1. Finalità del trattamento
Per l’analisi dei documenti PDF caricati (capitolati / bandi di gara), ISOCALCX utilizza il modello di IA Claude Sonnet 5.5 tramite l’API Anthropic (Anthropic PBC, USA). L’obiettivo è l’estrazione di posizioni tecniche di isolamento (coibentazione tubazioni, raccordi, calotte per valvole, isolamento canali, posizioni di protezione antincendio). L’assistente chat/supporto, la valutazione di foto (misurazione) e l’importazione dei listini prezzi continuano a utilizzare modelli Claude tramite AWS Bedrock (UE Francoforte).
Fasi del trattamento
- Fase 1 – Caricamento: L’utente carica un PDF (capitolato). Memorizzato su server in Svizzera (Infomaniak).
- Fase 2 – Pre-filtro (locale): Pre-filtraggio lato server: vengono individuate solo le pagine e le sezioni di testo con contenuti rilevanti per l’isolamento. Le pagine non pertinenti (ad es. piante architettoniche, testi amministrativi, elenchi di persone) NON vengono trasmesse all’IA.
- Fase 3 – Estrazione del testo: Il testo viene estratto dalle pagine pre-filtrate (PyMuPDF / pdf-parse). Vengono trattati solo contenuti testuali tecnici.
- Fase 4 – Analisi IA: L’estratto PDF pre-filtrato (solo pagine rilevanti) viene trasmesso tramite l’API Anthropic a Claude Sonnet 5.5 (Anthropic PBC, USA) per l’estrazione delle posizioni. La trasmissione è crittografata e si basa sulle clausole contrattuali standard (SCC) o su un quadro di adeguatezza riconosciuto.
- Fase 5 – Post-elaborazione: I risultati dell’IA vengono filtrati lato server (filtro falsi positivi, 17 passaggi), normalizzati e validati. Vengono memorizzate solo le posizioni plausibili.
- Fase 6 – Calcolo prezzi e revisione: Le posizioni validate vengono confrontate con il catalogo aziendale. L’utente verifica e corregge manualmente TUTTI i risultati.
Non vengono prese decisioni individuali automatizzate ai sensi dell’art. 21 LPD rev. / art. 22 GDPR – l’IA funge esclusivamente da sistema di suggerimenti.
2. Minimizzazione dei dati (pre-filtro)
La minimizzazione dei dati è la misura tecnica centrale di ISOCALCX. Non trasmettiamo l’intero PDF all’IA, bensì solo la parte rilevante per l’isolamento.
- Pre-filtro (interno): Prima di ogni chiamata all’IA viene eseguito un pre-filtro deterministico (parole chiave + regex + contesto CCC). Identifica le pagine rilevanti e crea un PDF ridotto contenente solo tali pagine. Gli allegati con dati personali (ad es. elenchi indirizzi, rubriche di architetti, schede contatti) sono di norma filtrati prima che i dati lascino la Svizzera o raggiungano l’IA.
Principi fondamentali
- Vengono inoltrate solo le pagine rilevanti (tipicamente 30–60 % del PDF originale)
- Immagini, loghi e piante non vengono valutati in modo mirato; poiché viene trasmesso un estratto PDF delle pagine rilevanti, le grafiche presenti su tali pagine fanno parte della trasmissione
- Nessuna trasmissione di dati di account utente, informazioni di accesso o dati di prezzo
- I campi sensibili (numeri di telefono, indirizzi e-mail) non vengono valutati attivamente
Dati trasmessi all’IA
- Estratto PDF delle pagine rilevanti pre-filtrate (descrizioni tecniche, codici CCC, materiali, dimensioni, quantità )
- Per documenti molto voluminosi: suddivisione in più parti, ciascuna integrata da pagine di contesto (osservazioni preliminari, titoli di sezione)
- Nome del file (per associazione interna)
- Prompt di analisi tecnica (non contiene dati utente)
Dati NON trasmessi
- Dati personali utente (nome, e-mail, indirizzo)
- Dati di accesso o autenticazione, password, token JWT
- Dati di prezzo o catalogo aziendale
- Dati di pagamento o abbonamento
- Metadati di altri utenti o tenant (rigorosa isolamento multi-tenant)
- Pagine PDF marcate come non rilevanti dal pre-filtro
Caching
Per evitare chiamate API ridondanti, i risultati dell’analisi vengono memorizzati nella cache locale del server ISOCALCX (Svizzera) (hash SHA-256 del PDF come chiave). In caso di nuova analisi dello stesso documento, il risultato viene caricato dalla cache, senza che i dati lascino nuovamente la Svizzera.
