Ultimo aggiornamento: 14 ottobre 2026

Fiducia e sicurezza in Actor

Actor aiuta le organizzazioni a gestire email, calendari, attività, flussi di lavoro e conoscenze aziendali. Poiché questi sistemi possono contenere informazioni aziendali e personali sensibili, la sicurezza, la privacy e il trattamento responsabile dell’IA sono integrati nella progettazione e nel funzionamento di Actor.
Questo Centro per la fiducia spiega in che modo Actor accede ai dati dei clienti, li elabora, li archivia, li protegge e li condivide, con dettagli e link ai documenti e ai controlli a supporto di ogni affermazione.

Esaminare le pratiche di sicurezza
Visualizza i sub-responsabili del trattamento
Scarica l'accordo sul trattamento dei dati
Segnala una vulnerabilità
Contatta il team di sicurezza
01

La fiducia a colpo d’occhio

Proprietà dei dati

I clienti mantengono sempre la proprietà e il controllo dei propri dati.

Addestramento dei modelli di IA

I contenuti dei clienti non vengono utilizzati per addestrare modelli di IA per uso generale.

⏳ Ambito chiarito nella Sezione 6

Accesso sicuro all'account

Actor si connette a Google e Microsoft tramite autorizzazione basata su OAuth: le password non vengono mai archiviate.

Crittografia

I dati sono crittografati durante il trasferimento e protetti quando sono archiviati, tramite misure di sicurezza conformi agli standard del settore.

Minimizzazione dei dati

Actor elabora solo le informazioni necessarie per fornire le funzionalità configurate dal cliente.

Controllo del cliente

Elimina il tuo account Actor da Impostazioni → Account → Elimina account. I dati dell’organizzazione vengono eliminati manualmente su richiesta. Puoi anche revocare l’accesso agli account collegati.

02

Servizi inclusi in questo Centro di fiducia

Questa pagina descrive le pratiche applicate in tutto il prodotto Actor. Se una pratica varia in base alla funzionalità o al piano, la differenza è indicata direttamente nella sezione pertinente.

Coperto
  • Applicazione web di Actor
  • Funzionalità di gestione delle email
  • Gestione del calendario
  • Attività e promemoria
  • Flussi di lavoro di Automation Studio
  • Libreria, conoscenze e memoria di Actor
  • Estensioni del browser
  • Componente aggiuntivo di Outlook
  • API
  • WhatsApp, Slack, Teams e altri canali di comunicazione abilitati
  • Applicazioni per dispositivi mobili e desktop
  • Sistemi di assistenza e feedback
Non coperto
  • Servizi di terze parti scelti direttamente dai clienti
  • Infrastruttura gestita dal cliente
  • Applicazioni esterne collegate tramite HTTP o azioni webhook
  • Funzionalità beta, salvo inclusione esplicita
03

I ruoli di Actor in materia di privacy

Actor in qualità di responsabile del trattamento

Actor generalmente agisce in qualità di responsabile del trattamento dei dati quando elabora dati secondo le istruzioni del cliente. Normalmente, è il cliente o l’organizzazione a determinare perché e come vengono utilizzati questi dati.

  • Contenuti delle email
  • Informazioni del calendario
  • Informazioni di contatto
  • Attività
  • Conoscenze caricate dai clienti
  • Memoria dell'organizzazione
  • Input e output dei flussi di lavoro
Actor in qualità di titolare del trattamento

Actor agisce in qualità di titolare del trattamento per i dati che raccoglie e utilizza per le proprie finalità aziendali, indipendentemente dalle istruzioni dei clienti.

  • Dati di registrazione dell'account
  • Visitatori del sito web
  • Registri di fatturazione e pagamento
  • Comunicazioni commerciali e di marketing
  • Registri di sicurezza
  • Contatti dell’assistenza clienti
  • Documentazione legale e di conformità
04

Come Actor tratta i dati

1

Connettere

Account autorizzato

2

Recuperare

Dati autorizzati recuperati

3

Elaborare

Attività richiesta avviata

4

Restituire

Risultato consegnato o azione eseguita

5

Conservare

Solo quanto necessario

6

Eliminare

In conformità alla policy documentata

Autorizzazione

Gli utenti collegano Google, Microsoft e altri servizi utilizzando meccanismi di autorizzazione approvati basati su OAuth. Actor non raccoglie né memorizza le password di servizi di terze parti.

Recupero

Actor recupera le informazioni in base alle autorizzazioni concesse dall’utente e alla specifica funzionalità in esecuzione, senza accedere a più dati di quanti ne richieda l’attività.

Elaborazione

Le informazioni possono essere trattate dai servizi di Actor e da subresponsabili approvati per classificarle, riassumerle, estrarle, redigere bozze, effettuare ricerche o eseguire azioni per conto del cliente.

