Protezione dei dati

Nota: Questa traduzione in italiano è fornita a titolo informativo. In caso di divergenza, fa fede esclusivamente la versione originale in francese, disciplinata dal diritto francese.

Parte A · I dati dei nostri clienti in emi

1. Ruoli e quadro normativo

emi è un servizio pubblicato da APRESTA (Société à responsabilité limitée (SARL), SIREN 537 518 540, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France), con il marchio aprestIA. I trattamenti sono soggetti al Regolamento generale sulla protezione dei dati (GDPR, Regolamento UE 2016/679), alla legge francese Informatique et Libertés e, per le persone e i trattamenti interessati, alla legge federale svizzera sulla protezione dei dati (nLPD).

• La tua azienda è titolare del trattamento dei dati che essa e i suoi utenti affidano a emi (conversazioni, documenti, dati provenienti dai connettori, account utente), determinandone finalità e mezzi.
• APRESTA agisce in qualità di responsabile del trattamento (data processor) ai sensi dell’articolo 28 del GDPR e dell’articolo 9 della nLPD: tratta tali dati per tuo conto, sulla base delle tue istruzioni documentate ed esclusivamente per erogare il servizio.
• APRESTA è titolare del trattamento per le proprie esigenze di gestione del rapporto contrattuale: contratto, fatturazione, supporto tecnico, nonché per i dati dei visitatori del sito (vedi Parte B).

Tali impegni sono formalizzati in un accordo sul trattamento dei dati (DPA) allegato al contratto di abbonamento. In caso di divergenza, il contratto sottoscritto prevale sulla presente pagina.

2. Dati trattati in emi

• Contenuti: domande poste all’assistente e risposte generate, documenti caricati nella Mediateca, contenuti consultati tramite i connettori attivati dai tuoi utenti.
• Dati degli utenti: cognome, nome, indirizzo e-mail professionale, reparto, ruolo e permessi d’accesso, accettazione della carta IA.
• Dati di utilizzo e tecnici: log di accesso e di sicurezza, consumo di token e quote, impostazioni dello spazio aziendale.

Gli interessati sono i tuoi collaboratori e, a seconda dei documenti caricati, i tuoi clienti, fornitori o partner. Scegli liberamente cosa affidare a emi e cosa l’IA è autorizzata a leggere (selettore «leggibile dall’IA», permessi per cartella).

Categorie particolari di dati. emi è progettato per il lavoro amministrativo e documentale. Le categorie particolari di dati personali (salute, opinioni politiche, dati biometrici, condanne penali…) e i dati coperti da segreto professionale rafforzato devono essere caricati solo previa valutazione da parte tua e, ove necessario, specifico accordo contrattuale. In Francia, i dati sanitari di natura medica richiedono un hosting certificato HDS: contattaci prima di qualsiasi utilizzo di questo tipo.

3. I nostri impegni come responsabile del trattamento

In conformità all’articolo 28 del GDPR, APRESTA si impegna a:

• trattare i tuoi dati esclusivamente su tue istruzioni documentate, anche per eventuali trasferimenti, e informarti tempestivamente qualora un’istruzione appaia contraria alla normativa applicabile;
• garantire la riservatezza dei dati: ogni persona autorizzata ad accedervi è vincolata da un obbligo contrattuale o legale di riservatezza;
• adottare le misure di sicurezza descritte nella sezione 7;
• ricorrere a un sub-responsabile del trattamento solo alle condizioni indicate nella sezione 6;
• assisterti nel dare seguito alle richieste di esercizio dei diritti degli interessati;
• assisterti nel garantire la sicurezza, nel notificare eventuali violazioni dei dati e nello svolgere valutazioni d’impatto (DPIA) e consultazioni preventive, mettendoti a disposizione le informazioni in nostro possesso;
• alla cessazione del contratto, restituirti e successivamente cancellare i dati secondo la tua scelta (sezione 11);
• mettere a tua disposizione tutte le informazioni necessarie per dimostrare il rispetto di tali obblighi e consentire attività di verifica e audit (sezione 16);
• tenere un registro dei trattamenti svolti per tuo conto.

4. Nessun addestramento, nessun riutilizzo

• Le tue conversazioni, i tuoi documenti e i tuoi dati non vengono mai utilizzati per addestrare, affinare (fine-tuning) o valutare un modello di IA, né presso di noi né presso terzi.
• I modelli di IA open source impiegati da emi vengono eseguiti sulla nostra infrastruttura in Svizzera: i tuoi contenuti non vengono trasmessi ad alcun fornitore esterno di modelli.
• I tuoi dati non sono né venduti, né ceduti in locazione, né condivisi a fini commerciali o pubblicitari, e non sono oggetto di alcuna profilazione per nostro conto.
• Vengono elaborate unicamente statistiche aggregate di utilizzo (volumi di token, numero di utenti attivi) per la fatturazione, la gestione delle quote e il dimensionamento del servizio.

