Protezione dei dati e sicurezza

Per i dati che trattiamo per vostro conto, siamo responsabili del trattamento e voi siete titolari del trattamento. Prima di trattare dati reali concludiamo con voi un accordo sul trattamento dei dati (DPA) ai sensi dell’art. 28 GDPR. Esso vincola i dati allo scopo dell’incarico. Il nostro standard è la Variante B. I contratti con i fornitori di IA li stipuliamo noi stessi. I fornitori sono quindi nostri sub-responsabili del trattamento e voi li autorizzate nel DPA. Nella Variante A incaricate voi stessi i fornitori di IA e ci date istruzioni di lavorare tramite i vostri account. I clienti di grandi dimensioni possono mantenere i propri contratti.

I nostri servizi funzionano su un server virtuale di Contabo GmbH. Si trova nel centro dati di Lauterbourg, in Francia, quindi nell’UE. Ogni applicazione funziona in un proprio container con una propria directory dei dati. Dove il sistema lo consente, i dati dei clienti restano sui server del cliente. Se un prodotto conserva dati presso di noi, la scheda tecnica indica luogo, durata e finalità. Se un prodotto richiede il trattamento nell’UE o nel SEE, tratta dati reali solo tramite Azure OpenAI di Microsoft oppure tramite modelli aperti presso Cortecs. Presso Microsoft la risorsa si trova in Svezia e, a seconda della distribuzione, Microsoft tratta i dati all’interno della zona dati UE oppure solo in Svezia. Presso Cortecs autorizziamo solo centri dati nel SEE, anche in Islanda, che fa parte del SEE ma non dell’UE. Non tutti i prodotti sono ancora stati migrati. Dove il codice si rivolge ancora direttamente a OpenAI, lo modifichiamo prima che il prodotto tratti dati reali. Altri prodotti utilizzano OpenAI o Anthropic, con trattamento anche negli Stati Uniti. Il fornitore in questione è indicato nel vostro DPA.

Queste sette società figurano nel nostro elenco dei sub-responsabili del trattamento. Quali di esse operano per voi dipende dal prodotto ed è indicato nell’Allegato 3 del vostro DPA. Se incaricate voi stessi i fornitori di IA (Variante A), per voi non si applicano Microsoft, OpenAI, Anthropic, Cortecs e Mistral.

Non addestriamo modelli con i vostri dati. Le condizioni API di Microsoft, OpenAI, Anthropic e Cortecs escludono che i fornitori utilizzino input e output per l’addestramento. Microsoft conserva input e output fino a 30 giorni nell’UE per il monitoraggio degli abusi. Vengono esaminati solo in caso di sospetto, da personale nel SEE. Non possiamo disattivare questa conservazione: il 2 novembre 2026 Microsoft ha respinto la nostra richiesta di disattivazione (Modified Abuse Monitoring), perché la funzione è riservata ai clienti seguiti direttamente da Microsoft e ai partner. OpenAI conserva i dati fino a 30 giorni per il rilevamento degli abusi. Anthropic cancella input e output dell’API entro 30 giorni. Cortecs tiene input e output solo nella memoria di lavoro e conserva i metadati delle richieste fino a 12 mesi. Autorizziamo solo i centri dati che, secondo Cortecs, non conservano input e output.

Una selezione delle misure che abbiamo attuato. Le misure tecniche e organizzative (MTO) complete ai sensi dell’art. 32 GDPR, con lo stato di ciascuna misura, le inviamo su richiesta.

• Responsabilità

  Philipp Gurndin eroga personalmente i servizi ed è responsabile della protezione dei dati e della sicurezza. Altre persone lavorano solo con il vostro previo consenso scritto e dopo un impegno scritto alla riservatezza.

• Riservatezza

  Siamo vincolati alla riservatezza, senza limiti di tempo. La base sono il contratto di progetto e l’accordo di riservatezza.

• Autenticazione

  L’accesso alle nostre interfacce web avviene tramite il servizio di accesso di Invariance, con account personali e secondo fattore. I ruoli valgono per singola applicazione.

• Separazione dei clienti

  Ogni cliente ha un’area propria e separata. Ogni applicazione funziona in un proprio container con una propria directory dei dati.

