Note legali · UK GDPR & EU GDPR Art. 28

Accordo sul trattamento dei dati

Ultimo aggiornamento: 22 ottobre 2026

Traduzione di cortesia. In caso di differenze prevale la versione inglese.

EN · IT · DE · FR · ES

1. Parti e ambito

Questo accordo è tra il commerciante che usa Kosmly ("Titolare") e Kosmly Ltd, società registrata in Inghilterra e Galles (n. [number]), sede legale [address], partita IVA [GB number] ("Responsabile"). Rispetta l'articolo 28 dello UK GDPR e del GDPR, a seconda di quale si applica al Titolare. Si applica a tutti i dati personali che il Responsabile tratta per il Titolare tramite il servizio Kosmly e fa parte dei Termini di servizio. In caso di contrasto tra questo DPA e i Termini, per la protezione dei dati prevale questo DPA.

2. Dettagli del trattamento

Oggetto, durata, natura e finalità del trattamento, nonché le categorie di dati e di interessati, sono descritti nell'Allegato I.

3. Obblighi del Responsabile

1. Istruzioni. Il Responsabile tratta i dati personali solo su istruzioni documentate del Titolare, che sono i Termini, questo DPA e le impostazioni del Titolare in Kosmly. Avvisa il Titolare se ritiene che un'istruzione violi la legge.
2. Riservatezza. Chiunque abbia accesso è vincolato alla riservatezza e formato su protezione dei dati e alfabetizzazione in materia di AI.
3. Sicurezza. Il Responsabile applica le misure dell'Allegato II (art. 32 GDPR).
4. Minimizzazione. Gli agenti ricevono solo i dati di cui hanno bisogno. Nomi, email e numeri di telefono vengono sostituiti con segnaposto prima che il testo sia inviato a un modello di AI, quando il compito lo permette.
5. Nessun addestramento. I dati personali non vengono mai usati per addestrare o migliorare modelli di AI, né dal Responsabile né dai suoi sub-responsabili.
6. Richieste degli interessati. Il Responsabile aiuta il Titolare a rispondere alle richieste di accesso, rettifica, cancellazione o esportazione dei dati, anche tramite i webhook privacy obbligatori delle piattaforme.
7. Violazioni. Il Responsabile avvisa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali, con le informazioni che servono al Titolare per la propria notifica ai sensi dell'art. 33.
8. Assistenza. Il Responsabile aiuta il Titolare nelle valutazioni d'impatto (art. 35) e nelle consultazioni preventive che riguardano Kosmly.
9. Fine del servizio. Entro 30 giorni dalla fine del servizio il Responsabile cancella tutti i dati personali, o li restituisce su richiesta, salvo che la legge ne imponga la conservazione.
10. Verifiche. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare la conformità e consente un audit all'anno con 30 giorni di preavviso, o dopo una violazione.

4. Sub-responsabili

Il Titolare autorizza in via generale l'uso dei sub-responsabili dell'Allegato III. Il Responsabile impone a ciascuno, per contratto, gli stessi obblighi di protezione dei dati. Annuncia ogni nuovo sub-responsabile almeno 30 giorni prima, via email e su questa pagina. Il Titolare può opporsi per motivi ragionevoli; se non si trova una soluzione, può recedere dal servizio interessato con un rimborso proporzionale.

5. Trasferimenti internazionali

I dati personali sono conservati e trattati nell'UE/SEE. Il Responsabile ha sede nel Regno Unito, che beneficia di una decisione di adeguatezza dell'UE; l'accesso remoto del suo personale britannico si basa su quella decisione. Qualsiasi altro trasferimento avviene solo in base a una decisione di adeguatezza, alle Clausole contrattuali standard (Decisione della Commissione 2021/914) o, per i dati britannici, all'International Data Transfer Agreement o Addendum, con una valutazione del rischio del trasferimento e garanzie aggiuntive dove necessario.

6. Responsabilità

La responsabilità di ciascuna parte ai sensi di questo DPA è soggetta ai limiti dei Termini di servizio, salvo quanto diversamente previsto dall'articolo 82 dello UK GDPR o del GDPR.

