Informativa privacy

1. Titolare del trattamento

Titolare del trattamento dei dati dell’Utente è The Traces, P.IVA 02815700220, con sede in Via Villa Canale, Tenno (TN). Contatti: email supporto@firetrace.it — PEC the-traces@pec.it.

Responsabile della protezione dei dati. La nomina di un DPO ai sensi dell’art. 37 GDPR non è obbligatoria per il Fornitore — l’attività del Servizio non comporta il monitoraggio sistematico su larga scala né il trattamento su larga scala di categorie particolari di dati — e resta oggetto di valutazione periodica. Per l’esercizio dei diritti e per ogni questione sul trattamento è sufficiente scrivere a supporto@firetrace.it.

2. Chi è titolare di che cosa

La distinzione non è formale: decide chi risponde di che cosa davanti al cliente finale e davanti al Garante. Un cliente finale che chieda la cancellazione dei propri dati va indirizzato all’azienda di manutenzione che li ha inseriti, che è il suo Titolare; il Fornitore la assiste, non la sostituisce.

3. Categorie di dati trattati

a) Dati dell’Utente-gestore

• Dati di registrazione e account: ragione sociale, nome e cognome del referente, indirizzo email, password — conservata esclusivamente in forma cifrata (hash) e mai in chiaro — ruolo assegnato;
• Dati dell’azienda: denominazione, indirizzo, Partita IVA e dati necessari alla configurazione del Servizio e all’intestazione dei documenti prodotti;
• Dati di fatturazione: ragione sociale o nome e cognome, indirizzo, Partita IVA o codice fiscale, codice destinatario SDI o PEC, importi e descrizione del piano. Sono richiesti al momento della sottoscrizione di un piano, non alla registrazione;
• Dati di pagamento: gestiti direttamente dal fornitore di pagamento. I dati della carta non transitano né sono conservati sui sistemi del Fornitore, che riceve soltanto l’esito della transazione e un identificativo;
• Credenziali dei servizi esterni che l’Utente sceglie di configurare (servizi di fatturazione elettronica): sono conservate cifrate e utilizzate esclusivamente per eseguire le operazioni richieste dall’Utente;
• Dati tecnici e di funzionamento: indirizzo IP, tipo di browser e dispositivo, cookie tecnico di sessione, log degli accessi e degli eventi di sistema, registro delle operazioni sensibili (audit) — trattati per sicurezza, diagnosi dei guasti e prova delle operazioni compiute.

b) Dati dei clienti finali, dei referenti e dei tecnici

Nel Servizio confluiscono i dati che il Gestore raccoglie nella propria attività: anagrafiche di clienti e referenti, indirizzi delle sedi e recapiti; dati dei tecnici e dei collaboratori abilitati; e, per ciascun intervento, la firma elettronica semplice del cliente o del suo referente apposta a conferma dell’avvenuta esecuzione, le fotografie scattate sul posto e le coordinate di posizione del luogo di intervento. Questi dati sono trattati dal Fornitore come Responsabile (§2 e §13) e non per finalità proprie: non vengono usati per marketing, non vengono ceduti a terzi e non vengono impiegati per addestrare modelli di intelligenza artificiale.

c) Dati di chi si iscrive alla lista d’attesa dal sito

Chi compila il modulo «Entra in lista d’attesa» su firetrace.it conferisce ragione sociale, nome e cognome del referente, indirizzo email e, se lo desidera, telefono e un messaggio. Questi dati servono soltanto a confermare l’iscrizione e a ricontattare l’azienda quando il Servizio le viene proposto: non creano un account e non attivano alcuna comunicazione commerciale diversa dalla risposta alla richiesta.

d) Dati che il Servizio NON raccoglie

Il Servizio non impiega cookie di profilazione né strumenti di tracciamento pubblicitario o di analisi di terze parti (§10); non profila l’Utente a fini commerciali (§11); non raccoglie categorie particolari di dati ai sensi dell’art. 9 GDPR, e il Servizio non è progettato per contenerne.

