1. Titolare del Trattamento
Il Titolare del trattamento dei dati personali è:
AedisLabs LLC
Sede legale: Sharjah Media City, Sharjah, Emirati Arabi Uniti
Numero di registrazione (Trade License): 2646316.01
E-mail: privacy@abacus-ai.it
2. Rappresentante nell'Unione Europea
Ai sensi dell'art. 27 del GDPR, in considerazione del fatto che AedisLabs LLC ha sede al di fuori dell'Unione Europea ma offre il Servizio a Utenti residenti nell'UE, è stato designato un Rappresentante nell'Unione che funge da punto di contatto per le autorità di controllo e per gli interessati su tutte le questioni relative al trattamento dei dati personali:
Aniello Renato Pepe – Chief Technology Officer («CTO»)
Indirizzo: Via Renato Raiola 38, Angri 84012 (SA), Italia
E-mail: eu-rep@abacus-ai.it
Gli interessati possono rivolgersi al Rappresentante UE in alternativa al Titolare per esercitare i propri diritti.
3. Categorie di Dati Personali Trattati
AedisLabs tratta esclusivamente le seguenti categorie di dati personali:
3.1 Dati di registrazione e contatto
Nome, cognome, indirizzo e-mail, password (cifrata) e, ove fornite volontariamente, ulteriori informazioni di contatto.
3.2 Dati di pagamento
I dati relativi agli strumenti di pagamento (numero di carta, data di scadenza, codice di sicurezza) non sono raccolti né conservati da AedisLabs. Tali dati sono trattati direttamente da Dodo Payments, Inc. (Regno Unito), prestatore di servizi di pagamento certificato PCI-DSS Livello 1 che opera in qualità di Merchant of Record (autonomo titolare per la gestione dei pagamenti). AedisLabs riceve e conserva da Dodo Payments esclusivamente: identificativo della transazione, importo, data, esito del pagamento e ultime quattro cifre della carta utilizzata.
3.3 Dati di utilizzo e dati tecnici
Indirizzo IP, identificativo del dispositivo, tipo di browser, sistema operativo, pagine visitate, tempi di navigazione, log di accesso e di utilizzo del Servizio. Tali dati sono raccolti per finalità di sicurezza, prevenzione delle frodi, diagnostica e miglioramento del Servizio.
3.4 Cookie e tecnologie analoghe
Per le informazioni relative ai cookie utilizzati dal Sito si rimanda alla Cookie Policy disponibile su abacus-ai.it/cookie.
3.5 Contenuti inseriti dall'Utente
Eventuali testi, domande o input forniti dall'Utente nell'interazione con il Servizio. AedisLabs invita l'Utente a non inserire dati appartenenti a categorie particolari di cui all'art. 9 GDPR (dati relativi alla salute, opinioni politiche, ecc.) né dati di terzi senza valida base giuridica.
4. Finalità del Trattamento e Basi Giuridiche
| Finalità | Descrizione | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Erogazione del Servizio | Registrazione, gestione dell'Account, accesso al Servizio, supporto. | Esecuzione del contratto – art. 6.1.b |
| Gestione dei pagamenti | Elaborazione dell'Abbonamento e dei rinnovi tramite Dodo Payments (Merchant of Record), fatturazione. | Esecuzione del contratto e obbligo di legge – artt. 6.1.b e 6.1.c |
| Sicurezza e prevenzione frodi | Monitoraggio degli accessi, prevenzione di abusi e accessi non autorizzati. | Legittimo interesse – art. 6.1.f |
| Miglioramento del Servizio | Analisi statistiche aggregate sull'utilizzo del Servizio. | Legittimo interesse – art. 6.1.f |
| Adempimenti di legge | Obblighi contabili, fiscali, antiriciclaggio, risposta a richieste delle autorità. | Obbligo di legge – art. 6.1.c |
| Comunicazioni di servizio | Invio di comunicazioni essenziali (rinnovi, modifiche dei Termini, sicurezza). | Esecuzione del contratto – art. 6.1.b |
| Marketing diretto | Newsletter, aggiornamenti su nuove funzionalità o offerte. | Consenso – art. 6.1.a (revocabile in ogni momento) |
5. Natura del Conferimento
Il conferimento dei dati di registrazione, contatto e pagamento è necessario per l'attivazione e l'erogazione del Servizio: il rifiuto comporta l'impossibilità di sottoscrivere e utilizzare l'Abbonamento. Il conferimento dei dati per finalità di marketing è facoltativo: il rifiuto non incide sulla fruizione del Servizio.
