Accordo sul trattamento dei dati (art. 28 del GDPR)

«GDPR» indica il Regolamento (UE) 2016/679. «Titolare del trattamento» (in breve «Titolare»), «Responsabile del trattamento», «Interessato», «Dati personali», «Violazione dei dati personali» e «trattamento» hanno il significato loro attribuito dal GDPR. «Dati personali del Cliente» indica i dati personali trattati da Kerna per conto del Titolare ai sensi del Contratto. «Contratto» indica i termini di servizio o il contratto relativi a Kerna, di cui il presente DPA fa parte. «Modulo d'ordine» indica un documento sottoscritto da entrambe le parti che riporta condizioni specifiche per un account personalizzato; la maggior parte degli abbonamenti è acquistata tramite il sito web e non prevede alcun Modulo d'ordine. «Sub-responsabile del trattamento» (in breve «Sub-responsabile») indica un altro responsabile del trattamento a cui Kerna ricorre ai sensi dell'art. 28, parr. 2 e 4, del GDPR. Le comunicazioni, le conferme e gli accordi «per iscritto» o «scritti» previsti dal presente DPA possono essere effettuati tramite e-mail.

Ordine di prevalenza. In materia di protezione dei dati, il presente DPA prevale sul Contratto. Qualora sia sottoscritto un Modulo d'ordine, questo prevale sul presente DPA nella misura in cui lo modifichi espressamente; una clausola di un Modulo d'ordine che non disciplini espressamente una materia regolata dal presente DPA lascia tale materia disciplinata dal presente DPA.

Il presente DPA fa parte del Contratto e acquista efficacia nel momento in cui il Titolare accetta il Contratto: per il piano gratuito, all'installazione dei Servizi o alla creazione di un account; per un abbonamento acquistato tramite il sito web, al completamento dell'acquisto; per un account personalizzato, alla sottoscrizione del Modulo d'ordine.

Per un account o un abbonamento ottenuto senza un Modulo d'ordine non è richiesta una firma separata: l'art. 28, par. 9, del GDPR richiede che il contratto sia stipulato in forma scritta, anche in formato elettronico, e l'accettazione del Contratto soddisfa tale requisito. Kerna registra l'account e la data di accettazione e conserva ogni versione pubblicata del presente DPA, in modo che sia sempre possibile stabilire quale versione è stata accettata; per un acquisto tramite il sito web registra inoltre la versione accettata.

La persona che accetta il Contratto garantisce di essere autorizzata a vincolare l'impresa, l'organizzazione o il professionista indicato come intestatario dell'account, e tale impresa, organizzazione o professionista è il Titolare ai fini del presente DPA.

Versioni. Kerna pubblica la versione vigente del presente DPA all'indirizzo kerna.io/dpa e dà al referente amministrativo un preavviso di almeno 30 giorni di qualsiasi modifica sostanziale. Una modifica richiesta dalla legge o da un'autorità di controllo, o che non riduca la tutela o i diritti del Titolare ai sensi del presente DPA né modifichi la natura o le finalità del trattamento o le categorie di dati personali, può acquistare efficacia decorso tale preavviso; il Titolare può recedere dai Servizi coinvolti prima della data di efficacia senza penali e ottenere il rimborso pro rata dei corrispettivi pagati anticipatamente per il periodo non goduto. Qualsiasi altra modifica sostanziale richiede l'accettazione elettronica espressa del Titolare; finché il Titolare non la accetta, continua ad applicarsi la versione da ultimo accettata dal Titolare. Le correzioni non sostanziali acquistano efficacia con la pubblicazione.

Qualora sia stato sottoscritto un Modulo d'ordine, la versione del presente DPA vigente al momento della sottoscrizione si applica per la durata di tale Modulo d'ordine ed è modificata soltanto mediante accordo tra le parti.

Sottoscrizione su richiesta. Il Titolare che non dispone di un Modulo d'ordine può richiedere una copia controfirmata del presente DPA e Kerna la fornirà alle condizioni pubblicate. Per tali Titolari la versione pubblicata si applica in egual modo e non è oggetto di negoziazione. Condizioni specifiche in materia di protezione dei dati sono disponibili soltanto per un account personalizzato in base a un Modulo d'ordine.

