Politica di Uso dei Dati e dell'MCP per i Partner

L'accesso ai dati dei clienti, alla piattaforma Tailor.ia e all'MCP è subordinato all'esistenza di un contratto di partnership firmato e in vigore tra Tailor.ia e il partner. Non è previsto alcun accesso informale, di cortesia, di prova prolungata o su segnalazione di terzi.

Il contratto di partnership incorpora per riferimento questa Politica, il DPA, i Termini di Utilizzo e la Politica di WhatsApp Compliance.

Sono condizioni cumulative per l'abilitazione del partner:

Contratto di partnership firmato dai rappresentanti legali e nel periodo di validità;

Indicazione formale di un responsabile tecnico e di un responsabile della sicurezza delle informazioni;

Accettazione espressa di questa Politica da parte delle persone che riceveranno l'accesso;

Registrazione nominativa degli utenti che opereranno sulla piattaforma o sull'MCP.

Un contratto concluso, risolto, sospeso o scaduto comporta la cessazione immediata dell'accesso, senza necessità di preavviso.

Per tutta la durata della partnership, il partner si obbliga a mantenere, come minimo:

Autenticazione a più fattori (MFA) su tutti gli account con accesso alla piattaforma Tailor.ia, all'MCP e alle e-mail aziendali associate;

Account nominativi e individuali — è vietata la condivisione di credenziali tra persone, l'uso di account generici e il trasferimento dell'accesso a subappaltatori senza previa autorizzazione scritta;

Revoca dell'accesso entro 24 ore in caso di cessazione del rapporto o cambio di ruolo di qualsiasi utente abilitato;

Dispositivi gestiti, con disco crittografato, sistema operativo supportato e protezione da malware;

Rete e ambiente senza esposizione pubblica di credenziali, token o dump di dati in repository, fogli condivisi o canali di messaggistica;

Registro degli accessi conservato dal partner per almeno 12 mesi.

Tailor.ia può richiedere in qualsiasi momento evidenza documentale del rispetto di questi requisiti.

L'MCP di Tailor.ia è remoto, autenticato per utente e isolato per cliente: ogni persona accede solo ai dati dei clienti ai quali è stata formalmente associata da Tailor.ia.

Ambito per cliente: il partner può collegare l'MCP solo agli account di clienti per i quali esista un'autorizzazione registrata del cliente stesso e di Tailor.ia.

Host consentiti: l'MCP deve essere utilizzato solo su host ufficiali e aggiornati (Claude Desktop, Claude Code, Cursor e altri host omologati da Tailor.ia). È vietato fare da intermediario all'MCP tramite proxy, gateway o agenti propri senza previa omologazione.

Nessuna chiave condivisa: non esiste alcuna chiave API da trasmettere. I tentativi di estrarre, replicare, archiviare o condividere token di sessione costituiscono una violazione grave di questa Politica.

Automazione: le esecuzioni automatizzate, pianificate o in batch sull'MCP richiedono la previa autorizzazione scritta di Tailor.ia, con limiti di volume e di finalità definiti caso per caso.

Tutte le chiamate all'MCP sono registrate e attribuite all'utente autenticato.

I dati a cui il partner accede appartengono al cliente finale. Il partner agisce come sub-responsabile del trattamento, trattando i dati esclusivamente per eseguire i servizi contrattati dal cliente e secondo le istruzioni documentate di Tailor.ia e del cliente.

Usi consentiti: operatività e configurazione dei percorsi contrattati, analisi delle prestazioni dell'operatività del cliente stesso, supporto e diagnostica tecnica.

È espressamente vietato:

Esportare dati personali in massa, salvo autorizzazione scritta e finalità delimitata;

Usare i dati di un cliente a beneficio di un altro cliente, del partner stesso o di terzi;

Arricchire, incrociare o rivendere basi di dati ottenute tramite Tailor.ia;

Utilizzare i dati dei clienti per addestrare, ottimizzare o valutare modelli di IA propri o di terzi;

Archiviare dati al di fuori degli ambienti omologati, inclusi fogli di calcolo locali, drive personali e strumenti non approvati;

Effettuare invii, campagne o contatti non previsti nell'ambito contrattuale e nell'opt-in dell'interessato;

Test di sicurezza, scansioni o reverse engineering sulla piattaforma o sull'MCP senza autorizzazione scritta.

Al partner si applicano i principi di finalità, necessità e minimizzazione previsti dalla LGPD (la legge brasiliana sulla protezione dei dati): si accede al minimo di dati necessario per il compito.

Un partner compromesso non opera. Se il partner subisce un'intrusione, una fuga di dati, un sequestro di dati (ransomware), la compromissione di account, dispositivi o credenziali — anche in assenza di evidenza di accesso indebito ai dati di Tailor.ia —, si applicano le regole seguenti.

