Contratto di nomina del responsabile del trattamento (DPA)

§1Oggetto e durata

(1) Oggetto del presente contratto è il trattamento dei dati personali da parte di ISOCALCX nell'ambito della messa a disposizione e del funzionamento della piattaforma SaaS ISOCALCX per il titolare del trattamento. Le prestazioni concrete risultano dal contratto principale (CG e abbonamento scelto).

(2) La durata del presente contratto di nomina del responsabile del trattamento corrisponde alla durata del contratto principale e termina con la sua cessazione, fatti salvi gli obblighi di restituzione o cancellazione dei dati di cui al §10.

(3) Il luogo del trattamento si trova all'interno dell'Unione europea e in Svizzera. Fanno eccezione la valutazione IA di bandi/capitolati caricati (analisi PDF) e l'assistente «Jarvis»: a tal fine i contenuti da elaborare vengono trasmessi ad Anthropic PBC negli USA (vedi §6). Un trasferimento di dati verso paesi terzi avviene esclusivamente alle condizioni del Capo V GDPR o dell'art. 16 nLPD.

§2Natura e finalità del trattamento

(1) ISOCALCX tratta i dati personali esclusivamente ai fini dell'esecuzione contrattuale dei servizi SaaS nei confronti del titolare del trattamento. La finalità è il calcolo dell'isolamento HVAC supportato da IA a partire da computi metrici e capitolati svizzeri (CM / documenti di gara). Il trattamento comprende esclusivamente:

• estrazione e strutturazione assistite dall'IA delle posizioni di isolamento (materiale, dimensione, spessore, codice CCC, quantità) da computi metrici e capitolati che il titolare del trattamento carica attivamente tramite la piattaforma;
• archiviazione dei documenti di computo/capitolato caricati e dei dati di calcolo strutturati che ne derivano;
• confronto delle posizioni estratte con i listini caricati dal titolare del trattamento e creazione di calcoli e bozze di offerta;
• messa a disposizione dei risultati tramite interfaccia web utente, inclusa l'autenticazione degli utenti del titolare del trattamento;
• esportazione dei dati in formati di file comuni (Excel, PDF, JSON) e integrazione tramite API su richiesta separata;
• gestione dell'anagrafica clienti del titolare del trattamento nonché creazione e, su sua attivazione, invio via e-mail di fatture e solleciti ai suoi clienti;
• su attivazione da parte del titolare del trattamento: importazione di elenchi di indirizzi (Excel, CSV o PDF) da lui caricati nella sua anagrafica clienti. I file Excel e CSV e i PDF con una tabella riconoscibile vengono letti senza IA; per gli altri PDF il loro testo (per i PDF scansionati il file stesso) viene trasmesso per la lettura a un modello linguistico tramite AWS Bedrock nell'UE. Il risultato viene mostrato come anteprima e confluisce nell'anagrafica clienti solo dopo la sua conferma;
• redazione di verbali di collaudo e rapporti in economia; su richiesta i partecipanti firmano a mano sullo schermo (con il dito o il mouse). La firma viene salvata come immagine insieme al rispettivo documento e conservata e cancellata con esso; non è una firma elettronica qualificata;
• su attivazione da parte della direzione del titolare del trattamento: assistente «Jarvis», che esegue nella piattaforma le istruzioni digitate dagli utenti. A tal fine, l'istruzione, la cronologia della conversazione in corso, informazioni sulla pagina aperta, i termini aziendali confermati e i dati che l'assistente legge per l'istruzione (ad es. progetti, posizioni, clienti e persone di contatto, offerte, fatture e solleciti) vengono trasmessi a un modello linguistico (vedi §6). La lettura avviene senza conferma; ISOCALCX esegue le modifiche solo dopo la conferma dell'utente, e i passi con effetto finanziario o invio di e-mail solo dopo conferma esplicita con riepilogo. I termini che l'assistente propone come termini aziendali vengono utilizzati solo dopo la conferma della direzione e solo per il titolare del trattamento stesso;
• su configurazione da parte del titolare del trattamento: consultazione delle sue condizioni di acquisto personali (prezzi netti secondo lo standard di settore IGH ikk) presso i rivenditori da lui scelti tramite il loro webservice, con le credenziali d'accesso che egli stesso registra, oppure importazione di un file ikk da lui caricato. I prezzi confluiscono nel suo calcolo solo dopo la sua conferma.

(2) Nessun addestramento di IA con contenuti del cliente: Un trattamento per scopi propri — in particolare addestramento, fine-tuning o miglioramento di modelli di IA generativa con i contenuti caricati o inseriti dal titolare del trattamento — non avviene né presso ISOCALCX né presso i sub-responsabili indicati al §6 (in particolare AWS e Anthropic). Ciò è disciplinato dalle condizioni contrattuali dei sub-responsabili, per Anthropic in conformità con le condizioni commerciali di Anthropic.

