Informativa Privacy (GDPR)

1. Titolare del Trattamento

DANIELE LILLA CONSULTING
Titolare: Daniele Lilla
Sede: Via Giuseppe Verdi, 110, 04017 San Felice Circeo (LT)
P. IVA: 03224870596
REA: LT - 315488
PEC:
Email Privacy: [email protected]

2. Categorie di dati personali trattati

Attraverso il sito crmtrasporti.com e la piattaforma applicativa app.crmtrasporti.com raccogliamo e trattiamo le seguenti categorie di dati personali:

Dati raccolti tramite form sul sito (lead, demo, contatti)

• Nome e cognome
• Email
• Numero di telefono / WhatsApp
• Ragione sociale azienda
• Numero indicativo di mezzi gestiti
• Eventuali messaggi di testo liberi inseriti

Dati raccolti durante l'uso della piattaforma (clienti del servizio)

• Dati identificativi del titolare e degli utenti dell'azienda cliente (nome, email, ruolo, password cifrata)
• Dati anagrafici e fiscali dell'azienda cliente (P.IVA, sede, IBAN)
• Dati relativi a clienti / committenti e fornitori dell'azienda cliente (anagrafiche commerciali)
• Dati relativi ad autisti dell'azienda cliente: dati anagrafici, patente, CQC, ADR, visite mediche, contratto di lavoro
• Dati relativi ai mezzi: targa, telaio, libretto di circolazione
• Dati operativi: viaggi effettuati, geolocalizzazione (con consenso), foto DDT/CMR, firme cliente, transito Telepass, consumi carburante
• File del tachigrafo digitale (.DDD/C1B) caricati dall'utente
• Fatture emesse e ricevute, pagamenti, scadenze incassi
• Log applicativi: indirizzo IP, user agent, ora di accesso, operazioni effettuate (audit log)

Cookie e tecnologie di tracciamento

Vedi Cookie Policy per il dettaglio.

3. Finalità del trattamento e basi giuridiche

a) Erogazione del servizio

Fornitura della piattaforma SaaS CRM Trasporti, gestione account, autenticazione, esecuzione delle funzionalità richieste, assistenza tecnica.

Base giuridica: esecuzione del contratto (Art. 6.1.b GDPR).

b) Contatto pre-vendita e demo

Risposta a richieste di informazioni inviate tramite i form del sito, attivazione dell'ambiente di prova, gestione della demo.

Base giuridica: consenso (Art. 6.1.a GDPR) e misure precontrattuali (Art. 6.1.b GDPR).

c) Comunicazioni di servizio

Notifiche di sistema (alert scadenze, conferme operazioni), ricevute SDI, fatture, comunicazioni tecniche su malfunzionamenti, manutenzione programmata.

Base giuridica: esecuzione del contratto e legittimo interesse del Titolare a garantire la continuità del servizio.

d) Marketing diretto

Invio di newsletter, novità di prodotto, offerte commerciali, comunicazioni promozionali.

Base giuridica: consenso esplicito, specifico, revocabile in qualsiasi momento (Art. 6.1.a + 7 GDPR).

Trattamento facoltativo. La revoca non pregiudica l'erogazione del servizio.

e) Adempimenti fiscali e contabili

Conservazione fatture, ricevute, contratti per il periodo previsto dalla normativa.

Base giuridica: obbligo legale (Art. 6.1.c GDPR + art. 2220 Codice Civile).

f) Sicurezza informatica

Protezione del sistema da accessi non autorizzati, audit log, rilevamento anomalie, prevenzione frodi.

Base giuridica: legittimo interesse del Titolare (Art. 6.1.f GDPR).

4. Diritti dell'interessato (Artt. 15–22 GDPR)

L'interessato ha diritto di:

• Accesso — ottenere conferma e copia dei dati trattati (Art. 15)
• Rettifica — correggere dati inesatti o integrare quelli incompleti (Art. 16)
• Cancellazione — diritto all'oblio (Art. 17)
• Limitazione — limitare il trattamento (Art. 18)
• Portabilità — ricevere i dati in formato strutturato e trasferirli ad altro titolare (Art. 20)
• Opposizione — opporsi al trattamento per motivi legittimi o per marketing (Art. 21)
• Revoca del consenso — in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente (Art. 7.3)
• Reclamo all'Autorità — Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it

Modalità di esercizio: email a [email protected] o PEC a . Risposta entro 30 giorni (Art. 12.3 GDPR).

5. Periodo di conservazione

• Dati account utente attivo: per tutta la durata del contratto e fino a 24 mesi successivi alla chiusura del rapporto, salvo revoca espressa
• Dati operativi (viaggi, fatture, scadenze): 10 anni dall'ultima registrazione, per obblighi contabili (art. 2220 c.c.) e fiscali
• File tachigrafo: 24 mesi dall'upload, in conformità al Reg. UE 165/2014
• Lead non convertiti (form contatti/demo): 24 mesi dall'ultimo contatto utile, poi cancellazione/anonimizzazione
• Audit log e log di sicurezza: 24 mesi
• Consensi marketing: fino a revoca; in caso di inattività >24 mesi cancellazione automatica
• Backup cifrati: rotazione a 90 giorni

6. Destinatari e Responsabili Esterni del Trattamento

Per fornire il servizio ci avvaliamo di soggetti terzi nominati Responsabili del Trattamento ex Art. 28 GDPR:

• Hetzner Online GmbH (Germania) — hosting cloud e archiviazione dati. Datacenter: Falkenstein (DE) / Norimberga (DE) / Helsinki (FI). Tutti in territorio UE.
• Cloudflare, Inc. (USA) — DNS, CDN, mitigazione DDoS. Trasferimento extra-UE garantito da Standard Contractual Clauses + DPF EU-US.
• Stripe Payments Europe Ltd (Irlanda) — elaborazione pagamenti. PCI-DSS Level 1.
• Resend Inc. (USA) / Postmark (USA) — invio email transazionali. SCC + DPF.
• Acube S.r.l. (Italia) — invio fatture elettroniche al Sistema di Interscambio (futuro).
• Make.com (Celonis SE) (Germania) — automazione form contatti.
• Meta Platforms Ireland Ltd (Irlanda) — solo con consenso, Meta Pixel per misurazione campagne.
• Google Ireland Ltd (Irlanda) — solo con consenso, Google Analytics e Tag Manager.

Tutti i Responsabili sono vincolati da contratto a misure di sicurezza adeguate, conformemente all'Art. 32 GDPR.

Trasferimenti extra-UE

I dati personali sono ospitati esclusivamente in Unione Europea. Eventuali trasferimenti verso fornitori extra-UE (es. Stripe, Cloudflare USA) avvengono con le garanzie previste dagli Artt. 45-46 GDPR (decisioni di adeguatezza, Standard Contractual Clauses).

Soggetti autorizzati interni

• Soci e collaboratori del Titolare, formati e autorizzati
• Consulenti legali, fiscali, commercialisti vincolati a riservatezza

Autorità pubbliche

I dati possono essere comunicati ad autorità giudiziarie, di polizia o agli enti pubblici (Agenzia delle Entrate, MIT, INPS) su richiesta legittima.

7. Misure di sicurezza (Art. 32 GDPR)

Adottiamo misure tecniche e organizzative adeguate al rischio:

• Crittografia in transito — TLS 1.2/1.3 su tutti i canali
• Crittografia a riposo — database cifrato, campi sensibili cifrati AES-256-GCM con chiave dedicata
• Autenticazione forte — password hash bcrypt, opzione 2FA TOTP
• Controllo accessi granulari — Row Level Security a livello database, autorizzazione applicativa per ruolo, isolamento multi-tenant garantito anche in caso di bug applicativo
• Audit log immutabili — tracciamento di accessi e modifiche critiche
• Backup automatici — orari e giornalieri, cifrati, in regione UE separata
• Hardening server — firewall (UFW), fail2ban, aggiornamenti automatici di sicurezza, accesso SSH solo con chiave
• Penetration testing annuale (a partire dal primo anno operativo)
• Formazione personale sul trattamento dati

8. Notifica violazioni dei dati (Art. 33–34 GDPR)

In caso di violazione dei dati personali con rischio per i diritti e le libertà degli interessati, il Titolare:

• Notificherà al Garante entro 72 ore dalla scoperta (Art. 33 GDPR)
• Comunicherà la violazione agli interessati senza ingiustificato ritardo, in caso di alto rischio (Art. 34 GDPR)
• Documenterà ogni violazione in registro interno

9. Modifiche all'informativa

La presente informativa può essere aggiornata. Le modifiche sostanziali saranno comunicate agli interessati via email con preavviso di almeno 30 giorni.

Ultimo aggiornamento: maggio 2026