Accordo sul trattamento dei dati personali

Versione 2026-10-08

Il presente accordo sul trattamento dei dati personali (l'«Accordo») è concluso tra il Cliente indicato nell'allegato I, in qualità di titolare del trattamento, e Sebastian Drożdż, operante con il nome commerciale Special Services, in qualità di responsabile del trattamento («noi»), che fornisce il servizio TransferCRM. Esso costituisce parte integrante dei Termini di servizio di TransferCRM.

1. Le clausole

1.1 Le parti convengono le clausole contrattuali tipo riportate nell'allegato della decisione di esecuzione (UE) 2021/915 della Commissione, riprodotte di seguito senza modifiche (le «Clausole»). Gli allegati da I a IV riportati di seguito le completano.

1.2 Ove le Clausole prevedono una scelta, le parti hanno scelto: nella clausola 1, lettera a), l'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 (opzione 1); la clausola 5 (clausola di adesione successiva) si applica; nella clausola 7.7, lettera a), l'autorizzazione scritta generale (opzione 2), con comunicazione delle modifiche almeno 30 giorni prima.

1.3 In caso di contrasto tra i Termini di servizio o qualsiasi altro accordo tra le parti e le Clausole, prevalgono le Clausole (clausola 4).

2. Modifiche dei sub-responsabili del trattamento

2.1 Informiamo il Cliente di ogni aggiunta o sostituzione prevista di un sub-responsabile del trattamento almeno 30 giorni prima che abbia effetto, tramite e-mail al proprietario e agli amministratori dell'account e tramite un avviso nell'account. Non ricorriamo al nuovo sub-responsabile prima di tale data.

2.2 Il Cliente può opporsi alla modifica, nell'account o tramite e-mail a privacy@transfercrm.com. Se l'opposizione si fonda su ragionevoli motivi attinenti alla protezione dei dati e le parti non la risolvono prima che la modifica abbia effetto, il Cliente può recedere dal contratto concluso ai sensi dei Termini di servizio senza penali, con effetto al più tardi da tale data. I corrispettivi pagati in anticipo per il periodo successivo al recesso sono rimborsati pro rata.

3. Restituzione e cancellazione dei dati (clausola 10, lettera d))

3.1 Il Cliente può esportare i propri dati in qualsiasi momento tramite le esportazioni disponibili nell'account. Su richiesta inviata a privacy@transfercrm.com, forniamo un'esportazione completa dei dati del Cliente entro 30 giorni.

3.2 Quando il Cliente elimina il proprio account, i suoi dati personali sono cancellati dal servizio 30 giorni dopo la richiesta. Le loro copie restano nei nostri backup finché questi non vengono sovrascritti, al più tardi 12 mesi dopo la cancellazione (allegato III); fino ad allora le Clausole continuano ad applicarsi a esse. Le copie di backup sono conservate esclusivamente per ripristinare il servizio dopo un guasto e non sono utilizzate per nessun altro scopo. Se un backup viene ripristinato, le cancellazioni effettuate dopo la sua creazione vengono eseguite di nuovo prima che il servizio ripristinato sia utilizzato. Confermiamo la cancellazione tramite e-mail al proprietario che ha presentato la richiesta, indicando la data della cancellazione e la data entro cui scadono le copie di backup.

4. Adesione di altre entità (clausola 5)

Un'altra entità giuridica può aderire alle Clausole ai sensi della clausola 5 mediante una richiesta scritta e datata inviata a privacy@transfercrm.com e accettata per iscritto da entrambe le parti. L'entità aderente fornisce i propri dati per l'allegato I. Registriamo l'adesione e la confermiamo tramite e-mail.

5. Durata

Il presente Accordo si applica finché esiste l'account del Cliente e, successivamente, fino alla cancellazione dei dati personali del Cliente ai sensi della clausola 10, lettera d), e della sezione 3.

6. Legge applicabile e foro competente

Il presente Accordo è disciplinato dalla legge della Repubblica di Polonia e dell'Unione europea. Qualsiasi controversia è risolta dal tribunale competente di Cracovia, Polonia, come nei Termini di servizio. Restano impregiudicati i diritti degli interessati e i poteri delle autorità di controllo.

7. Conclusione in forma elettronica

Il presente Accordo è concluso in forma elettronica (articolo 28, paragrafo 9, del regolamento (UE) 2016/679) quando il proprietario dell'account del Cliente lo accetta nell'account. Conserviamo traccia della versione e della lingua accettate, della persona che l'ha accettato e del momento. Nell'account è possibile scaricare un PDF del testo accettato con una conferma di conclusione. È vincolante la versione linguistica accettata.

