Dove sono i dati

1. Infrastruttura e legge applicabile

Il fornitore del servizio è Artifex Technologies S.r.l.s., con sede in Italia (Via della Valle 13, 81100 Caserta (CE)). I dati della tua azienda passano dai fornitori qui sotto: per ciascuno indichiamo dove sono trattati e a quale legge è soggetta la società che li tratta o il gruppo a cui appartiene.

Il collegamento dei conti lo presta Yapily Connect UAB, istituto di pagamento autorizzato in Lituania, del gruppo Yapily (Regno Unito), che agisce come titolare autonomo con il consenso che dai alla tua banca. L’elenco completo dei fornitori, con le garanzie per i trasferimenti fuori dall’UE, è nell’Allegato C dell’Accordo sul trattamento dei dati e nella sezione 6 dell’informativa privacy.

2. Il rischio: l’accesso di autorità di Paesi terzi

Una società soggetta alla legge degli Stati Uniti può ricevere dalle autorità di quel Paese l’ordine di consegnare dati che ha in custodia o sotto il proprio controllo, anche se sono conservati nell’Unione europea (per esempio in base al CLOUD Act o alla sezione 702 del FISA). Lo stesso può valere, con leggi diverse, per altri Paesi fuori dall’Unione. Un ordine del genere può essere in contrasto con il diritto dell’Unione o con quello italiano. Le misure delle sezioni 3 e 4 servono a rendere questo accesso meno probabile, più difficile e controllabile.

3. Le misure

Tecniche

• Regioni europee. Database, file e copie di sicurezza giornaliere sono a Francoforte, e lì girano le funzioni che leggono e scrivono i dati.
• Cifratura. Tutte le comunicazioni viaggiano cifrate (HTTPS/TLS, con HSTS); il database è cifrato a riposo dal fornitore (AES-256); le chiavi d’accesso ai conti bancari sono cifrate anche dall’applicazione (AES-256-GCM), con una chiave che non sta nel database.
• Solo i dati necessari. A ogni fornitore va solo ciò che gli serve. Al fornitore di intelligenza artificiale va solo ciò che serve alla singola richiesta; secondo le sue condizioni non lo usa per addestrare i modelli e lo conserva al massimo 30 giorni.
• Separazione e accessi. I dati di ogni azienda sono separati anche a livello di database. Il pannello di amministrazione di Artifex è riservato a una sola persona, che vi accede con password e app di autenticazione, e le operazioni che vi esegue sono registrate.

Contrattuali

• Con ogni fornitore che tratta i dati per nostro conto c’è un accordo sul trattamento dei dati.
• Per i trasferimenti fuori dall’UE valgono le clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914) o, per le società certificate, il Data Privacy Framework UE-USA (Decisione (UE) 2023/1795). Le clausole tipo obbligano il fornitore che riceve una richiesta di un’autorità pubblica a informarne chi gli ha affidato i dati, a valutarne la legittimità, a contestarla se ci sono motivi e a consegnare il minimo dei dati (clausola 15). Il Data Privacy Framework limita l’accesso delle autorità statunitensi a quanto necessario e proporzionato e prevede un meccanismo di ricorso per le persone che si trovano nell’Unione europea.
• Se una di queste garanzie viene meno, per esempio perché una decisione di adeguatezza è annullata, te lo comunichiamo e adottiamo un’altra garanzia o cambiamo fornitore, come prevede l’art. 6 dell’Accordo.

Organizzative

• Scegliamo fornitori che offrono un accordo sul trattamento dei dati e garanzie per i trasferimenti, con regioni europee dove le offrono, e seguiamo i loro avvisi sui sub-responsabili.
• Ogni nuovo fornitore che tratta i tuoi dati ti viene comunicato prima, e puoi opporti, secondo l’art. 5 dell’Accordo.

4. Se Artifex riceve una richiesta

Se un’autorità di un Paese fuori dall’Unione europea chiede ad Artifex di accedere ai dati della tua azienda o di trasferirli, Artifex non dà seguito alla richiesta se non nei casi ammessi dall’art. 32 del Data Act e, per i dati personali, dall’art. 48 del GDPR: quando la richiesta si basa su un accordo internazionale con l’Unione o con l’Italia, o negli altri casi e alle condizioni che quelle norme prevedono. In ogni caso valuta la richiesta, consegna solo il minimo dei dati necessario e ti informa prima di darle seguito, salvo che la richiesta serva a un’indagine e finché l’informazione la comprometterebbe.

5. Che cosa queste misure non possono escludere

• Per usare i dati l’applicazione deve leggerli: la cifratura protegge le comunicazioni e i dischi, non impedisce al fornitore che fa girare l’applicazione o il database di accedervi se ne riceve l’ordine.
• Le richieste all’intelligenza artificiale sono trattate negli Stati Uniti.
• Un fornitore può essere obbligato dalla legge del suo Paese a non dire di aver ricevuto una richiesta: in quel caso né noi né te lo sapremmo.

Per domande su questa pagina scrivi a privacy@contifex.com. Come esportare i dati e portarli a un altro fornitore è nella pagina Esportazione dei dati.