Protezione dei dati

Responsabile

Ubivo (ditta individuale Marco Scherer) · Svizzera · Contatto per richieste sulla protezione dei dati: hallo@ubivo.ch

Indicazioni complete sul fornitore nell' Impressum.

Quali dati memorizza Ubivo

• Durante la visita anonima:nessun account, nessun nome, nessun indirizzo e-mail. Le ricerche di indirizzi le contiamo solo in modo pseudonimo nella statistica d'uso (vedi sotto), non ci sono cookie di tracciamento di terzi né script di analisi (per il cookie di campagna dopo un clic su un annuncio vedi Cookie). Manteniamo l'indirizzo IP solo temporaneamente nella memoria di lavoro per il limite di frequenza contro le scansioni dei bot (max. 30 report/h), non in un database, non collegato al tuo account. La voce viene rimossa automaticamente allo scadere della finestra temporale (fino a 1 ora).
• Al login:il tuo indirizzo e-mail, esclusivamente per l'invio del magic link e per il riconoscimento del tuo account. Nessun altro identificatore di login (non memorizziamo password).
• Quando salvi profili: un nome scelto da te + le ponderazioni dei fattori che hai selezionato per la tua situazione di vita. Facoltativamente campi di profilo come reddito, economia domestica, età, franchigia della cassa malati, solo se li inserisci tu stesso.
• Quando salvi un indirizzo (☆ Salva): l'indirizzo + le coordinate vengono collegati al tuo account. È lo scopo della lista dei preferiti. Rimovibili in qualsiasi momento.
• All'acquisto (Verifica rapida o Dossier):il tuo ID utente, l'indirizzo di partenza, il livello di prodotto (Verifica rapida o Dossier), lo stato dell'acquisto, l'ID sessione Stripe nonché il nome del progetto che scegli. Non vediamonessun dato della carta di credito. Il fornitore di pagamento Stripe gestisce la transazione.
• All'acquisto senza accesso preventivo: Stripe ci trasmette l'indirizzo e-mail che indichi lì. Perché tu possa aprire l'acquisto anche su altri dispositivi, lo accreditiamo su un account Ubivo con questo indirizzo (esistente o creato apposta) e ti inviamo lì un link di accesso. Ciò serve all'adempimento del contratto d'acquisto. Nell'account entra solo chi apre il link in quella casella di posta; l'acquisto da solo non fa accedere nessuno.
• Nel progetto di ricerca: gli indirizzi che aggiungi come alternative di confronto al tuo indirizzo di partenza (max. 1 o 5 a seconda del livello). Gli indirizzi possono essere rimossi in qualsiasi momento. Memorizziamo quanti scambi hai già effettuato, per far rispettare il contingente di scambi concordato contrattualmente (max. 2 o 12). Facoltativamente il prezzo d'acquisto per indirizzo, se lo inserisci nel progetto. Serve solo al calcolo nel tuo dossier (costi accessori d'acquisto, sostenibilità, somma su dieci anni) e non fa parte della ricevuta d'acquisto. Puoi cancellarlo in qualsiasi momento; con la cancellazione dell'account viene cancellato subito.
