Premessa: due ruoli distinti
Sourevo tratta dati personali in due ruoli, ed è opportuno distinguerli perché i diritti si esercitano nei confronti del soggetto competente:
- In qualità di titolari del trattamento trattiamo i dati di chi visita il sito web, delle persone che utilizzano gli account cliente e dei fornitori che creano il proprio account nel portale. Di questo si occupa la presente informativa.
- In qualità di responsabili del trattamento trattiamo i dati che ciascuna organizzazione cliente (importatore, operatore o spedizioniere) carica o utilizza nel proprio spazio: i suoi fornitori, appezzamenti e prove documentali, i dati dell’operatore per TRACES NT e il contenuto delle dichiarazioni che presenta. In tal caso il titolare è tale organizzazione e noi ci limitiamo a seguirne le istruzioni, secondo l’accordo sul trattamento dei dati.
Quando un fornitore decide di condividere un appezzamento con un cliente, tale cliente lo utilizza per la propria dovuta diligenza e, per tale uso, ne è titolare.
Se Lei è un fornitore o un produttore e un cliente di Sourevo ha caricato i Suoi dati, il soggetto a cui rivolgersi è tale cliente. Se non sa quale sia, ci scriva e La aiuteremo a contattarlo.
1. Titolare del trattamento
- Titolare: Juan Cantón Rodríguez, lavoratore autonomo, che opera con il marchio «Francodesystems».
- NIF: 45492167F
- Domicilio: Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España
- E-mail: juan.canton@sourevo.com
Non abbiamo designato un Responsabile della protezione dei dati perché l’attività non rientra nei casi previsti dall’articolo 37 del GDPR e dall’articolo 34 della LOPDGDD. Per qualsiasi questione relativa alla privacy, utilizzi l’indirizzo e-mail indicato.
2. Quali dati trattiamo in qualità di titolari
- Persone che utilizzano gli account cliente: nome, indirizzo e-mail, password (conservata solo come hash con argon2id, mai in chiaro), organizzazione di appartenenza (ragione sociale e codice fiscale o partita IVA) e relativo ruolo.
- Fornitori con account proprio nel portale: nome, indirizzo e-mail, password (solo hash), lingua preferita, verifica dell’indirizzo e-mail, identificativo fiscale dichiarato (tipo, numero e paese), esito della relativa validazione e livello di affidabilità risultante.
- Dati che il fornitore dichiara nel proprio portale: dati del fornitore (nome, paese, e-mail, telefono), i suoi appezzamenti (nome, paese, superficie e geolocalizzazione come punto o poligono), le prove documentali che allega e i clienti con cui decide di condividere ciascun appezzamento. La geolocalizzazione dell’appezzamento di un piccolo produttore può costituire un dato personale.
- Sicurezza e tracciabilità: registro di audit delle azioni (cosa è stato fatto, su cosa, quando e da quale tipo di utente), codici monouso per verificare l’indirizzo e-mail o reimpostare la password (ne conserviamo solo l’hash), l’indirizzo IP, utilizzato in memoria per pochi minuti per limitare i tentativi di accesso (non viene salvato nella base dati), e i log tecnici del server.
- Assistenza e contatto: quanto ci comunica via e-mail o WhatsApp.
Non richiediamo categorie particolari di dati (art. 9 GDPR). Non utilizziamo strumenti di analisi, pubblicità né tracciatori di terzi.
Origine dei dati. Quasi tutti ci vengono forniti da Lei. Vi sono tre eccezioni: se l’amministratore della Sua organizzazione La invita, è lui a fornirci il Suo nome e il Suo indirizzo e-mail; se un cliente La invita come fornitore, ci fornisce il Suo nome e il Suo indirizzo e-mail per inviarLe l’invito (in questo agiamo come suoi responsabili del trattamento); e l’esito della validazione del Suo identificativo fiscale proviene dal registro pubblico consultato (VIES o CNPJ).
