Accordo sul trattamento dei dati con i fornitori

1. Chi sono le parti e a cosa serve questo Accordo

Questo Accordo è tra il fornitore, che è il titolare del trattamento dei dati («tu»), e inOrdine, cioè Roberto Nazzaro, che è il responsabile del trattamento («noi»). Serve a rispettare l'art. 28 del GDPR, che chiede un contratto scritto tra chi decide sui dati e chi li tratta per suo conto.

• Responsabile del trattamento: Roberto Nazzaro
• Indirizzo: [da completare]
• Email: [da completare]

Chi accetta questo Accordo nel pannello dichiara di poterlo fare per conto del fornitore, cioè di avere i poteri per impegnare l'azienda.

Si accetta nel pannello, con una casella, prima di entrare. L'accettazione resta registrata con la versione del testo e la data. Se ci scrivi, ti mandiamo il testo che hai accettato.

Questo Accordo vale per i dati che inserisci in inOrdine e di cui sei tu il titolare del trattamento. Non riguarda i dati di cui è titolare inOrdine, come l'account e l'accesso: per quelli vale l'informativa sulla privacy. Si aggiunge ai Termini. Per i dati personali, se c'è una differenza, vale questo Accordo.

2. Oggetto

L'oggetto di questo Accordo è il trattamento dei dati personali che il fornitore inserisce in inOrdine e che noi trattiamo per suo conto. L'Accordo riguarda questi dati:

• il catalogo e i listini, per la parte legata ai singoli clienti (chi vede cosa e a quale prezzo);
• i suoi clienti, cioè l'anagrafica dei locali e delle persone di riferimento;
• i giri di consegna;
• gli ordini e gli abbuoni, con i prezzi e le quantità;
• la tua azienda nell'app: dipendenti, turni, inventario, carico del camion, consegne ed etichette;

L'ordine che un locale manda al fornitore passa da un titolare all'altro: da quel momento il locale e il fornitore sono ciascuno titolare per sé dei dati dell'ordine. Per entrambi inOrdine è responsabile del trattamento.

3. Durata

L'Accordo vale dal momento in cui lo accetti e per tutto il tempo in cui usi inOrdine. Non ha una scadenza da rinnovare. Finisce quando smetti di usare inOrdine o quando il servizio chiude, dopo che i dati sono stati restituiti o cancellati (sezione 15).

Continuano anche dopo la fine gli obblighi che per loro natura restano: la riservatezza e la cancellazione dei dati.

4. Natura e finalità del trattamento

Natura del trattamento: per tuo conto, noi facciamo queste cose:

• conservare e organizzare i dati nel database;
• mostrarli alle persone che il fornitore abilita, in base ai loro ruoli;
• calcolare prezzi, totali, orari limite e date di consegna;
• inviare, quando ci saranno, email e notifiche di servizio sugli ordini;
• fare copie di sicurezza e, alla fine, cancellare o restituire i dati.

Finalità: far funzionare per te le funzioni di inOrdine che usi, e nient'altro. Non facciamo profilazione né decisioni automatiche sulle persone.

5. Tipi di dati e categorie di persone

Tipi di dati personali trattati:

• dati dei clienti del fornitore: nome o ragione sociale, indirizzo di consegna, email, telefono, codice cliente;
• dati delle persone di riferimento dei clienti: nome, ruolo, email, telefono;
• dati degli ordini: chi ha ordinato, cosa, quando, quantità, prezzi, note, abbuoni e loro motivo;
• dati dei giri di consegna: giorni, orari, ordine delle tappe;
• dati dei collaboratori del fornitore che usano il pannello: nome, email, ruolo;
• dati di chi lavora per te nell'app: nome, email, ruolo, turni; chi ha caricato, consegnato o stampato e a che ora;
• le note che scrivi per un cliente.

Categorie di persone a cui i dati si riferiscono:

• i clienti del fornitore, quando sono ditte individuali o persone fisiche;
• le persone di riferimento dei clienti e chi, nel locale, fa gli ordini;
• i collaboratori e i dipendenti del fornitore che usano il pannello;
• i dipendenti del fornitore che usano l'app, per esempio chi carica il camion o consegna.

Non servono dati particolari: salute, appartenenza sindacale, convinzioni religiose o politiche. Non scriverli nelle note o in altri campi liberi.

6. I dipendenti e i loro dati

Sei il datore di lavoro di chi carica e consegna: devi informarlo, anche con il Modello di informativa per i dipendenti. inOrdine registra chi ha caricato o consegnato e a che ora per seguire la merce, non per controllare il lavoro: niente localizzazione, niente punteggi. Se usi altri strumenti di controllo, chiedi al tuo consulente.

