Note revDSG

Questo documento riassume come le funzionalità del plugin ADP Car Market Hub si collegano alla Legge federale sulla protezione dei dati svizzera riveduta (revDSG / nFADP), che si applica a molti siti web di concessionarie di veicoli gestiti in Svizzera o rivolti ad essa. Completa le Note GDPR / DSGVO, che coprono il quadro UE/SEE.

Questo documento non costituisce una consulenza legale e non garantisce la conformità. La valutazione legale finale dipende dalla configurazione del sito, dalle funzionalità configurate, dall'implementazione del consenso o della trasparenza e dai vostri obblighi specifici ai sensi della legge svizzera. I gestori del sito dovrebbero verificare la propria posizione con il proprio consulente legale.

Quando utilizzare questo documento

Utilizzate questo documento quando avete la necessità di:

• Gestire un sito di una concessionaria di veicoli in Svizzera (configurazione tipica con un dominio .ch e CHF come valuta predefinita).
• Preparare un'informativa sulla privacy incentrata sulla Svizzera per richieste di informazioni, avvisi di ricerca e statistiche integrate.
• Documentare le attività di trattamento dei dati per un pubblico svizzero.
• Confermare che i controlli sulla privacy del plugin siano allineati con le vostre linee guida interne svizzere sulla protezione dei dati.

Panoramica

Le funzionalità del plugin rilevanti ai fini della privacy sono le stesse indipendentemente dalla giurisdizione (vedere Panoramica sulla memorizzazione dei dati e Note GDPR / DSGVO). Le differenze per un sito svizzero riguardano principalmente:

• Denominazione ed etichettatura: l'avviso amministrativo di Analytics del plugin può mostrare un'etichetta svizzera revDSG.
• La base giuridica del trattamento: ai sensi della revDSG, una divulgazione trasparente unita a uno scopo legittimo è spesso sufficiente, ma casi specifici potrebbero comunque richiedere un consenso esplicito.
• Il modo in care viene impostata l'informativa sulla privacy (titolare del trattamento, finalità, destinatari, trasferimenti all'estero).

Il plugin è in grado di rilevare automaticamente una configurazione svizzera e mostrare di conseguenza l'etichetta revDSG.

Come il plugin rileva una configurazione svizzera / revDSG

Il modulo Analytics del plugin include un rilevatore di giurisdizione con il seguente ordine di risoluzione:

1. L'override manuale memorizzato nell'opzione as24ci_analytics_privacy_jurisdiction, quando non è auto.
2. Il TLD dell'URL di base dell'API AutoScout24 configurato. Gli host che terminano con .ch (o .autoscout24.ch) si risolvono in revdsg.
3. La valuta predefinita. CHF si risolve in revdsg.
4. In caso contrario, il valore ricade su altre giurisdizioni (gdpr, dsgvo, uk_gdpr) o su generic.

I gestori possono sempre forzare il valore impostando l'opzione **Privacy jurisdiction** su revdsg nelle impostazioni di Analytics. L'impostazione è informativa; controlla l'etichetta del framework mostrata nell'avviso amministrativo e non modifica i dati raccolti.

Come i temi della revDSG si collegano alle funzionalità del plugin

La mappatura seguente descrive come il comportamento del plugin si collega ai temi comuni della revDSG. Ha scopo informativo e non sostituisce una valutazione specifica per il progetto.

Obbligo di informare (trasparenza)

• Il modulo di richiesta supporta un'etichetta di consenso configurabile e una Privacy page URL, che può rimandare all'informativa sulla privacy svizzera del sito.
• L'e-mail di conferma dell'iscrizione all'avviso di ricerca e l'e-mail di notifica contengono entrambe link che l'iscritto può utilizzare (conferma, disiscrizione).
• L'avviso amministrativo di Analytics del plugin mostra un'etichetta revDSG quando viene rilevata una configurazione svizzera.

Limitazione della finalità e proporzionalità

• I dati delle richieste vengono raccolti allo scopo di rispondere a una richiesta di informazioni su un veicolo o a una richiesta di prova su strada.
• I dati degli avvisi di ricerca vengono raccolti allo scopo di inviare e-mail di notifica sui veicoli corrispondenti appena importati.
• Gli eventi di Analytics, se abilitati, sono record di eventi aggregati utilizzati per le statistiche interne del sito.

Minimizzazione dei dati

• I campi facoltativi dei lead (Telefono, Messaggio) possono essere nascosti in modo che siano richiesti solo Nome ed E-mail.
• L'indirizzo IP del mittente non viene memorizzato con i lead. Un hash SHA-256 con salt dell'IP viene utilizzato solo per un limitatore di frequenza a breve termine tramite un transient di WordPress (5 invii per IP ogni 5 minuti).
• La tabella di Analytics memorizza solo il tipo di evento, il payload minimizzato opzionale, l'ID del veicolo e il timestamp. Nessun indirizzo IP, identificatore utente o cookie viene memorizzato sul lato server.
• L'opzione Filter data minimization rimuove le chiavi di ricerca a testo libero (s, search, q) dal payload di ricerca dei filtri di Analytics.
• I criteri degli avvisi di ricerca sono limitati a una lista fissa di chiavi consentite.

Sicurezza del trattamento

• Le azioni di amministrazione sono protette dal permesso manage_as24_imports del plugin e dai nonce di WordPress.
• Il modulo di contatto richiede un nonce e include un campo honeypot nascosto.
• Il logger maschera i frammenti token=…, client_secret=… e Authorization: Bearer … prima della scrittura.
• Vedere le Raccomandazioni di sicurezza per i passaggi consigliati per il rafforzamento della sicurezza.

