Contratto di trattamento dei dati.

01Oggetto

Il presente contratto di trattamento (di seguito « DPA ») definisce le condizioni alle quali Neolia Sàrl (di seguito il « Responsabile ») tratta, per conto del titolare del trattamento (di seguito il « Titolare »), dati personali relativi ai residenti, ai visitatori e agli utenti degli stabili dotati dei servizi Neolia.

Il DPA è un allegato inscindibile delle CGV Neolia e di ogni contratto di gestione. In caso di divergenza sul trattamento dei dati, prevale. Continua ad applicarsi finché il Responsabile tratta dati per il Titolare, anche per il servizio di base del citofono mantenuto senza fatturazione dopo la fine di un contratto di gestione o durante una sospensione per mancato pagamento.

02Ruoli e designazioni

Quattro ruoli distinti. (1) Il titolare del contratto ne è la parte commerciale e il debitore. (2) Il Titolare del trattamento decide le finalità e i mezzi dei trattamenti dei dati dei residenti; è in linea di principio il proprietario, o l'amministrazione secondo il suo mandato. (3) Le persone abilitate sono quelle che il Titolare autorizza a gestire gli occupanti nell'interfaccia di gestione. (4) Il Responsabile e i suoi sub-responsabili trattano i dati su istruzione.

• Il titolare del contratto non è, per il solo fatto di firmare o di pagare, il Titolare del trattamento. Un costruttore che finanzia il servizio, anche con mesi offerti, non ottiene per questo alcun accesso ai dati dei residenti.
• Il Titolare e le persone abilitate sono designati per iscritto prima dell'inizio dei trattamenti, in particolare prima della prima attivazione di uno stabile. Il Responsabile non crea alcun account di residente e non tratta alcun dato di residente prima di questa designazione. Il presente DPA non crea alcun mandato tra il proprietario e l'amministrazione: i loro rispettivi ruoli sono confermati da loro stessi.
• Cambio del titolare del contratto o dell'amministrazione. L'atto aggiuntivo di trasferimento conferma il Titolare e le persone abilitate. Le istruzioni in corso restano valide finché il Titolare non le modifica. Gli accessi dell'amministrazione uscente sono revocati alla data di effetto.
• Servizio di base. Dopo la fine di un contratto di gestione, il Titolare resta quello designato per ultimo, e l'amministrazione conserva un accesso amministrativo limitato alle operazioni necessarie a tale servizio (articolo 12 delle CGV).

Per i trattamenti che rientrano nell'esercizio proprio di Neolia (account dei clienti, fatturazione, statistiche d'uso aggregate, miglioramento del prodotto), Neolia agisce in qualità di titolare del trattamento distinto, secondo la propria informativa sulla privacy.

03Trattamenti, secondo i servizi sottoscritti

I trattamenti dipendono dai servizi sottoscritti. Il contratto di gestione o la sottoscrizione indica quali. L'Allegato 1 descrive ogni trattamento e la sua durata di conservazione, l'Allegato 2 i sub-responsabili di ogni gruppo.

• Necessari allo stabile connesso: instradamento delle chiamate dalla porta verso l'applicazione, un telefono ordinario o uno schermo prestato; apertura della porta e registro delle aperture; lettura dei contatori e conteggio individuale; trasmissione degli allarmi tecnici; account e notifiche dei residenti; supporto.
• Piattaforma di amministrazione, quando è sottoscritta: gestione dei contratti di locazione, dei documenti e dei messaggi, compresa l'analisi assistita dei documenti.
• Integrazioni facoltative: connettori verso servizi terzi, che non ricevono nulla finché il Titolare o il residente non li ha attivati.
• Servizi non attivati: nessun dato è trattato per un servizio che non è né sottoscritto né attivato.

La durata del trattamento corrisponde alla durata del contratto, prolungata del periodo in cui funziona il servizio di base del citofono e delle durate di conservazione dell'Allegato 1.

04Istruzioni del Titolare

Il Responsabile tratta i dati solo su istruzioni documentate del Titolare. Le CGV, il contratto di gestione, il DPA e i parametri dell'interfaccia di gestione costituiscono le istruzioni standard. Ogni istruzione supplementare è formulata per iscritto da una persona abilitata del Titolare.

