Informativa sul trattamento dei dati personali
Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR")
La presente Informativa descrive le modalità con cui Kiwi Network (di seguito anche "Kiwi Network", "Kiwi", "Titolare" o "noi") tratta i dati personali degli interessati che interagiscono con il sito istituzionale www.kiwienterprise.it, con la piattaforma SaaS Kiwi Network e con i prodotti che la compongono — KiwiLeads, KiwiCall, KiwiWeb, KiwiSocial — nonché i dati personali raccolti, in via indiretta, presso terzi (ad esempio nell'ambito dell'attività di lead generation effettuata tramite KiwiLeads).
L'informativa è strutturata in modo da essere leggibile sia dagli utenti registrati alla piattaforma sia da chi viene contattato dai nostri Clienti tramite gli strumenti Kiwi.
1. Titolare del trattamento
Il Titolare del trattamento è:
- Ragione sociale: KIWI NETWORK S.R.L.
- Sede legale: Via Repubblica 56, 13900 Biella (BI), Italia
- P.IVA / C.F.: 02851510020
- Email: privacy@kiwienterprise.it
- PEC: kiwinetwork@pec.it
- Rappresentante legale: Christopher Montejo
Per qualsiasi richiesta inerente il trattamento dei dati personali è possibile scrivere all'indirizzo email privacy@kiwienterprise.it.
2. Responsabile della protezione dei dati (DPO)
[DPO se nominato]
La nomina di un Responsabile della protezione dei dati (Data Protection Officer, "DPO") non è obbligatoria ai sensi dell'art. 37 GDPR per le attività attualmente svolte da Kiwi Network. Qualora il Titolare ritenesse di nominare un DPO su base volontaria, i relativi recapiti saranno pubblicati in questa sezione.
3. Categorie di interessati
La presente informativa si rivolge alle seguenti categorie di interessati:
- Visitatori del sito istituzionale
www.kiwienterprise.ite dei sotto-domini Kiwi (es.kiwi-leads.it,kiwi-call.it,kiwi-web.it). - Utenti registrati alla piattaforma Kiwi Network, ossia legali rappresentanti, amministratori e operatori delle aziende Cliente che sottoscrivono uno o più prodotti.
- Referenti aziendali indicati dai Clienti come contatti operativi, tecnici o amministrativi.
- Interessati indiretti, ossia persone fisiche i cui dati personali vengono raccolti dal Cliente tramite i prodotti Kiwi (ad esempio: persone presso aziende prospect raccolte tramite KiwiLeads, persone chiamate da KiwiCall, persone che compilano un form sul sito generato con KiwiWeb, persone i cui dati sono pubblicati su social tramite KiwiSocial).
- Candidati che inviano spontaneamente CV o si propongono per posizioni in azienda.
Nota importante (art. 14 GDPR — interessati indiretti): quando il Cliente raccoglie dati personali di terzi tramite i prodotti Kiwi (in particolare KiwiLeads e KiwiCall), il Titolare del trattamento di tali dati è il Cliente stesso, e Kiwi agisce come Responsabile del trattamento (vedi Art. 5 — Ruoli). L'informativa di cui all'art. 14 GDPR deve essere fornita dal Cliente entro un termine ragionevole, comunque non superiore a 30 giorni dalla raccolta o, se prima, al primo contatto con l'interessato.
4. Categorie di dati personali trattati
Kiwi Network tratta le seguenti categorie di dati personali, raccolte direttamente presso l'interessato o presso terzi nelle ipotesi di cui sopra.
