Privacy

Fa fede il testo in italiano. Le versioni in altre lingue sono traduzioni di cortesia, fatte con strumenti di intelligenza artificiale.

Questa informativa dice come Swiss Innovative Arts and Technologies Institute (di seguito "SIATI", "noi") tratta i dati personali raccolti tramite il servizio siati.ai, secondo la Legge federale svizzera sulla protezione dei dati (nLPD del 25.9.2020) e, per chi si trova nell'Unione europea, il Regolamento (UE) 2016/679 (GDPR).

1. Titolare del trattamento

Swiss Innovative Arts and Technologies Institute Aeroporto di Lodrino, Via Aeroporto 4, 6527 Lodrino, Svizzera Email: info@swiss-iat-institute.org

I servizi operativi (fatturazione, supporto, infrastruttura cloud) sono erogati per conto di SIATI da Daiko Lab SA (Via San Gottardo 86, CH-6900 Massagno), che agisce in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR / art. 9 nLPD sulla base di un accordo di trattamento firmato.

2. Referente per la protezione dei dati

Per qualunque domanda relativa al trattamento dei tuoi dati personali, all'esercizio dei tuoi diritti o per segnalare un incidente: privacy@siati.ai

3. Quali dati, perché e per quanto

Dati	Perché	Per quanto
Account: email, nome, lingua preferita, data di registrazione; se li inserisci, ragione sociale, indirizzo di fatturazione e partita IVA / UID. Della password teniamo solo un'impronta non reversibile (un «hash», Argon2id): nessuno può risalire alla password, nemmeno noi	Far funzionare il servizio e fatturare	Finché l'account esiste (vedi §5)
Crediti: saldo e movimenti (ricariche, addebiti, rimborsi)	Contare i crediti	Finché l'account esiste
Fatture, e ricevute degli acquisti fatti nelle app (gli identificativi della transazione di Apple o di Google)	Obblighi contabili	10 anni, come chiede la legge (art. 958f CO)
Conversazioni nella chat, nell'app e con l'API delle sessioni: i messaggi cifrati, i titoli no	Mostrartele di nuovo	Finché non le cancelli tu, o finché l'account esiste
Documenti caricati: il file, il testo diviso in parti e i vettori che servono a cercarlo	Rispondere sui tuoi documenti	Finché non li cancelli tu, o finché l'account esiste
Immagini e voci che crei	Fartele vedere e scaricare	Nello Studio 2 ore. Dall'API, le immagini chieste come link 24 ore; il resto non lo conserviamo
Video che crei, e la descrizione che scrivi per farli	Farteli vedere e scaricare	Il video 7 giorni. La descrizione si cancella appena il video è pronto (o non riesce); per le chiavi API per cui scegli di conservare i messaggi, dopo 30 giorni
Dati d'uso: data e ora, servizio e modello usati, quantità elaborata, crediti consumati, tempi, esito, e il campo user se lo mandi. Niente testo, niente indirizzo IP	Contare i crediti, applicare i limiti del piano, capire l'uso del servizio	Finché l'account esiste
Registro tecnico delle richieste: modello, quantità, tempi, esito. Il testo delle richieste e delle risposte solo per le chiavi API per cui scegli di conservare i messaggi (colonna «Messaggi» nella pagina delle chiavi), cifrato	Correggere i guasti; il testo, per il debug del tuo programma	30 giorni
Accessi dall'app: indirizzo IP e tipo di app o browser di ogni accesso	Tenerti collegato e proteggere l'account	Fino a 90 giorni dopo la scadenza dell'accesso (che dura 30 giorni) o la sua revoca
Compiti, se li attiviamo per la tua azienda: i messaggi che ricevi dai tuoi clienti (numero, nome, trascrizione, riassunto) e i compiti che ne ricaviamo. Per i dati dei tuoi clienti il titolare sei tu, e noi li trattiamo per tuo conto	Trasformare i messaggi in compiti	Finché l'account esiste. L'audio si cancella appena trascritto
Statistiche delle pagine visitate: pagina, data e ora, sito da cui arrivi (solo il dominio), tipo di dispositivo e un'impronta non reversibile che cambia ogni giorno. Niente cookie, niente indirizzo IP	Sapere quante persone usano le pagine, e quali	12 mesi
Messaggi dal modulo di contatto: nome, email, oggetto, testo, indirizzo IP e browser	Risponderti	12 mesi
Registri di sicurezza: indirizzo IP, indirizzo chiesto, browser ed errori	Proteggere il servizio dagli abusi e correggere i guasti	14 giorni
Richiesta di cancellazione dell'account: email, data e ora, indirizzo IP e browser	Poter dimostrare di aver cancellato l'account	12 mesi dalla cancellazione, o da quando ci ripensi
Copie di sicurezza della banca dati	Recuperare i dati dopo un guasto	Una ogni notte: le ultime 7 sulla macchina che le fa, le ultime 30 su un archivio separato. Si sovrascrivono: la più vecchia ha 30 giorni

I tuoi testi non servono ad addestrare nessun modello, né nostro né di altri.