Archiviazione

Alcune informazioni vengono trattate temporaneamente, mentre altre possono essere conservate per fornire flussi di lavoro, preferenze, memoria, conoscenze, tracciabilità, attività, assistenza o funzionalità dell’account. Consulta la matrice del trattamento dei dati qui sotto per sapere quali dati vengono conservati e per quanto tempo, per ciascuna categoria.

Eliminazione

Elimina il tuo account Actor in Impostazioni → Account → Elimina account e conferma. Tutti i dati associati all’account vengono eliminati immediatamente dai sistemi attivi. Se richiesto, disconnetti prima gli account collegati.

L’eliminazione dei dati dell’organizzazione viene gestita manualmente su richiesta. Un amministratore dell’organizzazione deve contattare privacy@actordo.com o il supporto di Actor. L’eliminazione di un account personale non comporta l’eliminazione dei dati dell’organizzazione.

Per informazioni sulla scadenza dei backup e sui dati conservati per un periodo limitato, consulta la Sezione 12.

Nota sulla precisione

Actor non afferma in modo generico di «non archiviare mai» dati di posta elettronica o del calendario. L’archiviazione dipende dalla funzionalità: alcuni identificativi, interazioni, note e contenuti forniti dagli utenti vengono conservati per supportare flussi di lavoro, memoria e assistenza. La tabella seguente specifica nel dettaglio le informazioni per categoria.

05

Matrice del trattamento dei dati

Quali dati elabora Actor, per quale motivo, se vengono archiviati e dove. Alcuni periodi di conservazione possono essere aggiornati in base agli accordi.

Categoria di dati Esempi Perché viene trattato Conservato? Periodo di conservazione tipico Dove viene trattato
Dati dell'account Nome, email aziendale, organizzazione Gestione dell'account Sì Durata dell'account + periodo definito Infrastruttura di Actor
Credenziali OAuth Token di accesso e di aggiornamento Mantenere gli account collegati Sì Fino alla revoca o alla disconnessione Archiviazione sicura delle credenziali, crittografate
Contenuti delle email Oggetto, corpo, mittente, allegati Classificazione, riepiloghi, redazione, flussi di lavoro No Non applicabile Actor e fornitori di IA approvati
Metadati delle email ID del messaggio, ID della conversazione, etichette Collegamento di azioni e flussi di lavoro Sì 30 giorni Infrastruttura di Actor
Dati del calendario Titolo dell’evento, partecipanti, descrizione Pianificazione e promemoria Cache temporanea / in base alla funzionalità 1 ora Actor e provider approvati
Metadati del calendario ID dei calendari, ID degli eventi Collegamento di azioni e flussi di lavoro Sì 30 giorni Infrastruttura di Actor
Attività Titolo dell’attività, stato, scadenza Gestione delle attività Cache temporanea / in base alla funzionalità 1 ora Actor o provider collegato
Metadati delle attività ID degli elenchi di attività, ID delle attività Collegamento di azioni e flussi di lavoro Sì 30 giorni Infrastruttura di Actor
Conoscenze Documenti e testi caricati dai clienti Reperimento e assistenza Sì Finché non viene eliminato Infrastruttura di Actor
Memoria Preferenze salvate e contesto appreso Personalizzazione Sì Finché non viene eliminato o scade Infrastruttura di Actor
Dati del flusso di lavoro Trigger, condizioni, azioni, dati di esecuzione Automazione Sì Finché non viene eliminato. Registri: 30 giorni Infrastruttura di Actor
Dati di supporto Feedback, schermate, contesto selezionato delle email Risoluzione dei problemi Sì, al momento dell'invio 6 mesi Sistemi di supporto
Registri di sicurezza IP, eventi di autenticazione, attività di sistema Sicurezza e prevenzione delle frodi Sì 30 giorni Infrastruttura di registrazione dei log
Elenco di blocco di Actor Indirizzo e-mail Sicurezza e frodi Sì 2 anni Infrastruttura di Actor
Dati di fatturazione Piano, riferimenti delle fatture, stato dei pagamenti Fatturazione Sì Periodo di conservazione previsto dalla legge Actor + fornitore di servizi di pagamento
06

Pratiche di intelligenza artificiale e apprendimento automatico

Actor può avvalersi di uno o più fornitori di modelli di IA a seconda della configurazione del cliente, della funzionalità utilizzata, della regione, dei requisiti di sicurezza, dell’accordo aziendale e della disponibilità dei modelli. I fornitori specifici utilizzati dalla tua organizzazione sono elencati nella tabella dei sub-responsabili del trattamento nella Sezione 10.

