Informativa sulla protezione dei dati

Questa informativa spiega quali dati personali tratta EasyLPD, perché, per quanto tempo e a chi li affida. Vale per il sito easylpd.ch (e easydsg.ch), per la piattaforma su /app e per le pagine che la piattaforma mette a disposizione di persone esterne (portale di formazione, pagina pubblica di un'organizzazione, questionario per i fornitori, verifica di un certificato, firma di un documento).

Si applicano la legge federale svizzera sulla protezione dei dati (LPD) e, dove ne ricorrono le condizioni, il regolamento generale sulla protezione dei dati dell'Unione europea (GDPR).

1. Chi tratta i dati

Titolare del trattamento

Advisorn GmbH, Via Valdani 2, 6830 Chiasso, Svizzera E-mail: contact@easylpd.ch

Advisorn GmbH è titolare per i dati di chi visita il sito, di chi apre un account e di chi acquista un abbonamento o una consulenza.

Quando EasyLPD è responsabile del trattamento

Tutto ciò che un'organizzazione cliente inserisce nella piattaforma su altre persone (collaboratori, clienti, fornitori, persone che esercitano un diritto, firmatari di un documento) è trattato da Advisorn GmbH per conto di quell'organizzazione, che ne resta titolare. In questi casi vale l'informativa dell'organizzazione, e le richieste vanno rivolte a lei: le inoltriamo se arrivano a noi.

2. Quali dati trattiamo e perché

2.1 Visita del sito

Il sito non usa cookie di tracciamento né servizi di analisi di terzi. Le visite alle pagine pubbliche sono contate da noi:

• pagina vista, lingua, sito di provenienza, eventuali etichette di campagna del link, secondi trascorsi sulla pagina;
• paese e cantone o regione, tipo di dispositivo, famiglia del browser e del sistema operativo (mai l'identificativo completo del browser);
• un codice ricavato dall'indirizzo IP e dal browser, diverso ogni giorno, che serve solo a contare i visitatori di una giornata e non permette di riconoscere una persona da un giorno all'altro;
• dell'indirizzo IP soltanto la rete, cioè l'indirizzo senza la sua ultima parte, cancellata dopo 30 giorni. L'indirizzo intero non viene conservato.

Chi ha attivato nel browser «Global Privacy Control» o «Do Not Track» non viene contato affatto. Le richieste di programmi automatici (motori di ricerca, servizi di intelligenza artificiale, altri bot) sono registrate con il nome che il programma dichiara.

Scopo: capire quali pagine servono e da dove arrivano i visitatori. Base giuridica: il nostro interesse legittimo a migliorare il sito con dati che non identificano una persona.

Pagina di stato. La pagina dello stato del servizio (status.easylpd.ch), a cui rimanda il link «Stato del servizio», è gestita da Better Stack, Inc., non da noi. Quella pagina carica strumenti propri di Better Stack, tra cui Google Ads (Google), che possono usare cookie e ricevere l'indirizzo IP e i dati del browser di chi la apre; per questi dati vale l'informativa di Better Stack. Il resto del sito non carica nulla di Better Stack né di Google.

2.2 Autovalutazione senza account

Le risposte dell'autovalutazione gratuita restano nel browser di chi la compila. Arrivano ai nostri server solo se la persona apre un account e sceglie di portarle con sé. Lo stesso vale per il server MCP pubblico (https://easylpd.ch/api/mcp), con cui un assistente di intelligenza artificiale usa l'autovalutazione e le nostre guide: le domande e le risposte che riceve non sono conservate.

2.3 Account

• nome, indirizzo e-mail, password (conservata solo in forma non leggibile), stato di conferma dell'indirizzo;
• se attivati: verifica in due passaggi, passkey, accesso con Google o Microsoft (da questi riceviamo solo nome e indirizzo e-mail);
• sessioni di accesso: data, indirizzo IP e browser, per proteggere l'account e permettere di chiuderle;
• tentativi di accesso, per limitare gli abusi;
• dispositivi che hanno chiesto le notifiche push.
• la versione delle condizioni generali accettata all'apertura dell'account, con la data.

Scopo: fornire il servizio e proteggerlo. Base giuridica: l'esecuzione del contratto e il nostro interesse legittimo alla sicurezza.

Uso della piattaforma: per ogni giorno, quali sezioni (per esempio il registro o i documenti) hai aperto e quante pagine, mai che cosa vi leggi o scrivi. Lo vede solo lo staff di EasyLPD, per capire che cosa serve e che cosa migliorare. Base giuridica: il nostro interesse legittimo a migliorare il servizio.

