Orizon AI: dati degli account Google e Microsoft

Orizon AI viene normalmente installata in modalità self-hosted: funziona su infrastruttura controllata dall’organizzazione cliente, su un’appliance Orizon installata presso la sua sede oppure come software sui suoi server. In questa configurazione l’organizzazione cliente è titolare del trattamento, Orizon S.r.l. agisce come responsabile in base a un accordo sul trattamento dei dati, e i dati degli account Google o Microsoft non raggiungono in alcun modo infrastrutture gestite da Orizon.

Orizon offre inoltre un’istanza gestita, operata da Orizon S.r.l. su propria infrastruttura nell’Unione Europea. In questa configurazione Orizon S.r.l. tratta i dati per conto dell’organizzazione cliente in base al medesimo accordo. Quale delle due si applichi è stabilito dal contratto con il cliente.

In entrambi i casi il collegamento di un account Google o Microsoft è facoltativo, viene avviato dal singolo utente e può essere annullato dallo stesso utente in qualsiasi momento.

L’accesso a Orizon AI con un account Google o Microsoft crea e identifica l’account dell’utente. Questo connettore porta con sé anche il permesso sull’archivio file, così che l’utente possa in seguito collegare una cartella di Drive o OneDrive a un workspace. Nulla in Drive o OneDrive viene letto finché l’utente non collega una cartella specifica.

Ogni permesso e l’unica funzione per cui esiste:

openid

Associa l’accesso all’account Google dell’utente.

userinfo.email

L’indirizzo email, usato come identificativo dell’account e per le notifiche.

userinfo.profile

Nome e immagine del profilo, mostrati nell’intestazione dell’applicazione.

drive.readonly

Elenca le cartelle di Drive dell’utente perché possa sceglierne una da collegare, poi legge i file nelle cartelle collegate affinché le risposte possano citarli. Le cartelle non collegate non vengono mai lette.

Microsoft: openid, email, profile, User.Read

Le stesse informazioni di identità da un account Microsoft.

Microsoft: Files.Read.All

L’equivalente OneDrive di drive.readonly, per le cartelle collegate dall’utente.

Microsoft: offline_access

Un refresh token, perché la connessione duri senza chiedere all’utente di riautenticarsi ogni ora.

Il collegamento di una casella è un’azione distinta ed esplicita, compiuta dopo l’accesso, con una schermata di consenso propria. Finché l’utente non ne collega una, Orizon AI non detiene dati di posta, calendario o contatti. L’utente può collegare più caselle, di entrambi i provider.

Questo connettore richiede i permessi di lettura per mostrare, cercare e riassumere posta e calendario, e i permessi di scrittura necessari perché l’utente possa rispondere o fissare un appuntamento dall’applicazione. Ogni permesso e l’unica funzione per cui esiste:

L’assistente non può utilizzare alcuno dei permessi di scrittura. L’invio di un messaggio e la creazione, la modifica o l’eliminazione di un evento sono rifiutati ogni volta che è il modello a richiederli, e sono raggiungibili solo dal compositore quando l’utente preme invia. È applicato dall’applicazione, non semplicemente promesso in questa informativa.

gmail.readonly

Elenca e apre messaggi e conversazioni e cerca nella posta in arrivo e inviata, per la vista posta, la ricerca e il briefing del mattino.

gmail.modify

Contrassegna un messaggio come letto quando l’utente lo legge in Orizon AI. È l’unico uso; l’applicazione non espone alcuna azione che elimini la posta.

gmail.send

Invia la risposta che l’utente ha scritto e riletto nel compositore, dopo che ha premuto invia.

calendar.readonly

Elenca calendari ed eventi per la vista calendario e per il briefing.

calendar.events

Crea, aggiorna, elimina e conferma la partecipazione agli eventi su cui l’utente agisce nel compositore.

contacts.readonly + contacts.other.readonly

Risolve un nome in un indirizzo perché una risposta o un invito possa essere indirizzato. I contatti non sono indicizzati né usati per altro.

