Termini

Informativa AI

Il titolare del trattamento è Juvant Srls, una società a responsabilità limitata italiana con sede legale in Via Albert Bruce Sabin 2, 72100 Brindisi (BR), Italia, numero di partita IVA IT02807050741, REA BR-260986, rappresentato dal legale rappresentante Antonio Gatti.

Contatto in materia di protezione dei dati: privacy@juvant.io.

Viste la natura, la portata e le finalità del trattamento alla data di questa informativa, Juvant Srls non ha designato un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR, in quanto i presupposti obbligatori non ricorrono. Questa valutazione viene riesaminata periodicamente.

Finalità e base giuridica del trattamento.

I dati personali sono trattati per le seguenti finalità, ciascuna sulla base giuridica indicata:

• Sessione conversazionale AI. I messaggi che scambi con Vant e i metadati tecnici di sessione strettamente necessari per generare la risposta (ad es. un identificatore di sessione effimero, indirizzo IP gestito in transito) sono trasmessi al modello linguistico sottostante affinché Vant possa risponderti.
• Base giuridica: consenso dell'interessatoex art. 6, par. 1, lett. a GDPR, dato tramite il modulo di consenso mostrato prima dell'inizio dell'interazione. Il consenso può essere ritirato in qualsiasi momento, senza pregiudizio della liceità del trattamento effettuato sulla base del consenso prima del ritiro, terminando o non iniziando la sessione.

• Log di consenso (vantConsentLog).Un record minimo della tua azione di consenso (timestamp, versione del consenso, ambito del consenso concesso e riferimento di sessione opaco) viene archiviato per provare che il consenso è stato dato liberamente, specificamente, consapevolmente e inequivocabilmente, come richiesto dall'art. 7, par. 1 GDPR.
• Base giuridica: adempimento di un obbligo legaleal quale il titolare è soggetto ex art. 6, par. 1, lett. c GDPR — specificamente, l'obbligo del titolare ex art. 7, par. 1 GDPR di essere in grado di provare che l'interessato ha consentito al trattamento dei suoi dati personali. Il log di consenso è il record dimostrativo richiesto dall'art. 7, par. 1 GDPR ed è necessario per rendere effettivo il diritto di ritiro.
• Poiché la base giuridica per questa finalità è l'art. 6, par. 1, lett. c, il diritto di opposizione ex art. 21 GDPR non trova applicazione al trattamento del log di consenso stesso (l'art. 21 trova applicazione solo al trattamento fondato su art. 6, par. 1, lett. e o f). I diritti dell'interessato (accesso, rettifica, cancellazione entro i limiti dell'art. 17, par. 3, lett. b, limitazione) rimangono disponibili, e il consenso per altre finalità può essere ritirato in qualsiasi momento come descritto altrove in questa informativa.

• Logging di sicurezza e rate-limit.Quando un'interazione viene segnalata da un meccanismo interno di sicurezza o quando vengono attivati controlli di rate-limit e prevenzione degli abusi, Juvant Srls conserva i dati strettamente necessari per la revisione e per prevenire l'uso scorretto del servizio (inclusi denial-of-service, abusi automatizzati e violazioni delle policy sui contenuti).
• Base giuridica: legittimo interessedel titolare ex art. 6, par. 1, lett. f GDPR, consistente nella necessità di garantire la sicurezza e la disponibilità del servizio, prevenire usi illeciti e proteggere gli utenti e l'integrità della piattaforma. La valutazione di bilanciamento è documentata nella Valutazione dell'Interesse Legittimo (LIA) mantenuta dal titolare. Hai il diritto di opporti a questo trattamento ex art. 21 GDPR, o di contestare qualsiasi esito di moderazione (incluso un blocco della sessione), scrivendo a privacy@juvant.io; il titolare risponderà entro i tempi previsti dall'art. 12, par. 3 GDPR.

• Lead capture opzionale. Se scegli di lasciare i tuoi dati di contatto tramite il modulo dedicato, questi dati (ad es. nome, indirizzo email e qualsiasi messaggio che fornisci) vengono archiviati per consentire a Juvant Srls di risponderti e di seguire la conversazione che hai avviato.
• Base giuridica: consenso dell'interessatoex art. 6, par. 1, lett. a GDPR, dato tramite l'invio del modulo di lead-capture. La fornitura dei tuoi dati di contatto è completamente facoltativa; Vant rimane utilizzabile senza lead capture.

