Accordo sul trattamento dei dati

La presente è una traduzione fornita per comodità. In caso di difformità rispetto al testo inglese, prevale il testo inglese.

Responsabile del trattamento

Transfer Runner Ltd (società registrata in Inghilterra e Galles con il numero 17488928), 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, Regno Unito, [email protected] ("TransferRunner")

Titolare del trattamento

("Azienda")

Il presente accordo costituisce parte integrante del Contratto di abbonamento TransferRunner. Esso disciplina il rapporto tra il titolare del trattamento e il responsabile del trattamento ai sensi dell'articolo 28 dello UK GDPR, dell'articolo 28 del Regolamento generale sulla protezione dei dati dell'UE (GDPR) e dell'articolo 12 della legge turca n. 6698 sulla protezione dei dati personali (KVKK), nonché di qualsiasi altra normativa in materia di protezione dei dati applicabile all'Azienda (congiuntamente, la "Normativa sulla protezione dei dati"). TransferRunner è una società stabilita nel Regno Unito.

1. Ruoli

Per i dati di ospiti, autisti e personale dell'Azienda trattati nel Servizio, l'Azienda è il titolare del trattamento e TransferRunner è il responsabile del trattamento. TransferRunner tratta tali dati esclusivamente per conto dell'Azienda e al fine di fornire il Servizio.

2. Oggetto, durata e finalità

• Oggetto e finalità: ricezione e gestione delle prenotazioni, pubblicazione del sito di prenotazione dell'Azienda, assegnazione degli autisti, invio di notifiche agli ospiti, monitoraggio dei voli, indirizzamento degli ospiti al fornitore di pagamento, reportistica, nonché l'hosting e i backup a tal fine necessari.
• Durata: per la durata del Contratto di abbonamento e fino alla scadenza del termine di cancellazione di cui all'articolo 8.
• Interessati: ospiti e passeggeri, persone che effettuano prenotazioni, destinatari delle fatture, autisti dell'Azienda e utenti del pannello.
• Categorie di dati: nome, e-mail e numero di telefono; indirizzi di prelievo e di destinazione, data e ora, numero di volo, numero di passeggeri e note; importo e stato del pagamento (nessun dato della carta); dati di fatturazione; recensioni; posizione dell'autista durante una corsa; dati della patente di guida e dei documenti del veicolo degli autisti; indirizzi IP e log tecnici.
• Categorie particolari di dati: non è previsto il loro trattamento. L'Azienda si assicura che categorie particolari di dati, quali informazioni sulla salute, non siano inserite nei campi delle note.

3. Obblighi di TransferRunner

• Trattare i dati esclusivamente su istruzione documentata dell'Azienda. Il presente accordo, il Contratto di abbonamento e le impostazioni dell'Azienda nel pannello costituiscono le sue istruzioni. Qualora TransferRunner ritenga che un'istruzione sia illecita, ne informa immediatamente l'Azienda.
• Garantire che il personale autorizzato ad accedere ai dati sia vincolato alla riservatezza.
• Adottare e mantenere aggiornate le misure di sicurezza tecniche e organizzative di cui all'Allegato 1.
• Assistere l'Azienda, tramite gli strumenti del pannello e in misura ragionevole, nel dare seguito alle richieste degli interessati (quali accesso, rettifica o cancellazione), e trasmettere senza ritardo qualsiasi richiesta ricevuta direttamente.
• Informare l'Azienda senza ingiustificato ritardo, e non oltre 48 ore dal momento in cui ne è venuta a conoscenza, di una violazione dei dati personali, con le informazioni note in quel momento, e assistere l'Azienda nella notifica all'autorità di controllo, quale l'ICO, un'autorità dell'UE o l'Autorità turca per la protezione dei dati personali.
• Fornire informazioni ragionevoli qualora siano necessarie una valutazione d'impatto sulla protezione dei dati o una consultazione preventiva dell'autorità.
• Fornire le informazioni necessarie a dimostrare il rispetto del presente accordo e consentire un audit ragionevole all'anno, annunciato con almeno 30 giorni di anticipo e svolto senza interferire con l'operatività.

4. Sub-responsabili

L'Azienda concede a TransferRunner un'autorizzazione generale a ricorrere a sub-responsabili delle tipologie indicate di seguito. TransferRunner stipula con essi accordi scritti che tutelano i dati almeno quanto il presente accordo e rimane responsabile nei confronti dell'Azienda per i trattamenti da essi effettuati. Un nuovo sub-responsabile è annunciato nel pannello almeno 30 giorni prima del suo inserimento; l'Azienda può opporsi per motivi ragionevoli e, se l'opposizione non può essere risolta, può porre fine al proprio abbonamento con il rimborso descritto nel Contratto di abbonamento.