Il Titolare è il titolare del trattamento e Kerna è il responsabile del trattamento dei Dati personali del Cliente. Kerna tratta i Dati personali del Cliente soltanto per fornire i Servizi e soltanto su istruzioni documentate del Titolare. Il Contratto, l'abbonamento del Titolare, l'eventuale Modulo d'ordine nonché la configurazione e l'utilizzo dei Servizi da parte del Titolare costituiscono le istruzioni documentate del Titolare; ulteriori istruzioni devono essere concordate per iscritto. Kerna informa immediatamente il Titolare qualora, a suo parere, un'istruzione violi il GDPR o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati (senza obbligo di fornire consulenza legale). L'oggetto, la durata, la natura, la finalità, i tipi di dati e gli interessati sono indicati nell'Allegato I.

• (a) trattare i Dati personali del Cliente soltanto su istruzioni documentate del Titolare, anche per quanto riguarda i trasferimenti, salvo che ciò sia richiesto dal diritto dell'Unione o di uno Stato membro - nel qual caso Kerna informa il Titolare prima del trattamento, salvo che la legge lo vieti;
• (b) garantire che le persone autorizzate al trattamento dei dati siano vincolate alla riservatezza;
• (c) adottare tutte le misure di sicurezza richieste ai sensi dell'art. 32 (Allegato II);
• (d) ricorrere a Sub-responsabili soltanto alle condizioni di cui alla clausola 5;
• (e) tenendo conto della natura del trattamento, assistere il Titolare con misure tecniche e organizzative adeguate nel dare seguito alle richieste degli Interessati (capo III);
• (f) assistere il Titolare nel garantire il rispetto degli artt. 32-36 (sicurezza, notifica delle violazioni, valutazione d'impatto sulla protezione dei dati, consultazione preventiva);
• (g) a scelta del Titolare, cancellare o restituire tutti i Dati personali del Cliente dopo la cessazione dei Servizi, e cancellare le copie esistenti salvo che la legge ne richieda la conservazione;
• (h) mettere a disposizione tutte le informazioni necessarie per dimostrare il rispetto della presente clausola e consentire e contribuire agli audit (clausola 11).

Kerna mette in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, come descritto nell'Allegato II. Le principali misure comprendono la cifratura dei dati in transito e a riposo, il trattamento transitorio in memoria del contenuto delle e-mail senza alcuna persistenza sui server di Kerna, limiti sui dati in ingresso e l'oscuramento dei numeri di carte di pagamento e di conto bancario e di determinati numeri di identificazione nazionali prima della trasmissione al sub-responsabile per l'IA, condizioni di conservazione zero dei dati e di divieto contrattuale di addestramento con tale sub-responsabile, il controllo degli output, i controlli degli accessi e analisi statistiche pseudonimizzate. L'Allegato II indica inoltre dove sono conservati temporaneamente i dati derivati dalle e-mail, anche sul dispositivo dell'utente stesso.

Il Titolare concede a Kerna un'autorizzazione scritta generale a ricorrere ai Sub-responsabili elencati nell'Allegato III, che Kerna mantiene aggiornato nel luogo in cui è pubblicato il presente DPA. Kerna impone contrattualmente a ciascun Sub-responsabile gli stessi obblighi in materia di protezione dei dati stabiliti nel presente DPA, come richiesto dall'art. 28, par. 4, del GDPR, in particolare per quanto riguarda la prestazione di garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate. Qualora le condizioni standard di un Sub-responsabile non riproducano un obbligo nella stessa forma, Kerna registra le modalità con cui tale obbligo è rispettato nella sostanza. Kerna darà al Titolare un preavviso scritto di almeno 30 giorni di qualsiasi aggiunta o sostituzione prevista di un Sub-responsabile. Il Titolare può opporsi per ragionevoli motivi attinenti alla protezione dei dati entro 15 giorni dal ricevimento di tale preavviso. Se le parti non riescono a risolvere l'opposizione entro ulteriori 30 giorni, il Titolare può recedere dai Servizi coinvolti senza penali e con il rimborso pro rata dei corrispettivi pagati anticipatamente per il periodo non goduto. Finché un'opposizione non è risolta, Kerna non utilizza il nuovo Sub-responsabile per trattare i Dati personali del Cliente di tale Titolare; qualora ciò non sia tecnicamente possibile, Kerna lo comunica prima che la modifica acquisti efficacia, e il Titolare può recedere dai Servizi coinvolti prima di tale data alle stesse condizioni. Kerna conserva nei confronti del Titolare l'intera responsabilità dell'adempimento degli obblighi di ciascun Sub-responsabile.

