Conformità al GDPR

1. Il Nostro Impegno verso il GDPR

UnnaData è stata fondata con la privacy al centro. In quanto piattaforma di conformità al GDPR basata su IA, comprendiamo che la fiducia è il nostro bene più prezioso. Siamo pienamente impegnati a rispettare il Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 (il «GDPR») e a garantire che i dati dei nostri clienti siano trattati con la massima cura e trasparenza.

2. Principi del GDPR che Seguiamo

Le attività di trattamento dei dati di UnnaData rispettano i sette principi fondamentali del GDPR definiti dall'articolo 5:

Principio	Come lo Applichiamo
Liceità, Correttezza e Trasparenza	Informativa sulla privacy chiara, meccanismi di consenso esplicito, prassi di trattamento dei dati trasparenti
Limitazione della Finalità	Dati raccolti esclusivamente per finalità determinate, esplicite e legittime
Minimizzazione dei Dati	Raccogliamo solo i dati minimi necessari per fornire i nostri Servizi
Esattezza	Gli utenti possono aggiornare le proprie informazioni in qualsiasi momento; revisioni periodiche della qualità dei dati
Limitazione della Conservazione	Periodi di conservazione definiti per tutte le categorie di dati; politiche di cancellazione automatica
Integrità & Riservatezza	Crittografia, controlli di accesso, monitoraggio della sicurezza e risposta agli incidenti
Responsabilizzazione	Politiche documentate, processi di DPIA, nomina del RPD, audit periodici

3. Base Giuridica del Trattamento

Trattiamo i dati personali sulla base delle seguenti basi giuridiche definite dall'articolo 6(1) del GDPR:

• Esecuzione del Contratto (art. 6(1)(b)): Trattamento necessario per fornire i nostri Servizi secondo quanto concordato nei nostri Termini di Servizio, inclusa la gestione degli account, la conservazione dei documenti e l'analisi di conformità basata su IA.
• Legittimo Interesse (art. 6(1)(f)): Monitoraggio della sicurezza, prevenzione delle frodi, miglioramento del servizio e analisi. Effettuiamo test di bilanciamento per garantire che i nostri interessi non prevalgano sui diritti degli interessati.
• Consenso (art. 6(1)(a)): Comunicazioni di marketing, cookie analitici facoltativi e qualsiasi trattamento non essenziale. Il consenso può essere revocato in qualsiasi momento.
• Obbligo Legale (art. 6(1)(c)): Conservazione delle registrazioni fiscali, comunicazioni alle autorità normative e risposta alle richieste legali di accesso ai dati da parte delle autorità.

4. Diritti degli Interessati

Sosteniamo pienamente tutti i diritti degli interessati ai sensi del GDPR. Può esercitare tali diritti in qualsiasi momento contattando il nostro RPD:

• Diritto di Accesso (art. 15): Richiedere una copia completa di tutti i dati personali che deteniamo su di Lei.
• Diritto di Rettifica (art. 16): Richiedere la correzione di dati personali inesatti o incompleti.
• Diritto alla Cancellazione (art. 17): Richiedere la cancellazione dei Suoi dati personali, fatti salvi gli obblighi legali di conservazione.
• Diritto di Limitazione del Trattamento (art. 18): Richiedere che limitiamo il trattamento dei Suoi dati in determinate circostanze.
• Diritto alla Portabilità dei Dati (art. 20): Ricevere i Suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Diritto di Opposizione (art. 21): Opporsi al trattamento basato sul legittimo interesse o per finalità di marketing diretto.
• Diritti Relativi al Processo Decisionale Automatizzato (art. 22): Non adottiamo decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici. La nostra IA fornisce raccomandazioni soggette a revisione umana.

Tempi di risposta: Rispondiamo a tutte le richieste degli interessati entro 30 giorni. Nei casi complessi, tale termine può essere prorogato di ulteriori 60 giorni, previa notifica.

