Accordo sul trattamento dei dati (DPA)

1. Parti

Questo DPA è concluso tra:

• Kiff Agents OÜ, società a responsabilità limitata estone, codice di registro 17372313, partita IVA EE102924327, con sede in Tööstuse tn 75-71, Põhja-Tallinna linnaosa, Tallinn 10416, Estonia (il «Responsabile»); e
• [DENOMINAZIONE LEGALE DEL CLIENTE], con sede in [INDIRIZZO], codice di registro [CODICE DI REGISTRO] (il «Titolare»).

Ciascuna una «parte» e insieme le «parti». Questo DPA integra le Condizioni di servizio in /terms e ogni modulo d'ordine commerciale tra le parti; in caso di conflitto in materia di protezione dei dati, prevale questo DPA.

2. Definizioni

I termini con l'iniziale maiuscola non definiti qui hanno il significato che hanno nel GDPR (regolamento (UE) 2016/679).

• «GDPR»: il regolamento generale sulla protezione dei dati dell'UE.
• «Dati personali», «Interessato», «Trattamento», «Titolare» (titolare del trattamento), «Responsabile» (responsabile del trattamento), «Sub-responsabile» (sub-responsabile del trattamento), «Violazione dei dati personali»: come definiti all'articolo 4 del GDPR.
• «Dati di audit»: i Dati personali che il Titolare invia al Servizio o genera al suo interno tramite il runtime, compresi eventi, decisioni, azioni, approvazioni e ricevute.
• «Dati di tafs»: i Dati personali contenuti in ciò che tafs conserva per conto del Titolare: le esecuzioni e le chat di ogni taf (compreso ciò che le app collegate dal Titolare gli restituiscono) e le chat di Setup, i suoi resoconti, le sue note di memoria, i dispositivi registrati per i suoi avvisi, e i collegamenti del Titolare alle sue app in planque (il token di ogni collegamento e la registrazione delle sue approvazioni). L'Allegato 4 li descrive.
• «Servizio»: il prodotto KIFF Cloud, tafs compreso, come definito nelle Condizioni di servizio.
• «Clausole contrattuali tipo» o «SCC»: le clausole contrattuali tipo della Commissione europea del 2021 per il trasferimento di Dati personali verso paesi terzi.
• «DPF»: la decisione di adeguatezza relativa al Data Privacy Framework UE–USA.
• «TOM»: le misure tecniche e organizzative descritte nell'Allegato 2.

3. Ambito e ruoli

Questo DPA si applica quando Kiff Agents OÜ tratta Dati personali per conto del Titolare in relazione al Servizio. Per i Dati di audit e i Dati di tafs, il Titolare è il titolare del trattamento e Kiff Agents OÜ è il responsabile del trattamento.

I Dati personali che trattiamo sugli intestatari dell'account del Titolare (metadati di accesso, contatti di fatturazione, corrispondenza con l'assistenza) sono regolati dalla nostra informativa sulla privacy; per quei dati siamo un titolare del trattamento autonomo, non un Responsabile ai sensi di questo DPA.

4. Oggetto e durata

Oggetto: il Trattamento dei Dati di audit e dei Dati di tafs per fornire il Servizio.

Durata: dalla data di entrata in vigore di questo DPA fino all'ultimo tra (a) la cessazione delle Condizioni di servizio sottostanti e (b) l'eliminazione di tutti i Dati di audit secondo il §16. Le disposizioni che per loro natura sopravvivono alla cessazione (audit, manleva, legge applicabile) sopravvivono.

5. Natura e finalità del trattamento

Kiff Agents OÜ tratta i Dati di audit solo per quanto necessario a fornire il Servizio: ricevere proposte e chiamate a strumenti, valutarle in base alla configurazione e alle Card del Titolare, trattenerle per l'approvazione umana quando la configurazione lo richiede, inoltrare una chiamata autorizzata all'app collegata o emettere un'autorizzazione che l'app verifica, registrare le decisioni e l'esito che l'app comunica, emettere Ricevute firmate e (se il Titolare lo ha configurato) pubblicare hash di riepilogo a evidenza di manomissione su una traccia pubblica verificabile. È l'app collegata a eseguire l'azione sottostante; una decisione di autorizzazione da sola non prova che l'azione sia stata eseguita.

