Contratto di trattamento su incarico

1. Oggetto, ruoli delle parti e ordine di prevalenza

Il presente contratto di trattamento su incarico (il «Contratto») disciplina il trattamento di dati personali che Schweizerform svolge per Suo conto nell'ambito dell'utilizzo della soluzione di moduli online Schweizerform (il «Servizio»). È concluso tra Lei, in qualità di cliente (il «titolare del trattamento»), e Balathanusan Jeyarasan, ditta individuale operante con la denominazione «Schweizerform» (il «responsabile del trattamento»), i cui dati completi figurano in calce al presente documento.

Per i dati personali che Lei raccoglie tramite i Suoi moduli, decide unicamente Lei in merito allo scopo e ai mezzi del trattamento. Lei è il titolare del trattamento ai sensi dell'art. 5 lett. j nLPD e dell'art. 4 n. 7 GDPR. Schweizerform tratta tali dati esclusivamente per Suo conto, quale responsabile del trattamento ai sensi dell'art. 5 lett. k in combinato disposto con l'art. 9 nLPD e, ove applicabile, dell'art. 28 GDPR.

Il presente Contratto è parte integrante delle Condizioni generali di utilizzo e prevale su di esse per quanto concerne il trattamento di dati personali su incarico. Per il resto — entità delle prestazioni, disponibilità, remunerazione, limitazione della responsabilità e cessazione del rapporto — si applicano le Condizioni generali di utilizzo.

Per i dati che Schweizerform tratta ai fini della costituzione e della gestione del rapporto contrattuale con Lei (i Suoi dati di contatto, di account e di fatturazione), Schweizerform è essa stessa titolare del trattamento. Tale trattamento è disciplinato dall'informativa sulla protezione dei dati e non è oggetto del presente Contratto.

2. Natura, entità e scopo del trattamento

Schweizerform tratta dati personali al solo scopo di fornire il Servizio: raccolta delle risposte inviate tramite i moduli da Lei creati, loro conservazione in forma cifrata e messa a disposizione affinché Lei possa consultarle e decifrarle.

Nella misura in cui Lei attiva le corrispondenti funzioni opzionali (n. 8), tale scopo comprende inoltre: la tenuta di un elenco cifrato dei destinatari da Lei inseriti o importati; la trasmissione, ai destinatari da Lei designati, degli inviti ai Suoi moduli da Lei disposti; nonché l'invio di una conferma di ricezione a una persona che ha compilato uno dei Suoi moduli, su sua propria richiesta e a un indirizzo che essa stessa indica in quel momento. I limiti applicabili a ciascuna di tali operazioni risultano dai n. 5, 7, 11 e 12.

Le categorie di dati personali raccolte e le categorie di persone interessate sono determinate da Lei, attraverso i moduli che crea. Schweizerform non verifica il contenuto dei Suoi moduli né è in grado di farlo (n. 7). Nella misura in cui Lei raccoglie dati personali degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD o categorie particolari di dati ai sensi dell'art. 9 GDPR, le misure previste dal presente Contratto si applicano anche a tali dati.

Le persone interessate sono le persone che compilano i Suoi moduli e, se Lei utilizza l'elenco di contatti, le persone che vi registra. Le categorie di dati sono quelle che Lei sceglie di raccogliere, compresi, ove Lei lo decida, dati personali degni di particolare protezione.

La natura del trattamento comprende la raccolta, la trasmissione, la conservazione, la messa a disposizione per la consultazione da parte Sua, l'invio dei messaggi descritti al secondo capoverso e la cancellazione. Esso dura per la durata del Suo abbonamento.

Schweizerform non tratta i dati per scopi propri. In particolare non ha luogo alcun trattamento a scopi pubblicitari, alcuna creazione di profili della personalità, alcuna comunicazione a terzi e alcun addestramento di sistemi di intelligenza artificiale o di apprendimento automatico con i Suoi dati.

Schweizerform può analizzare statistiche di utilizzo aggregate e completamente anonimizzate ai fini dell'esercizio, della pianificazione delle capacità e del miglioramento del Servizio, purché da esse non sia possibile risalire a Lei, a singole persone interessate o a contenuti.

3. Istruzioni

Schweizerform tratta i dati personali soltanto nell'ambito del presente Contratto e conformemente alle Sue istruzioni documentate. Ciò vale anche per un'eventuale comunicazione di dati all'estero.

La configurazione del Servizio tramite l'interfaccia utente vale quale istruzione ai sensi del presente Contratto — in particolare la creazione, la pubblicazione, la modifica, la chiusura e la cancellazione di moduli e risposte, la gestione delle autorizzazioni di accesso, la tenuta del Suo elenco di contatti, l'invio di inviti nonché l'attivazione di funzioni opzionali. Tali istruzioni non richiedono alcuna forma particolare.

Le istruzioni impartite al di fuori dell'interfaccia utente avvengono in forma testuale all'indirizzo di contatto indicato in calce al presente documento. Le istruzioni impartite oralmente sono confermate senza indugio in forma testuale.

Se Schweizerform ritiene che un'istruzione violi il diritto applicabile in materia di protezione dei dati, ne informa Lei senza indugio e può sospenderne l'esecuzione fino al chiarimento.

