AlpacaKeep1. Parti ed efficacia
Il titolare del trattamento è la persona o organizzazione responsabile dello spazio aziendale identificato nell'account AlpacaKeep (Cliente). Il responsabile del trattamento è Devid Demetz, Larciunei 46, 39048 Selva di Val Gardena (BZ), Italia (AlpacaKeep). Il membro che accetta il presente Accordo per un'azienda conferma di essere autorizzato a vincolare il Cliente.
Il presente Accordo acquista efficacia quando il Cliente accetta i Termini del servizio che lo incorporano e resta in vigore finché AlpacaKeep tratta Dati personali del Cliente. Soddisfa il requisito del contratto scritto previsto dall'articolo 28 GDPR e si applica insieme ai Termini. Le definizioni del GDPR hanno lo stesso significato nel presente Accordo. Quando al trattamento del Cliente si applica il UK GDPR, i riferimenti al GDPR nel presente Accordo comprendono le disposizioni corrispondenti del UK GDPR e del Data Protection Act 2018, e il presente Accordo è anche il contratto richiesto dall'articolo 28 del UK GDPR. Se il Cliente si trova in Nuova Zelanda o in Australia, il presente Accordo stabilisce anche le condizioni alle quali AlpacaKeep conserva i dati del Cliente per suo conto.
2. Dettagli del trattamento
I seguenti dettagli descrivono il trattamento affidato ad AlpacaKeep:
- Oggetto: Gestione del servizio AlpacaKeep per gli allevamenti e delle funzioni che il Cliente sceglie di usare.
- Durata: La durata dell'account e i periodi di cancellazione descritti nella Sezione 9, salvo che la legge imponga una conservazione più lunga.
- Natura e finalità: Ospitare, organizzare, recuperare, mostrare, esportare, sottoporre a backup e cancellare i registri aziendali; condividerli con i membri autorizzati; su richiesta, usare l'IA per leggere un certificato e preparare una bozza di pedigree per il controllo umano; e, per un allevamento che partecipa al test chiuso di Chiedi al gregge, usare l'IA per rispondere alla domanda di un utente autorizzato consultando in sola lettura i registri di quell'allevamento, con una ricerca web facoltativa basata solo sulla domanda e sul paese dell'allevamento. L'IA non certifica il documento e non salva né modifica dati aziendali senza un'azione dell'utente.
- Tipi di dati personali: Nomi e recapiti dei membri; contatti, allevatori, precedenti proprietari, acquirenti, venditori, veterinari e fornitori; corrispondenza e note; dati finanziari; fotografie, firme e documenti; immagini o PDF di certificati; identificativi di animali e antenati collegati a persone; domande scritte dagli utenti e risposte generate per loro; metadati di sicurezza, assistenza e audit.
- Interessati: Il Cliente, i membri, dipendenti e collaboratori dell'azienda e le persone registrate dal Cliente, quali allevatori, proprietari, acquirenti, venditori, veterinari, fornitori e altri contatti.
3. Istruzioni documentate
AlpacaKeep tratta i Dati personali del Cliente solo su istruzioni documentate del Cliente, compresi i Termini, il presente Accordo, le impostazioni, le richieste di assistenza e le azioni degli utenti autorizzati. L'istruzione di usare una funzione comprende il trattamento ragionevolmente necessario per fornirla e i trasferimenti descritti nel presente Accordo.
AlpacaKeep informa il Cliente prima di un trattamento imposto dal diritto dell'Unione o di uno Stato membro o, quando si applica il UK GDPR, dal diritto del Regno Unito, salvo che la legge vieti tale comunicazione. AlpacaKeep informa tempestivamente il Cliente se un'istruzione sembra violare la normativa sulla protezione dei dati e può sospenderla mentre le parti risolvono la questione.
