Versione archiviata 2.9 del 01.11.2026. Versione in vigore: Accordo sul trattamento dei dati personali
Versione 2.9 · 01.11.2026
Traduzione fornita a titolo informativo. Fa fede soltanto la versione francese. Leggere la versione francese
Solo perimetro A: amministrazione delle utenze Kalisme Pro. Modello contrattuale destinato ai clienti professionali di Kalisme. Versione 2.9 · 01.11.2026
Il Cliente, di seguito «il Titolare del trattamento»
Ragione sociale: (da compilare a cura del Cliente)
Sede: (da compilare a cura del Cliente)
Rappresentato da: (da compilare a cura del Cliente)
Indirizzo di riferimento per le notifiche contrattuali: (da compilare a cura del Cliente)
Contatto per le notifiche di violazione (indirizzo e-mail): (da compilare a cura del Cliente)
Telefono raggiungibile in caso di incidente: (da compilare a cura del Cliente)
Responsabile della protezione dei dati, se designato (nome e indirizzo e-mail): (da compilare a cura del Cliente)
Queste ultime quattro righe sono i recapiti designati ai sensi del presente accordo. Gli articoli 8 e 13 vi rinviano espressamente. In mancanza di un indirizzo di contatto per le violazioni, ne fa le veci quello dell’account amministratore del portale, conformemente alla clausola «Forma delle comunicazioni» delle condizioni generali di vendita. Lei mantiene aggiornati questi recapiti; Kalisme non è tenuta a cercare un destinatario che Lei non ha designato.
E
Kalisme Kaynar, ditta individuale di diritto svizzero iscritta nel registro di commercio del Cantone di Vaud (IDI CHE-180.420.792), titolare Hakan Kaynar, Route des Plaines-du-Loup 78, 1018 Lausanne, Svizzera, di seguito «Kalisme». Contatto per la protezione dei dati: founder@kalisme.com
Rappresentante di Kalisme nell’Unione europea (articolo 27 del RGPD)
La designazione di un rappresentante non trasferisce alcuna responsabilità: conformemente all’articolo 27, paragrafo 5, del RGPD, non pregiudica le azioni promosse nei confronti di Kalisme stessa. Kalisme Le comunica per iscritto l’identità e i recapiti del suo rappresentante nell’Unione non appena è designato, al Suo indirizzo di riferimento per le notifiche contrattuali, senza che ciò comporti una modifica del presente accordo.
Il presente accordo è concluso in applicazione dell’articolo 28 del RGPD (UE 2016/679) e dell’articolo 9 della LPD svizzera riveduta, che disciplinano entrambi il ricorso a un responsabile del trattamento. Per un Cliente stabilito nel Regno Unito, i rinvii al RGPD si intendono riferiti al regolamento così come si applica nel Regno Unito (UK GDPR) e alle disposizioni corrispondenti di tale diritto.
Riguarda soltanto il perimetro A: l’amministrazione delle utenze. Kalisme vi tratta per Suo conto, e soltanto su Sue istruzioni, i dati necessari all’assegnazione, all’attivazione e alla gestione delle utenze che Lei finanzia: indirizzo e-mail professionale, token di attivazione, stato dell’utenza, marche temporali, registro di amministrazione, e le risposte alle indagini anonime che Lei avvia dal Suo portale. L’allegato 1 ne fornisce il dettaglio. Tre trattamenti affini sono svolti da Kalisme per proprio conto, in qualità di titolare del trattamento, e non dipendono dalle Sue istruzioni: la verifica del documento giustificativo dello statuto che Lei deposita per una tariffa ridotta (allegato 1, A3), le due scale di benessere e di stress delle indagini di un pilota (allegato 1, A4) e la fatturazione delle utenze (articolo 7).
Il prodotto si fonda su un secondo perimetro, il perimetro B: ciò che un collaboratore scrive nel proprio taccuino, rivolge al compagno Kal o scambia nel proprio Cercle. Su questo perimetro Kalisme non è il Suo responsabile del trattamento: Lei non riceve nulla, non impartisce alcuna istruzione, e Kalisme determina da sola le finalità e i mezzi di tali trattamenti. Kalisme ne risponde quindi come titolare del trattamento ai sensi dell’articolo 4, punto 7, del RGPD e dell’articolo 5 della LPD (definizioni), direttamente nei confronti della persona interessata.
L’uso personale del servizio da parte dei Suoi collaboratori non rientra nel presente accordo. È descritto nell’informativa che Le viene consegnata insieme a esso. Tale informativa non è un contratto, non si firma, non crea alcun obbligo a Suo carico e non Le conferisce alcun diritto sui trattamenti che descrive. Può comunicarla ai Suoi collaboratori, ai loro organi di rappresentanza e al Suo servizio di medicina del lavoro. La stessa formula di neutralità figura all’articolo 7 e al capoverso «Integralità e gerarchia» dell’articolo 12 delle condizioni generali di vendita: i tre documenti recano la stessa regola, l’informativa non obbliga il Cliente e non gli conferisce alcun diritto.
Questa separazione non è una politica interna, è una proprietà tecnica, ed è misurata anziché promessa. Le tre misure che la sostengono figurano nell’allegato 2, con il modo di prova di ciascuna: due si verificano nel codice dell’applicazione, la terza si constata nella base di dati di produzione e reca la data di tale constatazione.
Conseguenza da accettare da parte Sua: Kalisme non può fornirLe una dashboard dell’uso individuale, né un indicatore di benessere per persona o per team abbastanza dettagliato da permettere di identificare nuovamente qualcuno. Se il Suo progetto ne dipende, occorre dirlo adesso: Kalisme non lo farà.
Ciò che il Cliente ottiene invece è indicato nell’allegato 2: una pagina di engagement che presenta tre grandezze aggregate, e soltanto tre, il numero di utenze attivate, il numero di utenze acquistate e il tasso di adozione che rapporta il primo al secondo, con una doppia soglia di visualizzazione di 20 utenze attivate e di 10 persone per cella.
Ciò che il Cliente può far valere al proprio interno: la carta di non utilizzo manageriale, pubblicata all’indirizzo https://kalisme.com/pro/charte/ o a qualsiasi indirizzo che lo sostituisca, e consegnata su semplice richiesta sotto forma di documento datato. Con questa carta il Cliente si vieta di fare dell’uso o del non uso del servizio un criterio di valutazione, e Kalisme stabilisce che nessuna tabella, nessuna chiave e nessun registro collega una persona a un contenuto o a un uso dell’applicazione, al di fuori dei dati di amministrazione descritti nell’allegato 1 (stato dell’utenza e relativa data, data di apertura di ciascun dispositivo, azioni iscritte nel registro di amministrazione) e con la riserva scritta nella carta: il conteggio dei messaggi della giornata, utenza per utenza, che tiene il server che inoltra i messaggi a Kal per applicarne i limiti giornalieri, e che viene poi cancellato.
Termini. Ogni termine del presente accordo si computa in giorni di calendario, salvo quando è espressamente indicato in giorni lavorativi ai sensi del diritto svizzero. L’eccezione copre una sola categoria, la stessa in tutta la documentazione: i termini brevi di risposta, di ricezione o di fornitura propri di Kalisme. Gli unici termini interessati sono i termini di risposta di Kalisme previsti all’articolo 8, seconda fase, e all’articolo 11, livelli 1 e 2. Il motivo è spiegato dopo la tabella dell’articolo 11.
Date. Ogni data del presente accordo e dei suoi allegati si scrive nella forma giorno, mese, anno (GG.MM.AAAA), comprese le date di misurazione e di constatazione. Non è usata nessun’altra forma, affinché una data di constatazione non si legga diversamente da una data contrattuale.
