Informativa sulla Privacy

Avviso su questa versione

La versione giuridicamente vincolante della presente informativa sulla privacy è la versione tedesca, consultabile all'indirizzo https://paless.eu/de/privacy. La presente versione italiana viene messa a disposizione esclusivamente per facilitarne la comprensione. In caso di divergenze o contraddizioni tra la versione italiana e la versione tedesca, prevale la versione tedesca.

1. Titolare del trattamento

Titolare del trattamento ai sensi dell'art. 4, punto 7, del regolamento (UE) 2016/679 (regolamento generale sulla protezione dei dati, di seguito: «RGPD») nonché delle altre leggi nazionali in materia di protezione dei dati è la summenzionata Entalys GmbH.

Iscritta nel registro delle imprese presso il tribunale (Amtsgericht) di Neuss, HRB 25084. Numero di identificazione IVA: DE460863235. E-mail generale: info@paless.eu. Per le richieste in materia di protezione dei dati La preghiamo di utilizzare preferibilmente l'indirizzo e-mail datenschutz@paless.eu.

2. Responsabile della protezione dei dati

Attualmente non è stato nominato un responsabile della protezione dei dati. In base alla verifica attuale, il titolare del trattamento non è soggetto ad alcun obbligo legale di nomina ai sensi dell'art. 37 RGPD in combinato disposto con il § 38 della legge federale tedesca sulla protezione dei dati (BDSG). La necessità di una nomina viene verificata costantemente, in particolare in vista dell'avvio dell'operatività effettiva del servizio; qualora si procedesse a una nomina, i dati di contatto del responsabile della protezione dei dati verrebbero pubblicati in questo punto.

Per qualsiasi questione in materia di protezione dei dati è a Sua disposizione l'indirizzo di contatto datenschutz@paless.eu indicato nella sezione 1.

3. Informazioni generali sul trattamento dei dati

Questa sezione descrive a quali trattamenti si applica la presente informativa sulla privacy e in quale significato devono intendersi i termini utilizzati.

3.1 Ambito di applicazione

La presente informativa sulla privacy si applica al trattamento di dati personali (a) in occasione dell'accesso al sito web paless.eu, comprese tutte le sottopagine, e del suo utilizzo, (b) nella fase preparatoria, nella conclusione e nell'esecuzione di contratti relativi all'utilizzo del servizio «paless», (c) in occasione dei contatti con il titolare del trattamento attraverso i canali di comunicazione indicati nelle note legali o nella presente informativa, nonché (d) in occasione del sostegno al titolare del trattamento tramite la piattaforma di crowdfunding Kickstarter (sezione 7).

Nella misura in cui il titolare del trattamento tratti dati personali per conto di un cliente ai sensi dell'art. 4, punto 7, RGPD (trattamento per conto terzi), ciò viene segnalato separatamente nelle sezioni corrispondenti (in particolare le sezioni 6.2 e 6.3). Per tale trattamento è determinante il contratto per il trattamento dei dati su incarico concluso tra le parti (allegato 2 delle CGC del titolare del trattamento).

3.2 Definizioni

La presente informativa sulla privacy utilizza i termini nel significato attribuito loro dall'art. 4 RGPD. In particolare si intende per:

• «dati personali» qualsiasi informazione riguardante una persona fisica identificata o identificabile (art. 4, punto 1, RGPD)
• «trattamento» qualsiasi operazione compiuta su dati personali (art. 4, punto 2, RGPD)
• «titolare del trattamento» il soggetto che decide sulle finalità e sui mezzi del trattamento (art. 4, punto 7, RGPD)
• «responsabile del trattamento» il soggetto che tratta dati personali per conto del titolare del trattamento (art. 4, punto 8, RGPD)

4. Basi giuridiche del trattamento

Nella misura in cui otteniamo il consenso dell'interessato per operazioni di trattamento di dati personali, la base giuridica è l'art. 6, paragrafo 1, lettera a), RGPD.

Per il trattamento di dati personali necessario all'esecuzione di un contratto di cui l'interessato è parte, la base giuridica è l'art. 6, paragrafo 1, lettera b), RGPD. Ciò vale anche per le operazioni di trattamento necessarie all'esecuzione di misure precontrattuali.

Nella misura in cui il trattamento di dati personali sia necessario per adempiere un obbligo legale al quale è soggetto il titolare del trattamento (ad esempio obblighi di conservazione previsti dal diritto commerciale o tributario), la base giuridica è l'art. 6, paragrafo 1, lettera c), RGPD.