Clausole contrattuali tipo

SEZIONE I

Clausola 1 — Scopo e ambito di applicazione

a) Scopo delle presenti clausole contrattuali tipo (di seguito «clausole») è garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati).

b) I titolari del trattamento e i responsabili del trattamento di cui all'allegato I hanno accettato le presenti clausole al fine di garantire il rispetto dell'articolo 28, paragrafi 3 e 4, del regolamento (UE) 2016/679 e/o dell'articolo 29, paragrafi 3 e 4, del regolamento (UE) 2018/1725.

c) Le presenti clausole si applicano al trattamento dei dati personali specificato all'allegato II.

d) Gli allegati da I a IV costituiscono parte integrante delle clausole.

e) Le presenti clausole lasciano impregiudicati gli obblighi cui è soggetto il titolare del trattamento a norma del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

f) Le presenti clausole non garantiscono, di per sé, il rispetto degli obblighi connessi ai trasferimenti internazionali conformemente al capo V del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725.

Clausola 2 — Invariabilità delle clausole

a) Le parti si impegnano a non modificare le clausole se non per aggiungere o aggiornare informazioni negli allegati.

b) Ciò non impedisce alle parti di includere le clausole contrattuali tipo stabilite nelle presenti clausole in un contratto più ampio o di aggiungere altre clausole o garanzie supplementari, purché queste non contraddicano, direttamente o indirettamente, le presenti clausole o ledano i diritti o le libertà fondamentali degli interessati.

Clausola 3 — Interpretazione

a) Quando le presenti clausole utilizzano i termini definiti, rispettivamente, nel regolamento (UE) 2016/679 o nel regolamento (UE) 2018/1725, tali termini hanno lo stesso significato di cui al regolamento interessato.

b) Le presenti clausole vanno lette e interpretate alla luce delle disposizioni del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725, rispettivamente.

c) Le presenti clausole non devono essere interpretate in un senso che non sia conforme ai diritti e agli obblighi previsti dal regolamento (UE) 2016/679 / dal regolamento (UE) 2018/1725, o che pregiudichi i diritti o le libertà fondamentali degli interessati.

Clausola 4 — Gerarchia

In caso di contraddizione tra le presenti clausole e le disposizioni di accordi correlati, vigenti tra le parti al momento dell'accettazione delle presenti clausole, o conclusi successivamente, prevalgono le presenti clausole.

Clausola 5 — Facoltativa — Clausola di adesione successiva

a) Qualunque entità che non sia parte delle presenti clausole può, con l'accordo di tutte le parti, aderire alle presenti clausole in qualunque momento, in qualità di titolare del trattamento o di responsabile del trattamento, compilando gli allegati e firmando l'allegato I.

b) Una volta compilati e firmati gli allegati di cui alla lettera a), l'entità aderente è considerata parte delle presenti clausole e ha i diritti e gli obblighi di un titolare del trattamento o di un responsabile del trattamento, conformemente alla sua designazione nell'allegato I.

c) L'entità aderente non ha diritti od obblighi derivanti a norma delle presenti clausole per il periodo precedente all'adesione.

SEZIONE II — OBBLIGHI DELLE PARTI

Clausola 6 — Descrizione del trattamento

I dettagli dei trattamenti, in particolare le categorie di dati personali e le finalità del trattamento per le quali i dati personali sono trattati per conto del titolare del trattamento, sono specificati nell'allegato II.

Clausola 7 — Obblighi delle parti

7.1. Istruzioni

a) Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell'Unione o nazionale cui è soggetto il responsabile del trattamento. In tal caso, il responsabile del trattamento informa il titolare del trattamento circa tale obbligo giuridico prima del trattamento, a meno che il diritto lo vieti per rilevanti motivi di interesse pubblico. Il titolare del trattamento può anche impartire istruzioni successive per tutta la durata del trattamento dei dati personali. Tali istruzioni sono sempre documentate.

b) Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, le istruzioni del titolare del trattamento violino il regolamento (UE) 2016/679/ il regolamento (UE) 2018/1725 o le disposizioni applicabili, nazionali o dell'Unione, relative alla protezione dei dati.

