Accordo sul trattamento dei dati per conto (art. 9 LPD)

1. Parti e ambito di applicazione

1.1Il presente accordo (« l'Accordo ») è concluso tra:

• il cliente che utilizza Calenoo nell'ambito della propria attività professionale (« il Cliente », titolare del trattamento);
• Ekylibr SA, Avenue du Mail 18, CP 389, 2002 Neuchâtel, Svizzera (« Calenoo », responsabile del trattamento).

1.2L'Accordo si applica quando il Cliente tratta con Calenoo dati personali di terzi: i suoi clienti, i suoi invitati e i partecipanti ai suoi sondaggi.

1.3L'Accordo fa parte integrante delle condizioni generali di utilizzo di Calenoo (le « CGU »). Si applica non appena il Cliente utilizza il servizio a titolo professionale, senza firma. Il Cliente può richiedere un esemplare firmato a legal@calenoo.ch.

1.4L'Accordo si fonda sull'art. 9 della legge federale sulla protezione dei dati (LPD) e sull'ordinanza sulla protezione dei dati (OPDa). Quando il Cliente è soggetto al regolamento generale sulla protezione dei dati (RGPD), l'Accordo si applica anche ai sensi dell'art. 28 RGPD.

1.5L'Accordo non riguarda i dati del Cliente stesso (il suo account, le sue preferenze). Per questi, Calenoo è titolare del trattamento, secondo l'informativa sulla privacy.

2. Oggetto e durata

2.1Calenoo tratta dati personali per conto del Cliente nell'ambito del servizio: pagine di prenotazione, sondaggi di data, calendari collegati, e-mail e webhook.

2.2L'Accordo dura finché il Cliente utilizza il proprio account. Prosegue poi per la cancellazione dei dati, secondo la clausola 12.

3. Natura e finalità del trattamento

3.1Calenoo tratta i dati unicamente per fornire il servizio al Cliente. Il trattamento consiste nel:

• ospitare e registrare i dati;
• mostrarli al Cliente e alle persone interessate;
• inviare le e-mail (conferme, promemoria);
• scrivere gli appuntamenti nei calendari collegati del Cliente;
• inviare le prenotazioni agli strumenti scelti dal Cliente (webhook);
• cancellare i dati.

3.2Calenoo non vende tali dati. Non li utilizza per fini propri, salvo per la sicurezza del servizio (limiti anti-abuso), per statistiche di funzionamento aggregate e anonime (numeri giornalieri, senza nomi né indirizzi) o quando lo richiede la legge.

4. Persone interessate e categorie di dati

4.1Le persone interessate sono:

• gli invitati che prenotano sulle pagine del Cliente;
• i partecipanti ai sondaggi del Cliente;
• le persone che il Cliente invita via e-mail;
• i colleghi con cui il Cliente condivide le proprie disponibilità.

4.2Le categorie di dati sono:

• il nome e l'indirizzo e-mail;
• il messaggio libero inserito dalla persona;
• la data e l'ora dell'appuntamento, e la lingua;
• le risposte ai sondaggi;
• le fasce occupate dei calendari collegati del Cliente: sono lette al momento del calcolo delle fasce libere e non sono registrate da Calenoo;
• dati tecnici: un'impronta (hash) dell'indirizzo IP, utilizzata per limitare gli abusi.

4.3Calenoo non richiede dati personali degni di particolare protezione. Il Cliente evita di raccoglierne, in particolare tramite il campo libero.

5. Istruzioni del Cliente

5.1Calenoo tratta i dati unicamente su istruzione documentata del Cliente. Le sue istruzioni sono le CGU, l'Accordo e le impostazioni dell'account.

5.2Calenoo segnala al Cliente qualsiasi istruzione che gli sembri contraria alla legge.

5.3Il Cliente rimane responsabile della liceità del trattamento e dell'informazione delle persone interessate.

6. Riservatezza

6.1Calenoo limita l'accesso ai dati alle persone che ne hanno bisogno per fornire il servizio. Tali persone sono tenute alla riservatezza.