Autorità di controllo: Ha il diritto di proporre reclamo all'autorità di protezione dei dati dello Stato membro dell'UE in cui risiede, lavora o in cui si è verificata la presunta violazione. UnnaData OÜ ha sede in Estonia, dove l'autorità di controllo competente è l'Andmekaitse Inspektsioon (Ispettorato Estone per la Protezione dei Dati).

5. Misure Tecniche & Organizzative

Adottiamo misure tecniche e organizzative complete per garantire un livello di sicurezza adeguato al rischio (articolo 32 del GDPR):

5.1 Misure Tecniche

• Crittografia: AES-256 per i dati a riposo, TLS 1.3 per i dati in transito
• Autenticazione: E-mail/password con token JWT; token di accesso di breve durata (30 min) e token di rinnovo di durata maggiore (7 giorni)
• Controllo degli Accessi: Controllo degli accessi basato sui ruoli (RBAC) con i ruoli Amministratore dell'Organizzazione, Amministratore e Membro
• Sicurezza di Rete: Isolamento VPC, gruppi di sicurezza, comunicazioni gRPC crittografate
• Registrazione di Audit: Registrazione completa di tutte le richieste API, degli eventi di autenticazione e degli accessi ai dati
• Backup & Ripristino: Backup crittografati periodici con procedure di ripristino testate

5.2 Misure Organizzative

• Privacy by Design: Considerazioni relative alla protezione dei dati integrate in ogni funzionalità fin dalla fase di progettazione
• Privacy by Default: Impostazioni di privacy più restrittive applicate per impostazione predefinita
• Formazione del Personale: Formazione periodica in materia di GDPR e sicurezza per tutti i membri del team
• Politiche di Accesso: Principio del privilegio minimo applicato a tutti i sistemi interni
• Valutazione dei Fornitori: Valutazione della sicurezza e della privacy di tutti i fornitori terzi
• Risposta agli Incidenti: Piano di risposta agli incidenti documentato, con ruoli e procedure definiti

6. Trattamento dei Dati

6.1 UnnaData come Titolare del Trattamento

Quando crea un account e utilizza la nostra piattaforma, UnnaData agisce come titolare del trattamento dei Suoi dati personali dell'account (nome, e-mail, dati di autenticazione, dati di utilizzo).

6.2 UnnaData come Responsabile del Trattamento

Quando carica documenti e dati di conformità sulla nostra piattaforma, UnnaData agisce come responsabile del trattamento per Suo conto. In tale veste:

• Trattiamo i Suoi dati esclusivamente secondo le Sue istruzioni (come definite nei nostri Termini di Servizio e nell'accordo sul trattamento dei dati)
• Adottiamo misure di sicurezza tecniche e organizzative adeguate
• Non condividiamo i Suoi dati con terzi, se non nella misura necessaria a fornire i Servizi e come indicato nella nostra Informativa sulla Privacy
• La assistiamo nell'evasione delle richieste degli interessati
• Cancelliamo o restituiamo i Suoi dati alla cessazione del nostro contratto

6.3 Accordo sul Trattamento dei Dati

Offriamo un accordo sul trattamento dei dati (DPA) completo, conforme all'articolo 28 del GDPR. I clienti Enterprise possono richiedere un DPA personalizzato. Per maggiori informazioni, contatti legal@unnadata.com.

7. Subresponsabili del Trattamento

Manteniamo un elenco aggiornato dei subresponsabili del trattamento che trattano dati personali per nostro conto:

Subresponsabile del Trattamento	Finalità	Ubicazione	Garanzie
Amazon Web Services (AWS)	Infrastruttura cloud, hosting, archiviazione	UE (Irlanda, eu-west-1)	DPA, SOC 2, ISO 27001
Anthropic	Modello linguistico IA (Claude) per l'analisi di conformità	Stati Uniti	DPA, SCC, politica di conservazione zero dei dati
Stripe	Elaborazione dei pagamenti	Stati Uniti / UE	DPA, SCC, PCI DSS livello 1

Informeremo i clienti di eventuali modifiche al nostro elenco di subresponsabili del trattamento con almeno 30 giorni di anticipo, offrendo loro la possibilità di opporsi.

