Ogni regione ha regole diverse su come un SaaS che distribuisce LLM in produzione deve gestire i dati. Questa guida è il manuale operativo pratico: cosa richiede effettivamente ciascuna autorità di regolamentazione, cosa Kunavo offre e non offre e cosa devi ancora fare da parte tua. Non è consulenza legale (per quella, parla con un avvocato), ma è la checklist operativa di cui la maggior parte dei team di ingegneria ha realmente bisogno.
I quattro requisiti universali — validi ovunque
- Pseudonimizza i dati personali prima di inviarli agli upstream LLM — non inviare mai a terzi nomi, indirizzi email, numeri di telefono o numeri di conto in chiaro. Mascherali con token stabili e ripristinali localmente
- Firma un DPA / accordo sul trattamento dei dati con ogni responsabile del trattamento che gestisce dati personali. Kunavo non ne offre uno: le richieste vengono elaborate negli Stati Uniti e inoltrate ai fornitori upstream; pertanto, per un DPA che copra le chiamate agli LLM, contratta direttamente con il fornitore del modello (termini enterprise di Anthropic, OpenAI o Google)
- Mantieni una traccia di audit — ID richiesta, modello utilizzato, hash del prompt, conteggi dei token, timestamp. I log devono poter essere eliminati per le richieste di cancellazione
- Aggiorna la tua informativa sulla privacy — indica esplicitamente il trattamento tramite AI ed elenca i sub-responsabili (Kunavo + provider upstream)
Requisiti specifici per regione
🇪🇺 Unione Europea — GDPR (generale)
- DPA ai sensi dell'articolo 28 con ogni responsabile del trattamento: Kunavo non ne offre uno; per le chiamate agli LLM, contratta direttamente con il fornitore del modello (termini enterprise di Anthropic, OpenAI o Google)
- Clausole contrattuali standard (SCC) per i trasferimenti verso fornitori upstream con sede negli Stati Uniti (Anthropic, OpenAI): sono incluse nel DPA del fornitore; Kunavo non dispone di una regione UE ed elabora le richieste negli Stati Uniti
- Registri delle attività di trattamento (art. 30), inclusi gli scopi specifici relativi agli LLM
- Privacy by design — pseudonimizzazione, minimizzazione dei dati, limitazione delle finalità
- Termine di 72 ore per la notifica di una violazione se un incidente di sicurezza riguarda interessati nell’UE
🇩🇪 Germania — DSGVO + Impressum + DDG
La Germania aggiunge requisiti ulteriori al GDPR:
- Impressum (§ 5 DDG / § 18 MStV): pubblica l'identità, l'indirizzo, i contatti e l'autorità di vigilanza dell'operatore. Obbligatorio per i siti rivolti al mercato tedesco. L'Impressum di Kunavo si trova su /legal/impressum
- Consenso più rigoroso per il trattamento dei dati “non essenziali” (consenso ai cookie, analisi)
- Per le vendite B2B si applicano le regole del reverse charge intra-UE. Il checkout standard di Kunavo non mostra l’IVA né raccoglie una partita IVA; per un documento contabile, scrivi a contact@kunavo.com
DSGVO-konformer LLM-Einsatz contiene l’approfondimento in lingua tedesca con codice per il mascheramento dei dati personali.
🇫🇷 Francia — RGPD + problematiche di sovranità dell’AI
- RGPD è il GDPR; si applica lo stesso DPA ai sensi dell’articolo 28
- La CNIL è l’autorità di controllo; aspettati un esame più rigoroso per i settori sanitario e finanziario
- Per i settori sensibili (pubblico, sanità, difesa), valuta l'instradamento esclusivamente nell'UE, ad esempio Mistral, con contratto diretto; Kunavo non dispone di una regione UE e non offre un instradamento esclusivamente nell'UE
- L'informativa sulla privacy deve essere in francese se si servono consumatori francesi
Conformità al RGPD per gli LLM in Francia per l'approfondimento sulla Francia.
