Ruoli e base giuridica
Per i documenti dei clienti trattati nella piattaforma, il cliente è il titolare del trattamento e RAIVA il responsabile del trattamento ai sensi dell’art. 28 GDPR. Un accordo sul trattamento dei dati fa parte di ogni contratto. Per il nostro sito web, i moduli di contatto e la selezione del personale agiamo come titolare del trattamento sulla base del legittimo interesse (art. 6, par. 1, lett. f) o del consenso (art. 6, par. 1, lett. a).
Accordo sul trattamento dei dati (DPA) disponibile prima dell’avvio del pilota
Limitazione della finalità documentata per ogni workspace
Nessun addestramento di foundation model sui contenuti dei clienti
Hosting e localizzazione dei dati
Applicazione, database, indice vettoriale e object storage operano in data center dell’UE. L’accesso del supporto è basato sui ruoli, limitato nel tempo e registrato. I backup restano nell’UE.
Regioni di trattamento esclusivamente nell’UE
Crittografia in transito (TLS 1.2+) e a riposo (AES-256)
Log di accesso conservati a fini di audit
Diritti degli interessati
Sono supportate le richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Se riceviamo una richiesta relativa a dati che trattiamo per conto di un cliente, la inoltriamo senza ingiustificato ritardo al titolare del trattamento e lo assistiamo nel darvi seguito.
Tempo di risposta obiettivo: entro 30 giorni
Esportazione di documenti e audit trail su richiesta
La procedura di cancellazione copre indici, embedding e backup
Sub-responsabili e trasferimenti
Nel Trust Center manteniamo un elenco aggiornato dei sub-responsabili, con finalità e regione di trattamento. Quando un trasferimento al di fuori dello SEE non può essere evitato, ci basiamo sulle clausole contrattuali tipo dell’UE integrate da misure tecniche supplementari.
Modifiche dei sub-responsabili annunciate prima che abbiano effetto
Clausole contrattuali tipo (SCC) e valutazione d’impatto sul trasferimento documentate
Diritto di opposizione a nuovi sub-responsabili
Conservazione e gestione degli incidenti
I periodi di conservazione seguono la configurazione del cliente; per impostazione predefinita, gli artefatti di trattamento vengono cancellati alla chiusura di un workspace. Gli incidenti di sicurezza che riguardano dati personali vengono notificati al titolare del trattamento senza ingiustificato ritardo e, ove richiesto, entro 72 ore.
Conservazione configurabile per ogni workspace
Processo documentato di risposta agli incidenti
Rapporto post-incidente con analisi della causa principale
Contatto per la protezione dei dati
RAIVA Technologies GmbH, An der Dammheide 10, 60486 Frankfurt am Main, Germania. Scrivete a privacy@raiva.io per accordi sul trattamento dei dati, elenchi dei sub-responsabili o richieste degli interessati.