---

Tra:

[Nome del garage / del cliente] (di seguito il «Titolare del trattamento»)

e

OPPO IT
Titolare: Etienne Oppo
Nordeckstrasse 8
8636 Wald ZH
Svizzera
Gestore della piattaforma software «Aurentix»
(di seguito il «Responsabile del trattamento»)

1. Oggetto del contratto

Il presente contratto disciplina i diritti e gli obblighi delle parti in relazione al trattamento dei dati personali che il responsabile del trattamento effettua per il titolare nell'ambito della fornitura del software ERP in cloud.

2. Natura e finalità del trattamento

Il trattamento comprende la memorizzazione, l'organizzazione, la gestione e il salvataggio dei dati di clienti, veicoli, fatture e appuntamenti del garage sui server del responsabile del trattamento. Il trattamento avviene esclusivamente allo scopo di fornire i servizi software concordati nel contratto principale (abbonamento SaaS).

3. Vincolo alle istruzioni

Il responsabile del trattamento tratta i dati personali esclusivamente su istruzione documentata del titolare e non utilizza i dati per scopi propri (ad es. pubblicità o vendita di dati).

4. Misure tecniche e organizzative (MTO)

Il responsabile del trattamento garantisce un livello di sicurezza adeguato al rischio. Ciò comprende obbligatoriamente:

• Severi controlli di accesso ai server fisici (centri di calcolo svizzeri).
• Gestione degli accessi nel software (concetto di ruoli: admin, meccanico, venditore).
• Cifratura della trasmissione dei dati (TLS).
• Backup automatico di ogni banca dati cliente due volte al giorno, conservazione 30 giorni, archiviazione su server svizzeri senza accesso dall'esterno.

5. Coinvolgimento di subfornitori (sub-responsabili)

Il titolare acconsente che il responsabile del trattamento si avvalga di subfornitori. Sono impiegati: l'hosting provider svizzero per l'esercizio tecnico, OpenAI, L.L.C. (USA) per l'assistente IA Auri, Seventy Labs (SwissCarInfo), Sion, per la consultazione di dati ufficiali dei veicoli, e — qualora il titolare utilizzi la relativa funzione — SMG Swiss Marketplace Group AG per la trasmissione di annunci di veicoli ad AutoScout24 e Amazon Web Services EMEA SARL, regione di Zurigo (Svizzera), per l'archiviazione dei documenti riservati. Auri interviene soltanto su immissione attiva di un utente; in tal caso vengono trasmessi la domanda e i dati necessari per rispondere. SwissCarInfo riceve, su richiesta di un utente, soltanto il termine di ricerca (numero di matricola, targa, numero di telaio o approvazione del tipo), nessun dato di detentori o clienti; i server del fornitore si trovano in Germania, che garantisce un livello adeguato di protezione dei dati. Tutti gli altri dati rimangono in Svizzera. Il responsabile del trattamento garantisce che i subfornitori siano soggetti agli stessi obblighi di protezione dei dati; per il trasferimento negli USA sussistono le clausole contrattuali tipo. Il responsabile del trattamento informa il titolare in caso di cambiamento o aggiunta di subfornitori.

6. Obblighi di notifica in caso di violazione dei dati

Qualora presso il responsabile del trattamento si verifichi una violazione della sicurezza dei dati (ad es. attacco informatico) che possa comportare un rischio elevato per le persone interessate, il responsabile del trattamento informa senza indugio il cliente e lo assiste nei suoi obblighi legali di notifica.

7. Restituzione e cancellazione dei dati

Al termine dell'abbonamento SaaS o su richiesta del cliente, il responsabile del trattamento restituisce tutti i dati personali del cliente (esportazione dei dati) oppure li cancella in modo irreversibile, salvo che vi si oppongano obblighi legali di conservazione.

8. Foro competente e diritto applicabile

Si applica esclusivamente il diritto svizzero. Il foro competente esclusivo per ogni controversia derivante dal presente contratto è la sede del responsabile del trattamento.