Informativa sulla privacy

1. Chi siamo e a cosa si applica questa informativa

Viveli («Viveli», «noi») sviluppa Snowdesk, il software con cui le scuole di sci e di sport sulla neve gestiscono prenotazioni, lezioni, maestri, pagamenti e salari. I nostri dati societari — forma giuridica, sede e numero d’identificazione delle imprese — si trovano nelle nostre note legali. Per ogni questione sui dati personali: info@viveli.ch.

Questa informativa spiega come vengono trattati i dati personali in Snowdesk — l’app per il personale su snowdesk.viveli.ch (raggiungibile anche su app.viveli.ch), le pagine di prenotazione che le scuole gestiscono con essa, le e-mail e i messaggi che invia e i server che la fanno funzionare — e cosa fa Viveli stessa con i dati delle persone con cui ha rapporti.

È redatta secondo la legge federale sulla protezione dei dati (LPD) e, ove applicabile, il regolamento generale dell’UE sulla protezione dei dati (RGPD). Il nostro sito viveli.ch ha una propria breve informativa, nella pagina legale.

2. Due ruoli: i dati della scuola e i nostri

La scuola è responsabile dei dati che registra in Snowdesk. Decide quali clienti, bambini, ospiti e collaboratori registrare e cosa farne. Per questi dati la scuola è titolare del trattamento e Viveli è il suo responsabile del trattamento: li trattiamo solo secondo le istruzioni documentate della scuola, in base al nostro accordo sul trattamento dei dati, e mai per scopi nostri.

Se è cliente di una scuola o vi lavora, si applica a lei l’informativa della scuola e le richieste su questi dati vanno rivolte anzitutto alla scuola. La aiuteremo a rispondere.

Viveli è responsabile dei propri rapporti. Siamo titolari del trattamento per i dati delle persone che si registrano a Snowdesk e lo usano per conto di una scuola (il loro account, il nostro contratto, la fatturazione e l’assistenza), per i registri di sicurezza che proteggono il servizio e per i dati provenienti dai nostri siti web.

3. Cosa conserva Snowdesk per conto di una scuola

· Clienti e accompagnatori: nomi, recapiti, lingua, le persone per cui prenotano (per esempio i figli o gli ospiti), età, livelli, richieste e preferenze, prenotazioni, lezioni frequentate, pagamenti, ricevute, note e messaggi scambiati con la scuola.

· Note di sicurezza: una scuola può registrare informazioni sulla salute o sulle esigenze di una persona importanti per la sua sicurezza durante una lezione — un’allergia o una patologia, per esempio. Si tratta di dati personali degni di particolare protezione. Snowdesk li conserva cifrati e li mostra solo ai collaboratori che ne hanno bisogno. La scuola dovrebbe registrare solo il necessario, con il consenso della persona o, per un minore, di un genitore o rappresentante legale.

· Personale e maestri: nomi, recapiti, funzione e autorizzazioni, qualifiche e brevetti, lingue e discipline, disponibilità e assenze, lezioni impartite e check-in, formazione, tariffe, conteggi salariali e dati di paga.

· Tracce d’uso: chi ha fatto cosa nell’app e quando (registro di audit), tentativi di accesso e dati tecnici come indirizzo IP e tipo di browser.

4. Cosa conserva Viveli come titolare

· Account delle scuole: nome, indirizzo e-mail, telefono e funzione delle persone che aprono e gestiscono l’account di una scuola; il nostro contratto, le fatture e i pagamenti; la nostra corrispondenza.

· Assistenza: ciò che ci comunica quando chiede aiuto. Per risolvere un problema può essere necessario consultare i dati di una scuola; lo facciamo solo nella misura necessaria, su richiesta della scuola o per la sicurezza del servizio.

· Sicurezza ed esercizio: tentativi di accesso, segnalazioni di errore e registri del servizio.

· Richieste: ciò che ci invia quando ci scrive prima di diventare cliente.

5. Perché li usiamo e su quale base

Usiamo i dati personali per fornire Snowdesk e i servizi sottoscritti dalla scuola; per proteggere il servizio, prevenire abusi e indagare su incidenti; per assistere i nostri clienti; per fatturare il servizio; e per adempiere ai nostri obblighi di legge.

Secondo la LPD trattiamo i dati in modo lecito, in buona fede e in modo proporzionato, solo per scopi riconoscibili per le persone interessate, e ne curiamo l’esattezza. Ove si applichi il RGPD, le nostre basi giuridiche sono: l’esecuzione di un contratto (art. 6 par. 1 lett. b) per fornire e fatturare il servizio; il nostro interesse legittimo (art. 6 par. 1 lett. f) a un servizio sicuro e affidabile e al suo miglioramento; un obbligo legale (art. 6 par. 1 lett. c) per i documenti contabili; e il consenso (art. 6 par. 1 lett. a e art. 9 par. 2 lett. a) quando la scuola vi si basa, per esempio per le note di sicurezza relative alla salute.

Non vendiamo dati personali, non li usiamo per pubblicità e non creiamo profili di marketing.

6. Assegnazione automatica dei maestri

Snowdesk può assegnare automaticamente i maestri alle lezioni, secondo regole stabilite dalla scuola — qualifiche, lingue, disponibilità e priorità, per esempio. È la scuola a decidere se usare questa funzione. Ogni assegnazione può essere verificata e modificata dai responsabili della scuola, e un maestro può chiedere che una persona riesamini un’assegnazione ed esporre il proprio punto di vista. Snowdesk non prende decisioni automatizzate con effetti giuridici per i clienti di una scuola.

