Accordo sul trattamento dei dati

1. Parti e valore dell'accordo

L'accordo è tra il Cliente, titolare del trattamento, e Nicolas Ricardi, P.IVA IT04455400160, con sede in Via Vasco de Gama 116/2, 24045 Fara Gera d'Adda (BG), che offre il servizio Kiedi, responsabile del trattamento. Fa parte dei termini di utilizzo e si considera accettato con essi, senza bisogno di firma. Se ti serve una copia firmata scrivi a hello@wearenube.dev.

2. Oggetto del trattamento

• Finalità: fornire il chatbot al Cliente, cioè ricevere i messaggi dei visitatori, generare le risposte a partire dalle fonti del Cliente, salvare le conversazioni e mostrarle al Cliente nella dashboard.
• Interessati: i visitatori del sito del Cliente che usano il chatbot e le persone eventualmente citate nelle fonti che il Cliente carica.
• Dati: testo dei messaggi e qualsiasi dato che il visitatore sceglie di scrivere, indirizzo della pagina da cui scrive, identificativo casuale della conversazione, data e ora, impronta non reversibile dell'indirizzo IP usata solo per limitare gli abusi (cambia ogni giorno); dati personali presenti nelle pagine e nei documenti indicati come fonti.
• Categorie particolari: il servizio non è pensato per trattarle. Il Cliente non deve caricarle nelle fonti né chiedere ai visitatori di comunicarle.
• Durata: quanto il contratto tra il Cliente e Kiedi.

3. Obblighi di Kiedi

Kiedi si impegna a:

• trattare i dati solo per fornire il servizio e secondo le istruzioni documentate del Cliente, che sono questo accordo, i termini e le impostazioni che il Cliente sceglie nella dashboard. Se un'istruzione viola la normativa, Kiedi lo segnala al Cliente;
• non usare i dati per scopi propri, per profilare i visitatori o per addestrare modelli di AI;
• far accedere ai dati solo le persone autorizzate e vincolate alla riservatezza;
• adottare le misure di sicurezza descritte al punto 5 (art. 32 GDPR);
• aiutare il Cliente a rispondere alle richieste dei visitatori che esercitano i propri diritti, inoltrandogli senza ritardo quelle ricevute direttamente;
• informare il Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando ne viene a conoscenza, di una violazione dei dati personali che lo riguarda, con le informazioni necessarie per le eventuali notifiche al Garante e agli interessati;
• assistere il Cliente, nei limiti delle informazioni disponibili, nelle valutazioni d'impatto e nelle consultazioni con l'autorità di controllo;
• mettere a disposizione le informazioni necessarie a dimostrare il rispetto di questo accordo e consentire verifiche ragionevoli, concordate per iscritto con almeno 30 giorni di preavviso.

4. Obblighi del Cliente

• Informare i visitatori del proprio sito che usa un chatbot fornito da Kiedi, con la propria informativa privacy e cookie policy.
• Avere una base giuridica valida per il trattamento e per i contenuti che carica come fonti.
• Rendere chiaro ai visitatori che stanno parlando con un sistema di intelligenza artificiale (Regolamento UE 2024/1689, AI Act).
• Eliminare dalla dashboard le conversazioni che non servono più. In ogni caso Kiedi le cancella in automatico alla scadenza prevista dal piano: 90 giorni con Starter, 1 anno con Pro e 3 anni con Agenzia.

5. Misure di sicurezza

• Connessioni cifrate (HTTPS/TLS) tra browser, servizio e fornitori.
• Dati cifrati a riposo sulle infrastrutture dei fornitori.
• Separazione dei dati tra clienti con controlli di accesso a livello di database.
• Accesso amministrativo limitato alle persone che gestiscono il servizio, con autenticazione.
• Chatbot attivo solo sui domini autorizzati dal Cliente e limiti al numero di messaggi.
• Password dei clienti salvate solo in forma cifrata.
• Messaggi inviati a OpenAI senza consentirne l'uso per addestrare modelli; OpenAI può conservarli fino a 30 giorni solo per il controllo degli abusi.

6. Sub-responsabili

Il Cliente autorizza Kiedi a servirsi dei sub-responsabili elencati qui sotto. L'elenco comprende tutti i fornitori del servizio: i dati dei visitatori del Cliente li trattano solo Supabase, OpenAI, Vercel e Sentry (quest'ultimo solo per i dati tecnici degli errori). Kiedi impone loro, per contratto, obblighi di protezione dei dati equivalenti a quelli di questo accordo e resta responsabile del loro operato.

Se aggiungiamo o sostituiamo un sub-responsabile aggiorniamo questa pagina e avvisiamo i clienti via email almeno 30 giorni prima. Il Cliente può opporsi per motivi legati alla protezione dei dati: se non troviamo una soluzione, può recedere dal contratto senza penali prima che la modifica abbia effetto.

7. Trasferimenti fuori dall'Unione Europea

Quando un sub-responsabile tratta i dati fuori dallo Spazio Economico Europeo, il trasferimento si basa sulla decisione di adeguatezza sull'EU-US Data Privacy Framework o sulle clausole contrattuali standard della Commissione Europea, come indicato nella tabella.

8. Fine del trattamento

Alla chiusura dell'account Kiedi cancella fonti, documenti e conversazioni entro 30 giorni, salvo obblighi di legge. Le copie dei messaggi che OpenAI conserva per il controllo degli abusi vengono cancellate da OpenAI entro 30 giorni dall'invio. Prima di chiudere l'account il Cliente può consultare le conversazioni dalla dashboard; se gli serve una copia in un formato strutturato può chiederla a hello@wearenube.dev.

9. Contatti

Per tutto ciò che riguarda questo accordo e la protezione dei dati scrivi a hello@wearenube.dev.