Se Schweizerform è tenuta per legge a un trattamento ulteriore, La informa prima del trattamento, salvo che la legge lo vieti.

Le istruzioni la cui attuazione richiederebbe una modifica del Servizio, misure tecniche supplementari o un dispendio che eccede la prestazione contrattualmente dovuta sono attuate solo previo accordo scritto separato e dietro rimborso alle tariffe di volta in volta vigenti (n. 10).

4. Riservatezza

Schweizerform obbliga per iscritto alla riservatezza tutte le persone che possono accedere ai dati personali, salvo che siano già soggette a un obbligo legale di segretezza. L'obbligo permane oltre il termine della rispettiva attività.

Il titolare è soggetto personalmente e direttamente all'obbligo di riservatezza. Qualora vengano impiegati collaboratori o collaboratori esterni, Schweizerform li obbliga per iscritto prima dell'inizio dell'attività.

L'accesso è limitato alle persone che ne necessitano per adempiere i propri compiti (principio del privilegio minimo).

5. Segreto professionale (art. 321 CP)

Nella misura in cui Lei è soggetto al segreto professionale — come lo sono studi medici, studi legali, notai e servizi di consulenza —, si applica quanto segue.

Nella misura in cui i dati raccolti tramite il Servizio sono soggetti al segreto professionale ai sensi dell'art. 321 del Codice penale svizzero, Schweizerform e tutte le persone che operano per essa agiscono, in tale misura, quali ausiliari del titolare del trattamento ai sensi di tale disposizione.

Schweizerform si impegna a tutelare il segreto professionale e vi obbliga espressamente e per iscritto tutte le persone che possono accedere ai dati. L'obbligo è illimitato nel tempo e permane oltre la fine del Contratto.

Schweizerform non comunica dati a terzi, neppure su ordine di un'autorità, senza informarLa preventivamente affinché Lei possa valutare i rimedi giuridici. Ove l'informazione preventiva sia vietata dalla legge, Schweizerform La informa non appena ciò sia lecito. Schweizerform non è tenuta a impugnare a proprie spese decisioni delle autorità.

Schweizerform impiega responsabili ulteriori che possono accedere, conformemente alla loro destinazione, a dati coperti dal segreto professionale soltanto se essi sono soggetti a un obbligo di riservatezza contrattuale o legale corrispondente allo scopo di protezione dell'art. 321 CP. Per i responsabili ulteriori privi di tale accesso previsto — il fornitore per la consegna delle e-mail transazionali elencato al n. 11 — si applica l'obbligo generale di riservatezza di cui al n. 4; resta riservato il capoverso seguente.

Gli inviti e le conferme di ricezione (n. 2) sono funzioni eseguite esclusivamente su Sua istruzione: un invito è inviato soltanto se Lei lo dispone, e le conferme di ricezione sono offerte soltanto sui moduli per i quali Lei le ha attivate. Se Lei vi ricorre, l'indirizzo e-mail del destinatario e il nome della Sua organizzazione divengono noti al fornitore per la consegna delle e-mail elencato al n. 11. Il messaggio indica la Sua organizzazione; indica la denominazione del modulo soltanto se Lei ha scelto di includerla. Esso non contiene alcuna risposta, alcun invio e alcun contenuto delle risposte. Prima di ricorrere a tali funzioni Lei verifica se tale comunicazione sia ammissibile per un trattamento soggetto al segreto professionale; Le resta in ogni caso possibile non ricorrervi — le conferme di ricezione sono disattivate per impostazione predefinita e nessun invito è inviato senza la Sua istruzione.

A causa della cifratura end-to-end descritta al n. 7, Schweizerform non può prendere conoscenza del contenuto delle risposte. Nella pratica, il presente obbligo si estende pertanto ai metadati, ai contenuti dei moduli e a ogni altra informazione accessibile a Schweizerform nell'ambito dell'adempimento del Contratto.

6. Misure tecniche e organizzative

Schweizerform adotta le misure tecniche e organizzative previste dall'art. 8 nLPD in combinato disposto con l'ordinanza sulla protezione dei dati nonché, ove applicabile, dall'art. 32 GDPR, al fine di garantire una sicurezza adeguata al rischio. Le misure adottate sono descritte qui di seguito; esse descrivono lo standard di sicurezza convenuto.

