Informativa sulla protezione dei dati

• Nessun cookie di analisi, di tracciamento o pubblicitario, nessuna newsletter, nessuna vendita di dati.
• La banca dati e i file si trovano in un centro dati a Zurigo.
• I dati di progetto appartengono allo studio. Li trattiamo solo per suo conto e secondo il contratto sul trattamento dei dati.
• Le funzioni IA sono attivabili per progetto e disattivate di default. L’analisi avviene nell’UE, i contenuti non vengono utilizzati per l’addestramento di modelli. L’IA prepara bozze, le decisioni le prendono le persone.
• Il nostro supporto vede i Suoi dati solo se lo studio lo autorizza preventivamente.
• Domande e richieste: hallo@sollaro.ch

Titolare dei trattamenti che effettuiamo sotto la nostra responsabilità (cifra 2) è:

Non appena sarà costituita la società di gestione, la indicheremo qui; essa assumerà allora questo ruolo. Non abbiamo designato un consulente per la protezione dei dati ai sensi dell’art. 10 LPD. Per qualsiasi domanda sulla protezione dei dati basta un’e-mail a hallo@sollaro.ch.

A seconda dei dati abbiamo un ruolo diverso. Ciò determina a chi deve rivolgersi.

Per i dati di progetto è lo studio a stabilire scopo e portata; con esso concludiamo un contratto sul trattamento dei dati. Descriviamo comunque qui questo trattamento, affinché imprenditori, committenti e collaboratori possano sapere che cosa avviene sul piano tecnico. Le richieste relative ai dati di progetto che ci pervengono le inoltriamo allo studio.

La panoramica si applica ai trattamenti effettuati sotto la nostra responsabilità. La base giuridica secondo il RGPD è rilevante solo per le persone nell’UE (cifra 16); in Svizzera un trattamento lecito non necessita di una base giuridica.

La comunicazione dei dati è facoltativa. Senza i campi obbligatori non possiamo rispondere a una richiesta né gestire un account.

Hosting e log del server

Il sito web e l’applicazione sono ospitati presso Vercel. Le funzioni server vengono eseguite a Francoforte (Germania), i file statici sono distribuiti da Vercel tramite una rete mondiale. La banca dati non si trova presso Vercel, bensì a Zurigo. Quando si richiama una pagina, i dati di log di cui alla cifra 3 sono tecnicamente indispensabili.

Nessuna analisi e nessun contenuto di terzi

Non utilizziamo servizi di analisi, di tracciamento o pubblicitari, plugin di social media né contenuti incorporati di terzi. I caratteri tipografici li forniamo noi stessi, non tramite Google Fonts.

Cookie e memoria del browser

sollaro.ch non imposta cookie. Utilizziamo solo cookie tecnicamente necessari e voci nella memoria del Suo browser. Non vengono trasmessi a terzi e non servono a riconoscerLa da un sito web all’altro. Per questo non è necessario un consenso.

Può cancellare o bloccare in qualsiasi momento i cookie e la memoria del browser. Senza cookie di accesso l’area protetta non è utilizzabile.

Account e invito

Un account viene creato solo su invito di uno studio o in seguito a una richiesta di pilota. Inviamo le e-mail di accesso, di conferma e di invito tramite Resend. Le password le salviamo solo come hash, mai in chiaro.

Accesso a due fattori e passkey

Per l’accesso a due fattori Supabase Auth salva una chiave segreta associata al Suo account; i codici vengono generati solo nell’app di autenticazione sul Suo dispositivo. Se configura una passkey, salviamo solo la sua chiave pubblica e il nome che Lei le assegna. Impronta digitale o riconoscimento facciale restano sul Suo dispositivo e non ci raggiungono mai. Può rinominare ed eliminare le passkey nel profilo.

Sessioni, profilo e notifiche

Nel profilo vede le Sue sessioni attive (momento, browser) e può disconnettersi da tutti i dispositivi. Lì gestisce anche nome, funzione, telefono, immagine del profilo e lingua. Può disdire i promemoria delle scadenze e il rapporto settimanale; non invece le e-mail necessarie per un’approvazione o per la sicurezza del Suo account.

