Accordo sul trattamento dei dati (DPA)

Il presente accordo sul trattamento dei dati si applica tra voi, in qualità di cliente (titolare del trattamento), e Ad Vitam Invest AB (ProfitLens Consulting) (responsabile del trattamento) e diventa applicabile quando iniziate a utilizzare il servizio. Non è richiesta alcuna firma; le condizioni si applicano nella loro ultima versione pubblicata e possono essere scaricate da questa pagina.

In caso di conflitto tra il presente accordo e le condizioni di acquisto, il presente accordo prevale per le questioni relative al trattamento dei dati personali.

Il trattamento riguarda l'analisi automatizzata dei prezzi: conservazione dei file dei clienti, controlli di qualità, calcoli deterministici nel browser del cliente, interviste, trascrizioni, risultati delle analisi, relazioni e contenuti delle presentazioni. Il supporto dell'IA utilizza Azure OpenAI nell'UE. La modalità vocale è facoltativa, viene attivata soltanto dall'intervistato e può essere disabilitata; ProfitLens non registra né conserva audio e salva soltanto trascrizioni scritte.

Per l'assistenza tramite la guida, una sintesi limitata dei nomi delle colonne, della mappatura, dei risultati dei controlli e, se abilitate, delle righe campione pseudonimizzate viene inviata ad Azure OpenAI nell'UE. Il cliente può disabilitare la condivisione delle righe campione. Microsoft non utilizza questi contenuti per addestrare modelli di base; le sue condizioni applicabili in materia di sicurezza e monitoraggio degli abusi possono consentire una conservazione limitata.

Il trattamento prosegue per tutto il periodo in cui utilizzate il servizio e per i periodi di conservazione indicati nell'informativa sulla privacy.

Interessati: i vostri dipendenti che utilizzano il servizio, gli intervistati e le persone fisiche che possono figurare nei dati caricati, quali rappresentanti commerciali o referenti presso i vostri clienti.

Dati: nome, qualifica, email, identificativi dei clienti e dati delle transazioni. Non devono essere caricate categorie particolari di dati ai sensi di Article 9 GDPR. I nomi dei clienti possono essere mascherati, purché il mascheramento sia coerente.

Trattiamo i dati personali soltanto sulla base delle vostre istruzioni documentate, ove il vostro utilizzo del servizio e le presenti condizioni costituiscono l'istruzione.

Il personale che dispone di accesso è vincolato alla riservatezza. L'accesso è controllato mediante autorizzazioni e limitato a quanto richiesto dall'attività lavorativa.

Adottiamo misure di sicurezza tecniche e organizzative adeguate ai sensi di Article 32: cifratura a riposo e in transito, separazione per account e analisi, registrazione degli eventi e procedure di ripristino.

Vi assistiamo nel rispondere alle richieste degli interessati e nelle valutazioni d'impatto e nella consultazione preventiva nella misura ragionevolmente necessaria.

Vi comunichiamo senza ingiustificato ritardo, e al più tardi entro 48 ore dalla scoperta, qualsiasi violazione dei dati personali che interessi i vostri dati.

Alla cessazione cancelliamo i vostri dati personali, oppure ve li restituiamo se ne fate richiesta entro trenta giorni, salvo che la legge ci imponga di conservarli.

Ci concedete un'autorizzazione generale preventiva a ricorrere a sub-responsabili del trattamento. Imponiamo a ciascun sub-responsabile obblighi almeno equivalenti a quelli previsti dal presente accordo e restiamo responsabili del loro trattamento come del nostro.

Sub-responsabili del trattamento e funzioni attuali: Microsoft Ireland Operations Limited (Azure Blob Storage, file dei clienti in Svezia; Azure Database for PostgreSQL, trascrizioni, analisi, relazioni e contenuti delle presentazioni in Irlanda; Azure OpenAI, IA per i testi e modalità vocale/trascrizione facoltative nella EU Data Zone). Supabase (piattaforma del sito web e dell'applicazione, accesso lato server e orchestrazione del servizio, account, autenticazione, metadati di accesso e crediti). I fornitori di servizi email recapitano le notifiche di sistema. Questa ripartizione descrive i servizi utilizzati; non afferma che l'hosting o l'assistenza siano svolti esclusivamente nell'UE.

Vi informiamo prima di iniziare a utilizzare un nuovo sub-responsabile del trattamento. Potete opporvi per motivi ragionevoli e, qualora non possiamo accogliere l'opposizione, potete risolvere il rapporto relativo al servizio e ottenere il rimborso dei crediti inutilizzati.

La conservazione primaria dei contenuti dei clienti avviene nelle regioni Azure dell'UE: i file in Sweden Central (Svezia) e le trascrizioni, i risultati delle analisi, le relazioni e i contenuti delle presentazioni in North Europe (Irlanda). L'inferenza di Azure OpenAI EU Data Zone può avere luogo in diversi Stati membri dell'UE. Non vengono utilizzate distribuzioni Global di IA. I calcoli deterministici sono eseguiti localmente nel browser del cliente. La conservazione e l'inferenza nell'UE non implicano che ogni server applicativo o fornitore di supporto tratti i dati soltanto all'interno dell'UE.

Copie temporanee dei contenuti dei clienti nella precedente area di conservazione Supabase nell'UE permangono durante la verifica e per il ripristino della configurazione precedente. La rimozione definitiva richiede una cancellazione approvata separatamente e non avviene automaticamente quando le presenti condizioni cambiano. Per gli accessi da paesi terzi o i trasferimenti verso paesi terzi da parte dei fornitori di supporto, applichiamo le garanzie per i trasferimenti previste dal GDPR, incluse le clausole contrattuali tipo ove richieste. Le condizioni applicabili di Microsoft in materia di protezione dei dati e servizi disciplinano anche la sicurezza e il monitoraggio degli abusi; non è stata verificata alcuna esenzione che garantisca l'assenza di conservazione.

Su richiesta forniamo la documentazione necessaria a dimostrare la conformità a Article 28 GDPR. Un audit può essere effettuato una volta all'anno, con ragionevole preavviso e senza esporre i dati di altri clienti.

Il supporto dell'IA è utilizzato soltanto in alcune fasi e non riceve mai l'intero insieme dei dati caricati. I calcoli sono eseguiti mediante codice sottoposto a controllo di versione senza IA.

Prima che i valori di esempio siano inviati a un sub-responsabile del trattamento che fornisce IA, i nomi dei clienti, i nomi dei prodotti, i rappresentanti commerciali e i segmenti sono sostituiti da codici stabili. La tabella di corrispondenza viene creata temporaneamente in memoria e non viene conservata.

Il cliente può selezionare Standard (valori di esempio codificati), Limitata (solo nomi delle colonne e dei fogli) o Nessuna IA sui dati (supporto dell'IA nelle fasi relative ai dati disattivato). L'impostazione si applica all'account e può essere modificata per ciascuna analisi.

Prima di ogni chiamata all'IA, il cliente può visualizzare il testo esatto che viene inviato. Ogni chiamata è registrata per ciascuna analisi con orario, fase, modalità, numero di caratteri e indicazione dell'eventuale inclusione di valori di esempio; il registro può essere scaricato e supporta la vostra tenuta dei registri ai sensi di Article 30 GDPR.