Vocabolario degli stati di un’utenza, fissato per l’insieme dei documenti che Le vengono consegnati. Un’utenza è assegnata quando è attribuita a un collaboratore che Lei designa, attivata quando tale collaboratore ne ha fatto uso, liberata quando Lei pone fine a tale attribuzione. Queste tre denominazioni sono le sole usate nelle condizioni generali di vendita, nel presente accordo e nella carta di non utilizzo manageriale. I valori interni della base di dati non escono da alcun documento tecnico e quindi non figurano qui.
Altri termini. L’unità di fatturazione e di attribuzione si chiama utenza, mai «licenza» né «posto»: è il diritto nominativo di usare l’applicazione. La persona a cui Lei assegna un’utenza si chiama collaboratore. Ciò che il contratto principale Le concede sull’applicazione e sui suoi contenuti si chiama diritto d’uso; la parola «licenza» è riservata alla sola licenza pubblica CC BY-NC-SA 4.0 del Manifesto, che non rientra nel campo d’applicazione del presente accordo.
Kalisme si impegna a trattare i dati del perimetro A conformemente al presente accordo. L’allegato 1 ne descrive, per ciascuno dei quattro trattamenti interessati, la natura, la finalità, le categorie di dati, le persone interessate e la durata di conservazione.
Kalisme tratta i dati del perimetro A soltanto su istruzione documentata del Titolare del trattamento, anche per quanto riguarda i trasferimenti, salvo che lo richieda un obbligo di legge cui Kalisme è soggetta (articolo 28, paragrafo 3, lettera a, del RGPD). In tal caso Kalisme La informa prima del trattamento, salvo che la legge lo vieti.
Il presente accordo, l’ordine e le azioni effettuate dal portale costituiscono le Sue istruzioni documentate. Ogni altra istruzione è impartita per iscritto; se richiede uno sviluppo o un lavoro che il servizio non comprende, è oggetto di un preventivo e viene eseguita soltanto dopo la sua accettazione scritta.
Kalisme La informa senza indugio se ritiene che un’istruzione violi il RGPD, la LPD o un’altra disposizione applicabile (articolo 28, paragrafo 3, ultimo comma, del RGPD). Può allora sospenderne l’esecuzione finché Lei non la modifica o la conferma per iscritto; una conferma non obbliga Kalisme a eseguire un’istruzione contraria al diritto applicabile.
Le persone autorizzate a trattare i dati sono soggette a un obbligo contrattuale di riservatezza (articolo 28, paragrafo 3, lettera b, del RGPD). Kalisme non ha oggi alcun dipendente: l’accesso è limitato al suo titolare. Ogni evoluzione di questa situazione comporterà la sottoscrizione di impegni scritti individuali e Le sarà comunicata.
Le misure tecniche e organizzative adottate ai sensi dell’articolo 32 del RGPD figurano nell’allegato 2. Sono rivalutate almeno una volta all’anno e a ogni cambiamento significativo dell’architettura.
L’allegato 2 indica anche i limiti di tali misure, anziché tacerli.
Kalisme La assiste, nella misura del possibile e tenuto conto della natura del trattamento, nel dare seguito alle richieste di esercizio dei diritti previsti dagli articoli da 15 a 22 del RGPD e dei diritti corrispondenti che la LPD riconosce alla persona interessata, nella misura in cui riguardano il perimetro A (articolo 28, paragrafo 3, lettera e, del RGPD).
Le richieste relative al perimetro B non rientrano nel presente accordo e non richiedono alcun intervento da parte Sua: sono trattate direttamente da Kalisme, secondo l’informativa menzionata nel preambolo.
Lei autorizza Kalisme a ricorrere ai sub-responsabili del trattamento elencati nell’allegato 3, ai sensi dell’articolo 28, paragrafi 2 e 4, del RGPD e dell’articolo 9, capoverso 3, della LPD. Kalisme impone loro, per contratto, gli stessi obblighi in materia di protezione dei dati del presente accordo, se necessario mediante i loro propri accordi sul trattamento dei dati, dei quali Kalisme verifica che presentino le garanzie dell’articolo 28, paragrafo 4, del RGPD. Kalisme resta responsabile nei Suoi confronti della loro esecuzione, nei limiti dell’articolo 10 delle condizioni generali di vendita.
Ogni cambiamento segue la procedura seguente, in cinque fasi.
1. Annuncio preventivo. Kalisme La informa per iscritto di ogni aggiunta o sostituzione di un sub-responsabile del trattamento almeno 30 giorni prima della sua messa in servizio. L’annuncio indica il nome del fornitore, il suo ruolo, le categorie di dati interessate, il luogo di hosting, se il fornitore è necessario alla fornitura del servizio (articolo 11 delle condizioni generali di vendita) e, in caso di trasferimento al di fuori dell’Unione europea e della Svizzera, il meccanismo invocato ai sensi degli articoli da 44 a 49 del RGPD.
2. Opposizione motivata. Lei dispone di 30 giorni dall’annuncio per presentare opposizione, per iscritto e in modo motivato. L’opposizione deve fondarsi su un motivo attinente alla protezione dei dati: garanzie insufficienti ai sensi dell’articolo 28, paragrafo 4, del RGPD, trasferimento privo di un meccanismo valido ai sensi degli articoli da 44 a 49 del RGPD, o incompatibilità accertata con i Suoi obblighi di titolare del trattamento. Un’opposizione non motivata, o fondata su un motivo estraneo alla protezione dei dati, non sospende la messa in servizio; Le apre soltanto la disdetta del punto 4, entro lo stesso termine di 30 giorni dall’annuncio.
3. Ricerca di una soluzione. L’opposizione motivata sospende la messa in servizio del nuovo sub-responsabile per i Suoi dati. Le parti dispongono allora di 30 giorni per cercare una soluzione: misura complementare che elimini il motivo dell’opposizione, fornitore alternativo, o mantenimento del fornitore attuale per la sola Sua organizzazione. Kalisme Le risponde per iscritto e motiva la sua risposta.
4. Disdetta, soltanto come ultima risorsa. Se nessuna soluzione è trovata entro tale termine, ciascuna delle parti può disdire la prestazione interessata con un preavviso di 30 giorni. Dopo un’opposizione non motivata, soltanto Lei può disdire, con lo stesso preavviso.
5. Sostituzione d’urgenza. Quando l’inadempienza, la cessazione dell’attività o una falla di sicurezza di un sub-responsabile del trattamento ne impone la sostituzione immediata, Kalisme procede alla sostituzione senza attendere il termine del punto 1 e La informa per iscritto nei 7 giorni successivi, con le indicazioni del punto 1. I punti da 2 a 4 si applicano allora a decorrere da tale informazione.
Conseguenze finanziarie di questa disdetta. Non sono scritte qui, ed è voluto. Figurano al capoverso «Opposizione a un sub-responsabile del trattamento» dell’articolo 11 delle condizioni generali di vendita, al quale il presente punto rinvia per la disdetta che segue un’opposizione motivata rimasta senza soluzione; ogni altra disdetta segue le regole generali dello stesso articolo. Sono le condizioni generali di vendita a disciplinare i canoni, la fatturazione e gli effetti finanziari di una disdetta. Il presente accordo non modifica né neutralizza alcuna delle loro disposizioni finanziarie.
Perché questo rinvio anziché una deroga. L’articolo 12 delle condizioni generali di vendita ripartisce la prevalenza per materia: il presente accordo prevale per tutto ciò che riguarda il trattamento dei dati personali; le condizioni generali di vendita prevalgono per le tariffe, i canoni, la durata, la fatturazione, la responsabilità e la cessazione del contratto, anche quando la cessazione trova la sua causa in una disposizione del presente accordo. Una controprestazione finanziaria scritta qui non produrrebbe quindi alcun effetto. È scritta là dove produce il suo.
L’archiviazione e l’hosting dei dati del perimetro A avvengono nell’Unione europea: OVH SAS in Francia, Hetzner Online GmbH in Germania (centro di Falkenstein). La Svizzera e l’Unione europea si riconoscono reciprocamente un livello di protezione adeguato.