4.1 Dati identificativi e di contatto
- Nome e cognome
- Indirizzo email (personale o aziendale)
- Numero di telefono (personale o aziendale)
- Ruolo aziendale e azienda di appartenenza
4.2 Dati account
- Credenziali di accesso (password memorizzate esclusivamente in forma di hash crittografico — algoritmo
bcrypto equivalente) - Token di sessione
- Identificativi OAuth provider (Google, GitHub) ove l'utente abbia scelto l'autenticazione federata
- Codici di autenticazione multi-fattore (TOTP) e relativi codici di recupero (memorizzati cifrati)
4.3 Dati di fatturazione
- Ragione sociale, P.IVA, codice fiscale, codice destinatario SDI / PEC
- Indirizzo di fatturazione
- Storico fatture e ricevute
4.4 Dati di pagamento
I dati di pagamento (numero carta, scadenza, CVV, IBAN) sono trattati direttamente da Stripe Payments Europe Ltd. in qualità di Titolare autonomo ai fini delle operazioni di pagamento. Kiwi Network non memorizza dati di carta di credito sui propri sistemi: riceve unicamente token opachi (Stripe customer_id, payment_method_id) e gli ultimi 4 cifre della carta a fini di reconciliation.
4.5 Dati di utilizzo e tecnici
- Indirizzo IP
- User Agent (tipo browser, versione, sistema operativo)
- Identificativi di sessione e cookie tecnici
- Pagine visitate, click, eventi di interazione (analytics first-party anonimizzati)
- Log applicativi e di sicurezza (timestamp, endpoint, esito autenticazione)
- Log di errore (con scrubbing automatico delle PII tramite Sentry — vedi Art. 6)
4.6 Contenuti caricati dal Cliente
Nell'ambito dell'utilizzo dei prodotti, il Cliente carica autonomamente contenuti che possono includere dati personali di terzi (interessati indiretti). Categorie principali:
- KiwiLeads: liste aziende prospect, contatti di persone presso tali aziende (nome, ruolo, email, telefono, profilo LinkedIn pubblico), email generate tramite IA, conversazioni email, note CRM, score di lead.
- KiwiCall: numeri telefonici di destinazione, registrazioni audio delle chiamate effettuate dall'AI voice agent, trascrizioni testuali delle chiamate, metadati (durata, esito, timestamp).
- KiwiWeb: contenuti pubblicati sul sito Cliente, lead generati da form di contatto, dati raccolti tramite chatbot KiwiChat, log di accesso al sito.
- KiwiSocial: asset multimediali caricati (foto, video), bozze e post pianificati, calendari editoriali, idee generate dall'IA, statistiche aggregate dei profili social collegati.
4.7 Dati di terzi importati dal Cliente (lead scraping)
Kiwi Network mette a disposizione del Cliente, tramite KiwiLeads, strumenti di raccolta di dati B2B disponibili da fonti pubbliche (siti aziendali, registri delle imprese, profili professionali pubblici). Tali dati includono prevalentemente:
- denominazione dell'azienda, settore, dimensioni, indirizzo della sede;
- dati di contatto generici dell'azienda (es.
info@); - nomi e ruoli di persone associate all'azienda quando pubblicamente reperibili (es. legale rappresentante, contatti commerciali pubblicati).
Il Cliente è il Titolare di tali trattamenti ed è responsabile di rispettare gli obblighi di cui all'art. 14 GDPR nei confronti degli interessati.
4.8 Comunicazioni con il supporto
- Contenuto delle email inviate al supporto Kiwi
- Trascrizioni delle conversazioni con il chatbot di supporto / @KiwiAssist_bot (limitatamente al canale Telegram super-admin)
5. Ruoli rispetto al trattamento
In coerenza con le Linee guida EDPB 07/2020:
- Kiwi Network agisce come Titolare del trattamento autonomo per i dati che tratta nei propri legittimi scopi: gestione dell'account, fatturazione, sicurezza della piattaforma, marketing diretto verso Clienti esistenti, miglioramento del prodotto su dati anonimizzati;
- Kiwi Network agisce come Responsabile del trattamento ex art. 28 GDPR per i dati personali che il Cliente carica e processa tramite i prodotti Kiwi (contatti CRM, registrazioni KiwiCall, lead da KiwiWeb, contenuti KiwiSocial). I rispettivi obblighi sono disciplinati dal Data Processing Agreement (DPA) disponibile alla URL
https://kiwienterprise.it/legal/dpa(cfr. documento04-dpa.md).
