Dichiarazione sulla protezione dei dati.

1. Titolare del trattamento

ailean Real Estate Technologies AG, Kuttelgasse 7, 8001 Zurigo, Svizzera. IDI CHE 415.801.057. Contatto per richieste sulla protezione dei dati: tramite la nostra pagina degli appuntamenti.

2. Quali dati trattiamo

Trattiamo i dati che ci comunicate attivamente (ad esempio in una richiesta di contatto, nell'iscrizione all'update per investitori, in una candidatura o nell'uso della demo live) e i dati che si generano tecnicamente durante la visita del nostro sito (indirizzo IP, tipo di browser, orario di accesso).

Se arrivate sul nostro sito tramite un link con un contrassegno di campagna, ad esempio da uno dei nostri annunci su LinkedIn o Google, il vostro browser memorizza questo contrassegno (fonte, mezzo, campagna e contenuto dell’annuncio) solo per la sessione in corso. Se poi prenotate un appuntamento, lo riceviamo insieme alla prenotazione, così sappiamo quale campagna vi ha portati da noi. Se arrivate da un annuncio Google, comprende anche il relativo identificativo di clic (gclid, gbraid o wbraid). Il contrassegno non contiene né il vostro nome né i vostri dati di contatto e ci viene trasmesso solo se prenotate. Sempre solo per la sessione in corso, il vostro browser memorizza anche la prima pagina che avete aperto da noi e il nome del sito da cui siete arrivati (ad esempio www.google.com). Anche queste indicazioni ci vengono trasmesse solo con una prenotazione. Affinché un invito non vada perso, al momento della prenotazione verifichiamo tramite il servizio DNS di Cloudflare, o in alternativa di Google, che il dominio del vostro indirizzo e mail possa ricevere e mail; viene interrogato solo il dominio, mai il vostro indirizzo.

I documenti dei modelli e calcolatori sono creati nel browser. I dati dei moduli non sono inviati al nostro server; sono conservati temporaneamente nel browser al cambio di lingua. L’intestazione (ditta, indirizzo, contatto e logo facoltativo) resta nella memoria locale su questo dispositivo finché non la eliminate con «Cancellare i dati». Se la ricerca aziendale è attiva, il termine cercato nel campo della ditta o del locatore viene trasmesso tramite il nostro server al registro di commercio Zefix per completare l’indirizzo della ditta. Non conserviamo né il termine cercato né il risultato.

3. Scopo del trattamento

Il trattamento avviene per rispondere alla vostra richiesta, per fornire le nostre prestazioni contrattuali, per garantire il funzionamento sicuro del nostro sito web e per adempiere agli obblighi di legge.

4. Base giuridica

Il trattamento si basa sul vostro consenso, su un contratto con voi o sulla tutela di nostri interessi legittimi. Per gli utenti nell'UE ci basiamo inoltre sull'art. 6 GDPR. In caso di divergenze tra nLPD e GDPR applichiamo il livello di protezione più severo.

5. Hosting e luogo di archiviazione

La piattaforma ailean gira su Microsoft Azure nella regione «Switzerland North» (area di Zurigo) con georidondanza in «Switzerland West» (area di Ginevra). I dati di inquilini e immobili dei nostri clienti sono salvati in Svizzera; trasmissione e archiviazione sono cifrate (in transit e at rest). Per singole fasi di trattamento ricorriamo a fornitori vincolati contrattualmente (punto 6).

6. Fornitori di servizi (subresponsabili)

Trasmettiamo dati solo se necessario per fornire le nostre prestazioni, se avete acconsentito o se siamo obbligati per legge. Non vendiamo dati. Ogni fornitore è vincolato da un contratto di trattamento dei dati. I principali servizi utilizzati:

• Microsoft Azure (infrastruttura cloud, Svizzera; ISO 27001/27017/27018, SOC 1/2/3)
• Supabase (database di prodotto, UE)
• n8n, self hosted (automazione dei workflow, Germania/UE)
• OpenAI (inferenza IA, UE/USA; API enterprise con zero data retention, nessun training sugli input di ailean)
• Meta / WhatsApp Business API (canale inquilini, UE/USA)
• Twilio (SMS/telefonia, USA/UE; sarà sostituito da 3CX self hosted in Svizzera)
• Resend, Cloudflare, Railway (invio e mail, CDN/sicurezza, hosting app, USA/UE)
• Stripe (elaborazione pagamenti, UE; PCI DSS livello 1)
• Google Workspace (collaborazione interna, tra cui candidature, UE/USA)
• VideoAsk by Typeform (candidature video, UE/USA; caricato nella pagina delle carriere solo dopo una vostra scelta separata)
• Run my Accounts AG (contabilità, Svizzera)

L'elenco completo e costantemente aggiornato dei subresponsabili è parte del nostro contratto di trattamento dei dati ed è messo a disposizione dei clienti su richiesta. I clienti sono informati in anticipo delle modifiche e hanno un diritto di opposizione.