Allegato I · Descrizione del trattamento

Voce	Descrizione
Finalità	Far funzionare gli agenti di AI attivati dal Titolare: contenuti (Vega), SEO (Sirius), traduzione (Lyra), prezzi (Orion) e in seguito immagini, social, email, carrelli, assistenza, recensioni, magazzino, analisi e pubblicità.
Interessati	Clienti e potenziali clienti del Titolare, visitatori del negozio che usano la chat di assistenza e personale del Titolare.
Categorie di dati	Nome, email, telefono, indirizzo di spedizione e fatturazione, storico ordini, contenuto di recensioni e chat, stato del consenso. Non è previsto il trattamento di categorie particolari (art. 9).
Natura	Conservazione, consultazione, analisi e generazione di testi o immagini con modelli di AI, secondo il livello di autonomia scelto dal Titolare.
Durata	Per la durata dell'abbonamento più 30 giorni.
Conservazione dei log AI	Il testo completo inviato ai modelli AI e ricevuto da loro non è conservato come log. Il registro d'uso di ogni chiamata AI (modello, token, costo, nessun testo) è conservato 90 giorni, poi solo come totali mensili per 13 mesi. Lo storico delle azioni degli agenti in Mission Control e il registro delle attività sono conservati 24 mesi, le email in uscita 90 giorni, le chat di assistenza 30 giorni. Tutto viene cancellato con l'account.
Visite dagli assistenti AI	Contatori anonimi giornalieri per negozio: giorno, assistente AI e pagina di arrivo. Nessun cookie, nessun indirizzo IP, nessun identificativo del visitatore, quindi nessun dato personale. Cancellati con l’account del negozio.
IndexNow	Gli indirizzi pubblici delle pagine modificate sono inviati ad api.indexnow.org perché i motori di ricerca le aggiornino. Nessun dato personale.
Google Merchant Center (facoltativo)	Se il Titolare lo collega, Orion legge solo i report sui prezzi (prezzi di mercato dei prodotti). Nessun dato personale.
Lista di soppressione email	Per le email respinte o segnalate come spam si conservano solo un hash SHA-256 dell’indirizzo e il motivo, per non scrivere più a quell’indirizzo. Dati pseudonimizzati, conservati dopo la fine dell’abbonamento solo per questo scopo.

Allegato II · Misure tecniche e organizzative

• Cifratura in transito (TLS 1.2+) e a riposo (AES-256).
• Separazione rigorosa dei dati di ogni commerciante, imposta a livello di database.
• Accessi in base al ruolo, autenticazione a due fattori e privilegi minimi per il personale; gli accessi sono registrati.
• Pseudonimizzazione dei dati personali prima che raggiungano i modelli di AI, quando il compito lo permette.
• Backup cifrati giornalieri nell'UE, con ripristini testati.
• Gestione delle vulnerabilità, controllo delle dipendenze e un contatto pubblico per la sicurezza (security@kosmly.app), in linea con il Cyber Resilience Act.
• Procedura scritta di risposta a incidenti e violazioni, testata almeno una volta all'anno.
• Formazione del personale su protezione dei dati e alfabetizzazione in materia di AI (art. 4 AI Act).

Allegato III · Sub-responsabili

Sub-responsabile	Finalità	Luogo
Scaleway SAS	Hosting dell'applicazione, database gestito, backup cifrati; le sue Generative APIs (modelli AI aperti) solo per verificare i testi o come riserva di emergenza	Parigi, Francia (UE)
Amazon Web Services EMEA SARL (Amazon Bedrock)	Modelli di AI (Anthropic Claude) che scrivono testi, SEO e traduzioni. Riceve il testo del compito, con nomi, email e numeri di telefono mascherati ogni volta che il compito lo permette; nessun addestramento, nessuna conservazione dei prompt da parte del fornitore	Francoforte, Germania (UE)
Google Cloud EMEA Limited (Vertex AI)	Gli stessi modelli Claude in una regione UE, i modelli Gemini che verificano i testi e i modelli per le immagini. Stessi dati e stesso mascheramento; nessun addestramento	Regioni UE (Paesi Bassi e altri data center UE)
Microsoft Ireland Operations Limited (Azure OpenAI)	Un modello GPT che rifinisce i testi finiti perché suonino naturali e, se attivata, la generazione di immagini. Riceve solo il testo finito; nessun addestramento	France Central, Parigi (UE)
Requesty Ltd	Instradamento AI: inoltra ogni chiamata ai modelli UE dei fornitori sopra tramite il suo punto di accesso di Francoforte e restituisce la risposta. Il testo vi transita soltanto; nessun addestramento	Francoforte, Germania (punto di accesso UE)
Mistral AI SAS	Verifica dei testi e modelli di AI di riserva quando il principale non è disponibile; nessun addestramento	Francia (UE)
Anthropic, PBC (Claude API)	Ultima riserva per lo stesso modello Claude, solo se attivata e se tutte le strade UE sopra non rispondono; nessun addestramento	Stati Uniti; EU-US Data Privacy Framework e Clausole contrattuali standard
Sendinblue SAS (Brevo)	Email al personale del Titolare; in seguito, email inviate da Comet e Halley per conto del Titolare	Francia (UE)
DataForSEO OU	Dati di ricerca (posizioni, volumi delle parole chiave, concorrenti). Riceve solo parole chiave, domini e indirizzi di pagine pubbliche: nessun dato personale	Tallinn, Estonia (UE)
Cloudflare, Inc.	DNS di kosmly.app e dei suoi sottodomini, e hosting del sito pubblico. Vede l'indirizzo IP di ogni richiesta, che Kosmly non riceve né conserva	Rete globale; EU-US Data Privacy Framework e Clausole contrattuali standard

Le richieste di assistenza sono gestite all'interno di Kosmly, sull'infrastruttura indicata sopra. I servizi che il Titolare collega da sé (per esempio Google Search Console, Google Analytics, Merchant Center, Profilo dell'attività, social network, Klaviyo, Trustpilot o Okendo) ricevono dati su istruzione del Titolare, secondo i propri termini con il Titolare; non sono sub-responsabili di Kosmly.

Contatto per questo accordo: privacy@kosmly.app.