4. Finalità del trattamento

• creazione e gestione dell’account e dell’azienda dell’Utente;
• erogazione del Servizio: anagrafiche e censimento dei presìdi, calcolo delle scadenze normative, ordini di lavoro e calendario, esecuzione e documentazione degli interventi da app mobile, registro antincendio e cartellini, preventivi, pre-fatture e ricevute, portale del cliente finale e sorveglianza periodica, magazzino, indicatori;
• gestione dell’abbonamento: sottoscrizione, attivazione, incasso, emissione e conservazione dei documenti fiscali;
• gestione dei consensi legali: registrazione della versione e della data delle Condizioni d’uso e dell’informativa accettate, come prova puntuale di che cosa è stato accettato e quando;
• risposta alle richieste di iscrizione alla lista d’attesa inviate dal sito, con email di conferma e successivo ricontatto;
• assistenza all’Utente e gestione delle segnalazioni di supporto;
• sicurezza del Servizio, prevenzione degli abusi, continuità operativa e diagnosi dei malfunzionamenti;
• adempimenti contabili e fiscali previsti dalla legge;
• comunicazioni di servizio (avvisi di scadenza, riepiloghi operativi, notifiche di sistema), che sono parte dell’erogazione e non comunicazioni commerciali;
• invio di comunicazioni su novità e funzionalità del Servizio, solo previo consenso facoltativo espresso con casella non pre-selezionata e revocabile in qualsiasi momento.

5. Base giuridica

• Esecuzione del contratto e misure precontrattuali (art. 6.1.b) — per la registrazione, la gestione dell’account, l’erogazione del Servizio e la gestione dell’abbonamento. La registrazione costituisce un rapporto contrattuale: non si fonda sul consenso, e il consenso non è mai richiesto per accedere al Servizio. Sulla stessa base, come misura precontrattuale adottata su richiesta dell’interessato, si risponde alle iscrizioni alla lista d’attesa: la casella che il modulo chiede di spuntare documenta la richiesta di essere ricontattati;
• Obbligo legale (art. 6.1.c) — per gli adempimenti contabili e fiscali e per la conservazione dei relativi documenti;
• Legittimo interesse (art. 6.1.f) — per la sicurezza del Servizio, la prevenzione degli abusi, i log tecnici e il registro delle operazioni sensibili. Il trattamento è preceduto da un bilanciamento degli interessi ed è cedevole rispetto all’opposizione dell’interessato (art. 21), esercitabile scrivendo a supporto@firetrace.it;
• Consenso (art. 6.1.a) — esclusivamente per l’invio di comunicazioni su novità e funzionalità del Servizio. È facoltativo, revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento già effettuato, e la sua mancanza non limita in alcun modo l’uso del Servizio.

6. Obbligatorietà del conferimento

Per creare l’account sono necessari soltanto ragione sociale, nome del referente, indirizzo email e password: il loro mancato conferimento impedisce la registrazione. I dati di fatturazione sono necessari solo per sottoscrivere un piano a pagamento, e sono richiesti in quel momento. Le credenziali dei servizi di fatturazione elettronica sono sempre facoltative: senza di esse le corrispondenti funzioni non sono utilizzabili, ma il resto del Servizio funziona.

Nel modulo della lista d’attesa sono necessari ragione sociale, nome del referente e indirizzo email: senza di essi non è possibile rispondere. Telefono e messaggio sono facoltativi.

Sono parimenti facoltativi, in quanto dipendono dalle scelte operative dell’Utente, la fotografia del presidio, la firma del referente e la posizione rilevata al momento della firma: il Servizio consente di chiudere un intervento senza di essi, a scapito della documentabilità di quanto eseguito.

7. Destinatari e responsabili esterni

I dati possono essere trattati, per le finalità sopra indicate, da soggetti che agiscono come responsabili del trattamento ai sensi dell’art. 28 GDPR, sulla base di appositi accordi (DPA). Di seguito i destinatari, come previsto dall’art. 13.1.e del Regolamento, con l’indicazione di che cosa fanno, quali dati vedono e dove sono situati i server che li trattano.

