Contratto di trattamento dei dati

1. Oggetto e durata del contratto

Il presente contratto di trattamento dei dati (di seguito il presente Contratto di trattamento) è concluso tra l'organizzazione che crea uno spazio di lavoro su The Training Platform (di seguito lo Spazio di lavoro), indipendentemente dal Piano scelto, compreso il Piano Free (di seguito il Cliente o il Titolare del trattamento), e Appogée Sàrl, società a garanzia limitata di diritto svizzero con sede in Chemin de Paudex 5, 1132 Lully, Svizzera, iscritta nel registro di commercio con il numero IDI CHE-340.224.808, che gestisce The Training Platform (di seguito il Responsabile del trattamento).

Il presente Contratto di trattamento ha lo scopo di definire le condizioni alle quali il Responsabile del trattamento tratta dati personali per conto del Cliente nell'ambito del servizio The Training Platform, conformemente all'articolo 9 della legge federale sulla protezione dei dati (LPD) e, qualora il trattamento riguardi persone che si trovano nell'Unione europea o nello Spazio economico europeo, all'articolo 28 del regolamento generale sulla protezione dei dati (RGPD).

Il presente Contratto di trattamento costituisce parte integrante delle Condizioni generali di vendita di The Training Platform. È accettato dal Cliente unitamente a queste ultime al momento della creazione dello Spazio di lavoro, senza ulteriori formalità.

Il presente Contratto di trattamento si applica dalla creazione dello Spazio di lavoro fino alla chiusura dello Spazio di lavoro, che segna la fine del Contratto ai sensi delle Condizioni generali di vendita, indipendentemente dal Piano, compresi il Piano Free e il periodo di prova. Le sue disposizioni relative alla restituzione e alla cancellazione dei dati, alla riservatezza e alla responsabilità restano applicabili dopo la chiusura dello Spazio di lavoro, fintantoché il Responsabile del trattamento detiene dati personali per conto del Cliente.

Il presente Contratto di trattamento non disciplina i trattamenti che il Responsabile del trattamento effettua per proprio conto, in particolare la gestione del rapporto contrattuale con il Cliente, la fatturazione dell'abbonamento e la gestione del sito internet di The Training Platform. Tali trattamenti, per i quali il Responsabile del trattamento agisce in qualità di titolare del trattamento, sono descritti nell'Informativa sulla privacy.

2. Natura e finalità del trattamento

The Training Platform mette a disposizione del Cliente un portale di gestione della formazione, accessibile all'indirizzo proprio del suo spazio di lavoro. Il Responsabile del trattamento ospita e gestisce tale portale, nonché la banca dati e i file a esso associati, per conto del Cliente.

I trattamenti effettuati dal Responsabile del trattamento hanno come unica finalità quella di fornire al Cliente le funzionalità del portale: la pubblicazione del suo catalogo di formazioni, l'organizzazione delle sessioni, la gestione delle iscrizioni e delle presenze, la messa a disposizione dei documenti dei partecipanti, l'emissione delle fatture e il monitoraggio dei pagamenti, nonché l'invio delle e-mail connesse a tali operazioni.

Tali trattamenti comprendono in particolare la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, la modifica, la trasmissione, il backup e la cancellazione dei dati, nella misura necessaria alla fornitura del servizio.

Le e-mail sono inviate in nome del Cliente, se del caso mediante la casella di posta elettronica che il Cliente ha collegato al portale. I pagamenti online sono trattati dal prestatore di servizi di pagamento che figura nell'elenco dei sub-responsabili del trattamento; The Training Platform non conserva alcun dato della carta di pagamento.

Il Responsabile del trattamento si astiene dal trattare i dati personali del Cliente per altre finalità, in particolare per finalità commerciali o pubblicitarie proprie, e dal venderli o comunicarli a terzi al di fuori dei casi previsti dal presente Contratto di trattamento.

3. Categorie di dati e di persone interessate

Le persone interessate dal trattamento sono i partecipanti alle formazioni del Cliente, i formatori, i responsabili aziendali che iscrivono o seguono partecipanti, nonché i collaboratori del Cliente che amministrano il portale.

I dati trattati comprendono i dati d'identità e di contatto di tali persone, quali il cognome, il nome, l'indirizzo e-mail, gli altri recapiti inseriti e, se del caso, l'azienda di appartenenza, nonché i dati relativi al loro ruolo.