• •Cifratura end-to-end. Le risposte e i file allegati sono cifrati nel browser della persona che compila il modulo; Schweizerform conserva esclusivamente dati cifrati e chiavi incapsulate. L'architettura e i suoi limiti sono descritti al n. 7.
• •Derivazione della chiave presso di Lei. La Sua chiave principale è derivata nel Suo browser dalla Sua chiave della cassaforte ed esiste in chiaro soltanto lì; la chiave della cassaforte e il codice di recupero non sono in alcun momento trasmessi ai sistemi di Schweizerform né ivi conservati (n. 7).
• •File allegati. I nomi degli oggetti nell'archivio sono UUID casuali; il nome originale del file e il tipo di file si trovano esclusivamente all'interno del record cifrato.
• •Controllo degli accessi. Accesso all'account mediante credenziali personali; le password sono conservate lato server esclusivamente come hash. Le operazioni rilevanti sotto il profilo della sicurezza richiedono inoltre un codice monouso inviato per e-mail.
• •Meccanismi di blocco. Blocco dell'account dopo ripetuti tentativi falliti; limitazione della frequenza delle richieste; blocco automatico di indirizzi IP sospetti; protezione contro il cross-site request forgery e verifica dell'origine delle richieste. Gli indirizzi IP trattati per tali scopi sono conservati in voci di breve durata o in una lista di blocco. Se Lei imposta un modulo in modo che accetti un solo invio per connessione, sull'invio in questione è memorizzato un valore derivato mediante una chiave dall'indirizzo IP della persona che risponde; l'indirizzo stesso non vi è memorizzato, il valore non può essere ricondotto a un indirizzo ed è cancellato insieme all'invio.
• •Sessioni e blocco automatico. Sessioni lato server con validità limitata; panoramica e revoca delle sessioni attive; disconnessione automatica del browser e cancellazione della chiave principale dalla sua memoria dopo un periodo di inattività configurabile.
• •Autorizzazioni basate sui ruoli. Negli spazi di lavoro di team, ruoli differenziati con diversi livelli di accesso. La chiave dello spazio di lavoro è vincolata crittograficamente alla coppia di chiavi personale di ciascun membro.
• •Separazione della clientela. Separazione logica mediante percorsi di archiviazione vincolati al proprietario e verifica delle autorizzazioni a ogni accesso, nonché separazione crittografica: ogni modulo dispone di una propria coppia di chiavi e ogni elenco di contatti di una propria chiave.
• •Integrità. Trasmissione cifrata esclusivamente tramite TLS. Il testo cifrato delle risposte è vincolato crittograficamente agli identificatori del modulo e della risposta (cifratura autenticata con dati associati). I file allegati sono cifrati con la stessa chiave della risposta.
• •Registrazione. Registrazione degli eventi rilevanti per la sicurezza con marca temporale, persona agente, oggetto interessato ed esito. L'indirizzo IP e lo user agent sono registrati nel registro di sicurezza esclusivamente per le azioni dei Suoi utenti autenticati — mai per le risposte delle persone interessate.
• •Esercizio. Esercizio sull'infrastruttura gestita di un fornitore svizzero (n. 11), in centri di calcolo situati in Svizzera. Ambienti separati per sviluppo e produzione; tempestiva installazione degli aggiornamenti di sicurezza; registrazione centralizzata di errori ed eventi.
• •Backup. La banca dati è sottoposta a backup giornaliero dal fornitore di infrastruttura in Svizzera. L'archiviazione a oggetti contenente i dati cifrati delle risposte e i file allegati è ridondante presso il fornitore, ma non è sottoposta a backup separato da parte di Schweizerform; la ridondanza non sostituisce un backup e il ripristino di dati cancellati o perduti presso il fornitore non è garantito. Lei può generare in qualsiasi momento esportazioni complete dei Suoi dati in forma decifrata ed è tenuto a farlo regolarmente (n. 14).
• •Pagine pubbliche dei moduli e contatori di utilizzo. Nelle pagine pubbliche dei moduli non ha luogo alcuna sessione di analisi, non viene creata alcuna impronta digitale del browser e non sono integrati servizi di analisi, pubblicità o tracciamento di terzi. Ciò che Schweizerform registra sull'utilizzo di un modulo si limita a contatori aggregati e a metadati tecnici sommari per ciascun invio. I contatori estesi sono rilevati soltanto sui moduli per i quali Lei li attiva; tale impostazione è disattivata per impostazione predefinita. Nessuno di tali valori contiene un indirizzo IP, uno user agent, una voce per singola visita o risposte, e tutti questi valori sono cancellati unitamente al modulo.

Le misure sono soggette al progresso tecnico. Schweizerform può adeguarle purché il livello di protezione non sia ridotto; una modifica che lo riduca avviene soltanto secondo la procedura di cui al n. 17. Comunica preventivamente in forma testuale le modifiche sostanziali.

7. Cifratura end-to-end e sua portata

Le risposte delle persone interessate e i file da esse caricati sono cifrati nel browser della persona interessata e sono trasmessi ai sistemi di Schweizerform e ivi conservati esclusivamente in forma cifrata. La chiave della singola risposta è incapsulata con la chiave pubblica del modulo.

La chiave principale necessaria alla decifratura è derivata esclusivamente nel Suo browser dalla Sua chiave della cassaforte mediante una funzione di derivazione della chiave conforme alle raccomandazioni attuali. La chiave della cassaforte non è in alcun momento trasmessa ai sistemi di Schweizerform né ivi conservata; la chiave principale esiste in chiaro soltanto nella memoria del Suo browser. Viene inoltre conservata una copia della chiave principale cifrata con il Suo codice di recupero, affinché Lei possa riottenere l'accesso mediante il codice di recupero; il codice di recupero stesso non è mai trasmesso né conservato, sicché tale copia è inutilizzabile per Schweizerform. Schweizerform non ha alcun accesso al contenuto in chiaro delle risposte e non adotterà alcuna misura per procurarsi tale accesso.

