Anonimizzazione di documenti ospitata in Svizzera: cosa parte, cosa resta, per quanto tempo

Questa pagina è rivolta alla direzione e al consulente o alla consulente per la protezione dei dati di un'organizzazione. Descrive il funzionamento reale del servizio alla data del 28 ottobre 2026. Maijin Shield è edito da Maijin Sàrl, Ginevra (IDI CHE-300.778.667). Vedere Chi siamo e le note legali. I dettagli giuridici si trovano nell'informativa sulla protezione dei dati.

Il percorso di un documento

Un documento passa attraverso otto fasi; solo il suo testo viene inviato all'IA di Infomaniak, in Svizzera, e vengono conservate solo la tabella di corrispondenza e la versione anonimizzata, cifrate.

1. Caricamento

Lei carica un documento Word (.docx), Excel (.xlsx), PowerPoint (.pptx), PDF o XML sul sito, oppure lo inoltra per e-mail (vedere più avanti). Il file viene letto in memoria sul server di Infomaniak in Svizzera. Non viene registrato né su disco, né in un database, né nei log. Per e-mail, il documento transita prima dal suo sistema di posta, che può essere ospitato fuori dalla Svizzera.

2. Lettura

Il server estrae il testo: paragrafi, tabelle, passaggi nascosti e revisioni per un documento Word; celle, commenti e forme per una cartella Excel; una pagina dopo l'altra per un PDF. I dati personali contenuti nel documento sono ancora visibili in questa fase.

3. Rilevamento tramite regole

Regole fisse, eseguite sul nostro server, individuano per prima cosa ciò che ha un formato noto: numero AVS, IBAN, indirizzo e-mail, telefono, date, NPA, numeri GLN dei professionisti della salute, numeri della cartella informatizzata del paziente (EPR-SPID), indirizzi IP e altri identificativi tecnici. Si basano anche sulla struttura del documento (celle di tabella, righe del tipo «Nome: valore») e su elenchi ufficiali svizzeri (località, cognomi, nomi). Per questa fase non viene inviato nulla all'esterno.

4. Rilevamento tramite l'IA di Infomaniak

Nomi, indirizzi, dati sanitari od opinioni dipendono dal contesto: una regola fissa non li vede. Il testo del documento viene quindi inviato, tramite una connessione cifrata, a modelli linguistici ospitati da Infomaniak in Svizzera (Infomaniak AI Tools; al 7 ottobre 2026: Mistral Small e Gemma, le cui risposte si sommano). Questo testo viene inviato senza mascheramento: l'IA legge il documento così com'è, con i nomi e i valori. Restituisce l'elenco dei passaggi da mascherare. Secondo Infomaniak, questi dati non vengono né conservati né usati per addestrare un modello.

Una seconda passata rilegge poi solo le frasi che sembrano ancora sospette, con i dati già individuati sostituiti dal loro tipo (per esempio [PERSONA]). Se una parte del documento non ha potuto essere analizzata, l'anteprima glielo segnala.

5. Anteprima e correzioni

Vede il documento con i dati evidenziati e il segnaposto previsto per ciascuno. Può lasciare un dato in chiaro, cambiarne il tipo o selezionare una parola dimenticata per mascherarla. Il server non conserva nulla tra l'anteprima e la generazione.

6. Generazione del documento anonimizzato

Ogni dato viene sostituito da un segnaposto leggibile, come [PERSONA_1] o [SALUTE_1]. Lo stesso valore riceve lo stesso segnaposto in tutto il documento, in modo che l'IA conservi il senso del testo. Il documento Word o Excel viene riscritto mantenendo l'impaginazione; l'anteprima in miniatura e i metadati vengono neutralizzati. In un PDF, il testo viene realmente cancellato (non un semplice rettangolo nero) e il file viene consegnato solo dopo una rilettura che verifica che non resti alcun valore d'origine. Il documento anonimizzato viene scaricato sul suo dispositivo.

7. Tabella di corrispondenza e versione anonimizzata cifrate

Per poter rimettere più tardi i dati reali, il server conserva la tabella che collega ogni segnaposto al suo dato reale, il nome del file d'origine e un'impronta del testo anonimizzato. Conserva anche la versione anonimizzata del documento, che solo chi l'ha anonimizzato può riscaricare dalla cronologia. La tabella, il nome del file e la versione anonimizzata sono cifrati; l'impronta è calcolata con una chiave segreta e non permette di ricostruire il testo (vedere «La cifratura»). Il documento originale, invece, non viene conservato.

8. Ripristino dei dati reali

Lei carica il documento restituito dall'IA. Il servizio riconosce il documento d'origine grazie all'impronta, poi rimette i dati reali al posto dei segnaposto. Anche questo documento viene letto in memoria e non viene conservato. Solo l'account che ha anonimizzato il documento può ritrovarne i dati, anche in un team, e solo finché ne è membro.

