Informativa sulla Privacy

Ultimo aggiornamento: 21 luglio 2026

Titolare del Trattamento

Ruzicic IT
IDI: CHE-354.595.375
Via al Mulin 1
6803 Camignolo TI, Svizzera
Email: privacy@tenderlift.ch

1. Informazioni che Raccogliamo

1.1 Informazioni Fornite dall'Utente

Informazioni Account: Indirizzo email, password (memorizzata solo come hash unidirezionale con salt), nome
Informazioni Aziendali: Nome azienda, IDI da ZEFIX, cantone, settore
Preferenze: Codici CPV, categorie di gare, impostazioni notifiche
Comunicazioni: Email di supporto, feedback, richieste di funzionalità

1.2 Informazioni da Fonti Pubbliche

Dati ZEFIX: Dettagli registrazione azienda, indirizzo, forma giuridica
Dati SIMAP: Informazioni pubbliche sulle gare rilevanti per la tua azienda

1.3 Informazioni Raccolte Automaticamente

Dati di Utilizzo: Funzionalità utilizzate, ricerche effettuate, gare visualizzate
Dati Tecnici: Indirizzo IP (per sicurezza), tipo browser, informazioni dispositivo
Cookie Essenziali: Gestione sessione, token sicurezza, preferenza lingua (vedi sezione 4)

2. Base Giuridica del Trattamento

Trattiamo i tuoi dati in base a:

Esecuzione del Contratto (Art. 31 cpv. 1 lett. a nLPD / Art. 6(1)(b) GDPR): Per fornire i nostri servizi di matching gare
Interessi Legittimi (Art. 31 cpv. 1 lett. a nLPD / Art. 6(1)(f) GDPR): Per sicurezza, prevenzione frodi e miglioramenti del servizio
Consenso (Art. 31 cpv. 1 lett. a nLPD / Art. 6(1)(a) GDPR): Per comunicazioni di marketing (se acconsenti)
Obblighi Legali (Art. 31 cpv. 1 lett. b nLPD / Art. 6(1)(c) GDPR): Requisiti contabili e fiscali svizzeri

3. Come Utilizziamo le Tue Informazioni

Abbinare gare rilevanti al profilo della tua azienda
Inviare avvisi gare e promemoria scadenze
Fornire riassunti e analisi gare con IA
Elaborare pagamenti e gestire abbonamenti
Inviare aggiornamenti servizio e avvisi importanti
Inviare comunicazioni marketing (solo con il tuo consenso)
Migliorare i nostri servizi tramite analisi aggregate
Garantire la sicurezza della piattaforma e prevenire abusi
Rispettare requisiti legali e normativi

Utilizzo del prodotto e supporto clienti. Registriamo eventi di utilizzo del prodotto — ad esempio registrazione, completamento dell'onboarding, aperture di preview e click su gare — e li colleghiamo al tuo account per offrirti un supporto tempestivo e pertinente e per migliorare il prodotto. Ci basiamo sul nostro interesse legittimo al supporto e al miglioramento del servizio (Art. 31 cpv. 1 lett. b nLPD / Art. 6(1)(f) GDPR) e, nella misura in cui il trattamento è direttamente collegato all'erogazione del servizio che hai sottoscritto, sull'esecuzione del contratto con te (Art. 31 cpv. 2 lett. a nLPD / Art. 6(1)(b) GDPR). Gli eventi sono accessibili solo a personale autorizzato di TenderLift e ai responsabili del trattamento, conservati per la durata del tuo account ed eliminati entro 30 giorni dalla chiusura dell'account.

Registrazione delle richieste API e MCP. Quando chiami l'API di TenderLift o il server MCP (mcp.tenderlift.ch) con una chiave API, registriamo ogni richiesta — endpoint, codice di stato, latenza e identificativo della chiave API — per fatturazione, contrasto agli abusi e revisione di sicurezza. Non memorizziamo intenzionalmente i contenuti degli argomenti degli strumenti MCP. Ci basiamo sul nostro interesse legittimo nell'operare e proteggere il servizio (Art. 31 cpv. 1 lett. b nLPD / Art. 6(1)(f) GDPR). I log delle richieste vengono conservati per 90 giorni e poi eliminati automaticamente.