Qualora un Sub-responsabile comunichi a Kerna una violazione dei dati personali, una richiesta di un interessato da esso ricevuta, l'aggiunta o la sostituzione di propri sub-responsabili o qualsiasi questione relativa alle clausole contrattuali tipo, Kerna inoltra tale comunicazione al Titolare coinvolto tempestivamente e senza ingiustificato ritardo dal ricevimento.

L'inoltro non è subordinato alla conclusione, da parte di Kerna, che la questione riguardi i dati del Titolare o presenti un rischio: tale valutazione spetta al Titolare. Le comunicazioni sono inoltrate al momento del ricevimento e non dopo una valutazione, affinché il Titolare conservi l'intero tempo di cui dispone per formulare rilievi e l'intero periodo di cui dispone ai sensi degli artt. 33 e 34. Qualora un Sub-responsabile consenta di opporsi ai propri sub-responsabili soltanto a condizioni il cui unico rimedio è il recesso, Kerna lo segnala al momento dell'inoltro.

Tenendo conto della natura del trattamento, Kerna assiste il Titolare con misure tecniche e organizzative adeguate, nella misura in cui ciò sia possibile, al fine di soddisfare l'obbligo del Titolare di dare seguito alle richieste degli Interessati. Qualora Kerna riceva direttamente da un Interessato una richiesta relativa ai Dati personali del Cliente, non vi darà riscontro se non su istruzione documentata del Titolare e inoltrerà tempestivamente la richiesta al Titolare.

La funzione di cancellazione dell'account descritta nella clausola 10 non costituisce un'eccezione a quanto precede. Quando un utente cancella il proprio account tramite i Servizi, Kerna agisce su istruzione documentata del Titolare ai sensi della clausola 2, avendo il Titolare autorizzato tale funzione mediante la propria configurazione e il proprio utilizzo dei Servizi. Kerna non dà seguito a una richiesta di un Interessato ricevuta al di fuori dei Servizi senza istruzione del Titolare.

Kerna notifica al Titolare, senza ingiustificato ritardo dopo esserne venuta a conoscenza, una Violazione dei dati personali che riguardi i Dati personali del Cliente, e fornisce le informazioni ragionevolmente disponibili per aiutare il Titolare ad adempiere ai propri obblighi ai sensi degli artt. 33 e 34. Una violazione notificata a Kerna da un Sub-responsabile è altresì inoltrata ai sensi della clausola 5a al momento del ricevimento, senza attendere la valutazione propria di Kerna.

Tenendo conto della natura del trattamento e delle informazioni disponibili, Kerna fornisce al Titolare un'assistenza ragionevole in relazione alle valutazioni d'impatto sulla protezione dei dati e alla consultazione preventiva dell'autorità di controllo ai sensi degli artt. 35 e 36.

Le comunicazioni dirette di dati effettuate da Kerna ai sensi del presente DPA sono destinate alle entità contraenti stabilite nel SEE elencate nell'Allegato III, con un'unica eccezione: i dati relativi a errori e prestazioni inviati a Sentry, la cui entità contraente, Functional Software, Inc., è stabilita negli Stati Uniti. La catena di trattamento comprende inoltre trasferimenti successivi verso paesi terzi effettuati da determinati Sub-responsabili, compreso il trattamento dei contenuti per l'IA negli Stati Uniti da parte di OpenAI a seguito della comunicazione dei dati a OpenAI Ireland Limited.