7. Sicurezza

7.1Calenoo adotta le misure tecniche e organizzative adeguate per proteggere i dati da qualsiasi violazione della sicurezza (art. 8 LPD, art. 1 a 3 OPDa).

7.2Alla data dell'Accordo, tali misure sono in particolare:

• una banca dati ospitata in Svizzera, nella regione di Zurigo; anche le funzioni server vengono eseguite a Zurigo;
• comunicazioni protette tramite HTTPS (TLS);
• token di accesso, password applicative dei calendari collegati e segreti di firma dei webhook cifrati (AES-256-GCM);
• dati separati per account nella banca dati (sicurezza a livello di riga, o RLS);
• un accesso di amministrazione limitato;
• limiti anti-abuso e una verifica anti-robot su alcuni moduli pubblici;
• la cancellazione automatica dei dati al termine della loro durata di conservazione (clausola 12).

7.3Calenoo adegua tali misure quando i rischi o la tecnica evolvono.

8. Sub-responsabili del trattamento

8.1Il Cliente autorizza in via generale Calenoo a ricorrere a sub-responsabili del trattamento. Quelli in essere alla data dell'Accordo figurano nell'allegato 1.

8.2Calenoo informa il Cliente di qualsiasi aggiunta o sostituzione almeno 30 giorni prima, via e-mail o tramite aggiornamento dell'allegato 1 (la versione e la data in cima alla pagina cambiano allora). Durante questi 30 giorni, il Cliente può opporsi alla modifica via e-mail a legal@calenoo.ch. Se la modifica è mantenuta, il Cliente può disdire il proprio account prima della sua entrata in vigore.

8.3Calenoo impone a ciascun sub-responsabile del trattamento obblighi di protezione dei dati equivalenti a quelli dell'Accordo.

8.4Calenoo rimane responsabile nei confronti del Cliente dell'esecuzione di tali obblighi da parte dei propri sub-responsabili del trattamento.

8.5I servizi che il Cliente sceglie autonomamente non sono sub-responsabili del trattamento di Calenoo: l'accesso con Google o Apple, i fornitori di calendario collegati (Google, Microsoft, Apple, Infomaniak), la videoconferenza Jitsi (8x8) e gli strumenti che ricevono i webhook (ad esempio Airtable, Zapier o Make). Il Cliente li sceglie e ne risponde. I dati giungono loro solo quando la funzione interessata viene utilizzata.

9. Trasferimenti all'estero

9.1La banca dati è ospitata in Svizzera. Alcuni sub-responsabili del trattamento hanno sede all'estero, in particolare negli Stati Uniti (allegato 1).

9.2Questi trasferimenti al di fuori della Svizzera sono disciplinati dalle clausole contrattuali tipo (CCT) della Commissione europea, adattate al diritto svizzero, o da garanzie equivalenti. Per Supabase, Vercel, Resend e Cloudflare, tali clausole fanno parte dell'accordo sul trattamento dei dati (DPA) concluso da Ekylibr SA con il fornitore. La Germania offre un livello di protezione riconosciuto come adeguato dalla Svizzera.

9.3I servizi scelti dal Cliente (clausola 8.5) possono avere sede al di fuori della Svizzera, in particolare negli Stati Uniti. Trattano i dati secondo le proprie condizioni.

10. Assistenza

10.1Calenoo aiuta il Cliente, nei limiti del ragionevole, a rispondere alle richieste delle persone interessate (accesso, rettifica, cancellazione). Se una persona interessata si rivolge a Calenoo in merito a dati trattati per conto del Cliente, Calenoo ne informa il Cliente.

10.2Calenoo aiuta inoltre il Cliente, nei limiti del ragionevole, per un'eventuale valutazione d'impatto sulla protezione dei dati personali (art. 22 LPD), fornendogli le informazioni di cui dispone.

11. Violazione della sicurezza dei dati

11.1Calenoo informa il Cliente il più rapidamente possibile (art. 24 LPD) di una violazione della sicurezza dei dati che interessa dati trattati per suo conto. Scrive all'indirizzo e-mail dell'account.