• Hosting dei server e backup
• Invio di e-mail
• Messaggistica SMS e WhatsApp (ad esempio Meta WhatsApp Business)
• Mappe e suggerimenti di indirizzi (Google Maps)
• Fornitore di informazioni sui voli (solo numero di volo e data)

Il fornitore di pagamento che l'Azienda collega con il proprio account (quale Stripe o iyzico) e i tag di misurazione e pubblicità che essa aggiunge al proprio sito (quali quelli di Google o Meta) non sono sub-responsabili di TransferRunner. Il rapporto con tali servizi intercorre direttamente tra l'Azienda e il fornitore.

5. Trasferimenti internazionali

• Aziende stabilite in Türkiye: l'invio di dati a TransferRunner nel Regno Unito costituisce un trasferimento all'estero ai sensi dell'articolo 9 della KVKK. Per tale trasferimento le parti sottoscrivono, senza modifiche, il contratto tipo "titolare del trattamento a responsabile del trattamento" pubblicato dall'Autorità turca per la protezione dei dati personali, e l'Azienda ne dà notifica all'Autorità entro 5 giorni lavorativi dalla sottoscrizione. TransferRunner fornisce le informazioni e i documenti necessari per la sottoscrizione.
• Aziende stabilite nello Spazio economico europeo: il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa al Regno Unito. Qualora tale decisione venga meno, le parti utilizzano le clausole contrattuali tipo di cui all'articolo 46 del GDPR.
• Aziende stabilite altrove: ove la Normativa sulla protezione dei dati applicabile all'Azienda richieda una specifica garanzia per i trasferimenti verso il Regno Unito, le parti la predispongono, e TransferRunner fornisce le informazioni necessarie.
• Sub-responsabili: per i sub-responsabili che trattano dati al di fuori del Regno Unito, dello Spazio economico europeo o della Türkiye, si utilizzano garanzie quali decisioni di adeguatezza, l'UK International Data Transfer Agreement (IDTA) o le clausole contrattuali tipo dell'UE.

6. Obblighi dell'Azienda

• Disporre di una valida base giuridica per il trattamento dei dati e informare gli interessati. TransferRunner fornisce testi già predisposti per il sito di prenotazione; spetta all'Azienda verificare che siano adatti alla propria attività e compilarli correttamente.
• Registrarsi presso l'autorità ove richiesto (ad esempio VERBİS in Türkiye o il versamento del contributo all'ICO nel Regno Unito).
• Impartire a TransferRunner esclusivamente istruzioni lecite e gestire correttamente i diritti di accesso degli utenti del pannello.

7. Riservatezza

TransferRunner non comunica i dati a terzi. Trasmette dati esclusivamente ai sub-responsabili in conformità al presente accordo, o alle autorità competenti ove la legge lo imponga, e informa l'Azienda di tale richiesta ove la legge lo consenta.

8. Cessazione del trattamento, restituzione e cancellazione

Alla cessazione del Contratto di abbonamento, l'Azienda può esportare i propri dati dal pannello per 30 giorni. Al termine di tale periodo TransferRunner cancella i dati dai propri sistemi in esercizio; le copie presenti nei backup sono cancellate automaticamente entro un massimo di 90 giorni. I dati la cui conservazione è imposta dalla legge (quali le registrazioni delle fatture proprie di TransferRunner) sono conservati per il periodo richiesto.

9. Responsabilità e ordine di prevalenza

La responsabilità derivante dal presente accordo è soggetta ai limiti previsti dal Contratto di abbonamento, ad eccezione della responsabilità che non può essere limitata per legge. In materia di dati personali, in caso di contrasto il presente accordo prevale sul Contratto di abbonamento.

10. Lingua e legge applicabile

Il presente accordo è redatto in lingua inglese e le traduzioni sono fornite per comodità; in caso di difformità di una traduzione, prevale il testo inglese. Si applicano la legge e i tribunali indicati nel Contratto di abbonamento, fatta salva la Normativa imperativa sulla protezione dei dati del paese dell'Azienda.

Allegato 1: Misure di sicurezza tecniche e organizzative

• Cifratura di tutte le connessioni (HTTPS / TLS)
• Password conservate esclusivamente come hash unidirezionali; accesso in due passaggi per il pannello
• Chiavi segrete del fornitore di pagamento conservate cifrate (AES-256) nel database; i dati delle carte non sono mai conservati
• Accesso basato sui ruoli: gli autisti vedono solo i servizi loro assegnati
• Separazione dei dati tra aziende: ciascuna azienda vede solo i propri dati
• Backup regolari e test di ripristino
• Accesso ai server limitato alle persone autorizzate, con registrazione degli accessi
• Aggiornamenti di sicurezza applicati regolarmente