Informativa sulla protezione dei dati

1. Titolare del trattamento

Il titolare del trattamento dei Suoi dati personali su ASSET.CH è:

Alexander Baum, c/o RA Matutis
Rheinstrasse 71
CH-7012 Felsberg, Svizzera
E-mail: [email protected]

ASSET.CH è gestito come ditta individuale di diritto svizzero. Per domande sulla protezione dei dati e per esercitare i Suoi diritti può contattarci a questo indirizzo e-mail.

2. Rappresentante nell’UE

Il nostro rappresentante nell’Unione europea ai sensi dell’art. 27 RGPD è:

Kanzlei Matutis
Berliner Strasse 57
D-14467 Potsdam, Germania
Telefono: +49 331 813 284 70
E-mail: [email protected]
Sito web: matutis.de

Le persone che si trovano nell’UE possono rivolgersi anche a questo rappresentante per domande sulla protezione dei dati.

3. Ambito di applicazione

La presente informativa sulla protezione dei dati si applica al sito web www.asset.ch in tutte le versioni linguistiche e a tutte le funzioni che vi offriamo: directory, conti utente, profili aziendali, verifica di società e privati, richieste di contatto e messaggi, richieste a più società con offerte, ricerche salvate, offerte d’asta, fatture e pagamenti per la posizione in evidenza nonché il centro assistenza con l’assistente di supporto.

Trattiamo i dati personali conformemente alla legge federale svizzera sulla protezione dei dati (LPD) e, nella misura in cui è applicabile, al regolamento generale dell’UE sulla protezione dei dati (RGPD).

I siti web delle società elencate non vi rientrano. Se segue un link verso uno di questi siti, si applica la relativa informativa sulla protezione dei dati.

4. Dati trattati

Visita del sito web: il server web registra dati tecnici quali indirizzo IP, data e ora, pagina visitata, browser e sistema operativo (file di log del server). Questi dati ci servono per un funzionamento sicuro del sito.

Conto utente: nome, indirizzo e-mail, facoltativamente numero di telefono, lingua preferita, password (salvata solo come valore hash) nonché data, ora e indirizzo IP dell’ultimo accesso.

Accesso e sicurezza: per l’accesso a due fattori Le inviamo dei codici per e-mail oppure Lei utilizza un’app di autenticazione; salviamo la relativa chiave in forma crittografata e i codici di emergenza solo come valore hash. Per ogni accesso salviamo un evento di accesso (data e ora, indirizzo IP, Paese approssimativo, browser e un identificativo casuale del dispositivo) nonché le sessioni attive. In questo modo Le mostriamo i Suoi dispositivi e gli ultimi accessi, La avvisiamo in caso di accesso da un nuovo dispositivo e riconosciamo gli abusi. Se sceglie «Considera affidabile questo browser», salviamo a tal fine una voce con la denominazione del browser.

Verifica delle società: IDI della società, funzione della persona che effettua la registrazione e, se necessario, una procura o un altro giustificativo. La persona richiedente carica inoltre foto del proprio documento d’identità ufficiale (fronte e retro) e un selfie con il documento. Consultiamo il registro IDI pubblico.

Verifica dei privati: chi desidera contattare società o inviare richieste conferma il proprio indirizzo e-mail e comprova la propria identità con foto di un documento d’identità ufficiale (fronte e retro) e un selfie con il documento; il team di ASSET.CH verifica questi dati. Se è configurato un servizio SMS, la persona conferma inoltre il proprio numero di cellulare con un codice inviato via SMS.

Giustificativi e immagini dei documenti d’identità caricati: vengono salvati in forma crittografata, aperti solo dall’amministrazione per la verifica e cancellati dopo la decisione. Al caricamento leggiamo le caratteristiche tecniche del file (ad es. programma di modifica, contrassegno come generato dall’IA) e conserviamo solo tali caratteristiche. Per la verifica l’amministrazione può avvalersi di un supporto basato sull’IA (punto 8); in tale ambito vengono confrontati cifre di controllo, nome, data di scadenza e numero del documento. Salviamo il numero del documento solo come valore hash con chiave non reversibile, per riconoscere conti multipli aperti con lo stesso documento.

Società e ricerche salvate: le società che salva e le ricerche salvate, con la Sua scelta di avvisi via e-mail (giornalieri o settimanali).

Profili aziendali: i dati inseriti da una società, ad esempio ragione sociale, categoria, sede, descrizione, dati sulla vigilanza, logo e dati di contatto. I loghi caricati vengono ricodificati.

