Informativa sulla privacy

Ambito di applicazione e delimitazione

La presente Informativa sulla privacy si applica all'uso aziendale della piattaforma hegyon.ai. Per l'uso privato del « Public Chat » si applica invece la Informativa sulla privacy Public Chat separata; per tale uso hegyon.ai agisce come titolare del trattamento.

Introduzione

La presente Informativa sulla privacy descrive come hegyon.ai, gestita da Robert Santiago come ditta individuale svizzera (IDI CHE-288.808.611), tratta i dati personali in relazione al sito web e alla piattaforma. È finalizzata ad assolvere i nostri obblighi ai sensi della Legge federale svizzera sulla protezione dei dati riveduta (nLPD) e, per il singolo trattamento applicabile, del Regolamento UE generale sulla protezione dei dati (GDPR).

Titolare del trattamento

Titolare del trattamento / esportatore di dati:
Robert Santiago, ditta individuale operante come hegyon.ai
Lufingerstrasse 37
CH-8185 Winkel
Svizzera
IDI CHE-288.808.611
Contatto privacy: privacy@hegyon.ai · Contatto legale: legal@hegyon.ai

Non abbiamo nominato un Responsabile della Protezione dei Dati (DPO/RPD) statutario: i nostri trattamenti non superano attualmente le soglie di cui all'art. 10 nLPD né all'art. 37 GDPR. Il contatto privacy sopra indicato è il nostro punto di contatto unico per qualsiasi richiesta in materia di protezione dei dati.

Dati che raccogliamo

Raccogliamo i seguenti tipi di dati personali:

• Dati di account e identità, nome, email aziendale, organizzazione, ruolo, credenziali di autenticazione (le password sono memorizzate come hash Argon2id, mai in chiaro).
• Dati Cliente, documenti, prompt, output e configurazioni che carica o genera; il trattamento è governato dal Sensitive Data Guard descritto di seguito.
• Dati di utilizzo e della catena d'audit, azioni effettuate sulla piattaforma con timestamp e utente responsabile, sigillate nella catena d'audit conforme OLICO.
• Dati tecnici, indirizzo IP, stringa user-agent, identificativi di sessione, caratteristiche di base del dispositivo, conservati per sicurezza, prestazioni e prevenzione abusi.
• Dati di comunicazione, messaggi inviati tramite i moduli di contatto, richieste di demo e ticket di supporto, e le nostre risposte.
• Dati di fatturazione, indirizzo di fatturazione, partita IVA / IDI, metadati del metodo di pagamento; non memorizziamo i dati completi delle carte, il trattamento dei pagamenti è gestito dal nostro sub-responsabile per i pagamenti.

Basi giuridiche del trattamento

Trattiamo dati personali solo in presenza di una base giuridica ai sensi della nLPD e, per quanto applicabile, dell'art. 6 GDPR:

• Esecuzione di un contratto (art. 31 cpv. 1 nLPD / art. 6 par. 1 lett. b GDPR), per gestire la piattaforma, amministrare il Suo account e fornire il supporto.
• Obbligo di legge (art. 31 cpv. 2 lett. c nLPD / art. 6 par. 1 lett. c GDPR), per adempiere agli obblighi contabili, fiscali e di conservazione svizzeri, in particolare OLICO e OR art. 958f.
• Interessi legittimi (art. 31 cpv. 2 lett. d nLPD / art. 6 par. 1 lett. f GDPR), per mettere in sicurezza la piattaforma, prevenire abusi, condurre analytics di miglioramento del prodotto che non consentono l'identificazione e per far valere o difendere pretese legali. Quando ci basiamo sull'interesse legittimo bilanciamo l'interesse con i Suoi diritti e libertà fondamentali; Lei può opporsi in qualsiasi momento.
• Consenso (art. 6 cpv. 6 nLPD / art. 6 par. 1 lett. a GDPR), per i trattamenti che lo richiedono, ad esempio i cookie non essenziali. Il consenso è revocabile in qualsiasi momento con effetto per il futuro.

