Informativa sulla privacy

1. Introduzione

Schweizerform («noi», «ci», «nostro/a») gestisce la piattaforma Schweizerform — un servizio svizzero di creazione moduli con crittografia end-to-end. La presente Informativa sulla privacy spiega come raccogliamo, utilizziamo, archiviamo e proteggiamo le Sue informazioni quando utilizza la nostra piattaforma.

Ci impegniamo a proteggere la Sua privacy attraverso la nostra architettura zero-knowledge. Ciò significa che la maggior parte dei dati che elabora tramite Schweizerform viene crittografata nel Suo browser prima di raggiungere i nostri server, e siamo tecnicamente impossibilitati ad accedervi.

2. Architettura zero-knowledge

Schweizerform utilizza un modello di crittografia end-to-end zero-knowledge. Non si tratta semplicemente di una funzionalità — è il fondamento della nostra piattaforma. Ecco cosa significa per i Suoi dati:

• Risposte ai moduli: Tutti i dati delle risposte vengono crittografati nel browser del rispondente utilizzando la crittografia AES-256-GCM prima della trasmissione ai nostri server. Archiviamo solo blob crittografati che non possiamo decrittare.
• Allegati: I file caricati vengono crittografati lato client prima del caricamento. I nomi dei file originali vengono sostituiti con identificatori randomizzati sui nostri server.
• Chiave della cassaforte: La Sua chiave principale viene derivata nel Suo browser dalla Sua chiave della cassaforte con PBKDF2-HMAC-SHA256, 600'000 iterazioni e un sale individuale. La chiave della cassaforte non viene in alcun momento trasmessa ai sistemi di Schweizerform né su di essi memorizzata; la chiave principale esiste in chiaro soltanto nella memoria del Suo browser. Conserviamo inoltre una copia della chiave principale cifrata con il Suo codice di recupero, affinché Lei possa riottenere l'accesso con tale codice. Il codice di recupero non viene mai trasmesso né memorizzato, per cui questa copia è per noi inutilizzabile.
• Chiavi di crittografia: Le chiavi private RSA e le chiavi AES a livello di modulo vengono crittografate con la Sua chiave principale prima dell'archiviazione. Archiviamo solo materiale chiave crittografato.

3. Informazioni che raccogliamo

3.1 Informazioni sull'account

Quando crea un account, raccogliamo il Suo indirizzo e-mail e, se lo indica, il Suo nome. Questi dati vengono utilizzati per l'autenticazione dell'account (codici di accesso monouso e la Sua password, se ne imposta una), il recupero della password e le comunicazioni relative al servizio. Non raccogliamo il Suo indirizzo postale, il Suo numero di telefono né i Suoi dati di pagamento durante la registrazione. Se in seguito sceglie di pagare con fattura QR svizzera, raccogliamo inoltre l'indirizzo di fatturazione che deve figurare sulla fattura: un nome di contatto, un nome di azienda facoltativo, via e numero civico, codice postale e località, un indirizzo e-mail di fatturazione e, se lo desidera, un Suo riferimento d'ordine o centro di costo.

3.2 Metadati dei moduli

Archiviamo i metadati dei moduli necessari per il funzionamento del servizio, tra cui titoli dei moduli, date di creazione, informazioni sullo stato, impostazioni di pianificazione e conteggi delle risposte. Il contenuto delle risposte è sempre crittografato e a noi inaccessibile.

