Accordo sul trattamento dei dati
1. Parti e applicazione
Questo accordo sul trattamento dei dati (“DPA”), versione 2026-09-01, efficace dal 1 settembre 2026, è parte dell’accordo di servizio DriveLink tra l’Operatore identificato nella registrazione o nell’ordine (“Titolare”) e Daniele Soprani (“Responsabile”), che fornisce il servizio DriveLink. Il Responsabile è una persona fisica stabilita in Italia, all’indirizzo Via Vittorio Veneto 1/C, 38068 Rovereto (TN). Dati fiscali e di registrazione: Nessuna partita IVA; nessuna impresa individuale registrata. Per contattare il Responsabile in materia di protezione dei dati e incidenti: privacy@drivelink.link.
Si applica ai dati personali trattati da DriveLink per conto dell’Operatore per fornire il servizio. I ruoli dipendono dal trattamento effettivo. Le finalità proprie di DriveLink per amministrazione degli account, rapporto commerciale e sicurezza sono descritte separatamente nell’informativa privacy. Se l’Operatore agisce a sua volta come responsabile per un altro titolare, deve essere autorizzato a incaricare DriveLink e trasmettere istruzioni lecite; la catena e gli ulteriori obblighi devono essere documentati prima del trattamento.
“Dati personali”, “trattamento”, “titolare”, “responsabile”, “violazione dei dati personali” e “autorità di controllo” hanno il significato del Regolamento (UE) 2016/679 (“GDPR”). Il DPA disciplina gli obblighi dell’articolo 28 e non costituisce, da solo, uno strumento che autorizza trasferimenti internazionali ai sensi del Capo V.
2. Istruzioni documentate e limitazione delle finalità
I periodi distinti per account, assistenza ordinaria e prove minime dell’accordo indicati nell’informativa privacy di DriveLink riguardano le finalità proprie ivi dichiarate. Non prolungano la conservazione dei dati dei clienti trattati per conto del Titolare secondo questo DPA. I dettagli dei clienti inclusi in una richiesta di assistenza restano soggetti alle istruzioni applicabili e devono essere rimossi prima quando non più necessari a gestire il problema.
Il Responsabile tratta i dati solo su istruzioni documentate del Titolare, anche per i trasferimenti fuori dal SEE, salvo obblighi previsti dal diritto dell’Unione o di uno Stato membro. In tal caso informa il Titolare del requisito legale prima del trattamento, salvo che la legge vieti tale informazione per rilevanti motivi di interesse pubblico.
Costituiscono istruzioni l’accordo, questo DPA, la configurazione e l’utilizzo autorizzati dal Titolare e le successive istruzioni scritte pertinenti. Comprendono raccolta delle richieste, calcolo e gestione dei preventivi, notifiche, preparazione dei riepiloghi dei servizi confermati, sicurezza e manutenzione necessarie a tali operazioni, restituzione e cancellazione autorizzate.
Il Responsabile non vende i dati, non crea profili dei clienti tra Operatori diversi, non usa i dati dei clienti per addestrare propri modelli generalisti e non li tratta per finalità estranee. Se ritiene un’istruzione contraria al GDPR o ad altre norme applicabili dell’Unione o degli Stati membri sulla protezione dei dati, informa immediatamente il Titolare e, se necessario, sospende l’istruzione interessata in attesa di chiarimenti.
L’Operatore incarica DriveLink di fornire per suo conto la sezione comune per i clienti dell’informativa privacy per il flusso ordinario di richiesta, preventivo e prenotazione. L’Operatore mantiene aggiornati i propri dati identificativi e l’indirizzo email dell’attività: DriveLink mostra la ragione sociale, oppure il nome dell’attività quando non è indicata una distinta ragione sociale, e rende sempre visibile l’email dell’attività nell’informativa, anche quando l’email è nascosta nel piè di pagina dei contatti. Se il nome pubblico è solo un marchio, l’Operatore deve compilare il campo esistente della ragione sociale. Deve verificare che la descrizione comune corrisponda ai trattamenti effettivi e fornire nei tempi previsti ogni ulteriore informazione dovuta, anche quando i dati sono raccolti indirettamente o le copie sono conservate al di fuori di DriveLink. Non è richiesto il caricamento di un’informativa individuale per questo flusso. Le istruzioni non eliminano gli obblighi dell’Operatore come titolare né i doveri legali propri di DriveLink.
