Informativa sulla protezione dei dati

1. Panoramica e doppio ruolo

SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Svizzera (di seguito «noi», «ci», «Fornitrice»), prende sul serio la protezione dei dati personali. La presente informativa descrive quali dati personali trattiamo, per quali scopi, su quale base giuridica, per quanto tempo e con chi li condividiamo.

Nel rapporto con le nostre clienti e i nostri clienti (intermediari assicurativi, broker, pool di broker, assicuratori) agiamo in un doppio ruolo:

• Titolare (art. 5 lett. j nLPD / art. 4 n. 7 GDPR): per il trattamento dei dati delle nostre utenti e dei nostri utenti registrati (account utente, login, fatturazione, supporto, utilizzo del sito web).
• Responsabile del trattamento (art. 5 lett. k nLPD / art. 4 n. 8 GDPR): per il trattamento dei dati che i nostri clienti immettono come titolari nella Piattaforma, in particolare dati di mandanti e polizze. Tale trattamento avviene esclusivamente su istruzione del cliente sulla base di un contratto di trattamento dei dati (DPA).

2. Titolare del trattamento e contatto

SOTHURA SAFE GmbH
Wassergasse 5
4573 Lohn-Ammannsegg, Svizzera

Per le persone interessate UE/SEE accettiamo richieste tramite il suddetto indirizzo. Un rappresentante ai sensi dell'art. 27 GDPR verrà nominato e pubblicato in questo punto al superamento delle condizioni di applicazione.

3. Ambito di applicazione

La presente informativa si applica al trattamento di dati personali in relazione (i) alla visita del nostro sito web, (ii) all'utilizzo della Piattaforma SOTHURA SAFE (portali admin e cliente, mobile access, API), (iii) alla negoziazione e all'esecuzione di contratti B2B, (iv) alla comunicazione tramite i nostri canali e-mail e di appuntamenti.

Per i dati che i nostri clienti immettono nella Piattaforma in qualità di titolari, sono primariamente determinanti le rispettive informative sulla protezione dei dati del cliente verso i propri clienti finali. Trattiamo tali dati solo conformemente al DPA.

4. Categorie di dati personali trattati

4.1 Dati utente e di contatto

• Cognome, nome, indirizzo e-mail professionale, numero di telefono
• Funzione, datore di lavoro, unità organizzativa, ruolo, sede
• Dati di autenticazione: hash delle password (Argon2/bcrypt), secret 2FA, token di sessione
• Consensi, preferenze, cronologia delle comunicazioni

4.2 Dati di mandanti e consulenza (per conto dei nostri clienti)

• Dati anagrafici dei clienti finali (nome, indirizzo, data di nascita, contatto)
• Numero AVS, IBAN, dati fiscali, situazione professionale e familiare
• Polizze assicurative, certificati di previdenza, storico sinistri, offerte
• Verbali di consulenza, profili di rischio, analisi del fabbisogno, documentazioni di consulenza (art. 45 LSA)
• Documenti caricati e relativi contenuti estratti

Tra i dati trattati possono rientrare dati personali particolarmente meritevoli di protezione ai sensi dell'art. 5 lett. c nLPD ovvero categorie particolari ai sensi dell'art. 9 GDPR (tra l'altro dati sanitari nell'indennità giornaliera per malattia e nelle assicurazioni sulla vita). Trattiamo tali dati solo sulla base di un DPA valido e con le misure di sicurezza descritte alla cifra 9.

4.3 Dati di utilizzo e tecnici

• Indirizzo IP, user agent, informazioni su dispositivo e browser
• Log di accesso e attività (timestamp, azioni, endpoint)
• Telemetria di performance ed errori per la stabilizzazione della Piattaforma

4.4 Dati di fatturazione e contrattuali

• Azienda, indirizzo, IDI, numero IVA, dati di pagamento
• Fatture, cronologia di sollecito e comunicazione

4.5 Dati di elaborazione IA

• Contenuti dei documenti caricati per l'analisi
• Cronologie di prompt, risposte del modello, feedback errori per il controllo qualità
• Nessun utilizzo di dati identificabili dei clienti per l'addestramento di modelli IA

5. Scopi e basi giuridiche

6. Trattamento IA e decisioni automatizzate individuali

La Piattaforma utilizza intelligenza artificiale per estrarre documenti, calcolare confronti tra polizze, valutare coperture, supportare consulenze e consentire controlli di compliance.

Nessuna decisione autonoma con effetto giuridico. Tutti gli output IA sono supporto decisionale per le consulenti e i consulenti dei nostri clienti. È esclusivamente il consulente a prendere la decisione tecnica verso il cliente finale e a portare la responsabilità regolamentare (art. 3 LCA, art. 45 LSA). Una decisione individuale automatizzata ai sensi dell'art. 21 nLPD ovvero dell'art. 22 GDPR non avviene.