3. Finalità e base giuridica
| Finalità | Dati | Base giuridica |
|---|---|---|
| Creare e mantenere il Suo account, identificarLa e prestare il servizio sottoscritto o richiesto | Account cliente o fornitore, organizzazione | Esecuzione del contratto (art. 6, par. 1, lett. b), GDPR). Se utilizza l’account come dipendente di un’impresa cliente, il legittimo interesse a mantenere il rapporto con essa (art. 6, par. 1, lett. f), GDPR e art. 19 LOPDGDD) |
| Mettere a disposizione dei clienti da Lei scelti gli appezzamenti che dichiara in qualità di fornitore | Dati del fornitore, appezzamenti, prove documentali | Esecuzione del contratto con il fornitore (art. 6, par. 1, lett. b), GDPR) |
| Validare l’identificativo fiscale del fornitore nei registri pubblici e calcolarne il livello di affidabilità | Identificativo fiscale ed esito della validazione | Legittimo interesse all’affidabilità delle informazioni della catena di approvvigionamento, che il fornitore stesso persegue dichiarandole (art. 6, par. 1, lett. f), GDPR) |
| Inviare e-mail di servizio: verifica, inviti, reimpostazione della password, avvisi relativi all’account | Nome, e-mail, lingua | Esecuzione del contratto (art. 6, par. 1, lett. b), GDPR) |
| Sicurezza, prevenzione degli abusi e registro di audit | Registri di audit e log tecnici, IP in memoria | Legittimo interesse a proteggere il servizio e a poter dimostrare chi ha effettuato ciascuna modifica (art. 6, par. 1, lett. f), GDPR) |
| Adempiere obblighi di legge: fiscali e contabili in caso di fatturazione, e rispondere alle richieste delle autorità | Dati di fatturazione e quelli richiesti | Obbligo legale (art. 6, par. 1, lett. c), GDPR) |
| Rispondere a richieste e fornire assistenza | Quanto ci comunica | Esecuzione del contratto o misure precontrattuali (art. 6, par. 1, lett. b), GDPR) e, per le richieste generali, legittimo interesse (art. 6, par. 1, lett. f), GDPR) |
Può opporsi ai trattamenti basati sul legittimo interesse (si veda il punto 8). Attualmente non inviamo newsletter né comunicazioni commerciali. Il livello di affidabilità del fornitore è un indicatore basato su controlli oggettivi; non è una decisione automatizzata che produce effetti giuridici nei Suoi confronti (art. 22 GDPR): la decisione di lavorare o meno con un fornitore spetta a ciascun cliente.
I dati contrassegnati come obbligatori nei moduli sono necessari per prestare il servizio; senza di essi non possiamo creare l’account o eseguire l’operazione.
La preparazione, presentazione, modifica o ritiro di dichiarazioni in TRACES NT non compare in questa tabella perché la effettuiamo in qualità di responsabili del trattamento, su istruzione dell’organizzazione cliente: la finalità e la base giuridica sono decise da quest’ultima.
4. A chi sono comunicati i dati
- Commissione europea (TRACES NT): quando un’organizzazione cliente, o il suo rappresentante autorizzato, dispone la presentazione di una DDS, i dati della dichiarazione (operatore, prodotti, quantità, geolocalizzazione degli appezzamenti e riferimenti) sono inviati al sistema di informazione dell’EUDR gestito dalla Commissione europea. Lo facciamo in qualità di responsabili del trattamento per conto di tale cliente. Da lì i dati sono accessibili alle autorità competenti degli Stati membri e alle dogane. La Commissione li tratta secondo la propria normativa in materia di protezione dei dati (Regolamento (UE) 2018/1725).
- Registri fiscali pubblici: per validare l’identificativo fiscale di un fornitore consultiamo il servizio VIES della Commissione europea (partite IVA dell’UE) o il registro pubblico del CNPJ del Brasile. Inviamo solo il numero e il paese.
- Clienti di Sourevo: gli appezzamenti e i dati che un fornitore decide di condividere con un determinato cliente, e solo con esso. Tale cliente li utilizza in qualità di titolare per la propria dovuta diligenza.
- Fornitori di servizi (responsabili del trattamento): quelli indicati al punto 5, con contratto ai sensi dell’articolo 28 GDPR.
- Autorità e tribunali, quando una legge ci obblighi.
Non vendiamo né cediamo dati a fini commerciali.
5. Fornitori che ci aiutano a prestare il servizio
- Hetzner Online GmbH (Germania): hosting del server, situato nel suo data center in Finlandia (Unione europea), con la base dati e i file. La piattaforma di deployment (Coolify) è gestita da noi su tale server; non è un terzo.
- Resend, Inc. (Stati Uniti): invio delle e-mail di servizio. Riceve l’indirizzo di destinazione, il nome e il contenuto dell’e-mail, e li conserva negli Stati Uniti.
- Mollie B.V. (Paesi Bassi): incasso con carta e addebito diretto SEPA. Riceve i dati di fatturazione, il nome del titolare e l’IBAN o i dati della carta, che non conserviamo noi. Per i dati di pagamento agisce anche come titolare, con la propria informativa sulla privacy.
- Holded Technologies S.L. (Spagna): software di fatturazione. Riceve i dati di fatturazione dei clienti paganti (ragione sociale, codice fiscale, indirizzo ed e-mail) e gli importi fatturati.
- Google Cloud EMEA Limited (Irlanda), con Google Workspace: la casella di posta di juan.canton@sourevo.com. Riceve quanto ci scrive via e-mail.
- Cloudflare, Inc. (Stati Uniti): solo risoluzione DNS del dominio sourevo.com. Il traffico del sito web non passa per Cloudflare (senza proxy), pertanto non riceve il contenuto delle Sue visite né i Suoi dati.
Se ci scrive tramite WhatsApp, tale servizio è prestato da WhatsApp Ireland Limited con le proprie condizioni e la propria informativa sulla privacy. Non lo utilizzi per inviarci dati di terzi; a tal fine, utilizzi l’e-mail.
