Informativa sulla protezione dei dati di YESbusiness

1. Introduzione

YESbusiness Sàrl, IDI CHE-444.646.675, con sede a Reichenbachstrasse 118A, 3004 Berna, Svizzera, attribuisce un’importanza fondamentale alla protezione e alla riservatezza dei dati personali dei propri utenti.

La presente informativa illustra le modalità di raccolta, trattamento, conservazione e protezione di tali dati nell’ambito del sito web di YESbusiness e della sua piattaforma online (di seguito «la Piattaforma»).

2. Titolare del trattamento

Il titolare del trattamento dei dati è:

YESbusiness Sàrl
Reichenbachstrasse 118A
3004 Berna
Svizzera
support@yesbusiness.ch

YESbusiness non ha designato un responsabile della protezione dei dati. Ogni domanda o richiesta relativa al trattamento dei vostri dati personali è trattata dal titolare del trattamento, all’indirizzo support@yesbusiness.ch (con la menzione «Protezione dei dati» nell’oggetto del messaggio). YESbusiness si impegna a rispondere nel più breve tempo possibile.

3. Campo d’applicazione territoriale

I servizi di YESbusiness sono destinati esclusivamente a persone e imprese domiciliate o con sede in Svizzera. I trattamenti descritti di seguito sono sottoposti alla Legge federale sulla protezione dei dati (LPD) riveduta, in vigore dal 1° settembre 2023.

YESbusiness rispetta inoltre i principi del Regolamento generale sulla protezione dei dati (RGPD) dell’Unione europea quando quest’ultimo è applicabile.

4. Basi legali del trattamento

YESbusiness tratta i dati personali sulle seguenti basi:

• l’esecuzione del contratto concluso con l’utente (fornitura della Piattaforma, fatturazione, assistenza);
• il rispetto di obblighi legali;
• gli interessi legittimi di YESbusiness a fornire, proteggere e migliorare i propri servizi;
• il consenso della persona interessata, quando è richiesto (assistente IA, assistenti IA collegati, newsletter, cookie e tag pubblicitari del sito pubblico).

5. Finalità del trattamento dei dati

I dati personali raccolti sono trattati esclusivamente per le seguenti finalità:

• Gestione dei conti utente e autenticazione
• Fornitura dei servizi SaaS (contabilità, IVA, importazione e collegamenti bancari, area partner)
• Funzionamento dell’assistente IA, quando l’utente lo ha attivato
• Gestione dei pagamenti e fatturazione tramite Stripe
• Invio di comunicazioni transazionali e assistenza clienti
• Rispetto degli obblighi legali e regolamentari
• Sicurezza della Piattaforma, prevenzione degli abusi e degli utilizzi illeciti
• Miglioramento continuo dei servizi (analisi dell’utilizzo, qualità delle risposte dell’assistente)
• Misurazione dell’efficacia delle campagne pubblicitarie (quale canale porta iscrizioni e clienti)

6. Categorie di dati trattati

YESbusiness tratta in particolare le seguenti categorie di dati personali:

• Dati d’identificazione: cognome, nome, indirizzo, e-mail, numero di telefono, lingua
• Dati professionali: statuto professionale, impresa, numero IDI, ruolo e diritti d’accesso
• Dati contabili e finanziari: scritture contabili, giustificativi e documenti importati, transazioni bancarie importate o sincronizzate, IBAN, rendiconti IVA
• Dati di fatturazione: abbonamento, storico dei pagamenti e fatture. I dati della carta di credito sono inseriti e trattati direttamente da Stripe e non sono conservati da YESbusiness
• Dati di comunicazione: scambi con l’assistenza, notifiche e avvisi
• Conversazioni con l’assistente IA, quando quest’ultimo è attivato (art. 9)
• Dati tecnici e di utilizzo: indirizzo IP, informazioni di connessione, browser e dispositivo, registri di utilizzo, pagine consultate, interazioni e registrazioni di sessione (art. 8)
• Dati di attribuzione di marketing: parametri di campagna (utm_source, utm_medium, utm_campaign, utm_term, utm_content) e identificativi di clic pubblicitario (gclid per Google, fbclid per Meta, li_fat_id per LinkedIn), collegati al profilo di analisi della persona (art. 8.2 e 8.4)

