Accordo di trattamento dei dati (DPA)
Arhon Concept AG — Software Arhon®
1. Obiettivo e parti
Il presente Accordo sui Trattamenti dei Dati (di seguito «DPA») è un documento generico applicabile a tutti i clienti di Arhon Concept AG che hanno sottoscritto il software Arhon®. È concluso tra:
| Responsabile del trattamento | Tutti gli enti che hanno sottoscritto il software Arhon®, di seguito «il Cliente» — l'entità che determina le finalità e i mezzi del trattamento dei dati personali dei propri clienti e collaboratori. |
| Subappaltatore | Arhon Concept AG, società anonima di diritto svizzero, Erlenweg 4, 6010 Kriens, Svizzera, IDE: CHE-493.917.313, CH-ID: CH-270-3015551-3, OFRC-ID: 1316610, n. IVA: CHE-493.917.313 IVA, di seguito «Arhon» — che tratta i dati personali per conto del Cliente nell’ambito della fornitura del software Arhon®. |
Il presente DPA è allegato al contratto principale relativo al software Arhon® e ne fa parte integrante insieme alle Condizioni Generali di Vendita e Utilizzo («CGV») e al SLA. In caso di contrasto, il presente DPA prevale per qualsiasi questione relativa al trattamento dei dati personali.
2. Definizioni
| Terme | Definizione |
|---|---|
| Dati personali | Tutte le informazioni relative a una persona fisica identificata o identificabile (articolo 4(1) RGPD; articolo 5, lettera a nLPD). A partire dalla revisione del 2023, il nLPD non protegge più i dati delle persone giuridiche. |
| Trattamento | Ogni operazione effettuata su dati personali, indipendentemente dai mezzi e dai procedimenti utilizzati: raccolta, registrazione, conservazione, consultazione, utilizzo, comunicazione, cancellazione (art. 4(2) RGPD; art. 5 lett. d nLPD). |
| Responsabile del trattamento | L’entità che determina le finalità e i mezzi del trattamento — in questo caso il Cliente (art. 4(7) RGPD; art. 5 lett. j nLPD). |
| Subappaltatore | L’entità che tratta i dati per conto del responsabile — in questo caso Arhon Concept AG (art. 4(8) e 28 RGPD; art. 5 lett. k e 9 nLPD). |
| Subappaltatore successivo | Tutti i terzi a cui Arhon si rivolge per svolgere attività di trattamento specifiche (es: 2le per l’alloggio). |
| Violazione dei dati | Qualsiasi violazione della sicurezza che comporti la distruzione, la perdita, l’alterazione o la divulgazione non autorizzata di dati personali (art. 4(12) RGPD; art. 5 lett. h nLPD, che parla di violazione della sicurezza dei dati). |
| Nessuno interessato | Qualsiasi persona fisica cui i dati vengono trattati: persone ospitate o accolte dal Cliente, collaboratori, ecc. |
| RGPD | Regolamento (UE) 2016/679 del Parlamento europeo relativo alla protezione dei dati personali. |
| nLPD | La Legge federale svizzera sulla protezione dei dati, riveduta e in vigore dal 1° gennaio 2018º Settembre 2023, e la sua ordinanza esecutiva (OPDo). |
| Dati sensibili | Nozione di nLPD (art. 5 lett. c), vicina alle categorie particolari dell’art. 9 RGPD ma più ampia: copre in particolare le informazioni sulle misure di assistenza sociale e sulle azioni penali o sanzioni amministrative. Il software Arhon® non è destinato a trattare tali dati. |
3. Natura, finalità e durata del trattamento
3.1 Natura del trattamento
Nell’ambito della fornitura del software Arhon®, Arhon Concept AG effettua le seguenti operazioni per conto del Cliente:
- Alloggio e archiviazione dei dati sull’infrastruttura gestita da 2le
- Accesso ai dati per finalità di supporto tecnico e manutenzione
- Salvataggio e ripristino dei dati
- Disponibilità delle funzionalità applicative (PMS, fatturazione, reporting, ecc.)
