Accordo sul trattamento dei dati

Le presenti clausole stabiliscono i diritti e gli obblighi del responsabile del trattamento quando questi tratta dati personali per conto del titolare del trattamento.

Le clausole sono redatte in modo da garantire il rispetto dell'art. 9 della Legge federale sulla protezione dei dati (LPD) riveduta, in vigore dal 1° settembre 2023, e delle disposizioni dell'ordinanza sulla protezione dei dati (OPDa, RS 235.11).

Just Parity ApS ha sede in Danimarca: al trattamento si applica pertanto anche il regolamento (UE) 2016/679 (RGPD), a prescindere dalla sede del Cliente. Se il titolare del trattamento ha sede nello Spazio economico europeo o vi tratta dati di collaboratori, le clausole soddisfano parimenti l'art. 28 par. 3 RGPD. Quando entrambe le normative si applicano, seguiamo lo standard più severo.

Nell'ambito della fornitura della piattaforma di conformità Justparity, il responsabile del trattamento tratta dati personali per conto del titolare del trattamento conformemente alle presenti clausole.

Le clausole prevalgono su eventuali disposizioni analoghe contenute in altri accordi tra le parti.

Le presenti clausole sono corredate di quattro allegati, che ne costituiscono parte integrante:

• Allegato A: informazioni sul trattamento (finalità, categorie di dati, persone interessate, durata)
• Allegato B: sub-responsabili del trattamento (sub-responsabili autorizzati e condizioni)
• Allegato C: istruzione relativa al trattamento (misure di sicurezza, ubicazione, comunicazioni all'estero, verifiche)
• Allegato D: disciplina di altre questioni convenuta dalle parti

Il titolare del trattamento risponde della conformità del trattamento dei dati personali alla LPD e all'OPDa, nonché, dove applicabile, al RGPD e alle presenti clausole.

Il titolare del trattamento ha il diritto e l'obbligo di decidere sulle finalità e sui mezzi del trattamento dei dati personali.

Il titolare del trattamento risponde del rispetto dei principi dell'art. 6 LPD e, quando il trattamento costituisce una lesione della personalità ai sensi dell'art. 30 LPD, dell'esistenza di un motivo giustificativo ai sensi dell'art. 31 LPD. Quale datore di lavoro in Svizzera risponde inoltre dei limiti posti dall'art. 328b CO.

Il titolare del trattamento affida al responsabile soltanto trattamenti che potrebbe eseguire esso stesso e ai quali non si oppone alcun obbligo legale o contrattuale di segretezza (art. 9 cpv. 1 LPD). Si accerta inoltre che il responsabile sia in grado di garantire la sicurezza dei dati (art. 9 cpv. 2 LPD).

L'obbligo di informare adeguatamente le persone interessate sulla raccolta di dati personali (art. 19 LPD) incombe al titolare del trattamento.

4.1 Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare e unicamente nel modo in cui il titolare stesso sarebbe autorizzato a farlo (art. 9 cpv. 1 lett. a LPD), salvo che vi sia obbligato dal diritto svizzero, danese o dell'Unione europea cui è assoggettato. Le istruzioni sono precisate negli allegati A e C. Istruzioni successive possono essere impartite in corso di trattamento, ma devono sempre essere documentate e conservate per scritto.

4.2 Il responsabile del trattamento informa senza indugio il titolare se ritiene che un'istruzione violi la LPD, l'OPDa o, dove applicabile, il RGPD. Il responsabile non è tenuto a eseguire un'istruzione la cui esecuzione comporterebbe una violazione del diritto applicabile.

4.3 L'attivazione da parte del titolare del trattamento di un'integrazione con un sistema salariale attraverso la piattaforma Justparity costituisce istruzione documentata al responsabile di ricevere e trattare i dati personali trasmessi dal sistema in questione. Il titolare risponde della liceità della trasmissione.

4.4 Il responsabile del trattamento può far valere gli stessi motivi giustificativi del titolare del trattamento (art. 9 cpv. 4 LPD).

