Accordo sul trattamento dei dati

#1. Parti e ambito di applicazione

Titolare del trattamento: l’organizzazione che ha aperto l’account Ojava (il «Cliente»). Responsabile del trattamento: Ojava, Dhanush Kalyan Guntaka, ditta individuale (iscrizione in corso), c/o Antonin Ayewubo, Rue de Lausanne 26, 1201 Genève, Svizzera («Ojava»); e-maildhanush@ojava.ch, protezione dei dati privacy@ojava.ch; IDI in corso.

Il presente accordo sul trattamento dei dati («Accordo») fa parte delle Condizioni d’uso di Ojava ed è accettato al momento della registrazione del Cliente. Disciplina il trattamento di dati personali da parte di Ojava per conto del Cliente ai sensi, nella misura in cui ciascuna si applica al Cliente: della legge federale svizzera sulla protezione dei dati (LPD, art. 9), del Regolamento generale sulla protezione dei dati dell’UE/SEE (RGPD, art. 28) e delle leggi sulla privacy degli Stati USA come il California Consumer Privacy Act (CCPA), in base alle quali Ojava agisce come «service provider» o «processor». Si applica finché Ojava tratta dati del Cliente.

#2. Dati trattati

Finalità: rilevare e spiegare le minacce alla sicurezza degli account e dei computer collegati del Cliente (Microsoft 365, Google Workspace e, in accesso anticipato, PC Windows tramite l’agente Ojava), produrre avvisi, incidenti e rapporti, contare gli account attivi per il limite del piano, e gestire l’account Ojava e la fatturazione del Cliente.

Interessati e dati: gli utenti degli account collegati del Cliente (indirizzo e-mail, nome visualizzato, eventi di accesso con ora, indirizzo IP, luogo approssimativo, operatore di rete e dispositivo; modifiche ai metodi di accesso senza numeri di telefono; regole e deleghe di posta, con le parole chiave delle regole conservate solo nell’avviso; autorizzazioni concesse ad app; azioni amministrative; eventi di condivisione e download di file senza contenuto e senza nomi di file, salvo al massimo 20 nomi in un avviso di condivisione massiva; avvisi di viaggio); e gli utenti Ojava e i contatti di avviso del Cliente (e-mail, nome, hash della password, ruolo, accessi, preferenze, registro di audit e i numeri di cellulare di titolari e amministratori che scelgono gli avvisi SMS).

PC Windows (accesso anticipato): gli utenti dei PC su cui il Cliente installa l’agente Ojava (nomi degli account negli eventi di sicurezza di Windows, nomi, percorsi e righe di comando dei programmi che si avviano con la cartella dell’utente indicata come %USERPROFILE%, tipo di cartella ed estensione dei file modificati nelle cartelle utente, un percorso di esempio quando molti file cambiano insieme, indirizzi delle connessioni di rete, programmi ad avvio automatico, impostazioni di sicurezza di Windows, nome del PC e versione di Windows). In un avviso, Ojava conserva i dettagli su cui si basa, come la riga di comando di un programma o di un comando PowerShell (al massimo 500 caratteri, con la cartella dell’utente mascherata) o l’indirizzo remoto di una connessione, per tutto il tempo in cui l’avviso è conservato.

Domini e-mail: per i domini che il Cliente ha verificato in Microsoft 365 o Google Workspace (al massimo 5), i record DNS pubblici (SPF, DMARC, DKIM, fornitore di posta) sono controllati ogni settimana tramite il resolver DNS pubblico di Quad9 Foundation (Zurigo). È conservato solo l’ultimo risultato per dominio, fino alla cancellazione dell’account.

Non trattati: il contenuto di e-mail, allegati, file o messaggi di chat. Non è previsto il trattamento di categorie particolari di dati personali (come i dati sanitari).

