Trattamento dei dati su mandato

Versione: bozza 0.1 del 27.08.2026

Premessa

Il presente Accordo sul trattamento dei dati (di seguito "DPA") integra le Condizioni generali d'uso del servizio Vamio e disciplina il trattamento di dati personali che VAM Deco Sagl, [indirizzo completo], 6514 Sementina, Svizzera (di seguito il "Responsabile") effettua su mandato del Cliente (di seguito il "Titolare") nell'ambito dell'erogazione del servizio Vamio, ai sensi dell'art. 9 della Legge federale sulla protezione dei dati (LPD) e, ove applicabile, dell'art. 28 del Regolamento (UE) 2016/679 (GDPR).

Il DPA è accettato elettronicamente dal Titolare contestualmente alla registrazione, insieme alle Condizioni d'uso, ed è scaricabile in PDF in ogni momento dall'app.

Ripartizione dei ruoli: il Cliente resta titolare del trattamento per tutti i dati personali che inserisce nel Servizio (in particolare i dati dei propri clienti finali e contatti). VAM Deco Sagl tratta tali dati esclusivamente come responsabile, per conto e su istruzione del Cliente. Per i dati relativi all'account del Cliente stesso (dati di registrazione, fatturazione, utilizzo), VAM Deco Sagl agisce invece come titolare autonomo: tali trattamenti sono descritti nell'informativa privacy di Vamio e non sono oggetto del presente DPA.

1. Oggetto e durata

1.1 Oggetto del DPA è il trattamento dei Dati del Cliente contenenti dati personali, effettuato dal Responsabile per erogare il servizio Vamio (hosting, memorizzazione, elaborazione, generazione documenti, invio email per conto del Titolare, backup, assistenza).

1.2 Il DPA ha la stessa durata del contratto di servizio e cessa con la cancellazione definitiva dei dati ai sensi dell'art. 9.

2. Natura, finalità e mezzi del trattamento

2.1 Il trattamento avviene esclusivamente per l'erogazione delle funzionalità del Servizio richieste dal Titolare: gestione anagrafiche, creazione e invio di offerte e fatture (incluse QR-Bill), richiami di pagamento, archiviazione documenti, statistiche interne al tenant, funzioni AI se attivate, export dei dati.

2.2 Il trattamento avviene con strumenti informatici, su infrastruttura situata in Svizzera (hosting Infomaniak), fatta salva l'eccezione delle Funzioni AI di cui all'art. 6.

3. Categorie di dati e di persone interessate

3.1 Categorie di persone interessate: clienti finali del Titolare e loro referenti, contatti commerciali, destinatari di offerte e fatture, collaboratori del Titolare i cui dati compaiono nei documenti.

3.2 Categorie di dati personali: dati identificativi e di contatto (nome, ditta, indirizzo, email, telefono), dati contrattuali e commerciali (offerte, ordini, prezzi, condizioni), dati di fatturazione e pagamento (importi, coordinate per QR-Bill, stato pagamenti), corrispondenza generata dal Servizio, eventuali ulteriori dati liberamente inseriti dal Titolare in campi di testo.

3.3 Il Servizio non è destinato al trattamento di dati personali degni di particolare protezione (art. 5 lett. c LPD). Se il Titolare sceglie di inserirne, lo fa sotto la propria esclusiva responsabilità.

4. Obblighi del Responsabile

Il Responsabile si impegna a:

a. trattare i dati esclusivamente per le finalità di cui all'art. 2 e secondo le istruzioni documentate del Titolare; le funzioni del Servizio e le relative configurazioni scelte dal Titolare costituiscono istruzione documentata;

b. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;

c. adottare misure tecniche e organizzative adeguate a garantire una sicurezza dei dati conforme agli art. 8 LPD e 1 segg. OPDa (Allegato B);

d. assistere il Titolare, per quanto ragionevolmente possibile e tenuto conto della natura del trattamento, nell'adempimento degli obblighi verso le persone interessate (diritto d'accesso, rettifica, cancellazione, consegna dei dati) e verso le autorità;

e. notificare al Titolare senza ingiustificato ritardo [proposta: entro 48 ore dalla presa di conoscenza] ogni violazione della sicurezza dei dati che riguardi i Dati del Cliente, fornendo le informazioni disponibili sulla natura della violazione, le categorie di dati coinvolte e le misure adottate;

f. informare il Titolare se ritiene che un'istruzione violi il diritto in materia di protezione dei dati;

g. tenere un registro delle attività di trattamento ove richiesto dalla legge;

h. non trattare i dati per finalità proprie.

5. Sub-responsabili

5.1 Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati nell'Allegato C.

5.2 Il Responsabile impone a ogni sub-responsabile, tramite contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente DPA e risponde dell'operato dei sub-responsabili come del proprio.

5.3 Il Responsabile informa il Titolare in anticipo [proposta: almeno 30 giorni] di ogni aggiunta o sostituzione di sub-responsabili, tramite email o avviso nell'app. Il Titolare può opporsi per motivi giustificati; in caso di opposizione e in assenza di soluzione alternativa ragionevole, il Titolare può disdire il contratto con effetto alla data di entrata in vigore della modifica.

6. Localizzazione dei dati e comunicazione all'estero

6.1 I Dati del Cliente sono memorizzati ed elaborati su server situati in Svizzera (Infomaniak). Questa localizzazione è garantita contrattualmente.