5. Localizzazione e trasferimenti

I dati dell’applicazione sono ospitati e trattati in Svizzera, nei data center di Infomaniak Network SA. La Svizzera beneficia di una decisione di adeguatezza della Commissione europea (2000/518/CE, confermata il 15 gennaio 2024): i dati personali possono quindi circolare dall’Unione europea verso la Svizzera senza garanzie supplementari. Nessun trasferimento verso un Paese terzo privo di un livello di protezione adeguato viene effettuato senza tua previa istruzione e senza le garanzie previste dagli articoli 44 e seguenti del GDPR.

Connettori. Quando un utente collega emi a un servizio di terze parti (ad esempio una casella di posta elettronica), gli scambi con tale servizio avvengono su tua iniziativa e secondo le condizioni del contratto in essere con il relativo fornitore, che non è un nostro sub-responsabile. L’amministratore sceglie i connettori disponibili; ciascun utente può revocare le proprie connessioni in qualsiasi momento.

6. Sub-responsabili del trattamento

Qualsiasi aggiunta o sostituzione di un sub-responsabile del trattamento ti viene notificata con almeno 30 giorni di preavviso. Puoi opporti per motivi legittimi; in mancanza di accordo, puoi recedere dal servizio interessato senza penali. Ogni sub-responsabile è vincolato da obblighi almeno equivalenti a quelli descritti nella presente pagina, e APRESTA resta pienamente responsabile nei tuoi confronti del loro adempimento (articolo 28, paragrafo 4, del GDPR).

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio (articolo 32 del GDPR, articolo 8 della nLPD), tra cui:

• Cifratura in transito di tutte le comunicazioni tra i tuoi dispositivi ed emi (HTTPS/TLS).
• Data center certificati: il nostro provider di hosting è certificato ISO 27001:2022 (sicurezza delle informazioni) e ISO 9001:2015.
• Isolamento: i dati di ciascun cliente sono isolati logicamente da quelli degli altri clienti; all’interno del tuo spazio, i permessi per cartella (Gestione, Contributo, Lettura, Nessuno) sono rispettati dall’IA, che non cita mai un documento che l’utente non è autorizzato a leggere.
• Controllo degli accessi: autenticazione degli utenti, gestione dei ruoli da parte dei tuoi amministratori e principio del privilegio minimo per i nostri team.
• Backup regolari, conservati in Svizzera per 30 giorni prima di essere sovrascritti, e sottoposti a test di ripristino.
• Mantenimento della sicurezza operativa: aggiornamenti, patch di sicurezza, monitoraggio dell’infrastruttura e registrazione degli eventi di sicurezza.
• Organizzazione: impegni di riservatezza del personale autorizzato, procedura strutturata di gestione degli incidenti e sensibilizzazione continua dei team.

La descrizione dettagliata delle misure di sicurezza è disponibile su richiesta, previa sottoscrizione di un impegno di riservatezza.

8. Accesso da parte dei nostri team

I membri autorizzati dei nostri team accedono ai tuoi contenuti solo quando strettamente necessario: su tua richiesta per un intervento di assistenza tecnica, per gestire un incidente di sicurezza o per adempiere a un obbligo di legge. Non consultano mai le tue conversazioni né i tuoi documenti per altre finalità, tantomeno commerciali o di miglioramento del prodotto.

9. Violazioni dei dati personali

In caso di violazione dei dati personali (perdita, alterazione, divulgazione o accesso non autorizzato) che riguardi i tuoi dati, APRESTA:

• ti informa entro il termine massimo di 48 ore dal momento in cui ne viene a conoscenza, tramite e-mail all’indirizzo di contatto associato al tuo account;
• ti comunica la natura della violazione, le categorie e il numero approssimativo di interessati e di registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte, integrando tali informazioni man mano che si rendono disponibili;
• adotta senza indugio tutte le misure necessarie per contenere l’incidente e limitarne gli effetti;
• ti assiste nella notifica all’autorità di controllo competente (CNIL o Garante competente: entro 72 ore; in Svizzera l’IFPDT il prima possibile) e, ove necessario, nella comunicazione agli interessati;
• documenta ogni violazione nel proprio registro interno.

