Informativa sul Trattamento dei Dati Personali

1. Titolare del Trattamento

Ai sensi dell'art. 4 n. 7 e dell'art. 24 del Regolamento (UE) 2016/679 (GDPR), il Titolare del Trattamento per i dati di navigazione, i dati degli utenti registrati alla piattaforma e le comunicazioni commerciali è:

2. Categorie di Dati Trattati

A seconda delle modalità di interazione con Kaiross, raccogliamo e trattiamo le seguenti categorie di dati:

A. Dati di navigazione e log tecnici

I sistemi informatici preposti al funzionamento del sito e dell'applicazione acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet: indirizzo IP, identificativi di richiesta HTTP, timestamp, tipologia di browser (User-Agent) e parametri del sistema operativo. Tali dati vengono utilizzati esclusivamente per garantire la sicurezza dell'infrastruttura, prevenire tentativi di intrusione e monitorare la stabilità operativa.

B. Dati degli utenti della piattaforma (B2B)

In sede di creazione dell'account e durante l'uso del SaaS, vengono trattati:

• Nome e cognome del referente o operatore;
• Indirizzo email aziendale / professionale;
• Credenziali crittografate (hash sicuro della password gestito tramite Better Auth);
• Ruoli e autorizzazioni nel workspace dell'Organizzazione;
• Tracciamento cronologico delle operazioni sensibili (audit log).

C. Dati di contatto per richieste demo e commerciali

Dati forniti volontariamente dall'utente tramite posta elettronica o moduli di contatto (nome, cognome, azienda di appartenenza, indirizzo email, recapito telefonico ed esigenze operative).

3. Finalità del Trattamento e Basi Giuridiche

4. Dati Trattati per Conto del Cliente (Ruolo di Responsabile ex Art. 28 GDPR)

Nell'ambito dell'utilizzo dei moduli operativi della piattaforma, il Cliente carica o sincronizza dati personali di terzi (es. dati dei propri lead, clienti o interlocutori commerciali, messaggi diretti e commenti social sincronizzati via Meta API).

In relazione a tali trattamenti:

• Il Cliente opera in qualità di Titolare del Trattamento ed è responsabile della legittimità dei dati raccolti, della presenza di idonea base giuridica e delle informative ai propri interessati.
• T.I.F. S.r.l. Semplificata opera in qualità di Responsabile del Trattamento ai sensi dell'art. 28 del GDPR, trattando tali dati unicamente sulla base delle istruzioni documentate del Cliente e nei limiti tecnici del software.

5. Intelligenza Artificiale, Provider Terzi (es. DeepSeek) e Trasparenza AI Act

Kaiross integra funzionalità avanzate di market intelligence, sintesi e supporto editoriale:

• Assenza di addestramento diretto da parte del Titolare: T.I.F. S.r.l. Semplificatanon utilizza i dati, i prompt o i contenuti caricati dagli utenti per addestrare autonomamente propri modelli di intelligenza artificiale generali.
• Elaborazione tramite Provider IA Terzi e disclaimer sul loro addestramento:Le richieste semantiche e generabili dalla Piattaforma vengono trasmesse via API a provider tecnologici terzi (quali, a titolo esemplificativo, DeepSeek, Google, OpenAI, Anthropic). Il Titolare informa con la massima trasparenza che le modalità di conservazione, elaborazione e l'eventuale utilizzo dei dati per l'addestramento o il miglioramento dei modelli da parte di tali società terze dipendono esclusivamente dalle policy contrattuali e dalle informative privacy applicate da ciascun provider terzo. Il Titolare non esercita alcun controllo sulle attività di training condotte autonomamente da tali terze parti.
• Minimizzazione e raccomandazioni per l'utente:Si invitano espressamente gli utenti e i clienti a limitare le informazioni immesse nei prompt a dati strettamente necessari per le attività di marketing, astenendosi dall'inserire segreti industriali, informazioni aziendali confidenziali o dati personali non indispensabili. È fatto divieto assoluto di trasmettere ai modelli IA categorie particolari di dati personali ai sensi dell'art. 9 del GDPR (es. dati sanitari, biometrici o penali).
• Isolamento della memoria aziendale locale:Le configurazioni, le linee guida di tono di voce e i benchmark del brand salvati sulla Piattaforma restano isolati nel database del tenant dell'Organizzazione Cliente.

