Contratto di trattamento dei dati

Il presente contratto si applica tra il cliente ai sensi delle CG, quale titolare del trattamento («cliente»), e Lemon Juice GmbH, Unternbergstrasse 30A, 5023 Biberstein, quale responsabile del trattamento («Bilano»). È parte integrante delle CG e vale senza sottoscrizione separata non appena il cliente usa Bilano per dati personali di terzi, per esempio per contatti, fatture o registrazioni della sua clientela o, per le fiduciarie, dei suoi mandanti. Su richiesta lo trasmettiamo firmato.

Il contratto adempie i requisiti dell’art. 9 della legge federale sulla protezione dei dati (LPD) e, se applicabile, dell’art. 28 del regolamento generale sulla protezione dei dati dell’UE (RGPD). In caso di contraddizioni prevale sulle CG per le questioni di protezione dei dati. Per i dati personali che Bilano tratta quale titolare in proprio (conto, fatturazione, sito web) vale la dichiarazione sulla protezione dei dati.

Oggetto è il trattamento di dati personali che Bilano ottiene per incarico del cliente tramite l’interfaccia di bexio, trasmette a un modello linguistico e, su istruzione, scrive in bexio, per rispondere alle domande del cliente ed eseguire le sue istruzioni. La durata corrisponde a quella del contratto secondo le CG.

Bilano tratta i dati personali solo su istruzione documentata del cliente. Le istruzioni sono stabilite nelle CG, nel presente contratto e negli inserimenti del cliente nel servizio; ogni domanda e ogni azione confermata nella chat o tramite un assistente collegato vale come istruzione. Bilano non tratta i dati per scopi propri, in particolare non per addestrare modelli linguistici.

Se Bilano ritiene che un’istruzione violi il diritto in materia di protezione dei dati, ne informa senza indugio il cliente. Se Bilano deve trattare o comunicare dati in virtù di un obbligo legale, ne informa preventivamente il cliente, nella misura in cui la legge lo consente.

• Il cliente è responsabile della liceità del trattamento, in particolare della base giuridica, dell’informazione delle persone interessate e del rispetto dei segreti professionali.
• Decide egli stesso se collegare un assistente esterno tramite MCP. È l’unico responsabile della trasmissione al relativo fornitore; tale fornitore non è un subresponsabile di Bilano.
• Informa Bilano senza indugio se constata errori o irregolarità nel trattamento.

Bilano obbliga alla riservatezza tutte le persone che possono avere accesso ai dati, nella misura in cui non siano già soggette a un obbligo legale di segretezza. I dati contabili e i contenuti delle chat non sono tecnicamente visibili dall’area di esercizio.

Bilano adotta misure tecniche e organizzative adeguate secondo l’art. 8 LPD e l’art. 32 RGPD. Le misure attuali figurano nell’allegato 2. Bilano può svilupparle ulteriormente, purché il livello di protezione non diminuisca.

Il cliente concede l’autorizzazione generale a ricorrere ai subresponsabili indicati nell’allegato 1. Bilano informa il cliente almeno 30 giorni prima via e-mail o nel servizio di ogni modifica prevista. Il cliente può opporsi entro tale termine per un motivo importante attinente alla protezione dei dati; in mancanza di accordo, può disdire il contratto per la data di entrata in vigore della modifica.

Bilano impone a ogni subresponsabile gli stessi obblighi di protezione dei dati stabiliti nel presente contratto e resta responsabile nei confronti del cliente del loro rispetto.

Nel funzionamento normale i dati contabili del cliente sono trattati esclusivamente in Svizzera. Una comunicazione verso uno Stato privo di un livello di protezione adeguato avviene solo con garanzie appropriate secondo l’art. 16 LPD o gli art. 44 segg. RGPD, in particolare clausole contrattuali tipo. La Svizzera dispone di una decisione di adeguatezza della Commissione europea.

Bilano sostiene il cliente con misure adeguate nel rispondere alle richieste delle persone interessate (informazione, rettifica, cancellazione, consegna), nella valutazione d’impatto sulla protezione dei dati e nelle consultazioni dell’autorità di vigilanza, nella misura in cui ciò è possibile per Bilano. Poiché Bilano non salva giustificativi e registrazioni, la maggior parte di questi dati si trova esclusivamente in bexio e vi è trattata. Se una persona interessata si rivolge direttamente a Bilano, Bilano inoltra la richiesta al cliente.