Per tafs, Kiff Agents OÜ tratta anche i Dati di tafs per eseguire ogni taf che il Titolare avvia: eseguirlo secondo la sua pianificazione e nelle chat con le persone del Titolare, inviare le sue chiamate a strumenti attraverso KIFF, conservare le sue esecuzioni, le chat e le note di memoria perché possa riferire e continuare il suo lavoro, e avvisare i dispositivi registrati del Titolare quando una chiamata è trattenuta. Tramite Setup e planque collega anche le app del Titolare, quando le persone del Titolare accedono presso il fornitore dell'app e approvano il collegamento sul proprio dispositivo: planque custodisce il token di quell'accesso, cifrato, e lo usa solo per fare una chiamata che KIFF ha deciso. L'Allegato 4 indica i dati, dove sono conservati e per quanto tempo.

6. Categorie di Interessati e di Dati personali

Per impostazione predefinita, Kiff Agents OÜ tratta queste categorie di Dati personali, come descrive l'inventario in /security#data-we-process:

• Dati dell'account: chi sono le persone del Titolare nel suo account (nomi, indirizzi email, ruoli), e i suoi agenti e le loro chiavi. I metadati di accesso che Kiff Agents OÜ conserva come titolare del trattamento restano disciplinati dal §3.
• Collegamenti alle app: ogni collegamento alle app del Titolare, il suo token (cifrato), gli strumenti approvati e la registrazione di chi li ha approvati.
• Registrazioni delle azioni degli agenti: per ogni chiamata, chi ha chiesto (agente e chiave), l'azione, ciò su cui ha agito, l'esito e i suoi motivi, la Card in vigore, i parametri numerici, le chiamate trattenute e le loro risposte, e le ricevute.
• Chat con i tafs: le esecuzioni e le chat di ogni taf, i suoi resoconti e le note di memoria, e ciò che le app del Titolare gli restituiscono, come descrive l'Allegato 4.

Gli Interessati sono le persone del Titolare che usano il Servizio, e le persone i cui dati compaiono nelle azioni dei suoi agenti e nelle chat con i tafs, come i clienti, i fornitori o il personale del Titolare.

Cos'altro arriva al Servizio dipende dalla configurazione del Titolare e dai dati che invia; Kiff Agents OÜ non controlla quali campi il Titolare invia. Il Titolare aggiunge ogni ulteriore categoria nell'Allegato 1, che viene aggiornato quando la configurazione cambia in modo sostanziale.

7. Istruzioni del Titolare

Kiff Agents OÜ tratterà i Dati personali secondo le istruzioni documentate del Titolare. Tali istruzioni comprendono questo DPA, le Condizioni di servizio, la documentazione tecnica del Servizio e le misure di sicurezza nella revisione datata in kiff.dev/docs/archive/2026-10-10, e le configurazioni e le istruzioni inviate tramite il Servizio dagli utenti autorizzati del Titolare.

Il whitepaper strategico e la documentazione del framework open source, concesso in licenza separatamente, sono riferimenti esplicativi e non fanno parte di tali istruzioni per il trattamento. La pubblicazione di un documento rivisto non modifica, di per sé, le istruzioni applicabili a un accordo esistente.

Le istruzioni che escono da questo ambito richiedono un accordo scritto. Se Kiff Agents OÜ ritiene che un'istruzione sia contraria al GDPR o a un'altra legge applicabile sulla protezione dei dati, ne informerà il Titolare.