(3) Dati di telemetria aggregati e anonimizzati (ad es. statistiche di utilizzo, metriche di prestazioni) possono essere analizzati per migliorare il servizio, purché sia totalmente esclusa qualsiasi riferibilità a una persona.

(4) Nessuna decisione individuale automatizzata con effetti giuridici: Il risultato dell'IA costituisce un supporto decisionale per il calcolo e la creazione delle offerte da parte del titolare del trattamento. Non avviene alcuna decisione automatizzata ai sensi dell'art. 22 GDPR.

§3Categorie di dati e di interessati

(1) Le categorie di interessati sono in particolare:

• collaboratori e referenti del titolare del trattamento che utilizzano il servizio o intervengono nell'esecuzione del contratto;
• terzi indicati nei computi o documenti di gara caricati (ad es. committenti, progettisti, imprese);
• clienti del titolare del trattamento e le loro persone di contatto (più d'una per cliente), che egli registra o importa nell'anagrafica clienti o ai quali indirizza offerte, fatture e solleciti;
• partecipanti al progetto che il titolare del trattamento registra nel progetto (committente, direzione lavori), nonché le persone che firmano un verbale di collaudo o un rapporto in economia.

(2) Le categorie di dati personali sono:

• dati anagrafici: nome, indirizzo e-mail aziendale, ragione sociale, funzione;
• metadati di progetto: nomi dei progetti, codici CCC, attribuzioni di mestiere, marche temporali;
• dati di contenuto: testi e strutture dei computi/capitolati caricati, nella misura in cui contengano informazioni personali;
• dati di utilizzo: orari di accesso, indirizzi IP (solo a fini di sicurezza, conservazione 30 giorni), log di audit;
• dati dei clienti del titolare del trattamento: ditta o nome, indirizzo e indirizzo di fatturazione, indirizzo e-mail, telefono, lingua di corrispondenza, note; per ogni cliente più persone di contatto con appellativo, nome e cognome, funzione, indirizzo e-mail, telefono, cellulare, nota e contrassegni (contatto principale, fatture, copia, inattivo);
• partecipanti al progetto (facoltativo): committente con nome e indirizzo, direzione lavori con ditta, persona, telefono e indirizzo e-mail;
• firme autografe: immagine della firma con nome e funzione del firmatario, data e momento dell'acquisizione;
• registro dell'assistente «Jarvis» (solo se attivato): istruzioni e risposte, cronologia delle conversazioni, passi preparati ed eseguiti con momento e persone che li hanno avviati e confermati, valutazioni delle risposte, elenco degli errori e termini aziendali;
• credenziali d'accesso dei rivenditori (solo se configurate): nome utente, password e numero cliente per il webservice delle condizioni di un rivenditore nonché il registro delle consultazioni dei prezzi (momento, persona che le ha avviate, esito).

(3) Le categorie particolari di dati personali ai sensi dell'art. 9 GDPR o dell'art. 5 lett. c nLPD non sono oggetto del trattamento; il titolare del trattamento garantisce che tali dati non vengano caricati.

§4Potere di istruzione del titolare del trattamento

(1) ISOCALCX tratta i dati esclusivamente sulla base di istruzioni documentate del titolare del trattamento. Il presente contratto, le CG nonché le istruzioni fornite tramite la configurazione e l'utilizzo della piattaforma costituiscono istruzioni.

(2) Le istruzioni individuali orali o testuali devono essere confermate senza indugio dal titolare del trattamento in forma scritta (è sufficiente l'e-mail).

(3) ISOCALCX informa senza indugio il titolare del trattamento qualora, a suo avviso, un'istruzione violi il diritto applicabile in materia di protezione dei dati. È autorizzata a sospendere l'esecuzione di tale istruzione fino al chiarimento.

§5Misure tecniche e organizzative (TOM)

ISOCALCX adotta le seguenti misure tecniche e organizzative per garantire un livello di protezione adeguato al rischio ai sensi dell'art. 32 GDPR o dell'art. 8 nLPD:

§6Sub-responsabili

(1) Il titolare del trattamento concede a ISOCALCX l'autorizzazione generale a ricorrere ad altri responsabili del trattamento (sub-responsabili). I sub-responsabili attualmente incaricati sono:

(2) ISOCALCX informa il titolare del trattamento, in forma scritta e con un preavviso minimo di 30 giorni prima dell'efficacia, delle modifiche previste in merito al ricorso o alla sostituzione di altri responsabili del trattamento. Il titolare del trattamento può opporsi alla modifica entro tale termine per un motivo importante in materia di protezione dei dati.

