Note legali · UK GDPR & EU GDPR Art. 28

Accordo sul trattamento dei dati

Ultimo aggiornamento: 22 ottobre 2026

Traduzione di cortesia. In caso di differenze prevale la versione inglese.

EN · IT · DE · FR · ES

Come funziona

Tu (il commerciante) sei il titolare dei dati dei tuoi clienti. Kosmly è il tuo responsabile del trattamento.
Accetti questo DPA con un clic quando installi un'app Kosmly. I clienti Universe possono firmare una versione personalizzata.
I dati restano nell'UE, non vengono mai usati per addestrare l'AI e vengono cancellati 30 giorni dopo che te ne vai.

1. Parti e ambito

Questo accordo è tra il commerciante che usa Kosmly ("Titolare") e Kosmly Ltd, società registrata in Inghilterra e Galles (n. [number]), sede legale [address], partita IVA [GB number] ("Responsabile"). Rispetta l'articolo 28 dello UK GDPR e del GDPR, a seconda di quale si applica al Titolare. Si applica a tutti i dati personali che il Responsabile tratta per il Titolare tramite il servizio Kosmly e fa parte dei Termini di servizio. In caso di contrasto tra questo DPA e i Termini, per la protezione dei dati prevale questo DPA.

2. Dettagli del trattamento

Oggetto, durata, natura e finalità del trattamento, nonché le categorie di dati e di interessati, sono descritti nell'Allegato I.

3. Obblighi del Responsabile

Istruzioni. Il Responsabile tratta i dati personali solo su istruzioni documentate del Titolare, che sono i Termini, questo DPA e le impostazioni del Titolare in Kosmly. Avvisa il Titolare se ritiene che un'istruzione violi la legge.
Riservatezza. Chiunque abbia accesso è vincolato alla riservatezza e formato su protezione dei dati e alfabetizzazione in materia di AI.
Sicurezza. Il Responsabile applica le misure dell'Allegato II (art. 32 GDPR).
Minimizzazione. Gli agenti ricevono solo i dati di cui hanno bisogno. Nomi, email e numeri di telefono vengono sostituiti con segnaposto prima che il testo sia inviato a un modello di AI, quando il compito lo permette.
Nessun addestramento. I dati personali non vengono mai usati per addestrare o migliorare modelli di AI, né dal Responsabile né dai suoi sub-responsabili.
Richieste degli interessati. Il Responsabile aiuta il Titolare a rispondere alle richieste di accesso, rettifica, cancellazione o esportazione dei dati, anche tramite i webhook privacy obbligatori delle piattaforme.
Violazioni. Il Responsabile avvisa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali, con le informazioni che servono al Titolare per la propria notifica ai sensi dell'art. 33.
Assistenza. Il Responsabile aiuta il Titolare nelle valutazioni d'impatto (art. 35) e nelle consultazioni preventive che riguardano Kosmly.
Fine del servizio. Entro 30 giorni dalla fine del servizio il Responsabile cancella tutti i dati personali, o li restituisce su richiesta, salvo che la legge ne imponga la conservazione.
Verifiche. Il Responsabile mette a disposizione le informazioni necessarie a dimostrare la conformità e consente un audit all'anno con 30 giorni di preavviso, o dopo una violazione.

4. Sub-responsabili

Il Titolare autorizza in via generale l'uso dei sub-responsabili dell'Allegato III. Il Responsabile impone a ciascuno, per contratto, gli stessi obblighi di protezione dei dati. Annuncia ogni nuovo sub-responsabile almeno 30 giorni prima, via email e su questa pagina. Il Titolare può opporsi per motivi ragionevoli; se non si trova una soluzione, può recedere dal servizio interessato con un rimborso proporzionale.

5. Trasferimenti internazionali

I dati personali sono conservati e trattati nell'UE/SEE. Il Responsabile ha sede nel Regno Unito, che beneficia di una decisione di adeguatezza dell'UE; l'accesso remoto del suo personale britannico si basa su quella decisione. Qualsiasi altro trasferimento avviene solo in base a una decisione di adeguatezza, alle Clausole contrattuali standard (Decisione della Commissione 2021/914) o, per i dati britannici, all'International Data Transfer Agreement o Addendum, con una valutazione del rischio del trasferimento e garanzie aggiuntive dove necessario.

6. Responsabilità

La responsabilità di ciascuna parte ai sensi di questo DPA è soggetta ai limiti dei Termini di servizio, salvo quanto diversamente previsto dall'articolo 82 dello UK GDPR o del GDPR.

Allegato I · Descrizione del trattamento

Voce	Descrizione
Finalità	Far funzionare gli agenti di AI attivati dal Titolare: contenuti (Vega), SEO (Sirius), traduzione (Lyra), prezzi (Orion) e in seguito immagini, social, email, carrelli, assistenza, recensioni, magazzino, analisi e pubblicità.
Interessati	Clienti e potenziali clienti del Titolare, visitatori del negozio che usano la chat di assistenza e personale del Titolare.
Categorie di dati	Nome, email, telefono, indirizzo di spedizione e fatturazione, storico ordini, contenuto di recensioni e chat, stato del consenso. Non è previsto il trattamento di categorie particolari (art. 9).
Natura	Conservazione, consultazione, analisi e generazione di testi o immagini con modelli di AI, secondo il livello di autonomia scelto dal Titolare.
Durata	Per la durata dell'abbonamento più 30 giorni.
Conservazione dei log AI	Prompt e risultati sono conservati 30 giorni per verifiche e qualità, poi cancellati. Lo storico delle azioni in Mission Control è conservato per tutta la durata dell'account.

Allegato II · Misure tecniche e organizzative

Cifratura in transito (TLS 1.2+) e a riposo (AES-256).
Separazione rigorosa dei dati di ogni commerciante, imposta a livello di database.
Accessi in base al ruolo, autenticazione a due fattori e privilegi minimi per il personale; gli accessi sono registrati.
Pseudonimizzazione dei dati personali prima che raggiungano i modelli di AI, quando il compito lo permette.
Backup cifrati giornalieri nell'UE, con ripristini testati.
Gestione delle vulnerabilità, controllo delle dipendenze e un contatto pubblico per la sicurezza (security@kosmly.com), in linea con il Cyber Resilience Act.
Procedura scritta di risposta a incidenti e violazioni, testata almeno una volta all'anno.
Formazione del personale su protezione dei dati e alfabetizzazione in materia di AI (art. 4 AI Act).

Allegato III · Sub-responsabili

Sub-responsabile	Finalità	Luogo
Scaleway SAS	Hosting dell'applicazione, database gestito, backup cifrati	Parigi, Francia
Amazon Web Services EMEA SARL (Amazon Bedrock)	Modelli di AI (Anthropic Claude) per testi, SEO e traduzioni; nessun addestramento, nessuna conservazione dei prompt da parte del fornitore	Francoforte, Germania (UE)
Mistral AI SAS	Modelli di AI di riserva quando il principale non è disponibile; nessun addestramento	Francia (UE)
Sendinblue SAS (Brevo)	Email al personale del Titolare; in seguito, email inviate da Comet e Halley per conto del Titolare	Francia (UE)

Le richieste di assistenza sono gestite all'interno di Kosmly, sull'infrastruttura indicata sopra. Prima del lancio di Nova verrà aggiunto qui un fornitore di modelli per le immagini, con 30 giorni di preavviso.

Contatto per questo accordo: privacy@kosmly.com.