L’integrazione con i servizi di fatturazione elettronica non è una cessione a terzi: è un adempimento che il Gestore effettua in qualità di Titolare, usando il Servizio come strumento e le proprie credenziali. Il relativo trattamento è governato dall’informativa del fornitore che l’Utente ha scelto.

Ulteriori responsabili potranno essere aggiunti all’attivazione di nuovi servizi: in tal caso questa informativa sarà aggiornata. I dati dell’Utente e quelli dei suoi clienti non sono in alcun caso diffusi, ceduti o comunicati a terzi per finalità di marketing, né impiegati per addestrare modelli di intelligenza artificiale.

8. Dove stanno i dati e trasferimenti extra-UE

La banca dati del Servizio e i file archiviati — fotografie degli interventi, documenti generati, allegati — risiedono su server situati nell’Unione europea (regione di Francoforte, Germania). L’applicazione di back-end che li elabora è eseguita anch’essa nell’Unione europea (regione del Belgio).

Alcuni fornitori — in particolare quelli di posta transazionale, di pagamento, di intelligenza artificiale e di distribuzione dei contenuti — possono comportare un trasferimento di dati verso Paesi terzi, inclusi gli Stati Uniti. Tali trasferimenti avvengono in presenza di garanzie adeguate ai sensi degli artt. 44 e seguenti del GDPR (in particolare Clausole Contrattuali Standard adottate dalla Commissione europea e, ove applicabile, adesione all’EU-U.S. Data Privacy Framework). L’elenco aggiornato dei fornitori e delle garanzie applicate è disponibile su richiesta a supporto@firetrace.it.

9. Periodo di conservazione

• Account e dati dell’azienda: per la durata del rapporto. Dalla cessazione i dati restano esportabili per 30 giorni, poi sono cancellati fisicamente dai sistemi di produzione; una copia di backup, a soli fini di sicurezza e di tutela legale, è conservata 24 mesi e quindi distrutta. Ogni passaggio lascia una riga verificabile nel registro delle operazioni di conservazione;
• Dati contabili e fiscali relativi all’abbonamento: 10 anni, per obbligo di legge;
• Fotografie, firme e posizioni degli interventi: sono parte del documento che prova l’intervento eseguito e seguono i tempi decisi dal Gestore-titolare, entro i limiti sopra indicati. Il Servizio fissa un termine di riferimento per la conservazione dei dati del registro antincendio (alla data di questa versione, 5 anni), coerente con la tenuta dei registri di controllo e manutenzione;
• Iscrizioni alla lista d’attesa: fino alla richiesta di cancellazione e comunque non oltre 24 mesi dall’ultimo contatto. Se l’azienda si registra al Servizio, da quel momento valgono i termini dell’account;
• Inviti a collaboratori e clienti non accettati: il token di invito scade entro poche ore dall’emissione (alla data di questa versione, 48 ore) e l’invito resta tracciato come non accettato;
• Link pubblico del preventivo inviato al cliente finale: resta valido per il periodo di validità dell’offerta impostato dall’Utente, dopo il quale l’accettazione non è più possibile;
• Log tecnici e diagnostici: conservati per un periodo limitato, commisurato alla finalità di sicurezza e diagnosi (alla data di questa versione, 12 mesi);
• Registro dei consensi e delle operazioni sensibili (audit): conservato per la durata del rapporto e per il periodo utile a far valere o difendere un diritto. È il registro che prova chi ha fatto che cosa e quando, e la sua cancellazione anticipata priverebbe di prova anche l’Utente;
• Dati dei clienti finali: seguono i tempi decisi dal Gestore-titolare. Alla cessazione del rapporto sono restituiti o cancellati secondo quanto previsto dal DPA (§13).

