Accordo per il Trattamento dei Dati
Il presente Accordo per il Trattamento dei Dati (“DPA”) disciplina il trattamento dei dati personali effettuato da Stornix Sagl per conto del Cliente nell’erogazione del servizio Trako1. Costituisce parte integrante delle Condizioni Generali di Utilizzo.
1. Parti e ruoli
Cliente: l’impresa che attiva o utilizza Trako1 per la propria attività professionale, in qualità di Titolare del trattamento per i dati personali inseriti nella piattaforma.
Responsabile: Stornix Sagl, CH-6830 Chiasso, Svizzera, in qualità di Responsabile/Incaricato del trattamento, limitatamente ai dati trattati per conto del Cliente.
Il Cliente determina le finalità e i mezzi essenziali del trattamento dei dati dei propri committenti, dipendenti, collaboratori o altri interessati. Stornix tratta tali dati esclusivamente per fornire, mantenere, proteggere e assistere il Servizio, secondo le istruzioni documentate del Cliente e il presente DPA.
2. Oggetto, durata, natura e finalità
Il trattamento ha ad oggetto la disponibilità della piattaforma Trako1 per raccogliere, organizzare, conservare, consultare, esportare e cancellare la documentazione tecnica degli interventi. Comprende l’hosting, l’archiviazione cloud, la gestione degli accessi, la generazione di report, l’assistenza tecnica, le copie di sicurezza, i log di sicurezza e le attività strettamente necessarie alla continuità del Servizio.
Il trattamento dura per il periodo del rapporto contrattuale e per gli eventuali periodi tecnici di sola lettura, esportazione, recupero o conservazione previsti dalle Condizioni Generali e dalla Privacy Policy.
3. Istruzioni del Cliente
Stornix tratta i dati personali solo su istruzione documentata del Cliente, salvo obblighi di legge applicabili. Le istruzioni ordinarie sono contenute nelle impostazioni del Servizio, nelle azioni eseguite dagli utenti autorizzati e nelle richieste di assistenza provenienti dai canali concordati.
Il Cliente garantisce di avere una base giuridica idonea per raccogliere, caricare e trattare i dati personali mediante Trako1, di informare gli interessati quando necessario e di non impartire istruzioni contrarie alla legge o al presente DPA.
4. Categorie di interessati e dati
Il trattamento può riguardare committenti, contatti presso il luogo dell’intervento, dipendenti, collaboratori, tecnici, supervisori e altri soggetti i cui dati siano inseriti dal Cliente.
I dati possono includere:
- dati identificativi e di contatto inseriti dal Cliente;
- fotografie degli interventi, note, descrizioni, testi da dettatura, firme grafiche, date, orari e report PDF;
- metadati tecnici di tracciabilità, inclusi hash, identificativi utente e, se autorizzata sul dispositivo, posizione GPS;
- log delle operazioni relativi a creazione, modifica, approvazione, esportazione ed eliminazione.
Il Cliente deve evitare di caricare categorie particolari di dati, documenti di identità, targhe, immagini di persone o altri dati estranei all’intervento, salvo necessità professionale e idonea base giuridica.
5. Riservatezza e persone autorizzate
Stornix assicura che le persone autorizzate al trattamento siano vincolate da obblighi di riservatezza o da adeguati obblighi legali e accedano ai dati solo nella misura necessaria allo svolgimento delle proprie mansioni.
6. Misure tecniche e organizzative
Stornix adotta misure tecniche e organizzative adeguate al rischio, tenendo conto della natura del Servizio e dello stato della tecnica. Tali misure includono, ove applicabili: controllo degli accessi e dei ruoli, autenticazione tramite e-mail e codice OTP, cifratura dei dati in transito, registrazione degli eventi rilevanti, separazione degli ambienti, procedure di backup e ripristino, aggiornamenti di sicurezza e limitazione degli accessi amministrativi.
Il Cliente resta responsabile della corretta gestione dei propri utenti, dei ruoli, dei dispositivi e dell’accesso alle credenziali aziendali.
