Accordo sul trattamento dei dati

Il presente Accordo sul trattamento dei dati (l'Accordo) costituisce parte integrante dei Termini di servizio (i Termini) stipulati tra Mycarro (Mycarro, il responsabile del trattamento) e il Cliente che ha accettato i Termini (il Cliente, il titolare del trattamento). Si applica ogniqualvolta Mycarro tratti dati personali per conto del Cliente nella fornitura del Servizio. Soddisfa i requisiti dell'articolo 28 del Regolamento generale sulla protezione dei dati (UE) 2016/679 (GDPR) e, ove applicabile, della Legge federale svizzera sulla protezione dei dati (LPD). Le espressioni definite nei Termini o nel GDPR hanno il medesimo significato nel presente Accordo.

1. Ruoli e ambito di applicazione

1.1. Per i dati personali che il Cliente e i suoi utenti inseriscono nel Servizio in merito ai suoi clienti, contatti commerciali (lead), acquirenti, venditori, garanti, dipendenti e visitatori del sito web (i Dati Personali del Cliente), il Cliente è il titolare del trattamento e Mycarro è il responsabile del trattamento. L'Allegato 1 descrive il trattamento.

1.2. Mycarro è titolare autonomo del trattamento, al di fuori del presente Accordo, per:

• i dati dell'account degli utenti del Cliente;
• i dati di fatturazione;
• i dati di utilizzo, di sicurezza e di audit;
• i dati de-identificati e aggregati che ricava ai sensi dei Termini;

il tutto come descritto nella sua Informativa sulla privacy.

1.3. Il Cliente è responsabile della liceità del trattamento che dispone. Ciò comprende il disporre di una valida base giuridica e il fornire le informative richieste, la raccolta di tutti i consensi necessari, l'informazione degli interessati in merito al sito web della propria concessionaria e la garanzia che i Dati Personali del Cliente e le sue istruzioni siano conformi alla legge. Il Cliente non inserirà nel Servizio categorie particolari di dati (come i dati relativi alla salute) né dati relativi a condanne penali, salvo ove una funzionalità sia concepita a tale scopo e la legge lo consenta.

2. Istruzioni

2.1. Mycarro tratta i Dati Personali del Cliente soltanto su istruzione documentata del Cliente, anche in caso di trasferimenti, salvo che la legge disponga diversamente. In tal caso Mycarro ne informa preventivamente il Cliente, salvo che la legge lo vieti.

2.2. Le istruzioni complete del Cliente sono le seguenti: i Termini, il presente Accordo e l'utilizzo e la configurazione del Servizio da parte del Cliente, comprese le azioni dei suoi utenti e di qualsiasi assistente di intelligenza artificiale o integrazione da esso collegati. Qualsiasi ulteriore istruzione deve essere impartita per iscritto, accettata da Mycarro e coerente con le funzionalità del Servizio. Essa può essere soggetta a corrispettivi.

2.3. Mycarro informa il Cliente qualora, a suo parere, un'istruzione violi la normativa in materia di protezione dei dati. In tal caso può sospendere il relativo trattamento, senza alcuna responsabilità, fino a quando l'istruzione non sia confermata o modificata. Al di là di quanto precede, Mycarro non ha alcun obbligo di valutare la liceità delle istruzioni del Cliente.

3. Riservatezza

Mycarro garantisce che le persone autorizzate a trattare i Dati Personali del Cliente si siano impegnate alla riservatezza o siano soggette a un adeguato obbligo legale di riservatezza, e che accedano ai dati solo nella misura necessaria per il Servizio.

4. Sicurezza

4.1. Mycarro mette in atto le misure tecniche e organizzative descritte nell'Allegato 2, adeguate al rischio, tenendo conto dello stato dell'arte, dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento.

4.2. Mycarro può aggiornare tali misure, a condizione che il livello complessivo di protezione non sia ridotto. Il Cliente ha valutato le misure e riconosce che sono adeguate per i Dati Personali del Cliente.