  • Modelli proprietari di Actor: Actor non addestra i propri modelli di IA per uso generale sui contenuti dei clienti.
  • Fornitori esterni: In base agli accordi commerciali con Actor, i fornitori di IA approvati non addestrano i propri modelli sui contenuti inviati dai clienti.
  • Feedback volontari: I feedback inviati volontariamente dagli utenti (ad esempio tramite gli strumenti di feedback integrati nel prodotto) possono essere utilizzati per migliorare Actor.
  • Dati di utilizzo aggregati: I dati di utilizzo anonimizzati o aggregati possono essere utilizzati per migliorare le prestazioni e l’affidabilità del prodotto.
  • Esclusione: Ove applicabile, i clienti possono contattare Actor per valutare le opzioni di esclusione relative ai feedback volontari o ai dati di utilizzo aggregati.
  • I periodi di conservazione dei dati presso i fornitori variano a seconda del provider di IA e sono descritti nella tabella dei sub-responsabili del trattamento.
  • Il provider può applicare la conservazione dei dati per il monitoraggio degli abusi, se offre questa opzione.
  • Per gli accordi aziendali idonei sono disponibili configurazioni con conservazione zero dei dati, se supportate dal provider sottostante.
  • La memorizzazione di prompt e output da parte di Actor dipende dalla funzionalità: consulta la matrice sul trattamento dei dati nella Sezione 5.
  • Le configurazioni aziendali possono differire da quelle predefinite o self-service; contatta il team di sicurezza per conoscere la configurazione specifica della tua organizzazione.

Il personale autorizzato può accedere alle informazioni dei clienti solo nei seguenti casi:

  • Assistenza richiesta dal cliente
  • Indagine sulla sicurezza
  • Obblighi di legge
  • Invio esplicito di feedback (ad esempio, quando un utente allega volontariamente il contenuto di un’e-mail a una richiesta di assistenza)
  • Risoluzione dei problemi operativi soggetta a restrizioni e registrata nei log
Nota di chiarimento Quando un utente invia volontariamente contenuti email nell’ambito di una richiesta di assistenza, il personale di supporto può esaminarli allo scopo di risolvere la richiesta. Ciò è distinto dall’accesso ordinario o automatico ai contenuti delle email, che non avviene.

I dati dei clienti, la memoria, le conoscenze, i flussi di lavoro e il contesto recuperato sono accessibili solo all’utente e all’organizzazione autorizzati. I dati di un’organizzazione non sono accessibili né utilizzati da un’altra organizzazione.

I clienti controllano quali azioni automatizzate sono abilitate nella propria organizzazione e restano responsabili di verificare, ove opportuno, i risultati generati dall’IA, in particolare per le azioni con effetti esterni o irreversibili.

07

Misure di sicurezza

  • Integrazioni OAuth 2.0 per gli account collegati
  • Controllo degli accessi basato sui ruoli all’interno delle organizzazioni Actor
  • Controlli sull’appartenenza all’organizzazione
  • Delega da parte dell’utente
  • Restrizioni all’accesso privilegiato ai sistemi interni
  • Revisioni periodiche degli accessi
  • Procedure di uscita dei dipendenti
  • Disponibilità dell'accesso singolo (SSO) — in base al piano
  • Disponibilità dell'autenticazione a più fattori (MFA)
Nota sull’architettura Quando l’autenticazione è delegata a Google, Microsoft o a un provider di identità aziendale, l’MFA e l’SSO vengono applicati dal provider di identità, non direttamente da Actor. Questa pagina descrive l’effettiva architettura di autenticazione, senza suggerire che Actor implementi autonomamente questi controlli.

Accedi con Google o Microsoft oppure usa SSO aziendale tramite OpenID Connect (OIDC) il provider di identità configurato per la tua organizzazione. SAML non è attualmente supportato. Seleziona Continua con SSO aziendale, inserisci la tua email di lavoro e completa l’accesso aziendale. Il dominio della tua email deve essere configurato per l’accesso SSO; per configurarlo, contatta l’amministratore o il supporto di Actor.

Actor non riceve né memorizza la password del tuo provider. L’autenticazione a più fattori (MFA) è gestita dal tuo provider di identità secondo le sue policy. L’accesso serve a identificarti; OAuth autorizza separatamente l’accesso a Email, Calendar e Tasks. Esamina la schermata di consenso di ciascun connettore e, ove richiesto, ottieni l’approvazione dell’amministratore.