Portata della cifratura. La cifratura comprende le risposte e i file allegati delle persone interessate. Non sono compresi — e sono quindi accessibili a Schweizerform in chiaro — in particolare: la denominazione e il testo delle domande dei moduli; le impostazioni dei moduli e gli elementi di personalizzazione grafica; i dati di account e di contatto dei Suoi utenti; le marche temporali e i metadati tecnici delle risposte; nonché i registri di sicurezza di cui al n. 6. Lei provvede affinché nei testi delle domande, nelle denominazioni dei moduli e nelle impostazioni non siano inseriti dati personali di persone interessate.

L'elenco di contatti. Le indicazioni che Lei tiene in merito a un contatto sono cifrate nel Suo browser con una chiave propria, a sua volta cifrata con la Sua chiave principale o, per un elenco tenuto in uno spazio di lavoro di team, con la chiave di tale spazio di lavoro. Schweizerform conserva tali dati esclusivamente in forma cifrata e non può leggerli. Non sono compresi in tale cifratura i valori tecnici che rendono funzionante l'elenco — segnatamente valori derivati dall'indirizzo e-mail che consentono di riconoscere duplicati e opposizioni, l'assegnazione dei contatti a gruppi e le marche temporali. Nessuno di tali valori è leggibile quale identità. Una parte di essi permane dopo la cancellazione di un contatto, affinché un'opposizione continui a essere rispettata (n. 14).

Conferme di ricezione. Se una persona che ha compilato uno dei Suoi moduli chiede una conferma di ricezione, l'indirizzo da essa indicato è utilizzato per l'invio di quel solo messaggio e successivamente scartato. Esso non è conservato presso la risposta né iscritto nel registro dell'invio di e-mail. Un valore da esso derivato mediante una chiave è conservato brevemente affinché il medesimo indirizzo non possa essere sollecitato ripetutamente tramite il Servizio; non è conservato in alcun altro luogo.

Conseguenze della perdita della chiave. Lei è l'unico responsabile della custodia sicura della Sua chiave della cassaforte e del Suo codice di recupero. Se entrambi vanno perduti, i dati cifrati restano, per ragioni tecniche, illeggibili fintanto che nessuno dei due codici viene riottenuto. Una reimpostazione della chiave della cassaforte senza la chiave della cassaforte e senza il codice di recupero non cifra nuovamente i dati esistenti, ma sposta tutti i Suoi moduli personali, tutte le relative risposte e tutti i Suoi contatti in un archivio bloccato; tale archivio resta leggibile soltanto se uno dei vecchi codici viene successivamente riottenuto. I moduli e gli elenchi di contatti contenuti in uno spazio di lavoro di team non vengono spostati; viene invece invalidata la Sua copia della chiave dello spazio di lavoro, che deve esserLe nuovamente concessa da un altro amministratore di tale spazio di lavoro. Se nessun altro amministratore la detiene, i contenuti di tale spazio di lavoro non possono più essere decifrati, e il riottenimento di un vecchio codice non li ripristina. Schweizerform non può ripristinarli; la responsabilità di Schweizerform per la perdita che ne deriva è esclusa nella misura consentita dalla legge.

Forma della restituzione. Un'eventuale restituzione di dati da parte di Schweizerform avviene nel formato in cui Schweizerform li detiene, ossia in forma cifrata unitamente ai relativi metadati. Una restituzione in chiaro non è tecnicamente possibile per Schweizerform. Lei prende atto che una restituzione dopo la fine del Contratto è priva di valore senza la Sua chiave della cassaforte e provvede a effettuare la propria esportazione per tempo prima della fine del Contratto.

Schweizerform La informa senza indugio in forma testuale qualora una modifica dell'architettura comportasse che i primi due capoversi del presente numero non siano più applicabili. In tal caso Lei può disdire in via straordinaria il presente Contratto e le Condizioni generali di utilizzo con effetto dalla data in cui la modifica diventa efficace.

8. I Suoi obblighi quale titolare del trattamento

Lei è l'unico responsabile della liceità della raccolta, del trattamento e dell'utilizzo dei dati nonché della concezione e del contenuto dei Suoi moduli, dell'esistenza di una base legale valida e della corretta informazione delle persone interessate (art. 19 segg. nLPD). Schweizerform non verifica né il contenuto né l'ammissibilità dei Suoi moduli e non vi è tenuta né — a causa della cifratura di cui al n. 7 — è in grado di farlo.

Lei raccoglie tramite il Servizio soltanto i dati personali necessari al Suo scopo.

Lei gestisce sotto la propria responsabilità gli accessi al Suo account e, se utilizzati, agli spazi di lavoro di team. Attribuisce e revoca tempestivamente le autorizzazioni, sceglie password e chiavi della cassaforte sicure e le mantiene segrete. Le azioni compiute tramite i Suoi accessi si considerano da Lei disposte.

Lei informa Schweizerform senza indugio se ha indizi di una compromissione delle Sue credenziali o di una violazione della sicurezza dei dati nella Sua sfera di responsabilità.

Prima di attivare funzioni opzionali che comportano un trattamento da parte di terzi — la traduzione e la creazione di moduli assistite da IA di cui al n. 11 — Lei verifica se il loro impiego sia ammissibile per il Suo trattamento. Tali funzioni sono disattivate per impostazione predefinita e sono utilizzate solo su Sua espressa attivazione; trattano esclusivamente testi di moduli da Lei redatti e in nessun momento risposte di persone interessate.

