Sicurezza e compliance, senza zone d’ombra

La Legge generale brasiliana sulla protezione dei dati o Lei Geral de Proteção de Dados Pessoais (“LGPD”), è entrata in vigore il 18 settembre 2020. La LGPD è una normativa completa in materia di protezione dei dati che disciplina le attività dei titolari e dei responsabili del trattamento e riconosce diritti agli individui.

Gli abbonati di Zendesk che raccolgono e memorizzano dati personali nei Servizi Zendesk possono essere considerati “titolari del trattamento” ai sensi del LGPD. I titolari del trattamento si assumono la responsabilità primaria di assicurare che il trattamento dei dati personali sia conforme alla pertinente legge in materia di protezione dei dati, inclusa la LGPD. Zendesk agisce in qualità di “responsabile del trattamento”, come definito dalla LGPD, per quanto riguarda il trattamento dei dati personali tramite i propri Servizi.

Gli abbonati possono visualizzare le nostre Guide ai prodotti e la Politica di eliminazione dei Dati di Servizio per informazioni più dettagliate su come utilizzare i prodotti di Zendesk e così allinearsi con le iniziative di conformità. L’autorità nazionale per la protezione dei dati (“ANPD”) può emettere ulteriori linee guida per la LGPD in futuro. Zendesk continuerà a monitorare attivamente l’evoluzione della normativa e a tenere aggiornati gli abbonati sulle funzionalità disponibili per supportare i loro obblighi di conformità.

L'Addendum LGPD di Zendesk è stato incorporato nell'Accordo sul trattamento dei dati di Zendesk. Se si desidera rivedere e/o sottoscrivere l’Accordo sul trattamento dei dati di Zendesk, cliccare qui.

Il California Consumer Privacy Act, cod. civ. della California, §§ 1798.100 e seg. (“CCPA”) è una legge statunitense emanata nello Stato della California, entrata in vigore il 1° gennaio 2020. Approfondisce i diritti sulla privacy spettanti ad alcuni consumatori della California e impone ad alcune società la conformità con svariati requisiti in materia di protezione dei dati. Si prega inoltre di consultare i regolamenti finali CCPA e il California Privacy Rights Act ("CPRA"). Alcune disposizioni del CPRA sono entrate in vigore il 16 dicembre 2020, mentre le restanti disposizioni del CPRA sono entrate in vigore il 1° gennaio 2023.

Gli abbonati di Zendesk che raccolgono e memorizzano informazioni personali nei Servizi Zendesk possono essere considerati “Aziende” ai sensi del CCPA. Le aziende si assumono la responsabilità primaria di assicurare che il trattamento dei dati personali sia conforme alla pertinente legge in materia di protezione dei dati, inclusa la CCPA. Zendesk agisce come un “Fornitore del servizio”, come tale termine è definito nell’attuale versione della CCPA, in relazione al trattamento delle informazioni personali attraverso i nostri Servizi. Pertanto, Zendesk raccoglie, accede, mantiene, usa, tratta e trasferisce le informazioni personali dei propri abbonati e dei relativi utenti finali trattate tramite i Servizi, esclusivamente al fine di adempiere ai propri obblighi imposti da uno o più contratti esistenti con gli abbonati; e per nessun altro scopo commerciale diverso da tale adempimento e dal miglioramento dei Servizi che fornisce.

Non “vendiamo” le informazioni personali dei nostri abbonati, così come definite dal CCPA. Possiamo condividere informazioni aggregate e/o anonimizzate relative all’uso del/i Servizio/i, che non sono considerate informazioni personali ai sensi del CCPA, con terze parti. Tale condivisione ci aiuta a sviluppare e migliorare i Servizi nonché a fornire ai nostri abbonati contenuti e offerte di servizi più pertinenti, come indicato nei nostri accordi con gli abbonati.

L'Addendum al CCPA di Zendesk è stato incorporato nell'Accordo sul trattamento dei dati di Zendesk. Se si desidera rivedere e/o sottoscrivere l’Accordo sul trattamento dei dati di Zendesk, cliccare qui.

Se si desidera rivedere e/o firmare l’Addendum per lo Stato USA all’Accordo sui servizi principali di Zendesk, cliccare qui.

La legge canadese sulla protezione delle informazioni personali e dei documenti elettronici è entrata in vigore nel 2000 e si basa su dieci principi di correttezza informativa, che definiscono le regole per la raccolta, l’utilizzo, l’accesso e la divulgazione delle informazioni personali. Nell’ottobre del 2021, l’International Technology Association of Canada e Information Technology Industry Council hanno suggerito modifiche a PIPEDA per fornire maggiori diritti di privacy e trasparenza ai cittadini canadesi.