7. Chi riceve i dati

· All’interno della scuola: i collaboratori vedono ciò che la loro funzione e le loro autorizzazioni consentono; i maestri vedono le proprie lezioni e i clienti che vi partecipano.

· I clienti: ricevono le proprie conferme, ricevute e messaggi della scuola.

· I nostri fornitori (sub-responsabili), ciascuno vincolato per contratto a proteggere i dati e a usarli solo per noi: Supabase Inc. (hosting della banca dati, Francoforte, Germania); Railway Corporation, USA (server applicativi e cache); Vercel Inc., USA (hosting e distribuzione dell’app web, rete mondiale); Functional Software Inc. «Sentry», USA (monitoraggio degli errori, dati conservati in Germania).

· Quando la scuola li attiva: un servizio di invio e-mail, Twilio Inc., USA (SMS), Cloudflare Inc. (archiviazione di documenti, nella sua giurisdizione UE) e Stripe (pagamenti con carta — Stripe è titolare autonomo dei dati delle carte). Informiamo le scuole prima di aggiungere o sostituire un sub-responsabile, come previsto dall’accordo sul trattamento dei dati; l’elenco aggiornato è disponibile su richiesta a info@viveli.ch.

· Autorità e tribunali: solo quando la legge ci obbliga.

8. Dati fuori dalla Svizzera

La banca dati di Snowdesk si trova nell’Unione europea (Francoforte, Germania), di cui la Svizzera riconosce l’adeguatezza della protezione. Alcuni dei fornitori indicati hanno sede in altri Paesi, in particolare negli Stati Uniti, o possono consentirvi l’accesso al proprio personale. Quando dati personali sono comunicati a un Paese senza protezione adeguata, ci basiamo sulle garanzie riconosciute dalla LPD e dal RGPD: la certificazione del fornitore nell’ambito dello Swiss-US o dell’EU-US Data Privacy Framework, oppure le clausole contrattuali tipo approvate dalla Commissione europea e riconosciute dall’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), con gli adeguamenti richiesti dal diritto svizzero.

9. Per quanto tempo li conserviamo

· I documenti contabili — prenotazioni, pagamenti, ricevute, fatture e paga — sono conservati per dieci anni, come richiede il diritto svizzero (art. 958f del Codice delle obbligazioni), anche se una persona ne chiede la cancellazione; il resto dei suoi dati viene allora cancellato o reso anonimo.

· Gli altri dati di una scuola sono conservati finché la scuola usa Snowdesk e ne ha bisogno, e sono cancellati su sua istruzione. Quando una scuola lascia Snowdesk, può esportare i propri dati per 30 giorni; li cancelliamo poi entro ulteriori 60 giorni, salvo i documenti contabili e le copie di backup, che scadono secondo il proprio ciclo.

· I tentativi di accesso sono conservati al massimo 12 mesi, il registro di audit al massimo 2 anni e le tracce dei messaggi inviati al massimo 90 giorni.

· Le richieste che non portano a un contratto sono conservate al massimo 24 mesi dopo l’ultimo scambio.

10. Come li proteggiamo

Le connessioni sono cifrate (TLS). I campi sensibili sono cifrati nella banca dati e le password sono conservate solo come hash con sale. L’accesso in due passaggi è disponibile, gli accessi seguono autorizzazioni basate sui ruoli, i dati di ogni scuola sono separati da quelli delle altre e le azioni sono registrate in un registro di audit. Nessun sistema è perfettamente sicuro: se una violazione rischia di esporre persone a un rischio elevato, ne informiamo la scuola senza ingiustificato ritardo e, ove la legge lo richieda, l’IFPDT.

11. I suoi diritti

Può chiedere una copia dei suoi dati personali e informazioni sul loro uso, farli rettificare o cancellare, opporsi al loro trattamento, farlo limitare e riceverli in un formato elettronico di uso comune per trasmetterli altrove. Se ci basiamo sul suo consenso, può revocarlo in qualsiasi momento, senza effetto sui trattamenti precedenti.

Per i dati che una scuola detiene su di lei, si rivolga alla scuola. Per i dati detenuti da Viveli, scriva a info@viveli.ch. Rispondiamo entro 30 giorni, di regola gratuitamente, e possiamo chiederle prima di confermare la sua identità. Alcune richieste hanno limiti di legge — i documenti contabili, per esempio, devono essere conservati.

Può anche rivolgersi all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna, www.edoeb.admin.ch, oppure, ove si applichi il RGPD, all’autorità di protezione dei dati del suo luogo di residenza o di lavoro.

12. Minori

Le scuole insegnano ai bambini: Snowdesk contiene quindi dati di minori che i genitori o i rappresentanti legali comunicano alla scuola. Snowdesk è usato dalle scuole e dal loro personale, non dai bambini, e non raccogliamo consapevolmente dati direttamente da un minore.

13. Cookie e memoria del browser

Snowdesk imposta solo i cookie necessari al suo funzionamento: at la mantiene connesso per 15 minuti alla volta, rt mantiene la sessione fino a 7 giorni se non si disconnette, e csrf_token la protegge da richieste falsificate. La demo imposta demo_pov per ricordare quale account dimostrativo sta consultando. La memoria locale del browser conserva le sue preferenze, come lingua, disposizione e tema. Non ci sono cookie di analisi, pubblicità o tracciamento.

14. Modifiche

Possiamo aggiornare questa informativa quando Snowdesk o la legge cambiano. La data in alto indica la versione in vigore. Informiamo le scuole delle modifiche rilevanti per e-mail almeno 30 giorni prima della loro entrata in vigore.

15. Contatto

Domande e richieste sulla protezione dei dati: info@viveli.ch