6. Finalità, basi giuridiche, categorie di dati e periodo di conservazione
| # | Finalità | Base giuridica (art. 6 GDPR) | Categorie di dati | Periodo di conservazione |
|---|---|---|---|---|
| A | Erogazione del servizio (registrazione, gestione account, accesso ai prodotti, supporto) | Esecuzione del contratto — art. 6.1.b | Identificativi, account, utilizzo | Per tutta la durata del contratto + 30 giorni dalla cessazione (per consentire export dati) |
| B | Fatturazione e adempimenti fiscali | Obbligo legale — art. 6.1.c (DPR 633/72, D.Lgs. 127/2015) | Fatturazione, pagamento (token) | 10 anni dall'emissione del documento (art. 2220 c.c.) |
| C | Sicurezza della piattaforma, prevenzione frodi, log audit | Legittimo interesse — art. 6.1.f | Tecnici, log, IP, eventi | 12 mesi rolling (log applicativi); 24 mesi (log di sicurezza); 5 anni (log audit di azioni privilegiate) |
| D | Adempimenti AML / antiriciclaggio (se applicabili in base al servizio fornito) | Obbligo legale — art. 6.1.c | Identificativi, fatturazione | 10 anni (D.Lgs. 231/2007, ove applicabile) |
| E | Marketing diretto verso Clienti esistenti su prodotti analoghi (soft spam ex art. 130 c. 4 D.Lgs. 196/2003) | Legittimo interesse — art. 6.1.f | Email aziendale, dati account | Fino a opposizione o, in mancanza, 24 mesi dall'ultima interazione |
| F | Newsletter, materiali promozionali a prospect (non Clienti) | Consenso — art. 6.1.a | Email, nome | Fino a revoca del consenso |
| G | Profilazione automatizzata (lead scoring KiwiLeads, generazione conversazioni KiwiCall) | Esecuzione contratto / consenso del Cliente — art. 6.1.b/a (Kiwi è Responsabile) | Contenuti caricati dal Cliente | Coincide con la durata del contratto del Cliente |
| H | Registrazione delle chiamate KiwiCall | Esecuzione contratto / interesse legittimo del Cliente, con disclosure all'interlocutore (Kiwi è Responsabile) | Audio, trascrizioni, metadati | Default 90 giorni; configurabile dal Cliente; eliminate alla cessazione del contratto |
| I | Difesa in giudizio, accertamento o esercizio di diritti | Legittimo interesse — art. 6.1.f | Tutte le categorie pertinenti | Termini di prescrizione applicabili (di norma 10 anni — art. 2946 c.c.) |
| J | Cookie tecnici e funzionali | Legittimo interesse / esecuzione contratto — art. 6.1.b/f | Identificativi cookie, sessione | Vedi Cookie Policy (03-cookie-policy.md) |
| K | Cookie e tecnologie non strettamente necessarie | Consenso — art. 6.1.a | Identificativi cookie | Vedi Cookie Policy |
| L | Miglioramento del prodotto, sviluppo nuove feature | Legittimo interesse — art. 6.1.f | Dati di utilizzo aggregati / anonimizzati | Indefinito in forma anonima |
Bilanciamento di interessi (LIA): per i trattamenti basati sull'art. 6.1.f, Kiwi Network ha condotto una valutazione del bilanciamento di interessi che è disponibile su richiesta scritta a
privacy@kiwienterprise.it.
7. Modalità del trattamento e processo decisionale automatizzato
I trattamenti sono effettuati sia con strumenti elettronici sia, per gli adempimenti documentali, su supporto cartaceo. Tutte le operazioni sono condotte nel rispetto dei principi di liceità, correttezza, minimizzazione, esattezza, limitazione della conservazione, integrità e riservatezza (art. 5 GDPR).