6.1 Dati di terzi inseriti dall’utente

L’utente inserisce o importa nella Piattaforma dati riguardanti terzi (clienti, fornitori, collaboratori, controparti bancarie). Per tali dati, l’utente è il titolare del trattamento e YESbusiness interviene quale responsabile del trattamento, agendo su istruzione dell’utente e unicamente nell’ambito della fornitura del servizio. Spetta all’utente disporre di una base legale sufficiente per tale trattamento e informare le persone interessate.

7. Newsletter e marketing

• Quando vi iscrivete alla nostra newsletter o acconsentite a ricevere comunicazioni di marketing da parte nostra, utilizziamo i vostri dati personali (principalmente il vostro nome e il vostro indirizzo e-mail) per inviarvi informazioni sui nostri prodotti, servizi, novità e offerte speciali.
• L’iscrizione alla newsletter segue una procedura di doppio opt-in: dopo aver inserito il vostro indirizzo e-mail, ricevete un’e-mail di conferma contenente un link di attivazione. Solo dopo aver cliccato su tale link la vostra iscrizione diventa effettiva.
• Le e-mail sono inviate mediante il servizio Postmark (art. 10).
• Potete disiscrivervi in qualsiasi momento, sia tramite l’apposito link presente in ogni e-mail, sia scrivendoci a support@yesbusiness.ch. Una volta disiscritti, non riceverete più comunicazioni commerciali, salvo che vi iscriviate nuovamente di vostra volontà.
• Misuriamo la performance dei nostri invii (tassi di apertura e di clic). Questi dati sono analizzati in forma aggregata, senza profilazione individuale.

8. Cookie, misurazione del pubblico e registri tecnici

8.1 Cookie strettamente necessari

YESbusiness utilizza cookie strettamente necessari al buon funzionamento della Piattaforma, in particolare per la gestione della sessione utente e la protezione degli accessi. Questi cookie non possono essere disattivati senza rendere il servizio inutilizzabile.

8.2 Misurazione del pubblico e analisi dell’utilizzo (PostHog)

YESbusiness utilizza PostHog, ospitato nell’Unione europea, per comprendere come vengono utilizzati il proprio sito e la propria applicazione. A tale titolo sono raccolti:

• le pagine consultate, i clic e le interazioni con l’interfaccia (cattura automatica degli eventi);
• registrazioni di sessione che ricostruiscono la navigazione nell’interfaccia;
• informazioni tecniche (browser, dispositivo, Paese approssimativo derivato dall’indirizzo IP);
• una volta che l’utente è connesso, il collegamento di tali eventi al suo conto mediante un identificatore utente;
• al momento dell’iscrizione, i dati di attribuzione di marketing descritti all’art. 6, registrati sul profilo di analisi della persona (vale la prima visita), per misurare il costo di ciascun canale per cliente.

Un cookie depositato sul dominio .yesbusiness.ch permette di collegare la visita al sito pubblico e l’utilizzo dell’applicazione da parte della stessa persona. Questo cookie, copiato nella memoria locale del browser, viene depositato al caricamento della pagina, senza banner. Contiene la provenienza della visita e l’indirizzo della prima pagina visitata; se tale indirizzo contiene parametri di campagna o un identificativo di clic pubblicitario (gclid, fbclid, li_fat_id), anche questi vi si trovano. Quando una persona arriva direttamente sulla pagina di iscrizione dell’applicazione, questi parametri sono conservati anche nella memoria locale del browser. Le richieste transitano attraverso un sottodominio di yesbusiness.ch prima di raggiungere l’infrastruttura di PostHog.

Questi trattamenti si fondano sull’interesse legittimo di YESbusiness a comprendere l’uso reale del proprio servizio, a migliorarne l’ergonomia, a individuare gli errori e a misurare il costo delle proprie campagne per cliente. I dati di PostHog non sono né venduti né utilizzati per il remarketing, e YESbusiness non utilizza né Google Analytics né sistemi analoghi.

