Regole & CGU

Entrambi. In quanto azienda svizzera, siamo soggetti alla legge sulla protezione dei dati riveduta (revDSG). Non appena trattiamo dati personali di persone nell'UE, si applica inoltre il GDPR. I nostri contratti, processi e sistemi sono concepiti per entrambi i quadri normativi.

La legge sulla protezione dei dati riveduta è in vigore dal 1° settembre 2023 e ha sostituito la legge del 1992. Richiede maggiore trasparenza nella raccolta dei dati, protezione dei dati fin dalla progettazione e tramite impostazioni predefinite, un registro delle attività di trattamento e una notifica all'IFPDT in caso di gravi violazioni della sicurezza dei dati. Sono protetti solo i dati delle persone fisiche. Nel linguaggio comune viene chiamata anche nDSG, ossia nuova legge sulla protezione dei dati.

Il Regolamento generale sulla protezione dei dati è la normativa UE in materia di protezione dei dati ed è in vigore dal 25 maggio 2018. Stabilisce su quale base giuridica le aziende possono trattare dati personali, come devono informare al riguardo e quali diritti hanno le persone interessate. In inglese si chiama General Data Protection Regulation, abbreviato GDPR.

I principi sono gli stessi: trasparenza, limitazione delle finalità, sicurezza dei dati e solidi diritti delle persone interessate. Il revDSG è stato deliberatamente allineato al GDPR, ma rimane meno rigoroso sotto diversi aspetti.

• Autorizzazione: il revDSG consente in linea di principio il trattamento, mentre il GDPR richiede una base giuridica per ogni trattamento.
• Violazione dei dati: notifica all'IFPDT il prima possibile, nell'UE all'autorità di controllo entro 72 ore.
• Sanzioni: fino a 250 000 franchi nei confronti della persona responsabile, nell'UE fino a 20 milioni di euro o al 4% del fatturato nei confronti dell'azienda.
• Registro: in Svizzera non necessario per aziende con meno di 250 dipendenti e rischio ridotto, nell'UE solo in casi molto limitati.
• Consulenza in materia di protezione dei dati: volontaria in Svizzera, nell'UE un responsabile della protezione dei dati è obbligatorio a seconda dell'attività.
• Terminologia: in Svizzera si trattano dati personali, nell'UE si elaborano dati personali — il significato è lo stesso.

Nella maggior parte dei casi entrambi. Il revDSG si applica non appena un trattamento di dati produce effetti in Svizzera. Il GDPR si aggiunge se avete una sede nell'UE, offrite beni o servizi a persone nell'UE o ne monitorate il comportamento. Per le aziende svizzere con clienti nell'UE significa: rispettare entrambi i quadri normativi.

I dati personali sono tutte le informazioni che si riferiscono a una persona specifica o identificabile: nome, indirizzo, e‑mail, numero di telefono, IP, dati di posizione o d’uso. In particolare sono molto protetti i dati sanitari, biometrici e genetici, nonché le informazioni su religione, orientamento politico o appartenenza sindacale. Il GDPR definisce le stesse informazioni come dati personali.

Puoi richiedere informazioni sui tuoi dati, correggere quelli errati e cancellare i dati non più necessari. Entrambi gli ordinamenti ti danno inoltre il diritto di far divulgare o trasferire i tuoi dati e di opporre l’elaborazione. Una mail a legal@ateso.ch è sufficiente.

Interrompiamo la causa, documentiamo l’incidente e ti informiamo non appena i tuoi dati sono coinvolti. Se siamo responsabili, segnaliamo la violazione al EDÖB il più rapidamente possibile; secondo il GDPR la scadenza verso l’autorità di vigilanza è di 72 ore. Se elaboriamo i dati per tuo conto, ti comunichiamo l’incidente — la segnalazione all’autorità è tua responsabilità.

Regola come un fornitore tratta i dati personali per conto del suo cliente: scopo, durata, misure di sicurezza e subappaltatori. Il revDSG parla di trattamento con incarico, il GDPR di trattamento con incarico. In inglese si chiama Data Processing Agreement (DPA).

Sì, se elaboriamo dati personali per tuo conto — ad esempio gestendo una soluzione cloud, manutenzione o supporto con accesso ai tuoi dati. Entrambi gli ordinamenti richiedono un contratto scritto. Per evitare documenti aggiuntivi, il nostro AVV è incluso come allegato nei nostri Termini e Condizioni.

Le nostre soluzioni cloud sono ospitate in data center in Svizzera. Quali fornitori utilizziamo, per cosa e dove elaborano i dati è indicato nella nostra lista di subappaltatori. La lista viene aggiornata regolarmente.

Sì. La Commissione europea riconosce la Svizzera come paese con un livello adeguato di protezione dei dati. I dati personali possono quindi essere trasferiti dall’UE in Svizzera senza che tu debba stipulare garanzie aggiuntive come clausole contrattuali standard. Il contrario vale per i trasferimenti dalla Svizzera nell’area EEE.

I nostri contratti, processi e sistemi sono progettati per entrambi i regolamenti: il contratto di elaborazione degli incarichi è allegato ai nostri CGA, i subappaltatori utilizzati sono pubblicamente documentati, le nostre soluzioni cloud operano in data center svizzeri. Quanto un sistema sia conforme al trattamento dei dati dipende inoltre dai dati che vi elaborate — lo chiariremo nel progetto.