Qualora un Sub-responsabile effettui un trasferimento successivo, esso deve applicare un meccanismo valido ai sensi del capo V. Kerna documenta la struttura del trasferimento, verifica il meccanismo contrattuale e le misure supplementari nell'ambito della due diligence ai sensi dell'art. 28 e mette a disposizione del Titolare le informazioni pertinenti. Tale ripartizione non riduce gli obblighi di Kerna in qualità di Responsabile del trattamento ai sensi del presente DPA.

Il contenuto delle e-mail inviato per un'azione IA è trattato negli Stati Uniti dal sub-responsabile per l'IA nell'ambito di tale assetto, nel rispetto delle condizioni di conservazione zero dei dati e di divieto contrattuale di addestramento: il contenuto inviato per un'azione IA non è né conservato né utilizzato per addestrare modelli. L'analisi di tale trattamento, compresa la valutazione della destinazione e delle misure supplementari applicate, è contenuta nella Valutazione d'impatto sul trasferimento di Kerna, messa a disposizione del Titolare su richiesta.

Il trasferimento di Kerna verso Sentry si basa sulla decisione di adeguatezza della Commissione europea relativa all'EU-U.S. Data Privacy Framework (quadro UE-USA per la protezione dei dati personali), nell'ambito del quale Sentry è certificata, con le clausole contrattuali tipo contenute nell'addendum sul trattamento dei dati di Sentry quale meccanismo alternativo. Sentry conserva tali dati nella propria regione dati dell'Unione europea (Frankfurt), ma può accedervi dagli Stati Uniti. I trasferimenti successivi effettuati da altri Sub-responsabili si basano sul meccanismo applicato da ciascun Sub-responsabile, come descritto nella Valutazione d'impatto sul trasferimento.

L'hosting e l'archiviazione avvengono nell'UE: elaborazione su Google Cloud Run in europe-west1 (Belgio) e archiviazione in Firestore in europe-central2 (Varsavia).

La posizione descritta nella clausola 9 si fonda sullo stabilimento dell'entità contraente di ciascun Sub-responsabile, che è indicato nell'Allegato III e riesaminato a ogni modifica. Qualora cambi l'entità contraente di un Sub-responsabile, o qualora Kerna ricorra a un altro Sub-responsabile stabilito al di fuori del SEE, prima che la modifica acquisti efficacia è predisposto un meccanismo adeguato ai sensi del capo V e il Titolare ne è informato ai sensi della clausola 5.

Il modulo utilizzato in tal caso segue il ruolo di Kerna: Modulo due, da titolare del trattamento a responsabile del trattamento, qualora Kerna trasferisca in qualità di titolare del trattamento dei propri dati; Modulo tre, da responsabile del trattamento a responsabile del trattamento, qualora Kerna trasferisca in qualità di responsabile del trattamento per conto del Titolare. Il modulo, la versione e la data delle eventuali clausole su cui si fa affidamento sono registrati nella Valutazione d'impatto sul trasferimento.

Il presente DPA disciplina soltanto il trattamento effettuato da Kerna in qualità di responsabile del trattamento per conto del Titolare. Kerna tratta inoltre dati personali in qualità di autonomo titolare del trattamento: amministrazione degli account (identità di accesso, stato dell'abbonamento e comunicazioni di Kerna con gli intestatari degli account), fatturazione, monitoraggio della sicurezza, analisi statistiche sul prodotto e il proprio sito web. Tali attività esulano dal presente DPA, sono disciplinate dall'informativa sulla privacy di Kerna, e il Titolare non ne è il titolare del trattamento. Nessuna disposizione del presente DPA rende Kerna un responsabile del trattamento in relazione a tale trattamento, e nessuna disposizione dello stesso attribuisce al Titolare la responsabilità di tale trattamento.

I diritti del Titolare in materia di passaggio e i corrispondenti obblighi di Kerna - preavviso, periodo transitorio, periodo di recupero dei dati, categorie e formati di dati esportabili, assistenza e disciplina delle tariffe di passaggio - sono definiti nell'Allegato IV, che si applica secondo quanto ivi previsto e fa parte del Contratto. Il contenuto delle e-mail non è archiviato sui server di Kerna e pertanto non richiede alcuna migrazione; esso rimane per tutto il tempo nell'ambiente di posta proprio del Titolare.

