Termini e condizioni

I presenti termini regolano l’uso di Diorama, la piattaforma di applicazioni gestita da Sulture S.r.l. (sede legale in Viale Papa Giovanni XXIII 106, 24121 Bergamo; P. IVA IT04238380168), tra Sulture e l’organizzazione titolare di uno spazio sulla piattaforma (il cliente). Si applicano dal momento in cui uno spazio viene creato e a ogni persona che il cliente vi ammette.

Che cos’è la piattaforma. Diorama esegue le applicazioni del cliente all’interno di spazi. Lo spazio è il confine a cui ogni risorsa, permesso, registrazione di audit ed esportazione è riferita, e nulla di ciò che uno spazio contiene è leggibile da un altro. Le applicazioni si installano da pacchetti pubblicati, funzionano sui servizi propri della piattaforma (archiviazione, code, elaborazione di media, segreti, connessioni in uscita) e si gestiscono dalla console e dallo strumento a riga di comando.

Account e ruoli. L’accesso avviene con un indirizzo email personale confermato da un codice monouso, oppure con una passkey. Ogni soggetto in uno spazio ha uno di due ruoli, admin o member, e il cliente è responsabile di chi ammette e con quale ruolo. La supervisione di piattaforma — la sola lettura dei registri propri della piattaforma attraverso gli spazi — è esercitata esclusivamente dal personale Sulture indicato nella lista dello spazio di sistema, e ogni lettura di questo tipo è a sua volta registrata sullo spazio consultato.

I dati del cliente. Tutto ciò che un’applicazione memorizza in uno spazio appartiene al cliente. Sulture non lo legge, non lo vende e non lo usa per alcuno scopo diverso dal far funzionare la piattaforma, e la piattaforma è costruita in modo che i suoi registri (la traccia di audit) non lo contengano mai. Il cliente può esportare in qualsiasi momento l’intero contenuto di un’istanza come archivio leggibile da una macchina, e può ritirare, distruggere o cancellare un’istanza o uno spazio.

Atti distruttivi. Ritirare un’applicazione la ferma e non distrugge nulla. La distruzione (purge) e la cancellazione (erasure) eliminano i dati in modo permanente; entrambe richiedono una conferma esplicita con un secondo fattore e, salvo che il cliente dichiari espressamente di non volerne copia, una ricevuta di esportazione. Sulture non conserva copie ombra: una volta distrutti, i dati non possono essere recuperati da nessuno, e la registrazione di audit di ciò che è stato distrutto è l’unica cosa che sopravvive.

Localizzazione dei dati. Uno spazio può dichiarare la propria giurisdizione al momento della creazione (Unione Europea, Stati Uniti o FedRAMP) e non può cambiarla in seguito; ogni risorsa di quello spazio è collocata di conseguenza. Uno spazio che non dichiara nulla è senza vincoli e i suoi dati sono collocati vicino al primo accesso.

Disponibilità e modifiche. La piattaforma è fornita così com’è, rispetto allo standard di piattaforma che dichiara, pubblicato nella documentazione della piattaforma. Sulture può modificare in qualsiasi momento infrastruttura, prodotti sottostanti e console senza modificare le garanzie date dallo standard. Manutenzioni programmate e incidenti sono pubblicati sulla pagina di stato.

Uso consentito. Il cliente non può usare la piattaforma per memorizzare o trattare contenuti illeciti, per attaccare terzi o per aggirare l’isolamento tra gli spazi. Sulture può sospendere uno spazio che lo faccia e ne comunicherà al cliente il motivo.

Corrispettivi, durata e recesso. I corrispettivi, ove previsti, sono quelli concordati per iscritto tra Sulture e il cliente. Ciascuna parte può recedere con preavviso di trenta giorni. Il cliente conserva il diritto di esportare i propri dati fino alla cancellazione dello spazio, e uno spazio non può essere cancellato finché contiene un’applicazione.

Responsabilità e legge applicabile. Nei limiti consentiti dalla legge, la responsabilità di Sulture ai sensi dei presenti termini è limitata ai corrispettivi pagati dal cliente nei dodici mesi precedenti l’evento che dà origine alla pretesa ed esclude i danni indiretti. Nulla di quanto precede limita la responsabilità per dolo o colpa grave. I presenti termini sono regolati dalla legge italiana; il foro di Bergamo è competente in via esclusiva.

Sulture S.r.l. è titolare del trattamento dei dati personali necessari al funzionamento della piattaforma: l’indirizzo email con cui una persona accede, le passkey che registra, i ruoli che ricopre e i registri propri della piattaforma di ciò che è stato fatto, da chi e quando. Contatti: info@sulture.com, oppure via PEC all’indirizzo info@pec.sulture.com.

Dati del cliente. Per i dati che le applicazioni del cliente memorizzano nei propri spazi, il cliente è titolare e Sulture è responsabile del trattamento, secondo le clausole sul trattamento contenute nei termini di servizio della piattaforma. Sulture li tratta solo su istruzione documentata del cliente, cioè gli atti che il cliente compie sulla piattaforma.

