Allegato 1 delle CG: Trattamento da parte del responsabile del trattamento

Versione 1.1 del 27 ottobre 2026

Il presente allegato disciplina il modo in cui noi, la PopSoda DC GmbH, trattiamo dati personali su incarico dell'Attività (art. 9 della legge federale sulla protezione dei dati, LPD). Si applica con l'accettazione delle CG da parte dell'Attività. Nelle questioni di protezione dei dati prevale sulle CG.

1. Oggetto e durata

1.1 Mettiamo Puntelo a disposizione dell'Attività secondo le CG e in tale ambito trattiamo dati personali su suo incarico. Per questi dati l'Attività è titolare del trattamento, noi siamo responsabili del trattamento.

1.2 Il presente allegato si applica per tutta la durata del contratto e oltre, fino a quando abbiamo cancellato tutti i dati personali secondo la cifra 12.

2. Scopo

Trattiamo i dati unicamente per gestire Puntelo per l'Attività:

• prenotazione online tramite la finestra di prenotazione e la pagina di prenotazione, gestione degli appuntamenti nel calendario;
• messaggi ai clienti dell'Attività (conferma, promemoria, modifica, annullamento, codice di conferma) per e-mail e SMS;
• schedario clienti con note, importazione di dati precedenti, esportazione ed estratti di dati, statistiche per l'attività;
• memorizzazione, salvataggio e ripristino, protezione dagli abusi, eliminazione di guasti e assistenza su richiesta dell'Attività.

3. Dati e persone interessate

3.1 Clienti dell'Attività (persone che prenotano presso l'Attività o che essa registra o importa): nome, indirizzo e-mail, numero di telefono, lingua, numero cliente precedente, appuntamenti (servizio, persona, momento, stato, provenienza), osservazioni sull'appuntamento, note e parole chiave, consensi alla pubblicità con cronologia, stato di recapito dei messaggi; al momento della prenotazione, per breve tempo, dati tecnici per la protezione dagli abusi.

3.2 Persone dell'Attività che eseguono gli appuntamenti: nome, orari di lavoro, assenze, assegnazione agli appuntamenti.

3.3 Da un appuntamento o da una nota può emergere un riferimento alla salute, ad esempio nel caso di massaggi o terapie. Tali dati possono essere degni di particolare protezione. Quali dati registrare lo decide l'Attività; le note e le osservazioni le proteggiamo in ogni caso secondo l'appendice A.

4. Luogo del trattamento

4.1 Memorizziamo i dati in Svizzera, in centri di calcolo a Ginevra. Conserviamo in Svizzera una copia cifrata delle copie di sicurezza.

4.2 Per l'invio di messaggi comunichiamo i dati necessari a subresponsabili del trattamento secondo l'allegato 2: le e-mail partono dalla Svizzera, gli SMS dall'Irlanda. In caso di accertamenti su abusi e nell'ambito del supporto, il fornitore SMS può accedere dagli Stati Uniti.

4.3 Per lo sviluppo, l'esercizio, la ricerca di errori e l'assistenza impieghiamo un assistente di IA (allegato 2). Esso riceve dati personali solo nella misura richiesta dal rispettivo compito; in tale ambito i dati possono essere trasferiti negli Stati Uniti.

4.4 I nostri collaboratori accedono ai dati solo dalla Svizzera o da uno Stato con una protezione adeguata dei dati secondo l'allegato 1 dell'ordinanza sulla protezione dei dati (OPDa).

5. Istruzioni

5.1 Trattiamo i dati solo secondo le istruzioni dell'Attività. Costituiscono istruzioni le CG con il presente allegato, le impostazioni che l'Attività sceglie in Puntelo e le istruzioni scritte dei suoi amministratori; è sufficiente un'e-mail. Ne fa parte l'autorizzazione all'accesso da parte del nostro supporto (cifra 6.5).

5.2 Se riteniamo illecita un'istruzione, lo comunichiamo immediatamente all'Attività e possiamo sospenderne l'esecuzione fino al chiarimento.

5.3 Se un'autorità richiede dati dell'attività, ne informiamo prima l'Attività, nella misura in cui la legge lo consente, e consegniamo solo ciò che siamo tenuti a consegnare.

6. I nostri obblighi

6.1 Non trattiamo i dati per scopi propri. Fanno eccezione le analisi in forma aggregata senza dati personali dei clienti dell'Attività, volte a migliorare Puntelo, e il rilevamento di abusi. Con il presente allegato l'Attività ci dà l'autorizzazione a tal fine.

6.2 Riservatezza: hanno accesso solo le persone che ne hanno bisogno per il loro compito. Le obblighiamo per scritto al segreto, anche oltre la fine della loro collaborazione. Se l'Attività è soggetta a un segreto professionale, lo tuteliamo in qualità di suo ausiliario.

6.3 Sicurezza dei dati: adottiamo le misure tecniche e organizzative secondo l'appendice A e le manteniamo allo stato della tecnica. Possiamo modificare le misure se il livello di protezione non si riduce.

