Condizioni d'uso e accordo di subappalto
Questi testi regolano l'uso di SynCal da parte dell'host e il trattamento dei dati dei suoi ospiti da parte di ZRS per suo conto. Si accettano con una casella da spuntare nel modulo di creazione dell'account o di richiesta di accesso.
Versione del 12 ottobre 2026
Condizioni d'uso
1. Editore
ZRS-Holding Sàrl, Le Chenit (Vaud), Svizzera, contact@zrs-holding.com («ZRS»).
2. Oggetto
Queste condizioni regolano l'uso di SynCal, la pagina di prenotazione di appuntamenti pubblicata da ZRS (app.syncal.ch), da parte dell'host, cioè la persona o l'azienda che apre un account per proporre appuntamenti. Si applicano non appena l'host spunta la casella di accettazione del modulo di richiesta di accesso.
3. Accesso al servizio
L'host crea da sé il proprio account, con la sua e-mail e una password, oppure accede con il suo account Infomaniak (opzione). Resta possibile una richiesta di accesso per essere accompagnati: ZRS la esamina e può rifiutarla.
4. Offerte e prezzi
Gratuito: 0 CHF, per una persona, un tipo di appuntamento, un calendario collegato e 30 prenotazioni confermate al mese, con la dicitura «con SynCal» sulla pagina. Pro: 12 CHF IVA esclusa per utente al mese, oppure 120 CHF IVA esclusa all'anno. Team: 19 CHF IVA esclusa per utente al mese, oppure 190 CHF IVA esclusa all'anno, minimo 2 utenti. Due mesi gratis nella formula annuale. Prova Pro di 14 giorni senza carta di pagamento: inizia alla creazione del vostro account, poi ritorno automatico al piano Gratuito, senza addebito.
5. Passaggio a Pro o Team
Non c'è pagamento online. L'host chiede il passaggio dal suo spazio e ZRS attiva l'offerta manualmente.
6. Fatturazione
Le fatture sono pagabili a 30 giorni netti dal ricevimento. In mancanza, può essere applicato un interesse di mora del 5% annuo.
7. Disdetta
Piani mensili: disdetta con preavviso di 30 giorni prima della scadenza successiva. Piani annuali: la disdetta ha effetto alla fine del periodo sottoscritto, con preavviso di 60 giorni, senza rimborso proporzionale. Il piano Gratuito può essere abbandonato in qualsiasi momento; la cancellazione dell'account si chiede a contact@zrs-holding.com.
8. Obblighi dell'host
L'host usa SynCal in conformità al diritto svizzero. È responsabile dei contenuti che inserisce (tipi di appuntamento, domande, messaggio di benvenuto) e informa i suoi ospiti del trattamento dei loro dati, di cui è responsabile (vedere l'accordo di subappalto qui sotto).
9. Disponibilità
SynCal è fornito «così com'è», nei limiti delle leggi vigenti. ZRS non garantisce alcuna disponibilità numerica.
10. Proprietà intellettuale
Tutto il codice, i marchi, i loghi e la documentazione sono di proprietà esclusiva di ZRS-Holding Sàrl. Non è concessa alcuna cessione o licenza oltre il stretto uso del servizio.
11. Responsabilità
La responsabilità di ZRS è limitata all'importo totale fatturato all'host negli ultimi dodici mesi. ZRS non risponde dei danni indiretti, delle perdite di dati né delle interruzioni del servizio, salvo colpa grave o intenzionale.
12. Dati dell'host
L'host conserva la proprietà dei suoi dati e di quelli dei suoi ospiti che tratta. Sono esportabili tramite le funzioni previste (esportazione iCal e CSV, secondo l'offerta).
13. Diritto applicabile e foro
Diritto svizzero. Ogni controversia è di competenza esclusiva del Tribunale cantonale del Canton Vaud.
14. Lingua e versione
Il francese è la lingua di riferimento; in caso di divergenza tra traduzioni prevale la versione francese. La versione accettata e la data di accettazione sono registrate.
