Accordo sul trattamento dei dati

1. Oggetto, durata, natura e finalità

Oggetto: fornire il servizio secondo le condizioni del servizio. Durata: l'abbonamento, più il tempo necessario per restituire e cancellare i dati. Natura e finalità: ospitare, cercare e trasmettere i contenuti del cliente affinché i suoi membri possano fare ricerca giuridica con un modello di IA scelto dal titolare.

Categorie di interessati: i membri del titolare e chiunque sia nominato nei contenuti che inseriscono. Tipi di dati personali: ciò che i membri inseriscono; il servizio non è progettato per categorie particolari (art. 9) né per dati relativi a reati (art. 10), e il titolare decide se inserirli.

2. Istruzioni

Trattiamo i dati personali del cliente solo su istruzioni documentate del titolare — le condizioni, il presente accordo e le impostazioni che il titolare sceglie nell'applicazione — salvo che il diritto dell'Unione o di uno Stato membro disponga diversamente; in tal caso glielo comunichiamo prima, salvo che la legge lo vieti. La avvisiamo se riteniamo che un'istruzione violi la normativa sulla protezione dei dati.

3. Riservatezza

Tutte le persone autorizzate a trattare dati personali del cliente sono vincolate alla riservatezza.

4. Misure di sicurezza

• Hosting nell'UE (Hetzner, Norimberga, Germania); cifratura in transito. I backup sono conservati sul nostro server; la copia esterna, una volta fatta, è cifrata.
• Nessun testo di domande o risposte è conservato salvo che il titolare attivi le trascrizioni; le trascrizioni sono cifrate con una chiave specifica dell'organizzazione.
• Le chiavi dei fornitori di IA sono sigillate al salvataggio; in seguito l'applicazione ne mostra solo gli ultimi quattro caratteri.
• Accesso per ruoli all'interno dell'organizzazione; passkey e secondi fattori supportati; single sign-on a livello di organizzazione tramite il fornitore di identità dell'organizzazione stessa (Microsoft Entra ID, Google, Okta o qualsiasi fornitore OpenID Connect), una volta che l'organizzazione ha dimostrato la titolarità del proprio dominio e-mail.
• Registro di audit a sola aggiunta con esportazione firmata.
• Il nostro staff lavora tramite la console interna. Essa richiede un account dello staff con secondo fattore e un accesso nelle ultime 12 ore. Ogni modifica che lo staff apporta a un'organizzazione richiede un motivo ed è registrata nel registro di audit di quell'organizzazione. La concessione o revoca dell'accesso allo staff è registrata nel nostro registro di audit. Modificare un prezzo, emettere o pagare una fattura, registrare una verifica di partita IVA o modificare un periodo di conservazione dalla riga di comando del server richiede anch'esso il nome dell'operatore e un motivo. L'assistenza può vedere un'organizzazione come membro, in sola lettura, per al massimo 30 minuti; anche questo è registrato nel registro dell'organizzazione. Le violazioni dei dati personali sono gestite come indicato in Assistenza.

5. Sub-responsabili

Il titolare dà un'autorizzazione generale per i sub-responsabili dell'elenco dei sub-responsabili. Comunichiamo con almeno 30 giorni di preavviso ogni aggiunta o sostituzione, per e-mail e su quella pagina; il titolare può opporsi per ragionevoli motivi di protezione dei dati e, se non risolviamo l'opposizione, può porre fine al servizio interessato con un rimborso proporzionale. Ogni sub-responsabile è vincolato a obblighi di protezione dei dati equivalenti a questi, e ne restiamo responsabili.

Il fornitore di IA collegato dal titolare è incaricato dal titolare, in base al suo accordo con quel fornitore, e non è un nostro sub-responsabile.

6. Assistenza

Assistiamo il titolare nel rispondere alle richieste degli interessati — le funzioni di esportazione e cancellazione dell'applicazione coprono la maggior parte —, nonché in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto e consultazione preventiva, tenendo conto di ciò che possiamo sapere. Notifichiamo al titolare una violazione dei dati personali senza ingiustificato ritardo, e cerchiamo di farlo entro 48 ore da quando ne veniamo a conoscenza.

7. Restituzione e cancellazione

Finché la sua organizzazione è aperta, il titolare può esportare i suoi dati in qualsiasi momento. Quando viene chiusa, cancelliamo i dati personali del cliente in nostro possesso 30 giorni dopo, anche dai backup alla loro rotazione, salvo che la legge ci obblighi a conservarli.

8. Informazioni e audit

Mettiamo a disposizione le informazioni necessarie a dimostrare il rispetto dell'art. 28 e consentiamo audit da parte del titolare o di un revisore da esso incaricato, con ragionevole preavviso e al massimo una volta l'anno, salvo che una violazione o un'autorità richieda altrimenti. Non abbiamo ancora alcuna certificazione di sicurezza né un test di penetrazione indipendente; quando li avremo, saranno indicati qui con la loro data.