Contratto di trattamento dei dati per conto terzi

Preambolo

Il presente contratto (il «Contratto») fa parte delle condizioni generali d'uso e di vendita di Maijin Shield (le «CG»). Disciplina il trattamento di dati personali che Maijin Sàrl effettua per conto dei suoi clienti quando utilizzano il servizio, conformemente all'art. 9 della legge federale del 25 settembre 2020 sulla protezione dei dati (LPD, RS 235.1) e all'art. 7 dell'ordinanza del 31 agosto 2022 sulla protezione dei dati (OPDa, RS 235.11). Se il Cliente è soggetto al regolamento (UE) 2016/679 (RGPD), il Contratto vale quale contratto ai sensi del suo art. 28.

Il Contratto è concluso nel momento in cui il Cliente sottoscrive un'offerta a pagamento: la persona che sottoscrive (in un team, un amministratore) lo accetta in nome del Cliente, insieme alle CG. Si applica anche, per la durata di conservazione residua, ai documenti anonimizzati prima della sottoscrizione o dopo la fine dell'abbonamento.

1. Parti e ruoli

• Il Cliente: l'impresa, l'organizzazione o la persona che sottoscrive un'offerta di Maijin Shield, identificata dalla ragione sociale e dall'indirizzo di fatturazione indicati alla sottoscrizione. Per i dati personali contenuti nei documenti che sottopone al servizio, il Cliente è titolare del trattamento (art. 5 lett. j LPD).
• Maijin Sàrl, Route de Saint-Julien 184, 1228 Plan-les-Ouates, Svizzera, IDI CHE-300.778.667, contact@maijin.ch («Maijin»): responsabile del trattamento (art. 5 lett. k LPD) per questi stessi dati.

Maijin è invece titolare del trattamento, in nome proprio, dei dati necessari alla gestione degli account e del rapporto contrattuale (indirizzi e-mail degli utenti, sessioni, team, fatturazione, statistiche di utilizzo senza contenuto, registro di audit, moduli) nonché della demo senza account. Questi trattamenti sono descritti nella sua informativa sulla protezione dei dati e non rientrano nel Contratto.

2. Oggetto e descrizione del trattamento

3. Istruzioni del Cliente

1. Maijin tratta i dati unicamente per eseguire il servizio, secondo le istruzioni documentate del Cliente. Costituiscono tali istruzioni: le CG e il Contratto; l'uso che gli utenti del Cliente fanno delle funzioni del servizio (caricamento, correzioni nell'anteprima, download, restituzione, cancellazione); le impostazioni di mascheramento scelte dagli amministratori del team (Impostazioni); ogni istruzione scritta complementare inviata a contact@maijin.ch e accettata da Maijin.
2. Maijin non utilizza i dati per nessun'altra finalità: né addestramento o miglioramento di modelli, né profilazione, né rivendita, né statistiche sul contenuto. Le statistiche di utilizzo di Maijin contengono solo numeri e codici (pagine, tipi di dati mascherati, durate), mai un contenuto, un nome di file né un valore rilevato.
3. Se Maijin ritiene che un'istruzione violi il diritto applicabile, ne informa senza indugio il Cliente e può sospenderne l'esecuzione fino a conferma o modifica da parte del Cliente.
4. Maijin comunica i dati a terzi solo nei casi previsti dal Contratto (subresponsabili del trattamento, sezione 7) o quando un'autorità la obbliga a farlo; in quest'ultimo caso, ne informa previamente il Cliente, salvo divieto legale.

4. Durata di conservazione

5. Confidenzialità

1. Maijin limita l'accesso ai sistemi a un numero ristretto di persone designate nominativamente, che ne hanno bisogno per gestire il servizio, e le sottopone per iscritto a un obbligo di confidenzialità che perdura dopo la fine del loro impiego. Esse sono informate delle sanzioni dell'art. 62 LPD (violazione dell'obbligo di discrezione) e, se del caso, dell'art. 321 CP.
2. Nessuna persona di Maijin consulta le tabelle di corrispondenza né il registro dei segnaposto di un cliente, salvo richiesta scritta del Cliente (ad esempio per un'assistenza) o obbligo legale. Ogni consultazione di questo tipo è documentata.
3. I dati reali non vengono mai inviati a un modello linguistico né rinviati al browser se non nel documento restituito all'utente che lo ha anonimizzato.