7. Comunicazione all'estero

Se un trattamento avviene fuori dalla Svizzera o dallo spazio UE/SEE (in particolare USA), ci basiamo sui presupposti degli art. 16 seg. nLPD e art. 44 segg. GDPR: lo Swiss US Data Privacy Framework, se il destinatario è certificato, o le clausole contrattuali standard UE (SCC 2021/914) con appendice svizzera, integrate da misure di protezione tecniche e da un transfer impact assessment documentato. Se una base di trasferimento viene meno, informiamo senza indugio i clienti interessati.

8. Trattamento su incarico per amministrazioni immobiliari

Quando ailean tratta dati di inquilini nell'ambito della piattaforma, ailean agisce come responsabile del trattamento su incarico della rispettiva amministrazione immobiliare; titolare ai sensi del diritto sulla protezione dei dati (art. 5 nLPD, art. 4 GDPR) è l'amministrazione. La base è un contratto di trattamento dei dati (DPA) secondo l'art. 9 nLPD e l'art. 28 GDPR, con vincolo alle istruzioni, obblighi di riservatezza e misure tecniche e organizzative.

Se gli inquilini rivolgono richieste sulla protezione dei dati direttamente ad ailean, le inoltriamo senza indugio all'amministrazione competente. Segnaliamo le violazioni della protezione dei dati ai nostri clienti entro 48 ore dalla scoperta. Al termine del contratto i dati personali vengono restituiti o cancellati a scelta del cliente, senza istruzioni, al più tardi dopo 30 giorni.

9. Intelligenza artificiale e protezione dei dati

ailean non utilizza i dati dei clienti (input e output) per addestrare o perfezionare modelli di IA; per i miglioramenti dei modelli utilizziamo esclusivamente dati irreversibilmente anonimizzati o aggregati senza riferimento personale. Il modello linguistico integrato (OpenAI) è gestito tramite l'API enterprise con zero data retention ed è contrattualmente escluso dal training sugli input di ailean. Clienti e persone interessate hanno in ogni caso un diritto di opposizione (opt out) esercitabile in qualsiasi momento.

10. I vostri diritti

Avete il diritto di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati. Potete revocare il vostro consenso in qualsiasi momento e presentare reclamo all'autorità di vigilanza competente (in Svizzera: l'Incaricato federale della protezione dei dati e della trasparenza, IFPDT).

11. Cookie e tracking

Le impostazioni tecnicamente necessarie (come le preferenze di lingua e la vostra scelta sui cookie) restano localmente nel vostro browser e non ci vengono trasmesse. Inoltre utilizziamo Google Analytics 4 e Google Ads (entrambi Google Ireland Limited, Irlanda) e, sulle pagine B2B generali, il LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company, Irlanda) per misurare il pubblico e le campagne.

Google Analytics viene attivato solo dopo che avete espresso il consenso esplicito nel banner dei cookie (Google Consent Mode v2, impostazione predefinita «rifiutato»). Senza consenso non vengono impostati cookie di analisi e non vengono trasmessi a Google dati che vi identificano. Se acconsentite, Google tratta dati di utilizzo (tra cui un indirizzo IP abbreviato, informazioni su dispositivo e browser e le pagine visitate) per la misurazione dell'audience; può avvenire un trasferimento negli USA, basato sulle clausole contrattuali tipo dell'UE o sul Data Privacy Framework (vedi punto 7).

Indipendentemente dal banner dei cookie, misuriamo lato server l’efficacia dei nostri contatti (ad esempio e mail, lettere e messaggi LinkedIn inviati, link personali per appuntamenti aperti e prenotati, risposte e appuntamenti) e trasmettiamo questi conteggi a Google Analytics tramite il Measurement Protocol. Vengono trasmessi solo il tipo di evento, la campagna, il canale, la variante del testo, l’orario ed eventualmente il costo, ma nessun nome, nessun indirizzo e mail o IP, nessun identificativo CRM e nessun identificativo attribuito a una singola persona. Google non riceve quindi alcuna informazione riconducibile a voi. L’apertura di una pagina di prenotazione non imposta a tal fine alcun cookie né carica script di Google. La base giuridica è il nostro interesse legittimo a misurare le nostre campagne (art. 6 cpv. 1 lett. f GDPR, art. 31 nLPD).

