Accordo sul trattamento dei dati

1. Parti e conclusione

Titolare del trattamento: il Cliente che ha sottoscritto un Abbonamento FrameCRM (il “Titolare”).

Responsabile del trattamento: Pavlo Okhmak, imprenditore individuale (persona fisica esercente attività d’impresa) iscritto nel registro ceco delle imprese artigiane e commerciali (živnostenský rejstřík), numero di identificazione (IČO) 29485941, con sede (luogo di esercizio dell’attività) in Bezručova 4201, 430 03 Chomutov, Repubblica Ceca, non soggetto passivo IVA (il “Responsabile”).

Il presente Accordo sul trattamento dei dati (il “DPA”) costituisce parte delle Condizioni generali. Il Titolare lo accetta confermando il proprio consenso al momento della registrazione a FrameCRM; non è richiesta alcuna firma. Il DPA soddisfa il requisito del contratto di cui all’art. 28(3) del Regolamento (UE) 2016/679 (GDPR).

Fa fede la versione ceca del presente DPA. Il presente testo italiano è una traduzione fornita a titolo puramente informativo; in caso di discordanza prevale la versione ceca. In materia di protezione dei dati personali, il DPA prevale sulle Condizioni generali.

2. Oggetto, durata, natura e finalità

• Oggetto: trattamento dei dati personali che il Titolare o i suoi utenti inseriscono in FrameCRM.
• Durata: per la durata dell’Abbonamento e successivamente fino alla cancellazione dei dati ai sensi dell’articolo 10.
• Natura del trattamento: raccolta (comprese le richieste e le prenotazioni provenienti dal sito web o dal modulo di prenotazione online del Titolare, se utilizzati), conservazione, organizzazione, visualizzazione, ricerca, modifica, esportazione, predisposizione di promemoria e messaggi che gli utenti del Titolare inviano essi stessi ai clienti (ad es. tramite un link WhatsApp), notifiche agli utenti del Titolare (tramite Telegram, se attivato dal Titolare), emissione di documenti quali fatture, backup e cancellazione.
• Finalità: fornitura del servizio FrameCRM — gestione dei clienti, dei veicoli, degli ordini, del calendario, dei promemoria, delle recensioni, delle fatture, del magazzino, delle retribuzioni e delle statistiche del Titolare.

3. Categorie di interessati e di dati personali

Interessati: i clienti e i potenziali clienti del Titolare, le relative persone di contatto, i dipendenti e gli altri utenti del Titolare.

Categorie di dati:

• dati identificativi e di contatto (nome, telefono, e-mail, indirizzo);
• dati del veicolo (marca, modello, targa, VIN, chilometraggio);
• storico degli ordini, appuntamenti, prezzi e registrazioni dei pagamenti, note;
• dati di fatturazione (intestazione, indirizzo, numero di identificazione / partita IVA);
• fotografie (principalmente di veicoli), che possono contenere anche altri dati personali;
• comunicazioni con i clienti e recensioni;
• dati degli utenti del Titolare (nome, e-mail, telefono, ruolo, registri di accesso, registro delle attività) e, se il Titolare utilizza la gestione delle retribuzioni, le relative regole retributive, i compensi e i pagamenti.

Non è previsto il trattamento di categorie particolari di dati (art. 9 GDPR) né di dati relativi a condanne penali; il Titolare non inserisce tali dati in FrameCRM.

4. Obblighi del Titolare

Il Titolare è responsabile di disporre di una base giuridica per il trattamento, di informare correttamente gli interessati, dell’esattezza dei dati inseriti e della conformità alla legge delle proprie istruzioni al Responsabile. Il Titolare protegge le credenziali di accesso dei propri utenti.

5. Obblighi del Responsabile

Il Responsabile:

• tratta i dati personali soltanto su istruzione documentata del Titolare — si considerano tali istruzioni le Condizioni generali, il presente DPA e le impostazioni e azioni del Titolare nell’applicazione —, anche in relazione ai trasferimenti verso paesi terzi; informa immediatamente il Titolare qualora ritenga che un’istruzione sia illecita;
• garantisce che le persone autorizzate al trattamento dei dati si siano impegnate alla riservatezza;
• adotta misure tecniche e organizzative ai sensi dell’art. 32 GDPR (articolo 7);
• rispetta le condizioni per il ricorso a sub-responsabili del trattamento (articolo 6);
• assiste il Titolare nel dare seguito alle richieste degli interessati — in particolare mediante le funzionalità dell’applicazione per ricercare, rettificare, esportare e cancellare i dati;
• assiste il Titolare nell’adempimento degli obblighi di cui agli artt. da 32 a 36 GDPR, tenendo conto della natura del trattamento e delle informazioni a sua disposizione;
• cancella o restituisce i dati dopo la cessazione del servizio (articolo 10);
• mette a disposizione del Titolare le informazioni necessarie per dimostrare il rispetto degli obblighi e consente lo svolgimento di audit (articolo 11);
• non utilizza i dati del Titolare per finalità proprie.