3. Obblighi del Titolare
Il Titolare determina finalità e basi giuridiche, fornisce un’informativa adeguata a clienti e altri interessati, comunica dati e istruzioni leciti e proporzionati e assicura l’autorizzazione dei propri utenti. Stabilisce quali dipendenti, conducenti, clienti e persone con accesso al calendario Google dell’Operatore possano ricevere i dati. Definisce conservazione e vincoli legali, valuta la preventivazione automatizzata ove necessario e risponde agli interessati con l’assistenza del Responsabile.
Né la presa visione di un’informativa né questo DPA possono sostituire una base giuridica, un consenso o una garanzia di trasferimento mancanti. Gli obblighi del Titolare non riducono i doveri legali propri del Responsabile.
4. Riservatezza e sicurezza
Il Responsabile assicura che le persone autorizzate siano vincolate alla riservatezza o a un adeguato obbligo legale, ricevano istruzioni appropriate e accedano solo ai dati necessari al loro ruolo. Gli accessi non più necessari devono essere revocati.
Il Responsabile adotta misure tecniche e organizzative adeguate ai sensi dell’articolo 32 GDPR, considerando stato dell’arte, costi, natura, ambito, contesto, finalità e rischi per gli interessati. L’Allegato B descrive le misure concordate. Le modifiche rilevanti non devono ridurre la protezione complessiva concordata. Misure ed efficacia devono essere riesaminate e verificate a intervalli appropriati.
5. Sub-responsabili
Il Titolare concede autorizzazione scritta generale ai sub-responsabili verificati nell’Allegato C per le finalità indicate. Per un’aggiunta o una sostituzione scelta direttamente dal Responsabile, quest’ultimo invia un preavviso di almeno 30 giorni di calendario via email all’indirizzo email registrato del proprietario dell’account del Titolare. La comunicazione identifica il fornitore, la finalità del trattamento, i paesi di trattamento, le garanzie applicabili ai trasferimenti e la data proposta per l’inizio del trattamento dei dati del Titolare da parte del fornitore.
Per una modifica nella catena dei sub-responsabili di un fornitore esistente, il Responsabile informa il Titolare senza ingiustificato ritardo dopo aver appreso della modifica prevista, utilizzando lo stesso canale email e gli stessi contenuti. Il Titolare deve disporre di almeno 10 giorni di calendario dalla comunicazione per opporsi prima che il fornitore proposto inizi a trattarne i dati. Se il preavviso ricevuto dal fornitore è troppo breve per garantire tale possibilità, il Responsabile deve ottenere l’autorizzazione scritta specifica e preventiva del Titolare per il fornitore e l’inizio anticipato, oppure impedire al fornitore proposto di trattare i dati interessati. Un termine più breve imposto dal fornitore non autorizza di per sé un trattamento anticipato.
Il Titolare può presentare un’obiezione motivata in materia di protezione dei dati durante il periodo di preavviso applicabile tramite privacy@drivelink.link. Se non pervengono obiezioni, la modifica può avvenire in base all’autorizzazione generale soltanto dopo la fine di tale periodo e il completamento delle verifiche necessarie sul fornitore, sui contratti e sui trasferimenti. Un’autorizzazione specifica preventiva all’inizio anticipato non sostituisce tali verifiche. Il solo aggiornamento dell’elenco dei fornitori su una pagina web non sostituisce il preavviso via email.
Il Responsabile impone obblighi di protezione dei dati che assicurino la medesima tutela richiesta da questo DPA, incluse garanzie sufficienti per misure adeguate. Resta pienamente responsabile verso il Titolare dell’adempimento di tali obblighi da parte del sub-responsabile. Mantiene un elenco aggiornato e mette a disposizione le informazioni pertinenti.
Le parti collaborano in buona fede per risolvere le obiezioni prima che il fornitore proposto tratti i dati del Titolare. Il trattamento interessato non può proseguire ignorando un’obiezione irrisolta. Le parti cercano un’alternativa lecita adeguata; se non è disponibile una soluzione idonea, il Titolare può recedere dal servizio interessato senza penali, mantenendo gli accordi di restituzione/cancellazione e i diritti di passaggio applicabili previsti dalla sezione 9.
Se una modifica urgente richiede l’utilizzo anticipato di un fornitore, il Responsabile deve ottenere l’autorizzazione scritta specifica e preventiva del Titolare per tale fornitore e per l’inizio anticipato, oppure sospendere il trattamento interessato fino al completamento della procedura ordinaria di autorizzazione. L’urgenza non elimina di per sé i diritti di comunicazione e obiezione.
