Condizioni Particolari di Servizio – KiwiLeads

Premessa

Le presenti Condizioni Particolari (di seguito, le "Condizioni KiwiLeads") disciplinano in via specifica l'erogazione del prodotto KiwiLeads della piattaforma Kiwi Network (di seguito, il "Servizio") e costituiscono parte integrante del rapporto contrattuale tra Kiwi Network (di seguito, il "Fornitore") e il soggetto che attiva e utilizza il Servizio (di seguito, il "Cliente").

Le Condizioni KiwiLeads integrano e specificano il documento legal/01-termini-servizio.md (di seguito, il "Master ToS"), del quale il Cliente dichiara di aver preso visione e di accettare integralmente. In caso di contrasto:

(i) per le materie generali (formazione del contratto, fatturazione, limitazioni di responsabilità generali, diritti di proprietà intellettuale, foro competente, legge applicabile, modifiche, recesso ordinario) prevale il Master ToS;

(ii) per le materie specifiche del prodotto KiwiLeads (limiti tecnici di piano, conformità nello scraping, generazione email AI, esportazione lead, manleve specifiche) prevalgono le presenti Condizioni.

Articolo 1 – Oggetto

1.1 Il Servizio KiwiLeads è una piattaforma SaaS B2B per la lead generation che mette a disposizione del Cliente:

a) strumenti di ricerca e raccolta automatizzata (scraping) di informazioni di contatto aziendali da fonti pubbliche online, secondo i criteri definiti dal Cliente;

b) un CRM operativo per la gestione del ciclo di vita del contatto (lead → opportunità → cliente), inclusi note, attività, timeline, conversazioni, segmentazioni e tag;

c) strumenti di generazione assistita da intelligenza artificiale di testi email personalizzati (di seguito, "Email AI") destinati a campagne di primo contatto outbound;

d) strumenti di invio e tracciamento di sequenze email automatiche, con metriche di apertura, click, risposte, opt-out;

e) API di esportazione dei dati in formati standard (CSV, JSON);

f) strumenti di opt-out e gestione delle preferenze degli interessati, conformi alla normativa applicabile.

1.2 KiwiLeads non costituisce un servizio di consulenza commerciale, marketing o legale. Il Fornitore non garantisce alcun tasso di conversione, qualità delle informazioni raccolte da fonti terze, raggiungibilità dei destinatari, né esiti commerciali derivanti dall'uso del Servizio.

Articolo 2 – Piani, limiti e fair use

2.1 Il Servizio è offerto nei piani Free, Starter, Business ed Enterprise, ciascuno con i seguenti limiti operativi indicativi:

I limiti potranno essere aggiornati dal Fornitore con preavviso ai sensi del Master ToS. I limiti effettivi vigenti al momento sono pubblicati nel pannello di amministrazione del Servizio.

2.2 Fair use. Le quote indicate sono soggette a un principio di uso ragionevole. Il Fornitore si riserva la facoltà di applicare meccanismi di rate limiting, throttling o sospensione temporanea in caso di:

a) richieste manifestamente eccedenti la media degli altri Clienti del medesimo piano;

b) pattern di utilizzo riconducibili a finalità di scraping massivo non commerciale, rivendita dei dati a terzi, costituzione di banche dati commercializzabili;

c) attività che pregiudichino la stabilità dell'infrastruttura o le fonti pubbliche oggetto di scraping.

2.3 Top-up. Il Cliente può acquistare crediti aggiuntivi (lead, ricerche, email AI) tramite la funzione di top-up. I crediti acquistati hanno una validità di dodici (12) mesi dalla data di acquisto, decorsi i quali si intendono decaduti senza diritto a rimborso, fatto salvo quanto previsto dal Master ToS in tema di recesso.

2.4 I crediti non utilizzati al termine del mese di sottoscrizione non sono cumulabili con il mese successivo, salvo che si tratti di crediti acquistati a titolo di top-up ai sensi del precedente comma 2.3.

Articolo 3 – Conformità del Cliente nello scraping e nel trattamento dei dati

3.1 Ruoli ai sensi del GDPR. Ai sensi del Regolamento (UE) 2016/679 (di seguito, "GDPR") e del D.Lgs. 196/2003 e s.m.i. (di seguito, "Codice Privacy"):

a) il Cliente è Titolare del trattamento dei dati personali raccolti, importati o trattati tramite il Servizio;

b) il Fornitore è Responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo i termini del Data Processing Agreement (legal/03-dpa.md) che il Cliente accetta unitamente alle presenti.