Cosa raccogliamo, e perché. Accesso: il tuo indirizzo email e i codici monouso a esso inviati, oppure la chiave pubblica della tua passkey — in base al contratto con l’organizzazione che ti ha ammesso. Sessione: un cookie di sessione e un cookie anti-contraffazione — necessari per mantenerti connesso e per rifiutare richieste contraffatte da altrove. Audit: registrazioni redatte dalla piattaforma di installazioni, permessi, esportazioni, cancellazioni e atti amministrativi, con l’indicazione del soggetto agente — in base al nostro legittimo interesse alla sicurezza e alla tracciabilità della piattaforma e all’interesse del cliente a un registro affidabile. Nessun contenuto applicativo entra mai in una registrazione di audit.

Conservazione. I codici di accesso scadono in pochi minuti e sono conservati solo come hash. Una sessione dura dodici ore. Account e ruoli sono conservati finché la persona è ammessa a uno spazio. Le registrazioni di audit sopravvivono ai dati che descrivono, perché la traccia di ciò che è stato distrutto è l’unica cosa che resta.

Dove. La piattaforma è eseguita sulla rete di Cloudflare e la collocazione dei dati di uno spazio segue la giurisdizione che lo spazio ha dichiarato. I trasferimenti fuori dallo Spazio economico europeo, ove avvengano, si fondano sulle clausole contrattuali standard della Commissione europea contenute nell’addendum sul trattamento dei dati di Cloudflare.

I tuoi diritti. Puoi chiedere l’accesso ai dati personali che Sulture conserva su di te, la loro rettifica o cancellazione, la limitazione del trattamento, opporti al trattamento e riceverli in forma portabile; puoi inoltre proporre reclamo al Garante per la protezione dei dati personali. Scrivi a info@sulture.com. Dei dati che le applicazioni della tua organizzazione conservano su di te risponde l’organizzazione, alla quale inoltreremo la tua richiesta.

Nessuna profilazione, nessuna pubblicità. La piattaforma non contiene pubblicità né tracciamento di terze parti, e non prende decisioni automatizzate su di te. Il traffico è contato sul server senza cookie e senza dati personali — il percorso della pagina, il paese, una classe di dispositivo generica, l’host del sito di provenienza e lo stato di ogni richiesta, mai un indirizzo IP, una stringa user agent o un identificativo utente — quindi quel conteggio non è un trattamento di dati personali e non richiede consenso. Non invia email tranne i codici e le conferme che richiedi.

La piattaforma imposta due cookie dopo l’accesso, entrambi strettamente necessari, e uno in più solo se scegli una lingua. __Host-dio_token è la sessione: sicuro, HttpOnly, dodici ore. __Host-dio_csrf è un token che la console rimanda con ogni richiesta che modifica qualcosa, così che una richiesta contraffatta da un altro sito venga rifiutata. Entrambi sono impostati solo all’accesso e rimossi all’uscita; nessuno dei due richiede il tuo consenso ai sensi della disciplina ePrivacy, perché senza di essi non c’è alcuna sessione da mantenere. sulture.lang conserva la lingua che hai scelto nelle impostazioni di lingua del sito, e nient’altro, per un anno: il server la legge solo per inviarti ogni pagina già in quella lingua anziché in quella del tuo browser. Viene impostato solo quando fai quella scelta e cambia quando ne fai un’altra; trattandosi di un’impostazione che hai chiesto tu, non richiede consenso nemmeno questo. Quando rivede un sito nell’applicazione Feedback, un membro che ha effettuato l’accesso riceve anche un cookie sul dominio di revisione separato sulture.dev: __dio_ seguito dall’identificativo della revisione, HttpOnly e partizionato, che collega il riquadro di revisione a quel membro e viene eliminato alla chiusura del browser. Il sito in revisione può impostare i propri cookie sul suo indirizzo sulture.dev; sono conservati solo per quella revisione.

La memoria del tuo browser (localStorage) conserva preferenze e il punto in cui eri rimasto, e nient’altro: il tema, la lingua, se la navigazione mostra i nomi, l’ultimo spazio e l’ultima pagina visitati, le applicazioni aperte di recente e il fatto che su questo browser hai già effettuato l’accesso, con i luoghi che la tua navigazione mostrava allora. Non lasciano mai il browser e la piattaforma non le legge, tranne la lingua che hai scelto, che il cookie qui sopra porta con sé. Nessun cookie è usato per analytics, pubblicità o tracciamento, nessun cookie o script è impostato o caricato da terzi, e nessun banner di consenso viene mostrato perché non c’è nulla a cui acconsentire.

Il traffico è contato sul server, senza cookie e senza identificare nessuno. Per ogni richiesta la piattaforma registra il percorso della pagina, il paese, una classe di dispositivo generica (desktop, telefono o tablet), l’host del sito di provenienza e lo stato della risposta — e mai un indirizzo IP, una stringa user agent o un identificativo utente. Nulla è memorizzato sul tuo dispositivo a questo scopo e nessuna registrazione può essere ricondotta a una persona, ed è per questo che neppure il conteggio richiede consenso.

