Informativa sulla protezione dei dati

Maijin Shield le permette di affidare i suoi documenti Word, Excel, PowerPoint, PDF e XML a un'intelligenza artificiale (ChatGPT, Claude, Copilot…) senza consegnarle i dati personali o sensibili che contengono. Questa pagina descrive esattamente cosa trattiamo, dove e per quanto tempo.

In breve

• I suoi documenti vengono analizzati in Svizzera e gli originali non vengono mai conservati.
• Per permetterle di ritrovare i dati reali e di riscaricare i suoi documenti anonimizzati, conserviamo la tabella di corrispondenza tra segnaposto e dati reali e la versione anonimizzata di ogni documento, cifrate, per 90 giorni. Può cancellarle in qualsiasi momento.
• In un team, solo la persona che ha anonimizzato un documento può ritrovarne i dati reali, finché fa parte del team; gli amministratori vedono il nome anonimizzato del file, la sua data e il suo autore, e scelgono i dati da mascherare.
• Un documento inviato per e-mail viene trattato allo stesso modo, in Svizzera, e l'e-mail viene cancellata non appena è stata trattata. L'allegato e la risposta restano nella sua casella di posta.
• Tutte le nostre e-mail partono dal servizio di posta elettronica di Infomaniak, in Svizzera.
• La demo senza account non conserva alcun documento; le sue tabelle di corrispondenza restano in memoria, cifrate, mai nella banca dati, e vengono cancellate 1 ora dopo l'ultimo documento caricato.
• Nessun tracker, nessun cookie pubblicitario, nessuno strumento di analisi di terzi.
• Per migliorare lo strumento, misuriamo come viene utilizzato (numero di pagine, tipi di dati mascherati…), senza mai registrare il contenuto dei suoi documenti.
• Il pagamento degli abbonamenti passa da Stripe, che non riceve mai un documento.
• Può scaricare i suoi dati, farli correggere o cancellare; rispondiamo a ogni richiesta entro 30 giorni, e può rivolgersi all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
• L'estensione del browser verifica un documento sul suo computer prima che parta verso ChatGPT, Claude o un'altra IA; viene inviato a Maijin Shield solo se sceglie di anonimizzarlo.

1. Chi è il titolare del trattamento

Maijin Shield è edito da Maijin Sàrl, Route de Saint-Julien 184, 1228 Plan-les-Ouates, Svizzera (CHE-300.778.667). Contatto: contact@maijin.ch, +41 22 566 74 60.

Maijin Sàrl è titolare del trattamento per i dati del suo account e del suo team (indirizzi e-mail, sessioni, inviti, impostazioni), la fatturazione, le statistiche di utilizzo, il registro di audit, i moduli del sito e la demo senza account. Per i dati personali contenuti nei documenti che lei tratta, nelle loro tabelle di corrispondenza e nelle loro versioni anonimizzate, lei (o la sua organizzazione) resta titolare del trattamento; Maijin Sàrl agisce come responsabile del trattamento, unicamente per eseguire l'anonimizzazione e la restituzione che lei richiede. Quando un'organizzazione utilizza Maijin Shield in team, è l'organizzazione a decidere chi ne fa parte e quali dati vengono mascherati.

Il contratto di trattamento dei dati per conto terzi (art. 9 LPD) si applica a ogni abbonamento: fa parte delle condizioni generali e viene accettato insieme a esse al momento della sottoscrizione.

2. I suoi documenti

Il documento originale (Word, Excel, PowerPoint, PDF o XML) che lei carica viene letto in memoria sul nostro server in Svizzera, per il tempo dell'analisi e della generazione del documento anonimizzato. Non viene mai registrato: né su disco, né in una banca dati, né nei nostri log. Lo stesso vale per il documento rielaborato dall'IA che lei carica per ritrovare i dati reali. Viene conservata solo la versione anonimizzata prodotta, cifrata, nel suo spazio (sezione 3).

I dati da mascherare vengono individuati in due fasi:

• Identificativi a formato fisso (numero AVS, IBAN, e-mail, telefono, date, NPA): individuati con regole deterministiche, sul nostro server.
• Dati contestuali (nomi, indirizzi, dati sanitari, opinioni…): il testo del documento viene trasmesso, tramite una connessione cifrata, a modelli linguistici ospitati da Infomaniak in Svizzera (Infomaniak AI Tools), che ci restituiscono l'elenco dei passaggi da mascherare. La richiesta non contiene né il nome del file né l'identità del suo account. Secondo Infomaniak, questi dati non vengono né conservati né utilizzati per addestrare i suoi modelli.