7.1 Decisioni automatizzate / profilazione (art. 22 GDPR)
Alcuni prodotti Kiwi includono componenti basate su intelligenza artificiale che possono produrre effetti significativi:
- KiwiLeads — lead scoring AI: un modello di scoring automatico assegna un punteggio ai lead. Tale punteggio è strumentale alle decisioni del Cliente e non produce di per sé effetti giuridici sull'interessato; il Cliente conserva il pieno controllo decisionale.
- KiwiCall — AI voice agent: chiamate automatizzate gestite da un agente conversazionale. All'interlocutore viene comunicato in apertura della chiamata (i) che sta parlando con un sistema automatizzato e (ii) che la conversazione è registrata, con riferimento al titolare del trattamento (il Cliente). Cfr.
15-informativa-registrazione-chiamate.md. - KiwiSocial / KiwiChat — generazione contenuti: post, idee e risposte sono generati con l'assistenza di modelli linguistici di grandi dimensioni; il Cliente o l'operatore Kiwi convalida i contenuti prima della pubblicazione.
In ogni caso l'interessato ha diritto di:
- ottenere l'intervento umano del Titolare/Responsabile;
- esprimere la propria opinione;
- contestare la decisione automatizzata.
Le richieste in tal senso possono essere indirizzate a privacy@kiwienterprise.it.
8. Comunicazione e destinatari dei dati
I dati personali possono essere comunicati a:
- Personale autorizzato di Kiwi Network, formato e vincolato a riservatezza;
- Subprocessor (Responsabili del trattamento ex art. 28 GDPR) che forniscono servizi di hosting, database, email, error tracking, voce, IA e pagamenti. La lista aggiornata è pubblicata in
17-subprocessor-list.md(URL pubblica:https://kiwienterprise.it/legal/subprocessors); - Autorità giudiziarie e di vigilanza ove richiesto dalla legge;
- Consulenti professionali (commercialisti, legali, revisori) vincolati a obblighi di riservatezza;
- Stripe Payments Europe Ltd. in qualità di Titolare autonomo per le operazioni di pagamento.
I dati personali non sono diffusi né venduti a terzi.
9. Trasferimenti di dati personali al di fuori dello Spazio Economico Europeo (SEE)
Alcuni Subprocessor sono stabiliti negli Stati Uniti d'America o in Paesi terzi. I trasferimenti di dati personali al di fuori del SEE avvengono nel rispetto del Capo V GDPR (artt. 44-49) sulla base delle seguenti garanzie:
- Decisione di adeguatezza UE-USA Data Privacy Framework (DPF) — Decisione di esecuzione (UE) 2023/1795 del 10 luglio 2023 — per i Subprocessor certificati DPF (Stripe, Vercel, Sentry, Resend, ElevenLabs, Anthropic e altri ove indicato in
17-subprocessor-list.md); - Clausole Contrattuali Standard (SCC) della Commissione Europea — Decisione di esecuzione (UE) 2021/914 del 4 giugno 2021 — Modulo 2 (Titolare-Responsabile) o Modulo 3 (Responsabile-Sub-Responsabile), con eventuale Transfer Impact Assessment (TIA) documentata dal Titolare a corredo;
- ulteriori misure tecniche e organizzative supplementari ove necessarie (ad esempio cifratura at-rest, controlli di accesso, pseudonimizzazione).
Una copia delle garanzie applicate può essere richiesta scrivendo a privacy@kiwienterprise.it.
10. Periodo di conservazione
I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per le quali sono stati raccolti, come dettagliato nella tabella di cui all'Art. 6. Decorso tale termine, i dati sono cancellati o resi anonimi in modo irreversibile, fatti salvi gli obblighi legali di conservazione e l'esercizio o la difesa di un diritto in sede giudiziaria.