E-mail del portale (link di accesso degli amministratori, inviti ai collaboratori, inviti alla firma): dal 01.10.2026 partono dal servizio di posta elettronica di OVH SAS, in Francia, senza pixel di tracciamento. Non danno luogo ad alcun trasferimento.
Una riserva riguarda un trattamento affine al perimetro A, ed è scritta anziché taciuta.
Fatturazione delle utenze: Kalisme la gestisce per proprio conto, in qualità di titolare del trattamento, per incassare il prezzo e tenere la propria contabilità; non dipende dalle Sue istruzioni, e i suoi fornitori non sono sub-responsabili del trattamento ai sensi dell’articolo 6. È menzionata qui a titolo informativo. Il suo fornitore è Stripe Payments Europe, Limited (Irlanda), con Stripe Payments UK Ltd per i servizi di pagamento autorizzati. Stripe trasferisce dati a Stripe, LLC negli Stati Uniti. L’ordine di priorità dichiarato da Stripe è il Data Privacy Framework (Stripe, LLC è autocertificata), poi le clausole contrattuali tipo della Commissione europea, moduli 1, 2 e 3. Per la Svizzera, le clausole tipo si applicano con l’Incaricato federale della protezione dei dati e della trasparenza quale autorità di controllo.
Il compagno conversazionale non rientra nel presente articolo: appartiene al perimetro B e non riguarda alcun dato che Lei affida a Kalisme. Dal 24.09.2026 è servito di default ai Suoi collaboratori nell’Unione europea da Amazon Web Services EMEA SARL. I suoi fornitori sono menzionati nell’allegato 3 e descritti nell’informativa menzionata nel preambolo.
Il dettaglio di ogni situazione figura nell’allegato 3.
Kalisme Le notifica ogni violazione dei dati che riguardi il perimetro A secondo un dispositivo in tre fasi, concepito per lasciarLe il margine necessario al rispetto dei Suoi obblighi di notifica (articoli 33 e 34 del RGPD, articolo 24 della LPD).
Conoscenza della violazione. Il conto alla rovescia di ciascuna fase decorre dal momento in cui Kalisme raggiunge un ragionevole grado di certezza che un incidente abbia compromesso, in modo accidentale o illecito, la riservatezza, l’integrità o la disponibilità di dati del perimetro A. Un segnale non confermato non fa scattare la prima fase, ma apre un’indagine immediata.
Prima fase, allerta immediata. Kalisme Le notifica la violazione senza ingiustificato ritardo, e al più tardi entro 48 ore dalla conoscenza così definita, all’indirizzo e-mail che Lei ha indicato alla riga «Contatto per le notifiche di violazione» del blocco «Tra». Kalisme può accompagnarla con una telefonata al numero che vi ha indicato. Questa prima allerta riporta: la natura dell’incidente come nota in quel momento, la data e l’ora della sua scoperta, le categorie di dati e il volume approssimativo interessati se già identificabili, e le misure di contenimento immediate adottate.
Seconda fase, informazioni complementari. Non appena sono disponibili ulteriori elementi, e al più tardi 5 giorni lavorativi dopo la prima fase, Kalisme Le invia per iscritto, allo stesso indirizzo, un complemento che riporta: la qualificazione aggiornata dell’incidente (violazione confermata, esclusa, o indagine ancora in corso), le categorie e il numero stimato di persone interessate, le conseguenze probabili, le misure già adottate e quelle previste, nonché una valutazione del livello di rischio destinata a orientare la Sua decisione di comunicare la violazione alla persona interessata.
Terza fase, rapporto finale. Alla chiusura della sua indagine interna, e al più tardi 30 giorni dopo tale chiusura, Kalisme Le invia per iscritto un rapporto finale che riporta: la cronologia completa dell’incidente, la causa accertata, le misure correttive attuate e gli insegnamenti tratti per prevenirne la ripetizione.
Informazione del responsabile della protezione dei dati. Quando Lei ha compilato la riga «Responsabile della protezione dei dati» del blocco «Tra», tale responsabile riceve copia delle tre fasi sopra descritte, alle stesse date.
Questo dispositivo copre soltanto il perimetro A. Per il perimetro B, Kalisme non è responsabile del trattamento ai sensi dell’articolo 28 del RGPD né dell’articolo 9 della LPD: risponde direttamente nei confronti della persona interessata, secondo le modalità del proprio registro delle attività di trattamento, e non Le deve a tale titolo né allerta, né complemento, né rapporto. Se un incidente colpisce indistintamente i due perimetri, soltanto la parte relativa al perimetro A rientra nel presente articolo.
| Fase | Evento scatenante | Termine | Contenuto | Destinatario |
|---|---|---|---|---|
| 1 · Allerta immediata | Ragionevole grado di certezza che un incidente abbia compromesso dati del perimetro A | 48 ore dalla conoscenza | Natura nota, data e ora della scoperta, categorie e volume approssimativo se identificabili, misure di contenimento adottate | Indirizzo di contatto per le violazioni del blocco «Tra» |
| 2 · Informazioni complementari | Avanzamento della qualificazione dell’incidente | 5 giorni lavorativi dopo la prima fase | Qualificazione aggiornata, categorie e numero stimato di persone interessate, conseguenze probabili, misure adottate e previste, valutazione del rischio | Stesso indirizzo, per iscritto |
| 3 · Rapporto finale | Chiusura dell’indagine interna | 30 giorni dopo la chiusura | Cronologia completa, causa accertata, misure correttive, insegnamenti tratti | Stesso indirizzo, per iscritto |
Nessun termine di notifica diverso da quelli della tabella qui sopra è opponibile a Kalisme in virtù del presente accordo. Questo dispositivo in tre fasi è calibrato su ciò che una struttura composta da una sola persona può realmente rispettare, ed è l’unico della documentazione.
Kalisme Le presta assistenza per le Sue valutazioni d’impatto sulla protezione dei dati e per le Sue consultazioni preventive (articoli 35 e 36 del RGPD, articoli 22 e 23 della LPD), nei limiti delle informazioni di cui dispone. La valutazione d’impatto effettuata da Kalisme sui propri trattamenti Le è comunicabile su richiesta, alle condizioni del livello 1 dell’articolo 11.
Al termine della prestazione, e secondo la Sua scelta espressa per iscritto, Kalisme cancella o Le restituisce i dati del perimetro A entro un termine di 30 giorni, e distrugge le copie esistenti, salvo obbligo legale di conservazione (articolo 28, paragrafo 3, lettera g, del RGPD).
Lei esprime questa scelta per iscritto al più tardi 15 giorni dopo il termine della prestazione. In mancanza, i dati sono cancellati. La restituzione avviene sotto forma di file in formato CSV, trasmessi tramite un link di download protetto e a durata limitata; ogni altra forma è oggetto di un preventivo.
A questo termine si applicano due riserve, una contrattuale e l’altra tecnica.
Il registro di amministrazione non è interessato dalla cancellazione a 30 giorni. Con la firma del presente accordo, Lei dà istruzione a Kalisme di conservarlo integralmente, in una tabella non modificabile, per la durata indicata nell’allegato 1. Oltre il termine della prestazione, Kalisme lo conserva inoltre per proprio conto, ai fini della prova dell’esecuzione del contratto e dell’accertamento, dell’esercizio o della difesa di diritti in sede giudiziaria. L’accesso a questo registro è limitato al titolare di Kalisme. Nessuna riduzione, nessuna espunzione e nessuna riscrittura parziale delle sue righe è possibile: gli stessi trigger della base di dati che gli conferiscono il suo valore probatorio vietano qualsiasi aggiornamento. Una clausola che promettesse di togliere righe o campi da questo registro a una data scadenza sarebbe inattuabile, e non ne figura alcuna né nel presente accordo né nelle condizioni generali di vendita.