Alla scadenza o alla cessazione dei Servizi, Kerna cancella o restituisce i Dati personali del Cliente, a scelta del Titolare, e cancella le copie esistenti salvo che la legge ne richieda la conservazione. Il contenuto delle e-mail non è in ogni caso archiviato sui server di Kerna durante la prestazione dei Servizi (trattamento transitorio), pertanto tale obbligo riguarda i dati delle impostazioni degli utenti, di configurazione e del team descritti nell'Allegato I. I dati derivati dalle e-mail che il componente aggiuntivo di Outlook conserva nello spazio di archiviazione del browser sul dispositivo dell'utente stesso scadono secondo il calendario indicato nell'Allegato II; la cancellazione effettuata dall'utente stesso li elimina sul dispositivo sul quale viene utilizzata.

Due procedure

L'art. 28, par. 3, lett. g), richiede la cancellazione o la restituzione a scelta del Titolare. Non ne prescrive il meccanismo, e Kerna esegue la cancellazione del team su richiesta anziché tramite una funzione self-service.

Che cosa viene conservato, e perché

Fatture e documentazione contabile. Kerna conserva le fatture e la documentazione contabile relative a un abbonamento per il periodo previsto dalla normativa contabile e fiscale polacca, indipendentemente da qualsiasi cancellazione. Tale conservazione costituisce un obbligo di legge in capo a Kerna in qualità di titolare del trattamento della propria documentazione di fatturazione ed esula dall'ambito di applicazione del presente DPA; è qui indicata perché è la domanda più frequente che una cancellazione suscita.

Backup. Le copie conservate nel ripristino point-in-time di Firestore (7 giorni) e nei backup giornalieri (90 giorni) non sono eliminate selettivamente e scadono secondo tale calendario. Un backup può essere ripristinato a fini di disaster recovery. Il processo di riconciliazione previsto dalla Politica di conservazione e cancellazione dei dati è applicato dopo ogni ripristino e prima che il database torni in servizio, cosicché le cancellazioni completate nell'intervallo coperto dal backup ripristinato siano nuovamente applicate.

Kerna mette a disposizione del Titolare le informazioni necessarie per dimostrare la conformità, comprese le pertinenti certificazioni e validazioni (ad es. CASA Tier 2 per il componente aggiuntivo di Gmail), il presente DPA e il relativo elenco dei sub-responsabili (Allegato III), la Valutazione d'impatto sul trasferimento e un estratto dei registri delle attività di trattamento. Kerna consente e contribuisce agli audit, comprese le ispezioni, condotti dal Titolare o da un revisore da esso incaricato, con un ragionevole preavviso non inferiore a 30 giorni e non più di una volta all'anno, durante l'orario lavorativo e con vincolo di riservatezza. Qualora lo richieda un'autorità di controllo, a seguito di una Violazione dei dati personali che riguardi i dati del Titolare, o qualora il Titolare disponga di prove attendibili del fatto che Kerna non rispetta il presente DPA, il Titolare può effettuare un audit aggiuntivo, con un preavviso più breve che sia ragionevole date le circostanze.

Kerna può negare l'accesso qualora ciò sia necessario per tutelare: la sicurezza o i dati personali di altri clienti; informazioni coperte da segreto professionale o da un obbligo di riservatezza nei confronti di terzi; oppure i segreti commerciali di Kerna, fermo restando che la tutela dei segreti commerciali non può essere utilizzata per vanificare la possibilità del Titolare di verificare la conformità. Qualora l'accesso sia negato, Kerna fornisce le informazioni necessarie per verificare la conformità con altri mezzi. Un revisore incaricato dal Titolare non deve essere un concorrente di Kerna e deve sottoscrivere un impegno di riservatezza. Il Titolare sostiene i costi di qualsiasi audit da esso avviato, ad eccezione di un audit conseguente a una Violazione dei dati personali causata da Kerna.

