Informativa sul trattamento dei dati personali relativa all'utilizzo delle funzionalità che comportano il trattamento e la conservazione di documenti privati

Benvenuto/a nella nostra informativa sul trattamento dei dati personali.

Qui le spieghiamo come raccogliamo, utilizziamo, condividiamo, conserviamo e trasferiamo le sue informazioni nell'ambito della gestione del sito internet “doctrine.it” (il “Sito”) e quali diritti lei ha sulle informazioni che la riguardano.

Prima di iniziare, precisiamo che i termini “noi” o “Doctrine” si riferiscono alla società Forseti SAS, in qualità di responsabile del trattamento per tutti gli utilizzi descritti nella presente informativa, iscritta al Registro del Commercio e delle Società (RCS) di Parigi con il n. 820 867 877 e con sede legale in 190, rue Championnet, 75018 Parigi, Francia.

La referente dell'organizzazione, presso la quale può esercitare i suoi diritti e alla quale può rivolgere qualsiasi domanda, è la Sig.ra Maï Ton-That; può contattarla via e-mail all'indirizzo dpo@doctrine.fr. Al contrario, il termine “lei” e i suoi derivati si riferiscono a lei, lettore o lettrice della presente informativa.

Abbiamo strutturato la presente informativa sotto forma di diverse domande che potrebbe porsi, come segue:

1. Quali informazioni raccogliamo? Come le utilizziamo e perché?

2. Condividiamo informazioni con terzi o all'estero?

3. I suoi dati sono al sicuro?

4. Quali sono i suoi diritti sulle sue informazioni?

5. Come esercitare i suoi diritti sulle sue informazioni?

6. Quando è entrata in vigore la presente informativa?

La presente informativa si rivolge a lei se utilizza una delle funzionalità che comportano il caricamento e la conservazione di documenti per fornirle il servizio.

---

1. Quali informazioni raccogliamo? Come le utilizziamo e perché?

Le funzionalità che comportano il caricamento, la conservazione o il trattamento di documenti consentono di svolgere attività di ricerca, estrazione e analisi nei suoi documenti di lavoro direttamente sul sito doctrine.it.

• La funzionalità Flow Litigate Le consente di caricare (“upload”) documenti, in particolare atti e documenti da produrre nell'ambito di un contenzioso, al fine di organizzare e analizzare un fascicolo, ordinando automaticamente i documenti in base alle date in essi riportate e generando una cronologia e una sintesi dei fatti a partire da tali documenti.
• La funzionalità Flow Counsel Le consente di caricare i suoi contratti su Doctrine per agevolarne l'analisi e la gestione. Flow Counsel può generare automaticamente analisi dei suoi documenti clausola per clausola, consentendo di valutare alcuni rischi giuridici associati e di individuare eventuali incoerenze sostanziali o formali. Flow Counsel crea inoltre un clausolario personale estraendo automaticamente le clausole contenute nei suoi documenti.
• La funzionalità Assistant Le consente di porre domande in linguaggio naturale sulla base dei suoi documenti di lavoro, per ottenere una risposta strutturata e documentata con i relativi riferimenti.
• La funzionalità di estrazione Le consente di caricare documenti in grande quantità per estrarre automaticamente le informazioni che rispondono a una richiesta e analizzarle secondo una griglia di lettura sotto forma di tabella generata.
• E qualsiasi altra funzionalità di trattamento di documenti.

Per tutte queste funzionalità, lei o l'organizzazione presso cui esercita la sua attività agite in qualità di titolare del trattamento; ai sensi dell'articolo 10.2 delle nostre CGV (doctrine.it/cgv), Doctrine agisce in qualità di responsabile del trattamento.

Queste funzionalità richiedono la raccolta e il trattamento di documenti che possono contenere dati personali, senza che Doctrine possa conoscerne in anticipo la natura.

I dati di utilizzo, i file trasmessi, i fascicoli creati, nonché le estrazioni e le analisi sono raccolti e trattati al fine di fornire il servizio e garantirne la continuità.

La raccolta e il trattamento dei suoi documenti si fondano sull'articolo 6, paragrafo 1, lettera b) del GDPR, ossia sulla necessità di tale raccolta e utilizzo per l'esecuzione delle nostre CGV (doctrine.it/cgv), comprese le disposizioni relative alla nomina di Doctrine quale responsabile del trattamento da parte del cliente.