4.3. Il Cliente è responsabile della sicurezza dei propri sistemi, dispositivi e credenziali, dei ruoli e delle autorizzazioni attribuiti ai propri utenti, delle integrazioni e degli assistenti di intelligenza artificiale che collega e della configurazione del Servizio sotto il suo controllo.

5. Sub-responsabili del trattamento

5.1. Autorizzazione generale. Il Cliente conferisce a Mycarro un'autorizzazione generale a ricorrere a sub-responsabili del trattamento, compresi quelli elencati nell'Allegato 3.

5.2. Modifiche. Mycarro informa il Cliente di qualsiasi aggiunta o sostituzione prevista di un sub-responsabile del trattamento aggiornando l'Allegato 3 in questa pagina e, ove la modifica sia sostanziale, via email o nella dashboard, con almeno 14 giorni di anticipo. In caso di emergenza, come l'improvviso venir meno di un fornitore, il termine può essere più breve.

5.3. Opposizione. Il Cliente può opporsi a una modifica per ragionevoli motivi attinenti alla protezione dei dati, per iscritto, entro tale termine. Le parti ne discuteranno quindi in buona fede. Se Mycarro non può ragionevolmente evitare la modifica, l'unico ed esclusivo rimedio del Cliente è recedere dal piano interessato prima che la modifica abbia effetto, senza alcun rimborso dei corrispettivi pagati in anticipo oltre a quanto altrimenti consentito dai Termini. La prosecuzione dell'utilizzo del Servizio dopo il termine di preavviso comporta l'accettazione della modifica da parte del Cliente.

5.4. Trasferimento degli obblighi. Mycarro impone contrattualmente a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati sostanzialmente non meno protettivi di quelli previsti dal presente Accordo, nella misura in cui si applicano ai servizi forniti. Mycarro resta responsabile nei confronti del Cliente dell'adempimento dei propri sub-responsabili del trattamento come previsto dal GDPR, fatto salvo quanto disposto dalla sezione 11.

5.5. Soggetti che non sono sub-responsabili del trattamento. Marketplace, assistenti di intelligenza artificiale, servizi di pagamento, registrar di domini e altri terzi che il Cliente sceglie di collegare o utilizzare agiscono secondo le proprie condizioni. Non sono sub-responsabili del trattamento di Mycarro e Mycarro non risponde del loro operato.

6. Trasferimenti internazionali

Mycarro può trasferire i Dati Personali del Cliente al di fuori dello Spazio economico europeo e della Svizzera, o consentire ai propri sub-responsabili del trattamento di farlo, soltanto qualora:

• il trasferimento sia coperto da una decisione di adeguatezza;
• siano previste garanzie adeguate, come le Clausole contrattuali tipo della Commissione europea (con gli adeguamenti svizzeri ove si applichi la LPD), unitamente a misure supplementari ove necessario; o
• si applichi un altro meccanismo di trasferimento consentito dal GDPR.

Il Cliente autorizza i trasferimenti effettuati su tali basi dai sub-responsabili del trattamento elencati nell'Allegato 3.

7. Assistenza

7.1. Richieste degli interessati. Il Servizio mette a disposizione del Cliente strumenti self-service per accedere, rettificare, esportare e cancellare i Dati Personali del Cliente. Se Mycarro riceve da un interessato una richiesta relativa ai Dati Personali del Cliente, la inoltra al Cliente senza ingiustificato ritardo, qualora sia in grado di identificarlo, e non vi risponde direttamente se non su istruzione del Cliente. Ove gli strumenti self-service non siano sufficienti, Mycarro fornisce un'assistenza ragionevole, tenendo conto della natura del trattamento.

7.2. Altra assistenza. Tenendo conto della natura del trattamento e delle informazioni a sua disposizione, Mycarro fornisce un'assistenza ragionevole in relazione agli obblighi del Cliente in materia di sicurezza, notifica delle violazioni, valutazioni d'impatto sulla protezione dei dati e consultazione preventiva delle autorità, principalmente mettendo a disposizione il presente Accordo, i suoi allegati e la documentazione del Servizio.

7.3. Costi. L'assistenza che vada oltre gli strumenti self-service e la documentazione, o che sia resa necessaria da un atto o da un inadempimento del Cliente stesso, è addebitata secondo le tariffe standard di Mycarro allora in vigore.

