Accordo sul trattamento dei dati

Stato: 25.10.2026 (bozza, verifica giuridica in sospeso). Fa fede la versione tedesca.

Accordo sul trattamento dei dati
tra il cliente ai sensi delle condizioni generali di igs.ch (di seguito «cliente», titolare del trattamento)
e Hunkeler Digital Services, Richard Hunkeler, Im Storchen 1, 8212 Neuhausen am Rheinfall, Svizzera (di seguito «igs.ch», responsabile del trattamento)

1. Oggetto e durata

• Il presente accordo disciplina il trattamento di dati personali da parte di igs.ch per conto del cliente ai sensi dell'art. 9 della legge federale sulla protezione dei dati (LPD). Se al cliente si applica il regolamento generale sulla protezione dei dati dell'UE (RGPD), vale anche come contratto ai sensi dell'art. 28 RGPD.
• È parte integrante delle condizioni generali (CG) di igs.ch e vale per la durata del contratto e fino alla cancellazione dei dati secondo la cifra 9.
• Se un partner utilizza la piattaforma per le proprie organizzazioni clienti, igs.ch tratta i dati in qualità di ulteriore responsabile del trattamento del partner. Il partner si assicura di poter ricorrere a igs.ch in base ai contratti con le sue organizzazioni clienti.

2. Natura e scopo del trattamento

igs.ch riceve i rapporti aggregati DMARC (rua) relativi ai domini del cliente al rispettivo indirizzo di rapporto, li preleva tramite IMAP, li legge, attribuisce i server di posta mittenti a mittenti (catalogo di servizi noti, DNS inverso, operatore di rete), li memorizza, li aggrega, li mostra e li cancella esclusivamente per mettere a disposizione del cliente l'inventario dei mittenti, i risultati dei controlli e raccomandazioni per l'introduzione dell'autenticazione delle e-mail. Inoltre igs.ch gestisce i compiti per la correzione di errori che il cliente assegna agli utenti del suo conto o a persone esterne senza conto, con cronologia, risposte e file. Su richiesta del cliente, igs.ch riceve e analizza inoltre i rapporti TLS-RPT relativi ai suoi domini e, nei piani Progetto e Partner, mette a disposizione la sua policy MTA-STS.

3. Categorie di persone interessate e di dati

• Persone interessate: gestori e utenti di server di posta che inviano e-mail a nome dei domini del cliente, inclusi terzi che utilizzano il dominio senza autorizzazione; organizzazioni segnalanti; persone esterne alle quali il cliente assegna compiti (p. es. collaboratori di un partner informatico).
• Dati per rapporto: periodo del rapporto, organizzazione segnalante e identificativo del rapporto; l'e-mail di rapporto ricevuta con intestazioni e allegato fino alla sua cancellazione.
• Dati per riga del rapporto: indirizzo IP del server di posta mittente, numero di e-mail, disposizione, risultati SPF e DKIM, domini e selettori, allineamento, dominio nel campo mittente (header-from); da essi derivati il nome host (DNS inverso), l'operatore di rete (ASN), l'attribuzione a un mittente e la sua classificazione da parte del cliente; aggregati giornalieri per mittente.
• Dati dai rapporti TLS-RPT: periodo del rapporto, organizzazione segnalante con indirizzo di contatto, identificativo del rapporto, policy, numero di connessioni cifrate riuscite e fallite, tipo di errore, nome e indirizzo IP del server di posta ricevente nonché, se indicato, indirizzo IP del server mittente.
• Non sono trattati contenuti di e-mail, righe dell'oggetto e indirizzi dei destinatari. I rapporti forensi (ruf) sono scartati senza valutazione.
• Gli indirizzi IP appartengono per lo più a sistemi di imprese e di provider di posta; in singoli casi può sussistere un riferimento a persone (p. es. server di posta proprio di una persona che esercita un'attività indipendente). Il trattamento di dati personali degni di particolare protezione non è previsto.
• Dati relativi ai compiti: mittente, tipo di errore, termine, stato, cronologia con risposte, note interne e file caricati; per le persone esterne indirizzo e-mail, nome (facoltativo), lingua e momenti di apertura del link personale; risposte della persona assegnata per e-mail a order@igs.ch (testo senza citazione, allegati nei formati ammessi).
• Se sono offerte ulteriori funzioni nelle quali igs.ch tratta dati personali per conto del cliente, igs.ch integra preventivamente la presente cifra secondo la cifra 11 delle CG.