Cosa viene conservato, dove, per quanto tempo, da chi

Il documento originale non viene mai conservato. Vengono conservati: la tabella di corrispondenza e la versione anonimizzata del documento, cifrate, statistiche d'uso senza contenuto, il registro di audit, i dati dell'account, la fatturazione degli abbonamenti, i moduli che ci invia e le copie di sicurezza.

Le statistiche contengono solo numeri e codici: pagine, formati, numero di dati mascherati per tipo, durata del trattamento. Le pagine viste del sito pubblico sono contate senza cookie, senza indirizzo IP né identificativo del visitatore; ogni prova della demo lascia una riga di statistiche, senza contenuto né indirizzo IP. I dettagli sono nell'informativa sulla protezione dei dati.

La cifratura

La tabella di corrispondenza e la versione anonimizzata sono cifrate con AES-256-GCM, con una chiave custodita fuori dal database. Non è una cifratura end-to-end.

• A riposo. La tabella di corrispondenza, il nome del file e la versione anonimizzata sono cifrati con AES-256-GCM, con un vettore di inizializzazione casuale a ogni cifratura. Ogni dato cifrato è legato al suo documento e al suo autore: copiato verso un altro documento o un altro account, diventa indecifrabile.
• Chiave fuori dal database. La chiave si trova nella configurazione del server, separata dal database. Una copia del solo database non permette di leggere questi dati. I backup quotidiani (conservati 14 giorni) contengono tabelle sempre cifrate.
• Impronta. Per riconoscere il documento d'origine, conserviamo un'impronta del testo anonimizzato, calcolata con una chiave segreta: senza la chiave, non permette né di ricostruire il testo né di provare dei testi candidati.
• In transito. Le connessioni al sito e all'IA sono cifrate (HTTPS). Il database non è accessibile da Internet, e una rigorosa Content Security Policy limita le comunicazioni del suo browser al nostro dominio.
• Server. Firewall che lascia aperti solo SSH, HTTP (reindirizzamento) e HTTPS; accesso SSH solo con chiave, senza accesso «root»; registro di audit in sola aggiunta; copia di sicurezza quotidiana del database, controllata, conservata 14 giorni sul server, con allarme in caso di errore; registri tecnici senza indirizzo IP.

Non è una cifratura end-to-end: il server detiene la chiave, poiché deve rimettere i dati reali quando lo richiede.

I responsabili del trattamento

Infomaniak, in Svizzera, tratta i suoi documenti e invia tutte le nostre e-mail. Stripe, fuori dalla Svizzera, non riceve mai un documento.

• Infomaniak Network SA (Ginevra, Svizzera): hosting del sito e del database (server a Ginevra), modelli linguistici per il rilevamento, casella del deposito per e-mail e invio di tutte le nostre e-mail (link di accesso, inviti, notifiche, risposte del deposito). Tutto avviene in Svizzera.
• Stripe Payments Europe, Ltd. (Irlanda) e Stripe, LLC (Stati Uniti), fuori dalla Svizzera: pagamento e fatturazione degli abbonamenti. I dati della carta sono inseriti presso Stripe e non ci arrivano mai. Stripe non riceve mai un documento né un dato trattato dallo strumento.

Sul sito, il documento e l'analisi da parte dell'IA restano in Svizzera. Per e-mail, il documento transita anche dal suo sistema di posta, all'invio come al ritorno (il documento ripristinato contiene allora i dati reali): verifichi dove è ospitato. Solo il pagamento passa da un fornitore situato fuori dalla Svizzera, senza che gli venga trasmesso alcun contenuto di documento. Quando lei è titolare del trattamento, il contratto di trattamento dei dati per conto terzi, allegato delle condizioni generali, si applica a ogni abbonamento. Domande: contact@maijin.ch.

Il deposito via e-mail

Inoltrare un documento Word, Excel, PowerPoint, PDF o XML al suo indirizzo di deposito personale lo anonimizza; la risposta arriva nella sua casella di posta, senza anteprima.

Ogni persona dispone di un indirizzo di deposito personale, della forma …@depot.maijinshield.ch, con un token casuale di 10 caratteri. Inoltrare a questo indirizzo un documento Word, Excel, PowerPoint, PDF o XML (fino a 5 allegati) lo anonimizza; inoltrare un documento che contiene segnaposto come [PERSONA_1] e corrisponde a un documento conservato gli restituisce i suoi dati reali.