Se il trattamento è necessario per la tutela di un legittimo interesse del titolare del trattamento o di un terzo e gli interessi, i diritti fondamentali e le libertà fondamentali dell'interessato non prevalgono sul primo interesse citato, la base giuridica è l'art. 6, paragrafo 1, lettera f), RGPD. Il rispettivo legittimo interesse viene indicato in relazione ai singoli trattamenti.

5. Trattamento in occasione della visita al sito web paless.eu

Questa sezione informa su quali dati personali vengono trattati in occasione della visita al sito web paless.eu, per quali finalità e su quale base giuridica.

5.1 File di log del server

A ogni accesso al sito web, il browser del Suo dispositivo trasmette automaticamente informazioni al server del sito; la distribuzione del sito web avviene tramite il nostro responsabile del trattamento Bunny.net (sezione 8). Le seguenti informazioni vengono rilevate senza alcun Suo intervento e memorizzate temporaneamente in un cosiddetto file di log del server:

• indirizzo IP del dispositivo richiedente
• data e ora dell'accesso
• nome e URL del file consultato
• sito web dal quale avviene l'accesso (URL referrer)
• browser utilizzato nonché, se del caso, il sistema operativo del Suo dispositivo e il nome del Suo provider di accesso

Finalità: garantire l'instaurazione fluida della connessione e un utilizzo agevole del sito web, analizzare la sicurezza e la stabilità del sistema nonché accertare atti di abuso o frode; in ciò risiede anche il nostro legittimo interesse. Base giuridica: art. 6, paragrafo 1, lettera f), RGPD. Durata di conservazione: al massimo 30 giorni, seguita da cancellazione o anonimizzazione automatizzata; una conservazione più lunga nel singolo caso è possibile qualora sia necessaria per chiarire un incidente di sicurezza concreto.

5.2 Cookie e tecnologie simili; gestione del consenso

Sul sito web vengono impiegati cookie e tecnologie simili (congiuntamente: «cookie»). I cookie sono piccoli file di testo che vengono memorizzati nel browser del Suo dispositivo.

I cookie tecnicamente indispensabili, il cui impiego è strettamente necessario per il funzionamento del sito web (ad esempio per memorizzare le Sue impostazioni sui cookie, per la selezione della lingua o per mantenere una sessione), vengono installati senza consenso. La base giuridica è il § 25, comma 2, n. 2, della legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali (TDDDG) in combinato disposto con l'art. 6, paragrafo 1, lettera f), RGPD; il nostro legittimo interesse risiede nel funzionamento tecnicamente corretto e sicuro del sito web.

Gli altri cookie, che vanno oltre quanto tecnicamente indispensabile, vengono installati esclusivamente con il Suo consenso esplicito. La base giuridica è il § 25, comma 1, TDDDG in combinato disposto con l'art. 6, paragrafo 1, lettera a), RGPD. Lei può revocare in qualsiasi momento un consenso prestato, con effetto per il futuro.

La gestione del consenso avviene tramite il gestore del consenso ai cookie open source Klaro!. Attraverso il banner visualizzato Lei può prestare i consensi, effettuare selezioni individuali e revocarli o modificarli in qualsiasi momento. I file di script e di configurazione di Klaro! vengono distribuiti tramite la rete di distribuzione dei contenuti del nostro responsabile del trattamento Bunny.net (sezione 8); per motivi tecnici, in tale occasione viene trattato il Suo indirizzo IP. Non ha luogo alcuna trasmissione all'editore di Klaro! né ad altri terzi.

5.3 Caratteri tipografici integrati localmente

Sul sito web vengono utilizzati i caratteri tipografici «Inter» e «Schibsted Grotesk», provenienti in origine dall'offerta Google Fonts. A tutela della Sua privacy, i file dei caratteri vengono distribuiti esclusivamente insieme al sito web dal nostro proprio dominio (sezione 5.1). Non viene stabilita alcuna connessione con server di Google LLC o di Google Ireland Limited; non ha luogo alcuna trasmissione a Google del Suo indirizzo IP o di altri dati personali.

Base giuridica: art. 6, paragrafo 1, lettera f), RGPD. Il nostro legittimo interesse risiede in una presentazione tipografica uniforme e gradevole del sito web senza il ricorso a servizi di caratteri esterni.