8. Obblighi del Responsabile (articolo 28, paragrafo 3)

Kiff Agents OÜ:

1. tratterà i Dati personali solo su istruzione documentata del Titolare, anche per quanto riguarda i trasferimenti internazionali, salvo che il diritto dell'UE o di uno Stato membro richieda diversamente (nel qual caso Kiff Agents OÜ informerà il Titolare di tale obbligo giuridico prima del Trattamento, a meno che quel diritto vieti tale informazione per rilevanti motivi di interesse pubblico);
2. garantirà che le persone autorizzate al Trattamento dei Dati personali siano vincolate da adeguati obblighi di riservatezza;
3. attuerà le misure tecniche e organizzative descritte nell'Allegato 2;
4. rispetterà le condizioni per ricorrere a Sub-responsabili stabilite nel §10;
5. tenendo conto della natura del Trattamento, assisterà il Titolare con misure adeguate nell'adempiere agli obblighi di dare seguito alle richieste degli Interessati ai sensi del capo III del GDPR;
6. assisterà il Titolare nel garantire il rispetto degli articoli da 32 a 36 del GDPR (sicurezza, notifica delle violazioni, DPIA, consultazione preventiva), tenendo conto della natura del Trattamento e delle informazioni a disposizione di Kiff Agents OÜ;
7. a scelta del Titolare, cancellerà o restituirà tutti i Dati personali alla cessazione dei servizi secondo il §16, e cancellerà le copie esistenti, salvo che il diritto dell'UE o di uno Stato membro ne richieda la conservazione;
8. metterà a disposizione del Titolare tutte le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR, e consentirà e contribuirà agli audit previsti dal §15.

9. Riservatezza

Kiff Agents OÜ garantisce che le persone con accesso ai Dati personali siano vincolate da obblighi di riservatezza scritti o soggette a un adeguato obbligo legale di riservatezza. L'accesso è concesso secondo il principio del privilegio minimo ed è registrato.

10. Sub-responsabili

Il Titolare autorizza Kiff Agents OÜ a ricorrere ai Sub-responsabili elencati nell'Allegato 3 e in /subprocessors, che è l'elenco ufficiale. Kiff Agents OÜ impone a ogni Sub-responsabile obblighi di protezione dei dati non meno protettivi di questo DPA.

La traccia pubblica verificabile non è un Sub-responsabile. Riceve solo hash di riepilogo e nessun Dato personale.

La revisione datata a cui rimanda la sezione 7 riporta l'elenco alla sua data. Una modifica successiva ha effetto in base a questa sezione, non con la pubblicazione di una revisione.

Quando Kiff Agents OÜ intende ricorrere a un nuovo Sub-responsabile o sostituirne uno esistente per il Trattamento dei Dati personali del Titolare, Kiff Agents OÜ ne informa il Titolare con almeno trenta giorni di anticipo. Il Titolare può opporsi alla modifica per ragionevoli motivi di protezione dei dati entro quindici giorni dalla comunicazione; se un'opposizione ragionevole non può essere risolta, ciascuna parte può recedere dalla parte interessata del Servizio con comunicazione scritta.

11. Trasferimenti internazionali

Quando il Trattamento dei Dati personali comporta un trasferimento verso un paese fuori dallo Spazio economico europeo privo di una decisione di adeguatezza ai sensi dell'articolo 45 del GDPR, le parti convengono che:

• per i trasferimenti a Sub-responsabili certificati secondo il Data Privacy Framework UE–USA, il DPF è il meccanismo di trasferimento finché resta in vigore;
• negli altri casi, le parti incorporano per rinvio le Clausole contrattuali tipo della Commissione europea del 2021, con il Modulo 2 (da titolare a responsabile) applicabile ai trasferimenti dal Titolare a Kiff Agents OÜ e il Modulo 3 (da responsabile a sub-responsabile) applicabile ai trasferimenti da Kiff Agents OÜ a un Sub-responsabile;
• la clausola di adesione successiva (clausola 7) non viene usata; le parti delle SCC sono il Titolare e Kiff Agents OÜ;
• gli allegati I.A e I.B delle SCC sono compilati mediante rinvio all'Allegato 1 di questo DPA; l'allegato II delle SCC mediante rinvio all'Allegato 2 di questo DPA; l'allegato III mediante rinvio all'Allegato 3 di questo DPA;
• si applica l'opzione 2 della clausola 9, lettera a) (autorizzazione scritta generale), con il termine di preavviso di trenta giorni del §10 qui sopra.