I criteri di conservazione adottati seguono il principio di minimizzazione: ove possibile, i dati personali sono pseudonimizzati o aggregati prima della scadenza dei termini massimi di conservazione.
11. Diritti degli interessati
In qualità di interessato, hai il diritto di esercitare in qualunque momento i diritti previsti dagli articoli 15-22 GDPR e, ove applicabile, dall'art. 7 paragrafo 3 GDPR (revoca del consenso). In particolare, hai diritto di:
| Diritto | Riferimento normativo | Cosa significa |
|---|---|---|
| Accesso | art. 15 GDPR | Ottenere conferma se sono trattati dati che ti riguardano e accedere a tali dati e alle informazioni accessorie |
| Rettifica | art. 16 GDPR | Ottenere la correzione di dati inesatti o l'integrazione di dati incompleti |
| Cancellazione ("oblio") | art. 17 GDPR | Ottenere la cancellazione dei dati nei casi previsti dalla legge |
| Limitazione | art. 18 GDPR | Ottenere il blocco temporaneo del trattamento nei casi previsti dalla legge |
| Portabilità | art. 20 GDPR | Ricevere i dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare |
| Opposizione | art. 21 GDPR | Opporti al trattamento basato sul legittimo interesse o per finalità di marketing diretto |
| Non essere sottoposto a decisioni automatizzate | art. 22 GDPR | Ottenere intervento umano, esprimere la tua opinione, contestare la decisione |
| Revoca del consenso | art. 7 c. 3 GDPR | Revocare in qualunque momento un consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca |
| Reclamo all'Autorità di controllo | art. 77 GDPR | Proporre reclamo al Garante per la protezione dei dati personali, P.zza Venezia n. 11 — 00187 Roma — www.garanteprivacy.it |
Le richieste possono essere inviate a privacy@kiwienterprise.it. Il Titolare risponde senza ingiustificato ritardo e comunque entro 30 giorni dal ricevimento (art. 12 c. 3 GDPR), prorogabili di ulteriori 60 giorni in caso di particolare complessità, con comunicazione motivata all'interessato. L'esercizio dei diritti è gratuito; in caso di richieste manifestamente infondate o eccessive il Titolare si riserva il diritto di addebitare un contributo spese ragionevole o di rifiutare la richiesta (art. 12 c. 5 GDPR).
12. Conferimento dei dati: obbligatorio o facoltativo
| Categoria di dato | Conferimento | Conseguenza del rifiuto |
|---|---|---|
| Email, password, dati account | Obbligatorio | Impossibilità di registrarsi e usare i Servizi |
| Dati di fatturazione | Obbligatorio | Impossibilità di emettere fattura |
| Dati di pagamento (a Stripe) | Obbligatorio per piani a pagamento | Impossibilità di sottoscrivere piani a pagamento |
| Numero di telefono | Facoltativo (salvo configurazioni 2FA via SMS, attualmente non attive) | Nessuna conseguenza |
| Email di newsletter | Facoltativo | Mancato ricevimento di comunicazioni promozionali |
| Cookie non tecnici | Facoltativo | Limitazioni nelle funzionalità non essenziali |
| CV inviato spontaneamente | Facoltativo | Impossibilità di valutare la candidatura |
13. Sicurezza del trattamento (art. 32 GDPR)
Kiwi Network adotta misure tecniche e organizzative volte a garantire un livello di sicurezza adeguato al rischio. Senza pretesa di esaustività e ferma restando l'impossibilità di garantire una sicurezza assoluta, le misure principali includono:
- Cifratura in transito mediante TLS 1.2+ per tutte le comunicazioni client-server e server-server;
- Cifratura at-rest del database e dei bucket di storage;
- Hashing delle password con algoritmi resistenti (bcrypt o equivalente);
- Autenticazione multi-fattore (MFA) per gli account amministrativi (TOTP) e per gli account super-admin;
- Row-Level Security (RLS) sul database Supabase per garantire la segregazione dei dati tra tenant;
- Controlli di accesso basati su ruoli (RBAC) e principio del minimo privilegio;
- Log di audit append-only delle azioni privilegiate e degli accessi a dati sensibili;
- Backup automatici giornalieri con conservazione 7-30 giorni e Point-In-Time Recovery (PITR) ove disponibile;
- Monitoraggio degli incidenti tramite Sentry con scrubbing automatico delle PII e alerting su anomalie;
- Procedure di gestione data breach ex art. 33-34 GDPR;
- Selezione e valutazione periodica dei Subprocessor sulla base di criteri di sicurezza e conformità;
- Formazione periodica del personale autorizzato.
