1. Parti
- Titolare del trattamento: l’organizzazione cliente registrata in Sourevo (importatore, operatore, commerciante o spedizioniere / rappresentante autorizzato). Decide quali dati caricare e per quale scopo.
- Responsabile del trattamento: Juan Cantón Rodríguez (NIF 45492167F), Carrer de Pau Casals 19, 4º 2ª, 08213 Polinyà (Barcelona), España, che opera con il marchio «Francodesystems».
Il presente accordo copre i dati che la Sua organizzazione inserisce, importa o riceve nello strumento per la propria dovuta diligenza, compresi i dati dell’operatore per TRACES NT e il contenuto delle dichiarazioni. I dati degli account utente e quelli che i fornitori gestiscono nel proprio portale sono da noi trattati in qualità di titolari, secondo l’informativa sulla privacy. Quando un fornitore condivide un appezzamento con Lei, l’uso che ne fa nella Sua dovuta diligenza rientra nel presente accordo.
Se la Sua organizzazione tratta a sua volta tali dati per conto di un’altra impresa (ad esempio uno spedizioniere o rappresentante autorizzato che lavora per un operatore), il presente accordo funge da sub-incarico: Lei garantisce che tale titolare Le consente di avvalersi di noi e gli trasmetterà le informazioni del presente documento di cui abbia bisogno.
2. Oggetto, dati e durata
- Categorie di interessati: fornitori e produttori che siano persone fisiche (compresi i piccoli produttori), persone di contatto di fornitori e operatori, e persone che compaiono nelle prove documentali che carica.
- Categorie di dati: nome, e-mail, telefono, paese, identificativo fiscale, geolocalizzazione e superficie degli appezzamenti (punto o poligono), documenti probatori, dati dell’operatore e della relativa persona di contatto, e contenuto delle dichiarazioni (DDS). Le credenziali del servizio web di TRACES NT non sono utilizzate per nulla di diverso dalle operazioni che Lei dispone e sono conservate in forma cifrata.
- Natura del trattamento: hosting, registrazione, organizzazione, consultazione, validazione, trasmissione a TRACES NT su Sua istruzione, consultazione di identificativi fiscali in registri pubblici, conservazione e cancellazione.
- Finalità: prestarLe il servizio descritto nelle condizioni, affinché prepari, presenti e documenti la Sua dovuta diligenza ai sensi del Regolamento (UE) 2023/1115.
- Durata: per la durata del Suo account, più il periodo di conservazione di cui al punto 8.
Non sono trattate categorie particolari di dati di cui all’articolo 9 del GDPR. Se carica dati non necessari per la dovuta diligenza, la decisione e la responsabilità sono Sue.
3. Istruzioni
Trattiamo i dati solo secondo le Sue istruzioni documentate, costituite dalle presenti condizioni e dalle azioni che Lei compie nell’applicazione o tramite l’integrazione: ad esempio, disporre la presentazione di una DDS in TRACES NT costituisce un’istruzione a trasmettere tali dati alla Commissione europea. Se un’istruzione ci sembra contraria al GDPR o ad altra normativa, glielo comunicheremo immediatamente.
Tratteremmo i dati in modo diverso solo se obbligati dal diritto dell’Unione o della Spagna. In tal caso La informeremo prima, salvo che la stessa normativa lo vieti.
Non utilizziamo i dati per fini propri: né per profilazione, né per addestrare modelli, né per venderli, né per offrirli ad altri clienti.
4. I nostri obblighi
- Mantenere la riservatezza ed esigerla da chiunque acceda ai dati, anche dopo la cessazione dell’incarico.
- Applicare le misure di sicurezza di cui all’articolo 32 del GDPR (si veda il punto 6).
- AssisterLa nel dare seguito ai diritti degli interessati. Se riceviamo una richiesta da un Suo interessato, gliela trasmettiamo senza rispondere autonomamente.
- AvvisarLa di una violazione dei dati personali senza ingiustificato ritardo e, in ogni caso, entro le 24 ore successive al momento in cui ne veniamo a conoscenza, con quanto noto in quel momento (cosa è successo, quali dati e interessati possono essere coinvolti, probabili conseguenze e misure adottate), e completare successivamente le informazioni, affinché Lei possa effettuare la notifica all’autorità entro le Sue 72 ore (art. 33 GDPR).
- AssisterLa, per quanto di nostra competenza, nelle valutazioni d’impatto e nelle consultazioni preventive.
- Tenere il registro delle attività di trattamento in qualità di responsabili (art. 30, par. 2, GDPR).
- Mettere a Sua disposizione le informazioni necessarie a dimostrare la conformità e consentire audit ragionevoli, con preavviso e senza compromettere la sicurezza né i dati di altri clienti.
- Non trasferire dati al di fuori dello Spazio economico europeo se non ai sub-responsabili di cui al punto 5 e con le garanzie ivi indicate.