Quando il Cliente chiede aiuto ad AlpacaKeep, un utente autorizzato che gestisce il team dell'allevamento (il Proprietario o un Co-proprietario) può concedere ad AlpacaKeep l'accesso dell'assistenza all'allevamento per un periodo limitato (3, 7, 14 o 30 giorni) e con un livello scelto dal Cliente; un accesso che comprende i dati finanziari e le impostazioni può essere concesso solo dal Proprietario. AlpacaKeep può chiedere tale accesso, ma non accede a un allevamento finché un utente autorizzato di quell'allevamento non lo consente. Concedere o consentire l'accesso è un'istruzione documentata ai sensi della presente sezione ed è registrato con chi lo ha concesso, il livello e la scadenza. AlpacaKeep usa l'accesso solo per ciò che il Cliente ha chiesto, tramite un account di assistenza dedicato protetto da un secondo fattore di accesso; l'accesso termina da solo alla data indicata, ogni utente autorizzato che gestisce il team può chiuderlo prima e ogni azione compiuta con esso compare nel registro attività dell'allevamento come "Assistenza AlpacaKeep". L'accesso dell'assistenza non consente mai ad AlpacaKeep di modificare il team dell'allevamento, dare un consenso o un'autorizzazione in nome del Cliente, pubblicare i dati del Cliente o diventare proprietario dell'allevamento.
Quando il Cliente chiede per iscritto ad AlpacaKeep di trasferire i dati dell'allevamento da un altro sistema o da file inviati dal Cliente, tale richiesta scritta è un'istruzione documentata per quell'importazione: AlpacaKeep importa solo i dati inviati a tale scopo, solo in quell'allevamento, e informa il Cliente quando l'importazione è conclusa. Se l'importazione avviene tramite l'accesso dell'assistenza, si applica anche il paragrafo precedente.
3b. Chiedi al gregge: lettura delle domande dell'allevamento, su autorizzazione del Cliente
Quando il Proprietario o un Co-proprietario del Cliente consente la condivisione per l'allevamento nella pagina di Chiedi al gregge, il Cliente dà ad AlpacaKeep un'autorizzazione specifica, registrata con chi l'ha data, l'ora e il testo mostrato, a leggere le domande che gli utenti autorizzati dell'allevamento fanno da allora in poi, e le loro risposte, per lo scopo proprio di AlpacaKeep di trovare le risposte sbagliate e migliorare la funzione. Per questo uso AlpacaKeep è titolare autonomo del trattamento, non responsabile del Cliente (art. 28.10 GDPR). Finché la condivisione è consentita, AlpacaKeep informa gli altri utenti autorizzati dell'allevamento, nella pagina di Chiedi al gregge, che l'allevamento condivide le sue domande. L'autorizzazione vale solo finché chi l'ha data è Proprietario o Co-proprietario dell'allevamento.
Per questo uso AlpacaKeep:
- legge una domanda condivisa solo finché è conservata (30 giorni) e senza che siano mostrati il nome dell'allevamento o l'identità dell'utente, e registra nel proprio registro degli accessi ogni apertura delle domande condivise;
- non usa le domande condivise per addestrare modelli di apprendimento automatico, non le comunica né le vende e non le copia fuori dal Servizio se prima non sono stati tolti i nomi e tutto ciò che identifica l'allevamento;
- registra ogni scelta del Cliente con chi l'ha fatta, l'ora e la versione del testo mostrato.
Il Cliente può revocare l'autorizzazione in qualsiasi momento: disattivando la condivisione nella pagina di Chiedi al gregge, il che ferma subito ogni lettura in base a questa sezione, oppure scrivendo ad AlpacaKeep, che la disattiva senza ingiustificato ritardo e al più tardi entro due giorni lavorativi. Da allora AlpacaKeep non legge più alcuna domanda dell'allevamento in base a questa sezione, a meno che l'autorizzazione non venga data di nuovo, e in quel caso solo le domande poste dopo.
4. Riservatezza e sicurezza
AlpacaKeep garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza e accedano ai dati solo quando necessario. Le misure adeguate al rischio comprendono:
- Cifratura in transito tramite TLS e cifratura a riposo tramite i fornitori di hosting.
- Isolamento tra aziende tramite sicurezza a livello di riga nel database e ruoli aziendali.
- Conservazione delle chiavi privilegiate solo sul server e accesso amministrativo limitato.
- Registri, monitoraggio, procedure di cancellazione verificate e gestione degli incidenti.
- Backup, controllo delle modifiche, verifica delle dipendenze e procedure di ripristino adeguate al servizio.
- Verifica periodica delle misure tecniche e organizzative, considerando stato dell'arte, costi, contesto e rischi del trattamento.
Leggi le misure di sicurezza attuali e la politica di segnalazione responsabile.