Se vi contattiamo per e mail, lettera, LinkedIn o telefono, ricevete un link personale per appuntamenti attribuito a voi e a questo contatto. Se lo aprite, registriamo nel nostro CRM (Bitrix24) che e quando lo avete aperto, quante volte, a quale contatto appartiene e se avete prenotato un appuntamento tramite esso. Affinché i controlli effettuati dal server di posta della vostra azienda non valgano come vostra apertura, il nostro servizio di prenotazione classifica ogni accesso in base all’operatore di rete, all’identificativo del browser e al tempo trascorso dall’invio; viene salvata solo questa classificazione, per i controlli automatici anche il nome della rete che effettua il controllo, ma nessun indirizzo IP. A tal fine non viene impostato alcun cookie né caricato alcuno script di terzi; a Google Analytics non viene trasmesso nulla che sia riconducibile a voi. Affinché possiate tornare più tardi alla pagina di prenotazione anche senza il link, il browser conserva il vostro link personale per appuntamenti per al massimo 30 giorni nella memoria locale di questo dispositivo; se il link è scaduto o è stato revocato, viene cancellato. La base giuridica è il nostro interesse legittimo a un contatto mirato e discreto (art. 6 cpv. 1 lett. f GDPR, art. 31 nLPD). Se vi opponete al nostro contatto, non registriamo più nemmeno le aperture.

I link che condividiamo nei nostri contatti, post, annunci o stampati passano dal nostro dominio (ailean.re/t/…), senza un servizio di abbreviazione di link di terzi. I link personali contengono il vostro nome e cognome e una terminazione casuale, affinché non possano essere indovinati, e sono attribuiti a voi; la loro apertura viene registrata nel nostro CRM come descritto sopra. Per ogni link contiamo inoltre gli accessi al giorno, distinguendo le persone dai controlli automatici dei sistemi di posta e di chat, nonché per paese, tipo di dispositivo (computer, telefono, tablet) e provenienza. Della pagina di provenienza salviamo solo il dominio, oppure la nota «QR code» se il link proviene da uno dei nostri QR code. Per distinguere i diversi visitatori di una stessa giornata, il nostro server web presso Cloudflare ricava dall’indirizzo IP, dall’identificativo del browser e dalla data un identificativo cifrato, che cambia ogni giorno e non consente di risalire all’indirizzo IP; l’indirizzo IP stesso non viene né trasmesso né salvato. Non viene impostato alcun cookie né caricato alcuno script di terzi. I conteggi restano sui nostri server presso Hetzner in Germania e non vengono trasmessi a fornitori di pubblicità o di analisi. La base giuridica è il nostro interesse legittimo a misurare i nostri contatti e le nostre campagne (art. 6 par. 1 lett. f RGPD, art. 31 nLPD).

Se arrivate su ailean.re, demo.ailean.re o kpi.ailean.re tramite un link personale contenuto in uno dei nostri messaggi e accettate nell'avviso sui cookie, colleghiamo la vostra visita alla vostra scheda di contatto. A tal fine il browser conserva un identificativo visitatore casuale nella memoria locale. Registriamo quali pagine aprite, per quanto tempo vi siete attivi, fin dove scorrete, quali link e pulsanti cliccate, quanta parte di un video o di un audio riproducete, se usate il calcolatore o un modello (solo il fatto, mai ciò che inserite) e fino a quale passaggio portate una prenotazione. Se passate da uno di questi siti all'altro con il vostro consenso, trasmettiamo l'identificativo visitatore nel frammento dell'indirizzo (#); l'altro sito lo riprende solo se acconsentite anche lì. Non registriamo i dati inseriti nei moduli, i parametri dell'indirizzo, i movimenti del mouse né registrazioni dello schermo. I dati restano sui nostri server presso Hetzner in Germania e non vengono trasmessi a fornitori di pubblicità o di analisi. Conserviamo un riepilogo delle vostre visite (ad esempio quante volte e quando, quali temi e a che punto è arrivata una prenotazione) nel nostro CRM (Bitrix24), affinché i nostri contatti successivi corrispondano al vostro interesse; questo riepilogo rimane parte della vostra cronologia di contatto. Cancelliamo i singoli eventi dopo dodici mesi. La base giuridica è il vostro consenso (art. 6 par. 1 lett. a GDPR, art. 31 nLPD). Se rifiutate o revocate il consenso, l'identificativo viene cancellato e non viene più registrato nulla. Senza link personale la visita non viene collegata a nessuno.