4. Istruzioni

• igs.ch tratta i dati solo secondo le istruzioni documentate del cliente. Valgono come istruzioni il presente accordo, le impostazioni e le azioni del cliente sulla piattaforma (p. es. aggiunta e rimozione di domini, classificazione dei mittenti, assegnazione e chiusura di compiti) e le comunicazioni scritte degli utenti principali.
• Se igs.ch ritiene un'istruzione illecita, ne informa immediatamente il cliente e può sospenderne l'esecuzione fino a chiarimento.
• Non avviene alcun trattamento per scopi propri. Fanno eccezione i dati che igs.ch tratta in qualità di titolare (conto e utenti, fatturazione, sicurezza della piattaforma, rapporti che non possono essere attribuiti ad alcun cliente); per questi vale la dichiarazione sulla protezione dei dati.

5. Riservatezza

igs.ch obbliga alla riservatezza tutte le persone che hanno accesso ai dati. L'accesso è limitato a quanto necessario per l'esercizio, il supporto e la sicurezza.

6. Sicurezza dei dati

igs.ch adotta le misure tecniche e organizzative secondo l'allegato 2 e le adegua allo stato della tecnica. Le modifiche non devono ridurre il livello di protezione.

7. Subresponsabili

• Il cliente autorizza i subresponsabili secondo l'allegato 1.
• igs.ch informa il cliente per e-mail almeno 30 giorni prima del ricorso a un nuovo subresponsabile o della sua sostituzione. Il cliente può opporsi per motivi importanti entro tale termine; in assenza di accordo può disdire l'abbonamento per la data della modifica, con rimborso pro rata degli importi già pagati, oppure chiudere un conto del piano Gratis.
• igs.ch impone ai subresponsabili gli obblighi del presente accordo, nella misura in cui sono applicabili alla loro prestazione.
• Un trattamento al di fuori della Svizzera avviene solo in Stati con una protezione adeguata secondo l'allegato 1 dell'ordinanza sulla protezione dei dati o con garanzie adeguate. Restano riservate le interrogazioni di servizi di elenco pubblici secondo l'allegato 1, nelle quali è trasmesso solo l'indirizzo IP di un server di posta mittente.

8. Supporto al cliente

• Diritti delle persone interessate: igs.ch inoltra al cliente le richieste che le pervengono direttamente e lo assiste per informazione, rettifica, cancellazione e consegna. Il cliente può cancellare autonomamente sulla piattaforma domini e i relativi dati dei rapporti e scaricare i propri dati.
• Violazioni della sicurezza dei dati: igs.ch notifica al cliente una violazione che riguarda i suoi dati il più presto possibile, di regola entro 48 ore dalla conoscenza, con le informazioni disponibili su natura, portata, conseguenze e misure adottate. Ulteriori informazioni seguono.
• igs.ch assiste adeguatamente il cliente nelle valutazioni d'impatto sulla protezione dei dati e nelle richieste delle autorità di vigilanza, nella misura in cui riguardano il trattamento da parte di igs.ch.

9. Restituzione e cancellazione

• Il cliente può scaricare i propri dati in qualsiasi momento nell'area clienti.
• Durante il contratto igs.ch cancella i dati secondo i seguenti termini: e-mail di rapporto nella casella di posta dopo 7 giorni; rapporti relativi a domini senza prova di proprietà dopo al massimo 7 giorni; singole righe dei rapporti dopo 30 giorni nel piano Gratis e dopo 13 mesi nei piani Progetto e Partner; in seguito restano solo aggregati giornalieri per mittente, finché il dominio è registrato nel conto; compiti con cronologia, file e le indicazioni delle persone esterne 24 mesi dopo la loro conclusione; i link per le persone esterne sono validi al massimo 30 giorni. Se il cliente rimuove un dominio, igs.ch cancella i relativi dati dei rapporti e i compiti.
• Dopo la fine dell'abbonamento o dopo un'interruzione per mancato pagamento i dati sono conservati per 90 giorni e poi cancellati, salvo che siano mantenuti nei limiti del piano Gratis (cifra 6 delle CG). igs.ch lo ricorda prima agli utenti principali per e-mail ogni 10 giorni. Se il cliente chiude il proprio conto, i dati sono cancellati immediatamente.
• I dati cancellati possono essere ancora presenti nei backup fino alla loro scadenza (allegato 2); non sono più trattati e tornano disponibili solo in caso di ripristino.
• igs.ch registra le cancellazioni su richiesta e le chiusure di conti in un registro delle cancellazioni e le ripete dopo il ripristino di un backup; la piattaforma ripete da sé le cancellazioni automatiche alla scadenza dei termini. Per le cancellazioni di singoli contenuti da parte del cliente igs.ch non tiene alcun registro (giornale delle cancellazioni): se occorre ripristinare un backup, tali contenuti possono essere di nuovo presenti, di regola al massimo le cancellazioni delle ultime 12 ore. In tal caso igs.ch informa senza indugio il cliente affinché possa ripetere la cancellazione.
• Le fatture e le prove che igs.ch deve conservare sono mantenute per il termine legale.