Per e-mail. Può anche inoltrare un documento al suo indirizzo di deposito personale (…@depot.maijinshield.ch). L'e-mail arriva in una casella del Service Mail di Infomaniak, in Svizzera; il nostro server la preleva subito, tratta i suoi allegati Word, Excel, PowerPoint, PDF e XML in memoria come un caricamento nell'area personale, poi la cancella definitivamente dalla casella, che sia stata trattata o meno; la cartella della posta indesiderata e il cestino della casella vengono svuotati ogni ora. Il testo dell'e-mail non viene né letto né conservato; il suo oggetto viene ripreso nella risposta.

Vengono trattate solo le e-mail inviate dall'indirizzo del suo account e autenticate (controlli DMARC, DKIM e SPF allineati su questo indirizzo). La risposta (il documento anonimizzato, o il documento con i suoi dati reali) viene inviata da Infomaniak unicamente a questo indirizzo.

La sua casella di posta. L'allegato che lei invia e la risposta che riceve, compreso un documento restituito che contiene i dati reali, restano nella sua casella di posta, spesso ospitata fuori dalla Svizzera (Microsoft 365, Gmail…) e conservati dal suo fornitore di e-mail secondo le sue regole. Maijin non ha alcun controllo su di essa. Se ciò non è accettabile per i suoi documenti, li carichi piuttosto nella sua area personale.

L'estensione del browser

L'estensione Maijin Shield (Chrome, Edge) agisce solo sui siti di IA che conosce (ChatGPT, Claude, Gemini, Copilot, Le Chat, Perplexity, DeepSeek, Grok) e su maijinshield.ch. Quando vi carica un file, lo legge sul suo computer per individuare dati personali, prima che il sito lo riceva. In questa fase nulla lascia il suo computer.

Il file viene inviato a Maijin Shield, in Svizzera, solo se sceglie «Anonimizzare e poi inviare» o «Verificare prima»; viene allora trattato esattamente come un documento caricato nel suo spazio (originale mai conservato, tabella di corrispondenza e versione anonimizzata cifrate per 90 giorni, o nulla in caso di anonimizzazione definitiva). La finestra «Verificare prima» è una pagina di maijinshield.ch, mai mostrata nella pagina del sito di IA. Solo la versione anonimizzata viene consegnata al sito di IA che utilizza; i valori reali non gli vengono mai trasmessi.

L'estensione conserva nel suo browser la chiave del dispositivo (che può rimuovere nelle sue Impostazioni), l'indirizzo e-mail e il nome del team dell'account collegato, la lingua e la sua scelta «Poter ritrovare i valori reali». Per misurarne l'uso, ci invia la decisione presa (avviso mostrato, anonimizzato, inviato comunque, annullato), il numero di file e il numero di dati per categoria, mai il contenuto, il nome del file né il sito. Non legge né le sue conversazioni né ciò che digita, tranne quando clicca su «Recupera i dati reali»: prende allora il testo selezionato, o l'ultima risposta dell'IA con segnaposto, e lo invia a Maijin Shield, in Svizzera, che lo mostra con i dati reali in una propria finestra, mai nella pagina del sito di IA. Non ne viene conservato nulla. Non raccoglie la cronologia di navigazione e non trasmette dati a terzi.

3. La tabella di corrispondenza e la versione anonimizzata (area personale)

Per rimettere i dati reali nel documento che l'IA le restituisce, conserviamo, per ogni documento anonimizzato, la tabella di corrispondenza che collega ogni segnaposto (ad esempio [PERSONA_1]) al dato reale, così come il nome del file originale e quello del file anonimizzato. Conserviamo anche la versione anonimizzata del documento (quella che affida all'IA), perché possa riscaricarla dalla cronologia; in caso di anonimizzazione definitiva, non vengono conservate né la tabella né questa versione. Queste informazioni possono contenere dati personali degni di particolare protezione ai sensi della LPD (ad esempio dati sanitari).

• Sono cifrate (AES-256-GCM), con una chiave conservata al di fuori della banca dati: una copia della sola banca dati non permette di leggerle.
• Sono collegate al suo account e vengono utilizzate solo per restituirle i suoi dati reali, quando carica un documento rielaborato, per mostrare la sua cronologia e per consegnarle la versione anonimizzata quando la riscarica.
• Sono cancellate automaticamente dopo 90 giorni (durata stabilita al momento dell'anonimizzazione). Può cancellare un documento (la sua tabella e la sua versione anonimizzata) in qualsiasi momento da «I miei documenti», o cancellare tutto eliminando il suo account.
• Per riconoscere automaticamente il documento originale, conserviamo anche un'impronta del testo anonimizzato: una serie di numeri calcolati con una chiave segreta, che non permette di ricostruire il testo.