4. Cookie e Tracciamento

Utilizziamo cookie essenziali necessari per la funzionalità, oltre a un identificativo di analisi di prima parte:

__cf_bm: Protezione bot Cloudflare (30 minuti)
__session: Stato autenticazione (solo sessione)
locale: Preferenza lingua (1 anno)
Cookie di analisi PostHog: un identificativo di prima parte usato per collegare gli eventi di product analytics a un browser/account (impostato sul nostro dominio; non è un cookie pubblicitario di terze parti)

Analisi. Usiamo PostHog per il product analytics (ospitato nell'UE, regione EU Cloud), a cui accediamo tramite il nostro dominio proxy di prima parte. L'analisi PostHog non è anonima: una volta effettuato l'accesso, gli eventi sono collegati al tuo account (vedi "Utilizzo del prodotto e supporto clienti" sopra). Non usiamo reti pubblicitarie di terze parti né tracker pubblicitari intersito. Sul sito web pubblico di marketing utilizziamo inoltre Fathom Analytics, uno strumento di analisi dei visitatori del sito aggregato e senza cookie, che non collega le visite a un account.

Riproduzione delle sessioni. Solo all'interno dell'applicazione con accesso effettuato, PostHog registra riproduzioni di sessione (movimenti del mouse, clic, navigazione tra le pagine) per i clienti confermati, per aiutarci a diagnosticare bug e migliorare l'usabilità. Queste registrazioni sono collegate all'account, non anonime. Tutti i campi di input e i campi sensibili sono mascherati e non vengono acquisiti. La riproduzione delle sessioni è disattivata sul sito web pubblico di marketing.

5. Condivisione Dati

5.1 Fornitori di Servizi

Condividiamo dati con un piccolo insieme di sub-responsabili sotto accordi di trattamento dati. Le categorie sono:

Hosting e infrastruttura: Hetzner (hosting dell'applicazione principale e del database, Germania/UE) e Cloudflare (distribuzione edge, sicurezza, object storage per i documenti caricati e generazione degli embedding).
Trattamento IA: Anthropic e i modelli di OpenAI, Google o Mistral instradati tramite OpenRouter — usati per alimentare le funzioni di IA (riassunti, risposta a domande, estrazione dei requisiti, analisi di revisione delle offerte).
Product analytics: PostHog (EU Cloud), collegato all'account, con riproduzione delle sessioni in-app per i clienti con accesso effettuato (input mascherati).
Email: Resend (email transazionali — codici di verifica, reset, avvisi, digest), Loops (email di lifecycle e marketing) e Google Workspace (email aziendale che riceve i messaggi di supporto che ci invii).
Pagamenti: Stripe — elaborazione dei pagamenti con carta, quando paghi con carta.

L'elenco completo e datato — con le esatte categorie di dati, la sede e l'indicazione se ciascun fornitore è sempre utilizzato o dipende da una funzione — è disponibile sulla nostra pagina dei sub-responsabili.

5.2 Requisiti Legali

Potremmo divulgare dati quando richiesto dalla legge, ordine del tribunale o autorità svizzere.

5.3 Trasferimenti Aziendali

In caso di fusione o acquisizione, i dati potrebbero essere trasferiti con protezioni appropriate.