Membri del team: i conti e gli inviti dei membri del team che il titolare di una società invita tramite il loro indirizzo e-mail professionale.

Richieste di contatto e messaggi: nome, indirizzo e-mail, facoltativamente numero di telefono, modalità di contatto preferita, indicazioni facoltative sull’ordine di grandezza del patrimonio, sul domicilio, sullo statuto di US person e sullo statuto d’investitore nonché contenuto dei Suoi messaggi. I clienti con un conto possono salvare questi dati come profilo d’investitore; vengono quindi ripresi nelle loro richieste.

Supporto, allegati, segnalazione e blocco: le domande inviate tramite il modulo di contatto o «Contatta il supporto» sono salvate come conversazione con il team di ASSET.CH (nome, indirizzo e-mail, oggetto, messaggi, indirizzo IP). Senza conto riceve a tale scopo un link personale per e-mail. Gli allegati ai messaggi (PDF, JPG, PNG) sono salvati in forma cifrata al di fuori dell’area pubblica del sito; possono richiamarli solo le persone coinvolte e non fanno parte dei backup della banca dati. L’amministrazione non legge le conversazioni tra Lei e una società; vede soltanto chi ha scritto a chi e quando. Se segnala una conversazione (p. es. per spam o sospetto di truffa), l’amministrazione può consultare tale conversazione per esaminare la segnalazione; ogni accesso è registrato. Se blocca una conversazione, salviamo chi l’ha bloccata. Le e-mail sui nuovi messaggi contengono solo un link, non il contenuto (salvo le risposte a persone senza conto).

Richieste a più società e offerte: titolo, descrizione e dati essenziali della Sua richiesta (ad es. categoria, cantone, ordine di grandezza del patrimonio) nonché le offerte delle società.

Segnalazioni e lista di blocco: segnalazioni relative a profili aziendali (motivo, testo, facoltativamente indirizzo e-mail) nonché indirizzi e-mail, domini e indirizzi IP bloccati.

Valutazione del rischio: per prevenire frodi e conti multipli, ricaviamo automaticamente dai dati sopra indicati indizi relativi a conti e profili aziendali, ad esempio accessi tramite servizi di anonimizzazione, dispositivi condivisi, indirizzi usa e getta, testi di profilo copiati o formulazioni tipiche delle truffe sugli investimenti. A tal fine consultiamo dati pubblici (DNS inverso di un indirizzo IP, età di un dominio).

Posizione in evidenza, fatture e pagamenti: offerte d’asta delle società per i posti in evidenza (importo, posto per categoria, cantone e mese, esito dell’asta) nonché ragione sociale, riferimento, importo della fattura e stato del pagamento. Per i pagamenti online riceviamo da Stripe solo lo stato del pagamento, nessun dato della carta.

Inviti alle società: se invitiamo una società nella directory, salviamo la ragione sociale nonché il nome e l’indirizzo e-mail professionale della persona di contatto. Questi dati provengono da registri pubblici (per esempio il registro di commercio o il registro della FINMA) o dal sito web della società; l’invito ne indica la fonte. Inviamo un invito e al massimo un promemoria. Se la società risponde «Cancellami», cancelliamo l’invito e conserviamo solo una somma di controllo dell’indirizzo (su richiesta il dominio della società), affinché non venga inviato un altro invito.

Statistiche per le società: visualizzazioni del profilo, clic sul sito web della società e richieste. Le contiamo senza riferimento a persone e al massimo una volta per visitatore e giorno.

Assistente di supporto: le Sue domande e le risposte dell’assistente, solo per la durata della Sua sessione.

Protocollo di sicurezza e di audit: registrazione degli eventi rilevanti per la sicurezza della piattaforma, protetta da modifiche successive mediante una catena di hash. I browser possono inoltre inviarci segnalazioni tecniche su script bloccati (pagina e indirizzo bloccato, senza riferimento a persone).

Backup: i nostri dati vengono salvati in forma crittografata; una copia crittografata può trovarsi all’esterno presso un fornitore di servizi di archiviazione.

La comunicazione dei dati è facoltativa. Senza i dati necessari, tuttavia, non possiamo gestire un conto, un profilo, una verifica o una richiesta.

