Il presente Accordo sul trattamento dei dati (il « DPA ») costituisce parte integrante dei Termini di servizio tra Kisnip (« Kisnip », « noi », « nostro ») e il cliente (« Cliente », « tu ») che ha accettato tali termini (insieme, l'« Accordo »), ed è in essi incorporato mediante rinvio. Disciplina il trattamento dei dati personali che Kisnip effettua per tuo conto quando utilizzi il nostro sito web, la dashboard e l'assistente vocale e di chat incorporabile (il « Servizio »). In caso di conflitto tra il presente DPA e il resto dell'Accordo in materia di protezione dei dati, prevale il presente DPA.
Il presente DPA rispecchia i requisiti dell'articolo 28 del Regolamento generale sulla protezione dei dati dell'UE (« GDPR ») e le disposizioni equivalenti della Legge federale svizzera sulla protezione dei dati (« LPD »).
1. Definizioni
Termini quali « dati personali », « trattamento », « titolare del trattamento », « responsabile del trattamento », « sub-responsabile », « interessato » e « violazione dei dati personali » hanno il significato loro attribuito nel GDPR. « Normativa applicabile in materia di protezione dei dati » indica il GDPR, la LPD svizzera e qualsiasi altra normativa sulla protezione dei dati o sulla riservatezza applicabile al trattamento dei dati personali ai sensi dell'Accordo. « Dati personali del Cliente » indica i dati personali che Kisnip tratta per tuo conto ai sensi dell'Accordo.
2. Ruoli delle parti
Per i dati personali del Cliente trattati tramite il Servizio (ad esempio il contenuto delle conversazioni tra i visitatori del tuo sito e l'assistente, nonché i dati di contatto forniti dai visitatori), tu agisci in qualità di titolare del trattamento e Kisnip agisce in qualità di responsabile del trattamento. Qualora tu sia a tua volta un responsabile del trattamento che agisce per conto di un titolare terzo, garantisci di avere l'autorità di impartire istruzioni a Kisnip in qualità di sub-responsabile e che il nostro trattamento sia coerente con le istruzioni di tale titolare.
Kisnip agisce in qualità di titolare del trattamento indipendente per i dati limitati che tratta per gestire la propria attività, ad esempio i tuoi dati di account e di fatturazione, nonché la sicurezza a livello di account e la prevenzione delle frodi. Tale trattamento è descritto nella nostra Informativa sulla privacy e non è disciplinato dal presente DPA.
3. Ambito e dettagli del trattamento
Kisnip tratta i dati personali del Cliente esclusivamente per fornire, proteggere e supportare il Servizio conformemente alle tue istruzioni documentate, come stabilito nel presente DPA, nel resto dell'Accordo e attraverso il tuo utilizzo delle funzionalità e delle impostazioni del Servizio. L'oggetto, la durata, la natura e la finalità del trattamento, le tipologie di dati personali e le categorie di interessati sono descritti nell'Allegato A. Kisnip ti informerà se, a suo giudizio, un'istruzione viola la normativa applicabile in materia di protezione dei dati.
4. Obblighi di Kisnip
Kisnip si impegna a:
- trattare i dati personali del Cliente esclusivamente in base alle tue istruzioni documentate, anche per quanto riguarda i trasferimenti internazionali, salvo diverso obbligo di legge (nel qual caso, ove consentito, ti informeremo preventivamente);
- assicurare che le persone autorizzate a trattare i dati personali del Cliente siano vincolate ad adeguati obblighi di riservatezza;
- attuare e mantenere le misure di sicurezza tecniche e organizzative descritte nell'Allegato C;
- rispettare le condizioni del presente DPA per il ricorso a sub-responsabili;
- assisterti, tenuto conto della natura del trattamento, nel rispondere alle richieste degli interessati e nell'adempiere ai tuoi obblighi in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva; e
- mettere a disposizione le informazioni necessarie a dimostrare il rispetto dell'articolo 28 del GDPR.
5. Riservatezza
Kisnip tratta tutti i dati personali del Cliente in modo riservato. L'accesso è limitato al personale che ne ha bisogno per fornire, supportare o proteggere il Servizio, e tale personale è soggetto a impegni di riservatezza scritti. Tali obblighi permangono dopo la cessazione del loro rapporto con Kisnip.
6. Sicurezza
Kisnip attua misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione nonché della natura, dell'ambito, del contesto e delle finalità del trattamento. Una sintesi di tali misure è riportata nell'Allegato C. Kisnip può aggiornare di volta in volta le proprie misure di sicurezza, a condizione che le misure aggiornate non riducano sostanzialmente il livello complessivo di protezione.