• Email di riepilogo della conversazione.Quando invii il modulo di lead-capture, Juvant Srls ti invia un'unica email transazionale all'indirizzo che hai fornito, contenente un riepilogo generato da IA della tua conversazione con Vant. L'email è strettamente informativa e non contiene contenuti promozionali o di marketing.
• Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessatoex art. 6, par. 1, lett. b GDPR. Inviando il modulo di lead-capture e fornendo il tuo indirizzo email, richiedi a Juvant Srls di elaborare la tua richiesta; l'email di riepilogo è la risposta diretta a questa richiesta.

• Rilevazione di segnali del livello di sicurezza (autolesionismo).Un livello dedicato di classificazione di sicurezza analizza il testo del tuo input, in modo transitorio e limitatamente alla sessione attiva, per individuare indicatori di autolesionismo o di acuta sofferenza psicologica. Qualora venga rilevato un indicatore di questo tipo, Juvant Srls mostra a video un messaggio informativo di orientamento, formulato in linguaggio piano e non stigmatizzante, che rinvia ai servizi esterni di ascolto e supporto in materia di salute mentale appropriati alla tua area geografica. Poiché l'inferenza relativa a uno stato di sofferenza costituisce, per sua natura, un dato idoneo a rivelare informazioni sul tuo stato di salute mentale, l'operazione è qualificata come trattamento di dati relativi alla saluteai sensi dell'art. 9, par. 1, del GDPR e del considerando 35. Il classificatore è gestito tramite il servizio Azure AI Content Safety fornito da Microsoft Ireland Operations Ltd. all'interno del Microsoft EU Data Boundary. Il safety-pathway autolesionismo — ossia il percorso tecnico-operativo attivato dalla rilevazione del segnale — ha carattere strettamente non sanzionatorio: non comporta l'applicazione di un rate-limit, l'attivazione di un segnale antiabuso, il blocco della sessione, un contatto successivo, l'allertamento dei servizi di emergenza o alcuna trasmissione a terzi; l'unico effetto è la visualizzazione a video del messaggio informativo di orientamento. Non viene formulata alcuna diagnosi e non viene costruito alcun profilo demografico, comportamentale o relativo alla tua salute mentale.
• Base giuridica (art. 6): legittimo interessedel titolare del trattamento ai sensi dell'art. 6, par. 1, lett. f), del GDPR, consistente nella protezione degli utenti del servizio, nella prevenzione di pregiudizi prevedibili e nell'impiego responsabile dei sistemi di intelligenza artificiale (considerando 47 e 49 del GDPR). La valutazione di bilanciamento è documentata nel Legitimate Interest Assessment (LIA-VANT-001).
• Base giuridica (art. 9): motivi di interesse pubblico rilevanteai sensi dell'art. 9, par. 2, lett. g), del GDPR, e segnatamente l'interesse pubblico al sicuro impiego dei sistemi di intelligenza artificiale destinati al pubblico, quale articolato dagli artt. 13-15 del Regolamento (UE) 2024/1689 (AI Act) e dall'obbligo di diligenza di cui agli artt. 14 e 28 del Regolamento (UE) 2022/2065 (Digital Services Act). Il trattamento è proporzionato alla finalità perseguita, rispetta l'essenza del diritto alla protezione dei dati ed è soggetto a misure di salvaguardia specifiche, documentate nel registro dei trattamenti del titolare ex art. 30, fra cui il carattere non sanzionatorio del percorso sopra descritto, una conservazione ridotta a 7 giorni del flag minimizzato «safety-pathway attivato» e un percorso di cancellazione in via accelerata per le sessioni interessate. Hai il diritto di opporti a tale trattamento ai sensi dell'art. 21 del GDPR, scrivendo a privacy@juvant.io.

