Sicurezza e compliance: GDPR e hosting nell'UE
Data Alchemy tratta i tuoi documenti aziendali — fatture, DDT, ordini, contratti — con un approccio security-first: conformità GDPR, hosting e archiviazione dei dati nell'Unione Europea su Scaleway, provider certificato ISO/IEC 27001, cifratura in transito (HTTPS/TLS), controllo degli accessi e piena trasparenza sui sub-responsabili. In questa pagina trovi le garanzie su sicurezza e compliance che il tuo ufficio IT e legale possono valutare prima della demo, senza dover firmare un NDA per leggere come proteggiamo i tuoi dati.
I pilastri della sicurezza e della compliance
La protezione dei dati non è una funzione opzionale: è il modo in cui Data Alchemy è progettata. Ecco i quattro pilastri su cui si fonda la nostra postura di sicurezza e compliance.
Conformità GDPR
Trattiamo i dati personali contenuti nei documenti come responsabili del trattamento per tuo conto, con un Accordo sul Trattamento dei Dati (DPA) dedicato e finalità limitate all'elaborazione che ci affidi.
Hosting e archiviazione nell'UE
I documenti e i dati estratti sono ospitati e archiviati in Europa su Scaleway, il cloud europeo del gruppo iliad, con sito principale a Milano e un sito secondario in un'altra regione europea per la continuità del servizio. Per l'elaborazione AI: con Data Alchemy AI e con i provider europei resta in Europa, con Claude e GPT i documenti sono elaborati dai rispettivi provider sotto DPA.
Cifratura in transito e accessi controllati
Documenti e dati viaggiano su connessioni cifrate (HTTPS/TLS). L'accesso avviene con SSO Microsoft Entra ID o Google Workspace tramite LoginMaster, con un tenant di autenticazione dedicato per cliente e separazione logica dei dati tra clienti, con ruoli e permessi e un registro delle azioni degli utenti.
Minimizzazione e retention
Trattiamo solo i dati necessari all'estrazione e alla validazione. Con la licenza Basic i documenti vengono cancellati automaticamente 7 giorni dopo il caricamento (conservazione obbligatoria di 7 giorni); con Business ed Enterprise i file si conservano fino a 60 giorni dalla data di caricamento, con un valore configurabile per modello. I documenti possono inoltre essere eliminati su richiesta.
Conformità GDPR e hosting dei dati nell'UE
Data Alchemy è un'azienda italiana e tratta i dati nel pieno rispetto del Regolamento (UE) 2016/679 (GDPR). Quando elaboriamo i tuoi documenti agiamo come responsabile del trattamento (data processor) per conto della tua azienda, che resta titolare del trattamento: trattiamo i dati personali solo per le finalità che ci affidi — estrazione, validazione e scrittura nel gestionale — e secondo le tue istruzioni documentate. Hosting e archiviazione sono nell'Unione Europea: i documenti caricati, i dati estratti e i log applicativi sono conservati in Europa, su Scaleway, con sito principale a Milano e un sito secondario in un'altra regione europea. Per l'elaborazione AI, con Data Alchemy AI e con i provider europei l'elaborazione resta in Europa; con Claude e GPT i documenti sono elaborati dai rispettivi provider sotto DPA. Così l'ufficio IT e il DPO possono valutare il rischio prima ancora della demo.
Ruoli e responsabilità chiari
Tu sei il titolare del trattamento, Data Alchemy il responsabile. Il DPA definisce finalità, categorie di dati, durata e misure di sicurezza ai sensi dell'art. 28 GDPR.
Hosting e backup nell'Unione Europea
Hosting, archiviazione e backup restano in Europa: la piattaforma è ospitata su Scaleway, il cloud europeo del gruppo iliad, con sito principale a Milano e sito secondario in un'altra regione europea. Per l'elaborazione AI: con Data Alchemy AI e con i provider europei resta in Europa, con Claude e GPT i documenti sono elaborati dai rispettivi provider sotto DPA. Nessun trasferimento verso paesi terzi senza garanzie adeguate (clausole contrattuali tipo o decisioni di adeguatezza).