Notifica entro 24 ore: il partner deve comunicare a Tailor.ia, all'indirizzo [email protected], entro 24 ore dalla conoscenza dell'incidente, indicando natura, vettore identificato, sistemi e account interessati, periodo di esposizione e misure già adottate.

Sospensione preventiva immediata: Tailor.ia sospende l'accesso del partner alla piattaforma e all'MCP e revoca le sessioni attive, indipendentemente dal fatto che l'incidente abbia origine nei sistemi del partner o di terzi da esso incaricati. La sospensione è una misura di contenimento, non una sanzione, e prescinde dalla colpa.

Autosospensione: al momento dell'individuazione dell'incidente, il partner deve interrompere immediatamente l'uso della piattaforma e dell'MCP, senza attendere una comunicazione di Tailor.ia.

Ripresa condizionata: l'accesso viene ripristinato solo dopo che il partner abbia presentato, e Tailor.ia abbia accettato: report dell'incidente con causa radice, prova del contenimento e dell'eradicazione, rotazione di tutte le credenziali coinvolte, reinstallazione o bonifica dei dispositivi interessati e piano di correzione con scadenze.

Cooperazione: il partner deve cooperare pienamente all'indagine, conservare prove e log e supportare Tailor.ia e il cliente nelle comunicazioni all'ANPD (l'Autorità nazionale brasiliana per la protezione dei dati) e agli interessati, quando richieste dalla LGPD.

Incidenti ripetuti, omessa notifica o rifiuto di cooperare comportano la risoluzione della partnership.

L'uso del marchio Tailor.ia e del sigillo "Partner Tailor.ia" su siti, materiali, proposte, firme e social network è una licenza revocabile, non esclusiva e non trasferibile, valida solo finché la partnership è attiva e in regola con i pagamenti.

Tailor.ia può ritirare il sigillo e revocare l'uso del marchio, a propria discrezione e previa comunicazione, nei seguenti casi, tra gli altri:

Conclusione, risoluzione, sospensione o scadenza del contratto di partnership;

Incidente di sicurezza non notificato, gestito male o ripetuto;

Violazione di questa Politica, del DPA o delle policy su WhatsApp e anti-spam;

Uso improprio dei dati dei clienti;

Comunicazione ingannevole sull'ambito della partnership, su certificazioni inesistenti o su risultati attribuiti a Tailor.ia;

Condotta che esponga i clienti di Tailor.ia a rischi reputazionali, legali o di sicurezza.

Una volta ritirato il sigillo, il partner deve rimuovere ogni riferimento alla partnership e al marchio Tailor.ia entro 5 giorni lavorativi, su tutti i canali propri e di terzi sotto il suo controllo.

Il ritiro del sigillo può avvenire singolarmente o insieme alla sospensione dell'accesso, in base alla gravità del caso.

Tailor.ia registra e monitora gli accessi del partner alla piattaforma e all'MCP, inclusi autenticazioni, consultazioni, volumi e modelli di utilizzo.

Schemi anomali — volume atipico di consultazioni, accessi al di fuori dell'ambito autorizzato, orari incompatibili con l'operatività, tentativi di esportazione in massa — possono determinare un blocco automatico e preventivo fino a chiarimento.

Tailor.ia può effettuare un audit documentale della conformità del partner a questa Politica, con preavviso di 10 giorni lavorativi, o immediatamente in caso di incidente.

Il partner deve rispondere ai questionari di sicurezza e alle richieste di evidenze entro 10 giorni lavorativi.

Terminata la partnership, per qualsiasi motivo:

Tutti gli accessi, le sessioni e le connessioni MCP sono revocati alla data di cessazione;

Il partner deve eliminare, entro 30 giorni, tutte le copie locali dei dati dei clienti ottenuti tramite Tailor.ia e comprovare l'eliminazione con dichiarazione firmata;

Il sigillo e il marchio Tailor.ia devono essere rimossi da tutti i canali entro 5 giorni lavorativi;

Restano in vigore, dopo la cessazione, gli obblighi di riservatezza, di protezione dei dati e di non utilizzo delle basi di dati a cui si è avuto accesso.

La restituzione dei dati al cliente finale è gestita da Tailor.ia direttamente con il cliente, non dal partner.

Questa Politica è in vigore per tutta la durata della partnership e fa parte del contratto firmato tra le parti.

Le modifiche sostanziali sono comunicate al partner con 30 giorni di anticipo. Le modifiche richieste dalla legge, da disposizione di un'autorità o da urgente necessità di sicurezza possono avere efficacia immediata.

Il mancato rispetto di questa Politica espone il partner, in base alla gravità e in modo cumulativo, a: richiamo formale, sospensione dell'accesso, ritiro del sigillo di partner, risoluzione del contratto e responsabilità per perdite e danni causati a Tailor.ia, ai clienti e agli interessati.

In caso di conflitto tra questa Politica e il contratto di partnership, prevale la disposizione più protettiva dei dati personali e della sicurezza dei clienti.