• Rilevazione di segnali del livello di sicurezza (calibrazione demografica / di vulnerabilità).Il medesimo livello di classificazione di sicurezza può inferire, in modo transitorio e limitatamente alla sessione attiva, indicatori relativi al contesto demografico o di vulnerabilità del tuo input, ove ciò sia necessario per calibrare la risposta di sicurezza e per evitare output del modello distorti, discriminatori o lesivi. Poiché tali indicatori possono incidentalmente rivelare informazioni rientranti nell'ambito di applicazione dell'art. 9, par. 1, del GDPR (in particolare: origine razziale o etnica, convinzioni religiose o filosofiche, dati relativi alla vita sessuale o all'orientamento sessuale), l'operazione è qualificata come trattamento di categorie particolari di dati personaliai sensi dell'art. 9 del GDPR. Il classificatore è gestito tramite il servizio Azure AI Content Safety fornito da Microsoft Ireland Operations Ltd.all'interno del Microsoft EU Data Boundary. L'inferenza nonè utilizzata per finalità di profilazione pubblicitaria, profilazione commerciale, addestramento del modello, costruzione di profili persistenti, né per alcuna decisione che produca effetti giuridici o incida in modo analogamente significativo sulla tua persona ai sensi dell'art. 22 del GDPR; essa è consumata interamente all'interno della pipeline del titolare, non viene trasmessa al responsabile Azure OpenAI come dato a sé stante e non viene conservata oltre la sessione attiva, salvo per un flag minimizzato «classificatore di sicurezza attivato» che non registra quale categoria demografica sia stata inferita.
• Base giuridica (art. 6): legittimo interessedel titolare del trattamento ai sensi dell'art. 6, par. 1, lett. f), del GDPR, consistente nell'erogazione di un servizio non discriminatorio e nell'adempimento degli obblighi di mitigazione dei bias previsti dall'AI Act. La valutazione di bilanciamento è documentata nel LIA-VANT-001.
• Base giuridica (art. 9): motivi di interesse pubblico rilevanteai sensi dell'art. 9, par. 2, lett. g), del GDPR, e segnatamente l'interesse pubblico al non discriminatorio impiego dei sistemi di intelligenza artificiale destinati al pubblico, quale articolato dal Regolamento (UE) 2024/1689 (AI Act) — in particolare con riguardo agli obblighi in materia di governance dei dati e di individuazione e mitigazione dei bias per i sistemi di intelligenza artificiale per finalità generali destinati al pubblico — nonché dall'obbligo di diligenza previsto dal Digital Services Act. Il trattamento è proporzionato, rispetta l'essenza del diritto alla protezione dei dati ed è soggetto a misure di salvaguardia specifiche, fra cui la minimizzazione dell'output dell'inferenza, l'assenza di trasmissione al responsabile del modello linguistico, l'assenza di conservazione del testo libero oltre la finestra di redazione e un percorso di contestazione con revisione umana per qualsiasi esito di moderazione che possa incidere negativamente sulla tua persona. Hai il diritto di opporti a tale trattamento ai sensi dell'art. 21 del GDPR, scrivendo a privacy@juvant.io.

La fornitura di dati per la sessione conversazionale AI è facoltativa; in assenza di consenso, Vant non può essere utilizzato. La fornitura di dati per il lead capture è facoltativa; in assenza di consenso, puoi comunque utilizzare Vant, ma Juvant Srls non sarà in grado di contattarti. Le inferenze del livello di sicurezza sopra descritte costituiscono una componente integrale del servizio e sono operate nel rispetto delle misure di salvaguardia indicate; sulla base dei motivi di interesse pubblico rilevante riconosciuti dall'art. 9, par. 2, lett. g), del GDPR, esse non richiedono il tuo consenso separato ai sensi dell'art. 9, par. 2, lett. a). Qualora tu ti opponga al trattamento del livello di sicurezza ai sensi dell'art. 21 del GDPR, la conseguenza è che non potrai utilizzare Vant, in quanto il livello di sicurezza non può essere disattivato per i singoli utenti mentre il servizio è in esercizio. Puoi esercitare questo diritto in qualsiasi momento scrivendo a privacy@juvant.io.

Responsabili del trattamento e destinatari.

I dati personali sono divulgati ai seguenti responsabili del trattamento, ciascuno nominato ex art. 28 GDPR tramite un accordo di trattamento dei dati:

• Microsoft Ireland Operations Ltd., come fornitore del servizio Azure OpenAIutilizzato per elaborare i messaggi che scambi con Vant. L'elaborazione avviene nella regione Svezia centrale, all'interno del Microsoft EU Data Boundary.
• Microsoft Ireland Operations Ltd., in qualità di fornitore del servizio Azure AI Content Safetyutilizzato per il funzionamento del livello di classificazione di sicurezza descritto sopra (rilevazione di segnali di autolesionismo e calibrazione su contesto demografico / di vulnerabilità). Il trattamento si svolge all'interno del Microsoft EU Data Boundary.
• Microsoft Corporation, come fornitore dei servizi SharePoint / Microsoft Graph API utilizzati per archiviare il log di consenso e i record opzionali di lead-capture nel tenant EU di Juvant Srls.

Nessun dato personale è divulgato a terzi per finalità di marketing, profilazione commerciale, vendita o per qualsiasi altro fine non descritto in questa informativa. Il servizio non utilizza cookie di tracciamento, analytics di terze parti o tecnologie di profilazione.

