Accordo sul trattamento dei dati personali (DPA)

Nomina a Responsabile del trattamento ai sensi dell'art. 28 GDPR

1. Parti e ruoli privacy

Il presente Accordo disciplina il trattamento dei dati personali effettuato tramite la piattaforma VeyCar nell'ambito del rapporto tra:

Cliente, soggetto aziendale che utilizza la Piattaforma per finalità inerenti alla propria attività di noleggio veicoli, in qualità di Titolare del trattamento;

e

VeyCar, fornitore della piattaforma software in modalità SaaS, in qualità di Responsabile del trattamento limitatamente ai dati personali trattati per conto del Cliente all'interno della Piattaforma.

Il Cliente determina finalità e mezzi essenziali del trattamento dei dati personali dei propri clienti finali, conducenti, garanti, dipendenti, collaboratori o altri soggetti i cui dati siano inseriti nella Piattaforma.

VeyCar tratta tali dati esclusivamente per erogare il Servizio, nell'interesse del Cliente e secondo le istruzioni documentate del Cliente, salvo che sia diversamente richiesto dal diritto dell'Unione europea o dello Stato membro applicabile.

Resta inteso che VeyCar opera quale Titolare autonomo del trattamento per i dati personali relativi a:

• gestione dell'Account;
• utenti della Piattaforma;
• fatturazione;
• pagamenti;
• assistenza;
• sicurezza;
• log tecnici;
• comunicazioni commerciali e amministrative;
• tutela dei propri diritti.

Tali trattamenti autonomi sono disciplinati dalla Privacy Policy di VeyCar.

2. Oggetto dell'Accordo

Il presente Accordo regola i trattamenti di dati personali effettuati da VeyCar per conto del Cliente nell'ambito dell'utilizzo della Piattaforma.

L'Accordo costituisce parte integrante delle Condizioni Generali di Servizio e si applica per tutta la durata del rapporto contrattuale tra VeyCar e il Cliente.

In caso di contrasto tra il presente Accordo e le Condizioni Generali, prevale il presente Accordo per i profili relativi al trattamento dei dati personali effettuato da VeyCar quale Responsabile del trattamento.

3. Oggetto, natura, finalità e durata del trattamento

Il trattamento ha ad oggetto i dati personali inseriti, generati o gestiti dal Cliente all'interno della Piattaforma VeyCar.

La natura del trattamento comprende, a titolo esemplificativo:

• raccolta;
• registrazione;
• organizzazione;
• strutturazione;
• conservazione;
• consultazione;
• modifica;
• estrazione;
• cancellazione;
• esportazione;
• comunicazione tecnica ove necessaria all'erogazione del Servizio.

La finalità del trattamento consiste nell'erogazione della Piattaforma SaaS e delle relative funzionalità gestionali a favore del Cliente.

La durata del trattamento coincide con la durata del rapporto contrattuale, salvo ulteriore conservazione necessaria per obblighi di legge, tutela dei diritti, sicurezza o tempi tecnici di backup e cancellazione.

4. Categorie di interessati

Le categorie di interessati possono includere, in base all'uso effettuato dal Cliente:

• clienti finali del noleggiatore;
• conducenti;
• garanti;
• referenti aziendali;
• dipendenti, collaboratori o incaricati del Cliente;
• soggetti collegati a contratti, prenotazioni, veicoli, pratiche operative o comunicazioni gestite tramite la Piattaforma.

Il Cliente è responsabile di verificare che le categorie di interessati trattate siano coerenti con le proprie finalità e con la normativa applicabile.

5. Tipologie di dati personali trattati

Le tipologie di dati personali trattati possono includere, in base alle funzionalità utilizzate dal Cliente:

• dati identificativi;
• dati di contatto;
• dati anagrafici;
• dati relativi a contratti o pratiche di noleggio;
• dati relativi a veicoli, targhe, assegnazioni, scadenze, eventi o attività operative;
• dati fiscali o amministrativi, se inseriti dal Cliente;
• dati tecnici e log collegati all'utilizzo della Piattaforma.