Registro dei segnaposto. Uno stesso valore mantiene lo stesso segnaposto in tutti i suoi documenti, affinché l'IA possa collegare documenti anonimizzati separatamente; la numerazione è comune al suo team, affinché un segnaposto vi designi un solo valore. Per questo teniamo un registro: ogni valore vi è cifrato e ritrovato tramite un'impronta con chiave, mai in chiaro. Un segnaposto viene cancellato con l'ultimo documento che lo utilizza: un valore può quindi restare registrato oltre 90 giorni dalla sua prima comparsa, se figura in un documento più recente.

In un team. Il documento anonimizzato è collegato al team. Per i documenti dei loro colleghi, gli amministratori vedono solo il nome anonimizzato del file, la sua data e l'indirizzo e-mail del suo autore, e possono cancellarli; non vedono mai i dati reali. Solo la persona che ha anonimizzato un documento può ritrovarne i dati reali e riscaricarne la versione anonimizzata, e solo finché è membro del team: una persona rimossa dal team, o che lo lascia, non vi ha più accesso. I documenti che ha anonimizzato a titolo personale, al di fuori del team, restano suoi.

4. La demo senza account

La demo della pagina iniziale funziona come l'area personale, senza account; Maijin Sàrl è titolare di questo trattamento. Come nell'area personale, il testo del documento viene inviato all'IA di Infomaniak, in Svizzera: utilizzi preferibilmente un documento fittizio o di prova. Il documento non viene mai conservato. La tabella di corrispondenza viene conservata, cifrata, solo nella memoria del server (mai nella banca dati), e cancellata 1 ora dopo l'ultimo documento caricato (il termine riparte a ogni documento); anche un riavvio del server la cancella. È collegata a un cookie tecnico, «shield_demo»: casuale, HttpOnly, valido 1 ora, inviato solo agli indirizzi della demo e strettamente necessario per provare il ripristino dei dati reali.

Per proteggere il servizio dagli abusi, il suo browser risolve un piccolo calcolo (anti-robot ALTCHA, calcolato nel suo browser, senza servizi di terzi) e il numero di tentativi è limitato per indirizzo IP. Questo indirizzo viene utilizzato solo in memoria, per applicare tale limite: non viene mai registrato. Ogni tentativo lascia una riga di statistiche, composta da numeri e codici, senza contenuto né indirizzo IP.

5. Il suo account

Il suo account viene aperto dall'amministratore del suo team, che la invita, o dal nostro team dopo una dimostrazione. Ci serve soltanto il suo indirizzo e-mail: lei accede con un link ricevuto per e-mail, senza password. Questo link è valido 15 minuti e può essere usato una sola volta. Una sessione dura 7 giorni; viene prolungata quando lei utilizza il servizio (al massimo una volta al giorno) e termina alla disconnessione. Non registriamo né l'indirizzo IP né il browser delle sue sessioni. Un cookie strettamente necessario mantiene il suo accesso; non serve ad altro.

Per applicare i limiti della sua offerta, contiamo il numero di pagine anonimizzate al mese. Questo contatore non contiene né nomi di file né contenuti.

Team. Se crea un team o ne fa parte, registriamo il nome del team, i suoi membri (indirizzo e-mail e ruolo: proprietario, amministratore o membro) e gli inviti inviati (indirizzo invitato, autore, data; validi 7 giorni). I membri di un team vedono gli indirizzi e-mail degli altri membri. L'offerta (scelta secondo il numero di membri, inviti in attesa compresi), il contatore delle pagine del mese e le impostazioni di mascheramento (i tipi di dati da lasciare in chiaro) sono quelli del team.

Abbonamento. Il pagamento avviene sulla pagina sicura di Stripe: i dati della sua carta vengono inseriti presso Stripe e non ci arrivano mai. Riceviamo da Stripe lo stato del suo abbonamento (attivo, disdetto, scadenza) e un identificativo cliente. Stripe conserva i dati di fatturazione (nome, indirizzo di fatturazione, numero IVA se del caso, e-mail, cronologia dei pagamenti) per emettere le sue fatture. Stripe tratta questi dati anche per obblighi propri (prevenzione delle frodi, lotta contro il riciclaggio di denaro, obblighi legali), sotto la propria responsabilità: veda la sua informativa sulla privacy (stripe.com/privacy).