5.4 Contatto via e-mail

Se ci contatta via e-mail (ad esempio agli indirizzi info@paless.eu o datenschutz@paless.eu), i dati da Lei comunicati (quantomeno il Suo indirizzo e-mail, il contenuto del Suo messaggio nonché, se del caso, ulteriori informazioni da Lei fornite volontariamente, come nome, azienda o numero di telefono) vengono trattati al fine di gestire la Sua richiesta e per eventuali domande successive. Attualmente il sito web non offre un modulo di contatto.

Base giuridica: art. 6, paragrafo 1, lettera b), RGPD, nella misura in cui la Sua richiesta sia diretta alla conclusione o all'esecuzione di un contratto; negli altri casi art. 6, paragrafo 1, lettera f), RGPD; il nostro legittimo interesse risiede nella risposta alla Sua richiesta.

Durata di conservazione: cancelliamo i dati personali generati in questo contesto non appena la loro conservazione non è più necessaria, di regola al più tardi decorsi tre anni dalla fine dell'anno civile dell'ultima corrispondenza nel merito, oppure ne limitiamo il trattamento qualora sussistano obblighi legali di conservazione.

5.5 Newsletter

Sul sito web può abbonarsi alla nostra newsletter via e-mail, con la quale La informiamo sullo sviluppo, sul lancio (in particolare sulla campagna Kickstarter) e sulle nuove funzionalità del servizio «paless».

L'iscrizione avviene con la procedura del doppio opt-in: dopo la Sua registrazione riceverà un'e-mail con un link di conferma; solo dopo la Sua conferma La inseriremo nella lista di distribuzione. Vengono trattati il Suo indirizzo e-mail, facoltativamente il Suo nome, nonché il momento della registrazione e della conferma insieme all'indirizzo IP utilizzato, a prova del consenso. Il modulo di iscrizione viene caricato solo dopo che Lei ha acconsentito, tramite il gestore del consenso ai cookie Klaro!, all'integrazione del servizio Sender necessaria a tal fine.

Base giuridica: il Suo consenso ai sensi dell'art. 6, paragrafo 1, lettera a), RGPD. Lei può revocare il consenso in qualsiasi momento con effetto per il futuro, ad esempio tramite il link di disiscrizione in calce a ogni e-mail della newsletter o con un messaggio a marketing@paless.eu; la liceità del trattamento effettuato fino alla revoca resta impregiudicata.

Per l'invio della newsletter e la messa a disposizione del modulo di iscrizione ci avvaliamo del servizio Sender (Sender.net) di UAB Sender.lt, Lvivo g. 25, 09320 Vilnius, Lituania (UE), quale responsabile del trattamento ai sensi dell'art. 28 RGPD. Ai fini della valutazione e del miglioramento della newsletter, il servizio può misurare se e quando le e-mail della newsletter vengono aperte e se i link in esse contenuti vengono cliccati; questa misurazione della portata è coperta dal Suo consenso.

Durata di conservazione: fino alla revoca del consenso ovvero fino alla disiscrizione dalla newsletter.

5.6 Video integrati (YouTube)

Sul sito web integriamo video ospitati sul servizio YouTube. Il fornitore è Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda. All'apertura della pagina viene inizialmente mostrata soltanto un'anteprima distribuita localmente dal nostro stesso sito web; in tale momento non viene stabilita alcuna connessione con YouTube o Google.

Solo quando Lei avvia attivamente un video, il contenuto viene caricato da YouTube in modalità privacy avanzata tramite il dominio youtube-nocookie.com. In tale occasione il Suo indirizzo IP viene trasmesso a YouTube ovvero a Google e possono essere installati cookie o tecnologie simili; ciò può comportare un trasferimento negli USA (sezione 9). La base giuridica per il caricamento è il consenso da Lei prestato con il clic (art. 6, paragrafo 1, lettera a), RGPD).

Non abbiamo alcuna influenza sull'ulteriore trattamento da parte di Google; per i dettagli La rinviamo all'informativa sulla privacy di Google all'indirizzo https://policies.google.com/privacy.