Lo stesso vale per l'elenco di contatti, per gli inviti, per le conferme di ricezione, per la copia destinata alla persona che compila il modulo e per i contatori estesi di cui al n. 6. Nessuna di tali funzioni è eseguita senza la Sua istruzione (n. 3): l'elenco di contatti e gli inviti soltanto quando Lei vi ricorre; le conferme di ricezione, la copia destinata alla persona che compila il modulo e i contatori estesi soltanto dopo che Lei li ha attivati per il modulo interessato — questi sono disattivati per impostazione predefinita. Prima di ricorrervi o di attivarle Lei verifica se il loro impiego sia ammissibile per il Suo trattamento — segnatamente, se è soggetto al segreto professionale, se la comunicazione descritta al n. 5 sia per Lei ammissibile. Lei determina quali destinatari vengano contattati e garantisce di disporre di una base legale valida per contattare le persone registrate nel Suo elenco di contatti e per i messaggi da Lei disposti.

9. Notifica delle violazioni della sicurezza dei dati

Schweizerform Le notifica ogni violazione della sicurezza dei dati che riguardi i Suoi dati senza indugio, al più tardi tuttavia entro 48 ore dalla presa di conoscenza, in forma testuale.

La notifica è inviata all'indirizzo e-mail registrato per il Suo account. Lei mantiene aggiornato tale indirizzo.

La notifica contiene, nella misura in cui siano noti al momento della notifica: la natura della violazione, le categorie di dati interessate, il numero approssimativo di persone interessate e di record, le probabili conseguenze nonché le misure adottate o proposte. Schweizerform integra le indicazioni mancanti non appena disponibili; una prima notifica incompleta si considera tempestiva.

Schweizerform La assiste nei Suoi obblighi di notifica all'IFPDT secondo l'art. 24 nLPD nonché, ove applicabile, secondo gli art. 33 e 34 GDPR. La valutazione dell'obbligo di notifica e la notifica stessa competono a Lei.

Schweizerform documenta le violazioni della sicurezza dei dati, comprese le misure correttive adottate.

Le notifiche ai sensi del presente numero avvengono in adempimento di obblighi di legge e non costituiscono riconoscimento di colpa o di responsabilità.

10. Diritti delle persone interessate e assistenza

La tutela dei diritti delle persone interessate compete a Lei. Il Servizio Le mette a disposizione le funzioni necessarie a tal fine, in particolare la consultazione, l'esportazione e la cancellazione di singole risposte nonché la consultazione, l'esportazione e la cancellazione delle voci del Suo elenco di contatti.

Schweizerform La assiste con misure adeguate nella misura in cui Lei non possa soddisfare le richieste autonomamente tramite le funzioni del Servizio. Poiché Schweizerform non può decifrare i contenuti, tale assistenza si limita necessariamente ai dati cifrati e ai metadati.

Se una persona interessata rivolge una richiesta direttamente a Schweizerform, quest'ultima la inoltra a Lei senza indugio e non vi risponde autonomamente. Se un destinatario di un invito si oppone alla ricezione di ulteriori messaggi, Schweizerform registra tale opposizione e la fa rispettare per gli invii futuri; ciò avviene in adempimento di propri obblighi quale mittente del messaggio e non costituisce risposta ad altre richieste in Sua vece.

Schweizerform La assiste nelle valutazioni d'impatto sulla protezione dei dati e nelle consultazioni dell'autorità di vigilanza, nella misura in cui le informazioni necessarie provengano dalla propria sfera di responsabilità.

Le prestazioni di assistenza di cui ai n. 9 e 10 sono fornite gratuitamente nella misura usuale. Se il dispendio eccede la misura usuale — segnatamente in caso di richieste ripetute o estese, attestazioni individuali, questionari, controlli in loco o analisi separate — Schweizerform La informa preventivamente e avvia l'esecuzione soltanto previo Suo consenso in forma testuale, dietro rimborso alle tariffe di volta in volta vigenti. Ciò non vale nella misura in cui il dispendio sia riconducibile a una violazione di obblighi imputabile a Schweizerform.

11. Responsabili ulteriori

Lei accorda a Schweizerform l'autorizzazione generale a ricorrere a responsabili ulteriori conformemente al presente numero (art. 9 cpv. 3 nLPD). I responsabili ulteriori impiegati al momento della pubblicazione della presente versione sono elencati qui di seguito. Tale elenco è quello determinante; le Condizioni generali di utilizzo vi rinviano.

L'elaborazione dei pagamenti (Stripe Payments Europe, Ltd., Irlanda) riguarda esclusivamente i Suoi dati di contatto, di account e di fatturazione, che Schweizerform tratta quale titolare del trattamento (n. 1); essa è descritta nell'informativa sulla protezione dei dati e non costituisce trattamento su incarico ulteriore ai sensi del presente Contratto.

Se Schweizerform intende ricorrere a un ulteriore responsabile o sostituirne uno esistente, La informa con almeno 30 giorni di anticipo in forma testuale.

