Vai al contenuto principale

​
Residenza dei dati e trasferimenti internazionali

Venti Cloud funzionano su server AWS situati a Francoforte, Germania.
La selezione della regione di hosting sarà disponibile a partire dal 2027, inizialmente per i nuovi workspace. Gli utenti potranno richiedere un cambio di regione per un workspace esistente in una fase successiva. In alternativa, puoi contattare i nostri Partner per aiutarti a configurare la tua istanza.
Un elenco di tutti i sub-responsabili del trattamento è disponibile nel nostro Trust Center.
Le Clausole contrattuali standard dell’UE, insieme all’Addendum UK e alle modifiche svizzere, si applicano ai trasferimenti internazionali di dati al di fuori dell’UE, inclusi i trasferimenti verso tutti i sub-responsabili del trattamento.

​
Accordo di trattamento dei dati e ruoli giuridici

Puoi generare il tuo DPA firmato all’indirizzo https:///settings/legal/dpa (ad es. https://getting-started.twenty.com/settings/legal/dpa).
Sì. Il DPA standard è disponibile in ogni piano e può essere firmato con un clic da Impostazioni → Legale → DPA. Le modifiche ai termini standard, come un’entità contraente diversa o scadenze di notifica personalizzate, sono disponibili nel piano Enterprise.
Secondo la nostra Privacy Policy, Venti agisce come il responsabile del trattamento dei dati per il commerciante e le informazioni di contatto memorizzate nel CRM, mentre la tua azienda rimane il titolare del trattamento.
No. Twenty non dispone di un proprio modello di IA e non addestra alcun modello sui tuoi dati. I fornitori di IA utilizzati per impostazione predefinita su Twenty Cloud (Azure OpenAI, OpenAI, Anthropic e Mistral) non addestrano su di essi in base ai propri termini. Alcuni modelli facoltativi, come Google Gemini e TypeSafe (utilizzato dall’azione Classify del workflow), vengono utilizzati solo se un amministratore li abilita; i relativi termini sono elencati nel nostro Trust Center.
Sì. In Impostazioni → Generali → Privacy, imposta la regione di elaborazione su solo UE e attiva Zero data retention. Twenty utilizza quindi solo modelli il cui provider soddisfa entrambi i requisiti e rifiuta qualsiasi richiesta che non può instradare in questo modo. Con queste impostazioni sono disponibili meno modelli e alcuni costano di più.
Nessun dato viene inviato a un fornitore di IA a meno che qualcuno nel tuo spazio di lavoro non esegua l’IA: la chat IA, un agente IA o un passaggio IA in un workflow. Per bloccare completamente l’IA, imposta un limite di utilizzo dell’IA per lo spazio di lavoro pari a 0 in Impostazioni → Fatturazione, che si applica a tutti i membri, amministratori inclusi. Puoi anche rimuovere l’autorizzazione Ask AI dai ruoli modificabili in Impostazioni → Ruoli; il ruolo Admin integrato la mantiene sempre.

​
Controlli di sicurezza e di accesso

Tutti i dati sono crittografati in transito e a riposo. I dati dei tenant sono isolati tramite una configurazione schema-per-tenant e le chiavi di crittografia vengono ruotate periodicamente.
I team di ingegneria e supporto di Venti possono accedere ai workspace dei clienti per studiare e risolvere i problemi. I proprietari dello spazio di lavoro controllano questa impostazione: l’accesso all’assistenza può essere disattivato in qualsiasi momento in Impostazioni → Generali → Privacy e rimane disattivato finché non lo riattivi. L’accesso al supporto richiede l’autenticazione a due fattori da parte di Twenty e, dal piano Organization in su, ogni sessione viene registrata nei tuoi registri di controllo. Mentre qualcuno di Twenty si sta spacciando per te, la sessione appare anche con l’etichetta Impersonation in Impostazioni → Profilo → Dispositivi.
I membri il cui ruolo dispone dell’autorizzazione Impersonate possono visualizzare lo spazio di lavoro come qualsiasi altro membro, inclusi gli amministratori dello spazio di lavoro, quindi concedila solo a ruoli di cui ti fidi. Puoi controllare chi dispone di questa autorizzazione in Impostazioni → Ruoli.
I registri di controllo sono disponibili dal piano Organization in su. Puoi impostare per quanto tempo vengono conservati in Impostazioni → Generale → Sicurezza.
In caso di violazione confermata dei dati personali che interessa i tuoi dati, ti informeremo senza indebito ritardo, con l’obiettivo di farlo entro e non oltre 72 ore dalla verifica dell’incidente, come indicato nella sezione 4.6 del nostro DPA. La nostra notifica includerà, nella misura conosciuta al tempo: la natura della violazione, le categorie e il volume approssimativo dei dati e degli individui interessati, le conseguenze probabili e le misure di risanamento e di mitigazione adottate o previste. Forniremo aggiornamenti man mano che l’indagine progredisce.