Diritti degli interessati
Supportiamo l'esercizio dei diritti GDPR (accesso, rettifica, cancellazione, portabilità): su richiesta del titolare estraiamo o eliminiamo i dati personali contenuti nei documenti trattati.
Registro e trasparenza
Manteniamo un registro delle attività di trattamento e un elenco aggiornato dei sub-responsabili, consultabile dai clienti per le proprie valutazioni di compliance.
Le misure di sicurezza tecniche e organizzative
Sicurezza dei dati significa connessioni cifrate, controllo degli accessi e infrastruttura affidabile. Ecco le misure tecniche e organizzative che proteggono i documenti che ci affidi.
Protezione dei dati
- Cifratura in transito (HTTPS/TLS) per tutte le connessioni pubbliche
- Hosting su Scaleway, provider certificato ISO/IEC 27001
- Tenant di autenticazione dedicato per ogni cliente (LoginMaster)
- Separazione logica dei dati tra i clienti sulla piattaforma
Controllo degli accessi
- Accessi basati sul principio del minimo privilegio
- Autenticazione delle integrazioni via API key e token
- Tracciamento degli accessi e delle operazioni (audit log)
- Revoca immediata delle credenziali a fine rapporto
Infrastruttura e continuità
- Hosting su Scaleway, provider certificato ISO/IEC 27001, con sito principale a Milano
- Sito secondario in un'altra regione europea per la continuità del servizio
- Backup periodici e ripristino in caso di disastro
- Monitoraggio e patching continuo dei sistemi
- Separazione tra ambienti di sviluppo e produzione
Pratiche organizzative
- Accordi di riservatezza con il personale e i fornitori
- Formazione del team su sicurezza e protezione dati
- Gestione strutturata degli incidenti e notifica al titolare
- Valutazione di sicurezza dei nuovi sub-responsabili
Gestione degli accessi enterprise e separazione dei dati tra clienti
Ogni cliente ha un tenant di autenticazione dedicato su LoginMaster e, sulla piattaforma, i suoi dati sono separati logicamente da quelli degli altri clienti: documenti e dati estratti non vengono mai condivisi tra account. Le credenziali del gestionale restano nell'Agente AI installato presso di te: Data Alchemy non le conserva. L'accesso a Data Alchemy può essere centralizzato sull'identity provider aziendale — Microsoft Entra ID o Google Workspace SSO tramite LoginMaster — così il reparto IT mantiene un'unica fonte di verità sulle identità.
- Single Sign-On con Microsoft Entra ID e Google Workspace
- MFA e criteri di accesso condizionale applicati dal tuo identity provider
- Deprovisioning immediato: revocare l'account aziendale revoca l'accesso a Data Alchemy
- Tenant di autenticazione dedicato per cliente e separazione logica dei dati tra clienti
- Permessi basati sui ruoli, che separano operatori, approvatori e amministratori
- API key separate per integrazione, revocabili singolarmente senza downtime
Come trattiamo i documenti con l'AI multi-engine
Per ogni modello documentale scegli un motore AI: Claude (Anthropic), il motore che proponiamo di default; GPT (OpenAI); Data Alchemy AI, il modello proprietario di Data Alchemy, su server e GPU proprietari in Italia; oppure un modello LLM compatibile tramite i provider di inferenza europei Scaleway (Generative APIs) e Seeweb Regolo.ai, con un abbonamento sottoscritto direttamente dal cliente. Ogni documento è letto da un solo motore, quello abbinato al suo modello. Sappiamo che inviare documenti aziendali a un motore AI è la domanda più delicata per chi valuta la piattaforma, perciò siamo trasparenti su come funziona. Con Claude e GPT i documenti sono elaborati tramite i rispettivi provider esclusivamente per estrarre e strutturare i dati che ci chiedi, sotto accordi di trattamento (DPA) e senza che i tuoi contenuti vengano usati per addestrare modelli di terze parti. Data Alchemy AI, il modello proprietario di Data Alchemy, gira invece su server e GPU proprietari di Data Alchemy in Italia. Con un provider di inferenza europeo valgono le condizioni del contratto che la tua azienda ha sottoscritto con il provider.
