Informativa sulla protezione dei dati

1. Panoramica e doppio ruolo

SOTHURA SAFE GmbH (in costituzione), Wassergasse 5, 4573 Lohn-Ammannsegg, Svizzera (di seguito «noi», «ci», «Fornitrice»), prende sul serio la protezione dei dati personali. La presente informativa descrive quali dati personali trattiamo, per quali scopi, su quale base giuridica, per quanto tempo e con chi li condividiamo.

Nel rapporto con le nostre clienti e i nostri clienti (intermediari assicurativi, broker, pool di broker, assicuratori) agiamo in un doppio ruolo:

• Titolare (art. 5 lett. j nLPD / art. 4 n. 7 GDPR): per il trattamento dei dati delle nostre utenti e dei nostri utenti registrati (account utente, login, fatturazione, supporto, utilizzo del sito web).
• Responsabile del trattamento (art. 5 lett. k nLPD / art. 4 n. 8 GDPR): per il trattamento dei dati che i nostri clienti immettono come titolari nella Piattaforma, in particolare dati di mandanti e polizze. Tale trattamento avviene esclusivamente su istruzione del cliente sulla base di un contratto di trattamento dei dati (DPA).

2. Titolare del trattamento e contatto

SOTHURA SAFE GmbH (in costituzione)
Wassergasse 5
4573 Lohn-Ammannsegg, Svizzera

Per le persone interessate UE/SEE accettiamo richieste tramite il suddetto indirizzo. Un rappresentante ai sensi dell'art. 27 GDPR verrà nominato e pubblicato in questo punto al superamento delle condizioni di applicazione.

3. Ambito di applicazione

La presente informativa si applica al trattamento di dati personali in relazione (i) alla visita del nostro sito web, (ii) all'utilizzo della Piattaforma SOTHURA SAFE (portali admin e cliente, mobile access, API), (iii) alla negoziazione e all'esecuzione di contratti B2B, (iv) alla comunicazione tramite i nostri canali e-mail e di appuntamenti.

Per i dati che i nostri clienti immettono nella Piattaforma in qualità di titolari, sono primariamente determinanti le rispettive informative sulla protezione dei dati del cliente verso i propri clienti finali. Trattiamo tali dati solo conformemente al DPA.

4. Categorie di dati personali trattati

4.1 Dati utente e di contatto

• Cognome, nome, indirizzo e-mail professionale, numero di telefono
• Funzione, datore di lavoro, unità organizzativa, ruolo, sede
• Dati di autenticazione: hash delle password (Argon2/bcrypt), secret 2FA, token di sessione
• Consensi, preferenze, cronologia delle comunicazioni

4.2 Dati di mandanti e consulenza (per conto dei nostri clienti)

• Dati anagrafici dei clienti finali (nome, indirizzo, data di nascita, contatto)
• Numero AVS, IBAN, dati fiscali, situazione professionale e familiare
• Polizze assicurative, certificati di previdenza, storico sinistri, offerte
• Verbali di consulenza, profili di rischio, analisi del fabbisogno, documentazioni di consulenza (art. 45 LSA)
• Documenti caricati e relativi contenuti estratti

Tra i dati trattati possono rientrare dati personali particolarmente meritevoli di protezione ai sensi dell'art. 5 lett. c nLPD ovvero categorie particolari ai sensi dell'art. 9 GDPR (tra l'altro dati sanitari nell'indennità giornaliera per malattia e nelle assicurazioni sulla vita). Trattiamo tali dati solo sulla base di un DPA valido e con le misure di sicurezza descritte alla cifra 9.

4.3 Dati di utilizzo e tecnici

• Indirizzo IP, user agent, informazioni su dispositivo e browser
• Log di accesso e attività (timestamp, azioni, endpoint)
• Telemetria di performance ed errori per la stabilizzazione della Piattaforma

4.4 Dati di fatturazione e contrattuali

• Azienda, indirizzo, IDI, numero IVA, dati di pagamento
• Fatture, cronologia di sollecito e comunicazione

4.5 Dati di elaborazione IA

• Estratti pseudonimizzati di documenti per l'analisi
• Cronologie di prompt, risposte del modello, feedback errori per il controllo qualità
• Nessun utilizzo di dati identificabili dei clienti per l'addestramento di modelli IA

5. Scopi e basi giuridiche

6. Trattamento IA e decisioni automatizzate individuali

La Piattaforma utilizza intelligenza artificiale per estrarre documenti, calcolare confronti tra polizze, valutare coperture, supportare consulenze e consentire controlli di compliance.