​
Conservazione e cancellazione dei dati

Quando un record viene eliminato, inizialmente viene eliminato in modalità soft-delete e può ancora essere ripristinato. Viene eliminato in modo permanente e rimosso dai sistemi attivi una volta trascorso il periodo di conservazione o quando un utente lo distrugge manualmente.
Per impostazione predefinita, i record in soft-delete vengono mantenuti per 14 giorni, dopodiché vengono rimossi definitivamente dal sistema. Il periodo di conservazione dei record in soft-delete può essere modificato in Impostazioni → Generale → Sicurezza.
Un record rimosso rimane nei backup per 30 giorni, dopodiché viene eliminato definitivamente.
Quando uno spazio di lavoro viene eliminato, i suoi dati vengono rimossi dai sistemi live entro circa 90 giorni dalla terminazione del servizio, e di solito molto prima. Le copie di backup e di archivio vengono poi sovrascritte o cancellate entro altri 90 giorni, dopo di che tutti i dati vengono eliminati definitivamente. Durante entrambi i periodi i dati sono isolati da qualsiasi uso operativo. Su richiesta, possiamo fornire una certificazione scritta una volta completata la purga. Cfr. la clausola 4.9 del vostro Contratto di trattamento dei dati per tutti i termini.
Sì, durante qualsiasi periodo di backup-retention i dati cancellati sono isolati dall’uso operativo.
Per maggiori informazioni sulla conservazione dei dati, è possibile richiedere la nostra Politica di gestione e conservazione dei dati disponibile nel nostro Trust Center.
Riconosciamo le richieste di cancellazione e forniamo una conferma scritta una volta completata la cancellazione.

​
Backup e resilienza

I backup vengono creati in modo continuo con snapshot giornalieri e il periodo di conservazione è di 30 giorni.
RTO e RPO sono entrambe 6 ore (secondo il nostro DPA).
Tutti i backup sono criptati e memorizzati in luoghi geograficamente separati all’interno della stessa giurisdizione (ad esempio all’interno dell’UE per i dati dell’UE).

​
Conformità

Sì, Venti sono conformi al GDPR.
Sì, Twenty è conforme a SOC 2.
No, Venti sono in procinto di diventare conformi agli HIPAA.

​
Licenze

No. Eseguire una versione modificata per il tuo team interno non costituisce distribuzione, quindi non sorge alcun obbligo di pubblicazione. La clausola di rete dell’AGPL si applica quando persone esterne alla tua organizzazione interagiscono con la tua istanza modificata tramite la rete.
No. Il tuo front-end è un tuo lavoro separato, e comunicare con Twenty tramite le sue API non cambia questa situazione. Poiché Twenty stesso non è modificato, non c’è nulla da pubblicare.
Sì, poiché stai modificando codice per distribuirlo ad altri, sei tenuto a pubblicare tali modifiche. Se non vuoi pubblicare le tue modifiche, puoi ottenere una licenza Organization.
Le applicazioni che interagiscono con Twenty solo tramite le sue API/SDK pubblicate possono essere concesse in licenza secondo termini a tua scelta (consulta la “Twenty Application Exception” nel file LICENSE del repository). Twenty stesso è principalmente soggetto alla licenza AGPLv3 e alcuni pacchetti (incluso l’SDK di Twenty) sono soggetti alla licenza MIT.
Se hai altre domande, consulta i nostri Termini e condizioni, l’Informativa sulla privacy e il Trust Center. Se hai ancora domande senza risposta, inviale a contact@twenty.com o tramite la chat di supporto.