È possibile rivedere e/o sottoscrivere il DPA di Zendesk qui. Il DPA di Zendesk disciplina le specifiche attività di trattamento e le misure di sicurezza applicabili ai nostri Servizi e integra le nuove Clausole Contrattuali Standard dell’Unione Europea (EU SCC).

Gli abbonati possono leggere le nostre Guide ai prodotti e la Politica di eliminazione dei Dati di Servizio per informazioni dettagliate su come utilizzare i prodotti Zendesk per fornire assistenza nel rispetto delle leggi sulla protezione dei dati e sulla privacy.

Fin dalla sua nascita, l’approccio di Zendesk è stato ancorato a un forte impegno per la privacy, la sicurezza, la conformità e la trasparenza. In questo approccio rientra il supporto alla conformità dei nostri abbonati ai requisiti di protezione dei dati dell’UE, come quelli stabiliti nel Regolamento generale sulla protezione dei dati (“GDPR”).

Se un abbonato raccoglie, trasmette, ospita o analizza i dati personali dei cittadini dell’UE, il GDPR richiede all'abbonato di servirsi di responsabili terzi del trattamento di dati, che garantiscano la loro capacità di implementare i requisiti tecnici e organizzativi del GDPR. Per guadagnare ulteriormente la fiducia dei nostri abbonati, il nostro Accordo sul trattamento dei dati (“DPA”) è stato aggiornato per fornire ai nostri clienti impegni contrattuali in merito alla nostra conformità alla legge UE sulla protezione dei dati applicabile e per implementare ulteriori disposizioni contrattuali richieste dal GDPR.

Norme vincolanti d’impresa (BCR): Le Norme vincolanti d’impresa (BCR) sono politiche di protezione dei dati a livello aziendale approvate dalle autorità europee per la protezione dei dati per facilitare i trasferimenti intragruppo di dati personali dallo Spazio economico europeo (“SEE”) a Paesi al di fuori del SEE. Le BCR si basano su rigorosi principi di privacy stabiliti dai garanti per la protezione dei dati dell’Unione europea e richiedono un’intensa consultazione con tali autorità. Gli abbonati possono trovare l’elenco completo delle entità approvate nell’elenco delle Norme vincolanti d’impresa approvate qui. Nel 2017 Zendesk ha completato il processo di approvazione dell’UE delle BCR con il Commissario irlandese per la protezione dei dati (“DPC”) (esaminate dall’Ufficio del Commissario per le Informazioni del Regno Unito e dal garante olandese per la protezione dei dati) in qualità di responsabile del trattamento e titolare del trattamento. Questa significativa approvazione normativa ha validato l’introduzione, da parte di Zendesk, dei più elevati standard possibili di protezione dei dati personali a livello globale, così tutelando sia i dati personali dei suoi clienti che dei suoi dipendenti. Zendesk è una delle prime società di software al mondo ad aver ricevuto l’approvazione delle proprie BCR ed è stata la seconda società in assoluto a ricevere l’approvazione del DPC irlandese.

Per accedere alle BCR dell’UE di Zendesk e agli addendum del Regno Unito, visitare:

• Norme vincolanti d'impresa (BCR) di Zendesk per Titolare e Responsabile del trattamento dei dati

Richieste degli Interessati: Una persona fisica che cerca di esercitare i propri diritti di protezione dei dati in relazione ai dati personali da noi memorizzati o trattati per conto di un nostro abbonato all’interno dei Dati di Servizio dell'abbonato (incluso per cercare di accedere a, o per rettificare, modificare, cancellare, trasmettere o limitare il trattamento di tali dati personali) dovrebbe indirizzare la sua richiesta al nostro abbonato (il titolare del trattamento). Al ricevimento di una richiesta da parte di uno dei nostri sottoscrittori di rimuovere dati personali da Zendesk, risponderemo a tale richiesta entro trenta (30) giorni. Conserveremo i dati personali in nostro possesso che trattiamo per conto dei nostri abbonati per il tempo necessario a fornir loro i Servizi.

La piattaforma di Zendesk per la gestione delle richieste degli interessati è disponibile tramite questo modulo web: https://www.zendesk.com/datasubjectrequest/

La certificazione HDS consente agli operatori sanitari in Francia di utilizzare la piattaforma Zendesk per il servizio clienti e l’engagement con la certezza che siano in vigore adeguate misure tecniche e di governance per garantire la sicurezza e la protezione dei dati sanitari personali (PHI). Maggiori informazioni sono disponibili qui.