7.2. Limitazione delle finalità

Il responsabile del trattamento tratta i dati personali soltanto per le finalità specifiche del trattamento di cui all'allegato II, salvo ulteriori istruzioni del titolare del trattamento.

7.3. Durata del trattamento dei dati personali

Il responsabile del trattamento tratta i dati personali soltanto per la durata specificata nell'allegato II.

7.4. Sicurezza del trattamento

a) Il responsabile del trattamento mette in atto almeno le misure tecniche e organizzative specificate nell'allegato III per garantire la sicurezza dei dati personali. Ciò include la protezione da ogni violazione di sicurezza che comporti accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati (violazione dei dati personali). Nel valutare l'adeguato livello di sicurezza, le parti tengono debitamente conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, come anche dei rischi per gli interessati.

b) Il responsabile del trattamento concede l'accesso ai dati personali oggetto di trattamento ai membri del suo personale soltanto nella misura strettamente necessaria per l'attuazione, la gestione e il controllo del contratto. Il responsabile del trattamento garantisce che le persone autorizzate al trattamento dei dati personali ricevuti si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza.

7.5. Dati sensibili

Se il trattamento riguarda dati personali che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche o l'appartenenza sindacale, dati genetici o dati biometrici intesi a identificare in modo univoco una persona fisica, dati relativi alla salute o alla vita sessuale o all'orientamento sessuale della persona, o dati relativi a condanne penali e a reati («dati sensibili»), il responsabile del trattamento applica limitazioni specifiche e/o garanzie supplementari.

7.6. Documentazione e rispetto

a) Le parti devono essere in grado di dimostrare il rispetto delle presenti clausole.

b) Il responsabile del trattamento risponde prontamente e adeguatamente alle richieste di informazioni del titolare del trattamento relative al trattamento dei dati conformemente alle presenti clausole.

c) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie a dimostrare il rispetto degli obblighi stabiliti nelle presenti clausole e che derivano direttamente dal regolamento (UE) 2016/679 e/o dal regolamento (UE) 2018/1725. Su richiesta del titolare del trattamento, il responsabile del trattamento consente e contribuisce alle attività di revisione delle attività di trattamento di cui alle presenti clausole, a intervalli ragionevoli o se vi sono indicazioni di inosservanza. Nel decidere in merito a un riesame o a un'attività di revisione, il titolare del trattamento può tenere conto delle pertinenti certificazioni in possesso del responsabile del trattamento.

d) Il titolare del trattamento può scegliere di condurre l'attività di revisione autonomamente o incaricare un revisore indipendente. Le attività di revisione possono comprendere anche ispezioni nei locali o nelle strutture fisiche del responsabile del trattamento e, se del caso, sono effettuate con un preavviso ragionevole.

e) Su richiesta, le parti mettono a disposizione della o delle autorità di controllo competenti le informazioni di cui alla presente clausola, compresi i risultati di eventuali attività di revisione.

7.7. Ricorso a sub-responsabili del trattamento

a) Il responsabile del trattamento ha l'autorizzazione generale del titolare del trattamento per ricorrere a sub-responsabili del trattamento sulla base di un elenco concordato. Il responsabile del trattamento informa specificamente per iscritto il titolare del trattamento di eventuali modifiche previste di tale elenco riguardanti l'aggiunta o la sostituzione di sub-responsabili del trattamento con un anticipo di almeno 30 giorni, dando così al titolare del trattamento tempo sufficiente per poter opporsi a tali modifiche prima del ricorso al o ai sub-responsabili del trattamento in questione. Il responsabile del trattamento fornisce al titolare del trattamento le informazioni necessarie per consentirgli di esercitare il diritto di opposizione.

b) Qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento per l'esecuzione di specifiche attività di trattamento (per conto del responsabile del trattamento), stipula un contratto che impone al sub-responsabile del trattamento, nella sostanza, gli stessi obblighi in materia di protezione dei dati imposti al responsabile del trattamento conformemente alle presenti clausole. Il responsabile del trattamento si assicura che il sub-responsabile del trattamento rispetti gli obblighi cui il responsabile del trattamento è soggetto a norma delle presenti clausole e del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

c) Su richiesta del titolare del trattamento, il responsabile del trattamento gli fornisce copia del contratto stipulato con il sub-responsabile del trattamento e di ogni successiva modifica. Nella misura necessaria a proteggere segreti aziendali o altre informazioni riservate, compresi i dati personali, il responsabile del trattamento può espungere informazioni dal contratto prima di trasmetterne una copia.