La cancellazione resta essenzialmente un’operazione manuale. Misurato sulla piattaforma di amministrazione il 26.08.2026, poi il 09.10.2026: un solo dato è cancellato automaticamente, l’indirizzo e-mail degli inviti individuali, trenta giorni dopo la fine del contratto. Gli altri dati del perimetro A e la loro esportazione non hanno alcuna routine automatizzata: per essi, il termine di 30 giorni è un impegno contrattuale rispettato manualmente, non un meccanismo implementato. Questo limite è dichiarato qui anziché scoperto più tardi.
Kalisme dimostra il rispetto dei propri obblighi ai sensi dell’articolo 28 del RGPD e dell’articolo 9 della LPD svizzera secondo un dispositivo a quattro livelli, dal più leggero al più impegnativo. L’accesso a un livello presuppone che il livello precedente sia stato portato a termine e non sia bastato a rispondere alla Sua richiesta, salvo per il livello 4 nei casi in cui si apre direttamente (violazione dei dati accertata che riguardi il perimetro A, o obbligo di legge che lo imponga).
Livello 1, documentazione. Si divide in due serie di documenti, che non seguono lo stesso regime.
Documenti pubblici, trasmessi senza condizioni né impegni. L’autovalutazione CAIQ v4.1 della Cloud Security Alliance (283 domande) è pubblicata nel registro pubblico STAR della Cloud Security Alliance, all’indirizzo https://cloudsecurityalliance.org/star/registry/kalisme/services/kalisme. Lei può consultarla e scaricarla liberamente, senza richiesta preventiva, senza attesa e senza contropartita. Kalisme non vi associa alcun obbligo di riservatezza: un impegno di questo tipo sarebbe inopponibile su un documento che chiunque può scaricare.
Documenti interni, trasmessi dietro impegno scritto. Su semplice richiesta scritta, Kalisme Le trasmette il registro delle attività di trattamento, la valutazione d’impatto relativa a Kal AI e l’allegato dei sub-responsabili del trattamento, entro 5 giorni lavorativi. Questi documenti descrivono il dispositivo di sicurezza e i sub-responsabili di Kalisme: Lei si impegna per iscritto, prima della loro trasmissione, a utilizzarli soltanto ai fini della Sua valutazione di conformità, a non divulgarli a un terzo diverso da un consulente o da un revisore vincolato dallo stesso obbligo, e a trattarli con la stessa cura delle Sue informazioni riservate.
Questo livello non è soggetto ad alcun limite di frequenza e non comporta alcun costo per Lei: si tratta di documenti già redatti e mantenuti aggiornati. Dà accesso al livello 2 se, dopo la lettura, una domanda precisa non vi trova risposta.
Livello 2, questionario scritto mirato. Lei invia per iscritto domande precise, non coperte dai documenti del livello 1, riguardanti esclusivamente il perimetro A. Kalisme risponde per iscritto, punto per punto, entro un termine di 20 giorni lavorativi dalla loro ricezione. Questo livello è aperto una volta per periodo di 12 mesi, salvo il sopravvenire di un fatto nuovo (violazione dei dati, cambiamento significativo dell’architettura). Il tempo dedicato da Kalisme è a carico di Kalisme nel limite di 5 ore; oltre, il tempo supplementare è fatturato alla tariffa oraria IVA esclusa che Kalisme Le indica per iscritto, con una stima del tempo, prima di impiegarlo; senza il Suo accordo scritto su tale tariffa, Kalisme non lo impiega e il livello si ferma alle 5 ore a suo carico. Lei si impegna per iscritto a trattare come riservate le risposte ricevute. Questo livello dà accesso al livello 3 se le risposte scritte lasciano sussistere un dubbio motivato, o se la Sua domanda richiede una dimostrazione dal vivo anziché una descrizione scritta.
Livello 3, sessione di verifica a distanza. Kalisme organizza un colloquio in videoconferenza con il suo titolare, comprendente una condivisione dello schermo dei controlli tecnici e organizzativi descritti nell’allegato 2 del presente accordo, senza accesso ai dati di produzione e senza accesso ad alcun dato di un altro cliente. La sessione è organizzata entro 30 giorni dalla Sua richiesta. Questo livello è aperto una volta per periodo di 12 mesi. Ciascuna parte sostiene le proprie spese di partecipazione; il tempo di Kalisme oltre due ore di sessione è fatturato alla tariffa oraria del livello 2. Lei si impegna per iscritto alla riservatezza e a non registrare la sessione senza l’accordo espresso di Kalisme. Questo livello dà accesso al livello 4 se la sessione fa emergere un dubbio serio e documentato sul rispetto di un obbligo dell’articolo 28 del RGPD o dell’articolo 9 della LPD, o se interviene a seguito di una violazione dei dati accertata che riguardi il perimetro A ai sensi dell’articolo 33 del RGPD.
Livello 4, ispezione o audit da parte di un terzo incaricato, a distanza. Con un preavviso scritto di almeno 30 giorni, Lei può far eseguire un’ispezione o un audit approfondito, da Lei stessa o da un revisore terzo che Lei incarica. Questo livello si apre normalmente dopo il livello 3, ma si apre direttamente, senza passare dai livelli da 1 a 3, nei due casi indicati all’inizio del presente articolo: una violazione dei dati accertata che riguardi il perimetro A, o un obbligo di legge che imponga l’accesso a questo livello. Questo livello è strettamente limitato al perimetro A: l’amministrazione delle utenze e i sistemi che la servono. Esclude espressamente l’accesso ai sistemi e ai dati del perimetro B (Kal AI, taccuino, Le Cercle), ed esclude allo stesso modo qualsiasi dato relativo a un altro cliente, poiché Kalisme gestisce una piattaforma condivisa. Questo livello non dà accesso ai locali dei fornitori di hosting di Kalisme (OVH, Hetzner): Kalisme stessa non vi detiene alcun accesso fisico da trasmettere. Poiché Kalisme non gestisce alcun locale professionale, l’ispezione si svolge a distanza, su documenti e su schermo condiviso. Le spese di questo livello, compreso il tempo dedicato da Kalisme, alla tariffa oraria del livello 2, sono interamente a Suo carico. Questo livello è aperto una volta per periodo di 12 mesi, salvo violazione dei dati accertata che riguardi il perimetro A, sopravvenuta nei 12 mesi precedenti, che dà diritto a un’occorrenza supplementare. Prima di qualsiasi accesso, il revisore incaricato firma un impegno scritto di riservatezza; la bozza di rapporto è comunicata a Kalisme per la correzione dei fatti prima di qualsiasi diffusione, e il rapporto non nomina alcun altro cliente di Kalisme.