Il presente DPA acquista efficacia con il Contratto e resta in vigore finché Kerna tratta Dati personali del Cliente. La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni ed esclusioni di responsabilità previste dal Contratto, fermo restando che nessuna disposizione del Contratto o del presente DPA limita o esclude: la responsabilità che non può essere limitata o esclusa per legge; la responsabilità ai sensi dell'art. 82 del GDPR nei confronti degli interessati; la responsabilità per frode, dolo o colpa grave; o gli obblighi di ciascuna parte ai sensi della normativa applicabile in materia di protezione dei dati.

Il presente DPA è disciplinato dalla legge polacca e, ove applicabile, dal GDPR. Le controversie sono devolute ai tribunali competenti per la sede legale di Kerna, salvo che il Contratto disponga diversamente.

Lingua. Il presente DPA è stipulato in lingua polacca e inglese. Entrambe le versioni linguistiche fanno parte dell'accordo stipulato e possono essere sottoscritte congiuntamente; le parti non sono tenute a sottoscrivere il solo testo polacco, e il Titolare che sottoscrive il testo inglese sottoscrive l'accordo.

Qualora permanga una discrepanza inconciliabile, la versione polacca prevale per il Titolare stabilito (ossia avente la propria sede legale o sede di attività) in Polonia e la versione inglese prevale per il Titolare stabilito altrove. Un Modulo d'ordine può designare espressamente come prevalente la versione polacca o quella inglese. Tale regola si applica soltanto alla risoluzione delle discrepanze e non esclude nessuna delle due versioni dal Contratto.

Si tratta di una regola interpretativa per il caso residuale, non di un'affermazione che uno dei due testi sia estraneo all'accordo. Kerna gestisce entrambe le versioni a partire da un'unica fonte e le modifica congiuntamente, per cui le divergenze dovrebbero essere rare; qualora si verifichino, costituiscono un errore da correggere e non una scelta tra due diverse pattuizioni. Le traduzioni del presente DPA in altre lingue sono fornite a solo scopo informativo; non fanno parte del Contratto e non prevalgono su nessuna delle due versioni.