Lei può opporsi alla modifica entro 30 giorni dal ricevimento della comunicazione, in forma testuale e per un motivo importante fondato in materia di protezione dei dati. In mancanza di opposizione entro tale termine, la modifica si considera approvata.

Se Lei si oppone e le parti non trovano una soluzione consensuale entro 30 giorni, ciascuna parte può disdire in via ordinaria il presente Contratto e le Condizioni generali di utilizzo per la data prevista della modifica. Dall'opposizione non derivano ulteriori pretese.

Il venir meno di un responsabile ulteriore senza sostituzione non richiede né comunicazione preventiva né procedura di opposizione; esso diviene efficace con la pubblicazione della nuova versione del presente Contratto (n. 17).

Schweizerform può sostituire un responsabile ulteriore senza comunicazione preventiva se ciò è necessario per scongiurare un pericolo immediato per la sicurezza o la disponibilità del Servizio. In tal caso La informa senza indugio a posteriori.

Schweizerform obbliga contrattualmente i responsabili ulteriori a obblighi corrispondenti nella sostanza a quelli derivanti dal presente Contratto, compresa la riservatezza di cui al n. 4 e, ove applicabile, al n. 5.

Schweizerform risponde dell'osservanza degli obblighi in materia di protezione dei dati da parte dei propri responsabili ulteriori come del proprio comportamento, nei limiti della disciplina della responsabilità di cui al n. 15.

Non costituiscono trattamento su incarico ulteriore le prestazioni accessorie prive di accesso previsto ai Suoi dati personali, segnatamente le prestazioni di telecomunicazione nonché la manutenzione da parte di terzi senza accesso ai dati.

12. Luogo del trattamento e comunicazione all'estero

Risposte. Tutte le risposte delle persone interessate — risposte e file allegati — sono trattate e conservate esclusivamente in Svizzera (server applicativi, banca dati, archiviazione a oggetti). Non ha luogo alcun trattamento di tali dati al di fuori della Svizzera. Anche l'elenco di contatti è conservato esclusivamente in Svizzera e in forma cifrata (n. 7).

Prestazioni accessorie al di fuori della Svizzera. Al di fuori della Svizzera ha luogo esclusivamente la consegna di e-mail transazionali tramite il fornitore elencato al n. 11 (Norvegia; trattamento e consegna in Germania e Finlandia). La consegna delle e-mail non comprende né invii, né risposte, né contenuti delle risposte. Essa comprende dati personali di una persona interessata soltanto in due casi — quando Lei dispone un invito a un destinatario da Lei designato e quando una persona che ha compilato uno dei Suoi moduli chiede che le sia inviata una conferma di ricezione — e, in entrambi i casi, unicamente l'indirizzo e-mail del destinatario e il messaggio descritto al n. 11. I Suoi dati di fatturazione sono trattati dal fornitore di pagamento indicato nell'informativa sulla protezione dei dati (n. 1); non si tratta di un trattamento per Suo conto. Un trattamento ulteriore al di fuori della Svizzera ha luogo soltanto previa comunicazione conformemente al n. 11.

La consegna delle e-mail tramite il fornitore elencato al n. 11 si svolge interamente nello Spazio economico europeo. Gli Stati interessati — Norvegia, Germania e Finlandia — dispongono di una protezione dei dati adeguata secondo l'allegato 1 dell'ordinanza sulla protezione dei dati. Tale comunicazione è pertanto lecita secondo l'art. 16 cpv. 1 nLPD, senza garanzie supplementari.

Per eventuali comunicazioni ulteriori da parte di tali responsabili a destinatari al di fuori dello Spazio economico europeo, Schweizerform ricorre esclusivamente a responsabili ulteriori le cui proprie condizioni prevedono, per tali comunicazioni, una base conforme agli art. 16 e 17 nLPD nonché, ove applicabile, al capitolo V GDPR, segnatamente una decisione di adeguatezza o le clausole contrattuali tipo della Commissione europea. Su richiesta Schweizerform trasmette la relativa documentazione dei responsabili ulteriori.

13. Prove e controlli

Su richiesta, Schweizerform comprova l'osservanza degli obblighi derivanti dal presente Contratto, in primo luogo mediante una descrizione aggiornata delle misure adottate, mediante autodichiarazione nonché mediante certificati o rapporti di audit dei propri responsabili ulteriori.

Se tali prove non sono sufficienti in un caso singolo fondato, Lei può effettuare un controllo al massimo una volta per anno civile, oppure farlo effettuare da un terzo indipendente, vincolato al segreto e non concorrente di Schweizerform. Il controllo è effettuato a distanza, sulla base di documenti e risposte scritte, previo preavviso di almeno 30 giorni e con il minor pregiudizio possibile per l'esercizio; esso non eccede due giorni lavorativi di impegno di Schweizerform.

Un controllo in loco presso Schweizerform ha luogo soltanto in caso di sospetto fondato di una grave violazione della sicurezza dei dati; in tal caso le limitazioni del capoverso precedente quanto alla frequenza, al termine di preavviso, alla forma e alla durata non si applicano.

I costi di un controllo sono a Suo carico e Lei rimborsa il dispendio di Schweizerform alle tariffe di volta in volta vigenti. Qualora vengano accertate violazioni sostanziali degli obblighi di Schweizerform, tali costi sono a carico di quest'ultima.

