Contratto di trattamento dei dati (DPA)
Versione: 13 Ottobre 2026. Questa versione è in vigore dal 13 Ottobre 2026. In caso di modifiche sostanziali al presente Contratto del Responsabile del Trattamento, Lei sarà avvisato/a tempestivamente. Il presente contratto di trattamento dei dati ("DPA") disciplina gli obblighi delle parti in materia di protezione dei dati connessi al trattamento dei dati personali nell'ambito dell'utilizzo dei servizi Lokbox. Soddisfa i requisiti legali previsti dall'Art. 28 del GDPR e dalla Legge federale svizzera sulla protezione dei dati (nLPD). Cronologia delle modifiche: Versione 2026-10-13 – Eliminazione di Infisical dal § 4: il servizio per la gestione delle credenziali dei connettori non è in uso; attualmente non conserva né elabora credenziali né dati personali dei clienti. Versione 2026-10-10 – Allineamento del § 4 all'informativa sulla privacy e a lokbox.ch/subprocessors (aggiunta di Google Cloud Vertex AI con Gemini solo come opzione e Anthropic Claude tramite Vertex AI annunciato e non ancora attivo, di Plus Five Five, Inc. (Resend) e di Infisical) e riformulazione dei trasferimenti internazionali al § 5 (Clausole Contrattuali Tipo per Google e Resend; basi giuridiche GDPR e LPD). Versione 2026-09-28 – Correzione del § 4 (Supabase: Svizzera/Zurigo) e del § 5 (i dati dei clienti sono conservati in Svizzera, a Zurigo); entrambe erano state annunciate con la versione 2026-09-03 ma non riportate in questi paragrafi. Versione 2026-09-04 – Modifica della ditta, della sede e dell'indirizzo di domicilio del Responsabile del trattamento (ora: Kubilé IT, Chratzernstrasse 2b, 4803 Vordemwald, Cantone Argovia; prima: bubloo, Kubilé, Pfaffnau/St. Urban LU; IDI invariato) e corrispondente modifica del foro competente (§ 11). Versione 2026-09-03 – Aggiornamento dei sub-responsabili del trattamento e dei luoghi di trattamento (Infomaniak Network SA, Zurigo; Supabase Zurigo; §§ 4, 5), precisazione del trattamento Claude tramite il profilo di inferenza geografico UE di AWS Bedrock (§ 4), modifiche redazionali (ortografia svizzera, nome del marchio Lokbox). Versione 2026-07-06 – Aggiunta delle categorie di dati personali e delle categorie di interessati (§ 2), precisazione sulla conservazione dei dati nell'UE (§ 5), inserimento di una clausola sul foro competente (§ 11), chiarimenti in merito alle istruzioni e ai sub-responsabili del trattamento (§§ 3, 4). Versione 2026-06-16 – Versione iniziale.
Ultimo aggiornamento: 13 ottobre 2026
1. Parti
Titolare del trattamento (Cliente): L'utente dei servizi Lokbox che tratta dati personali nell'ambito del proprio account. Responsabile del trattamento (Fornitore): Kubilé IT, Chratzernstrasse 2b, 4803 Vordemwald, Svizzera (IDI: CHE-190.821.402).
2. Oggetto, Natura e Finalità del Trattamento
Il Responsabile del trattamento tratta i dati personali per conto e secondo le istruzioni documentate del Titolare del trattamento al fine di fornire i servizi Lokbox (automazione del browser basata su IA, elaborazione testi e integrazioni API). Il trattamento comprende la raccolta, la registrazione, la conservazione, l'estrazione, la consultazione e la cancellazione dei dati. Categorie di dati personali: dati anagrafici dei mandanti (nomi, indirizzi, recapiti, informazioni sulla società e sulla forma giuridica); identificativi (ad es. IDI, numeri di registro di commercio, fiscali e di assicurazione sociale, nella misura in cui sono inseriti dal Titolare del trattamento); nonché dati delle attività del portale (i testi delle attività conferiti dal Titolare del trattamento, i documenti caricati, il contesto di accesso e i dati di risultato e di registro generati dall'agente). Categorie di interessati: i mandanti del Titolare del trattamento e i loro rappresentanti autorizzati o persone di contatto, i collaboratori e gli utenti finali del Titolare del trattamento, nonché altre persone fisiche i cui dati il Titolare del trattamento inserisce nell'ambito di un'attività.
