i dati che il Fornitore deve conservare per obblighi di legge, che restano protetti e non vengono più trattati per altre finalità.
Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto dell'art. 28 GDPR (questa pagina, l'Allegato 1, la pagina dei fornitori e, su richiesta, le certificazioni o i report di sicurezza dei sotto-responsabili). Il Cliente può svolgere una verifica, anche tramite un revisore indipendente vincolato alla riservatezza, al massimo una volta l'anno, con preavviso scritto di 30 giorni, in orario lavorativo, a proprie spese e senza compromettere la sicurezza o la riservatezza di altri clienti; di norma la verifica avviene tramite documentazione e questionari. Resta salvo il diritto del Cliente a verifiche ulteriori quando richieste da un'autorità di controllo o a seguito di una violazione.
Ciascuna parte risponde dei danni causati da un trattamento non conforme al GDPR secondo l'art. 82. Nei rapporti tra le parti, la responsabilità complessiva del Fornitore è limitata come previsto dai Termini di servizio, salvo i casi di dolo o colpa grave e quanto non può essere limitato per legge.
L'accordo dura finché il Fornitore tratta dati personali per conto del Cliente; gli obblighi di riservatezza e di cancellazione restano validi anche dopo. Si applica la legge italiana; per ogni controversia è competente il foro di Verona, salvo diversa disposizione inderogabile. Il Fornitore può aggiornare questo accordo per adeguarlo a norme o prassi; le modifiche sostanziali sono comunicate al Cliente via email con almeno 30 giorni di preavviso e non riducono il livello di protezione.
Elenco nominativo dei sotto-responsabili alla data di questa versione. Ruolo, dati trattati, luogo e garanzie sono descritti nella pagina Fornitori e sotto-responsabili, che il Fornitore tiene aggiornata.
Canale scelto dall'utente (non sotto-responsabile): se l'utente sceglie di usare il bot Telegram, i messaggi passano da Telegram (Telegram Messenger), che li tratta come titolare autonomo secondo le proprie condizioni.
Il testo italiano è quello che fa fede; la versione inglese è una traduzione di cortesia.
Privacy · Termini · Cookie · Contatti · Il mio account · Fornitori · DPA
Giraffa Consulting di Nicola Ugrcic · Via San Procolo 5, 37123 Verona (VR), Italia · P.IVA IT04585570239
Version 1.2 — 11 October 2026 · under Art. 28 of Regulation (EU) 2016/679 (GDPR)
For companies, professionals and organisations that use TraScrivo to transcribe recordings containing personal data of third parties (clients, patients, employees, interviewees). This agreement sets out how we process that data on your behalf. To put it in place, one email is enough: see section 2.
This agreement is between the Customer (data controller, or processor on behalf of its own customer) and Giraffa Consulting di Nicola Ugrcic, Via San Procolo 5, 37123 Verona (VR), Italy, VAT IT04585570239 (the Provider, data processor), which supplies the TraScrivo transcription service (the Service). It applies to all personal data the Provider processes on the Customer's behalf while delivering the Service and supplements the Terms of Service: in case of conflict, this agreement prevails as regards the processing of personal data.
The Customer writes to ciao@trascrivo.com stating its company name, address, VAT or tax number, the email of its TraScrivo account and the name and role of the signatory. The Provider returns the completed and signed agreement as a PDF; the Customer countersigns it and sends it back. The agreement takes effect on the date of the Customer's signature and lasts for as long as the Provider processes data on its behalf.
The Provider processes the data only to deliver the Service, in accordance with this agreement, the Terms and the choices the Customer makes in the application (e.g. language, plan), which constitute the Customer's documented instructions, unless Union or Member State law to which the Provider is subject requires otherwise; in that case the Provider informs the Customer before the processing, unless that law prohibits it. It does not process the data for its own purposes, does not sell it and does not use it to train models; it chooses sub-processors and settings that do not use the content to train their models and, where the sub-processor allows it, explicitly switches this use off. If it considers that an instruction infringes the GDPR or other rules, it informs the Customer immediately. The Customer warrants that it has a legal basis for the processing and, where required, has informed the data subjects.
Only the Provider's authorised staff access the data, strictly to the extent necessary, and are bound by confidentiality obligations. Access to administration systems is protected by two-factor authentication. The Provider does not access the content of recordings and texts, except at the Customer's request (for example for support) or under a legal obligation.
The Provider implements the technical and organisational measures in Annex 1, appropriate to the risk under Art. 32 GDPR, and updates them over time without lowering the overall level of protection.
