Data Processing Agreement

Art. 1. Oggetto e durata

Il presente Accordo disciplina il trattamento dei dati personali effettuato da Informis Labs (P.IVA 05049350266, con sede in Treviso, TV, Italia) in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, per conto del Cliente in qualità di Titolare del trattamento, nell'ambito dell'erogazione del servizio Quvant. L'Accordo ha durata pari al contratto di servizio sottostante.

Art. 2. Natura e finalità del trattamento

I dati trattati includono: incident report, evidence documentali e configurazioni di audit caricati dal Cliente. La finalità esclusiva è l'erogazione del servizio contrattualizzato. Nessun dato è utilizzato per addestrare modelli AI o ceduto a terzi per finalità proprie di Informis Labs.

Art. 3. Pseudonimizzazione e modelli AI

Prima di qualsiasi trasmissione verso provider AI di terze parti, i dati sono sottoposti a pseudonimizzazione: identificatori diretti (nomi, email, codici fiscali) sono rimossi o sostituiti con token neutrali. I dati trasmessi verso provider extra-UE sono ridotti al contenuto tecnico-funzionale necessario. Il Cliente è responsabile di non includere dati personali non necessari nei campi di testo libero.

Art. 4. Misure di sicurezza

• Crittografia TLS 1.3 in transito
• Crittografia a riposo AES-256 su MongoDB Atlas
• Accesso ai dati limitato al personale tecnico con necessità operativa documentata
• Log di accesso conservati 12 mesi
• Backup giornalieri con retention 30 giorni

Art. 5. Sub-responsabili del trattamento

I seguenti soggetti agiscono in qualità di sub-responsabili del trattamento ai sensi dell'art. 28 par. 2 GDPR, su incarico di Informis Labs:

Nota GLM/Zhipu AI: Il modello GLM è accessibile tramite OpenRouter Inc. (USA), unico sub-responsabile contrattuale di Informis Labs per questo servizio. I dati trasmessi sono pseudonimizzati ai sensi dell'Art. 3 prima di qualsiasi elaborazione.

Art. 6. Trasferimenti extra-UE

I trasferimenti verso provider USA avvengono sulla base delle SCC adottate dalla Commissione Europea con Decisione 2021/914. Railway Corp. non pubblica un DPA pubblico dedicato; il DPA è disponibile on-request a hello@informis.ai.

Art. 7. Diritti dell'interessato

Informis Labs assiste il Titolare nel dare seguito alle richieste degli interessati senza ingiustificato ritardo, e comunque in tempo utile affinché il Titolare rispetti i termini di cui all'art. 12 GDPR. Richieste: hello@informis.ai

Art. 8. Notifica data breach

In caso di violazione, Informis Labs notifica il Titolare entro 36 ore dalla scoperta con le informazioni disponibili ai sensi dell'art. 33 GDPR.

Art. 9. Legge applicabile

Legge italiana. Foro esclusivo: Treviso (TV).