Versione del 20 agosto 2026
Accordo sul trattamento dei dati
Se usi Union AI per trattare dati personali di altre persone, ti serve un accordo sul trattamento dei dati. Questa è la sintesi; chiedici il testo da firmare.
Il presente documento è una traduzione. In caso di discordanza con la versione in lingua inglese, prevale la versione inglese.
Bozza
Richiedere la versione da firmare
Ruoli: titolare e responsabile del trattamento
Sei tu il titolare del trattamento per i dati personali che finiscono nei tuoi prompt. Union AI è il responsabile del trattamento: trattiamo quei dati esclusivamente per eseguire la tua richiesta e su tua istruzione. Per i dati del tuo account siamo invece titolari noi, come spiegato nell’informativa sulla privacy. Quali dati dovrebbero finire in uno strumento di AI è un’altra questione, affrontata in ChatGPT e GDPR con i dati aziendali.
Oggetto e durata
Il trattamento riguarda il contenuto dei prompt e le risposte generate, e dura quanto il tuo utilizzo del servizio. Prompt e risposte non vengono conservati: esistono solo in memoria mentre la tua richiesta viene elaborata. Non c’è quindi un periodo di conservazione da concordare né nulla da distruggere alla fine.
Sub-responsabili e preavviso delle modifiche
Ci avvaliamo dei sub-responsabili elencati nella pagina dei sub-responsabili, l’elenco completo, compresi i soggetti con una capogruppo statunitense. Comunichiamo le modifiche con almeno 30 giorni di anticipo, così puoi opporti. Se ti opponi e non troviamo una soluzione, puoi recedere dall’accordo con il rimborso del credito non utilizzato.
| Categoria | Chi | Cosa vede |
|---|---|---|
| Inferenza | Scaleway SAS, Unione europea | Il prompt e la risposta |
| Hosting | Cloudflare, Inc. | Traffico cifrato sull’edge |
| Database | Neon (Databricks), regione UE | Account e utilizzo, nessun contenuto dei prompt |
| Pagamenti | Stripe Payments Europe Ltd, Irlanda | Dati di fatturazione |
Trasferimenti fuori dall’UE
L’inferenza avviene esclusivamente nell’Unione europea. I nostri sub-responsabili per hosting, database e pagamenti trattano i dati in regioni europee, ma hanno una capogruppo statunitense; a questi si applicano le clausole contrattuali tipo della Commissione europea, insieme alle misure supplementari adottate da questi soggetti. Non sosteniamo che questo risolva ogni questione giurisdizionale: la nostra lettura senza filtri è nella pagina dei sub-responsabili.
Misure di sicurezza
Cifratura in transito e a riposo, accesso secondo il principio della necessità di sapere, chiavi API conservate solo come hash, segreti in un key vault e non nel codice, e backup del database testati periodicamente. Non leggiamo i tuoi prompt.
Violazioni dei dati e assistenza
In caso di violazione dei dati personali ti informiamo senza ingiustificato ritardo, con le informazioni che ti servono per adempiere al tuo obbligo di notifica. Ti assistiamo nelle richieste degli interessati, nella valutazione d’impatto sulla protezione dei dati (DPIA) e nei rapporti con l’autorità di controllo, nei limiti di quanto si può ragionevolmente chiedere a un responsabile del trattamento.
Audit: una volta all’anno puoi far svolgere un audit da un soggetto indipendente, oppure richiedere i nostri report. Le domande su questo accordo vanno a hello@europeanailab.eu.
Domande frequenti
Serve un accordo sul trattamento dei dati per usare l’AI in azienda?
Se nei tuoi prompt finiscono dati personali di altre persone, sì. Ai sensi dell’articolo 28 del GDPR il titolare del trattamento deve avere un accordo scritto con ogni responsabile, e un servizio AI che tratta i dati dei tuoi clienti o dipendenti è un responsabile del trattamento. Gli abbonamenti per privati di solito non prevedono alcun accordo del genere.
Chi è il titolare e chi il responsabile del trattamento?
Sei tu il titolare per i dati personali nei tuoi prompt: decidi cosa inserire e perché. Union AI è il responsabile per quel contenuto e agisce su tua istruzione. Per i dati del tuo account siamo invece titolari noi, come spiegato nell’informativa sulla privacy.
Serve una DPIA per uno strumento di AI?
Serve quando il trattamento può presentare un rischio elevato per le persone, che le autorità associano a trattamenti su larga scala, a categorie particolari di dati e a decisioni che incidono sui diritti di qualcuno. Usare l’AI su cartelle cliniche, dati biometrici o candidature di lavoro di solito supera quella soglia. Usarla per riassumere la tua documentazione pubblica no.
Come ottengo il DPA da firmare?
Scrivi a hello@europeanailab.eu e ti mandiamo l’accordo sul trattamento dei dati completo come documento. Finché il testo è in revisione legale non c’è volutamente un pulsante di download, perché un file datato che circola è più difficile da ritirare di un’email.
Ci sono trasferimenti di dati fuori dall’UE?
L’inferenza resta dentro l’Unione europea. Hosting, database e pagamenti trattano i dati in regioni europee ma hanno una capogruppo statunitense, per cui a questi si applicano le clausole contrattuali tipo della Commissione europea. Non sosteniamo che questo risolva ogni questione giurisdizionale, e la pagina dei sub-responsabili riporta la nostra lettura senza filtri.
Entro quanto tempo va notificato un data breach?
Ti informiamo senza ingiustificato ritardo, con le informazioni che ti servono per adempiere al tuo obbligo di notifica, e l’autorità di controllo viene informata entro 72 ore quando la violazione presenta un rischio. Puoi anche far svolgere una volta all’anno un audit indipendente, oppure chiedere i nostri report.