Elenco dei Sub-responsabili del Trattamento

A-ESP S.R.L. — ex artt. 28 e 30 del Regolamento (UE) 2016/679 («GDPR»)

Destinatari: utenti del Servizio, Studi e Aziende clienti (il presente documento costituisce l'Allegato C dei rispettivi Accordi sul trattamento dei dati personali).

Versione vigente pubblicata su https://a-esp.io/legal/sub-responsabili.

1. Premessa

Per erogare il Servizio A-ESP, A-ESP S.R.L., con sede legale in Viale Rimembranza 19/B, 20871 Vimercate (MB), C.F., P.IVA e numero di iscrizione al Registro Imprese 14874150965, REA MB-2812690, PEC a-esp@pec.it (di seguito «A-ESP»), si avvale dei fornitori tecnologici elencati di seguito, che trattano dati personali per conto di A-ESP in qualità di responsabili o sub-responsabili del trattamento ai sensi dell'art. 28 GDPR.

A-ESP è titolare del trattamento per gli account, la sicurezza, le comunicazioni proprie e per tutto il trattamento svolto nel contesto Personale; è responsabile del trattamento per gli Studi e le Aziende clienti, nei contesti Studio e Azienda (sezione 8).

L'elenco è pubblicato e mantenuto aggiornato. L'aggiunta o la sostituzione di un sub-responsabile è comunicata con il preavviso indicato nella sezione 9.

2. Sub-responsabili

Note sui fornitori di intelligenza artificiale

• A-ESP non addestra né affina modelli con i dati degli utenti. I fornitori sopra indicati non li usano per addestrare i modelli.
• Il registro delle chiamate AI contiene solo metriche (operazione, modello, token, latenza, esito), mai prompt o risposte. Le risposte dei modelli sono conservate da A-ESP solo come dati del Servizio (metadati e sintesi estratti dai messaggi, nomi dei cassetti suggeriti, conversazioni con Komo e relativo riassunto, brief), secondo i periodi di conservazione indicati nell'informativa privacy; le bozze di email non sono conservate.
• Prima delle chiamate di classificazione, estrazione ed embedding i dati sono pseudonimizzati su un servizio interno, che blocca la richiesta in caso di errore. Per la chat, le bozze, i brief, i nomi dei cassetti suggeriti, la verifica delle riprogrammazioni e il profilo di stile è applicato un mascheramento con etichette dei soli valori riconosciuti (mittente, controparte, importi, date, codici, IBAN, codici fiscali, partite IVA, email, telefoni): la prosa giunge al modello in chiaro.
• Mistral AI SAS riceve il contenuto originale degli allegati (PDF, immagini, Word, PowerPoint, Excel, OpenDocument e RTF) e l'audio della funzione vocale, non pseudonimizzati, perché il riconoscimento del testo e della voce richiede il contenuto integrale; con i file Office e di testo formattato riceve anche i metadati interni del file (autore, commenti, revisioni); il trattamento avviene nell'Unione europea.
• Il profilo di stile delle bozze è una funzione facoltativa riservata al contesto Personale: non è trattato per conto di Studi o Aziende.
• Nelle app, la dettatura usa il riconoscimento vocale del sistema operativo del dispositivo: l'audio non è trasmesso ad A-ESP né a sub-responsabili di A-ESP.

3. Fornitori delle caselle collegate (Google e Microsoft)

Google e Microsoft forniscono all'utente il servizio di posta e le caselle che l'utente collega al Servizio. Agiscono come titolari autonomi del trattamento per i propri servizi; non sono sub-responsabili di A-ESP. A-ESP accede alle caselle tramite autorizzazioni OAuth 2.0 revocabili dall'utente, senza mai ricevere la password della casella; i token sono conservati cifrati.

Alla disconnessione la Piattaforma revoca l'autorizzazione presso Google. Per Microsoft la Piattaforma cancella le credenziali conservate e l'utente può revocare l'autorizzazione dal proprio account (https://account.live.com/consent/Manage; per gli account di lavoro o scolastici https://myapps.microsoft.com).

L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use.

Permesso gmail.send. Il permesso gmail.send è richiesto solo quando la funzione di invio è attiva, anche per i nuovi messaggi e per i promemoria di incasso. A-ESP non lo richiede agli Utenti prima della verifica OAuth di Google per il caso d'uso esteso ai nuovi messaggi, che è condizione per l'attivazione in esercizio.

4. Gestori PEC e caselle IMAP

I gestori delle caselle IMAP e PEC dell'utente non sono sub-responsabili di A-ESP: il rapporto contrattuale intercorre tra l'utente e il proprio gestore, e A-ESP accede alla casella su autorizzazione dell'utente. Per la PEC i gestori accreditati AgID restano autonomi titolari per quanto attiene alla conservazione prevista dal DPR 68/2005.

A-ESP accede alle caselle IMAP e PEC in sola consultazione (comando EXAMINE e lettura BODY.PEEK, che non altera lo stato di lettura). Le credenziali sono cifrate con AES-256-GCM a busta. A-ESP non invia mai messaggi PEC; per le sole caselle IMAP ordinarie, ove la funzione facoltativa di invio sia attiva, le risposte sono inviate tramite il server SMTP di invio dello stesso fornitore, scelto da un elenco chiuso che esclude i server dei gestori PEC.