🇯🇵 Giappone — APPI + tokutei-shoutorihiki
- 特定商取引法 (Legge sulle transazioni commerciali specifiche): pubblicare informazioni sul venditore, politica sui rimborsi e metodi di pagamento. Obbligatorio per il B2C in Giappone. La pagina di Kunavo è disponibile all'indirizzo /legal/tokutei-shoutorihiki
- APPI (Legge sulla protezione delle informazioni personali): Kunavo non firma accordi sul trattamento dei dati; per un contratto che copra il trattamento degli LLM, rivolgiti direttamente al fornitore del modello
- Il trasferimento transfrontaliero verso fornitori upstream negli Stati Uniti o nell'UE richiede consenso o contratto
🇰🇷 Corea del Sud — PIPA
- Legge coreana sulla protezione delle informazioni personali — una delle più rigorose al mondo
- Consenso esplicito per la raccolta e il trasferimento transfrontaliero
- Informativa sulla privacy in lingua coreana se si servono utenti coreani
🇧🇷 Brasile — LGPD + BACEN per il fintech
- La LGPD (Lei Geral de Proteção de Dados) ricalca strutturalmente il GDPR
- Per i casi d'uso PIX / pagamenti, si applicano le circolari BACEN 4.018 + 3.978 sul rischio operativo — documentare le decisioni del modello e consentirne la contestazione
- Diritto all'oblio (Art. 17) — i log devono poter essere eliminati
Claude per l'analisi del rischio PIX in Brasile tratta specificamente LGPD + BACEN.
🇹🇷 Turchia — KVKK
- Legge sulla protezione dei dati personali (KVKK) — struttura DPA simile al GDPR
- Il trasferimento di dati all'estero richiede consenso esplicito o garanzie approvate dalla KVKK
- Il titolare del trattamento deve registrarsi presso la KVKK se il trattamento supera le soglie previste
Zero Data Retention (ZDR) — quando serve
Per impostazione predefinita, Anthropic registra i prompt per 30 giorni e Google per 60 giorni, ai fini del monitoraggio degli abusi. Per i carichi di lavoro ad alta sensibilità (sanità, finanza, pubblica amministrazione, settore pubblico dell'UE), i fornitori dei modelli offrono la ZDR secondo i propri termini enterprise. Kunavo non offre la ZDR, quindi ciascuna di queste opzioni richiede un contratto diretto con il fornitore:
- Anthropic ZDR: per i clienti enterprise di Anthropic. Anthropic elimina i prompt entro 30 secondi dal completamento, senza addestramento e con un impegno contrattuale
- Google Vertex AI ZDR + regione UE: instradamento verso europe-west1 (Belgio) o europe-west4 (Paesi Bassi), dati conservati nell'UE, ZDR disponibile
- OpenAI ZDR: solo per il livello Enterprise
Le richieste inviate tramite Kunavo vengono elaborate negli Stati Uniti e inoltrate ai fornitori upstream, ai quali si applicano le rispettive politiche di conservazione dei dati; Kunavo non può attivare la ZDR o l'instradamento nella regione UE per loro. Un carico di lavoro che richiede una di queste opzioni deve essere gestito tramite un contratto diretto con il fornitore del modello.
Cosa fornisce Kunavo e cosa resta a vostro carico
| Responsabilità | Kunavo | Tu |
|---|---|---|
| DPA con il fornitore del modello | Non offerti | ✓ (contratto diretto con il fornitore) |
| Pseudonimizzazione dei dati personali nei prompt | ✓ | |
| Log di audit a livello di richiesta | ✓ (a carico di Kunavo) | ✓ (a vostro carico) |
| ZDR o instradamento nella regione UE | Non offerti | ✓ (termini enterprise del fornitore) |
| Informativa sulla privacy che menziona i sub-responsabili | ✓ | |
| Diritto alla cancellazione dei vostri dati | ✓ | |
| Documento contabile per una ricarica | Scrivere a contact@kunavo.com |
La checklist di audit in 30 minuti
- Ti serve un DPA per le chiamate agli LLM? Kunavo non ne firma uno: contratta direttamente con il fornitore del modello (termini enterprise di Anthropic, OpenAI o Google)
- Aggiungere un passaggio di pseudonimizzazione dei dati personali prima di ogni chiamata LLM (codice modello negli approfondimenti specifici per regione)
- Confermare che il log di audit acquisisca request_id, prompt_hash, model, tokens, timestamp — e che sia eliminabile
- Aggiornare l'informativa sulla privacy: elencare "Kunavo" + i fornitori upstream come sub-responsabili, indicando le finalità (classificazione, generazione, ecc.)
