Dove stanno
i vostri dati

I documenti in Italia. Il database in Svizzera, Paese che l'Unione Europea riconosce come adeguato. L'elaborazione in Belgio. Nessun dato esce dall'area europea di adeguatezza. La tabella completa è nella sezione 02.

Che il fornitore è nominato responsabile del trattamento, con nome e cognome nell'informativa che già consegnate. Non c'è nulla da nascondere al cliente finale, c'è una riga da aggiungere. E vale la pena capovolgere la domanda: oggi quei documenti viaggiano su messaggistica e allegati email non cifrati. La domanda giusta non è «posso metterli qui», è «posso continuare a tenerli dove stanno adesso».

Tecnicamente esiste un accesso amministrativo. Dire il contrario sarebbe falso, e qualunque fornitore che lo neghi vi sta mentendo o non conosce la propria infrastruttura. La differenza sta nelle regole: si accede solo su vostra richiesta di assistenza, per gestire un incidente di sicurezza, o per obbligo di legge. Ogni accesso è tracciato con motivo e operatore, e il numero di persone abilitate è ridotto al minimo.

No, ed è escluso contrattualmente. Il motore è uno solo, la Gemini API di Google, e per gli utenti nello Spazio Economico Europeo si applicano i termini dei Paid Services: Google non usa i prompt né le risposte per migliorare i propri modelli. Non aggreghiamo dati fra studi diversi e non rivendiamo nulla a nessuno.

Esiste una procedura scritta prima che servisse: chi valuta, in quanto tempo, chi avvisa voi che siete i titolari, con i moduli di notifica già pronti. Il nostro obiettivo interno è avvisarvi entro ventiquattro ore dalla conferma, perché le settantadue ore previste dalla norma sono le vostre e ogni ora che perdiamo ve la togliamo. Sui dati: ripristino a un istante preciso nel tempo e backup con 98 giorni di conservazione.

Trenta giorni di accesso in sola lettura, esportazione completa su richiesta entro quindici giorni lavorativi con documenti nel formato originale e dati strutturati in formato aperto, cancellazione a novanta giorni. Il dettaglio è nella sezione 07.

Il segreto professionale resta integralmente vostro. Noi siamo un fornitore tecnico nominato, tenuto alla riservatezza per contratto, che tratta i dati solo su vostra istruzione e non può usarli per finalità proprie. È la stessa logica con cui vi avvalete di un fornitore di conservazione o di un gestionale: cambia lo strumento, non cambia chi è tenuto al segreto.

A voi, che siete il titolare. Se una richiesta arriva direttamente a noi non la eseguiamo: la inoltriamo a voi entro cinque giorni, informando l'interessato di chi è il titolare. Il nostro compito è assistervi, con riscontro entro dieci giorni lavorativi, così da rientrare comodamente nel mese che avete a disposizione.

Sì. Il diritto di verifica del titolare sul responsabile è previsto dall'art. 28. Lo onoriamo mettendo a disposizione il pacchetto documentale completo, il registro dei fornitori e, su richiesta, il rapporto degli accessi effettuati sui vostri dati.

Nessuna registrazione diventa definitiva senza la conferma del professionista: la macchina prepara e propone, l'atto resta vostro. Non è un cavillo per scaricare la responsabilità, è la condizione perché il sistema sia utilizzabile da chi risponde in proprio del proprio lavoro. Se la proposta è errata, l'errore è visibile prima di produrre effetti, e ogni azione è tracciata per ricostruire cosa è stato proposto e cosa confermato.

I documenti restano nel formato in cui li avete caricati e i dati strutturati sono esportabili in formato aperto in qualsiasi momento, non solo alla cessazione: è una funzione ordinaria, non una concessione. Nessun formato proprietario, nessuna conversione che renda i vostri archivi illeggibili altrove.