6. Trattamento nell'ambito del servizio «paless»

Il servizio «paless» è una soluzione software di gestione documentale con componenti integrati di intelligenza artificiale. Ne fanno parte il riconoscimento del testo (OCR) dei documenti caricati, l'indicizzazione semantica e la classificazione assistita dall'IA, nonché l'assistente conversazionale «Pal», che reperisce e riassume documenti e, su iniziativa del cliente, redige bozze, ad esempio per e-mail o per la compilazione di moduli. Il servizio si trova attualmente in fase precedente all'immissione sul mercato; le indicazioni che seguono si applicano all'utilizzo del servizio a partire dalla sua messa a disposizione. In tale contesto i dati personali vengono trattati in ruoli diversi (sezioni da 6.1 a 6.4).

6.1 Dati dell'account e contrattuali (titolarità propria)

Nell'ambito della preparazione e dell'esecuzione del contratto relativo all'utilizzo del servizio, il titolare del trattamento tratta sotto la propria titolarità in particolare le seguenti categorie di dati personali:

• dati anagrafici: nome, azienda, indirizzo, forma giuridica, eventualmente numero di iscrizione al registro delle imprese e numero di identificazione IVA delle parti contraenti nonché delle persone di contatto indicate dal cliente
• dati di contatto e di accesso: indirizzi e-mail, numeri di telefono, identificativi di accesso degli account utente
• dati contrattuali e di fatturazione: prestazioni concordate contrattualmente, informazioni su prenotazioni e tariffe, dati di pagamento e di fatturazione
• metadati di utilizzo e di assistenza: data e tipo di fruizione delle prestazioni di assistenza, ticket, corrispondenza nell'ambito dell'esecuzione del contratto

Finalità: preparazione, conclusione ed esecuzione del contratto, erogazione e fatturazione delle prestazioni concordate, adempimento di obblighi legali nonché comunicazione con il cliente. Basi giuridiche: art. 6, paragrafo 1, lettera b), RGPD (esecuzione del contratto), art. 6, paragrafo 1, lettera c), RGPD (adempimento di obblighi legali, in particolare derivanti dal diritto commerciale e tributario) nonché art. 6, paragrafo 1, lettera f), RGPD (legittimo interesse a garantire l'esercizio sicuro e lo sviluppo del servizio). Durata di conservazione: i dati anagrafici, contrattuali e di fatturazione vengono conservati per la durata del rapporto contrattuale nonché per la durata dei termini legali di conservazione applicabili (in particolare 6 ovvero 10 anni ai sensi del § 257 del codice di commercio tedesco (HGB) e del § 147 del codice tributario tedesco (AO)); i metadati di assistenza vengono di regola cancellati al più tardi tre anni dopo la chiusura della rispettiva pratica.

6.2 Contenuti del cliente (trattamento per conto terzi)

Nella misura in cui il titolare del trattamento, nell'ambito dell'erogazione del servizio, tratti dati personali di cui il cliente è titolare ai sensi dell'art. 4, punto 7, RGPD (in particolare dati personali contenuti nei documenti caricati nel servizio dal cliente e nei relativi metadati), esso agisce quale responsabile del trattamento ai sensi dell'art. 4, punto 8, RGPD. Il trattamento avviene esclusivamente su istruzione documentata del cliente.

Il caricamento di contenuti nel servizio avviene su iniziativa del cliente attraverso i canali da lui scelti, in particolare mediante caricamento diretto, mediante acquisizione da una casella e-mail del cliente (mail ingest), da uno spazio di archiviazione cloud collegato dal cliente o da una condivisione di rete messa a disposizione dal cliente. I documenti caricati vengono sottoposti a un riconoscimento del testo (OCR) che estrae contenuti quali testo e tabelle, al fine di rendere i documenti ricercabili.

È determinante il contratto per il trattamento dei dati su incarico (AVV), concluso con ogni cliente quale allegato 2 delle CGC del titolare del trattamento. L'AVV disciplina in particolare l'oggetto, la durata, la natura e la finalità del trattamento, le categorie di interessati e di dati, gli obblighi del responsabile del trattamento, il ricorso a sub-responsabili, le misure tecniche e organizzative ai sensi dell'art. 32 RGPD nonché la procedura alla cessazione del contratto.

In questa configurazione il cliente resta il titolare del trattamento ai sensi del RGPD. L'obbligo di informare gli interessati in merito al trattamento (artt. 13 e 14 RGPD) e di dare seguito ai diritti degli interessati incombe al cliente; il titolare del trattamento lo assiste al riguardo secondo quanto previsto dall'AVV.

