Contratto di trattamento dei dati

1. Ruoli e ambito

Quando utilizzate il Servizio per trattare dati personali relativi a vostri clienti, contatti, potenziali clienti e altri terzi, agite in qualità di Titolare del trattamento, determinando le finalità e i mezzi, e noi agiamo in qualità di vostro Responsabile del trattamento, trattando tali dati personali unicamente per vostro conto e secondo le vostre istruzioni. Il presente CTD disciplina tale rapporto. Il trattamento dei vostri dati di account, per i quali siamo titolari, è disciplinato dalla nostra Informativa sulla privacy e non dal presente CTD.

2. Definizioni

I termini quali «dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «sub-responsabile», «interessato» e «violazione dei dati personali» hanno il significato loro attribuito dalla nLPD e dal GDPR. Per «Dati personali dei clienti» si intendono i dati personali presenti nei contenuti che trattate tramite il Servizio.

3. Oggetto, durata, natura e finalità

• Oggetto: la fornitura del Servizio come descritta nelle Condizioni.
• Durata: per tutto il tempo in cui utilizzate il Servizio e successivamente fino alla cancellazione o restituzione dei Dati personali dei clienti conformemente alla sezione 12.
• Natura e finalità: l'hosting, la memorizzazione, l'organizzazione, la trasmissione e ogni altro trattamento dei Dati personali dei clienti al solo scopo di fornire, proteggere, mantenere e supportare le funzionalità che utilizzate, comprese la fatturazione, la gestione di clienti e potenziali clienti, l'archiviazione di documenti, la posta elettronica e le funzionalità di IA da voi richiamate.

4. Categorie di dati e interessati

Le categorie di dati personali e di interessati sono determinate da voi attraverso l'uso del Servizio. Di norma comprendono:

• Interessati: i vostri clienti, potenziali clienti e lead, il loro personale e le loro persone di contatto, i vostri corrispondenti e qualsiasi persona che registrate nei vostri dati aziendali.
• Categorie di dati: dati identificativi e di contatto (nome, indirizzo, e-mail, telefono), dati commerciali e transazionali (preventivi, fatture, pagamenti, progetti, registrazioni dei tempi), contenuto di contratti e documenti, contenuto delle e-mail e altri dati che scegliete di inserire.
• I dati che il Servizio stesso raccoglie sui vostri interessati, come conseguenza delle funzionalità che utilizzate: la prova di firma quando un contratto o un preventivo viene firmato elettronicamente (indirizzo e-mail del firmatario, indirizzo IP, browser, marca temporale, codice monouso di conferma e immagine della firma tracciata); le coordinate di una sessione di lavoro se avete attivato la posizione sul timer; e il fatto che un'e-mail da voi inviata sia stata aperta e quali link siano stati cliccati.
• È vostra responsabilità non inserire categorie particolari di dati né dati non necessari alle vostre finalità; il Servizio non è progettato per trattare dati personali sensibili. I dati di posizione e le immagini di firma sono dati personali che meritano particolare cura - attivate e usate queste funzionalità solo se disponete di una base giuridica per farlo.

5. Istruzioni

Trattiamo i Dati personali dei clienti solo in base alle vostre istruzioni documentate, anche in materia di trasferimenti, salvo che il diritto applicabile ci imponga di agire diversamente; in tal caso vi informiamo di tale obbligo legale prima del trattamento, salvo che la legge lo vieti. Il vostro utilizzo del Servizio e delle sue impostazioni, unitamente alle Condizioni e al presente CTD, costituiscono le vostre istruzioni complete e documentate. Vi informiamo se, a nostro avviso, un'istruzione viola il diritto applicabile in materia di protezione dei dati.

6. Riservatezza

Garantiamo che le persone autorizzate a trattare i Dati personali dei clienti siano vincolate alla riservatezza e adeguatamente formate e istruite. L'accesso è limitato a coloro che ne hanno bisogno per fornire, proteggere o supportare il Servizio.