| Livello | Ciò che Lei ottiene | Termine di risposta | Frequenza massima | Costo | Evento che apre il livello successivo | Riservatezza |
|---|---|---|---|---|---|---|
| 1a · Documento pubblico | Autovalutazione CAIQ v4.1 (283 domande), nel registro pubblico STAR della Cloud Security Alliance | Immediato, ad accesso libero | Illimitata | Nessuno | Una domanda precisa resta senza risposta | Nessun impegno, il documento è pubblico |
| 1b · Documenti interni | Registro delle attività di trattamento, valutazione d’impatto Kal AI, allegato dei sub-responsabili del trattamento | 5 giorni lavorativi | Illimitata | A carico di Kalisme | Una domanda precisa resta senza risposta in questi documenti | Impegno scritto preventivo: uso limitato alla Sua valutazione di conformità, nessuna divulgazione a un terzo salvo consulente o revisore vincolato dallo stesso obbligo |
| 2 · Questionario scritto mirato | Risposte scritte, punto per punto, alle Sue domande non coperte dal livello 1 | 20 giorni lavorativi | 1 volta per periodo di 12 mesi (salvo fatto nuovo) | A carico di Kalisme fino a 5 ore, oltre tariffa oraria indicata per iscritto e accettata | Dubbio motivato dopo la lettura, o necessità di una dimostrazione dal vivo | Impegno scritto di riservatezza sulle risposte ricevute |
| 3 · Sessione di verifica a distanza | Colloquio in videoconferenza, condivisione dello schermo dei controlli dell’allegato 2, senza accesso ai dati di produzione | 30 giorni per organizzarla | 1 volta per periodo di 12 mesi | Ciascuno le proprie spese di partecipazione; oltre 2 ore, tariffa oraria del livello 2 per Kalisme | Dubbio serio e documentato, o audit conseguente a una violazione accertata (articolo 33 del RGPD) | Impegno scritto di riservatezza, nessuna registrazione senza accordo espresso di Kalisme |
| 4 · Ispezione o audit da parte di un terzo incaricato, a distanza | Ispezione o audit approfondito, limitato al perimetro A, a distanza, su documenti e su schermo condiviso | Preavviso scritto di 30 giorni | 1 volta per periodo di 12 mesi (più un’occorrenza in caso di violazione accertata nei 12 mesi precedenti) | Interamente a Suo carico, compreso il tempo di Kalisme | (ultimo livello) | Impegno scritto di riservatezza firmato dal revisore, bozza di rapporto sottoposta a correzione dei fatti, rapporto finale anonimizzato rispetto agli altri clienti |
Perché questi due termini si discostano dal sistema dei termini del presente accordo. I termini di 5 e di 20 giorni lavorativi sono termini di risposta di Kalisme, mai termini opposti a Lei. Sono più brevi dei 30 giorni che reggono il resto della documentazione perché riguardano documenti già redatti o risposte scritte, e si computano in giorni lavorativi perché Kalisme è una struttura composta da una sola persona, la cui disponibilità segue i giorni lavorativi del diritto svizzero. La frequenza di una volta per periodo di 12 mesi non è un termine ma un limite d’uso.
Prerogative dell’autorità di controllo preservate. Il presente dispositivo a quattro livelli non si applica ai controlli svolti da un’autorità di controllo competente, in virtù dei poteri di indagine e correttivi che le conferisce l’articolo 58 del RGPD, o in virtù del potere di aprire un’inchiesta che l’articolo 49 della LPD conferisce all’Incaricato federale della protezione dei dati e della trasparenza: un tale controllo si esercita secondo le regole proprie dell’autorità interessata, senza preavviso, senza limiti di frequenza e senza ripartizione dei costi come descritta sopra.
Kalisme non detiene a oggi alcuna certificazione SOC 2 né ISO 27001, come l’allegato 2 ribadisce nei suoi limiti dichiarati. Un percorso di questo tipo sarà avviato se l’attività lo giustifica. È proprio ciò che il livello 1 di questo dispositivo colma nel frattempo.
Il presente accordo si applica per tutta la durata della prestazione e le sopravvive finché Kalisme detiene dati appartenenti al perimetro A, compresa la durata di conservazione del registro di amministrazione prevista nell’allegato 1.
Se l’attività oggetto del presente accordo è rilevata da una società di diritto svizzero da costituire, controllata da Hakan Kaynar e che prosegue la stessa attività («la Società subentrante»), si applicano le disposizioni seguenti, a complemento dei capoversi «Cessione» e «Trasferimento a una società che rileva l’attività» dell’articolo 12 delle condizioni generali di vendita.
1. Continuità delle istruzioni documentate. La Società subentrante assume, alla data di efficacia del trasferimento, la posizione di responsabile del trattamento ai sensi dell’articolo 28, paragrafo 1, del RGPD in virtù del presente accordo, alle stesse condizioni, per i trattamenti del perimetro A descritti nell’allegato 1. Le istruzioni documentate in vigore a tale data restano applicabili finché il Titolare del trattamento non ne impartisce di nuove.
2. Notifica preventiva. Kalisme informa il Titolare del trattamento per iscritto, almeno 30 giorni prima della data di efficacia, all’indirizzo di riferimento indicato nel blocco «Tra» e a quello dell’account amministratore del portale, della forma giuridica, della ragione sociale, della sede e del numero d’identificazione delle imprese (IDI) della Società subentrante, nonché della data di efficacia prevista. Questa notifica vale come informazione preventiva ai sensi del capoverso «Trasferimento a una società che rileva l’attività» dell’articolo 12 delle condizioni generali di vendita.
3. Facoltà di opposizione. Il Titolare del trattamento può opporsi al trasferimento nelle forme e nei termini del capoverso «Trasferimento a una società che rileva l’attività» dell’articolo 12 delle condizioni generali di vendita, che soli si applicano; l’articolo 6 del presente accordo non si applica a questo trasferimento. In mancanza di opposizione entro tali termini, il trasferimento si considera accettato alla data di efficacia annunciata.
4. Mantenimento delle misure tecniche e organizzative. La Società subentrante mantiene, senza interruzione, le misure descritte nell’allegato 2, fino alla loro rivalutazione o sostituzione alle condizioni dell’articolo 4.
5. Aggiornamento dell’allegato dei sub-responsabili del trattamento. L’allegato 3 è aggiornato per riflettere, se del caso, ogni cambiamento di sub-responsabile del trattamento derivante dal trasferimento, in particolare un cambiamento del fornitore di hosting, secondo la procedura dell’articolo 6. Il solo cambiamento d’identità del responsabile del trattamento principale disciplinato dal presente articolo non comporta, di per sé, alcuna modifica dell’allegato 3.
6. Informazione del responsabile della protezione dei dati. Quando il Titolare del trattamento ha compilato la riga «Responsabile della protezione dei dati» del blocco «Tra», tale responsabile è informato alla stessa data della notifica prevista al punto 2.
7. In caso di opposizione. Il presente accordo prosegue con Kalisme per la durata residua prevista dal contratto principale, alle condizioni del capoverso «Trasferimento a una società che rileva l’attività» dell’articolo 12 delle condizioni generali di vendita, senza rinnovo.
8. Continuità dei prezzi e degli impegni. Nessuno degli eventi di cui al presente articolo comporta novazione, cessazione, rinegoziazione né revisione del prezzo. La nuova ragione sociale e il numero d’identificazione delle imprese della Società subentrante figurano sulle fatture dalla data di efficacia.
9. Qualificazione. Rispetto al RGPD, il presente accordo, trasferito con il contratto, vincola la Società subentrante e costituisce il contratto richiesto dall’articolo 28, paragrafo 3, del RGPD. In diritto svizzero, il fondamento è quello dell’articolo 12 delle condizioni generali di vendita: il Suo consenso dato anticipatamente alla cessione dei crediti e all’assunzione dei debiti (art. 164 cpv. 1 e 176 CO), o un trasferimento di patrimonio (art. 69 segg. LFus).
Il presente accordo e i suoi allegati sono redatti e firmati in francese. Ogni traduzione è fornita a titolo informativo; in caso di divergenza, fa fede esclusivamente la versione francese.
Il perimetro A comprende quattro trattamenti distinti, le cui durate di conservazione non sono le stesse.
| Oggetto | Assegnazione, attivazione, gestione e liberazione delle utenze |
| Finalità | Permettere ai Suoi collaboratori di accedere al servizio che Lei finanzia |
| Persone interessate | Collaboratori designati da Lei, amministratori del portale |
| Dati | Indirizzo e-mail professionale, codice e token di attivazione (conservati sotto forma di impronta, mai in chiaro), stato dell’utenza, marche temporali di assegnazione, di attivazione e di liberazione, e, per ciascun dispositivo su cui l’utenza è aperta (al massimo 10), la data della sua apertura |
| Stato dell’utenza | Tre valori, e soltanto tre: assegnata, attivata, liberata |
| Dati sensibili | Nessuno |
| Decisione automatizzata | Nessuna ai sensi dell’articolo 22 del RGPD |
| Durata di conservazione | Durata del contratto, più 30 giorni (articolo 10 del presente accordo, in applicazione dell’articolo 28, paragrafo 3, lettera g, del RGPD) |
Un’unica serie di denominazioni per tutta la documentazione. I tre stati qui sopra sono definiti nel preambolo, sezione «Lettura dei termini e del vocabolario», e sono i soli usati nelle condizioni generali di vendita, nel presente accordo e nella carta di non utilizzo manageriale. I valori interni della base di dati non escono da alcun documento tecnico e quindi non figurano in nessuno dei documenti che Le vengono consegnati.