6.3 Trattamento assistito dall'IA nel servizio

Il servizio contiene sistemi di IA ai sensi dell'art. 3, punto 1, del regolamento (UE) 2024/1689 (regolamento sull'IA). Ciò riguarda in particolare l'assistente conversazionale «Pal», basato sul procedimento della generazione aumentata dal recupero («retrieval-augmented generation», RAG), che risponde a domande sui documenti del cliente, redige riassunti e, su iniziativa del cliente, genera bozze (ad esempio per e-mail o per la compilazione di moduli), nonché modelli di embedding per la ricerca semantica e modelli di classificazione e di etichettatura.

Con riguardo a questo trattamento, il titolare del trattamento garantisce, in linea con l'articolo 10, paragrafo 3, e l'articolo 12, paragrafo 4, delle CGC: i contenuti del cliente non vengono utilizzati né per l'addestramento né per la messa a punto (fine-tuning) di modelli di IA propri o di terzi. Nella configurazione standard del servizio, l'inferenza dei modelli di IA impiegati avviene integralmente su infrastruttura propria del titolare del trattamento all'interno dell'Unione europea; nella configurazione standard non ha luogo alcuna trasmissione di contenuti del cliente a fornitori esterni di IA. Qualora in futuro venissero offerte funzionalità opzionali che integrano servizi esterni, i clienti ne verrebbero informati separatamente prima di un'eventuale attivazione; in assenza di tale attivazione, il trattamento resta integralmente all'interno dell'Unione europea. I contenuti del cliente non vengono comunicati a terzi a fini di analisi dei contenuti; vengono rilevate soltanto metriche operative anonimizzate o pseudonimizzate.

Avviso di trasparenza ai sensi dell'art. 50 del regolamento sull'IA: l'assistente «Pal» è un sistema di IA che interagisce con la persona che lo utilizza. Di ciò Lei viene informato nell'interfaccia utente prima della prima interazione.

6.4 Autenticazione

L'accesso al servizio avviene tramite un identity provider gestito in proprio sulla base dello standard OpenID Connect (OIDC). A tal fine il titolare del trattamento impiega il software open source Authentik su infrastruttura propria all'interno dell'Unione europea. Non viene coinvolto alcun fornitore esterno di servizi di identità; non esiste un sub-responsabile separato per la gestione delle identità.

Nell'ambito dell'autenticazione vengono trattati gli identificativi necessari all'accesso, in particolare nome utente ovvero indirizzo e-mail, fattori di autenticazione (ad esempio passkey o chiavi di sicurezza hardware), token di sessione e di accesso nonché i relativi claim OIDC. Basi giuridiche: art. 6, paragrafo 1, lettera b), RGPD nonché art. 6, paragrafo 1, lettera f), RGPD (legittimo interesse a un accesso sicuro al servizio).

7. Sostegno tramite Kickstarter

Prevediamo di finanziare lo sviluppo del servizio tramite una campagna di crowdfunding sulla piattaforma Kickstarter. Qualora Lei ci sostenga tramite Kickstarter, concluderà il contratto di sostegno tramite la piattaforma; per il trattamento dei dati sulla piattaforma è competente, quale titolare autonoma, Kickstarter, PBC, 58 Kent Street, Brooklyn, NY 11222, USA. Per i dettagli La rinviamo all'informativa sulla privacy di Kickstarter all'indirizzo https://www.kickstarter.com/privacy.

Nell'ambito della gestione della campagna riceviamo da Kickstarter i dati delle sostenitrici e dei sostenitori necessari a tal fine, in particolare nome ovvero nome utente, indirizzo e-mail, il livello di sostegno scelto nonché le Sue risposte ai sondaggi conclusivi (ad esempio la tariffa scelta). Trattiamo questi dati per lo svolgimento della campagna, per la concessione delle condizioni da fondatore promesse e per la relativa comunicazione. Base giuridica: art. 6, paragrafo 1, lettera b), RGPD; negli altri casi art. 6, paragrafo 1, lettera f), RGPD (legittimo interesse all'ordinata gestione della campagna).

Il trattamento da parte nostra avviene su infrastruttura all'interno dell'Unione europea. Durata di conservazione: per la durata della gestione della campagna e della concessione delle condizioni da fondatore, al più tardi fino alla scadenza dei termini legali di conservazione (sezione 10).