3.2 Base giuridica. Il Cliente garantisce di disporre, per ciascun contatto raccolto e trattato tramite il Servizio, di una base giuridica idonea ai sensi dell'art. 6 GDPR. In particolare, il Cliente riconosce che:

a) per il primo contatto B2B con dati di reperibilità professionale (email aziendali nominative, telefoni di reperibilità professionale) l'orientamento prevalente ammette il legittimo interesse ai sensi dell'art. 6, par. 1, lett. f) GDPR, a condizione che venga effettuato un test di bilanciamento (LIA) e che siano garantiti gli strumenti di opposizione efficaci;

b) il Servizio mette a disposizione del Cliente un meccanismo di opt-out automatico (link unsubscribe firmato HMAC) che il Cliente si obbliga a includere in tutte le comunicazioni outbound;

c) per finalità che eccedano il primo contatto o per destinatari B2C è in genere richiesto il consenso preventivo dell'interessato, la cui acquisizione resta a cura del Cliente.

3.3 Informativa ex art. 14 GDPR. Trattandosi di dati raccolti presso terzi, il Cliente è tenuto a fornire l'informativa privacy all'interessato:

a) al primo contatto utile e comunque entro trenta (30) giorni dalla raccolta;

b) ovvero, se il primo contatto avviene per email, all'interno della prima comunicazione.

Il Fornitore mette a disposizione del Cliente template di informativa, a titolo di mera utilità e senza alcuna garanzia di conformità a fattispecie specifiche. L'invio dell'informativa e la conformità del relativo contenuto restano di esclusiva responsabilità del Cliente.

3.4 Diritti degli interessati. Il Cliente è l'unico soggetto tenuto a riscontrare le richieste di esercizio dei diritti ex artt. 15-22 GDPR pervenute dagli interessati. Il Fornitore, in qualità di Responsabile, fornisce assistenza ragionevole secondo quanto previsto dal DPA.

3.5 Profilazione automatizzata. Il Cliente si impegna a non utilizzare il Servizio per assumere decisioni unicamente automatizzate che producano effetti giuridici o significativi sulle persone (art. 22 GDPR), senza un intervento umano significativo nel processo decisionale.

3.6 Categorie particolari di dati. È espressamente vietato trattare tramite il Servizio dati appartenenti alle categorie particolari di cui all'art. 9 GDPR (origine razziale o etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, dati genetici, biometrici, sulla salute, sulla vita sessuale o sull'orientamento sessuale) e dati di cui all'art. 10 GDPR (condanne penali e reati). La violazione del presente comma costituisce inadempimento essenziale ai sensi dell'art. 1455 c.c. e legittima il Fornitore alla risoluzione di diritto del contratto ex art. 1456 c.c.

3.7 Trasferimenti extra-UE. Eventuali trasferimenti di dati personali verso Paesi terzi sono disciplinati dal DPA e dalle clausole contrattuali tipo (SCC) ivi richiamate.

Articolo 4 – Fonti di scraping ammesse e limiti

4.1 Il Servizio consente lo scraping esclusivamente di fonti pubbliche liberamente accessibili online, in particolare:

a) siti web aziendali pubblici;

b) registri pubblici di imprese (laddove l'accesso sia consentito dai termini del registro);

c) directory commerciali e portali di settore che non vietino lo scraping nei propri Termini di Servizio;

d) profili professionali pubblici, nei limiti consentiti dai Termini di Servizio della piattaforma di pubblicazione.

4.2 Il Cliente si obbliga a non utilizzare il Servizio per:

a) accedere a banche dati protette da credenziali, paywall o misure tecnologiche di protezione (art. 102-quater Legge 633/1941);

b) violare i Termini di Servizio della fonte (LinkedIn, Indeed, Glassdoor e simili vietano espressamente lo scraping automatizzato di dati di profilo);

c) aggirare meccanismi di protezione (CAPTCHA, rate limiting, blocco IP) della fonte;

d) raccogliere dati in violazione del file robots.txt o di altre direttive tecniche pubblicate dalla fonte;

e) raccogliere dati personali sensibili o dati di minori.

4.3 Il Fornitore si riserva la facoltà di inserire in blocklist specifiche fonti la cui interrogazione si rivelasse incompatibile con le presenti Condizioni o con segnalazioni ricevute dai gestori delle fonti medesime.

4.4 Il Cliente prende atto che il rispetto dei Termini di Servizio della fonte e della normativa applicabile (incluse, ove pertinenti, le previsioni del D.Lgs. 70/2003 sul commercio elettronico, della Direttiva (UE) 2019/790 sul diritto d'autore nel mercato unico digitale, della disciplina sulle banche di dati di cui al D.Lgs. 169/1999) è di esclusiva responsabilità del Cliente.

Articolo 5 – Email AI e responsabilità editoriale del Cliente

5.1 Il modulo Email AI utilizza modelli di linguaggio di terze parti per generare bozze di testo email a partire da prompt e contesto forniti dal Cliente.