Mappe. Dove un’applicazione mostra una mappa, le tessere sono scaricate da OpenFreeMap (tiles.openfreemap.org), che vede la richiesta come qualsiasi server web — l’indirizzo da cui proviene e la tessera richiesta. Nessun cookie è coinvolto.

Titolare: Sulture S.r.l., Viale Papa Giovanni XXIII 106, 24121 Bergamo (BG); P. IVA IT04238380168; info@sulture.com; PEC info@pec.sulture.com.

Dati trattati: dati identificativi (indirizzo email); dati di autenticazione (chiavi pubbliche delle passkey, codici monouso in forma di hash); assegnazioni di ruolo; registrazioni delle operazioni proprie della piattaforma attribuite al soggetto agente. Il conteggio del traffico sul server (percorso della pagina, paese, classe di dispositivo generica, host di provenienza, stato) non contiene alcun identificativo e non costituisce dato personale.

Finalità e basi giuridiche: (a) erogazione del servizio all’organizzazione che ti ha ammesso — esecuzione di un contratto, art. 6, par. 1, lett. b); (b) sicurezza, tracciabilità e prevenzione degli abusi — legittimo interesse, art. 6, par. 1, lett. f); (c) adempimento di obblighi di legge — art. 6, par. 1, lett. c).

Natura del conferimento: l’indirizzo email è necessario per usare la piattaforma; senza di esso nessun account può esistere. Nessun altro dato è richiesto.

Destinatari: i responsabili del trattamento elencati in questa pagina, ciascuno vincolato da un accordo sul trattamento dei dati; le autorità pubbliche ove la legge lo richieda. I dati non sono comunicati ad altri e non sono mai diffusi. Cloudflare, che eroga il sito, tratta l’indirizzo IP di ogni richiesta per farlo e conserva per breve tempo i log di rete a fini di sicurezza e prevenzione degli abusi, sulla base del legittimo interesse; i log della piattaforma riportano un identificativo di richiesta, mai un indirizzo.

Trasferimenti: all’interno dello Spazio economico europeo per impostazione predefinita; al di fuori solo con le garanzie del Capo V del GDPR (clausole contrattuali standard).

Conservazione: come indicato nell’informativa sulla privacy che precede.

Diritti: artt. 15–22 GDPR — accesso, rettifica, cancellazione, limitazione, portabilità e opposizione — esercitabili scrivendo a info@sulture.com; e il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

La piattaforma non effettua alcun processo decisionale automatizzato ai sensi dell’art. 22, profilazione compresa.

Sulture si avvale dei seguenti responsabili per far funzionare la piattaforma. Ciascuno è vincolato da un accordo sul trattamento dei dati, e questo elenco è aggiornato prima che un nuovo responsabile venga incaricato.

Cloudflare, Inc. (San Francisco, Stati Uniti; trattamento in Europa secondo il suo addendum sul trattamento dei dati e le clausole contrattuali standard) — la rete su cui la piattaforma è eseguita: Workers (calcolo), D1 (le directory della piattaforma), R2 (archiviazione di oggetti ed esportazioni), Durable Objects (archiviazione e code per istanza), Workers KV, Containers (elaborazione di media) ed Email Service (codici di accesso e conferme).

OpenFreeMap (servizio pubblico e non commerciale di tessere cartografiche) — tessere di mappa, solo dove un’applicazione mostra una mappa, che riceve la richiesta di chi guarda come qualsiasi server web.

I fornitori esterni a cui il cliente collega un’applicazione, tramite il meccanismo di connessione della piattaforma, sono incaricati dal cliente e non da Sulture, e sono responsabili del trattamento del cliente stesso.

Sulture usa sistemi di intelligenza artificiale, compresi modelli linguistici di grandi dimensioni, nello sviluppo della piattaforma: per scrivere e rivedere codice, documentazione e testi come questi. Tutto ciò che ne deriva è rivisto da una persona prima della pubblicazione, e le garanzie della piattaforma sono tenute dalle sue suite di test, non dagli strumenti che hanno aiutato a scriverla.

La piattaforma in sé non contiene alcuna funzione di IA che legga i dati del cliente. Nessun dato del cliente è usato per addestrare, affinare o valutare alcun modello, da parte di Sulture o di chiunque Sulture incarichi.

Un’applicazione può usare un fornitore di IA, ma solo tramite una connessione che il cliente ha configurato e autorizzato per essa, alle condizioni di quel fornitore. La piattaforma registra che la connessione esiste e che cosa le è consentito raggiungere, mai il contenuto che la attraversa.

Agenti. Un admin può assegnare a un agente software un’identità propria in uno spazio, con un’autorità non superiore alla sua, e ogni atto dell’agente è registrato nella traccia di audit sotto quell’identità.