Accordo sul trattamento dei dati

Summia tratta dati personali per conto del cliente, al solo scopo di fornirgli il servizio Summia. Il presente accordo stabilisce le condizioni di tale trattamento.

L’accordo si applica per tutta la durata di utilizzo del servizio e cessa con essa, fatti salvi gli obblighi che sopravvivono alla sua cessazione: cancellazione dei dati (articolo 9 del presente accordo) e riservatezza.

Summia tratta i dati soltanto su istruzione documentata del cliente. L’utilizzo del servizio, le sue impostazioni e il presente accordo costituiscono tali istruzioni. Se Summia ritiene che un’istruzione violi il GDPR, ne informa il cliente.

I dati del cliente non vengono mai utilizzati per addestrare un modello di intelligenza artificiale, né da Summia né dai suoi sub-responsabili del trattamento.

Le persone autorizzate ad accedere ai dati si impegnano a rispettarne la riservatezza. Il loro accesso è limitato a quanto richiesto dalle loro mansioni.

Summia adotta misure tecniche e organizzative adeguate al rischio, conformemente all’articolo 32 del GDPR. Tali misure sono descritte nell’allegato 1 e possono evolvere, purché il livello di protezione non venga mai ridotto.

Il cliente autorizza Summia a ricorrere ai sub-responsabili del trattamento il cui elenco è pubblicato nella pagina Sub-responsabili del trattamento.

• Summia informa il cliente di ogni aggiunta o sostituzione con almeno 30 giorni di anticipo.
• Il cliente può opporvisi per un motivo legittimo legato alla protezione dei dati. In mancanza di accordo, può porre fine al proprio utilizzo del servizio.
• Summia impone a ciascun sub-responsabile del trattamento obblighi almeno equivalenti a quelli del presente accordo e risponde nei confronti del cliente del loro rispetto.

Summia assiste il cliente, nella misura del possibile:

• nel dare seguito alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione);
• nell’effettuare, se del caso, una valutazione d’impatto sulla protezione dei dati;
• nel consultare l’autorità di controllo, quando necessario.

In caso di violazione dei dati personali, Summia notifica la violazione al cliente senza ingiustificato ritardo dopo esserne venuto a conoscenza. La notifica descrive la natura della violazione, le sue probabili conseguenze e le misure adottate o previste.

Alla cessazione dell’utilizzo del servizio:

• Summia cancella i dati del cliente entro 30 giorni;
• le copie presenti nei backup scompaiono al più tardi 30 giorni dopo, man mano che i backup vengono rinnovati;
• prima della cancellazione, il cliente può chiedere di recuperare i propri dati.

I dati sono conservati oltre tali termini solo se la legge lo impone.

I dati sono ospitati in Francia. Quando un sub-responsabile del trattamento tratta dati al di fuori dell’Unione europea, il trasferimento è disciplinato da una decisione di adeguatezza della Commissione europea o dalle clausole contrattuali tipo da essa adottate. L’elenco dei sub-responsabili del trattamento indica, per ciascuno, il luogo del trattamento.

Summia mette a disposizione del cliente le informazioni necessarie per dimostrare il rispetto del presente accordo. Il cliente può far svolgere un audit, a proprie spese, non più di una volta l’anno e con un preavviso di 30 giorni, da un auditor tenuto al segreto. L’audit non deve compromettere la sicurezza né la riservatezza dei dati degli altri clienti.

Il presente accordo è regolato dalla legge francese. Segue le norme in materia di responsabilità e di giurisdizione previste dalle Condizioni d’uso.

Hosting

• I dati sono ospitati nella regione di Parigi da Scaleway, un provider di hosting francese certificato ISO 27001.

Isolamento

• Ogni account è isolato all’interno del database stesso.
• Un accesso viene concesso solo tramite una condivisione esplicita, verificata a ogni richiesta.
• In caso di dubbio, l’accesso viene negato.

Intelligenza artificiale

• Per creare o modificare una tabella, i modelli di IA ricevono la richiesta, la struttura del documento e alcuni valori di esempio per colonna.
• Per rispondere a una domanda, ricevono anche le etichette delle righe e un numero limitato di risultati già calcolati.
• Ricevono infine le immagini e i PDF allegati a una richiesta, oltre alla registrazione delle dettature.
• Nessun dato viene usato per l’addestramento.

Crittografia

• Le comunicazioni sono crittografate in transito.
• I backup sono crittografati.

Autenticazione

• Accesso con password, codice monouso o provider di identità (Google, Microsoft).
• I codici hanno una durata limitata e sono conservati sotto forma di hash.
• La modifica della password chiude tutte le sessioni aperte.

Tracciabilità

• Ogni modifica a un documento è datata e conservata in una cronologia che non può essere riscritta.
• Ogni condivisione viene registrata.

Sicurezza dello sviluppo

• Il codice viene sottoposto regolarmente ad audit secondo regole di sicurezza rigorose.
• Ogni modifica viene sottoposta a una serie di test automatici prima della messa online.

Accessi interni

• L’accesso ai sistemi di produzione è riservato alle sole persone che ne hanno bisogno.

L’elenco aggiornato è pubblicato nella pagina Sub-responsabili del trattamento.