Tali informazioni sono conservate fino a quando l'utente non elimina il/i documento/i trasmesso/i, il fascicolo o tutta o parte della propria cronologia su doctrine.it. In ogni caso, i documenti e i relativi dati di utilizzo sono automaticamente eliminati due settimane dopo la scadenza o la risoluzione del suo abbonamento. Tutti gli altri dati di utilizzo sono eliminati al momento della cancellazione manuale dell'account o della sua cancellazione automatica dopo un anno di inattività.

Al fine di correggere eventuali errori che potrebbero incidere sul funzionamento dei servizi, solo le persone autorizzate potranno accedere ai documenti, e per una durata limitata allo stretto necessario, come previsto dalle CGV. Tale trattamento è necessario per la continuità dei servizi e per l'esecuzione del contratto che ci lega alla sua Organizzazione.

Con il consenso della sua Organizzazione, alcuni membri dei team Engineering e Prodotto di Doctrine possono inoltre accedere ai documenti caricati a fini di miglioramento del prodotto. In tal caso, Doctrine effettua un trattamento ulteriore. Sono state previste diverse garanzie:

• Solo le persone incaricate del miglioramento potranno accedervi.
• L'accesso a tali documenti è pseudonimizzato, nel senso che non sono riconducibili né a lei né alla sua Organizzazione.
• L'accesso ai suoi documenti è consentito solo per il tempo necessario al miglioramento dei servizi. I documenti sono immediatamente eliminati una volta effettuato il miglioramento.

La raccolta e l'utilizzo di tali informazioni si fondano sul consenso della sua Organizzazione (in qualità di titolare del trattamento iniziale), espresso cliccando sul pulsante “Attivo il miglioramento dei servizi” nelle impostazioni dell'account. L'amministratore della sua Organizzazione può revocare il proprio consenso in qualsiasi momento cliccando sull'apposito pulsante.

2. Condividiamo informazioni con terzi o all'estero?

Raccogliamo e utilizziamo i dati indicati nella prima domanda esclusivamente per adempiere al contratto di trattamento dei dati che ci lega ai nostri clienti e in nessun caso li rivendiamo a terzi.

Essi sono trasferiti unicamente ai fornitori elencati di seguito, i cui servizi sono utilizzati per fornire i nostri. Abbiamo stipulato contratti di trattamento dei dati personali con ciascuno di tali fornitori. Alcuni di essi si trovano al di fuori dello SEE; in tal caso, ci siamo assicurati che offrano garanzie sufficienti per i trasferimenti (in particolare la sottoscrizione delle clausole contrattuali tipo della Commissione europea). A seguito della sentenza C-311/18 della Corte di giustizia dell'Unione europea del 16 luglio 2020, siamo in contatto con i nostri fornitori che effettuano trasferimenti verso gli Stati Uniti per valutare se siano necessarie misure supplementari, tenuto conto della natura di ciascun trattamento. Qualora siano state sottoscritte le clausole contrattuali tipo, lei ha il diritto di richiedercene una copia. Di seguito trova l'elenco dei fornitori di Doctrine, la loro ubicazione e, se del caso, le garanzie adeguate adottate.

Hosting

• AWS Francoforte: Hosting del sito – Fornitore situato in Germania

Servizi funzionali al prodotto

• AWS Dublino: Hosting dei modelli di Machine Learning personalizzati – Fornitore situato in Irlanda
• Google Cloud (Vision): Trattamento dei dati (riconoscimento ottico dei caratteri – OCR) – Fornitore situato a Francoforte e certificato Data Privacy Framework. Sono state sottoscritte le clausole contrattuali tipo della Commissione europea.
• Microsoft Azure OpenAI: Hosting dei modelli di OpenAI – Distribuito in Europa
• Microsoft Azure Document Intelligence: Trattamento dei dati (OCR) – Distribuito in Europa
• Google Cloud (Gemini): Modello di IA generativa – Distribuito in Europa

3. I suoi dati sono al sicuro?

Adottiamo misure tecniche e organizzative corrispondenti al più elevato livello dello stato dell'arte in materia di cybersicurezza. Tali misure sono state sviluppate consultando il vademecum di deontologia forense dell'Ordine degli avvocati di Parigi (Barreau de Paris), la “Guide de l'avocat numérique” e la Guida alla sicurezza delle informazioni per gli avvocati del Conseil national des barreaux (CNB) francese, nonché le Linee guida del Consiglio degli Ordini forensi europei (CCBE) sull'utilizzo dei servizi di cloud computing da parte degli avvocati. Esse sono inoltre conformi alle raccomandazioni dell'Agenzia nazionale francese per la sicurezza dei sistemi informativi (ANSSI).