Trattamento da parte di servizi IA. Per l'analisi di documenti e questioni tecniche impieghiamo modelli linguistici operati esclusivamente in centri dati situati in Svizzera e nell'Unione europea. La base giuridica è il trattamento su incarico ai sensi dell'art. 9 nLPD. I contenuti vengono elaborati in modo volatile e non vengono conservati presso il fornitore dei modelli, nemmeno ai fini del controllo degli abusi. L'addestramento dei modelli sui Suoi dati e qualsiasi presa visione da parte del personale del fornitore sono esclusi contrattualmente. Le categorie dei sub-fornitori IA sono elencate nella pagina sub-fornitori.

7. Categorie di destinatari e sub-fornitori

Trasmettiamo dati personali alle seguenti categorie di destinatari, ciascuno solo nella misura necessaria e sulla base di garanzie contrattuali:

• Provider cloud e di infrastruttura per hosting, database, storage e gestione chiavi. Centri dati in Svizzera
• Servizi IA per l'analisi di contenuti: Svizzera e UE, senza addestramento su dati dei clienti
• Protezione della rete per proteggere la Piattaforma dagli attacchi: dati di connessione, contenuti solo in modo volatile nella memoria di lavoro; nodo di rete più vicino, per la Svizzera di regola Zurigo o Ginevra
• Provider di e-mail e transazionali per comunicazioni di registrazione, notifica e supporto
• Servizi di pagamento e contabilità per pagamento con carta, fatturazione e sollecito
• Strumenti di monitoraggio, logging e supporto per garantire l'esercizio
• Partner di integrazione, solo se l'integrazione è attivata dal cliente (ad es. Microsoft 365 o servizi office e di collaborazione comparabili)
• Detentori del segreto professionale (avvocate, consulenti fiscali, auditor, assicuratori) e autorità, ove richiesto dalla legge
• Successori giuridici in caso di ristrutturazione, fusione, scissione o transazione aziendale

Le categorie dei sub-fornitori sono riportate nella pagina sub-fornitori; l'elenco nominativo è parte integrante del contratto di trattamento dei dati. Annunciamo i cambi in anticipo.

Una trasmissione a fini pubblicitari a terzi non vincolati contrattualmente non avviene.

Suggerimenti di indirizzi. La ricerca di indirizzi della piattaforma propone indirizzi tratti dall'elenco ufficiale degli indirizzi degli edifici dell'Ufficio federale di topografia swisstopo (fonte: swisstopo, Elenco ufficiale degli indirizzi degli edifici). Conserviamo una copia propria di questo elenco nella nostra banca dati a Zurigo e la aggiorniamo ogni settimana. Gli indirizzi digitati non vengono trasmessi a terzi.

8. Trasferimento di dati all'estero

La conservazione primaria dei dati e il database dei clienti si trovano in Svizzera. L'elaborazione IA avviene esclusivamente in centri dati situati in Svizzera e nell'Unione europea. Singoli altri sotto-servizi (in particolare e-mail, supporto, monitoraggio, protezione della rete) vengono erogati in Stati UE/SEE o, in casi eccezionali motivati, in Stati terzi quali gli USA.

In caso di trasmissione in Stati senza adeguato livello di protezione assicuriamo la protezione mediante:

• Clausole contrattuali tipo UE (SCC) nella versione di volta in volta vigente, integrate dalle precisazioni svizzere riconosciute dall'IFPDT;
• misure tecniche aggiuntive (crittografia nello storage e in transito, crittografia a livello di campo per dati degni di particolare protezione, sovranità propria delle chiavi);
• misure organizzative (controlli di accesso, audit log);
• transfer impact assessment, ove indicati.

In caso di richieste di autorità statali di Stati terzi alla consegna di dati, esaminiamo ogni disposizione sotto il profilo dell'ammissibilità giuridica e informiamo, nella misura giuridicamente ammessa, il cliente interessato.

La prenotazione di appuntamenti sul nostro sito web rimanda tramite un link a Calendly, un fornitore esterno con sede negli USA; ai dati che vi inserite si applicano le sue disposizioni sulla protezione dei dati.

9. Misure tecniche e organizzative (TOM)

La Fornitrice attua, sotto la guida tecnica del Head of Security & Infrastructure, un dispositivo di sicurezza multilivello. Le basi sono la nLPD, il GDPR, le pertinenti circolari FINMA sul rischio operativo nonché gli standard riconosciuti. L'infrastruttura cloud sottostante è gestita in centri dati certificati ISO/IEC 27001 e SOC 2 Type II; la Fornitrice si orienta a tali standard nonché al NIST Cybersecurity Framework.