6. Assistenza per i diritti degli interessati
Tenendo conto della natura del trattamento, il Responsabile assiste il Titolare con misure tecniche e organizzative adeguate, per quanto possibile, nel rispondere alle richieste previste dal Capo III del GDPR. Ciò comprende individuare, fornire, correggere, limitare, esportare o cancellare i dati trattati per conto del Titolare interessato, su sue istruzioni e nei limiti consentiti dalla legge.
Se riceve direttamente una richiesta, informa tempestivamente il Titolare e non ne decide il merito né divulga dati senza istruzioni, salvo obblighi legali. L’assistenza deve preservare i confini tra Operatori ed evitare la divulgazione di dati altrui. La verifica dell’identità deve essere proporzionata.
7. Violazioni, valutazioni e cooperazione
Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali. Fornisce le informazioni disponibili su natura della violazione, categorie e numero approssimativo degli interessati e delle registrazioni coinvolte, un punto di contatto, le probabili conseguenze e le misure adottate o proposte per porre rimedio alla violazione e mitigarne gli effetti. Se non sono tutte disponibili subito, le informazioni possono essere comunicate per fasi, senza ulteriori ritardi ingiustificati.
Il Responsabile adotta misure ragionevoli per contenere, indagare, rimediare e documentare la violazione e collabora con il Titolare. Il Titolare decide ed esegue le proprie notifiche ad autorità e interessati, salvo obblighi diretti del Responsabile. L’assistenza non dipende da un’ammissione di responsabilità.
Considerando natura del trattamento e informazioni disponibili, il Responsabile assiste per sicurezza, notifiche di violazione, valutazioni d’impatto e consultazioni preventive ai sensi degli articoli 32–36 GDPR. Collabora con le autorità competenti secondo la legge.
8. Trasferimenti internazionali
I trasferimenti avvengono solo su istruzioni documentate del Titolare e con un valido presupposto ai sensi del Capo V GDPR, quando richiesto. Prima del trasferimento, registrare nell’Allegato C destinatario, destinazione, finalità e strumento applicabile. Se si usano Clausole contrattuali standard, completare moduli e allegati appropriati, valutare il trasferimento e adottare misure supplementari ove necessarie. Una decisione di adeguatezza vale solo nel proprio ambito effettivo.
Il Responsabile informa il Titolare, ove consentito, delle richieste vincolanti di divulgazione o accesso che riguardano i dati e adotta le misure previste dalla legge e dalle garanzie concordate. Questa clausola non autorizza genericamente l’invio dei dati a qualsiasi Paese o fornitore.
9. Restituzione, cancellazione e durata
Il trattamento prosegue per la durata del servizio e successivamente solo per restituzione/cancellazione, per il trattamento Gemini di sicurezza specificamente limitato sotto descritto o per uno specifico obbligo legale, entro i termini applicabili di questa sezione. Durante il servizio si rispettano le istruzioni lecite del Titolare e il piano approvato nell’Allegato A.
Al termine, il Responsabile, a scelta del Titolare, restituisce o cancella tutti i dati personali trattati per suo conto e cancella le copie esistenti, salvo obblighi di conservazione del diritto dell’Unione o degli Stati membri. In presenza di un obbligo, ne identifica la base, limita accesso e trattamento e cancella al venir meno del requisito. La restituzione avviene in un formato utilizzabile e di uso comune con modalità sicure concordate. Il completamento della cancellazione delle copie residue Workspace e dei registri Gemini di sicurezza segue esclusivamente i termini specifici sotto indicati; prevalgono gli obblighi inderogabili di cancellazione.
La restituzione è gratuita e può essere richiesta tramite support@drivelink.link da un referente autorizzato del Titolare. Si utilizzano formati riutilizzabili, di uso comune e leggibili da una macchina, come CSV o JSON. L’esportazione richiesta deve essere disponibile per il recupero durante l’intera finestra di 30 giorni di calendario decorrente dopo la cessazione del servizio e il completamento dell’eventuale periodo di transizione per il passaggio ad altro servizio. La finestra di recupero non sostituisce né riduce assistenza, periodi di transizione o altri diritti obbligatori applicabili al passaggio.
Al termine della finestra di recupero, il Responsabile cancella dai sistemi attivi i dati personali operativi del Titolare, comprese le copie dell’esportazione conservate dal Responsabile, salvo conservazioni specificamente imposte dal diritto dell’Unione o degli Stati membri. Il Titolare può invece impartire un’istruzione espressa di cancellazione immediata senza esportazione; tale scelta deve essere distinta dalla richiesta di passaggio o restituzione dei dati.