The Customer gives general authorisation for the use of the sub-processors listed in Annex 2 and on the Providers and sub-processors page, which form part of this agreement; the page lists speech-recognition and AI text-processing providers by category, while Annex 2 names them. The Provider notifies the Customer by email, at the account address, at least 30 days before adding or replacing a sub-processor; the Customer may object on reasonable grounds and, if no solution is found, terminate the Service with a refund of the unused part of the plan. The Provider imposes on each sub-processor, by contract, data-protection obligations equivalent to those in this agreement and remains liable to the Customer for their performance.
Some sub-processors are established or have servers outside the European Union, in particular in the United States. Transfers rely on the safeguards of Chapter V GDPR: an adequacy decision (Switzerland; the EU-US Data Privacy Framework for certified companies) or the European Commission's standard contractual clauses, with any necessary supplementary measures.
Taking into account the nature of the processing, the Provider assists the Customer, by reasonable measures, in responding to data-subject requests (access, rectification, erasure, restriction, objection, portability) and in meeting the obligations of Arts. 32-36 GDPR (security, breaches, impact assessment, prior consultation), providing the information in its possession. Since the audio is deleted after transcription and texts remain on the Provider's servers only with server processing (for 30 days, in the Customer's account, and the Customer can delete them earlier), requests concerning the content must be handled by the Customer in its own systems and, for texts still in the account, by deleting them from the account or asking the Provider to delete them. The Provider forwards to the Customer, without responding on the merits, any data-subject requests it receives directly that concern the Customer's processing.
If it becomes aware of a personal data breach affecting the Customer, the Provider notifies the Customer without undue delay and in any case within 48 hours, by email to the account address, with the information available (nature of the breach, categories and approximate number of data subjects and records, likely consequences, measures taken or proposed) and updates it as it becomes available. The Provider cooperates with the Customer on any notification to the supervisory authority and communication to data subjects.
The audio is processed only for the time needed to produce the text and is then deleted; with server processing it is stored encrypted until the transcription is finished and in any case for no more than 24 hours. Transcript text is not stored on the Provider's servers and appears only in the Customer's browser (or in the bot chat), except with server processing: in that case it is stored encrypted in the Customer's account for 30 days and then deleted automatically, and the Customer can delete it earlier. Interrupted transcriptions in the browser remain only in the Customer's browser, for up to 48 hours. Texts sent for summaries and translations and their results are not stored by the Provider, which keeps only usage counters, deleted after 60 days. At the end of the Service, or whenever the Customer asks, the Provider deletes the account data; the Customer can also do this itself from the "My account" page. Deletion from the database is immediate; database backup copies made by the hosting provider are overwritten within 7 days (Annex 1). Before deletion, at the Customer's choice, the data is returned: the Customer can download the account data and any texts still stored from "My account", or ask for a copy at ciao@trascrivo.com. After deletion only technical data in anonymous or aggregated form remains (the IP address is deleted after 30 days), plus a one-way hash of orders and licence keys already used, kept only to prevent their reactivation on another account. The exception is data the Provider must keep under legal obligations, which remains protected and is no longer processed for other purposes.
The Provider makes available to the Customer the information necessary to demonstrate compliance with Art. 28 GDPR (this page, Annex 1, the providers page and, on request, the sub-processors' certifications or security reports). The Customer may carry out an audit, including through an independent auditor bound by confidentiality, at most once a year, with 30 days' written notice, during business hours, at its own expense and without compromising the security or confidentiality of other customers; as a rule the audit is carried out through documentation and questionnaires. The Customer keeps the right to further audits when required by a supervisory authority or following a breach.
Each party is liable for damage caused by processing that does not comply with the GDPR, in accordance with Art. 82. As between the parties, the Provider's total liability is limited as set out in the Terms of Service, except in cases of wilful misconduct or gross negligence and to the extent liability cannot be limited by law.
The agreement lasts for as long as the Provider processes personal data on the Customer's behalf; the confidentiality and deletion obligations survive it. Italian law applies; the courts of Verona have jurisdiction over any dispute, unless mandatory rules provide otherwise. The Provider may update this agreement to reflect legal or practical changes; material changes are communicated to the Customer by email with at least 30 days' notice and do not lower the level of protection.
Named list of sub-processors as at the date of this version. Role, data processed, location and safeguards are described on the Providers and sub-processors page, which the Provider keeps up to date.
User-chosen channel (not a sub-processor): if the user chooses to use the Telegram bot, messages pass through Telegram (Telegram Messenger), which processes them as an independent controller under its own terms.
The Italian text is the authentic one; this English version is a courtesy translation.
Privacy · Terms · Cookies · Contact · My account · Providers · DPA
Giraffa Consulting di Nicola Ugrcic · Via San Procolo 5, 37123 Verona (VR), Italy · VAT IT04585570239