Informativa sulla privacy

Safe Swiss Cloud (hosting, archiviazione e trattamento Swiss LLM)

La piattaforma è gestita sull'infrastruttura certificata ISO 27001 di Safe Swiss Cloud in Svizzera, dove vengono archiviati tutti i dati di contenuto. Safe Swiss Cloud è un fornitore svizzero non soggetto al US CLOUD Act. Tramite Safe Swiss Cloud funzionano inoltre la modalità Swiss LLM selezionabile nonché confronto documenti, divisore, archivio pratiche, cronologia, riconoscimento testo (OCR) e anonimizzazione. La base è un contratto di elaborazione dei dati ai sensi dell'art. 9 LPD.

Microsoft Azure (trattamento IA tramite Azure OpenAI)

Microsoft Azure viene utilizzato in modalità standard per il trattamento delle richieste IA. La sede principale è la regione Switzerland North, in modo che i dati personali rimangano in Svizzera. Per alcune funzioni, Microsoft può utilizzare altri data center all'interno della geografia scelta (Svizzera/UE). Azure OpenAI (Fornitura modelli): Il trattamento avviene preferibilmente in Svizzera (regione Switzerland North); se un modello specifico non è disponibile a livello regionale, il trattamento avviene nella geografia scelta (CH/UE). Nessun addestramento dei modelli con i nostri contenuti; prompt/output possono essere memorizzati fino a 30 giorni per il monitoraggio degli abusi; la conservazione zero dei dati è possibile su richiesta. Opzionalmente utilizziamo chiavi gestite dal cliente (CMK) tramite Azure Key Vault.

• Obbligo di rendicontazione (art. 5 cpv. 2 GDPR): Microsoft ci supporta nell'adempimento dei nostri obblighi di prova attraverso documentazione appropriata e rapporti di audit per tutta la durata del contratto.
• Ricorso ad altri sub-responsabili (art. 28 cpv. 2 GDPR): Microsoft può ricorrere ad altri sub-responsabili solo con autorizzazione preventiva. In caso di autorizzazione generale, Microsoft informa preventivamente delle modifiche in modo che possiamo opporci.
• Rispetto delle istruzioni (art. 28 cpv. 3 GDPR): Microsoft tratta i dati esclusivamente secondo le nostre istruzioni documentate. Una trasmissione verso paesi terzi o organizzazioni internazionali avviene solo se esiste una base giuridica. Se Microsoft è obbligata per legge a divulgare dati, Microsoft ce lo comunica – nella misura consentita.
• Riservatezza: Tutte le persone impiegate presso Microsoft che entrano in contatto con dati personali sono vincolate alla riservatezza.
• Misure tecniche e organizzative (art. 32 GDPR; art. 1-3 OPDa): Microsoft garantisce un livello di protezione adeguato al rischio attraverso crittografia, controlli di accesso, pseudonimizzazione, procedure di backup e ripristino e audit di sicurezza regolari.
• Assistenza per i diritti degli interessati e DPIA (art. 28 cpv. 3 lett. e-f GDPR): Microsoft ci aiuta, per quanto possibile, a rispondere alle richieste di accesso, cancellazione o portabilità e a condurre valutazioni d'impatto sulla protezione dei dati.
• Restituzione/Cancellazione (art. 28 cpv. 3 lett. g GDPR): Al termine del contratto, tutti i dati personali vengono, a nostra scelta, cancellati o restituiti, salvo che un obbligo legale di conservazione si opponga.
• Prove e audit (art. 28 cpv. 3 lett. h GDPR): Microsoft ci mette a disposizione le informazioni necessarie e consente verifiche, inclusi audit indipendenti.
• Responsabilità per i sub-responsabili (art. 28 cpv. 4 GDPR): Microsoft si assicura che i terzi incaricati rispettino gli stessi obblighi di protezione dei dati ed è responsabile della loro conformità.
• Livello di sicurezza dei dati (art. 32 GDPR): Microsoft e noi adottiamo congiuntamente misure tecniche e organizzative adeguate per garantire l'integrità, la riservatezza, la disponibilità e la resilienza dei sistemi.
• Notifica delle violazioni dei dati (art. 33 GDPR; art. 24 LPD): Se Microsoft viene a conoscenza di una violazione della protezione dei dati personali, Microsoft ci informa immediatamente e fornisce tutte le informazioni disponibili ai sensi dell'art. 33 cpv. 3 GDPR, affinché possiamo adempiere al nostro obbligo di notifica verso l'IFPDT.

Google Firebase (Autenticazione)

Per la gestione degli account utente (registrazione, accesso, reimpostazione password), utilizziamo Google Firebase Authentication. Google Ireland Limited (per SEE/Svizzera) o Google LLC (USA) agisce come responsabile del trattamento ai sensi dell'art. 9 LPD e dell'art. 28 GDPR.