3. Base giuridica
Il trattamento dei contenuti dei documenti da parte di ISOCALCX e la trasmissione ai sub-incaricati si basano sulle seguenti basi giuridiche:
- Art. 31 cpv. 2 lett. a LPD rev. – esecuzione del contratto: L’analisi supportata da IA è un componente centrale del servizio ISOCALCX. Il contratto d’uso copre espressamente l’analisi automatica dei PDF.
- Art. 6 par. 1 lett. b GDPR – esecuzione del contratto: Per gli utenti dello SEE, l’esecuzione del contratto costituisce la base giuridica ai sensi del GDPR.
- Art. 19 LPD rev. / art. 13 GDPR – trasparenza: Gli utenti vengono informati nell’informativa sulla privacy, in questa PIA e al momento della registrazione sull’uso dell’IA e sulla trasmissione dei dati.
- Art. 9 LPD rev. / art. 28 GDPR – responsabile del trattamento: Con i sub-incaricati sono in essere DPA / contratti di trattamento dati; per Anthropic PBC si applicano le condizioni commerciali di Anthropic, comprese le relative condizioni di trattamento dei dati.
4. Sub-incaricati
Per il funzionamento della piattaforma ISOCALCX, i seguenti fornitori terzi operano quali responsabili del trattamento. Con i fornitori è in essere un contratto di trattamento dei dati ai sensi dell’art. 28 GDPR / art. 9 LPD rev.; per Anthropic PBC si applicano le condizioni commerciali di Anthropic, comprese le relative condizioni di trattamento dei dati:
| Fornitore | Finalità | Tipi di dati | Ubicazione | Base del trasferimento |
|---|---|---|---|---|
| Infomaniak Network SA | Hosting server e database | Dati di account, progetto, posizione, cache | Svizzera | CH (nessun trasferimento extra-UE/CH) |
| AWS Bedrock (modelli Claude) | IA per assistente chat/supporto, valutazione di foto (misurazione), importazione listini prezzi | Input della chat, foto, contenuti dei listini prezzi | UE – Francoforte (eu-central-1), regione di ripiego Irlanda (eu-west-1) | Trattamento all’interno dell’UE (DPA in essere) |
| Anthropic PBC | Valutazione IA di bandi/capitolati caricati (Claude Sonnet 5.5, API Anthropic) | Estratto PDF delle pagine pre-filtrate | USA | Clausole contrattuali standard (SCC) o quadro di adeguatezza riconosciuto (art. 46 GDPR / art. 16 LPD rev.) |
| Stripe Payments Europe Ltd. | Elaborazione pagamenti | E-mail, informazioni di pagamento | Irlanda (UE); società madre Stripe Inc. negli USA | Adeguato all’interno dell’UE; clausole contrattuali standard (SCC) e Quadro UE-USA / Svizzera-USA (DPF) per il trasferimento infragruppo verso gli USA |
| Brevo (SendInBlue) | Invio e-mail di sistema | Indirizzo e-mail, nome | UE (Francia) | Trattamento all’interno dell’UE (DPA in essere) |
Una descrizione dettagliata di ciascun sub-incaricato con i collegamenti alle relative informative è disponibile nell’ Informativa sulla privacy (sezione 8).
5. Trasferimenti extra-UE/CH
ISOCALCX struttura il flusso dati in modo che i trasferimenti extra-UE/CH restino limitati a quanto necessario per il servizio:
- UE (AWS Bedrock Francoforte): L’assistente chat/supporto, la valutazione di foto (misurazione) e l’importazione dei listini prezzi funzionano su server AWS a Francoforte (eu-central-1). In caso di guasto di tale regione si passa automaticamente alla seconda regione UE, l’Irlanda (eu-west-1); il trattamento di queste funzioni resta quindi in ogni caso all’interno dell’UE. È in essere un DPA con AWS ai sensi dell’art. 28 GDPR; AWS Bedrock non utilizza i dati trasmessi per l’addestramento dei modelli.
- Svizzera (Infomaniak): Tutti i dati di account, progetto, posizione e cache sono memorizzati esclusivamente in Svizzera. Il database ISOCALCX non lascia la Svizzera.
- USA (Anthropic, Stripe): La valutazione IA di bandi/capitolati caricati è effettuata da Anthropic PBC negli USA; a tal fine viene trasmesso l’estratto PDF pre-filtrato. Anche per l’elaborazione dei pagamenti può avvenire una trasmissione verso gli USA. La base sono le clausole contrattuali standard (SCC, art. 46 GDPR) o un quadro di adeguatezza riconosciuto (ad es. lo Swiss-US Data Privacy Framework, nella misura in cui il destinatario sia certificato). Le trasmissioni sono crittografate (TLS 1.2+).