- Trasmissione dei dati tra i moduli del software e i servizi partner autorizzati
3.2 Finalità del trattamento
| Finalità | Descrizione |
|---|---|
| Gestione delle prenotazioni | Creazione, modifica e cancellazione delle prenotazioni dei clienti dell’albergo |
| Gestione dei soggiorni | Check-in, check-out, assegnazione delle camere, monitoraggio delle prestazioni |
| Fatturazione | Emisione delle fatture, registrazione dei pagamenti, archiviazione fiscale |
| Comunicazione con il cliente | Invio di conferme, promemoria e notifiche via e-mail |
| Relazione | Statistiche sull’occupazione, sui redditi e sull’attività dell’istituto |
| Conformità legale | Conservazione dei dati richiesti dalla legge (fiscalità, polizia degli stranieri, eHESTA) |
| Supporto tecnico | Diagnosi e risoluzione degli incidenti segnalati dal Cliente |
3.3 Categorie di dati trattati
| Categoria | Esempli | Persone interessate |
|---|---|---|
| Dati identificativi | Nome, cognome, data di nascita, nazionalità, passaporto | Persone ospitate o accolte |
| Dati di contatto | Email, telefono, indirizzo postale | Persone ospitate o accolte |
| Dati relativi al soggiorno | Date di arrivo/partenza, tipo di camera, servizi | Persone ospitate o accolte |
| Dati finanziari | Importo delle fatture, modalità di pagamento | Persone ospitate o accolte |
| Dati di accesso | Identificatori di connessione al software | Collaboratori dell’istituto |
| Dati di navigazione | Registri di utilizzo, cronologia delle azioni | Collaboratori dell’istituto |
Le informazioni delle carte di pagamento non vengono acquisite o conservate nel software Arhon®. Esse vengono raccolte e archiviate da PCI Proxy, soluzione di tokenizzazione gestita da Datatrans AG (Kreuzbühlstrasse 26, 8008 Zurigo, Svizzera — gruppo Planet), in collaborazione con il fornitore di servizi di pagamento con cui il Cliente contratta direttamente (Worldline/Saferpay, Nexi/Datatrans o Computop). Il software Arhon® gestisce solo alias (token) e riferimenti di transazione.
Datatrans AG è certificata PCI DSS Level 1 dal 2006, livello più elevato applicabile ai prestatori di servizi di pagamento, e sottoposto ogni anno a un audit sul posto condotto da un auditor indipendente qualificato (QSA). Datatrans AG dichiara inoltre di trattare i dati personali in conformità al GDPR. L’esternalizzazione completa dei dati delle carte verso PCI Proxy riduce il perimetro degli obblighi PCI DSS del Cliente a un questionario di auto-valutazione semplificato, il cui tipo esatto dipende dal metodo di integrazione adottato. Il software Arhon® non è concepito per il trattamento di categorie particolari di dati ai sensi dell’articolo 9 del RGPD né di dati sensibili ai sensi dell’art. 5 lett. c nLPD (dati sanitari, opinioni politiche, dati biometrici, ecc.). Il Cliente si astiene dal registrarli, in particolare nei campi di testo liberi come le osservazioni, salvo accordo scritto preventivo di Arhon Concept AG.3.4 Durata del trattamento
Arhon Concept AG tratta i dati per la durata del contratto principale.
Il download e la salvaguardia dei suoi dati spetta al Cliente. Durante tutto il periodo del contratto e durante l’accesso a lettura esclusiva mantenuto 30 giorni dopo la sua fine, potrà procedere a tale operazione da solo tramite il software, nei formati CSV, Excel e PDF, senza alcun costo.