6.4 Teniamo un registro delle attività di trattamento che eseguiamo su incarico dell'Attività.

6.5 Accesso da parte del nostro supporto: ai dati dell'attività accedono nell'ambito del supporto solo persone designate di PopSoda, con account personale e secondo fattore, e solo per il supporto e la configurazione. Lo fanno finché l'Attività lo consente secondo la cifra 12.2 delle CG oppure, senza autorizzazione, in caso di emergenza, con indicazione del motivo e per al massimo un'ora; un'emergenza la comunichiamo immediatamente per e-mail agli amministratori dell'Attività. Nel supporto dispongono dei diritti di un amministratore, ma non vedono note e osservazioni sull'appuntamento, non esportano dati e non anonimizzano né cancellano clienti. Ogni accesso è registrato con persona, inizio, fine e tutte le modifiche nel protocollo dell'attività sotto Accesso da parte di Puntelo.

7. Subresponsabili del trattamento

7.1 L'Attività approva i subresponsabili del trattamento indicati nell'allegato 2 e gli ulteriori subresponsabili che questi impiegano secondo i loro elenchi indicati nell'allegato 2. Obblighiamo contrattualmente ogni subresponsabile a una protezione dei dati equivalente e restiamo responsabili del suo operato nei confronti dell'Attività.

7.2 Annunciamo all'Attività un subresponsabile nuovo o supplementare per e-mail almeno 30 giorni prima. L'Attività può opporsi entro 14 giorni per motivi di protezione dei dati. Se non troviamo una soluzione, l'Attività può disdire il contratto per la data del cambiamento; rimborsiamo pro rata gli importi pagati anticipatamente.

7.3 Comunichiamo dati in uno Stato senza una protezione adeguata dei dati secondo l'allegato 1 OPDa solo con garanzie secondo l'art. 16 cpv. 2 LPD, ad esempio con clausole contrattuali tipo.

8. Diritti delle persone interessate

8.1 Puntelo offre all'Attività funzioni per fornire informazioni (estratto dei dati per cliente), rettificare, cancellare o anonimizzare dati, registrare consensi e consegnare tutti i dati.

8.2 Se una persona interessata si rivolge direttamente a noi, inoltriamo la richiesta all'Attività entro 5 giorni lavorativi e non vi rispondiamo noi stessi. Laddove le funzioni non bastino, sosteniamo l'Attività entro 5 giorni lavorativi.

8.3 Sosteniamo l'Attività anche in una valutazione d'impatto sulla protezione dei dati e in una consultazione dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) con le informazioni di cui disponiamo.

9. Violazioni della sicurezza dei dati

9.1 Notifichiamo all'Attività una violazione della sicurezza dei dati che riguarda i suoi dati senza indugio, di regola entro 24 ore da quando ne siamo venuti a conoscenza.

9.2 La notifica indica, per quanto noto: tipo di violazione, momento e durata, categorie e numero approssimativo dei dati e delle persone interessati, possibili conseguenze, misure adottate e proposte e una persona di contatto. Ciò che non è ancora noto lo comunichiamo successivamente.

9.3 La notifica all'IFPDT e l'informazione delle persone interessate spettano all'Attività; la sosteniamo in tale ambito e documentiamo ogni violazione.

10. Controllo

10.1 Su richiesta forniamo all'Attività i documenti che attestano il rispetto del presente allegato, in particolare la versione attuale dell'appendice A, riassunti delle nostre verifiche di sicurezza e le attestazioni dei subresponsabili del trattamento.

10.2 Se i documenti non bastano, l'Attività può verificare il rispetto personalmente o tramite uno specialista indipendente vincolato al segreto: previo annuncio con almeno 30 giorni di anticipo, durante l'orario d'ufficio, senza accesso ai dati di altre attività, al massimo una volta all'anno e, in aggiunta, dopo una violazione della sicurezza dei dati. I costi sono a carico dell'Attività, salvo che la verifica riveli una violazione sostanziale del presente allegato.

11. Responsabilità

Si applica la cifra 15 delle CG.

12. Restituzione e cancellazione

12.1 Durante il periodo contrattuale l'Attività può scaricare i suoi dati in ogni momento e, dopo la fine del contratto o del periodo di prova, ancora per 90 giorni. Su richiesta prepariamo noi i file per l'Attività.

12.2 In seguito cancelliamo da Puntelo tutti i dati personali dell'attività entro 30 giorni. Nelle copie di sicurezza essi scadono con il relativo termine di conservazione, al più tardi 12 mesi dopo la cancellazione. Fino ad allora restano cifrati e vengono utilizzati solo per un ripristino.

12.3 Su richiesta confermiamo all'Attività la cancellazione per e-mail.

12.4 Gli obblighi di conservazione che incombono all'Attività stessa sono adempiuti da quest'ultima con i dati scaricati.

13. Disposizioni finali

13.1 Se l'Attività è soggetta al regolamento generale sulla protezione dei dati dell'UE, le disposizioni vanno interpretate in modo da soddisfare l'art. 28 RGPD.

13.2 Per le modifiche del presente allegato si applica la cifra 17 delle CG, per le modifiche dell'appendice A la cifra 6.3, per l'allegato 2 la cifra 7.2.

Appendice A: Misure tecniche e organizzative

Strutturate secondo gli obiettivi di protezione dell'art. 3 OPDa.