5.2 Il Cliente prende atto e accetta che:

a) gli output di intelligenza artificiale possono contenere errori, imprecisioni, affermazioni non verificate ("allucinazioni"), parti riconducibili a opere di terzi;

b) l'output costituisce un suggerimento che richiede sempre la revisione umana finale del Cliente prima dell'invio;

c) il Cliente è autore ed editore del contenuto effettivamente inviato, con tutte le responsabilità che ne derivano (incluse quelle in materia di pubblicità ingannevole, claims commerciali, conformità alle disposizioni del Codice del Consumo per i destinatari consumatori).

5.3 Il Fornitore non garantisce la qualità linguistica, la efficacia commerciale, la non-violazione di diritti di terzi degli output AI. Il Cliente manleva il Fornitore da qualsiasi pretesa derivante dall'invio di contenuti generati o riformulati con il modulo Email AI.

5.4 Disclosure AI. Quando previsto dalla normativa applicabile (in particolare dal Regolamento (UE) 2024/1689, "AI Act", art. 50, ove pertinente), il Cliente è tenuto a comunicare all'interessato che il contenuto è stato generato o assistito da IA. Il Servizio mette a disposizione del Cliente meccanismi di marcatura, il cui utilizzo resta a discrezione del Cliente sotto la propria responsabilità.

Articolo 6 – Deliverability, autenticazione del dominio e responsabilità anti-spam

6.1 Il Cliente è responsabile della configurazione del proprio dominio mittente. In particolare, il Cliente si obbliga a configurare correttamente:

a) record SPF (Sender Policy Framework);

b) record DKIM (DomainKeys Identified Mail);

c) policy DMARC (Domain-based Message Authentication);

d) ove applicabile, BIMI.

Il Fornitore mette a disposizione documentazione tecnica e supporto best-effort, fermo restando che la corretta configurazione dei record DNS è di esclusiva competenza del Cliente.

6.2 Il Cliente garantisce di non utilizzare il Servizio per:

a) inviare comunicazioni a destinatari iscritti al Registro Pubblico delle Opposizioni o che abbiano comunque manifestato opposizione;

b) inviare comunicazioni con oggetti, mittenti o contenuti ingannevoli, in violazione del D.Lgs. 70/2003;

c) inviare comunicazioni in violazione dell'art. 130 del Codice Privacy.

6.3 Il Cliente garantisce inoltre di non rimuovere, manipolare od oscurare il link di disiscrizione (unsubscribe) generato dal Servizio. La rimozione del link costituisce inadempimento essenziale.

6.4 Il Fornitore può sospendere o interrompere l'invio in caso di:

a) bounce rate superiore al 10% sostenuto;

b) spam complaint rate superiore allo 0,3%;

c) inserimento del dominio o degli IP del Cliente in blacklist pubbliche;

d) provvedimenti di terze parti (provider email, autorità competenti) che impongano la sospensione.

Articolo 7 – Service Level Agreement

7.1 Il livello di servizio applicabile è definito nel documento legal/06-sla.md, secondo lo schema seguente:

7.2 I crediti di servizio costituiscono rimedio esclusivo per il mancato raggiungimento dei livelli SLA, salvo dolo o colpa grave del Fornitore.

Articolo 8 – Esportazione e portabilità dei dati

8.1 Il Cliente può esportare in qualunque momento, senza costi aggiuntivi e senza vincoli artificiali, i propri dati nei formati standard CSV e JSON, tramite l'interfaccia di amministrazione e/o le API documentate.

8.2 L'esportazione include: lead, contatti, opportunità, note, attività, conversazioni, sequenze, opt-out e log di consenso eventualmente registrati nel Servizio.

8.3 Il Fornitore garantisce, su richiesta del Cliente, l'assistenza ragionevole alla migrazione dei dati ai sensi degli artt. 20 e 28 GDPR.

Articolo 9 – Cessazione e cancellazione dei dati

9.1 Il rapporto contrattuale è regolato, per le ipotesi generali di cessazione, dal Master ToS.

9.2 In caso di cessazione, per qualsiasi causa intervenuta:

a) il Cliente conserva diritto di esportazione dei dati per trenta (30) giorni dalla data di cessazione;

b) decorso tale termine, il Fornitore procede alla cancellazione definitiva (o anonimizzazione irreversibile) dei dati personali del Cliente, salvi i casi di conservazione obbligatoria per legge (fatturazione, antiriciclaggio, contenzioso) e i log tecnici minimi;

c) le copie di backup sono soggette a rotazione e cancellazione automatica entro novanta (90) giorni ulteriori.

9.3 Il Cliente può richiedere in ogni momento la cancellazione anticipata, salva la conservazione necessaria all'esecuzione del contratto e degli obblighi di legge.

