Contratto di trattamento dei dati su mandato
Traduzione. Fa fede unicamente la versione tedesca.
1. Parti e oggetto
1.1 Titolare del trattamento: il cliente ai sensi delle CG («cliente»).
1.2 Responsabile del trattamento (incaricata): Swiss 3D Surface, Inh. Swirski, impresa individuale, Romanshornerstrasse 76b, 9320 Arbon, IDI CHE-429.712.336 («SBüro»).
1.3 SBüro tratta dati personali su mandato del cliente, nella misura necessaria per l'esercizio del software per l'ufficio SBüro (art. 9 LPD). In caso di contraddizioni in materia di protezione dei dati, il presente contratto prevale sulle CG.
1.4 Il cliente accetta il presente contratto insieme alle CG nell'app; la versione accettata viene salvata (prova dell'autorizzazione ai sensi della cifra 6).
2. Natura, scopo e portata del trattamento
| Contenuto | |
|---|---|
| Scopo | Messa a disposizione del software per l'ufficio: creazione, salvataggio, approvazione, invio (solo dopo l'OK del cliente) ed esportazione di offerte, fatture, note di credito, solleciti; scadenze e appuntamenti; gestione dei clienti e degli articoli; Entrate & uscite (se attivato); archiviazione di file bancari e allegati; protocolli; backup e ripristino; prelievo tramite la Sicherungsbox (box di backup) del cliente; supporto. |
| Persone interessate | Clienti del cliente e loro persone di contatto; terzi paganti nei file bancari; utenti del cliente (titolare, collaboratrici e collaboratori); fiduciarie e fiduciari del cliente; persone indicate negli appuntamenti. |
| Categorie di dati | Nome, ditta, indirizzo, e-mail, telefono, lingua; note del cliente; contenuti e importi di offerte, fatture, note di credito, calcoli; pagamenti ricevuti; file bancari (camt) in originale con nome, IBAN e comunicazione di terzi paganti; registrazioni e giustificativi (Entrate & uscite); appuntamenti (tipo, cliente, indirizzo, persona); allegati del cliente (PDF/immagini; al caricamento vengono rimossi i metadati delle immagini come luogo e fotocamera); conti utente (nome, e-mail, ruolo, lingua); dati tecnici (sessioni, categoria di dispositivo computer/telefono, indirizzo IP nel protocollo del server). |
| Non ammessi | Dati personali degni di particolare protezione in ampia misura; dati soggetti al segreto professionale ai sensi dell'art. 321 CP (CG cifra 4.3). |
| Durata | Durata del contratto secondo le CG, in seguito cancellazione secondo la cifra 8. |
3. Istruzioni
3.1 SBüro tratta i dati solo nel modo in cui il cliente stesso sarebbe autorizzato a farlo e solo secondo le sue istruzioni. Le istruzioni risultano dalle CG, dal presente contratto e dalle impostazioni e approvazioni nell'app (p. es. invio solo dopo OK, IA collegata, abbonamento al calendario, accesso fiduciario).
3.2 SBüro non utilizza i dati per scopi propri, in particolare né per pubblicità né per l'addestramento di modelli di IA.
3.3 Se SBüro ritiene che un'istruzione violi la protezione dei dati, ne informa il cliente.
4. Riservatezza e accessi del gestore
4.1 Attualmente ha accesso ai dati solo il gestore stesso. Se SBüro coinvolge altre persone, le obbliga preventivamente per iscritto alla riservatezza.
4.2 Gli accessi del gestore ai dati del cliente avvengono solo per un motivo (supporto su richiesta, approvazione, pagamento, numero di sicurezza, attivazione di moduli o anteprima) o nella misura strettamente necessaria per la sicurezza e l'esercizio. Ogni accesso tramite le funzioni del gestore viene registrato in un protocollo a sola aggiunta, che il cliente può consultare ed esportare alla voce «Sicurezza». Le connessioni alla banca dati vengono inoltre registrate al di fuori della banca dati (12 mesi). Limite dichiarato onestamente: chi dispone del pieno accesso tecnico al server potrebbe aggirare un protocollo nella banca dati.
5. Misure tecniche e organizzative (MTO)
5.1 SBüro adotta le misure descritte nell'allegato A (art. 8 LPD, art. 1–3 OPDa), le verifica per l'intera durata del trattamento e le adegua allo stato della tecnica. Una modifica non può ridurre il livello di protezione.
6. Subresponsabili del trattamento
6.1 Il cliente autorizza i subresponsabili del trattamento indicati nell'allegato B (autorizzazione generale preventiva, art. 9 cpv. 3 LPD, art. 7 OPDa).