Al termine del contratto o in caso di risoluzione dello stesso, il Cliente può inoltre richiedere per iscritto, entro un periodo di tre mesi, l’esportazione completa dei propri dati da parte di Arhon, restituita entro 30 giorni dalla richiesta, nei formati CSV o XML. Ogni estrazione effettuata da Arhon su richiesta del Cliente è una prestazione a pagamento, fatturata al prezzo vigente, anche quando richiesta dalla normativa applicabile o nell’ambito di un controllo o di una richiesta dell’amministrazione fiscale, di un’altra autorità o di una procedura giudiziaria.
Al termine di questo periodo di tre mesi, Arhon procede alla cancellazione sicura dei dati, fatte salve le scadenze di conservazione imposte dalla legge applicabile. Le copie di backup vengono cancellate al termine del loro ciclo di rotazione, entro 90 giorni dalla data di cancellazione.
Le periodicità di conservazione applicabili sono quelle definite all’articolo 15 delle Condizioni Generali di Vendita e Utilizzo e, per i dati relativi all’annuncio degli ospiti e al check-in, comprese le carte d’identità quando vengono registrate, quelle previste dalla normativa applicabile all’istituto del Cliente: federale, cantonale o comunale in Svizzera, nazionale o locale in Francia e in Italia, come specificato nell’allegato Paese delle Condizioni Generali. Il presente DPA non stabilisce alcuna propria durata.
Il rispetto di tali periodi, la loro configurazione nel software e la relativa pulizia ricadono nella responsabilità del Cliente in qualità di responsabile del trattamento.
4. Obblighi di Arhon Concept AG
4.1 Documentazione delle istruzioni
Arhon Concept AG tratta i dati personali solo su istruzione documentata del Cliente, come espressa nel contratto principale, nella configurazione del Software e nel presente DPA. Se Arhon è tenuta a procedere a un trattamento in virtù di un obbligo legale, lo informa il Cliente in anticipo, salvo che la legge non lo proibisca.
Se un ordine del Cliente dovesse apparire a Arhon Concept AG contrario al diritto applicabile in materia di protezione dei dati, Arhon ne informa immediatamente il Cliente e può sospendere l’esecuzione di tale ordine fino alla sua conferma o alla sua modifica scritta.
4.2 Confidenzialità
Arhon Concept AG assicura che le persone autorizzate a trattare i dati si impegnino a rispettare la riservatezza. L’accesso è strettamente limitato ai collaboratori necessari per lo svolgimento della loro attività.
4.3 Sicurezza dei dati
In conformità all’articolo 32 del RGPD e all’articolo 8 della nLPD, Arhon Concept AG implementa le seguenti misure tecniche e organizzative, che riflettono lo stato della tecnologia alla data della presente versione:
| Misure | Implementazione |
|---|---|
| Crittografia in transito | TLS 1.3 per tutte le comunicazioni di rete |
| Crittografia in riposo | AES-256 per i dati archiviati |
| Controllo di accesso | Autenticazione tramite identificatori individuali e diritti differenziati in base al ruolo; conti nominativi, illimitati e senza impatto sul prezzo |
| Autenticazione a due fattori | Imposta tecnicamente da Arhon Concept AG per qualsiasi accesso al software Arhon®, su ogni account; ogni utente la configura sul proprio dispositivo |
| Alta disponibilità | Architecture Cluster HA con due data center, con passaggio automatico all’infrastruttura secondaria in caso di guasto del nodo principale |
| Salvataggio | Backup giornaliero esterno, conservazione 90 giorni, soluzione Kiwi Backup |
| Giornalizzazione | Registri orografici di tutti gli accessi e interventi, conservati per 6 anni |
| Test di ristorazione annuale | Riparazione completa delle backup su un ambiente isolato, con controllo della coerenza dei dati e verifica del funzionamento dell’applicazione, conformemente all’art. 32, par. 1 lett. d RGPD. Il test è oggetto di una relazione scritta conservata da Arhon Concept AG e comunicata al Cliente su richiesta. |
| Revisione annuale | Revisione della conformità dell’infrastruttura da parte di 2le, rapporto trasmesso a Arhon |
4.4 Subappalto successivo
Il Cliente autorizza Arhon Concept AG a ricorrere al seguente subappaltatore:
| Subappaltatore | Ruolo | Localizzazione dei dati |
|---|---|---|
| 2le | Alloggiamento dell’infrastruttura, backup, monitoraggio, manutenzione tecnica e sviluppo | Francia (centri dati OVH) |
I partner con i quali il Cliente stipula direttamente un contratto, in particolare le piattaforme di prenotazione online e i fornitori di servizi di pagamento, agiscono per proprio conto o per conto del Cliente. Non sono subappaltatori della Arhon Concept AG.