3. Istruzioni e Riservatezza
Il Responsabile del trattamento tratta i dati personali esclusivamente su istruzione documentata del Titolare del trattamento. Se il Responsabile del trattamento ritiene che un'istruzione violi il GDPR, la nLPD o altre disposizioni in materia di protezione dei dati, ne informa tempestivamente il Titolare del trattamento (Art. 28, par. 3, comma 2 del GDPR). Il Responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati (dipendenti) si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.
4. Sub-responsabili del Trattamento (Subprocessors)
Il Responsabile del trattamento si avvale in particolare dei seguenti sub-responsabili per la fornitura dei servizi: Infomaniak Network SA (hosting Frontend & Backend, Svizzera/Zurigo); Amazon Web Services (AWS) (piattaforma di inferenza Bedrock). Per l'attuale elaborazione Claude, Lokbox utilizza il profilo geografico di inferenza UE di AWS Bedrock con Francoforte come regione di origine principale. AWS può elaborare le richieste nelle regioni di destinazione europee documentate per tale profilo. Per l'attuale percorso di elaborazione Claude tramite Amazon Bedrock, AWS afferma che i fornitori dei modelli non hanno accesso ai prompt o ai completamenti dei clienti. L'eventuale conservazione da parte di AWS dipende dalla modalità di conservazione dei dati Bedrock configurata e dalle eccezioni documentate da AWS. Google Cloud Vertex AI — Regione: Stati membri dell'UE, esclusa la Svizzera (Gemini: europe-west4, Paesi Bassi; Claude: multi-regione UE, annunciato). Finalità: Risoluzione e sintesi della risposta con i modelli Gemini. Gemini: facoltativo, solo se attivato; attualmente non attivo per impostazione predefinita. Anthropic Claude tramite Vertex AI: annunciato, non ancora attivo. Plus Five Five, Inc. (Resend) — Regione: USA; invio tramite la regione UE (Irlanda) secondo la configurazione dell'account, trattamento dell'account e trattamento principale negli Stati Uniti. Finalità: Notifiche relative ad account, fatturazione e workspace (conferma, reimpostazione della password, inviti, richieste di documenti, riepiloghi). Supabase (database e archiviazione, Svizzera/Zurigo); Stripe (elaborazione dei pagamenti, UE/Irlanda); Sentry (monitoraggio degli errori, UE de.sentry.io). L'elenco completo e sempre aggiornato dei sub-responsabili del trattamento è disponibile su lokbox.ch/subprocessors ed è determinante per l'ambito del consenso prestato; il Titolare del trattamento acconsente con la presente all'utilizzo dei sub-responsabili ivi elencati. Il Responsabile del trattamento vincola contrattualmente ciascun sub-responsabile a obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli concordati nel presente DPA (Art. 28, par. 4 del GDPR). Il Responsabile del trattamento informerà tempestivamente il Titolare in merito a qualsiasi modifica prevista (aggiunta o sostituzione); il Titolare del trattamento può opporsi per validi motivi legati alla protezione dei dati.