6.2 SBüro informa il cliente almeno 30 giorni prima del coinvolgimento o della sostituzione di un subresponsabile del trattamento (e-mail alle titolari e ai titolari e comunicazione nell'app). Il cliente può opporsi; se non è possibile trovare una soluzione, può disdire il contratto per la data della sostituzione.
6.3 SBüro obbliga i subresponsabili del trattamento a una protezione dei dati almeno equivalente e ne conosce la sede e il luogo del trattamento.
6.4 Comunicazione all'estero: solo verso Stati con una protezione adeguata dei dati secondo l'allegato 1 dell'ordinanza sulla protezione dei dati (attualmente Paesi Bassi e Italia, v. allegato B).
6.5 Non sono subresponsabili del trattamento di SBüro i destinatari che il cliente sceglie e collega egli stesso: il fornitore di un'IA del cliente, il fornitore dell'app di calendario in cui una persona del cliente inserisce il proprio abbonamento al calendario, altri servizi collegati dal cliente stesso (p. es. pianificatore di social media, casella di posta del cliente) e le fiduciarie e i fiduciari con accesso in sola lettura. Il cliente è responsabile di tali comunicazioni; l'app lo segnala prima del collegamento.
7. Assistenza, diritti delle persone interessate, notifiche
7.1 SBüro assiste il cliente in materia di informazione, consegna, rettifica e cancellazione (art. 25 segg. LPD), soprattutto mediante le funzioni dell'app (esportazione, modifica, cancellazione). Il lavoro al di fuori dell'app viene fatturato previa offerta.
7.2 Violazione della sicurezza dei dati: SBüro notifica al cliente il più rapidamente possibile ogni violazione della sicurezza dei dati che concerne i suoi dati (art. 24 cpv. 3 LPD), con le indicazioni di cui all'art. 15 cpv. 1 OPDa, per quanto note: natura della violazione; momento e durata; categorie e numero approssimativo dei dati e delle persone interessati; conseguenze e rischi; misure adottate o previste; persona di contatto. SBüro fornisce le indicazioni mancanti il più rapidamente possibile. La notifica all'IFPDT e l'informazione delle persone interessate spettano al cliente (art. 24 cpv. 1 e 4 LPD); SBüro lo assiste in tali compiti.
7.3 SBüro documenta le violazioni per almeno due anni (art. 15 cpv. 4 OPDa).
8. Cancellazione e restituzione
8.1 Durante la durata del contratto il cliente può esportare integralmente i propri dati in qualsiasi momento (CSV/ZIP con somme di controllo, PDF dei documenti, file bancari in originale); con la Sicherungsbox anche come copia cifrata su un proprio disco.
8.2 Dopo la fine del contratto SBüro cancella i dati del cliente allo scadere del termine di esportazione (CG cifra 10.3). I backup cifrati non vengono ripuliti singolarmente, ma scadono al termine della loro durata di conservazione (7 backup giornalieri, 4 settimanali, 12 mensili, quindi al massimo circa 12 mesi); vengono utilizzati unicamente per il ripristino.
8.3 Il cliente adempie i propri obblighi di conservazione (art. 958f CO) mediante la propria esportazione; SBüro non conserva i dati per conto del cliente.
9. Controlli
9.1 Su richiesta SBüro fornisce al cliente le informazioni necessarie a dimostrare il rispetto del presente contratto (il presente allegato A, rapporto di un test di sicurezza esterno, non appena disponibile). Controlli in loco previo accordo e a spese del cliente.
