Accordo sul trattamento dei dati

1. Ambito e parti

Il presente Accordo sul trattamento dei dati («Accordo») fa parte dei Termini e condizioni tra ABIT Technology, Adrian Shajkofci (CHE-233.067.408), Rue des Champs du Bourg 28, 1920 Martigny, Svizzera («Responsabile») e l’organizzazione che usa Demo-Creator («Cliente»). Si applica quando il Responsabile tratta dati personali per conto del Cliente nel fornire Demo-Creator e attua l’articolo 28 del GDPR e l’articolo 9 della legge federale svizzera sulla protezione dei dati (LPD).

L’Accordo entra in vigore quando il Cliente accetta i Termini e non richiede firma. Una copia controfirmata è disponibile su richiesta.

2. Oggetto, durata e finalità

Il Responsabile tratta dati personali per ospitare, gestire, proteggere e assistere Demo-Creator come descritto nei Termini e nel manuale d’uso, per tutto il tempo in cui il Cliente usa il servizio e fino alla cancellazione prevista dalla sezione 11. Il trattamento comprende archiviazione, visualizzazione, pubblicazione su istruzione del Cliente, traduzione e narrazione su richiesta, statistiche, notifiche e backup.

3. Interessati e categorie di dati

Gli interessati sono i membri dello spazio di lavoro del Cliente, le persone che guardano le sue demo, i partecipanti alle sue formazioni e chi invia i suoi moduli di contatto o è indicato nei suoi link personali.

I dati comprendono nomi, indirizzi email, dati di account e di ruolo; contenuti che il Cliente carica o registra, inclusi screenshot che possono mostrare dati personali; attività di visualizzazione come identificativi di sessione, passaggi visti, tempi, categoria di dispositivo e paese approssimativo; avanzamento, risposte, punteggi e certificati della formazione; e i dati dei moduli di contatto. Il Cliente non inserisce categorie particolari di dati personali, salvo che ciò sia necessario e lecito.

4. Istruzioni del Cliente

Il Responsabile tratta i dati personali solo su istruzione documentata del Cliente, data dai Termini, dal presente Accordo e dall’uso e dalla configurazione di Demo-Creator da parte del Cliente. Se la legge impone un trattamento diverso, il Responsabile ne informa prima il Cliente, salvo divieto di legge. Il Responsabile informa il Cliente se ritiene che un’istruzione violi la normativa sulla protezione dei dati.

5. Riservatezza

Le persone autorizzate a trattare i dati personali sono vincolate alla riservatezza e vi accedono solo nella misura necessaria per fornire, proteggere o assistere il servizio.

6. Sicurezza

Il Responsabile attua le misure tecniche e organizzative descritte nell’allegato e nella pagina Sicurezza e le mantiene adeguate al rischio. Può aggiornarle purché il livello complessivo di protezione non diminuisca.

7. Sub-responsabili

Il Cliente autorizza i sub-responsabili elencati nella pagina Sicurezza. Il Responsabile impone a ciascuno obblighi di protezione dei dati equivalenti al presente Accordo e resta responsabile del loro operato.

Il Responsabile annuncia ogni nuovo sub-responsabile in quella pagina almeno 30 giorni prima che inizi a trattare dati personali. Il Cliente può opporsi per ragionevoli motivi di protezione dei dati; se non si trova una soluzione, può recedere dal servizio interessato e ottenere il rimborso proporzionale degli importi pagati in anticipo.

8. Trasferimenti internazionali

I dati personali sono ospitati nell’UE. Se un sub-responsabile li tratta in un paese senza una decisione di adeguatezza riconosciuta dalla Svizzera o dall’UE, il trasferimento si basa sulle clausole contrattuali tipo della Commissione europea, con gli adattamenti necessari per la Svizzera, o su un altro meccanismo di trasferimento valido.

9. Assistenza

Tenuto conto della natura del trattamento, il Responsabile aiuta il Cliente a rispondere alle richieste degli interessati, soprattutto tramite le funzioni di esportazione, modifica e cancellazione di Demo-Creator, e fornisce informazioni ragionevoli per valutazioni d’impatto e consultazioni con le autorità di controllo.

10. Violazioni dei dati personali

Il Responsabile informa il Cliente senza ingiustificato ritardo e al più tardi entro 72 ore dal momento in cui viene a conoscenza di una violazione che riguarda i dati personali del Cliente. La notifica descrive la natura della violazione, le categorie e il numero approssimativo di interessati e registrazioni coinvolti se noti, le conseguenze probabili e le misure adottate o proposte, ed è integrata man mano che emergono informazioni.

11. Cancellazione e restituzione

Durante il contratto, il Cliente può esportare ed eliminare i propri contenuti in qualsiasi momento. Dopo l’eliminazione dell’organizzazione del Cliente o la fine del contratto, il Responsabile cancella i dati personali del Cliente dai sistemi attivi entro 30 giorni; le copie nei backup scadono con la rotazione di 30 giorni. Ciò non vale per i dati che il Responsabile deve conservare per legge, come i documenti di fatturazione.

12. Informazioni e audit

Il Responsabile mette a disposizione le informazioni necessarie per dimostrare il rispetto del presente Accordo, tra cui la pagina Sicurezza e le risposte a ragionevoli questionari di sicurezza. Se non è sufficiente, il Cliente può svolgere un audit a proprie spese, con 30 giorni di preavviso, in orario lavorativo e non più di una volta all’anno, salvo diversa richiesta di un’autorità di controllo o in caso di violazione dei dati.

13. Responsabilità e prevalenza

La responsabilità ai sensi del presente Accordo segue i Termini. Se il presente Accordo contrasta con i Termini in materia di protezione dei dati personali, prevale il presente Accordo. Come i Termini, è disciplinato dal diritto svizzero, fatto salvo il diritto imperativo in materia di protezione dei dati.

Allegato: misure tecniche e organizzative

• Hosting in un data center OVHcloud in Germania (UE), con backup giornalieri conservati per 30 giorni.
• Crittografia in transito con HTTPS (TLS 1.2 o successivo); segreti cifrati a riposo con AES-256-GCM; password conservate come hash scrypt con salt.
• Accesso basato sui ruoli in ogni organizzazione, accesso unico facoltativo, sessioni revocabili ed email verificata per le azioni sensibili.
• Ogni query è limitata all’organizzazione selezionata; le bozze restano private fino alla pubblicazione.
• Web application firewall basato sull’OWASP Core Rule Set, limitazione della frequenza e content security policy rigorosa.
• Log di audit delle azioni di amministrazione della piattaforma; accesso del personale solo se necessario per gestione, sicurezza o assistenza.
• Gestione degli incidenti con notifica delle violazioni dei dati personali entro 72 ore.