4. Basi giuridiche

Finalità	Base giuridica (GDPR / nLPD)
Erogazione del servizio e gestione dell'account	Esecuzione del contratto — art. 6(1)(b) GDPR / art. 31 cpv. 2 lett. a nLPD
Fatturazione e contabilità	Obbligo legale (Codice delle obbligazioni svizzero, art. 957-958f) — art. 6(1)(c) GDPR / art. 31 cpv. 1 nLPD
Sicurezza della piattaforma, statistiche delle pagine, risposte al modulo di contatto, prova della cancellazione degli account	Interesse legittimo — art. 6(1)(f) GDPR / art. 31 cpv. 1 nLPD
Email del servizio (conferma dell'indirizzo, recupero della password)	Esecuzione del contratto — art. 6(1)(b) GDPR
Risposta alle autorità giudiziarie o di vigilanza	Obbligo legale — art. 6(1)(c) GDPR

Non eseguiamo decisioni interamente automatizzate che producano effetti giuridici sull'utente, ai sensi dell'art. 22 GDPR / art. 21 nLPD. L'inferenza generativa che fornisci tu stesso al modello è uno strumento — tu ne resti il titolare e il decisore.

5. Se cancelli l'account

Lo cancelli da solo, con la tua password: dalla pagina «Account» dell'area riservata, o dall'app.

• Subito l'account si disattiva: non puoi più entrare, e le tue chiavi API smettono di funzionare.
• Per 30 giorni i dati restano, nel caso tu cambi idea: per riattivare l'account usa il link che ti dà l'app, o scrivi a privacy@siati.ai.
• Dopo 30 giorni cancelliamo definitivamente email, nome, password e dati di fatturazione del profilo, conversazioni, documenti, chiavi, video, crediti e loro movimenti, dati d'uso, registro tecnico, accessi dall'app e Compiti. Dell'account resta una riga senza dati personali, che tiene collegate le fatture.
• Restano le fatture e le ricevute degli acquisti nelle app, per i 10 anni che chiede la legge; e per 12 mesi la prova della cancellazione: la tua email, quando l'hai chiesta, l'indirizzo IP e il browser da cui l'hai chiesta. Poi si cancella anche questa.
• Le copie di sicurezza si sovrascrivono: entro altri 30 giorni i tuoi dati spariscono anche da lì.

6. Destinatari e fornitori

Ricevono dati solo questi fornitori, ciascuno per la sua funzione:

Fornitore	Funzione	Sede	Trasferimento
Daiko Lab SA	Gestisce il servizio: le macchine (il cloud GigaKube), la fatturazione, il supporto	Massagno, CH	Intra-CH
internetONE	Invia le email del servizio (conferma dell'indirizzo, recupero della password) da un server sulla rete dell'istituto	Svizzera	Intra-CH
Google (Google Workspace)	Le caselle di posta di siati.ai: le email che ci scrivi, per esempio a privacy@siati.ai	Irlanda (UE) e Stati Uniti	EU-US Data Privacy Framework + SCC
Cloudflare, Inc.	Il DNS: dice ai browser a quale indirizzo si trova siati.ai. Il traffico del servizio non passa da Cloudflare	Stati Uniti	EU-US DPF + SCC
Stripe Payments Europe Ltd.	Pagamenti con la carta sul sito. Oggi non è attivo: i pagamenti con la carta sono sospesi	Irlanda (UE)	Intra-SEE
Apple Inc.	App Store e acquisti nell'app per iOS, se compri lì	Stati Uniti	EU-US DPF + SCC
Google Ireland Ltd.	Play Billing, acquisti nell'app per Android, se compri lì	Irlanda (UE)	Intra-SEE (alcuni servizi periferici US — SCC)

Dove stanno i dati. Account, conversazioni, documenti, immagini e video, dati d'uso, registri e copie stanno in Svizzera, su macchine del cloud GigaKube di Daiko Lab SA, in Ticino. Le richieste ai modelli (i tuoi testi, i documenti, le trascrizioni, le voci) si elaborano sulle stesse macchine e non vanno a nessuno dei fornitori qui sopra.