10. Cookie e tecnologie di tracciamento

Il Servizio utilizza esclusivamente cookie tecnici, necessari a mantenere la sessione autenticata, a garantire la sicurezza dell’accesso e a ricordare preferenze di interfaccia come il tema chiaro o scuro. Non sono impiegati cookie di profilazione, cookie pubblicitari, strumenti di analisi o di tracciamento di terze parti.

Per i cookie tecnici non è richiesto il consenso ai sensi dell’art. 122 del D.Lgs. 196/2003 e delle Linee guida del Garante del 10 giugno 2021, ed è per questo che il Servizio non mostra un banner: mostrarlo quando non serve abitua le persone a cliccare senza leggere. I cookie tecnici si possono comunque bloccare dalle impostazioni del browser, con la conseguenza che l’accesso al Servizio non sarà più possibile.

11. Intelligenza artificiale e decisioni automatizzate

Una singola funzione facoltativa del Servizio impiega un modello di intelligenza artificiale: la proposta dei testi di un preventivo (oggetto, introduzione, condizioni commerciali). Su questo punto valgono tre precisazioni.

• Che cosa esce dai nostri sistemi. La generazione è eseguita da un fornitore terzo per conto del Fornitore, che lo nomina sub-responsabile ai sensi dell’art. 28.4 GDPR: è il Fornitore a sceglierlo, a vincolarlo contrattualmente e a rispondere del suo operato, e nessuna chiave di accesso è a carico dell’Utente. Al fornitore terzo sono trasmessi soltanto i dati commerciali del preventivo — ragione sociale del cliente, nome della sede, descrizioni e quantità delle righe, importi, validità dell’offerta. Non sono mai trasmessi fotografie degli interventi, firme, coordinate di posizione, documenti o dati del censimento dei presìdi. Il fornitore tratta i dati solo per restituire il testo richiesto e non li utilizza per addestrare i propri modelli. Il ricorso a questo sub-responsabile è autorizzato dall’Utente-titolare con l’accettazione delle Condizioni d’uso, nei termini indicati al §13;
• L’esito è una proposta, mai un dato salvato da solo. La generazione produce una bozza che l’Utente vede, corregge e conferma: nulla viene registrato senza una conferma umana. È una scelta di progetto, non una limitazione tecnica — e se il fornitore terzo non risponde, il Servizio propone un testo standard predefinito senza trasmettere nulla;
• Non esistono decisioni automatizzate ai sensi dell’art. 22 GDPR: il Servizio non assume alcuna decisione che produca effetti giuridici o incida in modo analogamente significativo sull’Utente o sui suoi clienti. Le scadenze calcolate dal motore normativo sono regole deterministiche applicate ai dati inseriti, non valutazioni su persone. Non è effettuata alcuna profilazione commerciale dell’Utente.

12. Diritti dell’interessato (artt. 15-22 GDPR)

L’Utente può esercitare in ogni momento i diritti di accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20) e opposizione (art. 21); ove il trattamento si basi sul consenso, il diritto di revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

L’esportazione dei dati è disponibile in autonomia e con effetto immediato dalla sezione dedicata del Servizio, in formati leggibili e riutilizzabili (archivio ZIP con file CSV): non è necessario chiederla né attendere un riscontro. Nella stessa area l’Utente trova lo storico dei propri consensi e la richiesta di cancellazione del proprio account.

Le richieste che non si possono soddisfare da soli vanno inviate a supporto@firetrace.it: sono tracciate e ricevono riscontro entro 30 giorni, prorogabili di due mesi nei casi previsti dall’art. 12.3 GDPR, dandone motivata comunicazione.

Se sei un cliente di un’azienda di manutenzione e i tuoi dati sono stati inseriti nel Servizio da quell’azienda, il tuo Titolare è quell’azienda: le richieste vanno rivolte a lei. Scrivendo a supporto@firetrace.it la richiesta viene inoltrata senza ritardo al Titolare competente, come previsto dal DPA (§13).