5. Trasferimenti internazionali di dati (Verso paesi terzi)
Lokbox è un fornitore svizzero. I dati dei clienti sono conservati in Svizzera (Zurigo). L'elaborazione tramite IA, l'elaborazione dei pagamenti, l'invio di e-mail e il monitoraggio degli errori sono svolti dai sub-responsabili indicati al § 4 e possono avvenire al di fuori della Svizzera. Qualora l'uso di determinate integrazioni (es. Notion) comporti il trasferimento di dati negli Stati Uniti, il Responsabile del trattamento si avvale delle Clausole Contrattuali Tipo (SCC) della Commissione Europea (Art. 46, par. 2, lett. c del GDPR; Art. 16 cpv. 2 lett. d LPD, con gli adeguamenti svizzeri) oppure, se il destinatario è certificato, del EU-U.S. o Swiss-U.S. Data Privacy Framework (DPF; decisione di adeguatezza, Art. 45 del GDPR; Art. 16 cpv. 1 LPD). Qualora i sub-responsabili Google Cloud Vertex AI e Plus Five Five, Inc. (Resend) indicati al § 4 trasferiscano dati negli Stati Uniti, il Responsabile del trattamento si avvale a tal fine delle Clausole Contrattuali Tipo (Art. 46, par. 2, lett. c del GDPR; Art. 16 cpv. 2 lett. d LPD, con gli adeguamenti svizzeri). Il trattamento negli Stati dell'UE/SEE avviene in Stati con un livello adeguato di protezione dei dati (allegato 1 OPDa); a tal fine non è necessario alcuno strumento di trasferimento aggiuntivo.
6. Misure Tecniche e Organizzative (MTO)
Il Responsabile del trattamento ha adottato adeguate misure tecniche e organizzative ai sensi dell'Art. 32 del GDPR per garantire un livello di sicurezza adeguato al rischio. Tali misure includono: Crittografia: Tutti i trasferimenti di dati (TLS/SSL) e i dati archiviati (Data at Rest) sono crittografati; Isolamento: Le automazioni del browser vengono eseguite in ambienti sandbox isolati ed effimeri; Controllo degli accessi: L'accesso fisico e logico è rigorosamente limitato.
7. Obblighi di assistenza e Notifica delle violazioni dei dati (Breach Notification)
Il Responsabile del trattamento assiste in modo adeguato il Titolare del trattamento per rispondere alle richieste di esercizio dei diritti degli interessati (accesso, rettifica, cancellazione, ecc.). In caso di violazione dei dati personali (Data Breach), il Responsabile del trattamento informa tempestivamente il Titolare del trattamento dopo esserne venuto a conoscenza e lo assiste nei suoi obblighi legali di notifica e comunicazione (Art. 33, 34 GDPR) e nelle valutazioni d'impatto sulla protezione dei dati.
8. Diritti di controllo e audit
Il Responsabile del trattamento mette a disposizione del Titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui al presente DPA. Il Titolare del trattamento (o un revisore indipendente da lui incaricato) ha il diritto di effettuare verifiche e ispezioni ragionevoli, con un preavviso adeguato.
9. Conservazione e Cancellazione dei dati (Retention)
Al termine dei servizi, l'account utente e le aree di lavoro di sua proprietà vengono prima disattivati. I turni di conversazione della memoria vengono contrassegnati come eliminati e la loro cancellazione definitiva è pianificata dopo un periodo di tolleranza di 30 giorni. Gli altri dati personali vengono cancellati o restituiti quando le funzioni disponibili di esportazione e cancellazione lo consentono e non si applicano obblighi legali o di audit. Lokbox indica lo stato attuale e le opzioni disponibili nelle impostazioni dell'area di lavoro.
10. Durata del Contratto
Il presente DPA è stipulato a tempo indeterminato e termina automaticamente con la risoluzione del contratto principale relativo all'utilizzo dei servizi Lokbox.
11. Legge applicabile e Foro competente
Il presente DPA è disciplinato esclusivamente dal diritto svizzero, con esclusione delle norme sui conflitti di legge e della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci. Il foro esclusivo per tutte le controversie derivanti dal presente DPA o ad esso connesse è Zofingen (Cantone Argovia), Svizzera, salvo fori imperativi previsti dalla legge.