Le copie residue nei backup devono essere eliminate entro sette giorni dalla cancellazione dai sistemi attivi, sia per le cancellazioni ordinarie secondo il piano concordato sia secondo questa procedura di uscita, con la sola eccezione Workspace descritta sotto. Il termine comprende gli archivi propri del Responsabile, inclusi quelli ospitati su Hetzner, e le copie detenute dagli altri sub-responsabili per conto del Titolare. I dati cancellati restano separati dall’uso ordinario. Cancellazioni e limitazioni già richieste devono essere riapplicate prima dell’uso ordinario di qualsiasi dato ripristinato.
L’eccezione Workspace ai termini dei backup riguarda le copie residue della corrispondenza di assistenza/privacy trattata per conto del Titolare in Google Workspace. Il Responsabile deve avviare la cancellazione definitiva dalla casella entro il termine applicabile. I termini di trattamento di Google, sezioni 6.1–6.3, prevedono la cancellazione appena ragionevolmente possibile ed entro 180 giorni da quando i dati non sono più recuperabili dal Responsabile. Alla cessazione dell’accordo Workspace del Responsabile, tale periodo può essere preceduto da una finestra di recupero fino a 30 giorni, fatti salvi altri accordi Google ancora applicabili agli stessi dati e obblighi legali di conservazione. Questo è distinto dall’uscita del Titolare da DriveLink e non rinvia l’obbligo di impartire l’istruzione di cancellazione. L’eccezione non prolunga l’uso ordinario della casella né la conservazione dei backup propri del Responsabile; restano applicabili le garanzie sul ripristino sopra descritte.
Un’eccezione distinta riguarda esclusivamente i registri Gemini di sicurezza detenuti da Google: prompt/descrizioni, contesto fornito e risposte possono essere conservati per il periodo di 55 giorni della sua policy contro gli abusi, comprese revisione umana autorizzata e modelli di applicazione delle policy. Non è consentito l’uso per l’addestramento generale di prodotti/modelli e non si prolunga alcun termine dei dati, esportazioni, log o backup propri del Responsabile. Dopo una cancellazione ordinaria o l’uscita del Titolare può proseguire soltanto la parte non ancora trascorsa del periodo; nessuno dei due eventi avvia nuovi 55 giorni. Il Responsabile inoltra senza ingiustificato ritardo a Google le richieste applicabili di cancellazione o esercizio dei diritti e assiste il Titolare nella loro gestione. Restano applicabili i diritti privacy e gli obblighi inderogabili di cancellazione. Questi registri sono distinti dai normali backup e dall’eccezione Workspace.
L’azione attuale del proprietario elimina immediatamente l’intero ambiente dell’Operatore. Prima di utilizzare tale funzione, il Titolare dovrebbe chiedere la restituzione dei dati di cui ha bisogno. L’assenza di un’interfaccia automatica di esportazione non elimina l’obbligo di restituzione del Responsabile. Le copie già consegnate a clienti, conducenti o calendari e controllate dai destinatari sono fuori dal controllo diretto del Responsabile; il Titolare gestisce separatamente tali destinatari.
10. Evidenze, verifiche e prevalenza
Il Responsabile mette a disposizione tutte le informazioni necessarie a dimostrare il rispetto dell’articolo 28 e consente e contribuisce alle verifiche, incluse ispezioni, del Titolare o di un revisore incaricato. Coordinamento ragionevole, riservatezza e tutela degli altri Operatori possono regolare le modalità senza ostacolare diritti legali o indagini urgenti. La documentazione può essere usata quando adeguata, ma non esclude ispezioni necessarie.
In caso di contrasto con i termini generali sulla protezione dei dati, prevale questo DPA per tale ambito. Restano ferme la prevalenza delle norme inderogabili di legge e quella delle clausole applicabili ai trasferimenti. Nulla limita i diritti degli interessati, incluso l’articolo 82 GDPR, o i poteri delle autorità.
Il massimale monetario per il pilota gratuito previsto nella sezione 9 dei termini di servizio non si applica alla responsabilità derivante da questo DPA o da violazioni della normativa sulla protezione dei dati personali.
Questo DPA è regolato dalla legge italiana, fatte salve le tutele inderogabili. La giurisdizione e la competenza sono determinate dalla legge applicabile. L’Operatore può contattare support@drivelink.link per cercare una soluzione amichevole di una controversia; tale contatto è facoltativo e non costituisce una condizione né un motivo per ritardare l’esercizio dei diritti o l’azione in giudizio.
