Accordo sul trattamento dei dati personali (DPA)
Registro Imprese di Verona, C.F. e P.IVA 04760520231
E-mail: info@spediamopro.com
1. Premesse e ambito
Il presente accordo (l’“Accordo”) costituisce parte integrante dei Termini e Condizioni del servizio SpediamoPro (i “Termini e Condizioni”) e disciplina il trattamento dei dati personali che l’Utente (il “Cliente”) inserisce o trasmette alla piattaforma per l’esecuzione delle spedizioni. In relazione a tali dati il Cliente agisce in qualità di titolare del trattamento e Mifast S.r.l. (la “Società”) in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”).
L’Accordo si intende accettato dal Cliente con l’accettazione dei Termini e Condizioni e ha la stessa durata del rapporto contrattuale. I termini non definiti hanno il significato attribuito dal GDPR o dai Termini e Condizioni. In caso di contrasto in materia di protezione dei dati personali, prevale il presente Accordo.
Il presente Accordo non si applica ai trattamenti per i quali la Società agisce come titolare autonomo, descritti nella Privacy Policy, tra cui i dati del Cliente e dei suoi referenti e i trattamenti necessari all’adempimento di obblighi di legge o alla tutela dei diritti della Società.
2. Oggetto e dettagli del trattamento
| Elemento | Descrizione |
|---|---|
| Oggetto e finalità | Esecuzione delle spedizioni richieste dal Cliente: conclusione dei contratti di trasporto con i vettori, generazione delle lettere di vettura, comunicazione dei dati ai vettori, tracciamento, gestione di giacenze, reclami e contrassegni, assistenza |
| Natura del trattamento | Raccolta, registrazione, conservazione, consultazione, comunicazione ai vettori, cancellazione |
| Categorie di interessati | Destinatari delle spedizioni; mittenti diversi dal Cliente; altri soggetti indicati dal Cliente (es. referenti per il ritiro) |
| Categorie di dati | Nome e cognome, ragione sociale, indirizzo, recapito telefonico, indirizzo e-mail, riferimenti dell’ordine, contenuto e valore dichiarati della spedizione, importi dei contrassegni |
| Categorie particolari di dati (art. 9 GDPR) | Non previste. Il Cliente si impegna a non inserire tali dati, né dati relativi a condanne penali, nei campi della piattaforma |
| Durata | Per la durata del rapporto contrattuale, salvo quanto previsto all’art. 11 |
3. Istruzioni del Cliente
La Società tratta i dati personali soltanto su istruzione documentata del Cliente. Costituiscono istruzioni documentate i Termini e Condizioni, il presente Accordo e le operazioni effettuate dal Cliente tramite la piattaforma, le API e le integrazioni. Ulteriori istruzioni devono essere comunicate per iscritto e sono soggette all’accettazione della Società, ove comportino attività non previste dal Servizio.
La Società informa immediatamente il Cliente qualora, a suo parere, un’istruzione violi il GDPR o altre disposizioni in materia di protezione dei dati, e in tal caso può sospenderne l’esecuzione. Resta salvo il trattamento richiesto da obblighi di legge cui la Società è soggetta, nel qual caso la Società ne informa il Cliente, salvo che la legge lo vieti.
4. Obblighi del Cliente
Il Cliente garantisce di disporre di un’idonea base giuridica per il trattamento dei dati e per la loro comunicazione alla Società e ai vettori, di aver fornito agli interessati le informazioni previste dagli artt. 13 e 14 GDPR, anche in merito alla comunicazione dei loro dati a servizi di spedizione e vettori, e che i dati inseriti sono esatti e pertinenti. Il Cliente è responsabile della liceità delle istruzioni impartite.
5. Riservatezza e persone autorizzate
La Società garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che abbiano ricevuto le istruzioni necessarie. L’accesso ai dati è limitato al personale che ne ha necessità per l’erogazione del Servizio e l’assistenza al Cliente.
6. Sicurezza del trattamento
La Società adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, ai sensi dell’art. 32 GDPR, tra cui:
- cifratura dei dati in transito mediante protocolli sicuri (HTTPS/TLS);
- accesso alla piattaforma tramite credenziali personali e chiavi API, con sistemi di controllo degli accessi;
- accesso ai sistemi riservato al personale autorizzato, secondo il principio del minimo privilegio;
- infrastrutture ospitate presso fornitori con data center nell’Unione Europea;
- procedure di backup e di ripristino dei dati;
- registrazione delle operazioni rilevanti (log);
- procedure per la gestione delle violazioni dei dati personali.
Le misure possono essere aggiornate nel tempo in funzione dell’evoluzione tecnologica, purché non ne risulti ridotto il livello complessivo di sicurezza.
