Accordo sul trattamento dei dati

1. Che cos'è e quando si applica

Il presente Accordo sul trattamento dei dati ("DPA") costituisce parte integrante delle nostre Condizioni Generali di Servizio e si applica ogni volta che Lei utilizza MoverTrack per trattare dati personali riferiti ad altre persone — anzitutto i Suoi clienti.

Esiste perché la normativa in materia di protezione dei dati richiede un contratto scritto tra titolare del trattamento e responsabile del trattamento, e perché Lei deve poter vedere esattamente che cosa facciamo con i dati dei Suoi clienti.

2. Chi è chi

Lei è il titolare del trattamento. È Lei a decidere quali clienti inserire, che cosa registrare sul loro conto e chi riceve un link di tracciamento. Sono Suoi clienti, non nostri.

Noi siamo il Suo responsabile del trattamento. Conserviamo e trasferiamo tali dati per erogarLe il Servizio e per nessuna finalità nostra. Non li vendiamo, non facciamo marketing verso i Suoi clienti e non li utilizziamo per addestrare alcunché. Le informazioni che sono state anonimizzate e aggregate, in modo da non poter più identificare alcuna persona, non sono più dati personali, e possiamo utilizzarle per erogare, misurare e migliorare il Servizio.

Separatamente, siamo titolari del trattamento in proprio per i dati che riguardano Lei — il Suo account, le Sue credenziali di accesso, la Sua fatturazione. Tale trattamento è disciplinato dalla nostra Informativa sulla privacy e non dal presente DPA.

3. Che cosa trattiamo per Suo conto

Oggetto e finalità: erogazione del servizio MoverTrack — pianificazione, ordini, pagine di tracciamento per i clienti, messaggistica, gestione della squadra e, ove il Suo piano lo preveda, trasformazione delle chat WhatsApp in lavori suggeriti.

Durata: per tutto il tempo in cui il Suo account è attivo, oltre ai periodi di conservazione indicati alla sezione 10.

Categorie di interessati: i Suoi clienti, le persone che questi indicano come contatti e i Suoi collaboratori.

Categorie di dati personali:

• nomi, numeri di telefono e indirizzi email dei Suoi clienti;
• indirizzi di ciascun lavoro e qualsiasi nota da Lei aggiunta a un lavoro;
• dettagli degli ordini, prezzi e storico dei lavori;
• fotografie e file caricati da Lei o dai Suoi collaboratori in relazione a un lavoro;
• la posizione del veicolo mentre il tracciamento è attivo, nonché il percorso e l'orario di arrivo stimato che ne derivano;
• i messaggi WhatsApp inviati o ricevuti tramite il Servizio — per ciascun messaggio, chi lo ha inviato, quando, di che tipo era e il suo stato di consegna (conservato affinché i messaggi vengano inviati solo finché WhatsApp lo consente, entro la sua finestra di assistenza clienti di 24 ore), nonché il suo contenuto (testo, foto, messaggi vocali e file) nella misura in cui la modalità di lavoro che Lei sceglie lo conserva;
• nomi, numeri di telefono e incarichi assegnati dei Suoi collaboratori.

La scelta di una modalità di lavoro nell'app costituisce l'istruzione che Lei ci impartisce riguardo a che cosa conservare delle Sue chat WhatsApp. Quando ne sceglie una che conserva meno, il Suo piano non include più quella che aveva, o Lei rimuove il Suo numero dal Servizio, cancelliamo dal Servizio, dai messaggi dei Suoi clienti, ciò che il Servizio non conserva più; le chat stesse restano in WhatsApp.

Non chiediamo e non desideriamo dati appartenenti a categorie particolari — salute, convinzioni, dati biometrici e simili. La preghiamo di non inserirli nella nota di un lavoro.

4. Agiamo esclusivamente sulla base delle Sue istruzioni

Trattiamo tali dati soltanto nella misura necessaria a fornire il Servizio, secondo quanto previsto dalle Condizioni, e sulla base di ogni ulteriore istruzione documentata che Lei ci impartisca. Qualora dovessimo ritenere che un'istruzione violi la normativa sulla protezione dei dati, glielo comunicheremo anziché darvi seguito in silenzio.

Qualora la legge ci imponga di trattare o comunicare dati al di là delle Sue istruzioni, La informeremo preventivamente, salvo che ciò ci sia giuridicamente vietato.

5. Riservatezza

L'accesso è limitato a coloro che ne hanno necessità per far funzionare o supportare il Servizio, i quali sono vincolati da obblighi di riservatezza. MoverTrack è gestito da una squadra molto ristretta; gli accessi sono di conseguenza altrettanto limitati.

6. Sicurezza (Annex II — misure tecniche e organizzative)

Adottiamo misure adeguate al rischio, tra cui:

• cifratura in transito (TLS) per tutte le connessioni ai nostri server, alle nostre app e ai nostri database;
• cifratura a riposo per il database e per i backup;
• regole di accesso a livello di riga nel database, affinché un account non possa leggere i dati di un altro, e, sui nostri server, una verifica dell'account che ha effettuato l'accesso, e di ciò che può vedere, a ogni richiesta a cui rispondono;
• autenticazione su ogni richiesta che raggiunge i dati dei clienti e funzioni amministrative riservate ad account operatore nominativi;
• il numero di telefono di un cliente raggiunge le persone che lavorano per Lei solo se Lei lo consente, e una chat solo se Lei concede loro l'accesso a essa;
• hosting presso fornitori di infrastruttura affermati (si veda la sezione 7);
• revisione periodica di chi e che cosa può raggiungere i dati di produzione.