Stato di configurazione attuale: ripiego Anthropic Direct (chat, valutazione di foto, listini prezzi)
DISATTIVATO — nessun trattamento negli USA per queste funzioniPer l’assistente chat/supporto, la valutazione di foto e l’importazione dei listini prezzi, il ripiego Anthropic Direct (USA) è DISATTIVATO per impostazione predefinita nel sistema di produzione (ALLOW_ANTHROPIC_DIRECT_FALLBACK=false). In caso di outage di Bedrock in eu-central-1 (Francoforte), avviene un failover automatico verso la seconda regione UE eu-west-1 (Irlanda). Indipendentemente da ciò, la valutazione IA dei bandi caricati avviene come previsto tramite l’API Anthropic negli USA (vedi sopra).
Lo spostamento dell’analisi PDF ad Anthropic (USA) costituisce una modifica dei sub-responsabili ai sensi del DPA §6 cpv. 2; l’informativa privacy e il DPA sono stati adeguati di conseguenza e i clienti interessati devono essere informati per iscritto almeno 30 giorni prima dell’entrata in vigore.
6. Misure tecniche e organizzative (TOM)
Le seguenti TOM vengono adottate per mitigare i rischi:
- Pre-filtro come TOM centrale: Il pre-filtro lato server (cfr. sezione 2) è la principale misura di minimizzazione dei dati. Riduce tipicamente del 40–70 % il volume di dati che lascia la Svizzera o raggiunge l’IA.
- Crittografia: TLS 1.2+ per tutte le trasmissioni (frontend ↔ backend ↔ AWS Bedrock / Anthropic). Argon2 per l’hashing delle password. SHA-256 per l’identificazione della cache.
- Controllo degli accessi: JWT in cookie HttpOnly, RBAC (admin / admin aziendale / utente), rigorosa isolazione multi-tenant, rotazione delle chiavi API tramite key-pool.
- Logging e monitoraggio: Logging Winston strutturato, monitoraggio interno degli errori (anonimizzato), risposte IA parzialmente registrate (primi 2000 caratteri) per il debug – i log del server e i log degli errori vengono ruotati e conservati al massimo 30 giorni; i log di sicurezza relativi agli accessi, compreso l’indirizzo IP, vengono cancellati automaticamente dopo 30 giorni.
- Procedure di cancellazione: I caricamenti PDF temporanei presso AWS vengono rimossi dopo l’elaborazione; AWS Bedrock non memorizza i contenuti in modo persistente. Presso Anthropic, la conservazione dei contenuti trasmessi è disciplinata dalle condizioni commerciali di Anthropic. Gli utenti possono cancellare completamente account e dati in qualsiasi momento (immediato, periodo di tolleranza di 30 giorni o anonimizzazione tramite hash SHA-256). La cancellazione avviene nei sistemi produttivi; le copie di sicurezza non vengono ripulite singolarmente, ma scadono al più tardi 30 giorni dopo la loro creazione e vengono sovrascritte. Entro tale termine servono esclusivamente al ripristino in caso di guasto. Se è necessario ripristinare un backup, la cancellazione viene eseguita nuovamente subito dopo il ripristino.
Una documentazione TOM completa e il registro delle attività di trattamento ai sensi dell’art. 12 LPD rev. / art. 30 GDPR sono tenuti internamente e possono essere consultati su richiesta dalle autorità o nell’ambito di una revisione DPA.
