Accordo sul trattamento dei dati (DPA)

Il presente DPA si applica a tutte le attività di trattamento svolte da Numezis per conto del Cliente in relazione al Servizio durante la Durata dell'abbonamento e per ogni eventuale periodo concordato di transizione, supporto, backup o cancellazione successivo.

L'oggetto del trattamento consiste nella fornitura del Servizio ospitato e delle correlate funzioni di supporto, sicurezza, manutenzione, storage, trasmissione, troubleshooting, export e amministrazione del conto richieste dal Cliente. La durata del trattamento corrisponde al periodo in cui Numezis e istruita o altrimenti tenuta a trattare i relativi dati personali nell'ambito del rapporto cliente.

Numezis tratta dati personali solo nella misura necessaria a fornire il Servizio e le correlate funzioni di supporto, hosting, storage, trasmissione, export, backup, sicurezza, troubleshooting, monitoring e amministrazione del conto richieste dal Cliente. A seconda della configurazione scelta dal Cliente e delle sue istruzioni, il trattamento può includere raccolta, registrazione, organizzazione, strutturazione, conservazione, consultazione, uso, comunicazione mediante trasmissione, allineamento, limitazione, cancellazione o distruzione.

Le istruzioni documentate del Cliente possono risultare dall'Accordo, dalle impostazioni del conto, dai permessi utente, dalle chiamate API, dai ticket di supporto, dai workflow di implementazione, da richieste scritte o da altri usi documentati del Servizio iniziati o autorizzati dal Cliente.

I sub-responsabili autorizzati sono elencati nell'Allegato 1 del presente DPA.

Il presente allegato è parte integrante del DPA. Elenca i sub-responsabili di cui Numezis si avvale per trattare Dati Personali per conto del Cliente, con il luogo effettivo di ciascun trattamento.

Infrastruttura e dati di produzione

• Infomaniak Network SA (Svizzera) — hosting applicativo, database primario, indice di ricerca vettoriale e misurazione del pubblico del sito pubblico. Luogo del trattamento: Ginevra, Svizzera.
• Google Cloud EMEA Limited / Google LLC — archiviazione dei documenti del Cliente, copie di backup fuori sede, gestione delle chiavi di cifratura e analisi antimalware dei file caricati. Luogo del trattamento: Zurigo, Svizzera (regione europe-west6).

Trattamenti di intelligenza artificiale

• Microsoft Ireland Operations Limited — Azure OpenAI Service e Azure AI Foundry: modelli linguistici, vettori semantici ed esecuzione del modello di lettura documentale. Luogo del trattamento: Svezia (regione Sweden Central), Unione europea. I contenuti trasmessi non sono utilizzati per addestrare modelli.
• Mistral AI SAS (Francia) — editore del modello di lettura documentale impiegato per il riconoscimento dei caratteri e l'annotazione strutturata. Il modello è eseguito sull'infrastruttura Microsoft sopra indicata e non su quella di Mistral AI.

Comunicazioni

• Amazon Web Services EMEA SARL — ricezione delle e-mail in entrata indirizzate al Servizio e conservazione temporanea dei messaggi grezzi e dei relativi allegati. Luogo del trattamento: Francoforte, Germania (regione eu-central-1).
• Google Ireland Limited (Google Workspace) — instradamento delle e-mail transazionali in uscita dal Servizio. Luogo del trattamento: Unione europea.
• Telegram FZ-LLC e WhatsApp Ireland Limited — canali conversazionali, unicamente quando il Cliente attiva esplicitamente il canale interessato. In assenza di attivazione non viene loro trasmesso alcun dato.

Funzioni di supporto

• Stripe Payments Europe Limited (Irlanda) — fatturazione, abbonamenti e incasso. Tratta dati di contatto e di fatturazione, mai i dati aziendali inseriti nel Servizio.
• Functional Software, Inc. (Sentry) — raccolta degli errori applicativi a fini di affidabilità. La raccolta automatica di dati personali è disattivata e gli eventi sono filtrati prima dell'invio.
• Tavily, Inc. — ricerca web per l'arricchimento delle informazioni aziendali e il monitoraggio normativo. Riceve identificativi pubblici d'impresa (ragione sociale, dominio), mai dati contabili o di payroll.

Notifica. Ogni aggiunta o sostituzione di un sub-responsabile è notificata al Cliente con almeno 30 giorni di calendario di preavviso, conformemente alla sezione «Sub-responsabili ulteriori».

Localizzazione principale. Il Servizio applicativo, il database primario, l'indice di ricerca e i backup locali sono gestiti in Svizzera, su infrastruttura situata a Ginevra. I documenti del Cliente, le copie di backup fuori sede e le chiavi di cifratura gestite sono conservati in Svizzera, nella regione di Zurigo.

Trattamenti effettuati fuori dalla Svizzera. Due categorie di trattamento si svolgono al di fuori del territorio svizzero, all'interno dello Spazio economico europeo: i trattamenti di intelligenza artificiale (lettura dei documenti, vettori semantici, generazione di testo) in Svezia, e la ricezione delle e-mail in entrata con la conservazione temporanea dei relativi allegati in Germania. L'Allegato 1 identifica il sub-responsabile, la finalità e il luogo di ciascuno di tali trattamenti.

Garanzie. Quando avviene un trasferimento fuori dalla Svizzera o dallo SEE, Numezis applica un meccanismo di trasferimento riconosciuto dalla normativa applicabile (decisione di adeguatezza, Clausole contrattuali standard 2021, addendum svizzero o britannico) e, ove richiesto, una valutazione d'impatto del trasferimento con misure supplementari ragionevoli.

Tenendo conto della natura del trattamento e delle informazioni a disposizione di Numezis, Numezis fornira ragionevole assistenza al Cliente nel rispondere a richieste lecite degli interessati e nel supportare il Cliente nell'adempimento degli obblighi relativi a sicurezza, gestione dei data breach, valutazioni d'impatto e consultazioni con le autorita competenti, nella misura in cui il Servizio sia rilevante per tali obblighi.

Se una richiesta comporta sforzi sproporzionati, sviluppo personalizzato, significativa revisione legale o servizi oltre le capacità standard del Servizio, Numezis potrà applicare costi ragionevoli, a condizione che tali costi siano comunicati in anticipo ove commercialmente praticabile.

Il presente DPA e disciplinato dalla legge e dalle regole di risoluzione delle controversie previste dal contratto cliente sottostante, salvo nella misura in cui la normativa applicabile in materia di protezione dei dati imponga regole imperative prevalenti. Se una disposizione del presente DPA e ritenuta invalida o inapplicabile, il resto continuera ad avere efficacia nella misura massima consentita dalla legge.

Per qualsiasi richiesta relativa al presente DPA, alla privacy o alla conformità in materia di protezione dei dati, contattare privacy@numezis.com (oppure hello@numezis.com con oggetto « Richiesta GDPR / LPD »).