In deroga, per chi visita il sito dalla Svizzera e dal Liechtenstein (Paese secondo il gestore di rete, senza salvare l’indirizzo IP): se arrivate tramite il vostro link personale, registriamo la visita come descritto sopra fin dall’arrivo, anche senza consenso preventivo. La base giuridica è il nostro interesse legittimo ad adeguare i nostri contatti al vostro interesse effettivo (art. 31 nLPD). Potete opporvi in qualsiasi momento, con «Rifiuta» nell’avviso sui cookie o tramite modifica impostazioni cookie; l’identificativo viene allora bloccato ed eliminato e non registriamo più nulla. Google Analytics, Google Ads e il LinkedIn Insight Tag continuano a essere caricati solo con il vostro consenso.

Anche il LinkedIn Insight Tag viene caricato solo dopo il vostro consenso esplicito. LinkedIn tratta l'URL visitato, la pagina di provenienza, l'indirizzo IP, le caratteristiche del dispositivo e del browser e l'orario della visita per attribuire i risultati delle campagne, creare statistiche sul pubblico e formare pubblici del sito web. Il tag è tecnicamente disattivato nelle nostre pagine di prenotazione e nelle pagine cliente personalizzate. Enhanced Matching non è configurato: nomi, indirizzi e mail e altri identificatori inseriti non vengono trasmessi al tag. I dati possono essere trasferiti negli USA (vedi punto 7).

Google Ads (Conversion Tracking), servizio di Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda (società madre: Google LLC, USA), si basa sullo stesso consenso di Google Analytics: viene caricato solo dopo che avete espresso il consenso esplicito nel banner dei cookie (Google Consent Mode v2, impostazione predefinita «rifiutato»). Ci permette di misurare se i visitatori giunti sul nostro sito tramite uno dei nostri annunci Google prenotano poi un appuntamento, e di ottimizzare di conseguenza le nostre campagne. A tal fine Google tratta cookie e identificatori simili, l'identificativo di clic dell'annuncio (gclid, gbraid o wbraid), le pagine visitate, la prenotazione completata come conversione, il vostro indirizzo IP, che Google abbrevia, e informazioni su dispositivo e browser.

La base giuridica è il vostro consenso (art. 6 par. 1 lett. a GDPR, art. 31 nLPD), revocabile in qualsiasi momento (vedi sotto). Può avvenire un trasferimento negli USA, basato sul Data Privacy Framework tra l'UE o la Svizzera e gli USA e sulle clausole contrattuali tipo dell'UE (vedi punto 7). La durata di conservazione è stabilita da Google; i cookie di conversione vengono di norma conservati per non più di 90 giorni. Per maggiori informazioni consultate l'informativa sulla privacy di Google; potete gestire la pubblicità personalizzata nelle impostazioni degli annunci di Google. Se prenotate un appuntamento, salviamo inoltre l'identificativo di clic e i contrassegni di campagna insieme alla prenotazione nel nostro CRM (Bitrix24), per attribuire l'appuntamento alla campagna corretta (vedi punto 2). Se una prenotazione deriva da un annuncio Google, comunichiamo inoltre a Google Ads l'identificativo di clic insieme al risultato, ossia se è stato prenotato un appuntamento e se in seguito ne è nato un rapporto con il cliente, ogni volta con la data. Non trasmettiamo il vostro nome, il vostro indirizzo e mail né altri dati di contatto. Ciò ci permette di misurare quali campagne portano a colloqui e clienti. La base giuridica è il nostro interesse legittimo a misurare l'efficacia della nostra pubblicità (art. 6 par. 1 lett. f GDPR, art. 31 nLPD); potete opporvi in qualsiasi momento (vedi sotto).

Il vostro consenso è facoltativo e revocabile in qualsiasi momento con effetto per il futuro: modifica le impostazioni dei cookie. La base giuridica è il vostro consenso (art. 6 par. 1 lett. a GDPR, art. 31 nLPD).

Nella pagina delle carriere VideoAsk viene caricato solo dopo che avete scelto il pulsante per aprirlo. Solo a quel punto il browser si collega a VideoAsk e trasmette i dati tecnici necessari alla connessione. Videocamera, microfono e l’eventuale condivisione dello schermo vengono usati solo dopo l’autorizzazione del browser e soltanto nella finestra di candidatura. La base giuridica è il vostro consenso separato.

12. Sicurezza

Adottiamo le misure tecniche e organizzative richieste dall'art. 8 nLPD e dall'art. 32 GDPR: cifratura in transit e at rest, autenticazione a più fattori, accessi basati sui ruoli secondo il need to know, separazione dei clienti, protocollazione nonché concetti di backup e di emergenza. I dettagli della nostra architettura di sicurezza si trovano su Sicurezza.

13. Modifiche

Possiamo adattare questa dichiarazione sulla protezione dei dati in qualsiasi momento. La versione attuale è sempre disponibile su questa pagina.

Stato: 6 novembre 2026.