Informativa sulla privacy

Questa informativa riguarda i dati delle persone che accedono a Cricco: titolari e collaboratori delle officine che lo usano.

I dati dei CLIENTI dell'officina — anagrafiche, veicoli, foto, firme, documenti — sono trattati dall'officina, che ne è titolare. Cricco li ospita ed elabora per suo conto come responsabile del trattamento: si veda la sezione 2. L'accordo previsto dall'art. 28 del GDPR è un documento separato, che l'officina può richiedere ai recapiti indicati.

1. 1. Chi tratta i dati

   Il titolare del trattamento per i dati degli account è indicato qui sopra. Per qualsiasi richiesta relativa ai suoi dati può scrivere all'indirizzo email indicato: le risponderemo entro un mese.

2. 2. Due ruoli distinti, da non confondere

   In particolare, Cricco non aggrega i dati fra officine diverse, non li usa per statistiche di mercato e non li impiega per addestrare modelli. I suggerimenti che il gestionale offre — per esempio le voci di prezzo già usate — sono calcolati esclusivamente sui dati della stessa officina.

   • I dati del suo account — email, nome, ruolo, accessi. Qui Cricco è titolare: decide lui come funziona l'autenticazione e quali dati servono a farla funzionare.
   • I dati dei clienti della sua officina — qui il titolare è l'officina. È lei a decidere quali clienti registrare e perché; Cricco esegue le sue istruzioni come responsabile ex art. 28 GDPR, senza usarli per finalità proprie.

3. 3. Quali dati trattiamo

   Non usiamo cookie di profilazione e non facciamo pubblicità. Gli unici cookie sono quelli tecnici necessari a mantenere la sessione.

   • Dati dell'account — indirizzo email, nome se indicato, ruolo nell'officina, data degli accessi.
   • Codici di accesso — i codici monouso inviati per email sono conservati in forma cifrata, hanno validità di dieci minuti e valgono una volta sola.
   • Registro delle operazioni — chi ha fatto cosa e quando dentro il gestionale. Serve a ricostruire la storia di un documento fiscale ed è in sola aggiunta: non si modifica e non si cancella.
   • Dati tecnici — indirizzo IP, tipo di browser e diagnostica degli errori, raccolti per sicurezza e per correggere malfunzionamenti.

4. 4. Perché li trattiamo

   • Erogare il servizio a chi lo ha sottoscritto — esecuzione del contratto — art. 6, par. 1, lett. b) GDPR, per l'officina che sottoscrive.
   • Dare accesso ai collaboratori indicati dall'officina — legittimo interesse — art. 6, par. 1, lett. f): il collaboratore non è parte del contratto, ma il servizio non può funzionare senza dargli un accesso proprio. Può opporsi in qualsiasi momento scrivendoci.
   • Sicurezza degli accessi e prevenzione degli abusi — legittimo interesse — art. 6, par. 1, lett. f).
   • Conservare il registro delle operazioni — obbligo di legge — art. 6, par. 1, lett. c): è legato ai documenti fiscali, che vanno conservati dieci anni.

5. 5. Chi altro tratta i dati per nostro conto

   Ci avvaliamo dei fornitori qui elencati, vincolati per contratto agli stessi obblighi che assumiamo noi.

   Fornitore	Cosa tratta	Dove
   Neon	banca dati: account, documenti, registro operazioni	Unione europea (Francoforte)
   Cloudflare R2	archiviazione di foto, firme e PDF	Unione europea
   Vercel	esecuzione dell'applicazione e log tecnici	Unione europea, società statunitense
   Resend	invio delle email (codici di accesso, preventivi)	società statunitense
   Upstash	limiti di frequenza e contatori	Unione europea
   Sentry	diagnostica degli errori	Unione europea (region europea), società statunitense
   Inngest	elaborazioni differite, come il congelamento dei PDF	Stati Uniti

6. 6. Trasferimenti fuori dall'Unione europea

   Alcuni fornitori sono società statunitensi e, in un caso, i dati sono ospitati negli Stati Uniti. Questi trasferimenti avvengono sulla base delle garanzie previste dal Capo V del GDPR: decisione di adeguatezza applicabile al fornitore oppure clausole contrattuali tipo. Può chiederci copia delle garanzie applicate scrivendo all'indirizzo indicato in cima.

7. 7. Per quanto tempo li conserviamo

   • Dati dell'account — per tutta la durata del rapporto e per dodici mesi dall'ultimo accesso, poi cancellati.
   • Codici di accesso — scadono in dieci minuti e vengono rimossi.
   • Registro delle operazioni — dieci anni, perché ricostruisce la storia di documenti fiscali che la legge impone di conservare per quel periodo.
   • Diagnostica degli errori — trenta giorni.

8. 8. I suoi diritti

   Può chiederci di accedere ai suoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da un elaboratore, e opporsi ai trattamenti fondati sul nostro legittimo interesse.

   Un limite va detto chiaramente: i dati contenuti nel registro delle operazioni e nei documenti fiscali non possono essere cancellati su richiesta prima del termine di legge, come previsto dall'art. 17, par. 3, lett. b) del GDPR.

   Se ritiene che il trattamento violi il Regolamento può proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o rivolgersi all'autorità giudiziaria.