Microsoft: Mail.Read / Mail.ReadWrite / Mail.Send

Gli equivalenti Outlook dei tre permessi Gmail qui sopra, nello stesso ordine.

Microsoft: Calendars.ReadWrite

L’equivalente Outlook di calendar.readonly e calendar.events insieme; Microsoft non li offre separati.

Microsoft: Calendars.ReadWrite.Shared

Senza di esso Microsoft restituisce solo alcuni calendari, e quelli condivisi con l’utente da un collega mancherebbero silenziosamente.

Microsoft: Contacts.Read + People.Read

L’equivalente Outlook dei permessi sui contatti qui sopra.

Microsoft: User.Read, offline_access

Identifica quale casella è stata appena collegata e la mantiene collegata.

Un amministratore del Google Workspace del cliente può, facoltativamente, consentire a Orizon AI di importare utenti e gruppi dell’organizzazione, così che i permessi dei workspace possano seguire i gruppi esistenti invece di essere ricostruiti a mano.

Questa funzione non utilizza una schermata di consenso per l’utente finale e a nessun singolo utente viene chiesta un’approvazione. Utilizza un service account Google con delega a livello di dominio, che un amministratore Workspace autorizza nella console di amministrazione Google e può revocare in qualsiasi momento. Vengono letti solo i metadati della directory: nomi utente, indirizzi email, nomi dei gruppi e appartenenza ai gruppi. Non è accessibile alcun contenuto di posta, calendario, file o contatti.

Se il cliente non la configura, l’integrazione è inattiva e nessun dato della directory viene letto.

Ambiti del service account

admin.directory.user.readonly, admin.directory.group.readonly, admin.directory.group.member.readonly

I dati degli account Google e Microsoft sono utilizzati esclusivamente per fornire le funzioni visibili all’utente nell’applicazione e soltanto all’interno del workspace dell’utente che ha collegato l’account:

• visualizzazione di posta e calendario nell’interfaccia dell’applicazione
• ricerca nella casella, nel calendario e nelle cartelle collegate
• il briefing del mattino, che riassume le scadenze, ciò che richiede una risposta e le riunioni da preparare
• risposta alle domande poste dall’utente in chat, con citazione del messaggio, evento o file di origine
• ricerca di un contatto per indirizzare una risposta o un invito
• stesura di una risposta o di un evento nel compositore, che l’utente rivede e invia

Orizon tratta i dati personali sopra descritti sulle seguenti basi giuridiche ai sensi dell’articolo 6 del GDPR. Quando Orizon agisce come responsabile per un cliente self-hosted o gestito, è il cliente a determinare la base e Orizon agisce su sue istruzioni.

Erogazione del servizio (account, workspace, chat, ricerca)

Esecuzione di un contratto — art. 6(1)(b)

Collegamento di un account Google o Microsoft

Consenso, prestato per singolo connettore e per singola casella — art. 6(1)(a). Revocabile in qualsiasi momento disconnettendo, senza pregiudicare il trattamento già svolto.

Sicurezza, prevenzione degli abusi, integrità del servizio, log di audit

Legittimo interesse — art. 6(1)(f): mantenere sicuro e tracciabile un prodotto di sicurezza. Bilanciato con i diritti degli utenti; non comporta profilazione né pubblicità.

Adempimento di obblighi di legge e contabili

Obbligo legale — art. 6(1)(c)

Per usare Orizon AI è necessario un account: senza nome e indirizzo email il servizio non può identificare un utente né tenere separati i suoi workspace.

Il collegamento di un account Google o Microsoft è del tutto facoltativo. Orizon AI è pienamente utilizzabile senza: le funzioni di posta, calendario e contatti semplicemente non compaiono. Rifiutare, o disconnettere in seguito, non ha altre conseguenze sull’account.

• Non sono mai venduti, noleggiati o concessi in licenza.
• Non sono mai utilizzati per pubblicità, targeting pubblicitario o profilazione a fini pubblicitari.
• Non sono mai trasferiti a data broker, rivenditori di informazioni o piattaforme pubblicitarie.
• Non sono mai utilizzati per valutare il merito creditizio né per finalità di finanziamento.
• Non sono mai utilizzati per creare, addestrare, perfezionare o migliorare modelli di apprendimento automatico o di intelligenza artificiale di uso generale.