Ciò che Kalisme non raccoglie in questo trattamento: né funzione, né reparto, né posizione gerarchica, né orari, né contenuti, né statistiche d’uso individuale.
| Oggetto | Registro delle azioni di amministrazione: assegnazione e liberazione di un’utenza, invio di un invito, accesso di un amministratore |
| Finalità | Dimostrare il rispetto degli obblighi di sicurezza e di tracciabilità, e fornire la prova dell’esecuzione del contratto |
| Persone interessate | Amministratori del portale, collaboratori titolari di un’utenza |
| Dati | Identificativo dell’organizzazione, identificativo dell’autore dell’azione, natura dell’azione, destinatario, marca temporale, indirizzo IP dell’autore |
| Durata di conservazione | 5 anni dall’iscrizione della riga |
Perché una durata distinta da quella del trattamento A1, e perché proprio questa. Si cumulano due fondamenti, entrambi indicati.
Due aspetti sono stati ponderati, e la durata di 5 anni è adottata. In primo luogo, la prescrizione ordinaria dell’articolo 127 del Codice delle obbligazioni è di 10 anni: si applicherebbe a un’azione di risarcimento del danno fondata sull’esecuzione del presente accordo, e porterebbe a una durata due volte più lunga. La scelta tra 5 e 10 anni oppone il valore probatorio alla minimizzazione richiesta dall’articolo 5, paragrafo 1, lettere c ed e, del RGPD; la durata di 5 anni è adottata perché è la sola delle due a poggiare su un fondamento compatibile con tale minimizzazione, e perché la responsabilità di Kalisme è peraltro limitata (articolo 10 delle condizioni generali di vendita). In secondo luogo, il registro non è un documento contabile: i documenti contabili sono le fatture, soggette dal canto loro alla conservazione di 10 anni dell’articolo 958f capoverso 1 del Codice delle obbligazioni, presso Kalisme e il suo fornitore di fatturazione, al di fuori del presente accordo.
Limite tecnico dichiarato, misurato il 26.08.2026. La tabella del registro è rigorosamente non modificabile: trigger della base di dati vietano l’aggiornamento, la cancellazione e lo svuotamento, anche al ruolo applicativo proprietario della tabella, affinché la concatenazione di impronte che le conferisce il suo valore probatorio non possa essere riscritta. Ne derivano due conseguenze, scritte anziché taciute. Da un lato, nessuna riduzione del registro nel tempo è possibile: né rimozione degli indirizzi e-mail, né rimozione degli identificativi di persona, né espunzione parziale delle righe già iscritte. Il registro si conserva per intero o non si conserva affatto, e l’accesso è limitato al titolare di Kalisme. Dall’altro, l’eliminazione al termine della durata sopra adottata presuppone un intervento di amministrazione della base di dati, con un account privilegiato; tale eliminazione oggi non esiste, cosicché la durata sopra indicata è un impegno e non un meccanismo in funzione.
| Oggetto | Documento depositato dal Cliente a sostegno di una richiesta di tariffa ridotta (organizzazione senza scopo di lucro, istituto d’istruzione, struttura sanitaria) |
| Finalità | Verificare a posteriori il diritto alla tariffa ridotta, conformemente all’articolo 4 delle condizioni generali di vendita |
| Persone interessate | Persone nominate nel documento depositato: firmatari, dirigenti, responsabili menzionati |
| Dati | Nome del file, tipo, dimensione, impronta, data di deposito, data ed esito della decisione, e il contenuto del documento stesso, la cui composizione Kalisme non controlla poiché è il Cliente a sceglierlo |
| Dati sensibili | Possibili, secondo il documento depositato. Un’autorizzazione sanitaria o uno statuto di associazione possono rivelare dati che rientrano nell’articolo 9 del RGPD |
| Durata di conservazione | Documento mai collegato a una sottoscrizione: 7 giorni. Documento collegato: durata del contratto, più 12 mesi |
Termine della verifica. L’articolo 4 delle condizioni generali di vendita fissa il termine e gli effetti della verifica, che può ripetersi a ogni periodo; il presente trattamento li segue senza ripeterli.
Fondamento delle due durate, scritto perché si discostano dal sistema dei termini della documentazione. I 7 giorni sono una misura in funzione e misurata il 26.08.2026: un comando di amministrazione cancella il file e la relativa riga quando il documento non è stato rivendicato né da un’intenzione d’acquisto né da un’organizzazione, oltre tale termine. Un documento che nessuno reclama non ha alcuna ragione di attendere 30 giorni. I 12 mesi dopo la fine del contratto corrispondono all’ultimo periodo fatturato che il documento giustifica, cosicché una contestazione della tariffa applicata possa ancora ricevere risposta; oltre, il documento non ha più ragione di essere conservato alla luce dell’articolo 5, paragrafo 1, lettere c ed e, del RGPD.
Misure proprie di questo trattamento, verificate nel codice il 26.08.2026: la base di dati contiene soltanto un riferimento e un’impronta, il file risiede in uno spazio di archiviazione privato senza alcuna URL pubblica possibile, è servito soltanto da un controller riservato a Kalisme, e non è mai esposto nella dashboard dell’organizzazione. Nessuna eliminazione è in funzione per i documenti collegati: la durata di 12 mesi è, come quella del registro, un impegno e non un meccanismo.
Qualificazione: Kalisme è titolare di questo trattamento. La verifica del documento giustificativo serve l’interesse proprio di Kalisme (applicare il prezzo corretto), e Kalisme ne determina da sola le finalità e i mezzi: è il ruolo del titolare del trattamento ai sensi dell’articolo 4, punto 7, del RGPD, e non del responsabile del trattamento. Questo trattamento non rientra quindi nell’articolo 28 del RGPD, e le istruzioni dell’articolo 2 non vi si applicano. È descritto qui, nel documento che Lei firma, a titolo informativo, perché è Lei a depositare il documento e deve conoscerne la sorte; figura nel registro delle attività di trattamento di Kalisme.
| Oggetto | Indagini volontarie e anonime che Lei avvia dal Suo portale (all’avvio, a trenta e a novanta giorni durante un pilota, o alla data di Sua scelta), tramite un link comune, senza login né indirizzo e-mail |
| Finalità | Restituirle, in forma aggregata, l’accoglienza del servizio da parte dei Suoi collaboratori e, durante un pilota, constatare i criteri di successo convenuti con Lei |
| Persone interessate | Collaboratori che scelgono di rispondere, amministratori del portale che avviano un’indagine |
| Dati | Risposte alle domande chiuse (scale e scelte), due risposte libere di al massimo 1.000 caratteri, lingua della risposta e giorno della risposta, mai l’ora; per ogni indagine, l’organizzazione, la data di avvio e di chiusura, l’amministratore che l’ha avviata e il numero di persone invitate da Lei dichiarato |
| Dati sensibili | Sì per le indagini di avvio e dei novanta giorni di un pilota, che comprendono due scale facoltative di benessere e di stress; possibili inoltre nelle risposte libere, il cui contenuto Kalisme non controlla: una persona può scriverci ciò che vuole, su di sé o su un terzo |
| Decisione automatizzata | Nessuna ai sensi dell’articolo 22 del RGPD |
| Durata di conservazione | Risposte individuali: 90 giorni dopo la chiusura dell’indagine. Risultato aggregato e sintesi: insieme agli altri dati del perimetro A (articolo 10) |
Ciò che Kalisme non registra in questo trattamento: Kalisme non registra nella base di dati né indirizzo IP, né identificativo di persona, di utenza, di dispositivo o di sessione, né l’ora della risposta. Il numero di risposte per indirizzo è limitato per impedire gli abusi, mediante una chiave derivata dall’indirizzo, conservata in una memoria temporanea e che scade da sé; non è mai scritta nella base di dati.