7. Solo su tue istruzioni

Trattiamo i dati solo su tue istruzioni documentate. Sono tue istruzioni: questo Accordo e i Termini, quello che fai usando le funzioni di inOrdine e le richieste che ci mandi per iscritto via email, purché siano in linea con questo Accordo.

Se una legge dell'Unione europea o italiana ci obbliga a trattare i dati in modo diverso, ti avvisiamo prima, salvo che la legge lo vieti. Se pensiamo che una tua istruzione violi il GDPR o altre norme sulla protezione dei dati, te lo diciamo subito.

8. Nessun uso dei dati per scopi di inOrdine

Non usiamo i tuoi dati per scopi nostri. Niente statistiche o confronti tra più clienti, niente marketing, niente «miglioramento del prodotto» fatto con dati reali. Non li vendiamo e non li cediamo.

Non mostriamo mai i tuoi dati, i tuoi prezzi o i tuoi clienti ad altri fornitori o ad altri clienti.

Se decidessimo noi perché e come usare questi dati, diventeremmo titolari per quella parte, con le responsabilità che ne seguono (art. 28 par. 10 del GDPR).

9. Riservatezza

Chi può trattare i tuoi dati (oggi Roberto Nazzaro, e chi in futuro lavorerà con noi) è vincolato alla riservatezza, con un impegno scritto o per obbligo di legge. Si entra nei tuoi dati solo se serve: per assistenza che ci hai chiesto, per far funzionare il servizio o per un obbligo di legge.

10. Misure di sicurezza

Applichiamo misure di sicurezza adeguate al rischio (art. 32 del GDPR) e le teniamo aggiornate. In sintesi:

• isolamento dei dati: ogni fornitore e ogni locale vede solo i propri dati, con regole di accesso nel database che lo garantiscono, non con semplici filtri nell'app;
• accessi con autenticazione: per entrare serve un account personale, con password, codice inviato per email o accesso con Google o Apple, e ognuno vede solo quello che il suo ruolo permette;
• comunicazioni protette da cifratura tra app, pannello e servizi;
• copie di sicurezza dei dati, a rotazione, conservate al massimo 7 giorni;
• chiavi e codici di accesso ai servizi tenuti segreti, fuori dal codice delle app e a disposizione solo di chi ne ha bisogno;
• fornitori tecnici scelti con garanzie di sicurezza e di protezione dei dati (sezione 11).

11. Fornitori tecnici (altri responsabili)

Per far funzionare inOrdine ci appoggiamo ad altri fornitori, che trattano dati per nostro conto. Questo è l'elenco di oggi. Con questo Accordo ci autorizzi in via generale a usarli (art. 28 par. 2 del GDPR):

• Supabase: Database, accesso degli utenti e archivio dei file. Dove: Unione europea (Francoforte). Garanzia: Clausole contrattuali tipo (la società è Supabase Pte. Ltd., Singapore).
• Vercel: Pannello web per i fornitori. Dove: Funzioni a Francoforte; società negli Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
• Resend: Invio delle email di servizio. Dove: Stati Uniti. Garanzia: Data Privacy Framework e clausole contrattuali tipo.
• Expo: Invio delle notifiche push. Dove: Stati Uniti. Garanzia: Data Privacy Framework.
• Apple: Consegna delle notifiche push sui telefoni Apple (APNs). Dove: Stati Uniti. Garanzia: Data Privacy Framework.
• Google: Consegna delle notifiche push sui telefoni Android (Firebase Cloud Messaging). Dove: Stati Uniti. Garanzia: Data Privacy Framework.

Apple e Google compaiono qui solo perché consegnano le notifiche push. Se accedi con Google o Apple, per quell'accesso loro sono titolari autonomi: non sono nostri fornitori tecnici.

Con ognuno di loro abbiamo un contratto, o ne abbiamo accettato le condizioni sulla protezione dei dati, con gli stessi obblighi di questo Accordo. Verso di te restiamo responsabili del loro lavoro (art. 28 par. 4).

Se decidiamo noi di aggiungere o sostituire un fornitore tecnico, ti avvisiamo almeno 14 giorni prima, per email e nel pannello. Se invece il cambiamento lo decide un nostro fornitore tecnico, ti avvisiamo appena lo veniamo a sapere. In tutti e due i casi puoi esercitare il diritto di opporsi al cambio, per motivi ragionevoli legati alla protezione dei dati, scrivendo a [da completare]. Se non troviamo insieme una soluzione, puoi lasciare inOrdine e riavere i tuoi dati senza penali.