Trasferimenti di dati transfrontalieri

• Il plugin si connette all'API Hub di AutoScout24 per importare i dati dei veicoli. I dati che fluiscono verso tale API sono dati operativi della concessionaria (credenziali, riferimenti agli annunci), non dati personali dei visitatori del sito web.
• L'e-mail viene inviata tramite wp_mail. Il percorso di consegna effettivo dipende dal trasporto di posta del sito (ad esempio un servizio SMTP o un provider di hosting). Se tale trasporto si trova al di fuori della Svizzera, il trasferimento associato deve essere valutato nella vostra informativa sulla privacy.
• La funzionalità opzionale AI Assistant, se abilitata, invia prompt all'endpoint gestito di Google Gemini configurato in ADP Car Market Hub. Non è richiesta alcuna selezione del provider, selezione del modello o inserimento della chiave API nel backend di WordPress; il provisioning dell'IA specifico per il cliente viene completato da AD Promotion dopo l'installazione. L'endpoint Gemini è tipicamente ospitato al di fuori della Svizzera, pertanto il trasferimento associato deve essere valutato nella vostra informativa sulla privacy. Disabilitate la funzionalità se tali trasferimenti non sono desiderati. Esaminate il trattamento dei dati applicabile e i termini contrattuali per la configurazione dell'IA gestita prima di abilitare le funzionalità di IA in produzione.

Diritti degli interessati

• La scheda amministrativa Leads del plugin supporta la ricerca, il filtraggio dello stato, l'esportazione in formato CSV e l'eliminazione dei singoli lead.
• La scheda amministrativa Search Alerts del plugin supporta la modifica, il cambio di stato (active, inactive, paused) e l'eliminazione delle iscrizioni.
• Il plugin non registra un hook di esportazione o cancellazione dei dati personali di WordPress; le richieste di diritti vengono gestite manualmente con gli strumenti sopra indicati. Verificate questo comportamento nella versione corrente del plugin prima di pubblicare la documentazione dei processi che dipende da esso.

Registri delle attività di trattamento

• Vedere la Panoramica sulla memorizzazione dei dati per un inventario delle categorie di dati memorizzate che possono alimentare i registri interni della concessionaria.

Riferimento per la configurazione

Le impostazioni più rilevanti per una configurazione svizzera sono:

Note operative

• Il framework revDSG supporta un mix di basi giuridiche diverso rispetto al GDPR. Se il vostro caso d'uso specifico di tracciamento o marketing richieda un consenso esplicito, un opt-out o un approccio basato solo sulla trasparenza dovrebbe essere verificato con il vostro consulente legale.
• Se offrite il sito web a visitatori sia in Svizzera che nell'UE, potrebbe applicarsi anche il GDPR. In pratica, i gestori spesso allineano la loro informativa e l'interfaccia utente del consenso al framework più restrittivo.
• Il selettore della giurisdizione sulla privacy è solo un'etichetta. Passare a revdsg non cambia i dati raccolti. I controlli operativi (attivazione/disattivazione di Analytics, conservazione, consenso) rimangono le leve rilevanti.

Passo dopo passo: allineare il plugin con una configurazione svizzera / revDSG

1. Identificare se il sito è destinato alla Svizzera (tipico: dominio .ch, valuta CHF).
2. Nelle impostazioni di Analytics, lasciare Privacy jurisdiction su auto (si risolverà in revdsg) o impostarlo esplicitamente su revdsg.
3. Aggiornare l'informativa sulla privacy del sito per descrivere la gestione delle richieste, gli avvisi di ricerca e (se abilitati) i dati di Analytics con la terminologia appropriata per la Svizzera.
4. Nelle impostazioni del modulo dei lead, impostare la Privacy page URL sull'informativa sulla privacy svizzera e configurare l'etichetta del consenso di conseguenza.
5. Decidere se abilitare Analytics. Se abilitato, scegliere tra: - Funzionamento basato solo sulla trasparenza (Analytics attivo, requisito di consenso disattivato, documentato nell'informativa sulla privacy), oppure - Funzionamento vincolato al consenso (Analytics attivo, Require consent attivo, collegato a un plugin di gestione del consenso tramite il filtro as24ci_analytics_consent_check).
6. Impostare la finestra di conservazione di Analytics in base alla vostra verifica sulla privacy.
7. Documentare un flusso di lavoro manuale per la gestione delle richieste di accesso e cancellazione utilizzando le schede amministrative Leads e Search Alerts.

Risoluzione dei problemi

• La giurisdizione rilevata è errata — cambiare Privacy jurisdiction da auto a revdsg nelle impostazioni di Analytics.
• Un visitatore in Svizzera chiede di essere rimosso — individuare il lead nella scheda amministrativa Leads ed eliminarlo; istruire il visitatore a utilizzare il link di disiscrizione per le notifiche degli avvisi di ricerca, oppure rimuovere la sua iscrizione dalla scheda amministrativa Search Alerts.
• Il trasporto e-mail si trova al di fuori della Svizzera — aggiornare l'informativa sulla privacy per divulgare il percorso di trasferimento; considerare alternative SMTP locali se la vostra verifica sulla privacy lo richiede.

Documenti correlati

• Panoramica sulla memorizzazione dei dati
• Dati dei lead e consenso
• Conservazione dei dati di Analytics
• Double Opt-In per gli avvisi di ricerca
• Note GDPR / DSGVO
• Raccomandazioni di sicurezza
• Controllo dei accessi e permessi