3.3 Abbonamento e fatturazione

I pagamenti con carta e TWINT sono elaborati da Stripe Payments Europe, Ltd. (Dublino, Irlanda). Non riceviamo né archiviamo il Suo numero di carta di credito. Da Stripe riceviamo solo un identificatore cliente, lo stato dell'abbonamento, i dettagli del piano e le informazioni sul ciclo di fatturazione necessarie per gestire il Suo abbonamento. Nell'ambito del gruppo Stripe i dati possono essere trasmessi a Stripe, LLC (USA), certificata secondo lo Swiss–U.S. Data Privacy Framework; l'allegato 1 dell'ordinanza sulla protezione dei dati riconosce ai destinatari certificati negli USA una protezione adeguata. Ove tale quadro non si applichi, l'addendum sul trattamento dei dati di Stripe si fonda sulle clausole contrattuali tipo della Commissione europea. Se invece paga con fattura QR svizzera, non interviene alcun fornitore di servizi di pagamento: raccogliamo un indirizzo di fatturazione, emettiamo noi la fattura e Lei bonifica l'importo sul nostro conto bancario svizzero. In tal caso conserviamo il nome, l'indirizzo e l'e-mail di fatturazione indicati sulla fattura, insieme all'importo e alle date; Stripe non riceve nulla. Il diritto svizzero ci obbliga a conservare per dieci anni le fatture emesse — si veda la sezione 7.

3.4 Dati analitici

Sulle nostre pagine web rileviamo dati di misura ridotti al minimo per gestire e migliorare il servizio: visualizzazioni di pagina, un identificatore di sessione derivato da un fingerprint del browser (senza cookie), il tipo di dispositivo e il Paese. Tale identificatore è pseudonimo, non anonimo. Sulle pagine pubbliche dei moduli non viene impiegato nulla di tutto ciò: nessuna sessione di misurazione, nessun fingerprint del browser, nessuna rilevazione del Paese e nessun servizio di analisi, pubblicità o tracciamento di terze parti. Per i moduli pubblici conserviamo: contatori giornalieri aggregati per singolo modulo (numero di visualizzazioni, numero di invii, classe di dispositivo — desktop, cellulare o tablet — e canale di accesso, link o codice QR); contatori aggregati per domanda (quante volte una domanda è stata mostrata e quante volte ha ricevuto risposta); nonché, per ciascun invio, il tempo di compilazione, il numero di domande, il numero di risposte, la dimensione totale memorizzata dell'invio (le risposte cifrate e gli eventuali allegati cifrati) e la lingua di visualizzazione utilizzata. La classe di dispositivo viene ricavata sul server al momento dell'invio a partire dallo user agent; lo user agent stesso non viene memorizzato. Sui moduli per i quali il titolare attiva i contatori estesi — un'impostazione per singolo modulo, disattivata per impostazione predefinita — conserviamo inoltre, per ciascun link personalizzato, quante volte tale link è stato aperto e quando l'ultima volta; tali valori non contengono alcuna voce per singola visita, alcun indirizzo IP, alcuno user agent né risposte, sono mostrati al titolare accanto al numero di risposte pervenute tramite quel link e sono cancellati insieme al link o al modulo. I contatori aggregati non vengono mai incrociati tra loro, con le domande o con i singoli invii. Vengono cancellati insieme al modulo. Non utilizziamo servizi di analisi, pubblicità o tracciamento di terze parti; tutti i dati di misura sono archiviati nella nostra infrastruttura svizzera. L'identificatore è conservato nella sessionStorage del browser solo per la durata della visita e viene eliminato alla chiusura della scheda; non vi riconosciamo tra visite separate. Quando accedete, l'utilizzo registrato durante la stessa visita viene associato al vostro account.

3.5 Dati tecnici

Quando utilizza la piattaforma, potremmo raccogliere dati tecnici necessari per l'erogazione del servizio, tra cui token di sessione (archiviati come cookie HTTP-only), token CSRF, preferenze linguistiche e log degli errori. I log degli errori sono sanitizzati per escludere qualsiasi informazione sensibile o personalmente identificabile. Per proteggere gli account e i moduli da abusi, teniamo inoltre contatori anti-abuso di breve durata, in parte con il Suo indirizzo IP; ogni contatore dura al massimo un giorno e viene cancellato automaticamente alla prima pulizia successiva alla sua scadenza.