10. Diritti degli interessati

Le persone i cui dati sono trattati in emi dispongono dei diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità. La tua azienda, in qualità di titolare del trattamento, dà riscontro a tali richieste; i tuoi amministratori dispongono a tal fine degli strumenti presenti nell’Amministrazione e nella Mediateca. Ti forniamo l’assistenza necessaria per le richieste che non puoi evadere autonomamente. Qualora una richiesta pervenga direttamente a noi, te la trasmettiamo tempestivamente senza rispondervi senza il tuo accordo.

11. Conservazione e cancellazione

• Durante il contratto, i tuoi dati vengono conservati finché scegli di mantenerli in emi. Un documento eliminato dalla Mediateca non viene più utilizzato dall’IA; gli elementi eliminati scompaiono anche dai backup al termine del ciclo di rotazione (30 giorni).
• Log tecnici: conservati per una durata limitata e proporzionata alle esigenze di sicurezza e fatturazione.
• Alla fine del contratto, disponi di 30 giorni per recuperare i tuoi dati (sezione 12). Trascorso tale periodo, i dati vengono cancellati definitivamente, backup compresi, al più tardi entro 60 giorni dalla cessazione del contratto. Su richiesta ti viene rilasciata un’attestazione di avvenuta cancellazione.
• Vengono conservati oltre tale termine esclusivamente i dati la cui conservazione è imposta dalla legge (ad esempio i documenti contabili e fiscali, per il periodo previsto dalla normativa).

12. Reversibilità e portabilità

Con emi non esiste alcun vincolo tecnologico (vendor lock-in). In qualsiasi momento nel corso del contratto, così come nella finestra di recupero successiva alla sua cessazione, puoi ottenere l’esportazione dei tuoi dati:

• i documenti della Mediateca nel loro formato originale;
• le conversazioni, l’elenco degli utenti, i relativi ruoli e le impostazioni dello spazio in un formato strutturato, aperto e leggibile da dispositivo automatico;
• un’assistenza ragionevole per agevolare la presa in carico da parte dei tuoi team o di un altro fornitore.

L’esportazione standard è inclusa nell’abbonamento. Un’eventuale assistenza specifica di migrazione può essere concordata previo preventivo.

13. Continuità operativa e inadempimento

Un’IA aziendale diventa rapidamente uno strumento quotidiano. Ecco cosa è previsto se qualcosa non funziona come atteso, anche nelle ipotesi più critiche.

13.1 Incidente tecnico o guasto

In caso di indisponibilità o perdita di dati legata a un incidente tecnico, ripristiniamo il servizio e recuperiamo i dati a partire dai backup più recenti. I clienti interessati vengono informati dell’incidente, del suo impatto e della risoluzione. Gli impegni di disponibilità e gli eventuali indennizzi sono definiti nel contratto.

13.2 Inadempimento di un sub-responsabile

Qualora il nostro provider di hosting o un altro sub-responsabile venisse meno ai propri obblighi, APRESTA resta l’unica responsabile nei tuoi confronti. Organizzeremmo la migrazione verso un fornitore dotato di garanzie equivalenti, in Svizzera o nell’Unione europea, secondo la procedura della sezione 6, tenendoti informato a ogni passaggio.

13.3 Cessazione del servizio o procedura concorsuale di Apresta

Qualora APRESTA decidesse di interrompere emi, cedesse il ramo d’azienda o fosse sottoposta a procedura di salvaguardia, amministrazione controllata o liquidazione giudiziale:

• I tuoi dati restano di tua esclusiva proprietà. Non fanno parte dell’attivo patrimoniale di APRESTA e non possono essere venduti, sfruttati né trasferiti a terzi per finalità diverse dall’erogazione del servizio alla tua azienda.
• Preavviso: in caso di cessazione programmata del servizio vieni avvisato con almeno 3 mesi di anticipo, così da pianificare serenamente la transizione.
• Recupero garantito: l’esportazione dei tuoi dati (sezione 12) resta disponibile per tutta la durata del preavviso e per l’intera finestra successiva di recupero di 30 giorni.
• Subentro di un cessionario: in caso di cessione o subentro nell’attività, il soggetto subentrante è vincolato ai medesimi impegni. Ne vieni informato preventivamente e puoi rifiutare il trasferimento, recedere, recuperare i tuoi dati e chiederne la cancellazione.
• Procedura concorsuale: ci impegniamo a portare tali obblighi a conoscenza degli organi della procedura (amministratore, commissario o curatore/liquidatore) affinché siano garantite la restituzione e la successiva cancellazione dei tuoi dati nei limiti previsti dalla legge.
• Cancellazione finale: al termine della restituzione, i dati vengono cancellati definitivamente presso APRESTA e presso i suoi sub-responsabili, inclusi tutti i backup.