Articolo 10 – API e integrazioni

10.1 Il Cliente accede alle API REST del Servizio mediante chiavi API personali, da custodire con cura. La compromissione della chiave è imputabile al Cliente fino alla relativa revoca.

10.2 I rate limit sono pubblicati nel pannello di amministrazione e nella documentazione tecnica. Il superamento dei rate limit determina la restituzione del codice HTTP 429.

10.3 Le webhook outbound recapitate dal Servizio sono firmate con HMAC-SHA256 e datate; il Cliente è tenuto a verificare firma e timestamp.

10.4 Il Fornitore può modificare le API con preavviso ragionevole, mantenendo, per le breaking change, una finestra di compatibilità di almeno sessanta (60) giorni.

Articolo 11 – Esclusioni e limitazioni di garanzia

11.1 Salvo quanto inderogabilmente previsto dalla legge, il Fornitore non garantisce:

a) tassi di conversione, ROI, esiti commerciali derivanti dall'uso del Servizio;

b) completezza, esattezza e attualità delle informazioni raccolte da fonti terze;

c) raggiungibilità dei destinatari, deliverability delle comunicazioni inviate;

d) assenza di interruzioni o errori, oltre i livelli SLA contrattualizzati;

e) idoneità del Servizio a finalità non espressamente concordate con il Fornitore.

11.2 Le limitazioni e i massimali di responsabilità sono quelli stabiliti dal Master ToS, salve le ipotesi di dolo, colpa grave e responsabilità inderogabili.

Articolo 12 – Manleva specifica

12.1 Il Cliente si obbliga a manlevare e tenere indenne il Fornitore da qualsiasi pretesa, azione, contestazione, sanzione, costo (incluse spese legali ragionevoli) avanzati da:

a) interessati i cui dati siano stati raccolti, trattati o contattati in violazione del GDPR, del Codice Privacy o di altra normativa applicabile;

b) gestori di fonti pubbliche che lamentino violazione dei propri Termini di Servizio o accesso non autorizzato a banche dati;

c) destinatari che lamentino comunicazioni non sollecitate, ingannevoli o moleste;

d) Autorità di controllo (segnatamente, il Garante per la Protezione dei Dati Personali) per sanzioni o provvedimenti relativi a condotte del Cliente nell'uso del Servizio;

e) titolari di diritti di proprietà intellettuale di terzi i cui contenuti siano stati riprodotti o distribuiti tramite il Servizio.

12.2 Il Fornitore notifica al Cliente, senza ingiustificato ritardo, le pretese ricevute, e il Cliente è tenuto a prestare la dovuta cooperazione difensiva.

Articolo 13 – Disposizioni finali

13.1 Per quanto non espressamente disciplinato dalle presenti Condizioni si rinvia al Master ToS, al DPA e alla normativa applicabile.

13.2 La nullità o inefficacia di una singola clausola non comporta la nullità dell'intero documento, che resta valido nelle parti residue.

13.3 Le presenti Condizioni sono regolate dal diritto italiano. Il foro competente è quello previsto dal Master ToS.

Allegato A – Specifiche tecniche e fair use KiwiLeads

A.1 Limiti tecnici di piano (riepilogo operativo)

A.2 Esclusioni esplicite

Sono espressamente esclusi dal perimetro del Servizio:

• scraping di LinkedIn, Indeed, Facebook, Instagram, TikTok e altre piattaforme i cui ToS lo vietano;
• accesso a banche dati protette da credenziali o paywall;
• raccolta di dati di minori (sotto 18 anni);
• raccolta di categorie particolari di dati ex artt. 9 e 10 GDPR;
• finalità di rivendita dei dati a terzi.

A.3 Strumenti di compliance forniti

• generatore di link unsubscribe HMAC-firmato in ogni email outbound;
• registro opt-out persistente per Cliente con possibilità di blocco automatico;
• template di informativa privacy ex art. 14 GDPR (italiano), modificabile dal Cliente, fornito senza garanzia di conformità a fattispecie specifiche;
• audit log delle operazioni rilevanti (scraping, invio, opt-out, esportazione).

A.4 Questioni che richiedono input del Cliente / Fornitore

Punti rimasti aperti, da confermare con il Cliente in fase di onboarding o con il Fornitore in fase di pubblicazione del documento: - Periodo di validità top-up: confermato a 12 mesi (placeholder iniziale "12 mesi" – modificabile in policy). - Limiti di piano: i valori in tabella sono indicativi; allineare ai valori effettivamente pubblicati nella tabella plans di Supabase prima della pubblicazione. - DMARC policy minima richiesta al dominio del Cliente (p=none vs p=quarantine). - Fonti di scraping in blocklist: lista da pubblicare e mantenere aggiornata.