5. Sub-responsabili
Il Cliente concede ad AlpacaKeep un'autorizzazione generale scritta a usare i sub-responsabili elencati nella pagina pubblica Sub-responsabili per le finalità ivi indicate. L'elenco comprende Anthropic Ireland, Limited per l'API Claude. Anthropic riceve il contenuto dei certificati solo quando il lettore IA è abilitato e un utente autorizzato invia un documento, e riceve i registri di un allevamento per Chiedi al gregge solo finché quell'allevamento partecipa al test chiuso e un utente autorizzato pone una domanda. Per un tale allevamento, l'adesione scritta del proprietario al test costituisce anche l'autorizzazione scritta specifica del Cliente al trattamento dei registri dell'allevamento da parte di Anthropic per tale finalità. Anthropic si avvale di propri sub-responsabili, anche per la ricerca web, secondo il proprio Addendum sul trattamento dei dati; Anthropic pubblica e modifica quell'elenco secondo i propri termini di preavviso, e la pagina Sub-responsabili vi rimanda.
AlpacaKeep comunica via email ai clienti con account attivo, con almeno 30 giorni di anticipo, l'aggiunta o la sostituzione di un sub-responsabile che tratterà Dati personali del Cliente. La comunicazione indica fornitore, attività e luogo. Il Cliente può opporsi nel termine per motivi ragionevoli di protezione dei dati. AlpacaKeep cerca un'alternativa ragionevole; se non è disponibile, il Cliente può smettere di usare la funzione interessata o disdire il servizio interessato, ottenendo il rimborso proporzionale degli importi prepagati per il periodo non usato.
AlpacaKeep impone per iscritto a ogni sub-responsabile la protezione richiesta dalla normativa applicabile e resta responsabile verso il Cliente per gli obblighi affidati al sub-responsabile.
6. Trasferimenti internazionali
I dati principali dell'applicazione sono conservati a Francoforte, Germania. Se un sub-responsabile tratta Dati personali del Cliente fuori dal SEE, AlpacaKeep usa una decisione di adeguatezza applicabile, le clausole contrattuali tipo della Commissione europea o un'altra garanzia lecita indicata nella pagina Sub-responsabili. Quando si applica il UK GDPR, il diritto britannico consente la conservazione dei Dati personali del Cliente nel SEE e, per un trasferimento fuori dal Regno Unito e dal SEE, AlpacaKeep si basa sui regolamenti di adeguatezza del Regno Unito, sull'International Data Transfer Addendum britannico alle clausole contrattuali tipo, sull'International Data Transfer Agreement britannico o su un'altra garanzia ammessa dal UK GDPR.
L'API Claude conserva negli Stati Uniti il contenuto di ogni richiesta IA (un certificato inviato, oppure una domanda con i registri consultati per rispondere) e può trattarlo in qualsiasi regione usata da Anthropic. Anthropic tratta tali dati secondo il proprio Addendum sul trattamento dei dati, che comprende le clausole contrattuali tipo UE (decisione di esecuzione (UE) 2021/914 della Commissione). Le ricerche web di Chiedi al gregge sono eseguite dai sub-responsabili di Anthropic negli Stati Uniti. L'API Claude non offre residenza UE. AlpacaKeep passerà a un percorso con residenza UE prima di assumere un impegno di trattamento IA esclusivamente nell'UE.
Se il Cliente è stabilito in un paese privo di una decisione di adeguatezza della Commissione europea, come l'Australia, le clausole contrattuali tipo adottate con la decisione di esecuzione (UE) 2021/914 della Commissione, Modulo quattro (trasferimento da responsabile a titolare), sono incorporate nel presente Accordo per la messa a disposizione dei Dati personali del Cliente al Cliente da parte di AlpacaKeep, con AlpacaKeep come esportatore e il Cliente come importatore dei dati. Ai fini di tali clausole, l'Allegato I è completato dalle parti indicate nella Sezione 1 e dai dettagli della Sezione 2 del presente Accordo, il trasferimento è continuativo finché esiste l'account del Cliente e non sono trasferite categorie particolari di dati personali; la clausola facoltativa 7 non si applica; ai sensi della clausola 17 le clausole sono disciplinate dalla legge italiana e ai sensi della clausola 18 le controversie che ne derivano sono risolte dai giudici italiani.
7. Assistenza al Cliente
Tenendo conto della natura del trattamento e delle informazioni disponibili, AlpacaKeep fornisce assistenza ragionevole per:
- Richieste di accesso, rettifica, cancellazione, limitazione o esportazione dei Dati personali del Cliente e opposizioni relative a tali dati.