10. Prove e controlli

• Informazioni: igs.ch mette a disposizione del cliente, su richiesta, le informazioni necessarie per dimostrare il rispetto del presente accordo, in particolare le misure tecniche e organizzative attuali (allegato 2), l'elenco dei subresponsabili (allegato 1), un riassunto dell'ultimo test di ripristino dei backup e risposte scritte a un questionario del cliente. Il cliente vede il registro delle azioni del proprio conto direttamente in igs.ch.
• Controllo: se le informazioni non bastano in modo comprovato, il cliente può controllare il rispetto dell'accordo personalmente o farlo controllare da un revisore; lo stesso vale dopo una violazione della sicurezza dei dati che riguarda i suoi dati o se un'autorità di vigilanza lo richiede. Il revisore deve essere tenuto al segreto e non deve essere un concorrente di igs.ch.
• Svolgimento: un controllo va annunciato per scritto almeno 30 giorni prima, dopo una violazione della sicurezza dei dati 5 giorni lavorativi. Si svolge al massimo una volta ogni 12 mesi, salvo dopo una violazione o su richiesta di un'autorità di vigilanza, e dura di regola al massimo un giorno lavorativo.
• Forma: i controlli si svolgono a distanza (videoconferenza, consultazione di documenti e impostazioni). Un controllo sul posto ha luogo solo se il controllo a distanza non basta in modo comprovato, se un'autorità di vigilanza lo richiede o dopo una grave violazione della sicurezza dei dati che riguarda i dati del cliente. È eseguito da un revisore indipendente tenuto al segreto, in un luogo in Svizzera designato da igs.ch; i costi sono a carico del cliente. Per il centro dati dell'hosting valgono le prove di quest'ultimo; visite al centro dati non sono possibili.
• Limiti: il controllo non comprende l'accesso ai dati di altri clienti, al codice sorgente, a chiavi o dati di accesso né ai segreti d'affari di igs.ch. Test di sicurezza contro la piattaforma (p. es. test di penetrazione o scansioni) sono ammessi solo con il previo consenso scritto di igs.ch e secondo regole convenute.
• Costi: un'informazione è gratuita una volta ogni 12 mesi. Per ulteriori informazioni e per i controlli ogni parte sostiene i propri costi; igs.ch fattura il proprio onere a CHF 180 l'ora. Se un controllo rileva una violazione sostanziale del presente accordo da parte di igs.ch, questa sostiene il proprio onere.
• Risultati: il cliente mette a disposizione di igs.ch il risultato del controllo. igs.ch elimina le lacune constatate entro un termine adeguato e comunica al cliente le misure adottate.
• Autorità: i controlli delle autorità di vigilanza competenti sono riservati; le limitazioni della presente cifra non si applicano a esse nella misura prevista dal diritto.

11. Responsabilità e disposizioni finali

• La responsabilità è disciplinata dalle CG.
• In caso di contraddizione, il presente accordo prevale sulle CG per quanto riguarda la protezione dei dati personali.
• Si applica il diritto svizzero. Il foro è Sciaffusa. Fa fede la versione tedesca.
• Il presente accordo è parte integrante delle CG ed è concluso elettronicamente con la loro accettazione al momento della registrazione; non è necessario un consenso separato. Versione delle CG, momento, persona e indirizzo IP sono registrati. Le modifiche avvengono secondo la cifra 11 delle CG. La versione in vigore è pubblicata su igs.ch.