13.4 Limiti dell’IA

Come ogni sistema di IA generativa, emi può produrre risposte inesatte o incomplete. emi cita le proprie fonti per facilitare la verifica; i contenuti generati devono essere sempre riletti da una persona prima di qualsiasi utilizzo vincolante. emi non adotta alcuna decisione automatizzata che produca effetti giuridici nei confronti di una persona (articolo 22 del GDPR, articolo 21 della nLPD): tali decisioni restano sotto la piena responsabilità dei tuoi collaboratori.

14. Richieste delle autorità

Qualora un’autorità pubblica ci richieda l’accesso ai tuoi dati, verifichiamo la legittimità e la portata della richiesta, la contestiamo ove ci appaia infondata, comunichiamo solo quanto strettamente dovuto e te ne informiamo preventivamente, salvo espresso divieto di legge.

15. Le tue responsabilità

In qualità di titolare del trattamento, la tua azienda si impegna in particolare a:

• disporre di un’idonea base giuridica per i dati affidati a emi e informare i propri collaboratori circa l’utilizzo dello strumento;
• caricare solo i documenti necessari e configurare di conseguenza i permessi d’accesso e il selettore «leggibile dall’IA»;
• definire una carta interna di utilizzo dell’IA, proteggere gli account amministratore e revocare tempestivamente gli accessi delle persone che lasciano l’azienda;
• valutare i connettori verso servizi di terze parti prima della loro attivazione;
• rispettare i propri obblighi ai sensi del regolamento europeo sull’IA (AI Act) in qualità di deployer, in particolare promuovendo l’alfabetizzazione in materia di IA dei propri team, percorso che l’Accademia integrata di emi può affiancare.

16. Documentazione e audit

Su richiesta ti trasmettiamo l’accordo sul trattamento dei dati (DPA), l’elenco aggiornato dei sub-responsabili, la descrizione delle misure di sicurezza e le certificazioni del nostro provider di hosting, oltre a rispondere ai tuoi questionari di sicurezza. Puoi effettuare, direttamente o tramite un revisore vincolato al segreto professionale, un audit di conformità con congruo preavviso e secondo le modalità previste dal contratto.

Parte B · Visitatori del sito e contatti commerciali

17. Visitatori del sito e richieste di demo

Titolare del trattamento: APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France — contact@apresta.fr.

Dati raccolti. Il modulo di richiesta demo raccoglie nome, cognome, e-mail aziendale, azienda, dimensione del team, settore e il tuo messaggio. Il provider di hosting del sito registra dati tecnici di connessione (log del server, indirizzo IP, browser) per garantire la sicurezza e il corretto funzionamento del sito.

Finalità e basi giuridiche. Organizzare la dimostrazione e rispondere alla tua richiesta (misure precontrattuali adottate su tua richiesta); curare il seguito commerciale del tuo progetto (legittimo interesse); garantire la sicurezza del sito e prevenire abusi (legittimo interesse).

Destinatari e localizzazione. I team autorizzati di APRESTA e i soli fornitori tecnici necessari per l’hosting del sito e l’invio delle e-mail. Il sito è ospitato in Svizzera da Infomaniak Network SA. I tuoi dati non vengono né venduti né ceduti a terzi.

Periodo di conservazione. Massimo 3 anni dall’ultimo contatto, salvo instaurazione di un rapporto contrattuale; i log tecnici per una durata limitata.

Cookie. Nessun cookie analitico né di profilazione pubblicitaria, nessun servizio di tracciamento di terze parti. Un cookie di sessione strettamente tecnico viene installato esclusivamente nella pagina di richiesta demo (token di sicurezza del modulo) e rimosso alla chiusura del browser; esente da consenso, non è utilizzato per nessun’altra finalità.

18. Contatti e reclami

Per qualsiasi domanda relativa a questa pagina o per esercitare i tuoi diritti: contact@apresta.fr, oppure per posta ordinaria a APRESTA, 486 rue Sadi Carnot, 59184 Sainghin-en-Weppes, France. Rispondiamo entro un mese.

Hai il diritto di proporre reclamo a un’autorità di controllo competente, come la CNIL francese (cnil.fr), il Garante per la protezione dei dati personali (garanteprivacy.it) o, in Svizzera, l’Incaricato federale della protezione dei dati e della trasparenza (edoeb.admin.ch).

Vedi anche: Note legali · Condizioni generali · Il GDPR spiegato · Hosting · Riservatezza.

Ultimo aggiornamento: novembre 2026.