3.6 Traduzione automatica e lingua di invio

Se lei, in qualità di titolare di un modulo, attiva la traduzione automatica, i contenuti da lei redatti — testi delle domande, opzioni ed etichette — vengono inviati a Infomaniak AI Services ed elaborati interamente in Svizzera per generare le versioni tradotte. In questo processo non vengono mai coinvolti dati dei partecipanti né contenuti delle risposte. Quando un partecipante invia un modulo, registriamo inoltre la lingua in cui era visualizzata la sua interfaccia — un valore limitato e anonimo — nell'ambito delle nostre statistiche aggregate e non identificative.

4. Come utilizziamo le Sue informazioni

Utilizziamo le informazioni raccolte esclusivamente per i seguenti scopi:

• Per gestire e mantenere la piattaforma Schweizerform
• Per autenticare la Sua identità e gestire il Suo account
• Per elaborare i pagamenti degli abbonamenti — con carta o TWINT tramite Stripe, oppure direttamente con fattura QR svizzera, senza alcun fornitore di servizi di pagamento
• Per inviare comunicazioni relative al servizio (ad es. recupero password, conferme di abbonamento, notifiche sull'attività dei Suoi moduli)
• Per migliorare il nostro servizio sulla base di dati di misura pseudonimi e aggregati
• Per diagnosticare e risolvere problemi tecnici utilizzando log degli errori sanitizzati

Non vendiamo, noleggiamo né condividiamo le Sue informazioni personali con terzi a fini di marketing. Non utilizziamo i Suoi dati per pubblicità o profilazione.

In qualità di titolare di un account, può ricevere occasionalmente e-mail da parte nostra su nuove funzionalità, miglioramenti e annunci relativi alla piattaforma. Ognuna di queste e-mail contiene un link per annullare l'iscrizione, e l'annullamento ha effetto immediato. Può anche disattivarle in qualsiasi momento in Impostazioni → Account, oppure con la funzione di annullamento dell'iscrizione che il Suo programma di posta elettronica mostra eventualmente per queste e-mail. Le e-mail relative al Suo account e alla sua sicurezza — codici di accesso, reimpostazioni della password, fatturazione e le notifiche che attiva per i Suoi moduli — sono necessarie per la fornitura del servizio e vengono inviate finché il Suo account esiste.

5. Cookie e archiviazione locale

Schweizerform utilizza i seguenti meccanismi di archiviazione lato client:

• Cookie di sessione: Un cookie di sessione sicuro (HttpOnly) La autentica. Dura fino a 30 giorni e si rinnova con l'uso continuato; un timer di inattività separato e configurabile (24 ore per impostazione predefinita, riducibile fino a 1 ora) disconnette questo browser e cancella la sua cassaforte dalla memoria del dispositivo. Gli altri dispositivi e sessioni non sono interessati.
• Cookie token CSRF: Un cookie contenente un token CSRF viene utilizzato per prevenire attacchi di falsificazione delle richieste cross-site.
• Archiviazione locale: Se sceglie di salvare la Sua chiave della cassaforte localmente, una versione crittografata viene archiviata nel localStorage del Suo browser. La chiave di crittografia è una CryptoKey non estraibile archiviata in IndexedDB. La Sua chiave della cassaforte in chiaro non viene mai archiviata.
• Preferenza linguistica: La lingua selezionata viene archiviata localmente per un'esperienza utente coerente.
• Cookie del Paese: Un cookie funzionale memorizza il Paese rilevato per la sua connessione, così da non doverlo ricontrollare a ogni pagina. Serve unicamente a limitare la registrazione alla Svizzera — mai per tracciamento o pubblicità.
• Identificatore di sessione di analisi: Un identificatore pseudonimo per le nostre statistiche di utilizzo è conservato nella sessionStorage per la durata della visita ed eliminato alla chiusura della scheda. Non persiste mai tra visite separate, non è trasmesso a terzi e non è utilizzato sulle pagine dei moduli pubblici.
• Ausili per piano e pagamento: Quando sceglie un piano prima di accedere, conserviamo questa scelta nel localStorage affinché, dopo la registrazione, arrivi dove voleva. La voce contiene solo il piano, la periodicità e la versione dei prezzi — nessun dato personale e nessun importo — e viene rimossa non appena utilizzata, o scartata se nel frattempo i nostri prezzi sono cambiati.
• Scadenza della chiave della cassaforte: Se salva localmente la Sua chiave della cassaforte, il momento in cui tale copia scade viene memorizzato accanto ad essa nel localStorage, così che il Suo browser possa cancellarla per tempo.
• Preferenze sui moduli pubblici: Su una pagina di modulo pubblico, la lingua che ha scelto e un contrassegno che indica che ha già inviato quel modulo sono memorizzati nel localStorage del Suo browser. Restano sul Suo dispositivo, non ci vengono mai trasmessi e non identificano nessuno.

