Analisi delle leggi extraterritoriali

Registro delle modifiche

1. Entità e struttura societaria

1.1. Xeneural Technologies E.I.R.L. è un'impresa individuale a responsabilità limitata costituita in Perù (RUC 20606521261), con domicilio fiscale e ufficio ad Arequipa. Il suo titolare è una persona fisica. Non ha una società madre.

1.2. Xeneural non ha filiali, succursali né stabilimenti negli Stati Uniti, in Cina né in Russia.

1.3. La legge che disciplina il trattamento dei dati personali da parte di Xeneural è quella peruviana: Legge 29733 sulla protezione dei dati personali e il suo Regolamento, approvato con D.S. 016-2024-JUS. Per i clienti dello Spazio economico europeo si applicano inoltre le clausole contrattuali tipo dell'Accordo sul trattamento dei dati.

2. Leggi analizzate

3. Esposizione attraverso i subresponsabili

3.1. I subresponsabili che ospitano i contenuti dei clienti sono imprese statunitensi e, in quanto tali, sono soggetti al CLOUD Act e alla sezione 702 del FISA. Questa è l'unica via attraverso la quale tali leggi possono raggiungere i dati di un cliente di Xeneural.

3.2. Ciascun subresponsabile assume per contratto i seguenti impegni di fronte a una richiesta di un'autorità:

4. Misure di Xeneural

4.1. Cifratura. I dati sono cifrati in transito con TLS 1.2 o superiore e a riposo con AES-256 nel database, nell'archiviazione dei file e nelle copie di backup. I segreti di integrazione del cliente sono inoltre cifrati con AES-256-GCM e chiavi dedicate.

4.2. Segregazione e accesso minimo. I dati di ciascun cliente sono segregati logicamente e ogni operazione è limitata sul server all'organizzazione dell'utente autenticato.

4.3. Trasferimenti. Per i clienti dello Spazio economico europeo, del Regno Unito o della Svizzera, l'Accordo sul trattamento dei dati incorpora le clausole contrattuali tipo della Commissione europea (Decisione 2021/914), compresa la valutazione delle leggi del paese di destinazione (clausola 14) e gli obblighi di fronte alle richieste delle autorità (clausola 15). Per i clienti in Perù, il flusso transfrontaliero è disciplinato dall'articolo 15 della Legge 29733 e dagli articoli da 18 a 21 del suo Regolamento.

4.4. Impegno proprio di fronte a una richiesta. Se Xeneural riceve una richiesta di un'autorità, peruviana o straniera, ne verifica la competenza e la base giuridica, la rinvia al cliente quando la legge lo consente, notifica il cliente prima di consegnare dati salvo divieto di legge, consegna solo quanto strettamente richiesto e impugna le richieste eccessive. Ogni richiesta viene registrata e pubblicata nel Rapporto sulla trasparenza.

4.5. Cronologia. Xeneural non ha ricevuto alcuna richiesta di un'autorità, peruviana o straniera, di accesso ai dati dei suoi clienti (Rapporto sulla trasparenza).

4.6. Revisione. Questa analisi viene rivista ogni anno e ogni volta che si aggiunge un subresponsabile o cambia la normativa analizzata.

5. Conclusione

Xeneural è un'impresa peruviana senza società madre né presenza negli Stati Uniti, in Cina o in Russia, e non è soggetta direttamente a leggi straniere di accesso ai dati. L'esposizione indiretta, attraverso i suoi subresponsabili statunitensi, è mitigata dai loro impegni contrattuali, dalla cifratura e dalla segregazione dei dati, dalle clausole contrattuali tipo per i clienti europei e dall'impegno proprio di Xeneural di notificare il cliente e di impugnare le richieste eccessive.

6. Fonti