Restano riservati l'accesso a sistemi, locali e dati di terzi nonché ai segreti aziendali e commerciali di Schweizerform. Non è concesso alcun accesso diretto ai sistemi di produzione.

14. Conservazione, cancellazione e restituzione

Durante la durata del Contratto Lei può ottenere autonomamente i Suoi dati in qualsiasi momento tramite le funzioni di esportazione del Servizio. Tale self-service vale quale consegna dei dati ai sensi dell'art. 9 nLPD.

Durante la durata del Contratto Lei può chiedere in qualsiasi momento la cancellazione di singole risposte; la relativa funzione è direttamente a Sua disposizione nel Servizio. Se la richiesta perviene eccezionalmente tramite Schweizerform, quest'ultima esegue la cancellazione entro 30 giorni.

• •Registro di sicurezza. L'indirizzo IP e lo user agent sono rimossi automaticamente dalle voci di registro dopo 90 giorni; la voce dell'evento stessa (momento, azione, oggetto, esito) è conservata a titolo di prova.
• •Registro dell'invio di e-mail. Le voci, compreso il contenuto renderizzato dei messaggi, sono cancellate automaticamente dopo 90 giorni. Gli inviti ai Suoi moduli e le conferme di ricezione inviate su richiesta non sono affatto iscritti in tale registro — né l'indirizzo del destinatario né il contenuto del messaggio (si veda la voce «Record degli inviti»).
• •Elenco di contatti. Le voci del Suo elenco di contatti permangono finché Lei le conserva e sono cancellate quando Lei le cancella, al più tardi con la cancellazione del Suo account o dello spazio di lavoro interessato. Quando Lei cancella un contatto che si è opposto alla ricezione di ulteriori messaggi, sono conservati valori derivati dal suo indirizzo e-mail affinché l'opposizione sia rispettata anche qualora il medesimo indirizzo venga nuovamente importato. Tale residuo non contiene alcun indirizzo leggibile, non è utilizzato per alcun altro scopo ed è cancellato insieme al Suo account o allo spazio di lavoro interessato.
• •Record degli inviti. Per ogni invito inviato è tenuto un record dello stato di consegna; esso permane finché esiste il modulo ed è cancellato unitamente a quest'ultimo. Non contiene alcun indirizzo di destinatario, alcun nome e alcun contenuto del messaggio. Per una conferma di ricezione, così come per la copia che la persona crea per sé nella pagina di conferma, è registrato esclusivamente il momento presso la risposta interessata.
• •Moduli salvati parzialmente. Se Lei attiva per un modulo il salvataggio con ripresa successiva, le risposte parziali salvate da chi compila il modulo sono conservate cifrate allo stesso modo degli invii e sono cancellate automaticamente 30 giorni dopo l'ultimo salvataggio, al più tardi unitamente al modulo.
• •Copie di backup. Una cancellazione ha effetto immediato nei sistemi di produzione. I dati contenuti nelle copie di backup sono sovrascritti nel corso del normale ciclo di backup, al più tardi entro 30 giorni (il ciclo di backup della banca dati è attualmente di sette giorni). Fino ad allora restano bloccati esclusivamente ai fini del ripristino e non sono altrimenti trattati.

Dopo la fine del Contratto, Schweizerform restituisce o cancella i dati personali a Sua scelta, comprese le copie esistenti. Lei comunica la Sua scelta in forma testuale entro 30 giorni dalla fine del Contratto. In mancanza di comunicazione, Schweizerform cancella i dati alla scadenza di tale termine. Se Lei cancella autonomamente il Suo account tramite l'apposita funzione del Servizio, ciò vale quale scelta della cancellazione; in tal caso la cancellazione avviene immediatamente e in modo irreversibile e il termine di cui al presente capoverso decade. Lei effettua preventivamente le proprie esportazioni. Alla forma della restituzione si applica il n. 7.

Su richiesta Schweizerform conferma la cancellazione in forma testuale. Una conservazione oltre la fine del Contratto è ammissibile nella misura in cui sussistano obblighi legali di conservazione; in tal caso Schweizerform limita il trattamento allo scopo della conservazione.

15. Responsabilità

Le parti rispondono secondo le disposizioni di legge.

La limitazione della responsabilità convenuta nelle Condizioni generali di utilizzo — in particolare la limitazione della responsabilità complessiva ai corrispettivi versati a Schweizerform nei dodici mesi precedenti l'evento dannoso nonché l'esclusione dei danni indiretti e consequenziali — si applica anche alle pretese derivanti dal presente Contratto.

Tale limitazione della responsabilità non si applica ai danni causati da negligenza grave o dolo (art. 100 cpv. 1 CO) né in caso di lesione della vita, dell'integrità fisica o della salute.

È esclusa la responsabilità di Schweizerform per i danni riconducibili a: la perdita della chiave della cassaforte o del codice di recupero (n. 7); la concezione, il contenuto o la liceità dei Suoi moduli; la liceità dei messaggi da Lei disposti e dei destinatari da Lei designati; la Sua gestione degli accessi e delle autorizzazioni; oppure Sue istruzioni sulla cui problematicità Schweizerform ha richiamato l'attenzione conformemente al n. 3.