• Cifratura TLS dei dati in transito su tutto il percorso (TLS 1.3 dal client al backend; TLS 1.2 o superiore nei passaggi successivi). HSTS applicato.
• Cifratura AES-256 a riposo per tutti i dati archiviati, con chiavi gestite da Google e rotazione automatica.
• Il contenuto delle e-mail è trattato in memoria e non viene mai scritto nei database, nei log o nei backup di Kerna.
• Dove sono conservati i dati derivati dalle e-mail: nello spazio di archiviazione persistente dei server di Kerna, nulla a eccezione dei record di flusso di lavoro descritti di seguito, che non contengono alcun contenuto delle e-mail; nella memoria del server, copie di lavoro conservate per consentire all'utente di tornare a un risultato, per circa 30 minuti nel componente aggiuntivo di Gmail e per alcuni minuti per le cassette postali condivise, poi eliminate, o prima se il server viene riavviato; sul dispositivo dell'utente stesso, nello spazio di archiviazione del browser utilizzato dal componente aggiuntivo di Outlook, i risultati relativi a un'e-mail per un'ora, le bozze di risposta e di composizione e i risultati dello smistamento per 24 ore e, per 30 giorni, gli elementi dello smistamento senza risposta (oggetto, mittente, data e breve riepilogo di Kerna) e gli identificativi dei messaggi contrassegnati come completati, ciascuno dei quali è rimosso, una volta scaduto, alla successiva apertura di Kerna su tale dispositivo ed è eliminato dalla cancellazione effettuata dall'utente stesso su tale dispositivo; nei record di flusso di lavoro archiviati, come i record di stato delle cassette postali condivise e il registro di Invia a…, soltanto identificativi, stato e orari, mai l'oggetto o il testo; nei backup, soltanto ciò che è contenuto nel database, quindi nessun contenuto delle e-mail.
• Limiti sui dati in ingresso: ogni azione invia soltanto il testo di cui ha bisogno, fino a una lunghezza fissa. Oscuramento prima della trasmissione: i numeri di carte di pagamento, gli IBAN e i numeri di conto bancario polacchi, i numeri PESEL polacchi e i numeri di previdenza sociale statunitensi (Social Security Number), nei formati che Kerna riconosce, sono sostituiti con segnaposto nel contenuto delle e-mail inviato da un'azione, compresi gli oggetti e le anteprime di Smistamento posta e gli allegati utilizzati da Invia a… o da Rispondi con gli allegati. Gli altri dati personali, come nomi, indirizzi e-mail, numeri di telefono e indirizzi postali, sono inviati così come compaiono. I file letti con la funzionalità Allegati, affinché se ne possano estrarre dati come i numeri di conto, e il testo scritto dall'utente, come istruzioni e bozze, non sono oggetto di oscuramento.
• Conservazione zero dei dati e divieto contrattuale di addestramento presso il sub-responsabile per l'IA: il contenuto inviato per un'azione IA non è né conservato né utilizzato per l'addestramento. Verificato nella piattaforma del sub-responsabile, che registra che i log non possono essere salvati in un progetto a conservazione zero dei dati.
• Controllo degli output per rilevare segreti trapelati.
• Autenticazione mediante token di identità Google e Microsoft verificati, con pinning obbligatorio di destinatario (audience), emittente (issuer), scadenza e algoritmo, e isolamento dei percorsi dei documenti per singolo utente, circoscritto all'identificativo dell'account verificato.
• Limitazione della frequenza delle azioni IA per singolo utente. Intestazioni di sicurezza Helmet; CSP e CORS restrittivi; controllo dei dati in ingresso contro le iniezioni.
• Analisi statistiche pseudonimizzate (HMAC-SHA256 con pepper lato server); conservazione dei dati analitici per 90 giorni.
• Gli endpoint amministrativi sono protetti da una allow-list e da una chiave API verificata a tempo costante, oltre che da un token utente valido, e in produzione, in caso di errore, negano l'accesso (fail closed). Le autorizzazioni secondo il principio del privilegio minimo per gli account di servizio sono in corso di revisione; la situazione attuale è registrata nella Politica di sicurezza delle informazioni di Kerna, disponibile per il Titolare su richiesta.
• Cloud Audit Logs per tutte le azioni amministrative; revisioni Cloud Run immutabili e attribuibili.
• Hosting e archiviazione in regioni UE: Cloud Run europe-west1 (Belgio); Firestore europe-central2 (Varsavia).
• Ripristino point-in-time di Firestore (7 giorni) e backup giornalieri (conservazione di 90 giorni).
• Validazione CASA Tier 2 per il componente aggiuntivo di Gmail.

Funzionamento dei controlli. I segreti riemettibili seguono il calendario di rotazione previsto dalla Politica di sicurezza delle informazioni, con rotazione immediata in caso di sospetta compromissione. La limitazione della frequenza per singolo utente è applicata tramite un archivio condiviso tra le istanze del servizio. Le evidenze dei controlli sono conservate secondo il Registro della documentazione.

Il presente elenco è mantenuto aggiornato nel luogo in cui è pubblicato il presente DPA, all'indirizzo kerna.io/dpa, e le modifiche sono comunicate ai sensi della clausola 5. Alla data della presente versione:

Google Analytics, Brevo e Stripe, indicati anche nell'informativa sulla privacy di Kerna, servono al sito web di Kerna, alle e-mail che Kerna invia ai propri utenti e alla fatturazione propria di Kerna, attività che Kerna svolge in qualità di titolare del trattamento (clausola 9b). Essi non sono Sub-responsabili ai sensi del presente DPA.

Il presente Allegato si applica ai Servizi indipendentemente dal fatto che a essi si applichi il Regolamento (UE) 2023/2854 (il «regolamento sui dati»). Kerna applica ai Servizi il capo VI del regolamento sui dati come base contrattuale minima: qualora un'autorità competente accerti che i Servizi non rientrano nell'ambito di applicazione di tale capo, il Titolare conserva i diritti previsti dal presente Allegato, salvo diverso accordo espresso tra le parti.

