Informativa privacy

[ragione sociale da inserire], [sede legale da inserire], P.IVA [P.IVA da inserire]. Per ogni richiesta: privacy@grama-ai.com.

Per i dati dell'account — nome, email, ruolo, accessi — GRAMA è titolare: decide lei perché e come trattarli.

Per i documenti caricati — regolamenti, verbali, contratti, e i dati dei condòmini che contengono — titolare è lo studio. GRAMA li tratta soltanto su sua istruzione, come responsabile ex art. 28 GDPR, secondo la nomina che ogni studio sottoscrive. GRAMA non li usa per finalità proprie e non li usa per addestrare modelli.

Dalle correzioni che lo studio apporta ai computi possono nascere regole generali che GRAMA, dopo averle riscritte e controllate, mette a disposizione di tutti gli studi. Le regole condivise non indicano agli altri studi da quale studio provengono; nel database restano collegamenti interni con lo studio d'origine, visibili solo agli amministratori della piattaforma GRAMA, che da essi possono risalire allo studio. I controlli che escludono nomi, indirizzi e altri dati personali sono in parte automatici e non riconoscono ogni caso: per questo ogni regola condivisa con questa revisione è decisa da una persona di GRAMA. Fino al loro ritiro, alcune regole condivise prima di questa revisione possono essere ancora nelle parole originali dello studio che le ha scritte, senza essere passate da questi controlli. Dettagli e limiti nei termini di servizio, punto 4.

Dati account (nome, email, organizzazione, ruolo): necessari per erogare il servizio — art. 6.1.b GDPR.

Dati di utilizzo e log (registro delle attività, conteggi di utilizzo, log tecnici): legittimo interesse alla sicurezza, alla diagnosi dei guasti e alla corretta fatturazione — art. 6.1.f GDPR.

Segnalazioni di errori (modulo «Segnala un errore»: l'email per la risposta, il telefono se lo indichi, la descrizione, gli screenshot che alleghi, e in automatico la pagina, la funzione, l'eventuale computo o conversazione, lo studio e l'account da cui scrivi): trattate da GRAMA come titolare per esaminare la segnalazione, rispondere e correggere il servizio, come previsto dai termini di servizio, punto 10 — legittimo interesse, art. 6.1.f GDPR. Se uno screenshot mostra contenuti dei documenti dello studio, GRAMA li usa solo per esaminare la segnalazione. Per seguirle GRAMA apre anche un ticket interno su GitHub che contiene solo il tipo di errore, la funzione, la data e un codice: nessun dato personale, nessun testo e nessuno screenshot. Negli screenshot evita dati di altre persone che non servono.

Contenuto dei documenti e dei quesiti: trattati per conto dello studio secondo la nomina ex art. 28; la base giuridica verso gli interessati è quella individuata dallo studio in qualità di titolare.

Il database, i file caricati e l'applicazione si trovano nell'Unione Europea. Alcune elaborazioni, però, richiedono di inviare dati a fornitori di intelligenza artificiale, in gran parte con sede negli Stati Uniti:

• Ricerca nei documenti. Per rendere cercabile un documento, GRAMA ne divide il testo in estratti e invia ogni estratto a OpenAI (Stati Uniti), che calcola gli embedding, cioè i vettori numerici usati per la ricerca. Il testo di ogni documento caricato, compresi quelli allegati a un computo, arriva quindi a OpenAI per intero, a pezzi. Allo stesso modo vanno a OpenAI le voci dei prezzari caricati dallo studio, le domande e le ricerche, e il testo delle righe del computo quando si stima la manodopera o si cercano i materiali. I vettori sono conservati nel database europeo.
• Risposte della chat. Il quesito, gli ultimi messaggi della stessa conversazione e i soli estratti di documento e voci di prezzario scelti come pertinenti vanno al modello linguistico di Anthropic (Stati Uniti).
• Assistente del computo metrico. Riceve l'intera conversazione del computo, con il testo e le immagini dei documenti e delle foto allegati. La tratta la catena di modelli configurata dagli amministratori di GRAMA: nell'ordine predefinito Anthropic e, quando non risponde, DeepInfra (entrambi negli Stati Uniti); gli amministratori possono scegliere anche Mistral (Unione Europea).
• Da schizzo a schema. Le immagini degli schizzi sono lette da OpenAI e, quando non è disponibile, da Anthropic.
• Altre funzioni del computo. La proposta e la verifica dei materiali, la stima della manodopera, le regole ricavate dalle correzioni e la trascrizione delle avvertenze dei prezzari dello studio usano il modello di Anthropic, che riceve le righe, le correzioni o le pagine che servono.

I trasferimenti extra-UE avvengono sulla base di clausole contrattuali tipo, accompagnate da una valutazione d'impatto sul trasferimento. L'elenco completo dei 8 fornitori, con i dati che ciascuno riceve, la finalità, il luogo del trattamento e lo stato del contratto, è pubblicato alla pagina sub-responsabili.