6. Hosting, responsabili del trattamento e destinatari

• Infomaniak Network SA (Rue Eugène-Marziano 25, 1227 Les Acacias, Ginevra, Svizzera): hosting del server, a Ginevra, e della banca dati; modelli linguistici del rilevamento (AI Tools); posta elettronica (Service Mail): casella del deposito per e-mail e invio di tutte le nostre e-mail (link di accesso, inviti, notifiche, risposte del deposito). Tutto ciò in Svizzera.
• Stripe Payments Europe, Ltd. (Irlanda) e Stripe, LLC (Stati Uniti): pagamento e fatturazione degli abbonamenti. Stripe riceve solo i dati di fatturazione descritti sopra, mai un documento né un dato trattato dallo strumento.
• I membri del suo team vedono gli indirizzi e-mail degli altri membri; ciò che vedono gli amministratori è descritto nella sezione 3.

Comunicazione di dati all'estero (art. 16 LPD). Solo i dati di fatturazione lasciano la Svizzera, verso Stripe. L'Irlanda fa parte degli Stati la cui legislazione garantisce un livello di protezione adeguato secondo il Consiglio federale. Stripe, LLC è certificata secondo lo Swiss-U.S. Data Privacy Framework, riconosciuto come garante di un livello di protezione adeguato dal 15 settembre 2024. Nessun documento né alcun dato trattato dallo strumento viene comunicato all'estero da Maijin (per la sua casella di posta, veda la sezione 2).

7. Durata di conservazione

• Documenti caricati (originali): nessuna (trattamento solo in memoria).
• Tabelle di corrispondenza, nomi di file, impronte e versioni anonimizzate dei documenti: 90 giorni, o meno se le cancella; nulla in caso di anonimizzazione definitiva.
• Registro dei segnaposto: fino alla cancellazione dell'ultimo documento che utilizza il segnaposto.
• Demo senza account: tabelle di corrispondenza solo in memoria, cifrate, cancellate 1 ora dopo l'ultimo documento caricato; cookie della demo: 1 ora.
• E-mail ricevute al suo indirizzo di deposito: cancellate dalla casella non appena trattate; posta indesiderata e cestino svuotati ogni ora.
• Account: fino alla sua eliminazione; sessioni: 7 giorni, prolungate con l'uso, o fino alla disconnessione; link di accesso: 15 minuti, monouso.
• Team: fino alla sua eliminazione da parte del proprietario; inviti: validi 7 giorni, cancellati entro l'ora che segue il loro utilizzo, il loro rifiuto, il loro annullamento o la loro scadenza.
• Moduli (contatto, richiesta di demo, riscontro sull'esperienza): 12 mesi, poi cancellati.
• Statistiche di utilizzo: collegate all'account per 13 mesi, poi scollegate; cancellate dopo 25 mesi. Pagine visualizzate: 25 mesi.
• Registro di audit: 13 mesi.
• Backup: giornalieri, sul server in Svizzera, cancellati dopo 14 giorni. Un dato cancellato scompare quindi anche dai backup entro questo termine. Le tabelle di corrispondenza e le versioni anonimizzate vi restano cifrate.
• Log tecnici del server: limitati in volume (i più vecchi vengono sovrascritti), senza indirizzo IP, senza intestazioni né parametri dell'URL.
• Dati di fatturazione (abbonamenti): presso Stripe, 10 anni, durata imposta dal diritto svizzero per i documenti contabili (art. 958f CO), anche dopo l'eliminazione dell'account.

8. Statistiche di utilizzo

Per migliorare lo strumento e adeguare le nostre offerte, registriamo, sul nostro server in Svizzera, le azioni compiute con il suo account: accesso, analisi, anonimizzazione e restituzione di un documento, cancellazione di un documento, vita del team (creazione, invito, arrivo, partenza), modifica delle impostazioni di mascheramento, sottoscrizione o cambio di offerta e disdetta (con il motivo scelto nell'elenco di Stripe, mai un commento libero).

Per ogni azione conserviamo unicamente numeri e codici: la data, il formato (Word, Excel, PowerPoint, PDF o XML), il numero di pagine e di caratteri, il numero di dati mascherati per tipo (ad esempio «3 nomi, 1 IBAN»), il numero di correzioni fatte nell'anteprima, la durata del trattamento e, se del caso, il motivo di un rifiuto (quota raggiunta, file illeggibile…). Mai il contenuto di un documento, un nome di file né un valore rilevato.