Il responsabile del trattamento consente l'accesso ai dati personali trattati per conto del titolare soltanto alle persone sottoposte al proprio potere di istruzione che si sono impegnate alla riservatezza o sono soggette a un adeguato obbligo legale di segretezza, e unicamente nella misura necessaria. Nessun obbligo legale o contrattuale di segretezza si oppone al trattamento affidato (art. 9 cpv. 1 lett. b LPD).

L'elenco delle persone autorizzate è verificato con regolarità. L'accesso è revocato non appena non è più necessario. L'obbligo di riservatezza sussiste anche dopo la cessazione delle clausole.

La violazione intenzionale degli obblighi di segretezza previsti dalla LPD è punibile con la multa sino a 250 000 franchi (art. 60 segg. LPD).

Tenuto conto dello stato della tecnica, dei costi di attuazione, della natura, dell'estensione, del contesto e delle finalità del trattamento, nonché dei rischi per la personalità e i diritti fondamentali delle persone interessate, il responsabile del trattamento adotta misure tecniche e organizzative adeguate a garantire una sicurezza dei dati commisurata a tali rischi (art. 7 e 8 LPD e requisiti minimi dell'OPDa).

Poiché il trattamento comprende dati salariali, il sesso ed eventualmente dati concernenti l'appartenenza sindacale, va garantito un elevato livello di sicurezza.

Il responsabile del trattamento adotta come minimo le misure seguenti, cfr. allegato C:

• Cifratura: TLS 1.3 per i dati in transito, AES-256 per i dati inattivi, connessioni alla banca dati e backup cifrati
• Controllo degli accessi: controllo degli accessi basato sui ruoli (RBAC) secondo il principio del privilegio minimo, autenticazione a più fattori (MFA) per gli accessi privilegiati, conti utente individuali, scadenza automatica della sessione
• Separazione dei dati: Row Level Security (RLS) multi-tenant. I dati dei clienti sono separati logicamente mediante Row Level Security, cosicché i dati di un cliente sono protetti dall'accesso di altri clienti
• Registrazione e sorveglianza: ogni accesso ai dati personali è registrato, le attività degli amministratori di sistema sono registrate separatamente, allerta automatica in caso di tentativi di accesso non autorizzati
• Gestione delle vulnerabilità: scansione continua delle vulnerabilità, applicazione delle correzioni di sicurezza critiche nel più breve tempo possibile ed entro i termini fondati sul rischio previsti dalla procedura di gestione degli incidenti. Un test di penetrazione esterno è in preparazione e viene successivamente svolto almeno ogni due anni
• Backup e ripristino: backup automatico quotidiano, cifrato e conservato nella stessa regione UE della banca dati. Il ripristino è possibile fino ad almeno 7 giorni indietro. Il ripristino a un momento determinato (point-in-time recovery) è attivo sulla banca dati di produzione che contiene i dati personali del titolare del trattamento, a partire dal momento in cui i dati vengono caricati. Non sono fissati obiettivi formali di RTO e RPO
• Gestione degli incidenti: procedura documentata per il trattamento degli incidenti di sicurezza, classificazione secondo la gravità, escalation e annuncio secondo il n. 10
• Personale: tutti i collaboratori che hanno accesso a dati personali hanno sottoscritto una dichiarazione di riservatezza e seguono periodicamente una formazione in materia di sicurezza

Il responsabile del trattamento si impegna a non ridurre in modo sostanziale il livello di sicurezza complessivo senza previo avviso scritto al titolare del trattamento.

7.1 Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione del titolare del trattamento (art. 9 cpv. 3 LPD). Con la sottoscrizione delle presenti clausole il titolare autorizza preventivamente, in forma generale, il ricorso ai sub-responsabili elencati nell'allegato B. Il responsabile garantisce che con ogni sub-responsabile sia concluso un accordo scritto che gli imponga gli stessi obblighi di protezione dei dati previsti dalle presenti clausole.