5. Finalità

Trattiamo i dati personali per le seguenti finalità:

gestione della directory e pubblicazione dei profili aziendali
verifica delle società (iscrizione nel registro, potere di rappresentanza, dominio) e controllo dei dati sulla vigilanza
verifica dei privati, affinché le società ricevano richieste autentiche
controllo delle modifiche a nome, sito web, indirizzo e-mail o numero di telefono delle società elencate
amministrazione dei conti utente e degli accessi del team, compresi l’accesso a due fattori, la gestione delle sessioni e l’avviso in caso di nuovi dispositivi
trasmissione della Sua richiesta alla società scelta, inoltro delle richieste alle società adatte e scambio di messaggi e offerte
invio di avvisi via e-mail per le ricerche salvate, se li attiva
gestione delle offerte d’asta, delle fatture e dei pagamenti della posizione in evidenza
statistiche per le società sul proprio profilo
traduzione dei testi dei profili e dei messaggi, proposte di testo per le società, proposte di risposta nel sistema di messaggistica e risposte a domande sull’utilizzo della piattaforma
invito di società nella directory
protezione della piattaforma e dei suoi utenti da attacchi, frodi, abusi d’identità e conti multipli
adempimento degli obblighi legali, in particolare la conservazione dei documenti contabili

6. Basi giuridiche

Secondo la LPD trattiamo i dati personali in modo lecito, secondo il principio della buona fede, in modo proporzionato, per finalità riconoscibili e non più a lungo del necessario (art. 6 LPD). Se è necessario un motivo giustificativo, ci basiamo sull’esecuzione di un contratto, sul Suo consenso, su un interesse preponderante o sulla legge (art. 31 LPD).

Se si applica il RGPD, valgono le seguenti basi giuridiche ai sensi dell’art. 6 par. 1 RGPD:

Contratto (lett. b): conto utente, accesso, profilo aziendale, accessi del team, verifica, richieste, offerte e messaggi, ricerche salvate, offerte d’asta e pagamenti per la posizione in evidenza e assistente di supporto.
Obbligo legale (lett. c): conservazione dei documenti contabili.
Interesse legittimo (lett. f): funzionamento sicuro, eventi di accesso, protezione da frodi e abusi, compresa la valutazione del rischio, verifica dei profili, statistiche senza riferimento a persone e inviti alle società.
Consenso (lett. a): indicazioni facoltative, ad esempio sull’ordine di grandezza del patrimonio. Può revocare il Suo consenso in qualsiasi momento con effetto per il futuro.

Nessuna decisione individuale automatizzata: la valutazione del rischio e il supporto basato sull’IA forniscono solo indizi. La decisione di attivare un profilo, confermare una verifica o bloccare un conto spetta sempre a una persona.

7. Profili e richieste

Profili aziendali: i profili sono pubblici e visibili a tutti i visitatori del sito. ASSET.CH verifica ogni profilo prima che venga pubblicato. Il numero di telefono e l’indirizzo e-mail della società compaiono pubblicamente solo se la società li rende visibili nelle proprie impostazioni sulla protezione dei dati. Ogni società è responsabile della correttezza dei propri dati.

La Sua richiesta: la Sua richiesta viene inviata direttamente alla società da Lei scelta. La società riceve il Suo nome, il Suo indirizzo e-mail, il Suo messaggio e gli altri dati che Lei fornisce. Se la società ha invitato membri del team, anche questi hanno accesso al conto della società. Dal momento della ricezione, la società è responsabile in proprio dell’ulteriore trattamento dei Suoi dati.

Richiesta a più società: le società verificate e adatte vedono la Sua richiesta senza nome né dati di contatto e possono inviarLe un’offerta. Solo quando Lei risponde a un’offerta, quella sola società riceve il Suo nome e il Suo messaggio. Le società possono salvare uno stato di elaborazione e una nota interna per una richiesta ricevuta; la nota è cifrata e viene cancellata insieme alla richiesta.

Richiesta con conto cliente: contatta le società con un conto cliente gratuito e verificato (punto 4). I Suoi messaggi restano salvati nel Suo conto. La società risponde tramite il sistema di messaggistica. Se un messaggio presenta caratteristiche tipiche delle truffe sugli investimenti, Le mostriamo un avviso.

Richiesta senza conto: se ASSET.CH ammette richieste senza conto, come ospite conferma la Sua richiesta tramite un link che Le inviamo per e-mail e che è valido 48 ore. Senza conferma la richiesta viene cancellata dopo 3 giorni. Riceve le risposte della società per e-mail.

Statistiche: le società vedono solo cifre sulle visualizzazioni del profilo, sui clic verso il loro sito web e sulle richieste. Queste cifre non contengono informazioni su singoli visitatori.

