Le condizioni alle quali aqumo tratta dati personali per conto dei clienti. Scritto per essere capito, non nascosto in un allegato.
Il presente Accordo di Trattamento dei Dati ("ATD") fa parte di ciascun contratto di servizio tra aqumo technologies SA, Via Ceresio 12, 6963 Lugano, Svizzera, IDI CHE-113.809.603 ("aqumo", il responsabile del trattamento) e ciascun cliente che utilizza uno o più dei Servizi descritti di seguito ("Cliente", il titolare del trattamento). Entra in vigore alla data di sottoscrizione del contratto di servizio o, se precedente, alla data in cui il Cliente trasferisce per la prima volta dati personali ad aqumo.
Il presente ATD si applica a ogni Servizio che il Cliente riceve da aqumo. Le sue sezioni valgono per tutti i Servizi allo stesso modo. L'oggetto e la natura del trattamento, le categorie di interessati e i tipi di dati personali sono descritti per ciascun Servizio nel relativo allegato:
Un allegato si applica solo se il Cliente riceve il Servizio corrispondente. Se il Cliente li riceve entrambi, ciascun allegato si applica ai dati trattati nell'ambito del proprio Servizio.
Il trattamento è di natura automatizzata. Non viene effettuata alcuna profilazione, valutazione o decisione automatizzata con effetti giuridici o di analoga rilevanza per conto del Cliente.
Il presente ATD ha la stessa durata del contratto di servizio e cessa automaticamente con esso, fatti salvi gli obblighi di restituzione e cancellazione dei dati di cui alla Sezione 11. Se il Cliente riceve più Servizi in base a contratti separati, il presente ATD continua ad applicarsi a ciascun Servizio fino alla sua cessazione.
Gli obblighi di riservatezza, restituzione e cancellazione sopravvivono alla cessazione del presente ATD finché tutti i dati personali del Cliente non siano stati restituiti o cancellati e, per i dati personali che aqumo deve conservare per legge, per tutta la durata della conservazione.
aqumo tratta i dati personali esclusivamente su istruzione documentata del Cliente. Il presente ATD e il contratto di servizio costituiscono le istruzioni documentate iniziali. Ulteriori istruzioni possono essere impartite per iscritto dai rappresentanti autorizzati del Cliente.
Se aqumo ritiene che un'istruzione violi la normativa applicabile in materia di protezione dei dati, ne informa il Cliente senza indugio e può sospendere l'esecuzione fino a conferma o modifica. Se la legge impone ad aqumo di trattare dati per ragioni diverse dalle istruzioni del Cliente, aqumo ne informa il Cliente prima del trattamento, salvo che la legge lo vieti.
aqumo non tratta i dati personali del Cliente per finalità proprie. In particolare, non li utilizza per analisi, sviluppo di prodotti, addestramento di sistemi o marketing, e non li vende né li mette a disposizione di terzi.
Il Cliente dichiara e garantisce di avere una base giuridica idonea per raccogliere e trasferire ad aqumo tutti i dati personali che carica, conserva o introduce in altro modo nei Servizi, e che le sue istruzioni sono conformi alla normativa applicabile in materia di protezione dei dati. Il Cliente rimane l'unico responsabile della liceità del trattamento che impartisce e dell'esattezza, pertinenza e proporzionalità dei dati che fornisce.
aqumo assicura che le persone autorizzate al trattamento dei dati personali del Cliente siano soggette a un obbligo vincolante di riservatezza, contrattuale o professionale. L'accesso è limitato alle sole persone che ne necessitano per erogare i Servizi (principio del need-to-know).
aqumo adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza proporzionato al rischio, tra cui:
Salvo i servizi di terzi descritti alla Sezione 7, tutti i trattamenti, compresi i backup, avvengono su server di proprietà di aqumo, fisicamente ubicati in Svizzera. aqumo non archivia né tratta dati personali al di fuori della Svizzera. aqumo e il suo personale non trasferiscono dati personali all'estero né vi accedono dall'estero, nemmeno tramite accesso remoto, salvo in caso di emergenza e con il consenso preventivo del Cliente.
L'accesso ai Servizi da parte del Cliente o delle persone da esso autorizzate avviene dai luoghi stabiliti dal Cliente e sotto la sua responsabilità. Su richiesta, aqumo limita tale accesso alle reti o agli indirizzi indicati dal Cliente.
Per i clienti soggetti al GDPR, la Svizzera beneficia di una decisione di adeguatezza della Commissione europea.
aqumo non si avvale di sub-responsabili per i Servizi disciplinati dal presente ATD. Tutti i trattamenti sono effettuati su infrastruttura di proprietà e gestione di aqumo.
In deroga, su richiesta del Cliente, se il Cliente chiede espressamente ad aqumo di fornire un servizio tramite un terzo, aqumo si avvale di tale terzo come sub-responsabile per quel solo servizio. La richiesta del Cliente costituisce la sua autorizzazione scritta preventiva. Il terzo è indicato nel contratto di servizio e, per quel servizio, le sue condizioni su ubicazione dei dati e accesso si applicano in luogo di quelle della Sezione 6. Spetta al Cliente valutare se tale servizio è compatibile con i propri obblighi legali e regolamentari.