Orizon AI risponde alle domande con la tecnica della retrieval-augmented generation: il contenuto della casella, del calendario o delle cartelle collegate viene indicizzato affinché i passaggi pertinenti possano essere recuperati e trasmessi a un modello linguistico insieme alla domanda dell’utente.

Il luogo in cui il modello viene eseguito dipende dalla formula scelta, ed è l’organizzazione cliente a sceglierlo:

• Appliance: l’intero stack di inferenza (modelli linguistici, vision, embedding e reranker) è eseguito sull’appliance, all’interno della rete del cliente. Nessun contenuto di posta, calendario o file esce da quella rete per l’inferenza.
• Solo software con GPU del cliente: l’inferenza è ugualmente del tutto locale.
• Solo software con endpoint esterno: il cliente può in alternativa configurare un endpoint di inferenza compatibile OpenAI di propria scelta. In questa configurazione, e solo in questa, i passaggi necessari a rispondere sono inviati al provider selezionato dal cliente, in base al contratto che il cliente ha con tale provider. Orizon non seleziona quel provider e non instrada i dati verso alcun proprio fornitore di AI.

Orizon AI non assume decisioni che producano effetti giuridici, o che incidano in modo analogamente significativo su una persona, con mezzi automatizzati. Non vi è profilazione, non vi è attribuzione di punteggi alle persone e non vi è alcuna decisione automatizzata ai sensi dell’articolo 22 del GDPR.

L’assistente produce risposte, sintesi e bozze. Sono suggerimenti che una persona deve leggere, valutare e su cui decidere. Non può inviare un messaggio né modificare un calendario da solo: ogni azione di questo tipo richiede che l’utente riveda la bozza e prema invia.

I modelli linguistici possono sbagliare o essere incompleti. Le risposte citano il messaggio, l’evento o il file da cui provengono proprio perché chi legge possa verificarle, e vanno verificate prima di farvi affidamento.

I token OAuth e le credenziali dei connettori sono cifrati a riposo con AES-256-GCM. I contenuti di messaggi, eventi e file recuperati da un account collegato sono conservati nell’indice del workspace dell’installazione: per un’installazione self-hosted si tratta di infrastruttura controllata dal cliente, per l’istanza gestita di infrastruttura operata da Orizon S.r.l. all’interno dell’Unione Europea.

Ogni workspace è un silo isolato con la propria lista di controllo degli accessi. I contenuti indicizzati dall’account collegato di un utente sono visibili soltanto a quell’utente, salvo che sia lui stesso a condividerli deliberatamente in un workspace con altri.

I contenuti recuperati da un account collegato sono conservati soltanto finché l’account resta collegato. La disconnessione dell’account li elimina, come descritto più avanti. Se il contratto con il cliente prevede un periodo di conservazione più breve, prevale quest’ultimo.

Il personale Orizon non legge il contenuto di caselle, calendari o archivi di file collegati. L’accesso da parte di una persona è possibile solo su richiesta espressa dell’utente relativamente a un elemento specifico e con il suo consenso, quando è necessario per indagare su abusi o incidenti di sicurezza, oppure quando lo impone la legge.

I dati degli account Google e Microsoft non sono condivisi con terzi, salvo le seguenti eccezioni circoscritte:

• Per un’installazione self-hosted non esiste alcun sub-responsabile Orizon, poiché i dati non lasciano mai l’infrastruttura del cliente.
• Per l’istanza gestita, il fornitore dell’infrastruttura europea su cui l’istanza è eseguita agisce come sub-responsabile. L’elenco aggiornato è disponibile su richiesta ed è mantenuto nell’accordo sul trattamento dei dati.
• Un fornitore di inferenza esterno, soltanto se il cliente ne ha configurato uno come descritto nella sezione sull’elaborazione AI, e in base al contratto che il cliente ha con tale fornitore.
• Quando la comunicazione è imposta dalla legge o è necessaria per indagare su abusi o proteggere la sicurezza del servizio.
• Nell’ambito di una fusione, acquisizione o cessione di ramo d’azienda: in tal caso il destinatario resta vincolato alla presente informativa e gli utenti saranno avvisati prima di qualsiasi trasferimento.