Non utilizziamo cookie pubblicitari, cookie di tracciamento né cookie analitici di terze parti.

6. Condivisione dei dati

Condividiamo le sue informazioni solo come descritto di seguito, strettamente nella misura necessaria al funzionamento del Servizio:

• Stripe Payments Europe, Ltd. (Dublino, Irlanda): Per l'elaborazione dei pagamenti con carta e TWINT. Nostra controparte contrattuale è la società irlandese; Stripe elabora i dati di pagamento direttamente — non riceviamo mai le informazioni complete della Sua carta. Nell'ambito del gruppo Stripe i dati possono essere trasmessi a Stripe, LLC (USA), certificata secondo lo Swiss–U.S. Data Privacy Framework; ove tale quadro non si applichi, l'addendum sul trattamento dei dati di Stripe si fonda sulle clausole contrattuali tipo della Commissione europea. Se paga con fattura QR svizzera, Stripe non è coinvolta in alcun modo nel Suo pagamento e non ne riceve alcun dato.
• Fornitori di infrastruttura (hosting, archiviazione e invio di e-mail transazionali): I nostri fornitori di hosting e di archiviazione si trovano esclusivamente in Svizzera e vi archiviano dati cifrati per nostro conto; non hanno accesso alle chiavi di cifratura e non possono decifrare alcun dato utente. Le e-mail transazionali — codici monouso, messaggi relativi all'account e inviti a uno spazio di lavoro — sono consegnate dal fornitore indicato nel nostro contratto di trattamento su incarico, che opera nello Spazio economico europeo (Norvegia; trattamento in Germania e Finlandia). Nessuna risposta ai moduli e nessun allegato viene mai inviato per e-mail.
• Infomaniak AI Services (facoltativo): Se attiva la traduzione automatica dei moduli, il contenuto testuale del suo modulo viene inviato ai servizi di IA di Infomaniak — elaborato esclusivamente in Svizzera — al solo scopo di produrre traduzioni. Se utilizza la creazione di moduli con IA, anche il prompt che digita viene inviato ai servizi di IA di Infomaniak in Svizzera, al solo scopo di abbozzare un modulo per lei. In entrambi i casi, le risposte dei rispondenti e il contenuto degli invii non vengono mai inviati.
• Spazi di lavoro del team (se ne crea uno o vi si unisce): Moduli, invii, tag e profili all'interno di uno spazio sono condivisi con gli altri membri in base al loro ruolo (proprietario, amministratore, membro o visualizzatore). Questi dati restano cifrati end-to-end — ogni membro possiede la chiave dello spazio avvolta con le proprie chiavi — e non vengono mai condivisi al di fuori dello spazio. Il proprietario dello spazio agisce come titolare del trattamento dei suoi contenuti.
• Bjørnerås Labs (servizio «EuSend»), n. org. 938 162 336, Norvegia: Per l'invio delle e-mail transazionali (codici monouso, messaggi relativi all'account e inviti, notifiche sull'attività dei Suoi moduli e, se paga con fattura QR svizzera, e-mail di fatturazione — numero di fattura, importo, riferimento di pagamento e link alla fattura, mai la fattura stessa né il Suo indirizzo postale). Il fornitore tratta l'indirizzo del destinatario, l'oggetto e il contenuto del messaggio. I contenuti dei messaggi sono elaborati e conservati esclusivamente su infrastrutture nello Spazio economico europeo, in Germania e in Finlandia; il fornitore cancella i protocolli di invio, compresi i contenuti renderizzati dei messaggi, entro 90 giorni. Non riceve mai gli invii dei moduli né le risposte dei rispondenti.