(3) ISOCALCX impegna per iscritto i propri sub-responsabili a un livello di protezione dei dati equivalente a quello del presente contratto.

(4) I rivenditori presso i quali il titolare del trattamento consulta le proprie condizioni di acquisto (ad es. ISO-CENTER AG o Debrunner Acifer) non sono sub-responsabili di ISOCALCX, bensì controparti contrattuali del titolare del trattamento. ISOCALCX trasmette loro, su istruzione di quest'ultimo, soltanto le credenziali d'accesso da lui registrate per l'autenticazione e riceve le condizioni. Per il trattamento presso il rivenditore valgono gli accordi tra il titolare del trattamento e il rivenditore.

§7Diritti degli interessati

(1) ISOCALCX assiste il titolare del trattamento con misure tecniche e organizzative adeguate nell'adempimento del suo obbligo di rispondere alle richieste degli interessati, in particolare di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati (artt. 15–22 GDPR, artt. 25–28 nLPD).

(2) Se un interessato si rivolge direttamente a ISOCALCX con tale richiesta, questa la inoltra senza indugio al titolare del trattamento e vi risponde direttamente solo nella misura in cui ciò sia concordato o richiesto dalla legge.

(3) Le spese di assistenza che superino la misura usuale possono essere fatturate da ISOCALCX in base al tempo impiegato.

§8Obblighi di notifica in caso di violazione

(1) ISOCALCX notifica al titolare del trattamento, in forma scritta, qualsiasi violazione della protezione dei dati personali senza indugio, al più tardi entro 72 ore dalla conoscenza.

(2) La notifica contiene almeno, nella misura in cui sono disponibili:

• una descrizione della natura della violazione, nonché delle categorie e del numero approssimativo di interessati e di registrazioni di dati coinvolti;
• il nome e i dati di contatto della persona competente in ISOCALCX;
• una descrizione delle probabili conseguenze e delle misure adottate o proposte per porre rimedio alla violazione e attenuarne i possibili effetti.

(3) ISOCALCX assiste il titolare del trattamento nell'adempimento dei suoi obblighi di notifica nei confronti delle autorità di controllo (art. 33 GDPR, art. 24 nLPD) e degli interessati (art. 34 GDPR).

§9Diritti di controllo del titolare del trattamento

(1) Il titolare del trattamento ha il diritto di verificare una volta all'anno, mediante un audit, il rispetto delle misure di protezione dei dati e di sicurezza concordate. L'audit avviene previa comunicazione con un preavviso ragionevole (almeno 30 giorni), durante i normali orari di lavoro e senza interruzione dell'operatività.

(2) I costi dell'audit sono a carico del titolare del trattamento; le spese proprie di ISOCALCX per l'accompagnamento e la preparazione possono essere fatturate ai tassi usuali del settore.

(3) La presentazione di certificati attuali in materia di sicurezza o protezione dei dati (in particolare ISO/IEC 27001, SOC 2 Tipo II) o di rapporti di audit equivalenti sostituisce un audit proprio, nella misura in cui essi coprano integralmente l'oggetto della verifica.

§10Cessazione dell'incarico

(1) Dopo la cessazione del contratto principale, ISOCALCX restituisce, a scelta del titolare del trattamento, tutti i dati personali trattati per suo conto, oppure li cancella dai sistemi produttivi senza indugio e comunque entro 30 giorni.

(2) Le copie di sicurezza non vengono ripulite singolarmente, ma scadono: ogni backup viene cancellato e sovrascritto automaticamente al più tardi 30 giorni dopo la sua creazione. Entro tale termine i backup sono utilizzati esclusivamente per il ripristino in caso di guasto e per nessun altro scopo. Se è necessario ripristinare un backup, la cancellazione viene eseguita nuovamente subito dopo il ripristino.

(3) Nella misura in cui obblighi legali di conservazione si oppongano a una cancellazione immediata, l'ulteriore trattamento è limitato al minimo richiesto dalla legge e viene effettuato senza indugio non appena viene meno il motivo della conservazione.

(4) ISOCALCX conferma per iscritto al titolare del trattamento, su richiesta, la corretta restituzione o cancellazione.

(5) ISOCALCX cancella immediatamente le credenziali d'accesso dei rivenditori memorizzate se il titolare del trattamento rimuove l'accesso o disdice il modulo, e altrimenti nella successiva esecuzione giornaliera di pulizia, non appena non sussiste più un abbonamento attivo. I registri delle consultazioni dei prezzi vengono cancellati 12 mesi dopo la consultazione.