Nessuna decisione autonoma con effetto giuridico. Tutti gli output IA sono supporto decisionale per le consulenti e i consulenti dei nostri clienti. È esclusivamente il consulente a prendere la decisione tecnica verso il cliente finale e a portare la responsabilità regolamentare (art. 3 LCA, art. 45 LSA). Una decisione individuale automatizzata ai sensi dell'art. 21 nLPD ovvero dell'art. 22 GDPR non avviene.

Pseudonimizzazione. Prima della trasmissione a modelli IA, i campi personali vengono riconosciuti automaticamente e pseudonimizzati (tra l'altro nomi, indirizzi, numero AVS, IBAN, data di nascita, e-mail). I modelli linguistici utilizzati operano esclusivamente in centri dati europei (regione Belgio). I sub-fornitori IA concreti sono elencati nella pagina sub-fornitori. L'utilizzo dei dati trasmessi per l'addestramento dei modelli è escluso contrattualmente.

7. Categorie di destinatari e sub-fornitori

Trasmettiamo dati personali alle seguenti categorie di destinatari, ciascuno solo nella misura necessaria e sulla base di garanzie contrattuali:

• Provider cloud e di infrastruttura per hosting, database, storage e gestione chiavi — centri dati in Svizzera (Zurigo) e nell'UE (Belgio)
• Servizi IA per contenuti pseudonimizzati — regione UE, senza addestramento su dati dei clienti
• Provider di e-mail e transazionali per comunicazioni di registrazione, notifica e supporto
• Servizi di pagamento e contabilità per pagamento con carta, fatturazione e sollecito
• Strumenti di monitoraggio, logging e supporto per garantire l'esercizio
• Partner di integrazione, solo se l'integrazione è attivata dal cliente (ad es. Microsoft 365 o servizi office e di collaborazione comparabili)
• Detentori del segreto professionale (avvocate, consulenti fiscali, auditor, assicuratori) e autorità, ove richiesto dalla legge
• Successori giuridici in caso di ristrutturazione, fusione, scissione o transazione aziendale

Un elenco aggiornato e versionato dei sub-fornitori è tenuto sulla pagina sicurezza e viene aggiornato prima di ogni cambio con un termine di preavviso.

Una trasmissione a fini pubblicitari a terzi non vincolati contrattualmente non avviene.

8. Trasferimento di dati all'estero

La conservazione primaria dei dati e il database dei clienti si trovano in Svizzera. Singoli sotto-servizi (in particolare elaborazione IA, e-mail, supporto, monitoraggio) vengono erogati in Stati UE/SEE o — in casi eccezionali motivati — in Stati terzi quali gli USA.

In caso di trasmissione in Stati senza adeguato livello di protezione assicuriamo la protezione mediante:

• Clausole contrattuali tipo UE (SCC) nella versione di volta in volta vigente, integrate dalle precisazioni svizzere riconosciute dall'IFPDT;
• misure tecniche aggiuntive (crittografia, pseudonimizzazione, chiavi HSM in autogestione);
• misure organizzative (controlli di accesso, audit log);
• transfer impact assessment, ove indicati.

In caso di richieste di autorità statali di Stati terzi alla consegna di dati, esaminiamo ogni disposizione sotto il profilo dell'ammissibilità giuridica e informiamo — nella misura giuridicamente ammessa — il cliente interessato.

9. Misure tecniche e organizzative (TOM)

La Fornitrice attua — sotto la guida tecnica del Head of Security & Infrastructure — un dispositivo di sicurezza multilivello. Le basi sono la nLPD, il GDPR, le pertinenti circolari FINMA sul rischio operativo nonché gli standard riconosciuti. L'infrastruttura cloud sottostante è gestita in centri dati certificati ISO/IEC 27001 e SOC 2 Type II; la Fornitrice si orienta a tali standard nonché al NIST Cybersecurity Framework.

