Contratto per il trattamento dei dati su incarico

Traduzione a scopo informativo. Fa fede unicamente la versione tedesca.

1. Oggetto

Il presente contratto per il trattamento dei dati su incarico disciplina il trattamento di dati personali da parte di Elevate Page (Vincent Schmid, di seguito «fornitore») quale responsabile del trattamento su incarico del cliente quale titolare del trattamento ai sensi dell’art. 9 della legge federale sulla protezione dei dati (LPD). Esso costituisce parte integrante delle condizioni generali.

Il contratto si applica a tutti i dati personali che il cliente inserisce in Elevate Page o che gli pervengono tramite i suoi siti, nella misura in cui il fornitore agisce su istruzione.

2. Tipo e scopo del trattamento

Il fornitore tratta dati personali per mettere a disposizione la piattaforma, ospitare, mantenere e proteggere i siti del cliente ed eseguire le funzioni utilizzate dal cliente.

Sono interessati in particolare:

• i contenuti dei siti del cliente (testi, immagini, dati di contatto)
• le richieste inviate tramite modulo di contatto (p. es. nome, indirizzo e-mail, numero di telefono, messaggio)
• gli appuntamenti, le iscrizioni ai corsi e le liste d’attesa (p. es. nome, dati di contatto, prestazione prenotata, osservazione)
• gli ordini del negozio online (p. es. nome, indirizzi di consegna e di fatturazione, indirizzo e-mail, prodotti ordinati, stato del pagamento)
• le statistiche delle visite dei siti (senza indirizzi IP né cookie)

Le persone interessate sono i visitatori dei siti del cliente, i suoi clienti e i suoi collaboratori.

3. Istruzioni del cliente

Il fornitore tratta i dati personali esclusivamente secondo le istruzioni documentate del cliente, salvo che disposizioni legali imperative impongano un trattamento diverso. Valgono come istruzioni in particolare le impostazioni e le azioni del cliente nella piattaforma.

Il cliente è responsabile di essere autorizzato a trattare i dati interessati, della liceità del trattamento da lui disposto e dell’informazione delle persone interessate nella dichiarazione sulla protezione dei dati del suo sito.

4. Misure tecniche e organizzative

Il fornitore adotta misure tecniche e organizzative adeguate per garantire la confidenzialità, l’integrità, la disponibilità e la resilienza dei sistemi (art. 8 LPD).

Rientrano in particolare i controlli di accesso e un concetto di autorizzazioni, la registrazione delle operazioni rilevanti per la sicurezza, la trasmissione cifrata (TLS), il salvataggio delle password come hash sicuro, la gestione dei server in Svizzera e backup regolari.

5. Subresponsabili del trattamento

Il fornitore può avvalersi di subresponsabili adeguati per la gestione della piattaforma, a condizione che siano soggetti agli stessi obblighi di protezione dei dati e che la comunicazione dei dati sia necessaria per la fornitura delle prestazioni. Attualmente si tratta di:

• Hosting: server in un centro di calcolo in Svizzera
• Invio di e-mail: Infomaniak Network SA, Ginevra (Svizzera)

Se il cliente utilizza funzioni facoltative come il pagamento con carta (Stripe) o la traduzione automatica (DeepL), i dati necessari vengono trasmessi a tali fornitori; i dettagli figurano nella dichiarazione sulla protezione dei dati. Il fornitore informa preventivamente il cliente dei cambiamenti previsti dei subresponsabili.

6. Diritti delle persone interessate

Il cliente resta responsabile dei diritti delle persone interessate. Nei limiti delle sue possibilità tecniche, il fornitore assiste il cliente nelle richieste di accesso, rettifica, cancellazione e consegna dei dati. Il cliente può consultare, esportare e cancellare molti dati direttamente nella piattaforma.

7. Notifica delle violazioni della sicurezza dei dati

Il fornitore informa il cliente senza indugio se viene a conoscenza di una violazione della sicurezza dei dati riguardante dati personali del cliente e lo assiste in eventuali obblighi di notifica (art. 24 LPD).

8. Fine del contratto

Alla fine del rapporto contrattuale, il fornitore cancella i dati personali del cliente o glieli restituisce secondo le sue istruzioni, salvo obblighi legali di conservazione. Se il cliente elimina autonomamente il proprio account, i dati vengono cancellati immediatamente; permangono al massimo 30 giorni nelle copie di backup.