Data Processing Agreement (DPA)

Accordo sul trattamento dei dati personali ai sensi dell'art. 28 GDPR

Premesse

(A) KIWI NETWORK S.R.L., P.IVA 02851510020, con sede in Via Repubblica 56, 13900 Biella (BI), Italia, rappresentata da Christopher Montejo (di seguito "Kiwi Network" o "Responsabile"), fornisce al Cliente i servizi software-as-a-service Kiwi Network — KiwiLeads, KiwiCall, KiwiWeb, KiwiSocial e relative funzionalità accessorie — sulla base di un contratto principale (il "Master Services Agreement" o "MSA").

(B) Il Cliente, persona giuridica o ditta individuale che sottoscrive il MSA (di seguito "Cliente" o "Titolare"), nell'utilizzo dei Servizi raccoglie e fa trattare a Kiwi Network dati personali di cui è Titolare ai sensi dell'art. 4 n. 7 GDPR.

(C) Le Parti intendono disciplinare gli obblighi reciproci in qualità di Titolare e Responsabile del trattamento ai sensi dell'art. 28 GDPR e delle altre normative applicabili in materia di protezione dei dati personali.

(D) Il presente DPA forma parte integrante del MSA e prevale su quest'ultimo per ogni profilo relativo al trattamento dei dati personali.

Tutto ciò premesso, le Parti convengono quanto segue.

1. Definizioni

Salvo diversamente indicato, i termini con iniziale maiuscola hanno il significato loro attribuito dal GDPR. Ai fini del presente DPA si applicano le seguenti definizioni:

• "Dati Personali": qualsiasi informazione riguardante una persona fisica identificata o identificabile, trattata da Kiwi Network per conto del Cliente nell'esecuzione dei Servizi.
• "Servizi": i servizi software-as-a-service Kiwi Network e gli eventuali servizi professionali accessori erogati ai sensi del MSA.
• "Sub-Responsabile" o "Subprocessor": il soggetto terzo nominato da Kiwi Network per trattare Dati Personali per conto del Cliente nell'esecuzione dei Servizi.
• "Violazione" o "Data Breach": ai sensi dell'art. 4 n. 12 GDPR, la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, perdita, modifica, divulgazione non autorizzata o accesso ai Dati Personali.
• "SCC": Clausole Contrattuali Standard adottate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914 del 4 giugno 2021.
• "DPF": UE-USA Data Privacy Framework di cui alla Decisione di esecuzione (UE) 2023/1795.

2. Oggetto e durata

2.1 Il Titolare incarica Kiwi Network quale Responsabile del trattamento dei Dati Personali nei limiti, per la durata e secondo le finalità descritte nell'Allegato I.

2.2 La durata del presente DPA coincide con quella del MSA. Le obbligazioni di riservatezza, sicurezza, restituzione/cancellazione dei Dati Personali e quelle di natura imperativa permangono anche dopo la cessazione del rapporto contrattuale.

3. Istruzioni del Titolare

3.1 Kiwi Network tratta i Dati Personali esclusivamente sulla base di istruzioni documentate del Titolare, ivi inclusi: (i) il MSA; (ii) il presente DPA; (iii) le configurazioni effettuate dal Titolare tramite l'interfaccia dei Servizi; (iv) eventuali ulteriori istruzioni scritte trasmesse a privacy@kiwienterprise.it.

3.2 Qualora Kiwi Network sia tenuta al trattamento in forza del diritto dell'Unione o dello Stato membro cui è soggetta, ne informerà preventivamente il Titolare salvo che il diritto applicabile vieti tale informazione per rilevanti motivi di interesse pubblico (art. 28 c. 3 lett. a GDPR).

3.3 Kiwi Network informa immediatamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni applicabili in materia di protezione dei dati (art. 28 c. 3 GDPR ult. periodo).

4. Riservatezza del personale autorizzato

4.1 Kiwi Network garantisce che le persone autorizzate a trattare i Dati Personali si siano impegnate alla riservatezza o abbiano un obbligo legale di segretezza (art. 28 c. 3 lett. b GDPR).

4.2 L'accesso ai Dati Personali è limitato secondo il principio del minimo privilegio ed è soggetto a procedure di autenticazione robusta (MFA per gli account amministrativi).

4.3 Kiwi Network eroga al proprio personale formazione periodica in materia di protezione dei dati personali e sicurezza delle informazioni.

5. Sicurezza del trattamento (art. 32 GDPR)

5.1 Kiwi Network adotta misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio. Le misure attualmente in essere sono descritte nell'Allegato II, fatta salva la facoltà di aggiornarle nel tempo per adeguarle all'evoluzione della tecnica e del rischio, fermo il livello di protezione complessivo.