Avvio del passaggio. Il Titolare può chiedere in qualsiasi momento di passare a un altro fornitore o alla propria infrastruttura, oppure di ottenere la cancellazione dei propri dati esportabili, scrivendo a privacy@kerna.io. Il passaggio o la cancellazione ha inizio al ricevimento della richiesta da parte di Kerna oppure alla data successiva indicata dal Titolare, non oltre due mesi dal ricevimento (in entrambi i casi, la «data di inizio»). Il termine per una richiesta di sola cancellazione è stabilito al paragrafo «Cancellazione».

Periodo transitorio. Kerna completa il passaggio entro un periodo transitorio di 30 giorni di calendario dalla data di inizio. Durante tale periodo il Contratto resta in vigore: Kerna continua a fornire i Servizi, presta un'assistenza ragionevole al Titolare e all'eventuale fornitore da esso scelto, segnala i rischi noti per la continuità e mantiene un livello elevato di sicurezza per tutta la durata del passaggio, anche nel corso del trasferimento dei dati e del periodo di recupero dei dati. Qualora il periodo di 30 giorni sia tecnicamente impossibile, Kerna ne informa il Titolare entro 14 giorni lavorativi dalla richiesta, ne spiega i motivi e stabilisce un periodo alternativo non superiore a sette mesi, durante il quale si applicano gli stessi obblighi. Il Titolare può prorogare il periodo transitorio una volta, per un periodo che ritiene più appropriato.

Periodo di recupero dei dati. Il Titolare dispone di almeno 30 giorni di calendario dalla fine del periodo transitorio per recuperare i propri dati esportabili.

Dati esportabili e risorse digitali. La tabella seguente costituisce l'elenco esaustivo dei dati e delle risorse digitali che possono essere esportati. Kerna fornisce l'esportazione su richiesta, tramite un link di download sicuro, nei formati indicati; i Servizi non prevedono una funzione di esportazione self-service. Kerna aggiorna il presente elenco prima che i Servizi inizino a conservare una nuova categoria di dati del Titolare. Kerna non invoca alcuna esenzione per segreti commerciali in relazione ad alcuna categoria.

Cancellazione. Una volta completato il passaggio, Kerna cancella i dati esportabili entro 30 giorni dalla fine del periodo di recupero dei dati o da una data successiva concordata con il Titolare, fatta salva soltanto la conservazione richiesta dalla legge (clausola 10). Qualora il Titolare abbia chiesto soltanto la cancellazione, Kerna cancella i dati esportabili entro 30 giorni dalla data di inizio, lo stesso termine previsto per la cancellazione dell'account del team ai sensi della clausola 10, e ne dà conferma per iscritto. Il Contratto si considera risolto, e Kerna ne notifica la risoluzione al Titolare, al completamento con esito positivo del passaggio o, in caso di richiesta di sola cancellazione, alla data di inizio. La risoluzione al completamento di un passaggio non pone fine al periodo di recupero dei dati: il Titolare può continuare a recuperare i propri dati esportabili fino al termine di tale periodo, gli obblighi di sicurezza di cui al paragrafo «Periodo transitorio» continuano ad applicarsi fino ad allora e il termine di 30 giorni per la cancellazione decorre soltanto dalla fine di tale periodo o da una data successiva concordata con il Titolare. Le copie nei backup scadono secondo quanto indicato nella clausola 10.

Tariffe. Kerna non applica alcuna tariffa per il passaggio né per l'esportazione dei dati.

Nessun ostacolo. Kerna non frappone alcun ostacolo pre-commerciale, commerciale, tecnico, contrattuale od organizzativo al passaggio.

Infrastruttura e accesso governativo. L'infrastruttura di hosting e archiviazione di Kerna è ubicata nell'Unione europea; il trattamento mediante IA da parte di OpenAI e l'accesso da parte di Sentry avvengono negli Stati Uniti (clausola 9 e Allegato III). Le misure di cui all'Allegato II proteggono i dati non personali presenti nei Servizi dall'accesso illecito, compreso l'accesso governativo internazionale che sarebbe in conflitto con il diritto dell'Unione o di uno Stato membro, allo stesso modo dei dati personali.