#3. Obblighi di Ojava

• Istruzioni (art. 28 par. 3 lett. a RGPD, art. 9 cpv. 1 LPD). Ojava tratta i dati del Cliente solo per fornire il servizio e secondo le istruzioni documentate del Cliente: le presenti condizioni e le impostazioni del Cliente. Ojava informa il Cliente se ritiene che un’istruzione violi il diritto della protezione dei dati.
• Riservatezza (art. 28 par. 3 lett. b RGPD). Chiunque in Ojava abbia accesso ai dati del Cliente è tenuto alla riservatezza.
• Sicurezza (art. 28 par. 3 lett. c e art. 32 RGPD, art. 8 e 9 cpv. 2 LPD). Ojava applica le misure dell’allegato e le mantiene aggiornate.
• Sub-responsabili (art. 28 par. 2 e 4 RGPD, art. 9 cpv. 3 LPD). Vedi la sezione 4.
• Richieste degli interessati (art. 28 par. 3 lett. e RGPD). Ojava aiuta il Cliente, nella misura del ragionevole, a rispondere alle richieste degli interessati. I titolari possono esportare da sé tutti i dati dell’organizzazione in Impostazioni → Sicurezza.
• Violazioni e valutazioni d’impatto (art. 28 par. 3 lett. f e art. 33 par. 2 RGPD, art. 24 cpv. 3 LPD). Ojava informa il Cliente senza ingiustificato ritardo, e al più tardi entro 48 ore da quando ne è venuta a conoscenza, di una violazione che riguarda i dati del Cliente, affinché il Cliente possa adempiere i propri obblighi (notificarla all’IFPDT il prima possibile secondo l’art. 24 cpv. 1 LPD, o a un’autorità di controllo dell’UE entro 72 ore secondo l’art. 33 par. 1 RGPD). Ojava aiuta, nella misura del ragionevole, nelle valutazioni d’impatto sulla protezione dei dati (art. 35 RGPD, art. 22 LPD).
• Cancellazione e restituzione (art. 28 par. 3 lett. g RGPD). Gli eventi di accesso e di attività sono cancellati dopo 90 giorni (eventi grezzi dei PC Windows dopo 30 giorni); gli avvisi e gli incidenti chiusi dopo 24 mesi (3 mesi nel piano Starter a pagamento, 5 anni nel piano Business a pagamento); i registri di audit dopo 24 mesi; gli avvisi di viaggio 30 giorni dopo il viaggio. Dopo la disdetta tutti i dati del Cliente sono cancellati definitivamente dopo 30 giorni, tranne le fatture, che il diritto contabile svizzero impone a Ojava di conservare 10 anni (art. 958f CO). I backup sono sovrascritti entro 14 giorni. Fino alla cancellazione il titolare del Cliente può scaricare in qualsiasi momento tutti i dati del Cliente (Impostazioni → Sicurezza → esportazione, JSON leggibile da macchina); su richiesta all’indirizzo privacy, Ojava invia l’esportazione.

  Dati	Conservati
  Eventi di accesso e di attività (Microsoft 365, Google Workspace)	90 giorni
  Eventi grezzi dei PC Windows	30 giorni
  Avvisi e incidenti chiusi	Starter 3 mesi · Professional 2 anni · Business 5 anni (aperti: fino alla chiusura)
  Registro di audit del suo account (incl. l’indirizzo IP delle azioni sull’account)	24 mesi
  Nomi di file (al massimo 20, solo avvisi di condivisione massiva), parole chiave delle regole di posta, righe di comando (al massimo 500 caratteri) e indirizzi di connessione su cui si basa un avviso	solo nell’avviso, cancellati con esso
  Avvisi di viaggio («Sono in viaggio»)	30 giorni dopo la fine del viaggio
  Numero di cellulare per gli avvisi SMS (titolari e amministratori)	finché non lo rimuove o l’account viene cancellato
  Registro degli SMS inviati (data, tipo, costo; senza numero né testo)	24 mesi
  Presso ASPSMS: il numero e l’ora d’invio	al massimo 6 mesi, se il diritto svizzero sulla sorveglianza delle telecomunicazioni lo richiede
  Richieste di accesso dall’estero	12 mesi
  Log del server (incl. indirizzi IP delle richieste)	30 giorni
  Risultati del controllo dei domini e-mail: ultimo risultato per dominio	fino alla cancellazione dell’account
  Controllo del dominio e-mail (sito web): indirizzo IP	24 ore
  Elenco degli account utente (per contare gli account attivi del piano)	sostituito ogni giorno; cancellato con la connessione o l’account
  Dispositivi attendibili (verifica in due passaggi)	30 giorni
  Backup	fino a 14 giorni, poi sovrascritti
  Tutto, dopo la disdetta o una richiesta di cancellazione	30 giorni (per tornare o esportare), poi cancellato
  Fatture	10 anni (diritto contabile svizzero)