Nessun addestramento sui tuoi dati
I documenti inviati a Claude e GPT non vengono utilizzati per addestrare o migliorare i modelli dei provider: servono solo a produrre l'estrazione che ti restituiamo. Per i provider di inferenza europei valgono le condizioni del tuo contratto con il provider.
Sub-responsabili sotto contratto
I provider AI di terze parti (Anthropic per Claude, OpenAI per GPT) sono trattati come sub-responsabili, vincolati da DPA e da misure di sicurezza adeguate; Scaleway è il fornitore di hosting della piattaforma. L'elenco è disponibile per le valutazioni di compliance. Data Alchemy AI, il modello proprietario di Data Alchemy, gira su server e GPU proprietari di Data Alchemy in Italia. Se per un modello documentale scegli un provider di inferenza europeo (Scaleway Generative APIs o Seeweb Regolo.ai), l'abbonamento è sottoscritto direttamente dalla tua azienda con il provider e i documenti di quel modello sono elaborati dal modello che hai scelto sulla sua infrastruttura europea (Scaleway: data center in Francia; Regolo.ai: data center in Italia); condizioni e politiche di conservazione sono quelle del tuo contratto con il provider.
Trattamento limitato e tracciato
L'elaborazione AI è limitata alla singola operazione di estrazione; non costruiamo profili sui contenuti dei tuoi documenti oltre a ciò che serve al servizio.
Validazione che riduce l'esposizione
La validazione sulle anagrafiche del gestionale avviene nel nostro perimetro UE, riducendo i dati che attraversano i motori AI al minimo necessario.
Standard e framework di compliance di riferimento
Le nostre misure di sicurezza sono progettate seguendo gli standard riconosciuti del settore. Ecco i framework che guidano la nostra postura di compliance.
GDPR — Regolamento (UE) 2016/679
Trattamento dei dati personali conforme al GDPR, con DPA ai sensi dell'art. 28, registro dei trattamenti e supporto ai diritti degli interessati.
Principi ISO/IEC 27001
Le nostre misure tecniche e organizzative sono allineate ai principi di gestione della sicurezza delle informazioni della norma ISO/IEC 27001.
Infrastruttura europea
La piattaforma è ospitata su Scaleway, il cloud europeo del gruppo iliad, con sito principale a Milano e un sito secondario in un'altra regione europea per la continuità del servizio; Scaleway è un provider certificato ISO/IEC 27001. Hosting, archiviazione e backup restano in Europa.
FatturaPA e contesto normativo italiano
Supportiamo i formati e i flussi della fatturazione elettronica italiana (FatturaPA), nel rispetto delle regole tecniche dell'Agenzia delle Entrate.
Risorse collegate a sicurezza e integrazioni
La tecnologia AI multi-engine
Come scegli un motore AI per ogni modello documentale e come Data Alchemy valida i dati sulle anagrafiche del gestionale.
Scopri di più →IntegrazioneIntegrazione ERP
Agente AI installato presso di te, con le credenziali del gestionale nel tuo perimetro, oppure API REST e webhook firmati per scrivere i dati in SAP, Zucchetti e TeamSystem in sicurezza.
Scopri di più →ControlliControllo anomalie e frodi
Rilevamento di duplicati, IBAN sospetti e prezzi fuori contratto prima della registrazione in contabilità.
Scopri di più →Domande frequenti su sicurezza e compliance
Data Alchemy è conforme al GDPR?