  • Crittografia in transito (TLS) dei dati scambiati tra Actor, i clienti e i sub-responsabili autorizzati
  • Crittografia dei dati dei clienti archiviati
  • Protezione dei token OAuth tramite archiviazione sicura dedicata delle credenziali
  • Gestione centralizzata dei segreti per le credenziali di applicazioni e infrastruttura
  • Accesso alle chiavi limitato ai sistemi e al personale autorizzati
  • Procedure di rotazione delle chiavi
  • Crittografia dei backup
  • Procedure per un ciclo di vita di sviluppo sicuro
  • Revisione del codice prima dell'integrazione
  • Scansione automatizzata delle dipendenze
  • Analisi statica
  • Scansione delle vulnerabilità
  • Separazione degli ambienti (sviluppo, staging, produzione)
  • Procedure di deployment sicuro
  • Gestione delle modifiche
  • Controlli di sicurezza delle API
  • Modello di hosting cloud — consultare la Sezione 11 per le sedi di trattamento
  • Isolamento della rete tra gli ambienti
  • Firewall
  • Autorizzazioni con privilegi minimi per l’accesso all’infrastruttura
  • Monitoraggio dell’infrastruttura
  • Gestione delle patch
  • Controlli di sicurezza del database
  • Protezione dei backup
  • Monitoraggio dell’autenticazione
  • Registrazione delle azioni amministrative
  • Monitoraggio degli eventi di sicurezza
  • Monitoraggio dei malfunzionamenti dei servizi
  • Rilevamento degli accessi sospetti
  • Accesso limitato ai log
  • Periodi di conservazione dei log definiti
Nota sulla precisione Il sistema Actor non registra il contenuto delle email. Le pratiche di registrazione nei log dell’applicazione, nei sistemi di segnalazione degli errori, negli strumenti di monitoraggio, nelle code e negli strumenti di assistenza sono in fase di revisione per verificarne la coerenza con questa dichiarazione. Questa sezione sarà aggiornata per riflettere l’ambito verificato. Alcuni log includono identificativi delle email, ma non il loro contenuto.
  • Accordi di riservatezza per dipendenti e collaboratori
  • Formazione sulla sicurezza
  • Accesso basato sui ruoli e coerente con le mansioni
  • Verifiche dei precedenti → al momento non vengono effettuate
  • Procedure formali di approvazione e revoca degli accessi

Actor mantiene una

Programma di divulgazione delle vulnerabilità

che definisce l’ambito, le regole di segnalazione, le condizioni di safe harbor e la procedura di segnalazione per i ricercatori di sicurezza.

08

Privacy

  • Minimizzazione dei dati: conserviamo solo ciò che è necessario per fornire i servizi di Actor
  • Limitazione delle finalità: i dati vengono utilizzati solo per le funzionalità dell’assistente, l’assistenza, la sicurezza e la conformità alle normative
  • Proprietà dei dati dei clienti: gli utenti mantengono il controllo sui propri dati e sugli account collegati
  • Diritti degli utenti: accesso, rettifica, cancellazione, portabilità, opposizione e revoca del consenso
  • Cancellazione dei dati: gli utenti possono cancellare i dati e revocare in qualsiasi momento l’accesso agli account collegati
  • Esportazione dei dati: i dati possono essere esportati in un formato strutturato e leggibile dalle macchine
  • Trasferimenti internazionali: protetti tramite DPA, SCC e le misure di salvaguardia applicabili
  • Richieste governative e legali: i dati vengono condivisi solo quando è previsto dalla legge
  • Privacy fin dalla progettazione: OAuth, crittografia, accesso limitato e nessun addestramento degli LLM sui dati degli utenti
  • Cookie, analisi e feedback: utilizzati per migliorare il prodotto, mai venduti né usati per scopi pubblicitari
Informativa sulla privacy →
Accordo sul trattamento dei dati →
Istruzioni per la cancellazione →
Informativa sui cookie →
09

Conformità e supporto normativo

Actor supporta i clienti nell’adempimento degli obblighi previsti dal GDPR tramite impegni contrattuali, clausole sul trattamento dei dati, misure di sicurezza, assistenza agli interessati e trasparenza sui sub-responsabili. L’Accordo sul trattamento dei dati documenta le istruzioni relative al trattamento, le misure di sicurezza, i sub-responsabili, gli obblighi di assistenza, la cancellazione, i diritti di audit e i trasferimenti internazionali, in linea con le misure tecniche e organizzative previste per gli accordi con i responsabili del trattamento nell’UE.

Actor applica misure tecniche e organizzative concepite per proteggere i dati personali in conformità ai requisiti svizzeri applicabili in materia di protezione dei dati, compresi controlli come la crittografia, l’autenticazione e l’anonimizzazione, individuati dall’IFPDT svizzero come misure di protezione adeguate.

Per i trattamenti che rientrano nel relativo ambito di applicazione, Actor opera, a seconda dei casi, in qualità di fornitore di servizi o contraente ai sensi del CCPA/CPRA. Actor non dichiara di possedere una generica «certificazione CCPA»: il CCPA non prevede un sistema di certificazione SaaS.

Il trattamento conforme ai requisiti HIPAA può essere disponibile per i clienti Business idonei, previa sottoscrizione di un Accordo di Business Associate (BAA) e adozione di una configurazione approvata.

Prima di utilizzare il servizio per trattare informazioni sanitarie elettroniche protette (ePHI), i clienti devono contattare Actor.