Questo DPA è disponibile in italiano e inglese. In caso di divergenza tra le versioni, il testo italiano prevale per l’interpretazione del contratto, fatta salva la prevalenza delle norme inderogabili di legge e delle clausole applicabili ai trasferimenti, come indicato sopra. Questa regola linguistica non limita i diritti degli interessati né l’obbligo di fornire informazioni privacy chiare e comprensibili.
L’Operatore è identificato dalla registrazione o dall’ordine concordato. L’accettazione elettronica può documentare l’accordo; occorre verificarne sufficienza legale e poteri del firmatario. Ogni versione pubblicata deve restare invariata al proprio indirizzo, senza sovrascrivere il documento corrispondente alla versione registrata.
Le modifiche rilevanti a questo DPA seguono la sezione 10 dei termini di servizio: preavviso di almeno 30 giorni di calendario via email, con sintesi, accesso al documento aggiornato e data di efficacia proposta; l’Operatore può terminare la partecipazione prima dell’efficacia delle modifiche e ogni accettazione richiesta deve essere ottenuta separatamente. L’eccezione limitata per obblighi di legge o problemi urgenti di sicurezza prevista in quella sezione non deroga ai preavvisi obbligatori per legge né ai distinti diritti di informazione e opposizione per le modifiche dei sub-responsabili previsti nella sezione 5 di questo DPA.
Allegato A — Descrizione del trattamento
| Elemento | Ambito |
|---|---|
| Oggetto e finalità | Gestione delle richieste di trasferimento, preventivi, comunicazioni ai clienti, viaggi confermati e riepiloghi operativi del Titolare tramite DriveLink. |
| Natura e frequenza | Raccolta, organizzazione, conservazione, consultazione, calcolo basato su regole, visualizzazione, comunicazione autorizzata, rettifica, limitazione, restituzione e cancellazione; in modo continuativo, in funzione dell’utilizzo del servizio da parte di utenti e clienti. |
| Interessati | Clienti potenziali ed effettivi, passeggeri, persone che organizzano viaggi, personale dell’Operatore o contatti dei conducenti inclusi nei dati autorizzati. |
| Tipi di dati | Nomi, email/telefono, date e luoghi/coordinate dei viaggi, soste/ritorno, numero di passeggeri e bagagli, categorie di veicoli, note, preventivi/conferme, lingua, identificativi correlati e contenuti delle notifiche. |
| Dati sensibili | Non sono intenzionalmente richiesti categorie particolari di dati personali o dati relativi a condanne penali. Il testo libero può comunque contenerli: minimizzare, gestire in sicurezza gli invii accidentali e acquisire istruzioni lecite specifiche e garanzie prima di un trattamento intenzionale. |
| Conservazione delle valutazioni | Valutazioni automatiche: dettagli fino alla scadenza dell’offerta. Esiti da revisionare: 24 ore. Cancellazione della copia temporanea di viaggio e calcolo entro un’ora dalla scadenza o alla conversione in richiesta operativa; dopo la conversione rimangono soltanto riferimenti per link e ripetizioni. Riferimenti dei link scaduti non convertiti: 90 giorni dalla scadenza, poi cancellazione. Metadati della sessione del modulo privi di contenuto: 90 giorni dalla visita. Dati operativi, copie email, log e backup seguono le politiche distinte sotto indicate e nella sezione 9. |
| Richieste e preventivi chiusi senza prenotazione | Conservazione ordinaria: 90 giorni dalla scadenza, dal rifiuto o dalla cancellazione, per gestire eventuali richieste di chiarimento; cancellazione dei dati operativi del cliente al termine del periodo, fatte salve le eccezioni lecite sotto indicate. |
| Richieste irrisolte non diventate prenotazioni | Conservazione ordinaria: 90 giorni dalla data più recente tra l’ultimo viaggio richiesto, inclusa l’eventuale tratta di ritorno, e l’ultima azione sostanziale del cliente o del Titolare. Se manca una data del viaggio utilizzabile, si considera l’ultima azione sostanziale. L’invio, una modifica della richiesta o una risposta che la riguarda possono essere azioni sostanziali; la semplice visualizzazione non fa ripartire il periodo. Cancellazione dei dati operativi del cliente al termine del periodo, fatte salve le eccezioni lecite sotto indicate. |
| Prenotazioni confermate e relativi dettagli del viaggio e recapiti | Conservazione ordinaria: 12 mesi dall’ultimo viaggio programmato, inclusa l’eventuale tratta di ritorno, per gestire chiarimenti e reclami successivi al viaggio; cancellazione dei dati operativi del cliente al termine del periodo, fatte salve le eccezioni lecite sotto indicate. Le prenotazioni attive e future restano disponibili. Una prenotazione annullata dopo la conferma segue la distinta regola di annullamento sotto indicata. |