7.2 Il responsabile del trattamento informa per scritto il titolare di ogni modifica prevista riguardante l'aggiunta o la sostituzione di sub-responsabili con un preavviso di almeno 30 giorni, dando così al titolare la possibilità di opporsi.

7.3 Il titolare del trattamento può opporsi con motivazione a un nuovo sub-responsabile entro 14 giorni dal ricevimento della comunicazione. Il responsabile si adopera in misura ragionevole per trovare una soluzione alternativa. Se le parti non giungono a un accordo, il titolare può disdire la parte interessata del contratto di servizio con effetto dalla data prevista per l'impiego del nuovo sub-responsabile.

7.4 Se il sub-responsabile non adempie i propri obblighi in materia di protezione dei dati, il responsabile del trattamento risponde integralmente nei confronti del titolare dell'adempimento degli obblighi del sub-responsabile. Restano impregiudicati i diritti delle persone interessate, segnatamente le pretese di diritto civile secondo l'art. 32 LPD in relazione con gli art. 28 segg. del Codice civile e, dove il RGPD è applicabile, i diritti previsti dagli art. 79 e 82 RGPD.

Il responsabile del trattamento comunica dati personali all'estero soltanto su istruzione documentata del titolare del trattamento e sempre nel rispetto degli art. 16 e 17 LPD.

I dati personali sono conservati e trattati in centri di calcolo situati nell'UE e nello SEE (in via principale Francoforte, Germania). Gli Stati dell'UE e dello SEE figurano nell'elenco degli Stati con una protezione adeguata dei dati stabilito dal Consiglio federale (allegato 1 OPDa): per tali comunicazioni non sono quindi necessarie garanzie supplementari.

Alcuni sub-responsabili sono imprese statunitensi le cui società madri possono disporre di un accesso di supporto dall'estero. Tali comunicazioni si fondano su clausole tipo di protezione dei dati riconosciute dall'IFPDT (art. 16 cpv. 2 lett. d LPD) oppure, se il fornitore è certificato secondo lo Swiss-U.S. Data Privacy Framework riconosciuto dal Consiglio federale, su tale riconoscimento.

Se il titolare del trattamento è assoggettato al RGPD, alle comunicazioni al di fuori dello SEE si applica in via aggiuntiva il capo V del RGPD.

Le istruzioni del titolare del trattamento relative alla comunicazione di dati personali all'estero, compresa la base della comunicazione, figurano nell'allegato C.

9.1 Tenuto conto della natura del trattamento, il responsabile del trattamento assiste il titolare nella misura del possibile nell'adempimento del suo obbligo di dare seguito alle richieste con cui le persone interessate fanno valere i diritti riconosciuti dalla LPD. L'assistenza riguarda segnatamente:

1. l'obbligo di informare sulla raccolta di dati personali (art. 19 LPD)
2. l'obbligo di informare quando i dati personali non sono raccolti presso la persona interessata, come pure le eccezioni e le restrizioni (art. 19 e 20 LPD)
3. il diritto d'accesso, nei limiti delle restrizioni previste dalla legge (art. 25 e 26 LPD)
4. il diritto di farsi consegnare i dati o di esigerne la trasmissione a terzi (art. 28 LPD)
5. il diritto di esigere la rettifica dei dati inesatti (art. 32 LPD)
6. il diritto di esigere la cancellazione o la distruzione dei dati personali (art. 32 LPD)
7. il diritto di esigere che sia vietato un determinato trattamento o una determinata comunicazione a terzi (art. 30 e 32 LPD)
8. il diritto di esigere che sia menzionato il carattere contestato dei dati (art. 32 LPD)
9. il diritto di esigere che la rettifica, la cancellazione, la distruzione o il divieto siano comunicati ai terzi cui i dati sono stati comunicati (art. 32 LPD)
10. i diritti connessi a una decisione individuale automatizzata (art. 21 LPD)

Se il titolare del trattamento è assoggettato al RGPD, l'assistenza si estende ai diritti corrispondenti del capo III del RGPD.