Se aqumo intendesse avvalersi di un sub-responsabile in futuro, ne darà al Cliente ragionevole preavviso scritto di almeno trenta giorni. Il Cliente può opporsi per motivi legittimi legati alla protezione dei dati. Se le parti non giungono a un accordo, ciascuna può recedere dalla parte rilevante dei Servizi con un preavviso di trenta giorni.
aqumo impone a ogni sub-responsabile, mediante contratto scritto, gli stessi obblighi in materia di protezione dei dati previsti dal presente ATD e resta pienamente responsabile nei confronti del Cliente per il loro adempimento da parte del sub-responsabile.
Tenuto conto della natura del trattamento e delle informazioni disponibili, aqumo assiste il Cliente nell'adempimento degli obblighi derivanti dalla normativa applicabile:
Fatti salvi i diritti di vigilanza di cui alla Sezione 10, il Cliente può verificare la conformità di aqumo al presente ATD una volta per anno solare, mediante l'invio di un questionario scritto (aqumo risponde entro trenta giorni) o mediante audit in loco con almeno trenta giorni di preavviso scritto, negli orari d'ufficio e a spese del Cliente. L'auditor incaricato deve essere indipendente e vincolato dalla riservatezza. aqumo può opporsi alla nomina di un auditor che sia un concorrente diretto.
Una verifica non si estende mai ai dati o ai sistemi di altri clienti di aqumo. aqumo può adottare misure ragionevoli per proteggerli durante la verifica, purché tali misure non la impediscano.
Se il Cliente è sottoposto alla vigilanza dell'Autorità federale di vigilanza sui mercati finanziari (FINMA), aqumo collabora con il Cliente affinché possa soddisfare i requisiti di vigilanza applicabili al suo utilizzo dei Servizi. A seconda dell'autorizzazione del Cliente, possono rientrarvi l'art. 14 della legge sugli istituti finanziari (LIsFi) e l'art. 16 dell'ordinanza sugli istituti finanziari (OIsFi), la Circolare FINMA 2018/3 "Outsourcing" e la Circolare FINMA 2023/1 "Rischi e resilienza operativi – banche". La presente sezione si applica solo nella misura in cui tali requisiti si applicano al Cliente.
Il Cliente, i suoi revisori interni ed esterni e la FINMA possono accedere, ispezionare e verificare le informazioni, la documentazione, i sistemi e i locali rilevanti per i Servizi forniti al Cliente, nella misura richiesta dal diritto di vigilanza applicabile. Le condizioni di frequenza, preavviso e costo di cui alla Sezione 9 non limitano tali diritti. Le ispezioni in loco sono coordinate con aqumo ove ragionevolmente possibile, senza limitare né ritardare alcun diritto di accesso o di verifica previsto dal diritto di vigilanza applicabile. Si applica anche qui la protezione dei dati e dei sistemi degli altri clienti prevista dalla Sezione 9.
Ove disponibili, aqumo fornisce rapporti di revisori indipendenti o certificazioni relativi ai Servizi. Ove il diritto di vigilanza lo consenta, il Cliente e la sua società di audit possono basarsi su di essi in luogo delle proprie attività di verifica.
aqumo collabora con il Cliente in materia di sicurezza delle informazioni, continuità operativa, gestione degli incidenti e cessazione ordinata dei Servizi o loro trasferimento al Cliente o a un altro fornitore. I requisiti specifici, compresi gli obiettivi di ripristino in termini di tempo (RTO) e di dati (RPO), sono stabiliti nel contratto di servizio.
Se un Servizio costituisce per il Cliente un'esternalizzazione significativa, il ricorso a un subappaltatore rilevante per tale Servizio, o la sua sostituzione, è soggetto, oltre a quanto previsto dalla Sezione 7, alle garanzie contrattuali richieste dal diritto di vigilanza, e il Cliente può porre fine al Servizio interessato in modo ordinato.
Ove richiesto dal diritto di vigilanza applicabile, il ricorso a un subappaltatore che svolge funzioni esternalizzate significative, o la sua sostituzione, richiede l'approvazione preventiva del Cliente. aqumo garantisce che tali subappaltatori siano vincolati dagli obblighi contrattuali necessari a preservare i diritti di vigilanza del Cliente, compresi i diritti di accesso e di verifica previsti dalla presente sezione.
In caso di contrasto con qualsiasi altra disposizione del presente ATD o del contratto di servizio, la presente sezione prevale nella misura necessaria a rispettare i requisiti di vigilanza imperativi.
Il Cliente rimane l'unico responsabile dei propri obblighi regolamentari, compresa l'individuazione delle esternalizzazioni significative e la valutazione dei relativi rischi. Ove il diritto di vigilanza richieda uno specifico contratto di esternalizzazione, il presente ATD non lo sostituisce.