| Prenotazioni annullate dopo la conferma | Conservazione ordinaria: 12 mesi dall’annullamento, inclusi i relativi dettagli del viaggio e recapiti, per gestire chiarimenti e reclami sull’annullamento; cancellazione dei dati operativi del cliente al termine del periodo, fatte salve le eccezioni lecite sotto indicate. |
| Cancellazione anticipata ed eccezioni documentate | Restano applicabili le istruzioni lecite di cancellazione anticipata, i diritti degli interessati e la sezione 9. Oltre i limiti ordinari dei dati operativi, conservare soltanto i dati necessari per uno specifico obbligo legale o una controversia, su istruzioni lecite documentate del Titolare o in base a un obbligo legale vincolante per il Responsabile. Registrare motivo, dati interessati e durata o criteri di riesame, limitare l’accesso alla finalità dichiarata e cancellare quando cessa la necessità. Un’eccezione non deroga agli obblighi di restituzione/cancellazione a fine servizio della sezione 9. Il Titolare conserva i documenti richiesti dai propri obblighi aziendali. |
| Altre copie per l’invio di email | Cancellare destinatari, contenuto ed elementi diagnostici dell’invio entro 30 giorni dalla creazione, compresi messaggi non inviati o il cui invio è fallito, per recapito e diagnosi dei problemi. Restano applicabili i termini più brevi di categorie specifiche. Non inviare né ritentare una copia dopo il termine di cancellazione. Le copie nella casella controllate dal destinatario restano distinte. |
| Registri Gemini di sicurezza detenuti da Google | Solo prompt/descrizioni, contesto fornito e risposte: periodo di 55 giorni per sicurezza e garanzie della sezione 9. I limiti ordinari dei log e backup sotto indicati non sostituiscono questo distinto periodo del fornitore; non si prolunga alcuna copia detenuta dal Responsabile. |
| Log per i trattamenti previsti dal DPA | Log ordinari dell’applicazione e degli accessi web: cancellare entro 30 giorni dall’evento, per la diagnosi dei malfunzionamenti. Registrazioni minime degli eventi di sicurezza: cancellare entro 90 giorni dall’evento, per indagare attività sospette. Log degli accessi privilegiati degli amministratori di sistema: conservare per sei mesi di calendario dall’evento, poi cancellare, per tracciare accessi a infrastruttura e database, previa conferma dell’ambito delle regole italiane applicabili. Conservare soltanto i metadati necessari con adeguati controlli degli accessi e dell’integrità; escludere corpi dei messaggi, dettagli dei passeggeri e segreti di autenticazione. Questi periodi non prolungano la conservazione dei dati operativi dei clienti. Le misurazioni prive di contenuto con ambiti distinti mantengono i propri periodi. |
| Copie email su richiesta prima dell’accettazione | Solo email e presa visione dell’informativa; nessuna richiesta operativa, accettazione o promemoria automatico. Destinatario, contenuto e diagnostica: cancellazione entro un’ora dall’invio riuscito o dal fallimento definitivo, comunque entro un’ora dalla scadenza. Accettazione o sostituzione annullano e ripuliscono le copie coordinandosi con gli invii in corso. Le impronte personali pseudonime per ripetizioni e limiti vengono eliminate alla chiusura dell’offerta. Metadati degli esiti privi di contenuto: 90 giorni. Copie nella casella del destinatario e conservazione dei backup restano distinte. |
| Durata e uscita | Durata del servizio con i limiti per categoria sopra indicati, seguita dalla procedura di restituzione/cancellazione della sezione 9: esportazione gratuita e sicura; 30 giorni di calendario per il recupero dopo la cessazione e il completamento dell’eventuale transizione per il passaggio; cancellazione dai sistemi attivi al termine della finestra o cancellazione immediata espressamente richiesta senza esportazione; eliminazione delle copie residue nei backup entro sette giorni dalla cancellazione dai sistemi attivi, con la sola eccezione Workspace della sezione 9 per la corrispondenza residua nei sistemi Google. Restano applicabili specifici obblighi legali di conservazione. Può proseguire soltanto la parte non ancora trascorsa del distinto periodo Google di 55 giorni per sicurezza Gemini della sezione 9; restano applicabili i diritti privacy inderogabili. |
| Istruzioni e contatti | Proprietario/referente autorizzato del Titolare indicato nell’account o ordine; Responsabile: privacy@drivelink.link. Le istruzioni aggiuntive devono essere documentate e accessibili alle parti responsabili. |
Allegato B — Misure tecniche e organizzative
- HTTPS per frontend/API e TLS autenticato per l’invio email; servizi backend in ascolto locale dietro il reverse proxy.