Comprendono inoltre i dati relativi alle iscrizioni e alla partecipazione alle formazioni, in particolare le sessioni seguite e le presenze, nonché i documenti caricati nel portale dal Cliente, dai formatori o dai partecipanti, quali attestati.

Comprendono infine i dati di fatturazione e lo stato dei pagamenti, con esclusione di qualsiasi numero di carta di pagamento. Non rientrano nel presente Contratto di trattamento, in quanto trattati dal Responsabile del trattamento in qualità di titolare del trattamento: gli account degli utenti del portale, i codici di accesso, i registri di autenticazione e di sicurezza e i rapporti di errore, descritti nell'Informativa sulla privacy.

Il Cliente determina da solo i dati che inserisce o fa inserire nel portale. Provvede a non registrarvi dati personali degni di particolare protezione ai sensi della LPD, quali dati sulla salute, salvo che ciò sia necessario per le sue formazioni e che disponga di una base giuridica per farlo.

4. Istruzioni documentate del Titolare del trattamento

Il Responsabile del trattamento tratta i dati personali unicamente su istruzione documentata del Cliente. L'utilizzo del portale da parte del Cliente e delle persone che egli vi autorizza, nonché i parametri che vi definisce, costituiscono le sue istruzioni. Ne fanno parte anche il presente Contratto di trattamento e le Condizioni generali di vendita.

Il Cliente può impartire istruzioni complementari per scritto, nella misura in cui siano compatibili con le funzionalità del servizio. Un'istruzione che richieda uno sviluppo o una prestazione particolare può essere oggetto di un accordo separato.

Il Responsabile del trattamento informa senza indugio il Cliente qualora un'istruzione gli sembri contraria alla LPD, al RGPD o a un'altra disposizione applicabile in materia di protezione dei dati. Può in tal caso sospendere l'esecuzione di tale istruzione fino a quando il Cliente non la confermi o la modifichi.

Qualora il Responsabile del trattamento sia tenuto dal diritto applicabile a trattare dati senza istruzione del Cliente, ne informa preventivamente quest'ultimo, salvo che tale diritto lo vieti per rilevanti motivi di interesse pubblico.

Il Cliente resta responsabile della liceità dei trattamenti che ordina. Gli spetta in particolare informare le persone interessate, nei propri documenti giuridici, dei trattamenti effettuati mediante il portale, e disporre di una base giuridica per ciascuno di essi.

5. Riservatezza

Il Responsabile del trattamento garantisce che le persone autorizzate a trattare i dati personali del Cliente sono soggette a un obbligo di riservatezza, sia esso contrattuale o legale.

L'accesso a tali dati è riservato alle persone che ne hanno bisogno per gestire il servizio, curarne la manutenzione o fornire assistenza, ed è limitato a quanto necessario all'adempimento dei loro compiti.

Il Responsabile del trattamento si assicura che tali persone siano informate degli obblighi derivanti dal presente Contratto di trattamento e dalla legislazione sulla protezione dei dati.

L'obbligo di riservatezza sussiste anche dopo la chiusura dello Spazio di lavoro del Cliente e dopo la fine dei rapporti di lavoro o di mandato delle persone interessate.

6. Misure tecniche e organizzative di sicurezza

Il Responsabile del trattamento adotta misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, conformemente all'articolo 8 della LPD e, se del caso, all'articolo 32 del RGPD. La presente sezione ne descrive le principali e funge da allegato relativo alla sicurezza.

Il portale e la sua banca dati sono ospitati in Svizzera presso Infomaniak. I file caricati e i backup sono affidati a sub-responsabili del trattamento la cui ubicazione è indicata nell'Informativa sulla privacy. Le comunicazioni tra gli utenti e il portale sono cifrate in transito mediante il protocollo TLS.

I dati di ciascuno spazio di lavoro sono isolati da quelli delle altre organizzazioni: ogni richiesta è associata allo spazio di lavoro interessato e filtrata di conseguenza. L'accesso alle funzionalità dipende dal ruolo attribuito a ciascun utente, sia esso amministratore, formatore, responsabile aziendale o discente. L'accesso al portale avviene mediante un codice monouso inviato per e-mail.

Gli accessi tecnici tra i componenti del servizio si basano su token API limitati alle sole operazioni necessarie. Le operazioni e gli errori sono registrati, e gli errori sono oggetto di un monitoraggio continuo al fine di consentire il rilevamento e la correzione rapidi degli incidenti.