d) Il responsabile del trattamento rimane pienamente responsabile nei confronti del titolare del trattamento dell'adempimento degli obblighi del sub-responsabile del trattamento derivanti dal contratto che questi ha stipulato con il responsabile del trattamento. Il responsabile del trattamento notifica al titolare del trattamento qualunque inadempimento, da parte del sub-responsabile del trattamento, degli obblighi contrattuali.

e) Il responsabile del trattamento concorda con il sub-responsabile del trattamento una clausola del terzo beneficiario secondo la quale, qualora il responsabile del trattamento sia scomparso di fatto, abbia giuridicamente cessato di esistere o sia divenuto insolvente, il titolare del trattamento ha diritto di risolvere il contratto con il sub-responsabile del trattamento e di imporre a quest'ultimo di cancellare o restituire i dati personali.

7.8. Trasferimenti internazionali

a) Qualunque trasferimento di dati verso un paese terzo o un'organizzazione internazionale da parte del responsabile del trattamento è effettuato soltanto su istruzione documentata del titolare del trattamento o per adempiere a un requisito specifico a norma del diritto dell'Unione o degli Stati membri cui è soggetto il responsabile del trattamento, e nel rispetto del capo V del regolamento (UE) 2016/679 o del regolamento (UE) 2018/1725.

b) Il titolare del trattamento conviene che, qualora il responsabile del trattamento ricorra a un sub-responsabile del trattamento conformemente alla clausola 7.7 per l'esecuzione di specifiche attività di trattamento (per conto del titolare del trattamento) e tali attività di trattamento comportino il trasferimento di dati personali ai sensi del capo V del regolamento (UE) 2016/679, il responsabile del trattamento e il sub-responsabile del trattamento possono garantire il rispetto del capo V del regolamento (UE) 2016/679 utilizzando le clausole contrattuali tipo adottate dalla Commissione conformemente all'articolo 46, paragrafo 2, del regolamento (UE) 2016/679, purché le condizioni per l'uso di tali clausole contrattuali tipo siano soddisfatte.

Clausola 8 — Assistenza al titolare del trattamento

a) Il responsabile del trattamento notifica prontamente al titolare del trattamento qualunque richiesta ricevuta dall'interessato. Non risponde egli stesso alla richiesta, a meno che sia stato autorizzato in tal senso dal titolare del trattamento.

b) Il responsabile del trattamento assiste il titolare del trattamento nell'adempimento degli obblighi di rispondere alle richieste degli interessati per l'esercizio dei loro diritti, tenuto conto della natura del trattamento. Nell'adempiere agli obblighi di cui alle lettere a) e b), il responsabile del trattamento si attiene alle istruzioni del titolare del trattamento.

c) Oltre all'obbligo di assistere il titolare del trattamento in conformità della clausola 8, lettera b), il responsabile del trattamento assiste il titolare del trattamento anche nel garantire il rispetto dei seguenti obblighi, tenuto conto della natura del trattamento dei dati e delle informazioni a disposizione del responsabile del trattamento:

1) l'obbligo di effettuare una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali («valutazione d'impatto sulla protezione dei dati») qualora un tipo di trattamento possa presentare un rischio elevato per i diritti e le libertà delle persone fisiche;
2) l'obbligo, prima di procedere al trattamento, di consultare la o le autorità di controllo competenti qualora la valutazione d'impatto sulla protezione dei dati indichi che il trattamento presenterebbe un rischio elevato in assenza di misure adottate dal titolare del trattamento per attenuare il rischio;
3) l'obbligo di garantire che i dati personali siano esatti e aggiornati, informando senza indugio il titolare del trattamento qualora il responsabile del trattamento venga a conoscenza del fatto che i dati personali che sta trattando sono inesatti o obsoleti;
4) gli obblighi di cui all'articolo 32 regolamento (UE) 2016/679.

d) Le parti stabiliscono nell'allegato III le misure tecniche e organizzative adeguate con cui il responsabile del trattamento è tenuto ad assistere il titolare del trattamento nell'applicazione della presente clausola, nonché l'ambito di applicazione e la portata dell'assistenza richiesta.

Clausola 9 — Notifica di una violazione dei dati personali

In caso di violazione dei dati personali, il responsabile del trattamento coopera con il titolare del trattamento e lo assiste nell'adempimento degli obblighi che incombono a quest'ultimo a norma degli articoli 33 e 34 del regolamento (UE) 2016/679 o degli articoli 34 e 35 del regolamento (UE) 2018/1725, ove applicabile, tenuto conto della natura del trattamento e delle informazioni a disposizione del responsabile del trattamento.