Quando la relativa funzionalità è attiva, le tipologie di dati personali trattati possono includere anche immagini, scansioni o file PDF di patente e documento di identità dei clienti finali e dei conducenti, insieme ai metadati tecnici di upload, verifica, accesso, download e cancellazione. Tale trattamento è limitato all'erogazione della funzionalità documentale e alla gestione di eventuali rinotifiche, comunicazioni, contestazioni o riscontri relativi a verbali, sanzioni, pedaggi, parcheggi, sinistri o richieste di autorità competenti collegate al noleggio.

Il Cliente si impegna a non inserire dati personali eccedenti, non pertinenti, non necessari o non supportati dalle funzionalità della Piattaforma, e a non caricare carte di credito, carte di pagamento o documenti non pertinenti.

Il Cliente si impegna inoltre a non inserire categorie particolari di dati personali ai sensi dell'art. 9 GDPR o dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR, salvo che ciò sia strettamente necessario, lecito, documentato e previamente concordato con VeyCar tramite separata configurazione contrattuale e tecnica.

6. Obblighi del Cliente quale Titolare del trattamento

Il Cliente, quale Titolare del trattamento, è esclusivamente responsabile:

• della liceità, correttezza e trasparenza dei trattamenti effettuati tramite la Piattaforma;
• dell'individuazione delle idonee basi giuridiche;
• della predisposizione e consegna delle informative agli interessati;
• della gestione di eventuali consensi, ove necessari;
• dell'esattezza e aggiornamento dei dati inseriti;
• del rispetto dei principi di minimizzazione, limitazione della conservazione e integrità;
• dell'evasione delle richieste di esercizio dei diritti degli interessati;
• della gestione del proprio registro dei trattamenti, ove applicabile;
• della valutazione della necessità di eventuali DPIA;
• della conformità della propria attività di noleggio alla normativa applicabile.

Il Cliente garantisce che i dati personali inseriti nella Piattaforma siano stati raccolti e trattati lecitamente.

Il Cliente si impegna a impartire a VeyCar istruzioni lecite, documentate e coerenti con il presente Accordo.

Qualora VeyCar ritenga che un'istruzione del Cliente violi il GDPR o altra normativa applicabile, ne informerà il Cliente, nei limiti consentiti dalla legge.

7. Obblighi di VeyCar quale Responsabile del trattamento

VeyCar si impegna a:

1. trattare i dati personali esclusivamente su istruzione documentata del Cliente, anche con riferimento ai trasferimenti di dati verso Paesi terzi o organizzazioni internazionali, salvo obbligo di legge;
2. garantire che le persone autorizzate al trattamento si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza;
3. adottare misure tecniche e organizzative adeguate al rischio, ai sensi dell'art. 32 GDPR;
4. rispettare le condizioni previste per il ricorso a sub-responsabili;
5. assistere il Cliente, per quanto ragionevolmente possibile e tenendo conto della natura del trattamento, nel dare seguito alle richieste degli interessati;
6. assistere il Cliente nell'adempimento degli obblighi relativi a sicurezza, violazioni dei dati personali, valutazioni d'impatto e consultazioni preventive, nei limiti delle informazioni a disposizione di VeyCar;
7. cancellare o restituire i dati personali al termine del rapporto, secondo quanto previsto dal presente Accordo e dalle Condizioni Generali;
8. mettere a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi previsti dal presente Accordo;
9. consentire attività di audit nei limiti e con le modalità previste dal presente Accordo.

8. Misure tecniche e organizzative

VeyCar adotta misure tecniche e organizzative adeguate rispetto al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento.