Al di fuori dei responsabili qui indicati non trasmettiamo le Sue informazioni ad altri terzi, salvo che vi siamo tenuti dal diritto svizzero. Non vendiamo i Suoi dati e non li mettiamo a disposizione di terzi per finalità di marketing o pubblicitarie. Anche in caso di obbligo legale, la nostra architettura zero-knowledge fa sì che possiamo fornire soltanto dati crittografati che non siamo in grado di decrittare.

7. Conservazione dei dati

Conserviamo i dati del Suo account e i dati crittografati dei moduli associati per tutto il tempo in cui il Suo account rimane attivo. Se un account gratuito non registra alcuna attività per 12 mesi — nessun accesso, nessun utilizzo dell'account e nessuna nuova risposta ai suoi moduli — possiamo eliminarlo con tutti i suoi dati, dopo aver inviato almeno due promemoria all'indirizzo e-mail dell'account, il primo almeno 30 giorni prima; un accesso impedisce l'eliminazione. Gli account con un abbonamento a pagamento e gli account che possiedono uno spazio di lavoro con membri attivi non vengono eliminati per inattività. Se elimina il Suo account, tutti i dati personali, i dati dei moduli, le risposte crittografate e i file associati vengono eliminati definitivamente dai nostri sistemi; l'eliminazione tramite la funzione self-service ha effetto immediato ed è irreversibile: effettui le Sue esportazioni prima di procedere. L'indirizzo IP e lo user agent registrati nel giornale di controllo (audit log) vengono rimossi automaticamente dopo 90 giorni, mentre la voce dell'evento in quanto tale viene conservata; le voci del giornale di invio delle e-mail, compreso il contenuto renderizzato dei messaggi, vengono cancellate dopo 90 giorni. Entrambe le operazioni sono eseguite da un processo automatico ricorrente. Vale un'unica eccezione, fondata su un obbligo di legge e non sul Suo consenso: se Le abbiamo emesso una fattura — cosa che avviene solo con la modalità di pagamento fattura QR svizzera —, il diritto svizzero ci obbliga a conservare le fatture per dieci anni (art. 958f CO). Una copia contabile di ogni fattura resta quindi conservata per tale durata e non viene rimossa quando elimina il Suo account. Contiene il nome, l'indirizzo e l'e-mail di fatturazione indicati sulla fattura, l'importo, le date e il riferimento di pagamento, e serve unicamente a tale obbligo contabile di legge. Nient'altro del Suo account sopravvive all'eliminazione.

La banca dati viene sottoposta a backup giornaliero dal nostro fornitore di infrastruttura in Svizzera, con una conservazione progressiva di sette giorni; i dati cancellati vengono normalmente sovrascritti nei backup entro otto giorni e, in ogni caso, entro 30 giorni al massimo. I contatori giornalieri aggregati per singolo modulo — visualizzazioni, invii, classe di dispositivo e canale di accesso — non contengono dati personali: sono semplici totali numerici per modulo e per giorno e vengono eliminati insieme al modulo. I dati di misura delle nostre pagine di presentazione e dell'applicazione — non delle pagine pubbliche dei moduli — sono pseudonimi, non anonimi, e vengono cancellati automaticamente 13 mesi dopo l'ultima attività della visita interessata. Una visita effettuata con l'accesso al Suo account è collegata all'account; tale collegamento viene eliminato quando cancella il Suo account. Se è attivata la copia destinata alla persona che compila il modulo, presso l'invio interessato è registrato soltanto il momento in cui la copia è stata creata; tale annotazione è cancellata insieme all'invio. Se il titolare dell'account attiva per un modulo il salvataggio con ripresa successiva, le risposte parziali salvate sono conservate cifrate come gli invii e cancellate automaticamente 30 giorni dopo l'ultimo salvataggio.

