Informativa sulla Privacy

1. Introduzione

La presente Informativa sulla Privacy spiega come Графикс Технолъджи Интернешънъл ЕООД (UIC 202905717), Sofia, Bulgaria ("noi", "ci" o "Società") raccoglie, utilizza e protegge i dati personali quando Lei utilizza l'applicazione web Garage Manager ("Servizio").

Trattiamo i dati personali in conformità con il Regolamento (UE) 2016/679 (GDPR), la Legge bulgara sulla Protezione dei Dati Personali (Закон за защита на личните данни, ЗЗЛД) e la Legge bulgara sulle Comunicazioni Elettroniche (Закон за електронните съобщения) che recepisce la Direttiva ePrivacy.

La presente informativa è fornita ai sensi degli Artt. 13 (dati raccolti direttamente presso l'interessato) e 14 (dati ottenuti da altre fonti) del GDPR.

2. Titolare del Trattamento

Графикс Технолъджи Интернешънъл ЕООД
Sofia, Mladost 1-22, Bulgaria
UIC: 202905717
Email: office@garagemanager.eu

Non abbiamo nominato un Responsabile della Protezione dei Dati (DPO) dedicato, in quanto non rientriamo nelle categorie obbligatorie dell'Art. 37 del GDPR. Le richieste relative alla privacy vengono gestite direttamente al recapito sopra indicato.

3. Quali Dati Personali Raccogliamo

3.1 Dati dell'Account e del Profilo

• Nome, indirizzo email e password (memorizzata come hash bcrypt, mai in testo in chiaro)
• Denominazione commerciale, indirizzo dell'officina e numero di telefono
• Indirizzo di fatturazione, partita IVA e dati di registrazione della società (se forniti ai fini della fatturazione)

3.2 Dati Inseriti nel Servizio

Lei agisce in qualità di titolare del trattamento per i dati personali di terzi (Suoi clienti, dipendenti, ecc.) inseriti nel Servizio. Noi agiamo in qualità di responsabile del trattamento per Suo conto. Lei è responsabile di garantire l'esistenza di una base giuridica lecita per tale trattamento.

• Anagrafiche clienti: nomi, dati di contatto, informazioni sui veicoli
• Ordini di lavoro, descrizioni delle riparazioni e cronologia degli interventi
• Fatture e registrazioni delle transazioni finanziarie
• Account dei membri del team creati all'interno del Suo spazio di lavoro

3.3 Dati di Utilizzo e Tecnici

• Indirizzo IP, tipo di browser e informazioni sul dispositivo
• Pagine visitate, funzionalità utilizzate e durata della sessione
• Log degli errori e informazioni diagnostiche

3.4 Dati di Pagamento

I dati delle carte di pagamento vengono elaborati direttamente dai nostri fornitori di servizi di pagamento (Stripe, PayPal, Skrill, ePay.bg). Conserviamo esclusivamente un riferimento di pagamento, le ultime quattro cifre della carta e il tipo di carta. I numeri completi delle carte non vengono mai trasmessi né memorizzati sui nostri sistemi.

4. Finalità e Base Giuridica del Trattamento

Trattiamo i dati personali solo in presenza di una base giuridica ai sensi dell'Art. 6 del GDPR:

• Esecuzione del contratto (Art. 6(1)(b)) — creazione e gestione del Suo account; erogazione del Servizio; elaborazione dei pagamenti; invio di email transazionali (ricevute, reimpostazione della password, notifiche sull'abbonamento).
• Obbligo legale (Art. 6(1)(c)) — conservazione dei registri finanziari e delle fatture in conformità con la Legge bulgara sulla Contabilità (Закон за счетоводството) e la Legge sull'IVA (ЗДДС); risposta a richieste legittime da parte delle autorità pubbliche.
• Legittimo interesse (Art. 6(1)(f)) — monitoraggio della sicurezza e prevenzione delle frodi; log degli errori e affidabilità del servizio; analisi del prodotto e miglioramento delle funzionalità. I nostri legittimi interessi non prevalgono sui Suoi diritti fondamentali; Lei può opporsi a tale trattamento (si veda la sezione 10).
• Consenso (Art. 6(1)(a)) — cookie analitici e comunicazioni di marketing opzionali. Può revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

Requisito legale o contrattuale

Fornire il Suo nome e indirizzo email è un requisito contrattuale per la registrazione dell'account. Senza tali dati, non possiamo fornire il Servizio. Fornire i dati di fatturazione è necessario solo in caso di sottoscrizione di un piano a pagamento ed è al contempo un requisito contrattuale e, ai fini della fatturazione, un obbligo legale. Tutti gli altri dati sono forniti su base volontaria.