9.1 Crittografia

• Crittografia AES-256 dei dati a riposo («at rest»)
• Crittografia TLS 1.2+ dei dati trasmessi («in transit»), HSTS, Perfect Forward Secrecy
• Customer-Managed Encryption Keys (CMEK) in un Hardware Security Module FIPS 140-2 Level 3; possibilità di cancellazione crittografica mediante revoca della chiave
• Client-Side Field Level Encryption (CSFLE) per i campi particolarmente meritevoli di protezione (numero AVS, IBAN, data di nascita, numero di polizza, numeri di sinistro)
• Rotazione delle chiavi ogni 90 giorni; separazione tra gestione dei dati e gestione delle chiavi

9.2 Sicurezza di rete e infrastruttura

• Private networking (isolamento di rete, endpoint privati) — nessun endpoint DB pubblico
• IP NAT cloud statico per le connessioni in uscita, allowlist IP sulle interfacce critiche
• Service account separati con least-privilege per app, analytics e backup
• Web application firewall e rate-limiting su ingress

9.3 Autenticazione e autorizzazione

• Stretta separazione tra admin-auth e portal-auth (nessuna superficie di sessione comune)
• Autenticazione a più fattori (MFA) per tutti i collaboratori della Fornitrice
• Controllo degli accessi basato sui ruoli (RBAC) secondo il principio del least-privilege
• Rotazione delle sessioni, cookie HTTP-only impostati lato server (token non nello storage del browser)
• Signed URL con validità massima di 15 minuti per i caricamenti di file

9.4 Separazione dei mandanti (multi-tenant isolation)

• Stretta separazione logica dei dati dei clienti a livello di database («tenant scoping»)
• Principio fail-closed: in assenza del contesto tenant non vengono restituiti dati
• Gli accessi cross-tenant vengono sistematicamente impediti tramite test di integrazione e E2E

9.5 Catalogo vincolante di security gate (SG-001 a SG-009)

Ogni modifica del prodotto viene verificata, prima della messa in esercizio, contro il seguente catalogo di gate; la prova viene documentata a prova di revisione:

9.6 Audit, logging e monitoraggio

• Audit log a prova di revisione, immutabili, con conservazione fino a 10 anni
• Log di accessi, admin e prompt IA con timestamp e identità dell'attore
• Monitoraggio 24/7 e allerta basata su anomalie

9.7 Backup, ripristino, resilienza

• Continuous backup con point-in-time recovery in centri dati svizzeri
• Bucket di storage versionati («ransomware-resistenti»)
• Procedure di ripristino e disaster recovery documentate

9.8 Procedura sicura di sviluppo e deploy

• Obbligo di code review e quattro occhi per modifiche rilevanti per la produzione
• Monitoraggio delle dipendenze, scansioni automatizzate di vulnerabilità, patch management
• Gestione dei secret tramite cloud keyvault — nessun secret nel codice sorgente
• Ambienti separati Dev/Staging/Prod con prod ingress filtrato per IP

9.9 Misure organizzative

• Contratti di trattamento dei dati (DPA) con tutti i sub-fornitori
• Valutazione d'impatto sulla protezione dei dati (DPIA) per trattamenti a rischio elevato
• Registro dei trattamenti ai sensi dell'art. 12 nLPD / art. 30 GDPR
• Obbligo di riservatezza e formazione annuale di tutti i collaboratori
• Background check per persone con accesso ai dati produttivi
• Procedura scritta di incident response — notifica il più rapidamente possibile (art. 24 nLPD); in caso di rilevanza UE in aggiunta entro 72 ore (GDPR art. 33)

Ulteriori dettagli e changelog vedi pagina sicurezza all'indirizzo /it-ch/sicherheit.

10. Conservazione e cancellazione

Decorso il termine di conservazione i dati vengono cancellati o anonimizzati in modo affidabile. Se obblighi legali o contrattuali si oppongono alla cancellazione, l'ulteriore trattamento viene bloccato.

11. Diritti delle persone interessate

Ha in particolare i seguenti diritti:

• Informazione (art. 25 nLPD / art. 15 GDPR) — La informiamo entro 30 giorni sui dati che trattiamo nei Suoi confronti.
• Rettifica di dati inesatti (art. 32 cpv. 1 nLPD / art. 16 GDPR).
• Cancellazione di dati non più necessari o trattati illecitamente (art. 32 cpv. 2 lett. c nLPD / art. 17 GDPR).
• Limitazione del trattamento in caso di contestazione sull'esattezza o liceità (art. 18 GDPR).
• Portabilità dei dati — consegna in un formato comune leggibile da macchina (art. 28 nLPD / art. 20 GDPR).
• Opposizione ai trattamenti fondati su interesse preponderante e revoca in qualsiasi momento dei consensi prestati con effetto per il futuro.
• Reclamo presso l'autorità di vigilanza competente (cifra 13).

Per esercitare i Suoi diritti ci contatta all'indirizzo datenschutz@sothura.ch. Per prevenire l'uso abusivo dell'identità ci riserviamo di richiedere prima dell'informazione un'idonea prova di identità.