5.2 Le misure includono in particolare: cifratura at-rest e in-transit, segregazione tenant, controlli di accesso basati su ruoli, log di audit append-only, backup periodici, gestione patch, valutazione fornitori, gestione incidenti, business continuity.

6. Sub-Responsabili (Subprocessor)

6.1 Autorizzazione generale. Il Titolare conferisce a Kiwi Network autorizzazione generale ad avvalersi di Sub-Responsabili per l'erogazione dei Servizi, ai sensi dell'art. 28 c. 2 GDPR.

6.2 Lista pubblica. L'elenco aggiornato dei Sub-Responsabili è pubblicato all'URL https://kiwienterprise.it/legal/subprocessors (cfr. allegato 17-subprocessor-list.md) e include, per ciascun fornitore: denominazione, servizio reso, sede, garanzie applicabili ai trasferimenti.

6.3 Notifica nuovi Sub-Responsabili. Kiwi Network informa il Titolare in caso di intenzione di aggiungere o sostituire Sub-Responsabili con un preavviso di almeno 30 giorni, mediante email all'indirizzo del referente privacy comunicato dal Titolare e mediante aggiornamento della lista pubblica.

6.4 Diritto di opposizione. Il Titolare ha diritto di opporsi entro tale termine per motivi ragionevoli connessi alla protezione dei dati. In caso di opposizione, le Parti si confrontano in buona fede per individuare una soluzione. Qualora, decorsi 30 giorni dall'opposizione, le Parti non abbiano raggiunto un accordo, il Titolare ha diritto di recedere dal MSA limitatamente ai Servizi che non possano essere erogati senza il Sub-Responsabile contestato, con rimborso pro-quota dei corrispettivi anticipati e non maturati.

6.5 Obblighi back-to-back. Kiwi Network impone ai Sub-Responsabili obblighi di protezione dei dati equivalenti a quelli previsti nel presente DPA, mediante contratto scritto ai sensi dell'art. 28 c. 4 GDPR.

6.6 Responsabilità. Kiwi Network risponde dell'inadempimento del Sub-Responsabile agli obblighi in materia di protezione dei dati, ferma restando la limitazione di responsabilità di cui al MSA (cfr. art. 13 del presente DPA).

7. Assistenza al Titolare per i diritti degli interessati

7.1 Kiwi Network assiste il Titolare, tramite misure tecniche e organizzative adeguate e tenendo conto della natura del trattamento, a soddisfare l'obbligo di rispondere alle richieste degli interessati per l'esercizio dei loro diritti ai sensi del Capo III del GDPR (artt. 12-22).

7.2 Le funzionalità self-service della piattaforma consentono al Titolare di:

• esportare i Dati Personali in formato strutturato (JSON, CSV);
• rettificare e cancellare i Dati Personali;
• limitare il trattamento mediante sospensione dell'account;
• gestire i consensi e le revoche.

7.3 Per richieste che non possano essere evase tramite gli strumenti self-service, Kiwi Network fornisce assistenza al Titolare entro 15 giorni lavorativi dalla richiesta scritta inviata a privacy@kiwienterprise.it. Costi straordinari saranno preventivamente concordati.

7.4 Salvo istruzione contraria del Titolare o obbligo di legge, Kiwi Network non comunica direttamente con gli interessati: ogni richiesta ricevuta è inoltrata senza ritardo al Titolare.

8. Notifica di violazione dei Dati Personali

8.1 In caso di Violazione, Kiwi Network notifica il Titolare senza ingiustificato ritardo e comunque entro 36 ore dal momento in cui ne è venuta a conoscenza, all'indirizzo del referente privacy comunicato dal Titolare, fornendo le seguenti informazioni in conformità all'art. 33 c. 3 GDPR:

a) descrizione della natura della Violazione, ivi comprese, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni interessate; b) categorie e numero approssimativo di registrazioni dei Dati Personali interessati; c) probabili conseguenze della Violazione; d) misure adottate o di cui si propone l'adozione per porvi rimedio e per attenuarne i possibili effetti negativi; e) recapiti del punto di contatto presso il quale ottenere ulteriori informazioni.

8.2 Qualora alcune di tali informazioni non siano disponibili al momento della prima notifica, esse saranno fornite in successive comunicazioni senza ulteriore ingiustificato ritardo.

8.3 Kiwi Network coopera con il Titolare nella gestione della Violazione, anche ai fini delle eventuali notifiche all'Autorità di controllo (art. 33 GDPR) e agli interessati (art. 34 GDPR), che restano di esclusiva competenza del Titolare.