Periodi di conservazione.

I dati personali sono conservati solo per il tempo necessario alle finalità indicate sopra. I periodi di conservazione applicabili sono i seguenti:

• Sessione conversazionale AI — messaggi live. Il contenuto dei messaggi scambiati durante una sessione live non è conservato oltre la durata della sessione corrente. Al termine della sessione, nessun contenuto di messaggio live persiste in alcun archivio di produzione gestito da Juvant Srls. Una copia di backup isolata può persistere su storage cifrato, ad accesso controllato e immutabile per un massimo di 365 giorni come parte dei controlli di disaster-recovery e continuità; le copie di backup non vengono mai ripristinate nel sistema di produzione senza la riconciliazione tramite tombstone-replay. Vedi "Backup (DR / continuità)" qui sotto per il dettaglio completo.
• Riepiloghi della conversazione (conversation_summary).Laddove un riepilogo della conversazione sia generato e archiviato a supporto del flusso opzionale di lead-capture descritto nella sezione finalità, il record lato server del riepilogo viene annullato nel sistema di produzione (svuotato in modo irreversibile dei contenuti conversazionali) entro al massimo 90 giorni dalla fine della sessione, da un job di retention automatizzato pianificato gestito da Juvant Srls. Dopo l'annullamento in produzione, solo lo scheletro del record non personale necessario per l'integrità referenziale può persistere nel sistema di produzione; nessun contenuto conversazionale rimane in produzione. Una copia di backup isolata del record di riepilogo può persistere per un massimo di 365 giorni nell'ambito dei controlli di disaster-recovery descritti in "Backup (DR / continuità)" qui sotto; quella copia di backup non viene mai letta nel corso ordinario e non viene mai ripristinata nel sistema di produzione senza la riconciliazione tramite tombstone-replay.
• Log di consenso (vantConsentLog). Conservato per 24 mesi dal momento della registrazione del consenso, per provare la liceità del trattamento ex art. 7, par. 1 GDPR.
• Lead capture (SharePoint Lists). I record di lead sono cancellati definitivamente 24 mesidopo la data dell'ultimo contatto tra te e Juvant Srls, da un job di cancellazione automatizzato pianificato gestito da Juvant Srls. Dopo questo periodo i record non esistono più, a meno che la conservazione non sia richiesta dalla legge o per accertare, esercitare o difendere un diritto in sede giudiziaria.
• Email di riepilogo della conversazione.L'indirizzo email e il riepilogo associato sono conservati solo per il tempo strettamente necessario per inviare l'email transazionale. Per l'elaborazione successiva dei dati di lead-capture (inclusa qualsiasi comunicazione di follow-up che avvii), si applica il periodo di conservazione stabilito per i record di lead-capture (24 mesi).
• Eventi di sicurezza e rate-limit (vantSafetyEvents).Quando un'interazione viene segnalata da un meccanismo interno di sicurezza o da controlli di rate-limit e prevenzione degli abusi, un record minimo viene conservato come segue: (a) l'hash con salt dell'input offensivo è conservato nel sistema di produzione per 7 giorni per supportare la correlazione su finestra breve di pattern abusivi ripetuti; (b) la riga completa dell'evento (incluso hash, metadati di richiesta e esito di moderazione) è cancellata definitivamente dal sistema di produzione 23 giorni dopo la creazione. Nessun dato di evento di sicurezza è conservato in produzione oltre 23 giorni. Una copia di backup isolata della riga dell'evento di sicurezza può persistere per un massimo di 365 giorni nell'ambito dei controlli di disaster-recovery descritti in "Backup (DR / continuità)" qui sotto, mai letta nel corso ordinario e mai ripristinata nel sistema di produzione senza la riconciliazione tramite tombstone-replay. Il tetto massimo di 365 giorni è il limite assoluto: entro il 365° giorno, nessuna copia della riga dell'evento di sicurezza esiste in alcun livello.
• Log operativi (Azure Monitor / Log Analytics). I log operativi e di sicurezza a livello di piattaforma raccolti dal livello di osservabilità sottostante di Microsoft Azure (inclusi metadati di richiesta, codici di risposta HTTP e segnali rilevanti per la sicurezza) sono conservati per 90 giorni a livello di workspace, dopo i quali vengono cancellati automaticamente dalla policy di conservazione del workspace Log Analytics di Azure Monitor. Questi log non contengono contenuti conversazionali.
• Backup (DR / continuità). Conserviamo una copia di backup isolata del record della tua conversazione per un massimo di 365 giorni, e la conserviamo unicamente per poterci riprendere da perdite di dati, incidenti di sicurezza o interruzioni. Nessuno la legge per altre finalità, e non viene mai ripristinata nel sistema di produzione.