- Amministrazione SSH limitata; account distinti di compilazione ed esecuzione; credenziali dei fornitori fuori dal controllo versione e dai file pubblici del frontend.
- Ruoli e permessi degli Operatori, ambito del tenant imposto dal server e sicurezza a livello di riga PostgreSQL; ruolo database applicativo senza privilegi di superutente o esclusione dai controlli RLS.
- Hash delle password, sessioni e token a scadenza, cookie HttpOnly/Secure, protezione CSRF e revoca degli accessi.
- Validazione degli input, limiti di frequenza e verifica anti-bot sulle azioni pubbliche protette. La politica approvata dei log esclude corpi dei messaggi, dettagli dei passeggeri e segreti di autenticazione, con limiti per categoria nell’Allegato A.
- Archivi di backup del database cifrati e procedura di ripristino documentata. DriveLink conferma che i backup sono conservati soltanto sullo stesso server di produzione a Norimberga, Germania; non esiste una copia di backup separata fuori server. Il termine di cancellazione della sezione 9 si applica anche in caso di mancata riuscita di un backup. Le modalità di recupero in caso di perdita del server restano da verificare.
- Riservatezza degli autorizzati, gestione incidenti, assistenza per i diritti, conservazione/cancellazione e verifiche periodiche di efficacia, sostenute da procedure operative documentate.
Allegato C — Fornitori, ruoli e trasferimenti
Sub-responsabili previsti per questa versione del servizio
| Fornitore | Trattamento | Localizzazione e accordo |
|---|---|---|
| Hetzner Online GmbH | Hosting backend/database e infrastruttura dei dati del Titolare e dei backup locali cifrati. | Norimberga, Germania; i backup restano sullo stesso server. Il DPA dell’account è stato concluso il 7 ottobre 2026. L’Appendice 3 prevede il trattamento nell’UE per il server UE selezionato e l’assistenza tecnica/clienti all’interno dell’UE. |
| Cloudflare, Inc. | Distribuzione/sicurezza frontend e verifiche Turnstile, limitatamente ai trattamenti dei dati del Titolare svolti per suo conto, compresi segnali di rete, richieste e verifiche. | Infrastruttura globale, inclusi gli Stati Uniti. L’accordo standard self-service incorpora il DPA Cloudflare, con il Data Privacy Framework UE–USA per i trasferimenti coperti e le SCC applicabili agli altri trasferimenti soggetti a garanzie. Restano da verificare la configurazione e i trasferimenti specifici del servizio. |
| Amazon Web Services EMEA SARL — Amazon SES | Contenuti delle email transazionali, indirizzi e informazioni sul recapito, comprese protezione della consegna e verifiche contro gli abusi. | Regione di invio configurata: Francoforte, Germania (eu-central-1); la consegna raggiunge i sistemi di posta dei destinatari anche altrove. Gli AWS Service Terms standard incorporano DPA, garanzie supplementari e SCC applicabili ai trasferimenti, incluse quelle tra responsabili. Restano da verificare i trasferimenti specifici del servizio. |
| Google Cloud Italy S.r.l. — Google Workspace (Gmail) | Hosting diretto della casella: ricezione, conservazione e risposte per la corrispondenza di assistenza/privacy trattata per conto del Titolare, compresi recapiti, contenuti dei messaggi e allegati. | L’accordo standard Workspace incorpora il Cloud Data Processing Addendum di Google. Il trattamento può avvenire a livello globale; restano da verificare le localizzazioni, gli ulteriori sub-responsabili e le garanzie di trasferimento applicabili. La sezione 9 disciplina le copie residue nei sistemi Google. |
| Google Cloud Italy S.r.l. — API Gemini a pagamento | Estrazione facoltativa dei campi del viaggio controllati dal cliente; descrizione e contesto limitato dell’Operatore. Il risultato non contiene prezzi, recapiti o consensi e non comporta l’invio della richiesta. | I termini a pagamento incorporano il DPA Google da responsabile, anche per clienti responsabili del trattamento, e le garanzie DPF/SCC applicabili. Il trattamento può avvenire a livello globale. Log del progetto disabilitati e richieste con store:false; la conservazione separata di 55 giorni per il controllo degli abusi segue la stretta eccezione della sezione 9. |
Servizi che richiedono una valutazione distinta del ruolo
Cloudflare agisce anche come titolare autonomo quando tratta i segnali Turnstile per migliorare il rilevamento dei bot. Questo trattamento è descritto nell’informativa aggiuntiva Turnstile e richiede valutazione e informazione distinte dai trattamenti per conto del Titolare; questo DPA non modifica tale ruolo.