Questa dichiarazione non implica che «Actor sia conforme a HIPAA» in modo generalizzato per tutti i piani e tutte le integrazioni. Secondo le indicazioni dell’HHS, i fornitori di servizi cloud e i subappaltatori che creano, ricevono, conservano o trasmettono ePHI devono in genere sottoscrivere un BAA appropriato, anche quando i dati sono crittografati o il fornitore non dispone della chiave di crittografia. Prima di trattare qualsiasi ePHI, Actor verifica:

  • Ogni sub-responsabile del trattamento pertinente offre un BAA
  • I fornitori di servizi di IA selezionati sono approvati per il trattamento di PHI
  • Gli strumenti di registrazione e assistenza sono coperti
  • Il piano e la configurazione sono chiaramente limitati all'ambito approvato
  • È disponibile un'analisi dei rischi
  • Il BAA di Actor corrisponde alle operazioni effettive

Certificazioni e attestazioni

✓ Completato

Certificato o valutato in modo indipendente

Google CASA 2, HIPAA, GDPR

→ Allineamento

Framework di sicurezza adottati

Controlli selezionati, in linea con framework quali ISO 27001, NIST, CIS o OWASP.

⏳ Pianificato

Pianificato

La certificazione SOC 2 Type I (attualmente in corso), ISO 27001 e i test di penetrazione indipendenti sono previsti nella roadmap.

Actor non mostra badge di certificazione basati unicamente su una certificazione del provider cloud sottostante.

10

Sub-responsabili del trattamento

Tutte le organizzazioni che possono trattare dati dei clienti per conto di Actor, raggruppate per funzione. Google e Microsoft sono elencate separatamente quando agiscono come provider indipendenti dei servizi email/calendario del cliente, anziché come sub-responsabili di Actor: consulta la nota sotto la tabella.

Infrastruttura di base
Elaborazione tramite IA
Operazioni e sicurezza
Integrazioni facoltative
Entità giuridica Servizio Finalità Dati coinvolti Luogo del trattamento Meccanismo di trasferimento Obbligatorio? Data di entrata in vigore
Infrastruttura principale — hosting, database, archiviazione, rete, backup
Google Cloud EMEA Limited / Google LLC Piattaforma Google Cloud Hosting cloud, capacità di calcolo, database, archiviazione, rete, backup e sicurezza dell’infrastruttura. Dati dell’account, dati dell’applicazione, dati di configurazione, log, metadati, backup crittografati. UE / SEE e altre regioni di Google Cloud, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì 15 ott 2024
Microsoft Ireland Operations Limited / Microsoft Corporation Microsoft Azure Hosting cloud, capacità di calcolo, database, archiviazione, rete, backup e sicurezza dell’infrastruttura. Dati dell’account, dati dell’applicazione, dati di configurazione, log, metadati, backup crittografati. UE / SEE e altre regioni di Azure, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì 15 dic 2024
DigitalOcean, LLC Piattaforma cloud DigitalOcean Hosting cloud, capacità di calcolo, database, archiviazione, rete, backup e sicurezza dell’infrastruttura. Dati dell’account, dati dell’applicazione, dati di configurazione, log, metadati, backup crittografati. UE / SEE e altre regioni di DigitalOcean, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì 30 ott 2024
Elaborazione dell’IA — fornitori di LLM, fornitori di embedding, elaborazione vocale
Google Cloud EMEA Limited / Google LLC Google Gemini / Vertex AI Elaborazione tramite modelli di IA per classificazione, riepilogo, redazione, assistenza, embedding e funzionalità di IA correlate. Prompt degli utenti, contenuti delle email selezionati per l'elaborazione, contesto di calendario e attività, metadati, risultati generati. UE / SEE e altre regioni di Google Cloud, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì, per le funzionalità di IA che utilizzano Gemini 01 dic 2024
Anthropic, PBC Anthropic Claude Elaborazione tramite modelli di IA per classificazione, riepilogo, redazione, assistenza e funzionalità di IA correlate. Prompt degli utenti, contenuti delle email selezionati per l'elaborazione, contesto di calendario e attività, metadati, risultati generati. Stati Uniti e altre località, a seconda della configurazione del servizio. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì, per le funzionalità di IA che utilizzano Claude 12 feb 2025
OpenAI, L.L.C. API di OpenAI Elaborazione tramite modelli di IA per classificazione, riepilogo, redazione, assistenza, embedding e funzionalità di IA correlate. Prompt degli utenti, contenuti delle email selezionati per l'elaborazione, contesto di calendario e attività, metadati, risultati generati. Stati Uniti e altre località, a seconda della configurazione del servizio. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì, per le funzionalità di IA che utilizzano OpenAI 01 ott 2024
Operazioni e sicurezza — monitoraggio, tracciamento degli errori, assistenza, autenticazione, comunicazione
Datadog, Inc. Monitoraggio dell'infrastruttura e delle applicazioni Monitoraggio dei sistemi, analisi delle prestazioni, log, metriche, avvisi e monitoraggio della sicurezza. Log di sistema, metadati, indirizzi IP, dati del dispositivo/browser, eventi di utilizzo, identificativi tecnici. UE / Stati Uniti, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Facoltativo / da confermare 17 maggio 2025
Cloudflare, Inc. CDN, DNS, sicurezza e protezione della rete Distribuzione dei contenuti, DNS, protezione dagli attacchi DDoS, firewall, protezione dai bot e sicurezza del traffico. Indirizzo IP, metadati delle richieste, informazioni sul browser/dispositivo, log di sicurezza, identificativi tecnici. Località della rete globale. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Facoltativo / da confermare 01 ott 2024
Stripe, Inc. Pagamenti e fatturazione Fatturazione degli abbonamenti, elaborazione dei pagamenti, fatture, gestione fiscale e prevenzione delle frodi. Dati di contatto per la fatturazione, metadati di pagamento, dati delle transazioni, dati delle fatture, identificativi limitati dell'account. UE / Stati Uniti, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Sì, per i clienti paganti 01 maggio 2025
Google LLC Google OAuth / API di Google Workspace Autenticazione e accesso autorizzato dal cliente a Gmail, Google Calendar e ai relativi servizi Google. Nome, indirizzo email, token OAuth, dati autorizzati relativi a email/calendario/attività, a seconda delle autorizzazioni concesse. UE / Stati Uniti e altre sedi di Google, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Facoltativo, solo se abilitato dal cliente 15 ott 2024
Microsoft Corporation Microsoft Entra ID / API di Microsoft Graph Autenticazione e accesso autorizzato dal cliente a Outlook, Microsoft Calendar, agli utenti e ai relativi servizi Microsoft. Nome, indirizzo email, token OAuth, dati autorizzati relativi a email/calendario/attività, a seconda delle autorizzazioni concesse. UE / Stati Uniti e altre sedi di Microsoft, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Facoltativo, solo se abilitato dal cliente 12 dic 2024
Integrazioni opzionali — utilizzate solo quando un cliente abilita la funzionalità correlata
Zapier, Inc. Integrazione per l'automazione dei flussi di lavoro Automazione opzionale dei flussi di lavoro tra Actor e applicazioni di terze parti configurate dal cliente. Dati dei flussi di lavoro selezionati dal cliente, metadati, identificativi degli account, payload degli eventi. Stati Uniti e altre località, a seconda della configurazione. DPA, clausole contrattuali tipo (SCC) e misure di salvaguardia applicabili per il trasferimento dei dati. Opzionale 01 gen 2026
Google e Microsoft — chiarimento dei ruoli

