Quali sub-responsabili del trattamento utilizza amaise?
amaise collabora con i seguenti sub-responsabili del trattamento:
Elaborazione IA:
Microsoft Azure OpenAI — Inferenza LLM. Elaborazione dati regionale in deployment limitati alla zona dati corrispondente (UE: zona dati UE — France Central, Germany West Central, Italy North, Poland Central, Spain Central, Sweden Central, West Europe; US: zona dati US — Central US, East US, East US 2, North Central US, South Central US, West US, West US 3; CH: Switzerland North esclusivo). Contrattualmente nessun addestramento sui dati dei clienti. Secondo i termini di Microsoft, il contenuto di prompt e completamenti può essere conservato fino a 30 giorni ai fini del monitoraggio degli abusi, accessibile solo a revisori autorizzati di Microsoft, e non viene mai utilizzato per addestrare o migliorare i modelli. amaise stessa registra solo il numero di token — nessun contenuto di prompt o completamento. ISO 27001, SOC 2.
Google Document AI — Elaborazione OCR per clienti UE e US. Endpoint regionali: endpoint UE per clienti UE, endpoint US per clienti US. I dati non vengono conservati. ISO 27001, SOC 2.
Microsoft Azure AI Document Intelligence — Elaborazione OCR per clienti svizzeri, ospitato in Svizzera (Switzerland North). I dati non vengono conservati, nessun addestramento sui dati dei clienti. ISO 27001, SOC 2.
Infrastruttura:
AWS — Intera memorizzazione dati e computazione. Account regionali (Francoforte, Zurigo, Ohio). ISO 27001, SOC 1/2/3, CSA STAR, PCI DSS.
Auth0 (Okta) (US) — Identità e autenticazione. Elabora dati di accesso utenti ed eventi di autenticazione, nessun contenuto documentale cliente. SOC 2. Clausole contrattuali standard GDPR (SCC).
Sicurezza e conformità:
Snyk — Analisi della composizione software (analisi delle dipendenze). Nessun accesso al codice sorgente o dati cliente. ISO 27001.
Scrut — Piattaforma di conformità per gestione ISMS (ISO 27001, SOC 2 Lifecycle). Nessun accesso a dati cliente — elabora esclusivamente metadati infrastrutturali e dati di conformità dispositivi. I dati elaborati da Scrut non contengono informazioni che permettano di identificare singoli assicurati o i loro casi. SOC 2. Trasferimento protetto da SCC.
Monitoraggio e operazioni:
BetterStack — Monitoraggio disponibilità. Nessun accesso a dati cliente.
Sentry — Tracciamento errori con pulizia automatica di dati personali identificabili (PII). Nessun contenuto documentale cliente. SCC.
Mixpanel — Analisi prodotto (comportamento d’uso). Riceve l’indirizzo e-mail e il nome dell’utente connesso, il testo digitato nei campi di ricerca e di filtro e le domande poste ai pilot — questo testo può contenere il nome o l’indirizzo e-mail di una persona. La registrazione delle sessioni (session replay) è attiva per tutte le sessioni. Nessun contenuto documentale cliente e nessun risultato di ricerca viene trasmesso. SCC.
Servizio di invio SMS — Consegna di password monouso per MFA. Nessun dato cliente. SCC.
Art. 321 CP (segreto professionale): Per clienti svizzeri i cui dati sono soggetti al segreto professionale, amaise garantisce contrattualmente che gli obblighi di riservatezza siano rispettati lungo tutta la catena dei sub-responsabili del trattamento. L’elaborazione principale (documenti, database) rimane esclusivamente in Svizzera. L’elaborazione IA avviene tramite Azure OpenAI Switzerland North, limitata alla zona dati Svizzera; amaise registra solo il numero di token (nessun contenuto di prompt o completamento) e l’accordo è disciplinato dal Microsoft Online Services DPA. I servizi di supporto US non elaborano contenuti documentali cliente né hanno accesso a dati protetti dall’art. 321.
Le modifiche alla lista dei sub-responsabili del trattamento vengono comunicate ai clienti in anticipo, con diritto di opposizione secondo GDPR art. 28. Sono stati effettuati e documentati Transfer Impact Assessment (TIA) per tutti i sub-responsabili basati negli Stati Uniti.