• Tipi di dati:: Indirizzi e-mail; Password (crittografate, procedura hash); Stringhe User-Agent e indirizzi IP (per aumentare la sicurezza e rilevare abusi)
• Conservazione:: I dati di autenticazione rimangono nel sistema fino alla cancellazione dell'account utente. Successivamente, i dati vengono rimossi dai sistemi live e di backup entro un massimo di 180 giorni.
• Trasferimento internazionale dei dati:: Firebase Authentication è gestito negli Stati Uniti. Il trasferimento di dati personali negli Stati Uniti è garantito da: Clausole contrattuali standard (SCC, versione 2021) ai sensi dell'art. 16 LPD e dell'art. 46 GDPR; Swiss-U.S. Data Privacy Framework (stato 2023); Misure tecniche supplementari come crittografia e restrizioni di accesso
• Certificazioni e standard di sicurezza:: Firebase Authentication è certificato secondo i seguenti standard: ISO 27001 (Gestione della sicurezza delle informazioni); ISO 27017 (Controlli di sicurezza cloud); ISO 27018 (Protezione dei dati nei cloud pubblici); SOC 1, SOC 2, SOC 3 (rapporti di audit regolari)
• Rispetto delle istruzioni: Google tratta i dati esclusivamente su istruzione documentata del cliente.
• Riservatezza: Solo i dipendenti autorizzati con corrispondente obbligo di segretezza hanno accesso ai dati.
• Misure tecniche e organizzative: Google implementa ampie MTO, incluse crittografia, controlli di accesso e audit di sicurezza regolari.
• Assistenza per i diritti degli interessati: Google ci aiuta a rispondere alle richieste di accesso, cancellazione e portabilità ai sensi della LPD/GDPR.
• Assistenza per DPIA: Google si assicura che le informazioni necessarie siano disponibili per condurre valutazioni d'impatto sulla protezione dei dati.
• Sub-responsabili: Google può ricorrere a sub-processori, ma informa in modo trasparente del loro utilizzo. Questi sono contrattualmente obbligati a rispettare gli stessi standard di protezione dei dati.
• Restituzione/Cancellazione: Dopo la chiusura dell'account, i dati vengono completamente cancellati o anonimizzati, salvo che un obbligo legale di conservazione si opponga.

Misure tecniche (estratto):

• Crittografia a riposo/in transito (es. AES-256, TLS 1.2+), gestione delle chiavi con HSM/Key-Vault, rotazione.
• Controlli di accesso (MFA, SSO), segmentazione di rete, privilegio minimo, hardening degli endpoint.
• Registrazione degli eventi rilevanti per la sicurezza (es. autenticazioni, modifiche dei ruoli); monitoraggio SIEM, allarmi, conservazione delle prove secondo OPDa.
• Sviluppo software sicuro (revisioni del codice, gestione dei segreti, scansioni delle dipendenze), gestione delle vulnerabilità e delle patch, test di penetrazione regolari.
• Strategia di backup/ripristino (testata regolarmente), continuità operativa e disaster recovery.

Misure organizzative (estratto):

• Concetto di ruoli e autorizzazioni (processo JML), principio dei quattro occhi e separazione delle funzioni nei processi sensibili.
• Policy sulla protezione dei dati e sulla sicurezza, formazione per i dipendenti, impegni di riservatezza.
• Elaborazione dati regolata contrattualmente (SCC/DPF dove necessario), governance dei sub-processori con notifica delle modifiche.
• Processo di risposta agli incidenti incluso sistema di notifica secondo LPD/OPDa; esercitazioni regolari.
• Classificazione dei dati, minimizzazione dei dati, pseudonimizzazione/anonimizzazione dove possibile; concetto di conservazione e cancellazione.

Controlli di processo, prova ed efficacia:

• Obbligo di implementazione e documentazione: Assicuriamo che tutti i processi e le misure descritti siano effettivamente implementati e documentati (prove MTO, contratti con responsabili del trattamento, rapporti DPIA, piani di misure).
• Controllo di efficacia: Revisioni/audit regolari (interni/esterni), controlli tecnici (es. analisi dei log, revisioni degli accessi, rapporti di pen-test), valutazioni della direzione e miglioramento continuo.
• Artefatti di responsabilità: Registro delle attività di trattamento, inventario MTO, prove di formazione, elenco dei sub-processori, registro dei rischi incluse misure CAPA (Azioni correttive/preventive).
• Processo DPIA: In caso di rischio elevato, effettuiamo una valutazione d'impatto sulla protezione dei dati secondo l'art. 22 LPD: risultati, rischi residui e MTO decise vengono documentati, regolarmente verificati e aggiornati se necessario.

Note sulla registrazione e conservazione (precisazione):

I log rilevanti per la sicurezza (accessi/trattamenti) sono tenuti in modo da poter verificare successivamente se i dati sono stati trattati conformemente alla loro finalità; la conservazione avviene in modo adeguato al rischio e conformemente ai requisiti dell'OPDa. Motivazione e guida: Le integrazioni di cui sopra corrispondono alla guida dell'IFPDT sulle MTO (governance, implementazione, prove, verifica dell'efficacia) e operazionalizzano i requisiti dell'OPDa/LPD per un ambiente SaaS.

Termini concreti:

• Log di sicurezza secondo l'art. 4 OPDa (accessi/trattamenti) vengono conservati almeno 12 mesi.
• Log operativi/applicativi senza riferimento personale: 90 giorni.
• Documenti/corrispondenza rilevanti per l'attività secondo CO 958f: 10 anni.
• Dati di contenuto IA: nessuna memorizzazione permanente senza consenso; nell'uso di Azure OpenAI, monitoraggio degli abusi lato servizio fino a 30 giorni, senza addestramento dei modelli.

Archiviazione:

Se esiste un obbligo legale, i dati personali vengono conservati esclusivamente a fini di archiviazione ai sensi dell'art. 6 cpv. 4 LPD. L'archiviazione avviene esclusivamente nel rispetto dei requisiti legali e con misure di protezione tecniche e organizzative adeguate (es. restrizione dell'accesso, crittografia).