Potete opporvi a questa misurazione del pubblico scrivendo a support@yesbusiness.ch, oppure bloccando tali richieste mediante le impostazioni o le estensioni del vostro browser.

8.3 Registri tecnici

L’infrastruttura di Cloudflare e i server applicativi registrano registri tecnici (indirizzo IP, marca temporale, richiesta, codice di risposta, errori) a fini di sicurezza, di prevenzione degli abusi e di diagnosi. Questi registri sono conservati per una durata limitata.

8.4 Misurazione delle campagne pubblicitarie (Google Ads, Meta, LinkedIn)

Dove. YESbusiness misura l’efficacia delle proprie campagne pubblicitarie tramite tag di Google Ads, Meta e LinkedIn. Questi tag funzionano solo sul sito pubblico www.yesbusiness.ch. Non sono mai caricati nell’applicazione.

Consenso. I tag di Google Ads, Meta e LinkedIn si caricano solo dopo il vostro consenso, dato tramite il banner di consenso. I parametri di campagna e l’identificativo di clic contenuti nell’indirizzo della pagina di arrivo sono invece già registrati dal nostro strumento di misurazione dell’audience (art. 8.2), senza banner. Se rifiutate, nulla cambia nel sito né nell’applicazione. Potete revocare il consenso in qualsiasi momento tramite il link a piè di pagina del sito.

Che cosa viene raccolto. I tag raccolgono i cookie propri di ciascuna piattaforma, l’indirizzo IP, informazioni sul browser e sul dispositivo, la pagina consultata, l’identificativo di clic pubblicitario (gclid, fbclid o li_fat_id) e l’evento di conversione (iscrizione o abbonamento).

Come la conversione raggiunge le piattaforme. A seconda della piattaforma, tramite il suo tag su www.yesbusiness.ch, oppure da YESbusiness, che trasmette alla piattaforma l’identificativo di clic, l’identificativo del browser depositato dal suo tag, il tipo di browser (user agent) e il fatto che un’iscrizione o un abbonamento ha avuto luogo. In entrambi i casi YESbusiness non trasmette mai nome, indirizzo e-mail, numero di telefono o dati aziendali, nemmeno in forma cifrata (hash). Nessun dato contabile è trasmesso.

Ruolo delle piattaforme. Google, Meta e LinkedIn non sono responsabili del trattamento per conto di YESbusiness (non sono nostri subappaltatori). Per la raccolta sul nostro sito, ciascuna piattaforma e YESbusiness agiscono come contitolari del trattamento. Per ciò che la piattaforma fa in seguito dei dati, anche per proprie finalità pubblicitarie, essa è titolare autonomo. Le loro informative:

• Google: https://policies.google.com/privacy
• Meta: https://www.facebook.com/privacy/policy
• LinkedIn: https://www.linkedin.com/legal/privacy-policy

Cookie (Google e LinkedIn: nomi e durate previsti, confermati quando i loro tag saranno aggiunti):

• Google: _gcl_au – circa 90 giorni
• Meta: _fbp, _fbc – circa 90 giorni
• YESbusiness: ybs_consent – 6 mesi, conserva la vostra scelta nel banner
• LinkedIn: li_sugr, bcookie, lidc – dalla sessione a circa 1 anno

Paesi. Google (Irlanda / Stati Uniti), Meta (Irlanda / Stati Uniti), LinkedIn (Irlanda / Stati Uniti).

9. Assistente IA

9.1 Carattere facoltativo

L’assistente IA della Piattaforma è facoltativo e presuppone un’attivazione esplicita da parte dell’utente. La Piattaforma resta pienamente utilizzabile senza di esso.

9.2 Dati trasmessi

Quando l’assistente è utilizzato, sono trasmessi al fornitore del modello: il contenuto della conversazione nonché i dati della società necessari al contesto della richiesta (per esempio saldi, scritture contabili, informazioni sull’impresa e sui documenti interessati). Tali dati possono includere dati riguardanti terzi inseriti dall’utente (art. 6.1).