6. Trasferimenti Internazionali di Dati

Per trasferimenti fuori da Svizzera/UE:

UE: Decisione di adeguatezza garantisce protezione equivalente
USA: Clausole Contrattuali Standard e garanzie aggiuntive
Certificazione Data Privacy Framework per responsabili USA

7. Conservazione Dati

Dati Account: Durata dell'account più 30 giorni
Documenti Finanziari: 10 anni (CO svizzero Art. 957)
Comunicazioni Supporto: 2 anni
Log Tecnici: 90 giorni
Consenso Marketing: Fino a revoca o 3 anni di inattività

8. I Tuoi Diritti

Secondo la nLPD svizzera e il GDPR UE, hai il diritto di:

Accesso: Richiedere una copia dei tuoi dati personali (Art. 25 nLPD / Art. 15 GDPR)
Rettifica: Correggere dati inesatti (Art. 32 cpv. 1 nLPD / Art. 16 GDPR)
Cancellazione: Eliminare i tuoi dati dove legalmente consentito (Art. 17 GDPR)
Limitazione: Limitare il trattamento dei tuoi dati (Art. 18 GDPR)
Portabilità: Ricevere i tuoi dati in formato leggibile da macchina (Art. 28 nLPD / Art. 20 GDPR)
Opposizione: Opporti al trattamento per marketing diretto (Art. 30 nLPD / Art. 21 GDPR)
Revoca Consenso: Revocare il consenso in qualsiasi momento

Per esercitare questi diritti, contatta: privacy@tenderlift.ch

Cancellazione dell'Account

La cancellazione dell'account è self-service. In Impostazioni → Account, conferma con la tua password per programmare l'eliminazione. Quando lo fai:

Viene effettuato immediatamente il logout da tutti i dispositivi e il tuo record di contatto marketing viene rimosso subito
Il tuo account viene programmato per l'eliminazione e, entro 30 giorni, il tuo account e i dati associati all'account — preferenze, ricerche salvate, avvisi, elementi seguiti, punteggi e cronologia delle attività — vengono rimossi permanentemente dai nostri sistemi principali
Eventuali abbonamenti collegati all'account terminano quando l'account viene rimosso
I dati sugli appalti pubblici (bandi SIMAP) non sono interessati — si tratta di documenti pubblici
I dati che dobbiamo conservare per obblighi legali (ad esempio i documenti finanziari ai sensi dell'Art. 957 CO svizzero) vengono conservati per il periodo richiesto
I documenti caricati e le eventuali analisi di revisione delle offerte non fanno parte della routine di eliminazione automatica; per farli rimuovere anch'essi, scrivi a privacy@tenderlift.ch
Log di consegna limitati possono essere conservati fino a 30 giorni per la prevenzione delle frodi, sulla base del nostro legittimo interesse (GDPR Art. 17(3)(e) / nLPD Art. 32)

Puoi annullare un'eliminazione programmata contattando il supporto entro la finestra di 30 giorni.

9. Sicurezza dei Dati

Implementiamo misure tecniche e organizzative appropriate:

Crittografia in transito (TLS 1.3); i dati a riposo sono protetti dalla cifratura di archiviazione dei nostri fornitori di infrastruttura
Hashing delle password unidirezionale con salt (le password non vengono mai memorizzate in chiaro né cifrate in modo reversibile)
Valutazioni e aggiornamenti di sicurezza regolari
Controlli di accesso e autenticazione
Procedure di risposta agli incidenti
Formazione dei dipendenti sulla protezione dati

10. Privacy dei Minori

I nostri servizi non sono destinati a persone sotto i 16 anni. Non raccogliamo consapevolmente dati da minori. Se ritieni che abbiamo raccolto dati da un minore, contattaci immediatamente.

11. Decisioni Automatizzate

Utilizziamo l'IA per il matching e la sintesi delle gare, ma tutte le decisioni significative (come la sospensione dell'account) coinvolgono una revisione umana. Puoi richiedere una revisione umana di qualsiasi decisione automatizzata che ti riguarda.

12. Autorità di Controllo

Hai il diritto di presentare un reclamo presso:

Svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT)
Sito web: www.edoeb.admin.ch
UE: La tua autorità locale per la protezione dei dati

13. Aggiornamenti a Questa Informativa

Ti notificheremo modifiche sostanziali via email o avviso prominente sulla nostra piattaforma. L'uso continuato dopo le modifiche costituisce accettazione.

14. Contattaci

Per domande sulla privacy o per esercitare i tuoi diritti:
Email: privacy@tenderlift.ch
Tempo di Risposta: Entro 30 giorni