9.1. Violazione riguardante dati trattati dal titolare del trattamento

In caso di una violazione dei dati personali trattati dal titolare del trattamento, il responsabile del trattamento assiste il titolare del trattamento:

a) nel notificare la violazione dei dati personali alla o alle autorità di controllo competenti, senza ingiustificato ritardo dopo che il titolare del trattamento ne è venuto a conoscenza, se del caso/(a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche);

b) nell'ottenere le seguenti informazioni che, in conformità dell'articolo 33, paragrafo 3, del regolamento (UE) 2016/679, devono essere indicate nella notifica del titolare del trattamento e includere almeno:

1) la natura dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione nonché le categorie e il numero approssimativo di registrazioni dei dati personali in questione;
2) le probabili conseguenze della violazione dei dati personali;
3) le misure adottate o di cui si propone l'adozione da parte del titolare del trattamento per porre rimedio alla violazione dei dati personali, se del caso anche per attenuarne i possibili effetti negativi.

Qualora, e nella misura in cui, non sia possibile fornire tutte le informazioni contemporaneamente, la notifica iniziale contiene le informazioni disponibili in quel momento, e le altre informazioni sono fornite successivamente, non appena disponibili, senza ingiustificato ritardo.

c) nell'adempiere, in conformità dell'articolo 34 del regolamento (UE) 2016/679, all'obbligo di comunicare senza ingiustificato ritardo la violazione dei dati personali all'interessato, qualora la violazione dei dati personali sia suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche.

9.2. Violazione riguardante dati trattati dal responsabile del trattamento

In caso di una violazione dei dati personali trattati dal responsabile del trattamento, quest'ultimo ne dà notifica al titolare del trattamento senza ingiustificato ritardo dopo esserne venuto a conoscenza. La notifica contiene almeno:

a) una descrizione della natura della violazione (compresi, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni dei dati in questione);

b) i recapiti di un punto di contatto presso il quale possono essere ottenute maggiori informazioni sulla violazione dei dati personali;

c) le probabili conseguenze della violazione dei dati personali e le misure adottate o di cui si propone l'adozione per porre rimedio alla violazione, anche per attenuarne i possibili effetti negativi.

Le parti stabiliscono nell'allegato III tutti gli altri elementi che il responsabile del trattamento è tenuto a fornire quando assiste il titolare del trattamento nell'adempimento degli obblighi che incombono al titolare del trattamento a norma degli articoli 33 e 34 del regolamento (UE) 2016/679.

SEZIONE III — DISPOSIZIONI FINALI

Clausola 10 — Inosservanza delle clausole e risoluzione

a) Fatte salve le disposizioni del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725, qualora il responsabile del trattamento violi gli obblighi che gli incombono a norma delle presenti clausole, il titolare del trattamento può dare istruzione al responsabile del trattamento di sospendere il trattamento dei dati personali fino a quando quest'ultimo non rispetti le presenti clausole o non sia risolto il contratto. Il responsabile del trattamento informa prontamente il titolare del trattamento qualora, per qualunque motivo, non sia in grado di rispettare le presenti clausole.

b) Il titolare del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali conformemente alle presenti clausole qualora:

1) il trattamento dei dati personali da parte del responsabile del trattamento sia stato sospeso dal titolare del trattamento in conformità della lettera a) e il rispetto delle presenti clausole non sia ripristinato entro un termine ragionevole e in ogni caso entro un mese dalla sospensione;
2) il responsabile del trattamento violi in modo sostanziale o persistente le presenti clausole o gli obblighi che gli incombono a norma del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725;
3) il responsabile del trattamento non rispetti una decisione vincolante di un organo giurisdizionale competente o della o delle autorità di controllo competenti per quanto riguarda i suoi obblighi in conformità delle presenti clausole o del regolamento (UE) 2016/679 e/o del regolamento (UE) 2018/1725.

c) Il responsabile del trattamento ha diritto di risolvere il contratto per quanto riguarda il trattamento dei dati personali a norma delle presenti clausole qualora, dopo aver informato il titolare del trattamento che le sue istruzioni violano i requisiti giuridici applicabili in conformità della clausola 7.1, lettera b), il titolare del trattamento insista sul rispetto delle istruzioni.

d) Dopo la risoluzione del contratto il responsabile del trattamento, a scelta del titolare del trattamento, cancella tutti i dati personali trattati per conto del titolare del trattamento e certifica a quest'ultimo di averlo fatto, oppure restituisce al titolare del trattamento tutti i dati personali e cancella le copie esistenti, a meno che il diritto dell'Unione o dello Stato membro non richieda la conservazione dei dati personali. Finché i dati non sono cancellati o restituiti, il responsabile del trattamento continua ad assicurare il rispetto delle presenti clausole.