2.4 Contenuti della piattaforma

Dati dell'organizzazione, risposte delle valutazioni, piano d'azione, registro dei trattamenti, fornitori, nomine (nome, indirizzo e-mail e incarico delle persone nominate), consensi e prese visione (nome e indirizzo e-mail di chi firma, le risposte, il giorno e la famiglia del browser e del sistema con cui ha firmato, mai l'indirizzo IP), documenti e file caricati, violazioni, valutazioni d'impatto, richieste degli interessati, attività, registro delle modifiche, notifiche. Questi contenuti possono riguardare terze persone: li trattiamo per conto dell'organizzazione cliente (punto 1).

Il personale di Advisorn non legge i contenuti di un cliente. Lo può fare solo un consulente, in sola lettura, dopo che il cliente ha concesso l'accesso per un periodo limitato; ogni consultazione è annotata nel registro delle modifiche del cliente, che può revocare l'accesso in ogni momento.

2.5 Abbonamento, fatture e consulenza

• dati di fatturazione (ragione sociale, indirizzo, numero IVA), abbonamento e fatture;
• i pagamenti con carta sono gestiti da Stripe: non vediamo né conserviamo i dati della carta;
• richieste di consulenza e segnalazioni al supporto tecnico, con i file che il cliente vi allega (conservati a Zurigo come gli altri file e visibili a lui e ad Advisorn), e ore prestate;
• la prenotazione di un colloquio conoscitivo: avviene sulla pagina di Cal.com, a cui i nostri pulsanti rimandano con un semplice link (sul nostro sito non è incorporato nulla di Cal.com). Cal.com riceve nome, indirizzo e-mail e quanto scritto nella prenotazione, e li trasmette a noi per organizzare il colloquio.

Base giuridica: l'esecuzione del contratto e gli obblighi di legge sulla conservazione dei documenti contabili.

2.6 Firma dei documenti

Firma in piattaforma. Quando un membro firma un documento conserviamo nome, indirizzo e-mail, data e ora, il modo in cui ha confermato la propria identità e l'impronta (SHA-256) del PDF firmato.

Consensi e prese visione. Un'organizzazione può chiedere a clienti, genitori o collaboratori di confermare di aver letto un documento o di dare un consenso. Chi firma riceve da noi per e-mail il link e un codice di 6 cifre; non serve un account e non usiamo cookie. Conserviamo per l'organizzazione il testo firmato, le risposte, nome e indirizzo e-mail, il giorno e la famiglia del browser e del sistema. Questi dati restano a Zurigo e non vanno a BA Scribe.

Firma di persone senza account. Un'organizzazione può chiedere la firma a una persona esterna tramite BA Scribe, un servizio di Aletheia Tech Ltd (Regno Unito). A BA Scribe trasmettiamo nome e indirizzo e-mail del firmatario, il titolo e l'impronta del documento. Il documento non viene trasmesso: resta nei nostri archivi a Zurigo e il browser del firmatario lo legge da lì. Durante la firma BA Scribe registra anche l'indirizzo IP e il browser del firmatario, l'ora della verifica dell'indirizzo e-mail, del consenso e della firma. Questi dati sono riportati nella prova di firma e nel certificato che BA Scribe emette e che noi conserviamo insieme al documento, perché l'organizzazione possa dimostrare la firma. BA Scribe cancella i dati personali dei firmatari 30 giorni dopo la chiusura della richiesta.

In entrambi i casi si tratta di una firma elettronica semplice, non di una firma elettronica qualificata.

2.7 Prove di esistenza

Per i documenti definitivi, le copie firmate, le prove di firma, i certificati di formazione e le esportazioni del fascicolo calcoliamo l'impronta SHA-256 del file e la facciamo ancorare su blockchain pubbliche (Polygon e Bitcoin) tramite BA Stamp, un servizio di Aletheia Tech Ltd. A BA Stamp trasmettiamo solo l'impronta e un nome di file composto dal titolo del documento e dalla versione, mai il contenuto e mai il nome di una persona. Un'impronta non permette di risalire al contenuto. Ciò che è registrato su una blockchain pubblica non può essere cancellato.

2.8 Pagine per persone esterne

• Portale di formazione: nome e indirizzo e-mail indicati dal collaboratore, corsi svolti, punteggio, conferme di lettura dei documenti. Se il datore di lavoro lo carica, anche l'elenco dei collaboratori (nome e indirizzo e-mail), usato solo per vedere chi non ha ancora svolto un corso e inviare un promemoria.
• Verifica di un certificato: chi possiede il codice stampato sul certificato vede nome, organizzazione, corso, punteggio e validità. I certificati non sono elencabili né ricercabili.
• Pagina pubblica e modulo per le richieste: ciò che la persona scrive nel modulo arriva all'organizzazione a cui si rivolge.
• Questionario per i fornitori: le risposte arrivano all'organizzazione che lo ha inviato.