Allegato 1: subresponsabili

• Server4You GmbH, Hanau (Germania): messa a disposizione del server dedicato di igs.ch (piattaforma, banca dati, file, casella di posta per i rapporti aggregati, invio di e-mail) in un centro dati a Strasburgo (Francia); l'amministrazione del sistema è curata da igs.ch stessa. La Francia e la Germania sono Stati con una protezione dei dati adeguata. Un accordo separato sul trattamento dei dati con Server4You non esiste ancora; igs.ch mira a concluderlo entro il 31.03.2027. Backup cifrati sono inoltre conservati su un computer separato di proprietà di igs.ch in Svizzera.
• Interrogazione di servizi di elenco pubblici (non subresponsabili in senso stretto, indicati per trasparenza): Team Cymru, Inc. (USA), servizio «IP to ASN», interrogato tramite DNS per determinare l'operatore di rete (ASN) di un server di posta mittente; interrogazioni DNS inverse ai server dei nomi competenti per il rispettivo intervallo IP. È trasmesso di volta in volta solo l'indirizzo IP del server di posta mittente, senza indicazioni sul cliente, sul dominio o su e-mail.
• Let's Encrypt (Internet Security Research Group, USA; non un subresponsabile in senso stretto, indicato per trasparenza): emissione del certificato per i nomi mta-sts.<dominio> in caso di MTA-STS ospitato. Sono trasmessi solo questi nomi; essi sono registrati pubblicamente secondo la procedura Certificate Transparency.
• Non sono subresponsabili i servizi che igs.ch utilizza in qualità di titolare, p. es. il programma di contabilità cash.simples.ch (server di Server4You GmbH, centro dati di Strasburgo) e il servizio di pagamento Revolut per i pagamenti con carta.
• Le e-mail a destinatari esterni sono recapitate tramite i loro provider.

Allegato 2: misure tecniche e organizzative

• Accesso: accesso con password (memorizzata solo come hash) e secondo fattore obbligatorio (codice di un'app di autenticazione, chiave memorizzata in forma cifrata); eccezione: dispositivi affidabili solo su richiesta e per al massimo 90 giorni; disconnessione dopo inattività; codici di ripristino solo come hash; limitazione dei tentativi di accesso.
• Autorizzazioni: separazione dei mandanti in ogni interrogazione; ruoli utente principale, editore e lettore; invito di altri utenti solo da parte degli utenti principali; le persone esterne vedono, tramite un link casuale, a tempo determinato e revocabile (memorizzato solo come hash), esclusivamente il compito assegnato, senza note interne.
• Ricezione dei rapporti: indirizzo di rapporto proprio per ogni dominio, casuale e non indovinabile; valutazione solo se l'identificativo coincide in tutte le intestazioni e il dominio nel rapporto corrisponde all'identificativo, altrimenti archiviazione come difettoso e annotazione nel registro di sistema; valutazione solo per domini con proprietà dimostrata; prelievo tramite IMAP esclusivamente su TLS; dati di accesso della casella di posta al di fuori della directory web; verifica della firma DKIM dell'e-mail di rapporto, i rapporti non autenticati sono contrassegnati e non contano per le raccomandazioni.
• Lettura dei rapporti: parser XML con entità esterne disattivate (protezione da XXE); solo tipi di file ammessi (XML, GZIP, ZIP); limiti di dimensione per allegato e per la dimensione decompressa (protezione da bombe ZIP); riconoscimento di rapporti doppi; i rapporti forensi sono scartati.
• Minimizzazione dei dati: nessun contenuto di e-mail, nessuna riga dell'oggetto e nessun indirizzo dei destinatari; cancellazione delle e-mail di rapporto dopo 7 giorni; conservazione limitata delle righe dei rapporti, in seguito solo aggregati giornalieri (cifra 9); ai servizi di elenco esterni è trasmesso solo l'indirizzo IP del server di posta.
• Trasmissione: esclusivamente cifrata (HTTPS); Content-Security-Policy rigorosa senza contenuti di terzi; caratteri forniti dal nostro server; nessun tracciamento.
• Memorizzazione: file al di fuori della directory web; file caricati relativi ai compiti solo in formati ammessi (verificati in base al contenuto), con limite di dimensione e fornitura solo come download; chiavi del secondo fattore cifrate.
• Registrazione: azioni importanti con momento e persona (l'indirizzo e-mail resta conservato dopo la cancellazione di un login); accessi alle interfacce (prelievo dei rapporti, esportazioni) in una banca dati separata con catena di hash che rende riconoscibili le modifiche successive (6 mesi); registro di sistema per i rapporti scartati.
• Backup: backup cifrato della banca dati e dei file almeno ogni 12 ore con copia su un computer separato di nostra proprietà in Svizzera; perdita di dati al massimo 12 ore, ripresa entro un giorno lavorativo; conservazione dei backup al massimo 6 mesi; registro delle cancellazioni per richieste e chiusure di conti, nessun giornale delle cancellazioni per singoli contenuti (cifra 9).
• Esercizio: aggiornamenti del sistema operativo e del software; monitoraggio dello stato del sistema (casella di posta, prelievo, record DNS di igs.ch, rapporti non elaborati) e dei backup con allarme; limitazione dell'invio di e-mail.
• Organizzazione: obbligo di riservatezza, accesso ai dati dei clienti solo se necessario per esercizio e supporto, verifica regolare di queste misure.