È la distinzione giusta, ed è il motivo per cui esiste questa pagina. L'addendum del fornitore cloud copre il primo piano. Il secondo lo copriamo noi e lo dimostriamo: separazione fra studi in chiusura predefinita sulle regole del database, test automatici di isolamento che bloccano il rilascio se falliscono, redazione dell'output dei modelli, difese sui file in ingresso. Il terzo è documentale: registro dei trattamenti, procedura di violazione, gestione dei fornitori, conservazione.

No, e non lo dichiariamo. La policy di sicurezza usa la struttura dei controlli ISO come organizzazione del lavoro, senza pretesa di certificazione: dichiararsi certificati senza esserlo è di per sé un rischio, e i clienti che contano lo verificano. La certificazione è un percorso da avviare quando la dimensione del cliente tipo lo richiede, non un adesivo da mettere prima.

Esatto, ed è il motivo per cui trattiamo la riservatezza come requisito di prodotto e non come capitolo legale. Il professionista non teme la sanzione, quei dati non sono suoi: teme la telefonata del proprio cliente. Le tre risposte, in ordine: non aggiungiamo un passaggio, ne sostituiamo uno peggiore; il professionista resta titolare e lo dichiara nella propria informativa; nessun dato alimenta modelli o analisi trasversali.

La separazione fra clienti è strutturale e non peggiora con la scala: non c'è un controllo applicativo da rifare quando i clienti si moltiplicano, perché la chiusura è predefinita a livello di regole del database e verificata da test. Ciò che scala con fatica è il presidio organizzativo, cioè revisione degli accessi, gestione dei fornitori, formazione. Infatti è lì che si concentrano le azioni aperte della sezione 10.

Sì, uno, gestito e documentato con analisi delle cause e correzioni applicate. Lo diciamo volentieri, per due ragioni: un fornitore che dichiara zero incidenti o è molto giovane o non se ne è accorto, e il modo in cui un incidente è stato gestito dice più di qualunque dichiarazione preventiva.

Il registro dei fornitori riporta ruolo, accordo applicabile e base del trasferimento per ciascuno. Nessun fornitore entra in produzione senza queste tre voci. Le sostituzioni si comunicano agli studi con preavviso e diritto di opposizione motivata. Sul motore di AI la dipendenza è reale e la trattiamo come tale: l'esclusione dall'addestramento è un requisito non negoziabile per qualunque alternativa, e il vincolo di region europea per l'inferenza è tra le azioni aperte della sezione 10.

Non intenzionalmente, ma sarebbe ingenuo escluderlo: un certificato medico dentro una pratica del personale è un dato dell'art. 9 che può arrivare in archivio. La misura è non estrarre né indicizzare in modo mirato quelle categorie e trattare il documento come opaco, con gli stessi controlli di accesso del resto dell'archivio.

L'automazione che opera dentro il gestionale di uno studio. Non perché esponga un dato, ma perché tocca il sistema contabile di un professionista che risponde in proprio. Per questo è l'unica area con una policy dedicata e una lista di verifica che ne blocca l'attivazione finché non è completa. E per questo non custodiamo credenziali di sistemi terzi: il modo più affidabile di proteggere un caveau è non costruirlo.

La valutazione d'impatto è redatta per il servizio di automazione contabile ed è in corso di estensione alla piattaforma: è un'azione aperta, elencata come tale nella sezione 10 e non nascosta. Sulla nomina del responsabile della protezione dei dati non ricorrono i presupposti di obbligatorietà per la nostra struttura, ma è previsto un referente interno dedicato. Il contatto per qualunque richiesta è hello@optlyx.com.

Perché contiene cose che non converrebbe scrivere: che il database non sta in UE ma in un Paese adeguato, che non siamo certificati, che abbiamo avuto un incidente, e la lista di ciò che non abbiamo ancora chiuso. Un documento che dichiara il cento per cento è meno verificabile di uno che dichiara dove è scoperto. Ogni affermazione qui sopra è controllabile su richiesta, documenti alla mano.