6. Destinatari dei Dati e Sub-responsabili

I dati personali potranno essere comunicati a soggetti terzi di cui il Titolare si avvale per l'erogazione del servizio, formalmente nominati Sub-responsabili del trattamento ex art. 28 GDPR:

• Fornitori di hosting, cloud server e infrastruttura di database (ubicati all'interno dello Spazio Economico Europeo);
• Provider di posta elettronica e invio comunicazioni transazionali SMTP;
• Piattaforme di elaborazione linguistica e discovery (es. API Google Gemini, OpenAI, Anthropic, DeepSeek) operanti come processor;
• Piattaforme social integrate su richiesta e consenso del Cliente (es. Meta for Developers via Graph API OAuth);
• Consulenti contabili, legali e fiscali nei limiti dei rispettivi mandati professionali.

7. Trasferimenti di Dati verso Paesi Terzi (Extra-SEE)

L'infrastruttura primaria di Kairossè alloggiata all'interno dello Spazio Economico Europeo (SEE). Ove determinati servizi tecnici di supporto (es. API di provider tecnologici multinazionali) comportino il trasferimento di dati verso paesi extra-SEE, tale trasferimento avviene esclusivamente in conformità al Capo V del GDPR:

• Verso paesi garantiti da una Decisione di Adeguatezza della Commissione Europea (es. EU-US Data Privacy Framework);
• Ovvero previa adozione di Clausole Contrattuali Tipo (Standard Contractual Clauses - SCC) congiuntamente a misure tecniche supplementari (cifratura crittografica in transito e a riposo).

8. Misure Tecniche e Organizzative di Sicurezza

Ai sensi dell'art. 32 del GDPR, il Fornitore adotta rigorose misure di protezione dei dati:

• Cifratura dei segreti: Credenziali di accesso a provider terzi, chiavi API e token di sessione Meta OAuth sono cifrati lato server tramite algoritmi crittografici avanzati;
• Separazione logica dei tenant: Ogni Organizzazione Cliente dispone di confini di isolamento dei dati verificati lato server, impedendo accessi non autorizzati cross-tenant;
• Protezione dei trasporti: Comunicazioni interamente protette mediante protocollo cifrato HTTPS / TLS;
• Audit trail: Registrazione protetta degli accessi amministrativi e delle operazioni critiche a tutela dell'integrità dei dati.

9. Tempi di Conservazione dei Dati (Data Retention)

I dati vengono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti:

• Dati di navigazione e log tecnici: conservati per un massimo di 90 giorni, salvo necessità di accertamento di reati da parte dell'Autorità Giudiziaria;
• Dati degli account utenti: per tutta la durata del rapporto contrattuale; in caso di cancellazione dell'account, i dati personali vengono rimossi o anonimizzati entro 60 giorni;
• Dati amministrativi e contabili: conservati per 10 anni in ottemperanza agli obblighi di legge (art. 2220 c.c.);
• Dati caricati nei workspace clienti: gestiti per la vigenza del contratto e resi disponibili per l'esportazione o cancellazione definitiva secondo le previsioni dell'accordo DPA.

10. Diritti degli Interessati

In ogni momento, ai sensi degli artt. 15-22 del GDPR, l'interessato può esercitare i seguenti diritti:

1. Diritto di accesso: ottenere la conferma che sia o meno in corso un trattamento di dati personali e riceverne copia;
2. Diritto di rettifica: ottenere l'aggiornamento o la correzione di dati inesatti o incompleti;
3. Diritto alla cancellazione (“diritto all'oblio”): richiedere la cancellazione dei dati quando non più necessari alle finalità contrattuali o legali;
4. Diritto di limitazione: ottenere il contrassegno dei dati con limitazione del loro futuro trattamento;
5. Diritto alla portabilità: ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico;
6. Diritto di opposizione: opporsi in qualsiasi momento al trattamento basato sul legittimo interesse.

Per l'esercizio dei diritti è possibile inviare una comunicazione scritta a mezzo email a info@kaiross.eu o a mezzo raccomandata alla sede legale di T.I.F. S.r.l. Semplificata.

11. Diritto di Reclamo all'Autorità di Controllo

L'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del Regolamento (UE) 2016/679 ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali italiana (Piazza Venezia 11, 00187 Roma, sito web: www.garanteprivacy.it) ovvero all'autorità di controllo del paese dell'Unione Europea in cui risiede o lavora.