Gestori PEC preconfigurati: Aruba PEC; Legalmail (InfoCert); PosteCert (Poste Italiane); Register.it PEC; Namirial PEC (Sicurezza Postale); Actalis PEC; TWT PEC; è inoltre possibile indicare un altro gestore PEC.

5. Altri soggetti che non sono sub-responsabili

• Porkbun (registrazione del dominio e DNS) e GitHub (custodia del codice sorgente e rilascio): non hanno accesso ai dati personali degli utenti.
• Have I Been Pwned (servizio «Pwned Passwords»): quando l'utente sceglie una password, il Servizio verifica che non compaia in elenchi di password compromesse inviando al servizio soltanto i primi cinque caratteri dell'impronta SHA-1 della password (tecnica di k-anonymity, con risposte di dimensione uniforme). La password, la sua impronta completa, l'email e ogni altro dato dell'utente non lasciano mai il Servizio e il fornitore non riceve alcun dato che consenta di identificare una persona: non si tratta pertanto di un trattamento di dati personali per conto di A-ESP e il fornitore non è sub-responsabile.
• Il Servizio non utilizza fornitori di pagamento, di analisi statistica, di tracciamento degli errori o del comportamento, di pubblicità o di assistenza clienti. I caratteri tipografici dell'interfaccia sono distribuiti dal Servizio stesso, senza richieste a fornitori di font.

In caso di attivazione di nuove funzioni o fornitori, il presente elenco sarà aggiornato con il preavviso della sezione 9.

6. Trasferimenti extra-SEE

I dati persistenti sono conservati nell'Unione europea (database a Francoforte; applicazione in Belgio). Il trattamento dei dati personali non comporta trasferimenti verso Paesi terzi privi di decisione di adeguatezza, ad eccezione dell'eventuale accesso da parte delle società madri statunitensi di Google, Microsoft, Neon, Cloudflare e Resend, e dell'eventuale instradamento delle notifiche push attraverso i servizi dei browser dell'utente e il servizio APNs di Apple per l'app iOS, che opera sulla base delle clausole contrattuali standard (decisione di esecuzione (UE) 2021/914).

Per le società con sede negli Stati Uniti o loro capogruppo, eventuali trasferimenti si fondano sulla decisione di adeguatezza UE-USA (Data Privacy Framework, decisione di esecuzione (UE) 2023/1795) per le società certificate e, in mancanza, sulle clausole contrattuali standard (decisione (UE) 2021/914) incluse nell'accordo sul trattamento dei dati del fornitore. A queste si aggiungono misure supplementari: pseudonimizzazione o mascheramento prima delle chiamate ai modelli nei limiti della sezione 2, cifratura in transito e cifratura a riposo da parte dei fornitori, conservazione dei dati persistenti in regione UE.

Le funzioni basate su modelli linguistici sono eseguite tramite Microsoft Azure AI Foundry, fornito nello SEE da Microsoft Ireland Operations Limited, su una risorsa ubicata in un data center situato nello Spazio Economico Europeo. Eventuali accessi extra-SEE del gruppo Microsoft sono coperti dal Microsoft Products and Services Data Protection Addendum, che incorpora le clausole contrattuali standard, e dalla certificazione DPF di Microsoft Corporation.

7. Accordi con i fornitori

A-ESP ha concluso con ciascun sub-responsabile un accordo ai sensi dell'art. 28 GDPR, nella forma delle condizioni standard di trattamento dei dati del fornitore, che impongono obblighi equivalenti a quelli assunti da A-ESP verso i propri clienti. Copia o estratto degli accordi è disponibile su richiesta motivata ai contatti della sezione 10.

8. Contesti Studio e Azienda — ruolo nella catena

Nei contesti Studio e Azienda A-ESP tratta i dati per conto dello Studio o dell'Azienda, titolari del trattamento. In tali casi i fornitori della sezione 2 operano come sub-responsabili di A-ESP e il presente elenco costituisce l'Allegato C dell'«Accordo sul Trattamento dei Dati Personali (art. 28 GDPR)» nelle versioni Studio e Azienda. Per i solleciti inviati dagli Studi ai propri clienti, Resend tratta indirizzo, oggetto e testo del promemoria e indirizzo di risposta del titolare dello Studio per conto dello Studio.

9. Modifiche all'elenco

A-ESP può aggiungere un nuovo sub-responsabile o sostituirne uno esistente, per ragioni tecniche, di sicurezza o commerciali, con preavviso di almeno 30 giorni comunicato via email e con avviso nell'applicazione; può rimuovere senza preavviso i sub-responsabili non più necessari. In caso di disaccordo con l'aggiunta o la sostituzione, l'utente, lo Studio o l'Azienda possono recedere senza penali entro 30 giorni dalla comunicazione.

10. Contatti

• Titolare / Responsabile: A-ESP S.R.L., Viale Rimembranza 19/B, 20871 Vimercate (MB), C.F. e P.IVA 14874150965, REA MB-2812690, PEC a-esp@pec.it.
• Email per la privacy: info@a-esp.io.
• Responsabile della protezione dei dati: non designato.

11. Registro delle modifiche