Accordo sul Trattamento dei Dati (Data Processing Agreement, DPA)

1. Ambito di applicazione e priorità

Questo Accordo sul Trattamento dei Dati ("DPA") è parte integrante del rapporto contrattuale tra Cliente e BeskarStaff AI nell'ambito delle Condizioni d'Uso, contratti di prestazione di servizi e/o moduli d'ordine applicabili (collettivamente il "Contratto"). Stabilisce le condizioni secondo cui BeskarStaff AI tratta dati personali per conto del Cliente in relazione ai Servizi.

Il DPA può essere aggiornato da BeskarStaff AI di volta in volta. Modifiche sostanziali saranno comunicate al Cliente attraverso canali appropriati (es. email o notifiche in-app) o pubblicate sul sito web. In caso di conflitto tra DPA e contratto principale, le disposizioni di questo DPA hanno priorità per quanto riguarda il trattamento dei dati personali.

Il DPA rimane in vigore finché BeskarStaff AI tratta dati personali del Cliente nell'ambito del Contratto. I termini con maiuscola non definiti in questo DPA hanno il significato loro attribuito nel Contratto o nella normativa sulla protezione dei dati applicabile.

2. Definizioni

"Dati del Cliente / Dati Personali del Cliente": Tutti i dati personali ricevuti da BeskarStaff AI dai Clienti o trattati per conto del Cliente durante l'utilizzo dei Servizi.

"Trattamento / Processing": Qualsiasi operazione o serie di operazioni relative a dati personali, es. raccolta, memorizzazione, accesso, utilizzo o cancellazione.

"revLPD / FADP": Legge svizzera sulla protezione dei dati rivista del 25.09.2020 inclusa l'ordinanza di esecuzione.

"Interessato / Data Subject": Qualsiasi persona fisica i cui dati personali sono trattati.

"Sub-responsabile / Sub-processor": Qualsiasi terzo incaricato da BeskarStaff AI del trattamento di dati personali.

3. Trattamento dei Dati Personali del Cliente

3.1 Ruoli e Responsabilità

Il Cliente agisce come Titolare del trattamento (Controller) ai sensi della revLPD; BeskarStaff AI agisce come Responsabile del trattamento (Processor). Il Cliente è responsabile della liceità della raccolta e trasmissione dei dati nonché della determinazione dello scopo e base giuridica del trattamento.

3.2 Istruzioni e Ambito del Trattamento

BeskarStaff AI tratta i dati personali del Cliente esclusivamente secondo istruzioni documentate del Cliente (DPA + Service Agreement). Istruzioni aggiuntive devono essere concordate per iscritto e possono richiedere adeguamenti di ambito, tempistiche o prezzo.

3.3 Trattamento Ammissibile

I dati vengono trattati esclusivamente per la prestazione dei Servizi contrattualmente concordati. Il trattamento oltre questo scopo (incluso il trasferimento a terzi) avviene solo se previsto per legge o espressamente consentito contrattualmente.

Nota: Vengono trattati esclusivamente informazioni pubblicamente accessibili (nome, profilo professionale, foto su piattaforme come LinkedIn). Dati sensibili (es. genere, origine etnica, religione) non vengono trattati né dedotti. Le conclusioni su tali caratteristiche sono di esclusiva responsabilità del Cliente.

3.4 Supporto ai Diritti degli Interessati

BeskarStaff AI supporta il Cliente nelle richieste degli Interessati (accesso, rettifica, cancellazione). Il Cliente rimane responsabile del trattamento; il supporto di BeskarStaff AI viene fornito su richiesta scritta. Costi per richieste complesse o frequenti possono essere fatturati separatamente.

3.5 Sub-responsabili

I Sub-responsabili possono essere incaricati solo con il consenso del Cliente. Tutti i Sub-processors sono vincolati contrattualmente a mantenere standard di protezione dati comparabili. I Clienti saranno informati delle modifiche e possono opporsi entro un termine ragionevole. BeskarStaff AI rimane responsabile del rispetto da parte dei Sub-processors.

3.6 Misure Tecniche e Organizzative (TOM)

BeskarStaff AI implementa misure appropriate per proteggere i dati del Cliente: crittografia, restrizione degli accessi, monitoraggio del sistema, backup e registri di audit.

3.7 Trasferimenti Transfrontalieri di Dati

I dati del Cliente possono essere trasferiti fuori dalla Svizzera solo in paesi con livello adeguato di protezione dati (UE/SEE, paesi con decisione di adeguatezza) o utilizzando clausole contrattuali standard riconosciute dalla Svizzera (SCC 2021/914). BeskarStaff AI garantisce il rispetto degli artt. 16-18 revLPD.

3.8 Cancellazione o Restituzione al Termine del Contratto

Al termine dei Servizi, su richiesta scritta del Cliente, BeskarStaff AI restituirà o cancellerà in modo sicuro tutti i dati personali salvo obblighi legali di conservazione. In assenza di richiesta di restituzione entro 30 giorni, BeskarStaff AI cancellerà i dati secondo le proprie politiche interne.

3.9 Violazione dei Dati

BeskarStaff AI mantiene procedure interne per rilevare e reagire alle violazioni dei dati. In caso di incidenti, BeskarStaff AI informerà immediatamente il Cliente, inclusa la natura dell'incidente, dati interessati e misure correttive. Verrà fornito supporto per gli obblighi di notifica legali alle autorità o agli interessati.

3.10 Divulgazioni Previste per Legge

BeskarStaff AI informerà immediatamente il Cliente di ordini delle autorità o giudiziarie salvo divieto legale. Verrà fornito supporto nella risposta a tali richieste.

3.11 Analisi dei Servizi

BeskarStaff AI può analizzare dati aggregati e non identificabili relativi alle prestazioni e all'utilizzo dei Servizi. I dati del Cliente non saranno identificabili.

3.12 Responsabilità

BeskarStaff AI tiene registri delle attività di trattamento ai sensi dell'art. 12 revLPD. La prova del rispetto degli obblighi di protezione dati verrà fornita su richiesta.

Allegato 1 – Dettagli del Trattamento

Esportatore dei dati: Cliente
Importatore dei dati: BeskarStaff AI, Svizzera

Interessati: Candidati e professionisti con profili pubblicamente accessibili (LinkedIn etc.)
Categorie dati: Nome, professione, esperienza, formazione, competenze, informazioni di contatto pubbliche, link profili, foto profilo
Scopo: Servizi di recruiting e talent matching
Durata: Finché il Cliente utilizza i Servizi
Sub-responsabili: Solo con obblighi equivalenti di protezione dati
Autorità di controllo: Commissario federale per la protezione dei dati e la trasparenza (IFPDT)

Scopi autorizzati: Identificazione candidati e eventualmente primo contatto

Allegato 2 – Misure Tecniche e Organizzative

• Hosting in data center svizzeri con misure di sicurezza fisica
• Crittografia a riposo (AES-256) e in transito (TLS)
• Diritti di accesso secondo need-to-know, MFA per amministratori
• Scansioni di sicurezza regolari, penetration test, patch management
• Backup giornalieri, piani di contingenza e ripristino
• Cancellazione o distruzione sicura al termine del contratto
• Monitoraggio sistema, backup e registri di audit

Contatti

Richieste generali: support@beskarstaff.com
Privacy: privacy@beskarstaff.com
Sicurezza: security@beskarstaff.com

Foro competente: Zugo, Svizzera.