Come utilizziamo i Suoi dati

Trattiamo i Suoi dati personali per le seguenti finalità:

• Per fornire, gestire, mettere in sicurezza e migliorare continuamente la piattaforma e il sito.
• Per rispondere a richieste, richieste di demo, ticket di supporto e altre comunicazioni.
• Per fatturare e contabilizzare i nostri servizi, inclusa l'emissione di fatture e l'adempimento degli obblighi contabili e fiscali svizzeri.
• Per rilevare, indagare e prevenire abusi, frodi, incidenti di sicurezza e violazioni delle presenti Condizioni.
• Per adempiere alle leggi applicabili e dare seguito a richieste legittime delle autorità pubbliche.

Trattamento da parte di modelli IA (Sensitive Data Guard)

La piattaforma si avvale di fornitori esterni di Large Language Model (LLM) (attualmente OpenAI, Anthropic e Google per la chat utente finale, e Mistral per l'orchestrazione di back-office). Prima che un prompt venga inoltrato a un LLM esterno, il nostro Sensitive Data Guard classifica il contenuto e maschera o blocca dati personali, contrattuali e finanziari. Vengono trasmessi solo i contenuti rilasciati e non identificanti.

I fornitori esterni di LLM sono vincolati da accordi contrattuali di non addestramento; i Suoi Dati Cliente e i contenuti mascherati inviati per Suo conto non vengono utilizzati per addestrare o migliorare i loro modelli. L'elenco aggiornato dei fornitori LLM, con regione di hosting e meccanismo di trasferimento applicabile (EU-US Data Privacy Framework / Clausole Contrattuali Tipo), è mantenuto nel nostro Trust Center.

Qualora Lei eserciti un'opzione che bypassa il Guard (ad esempio un opt-in esplicito per inviare contenuti non mascherati a uno specifico fornitore per uno specifico caso d'uso), i termini pertinenti sono esposti nell'interfaccia utente e l'azione viene registrata nella catena d'audit.

Sub-responsabili

Utilizziamo un ristretto numero di sub-responsabili accuratamente selezionati per gestire la piattaforma, tra cui il nostro fornitore svizzero di hosting (Hostpoint AG, Zurigo, data center certificati ISO 27001), i fornitori esterni di LLM elencati sopra e i nostri fornitori di email transazionali, pagamenti e analytics. L'elenco aggiornato con nome, ruolo, sede e meccanismo di trasferimento è pubblicato nel nostro Trust Center e aggiornato a ogni modifica sostanziale.

Per i clienti Enterprise i cambiamenti del novero dei sub-responsabili sono notificati in anticipo secondo la procedura prevista dall'Accordo per il Trattamento dei Dati (DPA).

Trasferimenti internazionali di dati

I dati applicativi (account, Dati Cliente, catena d'audit) sono ospitati in Svizzera presso Hostpoint AG, Zurigo. I dati personali non lasciano la Svizzera attraverso il livello applicativo.

Nella misura in cui contenuti mascherati e rilasciati siano trattati da fornitori LLM situati nello Spazio economico europeo o in Paesi con decisione di adeguatezza riconosciuta dalla Svizzera, non è richiesto alcun ulteriore strumento di trasferimento. Quando i contenuti mascherati sono trattati da fornitori statunitensi, il trasferimento è governato dall'EU-US Data Privacy Framework e dal suo equivalente svizzero, ove il fornitore sia certificato, e altrimenti dalle Clausole Contrattuali Tipo (CCT) 2021/914 unitamente alle misure supplementari descritte nel nostro Trust Center.

Cookie

Utilizziamo cookie per garantire il corretto funzionamento del sito web e, con il Suo consenso, per comprendere come utilizza il nostro sito. Può gestire le Sue preferenze in qualsiasi momento tramite le impostazioni dei cookie.

Condivisione dei dati

Non vendiamo dati personali. Condividiamo dati personali solo con le categorie di destinatari necessarie a gestire la piattaforma e a rispettare i nostri obblighi di legge:

• Il nostro fornitore svizzero di hosting (Hostpoint AG, Zurigo), sulla base di un accordo scritto di trattamento dei dati.
• Fornitori esterni di LLM, sulla base di accordi di non addestramento, dopo che il Sensitive Data Guard ha mascherato contenuti personali, contrattuali e finanziari (vedi sotto).
• Fornitori di email transazionali, pagamenti e analytics utilizzati per gestire il sito e la piattaforma.
• Consulenti professionali (legali, fiscali, di revisione) ove strettamente necessario.
• Autorità pubbliche, ove richiesto dal diritto svizzero vincolante o da un'ordinanza giudiziaria.