La banca dati è oggetto di backup giornalieri, conservati presso un prestatore di servizi di archiviazione, al fine di consentire il ripristino dei dati in caso di incidente.

In caso di incidente di sicurezza, il Responsabile del trattamento analizza l'incidente, ne limita gli effetti, documenta le misure adottate e informa il Cliente conformemente all'articolo 9. Riesamina regolarmente tali misure e può adattarle all'evoluzione della tecnica, a condizione di non ridurre il livello di protezione complessivo.

7. Sub-responsabili del trattamento

Il Cliente autorizza in via generale il Responsabile del trattamento ad avvalersi di sub-responsabili del trattamento per la fornitura del servizio. L'elenco dei sub-responsabili del trattamento, con la loro funzione e la loro ubicazione, figura nell'Informativa sulla privacy di The Training Platform, alla quale rinvia il presente Contratto di trattamento.

Il Responsabile del trattamento impone contrattualmente a ciascun sub-responsabile del trattamento obblighi di protezione dei dati che offrono un livello di protezione almeno equivalente a quello del presente Contratto di trattamento, in particolare in materia di sicurezza e di riservatezza. Resta responsabile nei confronti del Cliente dell'adempimento di tali obblighi.

Qualora i dati siano comunicati a un sub-responsabile del trattamento con sede al di fuori della Svizzera, tale comunicazione avviene conformemente agli articoli 16 e seguenti della LPD. Le garanzie applicabili sono indicate nella sezione dell'Informativa sulla privacy dedicata ai trasferimenti al di fuori della Svizzera.

Il Responsabile del trattamento informa il Cliente per scritto almeno trenta (30) giorni prima dell'aggiunta o della sostituzione di un sub-responsabile del trattamento. Durante tale termine, il Cliente può opporsi alla modifica per motivi ragionevoli legati alla protezione dei dati.

In caso di opposizione, le parti ricercano una soluzione in buona fede. In mancanza di accordo, il Cliente può porre fine al Contratto ai sensi delle Condizioni generali di vendita, e con esso al presente Contratto di trattamento, con effetto alla data in cui la modifica prende effetto, senza spese di disdetta.

8. Assistenza al Titolare del trattamento

Spetta in primo luogo al Cliente rispondere, mediante le funzionalità del portale, alle richieste delle persone interessate che esercitano i loro diritti di accesso, di rettifica, di cancellazione, di limitazione, di opposizione o di portabilità.

Qualora tali funzionalità non siano sufficienti, il Responsabile del trattamento assiste il Cliente, nella misura del possibile, mediante misure tecniche e organizzative appropriate, al fine di consentirgli di rispondere a tali richieste entro i termini legali.

Qualora una persona interessata rivolga direttamente al Responsabile del trattamento una richiesta relativa ai dati trattati per conto del Cliente, il Responsabile del trattamento la trasmette senza indugio al Cliente e non vi dà seguito egli stesso, salvo istruzione contraria del Cliente.

Il Responsabile del trattamento fornisce inoltre al Cliente, tenuto conto della natura del trattamento e delle informazioni di cui dispone, l'assistenza ragionevolmente necessaria per lo svolgimento di valutazioni d'impatto sulla protezione dei dati e, se del caso, per la consultazione preventiva dell'autorità di controllo competente.

L'assistenza che eccede quanto il servizio fornisce in modo standard può essere fatturata al Cliente a un costo ragionevole, comunicato in anticipo.

9. Notifica delle violazioni della sicurezza dei dati

Il Responsabile del trattamento notifica al Cliente qualsiasi violazione della sicurezza dei dati che riguardi i dati personali trattati per suo conto il più rapidamente possibile dopo esserne venuto a conoscenza, con l'obiettivo di una notifica entro settantadue (72) ore.

La notifica contiene, nella misura in cui tali informazioni siano disponibili, la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, le probabili conseguenze della violazione, nonché le misure adottate o previste per porvi rimedio e limitarne gli effetti.

Qualora non sia possibile fornire tutte tali informazioni contemporaneamente, il Responsabile del trattamento le comunica in fasi successive, senza ulteriore ingiustificato ritardo.

Tali informazioni hanno lo scopo di consentire al Cliente di adempiere ai propri obblighi di notifica, in particolare nei confronti dell'Incaricato federale della protezione dei dati e della trasparenza e, se del caso, di un'autorità di controllo europea, nonché di informare le persone interessate qualora ciò sia richiesto. Spetta al Cliente procedere a tali notifiche.