9.3 Fornitore e utilizzo dei dati da parte di quest’ultimo

Il modello utilizzato è Gemini di Google, tramite l’offerta a pagamento dell’interfaccia di programmazione di Google (Vertex AI). Conformemente alle condizioni applicabili a tale offerta, Google non utilizza le richieste né le risposte per addestrare o migliorare i propri modelli. Google registra le richieste e le risposte per una durata limitata, unicamente al fine di individuare le violazioni della propria politica di utilizzo, di garantire la sicurezza del servizio e di adempiere ai propri obblighi legali.

9.4 Luogo del trattamento

Le richieste indirizzate all’assistente sono trattate sull’infrastruttura europea di Google: in Svizzera, nella regione di Zurigo, oppure, quando il modello utilizzato non vi è disponibile, in una regione dell’Unione europea. Esse non sono trasferite negli Stati Uniti ai fini di tale trattamento.

Quando il trattamento ha luogo nell’Unione europea, esso si fonda sull’addendum sul trattamento dei dati di Google e, per quanto necessario, sulle clausole contrattuali tipo della Commissione europea; gli Stati dell’Unione europea figurano inoltre fra gli Stati la cui legislazione assicura una protezione adeguata ai sensi del diritto svizzero.

9.5 Conservazione da parte di YESbusiness

Le conversazioni sono conservate da YESbusiness nella propria banca dati ospitata in Svizzera. Esse sono utilizzate:

• per migliorare la qualità del servizio e delle risposte dell’assistente;
• per verificare che la Piattaforma non venga utilizzata a fini illeciti o illegali.

Se l’assistente è utilizzato senza account (prima della registrazione), l’indirizzo IP e la conversazione sono conservati per 90 giorni a fini di sicurezza e di prevenzione degli abusi e poi cancellati automaticamente; vi hanno accesso unicamente gli amministratori di YESbusiness.

Si raccomanda di non inserire nell’assistente dati personali degni di particolare protezione che non siano necessari alla richiesta.

9.6 Assistenti IA collegati (connettore YESbusiness)

Indipendentemente dall’assistente integrato descritto agli articoli da 9.1 a 9.5, l’utente può collegare alla Piattaforma un assistente IA di propria scelta (per esempio Claude di Anthropic, ChatGPT di OpenAI o un altro client compatibile) tramite il connettore YESbusiness. Tale collegamento è facoltativo; è l’utente stesso a stabilirlo, dopo aver effettuato l’accesso al proprio account, in una schermata di consenso in cui sceglie le società interessate, il livello di diritti concesso (sola lettura; preparazione di scritture che l’utente conferma personalmente; scritture autonome entro un limite di importo da lui fissato) e, mediante una casella distinta, se autorizzare la lettura del contenuto dei propri giustificativi.

Il fornitore dell’assistente collegato è scelto dall’utente e non è un responsabile del trattamento per conto di YESbusiness. I dati che l’utente richiede al proprio assistente (per esempio saldi, scritture, transazioni bancarie, rendiconti IVA e, se autorizzato, il contenuto di documenti) gli sono trasmessi dal connettore e sono poi trattati da tale fornitore secondo le proprie condizioni, nei propri luoghi di trattamento e secondo la propria informativa sulla privacy, in base al contratto che lega l’utente a tale fornitore. Gli impegni degli articoli 9.3 e 9.4 (nessun addestramento, trattamento in Svizzera o nell’Unione europea) non si applicano a questo trattamento. Spetta all’utente verificare le condizioni del proprio fornitore, in particolare per quanto riguarda i dati relativi a terzi (art. 6.1).

YESbusiness trasmette tramite il connettore solo ciò che l’assistente richiede nell’ambito dei diritti concessi, e mai i dati di abbonamento e di pagamento, i membri e gli inviti o le credenziali bancarie. Per ogni chiamata, YESbusiness registra lo strumento utilizzato, la società interessata, la data e l’ora, l’esito e, per i testi liberi, unicamente la loro lunghezza. Ogni scrittura creata da un assistente è contrassegnata come tale e figura nell’elenco delle attività IA della società, dove può essere annullata. Tali registri sono conservati a fini di sicurezza, di prova e di assistenza, conformemente all’articolo 13.