7. Sub-responsabili
Il Cliente concede alla Società un’autorizzazione generale a ricorrere ad altri responsabili del trattamento (“Sub-responsabili”). Alla data di aggiornamento del presente Accordo, i Sub-responsabili sono:
| Sub-responsabile | Attività | Luogo del trattamento |
|---|---|---|
| Isango S.r.l. | Sviluppo, manutenzione e assistenza tecnica della piattaforma | Italia |
| OVH | Hosting dell’applicazione | Francia, Germania (UE) |
| Aruba S.p.A. | Hosting del sito e posta elettronica | Italia |
| Zendesk | Gestione delle richieste di assistenza | UE / Stati Uniti |
La Società comunica al Cliente, tramite e-mail o avviso nell’area riservata, l’aggiunta o la sostituzione di Sub-responsabili con un preavviso di almeno 15 (quindici) giorni. Entro tale termine il Cliente può opporsi per motivi ragionevoli legati alla protezione dei dati; in mancanza di una soluzione condivisa, il Cliente può recedere dal contratto senza oneri, con rimborso integrale del credito residuo presente nel Portafoglio.
La Società impone ai Sub-responsabili, mediante contratto, obblighi in materia di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo e rimane responsabile nei confronti del Cliente del loro adempimento.
I vettori ai quali la Società comunica i dati per l’esecuzione del trasporto, su istruzione del Cliente, non sono Sub-responsabili: essi trattano i dati in qualità di titolari autonomi, secondo le proprie informative e condizioni generali.
8. Trasferimenti al di fuori dell’Unione Europea
La Società non trasferisce i dati personali al di fuori dello Spazio Economico Europeo, salvo: a) verso Sub-responsabili che operano sulla base della decisione di adeguatezza relativa all’EU-US Data Privacy Framework o di altra decisione di adeguatezza, ovvero sulla base delle Clausole Contrattuali Standard approvate dalla Commissione Europea; b) la comunicazione dei dati ai vettori e alle autorità doganali del Paese di destinazione, necessaria all’esecuzione delle spedizioni internazionali richieste dal Cliente.
9. Assistenza al Cliente
Tenuto conto della natura del trattamento, la Società assiste il Cliente, con misure tecniche e organizzative adeguate e nella misura in cui ciò sia possibile: a) nel dare seguito alle richieste di esercizio dei diritti degli interessati, inoltrando senza ingiustificato ritardo al Cliente le richieste ricevute direttamente; b) nel garantire il rispetto degli obblighi di cui agli artt. 32-36 GDPR, inclusa l’eventuale valutazione d’impatto, fornendo le informazioni in suo possesso. La Società può addebitare i costi ragionevoli per attività di assistenza che eccedano quelle ordinariamente connesse al Servizio.
10. Violazione dei dati personali
La Società informa il Cliente senza ingiustificato ritardo, e ove possibile entro 48 (quarantotto) ore, dopo essere venuta a conoscenza di una violazione dei dati personali trattati per conto del Cliente, fornendo le informazioni disponibili utili a consentire al Cliente di adempiere agli obblighi di notifica e comunicazione di cui agli artt. 33 e 34 GDPR. La Società adotta senza ritardo le misure ragionevoli per contenere la violazione e attenuarne gli effetti. La comunicazione di una violazione non costituisce riconoscimento di responsabilità.
11. Cancellazione e restituzione dei dati
Durante il rapporto il Cliente può consultare ed esportare i dati delle proprie spedizioni tramite la piattaforma. Alla cessazione del rapporto la Società, su richiesta del Cliente da inviare entro 30 (trenta) giorni, gli rende disponibili i dati in formato di uso comune e, decorso tale termine, li cancella entro i successivi 90 (novanta) giorni.
Resta salva la conservazione dei dati necessari all’adempimento di obblighi di legge, inclusi quelli contabili e fiscali, e all’accertamento, esercizio o difesa di diritti della Società, per i tempi indicati nella Privacy Policy; per tali finalità la Società agisce in qualità di titolare autonomo e tratta i dati esclusivamente per le stesse.
12. Documentazione e verifiche
La Società mette a disposizione del Cliente, su richiesta scritta, le informazioni necessarie a dimostrare il rispetto degli obblighi di cui all’art. 28 GDPR. Il Cliente può richiedere verifiche, anche tramite un revisore indipendente vincolato alla riservatezza, non più di una volta all’anno, salvo in caso di violazione dei dati personali o di richiesta di un’autorità di controllo, con un preavviso scritto di almeno 30 (trenta) giorni, durante il normale orario lavorativo e con modalità che non pregiudichino l’operatività della Società e la riservatezza dei dati di altri clienti. I costi della verifica sono a carico del Cliente.
13. Responsabilità
Ciascuna parte risponde dei danni derivanti dalla violazione degli obblighi a suo carico ai sensi dell’art. 82 GDPR. Nei rapporti tra le parti si applicano, nei limiti consentiti dalla legge, le limitazioni di responsabilità previste dai Termini e Condizioni.
14. Modifiche
La Società può modificare il presente Accordo con le modalità previste dall’art. 26 dei Termini e Condizioni, nonché in qualsiasi momento ove necessario per adeguarlo a disposizioni di legge, a provvedimenti delle autorità di controllo o a clausole tipo adottate dalla Commissione Europea.