7. Sub-responsabili
Il Cliente autorizza in via generale Stornix a ricorrere a sub-responsabili necessari per l’erogazione del Servizio. Alla data di questa versione, le principali categorie includono:
- Infomaniak Network SA, Svizzera, per hosting, infrastruttura cloud, database e object storage;
- fornitori qualificati di posta elettronica, per codici OTP e comunicazioni di servizio;
- fornitori di supporto tecnico e sicurezza, se strettamente necessari e vincolati da obblighi equivalenti.
Stornix impone ai sub-responsabili obblighi di protezione dei dati sostanzialmente equivalenti a quelli previsti dal presente DPA. In caso di aggiunta o sostituzione rilevante di un sub-responsabile, Stornix informerà il Cliente tramite l’Informativa Privacy, le Condizioni Generali, il portale o un altro canale ragionevole, consentendo al Cliente di sollevare obiezioni motivate ai sensi della legge applicabile.
Stripe tratta i dati di pagamento nell’ambito del rapporto di fatturazione con Stornix e non è autorizzato a utilizzare i Contenuti caricati dal Cliente per l’erogazione di Trako1.
8. Assistenza al Cliente
Tenuto conto della natura del trattamento e delle informazioni disponibili, Stornix presta ragionevole assistenza al Cliente per rispondere alle richieste degli interessati relative ai dati trattati per conto del Cliente e per adempiere agli obblighi applicabili in materia di sicurezza, valutazione del rischio e consultazione delle autorità.
Qualora Stornix riceva direttamente una richiesta relativa a dati per i quali il Cliente è Titolare, la inoltra al Cliente, salvo che sia legalmente tenuta a rispondere direttamente.
9. Violazioni di dati personali
Stornix informa il Cliente senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione della sicurezza che riguardi i dati trattati per conto del Cliente e fornisce le informazioni ragionevolmente disponibili per consentire al Cliente di valutare e, se necessario, gestire gli obblighi di notifica.
10. Verifiche e informazioni
Su richiesta ragionevole del Cliente, Stornix mette a disposizione le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal presente DPA. Eventuali verifiche devono essere concordate preventivamente, svolgersi con modalità proporzionate e non compromettere la sicurezza, la riservatezza o la continuità del Servizio per altri clienti.
11. Restituzione, cancellazione e conservazione
Durante un abbonamento attivo, il Cliente può esportare i propri dati. Al termine della prova o dell’abbonamento, l’account resta in sola lettura per trenta giorni per consentire consultazione ed esportazione; trascorso tale periodo, i Contenuti vengono eliminati dal sistema principale, salvo obblighi di conservazione applicabili.
Per gli interventi eliminati manualmente tramite la funzione di esportazione e cancellazione, una copia di recupero verificata può restare disponibile per sette giorni senza occupare la quota di archiviazione. Tale recupero non si applica alla cancellazione completa dell’account richiesta dall’amministratore, che viene gestita secondo la procedura indicata nella pagina Eliminazione account e dati.
Le copie tecniche di backup non sono accessibili tramite l’account eliminato e vengono sovrascritte secondo il normale ciclo tecnico di rotazione. I dati che Stornix deve conservare per obblighi fiscali, contabili, contrattuali o di tutela di diritti sono esclusi dalla cancellazione nella misura prevista dalla legge.
12. Trasferimenti internazionali
Qualora il trattamento comporti un trasferimento di dati personali verso Paesi al di fuori della Svizzera o dello Spazio Economico Europeo, Stornix adotta le misure richieste dalla normativa applicabile, incluse le garanzie contrattuali o altri strumenti riconosciuti ove necessari.
13. Prevalenza e modifiche
In caso di contrasto tra il presente DPA e le Condizioni Generali, il presente DPA prevale per le materie relative al trattamento dei dati personali per conto del Cliente. Stornix può aggiornare il DPA per adeguamenti normativi, tecnici o organizzativi; le modifiche sostanziali saranno comunicate con modalità ragionevoli.
14. Contatti
Per richieste relative al presente DPA: info@stornix.ch.