Allegato I — Elenco delle parti

Titolare del trattamento

Nome: ______________
Indirizzo: ______________
Partita IVA: ______________

Persona di contatto: ______________, proprietario dell'account, ______________
E-mail per la fatturazione: ______________
Ruolo: titolare del trattamento
Firma e data di adesione: mediante accettazione elettronica nell'account; la persona e la data sono indicate nella conferma di conclusione.

Responsabile del trattamento

Nome: Sebastian Drożdż, operante con il nome commerciale Special Services
Indirizzo: Skrzynka 7a, 32-410 Dobczyce, PL
NIP (codice fiscale polacco): 6793148834
Contatto: privacy@transfercrm.com (non è stato designato un responsabile della protezione dei dati)
Ruolo: responsabile del trattamento
Firma e data di adesione: mediante l'accettazione elettronica del Cliente nell'account, nella stessa data.

Allegato II — Descrizione del trattamento

Categorie di interessati i cui dati personali sono trattati

I passeggeri del Cliente e le persone che prenotano corse per loro.
Le persone di contatto dei clienti del Cliente (aziende, agenzie, alberghi).
Gli autisti e il personale del Cliente che utilizzano il servizio.
Le persone di contatto dei partner del Cliente (altre imprese di trasporto).

Categorie di dati personali trattati

Dati identificativi e di contatto: nome, numero di telefono, indirizzo e-mail, azienda.
Dati di prenotazione e di itinerario: indirizzi e orari di prelievo e di arrivo, numeri di volo, numero di passeggeri e di bagagli, note.
La posizione di un autista in servizio, trasmessa dall'app autista.
Stato del pagamento e importi delle corse e delle fatture. Nessun numero di carta: le carte restano presso il fornitore di pagamenti del Cliente.
Messaggi inviati tramite il servizio: e-mail, SMS, WhatsApp e chat.
Firme apposte sui preventivi.
Dati degli account utente: nome, indirizzo e-mail, ruolo, registrazioni degli accessi.

Dati sensibili trattati

Il servizio non è concepito per categorie particolari di dati né per dati relativi a condanne penali e reati. Può contenere le esigenze di accessibilità che un passeggero indica per una corsa (ad esempio una sedia a rotelle) e i documenti relativi ai propri autisti che il Cliente sceglie di caricare, che possono comprendere un certificato medico o psicologico o un certificato del casellario giudiziale. È il Cliente a decidere se registrarli. Oltre alle misure dell'allegato III, a essi si applicano le seguenti restrizioni (clausola 7.5):

I documenti caricati sono conservati al di fuori della parte pubblica del server e non hanno alcun link pubblico. Un file archiviato nella scheda dell'autista può essere aperto solo da un utente che ha effettuato l'accesso all'account del Cliente con il ruolo di proprietario, amministratore o dispatcher; solo un proprietario o un amministratore può eliminarlo. Gli utenti con il ruolo di contabile o osservatore possono vedere che esiste un documento di un autista e quando scade, ma non il file.
Autisti, partner, passeggeri, i portali per clienti e agenti e le chiavi API non hanno accesso a questi documenti.
Un file allegato a una corsa può essere aperto da ogni utente che può aprire quella corsa. I documenti di questo tipo vanno quindi archiviati nella scheda dell'autista e non in una corsa.
Le esigenze di accessibilità sono mostrate solo insieme alla corsa a cui si riferiscono: agli utenti dell'account del Cliente e all'autista o al partner a cui il Cliente assegna quella corsa. Un autista vede solo le corse assegnate a lui o a lei.
L'eliminazione di un documento elimina il relativo file; tutti i documenti sono cancellati insieme all'account (sezione 3).

Natura del trattamento

Hosting e conservazione; organizzazione e visualizzazione nell'account; trasmissione (e-mail, SMS, notifiche push, link per passeggeri e partner); assegnazione delle corse ad autisti e partner; calcolo di prezzi e documenti; cancellazione.

