Accordo sul trattamento dei dati (DPA)

1. Parti e ruoli

Titolare del trattamento: il cliente (host o impresa di pulizie) che utilizza la piattaforma per trattare dati personali di propri ospiti, collaboratori o clienti. Responsabile del trattamento: CriptaLab, che eroga il servizio Kirina. Per i dati per cui Kirina determina finalità e mezzi (account, fatturazione, anti-abuso) resta titolare autonomo, come da privacy policy.

2. Oggetto, natura e finalità del trattamento

• Oggetto: erogazione della piattaforma di coordinamento pulizie, marketplace e assistente AI ospiti.
• Natura: raccolta, conservazione, organizzazione, consultazione, comunicazione (ai soggetti indicati dal titolare), cancellazione — con strumenti automatizzati, incluso un modello linguistico per le risposte dell'assistente.
• Finalità: esclusivamente l'erogazione del servizio secondo le funzionalità attivate dal titolare. Nessun uso per finalità proprie del responsabile, né per addestrare modelli AI.
• Durata: pari alla durata del contratto (account attivo), salvo i termini di conservazione ridotti indicati al §9.

3. Categorie di interessati e di dati

• Collaboratori del titolare (addetti alle pulizie): nome, email, telefono, zone di lavoro, stato dei task, foto di conferma del lavoro.
• Ospiti delle strutture: date di soggiorno e identificativi tecnici di prenotazione (mai nome/contatti dagli OTA); testo liberamente digitato nella chat dell'assistente AI.
• Contatti del titolare: dati di contatto di ditte/host collegati.

Non sono previsti dati di categorie particolari (art. 9): il titolare si impegna a non inserirli nella piattaforma.

4. Istruzioni documentate

Il responsabile tratta i dati solo su istruzione documentata del titolare. Le istruzioni sono costituite dai Termini, dal presente DPA e dalla configurazione che il titolare imposta nell'applicazione (attivazione funzioni, canali di notifica, cancellazioni). Il responsabile informa il titolare se ritiene che un'istruzione violi il GDPR.

5. Riservatezza

Le persone autorizzate al trattamento sono vincolate alla riservatezza. L'accesso amministrativo ai dati avviene solo lato server, è limitato al minimo necessario e non include l'accesso ai dati di pagamento (custoditi da Stripe).

6. Misure di sicurezza (art. 32)

• Cifratura in transito (TLS ovunque) e at-rest (datacenter UE).
• Isolamento multi-tenant tramite Row Level Security a livello di database.
• Accessi senza account tramite token capability ad alta entropia, revocabili.
• Storage foto privato con URL firmati; header di sicurezza (CSP, HSTS); protezione CSRF.
• Minimizzazione by design (nessun dato ospite dagli OTA oltre le date; IP solo in forma hash).
• Cancellazione automatica programmata (§9) e cancellazione account self-service.
• Log strutturati privi di dati personali in chiaro.

7. Sub-responsabili

Il titolare autorizza in via generale il ricorso ai sub-responsabili elencati nel registro sub-responsabili(versione 2026-07-17) riportato di seguito. Il responsabile impone a ciascuno obblighi equivalenti a quelli del presente DPA e comunica ogni modifica dell'elenco con almeno 15 giorni di preavviso; il titolare può opporsi per motivi legittimi, con facoltà di recesso se l'obiezione non è risolvibile.

8. Trasferimenti extra-UE

I dati sono conservati in UE. Dove un sub-responsabile ha sede negli USA, il trasferimento è coperto da Data Privacy Framework o da clausole contrattuali standard (artt. 45-46 GDPR), come indicato in tabella. L'inferenza dell'assistente AI avviene in UE (Mistral AI, Francia). Quando l'assistente usa la ricerca webper rispondere a domande sulla zona (es. come raggiungere la struttura, servizi nei dintorni), la query di ricerca può essere trasmessa temporaneamente fuori dall'UE dal fornitore AI verso il proprio motore di ricerca: tale trasferimento è coperto dalle clausole contrattuali standard del fornitore.

9. Assistenza al titolare, durata e cancellazione

• Diritti degli interessati (artt. 12-23): la piattaforma consente consultazione e cancellazione dirette; per le richieste residue il responsabile assiste il titolare entro 15 giorni dalla segnalazione a privacy@kirina.it.
• Violazioni (artt. 33-34): il responsabile notifica al titolare ogni violazione di dati personali senza ingiustificato ritardo dopo esserne venuto a conoscenza, con le informazioni utili alla notifica al Garante (procedura interna documentata).
• DPIA (art. 35-36): il responsabile fornisce le informazioni ragionevolmente necessarie.
• Conservazione: chat ospiti eliminate 90 giorni dopo il check-out; log tecnici dopo 12 mesi; alla chiusura dell'account tutti i dati sono cancellati entro 30 giorni (hard-delete), salvo obblighi di legge.
• Audit: il responsabile mette a disposizione le informazioni necessarie a dimostrare la conformità e consente audit documentali, con preavviso di 30 giorni, al massimo una volta l'anno, senza accesso a dati di altri clienti.