1. Chi è responsabile
Il titolare del trattamento dei dati personali qui descritti è Dober Security ApS, Silkeborgvej 43, 1., 8000 Aarhus C, Denmark, CVR 46829034. Scriva a privacy@gelex.eu per qualsiasi questione relativa a questa informativa.
Responsabile della protezione dei dati. Il nostro corpus comprende sentenze, alcune relative a reati (art. 10 del GDPR). Pubblicarle su larga scala è un'attività principale, quindi trattiamo l'art. 37, paragrafo 1, lettera c), come un obbligo di designare un responsabile della protezione dei dati. Stiamo designando un responsabile; il suo nome e i suoi recapiti saranno pubblicati qui. Nel frattempo, privacy@gelex.eu raggiunge la persona incaricata della protezione dei dati.
Quando la sua organizzazione usa Gelex, le domande, i documenti, le pratiche, le bozze e le trascrizioni che i suoi membri inseriscono nel servizio sono trattati per conto dell'organizzazione. Per questi, l'organizzazione è il titolare e noi siamo il suo responsabile del trattamento, ai sensi dell'accordo sul trattamento dei dati.
Persone nominate nelle sentenze che pubblichiamo: vedi l'informativa sui dati personali nelle sentenze.
2. Cosa trattiamo, perché e su quale base giuridica
| Dati | Finalità | Base giuridica |
|---|---|---|
| Account: nome, e-mail, lingua, organizzazione e ruolo, e i suoi metodi di accesso (passkey, hash della password, app di autenticazione) | Per fornirle un account e un accesso sicuro | Contratto, art. 6(1)(b) |
| Accesso con Google o Microsoft, se lo sceglie: il suo nome, e-mail e identificativo dell'account presso quel fornitore | Per farla accedere. Usato solo a tal fine. | Contratto, art. 6(1)(b) |
| Metadati d'uso per richiesta: chi, quando, quale tipo di strumento, quali documenti del corpus sono stati letti, giurisdizioni, durata, numero di token, esito | Per conteggiare l'uso rispetto al suo piano, fornire il servizio e mostrare alla sua organizzazione il proprio uso | Contratto, art. 6(1)(b) |
| Registro di audit: eventi rilevanti per la sicurezza (adesione, modifiche di ruolo e di chiavi, «è stata posta una domanda» senza il testo, accessi dell'assistenza), con un indirizzo IP sottoposto a hash | Per mantenere sicuri e tracciabili il servizio e l'account della sua organizzazione | Legittimo interesse alla sicurezza, art. 6(1)(f) |
| Fatturazione: nome dell'organizzazione, indirizzo di fatturazione, partita IVA e la sua verifica nel registro VIES dell'UE, fatture, ed eccedenza dovuta per un periodo d'uso chiuso prima che fosse fissato un paese di fatturazione | Per addebitare i piani a pagamento, applicare correttamente l'IVA e tenere la contabilità | Contratto e obbligo legale, art. 6(1)(b) e (c) |
| Segnalazioni di nuovi clienti: quale organizzazione ne ha segnalata un'altra e se è diventata cliente pagante | Per riconoscere il credito per la segnalazione | Contratto, art. 6(1)(b) |
| Richieste di preventivo: nome, e-mail, organizzazione e messaggio | Per rispondere e preparare un'offerta | Misure precontrattuali, art. 6(1)(b) |
| Richieste di disdetta e di recesso (consumatori) | Per eseguirle e poter dimostrare di averlo fatto | Obbligo legale, art. 6(1)(c) |
| Segnalazioni sui contenuti (richieste di rimozione o correzione, contestazioni): nome, e-mail e dichiarazione del segnalante | Per gestire la segnalazione e rispondere, come richiede il regolamento sui servizi digitali | Obbligo legale, art. 6(1)(c) |
| E-mail che ci invia | Per risponderle | Legittimo interesse, art. 6(1)(f) |
| Contenuti del cliente: trascrizioni (solo se la sua organizzazione le attiva), pratiche, bozze, documenti caricati, firme elettroniche sulle bozze, documenti inviati per la firma con il nome, l'e-mail, la risposta e l'indirizzo di rete da cui ha firmato ciascun firmatario, i modelli propri dell'organizzazione e chi li ha redatti e approvati, quali modifiche normative sono state inviate per e-mail a quale membro su una pratica, e le chiavi che collegano i segnaposto dei nomi di persone in una pratica a quei nomi, conservate separatamente dall'IA | Per fornire le funzioni che la sua organizzazione usa | Trattati per conto della sua organizzazione ai sensi dell'accordo sul trattamento dei dati |
Cosa non conserviamo. Salvo che la sua organizzazione attivi le trascrizioni, non conserviamo mai il testo di una domanda o di una risposta. Il modello di IA collegato riceve la domanda e i testi delle fonti necessari per rispondere; noi conserviamo solo i metadati sopra indicati.
