Conformità GDPR

1. Ruoli chiari

Per i documenti delle pratiche il titolare del trattamento è lo studio, che decide quali dati caricare e per quale finalità. Trailgun è responsabile del trattamento ai sensi dell'art. 28 GDPR: tratta i dati solo su istruzione documentata dello studio e solo per svolgere il servizio richiesto. Per i dati degli account (nome, email, ruolo, registri di accesso) Trailgun è titolare, come descritto nell'informativa privacy.

2. L'accordo sul trattamento dei dati

Con ogni studio sottoscriviamo un accordo sul trattamento dei dati che disciplina: l'oggetto e la durata del trattamento, le istruzioni dello studio, la riservatezza di chi accede ai dati, le misure di sicurezza, l'autorizzazione dei sub-responsabili, l'assistenza per l'esercizio dei diritti e per la valutazione d'impatto, la notifica delle violazioni, la cancellazione o restituzione dei dati e le verifiche da parte dello studio.

3. Dove sono i dati

La piattaforma, i database e i documenti risiedono su Amazon Web Services nella regione di Francoforte (Germania). Quando un fornitore tratta dati fuori dallo Spazio economico europeo, come può accadere per i modelli di intelligenza artificiale, il trasferimento si basa su una decisione di adeguatezza (come il Data Privacy Framework UE-USA) o sulle Clausole contrattuali standard della Commissione europea.

4. Sicurezza del trattamento

Le misure previste dall'art. 32 sono parte dell'architettura, non un'aggiunta: dischi e archivi cifrati, connessioni sempre cifrate, accesso solo su invito con autenticazione dedicata, dati separati studio per studio e, dentro lo studio, visibilità di ogni cliente configurabile (tutto lo studio, solo chi l'ha creato, persone selezionate).

Sui server non si entra con accesso diretto: l'amministrazione passa da un canale gestito e tracciato. Le credenziali dei servizi stanno in un archivio cifrato, mai nel codice. Copie di sicurezza giornaliere conservate 14 giorni; registri tecnici conservati fino a 30 giorni.

5. Minimizzazione e limitazione della finalità

Trattiamo solo i documenti che lo studio carica, solo per la lavorazione che lo studio avvia. I dati non vengono usati per profilare persone, per finalità di marketing o per addestrare modelli di intelligenza artificiale, né nostri né dei fornitori.

6. Sub-responsabili

Ci avvaliamo di pochi fornitori selezionati (infrastruttura cloud, autenticazione, invio di email e notifiche, riconoscimento del testo, modelli di intelligenza artificiale), vincolati agli stessi obblighi di protezione dei dati con contratti conformi all'art. 28.4. L'elenco aggiornato è allegato all'accordo sul trattamento dei dati e gli studi sono informati dei cambiamenti.

7. Diritti degli interessati

Aiutiamo lo studio a rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione). Se una richiesta arriva direttamente a noi e riguarda dati di cui lo studio è titolare, la inoltriamo allo studio senza ritardo.

8. Violazioni dei dati

In caso di violazione dei dati personali informiamo lo studio senza ingiustificato ritardo, con le informazioni che gli servono per valutarla e, se necessario, notificarla al Garante e agli interessati nei termini degli artt. 33 e 34.

9. Valutazione d'impatto

Mettiamo a disposizione dello studio la documentazione tecnica e organizzativa utile per la sua valutazione d'impatto sulla protezione dei dati (art. 35) e per l'eventuale consultazione preventiva.

10. Fine del rapporto

Alla fine del contratto, su istruzione dello studio, cancelliamo i dati o li restituiamo in un formato utilizzabile, salvo gli obblighi di conservazione imposti dalla legge. Le copie di sicurezza si sovrascrivono a rotazione entro 14 giorni.

11. Contatti

Per ogni domanda sulla protezione dei dati, per ricevere l'accordo sul trattamento dei dati o l'elenco dei sub-responsabili: info@trailgun.ai.