Queste sono le misure tecniche e organizzative di cui all'Annex II delle clausole contrattuali tipo richiamate dalla sezione 11. Possiamo modificarle, ma non in modo tale da ridurre in misura sostanziale il livello complessivo di sicurezza.

Nessun sistema è perfettamente sicuro e non sosteniamo il contrario.

7. Sub-responsabili del trattamento

Ci avvaliamo dei seguenti sub-responsabili del trattamento. Ciascuno di essi è vincolato, come richiesto dalla legge, da condizioni scritte di protezione dei dati, e noi restiamo responsabili nei Suoi confronti del loro operato:

• Supabase — database, autenticazione e archiviazione dei file (UE, regione di Francoforte)
• Vultr — server applicativi per il tracciamento e la messaggistica (UE, Francoforte)
• Vercel — hosting dei nostri siti web e delle pagine di tracciamento per i clienti
• Google — mappe, geocodifica, calcolo dei percorsi e delle distanze; lettura del testo di una chat o di un messaggio per compilare un lavoro su Sua richiesta; la nostra posta elettronica
• Meta Platforms — messaggistica WhatsApp Business
• Stripe — trattamento dei pagamenti (i Suoi dati di fatturazione; non quelli dei Suoi clienti)
• Resend — email transazionali e di fatturazione
• Telnyx — telefonia e identificativo del chiamante, qualora Lei utilizzi tali funzionalità
• Apple e Google — consegna delle notifiche push ai Suoi dispositivi e a quelli delle persone che lavorano per Lei
• Expo — inoltro delle notifiche push ad Apple e Google; una notifica può contenere il nome o il numero di un cliente e il testo del suo messaggio

Il presente elenco costituisce l'Annex III delle clausole contrattuali tipo richiamate dalla sezione 11. Lei autorizza in via generale tali sub-responsabili del trattamento e ci autorizza a nominarne altri alle medesime condizioni.

Le daremo un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento. Entro tale termine Lei può opporsi per motivi ragionevoli e documentati attinenti alla protezione dei dati. In tal caso cercheremo di proporre una soluzione alternativa che superi l'obiezione; se non potremo farlo a condizioni commercialmente ragionevoli, ciascuna delle parti potrà risolvere la parte di Servizio interessata e il Suo unico rimedio sarà il rimborso dei corrispettivi già versati per la residua parte non utilizzata del periodo. L'opposizione non sospende la nomina per la durata delle nostre discussioni.

8. Come La assistiamo per i diritti dei Suoi clienti

Se un Suo cliente Le chiede una copia dei propri dati, ne chiede la rettifica o ne chiede la cancellazione, spetta a Lei rispondere a tale richiesta — ma noi La assisteremo.

La maggior parte delle operazioni può eseguirla autonomamente all'interno del Servizio. Ove ciò non sia possibile, scriva a info@movertrack.com e La assisteremo entro tempi che Le consentano di rispettare i Suoi termini. Se un cliente contatta direttamente noi, non risponderemo per Suo conto: trasmetteremo la richiesta a Lei.

9. Se qualcosa va storto

Qualora veniamo a conoscenza di una violazione riguardante dati personali che trattiamo per Suo conto, La informeremo senza ingiustificato ritardo, riferendoLe quanto ci risulta: che cosa è accaduto, chi e che cosa risulta interessato per quanto possiamo accertare, quali misure stiamo adottando e che cosa Le suggeriamo di fare.

Le forniremo inoltre ragionevole assistenza per qualsiasi valutazione o notifica all'autorità di controllo che Lei sia tenuto a effettuare, nonché per una valutazione d'impatto sulla protezione dei dati, ove ne abbia necessità.

10. Cancellazione e restituzione

Può esportare i Suoi dati in qualsiasi momento mentre il Suo account è attivo. Eliminare Lei stesso l'account dall'app significa scegliere la cancellazione: tutto viene cancellato subito, quindi esporti prima ciò che Le serve. Se l'account cessa in qualsiasi altro modo, può ancora esportare per 30 giorni dopo la sua cessazione.

Al termine del Servizio, è Lei a scegliere se restituirLe i dati o cancellarli. Ce lo comunichi entro tali 30 giorni. In mancanza di Sue indicazioni, procediamo alla cancellazione.

Trascorso tale termine cancelliamo o rendiamo anonimi i dati personali che deteniamo per Suo conto, salvo quanto la legge ci imponga di conservare — ad esempio le registrazioni delle transazioni conservate a fini fiscali. I backup si rinnovano secondo il proprio ciclo e vengono cancellati entro 90 giorni.

