Sicurezza e compliance
Come trattiamo i tuoi documenti, su quale base legale, e cosa il sistema si rifiuta di fare.
Come funziona il trattamento
Il cliente resta titolare dei propri documenti: li carica, li rimuove, decide chi vi accede. Kvbo tratta quei documenti solo su sua istruzione documentata, come responsabile del trattamento ai sensi dell’articolo 28 del GDPR — e il DPA che lo formalizza è firmato prima che qualunque documento venga caricato, anche in fase pilota, non dopo.
La nostra valutazione è che il sistema ricada nella categoria a rischio limitato ai sensi dell’AI Act, perché elabora documentazione tecnica su istruzione del cliente, non assume decisioni automatizzate su persone, e non tratta dati biometrici né categorie particolari di dati.
Le quattro garanzie
Residenza dei dati
Interamente in Unione Europea. Applicazione, storage e indici vettoriali su server europei; inferenza LLM in Italia.
Non è un dettaglio tecnico: è la risposta alla prima domanda che fa un responsabile IT, dove viaggiano i dati in ogni fase della richiesta.
Separazione fra clienti
Ogni knowledge base è logicamente separata dalle altre.
Multi-tenant non vuol dire condiviso. I documenti di un cliente non sono mai raggiungibili, nemmeno indirettamente, dalle interrogazioni di un altro.
Addestramento dei modelli
I dati e le interrogazioni del cliente non addestrano alcun modello.
Quello che un tecnico scrive in una richiesta, o carica come documento, non diventa conoscenza disponibile per nessun altro cliente della piattaforma.
Base contrattuale
DPA ex art. 28 pronto. Trattamento documentato e svolto su istruzione del titolare.
Non un modulo da firmare a integrazione avvenuta: è la condizione che precede il primo documento caricato, pilota compreso.
Cosa il sistema non fa
Il sistema risponde solo dai documenti caricati dal cliente. Non accede a internet, non consulta altre fonti, non usa conoscenza pre-addestrata per colmare un vuoto. Quando la risposta non è nei documenti, lo dice — non la costruisce plausibile.
Cosa chiedere prima di firmare
Sono le domande da fare a chiunque proponga un sistema di intelligenza artificiale, non solo a noi. Sotto ognuna, la nostra risposta.
1 · Dove risiedono i dati?
Interamente in Unione Europea. Applicazione, storage e indici vettoriali su server europei; inferenza LLM in Italia. Nessun trasferimento fuori dallo Spazio economico europeo, backup compresi.
2 · Chi è titolare e chi responsabile?
Il cliente resta titolare dei propri dati e documenti e definisce finalità e modalità. Kvbo tratta esclusivamente su istruzione documentata e non usa i dati per finalità proprie.
3 · Il DPA è pronto prima dell’attivazione?
Sì, ed è in vigore anche durante l’eventuale fase pilota: nessun trattamento inizia senza accordo scritto.
4 · Quali subprocessor?
L’elenco completo, con sede e ruolo di ciascuno, è nel DPA. Ogni aggiunta o sostituzione va comunicata con trenta giorni di preavviso e il cliente può opporsi. Il consenso scritto preventivo è richiesto per un trasferimento fuori dallo Spazio economico europeo o per un nuovo fornitore AI che riceva dati personali.
5 · I dati addestrano modelli?
No, e non è una prassi ma un impegno contrattuale: i dati non sono né saranno usati per addestrare, perfezionare o migliorare modelli propri o di terzi, né inclusi in dataset condivisi.
6 · Come sono separati i clienti?
Segregazione logica multi-tenant: l’architettura garantisce che nessun cliente possa accedere ai dati di un altro. Ambienti di produzione, test e sviluppo separati; nessun dato reale negli ambienti di test senza anonimizzazione preventiva.
7 · Quanto si conservano log e conversazioni?
I log di accesso e applicativi si conservano ventiquattro mesi. Le interrogazioni al chatbot hanno lo stesso termine, stabilito come istruzione documentata del titolare. Alla scadenza, i dati sono cancellati o anonimizzati in modo irreversibile.
8 · Cosa succede alla cessazione?
Entro trenta giorni, cancellazione sicura e irreversibile — backup compresi — oppure restituzione in formato strutturato e leggibile da dispositivo automatico, a scelta del cliente. Con dichiarazione scritta e sottoscritta che attesta l’avvenuta cancellazione.
9 · Come si gestiscono i diritti degli interessati?
Una richiesta ricevuta da Kvbo viene comunicata al titolare entro 48 ore lavorative, senza dare seguito autonomamente. Su istruzione scritta, le operazioni tecniche si completano entro dieci giorni lavorativi.
10 · Il sistema può rispondere fuori dai documenti caricati?
No. Non accede a internet, non usa conoscenza pre-addestrata, e quando la risposta non è nei documenti lo dichiara.
11 · Le risposte indicano la fonte?
Sì, documento per documento e sezione per sezione.
12 · In quanto tempo viene notificata una violazione?
Senza ingiustificato ritardo e, ove possibile, entro 24 ore dalla conoscenza — per consentire al titolare di rispettare le 72 ore verso l’autorità di controllo.
13 · L’utente sa di interagire con un sistema automatico?
Sì. La dichiarazione è integrata nel prodotto, non aggiunta come avviso: chi apre l’assistente sa dal primo contatto che sta parlando con un sistema automatico e non con una persona. È l’obbligo dell’articolo 50 dell’AI Act, in vigore dal 2 agosto 2026, e la piattaforma vi è adeguata.
A tutte queste domande rispondiamo in fase di valutazione, con il DPA alla mano.