Google Maps Platform è acquistato da Google Cloud Italy S.r.l. per ricerche di indirizzi, luoghi selezionati e dati per i percorsi. I suoi termini SEE incorporano i termini Google tra titolari, che identificano Google Ireland Limited come titolare finale europeo applicabile. Questo DPA non trasforma tali operazioni in trattamenti svolti esclusivamente su nostre istruzioni. Restano da valutare le comunicazioni consentite, le localizzazioni e i trasferimenti. L’accesso Google facoltativo comporta trattamenti di autenticazione propri di Google secondo termini distinti.
I trattamenti propri di Google per account, fatturazione, sicurezza e dati di utilizzo sono distinti dal trattamento di prompt e risposte previsto dai termini Gemini a pagamento. Nuovi fornitori o sostituzioni richiedono valutazione e comunicazione secondo l’autorizzazione applicabile; questo allegato non attesta il completamento di tutti gli accordi o delle valutazioni di trasferimento.
Esportazione in Google Calendar
DriveLink supporta l’integrazione soltanto con Google Calendar. Il proprietario dell’account dell’Operatore o un amministratore autorizzato può collegare un account Google. DriveLink crea un calendario dedicato ed esporta i viaggi futuri confermati, comprese le singole tratte di ritorno che soddisfano i requisiti di esportazione. Il collegamento è facoltativo: pubblicazione della pagina, conferma delle prenotazioni e riepiloghi per il conducente in formato testo o PDF restano disponibili anche senza collegamento. Gli errori di invio sono visibili separatamente dalla conferma della prenotazione.
L’autorizzazione a utilizzare il calendario è distinta dall’accesso a DriveLink tramite Google. DriveLink richiede accesso solo ai calendari creati dall’applicazione, oltre all’identificativo e all’email dell’account necessari a identificare il collegamento. Non richiede l’elenco degli altri calendari dell’account. Il server conserva un token di rinnovo cifrato fino allo scollegamento o all’eliminazione dell’ambiente dell’Operatore; conserva inoltre gli identificativi dell’account e del calendario e i riferimenti agli invii per consentire il ricollegamento ed evitare duplicati, fino all’eliminazione dell’ambiente.
Gli eventi esportati contengono gli orari salvati, il luogo di partenza, il riepilogo per il conducente, i recapiti del cliente e i dettagli pertinenti della prenotazione, oltre a un collegamento al pannello. Google e le persone alle quali l’Operatore concede accesso al calendario possono trattare o conservare queste copie secondo gli accordi applicabili. L’Operatore sceglie un account Google adeguato, controlla la condivisione del calendario e gestisce le copie esportate. Questa integrazione non invia inviti ai clienti.
L’esportazione è unidirezionale: le modifiche in Google non cambiano le prenotazioni in DriveLink. La registrazione di un invio riuscito non garantisce una sincronizzazione continua. Quando l’Operatore scollega l’account, DriveLink interrompe gli invii futuri, tenta di revocare l’autorizzazione Google ed elimina i token locali. Il calendario Google e gli eventi rimangono. Ricollegando lo stesso account viene riutilizzato il calendario salvato e vengono esportati i viaggi futuri idonei. Se la revoca non riesce, DriveLink segnala lo scollegamento locale e indica di rimuovere l’autorizzazione nelle impostazioni dell’account Google. Anche l’eliminazione dell’ambiente dell’Operatore lascia intatte le copie esportate. I precedenti link di sottoscrizione ai calendari non funzionano più. I calendari aggiunti tramite quei link e gli eventi memorizzati devono essere rimossi nell’applicazione calendario del destinatario.