Abbonamento al calendario

Su richiesta generiamo un link personale al calendario con le scadenze e gli appuntamenti dei progetti che Lei può vedere. I programmi di calendario lo richiamano senza accesso; chi conosce il link può leggere il calendario. Per questo non lo condivida. Salviamo solo un hash del link. Può reimpostarlo o terminare l’abbonamento in qualsiasi momento nel profilo.

Esportazione e cancellazione

Nel profilo può scaricare i Suoi dati come file JSON: profilo, appartenenze a studi, ruoli nei progetti, impostazioni e le voci del registro delle verifiche da Lei generate. Lì può anche chiedere la cancellazione del Suo account. Esaminiamo la richiesta e La contattiamo prima della cancellazione. I documenti soggetti a un obbligo legale di conservazione e il registro delle verifiche dello studio vengono mantenuti.

Gli studi registrano in Sollaro piani dei costi, aggiudicazioni, offerte, contratti d’appalto, aggiunte, lavori a regia, misurazioni, fatture, pagamenti e garanzie. Questi contengono soprattutto nomi, funzioni e dati di contatto di persone presso imprenditori, committenti e progettisti, nonché indicazioni contenute nei documenti caricati. Trattiamo questi dati separatamente per ogni studio e solo per fornire le funzioni dell’applicazione. Titolare del trattamento è lo studio (cifra 2).

Esterni tramite link

Gli imprenditori inoltrano offerte e documenti tramite un link personale nel portale. Anche committenti, progettisti specializzati e fiduciaria aprono un progetto tramite un link personale, senza registrazione e senza password; tecnicamente viene creato a tal fine un account senza password. Gli esterni vedono solo ciò che lo studio autorizza per loro, gli offerenti mai le offerte altrui. Trattiamo a tal fine ditta, persona di contatto, indirizzo e-mail, file caricati, momenti e i dati di log dell’accesso.

Dati di fatturazione e bancari

Per i contratti d’appalto e le esecuzioni di pagamento Sollaro salva le relazioni bancarie degli imprenditori (IBAN, QR-IBAN, titolare del conto) e gli importi. Ne risulta un file di pagamento (pain.001) che lo studio approva personalmente nel proprio e-banking. Non avviamo pagamenti e non abbiamo accesso ai conti bancari.

Posta in arrivo, scanner e ricezione e-mail

Con lo scanner fotografa i documenti nel browser. La fotocamera richiede il Suo consenso nel browser, le foto restano sul Suo dispositivo fino al caricamento. Ogni progetto può avere un proprio indirizzo di ricezione. Le e-mail inviate a questo indirizzo vengono ricevute da Resend; riprendiamo solo gli allegati in formato PDF o JPEG, nonché mittente, destinatario, oggetto e momento. Il testo dell’e-mail non lo salviamo. Gli allegati in altri formati e le e-mail a indirizzi sconosciuti vengono scartati.

Registro delle verifiche

Registriamo verifiche, conferme, approvazioni e modifiche con persona, indirizzo e-mail, momento e tipo di modifica, per i risultati dell’IA con contrassegno, modello e consumo. Al registro si possono solo aggiungere voci, ed esso viene mantenuto per tutta la durata del progetto.

Alcune funzioni analizzano documenti con un modello linguistico, ad esempio posizioni, prezzi e riserve di un’offerta o la classificazione di un documento nella posta in arrivo. L’IA è attivabile per progetto e disattivata di default; possono attivarla i ruoli amministrazione e direzione dello studio. Un’analisi si avvia solo se una persona la avvia.

• Fornitore e luogo: modelli Claude di Anthropic PBC (USA), richiamati tramite l’AI Gateway di Vercel Inc. (USA). Per ogni richiesta esigiamo che l’elaborazione avvenga nell’UE, presso Amazon Web Services (Francoforte) o Google Cloud (UE). Se ciò non è possibile, il gateway rifiuta la richiesta anziché eseguirla altrove. Tecnicamente la richiesta può essere ricevuta in un centro dati di Vercel al di fuori dell’UE prima di essere inoltrata nell’UE.
• Nessun addestramento: per ogni richiesta esigiamo fornitori che non utilizzano input e output per l’addestramento. Nemmeno Vercel li utilizza a tale scopo.
• Memorizzazione: istruzione e risposta grezza non le salviamo separatamente; salviamo il risultato come bozza con fonte (pagina) e, nel registro delle verifiche, modello, consumo e regione. Vercel non salva le richieste del gateway. Se il fornitore conserva temporaneamente dei dati, ciò avviene nell’UE; fanno eccezione le richieste che segnala nell’ambito di un controllo contro gli abusi. Queste le conserva secondo regole proprie, eventualmente al di fuori dell’UE.
• Decide una persona: ogni risultato dell’IA è una bozza che una persona conferma.