8.4 La notifica della Violazione di per sé non costituisce ammissione di colpa o responsabilità da parte di Kiwi Network.

9. Valutazione d'impatto sulla protezione dei dati (DPIA) e consultazione preventiva

9.1 Kiwi Network fornisce al Titolare, su richiesta scritta e tenendo conto della natura del trattamento e delle informazioni disponibili, assistenza ragionevole per:

a) eseguire la valutazione d'impatto sulla protezione dei dati (DPIA) ai sensi dell'art. 35 GDPR; b) effettuare le consultazioni preventive con l'Autorità di controllo ai sensi dell'art. 36 GDPR.

9.2 Costi straordinari potranno essere preventivamente concordati per attività che eccedano la consegna della documentazione standard (es. schede tecniche dei Servizi, documento misure di sicurezza, lista Sub-Responsabili).

10. Audit e ispezioni

10.1 Kiwi Network mette a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'art. 28 GDPR e al presente DPA.

10.2 Su richiesta scritta del Titolare e con preavviso di almeno 30 giorni, Kiwi Network consente al Titolare (o a un revisore terzo da esso incaricato, vincolato a obblighi di riservatezza e privo di posizioni concorrenziali con Kiwi) di effettuare un audit all'anno sul rispetto degli obblighi del presente DPA.

10.3 L'audit: a) si svolge in orari lavorativi e con modalità che minimizzino l'impatto sulle operazioni di Kiwi Network; b) non si estende a dati o informazioni di altri Clienti, dati interni del personale Kiwi non rilevanti, codice sorgente proprietario, password o segreti; c) è soggetto a NDA reciproco; d) ha costi a carico del Titolare, salvo che l'audit rilevi non conformità gravi imputabili a Kiwi Network, nel qual caso i costi sono ripartiti in proporzione alla gravità.

10.4 In alternativa all'audit, Kiwi Network può fornire al Titolare, su richiesta, report di certificazione (es. SOC 2 Type II, ISO/IEC 27001) di Kiwi stessa o dei Sub-Responsabili principali, ove disponibili. Il Titolare accetta tali report come prova del rispetto degli obblighi nei limiti della loro pertinenza.

11. Trasferimenti di Dati Personali al di fuori del SEE

11.1 Kiwi Network garantisce che eventuali trasferimenti di Dati Personali al di fuori dello Spazio Economico Europeo siano effettuati nel rispetto del Capo V GDPR (artt. 44-49).

11.2 In particolare, ove non sia applicabile una decisione di adeguatezza (incluso il DPF), il trasferimento è retto dalle Clausole Contrattuali Standard (Decisione di esecuzione UE 2021/914), come segue:

• Modulo 2 (Titolare-Responsabile) per i trasferimenti tra Titolare nel SEE e Kiwi Network (qualora trattamenti specifici comportino trasferimenti operativi extra-SEE da parte di Kiwi);
• Modulo 3 (Responsabile-Sub-Responsabile) per i trasferimenti tra Kiwi Network e Sub-Responsabili stabiliti in Paesi terzi.

11.3 Le SCC sono incorporate per riferimento nel presente DPA e si intendono accettate dalle Parti con la sottoscrizione del MSA. In caso di richiesta del Titolare, le SCC sono fornite anche in forma sottoscritta.

11.4 Kiwi Network documenta, ove richiesto, una Transfer Impact Assessment (TIA) a corredo dei trasferimenti, secondo le indicazioni delle Raccomandazioni EDPB 01/2020.

11.5 Le clausole opzionali delle SCC sono compilate come segue:

• clausola 7 (docking): applicabile;
• clausola 9 — opzione 2 (general written authorisation): applicabile, con preavviso di 30 giorni come da art. 6.3;
• clausola 11 — opzione (independent dispute resolution body): non applicabile;
• clausola 17: foro Italia;
• clausola 18: legge italiana, foro di Biella.

12. Termine e restituzione/cancellazione dei Dati Personali

12.1 Alla cessazione del MSA, per qualsiasi causa, Kiwi Network, su scelta del Titolare comunicata per iscritto entro 30 giorni dalla cessazione:

a) restituisce al Titolare i Dati Personali in formato esportabile (JSON o CSV); oppure b) cancella in modo sicuro i Dati Personali dai propri sistemi, comprese eventuali copie esistenti.