Finalità per le quali i dati personali sono trattati per conto del titolare del trattamento

Fornire al Cliente il servizio TransferCRM ai sensi dei Termini di servizio: prenotazioni, dispatch, flotta, clienti, fatturazione e comunicazione con passeggeri, autisti e partner.

Durata del trattamento

Finché esiste l'account del Cliente e fino alla cancellazione dei suoi dati personali: dal servizio 30 giorni dopo una richiesta di eliminazione dell'account, e dalle copie di backup quando queste vengono sovrascritte, al più tardi 12 mesi dopo tale cancellazione (sezione 3.2). In tale periodo, i dati di posizione degli autisti sono conservati per 60 giorni e i registri delle comunicazioni per 365 giorni; l'allegato III indica gli altri periodi di conservazione. Tutti gli altri dati sono conservati finché il Cliente non li elimina o l'account non viene cancellato; i dati eliminati dal Cliente restano nelle copie di backup finché queste non vengono sovrascritte, al più tardi 12 mesi dopo.

Trattamento da parte di sub-responsabili del trattamento

L'oggetto e la natura del trattamento sono indicati per ciascun sub-responsabile nell'allegato IV. La durata è la stessa indicata sopra.

Allegato III — Misure tecniche e organizzative, comprese misure tecniche e organizzative per garantire la sicurezza dei dati

Hosting e ubicazione

Il servizio e il suo database funzionano su server ospitati da Hostinger a Francoforte sul Meno, Germania (UE).
Il nostro server di posta (Exim) e il nostro server in tempo reale (soketi) funzionano sullo stesso server, quindi le e-mail che inviamo e gli aggiornamenti in tempo reale non passano attraverso fornitori terzi. Fanno eccezione i servizi che il Cliente collega autonomamente (allegato IV).

Cifratura

Tutte le connessioni al servizio sono cifrate durante la trasmissione (TLS).
Le impostazioni dell'azienda e le credenziali memorizzate (ad esempio le chiavi dei servizi collegati) sono cifrate a riposo.
Le password degli utenti sono conservate solo come hash.

Separazione dei clienti

Ogni record riporta l'identificativo dell'azienda a cui appartiene, e questo isolamento a livello di riga è applicato nel codice.

Controllo degli accessi

Sei ruoli: proprietario, amministratore, dispatcher, contabile, autista, osservatore.
L'autenticazione a due fattori è disponibile per ogni utente. Un'azienda può richiederla al proprio personale d'ufficio (proprietari, amministratori, dispatcher, contabili, osservatori); gli autisti non rientrano in tale regola.
Gli accessi possono essere revocati. La modifica di un secondo fattore chiude gli accessi precedenti.

Disponibilità e ripristino

Una copia del database ogni 15 minuti, conservata sul server fino a 48 ore.
Ogni notte una copia del database, dei file archiviati e delle caselle di posta, conservata sul server per 14 giorni; una copia alla settimana è conservata per 8 settimane e una al mese per 12 mesi.
Le copie sul server possono essere lette solo dall'account amministratore del gestore del servizio.
Ogni ora le copie sono trasferite tramite una connessione cifrata su un disco cifrato custodito dal gestore del servizio in Polonia, dove nessuna è conservata per più di 12 mesi.
Ogni settimana la copia notturna più recente è ripristinata in un database separato, confrontata con quello del servizio in funzione ed eliminata.
Se un backup viene ripristinato, le cancellazioni di account effettuate dopo la sua creazione vengono eseguite di nuovo prima che il servizio ripristinato sia utilizzato.

Registrazione degli eventi

I log di accesso sono conservati per 14 giorni.

Minimizzazione dei dati e conservazione limitata

I numeri delle carte non ci raggiungono mai: le carte restano presso il fornitore di pagamenti del Cliente.
Nessuna copia di backup è conservata per più di 12 mesi.
I dati di posizione degli autisti sono cancellati dopo 60 giorni, i registri delle comunicazioni dopo 365 giorni.
Le attività in background non riuscite sono cancellate dopo 30 giorni, i file di esportazione temporanei dopo 24 ore.
Un account eliminato viene cancellato 30 giorni dopo la richiesta e la cancellazione viene confermata (sezione 3).

Portabilità

Il Cliente può esportare i propri dati nell'account in qualsiasi momento. Su richiesta, un'esportazione completa viene fornita entro 30 giorni (sezione 3).

