Informativa privacy del prodotto e ruoli GDPR

Preambolo, natura ed efficacia del documento

Niltech Europe S.r.l., con sede legale in Via Calmaggiore 5, 31100 Treviso (TV), Italia, P. IVA IT 05614380268 (di seguito «Niltech»), adotta il presente documento al fine di descrivere in modo trasparente i ruoli GDPR, i dati trattati nel prodotto, le istruzioni del cliente e le responsabilità che restano distinte.

Il presente documento costituisce informativa resa agli interessati. Il consenso non è richiesto per i trattamenti fondati su un diverso presupposto di liceità; ove il consenso sia necessario, esso è richiesto separatamente, con modalità libere, specifiche, informate e revocabili.

Il documento applica i principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione di cui agli articoli 5, 24, 25 e 32 GDPR, tenendo distinta la posizione del cliente da quella di Niltech.

Ambito soggettivo e oggettivo

Il perimetro oggettivo comprende Andrea AI, le relative interfacce pubbliche e i trattamenti strettamente connessi alle funzionalità descritte. Il sito commerciale e la libreria documentale sono pubblicati su andreaaiagent.com e utilizzano infrastruttura Bluehost, MySQL e il trasporto di posta del server. L’applicazione è resa disponibile sul distinto dominio andreaai.net mediante infrastruttura Hetzner; Pinecone, Cloudflare, OpenAI e Google Gemini intervengono nei limiti delle funzioni e degli accordi applicabili.

Le operazioni considerate riguardano acquisizione e analisi di documenti e immagini, supporto alla lettura di polizze, stime e bozze di relazione, organizzazione del fascicolo e indicatori ESG solo quando fondati su dati verificabili. Le categorie di informazioni potenzialmente interessate sono: dati di contatto e prospect sul sito; nell’applicazione, dati di pratica, documenti, immagini, note, metadati tecnici e output assistiti dall’IA secondo configurazione e contratto. L’effettivo ruolo privacy, il titolo giuridico e l’ampiezza del trattamento dipendono dal rapporto contrattuale e dalle istruzioni lecite del soggetto che determina finalità e mezzi essenziali.

Definizioni e criteri interpretativi

• «Servizio»: l’insieme delle funzionalità di Andrea AI rese disponibili in base al contratto.
• «Cliente»: la persona giuridica o il professionista che conclude il contratto con Niltech.
• «Utente autorizzato»: la persona fisica abilitata dal Cliente a utilizzare il Servizio sotto la sua responsabilità.
• «Dati del Cliente»: dati, documenti, immagini, istruzioni e ogni altro contenuto conferito o generato per conto del Cliente.
• «Output assistito»: risultato elaborato mediante regole automatizzate o componenti di intelligenza artificiale, soggetto ai controlli indicati.
• «Fornitore ulteriore»: soggetto terzo che presta a Niltech un servizio tecnico rilevante per il perimetro documentato.
• «Incidente»: evento che compromette o può compromettere riservatezza, integrità, disponibilità, autenticità o resilienza.
• «Giorno lavorativo»: ogni giorno diverso da sabato, domenica o festività nazionale italiana.

Obblighi e presidi specifici

1. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a definire per contratto quando Niltech è responsabile e quando opera come titolare autonomo. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

2. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a documentare categorie di interessati, dati, fonti, finalità e operazioni. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

3. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a applicare minimizzazione a upload, prompt, log, supporto ed export. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

4. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a limitare l'accesso a utenti e personale con necessità documentata. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

5. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a assistere il titolare su diritti, DPIA, incidenti e consultazioni. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

6. Niltech, nei limiti del ruolo assunto e ferme le responsabilità del Cliente, provvede a cessare, restituire o cancellare i dati secondo istruzioni e vincoli applicabili. Owner, perimetro, dipendenze, criterio di accettazione ed evidenza sono identificati nel fascicolo applicabile; in loro assenza il presidio non è considerato dimostrato.

Ruoli

Il cliente agisce normalmente da titolare per i dati inseriti nel prodotto; Niltech opera di regola come responsabile su istruzioni documentate. Niltech resta titolare per account, sicurezza, fatturazione, conformità e contatti propri.

Dati e interessati

dati di contatto e prospect sul sito; nell’applicazione, dati di pratica, documenti, immagini, note, metadati tecnici e output assistiti dall’IA secondo configurazione e contratto

Gli interessati possono includere utenti, clienti finali, assicurati, controparti, consulenti o soggetti citati nei documenti. Il cliente deve limitare i dati alla necessità e disporre di base giuridica e informative.

Finalità e istruzioni

Andrea AI supporta acquisizione e analisi di documenti e immagini, supporto alla lettura di polizze, stime e bozze di relazione, organizzazione del fascicolo e indicatori ESG solo quando fondati su dati verificabili.

Niltech non usa i dati del cliente per finalità incompatibili con il contratto. Eventuali usi ulteriori richiedono una base e informativa separate.

