1. Titolare del trattamento
Il responsabile del trattamento dei dati su questa piattaforma è:
2. Campo di applicazione
La presente informativa sulla protezione dei dati si applica all’utilizzo della piattaforma ISOCALCX (di seguito «piattaforma»), una soluzione SaaS basata su cloud per l’analisi e il calcolo assistiti da IA di progetti di isolamento nel settore HVAC (riscaldamento, ventilazione, climatizzazione, sanitario).
3. Base giuridica
Il trattamento dei dati personali avviene sulla base della legge federale svizzera sulla protezione dei dati (LPD, rivista al 1° settembre 2023). Nella misura in cui sono interessati dati di persone dello SEE, rispettiamo inoltre i requisiti del regolamento generale sulla protezione dei dati dell’UE (RGPD).
Le basi giuridiche per il trattamento dei dati sono:
- Esecuzione del contratto: Trattamento per l’esecuzione del contratto di utilizzo (art. 31 cpv. 2 lett. a LPD)
- Consenso: Per trattamenti di dati facoltativi come i cookie statistici (art. 31 cpv. 1 LPD)
- Interesse preponderante: Per il miglioramento e la sicurezza della piattaforma (art. 31 cpv. 2 lett. a LPD)
4. Dati raccolti
4.1 Dati di contatto e di accesso
- Nome, indirizzo e-mail, nome dell’azienda
- Informazioni di accesso (password crittografate)
- Impostazioni della lingua e preferenze utente
4.2 Dati di progetto
- Documenti PDF caricati (capitolati)
- Posizioni estratte dal capitolato (materiali, quantitĂ , dimensioni)
- Dati sui prezzi e calcoli
- Offerte generate
- Anagrafica clienti: nomi, indirizzi, indirizzi e-mail, numeri di telefono e lingua di corrispondenza dei vostri clienti, più persone di contatto per cliente (appellativo, nome e cognome, funzione, e-mail, telefono, cellulare, nota) nonché fatture e solleciti
- Partecipanti al progetto, se li registrate: committente (nome, indirizzo) e direzione lavori (ditta, persona, telefono, e-mail)
- Firme autografe su verbali di collaudo e rapporti in economia, se acquisite sullo schermo: immagine della firma con nome, funzione e data. La firma viene conservata e cancellata insieme al rispettivo documento e non è una firma elettronica qualificata
- Assistente «Jarvis» (solo se la direzione della vostra azienda lo attiva): le vostre istruzioni e le risposte, cronologia delle conversazioni, passi preparati ed eseguiti, valutazioni, elenco degli errori e termini aziendali
- Credenziali d’accesso dei rivenditori (solo se le configurate): nome utente, password e numero cliente per il webservice dei prezzi del vostro rivenditore, memorizzati in forma cifrata
4.3 Dati tecnici
- Indirizzo IP, tipo di browser, informazioni sul dispositivo
- Ora di accesso e pagine visitate
- Segnalazioni di errori (Sentry, solo con consenso)
5. FinalitĂ del trattamento
I vostri dati vengono trattati per le seguenti finalitĂ :
- Fornitura e gestione della piattaforma di calcolo assistita da IA
- Analisi IA dei vostri capitolati per l’estrazione delle posizioni
- Calcolo dei prezzi e generazione delle offerte
- Consultazione dei vostri prezzi di acquisto personali presso i vostri rivenditori (IGH ikk), se configurate un accesso rivenditore
- Invio di fatture e solleciti ai vostri clienti, se lo avviate
- Importazione di elenchi di indirizzi (Excel, CSV o PDF) nella vostra anagrafica clienti, se caricate un file
- Esecuzione delle vostre istruzioni digitate da parte dell’assistente «Jarvis», se la direzione della vostra azienda lo ha attivato
- Acquisizione di firme autografe su verbali di collaudo e rapporti in economia
- Gestione degli account utente e autenticazione
- Supporto tecnico e comunicazione
- Miglioramento e sviluppo della piattaforma
- Fatturazione ed elaborazione dei pagamenti
6. Trattamento mediante IA
ISOCALCX utilizza l’intelligenza artificiale (IA) per analizzare automaticamente i capitolati ed estrarre le posizioni di isolamento. Si applicano le seguenti regole:
- Luogo di trattamento: La valutazione IA di bandi/capitolati caricati (analisi PDF) e l’assistente «Jarvis» sono gestiti da Anthropic PBC negli Stati Uniti (vedi cifra 8). L’assistente chat/supporto, la valutazione di foto (misurazione), l’importazione dei listini prezzi e l’importazione di elenchi di indirizzi passano tramite AWS Bedrock nell’UE (Francoforte, regione di ripiego Irlanda). I documenti vengono trasmessi in forma crittografata.