Innanzitutto, Doctrine è certificata ISO 27001.

Abbiamo inoltre beneficiato dell'accompagnamento rafforzato (“accompagnement renforcé”) dell'autorità francese per la protezione dei dati personali (CNIL) per lo sviluppo delle nostre funzionalità di IA generativa in ambito giuridico:

Accompagnement renforcé : la CNIL guidera quatre entreprises pendant six mois

Per fornirle i servizi, dobbiamo conservare i suoi documenti. Tale conservazione avviene sui nostri server AWS situati a Francoforte, nell'Unione europea. Questi server soddisfano i più elevati standard di sicurezza fisica e informatica: il nostro fornitore è certificato ISO/IEC 27001:2022, 27017:2015, 27018:2019, 27701:2019, 22301:2019, 20000-1:2018, 9001:2015 e CSA STAR CCM v4.0. I file e i dati sono conservati per utente, in forma pseudonimizzata: i suoi dati non sono associati a un'organizzazione e non esiste un collegamento diretto tra la sua identità e un dato o un file. Abbiamo inoltre implementato una cifratura sistematica di ogni file conservato su tali server con l'algoritmo AES-256, uno degli algoritmi di cifratura più robusti, e autorizziamo esclusivamente connessioni sicure HTTPS, in modo che anche le comunicazioni siano cifrate.

Per garantire un elevato livello di riservatezza dei file conservati, abbiamo adottato misure di autenticazione rafforzata che limitano l'accesso ai documenti ai soli utenti autenticati e autorizzati, tramite cookie strettamente tecnici (CloudFront).

I suoi documenti sono inviati, oltre che al nostro fornitore di hosting AWS, soltanto ad altri due fornitori: Google Cloud (Vision e Gemini) Europa e Microsoft Azure Europa (che ci fornisce i modelli di IA generativa di OpenAI e un modello di OCR). In tali casi, il documento è conservato solo per il tempo necessario a ricevere la risposta del fornitore e non viene da questi conservato: è immediatamente eliminato. Abbiamo inoltre dato istruzione a Google e Microsoft di non conservare i documenti.

Garantiamo che nessun dipendente di Doctrine può accedere ai file e che questi non sono trasmessi ad alcun terzo, ad eccezione dei nostri responsabili del trattamento sicuri necessari per l'erogazione del servizio. Gli sviluppatori dedicati a questi servizi possono accedere ai file e ai fascicoli che ci trasmette il cui trattamento ha generato un errore, al solo fine di correggere tale errore o di comprendere l'utilizzo e la pertinenza del prodotto. I suoi documenti e dati non sono mai utilizzati per addestrare i nostri algoritmi o i nostri modelli di intelligenza artificiale. Può comunicarci la sua opposizione a tali accessi via e-mail all'indirizzo dpo@doctrine.fr. In ogni caso, l'utilizzo del file è strettamente limitato a tali persone autorizzate e alla correzione degli errori e alla comprensione dell'utilizzo del prodotto.

I documenti sono trattati in conformità al nostro codice di buona condotta e al nostro codice di condotta sull'IA generativa.

4. Quali sono i suoi diritti sulle sue informazioni?

La normativa in materia di protezione dei dati personali le riconosce i seguenti diritti:

4.a. Il diritto di accesso ai suoi dati;

4.b. Il diritto alla portabilità dei suoi dati;

4.c. Il diritto di rettifica di eventuali errori;

4.d. Il diritto alla cancellazione, a determinate condizioni;

4.e. Il diritto di opposizione al trattamento, a determinate condizioni;

4.f. Il diritto di limitazione del trattamento;

4.g. Il diritto di revoca del consenso;

4.h. Il diritto di proporre reclamo a un'autorità di controllo o ricorso giurisdizionale.