8. Violazioni dei dati personali

8.1. Mycarro notifica al Cliente una violazione dei dati personali che riguardi i Dati Personali del Cliente senza ingiustificato ritardo dopo esserne venuta a conoscenza. La notifica è inviata all'indirizzo email del proprietario o dell'amministratore del Cliente. Nella misura in cui siano noti in quel momento, essa descrive la natura della violazione, le categorie e il numero approssimativo degli interessati e delle registrazioni coinvolti, le probabili conseguenze e le misure adottate o proposte. Le informazioni possono essere fornite in fasi successive.

8.2. Mycarro adotta misure ragionevoli per contenere la violazione e attenuarne gli effetti. Spetta al Cliente decidere se notificare la violazione alle autorità di controllo e agli interessati, e provvedere a tale notifica.

8.3. Una notifica o l'assistenza prestata non costituiscono ammissione di colpa o di responsabilità. I tentativi non riusciti o le attività che non compromettono la sicurezza dei Dati Personali del Cliente, come ping, scansioni delle porte, tentativi di accesso falliti o attacchi di tipo denial-of-service, non costituiscono violazioni e non richiedono alcuna notifica.

9. Restituzione e cancellazione

9.1. Nel corso del rapporto contrattuale, il Cliente può esportare e cancellare i Dati Personali del Cliente con gli strumenti del Servizio.

9.2. Alla cessazione dei Termini, il Cliente può richiedere un'esportazione finale entro il termine stabilito dai Termini. Decorso tale termine, Mycarro cancella i Dati Personali del Cliente, salvo che la legge ne imponga la conservazione. Le copie presenti nei backup sono cancellate secondo il normale ciclo di backup, generalmente entro 90 giorni, e fino ad allora restano protette ai sensi del presente Accordo e non sono utilizzate attivamente. Mycarro può conservare dati de-identificati e aggregati, che non costituiscono dati personali.

10. Audit e informazioni

10.1. Mycarro mette a disposizione le informazioni necessarie per dimostrare il rispetto dell'articolo 28 del GDPR. A tal fine fornisce il presente Accordo, i suoi allegati, le risposte a un ragionevole questionario di sicurezza scritto e, ove disponibili, certificazioni o rapporti di audit di terzi (compresi quelli dei suoi sub-responsabili del trattamento).

10.2. Qualora il Cliente dimostri ragionevolmente che tali informazioni non sono sufficienti, o qualora un'autorità di controllo lo richieda, il Cliente può effettuare un audit, direttamente o tramite un revisore indipendente vincolato alla riservatezza che non sia un concorrente di Mycarro. L'audit è soggetto alle seguenti condizioni:

• al massimo una volta ogni 12 mesi, salvo in caso di violazione o di ordine di un'autorità;
• con un preavviso scritto di almeno 30 giorni e un ambito concordato in anticipo;
• durante l'orario lavorativo, ove possibile da remoto, senza perturbare il Servizio e senza accesso ai dati di altri clienti o alle strutture dei sub-responsabili del trattamento;
• a spese esclusive del Cliente, compresi i costi ragionevoli di Mycarro secondo le sue tariffe standard;
• il Cliente condivide il rapporto di audit con Mycarro e lo mantiene riservato.

11. Responsabilità

La responsabilità di ciascuna parte derivante dal presente Accordo o ad esso connessa, a titolo contrattuale, extracontrattuale o di altra natura, è soggetta alle esclusioni e limitazioni di responsabilità previste dai Termini e concorre al raggiungimento del medesimo massimale complessivo, nella misura consentita dalla legge. Il Cliente manleva Mycarro, come previsto dai Termini, da pretese e sanzioni derivanti dalle istruzioni del Cliente, dai Dati Personali del Cliente o dalla violazione da parte di quest'ultimo della normativa in materia di protezione dei dati.

12. Durata, prevalenza e modifiche

12.1. Il presente Accordo si applica per tutto il tempo in cui Mycarro tratta Dati Personali del Cliente e cessa automaticamente quando non li tratta più.