7. Misure tecniche e organizzative

Attuiamo misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, tra cui:

• Sicurezza a livello di riga nella banca dati, cosicché ogni account acceda solo alle proprie righe e i dati di un cliente siano isolati da quelli di un altro;
• Cifratura dei dati durante il trasferimento (TLS/HTTPS) nell'intero Servizio e presso i suoi sub-responsabili;
• La banca dati principale ospitata in Svizzera (regione di Zurigo), con archiviazione file privata accessibile solo tramite collegamenti firmati a breve durata;
• Controlli di autenticazione, compresa l'autenticazione a due fattori facoltativa, e accesso secondo il principio del privilegio minimo, con le operazioni privilegiate limitate a ruoli lato server rigorosamente delimitati;
• Registrazione di audit delle azioni rilevanti per la sicurezza e un'esportazione dei dati in self-service che vi consente di conservare copie di sicurezza proprie;
• Manutenzione, applicazione di patch e revisione continue del Servizio e delle sue dipendenze.

Possiamo aggiornare queste misure nel tempo, purché il livello di sicurezza non sia sostanzialmente ridotto.

8. Sub-responsabili

Ci concedete un'autorizzazione generale a ricorrere ai sub-responsabili elencati di seguito per fornire il Servizio. Ciascun sub-responsabile è vincolato da un accordo scritto che impone obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente CTD e restiamo responsabili nei vostri confronti del loro operato.

Vi informeremo di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile, offrendovi una ragionevole possibilità di opporvi per validi motivi di protezione dei dati. Se vi opponete e non possiamo offrire un'alternativa ragionevole, potete recedere dalla parte interessata del Servizio. Per essere informati delle modifiche, contattate support@solory.ch.

8a. Tracciamento delle e-mail e canali che collegate

Le e-mail inviate per vostro conto tramite il Servizio contengono una misurazione di aperture e clic: una piccola immagine invisibile e link instradati attraverso il nostro fornitore di posta, così che la cronologia dei messaggi possa mostrarvi se un messaggio è stato aperto e quali link sono stati seguiti. Si tratta di un trattamento di dati personali dei vostri interessati, eseguito su vostra istruzione per il fatto che utilizzate la funzionalità.

Preferiamo che ne conosciate il limite anziché scoprirlo, e preferiamo indicarlo con esattezza anziché addossarlo a qualcun altro. Il tracciamento è configurato una volta per ogni dominio di invio verificato: è attivo o disattivo per tutto ciò che parte da quel dominio. Il nostro fornitore di posta offre in effetti un interruttore per singolo messaggio, e il nostro codice è già in grado di trasmetterlo, ma nulla nel prodotto lo imposta - oggi non possiamo quindi accogliere un'opposizione disattivando il tracciamento per uno dei vostri clienti e lasciandolo attivo per gli altri. È un nostro limite, non del fornitore, ed è un limite che intendiamo rimuovere. Nel frattempo, valutare se quella misurazione sia lecita e proporzionata verso i vostri destinatari, e informarne i destinatari nella vostra informativa privacy, spetta a voi in quanto titolari.

Google Calendar, Telegram e Discord sono DISATTIVATI finché non li collegate. Google Calendar riceve gli eventi che scegliete di sincronizzare, con titoli, descrizioni, luoghi e orari. L'assistente Telegram riceve i messaggi che scambiate con esso, che contengono ciò su cui lo avete interrogato. Un webhook Discord riceve le notifiche che scegliete di inoltrare, che nominano il cliente o la fattura interessati. Telegram e Discord sono piattaforme di messaggistica per il grande pubblico; non sono vincolate a noi da alcun contratto di trattamento, e ciò che vi instradate lascia la nostra infrastruttura. Collegarle è una vostra istruzione e una vostra responsabilità, e non consiglieremmo di farvi transitare Dati personali dei clienti.

9. Trasferimenti internazionali

I Dati personali dei clienti sono conservati principalmente in Svizzera. Ove un sub-responsabile tratti dati nell'UE o negli Stati Uniti (come indicato sopra), ogni trasferimento all'estero è protetto da un riconoscimento di adeguatezza oppure dalle clausole contrattuali tipo della Commissione europea con l'addendum svizzero riconosciuto dall'IFPDT, oltre a misure tecniche supplementari quali la cifratura durante il trasferimento.