Le misure possono includere, a titolo esemplificativo:

• autenticazione tramite credenziali personali;
• separazione logica degli ambienti e dei dati dei clienti;
• limitazione degli accessi secondo criteri di necessità;
• sistemi di logging e tracciamento tecnico;
• backup ove applicabile;
• protezione delle comunicazioni mediante protocolli sicuri;
• aggiornamento e manutenzione dei sistemi;
• misure di sicurezza applicativa;
• gestione degli incidenti;
• istruzioni interne per le persone autorizzate;
• ricorso a fornitori tecnici selezionati;
• conservazione dei documenti caricati su storage S3 privato configurato in Regione AWS Europe (Milan) eu-south-1, Italia;
• verifica tecnica dei file caricati, limiti di formato e dimensione, impronta hash, accessi tramite permessi applicativi o link temporanei e audit di upload, visualizzazione, download e cancellazione.

Il Cliente prende atto che nessun sistema informatico può garantire sicurezza assoluta e che la sicurezza complessiva dipende anche dal corretto utilizzo della Piattaforma da parte del Cliente e dei suoi utenti.

9. Sub-responsabili

Il Cliente autorizza VeyCar, in via generale, a ricorrere a sub-responsabili del trattamento per attività tecniche, infrastrutturali e operative necessarie all'erogazione del Servizio.

I sub-responsabili possono includere, a titolo esemplificativo:

• fornitori di hosting, infrastruttura cloud e storage S3 privato, inclusa l'infrastruttura AWS configurata in Regione Europe (Milan) eu-south-1, Italia;
• fornitori di servizi email;
• fornitori di sistemi di pagamento;
• fornitori di servizi di sicurezza;
• fornitori di assistenza tecnica;
• fornitori di sistemi di logging, monitoraggio o backup.

VeyCar si impegna a imporre ai sub-responsabili obblighi in materia di protezione dei dati personali sostanzialmente equivalenti a quelli previsti dal presente Accordo.

L'elenco aggiornato dei sub-responsabili è reso disponibile al Cliente su richiesta o tramite apposita sezione della Piattaforma o del sito VeyCar.

VeyCar informerà il Cliente di eventuali modifiche rilevanti relative all'aggiunta o sostituzione di sub-responsabili, concedendo al Cliente la possibilità di opporsi per motivi legittimi connessi alla protezione dei dati personali.

Qualora l'opposizione renda impossibile o eccessivamente onerosa l'erogazione del Servizio, VeyCar potrà cessare il rapporto secondo quanto previsto dalle Condizioni Generali.

10. Trasferimenti extra-UE

VeyCar si impegna a non trasferire dati personali trattati per conto del Cliente verso Paesi terzi o organizzazioni internazionali in assenza di una base giuridica idonea ai sensi del GDPR.

Qualora un trasferimento extra-UE sia necessario per l'erogazione del Servizio, VeyCar adotterà adeguate garanzie, quali decisioni di adeguatezza, clausole contrattuali standard o altri strumenti previsti dalla normativa applicabile.

11. Violazioni dei dati personali

In caso di violazione dei dati personali che riguardi dati trattati per conto del Cliente, VeyCar informerà il Cliente senza ingiustificato ritardo dopo esserne venuta a conoscenza.

La comunicazione conterrà, ove disponibili:

• la natura della violazione;
• le categorie e il numero approssimativo di interessati coinvolti;
• le categorie e il numero approssimativo di registrazioni coinvolte;
• le probabili conseguenze;
• le misure adottate o proposte per porre rimedio alla violazione o mitigarne gli effetti.

Il Cliente resta responsabile della valutazione degli obblighi di notifica all'autorità di controllo e di comunicazione agli interessati, salvo diverso obbligo direttamente applicabile a VeyCar.

12. Richieste degli interessati

Qualora VeyCar riceva direttamente una richiesta da parte di un interessato relativa a dati trattati per conto del Cliente, VeyCar, ove possibile, inoltrerà la richiesta al Cliente o inviterà l'interessato a rivolgersi al Cliente.

VeyCar non darà seguito autonomamente alla richiesta, salvo istruzione del Cliente o obbligo di legge.

VeyCar assisterà il Cliente, nei limiti tecnici e organizzativi ragionevoli, nell'evasione delle richieste di esercizio dei diritti degli interessati.