- Pubblica gli avvisi specifici per regione: Impressum (DE), tokutei-shoutorihiki (JP); gli avvisi di Kunavo su /legal mostrano il formato
- Se operi in un settore sensibile, organizza direttamente la ZDR con il fornitore del modello (Kunavo non la offre)
- Stabilire una cadenza di revisione mensile — le normative e i fornitori evolvono e potrebbe essere necessario adeguare la conservazione dei log di audit
Niente panico, ma niente omissioni
Per la maggior parte dei SaaS B2C senza dati appartenenti a categorie particolari, i quattro elementi universali e un'informativa sulla privacy aggiornata ti portano al 95% del risultato. Il restante 5% — avvisi specifici del settore, ZDR, fornitori upstream sovrani — entra in gioco quando cresci o passi a settori regolamentati.
Domande frequenti
Kunavo firma un DPA (accordo sul trattamento dei dati)?
No. Kunavo non offre un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR, Standard Contractual Clauses né la residenza dei dati nell'UE. Le richieste vengono elaborate negli Stati Uniti e inoltrate ai fornitori di modelli upstream, le cui politiche sulla privacy e sulla conservazione dei dati regolano il modo in cui gestiscono i contenuti. Un team che necessita di un DPA dovrebbe stipulare un contratto direttamente con il fornitore del modello secondo i termini enterprise di Anthropic, OpenAI o Google.
Per quanto tempo i provider LLM conservano i prompt per impostazione predefinita?
Per impostazione predefinita Anthropic conserva i prompt nei log per 30 giorni e Google per 60 giorni, ai fini del monitoraggio degli abusi. Zero Data Retention elimina questo periodo, ma deve essere concordato direttamente con ciascun fornitore di modelli; Kunavo non lo offre.
Come ottengo Zero Data Retention (ZDR) per le chiamate API LLM?
Contratta direttamente con il fornitore del modello: Kunavo non offre la conservazione zero dei dati (ZDR), perché le richieste inviate tramite il servizio vengono elaborate negli Stati Uniti e inoltrate ai fornitori upstream secondo le rispettive politiche di conservazione. Anthropic offre la ZDR ai propri clienti enterprise e poi elimina i prompt entro 30 secondi dal completamento, senza addestramento e con un impegno contrattuale. Google Vertex AI offre la ZDR con instradamento nella regione UE verso europe-west1 (Belgio) o europe-west4 (Paesi Bassi). La ZDR di OpenAI è disponibile solo per il livello Enterprise.
Qual è il lavoro minimo di conformità necessario per distribuire una funzionalità LLM?
In ogni regione valgono quattro requisiti: pseudonimizzare i dati personali prima che raggiungano un upstream LLM, firmare un accordo sul trattamento dei dati, conservare una traccia di audit (ID richiesta, modello, hash del prompt, conteggi dei token, timestamp) che possa essere eliminata per le richieste di cancellazione, e aggiornare l’informativa sulla privacy per indicare il trattamento tramite AI e l’elenco dei sub-responsabili. Per la maggior parte dei SaaS B2C privi di dati appartenenti a categorie particolari, questi quattro requisiti più un DPA coprono circa il 95% degli obblighi.
Quali Paesi richiedono informative aggiuntive oltre al GDPR per un prodotto AI?
La Germania richiede un Impressum ai sensi del § 5 DDG / § 18 MStV. Il Giappone richiede un avviso ai sensi della 特定商取引法 che pubblichi l'identità del venditore, la politica sui rimborsi e i metodi di pagamento per il B2C. La PIPA della Corea del Sud richiede un'informativa sulla privacy in coreano e il consenso esplicito al trasferimento transfrontaliero. La LGPD del Brasile aggiunge le circolari BACEN 4.018 e 3.978 per i casi d'uso PIX e dei pagamenti. La KVKK della Turchia richiede il consenso esplicito o garanzie approvate dalla KVKK per il trasferimento di dati all'estero.