Il Responsabile informa senza indugio il Titolare se ritiene che un'istruzione violi la nLPD, il RGPD se applicabile, o altre disposizioni applicabili.

05Riservatezza del personale

Il Responsabile dà accesso ai dati personali solo alle persone che ne hanno bisogno per eseguire il contratto, secondo il principio del privilegio minimo. Ciascuna è soggetta, prima del suo accesso, a un obbligo scritto di riservatezza e riceve un'istruzione scritta che descrive ciò che può consultare. L'elenco delle persone abilitate presso il Responsabile è tenuto aggiornato e comunicato al Titolare su richiesta.

06Misure tecniche e organizzative

Il Responsabile attua misure tecniche e organizzative adeguate al rischio, descritte così come esistono alla data della presente versione, limiti compresi, nell'Allegato 3 e nella carta della sicurezza. Non promette misure che non sono in atto. In particolare, la cifratura non è generalizzata: l'Allegato 3 indica ciò che è cifrato e ciò che non lo è. Ogni miglioramento è annunciato con una nuova versione del DPA.

07Sub-responsabili

Il Titolare autorizza in modo generale il ricorso ai sub-responsabili elencati nell'Allegato 2, per i servizi sottoscritti o attivati. Il Responsabile:

• impone a ogni sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente DPA;
• resta responsabile verso il Titolare dell'esecuzione di questi obblighi;
• informa il Titolare di ogni aggiunta o sostituzione con un preavviso di 30 giorni, che apre un diritto di opposizione motivata;
• indica per ciascuno, nell'Allegato 2, lo stato delle sue garanzie. Un sub-responsabile contrassegnato « da regolarizzare » non riceve dati dei residenti di uno stabile per un servizio messo in funzione dopo la presente versione, finché il suo contratto di trattamento e, se del caso, la garanzia di trasferimento non sono in essere. Quando un tale sub-responsabile serve già un servizio in funzione, l'Allegato 2 lo indica.

08Trasferimenti internazionali

I dati di gestione (account, amministrazione, stabili, appartamenti, contratti di locazione, documenti depositati, messaggi, storico delle chiamate e registro delle aperture) sono memorizzati in Svizzera, nella regione di Zurigo del fornitore di hosting della banca dati. I dati di esercizio tecnico sono trattati in Germania, a Norimberga, Paese che il Consiglio federale riconosce come dotato di una protezione adeguata: l'instradamento delle chiamate del citofono con la loro voce e immagine (non registrate), gli account telefonici degli appartamenti, l'immagine ripresa dal posto esterno, le letture dei contatori e la rete radio dei contatori, i token che permettono di inviare le notifiche ai telefoni, gli account e le foto degli installatori, i registri tecnici e una copia di backup cifrata della banca dati svizzera, fatta ogni notte e conservata 14 giorni.

Dei dati possono essere trasmessi a sub-responsabili con sede negli Stati Uniti (Allegato 2). Gli Stati Uniti sono riconosciuti adeguati solo per le organizzazioni certificate secondo lo Swiss-U.S. Data Privacy Framework (allegato 1 OPDa). Per ogni fornitore, l'Allegato 2 indica se questa certificazione o un'altra garanzia ai sensi dell'art. 16 nLPD è accertata, da confermare o assente. Il Responsabile non afferma che una garanzia esiste finché non ne ha la prova; non pseudonimizza sistematicamente prima del trasferimento: il servizio di invio delle e-mail riceve un nome e un indirizzo in chiaro, e le notifiche contengono un identificatore del dispositivo.

09Richieste delle persone interessate

Il Titolare risponde alle richieste di esercizio dei diritti (accesso, rettifica, cancellazione, consegna dei dati, opposizione). Il Responsabile lo assiste: una richiesta ricevuta a contact@neolia.ch è trasmessa al Titolare, e il Responsabile esegue le sue istruzioni entro un termine che consente al Titolare di rispondere nei termini di legge, e al più tardi entro 10 giorni lavorativi.