13. Restituzione, esportazione e cancellazione dei dati

Alla cessazione del rapporto, il Cliente potrà richiedere l'esportazione dei dati inseriti nella Piattaforma secondo le modalità tecnicamente disponibili.

Decorso un termine ragionevole dalla cessazione del rapporto, VeyCar potrà cancellare o anonimizzare i dati personali trattati per conto del Cliente, salvo:

• obblighi di legge;
• necessità di tutela dei diritti;
• conservazione di log tecnici;
• tempi tecnici di backup;
• esigenze di sicurezza;
• diversa istruzione lecita del Cliente.

VeyCar non è tenuta a conservare indefinitamente i dati del Cliente dopo la cessazione del rapporto.

14. Audit e verifiche

VeyCar mette a disposizione del Cliente le informazioni ragionevolmente necessarie per dimostrare il rispetto degli obblighi previsti dal presente Accordo.

Eventuali audit richiesti dal Cliente dovranno:

• essere richiesti con ragionevole preavviso;
• avere ambito proporzionato;
• non compromettere la sicurezza, la riservatezza o la continuità del Servizio;
• non comportare accesso a dati, sistemi o informazioni riferibili ad altri clienti;
• essere svolti durante il normale orario lavorativo;
• essere effettuati, ove possibile, mediante documentazione, questionari, report o evidenze tecniche.

I costi di audit straordinari, se significativi, potranno essere posti a carico del Cliente previa comunicazione.

15. Responsabilità e manleva privacy

Il Cliente è responsabile delle finalità e della liceità dei trattamenti effettuati tramite la Piattaforma.

VeyCar non risponde di sanzioni, reclami, danni o contestazioni derivanti da:

• dati raccolti illecitamente dal Cliente;
• informative mancanti o incomplete predisposte dal Cliente;
• basi giuridiche non idonee;
• istruzioni illecite o non conformi;
• uso della Piattaforma per finalità diverse da quelle previste;
• inserimento di dati eccedenti, non necessari o non supportati;
• mancata gestione dei diritti degli interessati da parte del Cliente;
• violazioni privacy imputabili al Cliente o ai suoi utenti.

Il Cliente si impegna a manlevare e tenere indenne VeyCar, nei limiti consentiti dalla legge, da qualsiasi pretesa, sanzione, danno, costo o contestazione derivante da violazioni privacy imputabili al Cliente, ai suoi utenti, dipendenti, collaboratori o incaricati.

Resta ferma la responsabilità di VeyCar per gli obblighi direttamente applicabili al Responsabile del trattamento ai sensi del GDPR, nei limiti previsti dalla normativa applicabile e dalle Condizioni Generali.

16. Durata

Il presente Accordo decorre dall'accettazione da parte del Cliente e resta efficace per tutta la durata del rapporto contrattuale.

Le obbligazioni relative a riservatezza, sicurezza, cancellazione, restituzione, audit e responsabilità sopravvivono alla cessazione del rapporto nei limiti necessari e consentiti dalla legge.

17. Modifiche

VeyCar potrà aggiornare il presente Accordo per esigenze normative, tecniche, organizzative o di sicurezza.

Le modifiche rilevanti saranno comunicate al Cliente con mezzi idonei.

La prosecuzione dell'utilizzo della Piattaforma dopo l'entrata in vigore delle modifiche comporta accettazione delle stesse, salvo il diritto del Cliente di recedere nei casi previsti dalle Condizioni Generali.

18. Approvazione

Con l'accettazione del presente Accordo, il Cliente conferma:

• di agire quale Titolare del trattamento rispetto ai dati personali inseriti nella Piattaforma;
• di nominare VeyCar quale Responsabile del trattamento ai sensi dell'art. 28 GDPR;
• di autorizzare VeyCar al ricorso a sub-responsabili secondo quanto previsto dal presente Accordo;
• di impartire a VeyCar le istruzioni documentate necessarie all'erogazione del Servizio;
• di assumersi la responsabilità della liceità, correttezza e trasparenza dei trattamenti effettuati tramite la Piattaforma.