6. Clienti soggetti al segreto professionale

1. Se il Cliente o i suoi utenti sono soggetti a un segreto professionale protetto dall'art. 321 del Codice penale (in particolare medici, dentisti, chiropratici, farmacisti, psicologi, levatrici, infermieri e altre professioni sanitarie contemplate da tale disposizione, avvocati, notai) o da un'altra norma sul segreto (segreto d'ufficio, segreto previsto da una legge cantonale sulla sanità o dal diritto delle assicurazioni sociali), Maijin agisce come ausiliario del Cliente per l'esecuzione del servizio, ai sensi dell'art. 321 n. 1 CP, nella misura in cui tale statuto le sia riconosciuto.
2. Maijin si impegna a mantenere il segreto su tutti i fatti di cui viene a conoscenza in questo ambito, a imporre lo stesso obbligo, per iscritto, alle persone che hanno accesso ai sistemi, e a non comunicarli a nessun altro che ai suoi subresponsabili del trattamento indicati nella sezione 7, nei limiti del Contratto.
3. Spetta al Cliente valutare se il ricorso al servizio è compatibile con le norme sul segreto che gli sono applicabili (compresi il diritto cantonale, le regole professionali e gli eventuali requisiti di consenso o di informazione delle persone interessate), in particolare prima di affidare poi il documento anonimizzato a un'intelligenza artificiale di terzi. Maijin non fornisce consulenza giuridica su questo punto.

7. Subresponsabili del trattamento

Il Cliente conferisce a Maijin un'autorizzazione generale a ricorrere a subresponsabili del trattamento (art. 9 cpv. 3 LPD e art. 7 OPDa). Alla data del Contratto, i subresponsabili del trattamento autorizzati sono i seguenti:

1. Maijin informa il Cliente per e-mail, all'indirizzo degli amministratori del team, almeno 30 giorni prima di ogni aggiunta o sostituzione di un subresponsabile del trattamento, indicandone l'identità, il paese e i dati interessati. Il Cliente può opporsi alla modifica per iscritto entro tale termine, per un motivo legato alla protezione dei dati. Se non si trova alcuna soluzione, il Cliente può disdire il suo abbonamento con effetto alla data della modifica e ottenere il rimborso del periodo pagato e non utilizzato.
2. Maijin impone a ogni subresponsabile del trattamento, per contratto, obblighi di protezione dei dati almeno equivalenti a quelli del Contratto, e risponde nei confronti del Cliente del loro rispetto.
3. Per informazione: il pagamento degli abbonamenti passa da Stripe (Stripe Payments Europe, Ltd., Irlanda, e Stripe, LLC, Stati Uniti). Stripe tratta i dati di fatturazione, per i quali Maijin stessa è titolare del trattamento; non riceve mai un documento né alcun dato trattato per conto del Cliente. Stripe non è quindi un subresponsabile del trattamento ai sensi del Contratto.

8. Comunicazione di dati all'estero

I dati trattati per conto del Cliente sono trattati esclusivamente in Svizzera. Maijin non li comunica ad alcuno Stato estero. L'unica comunicazione all'estero legata al servizio riguarda i dati di fatturazione trasmessi a Stripe (Irlanda, Stato riconosciuto adeguato dal Consiglio federale nell'allegato 1 OPDa; Stati Uniti, per Stripe, LLC, certificata secondo lo Swiss-U.S. Data Privacy Framework, riconosciuto adeguato dal 15 settembre 2024), descritta nell'informativa sulla protezione dei dati.

Il Cliente risponde da solo di ciò che trasmette poi a un'intelligenza artificiale di terzi, anche quando il suo fornitore si trova all'estero. Allo stesso modo, quando un utente si serve del deposito per e-mail, l'allegato che invia e la risposta che riceve (compreso un documento restituito con i dati reali) restano nella sua casella di posta, che può essere ospitata fuori dalla Svizzera: questa scelta spetta al Cliente.

9. Sicurezza dei dati

Maijin attua le misure tecniche e organizzative descritte nell'allegato 1, adeguate al rischio, in particolare ai dati personali degni di particolare protezione (art. 8 LPD, art. 1–4 OPDa). Può farle evolvere, a condizione di non abbassare mai il livello di protezione.