6. Trasferimenti internazionali
I dati del servizio sono ospitati nell’Unione europea. Vi è trasferimento al di fuori dello Spazio economico europeo nei seguenti casi:
- Resend, Inc. (USA): basato sulle clausole contrattuali tipo della Commissione europea incluse nel suo accordo sul trattamento dei dati e, inoltre, sulla decisione di adeguatezza del Quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), presso il quale Resend è certificata.
- Google (Workspace): il contratto è con una società irlandese, ma Google può trattare dati in altri paesi, compresi gli USA. Tali trasferimenti si basano sulle clausole contrattuali tipo del suo accordo sul trattamento dei dati e sul Quadro UE-USA per la protezione dei dati personali.
- Cloudflare, Inc. (USA): limitato ai dati tecnici di risoluzione DNS, basato sul medesimo Quadro per la protezione dei dati personali e su clausole contrattuali tipo.
- Registro del CNPJ del Brasile: viene consultato un numero di identificazione di un’impresa brasiliana, al fine di validare l’identità dichiarata dal fornitore stesso.
Può chiederci maggiori informazioni su queste garanzie all’indirizzo juan.canton@sourevo.com.
7. Per quanto tempo li conserviamo
- Account: finché è attivo. Dopo il recesso, i dati sono bloccati (art. 32 LOPDGDD) per i periodi in cui possono essere fatte valere responsabilità (in via generale, 5 anni per le azioni contrattuali e fino a 6 anni per la documentazione contabile e fiscale), e successivamente cancellati.
- Dichiarazioni (DDS) e dati caricati da un cliente: li conserviamo in qualità di responsabili del trattamento, secondo le istruzioni del cliente e quanto previsto nell’accordo sul trattamento dei dati. Per impostazione predefinita, l’archivio delle dichiarazioni è conservato bloccato per 5 anni da ciascuna presentazione, che è il periodo minimo che l’EUDR impone all’operatore.
- Registro di audit: finché esiste il dato a cui si riferisce e, al massimo, 5 anni.
- Codici monouso: fino alla scadenza o all’utilizzo.
- IP per limitare i tentativi: solo in memoria, per la durata della finestra di controllo (minuti).
- Log tecnici del server: il tempo strettamente necessario per la sicurezza e la risoluzione degli incidenti e, al massimo, 30 giorni.
- Account di prova che non sottoscrivono un piano: sono cancellati entro un termine ragionevole dopo la fine della prova, previo avviso.
- Richieste di assistenza: per la durata della richiesta e fino a un anno dopo.
8. I Suoi diritti
Può esercitare i diritti di accesso, rettifica, cancellazione, opposizione, limitazione del trattamento e portabilità, e il diritto di non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati, scrivendo a juan.canton@sourevo.com. Le chiederemo di dimostrare la Sua identità solo in caso di ragionevoli dubbi. Rispondiamo entro un mese, prorogabile di altri due mesi nei casi complessi (in tal caso glielo comunicheremmo).
Se ritiene che non abbiamo gestito correttamente la Sua richiesta, può proporre reclamo all’Agencia Española de Protección de Datos (C/ Jorge Juan 6, 28001 Madrid, www.aepd.es) o all’autorità di controllo del paese in cui vive o lavora.
Se i Suoi dati sono stati caricati da un cliente di Sourevo, si rivolga a tale cliente; se la Sua richiesta giunge a noi, gliela trasmettiamo.
9. Sicurezza
Applichiamo misure tecniche e organizzative adeguate al rischio: connessioni cifrate (HTTPS), password con hash argon2id, credenziali di TRACES NT cifrate con AES-256-GCM, cookie di sessione firmati, HttpOnly e Secure, isolamento dei dati di ciascuna organizzazione in ogni interrogazione, visibilità degli appezzamenti controllata dal fornitore, storico delle dichiarazioni in sola aggiunta, limitazione dei tentativi di accesso e accesso minimo indispensabile. Ci impegniamo inoltre a mantenere copie di sicurezza della base dati all’interno dell’Unione europea.
Nessun sistema è infallibile. In caso di violazione di sicurezza che interessi i Suoi dati, la notificheremo all’AEPD nei casi e nei termini dell’articolo 33 del GDPR e La avviseremo se comporta un rischio elevato per Lei (art. 34 GDPR).
10. Minori
Sourevo è un servizio professionale e non è rivolto ai minori di 18 anni. Non raccogliamo consapevolmente dati di minori; se rileviamo che è stato creato un account di un minore, lo cancelleremo.
11. Modifiche alla presente informativa
Se modifichiamo la presente informativa in modo rilevante (ad esempio un nuovo fornitore o una nuova finalità), La avviseremo via e-mail o nell’applicazione prima che si applichi. La data dell’ultimo aggiornamento è indicata in alto.