Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte del contratto tra RENVAR INC ("Elai", "responsabile del trattamento") e un cliente commerciale o aziendale ("cliente", "titolare del trattamento") che utilizza Elai Marketplace per gestire Agenti IA, Dipendenti digitali o flotte di robot fisici per conto dei propri utenti finali o dipendenti. Si applica quando il cliente agisce in qualità di titolare del trattamento ed Elai tratta dati personali per conto e su istruzione del cliente.
1. Ruoli
Per i dati personali che il cliente trasmette alla Piattaforma o tramite essa per conto dei propri utenti (ad es. i dati di input delle attività inviati a un Agente installato, o le registrazioni delle installazioni dei suoi dipendenti), il cliente è il titolare del trattamento ed Elai il responsabile del trattamento. Per il rapporto di account/fatturazione proprio di Elai con il cliente, Elai agisce quale titolare del trattamento autonomo — si veda la nostra Informativa sulla privacy.
2. Oggetto e durata
Il trattamento riguarda i dati personali trasmessi tramite la Piattaforma per la durata dell'abbonamento attivo del cliente, oltre a qualsiasi periodo di conservazione successivo alla cessazione descritto nella Sezione 7.
3. Natura e finalità del trattamento
- Gestire le installazioni degli Agenti, i limiti di spesa e gli Agent Passports per conto del cliente;
- Instradare i dati di input delle attività al provider di modelli IA configurato tramite l'AI Gateway della Piattaforma per generare gli output dell'Agente;
- Tenere il registro di audit delle azioni compiute sotto l'account del cliente;
- Fatturazione e misurazione dell'utilizzo.
4. Sub-responsabili del trattamento
Elai utilizza attualmente i seguenti sub-responsabili del trattamento designati:
- Stripe (Stati Uniti) — elaborazione delle carte di pagamento e conservazione delle carte salvate.
- YooKassa (Russia) — elaborazione dei pagamenti per le transazioni in rubli russi.
- SendGrid (Stati Uniti) — recapito delle e-mail transazionali (notifiche relative all'account, agli ordini e alle controversie).
- Twilio (Stati Uniti) — recapito degli SMS, solo per gli utenti che hanno acconsentito alle notifiche via SMS.
- Sentry (Stati Uniti) — monitoraggio degli errori e degli arresti anomali dell'applicazione, che può acquisire incidentalmente un identificativo dell'account o un indirizzo e-mail in un rapporto di arresto anomalo.
- Un provider di modelli IA (ad es. OpenAI), raggiunto tramite l'AI Gateway self-hosted di Elai — riceve il testo dell'attività con cui viene invocato un Agente installato del cliente, al fine di generare l'output dell'Agente. Elai non trasmette al provider del modello credenziali dell'account o dati di pagamento.
Questo elenco riflette le integrazioni abilitate in un determinato deployment; un operatore di deployment che non ha configurato le credenziali di un determinato provider non utilizza tale sub-responsabile del trattamento. Aggiorneremo questo elenco qualora aggiungessimo una nuova categoria di sub-responsabile del trattamento.
5. Misure di sicurezza
Elai mantiene le seguenti misure tecniche e organizzative:
- Le password sono sottoposte ad hashing mediante una derivazione scrypt con sale; Elai non memorizza mai una password in chiaro.
- Autenticazione a due fattori facoltativa (TOTP) con codici di backup monouso.
- Controllo degli accessi basato sui ruoli (ruoli acquirente/sviluppatore/amministratore) applicato su ogni rotta API autenticata, oltre a credenziali API con ambito limitato (Agent Passports) con limiti di spesa configurabili per le installazioni di Agenti IA.
- Un registro di audit a sola aggiunta che registra l'attore, l'azione e l'esito delle azioni relative all'account e delle azioni amministrative.
- Limitazione della frequenza sugli endpoint di autenticazione e API, supportata da Redis ove disponibile.
- Crittografia TLS in transito per tutto il traffico verso la Piattaforma (fornita automaticamente tramite Let's Encrypt).
- Scansione automatica del contenuto degli annunci alla ricerca di schemi noti di prompt injection e di comandi dannosi.
- Strumenti self-service per l'esportazione dei dati e l'eliminazione dell'account (si veda la nostra Informativa sulla privacy).
Elai attualmente non cifra i dati inattivi a livello applicativo e non ha ottenuto una certificazione di sicurezza da parte di terzi (ad es. SOC 2, ISO 27001). Se una di queste cose è rilevante per il vostro caso d'uso, contattateci utilizzando i recapiti della Sezione 10 prima di fare affidamento sulla Piattaforma a tal fine.
6. Trasferimenti internazionali
La Piattaforma è eseguita su un server self-hosted la cui regione di hosting è scelta dall'operatore di deployment e non è fissata a un paese o a una regione cloud specifici ai sensi del presente Accordo. Elai attualmente non si avvale di un meccanismo formale di trasferimento transfrontaliero (come le Clausole contrattuali standard) poiché qui non viene garantito alcun corridoio di trasferimento fisso. Se il vostro utilizzo della Piattaforma richiede che i dati rimangano all'interno di una determinata giurisdizione, o siano trasferiti nell'ambito di una garanzia specifica per essa, contattateci utilizzando i recapiti della Sezione 10 prima di fare affidamento sulla Piattaforma per tale requisito.
7. Cancellazione e restituzione dei dati
Alla cessazione dell'abbonamento del cliente, Elai, su richiesta del cliente, cancellerà o restituirà i dati personali trattati per conto del cliente, fatta salva qualsiasi conservazione richiesta dalla legge.
8. Assistenza alle richieste degli interessati
Elai fornirà al cliente ragionevole assistenza nel rispondere alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità) relative ai dati personali trattati ai sensi del presente DPA.
9. Diritti di audit
Su ragionevole richiesta scritta, non più di una volta per periodo di dodici mesi, Elai fornirà al cliente le informazioni sulla sicurezza e sul trattamento ragionevolmente necessarie per confermare la conformità di Elai al presente DPA (ad es. una descrizione scritta delle misure della Sezione 5). Elai attualmente non dispone di una certificazione di sicurezza di terzi da offrire in luogo di un audit diretto e al momento non offre audit in loco.
10. Contatto
Domande sul trattamento dei dati / sul DPA: renvar.inc@gmail.com.