Accordo sul trattamento dei dati personali (DPA)
Versione 2026-08 — bozza da validare legalmente. Il presente Accordo integra i Termini e Condizioni del Servizio SmartRents ed è stipulato ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR") fra l'Agenzia, in qualità di Titolare del trattamento, e SmartRents, in qualità di Responsabile del trattamento, per i dati personali trattati tramite la Piattaforma.
1. Ruoli
1.1 L'Agenzia è Titolare dei dati personali dei propri clienti finali, conducenti, dipendenti e fornitori inseriti o raccolti tramite la Piattaforma (anagrafiche, documenti d'identità e patenti, contratti, pagamenti, comunicazioni).
1.2 SmartRents è Responsabile per tali trattamenti e li effettua esclusivamente per conto e su istruzione documentata del Titolare (i presenti Termini, la configurazione del pannello e le funzioni della Piattaforma costituiscono istruzione).
1.3 SmartRents è Titolare autonomo dei dati relativi agli utenti dell'Agenzia (account, log di accesso, fatturazione del servizio) e dei dati dei clienti finali che prenotano tramite il marketplace smartrents.it fino alla trasmissione della prenotazione all'Agenzia (con la quale diventa contitolare/Responsabile per la sola gestione della prenotazione), come descritto nell'informativa privacy del marketplace.
2. Oggetto, durata, natura e finalità del trattamento
| Elemento | Descrizione |
|---|---|
| Oggetto | Fornitura del gestionale, del sito/widget di prenotazione, del marketplace e dei canali di distribuzione |
| Durata | Per tutta la durata del contratto e per il periodo di conservazione successivo (60 giorni per l'esportazione, salvo obblighi di legge) |
| Natura | Raccolta, registrazione, organizzazione, conservazione, consultazione, comunicazione (a fornitori indicati), cancellazione |
| Finalità | Gestione di prenotazioni, contratti di noleggio, firma elettronica, pagamenti, fatturazione, comunicazioni obbligatorie (CARGOS/PS), notifiche al cliente, assistenza |
| Categorie di interessati | Clienti finali e conducenti aggiuntivi, utenti dell'Agenzia, referenti di partner/broker |
| Categorie di dati | Dati anagrafici e di contatto, documenti d'identità e patente (numero, scadenza, immagini), codice fiscale/P.IVA, dati di pagamento (token/ultime 4 cifre — mai il PAN completo), dati contrattuali (veicolo, date, importi, danni, km), geolocalizzazione dei veicoli se telematica attiva, comunicazioni |
| Dati particolari | Non richiesti; l'Agenzia si impegna a non inserirne se non strettamente necessari |
3. Obblighi del Responsabile
SmartRents si impegna a:
- trattare i dati solo su istruzione documentata del Titolare, anche in caso di trasferimento verso Paesi terzi;
- garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
- adottare misure tecniche e organizzative adeguate (art. 32 GDPR): cifratura in transito (TLS) e a riposo dei segreti (AES-256-GCM), controllo accessi per ruolo e per agenzia (isolamento multi-tenant a livello di query), autenticazione a due fattori per gli amministratori, log di audit delle operazioni, backup cifrati con ripristino testato, separazione ambienti;
- rispettare le condizioni per il ricorso a sub-responsabili (art. 4);
- assistere il Titolare nel dare seguito alle richieste degli interessati (accesso, rettifica, cancellazione, portabilità, opposizione) tramite le funzioni del pannello (sezione GDPR: esportazione/cancellazione cliente);
- assistere il Titolare per sicurezza, notifica delle violazioni e valutazioni d'impatto;
- notificare al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza, ogni violazione dei dati personali (data breach) con le informazioni disponibili;
- su scelta del Titolare, cancellare o restituire tutti i dati al termine del servizio, salvo obblighi di conservazione di legge;
- mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire audit (anche tramite questionari/relazioni), con preavviso ragionevole e a spese del Titolare se in loco.
4. Sub-responsabili
4.1 Il Titolare autorizza in via generale il ricorso a sub-responsabili per l'erogazione del servizio. L'elenco aggiornato è pubblicato nel Centro assistenza ed include, alla data della presente versione, categorie quali: hosting e database (UE), invio email transazionali, invio SMS/WhatsApp, prestatori di servizi di pagamento (Stripe/PayPal/Satispay), archiviazione file e immagini, firma elettronica/OTP, fatturazione elettronica (SDI tramite provider), fornitori di telematica scelti dall'Agenzia, motori di traduzione/AI per funzioni opzionali.
4.2 SmartRents informa il Titolare di eventuali modifiche (aggiunta/sostituzione) con almeno 15 giorni di preavviso; il Titolare può opporsi per motivi legittimi entro tale termine, con facoltà di recesso se l'opposizione non può essere accolta.
4.3 SmartRents impone ai sub-responsabili obblighi equivalenti a quelli del presente Accordo e resta responsabile verso il Titolare del loro operato.
5. Trasferimenti extra-UE
I dati sono conservati nell'Unione Europea. Eventuali trasferimenti verso Paesi terzi (es. servizi cloud con supporto extra-UE) avvengono solo con garanzie adeguate (decisione di adeguatezza o clausole contrattuali standard della Commissione UE, con misure supplementari ove necessarie).
6. Obblighi del Titolare
Il Titolare garantisce di: (a) disporre di una base giuridica idonea per i trattamenti effettuati tramite la Piattaforma; (b) fornire agli interessati l'informativa (art. 13 GDPR), anche utilizzando i modelli messi a disposizione nel pannello, adattati; (c) impartire istruzioni lecite; (d) configurare correttamente ruoli, permessi e tempi di conservazione; (e) non caricare dati eccedenti (es. copie di documenti oltre il necessario).
7. Conservazione e cancellazione
7.1 I tempi di conservazione dei dati dei clienti finali sono definiti dal Titolare (impostazioni GDPR); in assenza di scelta, i documenti d'identità caricati sono conservati per il tempo necessario alla gestione del noleggio e dei relativi contenziosi, i contratti e le fatture per i termini di legge.
7.2 Alla cessazione del contratto, i dati restano esportabili per 60 giorni e sono poi cancellati o resi anonimi, salvo obblighi di legge; i backup vengono sovrascritti secondo la rotazione prevista (max 35 giorni).
8. Responsabilità
Ciascuna parte risponde dei danni causati dal trattamento in violazione del GDPR secondo l'art. 82; le limitazioni di responsabilità dei Termini si applicano nei limiti consentiti dalla legge.
9. Durata e modifiche
Il presente Accordo ha la stessa durata dei Termini. SmartRents può aggiornarlo per adeguamenti normativi o tecnici, pubblicando la nuova versione e informandone il Titolare; l'accettazione avviene con le stesse modalità dei Termini.
Bozza redatta internamente da verificare con un legale/DPO: elenco puntuale dei sub-responsabili con sede e garanzie di trasferimento, misure di sicurezza dettagliate (allegato tecnico), coordinamento con l'informativa marketplace e con i ruoli privacy nei canali broker/OTA.