10. Assistenza al Titolare del trattamento

Tenuto conto della natura del trattamento, vi assistiamo con misure tecniche e organizzative adeguate, nella misura del possibile, nell'adempimento del vostro obbligo di dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione e limitazione). Gli strumenti integrati di esportazione, modifica e cancellazione del Servizio costituiscono il mezzo principale di tale assistenza. Su vostra richiesta e tenuto conto delle informazioni a nostra disposizione, vi assistiamo inoltre nei vostri obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto.

11. Violazione dei dati personali

Vi informeremo senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati che riguardi i Dati personali dei clienti e forniremo le informazioni ragionevolmente a nostra disposizione per aiutarvi ad adempiere ai vostri obblighi di notifica all'autorità competente (l'IFPDT in Svizzera) e agli interessati. Le notifiche sono inviate all'indirizzo e-mail del vostro account; mantenetelo aggiornato. Per le questioni di sicurezza potete contattarci all'indirizzo support@solory.ch.

12. Cancellazione o restituzione al termine

Potete esportare i Dati personali dei clienti in qualsiasi momento mediante l'esportazione integrata. Al termine del Servizio, e a vostra scelta, cancelleremo o restituiremo i Dati personali dei clienti e cancelleremo le copie esistenti, salvo che il diritto applicabile ne imponga la conservazione. Quando cancellate il vostro account, la cancellazione segue il periodo di grazia di 30 giorni e il processo di anonimizzazione descritti nella nostra Informativa sulla privacy, dopodiché le copie residue sono rimosse dai sistemi attivi ed eliminate dai backup nel normale ciclo di backup.

Due categorie sopravvivono deliberatamente, e un titolare dovrebbe sapere quali prima di fare affidamento sulla cancellazione. Le fatture, i pagamenti registrati su di esse e le spese dedotte sono conservati dieci anni dalla fine dell'esercizio, perché l'art. 958f CO lo impone a noi come a voi; i dati personali che vi sono legati vengono ripuliti nella misura in cui il documento conserva senso senza di essi. I contratti e i preventivi firmati elettronicamente sono conservati con la relativa prova di firma, perché non spetta a una sola parte cancellare un accordo concluso, e una firma cancellabile non prova nulla.

Se un passaggio della cancellazione fallisce, la richiesta resta aperta e viene ritentata all'esecuzione successiva invece di essere registrata come completata. Non dichiareremo conclusa una cancellazione se anche solo una sua parte non lo è.

13. Audit

Mettiamo a vostra disposizione le informazioni ragionevolmente necessarie a dimostrare il rispetto del presente CTD, compresi questo documento, la nostra Informativa sulla privacy e la descrizione delle nostre misure. Qualora necessitiate di ulteriori informazioni di audit, potete presentare una richiesta scritta ragionevole non più di una volta all'anno; possiamo soddisfarla mediante documentazione aggiornata, risposte a un questionario o rapporti di terzi disponibili sui nostri sub-responsabili, in modo da non compromettere la sicurezza o la riservatezza dei dati di altri clienti. Gli audit in loco, se convenuti come necessari, si svolgono durante l'orario lavorativo, con ragionevole preavviso e a vostre spese.

14. Responsabilità e prevalenza

Le disposizioni sulla responsabilità delle Condizioni di servizio si applicano al presente CTD. In caso di conflitto tra il presente CTD e le Condizioni riguardo al trattamento dei Dati personali dei clienti, prevale il presente CTD; in caso di conflitto con clausole contrattuali tipo stipulate tra le parti o con un sub-responsabile, tali clausole prevalgono nella misura del conflitto.

15. Diritto applicabile

Il presente CTD è disciplinato dal diritto svizzero, con foro esclusivo a Zurigo, Svizzera, fatto salvo ogni foro legale imperativo. Contatto per le questioni di protezione dei dati: Alex Földvári, Im Sand 4, 8105 Watt, Svizzera, support@solory.ch.