8. Trasferimenti Internazionali di Dati

I Suoi dati sono principalmente conservati e trattati nell'Unione Europea (AWS eu-west-1, Irlanda). Quando i dati devono essere trasferiti al di fuori del SEE (ad esempio, ad Anthropic per il trattamento tramite IA), garantiamo che siano in vigore garanzie adeguate:

• Clausole Contrattuali Tipo (SCC): Clausole contrattuali approvate dall'UE ai sensi della decisione di esecuzione (UE) 2021/914 della Commissione Europea
• Valutazioni d'Impatto dei Trasferimenti: Effettuiamo valutazioni della normativa in materia di protezione dei dati dei paesi destinatari
• Misure Supplementari: Misure tecniche e organizzative aggiuntive, tra cui crittografia, pseudonimizzazione e controlli di accesso
• Minimizzazione dei Dati: Vengono trasferiti solo i dati minimi necessari per il trattamento tramite IA

9. Notifica di Violazione dei Dati

In caso di violazione dei dati personali, seguiamo un protocollo di notifica rigoroso, in conformità agli articoli 33 e 34 del GDPR:

• Rilevamento interno: Monitoraggio continuo della sicurezza e sistemi di allerta automatizzati
• Notifica all'autorità entro 72 ore: Notifichiamo l'autorità di controllo competente entro 72 ore dalla presa di conoscenza di una violazione rilevante
• Notifica ai clienti: Informiamo i clienti interessati senza indebito ritardo, fornendo i dettagli della violazione, le sue probabili conseguenze e le misure adottate
• Notifica agli interessati: Quando la violazione è suscettibile di comportare un rischio elevato per le persone, informiamo direttamente gli interessati coinvolti
• Documentazione: Tutte le violazioni vengono documentate con i fatti, i relativi effetti e le misure correttive adottate

10. Responsabile della Protezione dei Dati

UnnaData ha nominato un Responsabile della Protezione dei Dati (RPD), in conformità all'articolo 37 del GDPR. Il nostro RPD è responsabile di:

• Monitorare la conformità al GDPR e alla normativa correlata in materia di protezione dei dati
• Fornire consulenza sulle Valutazioni d'Impatto sulla Protezione dei Dati
• Fungere da punto di contatto per gli interessati e le autorità di controllo
• Formare il personale in merito agli obblighi in materia di protezione dei dati

Può contattare il nostro RPD all'indirizzo: dpo@unnadata.com

11. Valutazioni d'Impatto sulla Protezione dei Dati

Effettuiamo Valutazioni d'Impatto sulla Protezione dei Dati (DPIA) come richiesto dall'articolo 35 del GDPR per le attività di trattamento suscettibili di comportare un rischio elevato per gli interessati. Ciò include:

• Le funzionalità di analisi dei documenti e di chat basate su IA
• Il trattamento su larga scala di documenti di conformità
• Lo sviluppo di nuove funzionalità che coinvolgono dati personali
• Le modifiche ai subresponsabili del trattamento o ai meccanismi di trasferimento dei dati

Le DPIA vengono riesaminate e aggiornate periodicamente, e il nostro RPD viene consultato durante l'intero processo.

12. Contattaci

Per qualsiasi domanda sulla nostra conformità al GDPR o per esercitare i Suoi diritti in materia di protezione dei dati:

• Responsabile della Protezione dei Dati: dpo@unnadata.com
• Richieste sulla Privacy: privacy@unnadata.com
• Team Legale: legal@unnadata.com

Per maggiori dettagli su come trattiamo i Suoi dati personali, consulti la nostra Informativa sulla Privacy e la nostra Cookie Policy.