• Se condividi il tuo dossier (link di lettura): per un progetto pagato puoi creare fino a tre link alla volta, con cui un'altra persona può leggere il dossier senza account. A questo scopo memorizziamo: a quale progetto appartiene il link, il nome che indichi (facoltativo), quando è stato creato il link, fino a quando è valido (30 giorni), se l'hai revocato e quando è stato aperto l'ultima volta. Non memorizziamo il link stesso, solo un valore di controllo non reversibile (SHA-256). L'altra persona non vede il tuo indirizzo e-mail.
  Cosa vede l'altra persona:il dossier degli indirizzi di questo progetto, calcolato con il tuo profilo predefinito e con i prezzi d'acquisto che hai inserito nel progetto, oltre ai nomi del progetto e del profilo. Contiene dati come reddito, prezzo d'acquisto, economia domestica, luogo di lavoro e capitale proprio. Condividi quindi il link solo con persone che possono vedere questi dati. Non può modificare nulla né creare un PDF. Sull'altra persona non memorizziamo nulla oltre al momento dell'ultima apertura; il suo indirizzo IP lo teniamo solo temporaneamente per il limite di frequenza, per il resto la sua visita vale come una visita anonima.
  Nota: alcune app di messaggistica aprono un link da sole per mostrarne un'anteprima. In tal caso «aperto l'ultima volta» può derivare da questa anteprima.
• Con lo strumento «Cambiare cassa malati»: i dati del calcolatore (comune o NPA, anno di nascita, franchigia, copertura infortuni, modello, cassa attuale e premio) vengono inviati al nostro server, usati solo per calcolare i premi e né salvati né registrati nei log. I dati per la lettera di disdetta (nomi, indirizzo, date di nascita, numeri d'assicurato) restano nel tuo browser: Ubivo non li riceve, non li salva e non li vede, nemmeno nella memoria del browser. Ubivo non trasmette nulla alle casse malati.
• Con lo strumento «Verificare la pigione»: il calcolo e la lettera con la domanda di riduzione vengono creati interamente nel tuo browser. Pigione, date, nomi, indirizzo ed ente locato non vengono inviati al nostro server, né salvati, né conservati nella memoria del browser. Ubivo non trasmette nulla al tuo locatore.
• Con l'estensione del browser «Ubivo · Verifica annuncio»: l'estensione legge l'annuncio aperto su ImmoScout24, Homegate, Comparis o Newhome solo nel tuo browser. Solo quando clicchi il pulsante apre ubivo.ch con indirizzo, numero postale, località, prezzo, locali, superficie e link dell'annuncio nell'indirizzo della pagina. L'estensione non invia nient'altro e non salva nulla. Ubivo salva questi dati solo se salvi tu stesso l'annuncio nel tuo conto.
• NON memorizzati:nessuna cronologia di navigazione al di fuori della statistica d'uso descritta più sotto, nessun profilo di user agent collegato all'account, nessun log del server collegato al tuo account.