• Accesso dedicato presso i fornitori di IA

  Per il trattamento per vostro conto utilizziamo modelli linguistici solo tramite account API con un accordo sul trattamento dei dati. Per ciascun cliente creiamo lì una chiave propria, presso Microsoft una risorsa propria, presso OpenAI un progetto proprio.

• Accesso al server

  Il server è amministrato solo da Philipp Gurndin. SSH funziona solo con chiave, le password sono disattivate e dopo tentativi falliti l’accesso viene bloccato.

• Filtro per paese

  Amministrazione, interfacce web interne, SSH e accesso al sistema di posta rispondono solo da paesi autorizzati. Pubblicamente raggiungibili sono solo siti web e prodotti.

• Accesso ai vostri sistemi

  Accediamo ai vostri sistemi solo nel modo da voi previsto, ad esempio tramite la vostra VPN, e con account personali. I diritti sono assegnati dal vostro amministratore.

• Trasmissione

  Tutti i servizi web e le interfacce funzionano tramite HTTPS con TLS. Trasmettiamo la posta con TLS.

• Chiavi e password

  Le chiavi e le password dei nostri servizi sono archiviate in forma cifrata nella configurazione del server o nella nostra cassaforte delle password. Non compaiono nel codice sorgente, nei log né nelle estensioni sulle postazioni di lavoro.

• Log

  Registriamo gli accessi al server web senza intestazioni, a rotazione, fino a un massimo di 30 MB. Le nostre applicazioni non scrivono nei log gli input dei clienti.

• Sviluppo e test

  Sviluppiamo e testiamo con dati fittizi o da voi autorizzati. Utilizziamo gli abbonamenti a ChatGPT e Claude solo per tali test circoscritti. I repository del codice sorgente non contengono dati dei clienti.

• Backup

  Eseguiamo backup ogni giorno, tra l’altro del servizio di accesso, della posta e dell’area clienti. Abbiamo testato il ripristino, da ultimo il 24 ottobre 2026.

• Aggiornamenti

  Il sistema operativo riceve automaticamente gli aggiornamenti di sicurezza. Aggiorniamo regolarmente piattaforma e applicazioni, da ultimo il 24 ottobre 2026.

• Monitoraggio

  Controlliamo i servizi in modo automatico, con allarme a Philipp Gurndin. Sul nostro server è attivo un registro centrale degli errori.

• Interruzione

  Se un servizio di Invariance si interrompe, il vostro sistema resta utilizzabile, salvo diversa indicazione della scheda tecnica.

• Cancellazione alla fine del contratto

  Alla fine del contratto o su richiesta cancelliamo dati, copie e accessi e confermiamo per iscritto la cancellazione. I dati nei backup scadono con la rotazione dei backup e fino ad allora restano bloccati.

Un incidente è qualsiasi evento in cui i dati di un cliente potrebbero andare persi, essere modificati o diventare accessibili a persone non autorizzate, e qualsiasi disservizio che incida sulla sicurezza di un servizio. Conta anche il semplice sospetto. Vi segnaliamo senza ingiustificato ritardo ogni incidente che possa riguardare i vostri dati, al più tardi entro 12 ore da quando ne veniamo a conoscenza. Il termine decorre da quando ne viene a conoscenza Philipp Gurndin. Se un sub-responsabile del trattamento ci segnala un incidente, vale lo stesso termine dal ricevimento della sua segnalazione. La segnalazione viene inviata via email alla vostra persona autorizzata a impartire istruzioni e al vostro referente tecnico e, se la situazione lo richiede, anche per telefono. Indica, per quanto noto, le informazioni di cui all’art. 33, par. 3 GDPR. Documentiamo ogni incidente, anche se il sospetto non trova conferma. Le notifiche alle autorità le effettuate voi in qualità di titolare del trattamento. In questo modo vi resta tempo per i vostri termini. Noi vi forniamo a tal fine le informazioni tecniche.

1. Subito

   Conteniamo l’incidente prima che sia stato chiarito completamente. Disattiviamo i servizi interessati o li scolleghiamo dalla rete, blocchiamo gli accessi, sostituiamo chiavi e password e interrompiamo i trasferimenti di dati verso i fornitori. Preserviamo le tracce prima che qualcosa venga cancellato o reinstallato.

2. 12 ore

   Al più tardi entro questo termine vi segnaliamo l’incidente, calcolato da quando ne veniamo a conoscenza.