9.2 Il responsabile del trattamento assiste inoltre il titolare:

1. nell'annuncio all'IFPDT delle violazioni della sicurezza dei dati (art. 24 LPD)
2. nell'informazione della persona interessata, quando è necessaria per la sua protezione o quando l'IFPDT lo richiede (art. 24 LPD)
3. nella valutazione d'impatto sulla protezione dei dati (art. 22 LPD), mettendo a disposizione tutte le informazioni tecniche necessarie sulle attività di trattamento della piattaforma, sulle misure di sicurezza e sui flussi di dati
4. nella consultazione preliminare dell'IFPDT quando dalla valutazione d'impatto risulta un rischio elevato residuo; il titolare privato può rinunciare a tale consultazione se ha consultato il proprio consulente per la protezione dei dati (art. 10 e 23 LPD)

10.1 Il responsabile del trattamento annuncia al titolare del trattamento nel più breve tempo possibile ogni violazione della sicurezza dei dati di cui viene a conoscenza (art. 24 cpv. 3 LPD). A differenza dell'obbligo che incombe al titolare, tale annuncio non presuppone un rischio elevato e riguarda quindi ogni violazione. L'annuncio è effettuato al più tardi 24 ore dopo che il responsabile ne ha avuto conoscenza.

10.1 a Il titolare del trattamento annuncia all'IFPDT il più rapidamente possibile le violazioni della sicurezza dei dati che comportano presumibilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 24 cpv. 1 LPD). Il diritto svizzero non prevede il termine fisso di 72 ore del RGPD; se il RGPD si applica in via aggiuntiva, il termine di 72 ore vale nei confronti dell'autorità di controllo competente.

10.2 L'annuncio contiene le indicazioni seguenti, che permettono al titolare del trattamento di descrivere la natura della violazione, le sue conseguenze e le misure adottate o previste (art. 24 cpv. 2 LPD):

• la natura della violazione, comprese le categorie e il numero approssimativo delle persone interessate
• le categorie e il numero approssimativo dei dati personali interessati
• le probabili conseguenze della violazione
• le misure adottate o previste per porvi rimedio, comprese quelle destinate ad attenuarne gli effetti pregiudizievoli
• i dati di contatto della persona di contatto del responsabile del trattamento

11.1 Alla cessazione delle prestazioni relative al trattamento dei dati personali, il responsabile del trattamento cancella o restituisce tutti i dati personali, a scelta del titolare del trattamento. In caso di restituzione, questa avviene in un formato strutturato, di uso corrente e leggibile da dispositivo automatico (CSV o JSON). La cancellazione delle copie esistenti nell'ambiente di produzione avviene al più tardi 30 giorni dopo la cessazione, salvo che il diritto applicabile ne imponga la conservazione.

11.1 a I dati personali contenuti nei backup di sistema non sono cancellati singolarmente, ma escono dai set di backup allo scadere della durata di conservazione definita, cfr. n. 6. Fino a quel momento i dati sono isolati dall'ambiente di produzione e non sono ripristinati, salvo che ciò sia necessario per il ripristino dopo un guasto d'esercizio.

11.2 Il responsabile del trattamento conferma per scritto al titolare che la cancellazione è stata eseguita, anche presso tutti i sub-responsabili.

11.3 Le disposizioni seguenti impongono al responsabile del trattamento la conservazione di dati personali dopo la cessazione: la legge danese sulla contabilità (5 anni), la legislazione fiscale e il diritto del lavoro danesi. Tali obblighi discendono dal diritto danese, cui Just Parity ApS soggiace quale società con sede in Danimarca. I dati continuano a essere conservati conformemente alle disposizioni sulla sicurezza delle presenti clausole e sono cancellati alla cessazione dell'obbligo di conservazione. I clienti in Svizzera restano soggetti ai propri obblighi di conservazione secondo il diritto svizzero, segnatamente all'obbligo di conservare per dieci anni i libri di commercio e i documenti contabili (art. 958f CO).