Non addestriamo modelli di IA sui suoi dati. Non abbiamo alcun modello di IA nostro. Le risposte provengono dal modello collegato dalla sua organizzazione.
Dati degli utenti Google e Microsoft. Quando accede con Google o Microsoft, riceviamo solo i dati della riga corrispondente nella tabella sopra. Li usiamo solo per creare il suo account e farla accedere. Non li condividiamo, non li usiamo per pubblicità né per addestrare modelli. Google e Microsoft agiscono come titolari autonomi per il proprio accesso.
3. L'IA che collega
Lei sceglie il modello di IA che risponde. Se ne collega uno con una chiave API, le sue domande e i testi delle fonti sono inviati a quel fornitore in base al suo accordo con lui. Il fornitore è il suo responsabile del trattamento, non il nostro, e si applicano le sue condizioni sulla privacy. Se usa il nostro connettore MCP nel suo assistente, il fornitore di quell'assistente riceve ciò che vi scrive, alle sue condizioni. Vedi Trasparenza dell'IA.
4. Chi riceve i dati
Un piccolo numero di responsabili ci aiuta a fornire il servizio. Sono elencati, con le loro sedi, nella pagina dei sub-responsabili. Non vendiamo dati personali e non li condividiamo per pubblicità. Comunichiamo dati alle autorità solo quando la legge lo richiede.
Il nostro staff. Lo staff può aprire l'account di un'organizzazione nella console interna solo dopo un accesso con un secondo fattore. Per aiutare in un caso di assistenza, un membro dello staff può vedere il servizio come uno dei suoi membri. Questa vista è di sola lettura, dura 15 minuti per impostazione predefinita e al massimo 30, richiede un motivo dichiarato ed è registrata nel registro di audit della sua organizzazione.
5. Dove sono conservati i dati
Il servizio e i suoi backup su server sono ospitati da Hetzner nel suo data center di Norimberga, in Germania; la sede di un backup esterno sarà indicata qui una volta configurato. La posta transazionale è inviata tramite Migadu, un'azienda svizzera. La Svizzera è riconosciuta dalla Commissione europea come paese con un livello di protezione adeguato. Non usiamo alcun fornitore cloud di proprietà statunitense, e non trasferiamo dati personali fuori dal SEE se non verso un paese che benefici di tale decisione.
6. Per quanto tempo li conserviamo
- Domanda, risposta e testo delle fonti: mai conservati, né nel database né nei log, salvo che la sua organizzazione attivi le trascrizioni.
- Trascrizioni: conservate solo finché la sua organizzazione le tiene attive. Sono conservate per il periodo che essa fissa e poi cancellate; se non fissa alcun periodo, restano finché essa o lei non le cancellano. Disattivare le trascrizioni impedisce di salvarne di nuove; quelle precedenti restano fino alla scadenza del loro periodo o alla cancellazione.
- Dati dell'account: finché l'account esiste. La cancellazione del suo account elimina i suoi dati di accesso e pseudonimizza ciò che resta nei registri d'uso e di audit.