- Obblighi di sicurezza dell'articolo 32 GDPR e obblighi sulle violazioni dei dati degli articoli 33 e 34.
- Valutazioni d'impatto e consultazione preventiva ai sensi degli articoli 35 e 36.
- Informazioni ragionevolmente necessarie al Cliente per dimostrare il rispetto dell'articolo 28.
8. Violazioni dei dati personali
AlpacaKeep informa il Cliente senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione che riguarda Dati personali del Cliente. La comunicazione comprende natura e portata note, probabili conseguenze, misure adottate o proposte e un contatto. Le informazioni possono essere fornite in fasi successive se non sono subito disponibili.
AlpacaKeep adotta misure ragionevoli per contenere, indagare e porre rimedio alla violazione. Il Cliente resta responsabile di decidere se e come informare l'autorità di controllo o gli interessati, con l'assistenza di AlpacaKeep descritta sopra.
9. Restituzione, esportazione e cancellazione
Il Cliente può esportare i registri aziendali disponibili durante la durata dell'account. In caso di cancellazione dell'account, AlpacaKeep elimina i Dati personali del Cliente dopo il periodo di 30 giorni indicato e istruisce i sub-responsabili affinché cancellino o restituiscano i dati, secondo il caso, salvo obblighi di conservazione previsti dal diritto dell'Unione o di uno Stato membro o, quando si applica il UK GDPR, dal diritto del Regno Unito. I dati finanziari e di audit possono essere conservati solo per il periodo previsto dalla legge e con accesso limitato.
I documenti caricati restano finché il Cliente non li cancella o l'account non viene eliminato. Le proposte IA non applicate e i relativi problemi scadono dopo 30 giorni. I dettagli delle proposte applicate vengono rimossi dopo 90 giorni, mentre resta il collegamento minimo di audit. Le domande a Chiedi al gregge e le relative risposte sono visibili solo all'utente che le ha poste, e ad AlpacaKeep solo se il Cliente lo consente (Sezione 3b), e vengono cancellate dopo 30 giorni, o prima se quell'utente le cancella; un record senza di esse viene cancellato 180 giorni dopo. La conservazione presso il fornitore segue i termini indicati nella pagina Sub-responsabili: Anthropic elimina input e output dell'API entro 30 giorni e può conservare fino a 2 anni i contenuti segnalati ai sensi della sua Politica di utilizzo.
10. Informazioni e audit
AlpacaKeep mette a disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto del presente Accordo, comprese le politiche pertinenti e le relazioni indipendenti dei fornitori che AlpacaKeep è autorizzato a condividere.
Il Cliente può chiedere un audit non più di una volta ogni 12 mesi con ragionevole preavviso, salvo che una violazione, una richiesta dell'autorità di controllo o un fondato dubbio sul rispetto del presente Accordo giustifichino un ulteriore audit. Gli audit devono proteggere gli altri clienti, la sicurezza e le informazioni riservate e usare le relazioni disponibili prima di richiedere un'ispezione.
11. Responsabilità del Cliente
Il Cliente è responsabile dei propri obblighi di titolare e accetta di:
- Disporre di una base giuridica per i dati personali inseriti in AlpacaKeep e fornire le informative richieste dagli articoli 13 e 14 GDPR.
- Fornire istruzioni lecite e chiare ed evitare dati non necessari alla gestione dell'allevamento.
- Garantire che i membri siano autorizzati, proteggere le credenziali e configurare correttamente i permessi.
- Rispondere alle richieste degli interessati e delle autorità di controllo di propria competenza.
12. Durata, prevalenza e modifiche
Il presente Accordo termina quando AlpacaKeep ha cancellato tutti i Dati personali del Cliente da eliminare ai sensi della Sezione 9. Gli obblighi che per loro natura continuano dopo la cessazione restano efficaci.
In caso di conflitto tra il presente Accordo e i Termini sul trattamento dei Dati personali del Cliente, prevale il presente Accordo. La normativa obbligatoria sulla protezione dei dati prevale su entrambi.
Le modifiche sostanziali seguono la procedura di comunicazione dei Termini. Le modifiche ai sub-responsabili seguono la Sezione 5. Al presente Accordo si applicano legge e foro previsti dai Termini, senza limitare i diritti derivanti dalla normativa sulla protezione dei dati.
13. Contatto privacy
Domande, istruzioni e richieste di audit relative al presente Accordo devono essere inviate a privacy@alpacakeep.com.