6.2 Unica eccezione, Funzioni AI: se il Titolare attiva e utilizza le Funzioni AI, il testo da elaborare (e i dati personali in esso eventualmente contenuti) è trasmesso al fornitore AI indicato nell'Allegato C, i cui server possono trovarsi al di fuori della Svizzera. La comunicazione all'estero avviene nel rispetto degli art. 16 e 17 LPD: verso Stati con un livello di protezione adeguato riconosciuto dal Consiglio federale, oppure sulla base di garanzie appropriate (in particolare clausole contrattuali standard riconosciute) [da verificare con il legale per il fornitore concreto, incluso l'eventuale Swiss-U.S. Data Privacy Framework].

6.3 Le Funzioni AI sono disattivabili dal Titolare in ogni momento nelle impostazioni. Con le Funzioni AI disattivate non avviene alcuna trasmissione di dati al fornitore AI.

6.4 Al di fuori di quanto previsto ai punti precedenti, il Responsabile non comunica i Dati del Cliente all'estero senza previa autorizzazione del Titolare.

7. Assistenza per i diritti delle persone interessate

7.1 Se una persona interessata esercita i propri diritti direttamente presso il Responsabile in relazione a dati trattati per conto del Titolare, il Responsabile inoltra la richiesta al Titolare senza ingiustificato ritardo e non vi risponde autonomamente, salvo obbligo legale.

7.2 Il Servizio mette a disposizione del Titolare strumenti self-service utili all'adempimento delle richieste (ricerca, rettifica, export, annullamento di documenti nei limiti degli obblighi legali di conservazione).

8. Verifiche

8.1 Il Responsabile mette a disposizione del Titolare le informazioni ragionevolmente necessarie a dimostrare il rispetto del presente DPA (in particolare la descrizione delle misure di cui all'Allegato B e, ove disponibili, certificazioni o rapporti di audit dei sub-fornitori, ad esempio dell'hosting).

8.2 Il Titolare può richiedere, al massimo [una volta all'anno] e con congruo preavviso, una verifica documentale. Verifiche in loco sono possibili solo per fondati motivi, in orari lavorativi, senza compromettere la sicurezza degli altri clienti e a spese del Titolare. [Clausola da calibrare con il legale.]

9. Restituzione e cancellazione dei dati

9.1 Il Titolare può esportare autonomamente e in ogni momento tutti i propri dati tramite la funzione di export completo ZIP (dati strutturati + PDF), senza costi aggiuntivi.

9.2 Alla cessazione del contratto i Dati del Cliente restano congelati e recuperabili per 60 giorni (con promemoria via email al Titolare). Trascorso tale termine, il Responsabile cancella definitivamente i Dati del Cliente, salvo obblighi legali di conservazione a carico del Responsabile. Le copie presenti nei backup vengono eliminate con la normale rotazione dei backup entro [indicare periodo massimo].

9.3 Gli obblighi legali di conservazione dei documenti commerciali del Titolare (in particolare art. 958f CO, 10 anni per le fatture) restano di esclusiva responsabilità del Titolare, che deve esportare i documenti prima della cancellazione.

10. Responsabilità e disposizioni finali

10.1 Per la responsabilità delle parti si applicano le limitazioni previste dalle Condizioni d'uso, nella misura ammessa dalla legge.

10.2 In caso di conflitto tra il presente DPA e le Condizioni d'uso, per i temi di protezione dei dati prevale il DPA.

10.3 Il presente DPA è retto dal diritto svizzero. Foro esclusivo è Bellinzona (Ticino, Svizzera), salvo fori imperativi di legge.

Allegato A: dettagli del trattamento

Allegato B: misure tecniche e organizzative (TOM)

Misure tecniche previste:

• Isolamento dei dati per cliente imposto a livello di database (PostgreSQL con Row-Level Security su ogni tabella)
• Identificativo del tenant derivato esclusivamente dalla sessione autenticata, mai da parametri manipolabili dall'utente
• File e documenti archiviati in aree separate per cliente
• Cifratura del traffico in transito (TLS/HTTPS)
• [Cifratura a riposo: indicare soluzione, es. cifratura dischi dell'hosting]
• Autenticazione con verifica email, password con requisiti minimi, 2FA facoltativa
• Protezione anti-bot alla registrazione e limiti di frequenza (rate limiting) sulle interfacce esposte
• Registro delle attività (audit log) sulle operazioni rilevanti
• Backup regolari [frequenza e conservazione da indicare], con test periodici di ripristino
• Ambienti di sviluppo e collaudo separati dalla produzione, non esposti a internet
• Aggiornamenti di sicurezza regolari dei sistemi

Misure organizzative previste:

• Accesso ai sistemi di produzione limitato alle persone strettamente necessarie, con autenticazione a chiave
• Obblighi di riservatezza per le persone autorizzate
• Gestione documentata degli incidenti di sicurezza e procedure di notifica
• Rotazione periodica dei segreti tecnici (credenziali, chiavi)
• Principio della minimizzazione: nessun uso dei dati dei clienti per finalità proprie

Allegato C: sub-responsabili autorizzati

Nota: Stripe (pagamenti degli abbonamenti) e Cloudflare (protezione anti-bot alla registrazione) trattano dati del Cliente in qualità di fornitori del Responsabile nel rapporto contrattuale diretto con il Cliente; tali trattamenti sono descritti nell'informativa privacy e non riguardano i dati dei clienti finali del Titolare. [Da far confermare al legale.]

VAM Deco Sagl, [indirizzo], 6514 Sementina, Svizzera

Contatto: [email di contatto, es. privacy@vamio.ch]

*Documento accettato elettronicamente in fase di registrazione insieme alle Condizioni d'uso. Versione scaricabile in PDF dall'app.*