Dati e IA

• Il tuo studio è titolare, noi siamo responsabile. I documenti delle gare vengono trattati per tuo conto, sulle tue istruzioni (l'analisi che chiedi), come responsabile ex art. 28 GDPR.
• Solo il documento in elaborazione lascia il server. E solo verso il provider AI configurato, dentro il compito di estrazione: mai credenziali, dati di altri studi, log o telemetria.
• L'estrazione è citata. Ogni dato proposto porta la frase esatta e la pagina del documento da cui proviene: verificabile alla fonte, sempre.
• Nessuna decisione automatica. Ogni campo va confermato da una persona; le decisioni di revisione restano nell'audit log.

1. Caricamento. Il file entra nello spazio del tuo studio, su server nell'Unione Europea; le copie di sicurezza sono cifrate.
2. Estrazione. Il testo viene diviso in porzioni con il numero di pagina e inviato al provider AI configurato, che lo elabora per estrarre i campi con le citazioni. Secondo le condizioni API dei provider, i contenuti inviati non vengono conservati né usati per addestrare i modelli.
3. Revisione. Le proposte tornano nell'app: una persona conferma, corregge o scarta ogni campo; i dubbi finiscono nella coda di verifica.
4. Export. La scheda confermata esce in PDF con le fonti in nota.

• Provider AI dell'estrazione. Predefinito: Z.ai (modelli GLM), società con sede a Singapore — il trattamento avviene quindi fuori dall'Unione Europea; secondo il loro accordo sul trattamento dei dati i contenuti API sono elaborati in tempo reale e non vengono salvati. Abbiamo valutato il trasferimento alla luce della natura dei dati (testi di bandi pubblici) e lo teniamo sotto revisione. Il provider è configurabile: i fallback possibili (OpenAI, Google) applicano condizioni con DPA e clausole contrattuali tipo dell'UE.
• Hosting. Server nell'Unione Europea (Hetzner).
• Backup cifrati. Backblaze B2, regione UE (Amsterdam): le copie di sicurezza dei dati vengono cifrate sul nostro server PRIMA dell'invio — il fornitore riceve solo testo cifrato e non può leggerne i contenuti.
• Email transazionali. Resend, per ricevute e comunicazioni di servizio: vede il solo indirizzo necessario alla consegna.
• Pagamenti. Paddle.com (Merchant of Record): tratta i dati di pagamento secondo la propria informativa, come venditore legale.

Eventuali nuovi fornitori vengono comunicati con preavviso, via email o nell'app, prima di diventare operativi.

• Trattiamo i documenti solo per le finalità del servizio — estrazione, riconciliazione, revisione, export — sulle istruzioni del tuo studio.
• Le persone che vi accedono sono vincolate alla riservatezza e limitate al necessario.
• Applichiamo misure tecniche e organizzative adeguate: isolamento dei dati per studio, accesso solo autenticato, registro delle decisioni.
• Ti assistiamo per rispondere alle richieste dei tuoi interessati (accesso, rettifica, cancellazione): le gare si eliminano direttamente in app, lo studio intero su richiesta.

• Provider, non alto rischio. SchedaBando integra modelli di terze parti ed è «provider» del proprio sistema AI ai sensi del regolamento europeo sull'intelligenza artificiale; il sistema non rientra nelle categorie ad alto rischio e non prende decisioni automatizzate: ogni proposta passa dalla conferma di una persona, e i contenuti delle schede escono solo dopo quella revisione sostanziale.
• La dichiarazione è di chi firma. La dichiarazione sull'uso dell'IA nella domanda di partecipazione (L. 132/2025, delibere ANAC 2026) la firma l'operatore. La tracciabilità della piattaforma — citazioni per ogni campo, audit log delle conferme — è ciò che serve allo studio per una dichiarazione con contenuto verificabile e per la propria informativa ai clienti (art. 13 L. 132/2025).