Leggere insieme agli altri documenti del Centro Legale e all’ordine sottoscritto. In caso di versioni bilingui, la versione italiana prevale per i rapporti regolati dalla legge italiana, salvo diverso accordo.
1. Titolare, contatti e ruoli privacy
Per i dati relativi a registrazione, rapporto contrattuale, sicurezza, fatturazione, marketing proprio e gestione del servizio, il titolare è UESE ITALIA S.p.A., con sede legale in Piazza Trivulziana 4/A, 20126 Milano (MI), P. IVA e C.F. IT04398760274, REA MI 2679515. Le richieste privacy possono essere inviate a info@uese.eu o agli ulteriori recapiti pubblicati.
Per i contenuti e i dati personali caricati dal Cliente nei progetti, il Cliente opera normalmente quale titolare del trattamento e UESE quale responsabile ai sensi dell’art. 28 GDPR, secondo il DPA. In alcuni casi le parti possono operare come titolari autonomi per finalità proprie, ad esempio sicurezza, prevenzione frodi e obblighi legali.
2. Ambito e fonti dei dati
L’informativa riguarda visitatori, utenti, amministratori aziendali, consulenti, referenti commerciali e persone i cui dati compaiono nei documenti caricati. I dati sono raccolti direttamente, da amministratori autorizzati, da fonti indicate dal Cliente (ad esempio sito aziendale), da documenti caricati o generati, e automaticamente mediante log tecnici.
Quando il Cliente inserisce dati di terzi, deve fornire loro le informazioni necessarie e garantire una valida base giuridica. UESE non utilizza fonti pubbliche per arricchimenti indiscriminati: l’analisi è avviata su istruzione dell’utente e limitata al progetto.
3. Categorie di dati trattati
- dati identificativi, professionali e di contatto;
- dati societari, fiscali, contrattuali e contabili;
- credenziali cifrate, 2FA, ruoli e autorizzazioni;
- contenuti di chat, prompt, feedback, revisioni e approvazioni;
- file caricati e dati estratti, che possono includere dipendenti, clienti, fornitori o amministratori;
- dati tecnici: IP, user agent, sessioni, eventi di sicurezza, audit log e metadati;
- preferenze linguistiche, piano, utilizzo e richieste di assistenza.
Si raccomanda di non caricare categorie particolari o dati giudiziari salvo stretta necessità, base giuridica, misure adeguate e autorizzazione organizzativa.
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Registrazione, trial, autenticazione, erogazione SaaS e supporto | Contratto o misure precontrattuali |
| Fatturazione, contabilità e adempimenti | Contratto e obbligo legale |
| Sicurezza, prevenzione abusi, audit e difesa dei diritti | Legittimo interesse e obblighi di sicurezza |
| Comunicazioni di servizio e modifiche contrattuali | Contratto e legittimo interesse |
| Marketing diretto a clienti su servizi analoghi, ove ammesso | Legittimo interesse con diritto di opposizione, oppure consenso |
| Analisi documentale e AI su istruzione del Cliente | Art. 28 GDPR e istruzioni documentate del titolare Cliente |
5. Elaborazione documentale e intelligenza artificiale
Per generare analisi e bozze, ISOPILOT può trasmettere porzioni pertinenti di Input a fornitori di modelli AI autorizzati. La configurazione mira a ridurre i dati inviati, separare i tenant e utilizzare servizi destinati a clienti business/API. I contenuti non devono essere impiegati per finalità autonome incompatibili con le istruzioni contrattuali.
Il Cliente deve scegliere dati appropriati, rimuovere elementi non necessari e valutare se occorrano anonimizzazione o pseudonimizzazione. Gli Output sono conservati nel progetto per versioning, continuità e audit fino a cancellazione o scadenza secondo le regole applicabili.
6. Destinatari, personale autorizzato e subfornitori
I dati possono essere trattati da personale UESE autorizzato, amministratori del Cliente, fornitori di hosting, email, assistenza, sicurezza, backup, fatturazione e servizi AI. I fornitori ricevono solo dati necessari e sono vincolati da contratti, riservatezza e misure di sicurezza.
L’elenco aggiornato dei sub-responsabili rilevanti è disponibile su richiesta o nell’area contrattuale. La specifica infrastruttura può dipendere dall’ambiente di hosting configurato. Dati possono inoltre essere comunicati ad autorità, consulenti o controparti quando richiesto dalla legge o necessario per difendere diritti.
7. Trasferimenti internazionali
Alcuni fornitori possono trattare dati al di fuori dello Spazio economico europeo. In tal caso UESE applica un meccanismo valido, quale decisione di adeguatezza, Data Privacy Framework ove applicabile, clausole contrattuali standard e misure supplementari valutate in base al rischio. Il Cliente può richiedere informazioni sulle garanzie rilevanti.
8. Conservazione e cancellazione
- account e contratto: durata del rapporto e periodo necessario per obblighi e difesa dei diritti;
- dati fiscali e fatture: termini previsti dalla normativa;
- log di sicurezza e audit: periodo proporzionato al rischio, normalmente tra 6 e 24 mesi salvo incidenti;
- lead commerciali: fino a 24 mesi o prima opposizione;
- contenuti del progetto: durata dell’account e finestra di esportazione/cancellazione prevista dal Piano o DPA;
- backup: rotazione tecnica con sovrascrittura progressiva.
La cancellazione può essere differita per obblighi legali, contenzioso, sicurezza o impossibilità tecnica immediata nei backup, con isolamento e accesso limitato.
9. Diritti degli interessati
Nei casi previsti, l’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso, nonché proporre reclamo al Garante per la protezione dei dati personali o all’autorità competente. Le richieste possono essere sottoposte a verifica dell’identità.
Quando UESE tratta dati per conto del Cliente, inoltra o assiste la richiesta secondo il DPA; l’interessato dovrebbe rivolgersi innanzitutto all’organizzazione che ha caricato i dati.
10. Misure di sicurezza e violazioni
Le misure comprendono, secondo configurazione e rischio, segregazione logica multi-tenant, autorizzazioni per ruolo, password hashate, 2FA, TLS, cifratura di segreti, archiviazione privata, log, backup, aggiornamenti, gestione vulnerabilità e procedure di risposta. Nessun sistema può garantire rischio zero.
Le violazioni sono valutate e gestite secondo ruoli privacy: quando UESE è responsabile, informa il Cliente senza ingiustificato ritardo dopo averne acquisito ragionevole certezza e fornisce le informazioni disponibili per gli adempimenti degli articoli 33 e 34 GDPR.
11. Decisioni automatizzate, minori e aggiornamenti
ISOPILOT non è destinato a decisioni esclusivamente automatizzate che producano effetti giuridici sulle persone. Le funzioni AI supportano la redazione e richiedono supervisione umana. Il servizio B2B non è rivolto a minori; dati di minori devono essere caricati solo se indispensabili e adeguatamente protetti.
L’informativa può essere aggiornata. Le modifiche rilevanti saranno comunicate nell’account o via email. Il quadro di riferimento comprende il GDPR, il Codice Privacy italiano e la normativa e le linee guida applicabili.