Ciò che Lei riceve, e ciò che non riceve. Lei non legge mai una risposta individuale. Il portale Le mostra un risultato aggregato, e nessun risultato per un indicatore che conti meno di dieci rispondenti. Le risposte libere non Le sono mai trasmesse: soltanto Kalisme le legge, e Le consegna una sintesi per temi, scritta da una persona, di al massimo 4.000 caratteri.
Misure proprie di questo trattamento, verificate nel codice il 16.10.2026: la cancellazione delle risposte individuali a 90 giorni è un comando di amministrazione, previsto per essere eseguito ogni giorno sul server; finché la sua esecuzione non è constatata in produzione, questa durata è un impegno, come quella del registro.
Qualificazione: per questo trattamento Kalisme è responsabile del trattamento, escluse le due scale di benessere e di stress descritte qui sotto. Lei avvia l’indagine, e la lettura delle risposte libere come la loro sintesi sono la prestazione che Lei ordina: Kalisme le svolge per Suo conto (articolo 4, punto 8, del RGPD). Durante un pilota, la constatazione dei criteri di successo serve anche l’interesse di Kalisme, ma riguarda soltanto il risultato aggregato, che esiste solo a partire da dieci rispondenti: tale risultato non permette di identificare nessuno, e il suo uso non è un trattamento di dati personali distinto.
Le due scale di benessere e di stress non rientrano nel trattamento svolto per Suo conto. Sono poste nelle indagini di avvio e dei novanta giorni di un pilota, ciascuna facoltativa per chi risponde. Lei non ne riceve alcun risultato: né media, né distribuzione, né soglia. Kalisme tratta le risposte a queste due scale per proprio conto, in qualità di titolare del trattamento ai sensi dell’articolo 4, punto 7, del RGPD e dell’articolo 5, lettera j, della LPD, al solo scopo di pubblicarne medie calcolate sull’insieme dei piloti, senza il nome di alcuna organizzazione. Kalisme calcola tali medie prima della cancellazione delle risposte individuali prevista sopra, non ne pubblica alcuna al di sotto della soglia di dieci rispondenti, e pone queste due scale soltanto dopo una risposta scritta della commissione cantonale d’etica della ricerca che ne permetta la somministrazione. Le risposte della Sua organizzazione non entrano in queste medie se Lei vi si oppone per iscritto, come prevede la convenzione del pilota. Kalisme iscrive questo trattamento nel proprio registro delle attività di trattamento.
Misure applicabili al perimetro A. Le misure che proteggono il perimetro B non sono obblighi che Lei potrebbe far valere ai sensi dell’articolo 28 del RGPD: sono descritte nell’informativa menzionata nel preambolo.
| Ambito | Misura |
|---|---|
| Cifratura in transito | TLS su tutti i punti di accesso |
| Controllo degli accessi | Accesso all’infrastruttura tramite chiave, limitato al titolare. Autenticazione a due fattori sulle console dei fornitori. Accesso degli amministratori del portale tramite link monouso, che scade dopo 15 minuti e di cui è conservata soltanto l’impronta, o tramite password; quando l’amministratore ha aggiunto un secondo fattore, questo è richiesto a ogni accesso, anche tramite link, salvo su un dispositivo che egli ha dichiarato attendibile |
| Token e segreti | Nessun segreto in chiaro nella base di dati: codici d’invito e token di accesso conservati sotto forma di impronta. Rotazione del token di accesso a ogni rinnovo, il che rende rilevabile il riutilizzo di un vecchio token |
| Separazione degli identificativi | Identificativi non deducibili su tutte le tabelle, identificativo dell’organizzazione estratto a sorte e non derivato da un nome |
| Registro di amministrazione | Registro in sola aggiunta, concatenato tramite impronte, protetto da trigger della base di dati che vietano l’aggiornamento, la cancellazione e lo svuotamento, anche al ruolo applicativo |
| Separazione dei due perimetri | Tre misure, di cui due sono accertate mediante lettura del codice e una mediante controprova nella base di dati di produzione: i due modi di prova non si equivalgono e non sono presentati come equivalenti. Verificato nel codice il 26.08.2026: la chiamata di attivazione di un’utenza trasmette soltanto il codice e la chiamata di rinnovo soltanto il token (modulo di attivazione delle utenze dell’applicazione); l’identificativo d’installazione usato dalla misurazione dell’audience non esce dal modulo di telemetria, non compare in alcun altro file dell’applicazione, e questo modulo non conosce né le utenze né le organizzazioni (modulo di misurazione dell’audience dell’applicazione). Constatato nella base di dati di produzione il 25.08.2026: la sola colonna che poteva collegare un’utenza a un dispositivo è stata eliminata dalla base di dati di produzione, colonna assente e utenze esistenti intatte. Questa terza misura non si legge nel codice: una lettura del codice mostra ciò che il repository chiede, non ciò che la produzione ha eseguito, ed è la controprova nella base di dati ad attestarla |
| Backup e ripristino | Backup giornaliero della piattaforma di amministrazione delle utenze, cifrato e accompagnato da un’impronta. Esercizio di ripristino settimanale: l’ultimo backup è decifrato e ripristinato in una base di dati temporanea, le tabelle chiave e i loro volumi sono verificati, l’aggiornamento è controllato, poi la base di dati è eliminata. Un fallimento fa scattare un allarme anziché passare sotto silenzio |
| Controlli automatizzati | Batteria di controlli statici eseguita ogni notte sulla versione pubblicata, suite di test automatizzati eseguita sulla stessa base |
| Minimizzazione nella visualizzazione | Vedi il testo di riferimento sotto la tabella: elenca le tre superfici del portale, ciò che ciascuna mostra e ciò che non mostra. L’informativa del perimetro B descrive le stesse tre superfici, gli stessi tre elementi nominativi e le stesse tre grandezze aggregate, dal punto di vista del collaboratore |
Minimizzazione nella visualizzazione, testo di riferimento. Il portale comprende tre superfici, e soltanto tre.
(1) La tabella nominativa delle utenze. Mostra, per ogni utenza, tre elementi: l’indirizzo e-mail professionale del collaboratore, lo stato della sua utenza (assegnata, attivata, liberata) e la data di tale stato. Se ne aggiunge un quarto, per la sola utenza aperta su più di un dispositivo: il numero di tali dispositivi e la data di apertura di ciascuno, affinché il Cliente possa chiudere un dispositivo smarrito senza liberare l’utenza. Quando l’utenza è stata aperta tramite un link del team e non tramite un invito nominativo, non figura alcun indirizzo: la riga reca soltanto la dicitura «Collaboratore (link del team)». Non contiene: contenuti scritti o dettati dal collaboratore, durata d’uso, frequenza di apertura, orari di connessione, argomenti trattati, punteggi, indicatori di umore, di benessere o di rischio, né alcuna colonna d’uso di qualsiasi natura.
L’invio di un invito non è un quarto elemento di questa tabella, e la sua assenza qui non è una dimenticanza: è un’azione di amministrazione, iscritta nel registro del trattamento A2 dell’allegato 1, il cui accesso è limitato al titolare di Kalisme conformemente all’articolo 10. È il motivo per cui il trattamento A1 dell’allegato 1 non la elenca neppure tra i dati dell’amministrazione delle utenze: il presente testo e tale allegato elencano gli stessi elementi.