Sì. Data Alchemy è un'azienda italiana e tratta i dati personali contenuti nei documenti nel rispetto del Regolamento (UE) 2016/679 (GDPR). Agiamo come responsabile del trattamento per conto della tua azienda, che resta titolare, sulla base di un Accordo sul Trattamento dei Dati (DPA) ai sensi dell'art. 28 GDPR che definisce finalità, categorie di dati, durata e misure di sicurezza.
Dove vengono ospitati e trattati i miei dati?
Hosting e archiviazione restano in Europa: la piattaforma Data Alchemy è ospitata su Scaleway, il cloud europeo del gruppo iliad, con sito principale a Milano e un sito secondario in un'altra regione europea per la continuità del servizio. I documenti caricati, i dati estratti, i backup e i log applicativi risiedono su questa infrastruttura. Per l'elaborazione AI, con Data Alchemy AI e con i provider europei l'elaborazione resta in Europa; con Claude e GPT i documenti sono elaborati dai rispettivi provider sotto DPA. Non effettuiamo trasferimenti verso paesi terzi privi di garanzie adeguate ai sensi del GDPR.
Come vengono protetti i documenti che invio?
I documenti viaggiano cifrati in transito (HTTPS/TLS) e sono ospitati su Scaleway, provider certificato ISO/IEC 27001, con sito principale a Milano. L'accesso avviene con SSO Microsoft Entra ID o Google Workspace tramite LoginMaster, con un tenant di autenticazione dedicato per cliente e separazione logica dei dati tra clienti; gli accessi seguono il principio del minimo privilegio con ruoli e permessi, e le azioni degli utenti (caricamento, modifica, download, eliminazione) sono registrate.
I miei documenti vengono usati per addestrare modelli AI?
No. I documenti inviati a Claude (Anthropic) e GPT (OpenAI) servono esclusivamente a estrarre e strutturare i dati che ci chiedi e non vengono utilizzati per addestrare o migliorare i modelli dei provider, che sono trattati come sub-responsabili, vincolati da accordi di trattamento (DPA) e da misure di sicurezza adeguate. Se scegli un provider di inferenza europeo (Scaleway o Regolo.ai), l'abbonamento è tuo e valgono le condizioni del tuo contratto con il provider.
Posso ottenere un DPA e l'elenco dei sub-responsabili?
Sì. Mettiamo a disposizione un Accordo sul Trattamento dei Dati (DPA) e un elenco aggiornato dei sub-responsabili (compresi i provider AI di terze parti e Scaleway, il fornitore di hosting della piattaforma), così l'ufficio legale e il DPO possono completare la valutazione di compliance prima dell'attivazione del servizio.
Avete certificazioni di sicurezza come ISO 27001 o SOC 2?
Le nostre misure tecniche e organizzative sono progettate seguendo i principi della norma ISO/IEC 27001 sulla gestione della sicurezza delle informazioni; la piattaforma è ospitata su Scaleway, provider certificato ISO/IEC 27001, con sito principale a Milano e sito secondario in un'altra regione europea. Per lo stato aggiornato delle nostre certificazioni e per la documentazione di sicurezza, contattaci e ti forniremo i dettagli applicabili al tuo progetto.
Per quanto tempo conservate i documenti caricati?
Dipende dalla licenza. Con la Basic la conservazione è di 7 giorni e non è modificabile: i documenti vengono cancellati automaticamente 7 giorni dopo il caricamento. Con Business ed Enterprise i file possono essere conservati fino a 60 giorni dalla data di caricamento e il periodo si configura per ogni modello documentale. In ogni caso i documenti possono essere eliminati su richiesta.
Valuta la sicurezza di Data Alchemy con il tuo team
Contattaci per pianificare una call con una demo sui tuoi documenti: coinvolgi IT e ufficio legale, rispondiamo alle domande su GDPR, hosting ed elaborazione dei dati, accessi e sub-responsabili e ti forniamo la documentazione di sicurezza utile alla tua valutazione. Per provare la lettura AI sui tuoi file puoi anche attivare gratuitamente la Demo con 10 documenti, in un ambiente dedicato.