Arhon Concept AG si impegna a imporre a qualsiasi subappaltatore obblighi equivalenti in materia di protezione dei dati e rimane pienamente responsabile nei confronti del Cliente, nei limiti previsti dall’articolo 13 delle CGV.
In caso di aggiunta o sostituzione di un subappaltatore successivo, Arhon ne informa il Cliente almeno 30 giorni prima. Il Cliente può opporsi per iscritto entro tale termine, per un motivo ragionevole e documentato in relazione alla protezione dei dati. Le parti cercano allora una soluzione entro un termine ragionevole; in caso di mancato accordo, il Cliente può recedere dal contratto principale con effetto dalla data prevista del cambiamento, senza alcuna compensazione da parte di ciascuna delle parti e senza alcun rimborso delle somme già versate. In assenza di opposizione entro il termine, la modifica è considerata accettata.
4.5 Assistenza al Cliente
Arhon Concept AG assiste il Cliente nella realizzazione di:
- Rispondere alle richieste di esercizio dei diritti delle persone interessate
- Notificare le violazioni dei dati all’autorità di controllo nei termini previsti
- Realizzare analisi d’impatto sulla protezione dei dati (AIPD), se necessario
- Fornire le informazioni necessarie per dimostrare il rispetto degli obblighi previsti dal RGPD
Le richieste di assistenza devono essere indirizzate a support@arhon.ch. Arhon risponde e prende in carico la richiesta entro 2-3 giorni lavorativi dalla data della richiesta; l’esecuzione completa della richiesta avviene nei termini previsti all’articolo 7 per le richieste delle persone interessate e, per le altre richieste, entro un termine ragionevole comunicato al Cliente al momento della presa in carico.
4.6 Notifica delle violazioni dei dati
In caso di violazione dei dati personali, Arhon Concept AG ne informa il Cliente senza ritardo ingiustificato dopo averne preso conoscenza, e comunque entro un termine che consenta al Cliente di rispettare le proprie obbligazioni di pubblicazione, al più tardi entro 48 ore. La comunicazione specifica la natura della violazione, le categorie e il numero approssimativo di dati e persone interessate, le conseguenze probabili e le misure adottate o proposte. Quando tali elementi non possono essere forniti immediatamente, vengono comunicati di volta in volta, senza ulteriori ritardi.
Resta a carico del Cliente, in qualità di responsabile del trattamento, l’obbligo di notificare la violazione all’autorità di controllo competente (PFPDT in Svizzera, CNIL in Francia, Garante in Italia) e, se del caso, alle persone interessate, nei termini previsti dalla normativa applicabile — in particolare entro 72 ore ai sensi dell’articolo 33 del RGPD e nel più breve tempo possibile ai sensi dell’articolo 24 della nLPD. Il termine di informazione sopra previsto ha lo scopo di preservare tale termine.5. Obblighi del Cliente
In qualità di responsabile del trattamento, il Cliente si impegna a:
- Fornire a Arhon Concept AG istruzioni licite e documentate
- Assicurarsi della licittudine della raccolta dei dati trattati tramite Arhon®
- Informare le persone interessate in conformità agli articoli 13 e 14 del GDPR
- Gestire le richieste di esercizio dei diritti delle persone interessate
- Notificare immediatamente Arhon di qualsiasi modifica delle sue istruzioni relative al trattamento
- Non utilizzare Arhon® per trattare categorie particolari di dati o dati sensibili senza il previo consenso scritto di Arhon Concept AG
5.1 Obbligo di informazione — Articolo 13, paragrafo 2, lettera c del RGPD
In conformità all’articolo 13(2)(c) del RGPD, il Cliente, in qualità di responsabile del trattamento, è tenuto a informare i propri clienti (le persone interessate) dell’esistenza dei loro diritti sui propri dati personali, al momento della raccolta di tali dati.