Accordo di subappalto (art. 9 nLPD)
Questo accordo completa le condizioni qui sopra. È concluso tra l'host, responsabile del trattamento, e ZRS-Holding Sàrl, subappaltatore, ai sensi dell'articolo 9 della legge federale sulla protezione dei dati (nLPD).
1. Ruoli
L'host è responsabile del trattamento dei dati personali dei suoi ospiti. ZRS è subappaltatore: ospita questi dati e li tratta per conto dell'host, con SynCal.
2. Oggetto, finalità e durata
Proporre slot, registrare e confermare gli appuntamenti, inviare promemoria e annullamenti. L'accordo dura finché l'host usa SynCal.
3. Dati e persone interessate
Ospiti: nome, indirizzo e-mail, telefono, azienda, messaggio, risposte alle domande dell'host, lingua della pagina, slot scelto, link di videoconferenza, token di annullamento, date di creazione, annullamento e conferma di presenza. Host: Nome e indirizzo e-mail dell'account, lingua, nome dell'organizzazione, indirizzo della pagina, titolo, colore, logo e messaggio di benvenuto se impostati; versione delle condizioni accettate con data e ora; date di creazione dell'account e di conferma dell'indirizzo. Due modalità di accesso: con e-mail e password (la password non viene mai conservata, solo un hash) oppure con l'account Infomaniak (OIDC: SynCal non vede mai la password Infomaniak). Gli accessi al suo calendario (password per app CalDAV o indirizzo iCal privato) sono conservati cifrati.
4. Istruzioni
ZRS tratta i dati solo secondo le istruzioni dell'host, cioè per far funzionare SynCal come qui descritto. Effettua solo trattamenti che l'host avrebbe diritto di effettuare da sé. Nessuna rivendita, nessuna pubblicità.
5. Riservatezza
ZRS mantiene i dati riservati e vi dà accesso solo alle persone che ne hanno bisogno per far funzionare SynCal.
6. Sicurezza
ZRS adotta le misure tecniche e organizzative descritte nell'allegato per evitare qualsiasi violazione della sicurezza dei dati (art. 8 nLPD).
7. Subappaltatore ulteriore
L'host autorizza Infomaniak Network SA, Ginevra, Svizzera, a intervenire come subappaltatore ulteriore di ZRS: hosting, e-mail, videoconferenza kMeet, calendario e backup (Swiss Backup). ZRS non ne aggiunge altri senza l'autorizzazione preventiva dell'host (art. 9 cpv. 3 nLPD).
8. Comunicazione all'estero
Nessuna per impostazione predefinita. Se l'host sceglie di far leggere un calendario Google o Microsoft tramite indirizzo iCal, è una sua scelta e responsabilità: Google e Microsoft non sono subappaltatori di ZRS.
9. Diritti delle persone
ZRS aiuta l'host a rispondere alle richieste di accesso, rettifica e cancellazione. Chi scrive a contact@zrs-holding.com riceve una risposta entro trenta giorni; può anche rivolgersi all'host.
10. Violazione della sicurezza dei dati
ZRS annuncia all'host ogni violazione della sicurezza dei dati al più tardi 72 ore dopo averla constatata (art. 24 cpv. 3 nLPD: il più rapidamente possibile). La persona di contatto presso ZRS è raggiungibile a contact@zrs-holding.com. La notifica all'Incaricato federale della protezione dei dati e della trasparenza spetta all'host, quando la violazione comporta probabilmente un rischio elevato per le persone interessate (art. 24 cpv. 1 nLPD).