• L'e-mail arriva in una casella di Infomaniak, in Svizzera. Il nostro server la preleva, elabora gli allegati in memoria, poi la cancella definitivamente dalla casella, che sia stata elaborata o no; la cartella della posta indesiderata e il cestino vengono svuotati ogni ora. In caso di guasto temporaneo, l'e-mail resta nella casella per tre tentativi, poi viene eliminata. Il corpo del messaggio non viene utilizzato; solo il suo oggetto viene ripreso nella risposta.
• Vengono elaborate solo le e-mail inviate dall'indirizzo del suo account e autenticate (controlli DMARC, DKIM e SPF allineati su questo indirizzo); le altre vengono scartate. La risposta parte sempre verso questo indirizzo, mai verso un altro, ed è inviata dal sistema di posta di Infomaniak, in Svizzera.
• Poiché per e-mail non c'è anteprima, tutto ciò che viene rilevato è mascherato, senza possibilità di lasciare un dato in chiaro né di rimuovere le immagini dal documento. Stesso motore, stesse quote, stesse impostazioni di mascheramento e stessa durata di conservazione del sito.
• Il documento passa dal suo sistema di posta (Microsoft 365, Gmail, ecc.), all'invio come al ritorno, talvolta fuori dalla Svizzera. Il documento ripristinato contiene i dati reali: una volta arrivata nel suo sistema di posta, la risposta è conservata dal suo fornitore di e-mail, secondo le regole di quest'ultimo.
• Per un PDF che mescola testo e pagine scansionate, lo carichi piuttosto nel suo spazio: la risposta per e-mail non segnala ancora le pagine scansionate (vedere «I limiti»).

I limiti, onestamente

Maijin Shield riduce fortemente ciò che vede l'IA, ma il rilevamento è imperfetto e il servizio non sostituisce né una consulenza legale né la rilettura umana.

• È pseudonimizzazione. L'IA vede soltanto segnaposto, ma l'account che detiene la tabella può ritrovare i dati reali. Per chi detiene questa tabella, i dati restano dati personali.
• Gli incroci restano possibili. Un NPA, un'età e una diagnosi rara, anche se lasciati in chiaro, possono permettere di riconoscere una persona. Mascheri generosamente in caso di dubbio.
• Il rilevamento è automatico e imperfetto. Può dimenticare un nome o mascherarne uno di troppo. Non pubblichiamo un tasso di rilevamento.
• I PDF scansionati non vengono elaborati. Un PDF composto solo da immagini di pagine viene rifiutato. In un PDF che mescola testo e pagine scansionate, il contenuto delle pagine scansionate non viene anonimizzato. Nel suo spazio, l'anteprima glielo segnala e propone di rimuovere le immagini; la risposta per e-mail non lo segnala ancora: per un documento del genere, lo carichi piuttosto nel suo spazio. Il contenuto delle immagini (foto, testo scansionato) non viene comunque mai analizzato.
• Rilegga sempre l'anteprima. È il suo ultimo controllo prima del download. Per un deposito per e-mail, rilegga il documento ricevuto prima di affidarlo a un'IA.
• Il servizio riceve il suo documento in chiaro. Durante l'elaborazione, Maijin Shield e il modello di IA di Infomaniak leggono il testo così com'è. Se la sua organizzazione è soggetta a una regola (legge cantonale, direttiva interna, segreto professionale) che vieta di affidare tali dati a un servizio esterno, questa pagina non risolve la questione: spetta al suo DPO o al suo giurista.
• Dopo l'anonimizzazione, la responsabilità è sua. L'uso dell'IA a cui affida il documento anonimizzato è sotto la sua responsabilità ed è soggetto alle condizioni di quel servizio. Maijin Shield riduce fortemente ciò che vede questo fornitore di IA, ma non sostituisce né una consulenza legale, né una direttiva interna, né la rilettura umana.

Come cancellare i suoi dati

Può cancellare una tabella e la versione anonimizzata in qualsiasi momento dal suo spazio; altrimenti si cancellano da sole dopo 90 giorni.

• Una tabella di corrispondenza e la versione anonimizzata: dalla voce «I miei documenti» nel suo spazio, elimini il documento. In un team, un amministratore può anche eliminare i documenti del team.
• Tutto il suo account: dalle Impostazioni, elimini il suo account. Le sue tabelle e versioni anonimizzate vengono cancellate e le sue statistiche d'uso vengono definitivamente scollegate da lei. Se è proprietario di un team che conta altri membri, trasferisca prima la proprietà a un altro membro (Impostazioni, Team), oppure elimini il team.
• Senza fare nulla: ogni tabella e la sua versione anonimizzata si cancellano da sole dopo 90 giorni.
• Tempi da conoscere.Un dato eliminato scompare dalle copie di sicurezza al più tardi 14 giorni dopo. Il registro di audit, senza contenuto, è conservato 13 mesi. I dati di fatturazione degli abbonamenti sono conservati 10 anni, come impone il diritto svizzero.
• Un'altra richiesta (accesso, rettifica, cancellazione, opposizione): rispondiamo entro 30 giorni. I dati del suo account si scaricano con «Scarica i miei dati», nelle Impostazioni. Scriva a contact@maijin.ch.

Le offerte, le quote e le durate di conservazione sono dettagliate nella pagina Prezzi.