Queste informazioni devono esplicitamente menzionare i seguenti diritti:
- Diritto di accesso ai dati personali (articolo 15 RGPD)
- Diritto alla rettifica dei dati inesatti (art. 16 RGPD)
- Diritto all’oblio (« diritto all’oblio ») (articolo 17 RGPD)
- Diritto alla limitazione del trattamento (articolo 18 RGPD)
- Diritto di opposizione al trattamento (art. 21 RGPD)
- Diritto alla portabilità dei dati (articolo 20 RGPD)
Questa obbligazione spetta esclusivamente al Cliente. Essa deve essere soddisfatta tramite una politica di privacy accessibile alle persone interessate, tipicamente:
- Sul sito web dell’istituto (pagina «Politica sulla privacy» o «Protezione dei dati»)
- Nelle pagine web delle prenotazioni online
- All’arrivo presso l’hotel (affissione o documento consegnato al check-in)
6. Trasferimenti internazionali di dati
I dati sono ospitati in Francia da 2le sull’infrastruttura OVH. Nessun trasferimento verso un paese terzo al di fuori dell’Unione Europea o della Svizzera avviene senza garanzie appropriate.
La Svizzera gode di una decisione di adeguatezza della Commissione europea. I trasferimenti tra la Svizzera e l’Unione Europea avvengono quindi senza alcun ulteriore meccanismo.
7. Diritti delle persone interessate
Arhon Concept AG risponde a tutte le richieste di assistenza del Cliente entro 2-3 giorni lavorativi dalla data della richiesta (articolo 4.5). I tempi indicati di seguito rappresentano i tempi di esecuzione completa della richiesta.
| Diritto | Descrizione | Termine di esecuzione da parte di Arhon |
|---|---|---|
| Diritto di accesso (art. 15) | Fornire una copia dei dati trattati | 5 giorni lavorativi |
| Diritto di rettifica (art. 16) | Correggere dati inaccurati | 5 giorni lavorativi |
| Diritto all’oblio (articolo 17) | Eliminare i dati su richiesta giustificata | 10 giorni lavorativi |
| Diritto alla portabilità (articolo 20) | Esportare i dati in un formato strutturato | 10 giorni lavorativi |
| Diritto di opposizione (art. 21) | Interrompere il trattamento su base giustificata su richiesta | 5 giorni lavorativi |
| Diritto alla limitazione (articolo 18) | Interrompere temporaneamente un trattamento | 5 giorni lavorativi |
8. Audit e dimostrazione della conformità
- Arhon Concept AG mantiene un registro delle attività di trattamento svolte per conto del Cliente.
- Il Cliente può richiedere un audit di conformità da parte di un auditor indipendente, con un preavviso di 30 giorni.
- I rapporti di audit annuali dell’infrastruttura 2le vengono comunicati al Cliente su richiesta.
- Arhon si impegna a implementare tutte le misure correttive identificate durante un audit entro un termine ragionevole
Il controllo viene effettuato inizialmente su base documentale, tramite questionari o la consegna delle attestazioni e dei rapporti a disposizione di Arhon. Un audit sul posto avviene solo se questi elementi si rivelano insufficienti, durante le ore lavorative, senza intaccare l’attività e nel rispetto della riservatezza degli altri clienti.
I costi di un audit richiesto dal Cliente sono a carico del Cliente, salvo che l’audit riveli una violazione comprovata da parte di Arhon Concept AG.