5. Sub-responsabili
Lei ci autorizza in via generale ad avvalerci dei seguenti sub-responsabili, con i quali abbiamo un contratto che impone obblighi equivalenti a quelli del presente accordo:
| Sub-responsabile | Ubicazione | Servizio | Garanzie |
|---|---|---|---|
| Hetzner Online GmbH | Società tedesca; server nel suo data center in Finlandia (UE) | Hosting del server, base dati, file e copie di sicurezza | All’interno dell’UE |
| Resend, Inc. | Stati Uniti | Invio delle e-mail di servizio (ad esempio inviti ai fornitori): indirizzo di destinazione, nome e contenuto dell’e-mail | Clausole contrattuali tipo e Quadro UE-USA per la protezione dei dati personali |
| Google Cloud EMEA Limited (Google Workspace) | Irlanda (UE), con possibili trasferimenti negli USA | Casella di posta dell’assistenza. Riceve dati dell’incarico solo se ce li invia via e-mail | Clausole contrattuali tipo e Quadro UE-USA per la protezione dei dati personali |
| Cloudflare, Inc. | Stati Uniti | Solo DNS del dominio, senza proxy: non riceve il traffico né i dati dell’incarico. È incluso per trasparenza | Quadro UE-USA per la protezione dei dati personali e clausole contrattuali tipo |
Non sono sub-responsabili, ma destinatari su Sua istruzione: la Commissione europea (TRACES NT), che riceve le dichiarazioni che Lei presenta e le tratta in qualità di titolare, e i registri fiscali pubblici (VIES della Commissione europea, registro del CNPJ del Brasile) che consultiamo per validare gli identificativi fiscali.
Se aggiungiamo o sostituiamo un sub-responsabile, La avvisiamo con almeno 30 giorni di anticipo. Può opporsi per motivi ragionevoli; se non troviamo un’alternativa, può risolvere il contratto senza penali.
Rispondiamo nei Suoi confronti dell’adempimento, da parte dei nostri sub-responsabili, dei loro obblighi in materia di protezione dei dati (art. 28, par. 4, GDPR).
6. Misure di sicurezza
- Cifratura in transito (HTTPS) e credenziali di TRACES NT cifrate a riposo con AES-256-GCM.
- Password con hash argon2id e sessioni firmate in cookie HttpOnly e Secure.
- Isolamento per organizzazione in ogni interrogazione e visibilità di ciascun appezzamento controllata dal fornitore.
- Registro di audit e storico delle dichiarazioni in sola aggiunta.
- Limitazione dei tentativi di accesso e accesso del personale limitato al minimo necessario.
- Copie di sicurezza della base dati, conservate all’interno dell’Unione europea.
Riesaminiamo tali misure quando cambia il servizio o il rischio. Se una di esse cambia, manterremo almeno lo stesso livello di protezione.
7. Compiti della Sua organizzazione
- Disporre di una base giuridica per i dati che carica e informare gli interessati (art. 14 GDPR), in particolare i produttori la cui geolocalizzazione intende includere in una DDS presentata alla Commissione europea.
- Garantire l’esattezza dei dati e verificare ogni dichiarazione prima di presentarla.
- Gestire chi, all’interno della Sua organizzazione, ha accesso e con quale ruolo.
- Includerci come responsabile del trattamento nel Suo registro delle attività di trattamento.
8. Alla cessazione dell’incarico
Al termine del rapporto Lei dispone di almeno 30 giorni per chiederci la restituzione dei dati in un formato strutturato (GeoJSON, CSV o JSON, e i file delle prove documentali). Successivamente li cancelliamo, con due eccezioni:
- L’archivio delle dichiarazioni presentate e la relativa documentazione. Salvo Sue diverse indicazioni, accettando il presente accordo Lei ci dà istruzione di conservarlo bloccato fino al compimento di 5 anni da ciascuna presentazione, affinché possa consegnarlo qualora un’autorità glielo richieda durante il periodo di conservazione che l’EUDR impone a Lei (artt. 4, par. 3, e 12, par. 5). Può indicarci per iscritto di cancellarlo prima, una volta in possesso della Sua copia.
- Quanto il diritto dell’Unione o della Spagna ci obblighi a conservare, anch’esso bloccato.
Durante il blocco i dati non sono utilizzati per alcuno scopo, salvo per dare seguito a una Sua richiesta o a una richiesta di un’autorità o di un giudice.
9. Responsabilità e contatto
Ciascuna parte risponde dei propri obblighi ai sensi dell’articolo 82 del GDPR, con le limitazioni previste dalle condizioni di utilizzo e di contratto nella misura consentita dalla legge.
Per qualsiasi questione relativa al presente accordo, un audit o la sottoscrizione di un contratto specifico, se il Suo ufficio legale lo preferisce: juan.canton@sourevo.com.