Quando Google o Microsoft forniscono il servizio email e calendario del cliente, agiscono come provider indipendenti del cliente, non come sub-responsabili di Actor. Quando Actor acquista direttamente infrastrutture come Google Cloud o Microsoft Azure per gestire il servizio Actor, l’entità è elencata sopra come sub-responsabile di Actor per quella specifica finalità.

11

Ubicazione dei dati e trasferimenti internazionali

Attività di trattamento Luogo principale Possibili luoghi aggiuntivi È disponibile una scelta per il cliente?
Hosting dell'applicazione Actor New York Amsterdam, Zurigo Sì, piano enterprise
Archiviazione del database New York Posizione del backup: New York 2 Sì, piano enterprise
Inferenza IA Dipendente dal provider Solo Stati Uniti e UE Sì, piano enterprise
Monitoraggio e registri New York Amsterdam Sì, piano enterprise
Assistenza clienti Svizzera / UE No
Indicazioni dell’IFPDT svizzero

I trasferimenti transfrontalieri di dati richiedono attenzione al livello di protezione dei dati del Paese di destinazione e all’adozione di garanzie adeguate quando tale livello non è considerato adeguato. I meccanismi di trasferimento di Actor sono documentati nel DPA.

12

Conservazione e cancellazione dei dati

I periodi di conservazione variano in base alla categoria di dati. L’eliminazione dell’account rimuove immediatamente i dati associati all’account dai sistemi attivi; i backup scadono secondo il loro ciclo di 30 giorni. I dati limitati relativi alla sicurezza e quelli conservati per obblighi di legge sono soggetti ai periodi indicati di seguito. L’eliminazione dell’account non è un’opzione di archiviazione.