5. Conservazione dei Dati

• Dati dell'account: Conservati per l'intera durata dell'account. In caso di eliminazione dell'account, i dati personali vengono cancellati o resi anonimi entro 90 giorni, fatte salve le eccezioni di seguito indicate.
• Registri finanziari e fatture: Conservati per 10 anni dalla fine dell'esercizio finanziario in cui è avvenuta la transazione, come previsto dall'Art. 12(1) della Legge bulgara sulla Contabilità e dalla Legge sull'IVA (ЗДДС). Tale obbligo si applica anche dopo l'eliminazione dell'account.
• Log di utilizzo e tecnici: Conservati per un massimo di 12 mesi per finalità di sicurezza e diagnostica.
• Dati analitici anonimi: Possono essere conservati a tempo indeterminato.

6. Responsabili del Trattamento Terzi

Condividiamo i dati con sub-responsabili del trattamento di fiducia solo nella misura necessaria per fornire il Servizio. Tutti i responsabili sono vincolati da accordi sul trattamento dei dati conformi all'Art. 28 del GDPR:

• Stripe, Inc. — elaborazione dei pagamenti e tokenizzazione delle carte (USA; si avvale delle Clausole Contrattuali Standard dell'UE)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — elaborazione alternativa dei pagamenti (Lussemburgo, SEE)
• Skrill Limited — elaborazione alternativa dei pagamenti (Regno Unito; si avvale della decisione di adeguatezza o delle SCC)
• ePay.bg (Fibank) — elaborazione dei pagamenti (Bulgaria, SEE)
• Google LLC — reCAPTCHA per la prevenzione dei bot e Google Analytics (USA; si avvale delle SCC dell'UE e, ove applicabile, del Quadro UE-USA per la protezione dei dati)
• Provider di infrastruttura cloud — servizi di hosting e database; server ubicati nell'UE/SEE

Non vendiamo i Suoi dati personali. Non condividiamo dati con terzi per finalità di marketing proprie.

7. Trasferimenti Internazionali di Dati

Qualora i dati personali vengano trasferiti al di fuori dello Spazio Economico Europeo (ad es. a responsabili del trattamento con sede negli USA), ci avvaliamo di una o più delle seguenti garanzie, a seconda dei casi: Clausole Contrattuali Standard (SCC) dell'UE adottate dalla Commissione Europea; il Quadro UE-USA per la Protezione dei Dati (Data Privacy Framework, qualora il destinatario sia certificato); o altro meccanismo di trasferimento lecito ai sensi del Capo V del GDPR. Può richiedere una copia delle garanzie pertinenti contattandoci.

8. Cookie e Tecnologie Simili

Utilizziamo cookie ai sensi della Legge bulgara sulle Comunicazioni Elettroniche (Art. 248a), che recepisce la Direttiva ePrivacy e richiede il consenso preventivo, informato e liberamente prestato per i cookie non essenziali:

• Cookie strettamente necessari — gestione della sessione, protezione CSRF e autenticazione. Sono necessari per il funzionamento del Servizio e non richiedono il consenso.
• Cookie analitici — per comprendere come gli utenti interagiscono con il Servizio (ad es. Google Analytics). Vengono installati solo dopo che Lei ha fornito il consenso esplicito tramite il banner dei cookie.
• Cookie funzionali di terze parti — reCAPTCHA (Google) e script dei fornitori di pagamento. Vengono caricati solo quando Lei interagisce con la funzionalità pertinente.

Può revocare il consenso ai cookie in qualsiasi momento modificando le impostazioni nel banner dei cookie o configurando il Suo browser per bloccare i cookie. La revoca del consenso non incide sui cookie essenziali necessari al funzionamento del Servizio.

9. Sicurezza dei Dati

Implementiamo misure tecniche e organizzative adeguate come richiesto dall'Art. 32 del GDPR, tra cui: crittografia TLS per tutti i dati in transito; hashing delle password con bcrypt; controlli di accesso basati sui ruoli; opzione di autenticazione a più fattori (MFA); e registrazione degli audit per le operazioni sensibili.

In caso di violazione dei dati personali che possa comportare un rischio per i Suoi diritti e le Sue libertà, notificheremo la Commissione per la Protezione dei Dati Personali (КЗЛД) entro 72 ore dal momento in cui ne saremo venuti a conoscenza, in conformità con l'Art. 33 del GDPR. Qualora la violazione sia suscettibile di comportare un rischio elevato per i Suoi diritti e le Sue libertà, La informeremo direttamente senza indebito ritardo (Art. 34 del GDPR).

10. I Suoi Diritti ai Sensi del GDPR

Ai sensi degli Artt. 15-22 del GDPR, Lei ha i seguenti diritti riguardo ai Suoi dati personali:

• Accesso (Art. 15) — ottenere una copia dei dati personali che deteniamo su di Lei e informazioni sulle modalità di trattamento.
• Rettifica (Art. 16) — richiedere la correzione di dati inesatti o incompleti.
• Cancellazione (Art. 17) — richiedere la cancellazione dei Suoi dati qualora non siano più necessari, Lei revochi il consenso o il trattamento sia illecito. Tale diritto è soggetto ai nostri obblighi legali di conservazione (sezione 5).
• Portabilità (Art. 20) — ricevere i dati da Lei forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico (si applica ai dati trattati con mezzi automatizzati sulla base del consenso o del contratto).
• Limitazione (Art. 18) — richiedere la limitazione del trattamento dei Suoi dati in circostanze specifiche.
• Opposizione (Art. 21) — opporsi al trattamento basato su legittimi interessi o per finalità di marketing diretto. In caso di opposizione, cesseremo il trattamento salvo che possiamo dimostrare motivi legittimi prevalenti.
• Revoca del consenso (Art. 7(3)) — qualora il trattamento sia basato sul consenso, può revocarlo in qualsiasi momento. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.
• Assenza di processi decisionali automatizzati (Art. 22) — il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato (inclusa la profilazione) che produca effetti giuridici significativi o analogamente significativi. Non effettuiamo tale trattamento.

Per esercitare uno qualsiasi di questi diritti, invii una richiesta a privacy@garagemanager.eu. Risponderemo entro un mese dal ricevimento della Sua richiesta (Art. 12(3) del GDPR). Tale termine può essere prorogato di ulteriori due mesi qualora le richieste siano complesse o numerose, con comunicazione all'interessato.

Potremmo chiederLe di verificare la Sua identità prima di elaborare la richiesta.

11. Diritto di Proporre Reclamo

Lei ha il diritto di proporre reclamo all'autorità di controllo bulgara:

• Commissione per la Protezione dei Dati Personali (Комисия за защита на личните данни — КЗЛД)
• 2 Prof. Tsvetan Lazarov Blvd., 1592 Sofia, Bulgaria
• +359 883 386 201
• kzld@cpdp.bg
• www.cpdp.bg

Se risiede in un altro Stato membro dell'UE, può anche proporre reclamo all'autorità di controllo del Suo Paese di residenza.

12. Privacy dei Minori

Il Servizio è rivolto esclusivamente a utenti professionali. Non raccogliamo consapevolmente dati personali di persone di età inferiore a 16 anni. Qualora venissimo a conoscenza della raccolta di tali dati, provvederemo alla loro tempestiva cancellazione.

13. Modifiche alla Presente Informativa

Potremmo aggiornare la presente Informativa sulla Privacy di volta in volta. La informeremo delle modifiche sostanziali via email o tramite una notifica nell'applicazione prima della loro entrata in vigore. La data "Ultimo aggiornamento" in cima a questa pagina riflette sempre la revisione più recente. Ove previsto dalla legge, otterremo un nuovo consenso per eventuali nuove finalità di trattamento.

14. Contatti

Per qualsiasi domanda, richiesta o reclamo in materia di privacy:

• Società: Графикс Технолъджи Интернешънъл ЕООД
• Indirizzo: Sofia, Mladost 1-22, Bulgaria
• Email: privacy@garagemanager.eu