7. Sub-responsabili
Autorizzi in via generale Kisnip a ricorrere ai sub-responsabili elencati nell'Allegato B per trattare i dati personali del Cliente. Kisnip stipula con ciascun sub-responsabile un accordo scritto che impone obblighi di protezione dei dati non meno tutelanti di quelli del presente DPA e rimane responsabile dell'operato di ciascun sub-responsabile.
Qualora Kisnip intenda aggiungere o sostituire un sub-responsabile, aggiornerà l'elenco nell'Allegato B e, se hai chiesto di essere avvisato, ti darà un ragionevole preavviso. Se hai un'obiezione legittima, connessa alla protezione dei dati, nei confronti di un nuovo sub-responsabile, puoi sollevarla contattandoci; lavoreremo con te in buona fede per risolverla e, qualora non vi riuscissimo, potrai risolvere la parte del Servizio interessata.
8. Diritti degli interessati
Tenuto conto della natura del trattamento, Kisnip ti assisterà, mediante misure tecniche e organizzative adeguate e nella misura del possibile, nell'adempimento del tuo obbligo di rispondere alle richieste degli interessati che esercitano i loro diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Il Servizio offre inoltre strumenti self-service che ti consentono di visualizzare, esportare ove disponibile ed eliminare i dati delle conversazioni e il tuo account. Se Kisnip riceve una richiesta direttamente da un interessato relativa ai dati personali del Cliente, indirizzerà tale persona a te, ove consentito dalla legge, anziché rispondere direttamente.
9. Violazioni dei dati personali
Kisnip ti notificherà senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che interessi i dati personali del Cliente, e fornirà le informazioni ragionevolmente disponibili per aiutarti ad adempiere ai tuoi obblighi di notifica ai sensi della normativa applicabile in materia di protezione dei dati. Kisnip adotterà misure ragionevoli per attenuare gli effetti della violazione e ridurre al minimo eventuali danni che ne derivino.
10. Valutazioni d'impatto sulla protezione dei dati
Tenuto conto della natura del trattamento e delle informazioni a disposizione di Kisnip, Kisnip fornirà una ragionevole assistenza per aiutarti a svolgere le valutazioni d'impatto sulla protezione dei dati e, ove necessario, le consultazioni preventive con un'autorità di controllo.
11. Trasferimenti internazionali
Kisnip e i suoi sub-responsabili possono trattare i dati personali del Cliente nell'Unione europea e in altre regioni in cui operano i nostri fornitori di infrastruttura. Qualora i dati personali del Cliente siano trasferiti verso un paese che non offre un livello di protezione adeguato, Kisnip si avvale di un meccanismo di trasferimento appropriato riconosciuto dalla normativa applicabile in materia di protezione dei dati, come le clausole contrattuali tipo della Commissione europea (e, per i trasferimenti soggetti alla LPD svizzera, le versioni riconosciute dall'Incaricato federale svizzero della protezione dei dati e della trasparenza), unitamente a eventuali misure supplementari che possano essere necessarie.
12. Restituzione e cancellazione dei dati
Alla cessazione dell'Accordo, e a tua scelta, Kisnip cancellerà o restituirà i dati personali del Cliente e cancellerà le copie esistenti, salvo obbligo di conservazione previsto dalla legge. Quando elimini conversazioni o il tuo account tramite il Servizio, i dati personali del Cliente associati vengono cancellati o anonimizzati entro 30 giorni, salvo i casi in cui siamo tenuti a conservare determinati documenti per adempiere a obblighi di legge (ad esempio i documenti contabili).
13. Audit
Kisnip metterà a tua disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto dei propri obblighi ai sensi del presente DPA e consentirà e contribuirà agli audit, comprese le ispezioni, svolti da te o da un revisore da te incaricato. Per rispettare la riservatezza e la sicurezza degli altri clienti, gli audit sono svolti con ragionevole preavviso, non più di una volta all'anno (salvo richiesta di un'autorità di controllo o a seguito di una violazione), durante l'orario lavorativo e in modo da non compromettere il Servizio. Kisnip può soddisfare le richieste di audit fornendo pertinenti certificazioni o relazioni di terzi, ove disponibili.
14. Responsabilità
La responsabilità di ciascuna parte derivante dal presente DPA o a esso connessa è soggetta alle limitazioni ed esclusioni di responsabilità stabilite nell'Accordo.
