1. Oggetto e ruoli
Il presente contratto di trattamento su incarico (di seguito „ADV") costituisce l'Allegato A alle Condizioni generali di finra.ch e si perfeziona con l'utilizzo del portale. Esso disciplina il trattamento dei dati personali che il cliente (broker o fiduciario) riceve tramite finra dai propri clienti finali.
- Il Cliente è, riguardo a questi dati dei clienti finali, il titolare del trattamento; egli determina lo scopo e i mezzi del trattamento.
- finra (R. Selimi, 9470 Buchs SG) è il Responsabile del trattamento su incarico e tratta questi dati esclusivamente su incarico e secondo le istruzioni del cliente.
Per i dati dell'account e contrattuali del cliente stesso nonché per il funzionamento tecnico della piattaforma, finra è invece autonomamente responsabile; a tal fine si applica la Informativa sulla privacy.
2. Natura, scopo e durata del trattamento
Natura del trattamento: archiviazione, messa a disposizione, visualizzazione, organizzazione e gestione dello stato dei documenti e delle indicazioni caricati dai clienti finali tramite il portale.
Scopo: messa a disposizione del portale clienti, affinché il cliente possa ricevere e gestire i documenti dei propri clienti finali e seguirne lo stato di elaborazione.
Durata: Il trattamento avviene per la durata del rapporto d'uso tra il cliente e finra. Al termine di quest'ultimo si applica il numero 11 (Restituzione e cancellazione).
3. Categorie di persone interessate e di dati
Persone interessate: i clienti finali del cliente nonché altre persone da lui invitate nel portale.
Categorie di dati: dati di contatto e anagrafici nonché documenti rilevanti sotto il profilo fiscale, assicurativo e finanziario. Questi possono contenere dati personali degni di particolare protezione ai sensi dell'art. 5 lett. c nLPD (ad esempio indicazioni su salute, patrimonio o assicurazioni sociali). finra tiene conto di questa maggiore esigenza di protezione mediante le misure di cui al numero 6.
4. Vincolo alle istruzioni e vincolo di scopo
finra tratta i dati messi a disposizione su incarico esclusivamente per gli scopi indicati al numero 2 e solo nell'ambito delle istruzioni del cliente. L'utilizzo della piattaforma vale come istruzione documentata; le istruzioni ulteriori vengono impartite dal cliente via e-mail a info@finra.ch.
finra non vende questi dati, non li trasmette per propri scopi e in particolare non li utilizza per l'addestramento di modelli di IA o per pubblicità. Se finra ritiene illecita un'istruzione, ne informa immediatamente il cliente.
5. Riservatezza
finra tratta in modo confidenziale tutti i dati trattati su incarico. Le persone autorizzate a trattare questi dati sono tenute alla riservatezza, per quanto non siano già soggette a un obbligo legale di segretezza (art. 9 cpv. 1 nLPD).
6. Misure tecniche e organizzative
finra garantisce una sicurezza dei dati adeguata al rischio (art. 8 nLPD, art. 1–6 OPDa), in particolare:
- cifratura TLS continua di tutte le connessioni,
- controllo degli accessi basato sui ruoli — i documenti sono accessibili solo dopo l'accesso personale e solo alle persone autorizzate,
- rigorosa separazione dei mandanti (ogni cliente con proprio sottodominio e vista dei dati separata),
- registrazione dei processi rilevanti per la sicurezza (audit trail),
- backup dei dati regolari e protetti,
- Archiviazione esclusivamente in centri di calcolo in Svizzera.
7. Ricorso a sub-responsabili del trattamento su incarico
Il cliente autorizza il ricorso al seguente sub-responsabile del trattamento su incarico per hosting, archiviazione dei dati e invio di e-mail:
- Infomaniak SA, Ginevra, Svizzera — hosting, archiviazione ed e-mail. Ubicazione dei dati esclusivamente in Svizzera.
Qualora finra intenda ricorrere a un ulteriore sub-responsabile del trattamento su incarico o sostituirlo, finra ne informa preventivamente il cliente e gli concede la possibilità di opporsi per un motivo importante attinente alla protezione dei dati. finra vincola ogni sub-responsabile del trattamento su incarico a una protezione dei dati equivalente (art. 9 cpv. 3 nLPD).
8. Nessuna comunicazione all'estero
Tutti i dati trattati su incarico rimangono in Svizzera. Non ha luogo nessuna comunicazione all'estero. Qualora in futuro dovesse rendersi necessaria una comunicazione all'estero (ad esempio tramite un fornitore di servizi di pagamento), questa avviene solo alle condizioni di cui agli art. 16 seg. nLPD e previa informazione del cliente.
9. Supporto al titolare del trattamento
finra assiste il cliente, con adeguate misure tecniche e organizzative, nell'adempimento dei suoi obblighi in qualità di titolare del trattamento — in particolare nel rispondere alle richieste delle persone interessate (accesso, rettifica, cancellazione, consegna/portabilità ai sensi degli art. 25–28 nLPD). Se i clienti finali si rivolgono direttamente a finra, finra inoltra le loro richieste al cliente competente e non vi risponde autonomamente.
10. Notifica delle violazioni della sicurezza dei dati
Qualora finra venga a conoscenza di una violazione della sicurezza dei dati che riguarda dati trattati su incarico, finra la notifica al cliente immediatamente con le indicazioni disponibili. La notifica all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) nonché, se del caso, alle persone interessate spetta al cliente in qualità di titolare del trattamento (art. 24 nLPD); finra lo assiste in questo.
11. Restituzione e cancellazione al termine del contratto
Dopo la cessazione del rapporto d'uso, finra mette a disposizione del cliente, per 30 giorni, i dati trattati su incarico per l'esportazione in un formato corrente. Allo scadere di tale termine, i dati ed eventuali copie vengono cancellati, salvo che vi si opponga un obbligo legale di conservazione. La cancellazione dei documenti commerciali propri di finra (ad es. fatture) è disciplinata dai termini di legge.
12. Prova e controllo
Su richiesta motivata, finra mette a disposizione del cliente le informazioni necessarie a comprovare il rispetto del presente ADV. finra tiene un registro dei trattamenti effettuati su incarico ai sensi dell'art. 12 nLPD.