12.2. In caso di conflitto tra il presente Accordo e i Termini in merito al trattamento dei Dati Personali del Cliente, prevale il presente Accordo. Sotto ogni altro profilo prevalgono i Termini. Al presente Accordo si applicano le disposizioni dei Termini in materia di legge applicabile, foro competente, lingua, comunicazioni e modifiche.

12.3. Mycarro può aggiornare il presente Accordo, anche per tenere conto di modifiche della legge o del Servizio, secondo quanto descritto nei Termini. Un aggiornamento non riduce il livello complessivo di protezione dei Dati Personali del Cliente.

Allegato 1. Descrizione del trattamento

• Oggetto e durata: la fornitura del Servizio al Cliente, per la durata dei Termini e per il successivo periodo di chiusura.
• Natura del trattamento: raccolta, registrazione, organizzazione, conservazione, adattamento, estrazione, consultazione, uso, comunicazione mediante trasmissione (anche ai marketplace e alle integrazioni attivati dal Cliente), raffronto, limitazione, cancellazione e distruzione, con mezzi automatizzati, compresi modelli di intelligenza artificiale.
• Finalità: le funzioni di gestione della concessionaria utilizzate dal Cliente. Tra queste rientrano la gestione dello stock e dei veicoli, il sito web della concessionaria, la pubblicazione sui marketplace, la gestione dei contatti commerciali e dei clienti, le vendite, i contratti, le garanzie, le fatture e la tesoreria, le campagne, i documenti e le funzionalità e i connettori di intelligenza artificiale.
• Categorie di interessati:
  • clienti e potenziali clienti del Cliente (acquirenti, venditori, proprietari di veicoli dati in permuta, garanti);
  • contatti commerciali (lead) e persone che inviano richieste di informazioni;
  • visitatori del sito web della concessionaria del Cliente;
  • dipendenti e collaboratori del Cliente;
  • altre persone registrate dal Cliente.
• Categorie di dati personali:
  • dati identificativi e di contatto: nome, email, telefono, indirizzo postale;
  • numeri identificativi e fiscali, numeri dei documenti d'identità e date di nascita, ove il Cliente li registri per contratti, fatture o immatricolazioni;
  • dati relativi a veicoli e transazioni collegati a una persona (numero di identificazione del veicolo, targa, acquisto, vendita, permuta, prezzi, pagamenti, finanziamenti, garanzia);
  • comunicazioni e note;
  • documenti caricati dal Cliente;
  • dati tecnici sui visitatori del sito web della concessionaria.
• Categorie particolari: nessuna prevista. Si veda la sezione 1.3.

Allegato 2. Misure tecniche e organizzative

• Cifratura: traffico cifrato in transito con TLS; segreti e credenziali cifrati a riposo.
• Controllo degli accessi: ciascun utente accede individualmente tramite un fornitore di autenticazione dedicato, con autenticazione a più fattori disponibile; l'accesso è basato sui ruoli e limitato alla concessionaria del Cliente; l'accesso del personale all'ambiente di produzione segue il principio del privilegio minimo ed è limitato a quanto necessario.
• Audit: le modifiche effettuate nella dashboard e tramite i connettori sono registrate con l'indicazione dell'utente o dell'assistente che le ha effettuate.
• Separazione: ogni record è circoscritto alla propria concessionaria e i controlli di accesso sono applicati lato server.
• Disponibilità e resilienza: hosting nell'Unione europea, backup regolari, monitoraggio e allerta, procedure di ripristino.
• Sviluppo e gestione delle modifiche: test automatizzati, revisione del codice, scansione delle dipendenze e dei segreti, ambienti separati di sviluppo, staging e produzione.
• Minimizzazione dei dati: le segnalazioni di errore non contengono registrazioni delle sessioni né dati identificativi degli utenti; le statistiche del sito web non utilizzano cookie.
• Fornitori: i sub-responsabili del trattamento sono scelti per la loro sicurezza e vincolati contrattualmente.
• Risposta agli incidenti: procedure documentate per rilevare, contenere, analizzare e notificare le violazioni dei dati personali.

Allegato 3. Sub-responsabili del trattamento