- Minimizzazione dei dati: Prima di ogni elaborazione tramite IA, il documento caricato passa attraverso un pre-filtro basato su regole (deterministico, NESSUNA IA). Questo identifica solo le pagine con posizioni HVAC/isolamento mediante parole chiave e pattern regex. Le informazioni del committente, le posizioni della concorrenza, le condizioni contrattuali generali e i contenuti non rilevanti sono esclusi dal filtro e non vengono trasmessi al modello di IA. Questa misura tecnica e organizzativa (TOM) attua il principio di minimizzazione dei dati ai sensi dell’art. 6 cpv. 3 LPD rev. / art. 5 par. 1 lett. c GDPR. Il pre-filtro non si applica all’importazione di elenchi di indirizzi (vedi cifra 8, AWS Bedrock).
- Nessun uso per l’addestramento: I vostri dati di progetto non vengono utilizzati per l’addestramento dei modelli di IA (presso Anthropic, in conformità con le condizioni commerciali di Anthropic).
- Durata di conservazione: I risultati intermedi dell’IA vengono cancellati al termine dell’analisi. Solo le posizioni finali vengono conservate.
- Diritto al riesame umano (art. 22 GDPR): Avete il diritto, ai sensi dell’art. 22 par. 3 GDPR, di richiedere un riesame umano dei risultati dell’IA. I risultati dell’IA costituiscono solo un supporto decisionale — la responsabilità finale spetta all’utente (obbligo di plausibilizzazione ai sensi delle CGC punto 9.3).
8. Fornitori terzi
Per il funzionamento della piattaforma, collaboriamo con i seguenti responsabili del trattamento. Con questi fornitori sono in essere o in corso di stipula contratti di trattamento dati (DPA ai sensi dell’art. 28 GDPR / art. 9 LPD rev.):
AWS Bedrock — IA per chat, valutazione di foto, listini prezzi e importazione clienti (UE Francoforte, regione di ripiego Irlanda)
Per l’assistente chat/supporto, la valutazione di foto (misurazione), l’importazione dei listini prezzi e l’importazione di elenchi di indirizzi nella vostra anagrafica clienti, utilizziamo modelli linguistici generativi della famiglia Anthropic Claude tramite AWS Bedrock nella regione UE Francoforte (eu-central-1). I contenuti interessati vengono trasmessi in forma crittografata ai server AWS situati nell’UE. In caso di guasto della regione di Francoforte si passa automaticamente alla seconda regione UE, l’Irlanda (eu-west-1); il trattamento di queste funzioni resta quindi in entrambi i casi all’interno dell’UE, senza trasferimento verso gli Stati Uniti. Nell’importazione di elenchi di indirizzi, i file Excel e CSV e i PDF con una tabella riconoscibile vengono letti senza IA; solo per gli altri PDF (al massimo 20 pagine) il loro testo (per i PDF scansionati il file stesso) viene trasmesso al modello linguistico. ISOCALCX non archivia il file; il risultato della lettura di un PDF viene tenuto nella memoria di lavoro fino a 30 minuti e confluisce nella vostra anagrafica clienti solo dopo la vostra conferma. La valutazione IA dei bandi caricati non passa tramite AWS Bedrock, ma direttamente presso Anthropic (vedi sezione successiva). DPA ai sensi dell’art. 28 GDPR firmato. Il trattamento avviene in conformità al GDPR conformemente alla Informativa sulla privacy di AWS.