7. Trasferimenti internazionali

Fuori dalla Svizzera e dallo Spazio economico europeo i dati vanno solo nei casi della tabella del §6: le email che scrivi alle nostre caselle (Google), il DNS (Cloudflare) e gli acquisti nelle app (Apple, Google). Per gli Stati Uniti ci basiamo su una decisione di adeguatezza (EU-US Data Privacy Framework, in vigore dal 10.7.2023, e il quadro Svizzera-USA), integrata da Clausole Contrattuali Tipo (Decisione UE 2021/914) come secondo livello di garanzia in caso di invalidazione del DPF.

8. I tuoi diritti

Hai il diritto di:

• Accesso ai tuoi dati personali (Art. 15 GDPR / Art. 25 nLPD)
• Rettifica dei dati inesatti (Art. 16 GDPR / Art. 32 nLPD)
• Cancellazione ("diritto all'oblio") (Art. 17 GDPR / Art. 32 nLPD): conversazioni e documenti li cancelli da solo, dalla chat e dall'area riservata; l'account intero come spiegato al §5
• Portabilità: una copia dei tuoi dati in un formato leggibile da una macchina, gratuitamente (Art. 20 GDPR / Art. 28 nLPD)
• Limitazione del trattamento (Art. 18 GDPR)
• Opposizione al trattamento basato su interesse legittimo (Art. 21 GDPR)
• Reclamo all'autorità di controllo (vedi §10)

Per esercitare questi diritti scrivi a privacy@siati.ai. Rispondiamo entro 30 giorni dalla ricezione (termine massimo art. 12(3) GDPR / art. 25(7) nLPD, estensibile a 90 giorni per richieste particolarmente complesse, sempre dandotene comunicazione).

9. Sicurezza e notifica delle violazioni

Le misure che usiamo (art. 32 GDPR / art. 8 nLPD), descritte nella pagina Sicurezza:

• HTTPS obbligatorio su tutti gli indirizzi pubblici, solo TLS 1.2 e 1.3, con HSTS
• delle password teniamo solo un'impronta non reversibile (hash Argon2id), mai la password
• i messaggi delle conversazioni, e i testi che il registro delle richieste conserva per le chiavi che lo chiedono, sono cifrati dall'applicazione
• la banca dati, l'archivio dei file e le macchine dei modelli non sono raggiungibili da Internet: accettano connessioni solo dalla rete interna del servizio
• limiti ai tentativi di accesso
• una copia della banca dati ogni notte, anche su un archivio separato
• tutte le macchine sono in Svizzera, in Ticino

In caso di violazione di dati personali che possa comportare un rischio per i tuoi diritti notifichiamo la violazione:

• all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il prima possibile, come chiede l'art. 24 nLPD;
• alle autorità di controllo UE competenti entro 72 ore (art. 33 GDPR);
• a te direttamente, senza ingiustificato ritardo, se la violazione presenta un rischio elevato (art. 34 GDPR / art. 24 nLPD).

10. Autorità di controllo e reclami

Hai diritto di presentare reclamo:

• in Svizzera: IFPDT — Feldeggweg 1, 3003 Berna — www.edoeb.admin.ch
• nell'Unione Europea: l'autorità di controllo del tuo Stato membro di residenza (elenco: edpb.europa.eu)

11. Cookie e tecnologie simili

Usiamo solo i cookie tecnici che servono al funzionamento del sito, elencati nella pagina Cookie. Non c'è un banner del consenso perché non c'è niente per cui chiederlo: nessun cookie di statistica, di pubblicità o di profilazione. Le statistiche delle pagine (§3) le contiamo sul nostro server, senza cookie.

12. Minori

Il servizio non è rivolto a minori di 16 anni. Non raccogliamo intenzionalmente dati personali di minori. Se ritieni che un minore abbia creato un account, contattaci e provvederemo all'eliminazione immediata.

13. Modifiche

Possiamo aggiornare questa informativa periodicamente. La data in vigore è visibile in alto. Per modifiche sostanziali (nuove categorie di dati trattati, nuove finalità non-coperte dal contratto in essere, nuovi sub-processori a rischio) te lo comunichiamo via email almeno 14 giorni prima dell'entrata in vigore. La versione precedente resta consultabile su richiesta.

14. Contatti

Per qualunque domanda sul trattamento dei tuoi dati personali o sull'esercizio dei tuoi diritti:

privacy@siati.ai o, in alternativa, info@swiss-iat-institute.org