L’utente può in ogni momento consultare e revocare i propri collegamenti nelle impostazioni del proprio account («App collegate»); la disconnessione da tutte le sessioni pone fine anche ai collegamenti. La revoca non cancella i dati già trasmessi al fornitore dell’assistente, la cui cancellazione compete a quest’ultimo.

10. Destinatari e responsabili del trattamento

YESbusiness collabora con diversi fornitori tecnici per assicurare la fornitura dei propri servizi. Tali responsabili del trattamento possono accedere ai dati nel quadro strettamente delimitato dei loro incarichi. I principali fornitori sono:

• Xano (Svizzera): banca dati, logica applicativa e archiviazione dei file
• Google Cloud (Svizzera): infrastruttura di hosting
• Cloudflare (Stati Uniti, rete mondiale): distribuzione, sicurezza ed esecuzione dell’applicazione web; registri tecnici
• Google – Gemini (Svizzera – regione di Zurigo, o Unione europea): assistente IA (art. 9)
• Google – Places API: suggerimenti di indirizzi durante la digitazione; il testo inserito nel campo indirizzo è trasmesso a Google a tal fine
• Stripe (Irlanda / Stati Uniti): trattamento dei pagamenti con carta
• Postmark (Stati Uniti): invio di e-mail transazionali e della newsletter
• PDF.co (Stati Uniti): generazione di documenti PDF
• PostHog (Unione europea): misurazione del pubblico e analisi dell’utilizzo (art. 8.2)

Destinatari che non sono subappaltatori. Google Ads (Irlanda / Stati Uniti), Meta (Irlanda / Stati Uniti) e LinkedIn (Irlanda / Stati Uniti) ricevono i dati descritti all’art. 8.4 per la misurazione delle nostre campagne pubblicitarie. Non sono nostri subappaltatori e trattano questi dati anche per proprie finalità.

YESbusiness non vende dati personali. Comunica dati a fini pubblicitari solo nella misura descritta all’art. 8.4 e nulla di più. Una comunicazione alle autorità interviene solo se un obbligo legale lo impone.

11. Trasferimenti fuori dalla Svizzera

I trasferimenti di dati personali verso Paesi terzi, in particolare gli Stati Uniti, avvengono unicamente con riserva di garanzie appropriate che assicurino un livello di protezione conforme alle esigenze legali svizzere ed europee: decisione di adeguatezza, partecipazione al quadro di protezione dei dati applicabile, oppure clausole contrattuali tipo adottate dalla Commissione europea, completate se del caso da misure aggiuntive. I trasferimenti verso Google, Meta e LinkedIn si fondano sul quadro di protezione dei dati Svizzera–Stati Uniti quando la società vi partecipa, altrimenti su clausole contrattuali tipo.

YESbusiness si impegna a verificare regolarmente che i propri responsabili del trattamento rispettino tali esigenze e ad aggiornare le misure di protezione secondo l’evoluzione della legislazione e della giurisprudenza.

12. Misure di sicurezza

YESbusiness attua misure tecniche e organizzative adeguate al fine di assicurare la riservatezza, l’integrità e la disponibilità dei dati, in particolare:

• Cifratura delle comunicazioni (HTTPS/TLS)
• Accesso ai dati limitato secondo il principio del privilegio minimo
• Hosting dei dati principali su server situati in Svizzera
• Salvataggi automatici quotidiani che permettono il ripristino dei dati
• Separazione degli ambienti di sviluppo, di test e di produzione
• Registrazione delle operazioni critiche e sorveglianza dei sistemi
• Procedure interne di gestione degli incidenti di sicurezza

L’accesso al conto è protetto da una password di cui l’utente è responsabile; l’autenticazione a due fattori non è offerta a oggi.

13. Durata di conservazione dei dati

I dati personali sono conservati per il tempo necessario a fornire i servizi, a rispettare gli obblighi legali e a tutelare i diritti di YESbusiness.