10. Responsabilità, durata, disposizioni finali
10.1 Per la responsabilità si applicano le CG (cifra 8).
10.2 Il presente contratto si applica finché SBüro tratta dati del cliente.
10.3 Si applica il diritto svizzero; foro competente secondo le CG. Fa fede la versione tedesca.
Allegato A — Misure tecniche e organizzative (stato al 30.10.2026)
| Obiettivo di protezione (OPDa art. 2) | Misura | Stato |
|---|---|---|
| Riservatezza — separazione delle aziende | Ogni tabella con dati aziendali dispone di protezione a livello di riga (Row Level Security con FORCE); nessun ruolo applicativo può aggirarla; un test automatico segnala in rosso le nuove tabelle senza protezione. | in esercizio |
| Riservatezza — accesso | Codice d'accesso con circa 100 bit di casualità, salvato solo come hash argon2id; blocco dopo 5 tentativi falliti; sessioni di 12 ore (telefono collegato fino a 90 giorni, scollegabile in ogni momento); cookie Secure/HttpOnly/SameSite=Strict; protezione contro moduli esterni (CSRF). | in esercizio |
| Autenticazione a due fattori (TOTP) obbligatoria per titolare e fiduciario/a, facoltativa per collaboratrici e collaboratori; 10 codici di ripristino (argon2id); ripristino solo dopo richiamata al numero di sicurezza depositato + verifica dell'IDI, con registrazione nel protocollo. | in esercizio | |
| Segreti TOTP cifrati (AES-256-GCM) con una chiave per azienda, a sua volta cifrata con una chiave principale conservata al di fuori della banca dati. | in esercizio | |
| I dati dei clienti delle aziende non sono cifrati campo per campo nella banca dati; il supporto di memoria presso l'attuale fornitore del server non è cifrato. | stato attuale, dichiarato apertamente | |
| Riservatezza — rete | Solo TLS 1.2/1.3, HSTS; intestazioni di sicurezza rigorose (CSP senza script inline); banca dati non raggiungibile dall'esterno; firewall solo 22/80/443; SSH solo con chiave. | in esercizio |
| Riservatezza — gestore | Centro di controllo del gestore con codice proprio e secondo fattore; ruolo proprio nella banca dati; accesso ai dati di un'azienda solo per un motivo, ogni accesso registrato nel protocollo presso l'azienda; connessioni alla banca dati registrate inoltre al di fuori della banca dati (12 mesi). | in esercizio |
| Integrità | «Niente senza OK»: approvazione solo da parte del cliente; impronta digitale (SHA-256) di ogni documento approvato; registrazioni solo in aggiunta con catena di controllo, correzione solo tramite storno; protocolli a sola aggiunta. | in esercizio |
| Disponibilità / ripristino | Backup giornaliero cifrato (age) con test di ripristino automatico; conservazione 7/4/12; copia cifrata giornaliera su un supporto di memoria del gestore al di fuori del server, chiave separata. | in esercizio |
| Aggiornamenti di sicurezza automatici; riavvii nella finestra di manutenzione domenica dalle 22:00. | in esercizio | |
| Sicherungsbox (opzione): copia cifrata presso il cliente, chiave solo presso il cliente, prelievo con valore di controllo e ricevuta. | in esercizio (programma per Mac; Windows solo dopo test) | |
| Tracciabilità | Protocollo delle approvazioni, dei rifiuti, delle esportazioni, delle chiamate all'IA (senza contenuto) e degli accessi del gestore; protocollo degli accessi al server (IP, percorso, ora) 14 giorni. Gli accessi riusciti non sono ancora registrati per azienda (previsto). | in esercizio (lacuna dichiarata) |
| Allegati | Solo PDF, JPEG, PNG, HEIC fino a 10 MB; le immagini vengono salvate di nuovo (metadati rimossi); PDF con contenuti attivi rifiutati; nessun antivirus. | in esercizio |
| IA del cliente | IA disattivata finché la o il titolare non la collega con il secondo fattore (revocabile); l'IA legge solo le aree autorizzate e crea solo bozze/proposte, non invia, non approva e non cancella mai; dati bancari non visibili; prezzi d'acquisto solo nel modulo Acquisti prenotato (confronto prezzi). Chiave IA propria del cliente: salvata in forma cifrata (chiave per azienda), solo la o il titolare con secondo fattore, non nell'esportazione; casella di posta in sola lettura, dati di accesso cifrati. | in esercizio |
| Verifica | Test automatici a ogni modifica (2109 al 28.10.2026); test di funzionamento (smoke test) dopo ogni deploy; test di sicurezza esterno prima dell'apertura al pubblico (decisione D4). | parzialmente (test esterno in sospeso) |
| Riservatezza — voce | Sintesi e riconoscimento vocale funzionano in servizi propri sul server di SBüro senza accesso alla rete esterna; registrazioni solo nella memoria di lavoro, nessuna conservazione, nessun contenuto nel protocollo. | in funzione |
Allegato B — Subresponsabili del trattamento (stato al 30.10.2026)
| Fornitore | Prestazione | Luogo | Stato |
|---|---|---|---|
| TransIP (Paesi Bassi) | Server su cui funzionano SBüro e la banca dati | Paesi Bassi | attuale; documentazione contrattuale |
| E-Mail-Anbieter (server nella rete di Register.it S.p.A.) | Invio e ricezione di e-mail per post@sbuero.ch, DNS di sbuero.ch | Italia (secondo i dati di rete) | attuale; controparte contrattuale e luogo secondo contratto |
| Fornitore di servizi di pagamento | Pagamento dell'abbonamento con carta/TWINT: Stripe quale titolare autonoma (informativa sulla protezione dei dati cifra 3) | — | non è un subresponsabile del trattamento |
Non sono subresponsabili del trattamento (cifra 6.5): fornitore dell'IA del cliente; fornitore dell'app di calendario di una persona del cliente; fiduciari/e del cliente.