10. Assistenza al Cliente

1. Diritti delle persone interessate (art. 25–32 LPD). Maijin trasmette al Cliente, entro 5 giorni lavorativi, ogni richiesta che riceve da una persona interessata riguardo ai documenti del Cliente, senza rispondervi direttamente. Assiste il Cliente nel rispondervi, nella misura in cui ciò è tecnicamente possibile: poiché le tabelle di corrispondenza sono leggibili solo dall'utente che ha anonimizzato il documento, è questo utente che consulta, restituisce o cancella i suoi documenti da «I miei documenti». Un amministratore del team può cancellare qualsiasi documento del team.
2. Valutazione d'impatto (art. 22 e 23 LPD). Maijin mette a disposizione del Cliente un dossier di valutazione d'impatto che descrive il trattamento, i suoi rischi e le misure adottate, e risponde alle sue domande complementari.
3. Autorità. Maijin assiste il Cliente nei suoi rapporti con l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) o con un'altra autorità competente, per quanto riguarda il servizio.

11. Violazioni della sicurezza dei dati

1. Maijin notifica al Cliente ogni violazione della sicurezza dei dati (art. 5 lett. h LPD) che riguardi dati trattati per suo conto, che presenti o meno un rischio elevato, quanto prima e al più tardi entro 48 ore da quando ne è venuta a conoscenza (art. 24 cpv. 3 LPD), per e-mail agli amministratori del team e, se nota, alla persona di contatto designata dal Cliente.
2. La notifica contiene, nella misura in cui sono note, le informazioni di cui il Cliente ha bisogno per l'eventuale notifica all'IFPDT (art. 15 cpv. 1 OPDa): la natura della violazione; il momento e la durata; le categorie e il numero approssimativo di dati e di persone interessate; le conseguenze e i rischi per le persone interessate; le misure adottate o previste per porvi rimedio e attenuarne le conseguenze; il nome e i dati di contatto di una persona di contatto presso Maijin. Le informazioni non ancora note sono comunicate non appena lo sono (art. 15 cpv. 2 OPDa).
3. Spetta al Cliente, in quanto titolare del trattamento, decidere se notificare la violazione all'IFPDT e informare le persone interessate (art. 24 cpv. 1 e 4 LPD). Maijin non lo fa al suo posto, salvo istruzione scritta del Cliente o obbligo legale proprio.
4. Maijin documenta ogni violazione e conserva tale documentazione per almeno due anni.

12. Fine del Contratto e cancellazione

1. Il Contratto termina con l'ultimo documento conservato del Cliente, al più tardi con l'eliminazione del suo account o del suo team.
2. Per tutta la durata del Contratto, l'utente può cancellare autonomamente ogni documento ed eliminare il suo account con tutte le sue tabelle, dall'applicazione.
3. All'eliminazione dell'account o del team, o su richiesta scritta del Cliente dopo la fine dell'abbonamento, Maijin cancella le tabelle di corrispondenza, le versioni anonimizzate e il registro dei segnaposto entro 30 giorni. I backup (in cui le tabelle di corrispondenza restano cifrate) sono cancellati al termine del loro ciclo di 14 giorni. Il registro di audit, che non contiene alcun contenuto di documenti, è conservato fino al termine della sua durata di 13 mesi.
4. Poiché le tabelle di corrispondenza non possono essere restituite in una forma utile al di fuori del servizio (servono solo alla restituzione), il Cliente che desidera conservarle deve effettuare la restituzione dei suoi documenti prima della fine del Contratto. Su richiesta, Maijin conferma la cancellazione per iscritto.

13. Controllo e audit

1. Maijin mette a disposizione del Cliente le informazioni necessarie per dimostrare il rispetto del Contratto: il presente Contratto e il suo allegato, il dossier di valutazione d'impatto, il registro delle attività di trattamento (parte responsabile del trattamento), l'elenco dei subresponsabili del trattamento e un questionario di sicurezza compilato, su richiesta a contact@maijin.ch, gratuitamente una volta all'anno.
2. Il Cliente può far eseguire un audit in loco, a sue spese, da sé o da un revisore indipendente tenuto al segreto, con un preavviso di 30 giorni, durante l'orario lavorativo, al massimo una volta all'anno, salvo dopo una violazione della sicurezza dei dati o su richiesta di un'autorità. L'audit non può compromettere la sicurezza del servizio né dare accesso ai dati di altri clienti. I centri dati di Infomaniak non possono essere visitati dal Cliente; Maijin fornisce al riguardo la documentazione di Infomaniak.

14. Responsabilità

1. Ciascuna parte risponde del rispetto degli obblighi che il diritto della protezione dei dati le impone nel proprio ruolo.
2. La responsabilità di Maijin in virtù del Contratto è disciplinata dall'articolo «Responsabilità» delle CG, fatte salve le disposizioni imperative del diritto svizzero (in particolare l'art. 100 del Codice delle obbligazioni): non è in alcun caso esclusa né limitata in caso di dolo o negligenza grave.
3. L'anonimizzazione automatica riduce fortemente il rischio di identificazione senza eliminarlo. Maijin non risponde di un dato lasciato in chiaro che l'utente poteva vedere e mascherare nell'anteprima, né dell'uso che il Cliente fa del documento anonimizzato, in particolare presso un'intelligenza artificiale di terzi.