8. Destinatari e responsabili del trattamento

Per l'erogazione del servizio e l'esercizio del sito web trasmettiamo dati personali ai seguenti destinatari, che abbiamo selezionato con cura e vincolato contrattualmente al livello di protezione dei dati del RGPD:

• OVHcloud SAS (offerta di cloud sovrano), con sede in Francia (UE): hosting, capacità di calcolo, object storage e copie di sicurezza per il servizio «paless»; contratto per il trattamento dei dati su incarico ai sensi dell'art. 28 RGPD.
• Bunny.net (BunnyWay d.o.o.), con sede in Slovenia (UE): distribuzione del sito web di marketing paless.eu tramite una rete di distribuzione dei contenuti, servizi DNS nonché emissione e rinnovo di certificati TLS; contratto per il trattamento dei dati su incarico ai sensi dell'art. 28 RGPD.
• Sender (UAB Sender.lt), con sede a Vilnius, Lituania (UE): invio della newsletter via e-mail e messa a disposizione del modulo di iscrizione alla newsletter (sezione 5.5); contratto per il trattamento dei dati su incarico ai sensi dell'art. 28 RGPD.

Le e-mail transazionali del servizio (ad esempio conferme dell'account, reimpostazioni della password e comunicazioni di sistema) vengono inviate dal titolare del trattamento, in via predefinita, tramite infrastruttura propria; attualmente non viene impiegato alcun fornitore esterno a tal fine. Qualora in futuro venisse impiegato un fornitore con sede nell'UE, verrebbe previamente concluso un contratto per il trattamento dei dati su incarico e verrebbero aggiornati la presente informativa nonché l'allegato 3 delle CGC. Inoltre, i dati personali possono essere comunicati ai consulenti del titolare del trattamento (in particolare avvocati, consulenti fiscali e revisori dei conti), nella misura necessaria alla tutela di legittimi interessi o all'adempimento di obblighi legali; tali destinatari sono soggetti a particolari obblighi legali di riservatezza. Nota su Hugging Face: il titolare del trattamento acquisisce artefatti di modelli di IA una tantum, in fase di build ovvero di setup, da Hugging Face Inc. ovvero Hugging Face S.A.S.; in tale occasione non ha luogo alcuna trasmissione di dati personali del cliente o di dati di utilizzo, cosicché Hugging Face non è un sub-responsabile ai sensi dell'art. 28 RGPD con riguardo all'operatività effettiva del servizio. L'elenco aggiornato dei sub-responsabili impiegati risulta dall'allegato 3 delle CGC («Elenco dei sub-responsabili»). I clienti vengono informati delle modifiche in forma testuale, ai sensi dell'articolo 4 del contratto per il trattamento dei dati su incarico (allegato 2 delle CGC), almeno quattro settimane prima del cambiamento previsto; a essi spetta un diritto di opposizione secondo quanto previsto dall'AVV.

9. Trasferimenti verso paesi terzi

Il servizio «paless» viene gestito integralmente su infrastruttura all'interno dell'Unione europea (offerta di cloud sovrano di OVHcloud SAS); anche per l'esercizio del sito web ci avvaliamo esclusivamente di fornitori con sede nell'Unione europea. Un trasferimento di dati personali verso paesi al di fuori dello Spazio economico europeo (paesi terzi) ha luogo soltanto nei seguenti casi eccezionali:

• video YouTube (sezione 5.6): se Lei avvia attivamente un video integrato, può aver luogo una trasmissione a Google negli USA. Google LLC è certificata ai sensi dell'EU-US Data Privacy Framework; al riguardo sussiste una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 RGPD. Il caricamento avviene inoltre soltanto sulla base del Suo consenso.
• sostegno tramite Kickstarter (sezione 7): la campagna viene gestita tramite la piattaforma di Kickstarter, PBC, con sede negli USA; per il trattamento sulla piattaforma è competente Kickstarter quale titolare autonoma.

Qualora nel singolo caso si rendesse inoltre necessario un trasferimento verso un paese terzo, esso avverrebbe esclusivamente su una base giuridica ai sensi del capo V del RGPD, in particolare sulla base di una decisione di adeguatezza della Commissione europea (art. 45 RGPD), sulla base di garanzie adeguate quali le clausole contrattuali tipo della Commissione europea (art. 46, paragrafo 2, lettera c), RGPD), eventualmente integrate da misure supplementari, oppure sulla base del Suo consenso esplicito ai sensi dell'art. 49, paragrafo 1, lettera a), RGPD, previa informazione sui rischi connessi. Gli interessati verrebbero informati di tale trasferimento in modo adeguato.