8. Destinatari

I seguenti destinatari ricevono dati personali nella misura necessaria al loro compito:

Società contattata: la Sua richiesta e i Suoi dati di contatto, come descritto al punto 7.
Hosting: Novatrend Services GmbH, Svizzera. I server si trovano in Svizzera. Inviamo le nostre e-mail tramite il server di posta di questo fornitore.
Cloudflare: Cloudflare, Inc., USA, protegge il sito web dagli attacchi, ne garantisce una distribuzione rapida, fornisce il Paese approssimativo di un indirizzo IP e, se necessario, verifica i moduli con Cloudflare Turnstile per rilevare accessi automatizzati.
Stripe: Stripe Payments Europe Ltd., Irlanda, elabora i pagamenti online (carta, Apple Pay, Google Pay, TWINT). Inserisce i dati della carta direttamente presso Stripe. Stripe tratta questi dati secondo la propria informativa sulla privacy.
Servizio SMS: per il codice di conferma del numero di cellulare, il servizio SMS utilizzato riceve il Suo numero di cellulare e il testo dell’SMS (a seconda della configurazione, ASPSMS, Svizzera, o Twilio Inc., USA).
Anthropic: Anthropic, PBC, USA, fornisce le funzioni di IA, se le attiviamo: traduzione dei testi pubblici dei profili, proposte di testo per i profili aziendali sulla base dei dati pubblici del profilo, proposte di dati del profilo ricavate dal testo del sito web di una società (solo se la società lo avvia essa stessa), risposte dell’assistente di supporto (la Sua domanda e la conversazione precedente, nessun dato del conto) e – solo su decisione dell’amministrazione – supporto nella verifica dell’autenticità di giustificativi e documenti d’identità (fronte e retro del documento o giustificativi, senza selfie e senza metadati dei file). Secondo le sue condizioni per l’uso commerciale, Anthropic non utilizza questi dati per addestrare i propri modelli. Nel sistema di messaggistica l’IA traduce un messaggio solo su Suo clic o se ha attivato Lei stesso la traduzione automatica, e propone testi solo su richiesta (proposta di risposta, riformulazione, traduzione di una bozza); a tale scopo riceve il messaggio in questione o la Sua bozza e lo svolgimento della conversazione. Salviamo le traduzioni in forma cifrata finché il messaggio esiste.
Registri e servizi pubblici: registro IDI dell’Ufficio federale di statistica (IDI della società), servizi di registro RDAP (solo il nome di dominio) e il servizio «Have I Been Pwned» per verificare se una nuova password è nota da fughe di dati. In tale ambito lasciano il nostro server solo i primi 5 caratteri di un valore hash, né la password né il Suo indirizzo e-mail.
Archiviazione dei backup: se configurata, una copia dei nostri backup si trova all’esterno presso un fornitore di servizi di archiviazione (ad es. Infomaniak Network SA, Svizzera). I file vengono crittografati in precedenza; il fornitore non può leggerli.

Novatrend, Cloudflare, il servizio SMS, Anthropic e il fornitore di servizi di archiviazione trattano i dati in qualità di responsabili del trattamento per nostro conto. Non vendiamo dati personali.

9. Trasferimenti all’estero

Il nostro sito web e i nostri dati si trovano su server in Svizzera. I dati possono essere trasferiti all’estero nei seguenti casi:

Cloudflare: negli Stati Uniti. Il trasferimento si basa sullo Swiss-U.S. Data Privacy Framework o su clausole contrattuali standard.
Stripe: in Irlanda ed eventualmente negli Stati Uniti. In quanto membro dell’UE, l’Irlanda garantisce una protezione adeguata dei dati. Per gli Stati Uniti si applicano lo Swiss-U.S. Data Privacy Framework o clausole contrattuali standard.
Anthropic e, a seconda della configurazione, il servizio SMS Twilio: negli Stati Uniti, sulla base di clausole contrattuali standard o dello Swiss-U.S. Data Privacy Framework.
Società nel Liechtenstein: se contatta una società nel Liechtenstein, la Sua richiesta viene trasmessa in tale Paese. In quanto membro dello SEE, il Liechtenstein garantisce una protezione adeguata dei dati.