15. Obblighi del Cliente

1. Il Cliente si assicura di poter trattare lecitamente i dati che sottopone al servizio e, se del caso, di informare le persone interessate (art. 19 LPD).
2. Provvede affinché i suoi utenti rileggano l'anteprima prima di scaricare il documento anonimizzato e di affidarlo a un'intelligenza artificiale di terzi, utilizzino il deposito per e-mail solo con una casella di posta di cui accetta il livello di sicurezza, e mantengano confidenziali i loro accessi.
3. Sceglie le categorie di dati da mascherare (Impostazioni) con cognizione di causa: deselezionare una categoria la lascia in chiaro in tutti i documenti del team.
4. Effettua, se necessario, la propria valutazione d'impatto (art. 22 LPD).

16. Modifiche, diritto applicabile e foro

1. Maijin può modificare il Contratto secondo la procedura di modifica delle CG (annuncio per e-mail almeno 30 giorni prima, diritto di disdetta); le modifiche dei subresponsabili del trattamento seguono la sezione 7.
2. In caso di contraddizione, il Contratto prevale sulle CG per quanto riguarda la protezione dei dati trattati per conto del Cliente.
3. Il Contratto è soggetto al diritto svizzero. Il foro è a Ginevra, fatti salvi i fori imperativi previsti dalla legge.

Allegato 1 — Misure tecniche e organizzative

Misure in vigore alla data di questa versione, classificate secondo gli obiettivi dell'art. 2 e i controlli dell'art. 3 OPDa.

A. Confidenzialità

Controllo dell'accesso ai dati (art. 3 cpv. 1 lett. a OPDa)

• Autenticazione degli utenti senza password, tramite link di accesso monouso, valido 15 minuti, conservato in forma hash. Sessione di 7 giorni, prolungata con l'uso (al massimo una volta al giorno), cookie «__Secure-», «HttpOnly», «SameSite=Lax»; né l'indirizzo IP né il browser della sessione vengono registrati. Invito a un team: token casuale di 32 byte, in forma hash, monouso, valido 7 giorni.
• Ogni richiesta verso i documenti e le impostazioni verifica la sessione lato server.
• Restituzione strettamente personale: solo l'utente che ha anonimizzato un documento può ritrovarne i dati reali, e solo finché è membro del team; mai un collega né un amministratore.
• Gli amministratori del team vedono il nome anonimizzato del file, la sua data e l'indirizzo e-mail del suo autore, e possono cancellarlo; non vedono mai i dati reali.
• Tabelle di corrispondenza, nomi di file e registro dei segnaposto cifrati con AES-256-GCM, vettore di inizializzazione casuale per valore, dati associati (AAD) che legano ogni testo cifrato alla sua riga e al suo proprietario (un testo cifrato copiato altrove diventa indecifrabile). Chiave principale al di fuori della banca dati (variabile d'ambiente del server, file leggibile solo dall'amministratore), sottochiavi derivate per uso (HKDF-SHA-256). Una copia della sola banca dati non rivela alcun valore.
• Valori cercati tramite impronta con chiave (HMAC-SHA-256, propria di ogni utente), mai in chiaro.
• Dashboard interna di Maijin (statistiche senza contenuto): sottodominio distinto, account nominativi, password in forma hash (scrypt), 5 tentativi ogni 15 minuti, sessione di 12 ore; nessun accesso alle tabelle di corrispondenza.
• Personale di Maijin: accesso ai server limitato alle persone designate nel regolamento per il trattamento, divieto di consultare le tabelle salvo richiesta scritta del Cliente.

Controllo dell'accesso ai locali e agli impianti (lett. b)

• Server in un centro dati di Infomaniak a Ginevra (controlli d'accesso fisici del fornitore). Maijin non gestisce alcun server nei propri locali.
• Postazioni di lavoro del personale: disco cifrato e blocco automatico richiesti dal regolamento per il trattamento; nessuna copia della banca dati di produzione vi è conservata.

