Accordo sul trattamento dei dati personali (art. 28 GDPR)

Carrozzeria Ricca · Versione 2.0 del 29 ottobre 2026

1. Parti e premesse

Il presente accordo ("Accordo" o "DPA") è stipulato tra:

• il Cliente che ha acquistato un abbonamento a Carrozzeria Ricca, come identificato nell'ordine e nella fattura, di seguito "Titolare";
• A+ Group S.r.l.s., con sede in Via Grand Eyvia 69, 11100 Aosta (AO), P. IVA 01307050078, in persona della legale rappresentante Sabrina Greco, di seguito "Responsabile".

Premesse

1. Il Responsabile fornisce al Titolare, in abbonamento, la piattaforma web di gestione numerica per carrozzerie denominata Carrozzeria Ricca (la "Piattaforma"), accessibile dal dominio carrozzeriaricca.it, insieme ai servizi collegati di supporto, formazione e consulenza (i "Servizi"), secondo i Termini e Condizioni di A+ Group accettati dal Titolare (il "Contratto").
2. Nell'utilizzo della Piattaforma il Titolare inserisce dati personali di cui resta titolare ai sensi del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
3. Il Responsabile tratta tali dati esclusivamente per conto del Titolare e al solo fine di erogare i Servizi. Le parti intendono quindi disciplinare il trattamento ai sensi dell'art. 28 GDPR.
4. Il presente Accordo costituisce parte integrante del Contratto. In caso di contrasto tra i due, in materia di protezione dei dati personali prevale il presente Accordo.
5. Restano esclusi dal presente Accordo i trattamenti che il Responsabile svolge come titolare autonomo, in particolare la gestione dell'account, della fatturazione e dei pagamenti del Titolare, regolati dall'informativa privacy del Responsabile. Restano esclusi anche i trattamenti svolti dall'avvocato indipendente per l'assistenza sulle pratiche CID, che li tratta secondo il proprio incarico e la propria informativa.

2. Oggetto e descrizione del trattamento

2.1 Oggetto. Il Responsabile tratta i dati personali inseriti dal Titolare nella Piattaforma, o a essa trasmessi su istruzione del Titolare, per il tempo e nei limiti necessari a erogare i Servizi.

2.2 Categorie particolari di dati. La Piattaforma non è progettata per trattare dati di cui agli artt. 9 e 10 GDPR (ad esempio dati sanitari legati a lesioni da sinistro, o dati giudiziari). Il Titolare si impegna a non inserirli. Se li inserisce comunque, ne resta l'unico responsabile.

2.3 Liceità dei dati inseriti. Il Titolare garantisce di avere una base giuridica valida per ogni dato inserito e di aver fornito agli interessati, compresi i dipendenti che usano l'app marcatempo, l'informativa prevista dagli artt. 13 e 14 GDPR.

3. Obblighi del Responsabile

Il Responsabile si impegna a:

1. trattare i dati solo su istruzione documentata del Titolare. Il Contratto, il presente Accordo e le impostazioni scelte dal Titolare nella Piattaforma costituiscono le istruzioni complete. Se un'istruzione appare contraria alla normativa, il Responsabile ne informa subito il Titolare. Se una norma dell'Unione europea o italiana obbliga il Responsabile a trattare i dati in modo diverso, ad esempio a comunicarli a un'autorità, il Responsabile ne informa prima il Titolare, salvo che la legge stessa lo vieti;
2. non utilizzare i dati per finalità proprie, non venderli e non cederli a terzi;
3. garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza per contratto o per legge e abbiano ricevuto istruzioni adeguate;
4. adottare le misure tecniche e organizzative dell'art. 32 GDPR descritte nell'Allegato A;
5. assistere il Titolare, nei limiti di quanto ragionevole e tenuto conto della natura del trattamento, negli adempimenti degli artt. 32-36 GDPR (sicurezza, notifica di violazioni, valutazione d'impatto, consultazione preventiva);
6. tenere il registro delle attività di trattamento svolte per conto del Titolare, ai sensi dell'art. 30, par. 2 GDPR;
7. mettere a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente Accordo.

3.1 Dati aggregati e anonimi per analisi e report di mercato. Il Titolare autorizza il Responsabile a rendere anonimi e aggregare i dati inseriti nella Piattaforma, per elaborare statistiche, benchmark e report sul mercato della carrozzeria, anche pubblicati o diffusi a terzi. I dati sono pubblicati solo in forma aggregata su un numero minimo di 10 aziende per ciascun valore, così che non sia possibile risalire al Titolare, alla sua azienda né ad alcun interessato. I dati resi anonimi non sono dati personali, restano nella disponibilità del Responsabile e possono essere conservati anche dopo la cessazione del Contratto.

4. Sub-responsabili e trasferimenti extra UE

4.1 Autorizzazione generale. Il Titolare autorizza in via generale il Responsabile ad avvalersi di altri responsabili ("Sub-responsabili"). Quelli in uso sono elencati nell'Allegato B.

4.2 Modifiche. Il Responsabile comunica al Titolare via email, con almeno 15 giorni di preavviso, l'aggiunta o la sostituzione di un Sub-responsabile. Entro tale termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati. Se le parti non trovano una soluzione, il Titolare può recedere dal Contratto senza penali, anche nei pacchetti con impegno di 12 mesi, con rimborso della quota di abbonamento già pagata e non goduta.