• Informazioni e audit (art. 28 par. 3 lett. h RGPD). Ojava fornisce su richiesta le informazioni necessarie a dimostrare il rispetto del presente Accordo. Gli audit in loco richiedono un preavviso di 30 giorni e sono a carico del Cliente.
• Monitoraggio dei suoi collaboratori (obblighi del Cliente). Il Cliente è titolare del trattamento dei dati delle persone di cui collega gli account e i computer a Ojava. Prima di collegare una fonte o di installare l’agente Ojava, il Cliente (a) informa tali persone del monitoraggio, della sua finalità di sicurezza e di ciò che viene raccolto, compreso il fatto che Windows tiene un registro di controllo locale del programma che modifica file nelle loro cartelle utente; (b) consulta la commissione del personale o i rappresentanti dei lavoratori, o ne ottiene l’accordo, se il diritto applicabile lo richiede; e (c) si assicura di disporre di una base giuridica per il monitoraggio. Ojava mette a disposizione un modello di informativa per i collaboratori (Impostazioni → Sicurezza). Il Cliente tiene indenne Ojava da qualsiasi pretesa derivante da una violazione della presente clausola.
• Segreto professionale. Se il Cliente è vincolato dal segreto professionale (per esempio ai sensi dell’art. 321 del Codice penale svizzero), Ojava agisce come suo ausiliario: mantiene segreti tutti i dati del Cliente, li utilizza solo per fornire il Servizio e vincola il proprio personale e i propri sub-responsabili allo stesso segreto.

#4. Sub-responsabili

Il Cliente autorizza i sub-responsabili seguenti (art. 28 par. 2 RGPD, art. 9 cpv. 3 LPD). Ojava dà un preavviso di almeno 30 giorni via e-mail prima di aggiungerne o sostituirne uno; il Cliente può opporsi e disdire. Ojava vincola ogni sub-responsabile a obblighi di protezione dei dati almeno equivalenti al presente Accordo (art. 28 par. 4 RGPD).

• Infomaniak Network SA (Svizzera): hosting, database e backup (centro dati di Ginevra, Swiss Backup), dominio e DNS; tutti i dati del Cliente.
• Anthropic PBC (USA): spiegazioni degli avvisi e risposte dell’assistente con IA; dettagli degli avvisi con nomi, indirizzi e-mail, indirizzi IP e nomi dei PC sostituiti da segnaposto; mai contenuto di e-mail o file, nomi di file, parole chiave delle regole, destinazioni di viaggio o numeri di telefono.
• Resend, Inc. (USA): invia le e-mail di Ojava (avvisi, codici di accesso, inviti, fatture, promemoria); indirizzo del destinatario e contenuto dell’e-mail.
• VADIAN.NET AG (ASPSMS), San Gallo, Svizzera: SMS degli avvisi critici a titolari e amministratori che hanno aggiunto un numero di cellulare; il numero e il testo del messaggio (solo il nome dell’organizzazione).
• Microsoft Ireland Operations Ltd (UE), con Microsoft Corporation (USA): caselle di posta di Ojava; corrispondenza con il Cliente.
• Stripe Payments Europe, Ltd. (Irlanda), con Stripe, LLC (USA): pagamenti con carta per i clienti fuori dalla Svizzera; solo dati di fatturazione.

#5. Trasferimenti internazionali

I dati del Cliente sono ospitati in Svizzera (Ginevra); l’UE riconosce alla Svizzera un livello di protezione adeguato (art. 45 RGPD). La comunicazione all’estero rispetta l’art. 16 LPD e gli art. 44–46 RGPD: l’UE/SEE è riconosciuta dalla Svizzera come adeguata (allegato 1 dell’ordinanza sulla protezione dei dati); i sub-responsabili negli Stati Uniti sono certificati nell’ambito del Data Privacy Framework Svizzera–USA e UE–USA, oppure il trasferimento si basa sulle clausole contrattuali tipo dell’UE nelle loro condizioni di trattamento, con gli adeguamenti riconosciuti dall’IFPDT (art. 16 cpv. 2 lett. d LPD, art. 46 par. 2 lett. c RGPD). Resend è certificata solo nel quadro UE–USA (verificato il 6 novembre 2026): i dati svizzeri inviati a Resend si basano quindi sulle clausole contrattuali tipo; Anthropic si basa sulle clausole contrattuali tipo.