(2) La pagina di engagement. Compare soltanto per un’organizzazione con 20 utenze acquistate o più, mostra le sue grandezze soltanto a partire da 20 utenze attivate e non restituisce alcuna cella che riguardi meno di 10 persone. Queste due soglie sono mostrate al Cliente sulla pagina stessa. Presenta tre grandezze aggregate, e soltanto tre: il numero di utenze attivate, il numero totale di utenze acquistate, e il tasso di adozione che rapporta il primo al secondo. Nessun dato proveniente dalla misurazione dell’audience vi è collegato, poiché il relativo livello di restituzione non è allacciato. Non vi figura alcun indicatore di stato, di umore, di benessere o di rischio, e Kalisme si impegna a non aggiungerne alcuno. Kalisme si impegna inoltre a non allacciare il livello di restituzione proveniente dalla misurazione dell’audience, e a non presentarLe alcun suo valore, per tutta la durata del contratto.
(3) La scheda Indagini. Contiene le indagini facoltative e anonime che il Cliente avvia presso i propri collaboratori, tramite un link comune: senza login, senza indirizzo, senza identificativo di utenza, di persona o di dispositivo, senza indirizzo IP registrato, e con il solo giorno della risposta, mai l’ora. Il numero di risposte a un’indagine non può superare il numero di persone invitate. I risultati compaiono soltanto alla chiusura dell’indagine, affermazione per affermazione, ad eccezione delle due scale di benessere e di stress, di cui nessun risultato è restituito al Cliente (allegato 1, A4), come distribuzione delle risposte, mai come media, e nessuna casella che riguardi meno di 10 persone è quantificata. Le risposte in testo libero non sono mai mostrate al Cliente: Kalisme le legge e gli consegna soltanto una sintesi per temi. Le risposte grezze sono cancellate 90 giorni dopo la chiusura; sono conservati soltanto i risultati aggregati dell’indagine.
Limiti dichiarati, anziché taciuti. Kalisme è una struttura composta da una sola persona. Non esistono né reperibilità 24 ore su 24, né separazione dei compiti, né team di sicurezza dedicato. La continuità poggia sul backup e sulla riproducibilità dell’infrastruttura, non sulla ridondanza umana. Il backup del perimetro A è messo alla prova ogni settimana con un ripristino reale, il che non è un piano di ripresa ma vale più di un backup mai ripristinato. Nessuna eliminazione automatizzata è in funzione per la fine del contratto (articolo 10), per il registro né per i documenti giustificativi collegati (allegato 1). Kalisme non detiene a oggi alcuna certificazione SOC 2 né ISO 27001; un’autovalutazione CAIQ v4.1 è pubblicata nel registro pubblico STAR della Cloud Security Alliance (https://cloudsecurityalliance.org/star/registry/kalisme/services/kalisme), liberamente consultabile e trasmessa senza impegno di riservatezza a titolo del livello 1 dell’articolo 11.
La presente tabella fa fede alla data della firma. Cambia soltanto secondo la procedura dell’articolo 6; l’elenco mantenuto aggiornato, consegnato con il presente accordo, ne riproduce lo stato corrente.
Due sub-responsabili del trattamento riguardano il perimetro A, e soltanto essi rientrano nel campo d’applicazione del presente accordo:
| Sub-responsabile | Ruolo per il perimetro A | Hosting | Trasferimento fuori UE e fuori CH |
|---|---|---|---|
| OVH SAS | Hosting del sito e dei punti di raccolta, servizio di posta elettronica ed e-mail del portale | Francia | No |
| Hetzner Online GmbH | Piattaforma di amministrazione delle utenze (utenze, organizzazioni, registro) | Germania | No |
La fatturazione delle utenze è gestita da Stripe Payments Europe, Limited (Irlanda), con Stripe Payments UK Ltd, per conto proprio di Kalisme (articolo 7). Stripe è il fornitore di Kalisme, e non un sub-responsabile del trattamento ai sensi del presente accordo. Il trasferimento a Stripe, LLC negli Stati Uniti e il relativo meccanismo sono descritti all’articolo 7.
Gli altri fornitori che figurano in tale elenco, in particolare Amazon Web Services EMEA SARL, Anthropic PBC e Apple Inc., intervengono soltanto sul perimetro B. Non trattano alcun dato che Lei affida a Kalisme e non sono sub-responsabili del trattamento ai sensi del presente accordo. Sono menzionati qui a titolo informativo, e descritti nell’informativa menzionata nel preambolo.
Anche Google interviene soltanto sul perimetro B, per l’applicazione Android, dove occupa il posto di Apple. Non tratta alcun dato che Lei affida a Kalisme e non è un sub-responsabile del trattamento ai sensi del presente accordo. Per conto di Kalisme, Firebase Cloud Messaging fornisce il token di notifica del telefono e trasporta il messaggio che risveglia Le Cercle, senza mittente, senza testo e senza nome; secondo Google, questo servizio può trattare tali dati ovunque Google o i suoi agenti dispongano di strutture, compresi gli Stati Uniti, e il trasferimento si fonda sulla certificazione di Google LLC al Data Privacy Framework UE-Stati Uniti e Svizzera-Stati Uniti. Google Play gestisce gli acquisti, secondo la propria politica; per il programma di invito, il server di Kalisme fa verificare da Google i token d’acquisto che l’applicazione gli trasmette e, per il mese offerto a chi invita ed è abbonato, fa posticipare da Google la fatturazione del suo abbonamento. Play Integrity, un servizio di Google Play, consegna all’applicazione un token che attesta che si tratta dell’applicazione autentica, riconosciuta da Google Play. L’applicazione lo richiede prima di inviare messaggi al compagno Kal senza un’utenza Kalisme Pro, e il server di Kalisme lo fa decifrare da Google; con un’utenza attivata, la richiesta reca il token dell’utenza e Play Integrity non è interpellato per il compagno. L’applicazione lo allega anche ai suoi scambi con il server del programma di invito. Questo token non contiene né il nome né l’indirizzo e-mail della persona, né ciò che scrive. Il backup di Android può includere il taccuino cifrato, mai la sua chiave. Può includere anche le preferenze dell’applicazione, tra cui la cronologia della conversazione con Kal, senza cifratura a livello dell’applicazione. Per Google Play, da cui dipendono la verifica degli acquisti e il posticipo della fatturazione, e per Play Integrity, Google agisce, secondo le proprie condizioni, come titolare autonomo del trattamento rispetto a Kalisme, e non come responsabile del trattamento. Per le persone che si trovano nello Spazio economico europeo o in Svizzera, il titolare finale per Google è Google Ireland Limited, in Irlanda, paese adeguato: secondo tali condizioni, ciò che Kalisme le trasmette non richiede clausole contrattuali tipo. Per i propri trasferimenti verso gli Stati Uniti, Google si basa sulla certificazione di Google LLC al Data Privacy Framework e sulle clausole contrattuali tipo della Commissione europea.
Il compagno conversazionale, dal 24.09.2026. Per i Suoi collaboratori è servito di default nell’Unione europea, da Amazon Web Services EMEA SARL (Lussemburgo, servizio Amazon Bedrock), senza conservazione dei messaggi né delle risposte. Il meccanismo contrattuale è l’accordo sul trattamento dei dati di AWS, integrato nelle sue condizioni di servizio, che applica le clausole contrattuali tipo della Commissione europea (versione di giugno 2021) a ogni trasferimento al di fuori dello Spazio economico europeo, con un addendum svizzero. Questo trattamento è accompagnato da una riserva: AWS appartiene a un gruppo americano, esposto al Cloud Act. Anthropic PBC riceve i messaggi dei Suoi collaboratori, negli Stati Uniti, soltanto se la Sua organizzazione rinuncia all’opzione europea, scelta che rientra nella configurazione del servizio sottoscritto e non in un’istruzione su questo trattamento.