Statistica d'uso (telemetria di funnel)

Per capire quali parti di Ubivo portano i visitatori fino all'acquisto (e quali no), registriamo singoli eventi della tua visita: visualizzazioni della pagina iniziale, delle pagine tematiche, di un report, dei prezzi e del confronto; l'invio di un indirizzo; quali sezioni di un report raggiungi; se l'anteprima del dossier nel report gratuito entra nel campo visivo e viene cliccata; i clic sui link verso BauCheck; l'avvio del checkout Stripe, gli acquisti conclusi e i download PDF.

• Identificazione:un identificatore pseudonimo, calcolato come hash SHA-256 dal tuo indirizzo IP, dall'identificativo del tuo browser (user agent) e dal giorno di calendario. Non viene impostato alcun cookie, e né l'indirizzo IP né l'identificativo del browser vengono memorizzati. Poiché vi entra il giorno di calendario, l'identificatore cambia ogni giorno. Non ti riconosciamo da un giorno all'altro. Nessun tracciamento cross-site, nessun collegamento con reti pubblicitarie.
• Test A/B:di tanto in tanto confrontiamo due varianti di testo (p. es. una scelta di parole sulle schede dei fattori) e misuriamo, in base agli eventi sopra, quale è più utile. L'assegnazione usa un hash dell'indirizzo IP e dell'identificativo del browser, qui senza giorno di calendario, affinché tu veda la stessa variante all'interno di un esperimento. Viene memorizzato solo il nome della variante insieme all'evento; non si usa alcun cookie.
• Utenti con accesso:se hai effettuato l'accesso, memorizziamo l'ID del tuo account con la maggior parte degli eventi (non con i clic verso BauCheck). Questi eventi compaiono nella tua esportazione dei dati. Se cancelli il tuo account (art. 32 LPD), rimuoviamo subito l'ID dell'account da tutti gli eventi.
• Cosa viene memorizzato:per ogni evento il tipo e il momento, l'identificatore pseudonimo e, a seconda dell'evento, una breve indicazione aggiuntiva (p. es. la sezione del report raggiunta, la posizione del link BauCheck, la pagina da cui è stato inviato un indirizzo, o se un acquisto è avvenuto senza account), il prodotto acquistato, la variante di un test A/B, la categoria approssimativa del dispositivo (Desktop/Mobile/Bot/Sconosciuto) e il nome host della pagina di provenienza (p. es. un motore di ricerca, non l'URL completo). Gli indirizzi li memorizziamo solo come hash abbreviato (SHA-256, i primi 16 caratteri esadecimali), mai in chiaro. Si tratta di una pseudonimizzazione, non di un'anonimizzazione: chi calcolasse un elenco di indirizzi potrebbe attribuire un hash a un indirizzo. Non lo facciamo e analizziamo tendenze, non singole visite.
• Cosa NON viene memorizzato: nessun movimento del mouse, nessun clic oltre a quelli citati sopra, nessuna profondità di scorrimento in pixel, nessuna durata di permanenza misurata, nessun dato preciso sul dispositivo. Per il report registriamo però quali sezioni sono state portate nella metà superiore dello schermo; ciò mostra approssimativamente fin dove si è letto. Poiché ogni evento porta un orario, si può inoltre dedurre approssimativamente per quanto tempo un report è rimasto aperto.
• Conservazione: 90 giorni. Un processo orario cancella gli eventi più vecchi. Anche le somme giornaliere della nostra analisi sono calcolate da questi eventi e quindi non risalgono oltre 90 giorni.
• Base giuridica: il nostro interesse privato preponderante a migliorare il prodotto (art. 31 cpv. 1 LPD). Senza possibilità di misurazione non potremmo decidere quali parti di Ubivo portano beneficio agli acquirenti.
• Opposizione:l'identificatore è calcolato in modo pseudonimo da indirizzo IP e browser (nessun cookie) e non può quindi essere disattivato cancellando i cookie. Gli eventi vengono cancellati dopo 90 giorni; senza accesso non contengono nulla che rimandi direttamente alla tua persona. Per un'opposizione secondo l'art. 30 LPD o per domande sul trattamento ci trovi a hallo@ubivo.ch.

Dove risiedono i dati

Tutti i dati utente risiedono in un'istanza PostgreSQL presso il fornitore HostBott (Blumenweg 8, 7204 Untervaz GR); i server si trovano in centri di calcolo svizzeri. Nessun cloud statunitense, nessun paese terzo per la memorizzazione. Il transito dei dati verso i destinatari indicati sotto è crittografato (TLS).

A chi vengono trasmessi i dati

Ubivo condivide dati con fornitori terzi solo dove è tecnicamente necessario, e sempre limitandosi al minimo:

• Stripe (fornitore di pagamento):per gli acquisti di Verifica rapida e Dossier. Dati: per un acquisto con account il tuo ID utente e il tuo indirizzo e-mail (Stripe lo precompila), l'indirizzo d'acquisto, la scelta del prodotto, l'importo e, se presente, l'identificativo di campagna del cookie ubivo_utm(vedi Cookie). Per un acquisto senza accesso, Stripe rileva il tuo indirizzo e-mail e ce lo trasmette per collegare l'acquisto a un account. Non vediamo dati della carta di credito. Stripe tratta i dati di pagamento per la maggior parte sotto la propria responsabilità (elaborazione dei pagamenti, prevenzione delle frodi, obblighi legali); per questo vale la dichiarazione sulla protezione dei dati di Stripe (stripe.com/ch/privacy). Nella misura in cui Stripe gestisce per noi le sessioni di checkout con i dati d'acquisto (identificativo dell'acquisto, indirizzo, prodotto e, se presenti, ID dell'account e identificativo di campagna), Stripe è il nostro responsabile del trattamento.
  Comunicazione all'estero: la controparte contrattuale di Ubivo è Stripe Payments Europe, Limited, in Irlanda. Per i servizi di pagamento soggetti ad autorizzazione in Svizzera, Stripe indica Stripe Payments UK, Ltd., nel Regno Unito. Per entrambi gli Stati il Consiglio federale ha constatato una protezione adeguata dei dati (art. 16 cpv. 1 LPD). Stripe può inoltre trasferire dati negli Stati Uniti. A tal fine Stripe è certificata secondo lo Swiss-U.S. Data Privacy Framework, riconosciuto come adeguato dal Consiglio federale; in aggiunta Stripe stipula clausole tipo di protezione dei dati con un complemento svizzero (art. 16 cpv. 2 lett. d LPD). Informazioni secondo il centro privacy di Stripe, consultato il 2 ottobre 2026.
• ZeptoMail (invio e-mail): ZeptoMail di Zoho Corporation B.V., Utrecht (Paesi Bassi), centri dati nei Paesi Bassi e in Irlanda: per il link di accesso e le e-mail transazionali (conferma d'acquisto). Dati: il tuo indirizzo e-mail e il contenuto della mail. Per l'esercizio e il supporto può accedervi Zoho Corporation Pvt. Ltd. dall'India; l'India non offre un livello di protezione adeguato, Zoho tutela questi trasferimenti con clausole contrattuali tipo (art. 16 cpv. 2 lett. d LPD). Dettagli su zoho.com/privacy.
• swisstopo, BAFU, BFS, ARE, MeteoSchweiz, ESTV e altri enti ufficiali svizzeri:i dati geografici e statistici vengono da noi richiamati pubblicamente. Questi enti NON ricevono alcun dato su di te (le richieste provengono dai server di Ubivo). In caso di interrogazioni comunali l'IP del server può essere trasmesso al rispettivo server WMS, senza riferimento all'utente.
• Open-Meteo + Copernicus CAMS:i dati meteorologici e sulla qualità dell'aria vengono richiamati lato server, senza riferimento all'utente.
• Servizio di tile WMTS di swisstopo: quando apri il selettore di marker per gli indirizzi di nuova costruzione, il tuo browser carica direttamente le tile cartografiche swisstopo (protocollo WMTS standard). swisstopo vede in questo caso il tuo indirizzo IP e le coordinate delle tile richieste, analogamente a quando visiti map.geo.admin.ch. Noi non trasmettiamo nulla e non memorizziamo nulla al riguardo.
• Per il resto NESSUNO. Non vendiamo dati, non li cediamo a reti pubblicitarie o data broker, non li condividiamo con le autorità senza una decisione giudiziaria.

Per quanto tempo vengono conservati i dati

• I dati dell'accountrestano finché non cancelli l'account. Flusso di cancellazione nell' area account. Un clic, cancellazione immediata di tutti i dati collegati all'account.
• Indirizzi / profili salvatirestano finché non li rimuovi tu stesso o non cancelli l'account.
• Le ricevute d'acquisto le conserviamo per motivi fiscali e contabili per 10 anni (obbligo di conservazione di legge). Queste ricevute contengono ID utente, indirizzo, importo, data, ma nessun valore dei fattori.
• L'IP per il limite di frequenzaviene mantenuto solo temporaneamente nella memoria di lavoro (nessuna memorizzazione persistente) e rimosso allo scadere della finestra temporale (fino a 1 ora), mai collegato all'account.
• La statistica d'usoviene conservata 90 giorni, le somme giornaliere calcolate da essa altrettanto (vedi sezione „Statistica d'uso" sopra).
• I link di lettura valgono 30 giorni. I link scaduti o revocati li cancelliamo 30 giorni dopo. Se cancelli il tuo account, tutti i link vengono cancellati subito. Se un acquisto viene rimborsato, i suoi link smettono subito di funzionare.

I tuoi diritti

Secondo la nLPD (legge svizzera sulla protezione dei dati, art. 25 segg.) hai i seguenti diritti:

• Informazione (art. 25): tutto ciò che abbiamo memorizzato su di te puoi scaricarlo in qualsiasi momento come file JSON · /api/me/export.
• Rettifica:correggere dati errati. La maggior parte dei campi puoi modificarli tu stesso nell'area account, altrimenti una mail a hallo@ubivo.ch.
• Cancellazione:cancellare l'account + tutti i dati collegati tramite /account/delete (immediata, nessun tempo di attesa).
• Portabilità dei dati:l'esportazione JSON collegata sopra è leggibile automaticamente. Puoi portarla ovunque.
• Revoca del consenso: possibile in qualsiasi momento, senza motivazione. La revoca ha effetto per il futuro.
• Diritto di reclamo presso l'EDÖB (IFPDT):in caso di contestazioni puoi rivolgerti all'Incaricato federale della protezione dei dati e della trasparenza.