Queste statistiche sono collegate al suo account per 13 mesi, poi scollegate da lei; vengono cancellate dopo 25 mesi. Se elimina il suo account, vengono subito e definitivamente scollegate da lei. Solo il team di Maijin vi ha accesso, in una dashboard interna protetta da password.

Contiamo anche le pagine visualizzate del sito pubblico (il giorno, la pagina e la lingua), senza cookie, senza indirizzo IP né identificativo del visitatore. Ogni tentativo della demo senza account lascia una riga di statistiche, senza contenuto né indirizzo IP.

9. Registro di audit

Per garantire la tracciabilità richiesta dall'art. 4 OPDa, teniamo un registro delle operazioni sui documenti: chi ha analizzato, creato, restituito, consultato o cancellato quale documento, quando, e a quale destinatario il testo è stato inviato per il rilevamento (Infomaniak AI Tools). Ogni voce comprende l'indirizzo e-mail del suo autore, ma mai contenuti (né testo, né nome di file, né valore). Il registro è tenuto in sola aggiunta e conservato 13 mesi; solo le persone incaricate della sicurezza presso Maijin vi hanno accesso.

10. Sicurezza

Connessioni cifrate (HTTPS), tabelle di corrispondenza e versioni anonimizzate cifrate (AES-256-GCM), banca dati non accessibile da Internet, firewall, accesso al server solo tramite chiave SSH e senza accesso «root», registro di audit in sola aggiunta, backup giornalieri controllati con avviso in caso di errore, log tecnici senza indirizzo IP, rigorosa politica di sicurezza dei contenuti (il suo browser comunica solo con il nostro dominio), limiti di dimensione e controlli sui file caricati. Il dettaglio figura nella pagina Sicurezza dei dati.

11. I suoi diritti

In conformità alla legge federale sulla protezione dei dati (LPD, art. 25–32) e, per allineamento, al RGPD, lei dispone dei seguenti diritti:

• Accesso: sapere se trattiamo dati che la riguardano, quali, e ricevere le informazioni previste dalla legge.
• Consegna o trasmissione (art. 28 LPD): ricevere i dati del suo account in un formato elettronico usuale, o farli trasmettere a un altro titolare del trattamento. Li scarica autonomamente con il pulsante «Scarica i miei dati» nelle sue Impostazioni.
• Rettifica: far correggere dati inesatti. Modifica autonomamente le sue impostazioni e il suo team; per cambiare l'indirizzo e-mail del suo account, ci scriva.
• Cancellazione: cancellare ogni documento conservato (tabella e versione anonimizzata) da «I miei documenti», lasciare un team, eliminare il suo account (con tutte le sue tabelle e versioni anonimizzate) dalle sue Impostazioni, o chiedercelo. Restano solo, per la loro durata (sezione 7), i dati di fatturazione, il registro di audit e i backup.
• Opposizione: opporsi a un trattamento dei suoi dati.

Rispondiamo a ogni richiesta entro 30 giorni. Per verificare che provenga davvero da lei, possiamo chiederle di inviarla dall'indirizzo e-mail del suo account.

Dati contenuti in un documento. Se la sua richiesta riguarda un documento che un'organizzazione (studio, datore di lavoro, assicurazione…) ha trattato con Maijin Shield, è questa organizzazione la titolare del trattamento: si rivolga a essa. Se ci scrive, trasmettiamo la sua richiesta all'organizzazione quando ce lo indica, e la aiutiamo a risponderle.

Reclamo. Può anche rivolgersi all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna, www.edoeb.admin.ch.

Per esercitare i suoi diritti: contact@maijin.ch.

12. Dopo l'anonimizzazione

Il documento anonimizzato che lei affida poi a un'IA di terzi non contiene più i dati mascherati. L'uso di questo assistente di terzi è di sua responsabilità e soggetto alle sue condizioni. Rilegga sempre l'anteprima prima di scaricare: può mascherarvi un dato dimenticato.

13. Limite noto

L'anonimizzazione riduce fortemente il rischio di identificazione, senza poter offrire una garanzia al 100 %: l'incrocio di dati indiretti (ad esempio un NPA, un'età e una diagnosi rara) può teoricamente permettere una re-identificazione. Il contenuto delle immagini (foto, testo scansionato) non viene anonimizzato: può scegliere di rimuovere le immagini dal documento. In caso di dubbio, mascheri generosamente.

14. Modifiche

Questa informativa può evolvere con lo strumento. La data dell'ultimo aggiornamento figura in alto in questa pagina.