Assistente di progetto

L’assistente risponde alle domande delle persone di uno studio che hanno effettuato l’accesso in merito a un progetto. Legge solo ciò che la persona che pone la domanda può comunque vedere; le offerte sigillate restano chiuse. Non modifica nulla, non invia nulla e non approva nulla. Per ogni risposta la domanda, la cronologia precedente e i dati di progetto letti vengono analizzati nell’UE. La cronologia la vede solo Lei. Resta salvata finché non elimina la conversazione, al più tardi fino alla cancellazione del progetto, dell’account o dello studio.

Per il supporto il nostro team può vedere l’applicazione così come la vede una persona dello studio. Ciò è possibile solo se un’amministratrice o un amministratore dello studio autorizza preventivamente l’accesso, per 24 ore o 7 giorni. L’autorizzazione può essere revocata in qualsiasi momento; le sessioni in corso terminano allora immediatamente.

• La vista è di sola lettura. In essa non possiamo modificare, approvare né inviare nulla.
• Una sessione dura al massimo 30 minuti e termina al più tardi con la scadenza dell’autorizzazione.
• All’avvio gli amministratori dello studio ricevono un’e-mail.
• Persona, inizio, fine e pagine consultate figurano nel protocollo del supporto, che lo studio può consultare.

Per la scelta degli imprenditori teniamo un elenco di imprese edili tratto da fonti pubbliche: registro di commercio (Zefix) e registro IDI (nome, IDI, forma giuridica, sede, scopo), nonché le pubblicazioni delle aggiudicazioni su simap.ch (commessa, committente, data, importo). Nel caso di ditte individuali e società di persone può trattarsi di dati personali. Li trattiamo perché sono accessibili a tutti e gli studi hanno un interesse legittimo a identificare le imprese in modo univoco (art. 30 cpv. 3 e art. 31 cpv. 1 LPD).

Le indicazioni sono visibili alle persone di Sollaro che hanno effettuato l’accesso. Non salviamo le persone di contatto dei committenti, non valutiamo nessuno e non stiliamo classifiche. Le indicazioni tratte da simap.ch non sono una pubblicazione ufficiale; fanno stato le pubblicazioni su tale piattaforma.

Opposizione: scriva a hallo@sollaro.ch. Blocchiamo la voce, rimuoviamo ditta e aggiudicazioni, e l’aggiornamento periodico non reinserisce l’impresa.

Le attestazioni che un imprenditore carica personalmente tramite il suo link, ad esempio un estratto del registro delle esecuzioni, non fanno parte dell’elenco, bensì dei dati di progetto dello studio che lo ha invitato.

I seguenti fornitori trattano dati personali per nostro conto, solo secondo le nostre istruzioni e vincolati contrattualmente alla confidenzialità e alla sicurezza dei dati. L’elenco costituisce al contempo l’allegato 1 del contratto sul trattamento dei dati con gli studi.

I dati pubblici li otteniamo da Zefix (Ufficio federale del registro di commercio), dal registro IDI (Ufficio federale di statistica), da simap.ch e dall’OpenHolidays API (giorni festivi per Cantone). Questi enti non ricevono da noi dati personali; leggiamo solo le loro pubblicazioni.

Altri destinatari: autorità e tribunali, se vi siamo tenuti per legge, nonché consulenti come fiduciaria o avvocato soggetti al segreto professionale, nella misura necessaria. Nello studio le persone vedono i dati di progetto solo in base al loro ruolo.

La banca dati e i file si trovano in Svizzera. I dati personali giungono all’estero nei modi seguenti:

Su richiesta riceve una copia delle garanzie. Le autorità di Stati terzi possono, secondo il loro diritto, esigere in determinate circostanze l’accesso; questo rischio residuo non può essere escluso del tutto con contratti.

Conserviamo i dati personali solo finché lo richiede lo scopo o un obbligo legale. I termini per i trattamenti sotto la nostra responsabilità figurano alla cifra 3.