• Cosa fa il residente da sé. Nell'applicazione, il residente che dispone di un account esporta i suoi dati e ne chiede la cancellazione. Sono allora cancellati il suo profilo, il suo account, i suoi dispositivi registrati, il suo storico delle chiamate e le sue immagini, il suo numero di trasferimento, i suoi messaggi e i suoi documenti.
• Cosa è conservato, e perché. L'appartamento e il suo abbonamento citofonico, che appartengono al Titolare, e le letture dei consumi necessarie ai conteggi, che sono documenti del Titolare. Il Titolare decide della loro sorte secondo i propri obblighi.
• Persone senza account. Un occupante senza account, o una persona i cui dati figurano solo nella gestione del Titolare, esercita i propri diritti presso il Titolare, che dà istruzioni al Responsabile.
• Una cancellazione raggiunge le copie di backup man mano che ruotano, entro il termine dell'articolo 12.

10Violazione di dati personali

In caso di violazione dei dati riguardante il trattamento oggetto del presente DPA, il Responsabile notifica il Titolare senza ingiustificato ritardo dopo la constatazione. La notifica comprende:

• la natura della violazione, le categorie e il numero approssimativo di persone interessate;
• le conseguenze probabili della violazione;
• le misure adottate o proposte per porvi rimedio e attenuarne gli effetti.

Il Responsabile assiste il Titolare negli obblighi di notifica all'IFPDT (art. 24 nLPD) o all'autorità di controllo competente e, se del caso, alle persone interessate.

11Audit e dimostrazione della conformità

Le informazioni del presente DPA e dei suoi allegati si basano su un'analisi documentale del codice, della configurazione e della documentazione del Responsabile. Non derivano da un audit tecnico esterno, e alla data della presente versione non esiste alcun rapporto di audit esterno. Su richiesta, il Responsabile mette a disposizione del Titolare:

• il registro delle attività di trattamento svolte per il Titolare;
• la carta della sicurezza aggiornata e, se esistono, i rapporti di audit esterni, con impegno di riservatezza;
• i contratti di trattamento e le garanzie di trasferimento dei sub-responsabili di cui dispone.

Il Titolare può, a proprie spese e con un preavviso di 30 giorni, far svolgere un audit in loco o documentale da un terzo indipendente accettato dalle due parti, nel limite di un audit all'anno, salvo incidente grave.

12Fine del contratto e destino dei dati

I termini qui sotto si contano in giorni dalla fine del contratto principale:

1. Dal giorno 0 al giorno 90: lo spazio del Titolare resta accessibile in lettura. Il Titolare vi esporta da sé, gratuitamente e tutte le volte che vuole, i suoi dati in un formato strutturato e leggibile. Su richiesta scritta, il Responsabile gli consegna questa esportazione entro 30 giorni;
2. Giorno 75 e giorno 85: il Responsabile del trattamento invia al Titolare due avvisi scritti, quindici giorni e poi cinque giorni prima della cancellazione;
3. Giorno 90: il Responsabile cancella tutto ciò che tratta per conto del Titolare, dati e file. Le copie di backup scompaiono man mano che ruotano: al massimo 90 giorni dopo per i backup del Responsabile, e 7 giorni dopo per quelli del fornitore di hosting della banca dati;
4. Dopo il giorno 90: restano soltanto i documenti contabili del Responsabile, cioè le sue fatture al Titolare e i relativi giustificativi, conservati dieci anni a decorrere dalla fine dell'esercizio (art. 958f cpv. 1 CO), nonché la prova della cancellazione e il registro delle consultazioni di questo archivio (art. 8 OLC).

Un certificato di cancellazione datato è rilasciato al Titolare su richiesta.

Eccezione del servizio di base del citofono. Quando un contratto di gestione di uno stabile connesso termina, il servizio di base del citofono previsto all'articolo 12 delle CGV resta attivo. Finché funziona, il Responsabile conserva, in deroga al giorno 90, i soli dati necessari al suo funzionamento: l'elenco delle unità, gli occupanti attivi con i loro nomi di chiamata, il loro mezzo di ricezione e i loro accessi, e gli account dell'amministrazione necessari all'accesso amministrativo limitato. Il presente DPA continua ad applicarsi a questi dati, e il Responsabile li cancella all'interruzione del servizio di base del citofono.

Gli obblighi di conservazione del Titolare restano i suoi. I contratti di locazione, i conteggi e i giustificativi dei suoi stabili sono i suoi documenti contabili ai sensi dell'art. 958f CO: deve conservarli dieci anni, ed è durante questi 90 giorni che deve portarli via. Scaduto il termine, il Responsabile del trattamento non li ha più.