12.2 In assenza di indicazione del Titolare entro il termine di cui sopra, Kiwi Network procede alla cancellazione decorsi 30 giorni dalla cessazione del MSA, fatti salvi:

• gli obblighi legali di conservazione (in particolare conservazione della documentazione fiscale per 10 anni);
• le copie di backup, che saranno cancellate al naturale ricambio dei cicli di backup (entro 30 giorni dall'avvio del processo) e che, fino a tale momento, saranno trattate solo per finalità di disaster recovery e non saranno accessibili in chiaro.

12.3 Su richiesta scritta del Titolare, Kiwi Network rilascia un certificato di cancellazione ad attestazione dell'avvenuta esecuzione.

13. Limitazione di responsabilità

13.1 Le limitazioni di responsabilità previste nel MSA si applicano integralmente al presente DPA, fatte salve le ipotesi in cui tali limitazioni non siano consentite dalla legge applicabile, nonché le sanzioni amministrative pecuniarie irrogate dall'Autorità di controllo, che restano regolate dal diritto applicabile e dal regime di responsabilità solidale di cui all'art. 82 GDPR.

14. Conflitto tra documenti

14.1 In caso di conflitto tra il presente DPA e il MSA in materia di trattamento dei dati personali, prevale il DPA. In ogni altro caso prevale il MSA.

14.2 In caso di conflitto tra il presente DPA e le SCC, prevalgono le SCC limitatamente ai trasferimenti extra-SEE.

15. Disposizioni finali

15.1 Modifiche. Eventuali modifiche al presente DPA richiedono forma scritta e accettazione di entrambe le Parti, fatto salvo il diritto di Kiwi Network di aggiornare le misure di sicurezza dell'Allegato II e la lista dei Sub-Responsabili nel rispetto delle procedure previste.

15.2 Legge applicabile. Il presente DPA è retto dalla legge italiana, fermo restando quanto previsto dalle SCC per i trasferimenti extra-SEE.

15.3 Foro competente. Per ogni controversia inerente l'interpretazione o l'esecuzione del DPA è competente in via esclusiva il Foro di Biella.

ALLEGATO I — Descrizione del trattamento

A. Natura e finalità del trattamento

Erogazione dei Servizi software-as-a-service Kiwi Network al Titolare, comprensiva di hosting, archiviazione, elaborazione, generazione di output (email, voce, contenuti social), supporto tecnico, sicurezza, manutenzione evolutiva e correttiva.

B. Tipologia di trattamento

Operazioni eseguite dai sistemi automatizzati e dal personale autorizzato di Kiwi Network tra cui: raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento o modifica, estrazione, consultazione, uso, comunicazione mediante trasmissione, raffronto o interconnessione, limitazione, cancellazione o distruzione.

C. Durata del trattamento

Coincide con la durata del MSA, salve le disposizioni in materia di conservazione obbligatoria e di restituzione/cancellazione di cui all'art. 12.

D. Categorie di interessati

• Utenti registrati alla piattaforma per conto del Titolare (legali rappresentanti, dipendenti, collaboratori);
• Contatti aziendali raccolti dal Titolare tramite KiwiLeads (interessati indiretti);
• Persone fisiche chiamate dall'AI voice agent KiwiCall (per i Clienti che utilizzano il prodotto);
• Visitatori del sito Cliente generato con KiwiWeb e persone che compilano i relativi form;
• Pubblico dei canali social del Cliente gestiti tramite KiwiSocial.

E. Categorie di Dati Personali

• Dati identificativi (nome, cognome, email, telefono, ruolo);
• Dati account e credenziali (in forma cifrata o hashata);
• Dati di contatto B2B raccolti da fonti pubbliche (KiwiLeads);
• Contenuti delle comunicazioni email gestite tramite KiwiLeads;
• Audio e trascrizioni delle chiamate KiwiCall;
• Lead generati dai siti KiwiWeb;
• Asset multimediali e statistiche aggregate dei profili social (KiwiSocial);
• Log applicativi e di sicurezza, indirizzi IP, user agent.

F. Categorie particolari di Dati Personali (art. 9 GDPR)

Il Cliente si impegna a non caricare dati appartenenti a categorie particolari (origine etnica, opinioni politiche, salute, ecc.) salvo previa configurazione contrattuale specifica e adozione delle misure di sicurezza supplementari concordate. Eventuale presenza di dati particolari è responsabilità esclusiva del Cliente.

G. Dati relativi a condanne penali e reati (art. 10 GDPR)

Non previsti. Il Cliente si impegna a non caricare tali dati.

H. Frequenza del trattamento

Continuativa per la durata del MSA.

