Nomina a Responsabile del trattamento

Atto di nomina ai sensi dell'Art. 28 del Regolamento UE 2016/679 — parte integrante del contratto di servizio CRM Trasporti.

Premesse

Visto che il Cliente (di seguito anche "Titolare"), aderendo al servizio SaaS CRM Trasporti, conferisce a DANIELE LILLA CONSULTING, P. IVA 03224870596, con sede in Via Giuseppe Verdi, 110, 04017 San Felice Circeo (LT) (di seguito "Responsabile" o "Fornitore"), l'incarico di effettuare alcuni trattamenti di dati personali per suo conto;

Considerato che ai sensi dell'Art. 28 del Regolamento UE 2016/679 (GDPR), il Titolare deve nominare formalmente il Responsabile del Trattamento e regolarne compiti, garanzie e obblighi;

Tutto ciò premesso e considerato, il Cliente nomina DANIELE LILLA CONSULTING Responsabile del Trattamento ai sensi dell'Art. 28 GDPR, alle condizioni di seguito specificate.

1 — Oggetto e durata della nomina

1.1 La nomina ha per oggetto i trattamenti effettuati dal Responsabile per fornire il servizio CRM Trasporti (autenticazione, archiviazione, elaborazione, backup, comunicazioni di servizio, supporto tecnico, fatturazione elettronica via SDI, invio notifiche).

1.2 La nomina ha la stessa durata del contratto di servizio. Decorso il contratto, il Responsabile cessa ogni operazione di trattamento, salvi gli obblighi di restituzione e cancellazione previsti all'art. 14 del presente atto.

2 — Natura del trattamento

Categorie di interessati

• Dipendenti, soci, autisti del Titolare (azienda Cliente)
• Clienti / committenti del Titolare (anagrafiche commerciali)
• Fornitori del Titolare (officine, fuel card, ecc.)
• Eventuali altri soggetti i cui dati siano caricati dal Titolare nel software

Categorie di dati personali

• Dati identificativi e di contatto (nome, email, telefono, indirizzo)
• Dati fiscali (P.IVA, codice fiscale, IBAN)
• Dati relativi al rapporto di lavoro degli autisti (patente, CQC, ADR, contratti, scadenze sanitarie)
• Dati relativi a viaggi e operatività (geolocalizzazione, orari, percorsi, foto)
• Dati operativi della flotta (targhe, telai, libretti)
• File tachigrafo digitale (.DDD/C1B)
• Registrazioni vocali dei comandi dettati all'assistente della piattaforma e relative trascrizioni. L'audio è trasmesso al solo fine della trascrizione e non è conservato; è conservato il testo trascritto
• Documenti di trasporto (DDT, CMR), firmati e foto
• Fatture, pagamenti, scadenziari
• Eccezionalmente, dati relativi a salute (visite mediche autisti), categoria particolare ex Art. 9 GDPR

Operazioni di trattamento

Raccolta, registrazione, organizzazione, strutturazione, archiviazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione, raffronto, limitazione, cancellazione, distruzione.

3 — Obblighi e diritti del Titolare

Ai sensi dell'articolo 28, paragrafo 3, del Regolamento, che richiede la determinazione contrattuale degli obblighi e dei diritti del titolare del trattamento, le Parti convengono quanto segue.

Obblighi del Titolare

Il Titolare si obbliga a:

• trattare i dati personali nel rispetto dei principi di cui all'articolo 5 del Regolamento, verificando la sussistenza di una base giuridica idonea per ciascuna finalità perseguita mediante la piattaforma;
• rendere agli interessati le informative di cui agli articoli 13 e 14 del Regolamento, dandone evidenza su richiesta del Responsabile;
• impartire al Responsabile istruzioni lecite, documentate e non eccedenti rispetto alle finalità dichiarate, anche mediante le configurazioni operate nella piattaforma, che costituiscono a tutti gli effetti istruzioni documentate;
• inserire e mantenere aggiornati dati esatti, pertinenti e limitati a quanto necessario, astenendosi dall'immettere categorie di dati non previste dall'art. 2 del presente atto;
• adempiere, ove il trattamento comporti la possibilità di controllo a distanza dell'attività dei lavoratori, agli obblighi previsti dall'articolo 4 della Legge 300/1970 prima dell'attivazione delle relative funzionalità;
• effettuare, ove ricorrano i presupposti dell'articolo 35 del Regolamento, la valutazione d'impatto sulla protezione dei dati, avvalendosi delle informazioni messe a disposizione dal Responsabile;
• tenere il registro delle attività di trattamento di cui all'articolo 30, paragrafo 1, del Regolamento;
• custodire le credenziali di accesso, gestire le abilitazioni dei propri utenti e revocarle tempestivamente al cessare dei presupposti;
• comunicare senza indugio al Responsabile ogni circostanza rilevante ai fini del trattamento, ivi comprese le variazioni dei recapiti, del legale rappresentante e del referente per la protezione dei dati;
• dare riscontro alle richieste del Responsabile relative all'esecuzione del presente atto entro termini congrui e comunque non superiori a quindici giorni.

Diritti del Titolare

Il Titolare ha diritto di:

• impartire in ogni momento istruzioni ulteriori o modificative in forma scritta, purché compatibili con le caratteristiche tecniche del servizio; ove l'istruzione richieda adeguamenti tecnici, le Parti concordano tempi e modalità di attuazione ed eventuali corrispettivi;
• ottenere dal Responsabile tutte le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all'articolo 28 del Regolamento;
• effettuare verifiche e ispezioni con le modalità previste dal presente atto;
• essere informato preventivamente di ogni variazione dell'elenco dei sub-responsabili e opporsi per motivi ragionevoli e documentati;
• ottenere, alla cessazione del rapporto, la restituzione o la cancellazione dei dati secondo la scelta espressa;
• ottenere l'assistenza del Responsabile per dare seguito alle richieste degli interessati e per gli adempimenti di cui agli articoli da 32 a 36 del Regolamento;
• opporsi in qualsiasi momento, ai sensi dell'art. 21 del Regolamento, alle proposte commerciali fondate sull'uso del Servizio. Per le statistiche d'uso e per le elaborazioni aggregate non è previsto diritto di opposizione, alle condizioni indicate all'art. 12 del presente atto.

Responsabilità del Titolare per le istruzioni impartite

Il Responsabile non risponde delle conseguenze derivanti dall'esecuzione di istruzioni impartite dal Titolare, salvo il caso in cui abbia omesso di segnalarne la manifesta illegittimità ai sensi del presente atto. Restano a carico del Titolare le conseguenze derivanti dall'assenza di una base giuridica idonea, dalla mancata informativa agli interessati e dall'inosservanza degli obblighi previsti dall'articolo 4 della Legge 300/1970.

4 — Obblighi del Responsabile

Ai sensi dell'Art. 28.3 GDPR, il Responsabile si obbliga a:

a) trattare i dati personali esclusivamente su istruzione documentata del Titolare, ivi inclusi i casi di trasferimento extra-UE, salvo che lo richieda il diritto dell'Unione o nazionale; in tal caso il Responsabile informa il Titolare prima del trattamento, salvo divieto di legge;

b) garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza;

c) adottare tutte le misure tecniche e organizzative adeguate ai sensi dell'Art. 32 GDPR (vedi art. 6 del presente atto);

d) rispettare le condizioni per ricorrere a sub-responsabili (vedi art. 8 del presente atto);

e) assistere il Titolare con misure tecniche e organizzative appropriate, nella misura possibile, per consentirgli di soddisfare le richieste degli interessati ex Artt. 15–22 GDPR;

f) assistere il Titolare nel rispetto degli obblighi di sicurezza, notifica violazioni, valutazione d'impatto e consultazione preventiva (Artt. 32–36 GDPR);

g) su richiesta del Titolare, cancellare o restituire tutti i dati personali al termine del contratto (vedi art. 14 del presente atto);

h) mettere a disposizione del Titolare tutte le informazioni necessarie a dimostrare il rispetto degli obblighi ex Art. 28 GDPR e consentire/contribuire ad audit, anche tramite ispezioni, da parte del Titolare o di un soggetto da questi incaricato.

5 — Ulteriori obblighi del Responsabile

Segnalazione delle istruzioni illegittime. Ai sensi dell'art. 28, paragrafo 3, secondo capoverso, del GDPR, il Responsabile informa immediatamente il Titolare qualora ritenga che una sua istruzione violi il Regolamento o altre disposizioni, nazionali o dell'Unione, relative alla protezione dei dati, sospendendo l'esecuzione dell'istruzione fino a diverso avviso del Titolare.

Persone autorizzate al trattamento. Il Responsabile designa per iscritto, ai sensi dell'art. 29 del GDPR e dell'art. 2-quaterdecies del D.Lgs. 196/2003, le persone fisiche autorizzate al trattamento, impartisce loro istruzioni documentate, ne verifica periodicamente l'operato e provvede alla revoca delle autorizzazioni al cessare dei presupposti. Le persone autorizzate sono vincolate a un obbligo di riservatezza che permane anche dopo la cessazione del rapporto.

Registro dei trattamenti. Il Responsabile tiene il registro delle categorie di attività di trattamento svolte per conto del Titolare ai sensi dell'art. 30, paragrafo 2, del GDPR, e lo mette a disposizione dell'autorità di controllo su richiesta.

Richieste dell'autorità. Qualora il Responsabile riceva da un'autorità giudiziaria, di polizia o amministrativa una richiesta di accesso, esibizione o comunicazione dei dati trattati per conto del Titolare, ne informa senza indugio il Titolare, salvo che ciò sia vietato dalla legge, e fornisce esclusivamente i dati strettamente indicati nella richiesta.

Richieste degli interessati. Qualora il Responsabile riceva direttamente da un interessato una richiesta di esercizio dei diritti di cui agli artt. 15-22 del GDPR relativa a dati trattati per conto del Titolare, si astiene dal darvi seguito autonomamente e la trasmette al Titolare entro cinque giorni lavorativi, assistendolo con misure tecniche e organizzative appropriate.

6 — Misure di sicurezza (art. 32 GDPR)

Il Responsabile dichiara di aver adottato le seguenti misure tecniche e organizzative:

6.1 Misure tecniche

• Crittografia in transito: TLS 1.2/1.3 su tutti i canali web e API
• Crittografia a riposo: sono cifrati con AES-256-GCM e chiave dedicata i campi che contengono il codice fiscale delle persone fisiche registrate come autisti o dipendenti, l'IBAN, le credenziali di accesso alle caselle di posta e i certificati. Il codice fiscale cifrato resta confrontabile senza essere decifrato mediante un indice non invertibile, così da poter riconoscere la stessa persona registrata due volte. Il volume su cui risiede il database non è cifrato a livello di disco: la cifratura a riposo opera sui campi indicati, non sull'intero archivio
• Non sono cifrati a riposo: il codice fiscale e la partita IVA di clienti, fornitori e controparti dei documenti fiscali — dati identificativi d'impresa, per lo più coincidenti con la partita IVA e già pubblici nei registri camerali, che alimentano la ricerca, l'esportazione e il riconoscimento automatico delle fatture ricevute; i dati riprodotti nei documenti già emessi e trasmessi (fatture elettroniche, documenti di trasporto), che ne conservano il contenuto come consegnato al destinatario; e i dati relativi alla salute di autisti e dipendenti di cui all'art. 2, che nella piattaforma consistono nelle date di effettuazione e di scadenza della visita medica e negli eventuali certificati allegati dal Titolare. Su queste ultime la cifratura di campo non è applicata perché le date alimentano lo scadenzario, gli avvisi e l'ordinamento degli elenchi, e un campo cifrato non è confrontabile né ordinabile; la protezione è affidata al controllo degli accessi e alle altre misure indicate in questo articolo. L'indicazione è resa affinché il Titolare possa valutare la misura nel proprio giudizio di adeguatezza ai sensi dell'art. 32 del Regolamento e nella valutazione d'impatto di cui all'art. 35
• Hashing password: scrypt (N = 16384, r = 16, p = 1) con sale per utente; le password non sono mai conservate in chiaro né reversibili
• Limitazione della frequenza dei tentativi di accesso: cinque tentativi al minuto per indirizzo IP sull'accesso con credenziali; tre ogni dieci minuti su registrazione e recupero della password
• Isolamento fra i dati di clienti diversi: presidiato su due livelli indipendenti — un filtro applicativo per spazio di lavoro su ogni accesso ai dati e le regole di sicurezza a livello di database (Row Level Security PostgreSQL). Il Responsabile adotta e mantiene le misure tecniche idonee a prevenire accessi incrociati e ne verifica periodicamente l'efficacia. Nessuna misura tecnica elimina il rischio in modo assoluto
• Audit log immutabili: tracciamento di accessi, modifiche e operazioni sensibili
• Backup automatici: orari e giornalieri, compressi e non cifrati, conservati sull'infrastruttura di produzione ubicata nell'Unione Europea e, in copia off-site, presso i due servizi di archiviazione indicati all'art. 8.5 del presente atto, entrambi ubicati fuori dall'Unione Europea; rotazione automatica e verifica periodica di ripristinabilità
• Registro degli accessi dell'assistenza: ogni accesso del personale del Responsabile ai dati del Titolare è consentito su tre livelli — sola diagnostica tecnica senza contenuti, sola lettura, lettura e scrittura — ed è registrato con il nominativo della persona che vi accede (mai un'utenza condivisa), l'azienda interessata, le sezioni consultate, le operazioni di scrittura effettuate e la motivazione, che è obbligatoria e la cui lunghezza minima è imposta dal database. L'accesso ha una durata massima di quattro ore e decade da solo alla scadenza. Il registro è in sola aggiunta: modifica e cancellazione delle righe sono bloccate a livello di database e non dalla sola procedura interna. Il Titolare lo consulta dalla propria area riservata
• Hardening server: firewall (ufw), fail2ban, aggiornamenti automatici di sicurezza, no root login, accesso SSH solo con chiave ed25519
• Web Application Firewall tramite Cloudflare
• Headers di sicurezza HTTP: HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy
• Cancellazione logica e cancellazione definitiva: la cancellazione richiesta dall'utente rende il dato immediatamente inaccessibile nella piattaforma; la cancellazione definitiva dagli ambienti di produzione avviene nei termini dell'art. 14 del presente atto, e la permanenza nelle copie di sicurezza segue l'art. 15 del presente atto, salvi gli obblighi di conservazione fiscale (dieci anni per le fatture)

6.2 Misure organizzative

• Accesso ai sistemi consentito solo a personale formalmente autorizzato e formato sulla protezione dati
• Vincolo di riservatezza scritto per tutti i collaboratori
• Procedura interna di gestione data breach
• Registro dei trattamenti aggiornato (Art. 30 GDPR)
• Prove periodiche di ripristino delle copie di sicurezza
• Revisione periodica delle misure di sicurezza

6.3 Localizzazione dei dati

Il database e i file conservati sul server applicativo sono archiviati su datacenter ubicati nell'Unione Europea. L'infrastruttura di produzione è costituita da un solo server, ubicato nel datacenter di Falkenstein (Germania). Non è in essere alcuna replica su un secondo datacenter, né alcun sito alternativo di continuità operativa: in caso di perdita dell'infrastruttura di produzione il ripristino avviene su infrastruttura nuova a partire dalle copie di sicurezza, nei tempi indicati dalla tabella «Obiettivi di ripristino» dell'Allegato Tecnico. Le copie del database conservate fuori dal sito di produzione sono due, entrambe ubicate fuori dall'Unione Europea, e sono disciplinate dal comma 8.5 del presente atto. I file allegati caricati dagli Utenti sono archiviati nel servizio di archiviazione a oggetti indicato nell'elenco dell'art. 8 del presente atto, che è anche una delle due destinazioni delle copie del database.

Alcuni servizi accessori comportano trasferimenti verso Paesi terzi: sono i sub-responsabili indicati con sede negli Stati Uniti nell'elenco dell'art. 8 del presente atto. Tali trasferimenti operano in regime di Clausole Contrattuali Tipo approvate dalla Commissione europea, integrate da misure supplementari ove opportuno e, ove applicabile, dalla decisione di adeguatezza relativa al Data Privacy Framework UE-Stati Uniti.

7 — Accesso del Responsabile ai dati

7.1 Il Titolare autorizza il Responsabile ad accedere ai dati oggetto del trattamento per erogare, mantenere e assistere il Servizio, ivi compresi la diagnosi e la risoluzione dei malfunzionamenti e la tutela della sicurezza dei sistemi. L'accesso non richiede preavviso né autorizzazione caso per caso e costituisce condizione tecnica di erogazione del Servizio. Ogni accesso è tuttavia nominativo, motivato, limitato nel tempo e tracciato nel registro di cui al comma 7.3, che il Titolare consulta in qualsiasi momento dalla propria area riservata.

7.2 L'accesso è consentito al solo personale designato ai sensi dell'art. 29 del GDPR, resta vincolato alle finalità indicate al comma precedente e all'obbligo di riservatezza di cui all'art. 5 del presente atto, ed è limitato a quanto necessario in relazione all'attività da svolgere. Nessun accesso è effettuato per finalità proprie del Responsabile diverse da quelle autorizzate dall'art. 12 del presente atto.

7.3 Registro degli accessi. Gli accessi sono organizzati su tre livelli: diagnostica tecnica, che opera su metadati, errori e registri tecnici e non consulta contenuti del Titolare; sola lettura sui dati del Titolare; lettura e scrittura. I livelli che comportano l'accesso ai contenuti sono ammessi soltanto previa apertura di una sessione registrata, che riporta il nominativo della persona fisica che vi accede — mai un'utenza condivisa —, la data e l'ora, l'azienda interessata, le sezioni consultate, le operazioni di scrittura effettuate e la motivazione dell'accesso, obbligatoria e di lunghezza minima imposta dal sistema. La sessione ha durata massima di quattro ore e scade automaticamente, senza necessità di revoca. Il registro è tenuto in sola aggiunta: la modifica e la cancellazione delle righe sono impedite dal database e non rimesse a una procedura interna. Il Responsabile si obbliga a mantenere il registro per tutta la durata del contratto e a non ridurne le garanzie descritte in questo comma senza il preavviso previsto dall'art. 27 delle Condizioni Generali.

8 — Sub-responsabili

8.1 Il Titolare autorizza in via generale il Responsabile a ricorrere ai seguenti sub-responsabili per l'erogazione del servizio:

I sub-responsabili indicati per le funzionalità assistite dall'intelligenza artificiale ricevono i contenuti trasmessi al momento della singola richiesta — il documento caricato, il testo della domanda, il comando vocale, il testo da leggere ad alta voce — e i dati estratti dalla banca dati del Cliente necessari a rispondere, quando la richiesta dell'Utente li presuppone. Questi ultimi possono comprendere, secondo la domanda posta: anagrafiche di clienti, fornitori, autisti, dipendenti e mezzi con i relativi recapiti; scadenze di documenti, patenti, abilitazioni e visite; viaggi, indirizzi, orari, merci e corrispettivi; movimenti di cassa, fatture e documenti di trasporto. La trasmissione avviene per il solo tempo necessario a restituire l'esito; secondo le condizioni contrattuali applicabili alle interfacce applicative dei rispettivi fornitori, tali contenuti non sono utilizzati per l'addestramento dei modelli. In assenza di utilizzo delle relative funzionalità da parte del Cliente nessun dato è trasmesso.

Caselle di posta elettronica del Cliente. Il modulo Posta assegna al Cliente caselle sul dominio del Servizio. Il servizio di posta è gestito direttamente dal Responsabile e non è affidato a un fornitore terzo: non vi è pertanto, per esso, alcun sub-responsabile da indicare nell'elenco che precede. Le macchine sulle quali il servizio è erogato sono fornite da Contabo GmbH, indicata nell'elenco, e si trovano nel territorio dell'Unione europea: non vi è alcun trasferimento verso Paesi terzi. Le credenziali di accesso alle caselle sono conservate in forma cifrata, secondo l'art. 6.1 del presente atto. Da quelle caselle transita la corrispondenza aziendale del Cliente — fatture ricevute, ordini e mandati di trasporto, scambi con committenti, fornitori e dipendenti — che è trattata alle medesime condizioni previste dal presente atto per ogni altro contenuto del Cliente.

8.2 Tutti i sub-responsabili sono vincolati da contratti di Data Processing Agreement che impongono obblighi equivalenti a quelli della presente nomina, in particolare in materia di sicurezza (Art. 32) e violazioni (Art. 33).

8.3 Il Responsabile informa il Titolare di ogni modifica dell'elenco dei sub-responsabili con preavviso di almeno trenta giorni, entro il quale il Titolare può opporsi per motivi ragionevoli e documentati, con diritto di recesso senza penalità limitatamente ai servizi interessati. L'elenco aggiornato è pubblicato e consultabile alla pagina crmtrasporti.com/legal/sub-responsabili.

8.4 Servizi pubblici privi di contratto. Per la geocodifica degli indirizzi, per il calcolo dei percorsi e per l'immagine di sfondo della mappa il Servizio si avvale anche di servizi pubblici gratuiti — nominatim.openstreetmap.org, router.project-osrm.org e tile.openstreetmap.org — utilizzati senza registrazione e senza corrispettivo. Con i soggetti che li gestiscono non è in essere alcun contratto di sub-responsabilità né alcuna garanzia negoziata per il trasferimento: essi non sono sub-responsabili e il comma 8.2 non si applica loro. La sola misura adottata è la riduzione al minimo del contenuto trasmesso. Ricevono, rispettivamente: la stringa dell'indirizzo da convertire — ovvero, nei campi di ricerca, il testo digitato dall'Utente — o una coppia di coordinate; la sola sequenza ordinata delle coordinate dei punti di carico e scarico, dalla quale è desumibile la tratta; le coordinate del riquadro di mappa visualizzato unitamente all'indirizzo IP del dispositivo dell'Utente, essendo quest'ultima l'unica richiesta verso terzi che parte dal programma di navigazione anziché dal server. Non ricevono identificativi del Titolare o degli Utenti, denominazioni di clienti, committenti e fornitori come dato distinto, targhe, nominativi degli autisti, orari, quantità, corrispettivi e numeri di viaggio. Il dettaglio è riportato nella pagina di cui al comma 8.3.

8.5 Archiviazione off-site delle copie di sicurezza. Le copie di sicurezza del database — che contengono per definizione l'intero contenuto inserito dal Titolare — sono conservate, oltre che sull'infrastruttura di produzione, presso due destinazioni fuori sede. La copia è in entrambi i casi integrale, compressa e non cifrata, è trasmessa ogni ora e ha cicli di conservazione propri, più lunghi di quelli delle copie locali; la finalità è poter ripristinare il Servizio anche in caso di perdita dell'infrastruttura di produzione.

8.5.1 La prima destinazione è il servizio di archiviazione a oggetti di Cloudflare (Cloudflare R2), indicato nell'elenco di cui al comma 8.1 e vincolato dall'accordo sul trattamento dei dati ivi previsto. Ad essa si applicano integralmente i commi 8.2 e 8.3 e le garanzie per il trasferimento indicate nell'elenco. Sulla stessa destinazione sono conservate anche le copie prodotte prima di ogni pubblicazione di una nuova versione del software.

8.5.2 La seconda destinazione è il servizio di archiviazione di Google, oggi utilizzato mediante un account personale, non aziendale: non è pertanto in essere un accordo sul trattamento dei dati ai sensi dell'articolo 28 del Regolamento, la controparte del rapporto è la persona fisica intestataria dell'account e non la società che eroga il servizio, e per il trasferimento non operano le Clausole Contrattuali Tipo né altra garanzia negoziata. Il comma 8.2 non si applica a questa sola destinazione. Il Responsabile si obbliga ad attivare un contratto di servizio aziendale e a sottoscrivere il relativo accordo sul trattamento dei dati; dalla sottoscrizione il servizio è indicato nell'elenco di cui al comma 8.1, con la propria sede e la propria garanzia per il trasferimento, e cessa di essere disciplinato dal presente comma.

9 — Trasferimenti verso Paesi terzi

Eventuali trasferimenti verso paesi terzi avvengono con le garanzie ex Artt. 45-46 GDPR (decisioni di adeguatezza, Standard Contractual Clauses), come specificato all'art. 6.3, all'art. 8.1 e all'art. 8.5.1 del presente atto. Fanno eccezione i destinatari privi di contratto di cui agli artt. 8.4 e 8.5.2, per i quali non opera alcuna garanzia negoziata: per i servizi pubblici di rete la sola misura adottata è la riduzione al minimo del contenuto trasmesso, nei termini indicati dall'art. 8.4; per la seconda destinazione dell'archiviazione off-site delle copie di sicurezza vale quanto indicato dall'art. 8.5.2.

10 — Violazioni dei dati personali (art. 33 GDPR)

In caso di violazione dei dati personali (data breach), il Responsabile ne informa il Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla scoperta, fornendo:

• la natura della violazione (categorie e numero approssimativo di interessati e dati coinvolti);
• nome e contatti del referente;
• conseguenze probabili della violazione;
• misure adottate o proposte per porvi rimedio.

Resta in capo al Titolare l'obbligo di notifica al Garante entro 72 ore (Art. 33) e agli interessati (Art. 34) ove applicabile.

11 — Verifiche e ispezioni

11.1 Il Titolare ha il diritto di verificare la conformità del Responsabile, mediante:

• richiesta scritta di documentazione (politiche di sicurezza, certificazioni, relazioni di verifica di sicurezza ove disponibili, estratto del registro degli accessi di cui all'art. 7.3);
• audit in sede, previa pianificazione concordata, con almeno 30 giorni di preavviso salvo violazione grave.

11.2 La scelta fra l'ispezione in sede e l'esame di una relazione di audit indipendente effettuata da terzi qualificati (es. SOC 2, ISO 27001 quando disponibile) spetta al Titolare. Il Responsabile può proporre la relazione in luogo dell'ispezione, ma la proposta non vincola il Titolare.

11.3 Le spese della verifica sono a carico del Titolare. Sono invece a carico del Responsabile quando la verifica accerta un inadempimento del Responsabile agli obblighi del presente atto o del Regolamento, nonché nel caso di verifica conseguente a una violazione dei dati personali a lui imputabile.

12 — Trattamenti ulteriori autorizzati dal Titolare

Il Titolare autorizza il Responsabile a effettuare i seguenti trattamenti, riconducibili alle finalità di erogazione e miglioramento del servizio:

• rilevazione di statistiche d'uso della piattaforma, riferite alle modalità e alla frequenza di utilizzo delle funzionalità, alle prestazioni e agli errori, e non al contenuto dei dati;
• elaborazione di informazioni aggregate e anonime per finalità statistiche, di analisi di mercato e di miglioramento del servizio, a condizione che il risultato non sia riconducibile al Titolare, ai suoi clienti o fornitori né ad alcun interessato, e che ciascuna elaborazione sia calcolata su un numero minimo di soggetti distinti e con un limite al contributo del singolo soggetto, secondo le soglie indicate nell'Allegato Tecnico;
• trattamenti necessari alla sicurezza informatica, alla prevenzione delle frodi e alla diagnosi dei malfunzionamenti;
• conservazione di copie di sicurezza dei dati, anche off-site e presso terzi, per le sole finalità di continuità, ripristino e sicurezza del Servizio, secondo quanto previsto dagli artt. 6.1, 6.3, 8.5 e 15 del presente atto;
• utilizzo delle statistiche d'uso riferite al Titolare — numero di anagrafiche, mezzi, viaggi e documenti gestiti, moduli attivati, frequenza d'uso delle funzionalità — per proporre al Titolare stesso funzionalità, moduli e offerte del Responsabile. Tale trattamento è effettuato dal Responsabile in qualità di titolare autonomo nei confronti del Titolare, sulla base del legittimo interesse, ed è descritto nell'Informativa Privacy; non comporta l'utilizzo dei dati dei clienti, dei fornitori, dei dipendenti e degli autisti del Titolare.

È escluso ogni ulteriore trattamento per finalità proprie del Responsabile. In particolare, il Responsabile non utilizza i dati del Titolare per attività di marketing verso terzi, per la creazione di segmenti di pubblico pubblicitari, per la profilazione di soggetti terzi, né per contattare clienti, fornitori o committenti del Titolare. Nell'area applicativa non sono installati strumenti di profilazione o di tracciamento pubblicitario di terze parti. Resta fermo quanto previsto dall'ultimo punto che precede e dall'art. 25.5 delle Condizioni Generali.

Il Titolare può opporsi in qualsiasi momento, senza obbligo di motivazione, al trattamento di cui all'ultimo punto — le proposte commerciali fondate sull'uso del Servizio — ai sensi dell'art. 21 del Regolamento, mediante comunicazione all'indirizzo [email protected] ovvero mediante la modalità indicata in ogni comunicazione commerciale, che il Responsabile è tenuto a riportarvi ai sensi dell'art. 130, comma 4, del Codice in materia di protezione dei dati personali. L'opposizione non incide sull'erogazione del Servizio né sulle condizioni economiche applicate.

Per i trattamenti di cui ai primi due punti non è previsto diritto di opposizione: le statistiche d'uso riguardano le modalità di utilizzo delle funzionalità e non il contenuto dei dati, e le elaborazioni aggregate sono prodotte esclusivamente al ricorrere delle condizioni indicate nell'Allegato Tecnico — almeno dieci aziende distinte nel campione, contributo di una singola azienda non superiore al 40%, rimozione di ragione sociale, partita IVA, targhe, denominazioni di committenti e fornitori e identificativi di account prima dell'aggregazione — così che il risultato non costituisca dato personale ai sensi del considerando 26 del Regolamento. Le soglie possono essere elevate dal Responsabile, mai ridotte.

13 — Geolocalizzazione e controllo a distanza

Con riferimento ai dati di posizione dei veicoli e ai dati estratti dal tachigrafo digitale, il Titolare dichiara di aver adempiuto agli obblighi previsti dall'art. 4 della Legge 20 maggio 1970, n. 300, come modificato dall'art. 23 del D.Lgs. 151/2015, mediante stipula di accordo collettivo con le rappresentanze sindacali ovvero, in mancanza, previa autorizzazione della competente sede dell'Ispettorato nazionale del lavoro, e di aver reso ai lavoratori l'informazione sulle modalità d'uso degli strumenti e di effettuazione dei controlli prevista dal comma 3 del medesimo articolo, condizione di utilizzabilità dei dati raccolti a ogni fine connesso al rapporto di lavoro.

Il modulo di localizzazione dei veicoli è in arrivo: alla data del presente atto il Servizio non rileva, non riceve e non conserva dati di posizione, e le funzioni di configurazione descritte nelle Condizioni Particolari non sono ancora disponibili. La dichiarazione che precede, e gli obblighi cui si riferisce, rilevano dal momento dell'attivazione del modulo, che è subordinata alla dichiarazione prevista dall'art. 40.5 delle Condizioni Generali. L'impostazione delle funzioni in conformità agli obblighi di legge resta di esclusiva competenza del Titolare.

14 — Restituzione e cancellazione dei dati

14.1 Alla cessazione del contratto, e in ogni caso a seguito di richiesta del Titolare, il Responsabile, secondo la scelta espressa dal Titolare stesso:

• consegna al Titolare un'esportazione completa dei dati in formato strutturato (CSV, Excel, PDF) entro 30 giorni dalla richiesta e cancella le copie esistenti, decorso il termine di cui all'art. 24.2 delle Condizioni Generali e comunque entro i 30 giorni successivi; oppure
• cancella tutti i dati personali del Titolare decorso il termine di cui all'art. 24.2 delle Condizioni Generali e comunque entro i 30 giorni successivi.

In entrambi i casi restano salvi gli obblighi di conservazione previsti dalla legge (es. fatture: dieci anni) e la permanenza dei dati nelle copie di sicurezza, disciplinata dall'art. 15 del presente atto.

14.2 La cancellazione è eseguita a seguito di richiesta del Titolare o della cessazione del contratto, previa verifica delle posizioni per le quali sussista un obbligo di conservazione: non è affidata a una cancellazione programmata che operi automaticamente alla scadenza dei termini. Il Responsabile fornisce conferma scritta dell'avvenuta cancellazione, indicando le categorie di dati conservati per obbligo di legge e il relativo termine.

14.3 Le richieste di cancellazione degli interessati ai sensi dell'art. 17 del GDPR sono eseguite dal Responsabile, su istruzione del Titolare, senza ingiustificato ritardo, salvi i casi in cui la conservazione sia imposta da un obbligo di legge; la permanenza dei dati nelle copie di sicurezza è disciplinata dall'art. 15 del presente atto.

15 — Cancellazione dalle copie di sicurezza

La cancellazione dei dati dagli ambienti di produzione non comporta la contestuale cancellazione dalle copie di sicurezza, che seguono il ciclo di rotazione indicato nell'Allegato Tecnico. Fino alla sovrascrittura, i dati presenti nelle copie di sicurezza non sono oggetto di alcun trattamento ulteriore e restano protetti dalle misure di sicurezza previste dal presente atto.

16 — Durata degli obblighi

Gli obblighi di riservatezza e di sicurezza previsti dal presente atto permangono anche dopo la cessazione del contratto, per tutto il tempo in cui il Responsabile conservi, anche solo su supporti di backup, dati trattati per conto del Titolare.

16-bis — Prevalenza in materia di protezione dei dati personali

16-bis.1 Per quanto attiene al trattamento dei dati personali, in caso di contrasto fra il presente atto e le Condizioni Generali di Contratto, l'Allegato Tecnico o qualsiasi altro documento contrattuale, prevale il presente atto, in deroga all'ordine di prevalenza stabilito dalle Condizioni Generali.

16-bis.2 La prevalenza opera limitatamente alle disposizioni che disciplinano il trattamento dei dati personali, e in particolare agli obblighi previsti dall'articolo 28 del Regolamento. Per ogni altro profilo del rapporto — corrispettivi, durata, livelli di servizio, responsabilità contrattuale — resta fermo l'ordine di prevalenza indicato dalle Condizioni Generali.

16-bis.3 In nessun caso una disposizione di altro documento contrattuale può subordinare a condizioni ulteriori, o rendere più gravoso, l'esercizio dei diritti riconosciuti al Titolare dagli articoli 11, 14 e 15 del presente atto.

17 — Comunicazioni

17.1 Le comunicazioni relative al presente atto sono inviate ai seguenti recapiti del Responsabile: email [email protected], PEC [email protected].

17.2 Le comunicazioni del Responsabile al Titolare sono inviate all'email comunicata in fase di registrazione.

18 — Foro competente

Per ogni controversia relativa al presente atto è competente in via esclusiva il Foro di Latina, in conformità all'art. 31.2 delle Condizioni Generali, specificamente approvato ai sensi degli artt. 1341 e 1342 c.c.

19 — Accettazione

Il presente Atto di Nomina viene accettato dal Titolare al momento della sottoscrizione del contratto di servizio, di cui costituisce allegato e parte integrante.

Documenti collegati: Termini e Condizioni del servizio · Informativa Privacy · Allegato Tecnico · Elenco dei sub-responsabili

Atto redatto dal Responsabile DANIELE LILLA CONSULTING (Daniele Lilla, REA LT - 315488). Versione 1.6, in vigore dal 04.08.2026: sostituisce la versione 1.5 e la versione 1.4 del 03.08.2026, la versione 1.3 e la versione 1.2 del 02.08.2026, la versione 1.1, mai entrata in vigore, e la versione 1.0 del 15.05.2026. Tutte le versioni restano consultabili nell'archivio dei documenti legali.