11.2Comunica le informazioni di cui dispone: natura della violazione, dati e persone interessati, probabili conseguenze, misure adottate. Le integra man mano.

11.3L'annuncio all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e alle persone interessate spetta al Cliente, in quanto titolare del trattamento.

12. Conservazione, cancellazione e fine dell'Accordo

12.1Calenoo cancella automaticamente i dati alle seguenti scadenze:

• prenotazioni ricevute (nome, indirizzo e-mail e messaggio dell'invitato): 6 mesi dopo la fine dell'appuntamento; l'evento già aggiunto a un calendario collegato non viene toccato;
• sondaggi e tutto ciò che contengono (fasce orarie, risposte, nomi, indirizzi e-mail, commenti, inviti): 6 mesi dopo l'ultima data proposta;
• contenuto degli invii agli strumenti del Cliente (webhook): non appena l'invio è terminato; il registro tecnico, senza tale contenuto, è eliminato dopo 30 giorni;
• credenziali dei calendari collegati: non appena il Cliente scollega il calendario o elimina il proprio account.

12.2Il Cliente può chiedere a privacy@calenoo.ch una cancellazione più rapida, o una copia dei dati prima della loro cancellazione.

12.3Se il Cliente chiede l'eliminazione del proprio account, questa diventa effettiva dopo un periodo di recesso di 7 giorni; un accesso la annulla. Dalla richiesta, i calendari collegati vengono scollegati, le pagine di prenotazione vengono chiuse e gli appuntamenti futuri vengono annullati (le persone interessate ne sono informate). Trascorsi i 7 giorni, l'account, le pagine di prenotazione e tutte le prenotazioni ricevute sono eliminati definitivamente. I sondaggi del Cliente sono anonimizzati (il suo nome e il suo indirizzo e-mail ne vengono rimossi): restano accessibili ai loro partecipanti, poi sono cancellati secondo la clausola 12.1.

12.4Un account senza alcuna attività per 12 mesi è considerato inattivo. Calenoo scrive allora tre volte al Cliente, a tre settimane di distanza. Senza un accesso da parte sua, l'account viene eliminato otto settimane dopo il primo messaggio, con gli stessi effetti di un'eliminazione richiesta (clausola 12.3). Basta un semplice accesso per conservarlo. Gli account con un abbonamento a pagamento in corso non sono interessati.

12.5Le copie di backup conservate dal fornitore di hosting sono cancellate secondo il suo ciclo specifico.

13. Controllo

13.1Calenoo mette a disposizione del Cliente la documentazione necessaria per dimostrare il rispetto dell'Accordo: l'Accordo stesso, l'elenco dei sub-responsabili del trattamento (allegato 1) e i documenti di tali fornitori (i loro accordi sul trattamento dei dati).

13.2Il Cliente può far verificare il rispetto dell'Accordo mediante un audit. L'audit è a carico del Cliente. Viene annunciato con un ragionevole preavviso, condotto senza perturbare il servizio e senza accesso ai dati di altri clienti di Calenoo.

14. Responsabilità

14.1La responsabilità delle parti è disciplinata dalle CGU (sezione 9).

15. Diritto applicabile e foro competente

15.1L'Accordo è regolato dal diritto svizzero. Il foro esclusivo è fissato presso la sede di Calenoo, a Neuchâtel (Svizzera), come nelle CGU (sezione 13), fatte salve le disposizioni imperative.

16. Modifiche

16.1La versione e la data dell'Accordo figurano in cima a questa pagina.

16.2In caso di modifica importante, Calenoo informa i propri clienti con un mezzo appropriato. Una modifica di sub-responsabile del trattamento segue la clausola 8.

Allegato 1 — Sub-responsabili del trattamento

Calenoo si avvale dei seguenti sub-responsabili del trattamento (stato al 2 novembre 2026). Questo elenco è quello della sezione 7 dell'informativa sulla privacy. Non tutti ricevono dati a ogni utilizzo: dipende dalla funzione utilizzata.