6. Localizzazione dei Dati e Trasferimenti Extra-SEE
6.1 Localizzazione dei dati
I dati personali degli Utenti sono memorizzati ed elaborati su server localizzati esclusivamente all'interno dell'Unione Europea, presso fornitori di hosting che offrono garanzie adeguate ai sensi degli artt. 28 e 32 del GDPR. La distribuzione geografica è la seguente:
- Database (metadati, output analisi): Supabase su AWS Stoccolma (Svezia 🇸🇪);
- File documenti caricati dagli Utenti: AWS S3 Stoccolma (Svezia 🇸🇪);
- Indici vettoriali (RAG Banca Dati Studio): Pinecone Dublino (Irlanda 🇮🇪);
- Hosting applicativo: Render Francoforte (Germania 🇩🇪);
- Pagamenti: Dodo Payments, Inc., Londra (Regno Unito 🇬🇧).
Per l'inferenza di intelligenza artificiale, AedisLabs utilizza Google Cloud Vertex AI region europe-west4 (Olanda 🇳🇱): prompt, contenuti caricati e output generati sono elaborati esclusivamente all'interno dell'UE. Nessun trasferimento di dati verso gli Stati Uniti avviene per finalità di inferenza AI. I file multimodali sono caricati su un bucket Cloud Storage dedicato (anch'esso in Olanda) con cancellazione automatica entro 24 ore.
6.2 Possibile accesso dagli Emirati Arabi Uniti
Il Titolare AedisLabs LLC ha sede negli Emirati Arabi Uniti (UAE). Ai fini della gestione del Servizio (amministrazione, supporto, sicurezza, sviluppo), personale autorizzato di AedisLabs basato negli UAE può accedere ai dati personali memorizzati sui server europei. Tale accesso configura un trasferimento di dati personali verso un Paese terzo ai sensi del Capo V del GDPR.
6.3 Garanzie adeguate per il trasferimento extra-SEE
Gli Emirati Arabi Uniti non sono attualmente oggetto di una decisione di adeguatezza della Commissione Europea ai sensi dell'art. 45 GDPR. Il trasferimento dei dati verso AedisLabs è pertanto effettuato sulla base delle seguenti garanzie adeguate (art. 46 GDPR):
- Clausole Contrattuali Tipo (Standard Contractual Clauses – SCC) approvate dalla Commissione Europea con Decisione 2021/914, modulo da titolare a titolare e/o da titolare a responsabile, sottoscritte tra il Rappresentante UE e AedisLabs LLC;
- Misure supplementari tecniche, contrattuali e organizzative individuate sulla base di una valutazione d'impatto sui trasferimenti (Transfer Impact Assessment – TIA), tra cui: cifratura dei dati in transito (TLS) e a riposo, controlli di accesso basati sul principio del minimo privilegio, registrazione degli accessi, obblighi contrattuali di riservatezza per il personale autorizzato.
Una copia delle SCC e ulteriori informazioni sulle garanzie adottate possono essere richieste scrivendo a privacy@abacus-ai.it.
6.4 Inferenza AI su Google Cloud Vertex AI (UE)
L'inferenza di intelligenza artificiale che alimenta le funzionalità del Servizio è erogata da Google Cloud Vertex AI in region europe-west4 (Olanda 🇳🇱). Tutti i prompt, i contenuti caricati e gli output generati sono trattati esclusivamente all'interno dell'Unione Europea, senza alcun trasferimento verso gli Stati Uniti.
Garanzie applicate:
- rapporto contrattuale regolato dal Google Cloud Data Processing Addendum e dalle Clausole Contrattuali Standard (SCC) di cui alla Decisione (UE) 2021/914, per gli accessi residuali del personale Google a fini di supporto tecnico, sicurezza o adempimento di obblighi legali;
- Service Account dedicato con principio del privilegio minimo per l'autenticazione delle chiamate a Vertex;
- Vertex AI Service Specific Terms di Google impediscono l'utilizzo di prompt e output dei clienti per l'addestramento dei modelli;
- file multimodali caricati su un bucket Cloud Storage dedicato (region europe-west4) con regola di lifecycle che ne dispone l'eliminazione automatica entro 24 ore.