ALLEGATO II — Misure tecniche e organizzative (art. 32 GDPR)

Le presenti misure rappresentano lo stato dell'arte alla data del DPA e potranno essere aggiornate da Kiwi Network per garantire un livello di sicurezza equivalente o superiore.

II.1 Pseudonimizzazione e cifratura

• Cifratura in transito mediante TLS 1.2+ con cipher suite moderne; HSTS sui domini Kiwi.
• Cifratura at-rest del database (Supabase / Postgres) e dei bucket di storage.
• Hashing delle password con bcrypt (cost ≥ 10) o algoritmo equivalente.
• Token di sessione firmati e con TTL contenuto, rotazione automatica.
• Pseudonimizzazione dei dati nei log mediante scrubbing automatico delle PII (Sentry).

II.2 Capacità di garantire riservatezza, integrità, disponibilità e resilienza

• Multi-tenancy logica con Row-Level Security (RLS) Postgres e validazione lato applicativo.
• MFA obbligatoria per gli account amministrativi e super-admin.
• Controlli di accesso basati su ruoli (RBAC), principio del minimo privilegio.
• Segregazione ambienti sviluppo / staging / produzione.
• Backup giornalieri con retention 7-30 giorni; Point-In-Time Recovery (PITR) su Supabase Pro.
• Disaster recovery documentato; RTO target 24h, RPO target 1h.
• Monitoraggio uptime e alerting (cron health, status page).

II.3 Capacità di ripristinare la disponibilità dei dati

• Procedure di business continuity documentate.
• Test periodici di ripristino dei backup.
• Failover automatico a livello di hosting per i siti KiwiWeb (multi-region Vercel).

II.4 Procedura per testare, verificare e valutare regolarmente l'efficacia delle misure

• Audit interni con cadenza almeno annuale.
• Penetration test periodici (almeno annuali) con remediation tracciata.
• Vulnerability scan automatici sulle dipendenze (Dependabot / equivalente).
• Riesame periodico degli accessi privilegiati.

II.5 Misure di gestione degli incidenti

• Procedura di Incident Response documentata, con classificazione di severity e flusso di escalation.
• SLA di notifica Data Breach: ≤ 36 ore al Titolare (cfr. art. 8 DPA).
• Telegram alerting super-admin per outage e incidenti critici.
• Audit log append-only delle azioni privilegiate, con retention 5 anni.

II.6 Sicurezza fisica

I data center dei Sub-Responsabili (in particolare Supabase/AWS Frankfurt, Vercel) adottano misure di sicurezza fisica certificate (ISO/IEC 27001, SOC 2) tra cui controlli accessi biometrici, videosorveglianza, alimentazione ridondata, antincendio.

II.7 Sicurezza del personale

• Background check al momento dell'assunzione, ove consentito dalla legge applicabile.
• Patti di riservatezza (NDA) per personale e collaboratori.
• Formazione periodica in materia di privacy e sicurezza delle informazioni.
• Revoca tempestiva degli accessi al cessare del rapporto.

II.8 Gestione dei fornitori

• Selezione dei Sub-Responsabili sulla base di criteri di sicurezza, conformità e privacy.
• Contratti DPA back-to-back con i Sub-Responsabili.
• Riesame periodico delle certificazioni dei Sub-Responsabili.

ALLEGATO III — Sub-Responsabili autorizzati

L'elenco aggiornato dei Sub-Responsabili autorizzati è pubblicato all'URL https://kiwienterprise.it/legal/subprocessors e mantenuto nel documento 17-subprocessor-list.md.

Il presente Allegato si intende automaticamente aggiornato dalle modifiche apportate alla lista pubblica nel rispetto della procedura di notifica e opposizione di cui all'art. 6 del DPA.

Sottoscrizione

Le Parti dichiarano di aver compreso e accettato il presente DPA in ogni sua parte, ivi inclusi gli Allegati I, II e III. Ai sensi e per gli effetti degli artt. 1341 e 1342 c.c., il Titolare approva specificamente le clausole 6 (Sub-Responsabili e autorizzazione generale), 10 (Audit), 11 (Trasferimenti extra-SEE e SCC), 13 (Limitazione di responsabilità), 14 (Conflitto tra documenti) e 15.3 (Foro competente).

Per il Titolare

Ragione sociale: ________________________________

Nome e qualifica: ________________________________

Data e luogo: ________________________________

Firma: ________________________________

Per il Responsabile

KIWI NETWORK S.R.L.

Nome e qualifica: Christopher Montejo — Rappresentante legale

Data e luogo: ________________________________

Firma: ________________________________

Versione 1.0 — Pubblicata in data 8 maggio 2026.