Quando, a seguito di una valutazione d'impatto del trasferimento, sono opportune misure supplementari, Kiff Agents OÜ le attua (cifratura in transito e a riposo, registrazione degli accessi, minimizzazione dei dati come documentato nell'Allegato 2).

12. Misure di sicurezza

Kiff Agents OÜ attua misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio ai sensi dell'articolo 32 del GDPR. Le misure dell'Allegato 2 e della revisione datata in kiff.dev/docs/archive/2026-10-10 sono la base concordata. /security descrive le misure attuali. Kiff Agents OÜ può aggiornare le misure, purché il livello complessivo di sicurezza non scenda sotto quella base, e informa in anticipo il Titolare di una loro modifica sostanziale.

13. Notifica di una Violazione dei dati personali

Kiff Agents OÜ notifica al Titolare una Violazione dei dati personali che riguarda i Dati personali del Titolare senza ingiustificato ritardo e in ogni caso entro settantadue (72) ore da quando ne è venuta a conoscenza. La notifica comprende, per quanto noto in quel momento e con aggiornamenti man mano che sono disponibili ulteriori informazioni:

• la natura della Violazione, comprese le categorie e il numero approssimativo di Interessati e di registrazioni coinvolti;
• le probabili conseguenze della Violazione;
• le misure adottate o proposte per porre rimedio alla Violazione e per attenuarne i possibili effetti negativi;
• il nome e i dati di contatto di un unico punto di contatto presso Kiff Agents OÜ per ulteriori informazioni.

Il termine dell'articolo 33 del GDPR entro cui il Titolare deve notificare alla propria autorità di controllo decorre da quando il Titolare stesso viene a conoscenza della Violazione; questa notifica serve a tale obbligo.

14. Richieste degli Interessati

Kiff Agents OÜ assiste il Titolare, con misure tecniche e organizzative adeguate e tenendo conto della natura del Trattamento, nell'adempiere agli obblighi del Titolare di dare seguito alle richieste degli Interessati che esercitano i loro diritti ai sensi degli articoli da 15 a 22 del GDPR.

Kiff Agents OÜ conferma la ricezione delle richieste di assistenza del Titolare entro cinque (5) giorni lavorativi. Le richieste ricevute direttamente dagli Interessati sono inoltrate al Titolare senza ingiustificato ritardo; Kiff Agents OÜ non risponde a tali richieste per proprio conto, se non per confermarne la ricezione e indirizzare l'Interessato al Titolare.

15. Diritti di audit

Kiff Agents OÜ mette a disposizione del Titolare tutte le informazioni ragionevolmente necessarie per dimostrare il rispetto dell'articolo 28 del GDPR. Con un ragionevole preavviso scritto (almeno trenta giorni, salvo per un audit originato da una violazione sostanziale confermata), il Titolare può sottoporre Kiff Agents OÜ a un audit una volta per ogni periodo di dodici mesi.

Kiff Agents OÜ non ha ancora un rapporto SOC 2 o ISO 27001. Su richiesta, condivide la sua panoramica sulla sicurezza in /security e risponde ai questionari di sicurezza del Titolare.

Gli audit si svolgono durante il normale orario di lavoro, non interferiscono in modo irragionevole con il Servizio e rispettano la riservatezza degli altri clienti di Kiff Agents OÜ. Il Titolare sostiene i propri costi di audit; se un audit rivela un'inosservanza sostanziale da parte di Kiff Agents OÜ, Kiff Agents OÜ rimborsa al Titolare i ragionevoli costi di audit.

16. Restituzione o cancellazione dei Dati personali

A scelta del Titolare ed entro trenta giorni dalla cessazione del Servizio per il Titolare, Kiff Agents OÜ restituisce i Dati di audit in un formato strutturato, di uso comune e leggibile da dispositivo automatico, oppure li cancella. La stessa scelta vale per i Dati di tafs. In mancanza di una scelta entro quel termine, Kiff Agents OÜ cancella gli uni e gli altri. I Dati di tafs vengono cancellati rimuovendo ogni taf, come descrive l'Allegato 4: dopo la restituzione dei dati del Titolare, o subito se ha scelto la cancellazione, Kiff Agents OÜ rimuove ogni taf che il Titolare non ha rimosso, e scollega e cancella i collegamenti del Titolare e le loro registrazioni in planque.