9.1 Crittografia

• Crittografia AES-256 dei dati a riposo («at rest»)
• Crittografia TLS 1.2+ dei dati trasmessi («in transit»), HSTS, Perfect Forward Secrecy
• Chiavi di crittografia proprie con gestione basata su hardware; possibilità di cancellazione crittografica mediante revoca della chiave
• Client-Side Field Level Encryption (CSFLE) per i campi particolarmente meritevoli di protezione (numero AVS, data di nascita, numero di polizza, numeri di sinistro)
• Rotazione regolare delle chiavi; separazione tra gestione dei dati e gestione delle chiavi

9.2 Sicurezza di rete e infrastruttura

• Private networking (isolamento di rete, endpoint privati). Nessun endpoint DB pubblico
• IP NAT cloud statico per le connessioni in uscita, allowlist IP sulle interfacce critiche
• Service account separati con least-privilege per app, analytics e backup
• Web application firewall e rate-limiting su ingress

9.3 Autenticazione e autorizzazione

• Stretta separazione tra admin-auth e portal-auth (nessuna superficie di sessione comune)
• Autenticazione a più fattori (MFA) per tutti i collaboratori della Fornitrice
• Controllo degli accessi basato sui ruoli (RBAC) secondo il principio del least-privilege
• Rotazione delle sessioni, cookie HTTP-only impostati lato server (token non nello storage del browser)
• Signed URL con validità massima di 15 minuti per i caricamenti di file

9.4 Separazione dei mandanti (multi-tenant isolation)

• Stretta separazione logica dei dati dei clienti a livello di database («tenant scoping»)
• Principio fail-closed: in assenza del contesto tenant non vengono restituiti dati
• Gli accessi cross-tenant vengono sistematicamente impediti tramite test di integrazione e E2E

9.5 Catalogo vincolante di security gate (SG-001 a SG-009)

Ogni modifica del prodotto viene verificata, prima della messa in esercizio, contro il seguente catalogo di gate; la prova viene documentata a prova di revisione:

9.6 Audit, logging e monitoraggio

• Audit log a prova di revisione, immutabili, con conservazione fino a 10 anni
• Log di accessi, admin e prompt IA con timestamp e identità dell'attore
• Monitoraggio 24/7 e allerta basata su anomalie

9.7 Backup, ripristino, resilienza

• Continuous backup con point-in-time recovery in centri dati svizzeri
• Bucket di storage versionati («ransomware-resistenti»)
• Procedure di ripristino e disaster recovery documentate

9.8 Procedura sicura di sviluppo e deploy

• Obbligo di code review e quattro occhi per modifiche rilevanti per la produzione
• Monitoraggio delle dipendenze, scansioni automatizzate di vulnerabilità, patch management
• Gestione dei secret tramite cloud keyvault, nessun secret nel codice sorgente
• Ambienti separati Dev/Staging/Prod con prod ingress filtrato per IP

9.9 Misure organizzative

• Contratti di trattamento dei dati (DPA) con tutti i sub-fornitori
• Valutazione d'impatto sulla protezione dei dati (DPIA) per trattamenti a rischio elevato
• Registro dei trattamenti ai sensi dell'art. 12 nLPD / art. 30 GDPR
• Obbligo di riservatezza e formazione annuale di tutti i collaboratori
• Background check per persone con accesso ai dati produttivi
• Procedura scritta di incident response, notifica il più rapidamente possibile (art. 24 nLPD); in caso di rilevanza UE in aggiunta entro 72 ore (GDPR art. 33)

Ulteriori dettagli e changelog vedi pagina sicurezza all'indirizzo /it-ch/sicherheit.

10. Conservazione e cancellazione

Decorso il termine di conservazione i dati vengono cancellati o anonimizzati in modo affidabile. Se obblighi legali o contrattuali si oppongono alla cancellazione, l'ulteriore trattamento viene bloccato.

11. Diritti delle persone interessate

Ha in particolare i seguenti diritti:

• Informazione (art. 25 nLPD / art. 15 GDPR): La informiamo entro 30 giorni sui dati che trattiamo nei Suoi confronti.
• Rettifica di dati inesatti (art. 32 cpv. 1 nLPD / art. 16 GDPR).
• Cancellazione di dati non più necessari o trattati illecitamente (art. 32 cpv. 2 lett. c nLPD / art. 17 GDPR).
• Limitazione del trattamento in caso di contestazione sull'esattezza o liceità (art. 18 GDPR).
• Portabilità dei dati, consegna in un formato comune leggibile da macchina (art. 28 nLPD / art. 20 GDPR).
• Opposizione ai trattamenti fondati su interesse preponderante e revoca in qualsiasi momento dei consensi prestati con effetto per il futuro.
• Reclamo presso l'autorità di vigilanza competente (cifra 13).