Se la Sua richiesta riguarda dati di mandanti che un cliente ha immesso nella Piattaforma in qualità di titolare, inoltriamo la Sua richiesta al cliente competente o La invitiamo a rivolgersi direttamente al medesimo.

12. Cookie, tracking e analisi del sito web

12.1 Cookie tecnicamente necessari e storage locale

Utilizziamo cookie di sessione tecnicamente necessari per autenticazione, sicurezza (protezione CSRF) e load balancing. Tali cookie non richiedono consenso (art. 45c LTC/analogo, art. 25 cpv. 2 TTDSG per DE). Inoltre salviamo nel localStorage del Suo browser il Suo consenso ai cookie nonché un identificativo visitatore generato casualmente, senza riferimento all'account, per ricordare la Sua scelta nelle visite successive.

12.2 Statistiche di utilizzo con PostHog (soggette a consenso)

Con il Suo consenso utilizziamo PostHog, uno strumento di analisi del prodotto gestito da PostHog Inc. Utilizziamo la EU-Cloud-Instance (hosting a Francoforte, Germania) e raccogliamo esclusivamente pageview e interazioni anonimizzate per comprendere l'utilizzo della Piattaforma e migliorare il prodotto. Non utilizziamo PostHog per pubblicità, cross-site tracking o profilazione ai sensi dell'art. 5 lett. f nLPD. Le session recording sono disattivate.

12.3 Le Sue possibilità di scelta

Alla prima visita vede un cookie banner con tre opzioni: «Accetta tutti», «Solo necessari» e «Impostazioni» (per una selezione individuale). Senza il Suo consenso PostHog non viene caricato — la Piattaforma continua a funzionare senza limitazioni.

Può revocare il Suo consenso in qualsiasi momento. A tal fine cancelli la voce sothura-cookie-consent nelle impostazioni del Suo storage locale del browser (DevTools → Application → Local Storage) o ci contatti all'indirizzo datenschutz@sothura.ch — La aiutiamo volentieri. Un pulsante centrale di revoca nel footer è in preparazione.

Per ogni consenso teniamo una voce di audit anonimizzata (ID visitatore, scelta, momento, IP con hash) per adempiere al nostro obbligo di prova ai sensi dell'art. 12 nLPD ovvero dell'art. 7 par. 1 GDPR.

12.4 Rinuncia ad ulteriori tracker

Rinunciamo consapevolmente a tracker di marketing e cookie pubblicitari. Costituisce eccezione Cloudflare Turnstile, che impieghiamo come protezione anti-bot tecnicamente necessaria nei nostri formulari pubblici (dettagli vedi cifra 12.5). Qualora introducessimo ulteriori servizi soggetti a consenso, amplieremo il consent banner di conseguenza e La inviteremo nuovamente al consenso.

12.5 Cloudflare Turnstile (protezione anti-bot, tecnicamente necessaria)

Sui formulari pubblici (ad es. la registrazione alla lista d'attesa di questa pagina) impieghiamo Cloudflare Turnstile, una protezione anti-bot senza captcha di Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA).

13. Autorità di vigilanza

Le autorità di vigilanza competenti per le persone interessate sono in particolare:

• Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna — www.edoeb.admin.ch
• UE/SEE: l'autorità di protezione dei dati del Suo Stato di residenza o del luogo della presunta violazione.

14. Incidenti di sicurezza e obblighi di notifica

Gestiamo una procedura scritta di incident response. Le violazioni della sicurezza dei dati che presumibilmente comportano un rischio elevato per la personalità o i diritti fondamentali delle persone interessate vengono notificate all'IFPDT senza indugio ai sensi dell'art. 24 nLPD ovvero entro 72 ore ai sensi dell'art. 33 GDPR e — ove necessario — alle persone interessate. Ai nostri clienti in qualità di titolari notifichiamo eventi rilevanti per gli incidenti entro 72 ore.

15. Minorenni

La Piattaforma si rivolge esclusivamente a utenti professionali; non è destinata a minorenni. Non trattiamo consapevolmente dati di persone di età inferiore ai 16 anni per scopi propri.

16. Modifiche della presente informativa

Adeguiamo la presente informativa sulla protezione dei dati quando cambiano la situazione giuridica, la tecnologia o i trattamenti. La versione di volta in volta vigente è consultabile su questa pagina con indicazione della versione. Le modifiche sostanziali le comunichiamo in aggiunta via e-mail o tramite la Piattaforma.