Categoria Periodo di conservazione
Dati dell'account Fino alla revoca o alla disconnessione da parte dell’utente. Eliminati automaticamente dopo 14 giorni senza accesso
Token degli account collegati Fino alla revoca o alla disconnessione da parte dell’utente
Contenuti di email e calendari 30 giorni Solo identificativi
Identificativi di messaggi ed eventi 30 giorni
Conoscenze e memoria Fino alla cancellazione da parte dell’utente o dell’organizzazione
Cronologia dei flussi di lavoro 30 giorni
Prompt e output dell’IA 24 ore
Ticket di assistenza 12 mesi
Registri di sicurezza 6 mesi
Backup 30 giorni
Dati di fatturazione In conformità ai requisiti legali di conservazione applicabili
Account eliminati 12 mesi Indirizzi email crittografati

Elimina il tuo account Actor in Impostazioni → Account → Elimina account e conferma. Tutti i dati associati all’account vengono eliminati immediatamente dai sistemi attivi. Se richiesto, disconnetti prima gli account collegati.

L’eliminazione dei dati dell’organizzazione viene gestita manualmente su richiesta. Un amministratore dell’organizzazione deve contattare privacy@actordo.com o il supporto di Actor. L’eliminazione di un account personale non comporta l’eliminazione dei dati dell’organizzazione.

I backup possono contenere ancora dati di configurazione fino alla loro scadenza, dopo 30 giorni. I registri limitati e crittografati delle email degli account eliminati e i registri di sicurezza sono soggetti ai periodi di conservazione indicati sopra; i dati di fatturazione sono conservati ove richiesto dalla legge.

  • Elimina il tuo account personale Actor da Impostazioni → Account → Elimina account.
  • Richiedi la cancellazione manuale dei dati dell'organizzazione tramite privacy@actordo.com oppure contatta l'assistenza di Actor.
  • Revoca l'accesso a Google o Microsoft dalle impostazioni delle autorizzazioni delle app del rispettivo provider. La revoca dell'accesso è un'operazione distinta dalla cancellazione dei dati di Actor.
13

Affidabilità e continuità operativa

  • Pagina pubblica sullo stato del servizio
  • Cronologia degli incidenti
  • Obiettivo di disponibilità — ove previsto contrattualmente
  • Monitoraggio continuo
  • Backup e ripristino di emergenza
  • Test di ripristino
  • Obiettivo del tempo di ripristino (RTO) e obiettivo del punto di ripristino (RPO)
  • Gestione delle modifiche e dei rilasci
Nota sulla precisione

I valori specifici di RTO, RPO e disponibilità saranno pubblicati solo quando Actor sarà in grado di garantirli con costanza e, una volta definitivi, saranno riportati qui con le relative date di entrata in vigore.

14

Risposta agli incidenti

Il processo descritto di seguito offre un livello di dettaglio utile ai fini della valutazione, senza rivelare informazioni interne sensibili.

1

Rilevamento

2

Segnalazione ai livelli superiori

3

Contenimento

4

Indagine

5

Notifica

6

Ripristino

7

Revisione

Per ogni incidente di sicurezza confermato, il processo comprende l’escalation interna, il contenimento, le indagini, la notifica ai clienti, la collaborazione con le autorità di regolamentazione ove richiesta, il ripristino e una revisione successiva all’incidente.

Incidente di sicurezza

security@actordo.com

Sicurezza generale

security@actordo.com

Rapporto sulle vulnerabilità

security@actordo.com
15

Documenti relativi a sicurezza e aspetti legali

Documenti pubblici

Informativa sulla privacyVisualizza →
Termini e condizioniVisualizza →
Elenco dei sub-responsabili del trattamentoVisualizza →
Misure tecniche e organizzativeVisualizza →
Programma di divulgazione delle vulnerabilitàVisualizza →
Politica sui cookieVisualizza →
Politica di utilizzo consentitoVisualizza →
Politica di conservazione dei dati (riepilogo)Visualizza →

Disponibile su richiesta → richiedi l'accesso

Accordo sul trattamento dei datiRichiedi →
Accordo HIPAA con un partner commercialeRichiedi →
Architettura di sicurezza dettagliataRichiedi →
Questionario di sicurezza compilatoRichiedi →
Riepilogo esecutivo del test di penetrazioneRichiedi →
Riepilogo della continuità operativaRichiedi →
Riepilogo della risposta agli incidentiRichiedi →
Documentazione sui rischi dei fornitoriRichiedi →
Valutazione d'impatto del trasferimentoRichiedi →
Misure tecniche e organizzative dettagliateRichiedi →

In corso

Report SOC 2 Type I ⏳ lavori in corso
Certificazione ISO 27001 ⏳ pianificata
16

Domande frequenti

Dipende dalla funzionalità. Alcuni contenuti delle email vengono trattati temporaneamente per eseguire un’attività richiesta; altri contenuti, come identificativi, riepiloghi o contesto necessari per i flussi di lavoro e la memoria, possono essere archiviati. Per i dettagli relativi a ciascuna categoria, consulta la matrice del trattamento dei dati nella Sezione 5.

Actor richiede gli ambiti OAuth necessari per le funzionalità specifiche che attivi. Puoi consultarli e revocarli in qualsiasi momento dalle impostazioni del tuo account Google o Microsoft.