3. 24 ore

   Il vostro termine per il preallarme al CSIRT competente ai sensi della NIS2, in Italia il CSIRT Italia, se siete soggetti alla NIS2.

4. 72 ore

   Il vostro termine per la notifica all’autorità di controllo ai sensi dell’art. 33, par. 1 GDPR, in Italia il Garante per la protezione dei dati personali.

5. A conclusione

   Ricevete una relazione scritta: svolgimento, causa, conseguenze, misure e che cosa cambia in via permanente.

A seconda del prodotto, prima dell’avvio predisponiamo per voi questi documenti.

• Accordo sul trattamento dei dati (DPA)

  Ai sensi dell’art. 28 GDPR, con tre allegati: le misure tecniche e organizzative, i punti di contatto e l’elenco dei sub-responsabili del trattamento. Lo standard è la Variante B.

• Scheda tecnica

  Una scheda per prodotto e cliente per il vostro inventario di software e fornitori ai sensi della NIS2. Indica quali dati il prodotto legge, invia e conserva.

• Valutazione d’impatto sulla protezione dei dati (DPIA), parte tecnica

  La parte tecnica di una valutazione d’impatto sulla protezione dei dati ai sensi dell’art. 35 GDPR. La parte restante la integrate voi.

• Panoramica sulla zero data retention

  Quale fornitore di IA conserva input e output, con le prove a supporto.

• Indicazioni sull’IA

  Proposte per quattro passaggi nell’impiego di un prodotto con IA presso di voi: informazione di pazienti o clienti, istruzioni ai vostri collaboratori, formazione dei collaboratori, autorizzazione prima dell’esercizio ordinario. I testi li adottate o li modificate voi.

• Accordo di riservatezza

  L’accordo sulla riservatezza. Può essere concluso anche prima del primo incontro con dati reali.

• Contratto di progetto

  Il contratto relativo al progetto. Una sezione dedicata disciplina segreto professionale, protezione dei dati e sicurezza dei dati. Prima della messa in produzione potete incaricare, a vostre spese, un test di sicurezza da parte di terzi.

I dati vanno a fornitori di IA o ad altri servizi? A quali, in quali paesi?

Per il trattamento per vostro conto, solo ai sub-responsabili del trattamento indicati nell’Allegato 3 del vostro DPA o a fornitori con cui avete voi stessi un contratto. Se un prodotto richiede il trattamento nell’UE o nel SEE, tratta dati reali solo tramite Azure OpenAI di Microsoft nell’UE, con la risorsa in Svezia, oppure tramite modelli aperti presso Cortecs, solo presso centri dati nel SEE da noi autorizzati, anche in Islanda. Dove il codice si rivolge ancora direttamente a OpenAI, lo modifichiamo prima. Altri prodotti utilizzano OpenAI o Anthropic, con trattamento anche negli Stati Uniti. Il fornitore in questione è indicato nel vostro DPA. I nostri servizi funzionano su un server presso Contabo in Francia.

Input, risultati, errori o utilizzo vengono registrati nei log?

Input e risultati dei clienti non finiscono nei log. Registriamo gli errori senza contenuti. Gli accessi al server web li registriamo senza intestazioni e a rotazione.

I dati vengono usati per addestrare o migliorare modelli di IA?

Non tramite le API attraverso cui lavoriamo per vostro conto. Non addestriamo modelli con i vostri dati, e le condizioni API di Microsoft, OpenAI, Anthropic e Cortecs escludono che i fornitori utilizzino input e output per l’addestramento.

Esiste un accordo sul trattamento dei dati che esclude altre finalità?

Sì. Prima di trattare dati reali concludiamo con voi un DPA ai sensi dell’art. 28 GDPR, che vincola i dati allo scopo dell’incarico. Abbiamo contratti propri con Microsoft, OpenAI, Anthropic, Cortecs, Mistral, Contabo e Brevo.

È possibile limitare la trasmissione dei dati o disattivare il software in tempi brevi?

Sì. Potete bloccare le estensioni tramite policy e bloccare gli indirizzi dei nostri servizi sul vostro firewall. Possiamo disattivare immediatamente qualsiasi servizio che gestiamo.

Philipp Gurndin gurndin@invariance.co +39 350 0404 001 PEC gurndin@pec.it