Il Privacy Act della Nuova Zelanda del 2020, entrato in vigore il 1° dicembre 2020, si applica alle agenzie e mantiene l’impianto normativo basato su principi già previsto dalla legge del 1993. La legge del 2020 stabilisce che le organizzazioni sono responsabili di garantire che le informazioni personali inviate al di fuori della Nuova Zelanda siano adeguatamente protette e aggiungano requisiti obbligatori di notifica delle violazioni. https://www.zendesk.com/company/anz-privacy/

La legge sulla protezione dei dati personali di Singapore stabilisce le leggi sulla protezione dei dati che disciplinano la raccolta, l’uso e la divulgazione di dati personali a partire dal 2 luglio 2014. Zendesk è un Data Intermediary Infocomm Development Authority of Singapore (Ida) riconosciuto come fornitore di servizi Software-as-a-Service (“SaaS”). Maggiori informazioni sono disponibili qui.

Il Regno Unito è uscito dall’Unione europea il 31 gennaio 2020. Il 28 giugno 2021, la Commissione europea ha adottato decisioni di adeguatezza per i trasferimenti di dati personali nel Regno Unito ai sensi del GDPR.

Per ottenere un Account abilitato per HIPAA, è necessario (1) acquistare il Servizio associato alla sicurezza avanzata o il Componente aggiuntivo di servizio associato alla conformità avanzata; (2) abilitare una serie di configurazioni di sicurezza come delineato da Zendesk; e (3) sottoscrivere il nostro Accordo di associazione aziendale (“BAA”). Per ulteriori dettagli, incluso un elenco dei servizi che possono essere abilitati per HIPAA, consultare Conformità avanzata.

Tutti i modelli sviluppati da Zendesk sono modelli di classificazione e di clustering: ciò significa che sono addestrati a leggere e classificare gli input in una delle categorie stabilite da Zendesk. Poiché questi modelli non sono generativi, nessun contenuto viene prodotto dal modello e non è possibile che i dati di addestramento vengano replicati dal modello.

Zendesk utilizza i Dati di Servizio del cliente per addestrare i modelli di apprendimento automatico?

Zendesk offre tre tipi di funzionalità di machine learning:

1. Apprendimento automatico specifico per account: Zendesk crea modelli di classificazione o clustering del machine learning personalizzati per l'account di un cliente utilizzando solo i dati esistenti nell'account. I modelli specifici per l’account non saranno utilizzati da nessun altro cliente.

2. Apprendimento automatico generico: Zendesk utilizza i Dati di Servizio per addestrare i propri modelli generici di machine learning tra account affinché siano predittivi e utili per più clienti Zendesk. Questi includono modelli globali e di settore. Questi modelli non divulgheranno mai i Dati di Servizio di un cliente a un altro cliente perché non sono “generativi” (ovvero, non creano testo - si veda la sezione relativa alla sicurezza dei modelli).

3. Funzionalità di AI generativa: Tutte le funzionalità di intelligenza artificiale generativa sono alimentate da LLM di terze parti. Questi modelli sono pre-addestrati e i dati dei clienti Zendesk non saranno mai utilizzati dal fornitore LLM di terze parti per addestrare il/i loro modello/i. Ulteriori informazioni su intelligenza artificiale generativa in Zendesk.

In che modo Zendesk protegge i Dati di Servizio quando questi vengono utilizzati per l'addestramento dei modelli? Prima che i Dati di Servizio vengano utilizzati per addestrare funzionalità di ML generiche, Zendesk applica processi di aggregazione e sanificazione, se necessario. Nessun campo progettato per l'acquisizione di dati personali o allegati ai ticket viene utilizzato per l'addestramento del modello. Zendesk si impegna a garantire che nessun dato di servizio venga riprodotto dal modello. Non esiste alcun rischio che i dati di un cliente vengano esposti a un altro cliente tramite l’output del modello. Vedere Informazioni sull’utilizzo dei dati AI.

I modelli di apprendimento automatico non generativo vengono valutati utilizzando dati annotati manualmente. Questo è lo standard di riferimento nella qualità delle etichette e fornisce a Zendesk il modo più affidabile per valutare i modelli di classificazione.

Le allucinazioni sono un rischio intrinseco per le funzionalità di intelligenza artificiale generativa. Zendesk intraprende tre azioni per mitigare questo rischio:

• Zendesk utilizza la tecnica RAG (Retrieval Augmented Generation) per garantire che le risposte generate o i risultati della ricerca si basino su contenuti specifici della knowledge base

• Il team di sviluppo di Zendesk controlla regolarmente le risposte che hanno ricevuto feedback negativi dagli utenti finali per individuare eventuali allucinazioni e sviluppare strumenti in grado di rilevare e prevenire automaticamente tali scenari.

• Zendesk ha sviluppato una piattaforma di benchmarking per valutare in modo sistematico i LLM utilizzando un Golden data set e annotazioni manuali. Basare la valutazione su dati realistici e supervisione umana riduce il rischio che il modello non funzioni come previsto.