L'elenco aggiornato dei sub-responsabili è mantenuto nel nostro Trust Center.

Conservazione dei dati

Conserviamo i dati personali solo per il tempo necessario alle finalità per cui sono stati raccolti, dopodiché li cancelliamo o anonimizziamo. Periodi indicativi:

• Dati di account: per la durata del rapporto contrattuale più fino a 10 anni dalla fine del contratto, per adempiere agli obblighi contabili e di revisione svizzeri (OLICO / OR art. 958f).
• Dati Cliente (documenti, prompt, output): per la durata del rapporto contrattuale; cancellati al termine del periodo di grazia concordato dopo la cessazione, salvo conservazione più lunga richiesta dalla legge.
• Voci della catena d'audit: per il periodo legale di conservazione applicabile al documento commerciale sottostante (tipicamente 10 anni).
• Invii dei moduli di contatto: 12 mesi.
• Log del server: tipicamente 90 giorni.
• Registri di consenso ai cookie: 12 mesi.

I Suoi diritti

Ai sensi della nLPD e, per quanto applicabile, del GDPR, Lei gode dei seguenti diritti sui Suoi dati personali:

• Diritto di accesso, ottenere conferma del trattamento dei Suoi dati personali e riceverne copia.
• Diritto di rettifica, far rettificare dati personali inesatti.
• Diritto alla cancellazione, richiedere l'eliminazione dei Suoi dati
• Diritto alla limitazione, limitare le modalità di trattamento dei Suoi dati
• Diritto alla portabilità dei dati, ricevere i dati personali da Lei forniti in un formato strutturato e leggibile da dispositivo automatico e trasmetterli ad altro titolare, ove tecnicamente possibile.
• Diritto di revocare il consenso, in qualsiasi momento con effetto per il futuro.
• Diritto di proporre reclamo all'Incaricato federale svizzero della protezione dei dati e della trasparenza (IFPDT, edoeb.admin.ch) o, ove il GDPR si applichi al trattamento, all'autorità di controllo della Sua residenza abituale UE/SEE.

Per esercitare tali diritti contatti privacy@hegyon.ai. Rispondiamo entro 30 giorni dal ricevimento; per richieste complesse il termine può essere prorogato una sola volta di ulteriori due mesi, dandone comunicazione. Potremmo richiedere la verifica della Sua identità prima di dare seguito alla richiesta.

Google Ads e monitoraggio delle conversioni

Pubblichiamo annunci di ricerca su Google. Per misurare se questi annunci siano pertinenti, usiamo il monitoraggio delle conversioni di Google Ads. Registra se una persona prenota una dimostrazione o invia il modulo di contatto dopo aver cliccato su un annuncio.

Solo con il vostro consenso. Senza il vostro consenso alla categoria «Marketing» non viene caricato alcuno script di Google e non viene stabilita alcuna connessione con Google. Il tag di Google viene caricato solo dopo il consenso, e Google può allora impostare cookie.

Dati: clic sull’annuncio, evento di conversione (per es. «dimostrazione prenotata»), momento, nonché indicazioni tecniche come browser e tipo di dispositivo. Il vostro indirizzo IP è trattato da Google. Non trasmettiamo né nomi né indirizzi di posta elettronica dal modulo.

Destinatari: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda; se del caso Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA.

Base giuridica: il vostro consenso. Per i visitatori dalla Svizzera secondo la LPD riveduta, e per i visitatori dall’UE inoltre l’art. 6 par. 1 lett. a GDPR.

Trasferimento negli USA: nella misura in cui dati giungano negli USA, il trasferimento si fonda sull’EU-US Data Privacy Framework e sulla sua estensione svizzera (Swiss-US Data Privacy Framework), sotto i quali Google è certificata.

Durata di conservazione: i cookie di conversione di Google scadono al più tardi dopo 90 giorni. Le valutazioni aggregate nel nostro conto Google Ads restano più a lungo ma non permettono conclusioni su singole persone.

Revoca: potete revocare il vostro consenso in qualsiasi momento tramite le impostazioni dei cookie nel piè di pagina. La revoca ha effetto immediato; potete inoltre cancellare nel vostro browser i cookie di Google già impostati.

Ci contatti

Per qualsiasi richiesta in materia di protezione dei dati contatti privacy@hegyon.ai. L'indirizzo postale per la corrispondenza scritta è quello del titolare indicato sopra.