9. Durata e fine del DPA
Il presente DPA entra in vigore alla data di accettazione del contratto principale, dell’offerta o del bonifico d’ordine che incorporano le CGV e rimane applicabile per tutta la durata della relazione contrattuale nonché, per le sole obbligazioni che devono sopravvivere alla loro scadenza, fino alla restituzione o alla cancellazione dei dati conformemente al presente DPA e all’articolo 15 delle CGV.
Alla fine del DPA, Arhon Concept AG si impegna a consentire la restituzione dei dati al Cliente nelle condizioni e nei tempi definiti all’articolo 3.4 del presente DPA e all’articolo 15 delle condizioni generali di vendita e utilizzo, a cancellare poi in modo sicuro tutti i dati personali e a fornire una certificazione scritta di cancellazione su richiesta.
10. Disposizioni generali
- Legge applicabile: il presente DPA è regolato dal diritto svizzero. Il RGPD si applica ai trattamenti che rientrano nel suo ambito materiale e territoriale, conformemente in particolare ai suoi articoli 2 e 3, indipendentemente dalla nazionalità delle persone interessate
- Giurisdizione competente: i tribunali competenti di Lucerna (cantone di Lucerna, Svizzera), conformemente all’articolo 20 delle CGV, salvo i casi di forza maggiore applicabili
- Il presente DPA prevale su qualsiasi clausola contrattuale contraddittoria del contratto principale relativa al trattamento dei dati.
- Istruzioni per l’uso dei documenti: le condizioni generali di vendita e utilizzo costituiscono il fondamento; il presente DPA prevale su di esse per il trattamento dei dati personali; il contratto di livello di servizio (SLA) prevale per la disponibilità e i livelli di servizio; l’allegato relativo al paese di residenza del Cliente prevale per le sole disposizioni che esso tratta
- In caso di nullità di una clausola, le altre disposizioni rimangono valide.
- Qualsiasi modifica al presente DPA segue la procedura prevista nel preambolo delle CGV. Essa viene comunicata al Cliente per iscritto, via e-mail o nel Software almeno 30 giorni prima della sua entrata in vigore. Le modifiche strettamente necessarie per rispettare una legge, una normativa, una decisione di autorità, un requisito documentato di sicurezza o di certificazione possono entrare in vigore immediatamente. Per qualsiasi altra modifica significativa che possa essere sgradita al Cliente, quest’ultimo può opporsi a tale modifica alle condizioni previste nel preambolo delle CGV.
- Lingue: disponibile in francese, tedesco e inglese — la versione francese ha la precedenza
11. Contatto — Protezione dei dati
Per qualsiasi domanda relativa a questo DPA o al trattamento dei dati personali:
Arhon Concept AG
Kriens, Cantone di Lucerna, Svizzera
Email: support@arhon.ch
Telefono: +41 61 222 21 59
12. Accettazione e opponibilità
Il presente DPA è un documento pubblico applicabile a tutti i clienti di Arhon Concept AG. È opponibile dalla firma o dall’accettazione del contratto principale di licenza del software Arhon®, senza che sia necessaria una firma separata.
Il Cliente riconosce di aver preso conoscenza del presente Accordo sulla Trattamento dei Dati e accetta le sue disposizioni sottoscrivendo il software Arhon®. Ogni modifica del DPA segue la procedura di modifica prevista nel preambolo delle condizioni generali di vendita e utilizzo.
Pubblicato il 30 settembre 2026. Applicabile ai contratti stipulati a partire da tale data e, per i contratti in corso, a partire dal 30 ottobre 2026.
È pubblicato da Arhon Concept AG, Kriens (Lucerna), Svizzera, in qualità di subappaltatore ai sensi dell’articolo 28 del RGPD.
Base giuridica: GDPR (UE) 2016/679 e nLPD (Legge federale svizzera sulla protezione dei dati).
Rientro alle condizioni generali di vendita e utilizzo. In caso di divergenze tra le versioni linguistiche, la versione in lingua francese ha la precedenza.
© 2026 Arhon Concept AG — Tutti i diritti riservati.