Per queste pagine il titolare è l'organizzazione che le usa.

2.9 E-mail e notifiche

Inviamo solo e-mail di servizio: conferma dell'indirizzo, recupero della password, inviti, promemoria delle scadenze, avvisi, fatture. Un avviso dice che è arrivato qualcosa e rimanda alla piattaforma: i dati restano dietro l'accesso, con l'eccezione della fattura, allegata in PDF. Le e-mail partono tramite Brevo, che ne conta le aperture e i clic in forma anonima, senza collegarli alla persona che le riceve: non usiamo questi conteggi. Le notifiche push, se attivate, passano cifrate dal servizio del produttore del browser o del dispositivo (Apple, Google, Mozilla, Microsoft), che viene a sapere soltanto che il dispositivo ha ricevuto un messaggio da noi.

2.10 Modulo di contatto

Chi ci scrive dalla pagina dei contatti ci affida nome, indirizzo e-mail, l'organizzazione se la indica, l'argomento e il messaggio. Ci arrivano per e-mail tramite Brevo e li conserviamo nella casella di posta quanto serve per rispondere e per il seguito della richiesta. Base giuridica: l'interesse a rispondere a chi ci contatta.

3. Cookie e memoria del browser

Usiamo solo ciò che serve a far funzionare il servizio:

• un cookie di sessione, quando si accede alla piattaforma;
• un cookie con la lingua scelta;
• sul portale di formazione, un cookie che conferma per 12 ore l'identità del collaboratore dopo il codice ricevuto per e-mail;
• nella memoria del browser: il tema chiaro o scuro, lo stato della barra laterale e, prima dell'apertura di un account, le risposte dell'autovalutazione.

Nessun cookie pubblicitario o di profilazione. Per questo non chiediamo un consenso: un breve avviso sul sito lo spiega e rimanda alla pagina sui cookie. Nomi e durate sono nella pagina sui cookie.

4. Dove sono i dati e chi li riceve

I dati dei clienti e le loro copie di sicurezza sono conservati in Svizzera: la banca dati a Zurigo, i file caricati a Zurigo, le copie di sicurezza cifrate a Ginevra. Il codice dell'applicazione è eseguito a Francoforte (Germania).

Ci serviamo di questi fornitori, ai quali affidiamo solo i dati necessari al loro compito:

Per la firma, BA Scribe si serve a sua volta di fornitori per la banca dati, l'esecuzione e l'invio del codice di verifica per e-mail.

Trasferimenti all'estero. L'Unione europea e il Regno Unito offrono, secondo il Consiglio federale e la Commissione europea, una protezione adeguata dei dati. Verso gli Stati Uniti i dati sono trasferiti solo a società certificate secondo il Data Privacy Framework oppure sulla base delle clausole contrattuali tipo.

Non vendiamo dati e non li comunichiamo ad altri, salvo dove la legge ci obbliga.

5. Per quanto tempo

6. Sicurezza

Connessioni cifrate, password conservate in forma non leggibile, verifica in due passaggi e passkey a disposizione di ogni utente, dati separati per organizzazione, copie di sicurezza cifrate con una chiave che non si trova sui server, registro delle modifiche per ogni organizzazione. I file caricati non sono analizzati alla ricerca di software dannoso.

7. I tuoi diritti

Puoi chiedere di sapere quali dati trattiamo su di te, di riceverne una copia, di farli correggere o cancellare, di limitarne od opporti al trattamento e di riceverli in un formato riutilizzabile. Chi ha un account trova nella pagina «Account» l'esportazione dei dati dell'organizzazione e l'eliminazione dell'organizzazione e dell'account.

Scrivi a contact@easylpd.ch: rispondiamo entro 30 giorni. Se i tuoi dati sono stati inseriti da un'organizzazione cliente, rivolgiti a lei.

Puoi rivolgerti all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), www.edoeb.admin.ch, oppure, se si applica il GDPR, all'autorità di controllo del tuo Paese.

8. Decisioni automatizzate

Il punteggio dell'autovalutazione è calcolato automaticamente dalle risposte e serve solo come indicazione per l'organizzazione: non produce effetti giuridici su una persona. Non facciamo profilazione.

9. Modifiche

Aggiorniamo questa informativa quando cambia il modo in cui trattiamo i dati. La data dell'ultimo aggiornamento è indicata in alto.