Il Responsabile del trattamento adotta senza indugio le misure ragionevoli per contenere la violazione e limitarne le conseguenze, e collabora con il Cliente all'analisi dell'incidente.

10. Informazione e audit

Il Responsabile del trattamento mette a disposizione del Cliente, su richiesta scritta, le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal presente Contratto di trattamento, in particolare una descrizione aggiornata delle misure di sicurezza descritte all'articolo 6.

Qualora tali informazioni non siano sufficienti, il Cliente può far svolgere un audit, direttamente o tramite un revisore indipendente tenuto alla riservatezza, al massimo una volta per anno civile o dopo una violazione della sicurezza dei dati ai sensi dell'articolo 9.

Il Cliente annuncia l'audit per scritto con un preavviso ragionevole, precisandone l'oggetto. L'audit si svolge durante il normale orario di lavoro, in modo da non perturbare la gestione del servizio, e non può riguardare i dati degli altri clienti del Responsabile del trattamento né informazioni coperte dal segreto commerciale non connesse al trattamento.

Le spese dell'audit sono a carico del Cliente, compreso il tempo dedicato dal Responsabile del trattamento, fatturato a un costo ragionevole. Il Cliente comunica al Responsabile del trattamento i risultati dell'audit.

11. Restituzione e cancellazione dei dati alla fine del trattamento

Alla chiusura dello Spazio di lavoro, che segna la fine del Contratto ai sensi delle Condizioni generali di vendita, il Responsabile del trattamento cessa di trattare i dati personali per conto del Cliente, fatte salve le operazioni necessarie alla loro restituzione e alla loro cancellazione.

Su richiesta del Cliente formulata entro trenta (30) giorni dalla chiusura del suo Spazio di lavoro, il Responsabile del trattamento mette a sua disposizione un'esportazione dei dati del suo Spazio di lavoro in un formato elettronico di uso comune.

Il Responsabile del trattamento cancella i dati personali del Cliente dai propri sistemi attivi entro novanta (90) giorni dalla chiusura dello Spazio di lavoro. Le copie contenute nei backup sono cancellate al termine del loro consueto ciclo di rotazione; fino a tale data, restano protette conformemente al presente Contratto di trattamento e non sono più utilizzate.

Tali obblighi non si applicano ai dati la cui conservazione è imposta al Responsabile del trattamento dal diritto svizzero. Tali dati sono allora conservati in modo sicuro per la durata legale e non sono oggetto di alcun altro trattamento.

12. Responsabilità

Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi derivanti dal presente Contratto di trattamento e dal diritto applicabile in materia di protezione dei dati.

Il Cliente risponde in particolare della liceità dei dati che fa trattare e delle istruzioni che impartisce. Il Responsabile del trattamento risponde in particolare del rispetto delle istruzioni del Cliente e degli obblighi che gli incombono in tale qualità.

La responsabilità del Responsabile del trattamento in virtù del presente Contratto di trattamento è soggetta alle limitazioni previste nella sezione Responsabilità delle Condizioni generali di vendita, fatte salve le disposizioni imperative del diritto applicabile.

13. Disposizioni finali

In caso di contraddizione tra il presente Contratto di trattamento e le Condizioni generali di vendita, il presente Contratto di trattamento prevale per qualsiasi questione relativa alla protezione dei dati personali trattati per conto del Cliente.

Il Responsabile del trattamento può modificare il presente Contratto di trattamento per adeguarlo all'evoluzione del diritto applicabile o del servizio, secondo le modalità previste nelle Condizioni generali di vendita. Una modifica non può ridurre il livello di protezione dei dati del Cliente.

Qualora una disposizione del presente Contratto di trattamento risultasse nulla o inapplicabile, la validità delle altre disposizioni non ne sarebbe pregiudicata. La disposizione interessata sarebbe sostituita da una disposizione valida il cui effetto si avvicini il più possibile a quello perseguito.

Il presente Contratto di trattamento è soggetto al diritto svizzero. Qualsiasi controversia relativa alla sua conclusione, alla sua interpretazione o alla sua esecuzione è di competenza dei tribunali della sede di Appogée Sàrl, nel Cantone di Vaud.

Qualsiasi domanda relativa al presente Contratto di trattamento o alla protezione dei dati può essere rivolta al Responsabile del trattamento all'indirizzo info@the-training-platform.ch.