Anthropic (valutazione IA dei bandi e assistente «Jarvis», USA)
La valutazione IA di bandi/capitolati caricati (analisi PDF) avviene con il modello linguistico Claude Sonnet 5.5 direttamente tramite l’API di Anthropic PBC. A tal fine, i contenuti dei bandi da analizzare vengono trasmessi in forma crittografata ad Anthropic negli Stati Uniti. Tramite l’API di Anthropic funziona anche l’assistente «Jarvis», con i modelli linguistici Claude Haiku 5.5 o Claude Sonnet 5.5, se la direzione della vostra azienda lo ha attivato. In tal caso, la vostra istruzione digitata, la cronologia della conversazione in corso, informazioni sulla pagina aperta, i termini aziendali confermati dalla vostra direzione e i dati che l’assistente legge dal vostro account per l’istruzione (ad es. progetti, posizioni, clienti e persone di contatto con i relativi recapiti, offerte, fatture e solleciti) vengono trasmessi in forma crittografata ad Anthropic negli Stati Uniti. L’assistente non trasmette i documenti caricati. Esegue le modifiche solo dopo la vostra conferma, e i passi con effetto finanziario o invio di e-mail solo dopo conferma esplicita. In sostituzione, ISOCALCX può gestire l’assistente tramite AWS Bedrock nell’UE. Il trasferimento si basa sulle clausole contrattuali standard (SCC) o su un quadro di adeguatezza riconosciuto (art. 46 GDPR / art. 16 LPD rev.). In conformità con le condizioni commerciali di Anthropic, tali contenuti non vengono utilizzati per addestrare i modelli. Per le altre funzioni IA, una connessione diretta ad Anthropic è configurata solo come fallback tecnico di emergenza, disattivato per impostazione predefinita, in caso di guasto totale di tutte le regioni Bedrock UE. Ulteriori informazioni su anthropic.com/legal/privacy.
Servizi vocali AWS — input vocale (Amazon Transcribe, Francoforte) e voce naturale (Amazon Polly, Zurigo)
Dettare e ascoltare Jarvis utilizza Amazon Web Services EMEA SARL. Input vocale: la vostra registrazione viene trasmessa in forma crittografata ad Amazon Transcribe a Francoforte (eu-central-1) e convertita in testo; l’audio non viene salvato e il testo riconosciuto torna solo al vostro browser. Voce naturale: solo se la direzione dell’azienda l’ha attivata, il testo della risposta da leggere ad alta voce viene trasmesso frase per frase, in forma crittografata, ad Amazon Polly a Zurigo (eu-central-2, Svizzera) e convertito in voce. ISOCALCX non registra questo testo; gli audio restano al massimo fino al riavvio successivo nella memoria di lavoro del server. Senza questa impostazione Jarvis parla con la voce del vostro dispositivo e non viene trasmesso nulla. Vengono salvati solo valori di conteggio e di costo, mai audio o testo.
Infomaniak (hosting server e database, Svizzera)
La piattaforma e il relativo database sono ospitati da Infomaniak Network SA in Svizzera. Tutti i dati di account e di progetto vengono memorizzati esclusivamente su server in Svizzera. DPA ai sensi dell’art. 28 GDPR / art. 9 LPD rev. firmato. Ulteriori informazioni su infomaniak.com/it/informativa-privacy.
Stripe (elaborazione dei pagamenti)
Stripe Payments Europe Ltd. (Irlanda, UE) viene utilizzato per l’elaborazione dei pagamenti. Stripe elabora direttamente i dati delle carte di credito — questi non vengono memorizzati sui nostri server. Poiché Stripe ha una società madre negli USA (Stripe Inc.), il trasferimento dei dati verso gli Stati Uniti avviene tramite il Quadro UE-USA per la protezione dei dati (DPF) ai sensi dell’art. 46 GDPR nonché clausole contrattuali standard (SCC). DPA ai sensi dell’art. 28 GDPR firmato. Ulteriori informazioni su stripe.com/privacy.