7. Destinatari dei Dati
I dati personali possono essere comunicati alle seguenti categorie di destinatari, ciascuno per le finalità di rispettiva competenza:
- Dodo Payments, Inc. (Londra, Regno Unito) — Merchant of Record per la gestione dei pagamenti, autonomo titolare per i dati di pagamento e gli adempimenti fiscali;
- Supabase Inc. (database PostgreSQL gestito, regione Stoccolma) — responsabile del trattamento ai sensi dell'art. 28 GDPR;
- Amazon Web Services EMEA SARL (object storage S3, regione Stoccolma) — responsabile del trattamento;
- Render Services, Inc. (hosting applicativo, regione Francoforte) — responsabile del trattamento;
- Pinecone Systems, Inc. (database vettoriale per la Banca Dati Studio, regione Dublino) — responsabile del trattamento;
- Google Cloud EMEA Limited (Madrid, Spagna) — inferenza AI Vertex AI Gemini + buffer Cloud Storage, region europe-west4 (Olanda); responsabile del trattamento;
- Fornitori di servizi tecnici accessori (e-mail transazionali, monitoraggio, sicurezza, supporto), ove utilizzati — responsabili del trattamento;
- Consulenti e professionisti (legali, fiscali, contabili) di AedisLabs, vincolati a obbligo di riservatezza;
- Autorità giudiziarie e amministrative competenti, ove richiesto da norma di legge o provvedimento.
L'elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scritta a privacy@abacus-ai.it. I dati personali non sono ceduti né venduti a terzi per finalità commerciali proprie di tali soggetti.
8. Periodo di Conservazione
AedisLabs conserva i dati personali per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti e nel rispetto degli obblighi di legge:
- Dati di Account e di utilizzo del Servizio: per tutta la durata del rapporto contrattuale e per i 12 mesi successivi alla cessazione, salvo diverso obbligo di legge;
- Dati di pagamento e di fatturazione: per 10 anni dalla data della transazione, ai fini degli obblighi contabili e fiscali;
- Log di sicurezza e di sistema: di regola per un periodo non superiore a 12 mesi, salvo diverse esigenze di sicurezza o richiesta dell'autorità;
- Dati trattati per finalità di marketing: fino alla revoca del consenso e comunque non oltre 24 mesi dalla raccolta, salvo rinnovo del consenso.
Decorsi i termini sopra indicati, i dati sono cancellati o resi anonimi in modo irreversibile.
9. Diritti dell'Interessato
In qualità di interessato, l'Utente ha il diritto, in ogni momento, di esercitare nei confronti del Titolare i seguenti diritti previsti dagli artt. 15-22 GDPR:
- Accesso (art. 15) — ottenere conferma dell'esistenza del trattamento e copia dei dati;
- Rettifica (art. 16) — chiedere la correzione di dati inesatti o incompleti;
- Cancellazione (art. 17) — chiedere la rimozione dei dati nei casi previsti dalla legge;
- Limitazione (art. 18) — chiedere la sospensione temporanea del trattamento;
- Portabilità (art. 20) — ricevere i propri dati in formato strutturato e di uso comune e trasmetterli ad altro titolare;
- Opposizione (art. 21) — opporsi al trattamento basato su legittimo interesse o per finalità di marketing;
- Revoca del consenso — in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca;
- Decisioni automatizzate (art. 22) — non essere sottoposto a decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici significativi.
Le richieste di esercizio dei diritti possono essere inviate a privacy@abacus-ai.it o al Rappresentante UE all'indirizzo eu-rep@abacus-ai.it. AedisLabs risponderà entro 30 giorni dalla ricezione della richiesta, salvo proroga giustificata.
10. Diritto di Reclamo all'Autorità di Controllo
L'Utente che ritenga che il trattamento dei propri dati personali violi il GDPR ha diritto di proporre reclamo all'Autorità di controllo competente. Per gli Utenti residenti in Italia, l'Autorità competente è il Garante per la protezione dei dati personali (www.garanteprivacy.it).
11. Misure di Sicurezza
AedisLabs adotta misure tecniche e organizzative adeguate, ai sensi dell'art. 32 GDPR, per proteggere i dati personali da perdita, accesso non autorizzato, divulgazione, alterazione o distruzione. In particolare:
- cifratura dei dati in transito (TLS) e a riposo;
- controlli di accesso basati su autenticazione e principio del minimo privilegio;
- registrazione degli accessi e monitoraggio degli eventi di sicurezza;
- backup periodici e procedure di disaster recovery;
- formazione del personale autorizzato e obblighi di riservatezza.
12. Minori
Il Servizio non è destinato a minori di 18 anni. AedisLabs non raccoglie consapevolmente dati personali di minori. Qualora venga rilevata la raccolta di dati di un minore, AedisLabs provvederà alla loro tempestiva cancellazione.
13. Modifiche all'Informativa
La presente Informativa potrà essere aggiornata per adeguarla a evoluzioni normative o organizzative. Le modifiche saranno comunicate via e-mail e/o tramite avviso all'interno del Servizio. Si invita l'Utente a consultare periodicamente la versione più aggiornata, disponibile su abacus-ai.it/privacy.
Prima di accedere o utilizzare il Servizio, l'Utente è invitato a leggere attentamente questa Informativa, prendendo atto delle modalità di raccolta, elaborazione, archiviazione e utilizzo dei propri dati personali come descritto.