Trattamento dei dati e intelligenza artificialeData Processing and Artificial Intelligence

Trattamento dei dati e intelligenza artificialeData Processing and Artificial Intelligence

Questa sezione riepiloga come sono strutturati i ruoli, la catena di fornitura e la governance dell'AI. Il dettaglio operativo è disciplinato in un accordo separato sul trattamento dei dati (DPA), disponibile per i clienti aziendali su richiesta.This section summarises how roles, the supply chain and AI governance are structured. Operational detail is governed by a separate Data Processing Agreement (DPA), available to corporate clients on request.

1. Ruoli1. Roles

OneKruPartners S.r.l. (marchio NuGenity) è il titolare del trattamento per il mercato italiano. Il partner tecnologico internazionale agisce come responsabile del trattamento (art. 28 GDPR) sulla base di un accordo scritto che lo vincola alle nostre istruzioni documentate. Il partner non ha un diritto autonomo di determinare o modificare le finalità del trattamento, e non può estendere il trattamento a nuove finalità — incluso l'addestramento di modelli di intelligenza artificiale, l'analisi comparativa, la profilazione o lo sviluppo di prodotto — senza nostra previa autorizzazione scritta.OneKruPartners S.r.l. (NuGenity brand) is the data controller for the Italian market. The international technology partner acts as data processor (GDPR Art. 28) under a written agreement binding it to our documented instructions. The partner has no independent right to determine or modify the purposes of processing, and may not extend processing to new purposes — including training artificial intelligence models, benchmarking, profiling or product development — without our prior written authorisation.

2. Categorie particolari e sicurezza2. Special Categories and Security

Trattiamo, a seconda del servizio utilizzato: dati identificativi e di contatto; dati genetici ed epigenetici (marcatori grezzi e/o elaborati, indicatori come l'età biologica, punteggi e informazioni derivate); dati relativi a salute e stile di vita; dati tecnici e di utilizzo dell'app. NuGenity non offre moduli di scansione del viso né di valutazione cognitiva e non tratta dati biometrici o facciali. I dati genetici e di salute costituiscono categorie particolari ex art. 9 GDPR e sono trattati con cifratura, pseudonimizzazione ove possibile, controllo degli accessi e verifica periodica dei registri.Depending on the service used, we process: identity and contact data; genetic and epigenetic data (raw and/or processed markers, indicators such as biological age, scores and derived information); health and lifestyle data; technical and app usage data. NuGenity does not offer facial scanning or cognitive assessment modules and does not process biometric or facial data. Genetic and health data constitute special categories under GDPR Art. 9 and are processed with encryption, pseudonymisation where possible, access control and periodic log review.

3. Catena di fornitura (sub-responsabili)3. Supply Chain (Sub-processors)

Il laboratorio accreditato, il fornitore cloud e i fornitori di componenti AI operano come sub-responsabili, vincolati da obblighi in materia di protezione dei dati non meno protettivi dei nostri. Prima di avvalersi di un nuovo sub-responsabile, il partner tecnologico deve informarci in anticipo (nome, sede e attività previste): abbiamo 15 giorni lavorativi per esaminare la notifica e, se necessario, opporci. L'elenco nominativo aggiornato dei sub-responsabili è disponibile gratuitamente su richiesta scrivendo a GDPR@nugenity.it.The accredited laboratory, the cloud provider and AI component providers act as sub-processors, bound by data protection obligations no less protective than our own. Before engaging a new sub-processor, the technology partner must notify us in advance (name, location and planned activities): we have 15 business days to review the notice and, if necessary, object. A named, up-to-date list of sub-processors is available free of charge on request by writing to GDPR@nugenity.it.

4. Trasferimenti, violazioni e cessazione4. Transfers, Breaches and Termination

I dati sono conservati principalmente su server nell'Unione Europea (Microsoft Azure, Irlanda); l'accesso del partner tecnologico con sede nel Regno Unito e il trasferimento verso il fornitore di intelligenza artificiale negli Stati Uniti sono disciplinati al punto 8 della Privacy Policy. In caso di violazione dei dati, il nostro fornitore è contrattualmente obbligato a informarci entro 48 ore dall'evento, così da consentirci di notificare al Garante entro le 72 ore previste dall'art. 33 GDPR e, se necessario, di informare gli interessati. Alla cessazione del rapporto con il fornitore, i dati sono restituiti o cancellati — con evidenza scritta della cancellazione — entro 10 giorni lavorativi; per i dati genetici, ciò include la distruzione del campione biologico residuo.Data is stored primarily on servers in the European Union (Microsoft Azure, Ireland); access by the UK-based technology partner and the transfer to the artificial intelligence provider in the United States are governed by point 8 of the Privacy Policy. In the event of a data breach, our provider is contractually required to notify us within 48 hours of the event, enabling us to notify the Garante within the 72 hours required by GDPR Art. 33 and, if necessary, to inform data subjects. Upon termination of the relationship with the provider, data is returned or deleted — with written evidence of deletion — within 10 business days; for genetic data, this includes destruction of any remaining biological sample.