• Dati di progetto: per la durata del contratto e secondo le istruzioni dello studio. I progetti archiviati li conserviamo, su richiesta dello studio, fino a 10 anni, in conformità al suo obbligo ai sensi dell’art. 958f CO; altrimenti esportazione e cancellazione 90 giorni dopo la fine del contratto.
• Caricamenti orfani: i file senza record associato li cancelliamo automaticamente dopo 24 ore.
• Istruzioni e risposte grezze dell’IA: non le salviamo (cifra 7).
• Copie di sicurezza: durante la fase pilota il nostro fornitore della banca dati non crea copie di sicurezza automatiche per Sollaro. Un dato cancellato per errore non può quindi essere ripristinato. Non appena saranno predisposte copie di sicurezza giornaliere, ne indicheremo qui durata e ubicazione.

Proteggiamo i dati personali con misure adeguate al rischio (art. 8 LPD), tra cui:

• Trasmissione cifrata (TLS, HSTS) e memorizzazione cifrata presso il fornitore.
• Separazione rigorosa degli studi nella banca dati (Row Level Security), accesso solo in base al ruolo.
• Archiviazione privata dei file, download solo tramite link a tempo limitato.
• Link per gli esterni con chiave casuale, non indovinabile.
• Limitazione delle richieste e dei tentativi falliti, protezione dai bot nei moduli.
• Accesso a due fattori e passkey per ogni account, 2FA obbligatoria per la console della piattaforma.
• Registro delle verifiche a cui si possono solo aggiungere voci; accesso del supporto solo con autorizzazione e protocollo.

Non siamo certificati, ad esempio secondo ISO 27001. Se veniamo a conoscenza di una violazione della sicurezza dei dati che comporta presumibilmente un rischio elevato, la notifichiamo all’IFPDT e informiamo le persone interessate, se necessario (art. 24 LPD). Se riguarda dati di progetto, informiamo lo studio.

Sollaro non prende decisioni basate esclusivamente su un trattamento automatizzato che abbiano effetti giuridici o conseguenze significative (art. 21 LPD, art. 22 RGPD). Proposte di aggiudicazione, aggiudicazioni, approvazioni di fatture e pagamenti sono decisi da persone nello studio; semafori e segnalazioni di verifica servono loro da ausilio. Non effettuiamo alcuna profilazione.

Lei ha in particolare il diritto di

• chiedere informazioni sui Suoi dati personali (art. 25 LPD);
• far rettificare dati inesatti;
• chiedere la cancellazione o opporsi a un trattamento, nella misura in cui non vi si oppongano un obbligo o un interesse preponderante;
• ricevere i Suoi dati in un formato elettronico usuale (art. 28 LPD);
• revocare in qualsiasi momento un consenso con effetto per il futuro.

Scriva a hallo@sollaro.ch. Rispondiamo entro 30 giorni e chiediamo una prova d’identità se altrimenti non possiamo attribuirLe la richiesta con certezza. L’informazione è di norma gratuita. Se si tratta di dati di progetto, inoltriamo la richiesta allo studio e lo sosteniamo.

Autorità di vigilanza: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, 3003 Berna, edoeb.admin.ch.

Sollaro si rivolge a studi in Svizzera. Il RGPD può tuttavia applicarsi, ad esempio quando imprenditori dell’UE inoltrano offerte tramite il portale. In tal caso vale inoltre quanto segue:

• Basi giuridiche: come alla cifra 3. Per i dati di progetto la base giuridica la stabilisce lo studio.
• Diritti: accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opposizione (art. 15 a 21 RGPD), nonché reclamo presso un’autorità di controllo nell’UE, in particolare nel luogo di residenza o di lavoro.
• Trasferimento: secondo una decisione della Commissione europea la Svizzera è considerata uno Stato con una protezione adeguata dei dati. Per i fornitori al di fuori della Svizzera valgono le garanzie di cui alla cifra 11.

Non abbiamo designato un rappresentante nell’UE (art. 27 RGPD), poiché non rivolgiamo la nostra offerta in modo mirato a persone nell’UE. Se ciò dovesse cambiare, riesamineremo la questione.

Adeguiamo la presente informativa quando cambiano le funzioni, i fornitori o il diritto. Vale la versione pubblicata qui. I nuovi responsabili del trattamento li comunichiamo preventivamente agli studi secondo il contratto sul trattamento dei dati.

Aggiornato al: 23.10.2026