6. Sub-responsabili del trattamento

Il Titolare concede un’autorizzazione generale al ricorso a sub-responsabili del trattamento. Alla data di entrata in vigore del presente DPA, essi sono:

I pagamenti dell’Abbonamento sono elaborati da Stripe; Stripe non tratta tuttavia dati personali dei clienti del Titolare.

I messaggi ai clienti tramite WhatsApp sono inviati dagli utenti del Titolare dalla propria app WhatsApp (link click-to-chat); WhatsApp (Meta) non è pertanto un sub-responsabile del Responsabile, e l’utilizzo di WhatsApp da parte del Titolare è disciplinato dal suo rapporto con Meta. Quando un utente decodifica un VIN, solo il VIN (senza alcun altro dato) viene inviato alla banca dati pubblica e gratuita NHTSA vPIC (U.S. Department of Transportation) per individuare marca e modello; gli indirizzi degli studi possono essere cercati in OpenStreetMap (Nominatim).

Il Responsabile informa il Titolare via e-mail con almeno 14 giorni di anticipo di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile. Il Titolare può opporsi per motivi ragionevoli attinenti alla protezione dei dati; se le parti non trovano una soluzione, il Titolare può disdire l’Abbonamento con effetto dalla data della modifica. Il Responsabile impone ai propri sub-responsabili gli stessi obblighi in materia di protezione dei dati e resta responsabile del loro adempimento.

I trasferimenti verso paesi terzi avvengono solo in presenza delle garanzie di cui al capo V del GDPR (decisioni di adeguatezza, clausole contrattuali standard).

7. Misure tecniche e organizzative

• cifratura in transito (HTTPS/TLS) e cifratura dei dati conservati da parte del fornitore del database;
• accesso con password o link di accesso monouso (validi per un periodo limitato), sessioni sicure, ruoli e autorizzazioni degli utenti all’interno dell’account;
• separazione logica dei dati di ciascun cliente;
• accesso del Responsabile ai dati di produzione solo nella misura necessaria (assistenza, risoluzione dei problemi), protetto da autenticazione forte;
• backup regolari presso il fornitore del database con possibilità di ripristino;
• aggiornamento continuo del software e delle dipendenze, gestione dei segreti al di fuori del codice sorgente;
• registrazione delle operazioni e degli eventi di sicurezza;
• minimizzazione dei dati — nessun dato personale dei clienti viene inviato agli strumenti di analisi;
• una procedura di risposta agli incidenti di sicurezza.

8. Violazioni dei dati personali

Il Responsabile notifica al Titolare una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore dal momento in cui ne è venuto a conoscenza. La notifica contiene le informazioni di cui all’art. 33(3) GDPR a disposizione del Responsabile e viene integrata man mano che si rendono disponibili ulteriori informazioni. Il Responsabile adotta misure ragionevoli per attenuarne le conseguenze.

9. Richieste degli interessati

Se il Responsabile riceve una richiesta di un interessato relativa ai dati del Titolare, la inoltra al Titolare senza ingiustificato ritardo e non vi risponde direttamente, salvo autorizzazione del Titolare.

10. Cancellazione e restituzione dei dati

Durante l’Abbonamento il Titolare può esportare e cancellare i dati in qualsiasi momento. Dopo la cessazione dell’Abbonamento, il Responsabile conserva i dati per 90 giorni, durante i quali il Titolare può richiederli in un formato leggibile da dispositivo automatico. Successivamente il Responsabile cancella definitivamente i dati; le copie nei backup scadono con la rotazione dei backup al più tardi entro ulteriori 30 giorni. Ciò non si applica qualora la conservazione sia prescritta dalla legge.

11. Informazioni e audit

Su richiesta, il Responsabile fornisce al Titolare le informazioni necessarie per dimostrare il rispetto dell’art. 28 GDPR, di norma sotto forma di risposte scritte e documentazione. Il Titolare, o un revisore da esso incaricato e vincolato alla riservatezza, può effettuare un audit o un’ispezione in loco con un preavviso di almeno 30 giorni, non più di una volta all’anno (salvo in caso di indagine su una violazione dei dati personali o su richiesta di un’autorità di controllo), a spese del Titolare.

12. Responsabilità e disposizioni finali

La responsabilità delle parti è disciplinata dall’art. 82 GDPR e, per il resto, dalle Condizioni generali. Il presente DPA resta in vigore finché il Responsabile tratta dati del Titolare. Esso è disciplinato dalla legge della Repubblica Ceca.

Contatto per la protezione dei dati: info@frame-webs.com.