14. Specifiche per prodotto
14.1 KiwiLeads — informativa ex art. 14 GDPR per interessati indiretti
I dati di contatti aziendali raccolti tramite KiwiLeads provengono da fonti pubblicamente accessibili (siti aziendali, registri pubblici, profili professionali). Il Titolare del trattamento di tali dati è il Cliente Kiwi che effettua la raccolta; Kiwi Network opera come Responsabile ex art. 28 GDPR.
Il Cliente è obbligato — ed è responsabile — di fornire l'informativa di cui all'art. 14 GDPR all'interessato indiretto entro 30 giorni dalla raccolta o, se anteriore, al primo contatto. A tal fine Kiwi Network mette a disposizione del Cliente:
- un template di informativa art. 14 integrato nelle email transazionali generate da KiwiLeads;
- un link "Privacy" preconfigurato nei footer delle email automatizzate;
- un meccanismo di unsubscribe HMAC-firmato in conformità all'art. 130 c. 2 D.Lgs. 196/2003 e all'art. 21 c. 3 GDPR.
14.2 KiwiCall — registrazione delle chiamate
Le chiamate effettuate o ricevute tramite KiwiCall possono essere registrate per finalità di sicurezza, qualità del servizio, addestramento dell'AI voice agent ed eventuale difesa in giudizio. All'apertura della chiamata, il sistema fornisce all'interlocutore una disclosure obbligatoria che indica:
- la presenza di un sistema di intelligenza artificiale conversazionale;
- la registrazione della chiamata;
- la facoltà di interrompere la conversazione in qualsiasi momento.
Per il dettaglio si rinvia al documento 15-informativa-registrazione-chiamate.md.
14.3 KiwiWeb — siti Cliente
I siti pubblicati tramite KiwiWeb possono includere form di contatto, chatbot e raccolte di lead. Il Cliente è il Titolare di tali trattamenti; Kiwi Network opera come Responsabile per le sole infrastrutture (hosting Vercel, dominio, CMS Supabase). L'informativa privacy del sito Cliente è fornita dal Cliente stesso e pubblicata sul rispettivo dominio.
14.4 KiwiSocial — gestione contenuti social
KiwiSocial pianifica e pubblica contenuti sui canali social del Cliente. Le credenziali di accesso ai canali social sono memorizzate in forma cifrata e usate esclusivamente per le finalità autorizzate dal Cliente. Le statistiche dei profili social sono trattate per finalità di reportistica al Cliente.
15. Modifiche alla presente Informativa
Il Titolare si riserva di aggiornare la presente Informativa per riflettere modifiche normative, organizzative o tecniche. Le modifiche sostanziali saranno comunicate agli utenti registrati con almeno 30 giorni di preavviso, tramite email all'indirizzo associato all'account o tramite avviso in piattaforma. La data di ultimo aggiornamento è indicata nel frontmatter del presente documento.
16. Contatti
Per ogni richiesta o chiarimento in merito al trattamento dei dati personali:
- Email: privacy@kiwienterprise.it
- PEC: kiwinetwork@pec.it
- Posta: KIWI NETWORK S.R.L. — Via Repubblica 56, 13900 Biella (BI), Italia
Versione 1.0 — Pubblicata in data 8 maggio 2026.