Utilizziamo solo cookie tecnicamente necessari:

Cookie di sessione: viene impostato solo quando accede al Suo conto o utilizza un modulo e viene eliminato alla chiusura del browser, al più tardi dopo 12 ore.
Identificativo del dispositivo: un numero casuale impostato al momento dell’accesso o della registrazione. Serve solo a riconoscere i dispositivi noti (avviso in caso di nuovi dispositivi, elenco delle Sue sessioni) ed è valido 1 anno.
Browser affidabile: solo se sceglie «Considera affidabile questo browser»; valido 30 giorni.

Non utilizziamo tracker pubblicitari o di analisi.

11. Conservazione

Conserviamo i dati personali solo per il tempo richiesto dalla finalità o prescritto dalla legge:

Conti utente, profili aziendali, messaggi, richieste e offerte: fino alla cancellazione da parte Sua o nostra. Può eliminare il Suo conto autonomamente alla voce «Impostazioni». Le società vedono una richiesta a più società per al massimo 30 giorni.
Conversazioni con il supporto: 24 mesi dopo l’ultimo messaggio, con un conto fino alla sua cancellazione se anteriore. Allegati e traduzioni sono cancellati insieme al messaggio. Segnalazioni di conversazioni: finché la conversazione esiste.
Immagini dei documenti d’identità e giustificativi: fino alla decisione sulla verifica, dopodiché i file vengono cancellati. Conserviamo l’esito della verifica fino alla cancellazione del conto.
Codici SMS: al massimo 1 giorno.
Richieste senza conto non confermate (se ASSET.CH le ammette): 3 giorni; il link di conferma è valido 48 ore.
Registrazioni non confermate: 14 giorni.
Inviti per membri del team: 14 giorni.
Inviti alle società: fino a 30 giorni dopo la scadenza del link d’invito (90 giorni); cancellazioni dagli inviti: come somma di controllo o dominio, finché inviamo inviti.
Sessioni: fino a 1 giorno dopo l’ultima attività; browser affidabili: 30 giorni.
Eventi di accesso: 180 giorni.
Cronologia dell’assistente di supporto: fino al termine della Sua sessione.
Valutazione del rischio: fino alla cancellazione del conto; interrogazioni pubbliche memorizzate temporaneamente: al massimo 31 giorni.
Protocolli di sicurezza: 12 mesi; segnalazioni evase: 24 mesi.
Statistiche per le società: circa 2 anni.
Backup: gli ultimi backup sul server; una copia all’esterno per al massimo circa 3 mesi.
Documenti contabili: 10 anni (obbligo legale).

12. Sicurezza dei dati

Proteggiamo i Suoi dati con misure tecniche adeguate, tra cui:

trasmissione crittografata (TLS)
accesso a due fattori con codice inviato per e-mail o app di autenticazione, visualizzazione dei dispositivi connessi e avviso in caso di nuovi dispositivi
salvataggio delle password solo come valore hash e rifiuto delle password provenienti da fughe di dati note
salvataggio crittografato dei dati personali, dei messaggi e degli indirizzi IP nella banca dati (AES-256)
salvataggio crittografato dei giustificativi e delle immagini dei documenti d’identità e loro cancellazione dopo la decisione
backup crittografati, facoltativamente con copia all’esterno
protocollo di sicurezza protetto da modifiche e monitoraggio dell’integrità dei nostri sistemi
limitazione del numero di accessi e controllo dei file caricati per prevenire abusi
ricodifica dei loghi caricati

13. I Suoi diritti

Nei limiti del diritto applicabile, Lei dispone dei seguenti diritti:

Accesso ai dati che trattiamo su di Lei. Può scaricare autonomamente i Suoi dati come file alla voce «Impostazioni».
Rettifica dei dati inesatti.
Cancellazione dei Suoi dati, salvo obblighi legali di conservazione.
Consegna e trasmissione dei Suoi dati in un formato elettronico di uso comune.
Opposizione a determinati trattamenti.
Revoca di un consenso con effetto per il futuro.

Può eliminare il Suo conto autonomamente alla voce «Impostazioni». Può disattivare gli avvisi via e-mail per le ricerche salvate tramite il link di disiscrizione presente in ogni e-mail. Per tutte le altre richieste scriva a [email protected].

Può inoltre presentare reclamo all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Le persone che si trovano nell’UE possono rivolgersi anche all’autorità di controllo competente per la protezione dei dati nell’UE.

14. Modifiche

Possiamo adeguare la presente informativa sulla protezione dei dati, ad esempio se la nostra offerta o la situazione giuridica cambiano. Fa stato la versione pubblicata su questa pagina.

Stato: ottobre 2026

Torna all’inizio