#6. Stati Uniti: impegni come «service provider»

Dove si applicano le leggi sulla privacy degli Stati USA, Ojava: non vende né condivide informazioni personali; non le conserva, utilizza o divulga per finalità diverse dalla fornitura del servizio al Cliente, né al di fuori del rapporto commerciale diretto con il Cliente; non le combina con informazioni personali provenienti da altre fonti, salvo quanto consentito da tali leggi; rispetta gli obblighi applicabili ai «service provider» garantendo lo stesso livello di protezione; e informa il Cliente se non può più adempiere a tali obblighi. Il Cliente può adottare misure ragionevoli per interrompere e porre rimedio a qualsiasi uso non autorizzato.

#7. Responsabilità, diritto applicabile e prevalenza

La responsabilità segue le Condizioni d’uso di Ojava. Il presente Accordo è disciplinato dal diritto svizzero; sono competenti i tribunali di Ginevra, Svizzera. Restano salve le disposizioni imperative del RGPD o di altre leggi applicabili sulla protezione dei dati. In caso di contrasto con le Condizioni in materia di protezione dei dati, prevale il presente Accordo. Una copia firmata è disponibile su richiesta a privacy@ojava.ch.

#Allegato: misure tecniche e organizzative

• Cifratura in transito: HTTPS solo con TLS 1.3, HSTS.
• Credenziali: token di accesso Microsoft e Google cifrati a livello applicativo; password con hash bcrypt; segreti dell'autenticazione a due fattori cifrati.
• Backup: esportazioni notturne del database cifrate con AES-256 e conservate al massimo 14 giorni, sul server e presso Infomaniak Swiss Backup (copie in due centri dati Infomaniak in Svizzera). Dati a riposo: il database e tutti i dati del server sono su un disco cifrato (LUKS2, AES-256).
• Separazione: ogni interrogazione al database è limitata all'organizzazione del Cliente.
• Controllo degli accessi: ruoli (titolare, amministratore, dipendente di fiducia, dipendente); verifica in due passaggi obbligatoria per ogni utente (titolari e amministratori: passkey o app di autenticazione); sessioni revocate in caso di reimpostazione della password o cambio di ruolo.
• Protezione dagli abusi: limiti di frequenza su accesso, registrazione, reimpostazione della password e altre azioni sensibili.
• Rete: firewall che consente solo traffico web e SSH; database e servizi interni non raggiungibili da Internet; SSH solo con chiave; aggiornamenti di sicurezza automatici.
• Registrazione: registro di audit di accessi, accessi falliti, modifiche dell'autenticazione a due fattori, esportazioni e azioni amministrative per organizzazione.
• Monitoraggio: controlli automatici ogni 5 minuti di sito, API, servizi, disco, backup e certificati, con allarmi al gestore.
• Privilegi minimi alla fonte: autorizzazioni Microsoft in sola lettura per i registri di audit e di directory e due autorizzazioni Google in sola lettura (rapporti di controllo; elenco degli utenti); nessuna autorizzazione a leggere le e-mail. L’agente Windows invia eventi di sicurezza, percorsi e righe di comando dei programmi con la cartella dell’utente mascherata (%USERPROFILE%) e per i file modificati solo tipo di cartella ed estensione, mai il contenuto dei documenti.
• Minimizzazione dei dati: cancellazione automatica dopo i periodi della sezione 3; nessun nome o percorso di file e nessun numero di telefono conservati con gli eventi (al massimo 20 nomi di file, solo in un avviso di condivisione massiva); parole chiave delle regole di posta conservate solo nell'avviso; nessun nome di file, parola chiave di regola, destinazione di viaggio o numero di telefono inviato al fornitore di IA, che riceve dati pseudonimizzati.
• Aggiornamenti software: dipendenze verificate nelle banche dati delle vulnerabilità note prima di ogni rilascio.