Bilano notifica al cliente una violazione della sicurezza dei dati che riguarda i suoi dati il più rapidamente possibile, al più tardi entro 48 ore dalla conoscenza, con le indicazioni di cui il cliente ha bisogno per la propria notifica all’IFPDT (art. 24 LPD) o a un’autorità di vigilanza dell’UE (art. 33 RGPD). Bilano adotta senza indugio misure per limitarne le conseguenze.

I dati contabili del cliente sono scartati dopo ogni richiesta; una restituzione non è quindi necessaria. Bilano elimina immediatamente i dati di accesso bexio cifrati quando il cliente scollega il collegamento o elimina il suo conto. Le copie effimere nella memoria di lavoro (profilo aziendale al massimo dieci minuti, documenti consultati al massimo 30 minuti) scadono da sé. Bilano elimina i totali della panoramica dei mandanti dopo al massimo 30 giorni e subito insieme al conto. Bilano elimina la cronologia della chat cifrata quando il cliente la reimposta o elimina il suo conto; Bilano non può restituirla in forma leggibile, perché solo il cliente ha la chiave. Le copie di sicurezza della banca dati che contengono dati del conto vengono sovrascritte dopo 14 giorni. Sono fatti salvi gli obblighi legali di conservazione.

Su richiesta Bilano mette a disposizione del cliente le informazioni necessarie per provare il rispetto del presente contratto, in particolare descrizioni delle misure e certificati dei subresponsabili. Controlli in loco sono possibili con preavviso di almeno 30 giorni, durante l’orario d’ufficio e senza perturbare l’esercizio; i costi sono a carico del cliente, nella misura in cui il controllo non riveli alcuna violazione.

Per la responsabilità valgono le CG, salvo disposizione contraria del diritto imperativo. È applicabile il diritto svizzero; il foro competente è Aarau. Annunciamo le modifiche del presente contratto come quelle delle CG. Indirizzi le domande a hallo@bilano.ch.

bexio SA non è un subresponsabile di Bilano: il cliente usa bexio in base a un proprio contratto. Stripe e Vercel non trattano dati della contabilità del cliente; sono indicati nella dichiarazione sulla protezione dei dati.

• Minimizzazione dei dati: nessun salvataggio permanente di giustificativi e registrazioni; memorie temporanee solo nella memoria di lavoro con breve scadenza; per la panoramica dei mandanti solo totali per mandante senza nomi, al massimo 30 giorni.
• Cronologia della chat: solo su richiesta del cliente, cifrata end-to-end nel browser (AES-256-GCM), chiave esclusivamente presso il cliente; nella banca dati inoltre separata per conto tramite sicurezza a livello di riga.
• Cifratura: TLS per tutti i collegamenti; dati di accesso bexio cifrati con AES-256-GCM, chiave fuori dalla banca dati; copie di sicurezza cifrate prima di essere depositate all’esterno.
• Controllo degli accessi: accesso esclusivamente tramite bexio (OpenID Connect); Bilano agisce solo con i diritti dell’utente bexio collegato; cookie di sessione firmati; OAuth 2.1 con PKCE per gli assistenti collegati; ogni collegamento revocabile singolarmente.
• Separazione: ogni richiesta è legata a un conto e a un mandante; la banca dati non è raggiungibile da Internet.
• Accesso di esercizio: solo tramite chiavi SSH, limitato a poche persone; area amministrativa con accesso proprio (nome utente, password e secondo fattore), senza accesso a dati contabili o contenuti delle chat; ogni accesso e ogni modifica sono registrati.
• Disponibilità: copia di sicurezza giornaliera della banca dati, copia cifrata all’esterno in Svizzera, test di ripristino regolari; limitazione delle richieste contro il sovraccarico.
• Intestazioni di sicurezza e Content Security Policy su tutte le interfacce; aggiornamenti di sicurezza automatici del sistema operativo.
• Log senza contenuti delle richieste, eliminati dopo al massimo 30 giorni.