Per esercitare i Suoi diritti ci contatta all'indirizzo datenschutz [at] sothura [dot] com. Per prevenire l'uso abusivo dell'identità ci riserviamo di richiedere prima dell'informazione un'idonea prova di identità.

Se la Sua richiesta riguarda dati di mandanti che un cliente ha immesso nella Piattaforma in qualità di titolare, inoltriamo la Sua richiesta al cliente competente o La invitiamo a rivolgersi direttamente al medesimo.

12. Cookie e tracking

12.1 Cookie tecnicamente necessari

Utilizziamo cookie di sessione tecnicamente necessari per autenticazione, sicurezza (protezione CSRF) e load balancing. Tali cookie non richiedono consenso (art. 45c LTC/analogo, art. 25 cpv. 2 TTDSG per DE).

12.2 Nessun cookie soggetto a consenso

Rinunciamo consapevolmente a tracker di marketing, cookie pubblicitari e misurazione dell'audience. Non impieghiamo quindi alcun servizio soggetto a consenso e non raccogliamo alcun consenso per i cookie — per questo non vede alcun cookie banner. Unica eccezione a tale riserbo è Cloudflare Turnstile, che impieghiamo come protezione anti-bot tecnicamente necessaria nei nostri formulari pubblici (dettagli vedi cifra 12.3). Si fonda sul nostro interesse preponderante alla sicurezza e alla funzionalità dei nostri servizi (art. 31 cpv. 1 lett. d nLPD, art. 6 par. 1 lett. f GDPR), non sul Suo consenso. Qualora in futuro introducessimo servizi soggetti a consenso, La informeremo previamente e raccoglieremo il Suo consenso.

12.3 Cloudflare Turnstile (protezione anti-bot, tecnicamente necessaria)

Sui formulari pubblici (ad es. la registrazione alla lista d'attesa di questa pagina) impieghiamo Cloudflare Turnstile, una protezione anti-bot senza captcha di Cloudflare, Inc. (101 Townsend St, San Francisco, CA 94107, USA).

13. Autorità di vigilanza

Le autorità di vigilanza competenti per le persone interessate sono in particolare:

• Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna. www.edoeb.admin.ch
• UE/SEE: l'autorità di protezione dei dati del Suo Stato di residenza o del luogo della presunta violazione.

14. Incidenti di sicurezza e obblighi di notifica

Gestiamo una procedura scritta di incident response. Le violazioni della sicurezza dei dati che presumibilmente comportano un rischio elevato per la personalità o i diritti fondamentali delle persone interessate vengono notificate all'IFPDT senza indugio ai sensi dell'art. 24 nLPD ovvero entro 72 ore ai sensi dell'art. 33 GDPR e, ove necessario, alle persone interessate. Ai nostri clienti in qualità di titolari notifichiamo eventi rilevanti per gli incidenti entro 72 ore.

15. Minorenni

La Piattaforma si rivolge esclusivamente a utenti professionali; non è destinata a minorenni. Non trattiamo consapevolmente dati di persone di età inferiore ai 16 anni per scopi propri.

16. Modifiche della presente informativa

Adeguiamo la presente informativa sulla protezione dei dati quando cambiano la situazione giuridica, la tecnologia o i trattamenti. La versione di volta in volta vigente è consultabile su questa pagina con indicazione della versione. Le modifiche sostanziali le comunichiamo in aggiunta via e-mail o tramite la Piattaforma.

17. Componente aggiuntivo Outlook

Per l'utilizzo in Microsoft Outlook mettiamo a disposizione un componente aggiuntivo Outlook (add-in). In tale contesto trattiamo i seguenti dati personali:

• Il componente aggiuntivo viene eseguito all'interno di Microsoft Outlook e si attiva esclusivamente tramite un'azione deliberata dell'utente
• A seguito di tale azione, elabora il contenuto dell'e-mail aperta e i relativi allegati per archiviarli nel dossier cliente sulla Piattaforma
• L'accesso al componente aggiuntivo avviene tramite l'account Microsoft dell'utente (Microsoft Entra ID); riceviamo in tale contesto i dati dell'account trasmessi per l'accesso
• L'associazione del componente aggiuntivo all'account del portale confronta l'indirizzo di accesso dell'account Microsoft con un account del portale; se l'attribuzione è univoca, l'associazione avviene automaticamente, altrimenti è necessario un codice di associazione monouso, generato dall'utente nel portale e inserito nel componente aggiuntivo

Archiviazione al 100 % in Svizzera; l'analisi IA avviene in centri dati situati in Svizzera e nell'Unione europea — archiviazione e analisi quindi esclusivamente in Svizzera e nell'UE.

Ai dati trattati tramite il componente aggiuntivo si applicano le stesse finalità, basi giuridiche e misure di sicurezza previste per il resto della Piattaforma (cifra 4–9).