Cookie

Ubivo imposta cookie tecnicamente necessari e, solo dopo un clic proveniente da una campagna, un cookie di campagna:

• Cookie di sessione dopo il login (HttpOnly, SameSite=Lax, Secure). Collega la tua sessione al tuo account. Obbligatorio per le funzioni con login.
• Cookie d'acquisto, solo dopo un acquisto senza accesso (HttpOnly, SameSite=Lax, Secure): ubivo_kauf_startricorda per al massimo 24 ore che questo browser ha avviato un acquisto e viene inviato solo all'indirizzo di ritorno di Stripe. ubivo_kaufcontiene per 180 giorni l'identificativo del tuo acquisto pagato (non la tua persona né un account), così puoi aprire il rapporto in questo browser senza accedere. Entrambi sono firmati e non falsificabili.
• Cookie di lettura, solo all'apertura di un dossier condiviso (HttpOnly, SameSite=Lax, Secure): ubivo_freigabe ricorda per al massimo 24 ore (mai più a lungo della validità del link) quali link di lettura ha aperto questo browser (al massimo tre). Non contiene né una persona né un account, è firmato e non falsificabile. Un link revocato smette subito di funzionare, anche se il cookie esiste ancora.
• Telemetria di funnel:la concatenazione dei tuoi eventi (vedi sezione „Statistica d'uso") avviene senza cookie tramite un identificatore pseudonimo calcolato (indirizzo IP + identificativo del browser + giorno di calendario). Un cookie ubivo_telemetry_sid (HttpOnly, SameSite=Lax) viene tecnicamente solo letto, se già presente; attualmente non viene impostato attivamente. Non avviene alcun tracciamento cross-site.
• Cookie di campagna, solo dopo un clic proveniente da una campagna (first-party, SameSite=Lax, non HttpOnly, perché viene impostato nel browser): ubivo_utmviene impostato solo se l'indirizzo richiamato contiene un'indicazione di campagna (utm_campaign), per esempio dopo un clic su un annuncio pubblicitario. Contiene per 30 giorni la fonte e il nome della campagna, ripuliti e senza dati sulla tua persona. Se acquisti in questo periodo, alleghiamo il valore al pagamento presso Stripe. Così vediamo quale campagna porta ad acquisti. Questo cookie non è tecnicamente necessario; Ubivo funziona allo stesso modo senza.

Nessun cookie di reti pubblicitarie, nessun tracciamento di terzi, nessuna analisi di Google/Meta/Adobe.Vengono impostati attivamente solo il cookie di sessione del login, dopo un acquisto senza accesso i cookie d'acquisto, all'apertura di un dossier condiviso il cookie di lettura (tutti tecnicamente necessari) e, solo dopo un clic proveniente da una campagna, il cookie di campagna ubivo_utm. La telemetria di funnel funziona interamente senza cookie impostati; si basa sul nostro interesse privato preponderante a migliorare il prodotto (art. 31 cpv. 1 LPD). Non esiste alcun banner dei cookie: il diritto svizzero sulla protezione dei dati non richiede per questi cookie un consenso preventivo, ma un'informazione, e si trova qui. Se non vuoi il cookie di campagna, cancellalo o blocca i cookie di ubivo.ch nel tuo browser; ciò vale come opposizione.

Sicurezza

HTTPS forzato (HSTS), header CSP restrittivi, nessuno script JS di terzi. Le indicazioni particolarmente sensibili del tuo profilo di personalizzazione (reddito, franchigia della cassa malati e indirizzo del luogo di lavoro) vengono inoltre memorizzate at-rest con crittografia a livello di campo (pgcrypto/pgp_sym, chiave separata dal database). Segnala i bug di sicurezza a security@ubivo.ch. Responsible disclosure benvenuta.

Modifiche

Aggiorniamo questa pagina quando cambiano scopi di trattamento sostanziali. In caso di modifiche rilevanti informiamo gli utenti connessi via e-mail. Versione di questo documento: 3 ottobre 2026.