4.3 Obblighi trasferiti. Il Responsabile impone a ogni Sub-responsabile, per contratto, obblighi di protezione dei dati sostanzialmente equivalenti a quelli del presente Accordo. Resta responsabile verso il Titolare dell'adempimento dei Sub-responsabili.

4.4 Trasferimenti extra UE. Se un Sub-responsabile tratta dati fuori dallo Spazio Economico Europeo, il trasferimento avviene solo sulla base di una decisione di adeguatezza della Commissione europea (incluso l'EU-US Data Privacy Framework, per i fornitori certificati) oppure delle Clausole Contrattuali Tipo approvate dalla Commissione, con le eventuali misure supplementari necessarie.

5. Sicurezza, violazioni, diritti degli interessati e verifiche

5.1 Violazioni dei dati (data breach). Il Responsabile notifica al Titolare ogni violazione dei dati personali trattati per suo conto senza ingiustificato ritardo e comunque entro 48 ore dalla scoperta, così da consentirgli di rispettare il termine di 72 ore previsto dall'art. 33 GDPR. La notifica contiene, per quanto disponibili: natura della violazione, categorie e numero approssimativo di interessati e di dati coinvolti, probabili conseguenze, misure adottate o proposte. Le informazioni non disponibili subito vengono fornite appena note.

5.2 Diritti degli interessati. Se un interessato si rivolge direttamente al Responsabile, questo inoltra la richiesta al Titolare entro 5 giorni lavorativi senza rispondere nel merito. Il Responsabile assiste il Titolare nel dare seguito alle richieste di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, anche tramite le funzioni di esportazione e cancellazione della Piattaforma.

5.3 Verifiche. Il Titolare può verificare il rispetto del presente Accordo, in primo luogo chiedendo per iscritto informazioni e documentazione, a cui il Responsabile risponde entro 30 giorni. Un'ispezione diretta, svolta dal Titolare o da un revisore vincolato alla riservatezza, è possibile al massimo una volta l'anno, con preavviso di almeno 30 giorni, in orario lavorativo e senza accesso ai dati di altri clienti. I costi dell'ispezione sono a carico del Titolare, salvo che emerga un inadempimento rilevante del Responsabile.

5.4 Autorità di controllo. Le parti collaborano, su richiesta, con il Garante per la protezione dei dati personali.

6. Durata, fine del trattamento e disposizioni finali

6.1 Durata. Il presente Accordo ha la stessa durata del Contratto e cessa automaticamente con esso, fatti salvi gli obblighi che per loro natura sopravvivono (riservatezza, cancellazione, responsabilità).

6.2 Restituzione e cancellazione. Alla cessazione del Contratto il Titolare può esportare i propri dati dalla Piattaforma per 30 giorni. Decorso tale termine, il Responsabile cancella i dati entro i successivi 30 giorni, salvo obblighi di conservazione di legge. Le copie nei backup vengono sovrascritte nel normale ciclo di rotazione, entro 90 giorni. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

6.3 Responsabilità. Ciascuna parte risponde dei danni causati dalla propria violazione del GDPR, secondo l'art. 82 GDPR. Salvo dolo o colpa grave, e nei limiti consentiti dalla legge, la responsabilità complessiva del Responsabile derivante dal presente Accordo non supera l'importo dei canoni pagati dal Titolare nei 12 mesi precedenti l'evento. La limitazione non si applica alle sanzioni direttamente irrogate al Responsabile dall'autorità e non riduce in alcun modo i diritti degli interessati verso ciascuna parte. La presente clausola è approvata specificamente dal Titolare ai sensi degli artt. 1341 e 1342 c.c., secondo quanto previsto nei Termini e Condizioni.

6.4 Modifiche. Il Responsabile può aggiornare il presente Accordo per adeguarlo a nuove norme o indicazioni del Garante, dandone comunicazione al Titolare con 30 giorni di preavviso. Modifiche che riducono le tutele per il Titolare richiedono il suo consenso.

6.5 Legge applicabile e foro. Il presente Accordo è regolato dalla legge italiana. Per ogni controversia è competente in via esclusiva il Foro di Aosta.

Allegato A: misure tecniche e organizzative

• Cifratura: connessioni solo via HTTPS/TLS; dati cifrati a riposo presso il fornitore di hosting e database.
• Accessi: accesso alla Piattaforma con credenziali personali; accesso ai sistemi di produzione limitato alle persone autorizzate, con autenticazione a due fattori sugli account amministrativi.
• Separazione: i dati di ciascun cliente sono separati logicamente e non visibili agli altri clienti.
• Backup: backup periodici con conservazione massima di 90 giorni e verifica del ripristino.
• Personale: chi accede ai dati è vincolato alla riservatezza e accede solo se necessario per assistenza, manutenzione o per preparare consulenza e report richiesti dal pacchetto.
• Sviluppo: gli ambienti di test non usano dati reali dei clienti, salvo dati resi anonimi.
• Incidenti: procedura interna di gestione delle violazioni coerente con l'art. 5.1.

Allegato B: sub-responsabili autorizzati

I pagamenti sono gestiti da Stripe in qualità di titolare autonomo del trattamento e non rientrano in questo elenco.