Contratto di trattamento dei dati

Parti e applicazione

Questo contratto vincola Saviano Sàrl, Route du Grand-Lancy 53, c/o COFIGEST SA, 1212 Grand-Lancy, Genève, Suisse («il responsabile del trattamento»), e il cliente professionale che usa Helvedrive per la sua organizzazione («il titolare»). Fa parte delle condizioni d'uso dalla creazione di un'organizzazione a fini professionali. Risponde all'articolo 9 della legge federale sulla protezione dei dati (LPD) e, quando si applica il regolamento europeo, al suo articolo 28 (RGPD). Una versione firmata è fornita su richiesta a [email protected].

Oggetto e durata

Il responsabile del trattamento archivia, sincronizza, condivide, controlla e salva i file e i dati che il titolare e i suoi utenti depositano in Helvedrive, per la durata d'uso del servizio e fino all'eliminazione o alla restituzione previste qui sotto.

Dati e persone interessate

I dati sono quelli che il titolare sceglie di depositare: documenti, nomi di file e cartelle, pratiche del portale clienti e documenti ricevuti, nonché i dati degli utenti dell'organizzazione e degli ospiti del portale (nome, indirizzo e-mail, registro degli accessi). Possono comprendere dati degni di particolare protezione o coperti da un segreto professionale; il titolare decide che cosa vi deposita.

Istruzioni

Il responsabile del trattamento tratta i dati solo su istruzione documentata del titolare, quale risulta dall'uso del servizio, dalle sue impostazioni e da questo contratto. Non usa i dati per nessun altro scopo, in particolare né per conto proprio, né per la pubblicità, né per addestrare un modello. Se ritiene che un'istruzione violi la legge, ne informa il titolare.

Riservatezza

Le persone autorizzate a intervenire sull'infrastruttura sono tenute alla riservatezza. Accedono al contenuto dei file solo su richiesta del titolare, per risolvere un incidente da lui segnalato, o se la legge lo impone. Il contenuto delle casseforti cifrate è loro inaccessibile.

Misure di sicurezza

Hosting in Svizzera; connessioni cifrate (TLS 1.2 o superiore); cifratura dei file a riposo con una chiave propria di ogni file, protetta da un servizio di chiavi separato; casseforti cifrate end-to-end; separazione delle organizzazioni nella banca dati; controllo antivirus; passkey e doppia autenticazione; registro di sicurezza per organizzazione; backup continuo della banca dati e copie cifrate dei file presso due fornitori di hosting, con copie bloccate contro l'eliminazione per 30 giorni; ripristini verificati; monitoraggio e avvisi. Queste misure possono evolvere senza ridurre il livello di protezione.

Responsabili ulteriori

Il titolare autorizza il ricorso ai responsabili ulteriori elencati nell'informativa sulla protezione dei dati: Infomaniak Network SA (hosting, Svizzera), Cloudflare, Inc. (copia di backup cifrata nell'Unione europea, DNS), Resend, Inc. (e-mail di servizio). Il responsabile del trattamento impone loro obblighi equivalenti. Ogni cambiamento è annunciato con almeno 30 giorni di anticipo; il titolare può opporsi per un motivo legittimo e, in mancanza di accordo, recedere senza spese.

Trasferimenti all'estero

I file sono trattati in Svizzera. La copia di backup cifrata fuori dalla Svizzera si trova nell'Unione europea, riconosciuta come in grado di offrire un livello di protezione adeguato. I dati trasmessi a società statunitensi (indirizzi e-mail e contenuto delle e-mail di servizio, dati tecnici) lo sono sulla base delle loro garanzie contrattuali; nessun file vi è conservato in chiaro.

Diritti delle persone interessate

Il responsabile del trattamento aiuta il titolare a rispondere alle richieste delle persone interessate: il servizio permette di esportare, correggere ed eliminare i dati; per il resto, risponde alle richieste del titolare entro un termine ragionevole.

Violazioni della sicurezza

Il responsabile del trattamento informa il titolare il prima possibile, e al più tardi entro 48 ore da quando ne viene a conoscenza, di ogni violazione della sicurezza dei dati che lo riguarda, con le informazioni disponibili sulla sua natura, le conseguenze probabili e le misure adottate.

Fine del contratto

Al termine dell'uso, il titolare esporta i suoi dati. I dati dell'organizzazione sono poi eliminati: immediatamente nel servizio quando l'organizzazione viene eliminata, e nei backup al termine della loro durata di conservazione di 35 giorni, oltre la quale nessuna copia è più leggibile.

Controllo

Il responsabile del trattamento mette a disposizione le informazioni necessarie per dimostrare il rispetto di questo contratto (descrizione delle misure, pagina Stato, rapporti di audit quando esistono) e consente un controllo da parte del titolare o di un revisore tenuto al segreto, con preavviso ragionevole e a spese del titolare.

Diritto applicabile

Questo contratto è soggetto al diritto svizzero. Il foro è a Ginevra. In caso di contraddizione, questo contratto prevale sulle condizioni d'uso per quanto riguarda la protezione dei dati.