I documenti, le conversazioni e i computi restano disponibili per tutta la durata del contratto, finché lo studio non li elimina. Eliminare un documento o un computo dall'applicazione lo toglie subito dalla vista dello studio e dalla ricerca (il testo indicizzato e gli embedding sono cancellati subito); le foto del computo e i documenti allegati al computo sono cancellati subito dall'archivio. Il resto (le righe e la conversazione del computo, la cronologia delle modifiche, il documento con il suo file) resta 30 giorni, durante i quali GRAMA può ripristinarlo su richiesta dello studio, e viene cancellato definitivamente dopo 30 giorni, al primo passaggio della procedura settimanale di cancellazione (quindi fra 30 e 37 giorni dall'eliminazione). Le fonti citate nelle risposte della chat che rimandano a un documento cancellato diventano «documento eliminato».

Le segnalazioni di errori, con i loro screenshot, restano per la durata del contratto dello studio, anche dopo la loro chiusura, per poter dimostrare come sono state trattate; sono cancellate con lo studio. Se l'account di chi l'ha inviata è eliminato, la segnalazione resta allo studio senza la sua email e il suo telefono. Si può chiedere prima la cancellazione di una propria segnalazione scrivendo a privacy@grama-ai.com.

Alla cessazione del contratto, o in qualsiasi momento, lo studio può chiedere a privacy@grama-ai.com la restituzione o la cancellazione dei propri dati. GRAMA consegna prima un'esportazione (computi con righe e conversazioni, elenco dei documenti, regole, chat, l'elenco delle segnalazioni di errori con tipo, funzione, stato e data; i file si scaricano dall'applicazione) e poi elimina lo studio: file, documenti, testo indicizzato ed embedding, conversazioni, computi e cronologia, regole dello studio e gli account delle sue persone, in GRAMA e presso il fornitore di autenticazione. Il registro delle attività resta, ma senza nomi: i titoli dei computi, i nomi dei file e gli indirizzi email sono sostituiti da codici da cui non si può risalire. Resta anche la registrazione dell'avvenuta cancellazione, con il nome dello studio, come prova. Le regole condivise con tutti gli studi (termini, punto 4) sono di GRAMA, scritte in termini generali, e restano anche dopo l'uscita dello studio. Le copie di backup del database seguono il ciclo di conservazione del fornitore e vengono sovrascritte alla sua scadenza.

Chi vuole esercitare i diritti previsti dagli artt. 15-22 GDPR — accesso, rettifica, cancellazione, limitazione, portabilità, opposizione — può scriverci a privacy@grama-ai.com.

Se la richiesta riguarda dati contenuti nei documenti di uno studio, il titolare è lo studio: GRAMA inoltra la richiesta e lo assiste nell'evaderla, senza deciderne l'esito. Resta il diritto di reclamo al Garante per la protezione dei dati personali.

I dati di ogni studio sono isolati dagli altri a livello applicativo e l'isolamento è coperto da test automatici. Gli accessi sono autenticati e registrati in un registro delle attività consultabile dallo studio. I dati sono cifrati in transito e a riposo dai fornitori di infrastruttura.

Nell'applicazione, il personale di GRAMA con ruolo di amministratore della piattaforma può aprire una conversazione di uno studio, i prezzari che lo studio ha caricato, o una segnalazione di errore con i suoi contatti, la descrizione e gli screenshot, solo dopo aver scritto il motivo dell'accesso. Vede inoltre, in elenchi che riguardano più studi, i titoli delle conversazioni, le regole che gli studi hanno validato con le richieste e le correzioni da cui nascono, i titoli dei computi nei riepiloghi dei costi e le segnalazioni di errore (studio, tipo, funzione, data e stato); questi elenchi, filtrati su un solo studio o una sola persona, richiedono anch'essi il motivo. Ogni apertura è registrata con chi, quando, che cosa e il motivo; la consultazione degli elenchi di più studi è registrata una volta al giorno per persona ed elenco. Gli amministratori dello studio vedono tutto nella pagina «Accessi del supporto GRAMA».

GRAMA usa modelli di intelligenza artificiale di terzi per rispondere ai quesiti della chat, aiutare a costruire i computi metrici (scelta delle voci, materiali, stima della manodopera), trasformare gli schizzi in schemi tecnici, trascrivere le pagine dei prezzari che non hanno testo leggibile, cercare nei documenti e imparare dalle correzioni dei tecnici. I fornitori e i dati che ciascuno riceve sono indicati al punto 4 e nella pagina dei sub-responsabili.

GRAMA non addestra modelli con i dati degli studi. I modelli producono proposte e risposte, non decisioni: nessun trattamento produce effetti giuridici su una persona senza l'intervento del professionista.

Le risposte e le proposte dell'intelligenza artificiale possono essere sbagliate o incomplete, anche quando citano una fonte. Vanno sempre verificate da un professionista prima di essere usate. Come funziona e quali sono i limiti è spiegato nella pagina come funziona GRAMA.