  La cifra da ricordare è 365 giorni. Internamente quei 365 giorni si articolano in una snapshot calda immutabile con orizzonte mobile di 35 giorni, una coda di soft-delete di Azure Storage di ulteriori fino a 30 giorni e un tetto massimo a 365 giorni dalla data in cui il record è stato scritto la prima volta nel sistema di produzione; oltre il 365° giorno il record non può esistere in alcun livello di backup in nessuna circostanza. Non modifichiamo i backup dopo la loro scrittura; si cancellano automaticamente alla scadenza.

  Se ci chiedi di cancellare i tuoi dati ai sensi dell'art. 17 GDPR, li cancelliamo dai sistemi di produzione entro il termine di legge. Non modifichiamo i backup esistenti, perché ciò ne comprometterebbe l'integrità; registriamo invece la tua richiesta in un registro interno (tombstone register). Se in futuro dovessimo ripristinare un backup (ad esempio a seguito di un incidente o di una perdita di dati), il tuo record viene soppresso sull'insieme ripristinato prima che torni in produzione, in modo che l'effetto della cancellazione sia preservato.

  La base giuridica è il nostro legittimo interesse ai sensi dell'art. 6, par. 1, lett. f) GDPR, alla sicurezza e alla continuità del servizio e alla difendibilità di eventuali pretese giuridiche, bilanciato con i tuoi diritti come documentato nella nostra valutazione interna di legittimo interesse (LIA-VANT-002). Rimangono tutti i tuoi diritti ai sensi degli artt. 15–22 GDPR, compreso il diritto di opporti ai trattamenti fondati sul legittimo interesse; puoi contattarci a privacy@juvant.io.

I tuoi diritti.

Entro i limiti e le condizioni previste dagli artt. 15-22 GDPR, hai il diritto di:

• accedere ai tuoi dati personali (art. 15);
• ottenere la loro rettifica (art. 16);
• ottenere la loro cancellazione (art. 17);
• ottenere la limitazione del trattamento (art. 18);
• ricevere i tuoi dati in un formato strutturato, di uso comune e leggibile da automi e trasmetterli a un altro titolare (portabilità dei dati, art. 20), ove applicabile;
• opporti al trattamento fondato su legittimo interesse (art. 21);
• non essere soggetto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o effetti ugualmente significativi su di te (art. 22), entro i limiti applicabili.

Puoi ritirare il tuo consenso in qualsiasi momento, senza pregiudizio della liceità del trattamento effettuato sulla base del consenso prima del ritiro.

Per esercitare uno qualsiasi di questi diritti, scrivi a privacy@juvant.io. Juvant Srls risponderà entro i tempi previsti dall'art. 12, par. 3 GDPR.

Sessioni con attivazione del safety-pathway — impegni specifici.

Qualora la tua richiesta riguardi una sessione nella quale è stato attivato il safety-pathway per autolesionismo (ossia una sessione in cui Vant ha mostrato a video il messaggio informativo di orientamento ai servizi di ascolto descritto sopra), Juvant Srls applica i seguenti impegni rafforzati:

• Tempi di risposta accelerati. Juvant Srls risponderà alla tua richiesta entro 7 giorni di calendariodal ricevimento, in luogo del termine ordinario previsto dall'art. 12, par. 3, del GDPR. Tale termine abbreviato si applica alle richieste di accesso, rettifica, cancellazione, limitazione e opposizione riferite alla sessione con attivazione del safety-pathway.
• Cancellazione come esito predefinito.Qualora tu chieda a Juvant Srls la cancellazione del flag minimizzato «safety-pathway attivato» associato a tale sessione, la cancellazione costituisce l'esito predefinito. Nonè necessario fornire un identificativo di sessione né alcun altro riferimento tecnico: una descrizione contestuale dell'interazione (data approssimativa e breve descrizione dello scambio) è sufficiente affinché Juvant Srls dia seguito alla richiesta.

Contatto e reclami.

Per qualsiasi domanda riguardante questa informativa o il trattamento dei tuoi dati personali, contatta:

privacy@juvant.io — punto di contatto unico per gli interessati.

Hai inoltre il diritto di presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it), ex art. 77 GDPR, fermo restando ogni altro rimedio amministrativo o giurisdizionale.

Termini d'uso