Al termine di un abbonamento o di un periodo di prova, la società interessata è archiviata e i suoi dati non sono cancellati: essi restano conservati per permettere una riattivazione successiva, conformemente alle condizioni generali. Le conversazioni con l’assistente IA sono conservate secondo l’articolo 9.5. I dati di attribuzione di marketing restano sul profilo di analisi finché esso esiste e, su richiesta, sono cancellati con esso. La durata dei cookie pubblicitari figura all’art. 8.4.

L’utente può chiedere in qualsiasi momento la cancellazione definitiva dei propri dati scrivendo a support@yesbusiness.ch. A tale richiesta viene dato seguito con riserva degli obblighi legali di conservazione, dei dati necessari alla fatturazione e alla prova, nonché dei salvataggi tecnici, che sono sovrascritti automaticamente entro un termine limitato.

Gli obblighi legali di conservazione relativi alla contabilità dell’utente stesso, in particolare il termine di dieci anni dell’art. 958f CO, incombono a quest’ultimo e non sono assunti da YESbusiness.

14. Diritti delle persone interessate

Conformemente alla LPD e, se del caso, al RGPD, ogni utente dispone dei seguenti diritti sui propri dati personali:

• Diritto d’accesso: ottenere la conferma che YESbusiness tratta i suoi dati e chiederne una copia
• Diritto di rettifica: far correggere dati inesatti o incompleti
• Diritto alla cancellazione: chiedere la cancellazione dei propri dati, con riserva degli obblighi legali
• Diritto alla limitazione del trattamento: opporsi a determinati trattamenti o limitarne la portata
• Diritto alla portabilità: ricevere i propri dati in un formato strutturato e leggibile, per trasmetterli a un altro fornitore
• Diritto di opposizione: rifiutare che i propri dati siano trattati a fini di marketing o di misurazione del pubblico
• Diritto di revocare il proprio consenso in qualsiasi momento, in particolare per l’assistente IA, gli assistenti IA collegati, la newsletter e i tag pubblicitari (tramite il link a piè di pagina del sito), senza incidenza sulla liceità dei trattamenti effettuati prima della revoca

La Piattaforma non offre a oggi una funzione self-service di esportazione globale o di cancellazione del conto. Questi diritti si esercitano per e-mail all’indirizzo support@yesbusiness.ch; YESbusiness si impegna a rispondere entro un termine ragionevole e conforme alla regolamentazione applicabile.

Ogni persona interessata ha inoltre il diritto di rivolgersi all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

15. Profilazione e decisioni automatizzate

YESbusiness non prende decisioni fondate esclusivamente su un trattamento automatizzato che producano effetti giuridici o che incidano in modo significativo sull’utente.

Le risposte dell’assistente IA sono suggerimenti non vincolanti, che l’utente verifica e convalida egli stesso; esse non costituiscono una decisione automatizzata. Le analisi d’uso e i dati di attribuzione (art. 8.2 e 8.4) servono a misurare canali e campagne; non sono utilizzati per indirizzare o valutare singolarmente una persona. Le piattaforme pubblicitarie possono utilizzare ciò che i loro tag raccolgono per la propria pubblicità, secondo le proprie politiche (art. 8.4).

16. Gestione delle violazioni dei dati personali

In caso di violazione accertata dei dati personali, YESbusiness si impegna a:

• Valutare rapidamente la natura e la gravità della violazione
• Adottare tutte le misure correttive necessarie per limitarne gli effetti
• Informare, se necessario, le autorità competenti conformemente agli obblighi legali in vigore
• Notificare le persone interessate quando la violazione è suscettibile di comportare un rischio elevato per i loro diritti e le loro libertà

YESbusiness tiene un registro degli incidenti di sicurezza e attua un piano di risposta agli incidenti.

17. Modifiche dell’informativa sulla protezione dei dati

YESbusiness si riserva il diritto di modificare la presente informativa in qualsiasi momento. Ogni modifica sarà comunicata agli utenti tramite la Piattaforma o per e-mail, con effetto al minimo 30 giorni dopo la notifica.

18. Contatto

Per ogni domanda o richiesta relativa alla protezione dei dati, vogliate contattare: support@yesbusiness.ch