11. Conservazione e cancellazione
Appuntamenti e dati degli ospiti: eliminati automaticamente dodici mesi dopo la fine dell'appuntamento, qualunque sia il suo stato. Richieste di accesso rifiutate: eliminate dodici mesi dopo il rifiuto. Alla fine del contratto l'host può chiedere la cancellazione dei suoi dati scrivendo a contact@zrs-holding.com ed esportare prima i suoi appuntamenti (esportazione iCal e CSV, secondo l'offerta). Un host può eliminare da sé il proprio account (Account, in fondo alla pagina): vengono cancellati i suoi tipi, appuntamenti, i dati dei suoi ospiti, i token, il calendario collegato e il logo; gli ospiti in arrivo vengono avvisati.
12. Informazione e controllo
Su richiesta scritta, ZRS fornisce all'host le informazioni necessarie per verificare il rispetto di questo accordo.
13. Diritto applicabile e foro
Diritto svizzero. Ogni controversia è di competenza esclusiva del Tribunale cantonale del Canton Vaud.
Allegato: misure di sicurezza (stato al 12 ottobre 2026)
Misure realmente in atto, rilevate dal team SynCal. I limiti noti sono indicati.
Hosting
Server a Ginevra, presso Infomaniak. Questo server ospita anche altri prodotti ZRS.
Cifratura in transito
Tutto passa in HTTPS; l'HTTP è reindirizzato; HSTS di un anno; il server accetta solo TLS 1.2 e 1.3 (configurazione).
Cifratura a riposo
Le credenziali del calendario (password per app CalDAV, indirizzo iCal privato) e i dati degli ospiti (nome, e-mail, telefono, azienda, messaggio, risposte alle domande, nonché nome ed e-mail della lista d'attesa) sono cifrati dall'applicazione (AES-256-GCM), con la chiave fuori dal database, nella configurazione del server, e salvata cifrata fuori sede. Ciò protegge dalla lettura di una copia del database; non protegge da chi controllasse il server dell'applicazione. Nomi e indirizzi e-mail degli host e date degli appuntamenti restano leggibili. La cifratura del disco non è stata rilevata.
Controllo degli accessi
Database PostgreSQL raggiungibile solo in locale, con un ruolo applicativo dedicato. Accesso al server solo tramite chiave SSH (password disattivata), con un account di amministrazione. Gli accessi SSH sono registrati; le letture del database no. Firewall locale attivo: ingresso negato per impostazione predefinita, solo SSH e il web (porte 80 e 443) sono aperti.
Autenticazione degli host
Accesso con e-mail e password, oppure con l'account Infomaniak (OIDC: SynCal non vede mai la password Infomaniak). Per un account e-mail e password: almeno 12 caratteri, password banali rifiutate, password mai conservata (hash scrypt con sale casuale per password); indirizzo confermato con un link monouso valido 24 ore; password dimenticata con un link monouso valido 1 ora; blocco di 15 minuti dopo 5 errori di fila e limitazione dei tentativi per indirizzo IP; risposte identiche che l'indirizzo esista o no. L'autenticazione a due fattori oggi non è disponibile per questi account; per l'accesso Infomaniak dipende dall'account Infomaniak dell'host.
Separazione tra host
Ogni richiesta dello spazio host è filtrata sull'host connesso. Ciò è coperto da test automatici ed è stato rivisto nell'audit di sicurezza interno di ZRS del 16 settembre 2026. Non c'è stato alcun audit esterno.
Accesso al calendario e minimizzazione
Lettura del calendario: solo periodi liberi o occupati, senza titoli, partecipanti o dettagli. Il fuso orario e l'indirizzo IP dell'ospite non vengono registrati.
Cookie
Nessun cookie impostato per gli ospiti, nessuno strumento di misurazione dell'audience. Un cookie di sessione tecnico viene impostato all'accesso di un host.
Backup
Backup quotidiano del database presso Infomaniak (Swiss Backup), con controllo quotidiano e allarme. Un ripristino è stato provato il 12 settembre 2026.
Registri
Errori e invii di e-mail (codice e dominio) senza contenuto dei messaggi; registri di accesso del server conservati 14 giorni.
Cancellazione automatica
Un passaggio quotidiano elimina i dati giunti al termine della loro durata di conservazione, con un registro che contiene solo numeri.