Brevo (invio e-mail)
Per l’invio di e-mail di sistema (registrazione, reimpostazione della password, notifiche) nonché di fatture e solleciti che inviate ai vostri clienti, utilizziamo Brevo (precedentemente SendInBlue). Il vostro indirizzo e-mail e il vostro nome vengono trasmessi, per l’invio delle fatture inoltre l’indirizzo del destinatario e degli eventuali destinatari in copia nonché il testo e l’allegato dell’e-mail. DPA ai sensi dell’art. 28 GDPR firmato. Ulteriori informazioni su brevo.com/legal/privacypolicy.
Rivenditori (prezzi di acquisto secondo IGH ikk, solo su vostra iniziativa)
Se nell’area Prezzi configurate un accesso rivenditore, ISOCALCX consulta per vostro conto le vostre condizioni di acquisto personali presso il rivenditore scelto: presso ISO-CENTER AG tramite il suo webservice IGH, presso altri rivenditori come Debrunner Acifer tramite importazione del file ikk che ottenete voi stessi dal rivenditore e caricate. Per la consultazione tramite webservice, le credenziali d’accesso da voi registrate vengono trasmesse in forma cifrata (HTTPS) al webservice del rivenditore. Il rivenditore non è un nostro responsabile del trattamento, ma la vostra controparte contrattuale; per il suo trattamento dei dati vale la sua informativa sulla privacy. Inoltre ISOCALCX scarica da igh.ch il catalogo articoli pubblico del rivenditore; in tale occasione non vengono trasmessi dati personali.
Contratto di trattamento dati (DPA)
Per l’utilizzo B2B si applica il contratto di trattamento dati separatamente concluso (vedi /avv). Il DPA disciplina nel dettaglio gli obblighi giuridici tra voi come titolare del trattamento e ISOCALCX come responsabile del trattamento.
9. Durata di conservazione
I dati personali vengono conservati solo per il tempo necessario all’adempimento dello scopo contrattuale o al rispetto degli obblighi legali di conservazione:
- Dati dell’account: Per la durata del rapporto contrattuale più i termini di conservazione legali (fino a 10 anni)
- Dati di progetto: Per la durata del rapporto contrattuale; entro 30 giorni dalla cancellazione dell’account
- Documenti PDF caricati: I file PDF grezzi caricati vengono eliminati automaticamente dal filesystem al più tardi 3 mesi (90 giorni) dopo il completamento dell’analisi IA (minimizzazione dei dati secondo art. 5 par. 1 lett. c GDPR / art. 6 cpv. 4 LPD). I risultati strutturati dell’analisi (posizioni) rimangono nel database fino alla cancellazione manuale da parte del cliente, al più tardi 30 giorni dopo la fine del contratto.
- Inferenza IA Bedrock: 0 secondi (nessun logging attivato, nessuna memorizzazione presso AWS)
- API Anthropic (valutazione IA dei bandi, assistente «Jarvis»): Conservazione dei contenuti trasmessi presso Anthropic secondo le condizioni commerciali e l’informativa sulla privacy di Anthropic; nessun uso per l’addestramento
- Copie di sicurezza: Il database viene salvato quotidianamente. Le copie di sicurezza non vengono ripulite singolarmente, ma scadono: ogni backup viene cancellato e sovrascritto automaticamente al più tardi 30 giorni dopo la sua creazione. Entro tale termine i backup sono utilizzati esclusivamente per il ripristino in caso di guasto e per nessun altro scopo. Se è necessario ripristinare un backup, una cancellazione effettuata in precedenza viene eseguita nuovamente subito dopo il ripristino.
- Dati di fatturazione: 10 anni (obbligo legale di conservazione)
- Dati di log: Log di sicurezza relativi agli accessi, compreso l’indirizzo IP: 30 giorni. Log del server e log degli errori: al massimo 30 giorni.
