Quali sub-responsabili del trattamento utilizza amaise?
amaise collabora con i seguenti sub-responsabili del trattamento:
Elaborazione AI:
Microsoft Azure OpenAI — Inferenza LLM. Elaborazione dati regionale (UE: Switzerland North/DataZoneStandard, US: East US/DataZoneStandard, CH: Switzerland North esclusivo). Contrattualmente nessun addestramento sui dati dei clienti. Il monitoraggio degli abusi è disattivato per i deployment DataZoneStandard e Switzerland North — nessuna memorizzazione temporanea di prompt o completamenti. ISO 27001, SOC 2.
Google Document AI — Elaborazione OCR. Endpoint regionali: endpoint UE per clienti UE, deployment Svizzera per clienti CH, endpoint US per clienti US. I dati non vengono conservati. ISO 27001, SOC 2.
Infrastruttura:
AWS — Intera memorizzazione dati e computazione. Account regionali (Francoforte, Zurigo, Ohio). ISO 27001, SOC 1/2/3, CSA STAR, PCI DSS.
Auth0 (Okta) (US) — Identità e autenticazione. Elabora dati di accesso utenti ed eventi di autenticazione, nessun contenuto documentale cliente. SOC 2. Clausole contrattuali standard GDPR (SCC).
Sicurezza e conformità:
Snyk (US/EU) — Analisi della composizione software (analisi delle dipendenze). Nessun accesso al codice sorgente o dati cliente. ISO 27001.
Scrut (IN) — Piattaforma di conformità per gestione ISMS (ISO 27001, SOC 2 Lifecycle). Nessun accesso a dati cliente — elabora esclusivamente metadati infrastrutturali e dati di conformità dispositivi. I dati elaborati da Scrut non contengono informazioni che permettano di identificare singoli assicurati o i loro casi. SOC 2. Trasferimento protetto da SCC.
Monitoraggio e operazioni:
BetterStack (UE) — Monitoraggio disponibilità. Nessun accesso a dati cliente.
Sentry (US) — Tracciamento errori con pulizia automatica di dati personali identificabili (PII). Nessun contenuto documentale cliente. SCC.
Mixpanel (US) — Analisi prodotto (comportamento d’uso). Nessun dato cliente, nessuna PII. SCC.
Twilio (US) — Invio SMS per MFA. Nessun dato cliente. SCC.
Art. 321 CP (segreto professionale): Per clienti svizzeri i cui dati sono soggetti al segreto professionale, amaise garantisce contrattualmente che gli obblighi di riservatezza siano rispettati lungo tutta la catena dei sub-responsabili del trattamento. L’elaborazione principale (documenti, database) rimane esclusivamente in Svizzera. L’elaborazione AI avviene tramite Azure OpenAI Switzerland North con monitoraggio abusi disattivato. I servizi di supporto US non elaborano contenuti documentali cliente né hanno accesso a dati protetti dall’art. 321.
Le modifiche alla lista dei sub-responsabili del trattamento vengono comunicate ai clienti in anticipo, con diritto di opposizione secondo GDPR art. 28. Sono stati effettuati e documentati Transfer Impact Assessment (TIA) per tutti i sub-responsabili basati negli Stati Uniti.