Per un’installazione self-hosted i dati restano sull’infrastruttura del cliente e non avviene alcun trasferimento da parte di Orizon.

Per l’istanza gestita i dati sono conservati e trattati su infrastruttura situata nell’Unione Europea.

Orizon non trasferisce i dati degli account Google o Microsoft al di fuori dello Spazio economico europeo. Qualora ciò diventasse necessario, avverrebbe soltanto in presenza di una decisione di adeguatezza o di garanzie appropriate ai sensi del Capo V del GDPR, e la presente informativa sarebbe aggiornata prima che accada.

Se il cliente configura un endpoint di inferenza esterno di propria scelta (si veda la sezione sull’elaborazione AI), l’eventuale trasferimento che ne deriva è regolato dal contratto del cliente con tale fornitore, e la liceità è responsabilità del cliente.

L’utente può disconnettere in qualsiasi momento un account Google o Microsoft collegato, dal pannello degli account in Posta e Calendario oppure dalla pagina Integrazioni di Orizon AI. La disconnessione interrompe ogni ulteriore accesso ed elimina quanto conservato per quella casella: lo snapshot, le cache di posta ed eventi, le categorie degli eventi, ogni ambito di posta dei workspace che la nomina e il workspace Posta e Calendario con le sue chat e i suoi messaggi. La credenziale memorizzata viene revocata quando nessun altro account la referenzia.

L’accesso può inoltre essere revocato indipendentemente da Orizon AI, in qualsiasi momento:

• Google: myaccount.google.com/permissions
• Microsoft: myapps.microsoft.com, oppure account.live.com/consent/Manage per un account Microsoft personale

Eliminazione dell’intero account

L’eliminazione di un account Orizon AI rimuove i suoi workspace e tutto ciò che vi è indicizzato. Scrivere a [email protected] oppure rivolgersi all’amministratore dell’installazione.

Ai sensi del GDPR gli utenti possono richiedere l’accesso ai propri dati personali, la loro rettifica o cancellazione, la limitazione del trattamento o l’opposizione allo stesso, e la portabilità dei dati, e possono proporre reclamo a un’autorità di controllo — in Italia, il Garante per la protezione dei dati personali.

Per un’installazione self-hosted tali richieste sono gestite dall’organizzazione cliente in qualità di titolare del trattamento, con l’assistenza di Orizon in qualità di responsabile. Per l’istanza gestita, scrivere all’indirizzo indicato di seguito.

L’applicazione Orizon AI imposta solo ciò che le serve per funzionare: un cookie di sessione per mantenere l’utente autenticato e l’archiviazione locale del browser per le preferenze di interfaccia, come lingua, tema e ultimo workspace aperto.

Non vi sono cookie pubblicitari, né analitiche che seguano l’utente tra siti diversi, né tracker di terze parti nell’applicazione. I cookie del sito pubblico orizon.one sono descritti nella cookie policy di Orizon.

Orizon AI è un prodotto per il lavoro, venduto a organizzazioni e non rivolto ai minori. Non è destinato a persone di età inferiore a 16 anni e Orizon non raccoglie consapevolmente dati personali di minori. Se dati di questo tipo fossero giunti al servizio, è sufficiente scrivere all’indirizzo indicato sotto e saranno cancellati.

La presente informativa può essere aggiornata con l’evolvere del prodotto. La data di revisione in alto riflette sempre la versione corrente.

Ogni modifica che incida in modo sostanziale sul trattamento dei dati degli account Google o Microsoft sarà comunicata nell’applicazione, o via email all’indirizzo associato all’account, prima che abbia effetto. L’uso di un account collegato dopo tale data costituisce accettazione; chi non è d’accordo può disconnettere in qualsiasi momento.