I contenuti dei clienti non vengono utilizzati per addestrare modelli di IA di uso generale. Consulta la Sezione 6 per una panoramica completa dei modelli proprietari di Actor, dei fornitori esterni, dei feedback volontari e dei dati aggregati sull’utilizzo.

L’elenco aggiornato dei fornitori di IA è pubblicato nella tabella dei sub-responsabili del trattamento nella Sezione 10 e può variare in base alla funzionalità, alla regione e alla configurazione aziendale.

Questa possibilità può essere configurabile per determinati accordi aziendali. Contatta il team di sicurezza per discutere le opzioni disponibili per la tua organizzazione.

Non viene effettuato alcun accesso automatico o di routine ai contenuti delle email. Il personale autorizzato può accedere ai contenuti solo in circostanze specifiche, descritte nella Sezione 6, ad esempio in caso di una richiesta di assistenza che includa volontariamente contenuti delle email.

Per le attività di trattamento suddivise per località, consulta la matrice delle sedi di trattamento dei dati nella Sezione 11.

I periodi di conservazione variano in base alla categoria di dati. Consulta la Sezione 12 per il prospetto completo dei periodi di conservazione.

Elimina il tuo account Actor in Impostazioni → Account → Elimina account e conferma. Tutti i dati associati all’account vengono eliminati immediatamente dai sistemi attivi. Se richiesto, disconnetti prima gli account collegati.

L’eliminazione dei dati dell’organizzazione viene gestita manualmente su richiesta. Un amministratore dell’organizzazione deve contattare privacy@actordo.com o il supporto di Actor. L’eliminazione di un account personale non comporta l’eliminazione dei dati dell’organizzazione.

Per le eccezioni relative ai backup e ai periodi di conservazione, consulta la Sezione 12.

Puoi revocare in qualsiasi momento l’accesso di Actor direttamente dalla pagina delle autorizzazioni del tuo Account Google o dalle impostazioni di sicurezza del tuo account Microsoft.

Sì: consulta la Sezione 9 per scoprire come Actor supporta gli obblighi dei clienti in materia di GDPR tramite il DPA, le misure di sicurezza e la trasparenza sui sub-responsabili del trattamento.

Sì. L’Accordo sul trattamento dei dati è disponibile nella Sezione 15.

Il trattamento conforme all’HIPAA potrebbe essere disponibile per i clienti Business idonei, previa stipula di un BAA e configurazione approvata. Questa opzione non è disponibile per impostazione predefinita in tutti i piani: consulta la Sezione 9 per i dettagli e i passaggi richiesti prima del trattamento di ePHI.

Sì, per i clienti Business. Contatta il team addetto alla sicurezza per avviare la procedura: consulta la Sezione 18.

L’elenco completo, suddiviso per funzione, è disponibile nella Sezione 10.

Consulta questa pagina per seguire gli aggiornamenti relativi alle modifiche della Sezione 10. Le modifiche vengono comunicate con un periodo di preavviso definito prima della loro entrata in vigore, insieme a una procedura per presentare obiezioni.

Accedi con Google o Microsoft oppure usa SSO aziendale tramite OpenID Connect (OIDC) il provider di identità configurato per la tua organizzazione. SAML non è attualmente supportato. Seleziona Continua con SSO aziendale, inserisci la tua email di lavoro e completa l’accesso aziendale. Il dominio della tua email deve essere configurato per l’accesso SSO; per configurarlo, contatta l’amministratore o il supporto di Actor.

Actor non riceve né memorizza la password del tuo provider. L’autenticazione a più fattori (MFA) è gestita dal tuo provider di identità secondo le sue policy. L’accesso serve a identificarti; OAuth autorizza separatamente l’accesso a Email, Calendar e Tasks. Esamina la schermata di consenso di ciascun connettore e, ove richiesto, ottieni l’approvazione dell’amministratore.

Utilizza il Programma di divulgazione delle vulnerabilità indicato nella Sezione 15 oppure invia un’email a

security@actordo.com

direttamente.

Vengono eseguiti periodicamente test di penetrazione indipendenti. Consulta la Sezione 9, Certificazioni e attestazioni.

Consulta la Sezione 12 per sapere cosa accade subito dopo l’eliminazione, quali dati restano temporaneamente nei backup e quali eccezioni legali si applicano.

17

Aggiornamenti e cronologia delle modifiche

Questo dimostra che il Trust Center viene aggiornato attivamente e non è una pagina statica.

18 gennaio 2026

Lancio del Trust Center

3 marzo 2026

Informazioni sulla conservazione aggiornate

18

Contatti e richiesta di documenti

Per i documenti sensibili, invia un’email a security@actordo.com oppure contattaci privatamente.

security@actordo.com · privacy@actordo.com