AllegatiAllegati del DPA

Allegato 1. Trattamenti e durate di conservazione

Durate applicate dal codice del Responsabile alla data della presente versione, salvo indicazione contraria. Nessuna di queste durate deriva da un obbligo legale proprio, eccetto i documenti contabili.

Allegato 2. Sub-responsabili

a. Necessari allo stabile connesso

b. Piattaforma di amministrazione, quando è sottoscritta

La ricerca nei documenti depositati avviene sui server svizzeri: nessun documento ne esce per essere indicizzato.

c. Integrazioni facoltative, unicamente quando il Titolare o il residente le attiva

Questi servizi non ricevono nulla finché nessuno ha collegato l'account corrispondente. Quando un account è collegato, le sue credenziali sono trasmesse al servizio affinché possa rispondere. Tutte queste integrazioni sono da regolarizzare prima di essere proposte in un nuovo stabile.

d. Servizi puntuali e servizi non attivati

e. Destinatari che non sono sub-responsabili

• Il sistema del Titolare stesso. Quando il Titolare collega il proprio software a Neolia, i messaggi dei residenti e i collegamenti alle loro foto di guasto vengono inviati all'indirizzo che ha registrato. Il Paese di destinazione è quello che ha scelto, e ne risponde lui.
• La posta e l'agenda del Titolare. Quando il Titolare collega la sua casella di posta o la sua agenda (Microsoft 365, Google, iCloud, Yahoo, Infomaniak o un altro fornitore), Neolia riceve e invia le sue e-mail e i suoi appuntamenti presso questo fornitore, che egli ha scelto e con il quale ha un proprio contratto. Per trovare il server giusto, Neolia interroga anche, con il solo nome di dominio dell'indirizzo, due servizi pubblici di risoluzione dei nomi (Cloudflare e Google) e la base di configurazione di Mozilla Thunderbird: non ricevono né l'indirizzo completo né alcun contenuto.
• Registri pubblici svizzeri. L'Ufficio federale di statistica (REA), swisstopo e Zefix ricevono l'indirizzo o la ragione sociale digitata durante una ricerca. Svizzera.
• esm.sh. Libreria di codice caricata all'esecuzione da alcune funzioni. Non riceve alcun dato personale.

Questa pagina riporta la versione aggiornata dell'elenco. Ogni aggiunta o sostituzione è notificata al Titolare con il preavviso di 30 giorni previsto all'articolo 7.

Allegato 3. Misure tecniche e organizzative

Stato rilevato nel codice e nella configurazione il 16 settembre 2026, tramite analisi documentale. Per il dettaglio, vedere la carta della sicurezza.

• Cifratura in transito: le applicazioni, la piattaforma e i siti sono serviti in HTTPS; i messaggi degli apparecchi passano in TLS. Lo schermo a parete nel browser cifra il suo audio e il suo video. La segnalazione delle chiamate e il loro flusso audio e video tra l'applicazione mobile e i server non sono cifrati a oggi.
• Cifratura a riposo: i dischi dei server di esercizio non sono cifrati. La banca dati ospitata in Svizzera è cifrata dal suo fornitore secondo le sue stesse indicazioni, che il Responsabile non ha verificato con un audit.
• Backup: giornalieri, cifrati con una chiave la cui parte privata non si trova sui server, conservati da 14 a 30 copie e al massimo 90 giorni. Restano sulla macchina che proteggono, nello stesso centro dati: nessuna copia fuori sede a oggi. Le immagini delle chiamate perse non sono incluse nei backup.
• Accesso ai server: connessione solo con chiave, autenticazione con password disattivata, due firewall indipendenti, controllo ripetuto ogni ora.
• Gestione degli accessi: privilegio minimo, registrazione, revisione delle chiavi autorizzate, registro di audit tenuto fuori dalla banca dati che lo produce.
• Sorveglianza: rilevamento delle intrusioni ogni cinque minuti, controllo dello stato e riparazione verificata ogni ora.
• Test: scansioni delle dipendenze e controlli automatici in continuo. A oggi nessun test di intrusione esterno e nessun audit tecnico esterno.
• Continuità: nessun obiettivo di ripristino espresso in cifre viene opposto finché un'esercitazione di ripristino non lo ha verificato.