11. Trasferimenti internazionali e clausole contrattuali tipo

Il nostro database e i nostri server applicativi destinati ai clienti europei si trovano nell'UE (Francoforte). Alcuni sub-responsabili del trattamento indicati alla sezione 7 sono stabiliti negli Stati Uniti e MoverTrack, LLC è essa stessa una società statunitense, pertanto alcuni dati personali vi sono trasferiti.

Per tali trasferimenti le parti stipulano le clausole contrattuali tipo approvate dalla Commissione europea con la Implementing Decision (EU) 2021/914, che sono richiamate nel presente DPA mediante rinvio e completate come segue:

• Si applica il Module Two (da titolare del trattamento a responsabile del trattamento). Lei è l'esportatore dei dati; MoverTrack, LLC è l'importatore dei dati.
• Si applica la Clause 7 (clausola di adesione).
• Clause 9 — opzione 2, autorizzazione generale scritta, con il preavviso di 30 giorni previsto dalla sezione 7.
• Clause 11 — la clausola facoltativa relativa all'organismo indipendente di risoluzione delle controversie non si applica.
• Clause 17 — le Clausole sono regolate dalla legge dell'Irlanda.
• Clause 18 — le controversie sono devolute ai giudici dell'Irlanda.
• Annex I.A (parti) — Lei, come identificato dal Suo account; MoverTrack, LLC, 1111B S Governors Ave STE 42337, Dover, DE 19904, United States, info@movertrack.com.
• Annex I.B (descrizione del trasferimento) — gli interessati, le categorie di dati, le finalità, la frequenza (continuativa) e la durata indicati alla sezione 3 del presente DPA.
• Annex I.C (autorità di controllo competente) — l'autorità dello Stato membro dello SEE in cui Lei è stabilito, ovvero in cui è stabilito il Suo rappresentante.
• Annex II (misure di sicurezza) — la sezione 6 del presente DPA.
• Annex III (sub-responsabili del trattamento) — la sezione 7 del presente DPA.

Per i trasferimenti di dati personali soggetti alla normativa sulla protezione dei dati del Regno Unito, le parti stipulano altresì lo UK International Data Transfer Addendum emanato ai sensi della section 119A of the Data Protection Act 2018, assumendo quanto precede quali Approved SCCs, con le Tables 1–3 completate mediante rinvio all'Annex I che precede e la Table 4 impostata su nessuna delle due parti. Per i trasferimenti soggetti al diritto svizzero, i riferimenti al GDPR si intendono riferiti allo Swiss FADP e l'autorità competente è il FDPIC.

Qualora un sub-responsabile del trattamento sia certificato ai sensi dell'EU–US Data Privacy Framework, potremo avvalerci in alternativa di tale certificazione per i trasferimenti a suo favore.

In caso di contrasto tra le Clausole e il presente DPA, prevalgono le Clausole.

12. Audit e informazioni

Le forniremo le informazioni di cui ragionevolmente necessita per dimostrare che stiamo rispettando gli obblighi qui previsti e contribuiremo alle attività di audit imposte dalla normativa sulla protezione dei dati.

Poiché siamo una squadra molto ristretta, ciò si traduce in risposte scritte e documentazione anziché in ispezioni in loco. Laddove un audit sia effettivamente necessario, esso può svolgersi una volta per ciascun periodo di dodici mesi (con maggiore frequenza soltanto se lo richiede un'autorità di controllo o a seguito di una violazione accertata riguardante i Suoi dati), con preavviso scritto di 30 giorni, durante l'orario lavorativo, senza arrecare pregiudizio al Servizio, da parte di un soggetto che non sia un nostro concorrente, nel rispetto della riservatezza e a Sue spese.

13. Responsabilità tra le parti

Lei garantisce di disporre di una base giuridica per ogni singolo dato personale che inserisce nel Servizio, di aver fornito ai Suoi clienti le informazioni richieste dalla normativa a essi applicabile, che le istruzioni che ci impartisce sono lecite e che non ci trasmetterà dati appartenenti a categorie particolari.

Lei ci terrà indenni da pretese, sanzioni e costi ragionevoli derivanti dalla violazione di tale garanzia, dalle Sue istruzioni o da una pretesa di un Suo cliente che si riferisca ad atti od omissioni Suoi anziché nostri.

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni ed esclusioni di cui alla sezione 18 delle Condizioni Generali di Servizio, e tali limitazioni si applicano a tutte le pretese fondate sul presente DPA cumulativamente con tutte le pretese fondate sulle Condizioni. Nulla di quanto qui previsto limita i diritti dell'interessato nei confronti di ciascuna delle parti ai sensi delle clausole contrattuali tipo o della normativa applicabile.

Qualora un'autorità di controllo o un giudice ci ritenga solidalmente responsabili per un fatto causato dalle Sue istruzioni o da un Suo inadempimento, Lei ci rimborserà la quota a Lei imputabile.

14. Prevalenza e contatti

In caso di contrasto tra il presente DPA e le Condizioni Generali di Servizio in merito al trattamento dei dati personali, prevale il presente DPA.

MoverTrack, LLC
1111B S Governors Ave STE 42337, Dover, DE 19904, United States
Email: info@movertrack.com