Diritti e assistenza

Le richieste sui dati di prodotto sono normalmente indirizzate al cliente titolare. Niltech lo assiste con ricerca, export, restrizione, rettifica e cancellazione nei limiti del servizio e del DPA.

Qualificazione dei ruoli e finalità proprie

Per i contenuti immessi dal Cliente, quest’ultimo determina ordinariamente finalità e mezzi essenziali e agisce quale titolare; Niltech tratta per suo conto quale responsabile ai sensi dell’articolo 28 GDPR. La qualificazione dipende tuttavia dai fatti e non dall’etichetta contrattuale. Se due soggetti determinano congiuntamente finalità e mezzi essenziali, occorre un accordo ai sensi dell’articolo 26; se Niltech determina autonomamente un’ulteriore finalità, opera quale titolare per quel trattamento e deve fornire una distinta informativa.

Niltech agisce normalmente quale titolare per amministrazione degli account e dei rapporti contrattuali, sicurezza del proprio servizio, prevenzione di abusi, tutela giudiziaria, obblighi contabili e richieste di compliance. Tali finalità non autorizzano il riuso dei contenuti del Cliente per addestrare modelli generali o per finalità incompatibili.

I fascicoli assicurativi possono contenere dati relativi alla salute, immagini di persone, targhe, coordinate di contatto, informazioni economiche e, in ipotesi di frode o contenzioso, dati relativi a reati. Tali dati non possono essere conferiti per mera utilità: il Cliente deve documentare la base dell’articolo 6 GDPR e, quando ricorre, la condizione degli articoli 9 o 10, applicare minimizzazione e limitare l’accesso alle persone incaricate.

Obblighi del Cliente e garanzie per gli interessati

Prima del conferimento il Cliente deve individuare finalità, base giuridica, categorie di interessati, tempi di conservazione e soggetti autorizzati; fornire le informative dovute; gestire opposizioni, limitazioni e altri diritti; effettuare DPIA o consultazione preventiva quando richieste; impartire istruzioni documentate e lecite.

Niltech inoltra al Cliente le richieste ricevute che riguardano dati trattati per suo conto e non risponde nel merito salvo autorizzazione o obbligo di legge. L’assistenza è resa tenendo conto della natura del trattamento e delle informazioni disponibili, senza acquisire dati ulteriori non necessari.

Ripartizione delle responsabilità e limiti di affidamento

Il Cliente garantisce, per quanto di propria competenza, la liceità dei dati e delle istruzioni conferite, l’abilitazione degli utenti, l’adeguatezza delle basi giuridiche e delle informative, nonché la verifica professionale degli output. Niltech resta responsabile delle attività direttamente poste sotto il proprio controllo e non assume le funzioni regolamentari, deontologiche o decisionali proprie del Cliente.

Gli output di Andrea AI hanno natura ausiliaria. Salvo patto espresso e le norme inderogabili, essi non costituiscono parere legale, perizia, decisione assicurativa, determinazione di responsabilità, valutazione creditizia o altro atto riservato. Il destinatario deve esaminare fonti, completezza, coerenza e conseguenze prima di utilizzarli.

Nessuna clausola limita responsabilità che non possa essere esclusa per legge. Fuori da tali ipotesi, imputazione, rimedi, limiti e criteri di quantificazione seguono il contratto applicabile, tenuto conto del concorso del danneggiato, dell’obbligo di mitigazione e della prevedibilità del danno secondo la legge regolatrice.

Prova, riesame, richieste e legge applicabile

Ogni affermazione materiale deve poter essere ricondotta a un contratto, una configurazione approvata, un registro, un verbale, un test, un log o altra evidenza attendibile. Dichiarazioni del fornitore e controlli propri di Niltech sono mantenuti distinti. L’assenza di incidenti non prova, da sola, l’efficacia di una misura.

Le revisioni sono datate, motivate e approvate. Una revisione successiva non modifica retroattivamente i fatti o gli impegni applicabili a periodi precedenti. Le copie pubblicate sono identificate mediante codice, data e impronta crittografica; tali elementi provano l’integrità della copia, non l’efficacia sostanziale dei controlli descritti.

Segnalazioni, richieste di chiarimento, esercizio di diritti e contestazioni possono essere inviati a info@nil-tech.net. Niltech verifica l’identità e la legittimazione quando necessario, registra la richiesta, risponde nei termini applicabili e comunica eventuali proroghe o dinieghi motivati.

Salvo diversa disposizione inderogabile o pattuizione scritta, la legge italiana disciplina l’interpretazione del documento. La versione italiana costituisce il testo di riferimento; la traduzione inglese è fornita per agevolare la consultazione.

Fonti ufficiali

• Regolamento (UE) 2016/679 (GDPR)
• EDPB — Linee guida 07/2020 sui concetti di titolare e responsabile