Panoramica delle categorie di sub-processors ai sensi dell'art. 28 par. 2 e 3 GDPR e dell'art. 9 cpv. 3 nLPD · Stand: 2026-10-02
Per l'esercizio della Piattaforma la Fornitrice impiega sub-processors. Questa pagina riporta le categorie degli attuali sub-responsabili del trattamento con scopo, tipi di dati, luogo del trattamento e base contrattuale. L'elenco nominativo dei sub-processors è parte integrante del contratto di trattamento dei dati. La pagina viene aggiornata in caso di modifiche; i clienti possono sollevare obiezioni motivate ai sensi della cifra 15 delle CGC entro 30 giorni.
| Categoria | Scopo | Dati | Luogo | Base contrattuale |
|---|---|---|---|---|
| Centro di calcolo, applicazione e archivio file | Esercizio dell'applicazione (potenza di calcolo) e archivio file, oscuramento dei dati personali prima del deposito nell'audit trail immodificabile | Dati operativi della Piattaforma, file depositati, audit log | Svizzera | Contratto di trattamento dei dati (DPA) con il fornitore, in vigore |
| Custodia delle chiavi | Gestione chiavi (la sovranità sulle chiavi resta presso la Fornitrice) | Materiale delle chiavi | Svizzera | Contratto di trattamento dei dati (DPA) con il fornitore, in vigore |
| Database | Hosting database | Dati operativi, dati cifrati a livello di campo, audit trail | Svizzera | Contratto di trattamento dei dati (DPA) con il fornitore |
| Potenza di calcolo IA | Analisi IA di documenti | Documenti trasmessi per l'analisi IA | UE | Contratto di trattamento dei dati (DPA) con il fornitore, in vigore |
| Invio e-mail | Invio e-mail transazionali | Notifiche di sistema, e-mail di login, report | UE | Contratto di trattamento dei dati (DPA) con il fornitore |
| Protezione della rete | Protezione dagli attacchi, inclusa la protezione dei formulari (login, registrazione, formulari di contatto) | Dati di connessione; contenuti solo in modo transitorio nella memoria di lavoro | Nodo di rete più vicino, per la Svizzera di regola Zurigo o Ginevra | Contratto di trattamento dei dati (DPA) con il fornitore |
| Collegamento al sistema di posta elettronica e calendario del cliente | Solo nella misura in cui il cliente utilizza il collegamento: emissione e verifica dei token di accesso per il componente aggiuntivo di Outlook. Se il cliente attiva l'integrazione, in aggiunta sincronizzazione di calendario ed e-mail con la postazione di lavoro del cliente (Microsoft 365). Per il contenuto di un'e-mail che il consulente apre nel componente aggiuntivo, il fornitore del sistema del cliente non è sub-processor della Fornitrice: quel contenuto si trova nel tenant del cliente presso Microsoft 365, per il quale il cliente ha un proprio contratto con tale fornitore | Token di accesso; se l'integrazione è attivata, appuntamenti, messaggi e relativi allegati | Servizio di accesso del sistema del cliente, raggiungibile a livello globale; lo spazio dati segue il tenant del cliente. Per la sincronizzazione, lo spazio dati dell'ambiente che il cliente gestisce presso Microsoft 365 | Addendum sulla protezione dei dati del fornitore (Data Protection Addendum); parte contraente e deposito in corso di registrazione |
I dati operativi della Piattaforma (database, archivio file, audit log) sono conservati in Svizzera. La potenza di calcolo IA è fornita in centri di calcolo nell'UE; la categoria è elencata nella tabella sopra. L'invio e-mail avviene tramite un fornitore nell'UE. La protezione della rete opera nel nodo di rete più vicino, per la Svizzera di regola Zurigo o Ginevra; tratta i dati di connessione, i contenuti solo in modo transitorio nella memoria di lavoro. Per ricerche generali su mercato e notizie la Piattaforma utilizza una ricerca in Internet. I dati dei clienti e dei documenti non vengono trasmessi alla ricerca. La sincronizzazione di calendario ed e-mail con Microsoft 365 funziona solo se il cliente attiva l'integrazione. Il trattamento avviene allora nell'ambiente di lavoro gestito dal cliente; è il cliente a determinarne lo spazio dati con la propria configurazione. Per il componente aggiuntivo di Outlook, il servizio di accesso del sistema del cliente emette i token di accesso; il contenuto di un'e-mail aperta nel componente aggiuntivo resta nel tenant del cliente presso Microsoft 365 finché il consulente non lo deposita nella piattaforma. Per eventuali trasferimenti in Stati terzi valgono le clausole contrattuali tipo (SCC) della Commissione europea.
Con ogni sub-processor delle categorie sopra elencate sussiste un contratto di trattamento dei dati. I DPA sono archiviati nell'archivio compliance interno e vengono messi a disposizione dei clienti, su richiesta, per consultazione, nella misura contrattualmente o legalmente richiesta.
La Fornitrice informa i clienti in merito a previsti cambi o integrazioni dell'elenco dei sub-processor. Le obiezioni vanno indirizzate per iscritto a security [at] sothura [dot] com ai sensi della cifra 15 delle CGC entro 30 giorni. In caso di obiezioni fondate rilevanti per la protezione dei dati o la sicurezza, al cliente spetta un diritto di disdetta straordinario, qualora non possa essere offerta un'alternativa equivalente.
SOTHURA SAFE GmbH, Wassergasse 5, 4573 Lohn-Ammannsegg, Cantone di Soletta. Iscritta nel registro di commercio del Cantone di Soletta, IDI CHE-429.131.582. La direzione è affidata a Silvio Siegenthaler e Michel Di Vito, firma collettiva a due. L'identificazione completa del fornitore è riportata nelle note legali.