Controllo dell'utilizzazione (lett. c)

• Banca dati non esposta a Internet (nessuna porta pubblicata); firewall che limita le porte aperte a SSH, HTTP (reindirizzamento) e HTTPS.
• Accesso SSH solo tramite chiave, senza password e senza accesso «root»; distribuzione automatica tramite una chiave dedicata limitata a un solo comando.
• Segreti (chiavi di cifratura, di API, di pagamento) al di fuori del repository del codice, in un file del server con diritti limitati.

B. Disponibilità e integrità

Controllo dei supporti di dati (art. 3 cpv. 2 lett. a OPDa)

• Il documento originale non viene mai scritto su un supporto: viene letto e trattato in memoria, in un thread di esecuzione isolato (memoria limitata a 768 MB, durata limitata a 20 secondi), poi dimenticato. Viene registrata, cifrata, nella banca dati solo la sua versione anonimizzata.
• Backup: file leggibili solo dall'amministratore del server; le tabelle di corrispondenza vi restano cifrate (AES-256-GCM, chiave al di fuori della banca dati).

Controllo della memoria (lett. b)

• Sono conservati solo i dati della sezione 4 del Contratto, eliminati automaticamente alla scadenza (eliminazione oraria delle tabelle scadute e dei segnaposto orfani, delle sessioni, dei link e degli inviti scaduti).

Controllo del trasporto (lett. c)

• HTTPS obbligatorio, TLS 1.3, HSTS (2 anni, precaricamento), reindirizzamento permanente da HTTP a HTTPS.
• Richieste verso i modelli linguistici di Infomaniak in HTTPS; non contengono né il nome del file né l'identità dell'account.
• Posta elettronica (IMAP, SMTP) sempre cifrata con TLS, mai in chiaro.

Ripristino (lett. d)

• Backup giornaliero della banca dati, conservato 14 giorni sul server, in Svizzera.
• Controllo automatico di ogni backup (copia completa, altrimenti tre nuovi tentativi), avviso per e-mail in caso di errore o di assenza di backup da 26 ore; prova di ripristino trimestrale prevista dal regolamento per il trattamento.

Disponibilità, affidabilità, integrità (lett. e)

• Limiti sui file caricati verificati prima della decompressione (20 MB, 200 MB decompressi, 5’000 voci), rifiuto delle costruzioni XML pericolose; limiti di frequenza sui percorsi sensibili.
• Integrità dei dati cifrati garantita dall'autenticazione AES-GCM (ogni alterazione viene rilevata).
• PDF: cancellazione effettiva del testo (mai un semplice rettangolo sovrapposto) e controllo che nessun valore originale rimanga prima della consegna.

Sicurezza del sistema (lett. f)

• Aggiornamenti di sicurezza automatici del sistema operativo; dipendenze software aggiornate.
• Politica di sicurezza dei contenuti (CSP) rigorosa: script autorizzati tramite nonce, nessuna risorsa di terzi, nessun tracker né strumento di analisi, caratteri serviti dal sito; intestazioni «X-Frame-Options», «X-Content-Type-Options», «Referrer-Policy», «Permissions-Policy».
• Log tecnici limitati in volume (3 × 10 MB per servizio); il server web non vi scrive né indirizzi IP, né intestazioni (browser, cookie), né parametri dell'URL; nessun contenuto di documenti né indirizzo e-mail nei log dell'applicazione.

C. Tracciabilità

Controllo dell'immissione e della comunicazione (art. 3 cpv. 3 lett. a e b OPDa)

• Registro di audit in sola aggiunta (art. 4 OPDa): analisi di un documento (con il suo destinatario, Infomaniak AI Tools), creazione di un documento anonimizzato, restituzione, cancellazione manuale o automatica, consultazione della cronologia del team da parte di un amministratore, accesso alla dashboard interna ed esportazioni; per ogni voce: chi (identificativo e indirizzo e-mail dell'account), cosa (azione, identificativo del documento), quando; mai contenuti né valori. Conservato 13 mesi, copiato ogni giorno in un file distinto dalla banca dati, accessibile solo alle persone incaricate della sicurezza.

Rilevamento e rimedio (lett. c)

• Procedura di gestione delle violazioni (rilevamento, valutazione, notifica al Cliente entro 48 ore, documentazione conservata per almeno 2 anni).
• Avviso in caso di errore del backup.

D. Misure organizzative

• Regolamento per il trattamento (art. 5 OPDa) tenuto aggiornato e riesaminato almeno una volta all'anno.
• Registro delle attività di trattamento (art. 12 LPD).
• Protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 7 LPD): tutte le categorie sono mascherate per impostazione predefinita; minimizzazione dei dati inviati ai modelli linguistici.