Tutti i Dati di Servizio sono ospitati nelle regioni AWS esistenti di Zendesk, ad eccezione di alcune funzionalità offerte attraverso acquisizione come QA e Agenti AI - Avanzati che potrebbero rimanere ospitate su Google Cloud Platform (GCP) negli Stati Uniti e/o in Europa per un certo periodo, fino alla completa integrazione in Zendesk. Per le sedi di hosting dei sub-responsabili del trattamento, consultare la Politica dei sub-responsabili del trattamento di Zendesk.

L'uso di Zendesk AI non influisce sugli impegni relativi alla localizzazione dei dati dell'abbonato, compresi quelli del componente aggiuntivo Ubicazione data center. I Dati del Servizio degli clienti idonei continueranno a essere ospitati nella regione selezionata.

Tutti i prodotti e le funzionalità di Zendesk sono progettati tenendo conto della privacy, e Zendesk AI non è da meno.

I clienti sono in grado di attenersi a varie leggi sulla privacy (tra cui il Regolamento generale sulla protezione dei dati [RGPD] e la legge californiana sulla privacy del consumatore [CCPA]) quando utilizzano Zendesk, comprese le funzionalità di Zendesk AI.

Funzionalità di minimizzazione dei dati

Zendesk offre programmi di cancellazione dei dati di ticket e utente finale già disponibili di default, indipendentemente dal piano sottoscritto. Per i clienti con Protezione e privacy dei dati avanzate aventi requisiti più specifici di eliminazione dei dati, Zendesk offre inoltre politiche di conservazione dei dati avanzate, che consentono di creare programmi di eliminazione condizionati.

Inoltre, tutti i clienti Zendesk hanno accesso a funzionalità di mascheramento testo di tipo standard, in modo che i contenuti sensibili dei ticket possano essere oscurati in modo permanente. I clienti con Protezione e privacy dei dati avanzate hanno anche accesso alla nostra funzionalità Suggerimenti di mascheramento testo basati sull’AI, che evidenzia automaticamente alcuni tipi di dati all’interno dei ticket per consentire agli agenti di oscurarli rapidamente.

Funzionalità di notifica e consenso

Il livello di privacy di Zendesk va oltre la semplice minimizzazione dei dati: vengono infatti offerte opzioni native di notifica e/o consenso per gli utenti finali, integrate in modo fluido negli strumenti.

Per i clienti Voce, Zendesk offre opzioni avanzate per fornire avvisi e/o raccogliere il consenso dai clienti nelle conversazioni telefoniche del servizio assistenza. I clienti possono scegliere tra un semplice messaggio di saluto o richiedere un consenso proattivo per procedere, e tutti i messaggi di saluto forniscono script standard o possono essere personalizzati in base allo stile aziendale.

Per i clienti che si servono della messaggistica, Zendesk integra perfettamente un avviso di privacy nativo che consente ai clienti di mostrare i propri termini legali agli utenti finali che utilizzano la chat. Ciò consente agli utenti delle chat di essere immediatamente informati sulle pratiche di privacy del cliente, riducendo le problematiche comuni legate alla privacy.

Zendesk AI è coperto dal BAA, Business Associate Agreement (Contratto di società in affari) di Zendesk.

Gli abbonati interessati a sottoscrivere un BAA con Zendesk devono poter disporre del componente aggiuntivo Conformità avanzata.

Politica di accessibilità	Gli abbonati possono utilizzare il nostro Modello di accessibilità volontaria del prodotto per effettuare le valutazioni preliminari.
Codice di condotta ed etica aziendale	Standard minimi attesi dai nostri dirigenti, funzionari, dipendenti e lavoratori interinali nell’espletamento della nostra attività.
Politica sui cookie	Informazioni dettagliate su come e quando utilizziamo i cookie sui siti web di Zendesk.
Informativa sui cookie interni al prodotto	Fornisce informazioni su come e quando Zendesk utilizza i cookie all'interno dei Servizi Zendesk.
Notifica di infrazione del copyright e Politica di rimozione	Come Zendesk gestisce le notifiche di infrazione.
Politica di eliminazione dei dati	Come vengono eliminati i Dati di Servizio dei nostri abbonati in relazione alla cancellazione, risoluzione o migrazione di un Account all’interno dei Servizi Zendesk.
Politica sulle richieste legali o governative	Verte sulla procedura di Zendesk per rispondere a una richiesta delle forze dell’ordine o di altra autorità governativa.
Informativa sulla privacy	Descrive come Zendesk raccoglie, utilizza, condivide e protegge i dati personali.
Politica regionale sull’hosting dei dati	Dove i Dati di Servizio Zendesk possono essere ospitati se un abbonato acquista o abilita il componente aggiuntivo Ubicazione data center.
Politica di divulgazione responsabile	Programmi per ricercatori di sicurezza per segnalare rilevamenti di vulnerabilità di sicurezza nei Servizi Zendesk.

Ulteriori politiche di Zendesk sono disponibili qui.