Assistenza al titolare del trattamento

Richieste degli interessati: l'account fornisce gli strumenti per darvi seguito, ossia esportazione, rettifica e cancellazione di passeggeri, clienti e autisti. Una richiesta che ci perviene è inoltrata al Cliente entro 5 giorni lavorativi; non vi rispondiamo direttamente, salvo istruzione del Cliente.
Valutazione d'impatto sulla protezione dei dati e consultazione preventiva: su richiesta, forniamo le informazioni in nostro possesso entro 30 giorni.
Violazioni dei dati personali: informiamo il Cliente senza ingiustificato ritardo e al più tardi 48 ore dopo esserne venuti a conoscenza, tramite e-mail al proprietario dell'account e tramite un avviso nell'account, con le informazioni richieste dalla clausola 9.2.
Non è stato designato un responsabile della protezione dei dati, poiché non è obbligatorio. Contatto: privacy@transfercrm.com.

Allegato IV — Elenco dei sub-responsabili del trattamento

Il Cliente concede un'autorizzazione scritta generale per i sub-responsabili del trattamento elencati di seguito (clausola 7.7, lettera a), opzione 2). Le modifiche sono comunicate secondo la sezione 2. L'elenco in vigore è pubblicato anche su transfercrm.com/legal.

Sub-responsabili del trattamento da noi incaricati

Nome	Trattamento	Ubicazione	Garanzia per il trasferimento
Hostinger International Ltd. (61 Lordou Vironos str., 6023 Larnaca, Cyprus, gdpr@hostinger.com)	Hosting dei server su cui funzionano il servizio e il suo database.	Frankfurt am Main, DE (EU)	Trattamento all’interno dell’UE/SEE
Google LLC — Firebase Cloud Messaging (1600 Amphitheatre Parkway, Mountain View, CA 94043, USA, https://firebase.google.com/support/privacy/dpo)	Notifiche push all'app autista: ora, luogo e numero di una corsa, e avviso di un nuovo messaggio.	USA e altre sedi di Google	Quadro UE-USA per la protezione dei dati e clausole contrattuali tipo

Destinatari che agiscono come titolari autonomi del trattamento

Decidono autonomamente, secondo le proprie condizioni, come trattare i dati ricevuti; non sono nostri sub-responsabili del trattamento.

Nome	Trattamento	Ubicazione	Garanzia per il trasferimento
Google Ireland Limited — Google Maps Platform (Gordon House, Barrow Street, Dublin 4, Ireland, legal-notices@google.com)	Indirizzi e coordinate delle corse, per mappe, ricerca di indirizzi (Places), geocodifica e percorsi. Google li tratta come titolare autonomo del trattamento secondo le proprie condizioni.	IE (EU)	Destinatario nell'UE/SEE (nessun trasferimento da parte nostra)
European Commission — VIES (Rue de la Loi 200, 1049 Brussels, Belgium)	Verifica delle partite IVA nei registri IVA nazionali. Per un imprenditore individuale la partita IVA può costituire un dato personale. VIES è gestito dalla Commissione per conto delle amministrazioni fiscali degli Stati membri, che ne sono i titolari del trattamento.	BE (EU)	Destinatario nell'UE/SEE (nessun trasferimento da parte nostra)

Servizi che non ricevono dati personali

FlightAware LLC (11 Greenway Plaza, Suite 2900, Houston, TX 77046, USA): Stato del volo per le corse con numero di volo. Riceve solo il numero di volo (ad esempio LH1234), senza nome, data o altri dettagli della corsa.

Servizi che collega autonomamente

Trattati su Sua istruzione, in base al Suo contratto con il fornitore: noi trasmettiamo i dati e il fornitore non è un nostro sub-responsabile del trattamento.

Il Suo server di posta (SMTP) o account Google (Gmail) per l'invio delle e-mail
Account Stripe e PayPal per i pagamenti dei Suoi clienti
Fornitori di SMS (ad esempio Twilio, SMSAPI)
WhatsApp Business (Meta)
Contabilità, fatturazione e fatturazione elettronica (ad esempio Fakturownia, wFirma, QuickBooks, Xero, InvoiceXpress, KSeF, Peppol, SdI)
Calendari Google Calendar e Microsoft Outlook
Il Suo centralino telefonico, per le notifiche delle chiamate
Il Suo account di dati di volo (FlightAware, AeroDataBox)
La Sua chiave di IA (Anthropic)
Webhook e integrazioni API da Lei configurati