5. Governance dell'intelligenza artificiale5. Artificial Intelligence Governance

Il sistema di AI utilizzato (NuGenity AI Coach e componenti correlate) è trattato in conformità al Regolamento (UE) 2024/1689 («AI Act»). I tre principi che ti riguardano direttamente:The AI system used (the NuGenity AI Coach and related components) is handled in compliance with Regulation (EU) 2024/1689 (the «AI Act»). The three principles that concern you directly:

• L'AI non è usata per diagnosi. Le raccomandazioni hanno natura informativa e non costituiscono diagnosi o trattamento medico.AI is not used for diagnosis. Recommendations are informational and do not constitute a medical diagnosis or treatment.
• C'è sempre supervisione umana. È disponibile un canale di assistenza umano e hai diritto a informazioni significative sulla logica di eventuali decisioni automatizzate.There is always human oversight. A human support channel is available and you have the right to meaningful information about the logic of any automated decisions.
• I tuoi dati identificabili non addestrano i modelli. Il sistema utilizza il fornitore di intelligenza artificiale solo per generare le risposte (inferenza). Il fornitore non può utilizzare dati identificabili per addestrare i propri modelli, per lo sviluppo di prodotto o per finalità di marketing senza nostra previa autorizzazione scritta.Your identifiable data does not train the models. The system uses the artificial intelligence provider solely to generate answers (inference). The provider may not use identifiable data to train its models, for product development or for marketing purposes without our prior written authorisation.

Quando interagisci con l'assistente virtuale, l'interfaccia mostra un'indicazione fissa e visibile che stai interagendo con un sistema di intelligenza artificiale. Le misure di gestione del rischio, governance dei dati, tracciabilità, robustezza e sicurezza sono documentate nella nostra documentazione tecnica interna, disponibile alle autorità competenti e, per i clienti aziendali, su richiesta.When you interact with the virtual assistant, the interface displays a fixed, visible indication that you are interacting with an artificial intelligence system. Risk management, data governance, traceability, robustness and security measures are documented in our internal technical documentation, available to competent authorities and, for corporate clients, on request.

6. Verifica e controllo6. Audit and Oversight

Abbiamo il diritto di verificare in qualsiasi momento la conformità del nostro partner tecnologico a queste regole, incluso l'accesso a sistemi, documentazione e registri per finalità di audit, e possiamo sospendere l'utilizzo di funzionalità che non rispettino gli standard concordati o la normativa applicabile.We have the right to verify our technology partner's compliance with these rules at any time, including access to systems, documentation and logs for audit purposes, and we may suspend the use of features that do not meet agreed standards or applicable law.

7. Fonti e limitazioni — dati sul benessere aziendale7. Sources and Limitations — Corporate Wellness Data

I dati e le percentuali citati nelle pagine dedicate alle aziende (riduzione delle assenze, ritorno sull'investimento, fidelizzazione) sintetizzano ricerche di settore su programmi di benessere aziendale in generale, tratte da fonti terze indipendenti: Harvard Business Review, RAND Corporation e Johnson & Johnson Health & Wellness Program. Tali dati non sono garantiti, non costituiscono una previsione contrattuale e non si riferiscono a risultati specifici ottenuti con NuGenity. I benefici realmente conseguibili dipendono dal contesto aziendale, dal livello di partecipazione e dalla durata del programma; un preventivo personalizzato è disponibile su richiesta.The figures and percentages cited on the pages dedicated to businesses (reduced absenteeism, return on investment, retention) summarise industry research on corporate wellness programmes in general, drawn from independent third-party sources: Harvard Business Review, RAND Corporation and the Johnson & Johnson Health & Wellness Program. These figures are not guaranteed, do not constitute a contractual forecast, and do not refer to specific results achieved with NuGenity. Actual achievable benefits depend on the company context, level of participation and duration of the programme; a personalised quote is available on request.

8. Claim e comunicazione commerciale8. Claims and Commercial Communication

NuGenity non afferma che i propri servizi prevengano, diagnostichino o curino malattie, né che riducano l'età biologica o prolunghino la vita. Le espressioni relative a longevità, età biologica e benessere descrivono parametri stimati e obiettivi di stile di vita, non risultati clinici garantiti. Eventuali riferimenti a studi scientifici sono citati a fini informativi e non implicano che i risultati di tali studi siano riproducibili sul singolo utente.NuGenity does not claim that its services prevent, diagnose or cure disease, nor that they reduce biological age or extend lifespan. Expressions relating to longevity, biological age and wellness describe estimated parameters and lifestyle goals, not guaranteed clinical outcomes. Any references to scientific studies are cited for information and do not imply that the results of those studies are reproducible for an individual user.