Alla cessazione del contratto di servizio, aqumo provvederà, a scelta scritta del Cliente formulata entro trenta giorni dalla cessazione, alla restituzione di un'esportazione completa dei dati personali del Cliente in formato strutturato e leggibile da dispositivo automatico, oppure alla cancellazione di tutte le copie. In assenza di scelta, aqumo procede alla cancellazione. La cancellazione riguarda tutte le copie, compresi backup e snapshot, ed è completata entro sessanta giorni dalla cessazione. aqumo certifica la cancellazione per iscritto su richiesta. aqumo può conservare dati personali più a lungo solo nella misura richiesta dalla legge applicabile.
Ciascuna parte è responsabile, ai sensi della normativa applicabile in materia di protezione dei dati, dei danni causati dalla violazione dei propri obblighi ai sensi di tale normativa. La ripartizione della responsabilità tra le parti per i reclami degli interessati segue i meccanismi stabiliti dalla legge applicabile. Il presente ATD non deve essere interpretato nel senso di ampliare o accrescere i limiti di responsabilità concordati nel contratto di servizio principale, salvo che la normativa imperativa applicabile vieti tale limitazione.
Il presente ATD è disciplinato dal diritto svizzero. I tribunali del Cantone Ticino, con sede a Lugano, hanno competenza esclusiva per qualsiasi controversia derivante dal presente ATD, fatti salvi i criteri di competenza obbligatori della normativa applicabile in materia di protezione dei dati. L'autorità di controllo competente per aqumo in qualità di responsabile è l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) — www.edoeb.admin.ch.
aqumo può aggiornare il presente ATD per riflettere modifiche alle attività di trattamento o alla normativa applicabile. Il Cliente sarà informato di qualsiasi modifica almeno trenta giorni prima della sua entrata in vigore. Le modifiche che non riducono materialmente il livello di protezione degli interessati né i diritti del Cliente entrano in vigore alla data comunicata se il Cliente continua a utilizzare i Servizi. Le modifiche che ridurrebbero materialmente tali tutele o diritti richiedono l'accettazione scritta espressa del Cliente; il solo proseguimento dell'utilizzo dei Servizi non costituisce accettazione di tali modifiche.
In caso di contrasto tra il presente ATD e il contratto di servizio in materia di protezione dei dati personali, prevale il presente ATD, salvo che il contratto di servizio offra un livello di protezione più elevato. La prevalenza dei requisiti di vigilanza è disciplinata dalla Sezione 10.
Il presente ATD è pubblicato in inglese e in italiano. In caso di divergenza tra le versioni linguistiche, prevale la versione inglese.
aqumo tratta dati personali per conto del Cliente al fine di fornire la piattaforma di operational intelligence aqumo: raccolta, archiviazione, strutturazione e messa a disposizione di dati operativi nelle forme e attraverso le interfacce specificate nel contratto di servizio.
I tipi e il volume di dati personali sono determinati dal Cliente. aqumo tratta solo i dati che il Cliente carica o trasferisce alla piattaforma, e solo nel modo configurato dal Cliente.
Non si prevede il trattamento di categorie particolari di dati (salute, biometrici, origine razziale o etnica e simili) sulla piattaforma. In caso di trasferimento accidentale di tali dati, il Cliente ne informa aqumo senza indugio. Qualsiasi trattamento deliberato di categorie particolari di dati sulla piattaforma richiede un separato accordo scritto preventivo tra le parti e, ove richiesto dalla normativa applicabile, l'adozione di misure tecniche e organizzative aggiuntive.
aqumo ospita i server, le applicazioni e i dati del Cliente su infrastruttura di sua proprietà e gestione in Svizzera. Il trattamento consiste nell'archiviazione, nel backup, nel ripristino, nella trasmissione e nella protezione dei dati che il Cliente colloca sui sistemi ospitati, nonché nella gestione, nel monitoraggio e nella messa in sicurezza di tali sistemi.
aqumo agisce in qualità di fornitore dell'infrastruttura. Non accede al contenuto dei dati del Cliente, salvo nella misura strettamente necessaria per gestire, manutenere, sottoporre a backup e ripristinare i sistemi ospitati, eseguire una richiesta del Cliente, rispondere a un incidente di sicurezza o adempiere a un obbligo di legge. L'accesso è limitato a quanto richiesto dall'attività.
Le categorie di interessati e i tipi di dati personali sono determinati esclusivamente dal Cliente, attraverso i dati che conserva sui sistemi ospitati. Possono comprendere in particolare:
aqumo non ha conoscenza né controllo del contenuto che il Cliente conserva. I sistemi ospitati possono quindi contenere categorie particolari di dati personali. Spetta al Cliente valutare se le misure di sicurezza descritte nel presente ATD e nel contratto di servizio siano adeguate ai dati che conserva, e informare aqumo se sono necessarie misure aggiuntive.
I backup e gli snapshot dei sistemi ospitati sono conservati per il periodo di conservazione specificato nel contratto di servizio, che non supera i sessanta giorni. In caso di cancellazione ai sensi della Sezione 11, i dati contenuti nei backup sono cancellati al più tardi alla scadenza di tale periodo e in ogni caso entro i sessanta giorni previsti dalla Sezione 11. Fino ad allora restano protetti dal presente ATD e non vengono ripristinati se non su richiesta del Cliente.