10. Durata di conservazione

I dati personali vengono conservati soltanto per il tempo necessario al raggiungimento delle rispettive finalità del trattamento o per il tempo prescritto da obblighi legali di conservazione. Venuta meno la finalità o scaduto il termine di conservazione, i dati vengono cancellati di routine oppure il loro trattamento viene limitato. In dettaglio si applicano in particolare i seguenti termini ordinari:

• file di log del server (sezione 5.1): al massimo 30 giorni; in caso di incidenti di sicurezza, fino al chiarimento definitivo.
• corrispondenza e-mail (sezione 5.4): fino all'evasione della richiesta, di regola al più tardi 3 anni dopo la fine dell'anno civile dell'ultima corrispondenza nel merito.
• dati della newsletter (sezione 5.5): fino alla revoca del consenso ovvero fino alla disiscrizione dalla newsletter.
• dati dell'account e contrattuali (sezione 6.1): per la durata del rapporto contrattuale; successivamente conservazione nell'ambito degli obblighi legali (in particolare 6 ovvero 10 anni ai sensi del § 257 HGB e del § 147 AO).
• contenuti del cliente nel servizio (sezione 6.2): secondo quanto previsto dal contratto per il trattamento dei dati su incarico nonché dall'articolo 11 delle CGC (esportazione dei dati e cambio di fornitore ai sensi del Data Act); i contenuti cancellati vengono rimossi dalle copie di sicurezza alla scadenza dei cicli di rotazione documentati (backup incrementali 30 giorni, backup completi 90 giorni, cfr. allegato 3 delle CGC).
• dati di autenticazione e di sessione (sezione 6.4): per la durata della sessione attiva nonché della durata configurata dei token; log di autenticazione rilevanti ai fini di audit secondo quanto previsto dalle misure tecniche e organizzative (appendice A dell'allegato 2 delle CGC).
• dati dei sostenitori Kickstarter (sezione 7): per la durata della gestione della campagna e della concessione delle condizioni da fondatore, al più tardi fino alla scadenza dei termini legali di conservazione.

11. Diritti dell'interessato

Nei nostri confronti Lei dispone dei seguenti diritti con riguardo ai dati personali che La riguardano:

• diritto di accesso (art. 15 RGPD): Lei può chiedere informazioni sul fatto che trattiamo dati personali che La riguardano e su quali essi siano, nonché sulle ulteriori informazioni indicate nell'art. 15, paragrafo 1, RGPD.
• diritto di rettifica (art. 16 RGPD): Lei può chiedere la rettifica di dati personali inesatti che La riguardano o l'integrazione di dati incompleti.
• diritto alla cancellazione (art. 17 RGPD): Lei può chiedere la cancellazione dei dati personali che La riguardano, qualora sussista uno dei motivi indicati nell'art. 17, paragrafo 1, RGPD e non si applichi alcuna eccezione ai sensi dell'art. 17, paragrafo 3, RGPD.
• diritto di limitazione del trattamento (art. 18 RGPD): Lei può chiedere la limitazione del trattamento dei dati personali che La riguardano, alle condizioni ivi indicate.
• diritto alla portabilità dei dati (art. 20 RGPD): Lei ha il diritto di ricevere i dati personali che La riguardano, da Lei forniti a noi, in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmettere tali dati a un altro titolare del trattamento o di farli trasmettere direttamente, nella misura in cui ciò sia tecnicamente fattibile.
• diritto di revoca di un consenso prestato (art. 7, paragrafo 3, RGPD): nella misura in cui il trattamento si basi su un consenso da Lei prestato, Lei può revocare tale consenso in qualsiasi momento con effetto per il futuro. La liceità del trattamento effettuato fino alla revoca resta impregiudicata dalla revoca.
• diritto di reclamo a un'autorità di controllo (art. 77 RGPD): fatto salvo ogni altro ricorso amministrativo o giurisdizionale, Lei ha il diritto di proporre reclamo a un'autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione, qualora ritenga che il trattamento dei dati personali che La riguardano violi il RGPD.