Gli hash già pubblicati sulla traccia pubblica verificabile restano, perché la traccia è immutabile. Poiché la traccia pubblica usa il salting crittografico per tenant (vedi /security#public-trail), la distruzione del salt del tenant rende quegli hash pubblicati non più collegabili, in modo permanente, alle registrazioni che li hanno prodotti.

Il database di KIFF viene salvato ogni giorno, cifrato, e ogni backup è conservato sette giorni, quindi una registrazione cancellata sparisce dai backup entro sette giorni dalla sua cancellazione. planque non tiene backup del suo archivio. Kiff Agents OÜ può conservare Dati personali quando la conservazione è richiesta dal diritto dell'UE o di uno Stato membro (per esempio, la legge estone sulla contabilità, §12).

17. Responsabilità

La responsabilità di ciascuna parte ai sensi di questo DPA è soggetta alle limitazioni e alle esclusioni stabilite nelle Condizioni di servizio, salvo dove la legge applicabile vieti tale limitazione. Ciascuna parte risponde del danno causato dalla propria violazione del GDPR, secondo l'articolo 82 del GDPR.

18. Durata e cessazione

Questo DPA ha effetto dalla firma di entrambe le parti e resta in vigore per la durata descritta nel §4. La cessazione delle Condizioni di servizio fa cessare automaticamente questo DPA, fatti salvi gli obblighi che sopravvivono.

19. Legge applicabile

Questo DPA è regolato dalle leggi della Repubblica di Estonia, fatte salve le disposizioni imperative del GDPR o le norme a tutela dei consumatori, ove applicabili. Le controversie derivanti da questo DPA sono soggette alle regole sul foro competente e sulla scelta della legge del §18 delle Condizioni di servizio.

Allegato 1, Descrizione del Trattamento

Da compilare per ogni copia firmata.

A. Elenco delle parti

Titolare e Responsabile come identificati nel §1.

B. Descrizione del trasferimento

Categorie di Interessati: come elencate nel §6, più [ogni ulteriore categoria dichiarata dal Titolare].
Categorie di Dati personali: come elencate nel §6 (dati dell'account, collegamenti alle app, registrazioni delle azioni degli agenti, chat con i tafs), più [ogni ulteriore categoria dichiarata dal Titolare].
Dati sensibili: [dichiarazione del Titolare; impostazione predefinita: nessuno].
Frequenza del trasferimento: continua (ogni richiesta al Servizio).
Natura del Trattamento: come descritta nel §5.
Finalità del Trattamento: come descritte nel §5.
Periodo di conservazione: secondo /privacy#retention e il §16.

C. Autorità di controllo competente

L'Ispettorato estone per la protezione dei dati (Andmekaitse Inspektsioon).

Allegato 2, Misure tecniche e organizzative

Una sintesi adeguata a un DPA ai sensi dell'articolo 28. Questo Allegato e la revisione datata in kiff.dev/docs/archive/2026-10-10 sono la base concordata ai sensi della sezione 12. /security mostra le misure attuali ed è aggiornata entro 30 giorni da una modifica sostanziale.

Allegato 3, Sub-responsabili

L'elenco ufficiale è in /subprocessors; quell'elenco fa fede per i Sub-responsabili attuali, cambia solo con la procedura della sezione 10 e viene aggiornato entro 30 giorni da ogni modifica. Alla data di questa versione del modello:

La traccia pubblica verificabile non è un Sub-responsabile: riceve solo hash di riepilogo e nessun Dato personale.

Allegato 4, tafs

Cosa conserva tafs per conto del Titolare, dove e per quanto tempo. Il Titolare rimuove un taf nell'app tafs; la rimozione elimina tutto ciò che qui sotto è conservato «finché il taf non viene rimosso».

Le Card, le chiamate trattenute, le risposte e le ricevute di un taf sono Dati di audit, conservati da KIFF secondo il resto di questo DPA.

Versione del documento: modello v0.1.
Ultimo aggiornamento: 9 novembre 2026.