12. Trasferimenti fuori dall'Unione europea

Il database sta nell'Unione europea. Alcuni fornitori tecnici (Vercel, Resend, Expo, Apple e Google) hanno sede o società negli Stati Uniti. I dati escono dall'Unione europea solo con una garanzia: il Data Privacy Framework oppure le clausole contrattuali tipo approvate dalla Commissione europea. Non li mandiamo in altri Paesi senza averti avvisato come per un nuovo fornitore tecnico.

13. Assistenza per i diritti delle persone e per gli obblighi di legge

Ti aiutiamo, con le informazioni che abbiamo, a rispettare i tuoi obblighi di titolare, senza costi aggiuntivi per l'assistenza ordinaria:

• i diritti delle persone (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione): se una persona ci scrive su dati di cui sei titolare, non rispondiamo nel merito, ma la giriamo a te e ti aiutiamo a esportare, correggere o cancellare i dati: oggi lo facciamo noi, a mano, quando ce lo chiedi;
• la sicurezza, le violazioni dei dati, la valutazione d'impatto e la consultazione del Garante (artt. 32-36 del GDPR): ti diamo le informazioni che ti servono a farlo.

14. Violazioni dei dati

Se veniamo a conoscenza di una violazione dei dati, cioè di un accesso, una perdita o una diffusione non autorizzati, ti avvisiamo senza ingiustificato ritardo e, se possibile, entro 48 ore. Ti avvisiamo anche se non siamo ancora sicuri del rischio: decidi tu, come titolare.

Nell'avviso mettiamo, per quanto sappiamo:

• cosa è successo;
• che dati e quante persone sono coinvolte, circa;
• le conseguenze probabili;
• cosa stiamo facendo per rimediare e cosa puoi fare tu.

Le informazioni possono arrivare in più riprese. Tu, come titolare, decidi se avvisare il Garante (di norma entro 72 ore da quando lo sai) e le persone: ti aiutiamo a farlo. Teniamo un registro delle violazioni, anche di quelle che non vanno notificate.

15. Cancellazione o restituzione dei dati alla fine

Quando smetti di usare inOrdine, o quando finisce il servizio, ti avvisiamo e hai almeno 30 giorni per chiederci, scrivendo a [da completare], la restituzione di una copia dei tuoi dati in un formato che si può leggere e riusare. Poi, a tua scelta, cancelliamo i dati: se preferisci che lo facciamo subito, scrivicelo. Se non scegli, li cancelliamo noi entro 30 giorni dalla fine di quel periodo.

La cancellazione comprende le copie di sicurezza, che si cancellano a rotazione in al massimo 7 giorni. Teniamo solo ciò che una legge ci obbliga a conservare e la prova di aver accettato questo Accordo, che conserviamo per 10 anni, il termine ordinario di prescrizione.

Gli ordini fanno parte dei dati che ti restituiamo. Conservarli per i tuoi obblighi contabili e per potersi difendere in giudizio, e per quanto tempo, lo decidi tu.

16. Informazioni e verifiche

Ti mettiamo a disposizione le informazioni che servono a dimostrare che rispettiamo questo Accordo e l'art. 28 del GDPR. Puoi fare verifiche, anche tramite una persona di tua fiducia, con un preavviso ragionevole e in orario di lavoro, senza bloccare il servizio e senza accedere ai dati di altri clienti. Di solito basta che ti rispondiamo per iscritto e ti mostriamo i documenti: se serve di più, ne parliamo.

17. Cambiamenti all'Accordo

Se cambiamo questo Accordo, ti avvisiamo direttamente per email, perché pubblicarlo sul sito non basta. Se il cambiamento è importante, ti chiediamo di accettare la versione nuova prima di continuare a usare inOrdine. Se non sei d'accordo puoi lasciare inOrdine e riavere i tuoi dati senza penali.

18. Responsabilità, legge e giudice

Ciascuna parte risponde secondo il GDPR (art. 82) e il codice civile. Questo Accordo non limita la responsabilità di nessuna delle parti.

Questo Accordo può passare a una società costituita da Roberto Nazzaro o da lui controllata, per gestire inOrdine. Ti avvisiamo per email e nel pannello almeno 30 giorni prima. Il passaggio avviene con una nuova versione dei testi, che cambia solo chi gestisce il servizio. Se non sei d'accordo, puoi smettere di usare inOrdine e chiedere la copia e la cancellazione dei tuoi dati.

Questo Accordo è regolato dalla legge italiana. Per le controversie vale il giudice competente secondo le regole ordinarie.