Se una parte è chiamata a rispondere da persone interessate o da autorità a causa di una violazione degli obblighi dell'altra parte, la parte inadempiente manleva l'altra nella misura della propria quota di responsabilità. Restano riservati il secondo e il terzo capoverso del presente numero.

16. Durata, cessazione e interruzione del Servizio

Il presente Contratto entra in vigore con la creazione del Suo account e si applica per la durata delle Condizioni generali di utilizzo. Cessa automaticamente con la fine di queste ultime; non è necessaria alcuna disdetta separata. Per i conti già esistenti al momento dell'entrata in vigore della presente versione, il presente Contratto entra in vigore con tale entrata in vigore, e l'ulteriore utilizzo del Servizio successivo vale quale accettazione secondo le Condizioni generali di utilizzo. Se una nuova versione è pubblicata senza che il n. 17 richieda una comunicazione, l'ulteriore utilizzo del Servizio dopo la data di entrata in vigore di tale versione vale quale accettazione.

La cessazione delle Condizioni generali di utilizzo è disciplinata dalle medesime. Schweizerform è legittimata a interrompere il Servizio conformemente alle Condizioni generali di utilizzo; in tal caso La informa con almeno 90 giorni di anticipo in forma testuale e Le consente di esportare i Suoi dati entro tale termine.

Resta riservato a entrambe le parti il diritto di disdetta straordinaria per motivi gravi.

Gli obblighi di riservatezza (n. 4) e di tutela del segreto professionale (n. 5) permangono oltre la fine del Contratto.

17. Modifiche del presente Contratto

Schweizerform può adeguare il presente Contratto nella misura in cui ciò sia necessario per tenere conto di una mutata situazione giuridica, della giurisprudenza, della prassi delle autorità o di uno sviluppo del Servizio.

Ogni modifica è pubblicata come nuova versione del presente documento, con una propria data di entrata in vigore e una voce nel registro delle modifiche. Le versioni pubblicate non vengono mai modificate a posteriori e restano consultabili; nella versione in essere sono ammesse soltanto correzioni che non mutano il senso di una disposizione.

Una modifica è sostanziale se estende il trattamento svolto per Suo conto o indebolisce una protezione o un diritto derivante dal presente Contratto — in particolare: una nuova categoria di dati personali o di persone interessate, oppure un nuovo scopo (n. 2); un nuovo responsabile ulteriore o la sostituzione di uno esistente (n. 11); un nuovo Stato di trattamento (n. 12); un termine di conservazione più lungo (n. 14); l'indebolimento di una misura di cui al n. 6 o di una garanzia di cui al n. 7; nonché una modifica dei n. 5, 9, 13 o 15, o del presente n. 17, che limiti i Suoi diritti. Non sono sostanziali, in particolare, una modifica che si limita a restringere il trattamento — quale il venir meno di un responsabile ulteriore senza sostituzione, il venir meno di un luogo del trattamento, l'abbreviazione di un termine di conservazione o il rafforzamento di una protezione —, una descrizione più precisa di un trattamento già in atto, nonché un valore aggiuntivo registrato ai sensi del n. 6 che non identifica alcuna persona ed è un contatore aggregato per modulo o per domanda oppure viene registrato soltanto su Sua istruzione o in virtù di un'impostazione da Lei attivata. Se è dubbio se una modifica sia sostanziale, essa si considera sostanziale.

Schweizerform comunica le modifiche sostanziali almeno 30 giorni prima della loro entrata in vigore, in forma testuale, all'indirizzo e-mail registrato per il Suo account. La forma testuale ai sensi del presente Contratto comprende l'e-mail.

Le modifiche non sostanziali entrano in vigore con la pubblicazione della nuova versione. Ciò fa venir meno soltanto la comunicazione preventiva; la nuova versione, la sua data di entrata in vigore e la voce nel registro delle modifiche permangono.

Se la comunicazione riguarda il ricorso a un nuovo responsabile ulteriore o la sostituzione di uno esistente (n. 11), Lei può opporsi entro 30 giorni dal ricevimento, in forma testuale e per un motivo importante fondato in materia di protezione dei dati; si applicano la procedura e le conseguenze di cui al n. 11. Per le altre modifiche non sussiste alcun diritto di opposizione; resta riservato il capoverso seguente.

Se una modifica indebolisce una misura di cui al n. 6 o una garanzia di cui al n. 7, Lei può disdire il presente Contratto e le Condizioni generali di utilizzo, in forma testuale prima che la modifica diventi efficace, con effetto dalla data in cui essa diventa efficace; fino ad allora continua ad applicarsi nei Suoi confronti la versione precedente. Una modifica che rimuovesse o limitasse il contenuto che l'art. 9 nLPD e l'art. 28 par. 3 GDPR esigono per il presente Contratto non diventa mai efficace per silenzio e richiede in ogni caso il Suo accordo espresso.

La data di entrata in vigore della versione applicabile è indicata in calce alla presente pagina.

18. Diritto applicabile e foro competente

Si applica il diritto svizzero, con esclusione delle norme sui conflitti di leggi e della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci.

Il foro esclusivo per ogni controversia derivante dal presente Contratto o ad esso connessa è Pfäffikon SZ, Svizzera.