13. Nomina a Responsabile (dati dei clienti)

Per i dati dei clienti finali il Fornitore tratta i dati esclusivamente su istruzione documentata del Gestore-titolare; adotta misure tecniche e organizzative adeguate (art. 32 GDPR); garantisce che le persone autorizzate al trattamento siano vincolate alla riservatezza; assiste il titolare nel dare riscontro alle richieste degli interessati e negli obblighi di cui agli artt. 32-36; non ricorre a sub-responsabili diversi da quelli elencati al §7 senza informarne il titolare; e, alla cessazione del rapporto, restituisce o cancella i dati secondo la scelta del titolare. I termini completi sono definiti nell’accordo di nomina a Responsabile (DPA), disponibile su richiesta a supporto@firetrace.it.

Autorizzazione generale ai sub-responsabili (art. 28.2 GDPR). Accettando le Condizioni d’uso e utilizzando il Servizio, l’Utente-titolare rilascia al Fornitore, in forma scritta e in via generale, autorizzazione a ricorrere ai sub-responsabili elencati al §7 per l’erogazione del Servizio, e dichiara di essere consapevole che tale ricorso comporta la comunicazione a tali soggetti dei dati ivi indicati. Ciò vale in particolare per il fornitore di intelligenza artificiale, al quale sono trasmessi — su richiesta dell’Utente e per ogni singola generazione — i dati commerciali del preventivo indicati al §11.

Il Fornitore comunica preventivamente l’aggiunta o la sostituzione di un sub-responsabile; entro trenta giorni dalla comunicazione l’Utente può opporsi per motivi legittimi e documentati. In caso di opposizione fondata, e ove non sia possibile erogare la funzione interessata con un fornitore diverso, la funzione è disattivata per quell’Utente ovvero, se essenziale, ciascuna parte può recedere dal contratto senza penali, con rimborso pro quota del corrispettivo eventualmente già versato per il periodo non goduto.

Resta fermo che, verso i propri clienti, il titolare del trattamento è l’Utente (§2): è quindi suo onere rendere loro l’informativa ai sensi degli artt. 13 e 14 GDPR, dando conto anche della firma elettronica semplice, delle fotografie e della posizione raccolte in occasione dell’intervento e, ove decida di avvalersene, della generazione assistita dei testi dei preventivi.

14. Sicurezza e violazioni dei dati

I dati di ogni azienda sono isolati a livello di banca dati: i filtri applicativi e le politiche di accesso (Row Level Security) impediscono che i dati di un’azienda siano leggibili da un’altra. Le password sono conservate solo in forma cifrata; le credenziali dei servizi esterni sono cifrate; le comunicazioni avvengono su canale protetto (HTTPS) e i dati sono cifrati a riposo presso i fornitori di banca dati e archiviazione. L’accesso è basato su credenziali individuali e su ruoli, e le operazioni rilevanti lasciano traccia in un registro verificabile.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, il Fornitore ne informa il Gestore-titolare senza ingiustificato ritardo dopo esserne venuto a conoscenza (art. 33.2 GDPR), con le informazioni necessarie a consentirgli la notifica al Garante e, ove dovuta, la comunicazione agli interessati.

15. Reclamo all’Autorità di controllo

L’interessato che ritenga che il trattamento dei propri dati violi il Regolamento ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it), fatta salva ogni altra azione amministrativa o giurisdizionale.

16. Modifiche e contatti

Questa informativa può essere aggiornata: la versione in vigore e la relativa data sono sempre indicate in testa alla pagina, e le modifiche sostanziali sono comunicate all’Utente. La versione accettata al momento della registrazione è registrata insieme alla data, così che sia sempre ricostruibile che cosa è stato accettato e quando.

Per esercitare i diritti o per qualsiasi domanda sul trattamento: email supporto@firetrace.it — PEC the-traces@pec.it. Per le condizioni d’uso del Servizio si rinvia alle Condizioni Generali di Utilizzo.