12.1 Il responsabile del trattamento mette a disposizione del titolare tutte le informazioni necessarie a comprovare il rispetto dell'art. 9 LPD e delle presenti clausole, compreso il registro delle proprie attività di trattamento tenuto ai sensi dell'art. 12 LPD, e consente e agevola le verifiche, comprese le ispezioni, svolte dal titolare o da un altro revisore da questi incaricato. Dove il RGPD è applicabile, l'obbligo si estende alla prova del rispetto dell'art. 28 RGPD.

12.2 Il titolare del trattamento può svolgere una verifica ordinaria una volta all'anno, con un preavviso di almeno 30 giorni. La verifica può essere affidata di comune accordo a un terzo indipendente. Il responsabile può completarla mettendo a disposizione un rapporto di revisione indipendente quale prova della conformità, senza che ciò limiti il diritto del titolare di svolgere un'ispezione. Ciascuna parte sopporta i propri costi della verifica ordinaria.

12.3 In caso di sospetto fondato di violazione, o dopo un incidente di sicurezza, il titolare del trattamento può svolgere una verifica straordinaria con un preavviso ragionevole.

12.4 Il responsabile del trattamento collabora con l'IFPDT nell'ambito di un'inchiesta e gli concede, su presentazione di una legittimazione adeguata, l'accesso ai propri locali e impianti nei limiti dei poteri d'inchiesta previsti dagli art. 49 segg. LPD. Lo stesso vale nei confronti di ogni altra autorità di controllo cui il diritto applicabile conferisce tale accesso.

13.1 La responsabilità complessiva del responsabile del trattamento in virtù delle presenti clausole è limitata all'importo versato dal titolare a titolo di canoni di abbonamento nei 12 mesi precedenti l'evento che ha causato la pretesa. L'importo è determinato nella valuta di fatturazione: per i clienti in Svizzera i canoni sono fatturati in franchi svizzeri (CHF). La limitazione non si applica alle pretese fondate sulla lesione dei diritti delle persone interessate, segnatamente alle pretese di diritto civile secondo l'art. 32 LPD in relazione con gli art. 28 segg. del Codice civile e, dove il RGPD è applicabile, alle pretese secondo l'art. 82 RGPD, né ai danni causati per negligenza grave o intenzionalmente.

13.2 Le presenti clausole sono rette dal diritto danese. Poiché la piattaforma è venduta esclusivamente a imprese, non si tratta di un contratto con consumatori, per il quale l'art. 120 cpv. 2 LDIP escluderebbe la scelta del diritto applicabile: la scelta è quindi valida ai sensi dell'art. 116 LDIP. Le controversie sono decise in prima istanza dal Tribunale di Frederiksberg, in Danimarca; la proroga di foro è valida ai sensi dell'art. 23 della Convenzione di Lugano del 30 ottobre 2007, di cui la Svizzera e la Danimarca sono parti.

13.3 Restano salve le disposizioni imperative del diritto svizzero che si applicano indipendentemente dalla scelta del diritto, segnatamente la LPD, che si applica alle fattispecie che generano effetti in Svizzera anche se si verificano all'estero (art. 3 cpv. 1 LPD). La scelta del diritto e del foro non limita il diritto di presentare una denuncia all'IFPDT (art. 49 LPD).

Le clausole entrano in vigore con la conclusione del contratto di servizio. Ciascuna parte può chiedere che le clausole siano rinegoziate se modifiche legislative o inadeguatezze lo giustificano.

Le clausole si applicano finché il responsabile del trattamento tratta dati personali per conto del titolare del trattamento. Dopo la cessazione continuano ad applicarsi le disposizioni sulla riservatezza (n. 5) e sulla cancellazione (n. 11).

Le persone di contatto delle parti per le questioni relative alle presenti clausole e per l'annuncio delle violazioni della sicurezza dei dati sono: