Informativa sulla privacy

1. Titolare del trattamento

EAS International

Urs Zimmermann

Klybeckstr. 141

4057 Basel

Schweiz

E-mail: info@batteriepass-online.eu

Non siamo tenuti a designare un responsabile della protezione dei dati ai sensi dell’art. 37 GDPR. Invii le richieste in materia di protezione dei dati all’indirizzo e-mail sopra indicato.

1a. Rappresentante nell’Unione (art. 27 GDPR)

Urs Zimmermann

Eichacker 2

79418 Schliengen

Germany

E-mail: info@batteriepass-online.eu

Gli interessati e le autorità di controllo nell’UE possono rivolgersi al rappresentante per tutte le questioni riguardanti il trattamento; il rappresentante agisce per conto del titolare del trattamento.

2. Il nostro ruolo: titolare o responsabile del trattamento

Per gli account clienti, la fatturazione, la sicurezza e il funzionamento del sito web siamo titolari del trattamento. La presente informativa descrive tale trattamento.

Il contenuto dei passaporti della batteria, i documenti caricati, i contatti dei fornitori e le richieste di accesso sono inseriti nel software dai nostri clienti (gli operatori economici). Per questi dati il rispettivo cliente è titolare del trattamento e noi siamo suo responsabile del trattamento ai sensi dell’art. 28 GDPR, sulla base del nostro Accordo sul trattamento dei dati (/avv). Per tali dati gli interessati dovrebbero rivolgersi all’operatore economico indicato nel passaporto; noi inoltriamo le richieste.

3. Visita del sito web

Quando apre le nostre pagine, il nostro server tratta il Suo indirizzo IP, l’indirizzo richiesto e l’identificativo del browser (user agent) per fornire la pagina e respingere attacchi (art. 6, paragrafo 1, lettera f), GDPR). Il nostro server web a monte registra indirizzo IP, ora, indirizzo richiesto, codice di stato e user agent per individuare attacchi e abusi; questo log del server viene cancellato automaticamente dopo sette giorni. Oltre a ciò, l’indirizzo IP viene trattato solo nei contatori di limitazione delle richieste (punto 5) e, troncato e sottoposto a hash, nel registro degli accessi ai contenuti protetti dei passaporti (punto 7).

Non utilizziamo tracker di analisi, plugin di social media né font esterni. Utilizziamo Google Ads per misurare il successo dei nostri annunci solo con il Suo consenso (punto 4).

4. Cookie

Cookie e voci di memoria tecnicamente necessari, per i quali non è richiesto alcun consenso (§ 25, comma 2, n. 2, TDDDG):

• bpo_session: accesso all’area clienti; durata 30 giorni, cancellato al logout.
• bpo_access: memorizza un’autorizzazione di accesso a contenuti non pubblici dei passaporti (interesse legittimo o autorità); durata secondo l’autorizzazione.
• bpo_consent (memoria locale del browser): memorizza la Sua scelta sui cookie; durata 12 mesi.
• Google Ads (solo con consenso): se acconsente nel banner dei cookie, integriamo il monitoraggio delle conversioni di Google Ads (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda). A tal fine Google imposta cookie (ad esempio _gcl_au, durata fino a 90 giorni) e riceve il Suo indirizzo IP, le pagine visitate, l’ora e i dati del browser, per misurare se un clic sul nostro annuncio ha portato a una registrazione o a un acquisto. La base giuridica è il Suo consenso (art. 6, paragrafo 1, lettera a), GDPR, § 25, comma 1, TDDDG). I trasferimenti a Google LLC negli USA sono coperti dal quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework). Senza consenso non viene caricato alcun codice di Google. Può revocare il Suo consenso in qualsiasi momento con effetto per il futuro tramite «Impostazioni cookie» nel piè di pagina. Informativa sulla privacy di Google: https://policies.google.com/privacy

5. Account cliente e organizzazione

Al momento della registrazione trattiamo nome, indirizzo e-mail, azienda e una password, che memorizziamo solo come hash (scrypt). Per l’organizzazione memorizziamo ragione sociale, indirizzo, paese, numero di partita IVA, numero EORI e ulteriori identificativi aziendali (ad esempio numero del registro delle imprese o LEI) che il cliente fornisce per i passaporti e per la registrazione UE, nonché piano e contingenti. Registriamo inoltre l’ora dell’ultimo accesso e l’impostazione della lingua.

La finalità è fornire l’area clienti, attribuire i passaporti all’operatore economico ed emettere le fatture. La base giuridica è l’esecuzione del contratto (art. 6, paragrafo 1, lettera b), GDPR).

Le conferme via e-mail e i link di accesso e di reimpostazione della password sono inviati tramite il servizio e-mail di STRATO GmbH (Germania). Registriamo le e-mail inviate con destinatario, oggetto, contenuto e stato di consegna per ricostruire i problemi di recapito; il registro viene cancellato dopo dodici mesi.

Per proteggerci dagli abusi limitiamo i tentativi di accesso, le registrazioni e le reimpostazioni della password per indirizzo IP e account. A tal fine memorizziamo contatori con l’indirizzo IP per un massimo di 24 ore (art. 6, paragrafo 1, lettera f), GDPR). Registriamo i tentativi di accesso (riusciti e non riusciti) con ora, indirizzo e-mail, esito, indirizzo IP completo e user agent per 90 giorni, per individuare attacchi agli account e distinguerli da un cliente che digita in modo errato la propria password. Questo registro è visibile solo al gestore nel cruscotto interno del gestore, dove è nascosto per impostazione predefinita dietro un comando di visualizzazione.

6. Pagamento e fatturazione

I piani a pagamento sono gestiti tramite Stripe Payments Europe Ltd., 1 Grand Canal Street Lower, Dublin, Irlanda. Stripe riceve nome, indirizzo e-mail, indirizzo dell’azienda, partita IVA e i dati di pagamento; i dati della carta e del conto sono raccolti esclusivamente da Stripe e non raggiungono mai i nostri server. Memorizziamo l’ID cliente Stripe, lo stato dell’abbonamento e i dati delle fatture.

Stripe è titolare autonomo del trattamento per l’elaborazione dei pagamenti; si applica l’informativa sulla privacy di Stripe (https://stripe.com/privacy). I trasferimenti a Stripe Inc. negli USA sono coperti dal quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework) e da clausole contrattuali tipo.

Le basi giuridiche sono l’esecuzione del contratto (art. 6, paragrafo 1, lettera b), GDPR) e i nostri obblighi legali di conservazione (art. 6, paragrafo 1, lettera c), GDPR). Conserviamo i dati delle fatture per dieci anni.

7. Passaporti della batteria pubblici

I passaporti della batteria pubblicati sono accessibili in tutto il mondo tramite il loro indirizzo (QR code). Quali dati siano pubblici, visibili solo alle persone con un interesse legittimo o solo alle autorità è stabilito dall’allegato XIII del regolamento (UE) 2023/1542; il software attua tecnicamente tali livelli. Tra i dati pubblici figurano il nome e i recapiti dell’operatore economico; se si tratta di una persona fisica, ne è responsabile l’operatore economico.

Registriamo per il cliente gli accessi ai contenuti non pubblici dei passaporti con ora, livello di accesso, indirizzo IP troncato e sottoposto a hash e user agent. Questo registro degli accessi viene cancellato dopo 90 giorni.

Chi richiede l’accesso a contenuti protetti in qualità di autorità o di persona con un interesse legittimo fornisce indirizzo e-mail, organizzazione, ruolo, finalità ed eventualmente documenti giustificativi. Il cliente, che decide sull’autorizzazione, vede tali informazioni; le trattiamo per conto del cliente.

8. Moduli per i fornitori, API e webhook

I clienti possono chiedere dati di prodotto ai fornitori tramite un link via e-mail. A tal fine memorizziamo, per conto del cliente, l’indirizzo e-mail del fornitore inserito dal cliente, lo stato di elaborazione e i valori trasmessi.

Per l’API memorizziamo le chiavi API solo come hash, insieme all’ora dell’ultimo utilizzo. Gli indirizzi e i segreti dei webhook sono forniti dal cliente; i segreti sono memorizzati in forma cifrata. Registriamo i tentativi di consegna con ora, codice di stato e un estratto della risposta per 30 giorni.

9. Hosting e destinatari

Ci avvaliamo dei seguenti prestatori di servizi, che trattano dati per nostro conto (art. 28 GDPR):

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Germania: server per l’applicazione, la banca dati e l’archivio documenti nei centri dati di Falkenstein e Norimberga.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlin, Germania: invio delle e-mail di sistema.
• Stripe Payments Europe Ltd., Dublin, Irlanda: elaborazione dei pagamenti (in qualità di titolare autonomo del trattamento, cfr. punto 6).

10. Trasferimenti verso paesi terzi

Siamo stabiliti in Svizzera. La Commissione europea ha riconosciuto che la Svizzera garantisce un livello di protezione dei dati adeguato (decisione di adeguatezza 2000/518/CE, confermata nel 2024), pertanto l’accesso dalla Svizzera ai dati memorizzati in Germania è consentito. Ad eccezione dell’elaborazione dei pagamenti tramite Stripe (punto 6), non avvengono trasferimenti verso altri paesi terzi.

11. Periodi di conservazione

• Dati dell’account cliente e dell’organizzazione: fino alla cancellazione dell’account, poi un periodo di blocco di 30 giorni; dati delle fatture dieci anni.
• Sessioni di accesso: 30 giorni; link di accesso e di reimpostazione: fino a 24 ore.
• Log del server web: sette giorni. Contatori di limitazione delle richieste: 24 ore. Registro degli accessi all’account: 90 giorni. Registri degli accessi ai contenuti protetti dei passaporti: 90 giorni. Registro delle e-mail: dodici mesi. Registro delle consegne dei webhook: 30 giorni.
• Passaporti della batteria e documenti: per il periodo di conservazione previsto dalla legge ai sensi dell’art. 77, paragrafo 8, regolamento (UE) 2023/1542. Dopo la cessazione del contratto i passaporti restano in modalità di sola lettura per almeno 15 anni e, oltre tale termine, fino alla comunicazione del riciclaggio; cancellazione secondo le nostre Condizioni generali (punto 8).
• Registro delle modifiche (audit log) dell’area clienti: per la durata del contratto, per dimostrare la catena di verifica dei passaporti.

12. Sicurezza

Tutte le connessioni sono cifrate con TLS. Le password sono memorizzate come hash scrypt, i segreti in forma cifrata. L’accesso è basato sui ruoli, i tentativi di accesso sono limitati e le modifiche ai passaporti sono registrate in una catena di hash. La banca dati è raggiungibile solo dalla rete privata. I backup sono creati quotidianamente e conservati per 30 giorni.

13. I Suoi diritti

Ha il diritto di accesso (art. 15 GDPR), di rettifica (art. 16), di cancellazione (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20) e di opposizione al trattamento basato su interessi legittimi (art. 21). Si rivolga a info@batteriepass-online.eu. Rispondiamo entro un mese.

Può proporre reclamo a un’autorità di controllo per la protezione dei dati: in Svizzera all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), nell’UE all’autorità del Suo luogo di residenza o di lavoro.

Non adottiamo decisioni basate unicamente su un trattamento automatizzato e non utilizziamo i Suoi dati per scopi pubblicitari senza il Suo previo consenso.

14. Modifiche

Aggiorniamo la presente informativa quando cambiano i nostri trattamenti o la situazione giuridica. La versione attuale è sempre disponibile all’indirizzo /datenschutz; informiamo i clienti via e-mail delle modifiche sostanziali.