8. I Suoi diritti

Ai sensi della legge svizzera sulla protezione dei dati (nLPD) e delle normative applicabili, Lei dispone dei seguenti diritti:

• Diritto di accesso: Richiedere una copia dei dati personali che deteniamo su di Lei.
• Diritto di rettifica: Richiedere la correzione di dati personali inesatti.
• Diritto alla cancellazione: Richiedere la cancellazione del Suo account e di tutti i dati associati.
• Diritto alla portabilità dei dati: Richiedere i Suoi dati in un formato portabile. Nota: i dati dei moduli crittografati possono essere decrittati solo con la Sua chiave della cassaforte.
• Diritto di opposizione: Opporsi al trattamento dei Suoi dati per scopi specifici.
• Diritto di reclamo: Presentare un reclamo presso l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna.

Per esercitare uno qualsiasi di questi diritti, La preghiamo di contattarci all'indirizzo support@schweizerform.ch.

Qualora si verifichi una violazione della sicurezza dei dati suscettibile di comportare un rischio elevato per la Sua personalità o per i Suoi diritti fondamentali, ne daremo comunicazione il prima possibile all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT); La informeremo quando ciò è necessario per la Sua protezione o quando l'IFPDT lo richiede, come previsto dall'art. 24 nLPD. Se utilizza Schweizerform per raccogliere dati personali tramite i Suoi moduli, Lei è il titolare del trattamento di tali dati e l'obbligo di informare le persone che compilano i Suoi moduli spetta a Lei; il nostro contratto di trattamento su incarico disciplina il modo in cui La supportiamo nell'adempimento di tale obbligo.

Una notifica ai sensi della presente sezione avviene in adempimento di obblighi di legge e non costituisce riconoscimento di colpa né di responsabilità.

9. Conformità alla protezione dei dati svizzera

Schweizerform è disciplinata dalla Legge federale sulla protezione dei dati (nLPD), entrata in vigore il 1° settembre 2023. Tutti i dati dei moduli, gli invii, i file e la banca dati sono ospitati esclusivamente in Svizzera presso Infomaniak. L'elaborazione dei pagamenti con carta e TWINT avviene in Irlanda — un pagamento con fattura QR svizzera non lascia la Svizzera — e l'invio delle e-mail transazionali nello Spazio economico europeo (Norvegia, Germania, Finlandia). Questi Stati figurano nell'allegato 1 dell'ordinanza svizzera sulla protezione dei dati fra quelli che garantiscono una protezione adeguata; la comunicazione è pertanto ammessa ai sensi dell'art. 16 cpv. 1 nLPD senza garanzie supplementari. La nostra architettura zero-knowledge supera i requisiti di protezione dei dati stabiliti dalla legge federale svizzera, poiché la maggior parte dei dati degli utenti è crittografata in modo tale da impedire anche all'operatore del servizio di accedervi.

10. Modifiche alla presente informativa

Potremmo aggiornare periodicamente la presente Informativa sulla privacy per riflettere cambiamenti nelle nostre pratiche o nelle leggi applicabili. La informeremo di eventuali modifiche sostanziali pubblicando l'informativa aggiornata sul nostro sito web e aggiornando la data di «Ultimo aggiornamento». L'utilizzo continuato della piattaforma dopo le modifiche costituisce accettazione dell'informativa aggiornata.

11. Contatto

Per qualsiasi domanda riguardante la presente Informativa sulla privacy o le nostre pratiche in materia di dati, La preghiamo di contattarci. I nostri recapiti: