Informativa Privacy

Informativa sul trattamento dei dati personali ai sensi del Regolamento UE 2016/679.

1. Titolare del Trattamento

Responsabile della protezione dei dati

Il Titolare non rientra nelle ipotesi di designazione obbligatoria del Responsabile della protezione dei dati di cui all'art. 37 del GDPR e non ha proceduto a designazione facoltativa. Per ogni questione attinente alla protezione dei dati personali sono disponibili l'indirizzo [email protected] e la PEC [email protected].

2. Categorie di dati personali trattati

Attraverso il sito crmtrasporti.com e la piattaforma applicativa app.crmtrasporti.com raccogliamo e trattiamo le seguenti categorie di dati personali:

Dati raccolti tramite form sul sito (lead, demo, contatti)

• Nome e cognome
• Email
• Numero di telefono / WhatsApp
• Ragione sociale azienda
• Numero indicativo di mezzi gestiti
• Eventuali messaggi di testo liberi inseriti

Dati raccolti durante l'uso della piattaforma (clienti del servizio)

• Dati identificativi del titolare e degli utenti dell'azienda cliente (nome, email, ruolo, password conservata come hash non reversibile)
• Dati anagrafici e fiscali dell'azienda cliente (P.IVA, sede, IBAN)
• Dati relativi a clienti / committenti e fornitori dell'azienda cliente (anagrafiche commerciali)
• Dati relativi ad autisti dell'azienda cliente: dati anagrafici, patente, CQC, ADR, visite mediche, contratto di lavoro
• Dati relativi ai mezzi: targa, telaio, libretto di circolazione
• Dati operativi: viaggi effettuati, geolocalizzazione dei mezzi per i Clienti che attivano il relativo modulo (base giuridica alla lettera g del punto 3), foto DDT/CMR, firme cliente, transito Telepass, consumi carburante
• File del tachigrafo digitale (.DDD/C1B) caricati dall'utente. La funzione è in arrivo: alla data della presente informativa la piattaforma non acquisisce né conserva file del tachigrafo, e quanto è detto sul loro conto si applicherà dalla sua attivazione
• Registrazioni vocali dei comandi dettati all'assistente della piattaforma, acquisite dal microfono del dispositivo su azione dell'utente. L'audio è trasmesso al solo fine della trascrizione e non viene conservato; resta il testo trascritto, che è salvato nella cronologia della conversazione con l'assistente e contrassegnato come proveniente da dettatura
• Fatture emesse e ricevute, pagamenti, scadenze incassi
• Log applicativi: indirizzo IP, user agent, ora di accesso, operazioni effettuate (audit log)

Cookie e tecnologie di tracciamento

Il dettaglio è nella sezione Cookie e tecnologie di tracciamento di questa stessa informativa.

Fonte dei dati

I dati indicati sopra sono in massima parte forniti direttamente dall'interessato: chi compila un modulo sul sito, chi apre un account, chi acquista. Fanno eccezione i dati dei referenti e degli utenti dell'azienda cliente — nome, indirizzo email aziendale, ruolo, numero di telefono — che il Titolare riceve dall'azienda cliente stessa, quando questa apre l'account, invita un collaboratore o indica un referente amministrativo. Ricevono la medesima provenienza i dati anagrafici e fiscali dell'azienda tratti dai pubblici registri (registro delle imprese, archivio VIES delle partite IVA), consultati per verificare la partita IVA al momento dell'iscrizione e del pagamento. I dati che il Cliente inserisce nella piattaforma sui propri clienti, autisti, dipendenti e fornitori sono trattati dal Fornitore in qualità di Responsabile e l'informativa verso quegli interessati compete al Cliente, come detto in apertura.

3. Finalità del trattamento e basi giuridiche

a) Erogazione del servizio

Fornitura della piattaforma SaaS CRM Trasporti, gestione account, autenticazione, esecuzione delle funzionalità richieste, assistenza tecnica.

Base giuridica: esecuzione del contratto (Art. 6.1.b GDPR).

b) Contatto pre-vendita e demo

Risposta a richieste di informazioni inviate tramite i form del sito, attivazione dell'ambiente di prova, gestione della demo.

Base giuridica: consenso (Art. 6.1.a GDPR) e misure precontrattuali (Art. 6.1.b GDPR).

c) Comunicazioni di servizio

Notifiche di sistema (alert scadenze, conferme operazioni), ricevute SDI, fatture, comunicazioni tecniche su malfunzionamenti, manutenzione programmata.

Base giuridica: esecuzione del contratto e legittimo interesse del Titolare a garantire la continuità del servizio.

d) Marketing diretto

Invio di newsletter, novità di prodotto, offerte commerciali, comunicazioni promozionali.

Base giuridica: consenso esplicito, specifico, revocabile in qualsiasi momento (Art. 6.1.a + 7 GDPR).

Trattamento facoltativo. La revoca non pregiudica l'erogazione del servizio.

e) Adempimenti fiscali e contabili

Conservazione fatture, ricevute, contratti per il periodo previsto dalla normativa.

Base giuridica: obbligo legale (Art. 6.1.c GDPR + art. 2220 Codice Civile).

f) Sicurezza informatica

Protezione del sistema da accessi non autorizzati, audit log, rilevamento anomalie, prevenzione frodi.

Base giuridica: legittimo interesse del Titolare (Art. 6.1.f GDPR).

g) Geolocalizzazione dei veicoli

Rilevazione della posizione dei mezzi per esigenze organizzative e produttive, per la sicurezza del lavoro e per la tutela del patrimonio aziendale, limitatamente ai Clienti che attivano il relativo modulo. Il modulo è in arrivo: alla data della presente informativa la piattaforma non rileva, non riceve e non conserva dati di posizione, e quanto segue si applicherà dalla sua attivazione.

Base giuridica: i dati di posizione sono trattati dal Cliente in qualità di Titolare, sulla base del proprio legittimo interesse (art. 6.1.f GDPR) ovvero di obblighi di legge, e nel rispetto dell'art. 4 della L. 300/1970, che subordina l'impiego di strumenti dai quali derivi la possibilità di controllo a distanza dell'attività dei lavoratori alla previa stipula di accordo collettivo con le rappresentanze sindacali ovvero, in mancanza, alla previa autorizzazione della competente sede dell'Ispettorato nazionale del lavoro. Il consenso del lavoratore non costituisce base giuridica idonea, non potendosi presumere liberamente prestato nell'ambito del rapporto di lavoro. Il Fornitore opera quale Responsabile del trattamento.

h) Dati appartenenti a categorie particolari

Il trattamento dei dati relativi all'idoneità sanitaria degli autisti, effettuato dal Cliente in qualità di Titolare, trova base giuridica nell'art. 9, paragrafo 2, lettera b), del GDPR — assolvimento degli obblighi in materia di diritto del lavoro e della sicurezza sociale e protezione sociale — in relazione agli obblighi di sorveglianza sanitaria previsti dalla normativa vigente.

i) Statistiche aggregate e miglioramento del servizio

Elaborazione di informazioni aggregate e anonime, non riconducibili al Cliente, ai suoi clienti o fornitori né ad alcun interessato, per finalità statistiche, di analisi di mercato e di miglioramento del servizio, nonché rilevazione di statistiche d'uso riferite alle modalità di utilizzo delle funzionalità e non ai contenuti. Le elaborazioni sono prodotte esclusivamente se calcolate su almeno dieci aziende distinte, se nessuna singola azienda contribuisce per più del 40% del campione e previa rimozione di ragione sociale, partita IVA, targhe, denominazioni di committenti e fornitori e identificativi di account; quelle che non soddisfano tali condizioni non vengono prodotte né rese disponibili, e le soglie possono essere elevate, mai ridotte. Le informazioni così prodotte non costituiscono dati personali ai sensi del considerando 26 del GDPR e per questa finalità non è previsto diritto di opposizione; resta fermo il diritto di opposizione per la finalità di cui alla lettera j).

j) Proposte al cliente basate sull'uso del servizio

Elaborazione di dati aggregati e statistici sull'uso della piattaforma da parte dell'azienda cliente — numero di anagrafiche, mezzi, viaggi e documenti gestiti, moduli attivati, frequenza d'uso delle funzionalità — per proporre all'azienda cliente stessa funzionalità, moduli e offerte del Titolare. Le proposte sono indirizzate esclusivamente ai referenti dell'azienda cliente, nell'ambito del rapporto contrattuale in essere.

Base giuridica: legittimo interesse del Titolare a promuovere presso i propri clienti servizi analoghi a quelli già forniti (Art. 6.1.f GDPR), tenuto conto della ragionevole aspettativa dell'interessato in ragione del rapporto contrattuale, e art. 130, comma 4, del Codice Privacy per le comunicazioni inviate con posta elettronica.

Diritto di opposizione: l'interessato può opporsi in qualsiasi momento, senza obbligo di motivazione, scrivendo a [email protected] oppure utilizzando la modalità indicata in ogni comunicazione (Art. 21, paragrafo 2, GDPR). L'opposizione non incide in alcun modo sull'erogazione del servizio né sulle condizioni economiche applicate.

Limite invalicabile: per questa finalità non sono in alcun caso utilizzati i dati identificativi e di contatto dei clienti, dei committenti, dei fornitori, dei dipendenti e degli autisti dell'azienda cliente, che il Titolare tratta unicamente in qualità di Responsabile e che non riceveranno mai comunicazioni promozionali dal Titolare, ai sensi dell'art. 25.4 delle Condizioni Generali.

Natura del conferimento

Il conferimento dei dati contrassegnati come obbligatori nei moduli di raccolta è necessario per la conclusione e l'esecuzione del contratto e per l'assolvimento degli obblighi di legge; il rifiuto di conferirli impedisce la conclusione del contratto o l'erogazione del servizio. Il conferimento dei dati per finalità di marketing è facoltativo e il rifiuto non produce alcuna conseguenza sull'erogazione del servizio.

4. Diritti dell'interessato (Artt. 15–22 GDPR)

L'interessato ha diritto di:

• Accesso, ottenere conferma e copia dei dati trattati (Art. 15)
• Rettifica, correggere dati inesatti o integrare quelli incompleti (Art. 16)
• Cancellazione, diritto all'oblio (Art. 17)
• Limitazione, limitare il trattamento (Art. 18)
• Portabilità, ricevere i dati in formato strutturato e trasferirli ad altro titolare (Art. 20)
• Opposizione, opporsi al trattamento per motivi legittimi o per marketing (Art. 21)
• Revoca del consenso, in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente (Art. 7.3)
• Reclamo all'Autorità, Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it

Modalità di esercizio: email a [email protected] o PEC a [email protected]. Risposta entro 30 giorni (Art. 12.3 GDPR).

Processi decisionali automatizzati

Il Titolare non effettua trattamenti che comportino processi decisionali automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogamente significativo sugli interessati ai sensi dell'art. 22 del GDPR. Gli indicatori e le elaborazioni prodotte dalla piattaforma costituiscono strumenti di supporto alle valutazioni del Cliente, al quale è rimessa ogni decisione.

5. Periodo di conservazione

Sono due cose diverse, e vanno tenute distinte: la cancellazione dei dati dagli ambienti di produzione, che avviene su richiesta dell'interessato e alla cessazione del Contratto nei limiti indicati qui sotto, e la loro permanenza tecnica nelle copie di sicurezza, che segue il ciclo di rotazione delle copie ed è descritta in fondo a questo punto. I termini che seguono sono limiti massimi di conservazione: dicono oltre quale periodo un dato non viene tenuto, non che esista un programma che lo cancella allo scadere del giorno indicato.

• Dati dell'account e dati inseriti nella piattaforma: per tutta la durata del contratto. Alla cessazione restano accessibili in sola lettura per 30 giorni per consentirne l'esportazione (art. 24.2 delle Condizioni Generali); decorso tale termine sono cancellati (art. 24.4 delle Condizioni Generali e art. 14 dell'Atto di Nomina), salvi gli obblighi di conservazione di legge
• Scritture contabili e documenti fiscali (fatture emesse e ricevute, registri, ricevute, contratti): 10 anni dall'ultima registrazione, per obbligo di legge (art. 2220 del Codice Civile e art. 39 del D.P.R. 633/1972). È l'unica voce coperta dal termine decennale
• Dati dei viaggi e documenti di trasporto (DDT, CMR, tappe, firme di consegna): per tutta la durata del Contratto; alla cessazione seguono la sorte dei dati dell'account. Restano oltre solo i documenti che confluiscono in una fattura, e in tal caso per il termine della riga precedente
• Scadenze e documenti degli autisti e dei mezzi (patente, CQC, ADR, visita medica, revisione, assicurazione): per la durata del Contratto e, all'interno di essa, per il tempo in cui l'azienda cliente ha necessità di dimostrare di aver adempiuto agli obblighi di legge sul relativo periodo. Non è un dato contabile e non segue il termine decennale
• File del tachigrafo: 12 mesi dallo scarico, che è il termine minimo di conservazione previsto dall'art. 10, paragrafo 5, del Reg. (CE) 561/2006 in capo all'impresa di trasporto. La voce è indicata per completezza: alla data della presente informativa la piattaforma non acquisisce file del tachigrafo (vedi punto 2) e il termine si applicherà dall'attivazione della funzione
• Lead non convertiti (form contatti/demo): non oltre 24 mesi dall'ultimo contatto utile. La cancellazione è eseguita su richiesta e in occasione delle verifiche periodiche, non da una procedura automatica
• Audit log e log di sicurezza: non oltre 24 mesi
• Consensi marketing: fino a revoca. La revoca è eseguita su richiesta, senza ingiustificato ritardo; non è prevista una cancellazione automatica per inattività

Come sono applicati. La cancellazione dei dati è eseguita su richiesta dell'interessato e alla cessazione del Contratto, nonché a seguito delle verifiche periodiche sui dati che hanno superato i limiti indicati sopra, in ogni caso senza ingiustificato ritardo. Non è in funzione una procedura automatica che cancelli allo scadere del termine. L'indicazione è resa perché un termine di conservazione dichiarato dev'essere anche verificabile: l'interessato deve poter sapere se la cancellazione avviene per automatismo o a seguito di controllo, e oggi avviene a seguito di controllo.

Cancellazione su richiesta

La richiesta di cancellazione ex art. 17 del GDPR è eseguita senza ingiustificato ritardo e comunque entro 30 giorni (art. 12, paragrafo 3, del GDPR). Restano fermi i soli casi in cui la conservazione è imposta da un obbligo di legge (art. 17, paragrafo 3, lettera b), del GDPR), tipicamente i documenti fiscali, conservati per i dieci anni previsti. Nessun dato viene trattenuto oltre questi termini a titolo di cancellazione differita o di archiviazione mascherata.

Copie di sicurezza

La cancellazione dagli ambienti di produzione non comporta la contestuale cancellazione dalle copie di sicurezza. Le copie sono conservate in due luoghi, con due rotazioni distinte:

• Sull'infrastruttura di produzione (Unione Europea): copie orarie conservate 2 giorni, giornaliere 7 giorni, settimanali 14 giorni, mensili 31 giorni
• Fuori sede, presso le due destinazioni indicate al punto 6 — l'archiviazione a oggetti di Cloudflare e il servizio di archiviazione di Google: copie orarie conservate 48 ore, giornaliere 30 giorni, settimanali 8 settimane, mensili 12 mesi

Fino alla sovrascrittura, i dati presenti nelle copie non sono oggetto di alcun trattamento ulteriore e restano protetti dalle misure descritte al punto 7. Si tratta di conservazione tecnica, non di una proroga dei termini di cancellazione.

6. Destinatari e Responsabili Esterni del Trattamento

Per fornire il servizio ci avvaliamo di soggetti terzi nominati Responsabili del Trattamento ex Art. 28 GDPR:

• Hetzner Online GmbH (Germania), hosting cloud e archiviazione dati. L'infrastruttura di produzione è costituita da un solo server, nel datacenter di Falkenstein (DE), in territorio UE. Non è in essere alcuna replica su un secondo datacenter.
• Cloudflare, Inc. (Stati Uniti), DNS, CDN, mitigazione DDoS. Clausole Contrattuali Tipo e Data Privacy Framework UE-Stati Uniti.
• Cloudflare, Inc. (Stati Uniti), archiviazione a oggetti (Cloudflare R2) di due contenuti distinti: i file allegati caricati nella piattaforma — allegati di viaggi, mezzi, autisti, clienti, movimenti di cassa e attività, buste paga, documenti sottoposti a firma elettronica — e una copia integrale e compressa del database, trasmessa ogni ora a fini di conservazione fuori sede. La copia del database contiene per definizione tutto ciò che i Clienti hanno inserito nella piattaforma. Clausole Contrattuali Tipo e Data Privacy Framework UE-Stati Uniti.
• Stripe Payments Europe Ltd (Irlanda), elaborazione dei pagamenti. PCI-DSS Level 1.
• Resend Inc. (Stati Uniti), invio email transazionali. Clausole Contrattuali Tipo e Data Privacy Framework UE-Stati Uniti.
• Acube S.r.l. (Italia), invio fatture elettroniche al Sistema di Interscambio (in attivazione).
• Contabo GmbH (Germania), infrastruttura server sulla quale è erogato il servizio di posta elettronica delle caselle aziendali. Territorio UE.
• Make.com (Celonis SE) (Germania), automazione form contatti.
• Google Ireland Ltd (Irlanda), solo con consenso, Google Analytics 4 e Tag Manager sul sito istituzionale; nella piattaforma, geocodifica degli indirizzi di carico e scarico e dei testi digitati nei campi di ricerca, quando è configurata la chiave del servizio.
• LogRocket, Inc. (Stati Uniti), solo con consenso, registrazione delle sessioni di navigazione sul solo sito istituzionale. Clausole Contrattuali Tipo.
• Anthropic PBC (Stati Uniti), estrazione dei dati dai documenti caricati nella piattaforma e assistente conversazionale, per i Clienti che utilizzano tali funzionalità. Clausole Contrattuali Tipo.
• OpenAI, L.L.C. (Stati Uniti), trascrizione dei comandi vocali e lettura ad alta voce delle risposte dell'assistente, per gli utenti che utilizzano tali funzionalità. Clausole Contrattuali Tipo.

Tutti i Responsabili sono vincolati da contratto a misure di sicurezza adeguate, conformemente all'Art. 32 GDPR. L'elenco aggiornato dei soggetti che trattano dati per conto dei Clienti è pubblicato alla pagina Elenco dei sub-responsabili.

Destinatari privi di contratto

Servizi pubblici di rete

Per la geocodifica degli indirizzi, per il calcolo dei percorsi e per l'immagine di sfondo della mappa la piattaforma si avvale anche di servizi pubblici gratuiti — nominatim.openstreetmap.org, router.project-osrm.org e tile.openstreetmap.org — utilizzati senza registrazione e senza corrispettivo. Con chi li gestisce non è in essere alcun contratto di responsabile del trattamento, e per il relativo trasferimento non opera alcuna garanzia negoziata: non sono quindi Responsabili esterni e non compaiono nell'elenco che precede. La sola misura adottata è la riduzione al minimo di ciò che viene trasmesso.

Ricevono, rispettivamente: la stringa dell'indirizzo da convertire — ovvero, nei campi di ricerca, il testo digitato dall'utente — oppure una coppia di coordinate; la sola sequenza ordinata delle coordinate dei punti di carico e scarico, dalla quale è desumibile la tratta; le coordinate del riquadro di mappa visualizzato e l'indirizzo IP del dispositivo dell'utente, essendo la mappa di sfondo l'unica richiesta verso terzi che parte dal browser anziché dal nostro server. Non ricevono identificativi dell'azienda cliente o dell'utente, denominazioni di clienti, committenti e fornitori come dato distinto, targhe, nominativi degli autisti, orari, quantità, importi e numeri di viaggio. Il dettaglio, servizio per servizio, è nella pagina Elenco dei sub-responsabili. Nominatim interviene quando la chiave del servizio di geocodifica non è configurata e, quando lo è, nei casi in cui questo non restituisca alcun risultato.

Archiviazione off-site delle copie di sicurezza

Le copie di sicurezza del database — che contengono per definizione l'intero contenuto inserito dai Clienti — sono conservate, oltre che sull'infrastruttura di produzione, in due copie fuori sede: presso l'archiviazione a oggetti di Cloudflare, indicata nell'elenco dei Responsabili qui sopra, e presso il servizio di archiviazione di Google, di cui si dice in questo paragrafo. Entrambe le copie sono integrali, compresse e non cifrate, sono trasmesse ogni ora e seguono la rotazione delle copie fuori sede indicata al punto 5, che è diversa e più lunga di quella delle copie locali. La finalità è la conservazione off-site: poter ripristinare il Servizio anche in caso di perdita dell'infrastruttura di produzione.

Il servizio di archiviazione di Google è oggi utilizzato mediante un account personale, non aziendale. Ne consegue che non è in essere un accordo sul trattamento dei dati ai sensi dell'articolo 28 del Regolamento, che la controparte del rapporto è la persona fisica intestataria dell'account e non la società che eroga il servizio, e che per il trasferimento non operano le Clausole Contrattuali Tipo né altra garanzia negoziata. Il Fornitore si obbliga ad attivare un contratto di servizio aziendale e a sottoscrivere il relativo accordo sul trattamento dei dati; dalla sottoscrizione il servizio è indicato nell'elenco dei sub-responsabili, con la propria sede e la propria garanzia per il trasferimento, e cessa di essere disciplinato dal presente paragrafo.

Meta: contitolarità, non responsabilità del trattamento

Meta Platforms Ireland Ltd è destinataria di dati personali raccolti attraverso il sito istituzionale, e non agisce quale Responsabile del trattamento: il Titolare e Meta sono contitolari ai sensi dell'art. 26 del GDPR, limitatamente alla raccolta dei dati sul sito e alla loro trasmissione a Meta. È la qualificazione stabilita dalla Corte di giustizia dell'Unione europea nella causa C-40/17 (Fashion ID) e recepita dalle stesse condizioni contrattuali di Meta. I trattamenti successivi alla trasmissione sono effettuati da Meta in qualità di titolare autonomo e sono disciplinati dalla sua informativa.

I canali verso Meta sono due, e valgono per entrambi le stesse regole.

• Il Meta Pixel, che è uno script eseguito dal browser dell'utente sulle pagine del sito istituzionale e trasmette a Meta la pagina visitata, gli eventi di conversione e gli identificativi pubblicitari contenuti nei cookie _fbp e _fbc.
• Il canale server-to-server (Conversions API), che parte dai server del Titolare e non dal browser. Attraverso di esso, quando l'utente invia un modulo di contatto o completa un acquisto, sono trasmessi a Meta: indirizzo email e numero di telefono in forma cifrata a senso unico (hash), indirizzo IP, user agent del browser, gli identificativi _fbp e _fbc, il tipo di evento e, per gli acquisti, l'importo e la valuta. Serve a ricondurre a una campagna pubblicitaria un contatto o un ordine che il solo pixel non riuscirebbe ad attribuire.

Entrambi i canali operano esclusivamente previo consenso alla categoria «marketing» prestato con il banner: senza quel consenso il pixel non viene nemmeno scaricato e dal server non parte alcuna trasmissione verso Meta. La revoca del consenso interrompe entrambi. Nessuno dei due ha accesso ai dati inseriti dai Clienti nella piattaforma applicativa app.crmtrasporti.com, nella quale non è installato alcuno strumento di Meta.

Nel riparto di responsabilità: il Titolare risponde dell'informativa e della raccolta del consenso sul sito; Meta risponde delle informazioni dovute agli interessati ai sensi degli artt. 13 e 14 del GDPR per le fasi successive alla trasmissione, del riscontro alle richieste di esercizio dei diritti e della sicurezza dei dati che riceve. L'interessato può rivolgersi indifferentemente a ciascuno dei contitolari; il punto di contatto del Titolare è [email protected].

Trasferimenti verso Paesi terzi

Il database della piattaforma e i file conservati sul server applicativo sono archiviati su datacenter ubicati nell'Unione Europea; i file allegati caricati dagli utenti sono archiviati nel servizio di archiviazione a oggetti di Cloudflare indicato sopra, e le copie di sicurezza del database sono conservate anche off-site presso lo stesso servizio di Cloudflare e presso il servizio di archiviazione di Google descritto sopra. Alcuni servizi accessori comportano trasferimenti verso Paesi terzi: sono i fornitori indicati sopra con sede negli Stati Uniti, cioè Cloudflare, Resend, LogRocket, Anthropic e OpenAI. Per gli ultimi due il trasferimento avviene solo quando il Cliente utilizza le funzionalità assistite dall'intelligenza artificiale e riguarda i soli contenuti trasmessi con la singola richiesta. Tali trasferimenti sono assistiti dalle garanzie previste dagli Artt. 45-46 GDPR e in particolare dalle Clausole Contrattuali Tipo adottate dalla Commissione europea con decisione di esecuzione (UE) 2021/914 e, ove applicabile, dalla decisione di adeguatezza relativa al Data Privacy Framework UE-Stati Uniti. Restano fuori da questa disciplina i destinatari privi di contratto descritti sopra — i servizi pubblici di rete e l'archiviazione off-site delle copie di sicurezza presso il servizio di Google — per i quali non c'è contratto e quindi non c'è garanzia negoziata: quello che li riguarda è detto lì. I trasferimenti effettuati da Meta successivamente alla trasmissione avvengono sotto la responsabilità di Meta quale titolare autonomo e sono disciplinati dalla sua informativa.

Come ottenere copia delle garanzie. L'interessato può chiedere copia delle Clausole Contrattuali Tipo sottoscritte con ciascun fornitore, o l'indicazione del luogo in cui sono reperibili, scrivendo a [email protected] o alla PEC [email protected]. La copia è trasmessa entro 30 giorni, con l'oscuramento delle sole informazioni commerciali riservate e dei dati personali di terzi (art. 15, paragrafo 4, del GDPR). L'iscrizione dei fornitori statunitensi al Data Privacy Framework UE-Stati Uniti è verificabile pubblicamente nell'elenco tenuto dal Dipartimento del Commercio statunitense.

Soggetti autorizzati interni

• Soci e collaboratori del Titolare, formati e autorizzati
• Consulenti legali, fiscali, commercialisti vincolati a riservatezza

Autorità pubbliche

I dati possono essere comunicati ad autorità giudiziarie, di polizia o agli enti pubblici (Agenzia delle Entrate, MIT, INPS) su richiesta legittima.

7. Misure di sicurezza (Art. 32 GDPR)

Adottiamo misure tecniche e organizzative adeguate al rischio:

• Crittografia in transito, TLS 1.2/1.3 su tutti i canali
• Crittografia a riposo, con AES-256-GCM e chiave dedicata, dei campi che contengono il codice fiscale delle persone fisiche registrate come autisti o dipendenti, l'IBAN, le credenziali di accesso alle caselle di posta e i certificati. Non sono cifrati il codice fiscale e la partita IVA di clienti, fornitori e controparti dei documenti fiscali — dati identificativi d'impresa, già pubblici nei registri camerali, sui quali si appoggiano ricerca, esportazione e riconoscimento automatico delle fatture — né i dati riprodotti nei documenti già emessi e trasmessi. Il volume su cui risiede il database non è cifrato a livello di disco
• Autenticazione forte, password conservate come hash con funzione di derivazione a memoria elevata (scrypt) e sale per utente; limitazione della frequenza dei tentativi di accesso per indirizzo IP
• Controllo accessi granulari, autorizzazione applicativa per ruolo. L'isolamento fra i dati di clienti diversi è garantito dal filtro applicativo per spazio di lavoro, applicato a ogni accesso ai dati; le regole di sicurezza a livello di database (Row Level Security) sono predisposte ma non ancora attive e costituiranno un secondo livello quando saranno abilitate. Il Fornitore adotta e mantiene le misure tecniche idonee a prevenire accessi incrociati e ne verifica periodicamente l'efficacia. Nessuna misura tecnica elimina il rischio in modo assoluto
• Audit log immutabili, tracciamento di accessi e modifiche critiche
• Registro degli accessi del personale del Fornitore ai dati del Cliente: ogni accesso di assistenza è aperto a nome di una persona identificata, richiede una motivazione scritta, ha una durata massima predeterminata e scade da sé; il registro non è modificabile né cancellabile ed è consultabile dal Cliente
• Backup automatici, orari e giornalieri, conservati sull'infrastruttura di produzione ubicata nell'Unione Europea e, in copia off-site, presso due servizi di archiviazione ubicati fuori dall'Unione Europea — l'archiviazione a oggetti di Cloudflare e il servizio di archiviazione di Google (vedi punto 6) — con rotazione automatica (vedi punto 5, «Copie di sicurezza»). Le copie di sicurezza non sono cifrate
• Hardening server, firewall (UFW), fail2ban, aggiornamenti automatici di sicurezza, accesso SSH solo con chiave
• Formazione personale sul trattamento dati

8. Notifica violazioni dei dati (Art. 33–34 GDPR)

In caso di violazione dei dati personali con rischio per i diritti e le libertà degli interessati, il Titolare:

• Notificherà al Garante entro 72 ore dalla scoperta (Art. 33 GDPR)
• Comunicherà la violazione agli interessati senza ingiustificato ritardo, in caso di alto rischio (Art. 34 GDPR)
• Documenterà ogni violazione in registro interno

9. Modifiche all'informativa

La presente informativa può essere aggiornata. Le modifiche sostanziali saranno comunicate agli interessati via email con preavviso di almeno 30 giorni.

10. Cookie e tecnologie di tracciamento

Questa sezione riguarda i cookie e gli altri strumenti di tracciamento del sito crmtrasporti.com e sostituisce la Cookie Policy che fino al 04.08.2026 era pubblicata come pagina a sé; l'indirizzo crmtrasporti.com/cookie-policy rinvia qui.

Cosa sono i cookie

I cookie sono piccoli file di testo memorizzati sul dispositivo dell'utente durante la navigazione. Servono a ricordare azioni e preferenze (ad esempio: lingua, login) e a misurare l'efficacia delle pagine.

Cookie tecnici / strettamente necessari

Sono necessari al corretto funzionamento del sito e della piattaforma. Non richiedono consenso ai sensi dell'Art. 122, comma 1, del Codice Privacy.

• cookie_consent (localStorage), memorizza la tua scelta sui cookie. Persistente fino a cancellazione.
• cookie_consent_date (localStorage), data della scelta.
• session (HTTP-only, Secure, SameSite=Strict), gestione sessione autenticata sulla piattaforma applicativa app.crmtrasporti.com. Scade alla chiusura del browser o per inattività dopo 8 ore.
• csrf_token, protezione contro attacchi Cross-Site Request Forgery sui form. Scadenza 6 ore.

Cookie funzionali

Memorizzano preferenze dell'utente per personalizzare l'esperienza.

• user_preferences, preferenze di visualizzazione (es. layout calendario). Durata: 1 anno.

Cookie analitici (con consenso)

Solo dopo il tuo consenso esplicito tramite il banner cookie, installiamo:

• Google Analytics 4 (Google Ireland Ltd) — analisi anonima del traffico, IP anonimizzato, segmenti aggregati. Privacy Google
• Google Tag Manager, gestione tag e script di analisi. Non installa cookie di per sé.

Gli stessi strumenti misurano il percorso di acquisto: rilevano il completamento dell'ordine e il relativo valore economico ai fini dell'attribuzione delle conversioni. Non hanno accesso ai dati inseriti dai Clienti nella piattaforma e non sono attivi nell'ambiente applicativo app.crmtrasporti.com.

Cookie di marketing (con consenso)

Solo dopo il tuo consenso esplicito, installiamo:

• Meta Pixel (Meta Platforms Ireland Ltd) — tracciamento conversioni e creazione audience per campagne Facebook/Instagram, anche in relazione al percorso di acquisto. Privacy Meta

Per questo strumento il Titolare e Meta sono contitolari del trattamento: vedi il punto 6, «Meta Pixel: contitolarità, non responsabilità del trattamento».

Registrazione delle sessioni di navigazione (con consenso)

Sul solo sito istituzionale, previo consenso, è attiva la registrazione delle sessioni di navigazione — percorso di navigazione, interazioni con gli elementi della pagina, eventi di errore — al fine di individuare difetti di funzionamento e migliorare l'usabilità. Vi provvedono uno strumento fornito da LogRocket, Inc. (Stati Uniti), il cui trasferimento è assistito dalle Clausole Contrattuali Tipo, e uno strumento di prima parte del Titolare, che invia i dati esclusivamente ai propri server nell'Unione Europea. La registrazione maschera i campi che contengono password, dati di carte di pagamento, IBAN, codice fiscale e partita IVA. Nessuno dei due strumenti è attivo nell'ambiente applicativo app.crmtrasporti.com, nel quale sono trattati i dati inseriti dai Clienti.

Cookie di terze parti (servizi di rete)

• Cloudflare, cookie tecnici di sicurezza e anti-bot (es. __cf_bm). Durata massima 30 minuti. Privacy Cloudflare
• Stripe (sulle pagine di pagamento della piattaforma), cookie tecnici per anti-frode e checkout. Privacy Stripe

Come gestire i cookie

Puoi gestire le tue preferenze in qualsiasi momento:

• Banner cookie, al primo accesso scegli "Solo necessari" o "Accetta tutti".
• In qualsiasi momento puoi cambiare idea: Gestisci cookie riapre il pannello delle preferenze da qualunque pagina del sito, ed è anche in fondo a ogni pagina. Revocare il consenso è facile quanto darlo: non devi cancellare niente dal browser.
• Browser, guide ufficiali: Chrome, Firefox, Safari, Edge.

Disabilitare i cookie tecnici può impedire il corretto funzionamento del sito e della piattaforma.

Riferimenti normativi

• Regolamento UE 2016/679 (GDPR)
• D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018
• Provvedimento Garante Privacy n. 229 dell'8 maggio 2014
• Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021 [doc. web 9677876]
• Direttiva ePrivacy 2002/58/CE

11. Contatti

Per domande su questa informativa, sui cookie e per l'esercizio dei diritti: DANIELE LILLA CONSULTING — email [email protected], PEC [email protected].

Informativa Privacy versione 1.6, in vigore dal 04.08.2026. Sostituisce la versione 1.5 e la versione 1.4 del 03.08.2026, la versione 1.3 e la versione 1.2 del 02.08.2026, la versione 1.1, mai entrata in vigore, la versione 1.0 del 15.05.2026 e la Cookie Policy pubblicata come pagina autonoma. Tutte le versioni restano consultabili nell'archivio dei documenti legali.