7. Valutazione dei rischi
Rischi di protezione dei dati identificati, probabilità residua dopo mitigazione e misure adottate:
| Rischio | Livello | Misure di mitigazione | Rischio residuo |
|---|---|---|---|
| Trasmissione di dati commerciali al sub-incaricato IA I capitolati possono contenere informazioni commercialmente sensibili (quantità , specifiche dei materiali, dettagli di progetto). | Medio |
| Rischio residuo: i segreti commerciali (quantità , prezzi) sono contenuti nel PDF e necessari per l’analisi – non è possibile un’anonimizzazione completa. |
| Trasferimento extra-UE (USA, analisi PDF) Per la valutazione IA, l’estratto PDF pre-filtrato dei bandi caricati viene trasmesso ad Anthropic negli USA. | Medio |
| Rischio residuo: l’accesso delle autorità statunitensi ai sensi di FISA 702 / CLOUD Act non può essere completamente escluso secondo la sentenza «Schrems II» della CGUE. |
| Risultati IA errati Posizioni estratte in modo errato potrebbero portare a calcoli sbagliati. | Medio |
| Rischio residuo: i modelli IA sono non deterministici; sono possibili allucinazioni isolate. La responsabilità del controllo finale spetta all’utente. |
| Dati personali nei capitolati I PDF possono contenere occasionalmente nomi di persone o dati di contatto (ad es. responsabili di progetto, architetti). | Basso |
| Rischio residuo: dati personali isolati in testo tecnico possono teoricamente raggiungere l’IA. |
| Intercettazione durante la trasmissione Attacco man-in-the-middle o manipolazione in transito. | Basso |
| Rischio residuo: non gestibile da ISOCALCX in caso di dispositivi utente compromessi (prima del TLS). |
| Accesso non autorizzato ai risultati di analisi Terzi potrebbero accedere alle posizioni memorizzate. | Basso |
| Rischio residuo: in caso di credenziali utente compromesse, la separazione tenant offre solo protezione limitata. |
8. Rischi residui e comunicazione onesta dei rischi
ISOCALCX adotta misure tecniche e organizzative estese. Tuttavia, comunichiamo apertamente che nessun sistema digitale può garantire una sicurezza al 100 %. Permangono i seguenti rischi residui:
- Allucinazioni IA: I modelli linguistici utilizzati (Claude Sonnet 5.5 per l’analisi PDF, modelli Claude tramite AWS Bedrock per le altre funzioni IA) sono LLM non deterministici. Singole posizioni possono essere estratte in modo errato o inventate. Il controllo finale spetta all’utente – la piattaforma supporta ma non sostituisce il controllo finale specialistico.
- Accesso autorità USA (Schrems II): Nella valutazione IA dei bandi da parte di Anthropic (USA) l’accesso delle autorità ai sensi di FISA 702 / CLOUD Act non può essere giuridicamente escluso del tutto, anche con SCC o un quadro di adeguatezza.
- Aggiornamenti modello presso il fornitore: AWS e Anthropic possono aggiornare i loro modelli. ISOCALCX verifica i cambi di modello, ma non può impedire variazioni di comportamento.
- Il pre-filtro è euristico: Il pre-filtro è basato su regole. In casi singoli pagine rilevanti possono essere omesse o pagine non rilevanti inoltrate. Riduciamo al minimo il rischio, ma non lo eliminiamo.
- Sicurezza dei terminali: Vulnerabilità sul dispositivo dell’utente (malware, browser compromesso) sono al di fuori della sfera di influenza di ISOCALCX.
Non consideriamo la protezione dei dati come una promessa di marketing, ma come un lavoro continuo sui rischi. Il livello di sicurezza e privacy viene continuamente verificato e migliorato.
9. Risultato della valutazione
Valutazione complessiva: rischio di protezione dei dati accettabile
Tenendo conto delle misure tecniche e organizzative descritte – in particolare il pre-filtro, l’hosting svizzero dei dati e le garanzie di trasferimento per la valutazione IA negli USA – il rischio di protezione dei dati dell’analisi documentale supportata da IA è valutato come accettabile. Una DPIA completa ai sensi dell’art. 22 LPD rev. non è necessaria; la presente PIA documenta tuttavia il trattamento in modo trasparente.
Questa valutazione si basa sui seguenti fattori:
- Tipo di dati: Vengono prevalentemente trattate descrizioni tecniche di costruzione. I dati personali sono solo marginali.
- Minimizzazione dei dati: Il pre-filtro riduce tipicamente del 40–70 % il volume di dati trasmessi.
- Nessuna decisione automatizzata: I risultati IA sono suggerimenti; approvazione finale dall’utente.
- Garanzie contrattuali: Contratti o condizioni di trattamento dei dati con tutti i sub-incaricati; nessun uso per l’addestramento dei modelli (presso Anthropic, secondo le condizioni commerciali di Anthropic).
- Hosting dei dati in Svizzera: I dati di account e progetto sono memorizzati in Svizzera; per la valutazione IA viene trasmesso ad Anthropic (USA) solo l’estratto PDF pre-filtrato.
- Diritti degli interessati: Cancellazione completa, anonimizzazione ed esportazione dei dati possibili in qualsiasi momento.
10. Revisione e aggiornamento
Questa Privacy Impact Assessment viene rivista almeno una volta l’anno e in caso di modifiche sostanziali alla pipeline IA, ai modelli utilizzati o ai sub-incaricati, e aggiornata se necessario.
Le modifiche vengono pubblicate su questa pagina. In caso di modifiche sostanziali alla valutazione dei rischi, gli utenti registrati vengono informati via e-mail.
11. Contatto
Per domande su questa Privacy Impact Assessment o sul trattamento dei dati nell’ambito dell’analisi IA, contattateci a: