Informativa sulla protezione dei dati

Contiamo le visualizzazioni di pagina con Vercel Web Analytics. Lo strumento non utilizza cookie e non la segue su altri siti web. Per ogni visualizzazione registra la pagina, la provenienza della visita, il suo paese, la sua regione e la sua città, il suo browser e il tipo di dispositivo; Vercel crea un identificatore di breve durata a partire dalla sua richiesta, compreso il suo indirizzo IP, e lo elimina dopo 24 ore. Noi non vediamo mai il suo indirizzo IP e i percorsi all'interno del suo account vengono oscurati prima che l'evento lasci il suo browser.

Vercel Speed Insights misura la velocità di caricamento, la reattività e la stabilità visiva (Core Web Vitals) per aiutarci a migliorare le prestazioni. Le misurazioni comprendono l'URL della pagina, il percorso, la rete, il browser, il dispositivo e il paese, senza identificare i singoli visitatori. Gli URL dell'account vengono oscurati prima dell'invio.

Contiamo le visualizzazioni di pagina anche con PostHog, ospitato a Francoforte, nello stesso modo senza cookie, per tutti. Finché non risponde alla domanda sull'analisi d'uso, e se rifiuta, PostHog ricava sui propri server un hash di breve durata, eliminato lo stesso giorno. Lo usa per contare la visita una sola volta e per vedere come è andata: quali pagine sono state aperte, con quale velocità si sono caricate, per quanto tempo ciascuna è rimasta aperta e fino a che punto è stata fatta scorrere, e quali link, pulsanti e moduli sono stati usati. Nessun cookie, nulla viene salvato nel suo browser, nessuna identità: la visita non può essere collegata a un altro giorno né a un account. Il rifiuto non le toglie alcuna parte del sito pubblico.

Se accetta l'analisi d'uso, PostHog registra anche come l'app viene effettivamente utilizzata, in collegamento con il suo account: quali schermate ha aperto, su cosa ha fatto clic e una riproduzione di tali schermate. I campi di inserimento e i contenuti personali contrassegnati vengono oscurati, e le anteprime dei documenti vengono bloccate, prima che la registrazione lasci il suo browser, e gli eventi contengono solo identificatori e categorie, mai il contenuto di un documento, il nome di un file o un importo in franchi. L'Informativa sui cookie spiega come modificare questa scelta.

Una volta creato un account, registriamo inoltre sui nostri server un piccolo numero di eventi di prodotto, sia che abbia accettato l'analisi d'uso sia che no: la creazione dell'account, una dichiarazione avviata, un documento ricevuto, una guida pronta, un pagamento effettuato e simili. Ciascun evento riporta l'identificatore del suo account, la dichiarazione a cui si riferisce, il suo cantone e la sua lingua e, in caso di arrivo tramite un link di un partner, quale. Non contengono alcun documento né alcun nome di file, e l'unico importo è il prezzo pagato. Non impostano alcun cookie e vanno al cloud UE di PostHog a Francoforte, e alcuni di essi giungono a Google Ads come descritto al §03. Li registriamo in base al nostro interesse legittimo a sapere se il servizio funziona e quali partner ci portano clienti (art. 6 nLPD; art. 6 par. 1 lett. f RGPD, ove applicabile). La registrazione delle schermate e il collegamento tra il suo browser e il suo account restano soggetti al solo consenso. Non utilizziamo tracker pubblicitari né pixel di marketing di terzi, e non creiamo profili comportamentali. La sua password è memorizzata come hash crittografico unidirezionale: noi non la vediamo mai. I numeri di carta, i CVV e i dati bancari vanno direttamente a Stripe e non raggiungono mai i nostri server.

I suoi documenti fiscali sono i dati più sensibili che trattiamo. Possono contenere dati sul reddito, dati finanziari, identificativi ufficiali (numero AVS), dati affini alla salute (invalidità, spese mediche), nonché dati familiari e patrimoniali.

Trattiamo i suoi documenti per eseguire il contratto con Lei (art. 31 cpv. 2 lett. a nLPD). Non le chiediamo un consenso separato e non deve darlo. Può interrompere il trattamento in qualsiasi momento eliminando il documento o il suo account.

I documenti sono archiviati in Supabase Storage, in uno spazio cifrato accessibile solo al suo account. La Row Level Security (sicurezza a livello di riga) garantisce l'isolamento per account a livello di database. AES-256 a riposo, TLS 1.3 in transito. Nessun altro account può accedere ai suoi file, mai.

Il modo in cui l'IA legge effettivamente i suoi documenti, ciò che Microsoft e Anthropic ricevono, gli impegni a non usare i dati per l'addestramento e la politica di conservazione di ciascun fornitore sono descritti nell'Avvertenza sull'IA.

Condividiamo i suoi dati con i fornitori di servizi elencati di seguito e, per misurare i nostri annunci, con Google come descritto dopo la tabella. Non vendiamo i suoi dati. Ogni fornitore ha con noi un contratto di trattamento dei dati (DPA), oppure è incaricato da un fornitore che lo ha e, in tal caso, è indicato come tale qui sotto, con clausole contrattuali tipo (CCT) ove richieste per i trasferimenti al di fuori della Svizzera.

Google Ads. Se arriva facendo clic su uno dei nostri annunci Google e poi crea un account, conserviamo l'ID del clic di quel link. PostHog comunica quindi a Google Ads quando crea l'account, genera un estratto del broker, ottiene la prima scheda della sua guida e paga, e quanto ha pagato. Google non riceve nient'altro su di Lei. Lo utilizza come titolare autonomo del trattamento per mostrarci quali annunci portano clienti e può trattarlo negli USA nel quadro dello Swiss-U.S. Data Privacy Framework. Ci basiamo sul nostro interesse legittimo a misurare i nostri annunci (art. 6 par. 1 lett. f RGPD, ove applicabile). Per opporsi, scriva a contact@papertax.ch.

Se ci scrive per e-mail, il suo messaggio giunge a Resend negli Stati Uniti e un breve estratto viene pubblicato in un canale Discord privato letto dal nostro team. Non invii documenti fiscali per e-mail. Li carichi invece nell'app, dove seguono il percorso descritto sopra.

Se aggiungiamo o sostituiamo un responsabile del trattamento, aggiorneremo questa informativa e la avviseremo per e-mail almeno 30 giorni prima dell'entrata in vigore della modifica. Comunichiamo i dati di chi usa il servizio solo quando richiesto dalla legge, in base a una richiesta vincolante delle autorità svizzere competenti ai sensi del diritto svizzero, e contestiamo le richieste che ci lasciano dubbi prima di darvi seguito.

Tipi di dati diversi hanno periodi di conservazione diversi. La tabella seguente spiega le regole per i dati archiviati da PaperTax.

• Cifrati: AES-256 a riposo, TLS 1.3 in transito
• Isolati: Row Level Security (sicurezza a livello di riga) a livello di database, non solo di applicazione
• Accessi di breve durata: gli accessi si rinnovano e scadono automaticamente
• Nessun dato di carta sui nostri server: i dati di pagamento vanno direttamente a Stripe

Se una violazione comporta probabilmente un rischio elevato per i suoi dati personali, lo comunicheremo all'IFPDT tramite il suo modulo online DataBreach il più rapidamente possibile e le daremo comunicazione diretta quando è necessario per la sua protezione.

In base alla nLPD svizzera e al RGPD dell'UE ha i diritti elencati di seguito. Ci scriva a contact@papertax.ch per esercitarne uno qualsiasi. Confermiamo la ricezione entro 5 giorni lavorativi e forniamo una risposta nel merito entro 30 giorni.

• Accesso: sapere quali dati deteniamo e ricevere una copia
• Rettifica: correggere i dati inesatti
• Cancellazione: elimini i suoi dati tramite le impostazioni dell'account → Elimina account. I documenti, i dati della guida e il suo account vengono cancellati immediatamente. Le uniche eccezioni sono la registrazione del pagamento, che il diritto contabile svizzero ci obbliga a conservare per 10 anni (art. 958f CO, art. 70 cpv. 2 LIVA), e i log di sicurezza dei server (fino a 90 giorni in base all'interesse legittimo per l'individuazione delle frodi), entrambi indicati al §04
• Limitazione: sospendere il trattamento durante una controversia
• Portabilità: ricevere i suoi dati in formato JSON
• Opposizione: opporsi al trattamento fondato sull'interesse legittimo

Autorità di vigilanza svizzera: Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, CH-3003 Berna. I residenti nell'UE/SEE possono rivolgersi all'autorità locale per la protezione dei dati (elenco su edpb.europa.eu).

Utilizziamo cookie essenziali che mantengono attivo il suo accesso, più cookie di analisi impostati solo se li accetta: nessuna pubblicità, nessun tracciamento tra siti. Il dettaglio completo è nell'Informativa sui cookie.

PaperTax non è destinato a persone di età inferiore ai 18 anni. Se ritiene che una persona minorenne abbia creato un account, ci scriva per e-mail e lo elimineremo.

In caso di modifiche sostanziali la avviseremo per e-mail almeno 30 giorni prima dell'entrata in vigore della modifica. L'uso continuato dopo la data di entrata in vigore costituisce accettazione. In caso di discrepanza tra questa versione inglese e qualsiasi traduzione, prevale la versione inglese.