15. Durata, risoluzione e prevalenza
Il presente DPA ha effetto quando accetti l'Accordo e rimane in vigore finché Kisnip tratta dati personali del Cliente per tuo conto. Il presente DPA sostituisce eventuali precedenti condizioni di trattamento dei dati tra le parti relative al Servizio. Tutte le altre disposizioni dell'Accordo rimangono pienamente in vigore ed efficaci.
16. Legge applicabile
Il presente DPA è disciplinato dalla stessa legge ed è soggetto alla stessa giurisdizione stabilite nell'Accordo, salvo quando la normativa applicabile in materia di protezione dei dati richieda diversamente.
17. Come viene concluso il presente DPA
Il presente DPA è incorporato nei nostri Termini di servizio. Quando crei un account e accetti i termini, concludi il presente DPA con Kisnip in forma elettronica; non è richiesta alcuna firma separata, come consentito dall'articolo 28, paragrafo 9, del GDPR. Se la tua organizzazione necessita di una copia controfirmata per i propri archivi, contattaci e ne predisporremo una.
18. Contatti
Domande su questo DPA o sulle nostre pratiche di protezione dei dati? Contattaci o scrivi a [email protected]. Potresti trovare utile anche la nostra panoramica su GDPR e protezione dei dati in linguaggio semplice.
19. Allegato A: Dettagli del trattamento
Oggetto. La fornitura del Servizio Kisnip al Cliente.
Durata. Per la durata dell'Accordo, più qualsiasi periodo durante il quale i dati personali del Cliente sono conservati conformemente al presente DPA.
Natura e finalità. Ospitare, archiviare, trasmettere e trattare i dati personali del Cliente per far funzionare l'assistente vocale e di chat incorporabile, generare risposte tramite IA, produrre riepiloghi delle conversazioni e lead e fornire la dashboard, l'assistenza e la sicurezza del Servizio.
Tipologie di dati personali. A seconda di come i visitatori interagiscono con l'assistente, ciò può includere: il contenuto delle conversazioni via chat e voce (trattato come testo; l'audio non viene conservato dopo la fine di una conversazione), eventuali dati di contatto forniti da un visitatore (come nome, indirizzo e-mail o numero di telefono), l'URL della pagina in cui è avvenuta la conversazione, la lingua e le impostazioni locali, nonché i relativi metadati tecnici.
Categorie di interessati. I visitatori del sito e gli utenti finali del Cliente che interagiscono con l'assistente, nonché gli utenti autorizzati della dashboard del Cliente stesso.
20. Allegato B: Sub-responsabili
Kisnip si avvale dei seguenti sub-responsabili per fornire il Servizio. Ciascuno è incaricato nell'ambito di un accordo sul trattamento dei dati con obblighi non meno tutelanti di quelli del presente DPA.
- Google (Firebase), Google Ireland Limited / Google LLC: hosting, database, autenticazione, archiviazione e funzioni serverless. Trattati nell'UE e in altre regioni in cui opera Google.
- Google (Gemini / Vertex AI), Google LLC: generazione delle risposte di conversazione tramite IA.
- Stripe, Stripe Payments Europe, Ltd.: elaborazione di pagamenti e abbonamenti (solo dati di fatturazione).
- Hostpoint AG, Svizzera: invio di e-mail transazionali e di riepilogo.
Manteniamo aggiornato questo elenco. Per essere avvisato delle modifiche, contattaci.
21. Allegato C: Misure tecniche e organizzative
Kisnip mantiene misure di sicurezza adeguate al rischio, tra cui:
- Cifratura. I dati personali sono cifrati in transito (TLS) e a riposo presso i nostri fornitori di infrastruttura.
- Controllo degli accessi. L'accesso ai dati personali del Cliente è limitato al personale autorizzato secondo il principio del bisogno di conoscere, protetto da autenticazione e autorizzazioni basate sui ruoli.
- Sicurezza dell'infrastruttura. Il Servizio funziona su un'infrastruttura cloud consolidata (Google Firebase) con le garanzie fisiche, di rete e operative mantenute da tali fornitori.
- Minimizzazione dei dati. L'input vocale è trattato in tempo reale e le registrazioni audio non vengono conservate dopo la fine di una conversazione, ma solo le trascrizioni testuali.
- Resilienza. Un'infrastruttura gestita e ridondante supporta la disponibilità e l'integrità del Servizio.
- Riservatezza. Il personale è vincolato da obblighi di riservatezza e riceve indicazioni sul trattamento dei dati personali.
- Risposta agli incidenti. Sono in atto processi per rilevare, valutare e rispondere alle violazioni dei dati personali e per notificare i clienti interessati senza ingiustificato ritardo.