4.a. Diritto di accesso (articolo 15 del GDPR)

Può accedere a tutte le informazioni che la riguardano e che utilizziamo inviandoci una richiesta, alla quale risponderemo fornendole una copia di tutti i suoi dati personali e tutte le informazioni previste dalla legge, tra cui:

• le categorie di informazioni raccolte e utilizzate;
• le finalità di tale utilizzo;
• le categorie di destinatari a cui le informazioni che la riguardano sono state o potrebbero essere comunicate;
• il periodo di conservazione delle informazioni che la riguardano; e
• le informazioni relative ai suoi diritti sui suoi dati personali.

4.b. Diritto alla portabilità (articolo 20 del GDPR)

Quando utilizziamo le sue informazioni sulla base del suo consenso o perché necessarie all'esecuzione di un contratto, lei ha diritto alla portabilità delle sue informazioni. Tale diritto riguarda solo i dati che ci ha fornito e consente di ottenerli in un formato strutturato e leggibile da dispositivo automatico, o di farli trasmettere a un altro titolare del trattamento se tecnicamente fattibile.

4.c. Diritto di rettifica (articolo 16 del GDPR)

Può chiedere di correggere, integrare o aggiornare le informazioni che la riguardano qualora risultino inesatte, incomplete o non aggiornate.

4.d. Diritto alla cancellazione (articolo 17 del GDPR)

Può chiedere la cancellazione delle informazioni che la riguardano in uno dei seguenti casi:

• se le sue informazioni personali non sono più necessarie rispetto alle finalità per le quali sono state raccolte o trattate;
• se ha revocato il suo consenso e non sussiste altra base giuridica;
• se si è opposto/a all'utilizzo delle informazioni che la riguardano e non abbiamo respinto tale richiesta;
• se l'utilizzo delle informazioni che la riguardano è illecito;
• se dobbiamo cancellare le sue informazioni per adempiere a un obbligo legale; oppure
• se era minorenne al momento della raccolta delle sue informazioni.

4.e. Diritto di opposizione (articolo 21 del GDPR)

Può opporsi all'utilizzo delle sue informazioni se (i) adduce motivi connessi alla sua situazione particolare e (ii) la base giuridica del nostro utilizzo è il perseguimento di un legittimo interesse. Possiamo respingere la sua opposizione dimostrando l'esistenza di motivi legittimi cogenti per procedere al trattamento, oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

4.f. Diritto di limitazione del trattamento (articolo 18 del GDPR)

Può chiedere la limitazione dell'utilizzo delle informazioni che la riguardano:

• se contesta l'esattezza delle informazioni che la riguardano, per il periodo necessario alla loro verifica;
• se l'utilizzo è illecito e preferisce limitarlo anziché chiederne la cancellazione;
• se desidera che conserviamo le sue informazioni per l'accertamento, l'esercizio o la difesa di un suo diritto in sede giudiziaria;
• se si è opposto/a all'utilizzo, in attesa della verifica dei nostri motivi legittimi.

4.g. Diritto di revoca del consenso (articolo 7 del GDPR)

Per tutti gli utilizzi fondati sul suo consenso, può revocare tale consenso in qualsiasi momento, senza doverne fornire la motivazione.

4.h. Diritto di reclamo (articolo 77 del GDPR)

Poiché Doctrine è stabilita in Francia, la CNIL è l'autorità di controllo capofila ai sensi dell'articolo 56 del GDPR (cnil.fr). Può inoltre proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), autorità di controllo dello Stato membro in cui risiede o lavora.

Può inoltre, senza rivolgersi preventivamente a un'autorità di controllo, proporre ricorso dinanzi all'autorità giudiziaria competente.

5. Come esercitare i suoi diritti sulle sue informazioni?

Poiché Doctrine agisce in qualità di responsabile del trattamento, la invitiamo a rivolgere le sue richieste in via prioritaria alla sua Organizzazione, in quanto titolare del trattamento; la assisteremo nel fornire riscontro. Per qualsiasi domanda relativa alla presente informativa, può scrivere a dpo@doctrine.fr.

Ai sensi dell'articolo 12 del GDPR, in caso di dubbi sulla sua identità potremmo chiederle informazioni aggiuntive necessarie per confermarla. Rispondiamo entro il termine di legge di un mese, prorogabile di due mesi tenuto conto della complessità e del numero delle richieste.

6. Quando è entrata in vigore la presente informativa?

La presente versione dell'informativa è entrata in vigore il 13 ottobre 2025.