Per l'esercizio dei diritti sopra indicati è sufficiente una comunicazione informale ai recapiti indicati nella sezione 1, preferibilmente via e-mail a datenschutz@paless.eu. Per accertare la Sua identità possiamo richiedere idonei documenti giustificativi. Il Suo diritto di opposizione ai sensi dell'art. 21 RGPD è illustrato separatamente nella sezione 12.

12. Diritto di opposizione (art. 21 RGPD)

Nella misura in cui trattiamo dati personali sulla base dell'art. 6, paragrafo 1, lettera f), RGPD (legittimo interesse), Lei ha il diritto di opporsi in qualsiasi momento al trattamento per motivi connessi alla Sua situazione particolare. In caso di opposizione, non tratteremo più i dati in questione, salvo che possiamo dimostrare motivi legittimi cogenti per il trattamento che prevalgono sui Suoi interessi, diritti e libertà, oppure che il trattamento serva all'accertamento, all'esercizio o alla difesa di diritti in sede giudiziaria.

Non ha luogo alcun trattamento a fini di marketing diretto sulla base dell'art. 6, paragrafo 1, lettera f), RGPD; la nostra newsletter viene inviata esclusivamente sulla base del Suo consenso (sezione 5.5).

L'opposizione può essere dichiarata senza particolari formalità, preferibilmente via e-mail a datenschutz@paless.eu.

13. Autorità di controllo competente

L'organismo sopra indicato è l'autorità di controllo per la protezione dei dati competente per il titolare del trattamento.

Il diritto di reclamo sussiste fatto salvo ogni altro ricorso amministrativo o giurisdizionale e può in particolare essere esercitato anche presso l'autorità di controllo del Suo luogo di residenza abituale, del Suo luogo di lavoro o del luogo della presunta violazione (art. 77, paragrafo 1, RGPD).

14. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate ai sensi dell'art. 32 RGPD per garantire un livello di protezione adeguato al rischio per i dati personali da noi trattati. Ne fanno parte in particolare:

• cifratura della comunicazione tra dispositivo e servizio secondo lo stato della tecnica (TLS 1.3 o superiore)
• cifratura dei dati a riposo sui supporti di memorizzazione sottostanti (AES-256)
• gestione degli accessi basata su ruoli e autorizzazioni secondo il principio del privilegio minimo
• obbligo di autenticazione a più fattori per gli account amministrativi
• separazione per tenant dei dati dei diversi clienti
• copie di sicurezza periodiche con cicli documentati di rotazione e conservazione
• registrazione degli eventi amministrativi e rilevanti per la sicurezza
• piani di ripristino documentati ed esercitazione periodica delle procedure di ripristino
• impegno alla riservatezza di tutte le persone coinvolte nel trattamento

Una descrizione dettagliata delle misure tecniche e organizzative adottate è contenuta nell'appendice A dell'allegato 2 delle CGC (contratto per il trattamento dei dati su incarico).

15. Processo decisionale automatizzato e profilazione

Nell'ambito del servizio non ha luogo alcun processo decisionale automatizzato relativo alle persone fisiche, compresa la profilazione, ai sensi dell'art. 22, paragrafo 1, RGPD, che produca effetti giuridici nei confronti dell'interessato o che incida in modo analogo significativamente sulla sua persona.

Le funzionalità assistite dall'IA descritte nella sezione 6.3 (riconoscimento del testo, indicizzazione semantica, classificazione assistita dall'IA, assistente conversazionale «Pal») supportano il cliente nella gestione, nel reperimento e nell'elaborazione dei propri documenti, compresa la redazione di bozze. Esse non adottano decisioni con effetti giuridici nei confronti degli interessati e non incidono su di essi in modo analogo significativamente ai sensi dell'art. 22 RGPD. La decisione sull'utilizzo dei suggerimenti dell'IA spetta sempre al cliente; azioni quali l'invio di e-mail o l'approvazione di contenuti vengono eseguite esclusivamente previa conferma esplicita del cliente.

16. Modifiche della presente informativa sulla privacy

Ci riserviamo il diritto di aggiornare la presente informativa sulla privacy qualora cambino la situazione giuridica, il servizio o il trattamento dei dati. La versione di volta in volta vigente è consultabile sul nostro sito web; essa reca un'indicazione di versione e una data di validità, e le versioni precedenti vi restano consultabili.

In caso di modifiche sostanziali, in particolare di modifiche che rendano necessario un nuovo consenso dell'interessato, informiamo gli interessati separatamente in modo adeguato.