- Credenziali d’accesso dei rivenditori: Fino a quando rimuovete l’accesso. In caso di disdetta del modulo vengono cancellate immediatamente, dopo la fine dell’abbonamento al più tardi nella successiva esecuzione giornaliera di pulizia. Registri delle consultazioni dei prezzi: 12 mesi.
- Assistente «Jarvis»: Istruzioni, risposte e contenuto dei passi preparati: 90 giorni, poi svuotati. Voci dell’elenco degli errori: 180 giorni. Valutazioni: 1 anno. Nell’elenco degli errori e nei termini aziendali, indirizzi e-mail, numeri di telefono e IBAN vengono resi irriconoscibili prima del salvataggio.
10. I vostri diritti
Avete i seguenti diritti riguardo ai vostri dati personali:
- Diritto di accesso: Potete richiedere in qualsiasi momento informazioni sui vostri dati memorizzati.
- Diritto di rettifica: Potete richiedere la correzione di dati inesatti.
- Diritto di cancellazione: Potete richiedere la cancellazione dei vostri dati, a condizione che non vi siano obblighi legali di conservazione. Potete cancellare il vostro account in qualsiasi momento nelle impostazioni sotto «Cancella account». Avete la scelta tra una cancellazione immediata, un periodo di grazia di 30 giorni o un’anonimizzazione dei vostri dati. In caso di anonimizzazione, il vostro indirizzo e-mail è sostituito in modo irreversibile tramite hash SHA-256 (formato: hash@anonymized.local); qualsiasi riconducibilità alla vostra persona è quindi tecnicamente esclusa.
- PortabilitĂ dei dati: Potete richiedere la consegna dei vostri dati in un formato comune e leggibile da una macchina. Potete esportare i vostri dati in qualsiasi momento tramite il vostro account utente sotto Impostazioni > Privacy come file JSON.
- Diritto di opposizione: Potete opporvi al trattamento dei vostri dati.
- Revoca del consenso: Potete revocare in qualsiasi momento i consensi concessi.
- Diritto al riesame umano: Diritto al riesame umano delle decisioni automatizzate (art. 22 par. 3 GDPR).
Elaboriamo la vostra richiesta entro 30 giorni dal ricevimento. In casi eccezionali, il termine può essere prolungato fino a 60 giorni; in tal caso vi informeremo per iscritto.
Per esercitare i vostri diritti, contattateci all’indirizzo: Kontakt aufnehmen
11. Sicurezza dei dati
Adottiamo misure tecniche e organizzative adeguate per proteggere i vostri dati, in particolare:
- Crittografia della trasmissione dei dati (TLS/SSL)
- Memorizzazione crittografata dei dati sensibili (password tramite Argon2)
- Controllo degli accessi e autenticazione (JWT)
- Aggiornamenti di sicurezza regolari e monitoraggio
- Restrizione degli accessi secondo il principio del minimo privilegio
- Minimizzazione dei dati tramite pre-filtro basato su regole (vedi sezione 6) — elaborazione IA esclusivamente delle pagine rilevanti
- Memorizzazione cifrata delle credenziali d’accesso dei rivenditori (AES-256-GCM); la password non viene mai visualizzata e nei log è oscurata
12. AutoritĂ di vigilanza
L’autorità di vigilanza competente in materia di protezione dei dati è l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT):
Avete il diritto di presentare un reclamo all’autorità di vigilanza se ritenete che il trattamento dei vostri dati violi le norme sulla protezione dei dati.
13. Notifica delle violazioni dei dati
In caso di violazione della protezione dei dati che possa comportare un rischio elevato per i diritti e le libertà delle persone interessate, informeremo gli utenti interessati senza indugio via e-mail e l’IFPDT conformemente all’art. 24 LPD.
14. Modifiche alla presente informativa sulla protezione dei dati
Ci riserviamo il diritto di aggiornare la presente informativa sulla protezione dei dati in qualsiasi momento per adattarla a situazioni giuridiche modificate o a cambiamenti della piattaforma. La versione attuale è sempre disponibile su questa pagina. In caso di modifiche sostanziali, informeremo gli utenti registrati via e-mail.