- Chiavi dei fornitori di IA: cancellate quando la connessione o l'organizzazione viene rimossa; una chiave sostituita è cancellata subito.
- Esportazioni di dati: generate su sua richiesta e mai conservate.
- Metadati d'uso: 24 mesi.
- Organizzazioni chiuse: i loro contenuti (pratiche, bozze, documenti, trascrizioni, inviti, sessioni e collegamenti dei membri) sono cancellati 30 giorni dopo la chiusura dell'organizzazione. Così pure l'account di ogni membro che non appartiene ad altre organizzazioni: il suo nome, la sua e-mail e il suo accesso. Le sue fatture e il suo registro di audit sono conservati come qui indicato.
- Registro di audit: 5 anni dopo la chiusura dell'organizzazione. È conservato per dimostrare cosa è accaduto nell'account e non è cancellato con il resto dei dati dell'organizzazione.
- Tentativi di accesso non completati: 24 ore. Non contengono dati personali salvo un indirizzo di ritorno nell'applicazione.
- Sessioni e inviti scaduti: 90 giorni.
- Richieste di preventivo: 2 anni. Segnalazioni sui contenuti: 3 anni dalla decisione. Richieste di disdetta e di recesso dei consumatori: 5 anni.
- Log del server: 30 giorni. Non contengono mai il testo delle domande, e il server web non tiene un registro degli accessi.
- Fatture: 5 anni dalla fine dell'esercizio, come richiede la legge contabile danese.
- Posta in uscita inviata a nome dell'azienda: l'indirizzo a cui è stata inviata, l'oggetto e il testo, e il motivo dell'invio, sono conservati nella nostra posta in uscita per 2 anni dopo l'invio, il rifiuto o il mancato recapito; il nostro fornitore di posta conserva i registri di consegna secondo la propria politica.
- Backup: quelli giornalieri sono conservati 30 giorni, quelli di fine mese 12 mesi. I dati cancellati dal servizio spariscono quindi dai backup entro 12 mesi al massimo. I backup sono conservati sul nostro server in Germania e ripristinati solo per recuperare il servizio; la copia esterna, una volta fatta, è cifrata.
7. I suoi diritti
Ha diritto di accedere ai suoi dati, di ottenerne la rettifica o la cancellazione, di limitarne il trattamento o di opporsi, e di riceverli in un formato portabile. Due di questi diritti può esercitarli da sé nell'applicazione, in Impostazioni → I suoi dati: scaricare i suoi dati e eliminare il suo account. Per tutto il resto, scriva a privacy@gelex.eu. Rispondiamo entro un mese.
Quando ci basiamo sul legittimo interesse, può opporsi in qualsiasi momento. Può presentare un reclamo all'Autorità danese per la protezione dei dati (Datatilsynet, datatilsynet.dk) o all'autorità del luogo in cui vive.
8. Deve fornirci dei dati?
Un account richiede un nome e un indirizzo e-mail; senza di essi non possiamo fornire il servizio. I dati di fatturazione sono richiesti per legge per i piani a pagamento. Non prendiamo decisioni che la riguardano basate unicamente su un trattamento automatizzato che producano effetti giuridici o che incidano in modo analogo significativamente su di lei.
9. Sicurezza
L'accesso supporta passkey e app di autenticazione. Le connessioni sono cifrate. Le chiavi dei fornitori di IA conservate dalla sua organizzazione sono cifrate e non vengono mai più mostrate. Le trascrizioni sono cifrate con una chiave specifica della sua organizzazione. Il registro di audit è a sola aggiunta, e la sua esportazione è firmata per poter essere verificata. Segnali una vulnerabilità a security@gelex.eu (vedi la nostra politica di divulgazione).
10. Modifiche
Aggiorniamo questa informativa quando cambia ciò che facciamo, e informiamo i titolari di account per e-mail prima che una modifica sostanziale abbia effetto.
Registro delle modifiche
- , versione 1: Prima versione.