Privacy Policy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali e:

2. Tipologie di dati raccolti

La Piattaforma raccoglie le seguenti categorie di dati personali:

2.1 Dati identificativi e di contatto

• Nome
• Indirizzo email
• Numero di telefono (facoltativo)
• Indirizzo di residenza o domicilio (facoltativo)

2.2 Dati relativi ai veicoli

• Numero di targa del veicolo
• Numero di telaio (VIN)
• Marca, modello, versione
• Cilindrata, potenza, alimentazione

Nota: il numero di targa e il numero di telaio (VIN) sono conservati in forma crittografata (AES-256) a tempo indefinito, in quanto necessari per l'erogazione del servizio di identificazione ricambi. L'utente autorizza espressamente tale conservazione accettando l'informativa sulla privacy e i relativi consensi in fase di registrazione. L'utente puo richiedere la cancellazione di tali dati in qualsiasi momento tramite la sezione "Privacy e dati personali" del proprio profilo o contattandoci all'indirizzo indicato nella sezione 10 della presente informativa.

2.3 Dati di navigazione

• Indirizzo IP (anonimizzato)
• Tipo di browser e sistema operativo
• Pagine visitate, tempo di permanenza
• URL di provenienza
• Dati raccolti tramite cookie (vedi Cookie Policy)

2.4 Dati relativi ai pagamenti

• Storico degli acquisti e dei crediti preventivo
• Identificativo della transazione

Nota: i dati della carta di credito o debito (numero, scadenza, CVV) non sono mai raccolti ne conservati da SparesAdvisor. Tutti i pagamenti sono gestiti direttamente da Stripe, Inc., certificato PCI DSS Level 1.

2.5 Dati delle conversazioni

• Contenuto delle conversazioni con l'assistente AI
• Ricambi identificati e codici OEM associati
• Richieste di preventivo inviate

3. Finalita e base giuridica del trattamento

4. Modalita di trattamento e sicurezza

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalitàsopra indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi. Le misure di sicurezza adottate includono:

• Cifratura dei dati a riposo mediante algoritmo AES-256 per tutti i dati sensibili archiviati nei database
• Cifratura dei dati in transito mediante protocollo HTTPS/TLS 1.3 per tutte le comunicazioni tra client e server
• Accesso limitato ai dati personali al solo personale autorizzato, con autenticazione a più fattori
• Log di accesso per tracciare ogni operazione sui dati personali
• Backup crittografati con cadenza giornaliera e conservazione in location geograficamente separate
• Penetration testing periodici per verificare la resilienza dell'infrastruttura
• Hashing delle password con algoritmo bcrypt e salt unico per ogni utente

5. Condivisione dei dati con terze parti

I dati personali possono essere comunicati alle seguenti categorie di destinatari, in qualita di Responsabili del trattamento ai sensi dell'Art. 28 GDPR:

• Partner ricambisti: i dati del veicolo e dei ricambi identificati vengono condivisi con i ricambisti partner per l'elaborazione dei preventivi. L'indirizzo email dell'utente viene condiviso per consentire l'invio del preventivo. Non vengono condivisi altri dati personali.
• Stripe, Inc.: gestore dei pagamenti elettronici, certificato PCI DSS Level 1. Stripe tratta i dati di pagamento in qualita di titolare autonomo. Informativa: stripe.com/privacy.
• Amazon Web Services (AWS): fornitore di servizi di hosting e cloud computing. I server utilizzati si trovano nella regione EU (Francoforte, Germania). Informativa: aws.amazon.com/privacy.
• Fornitori di servizi email: per l'invio di comunicazioni transazionali e, previo consenso, di marketing.

I dati personali non vengono venduti a terze parti. Non vengono utilizzati per finalitàdi profilazione automatizzata con effetti giuridici sull'interessato.

6. Trasferimento dei dati al di fuori dell'Unione Europea

Alcuni dei fornitori sopra indicati (in particolare Stripe) hanno sede negli Stati Uniti d'America. Il trasferimento dei dati verso gli USA avviene sulla base delle seguenti garanzie:

• Clausole contrattuali standard (SCC) approvate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914
• Misure supplementari di natura tecnica, organizzativa e contrattuale come raccomandato dall'EDPB
• Ove applicabile, adesione al EU-US Data Privacy Framework

I dati archiviati su AWS sono conservati esclusivamente all'interno dell'Unione Europea (regione eu-central-1, Francoforte).

7. Periodo di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalitàper cui sono stati raccolti:

• Dati dell'account: per l'intera durata del rapporto contrattuale e per i 12 mesi successivi alla cancellazione dell'account, salvo obblighi di legge
• Dati di pagamento e fiscali: per 10 anni dalla data della transazione, in conformita agli obblighi fiscali e contabili previsti dalla normativa italiana (Art. 2220 c.c. e D.P.R. 600/1973)
• Dati delle conversazioni AI: per 24 mesi dall'ultima interazione, per finalitàdi miglioramento del servizio
• Dati di marketing: fino alla revoca del consenso da parte dell'interessato
• Dati di navigazione: per un massimo di 26 mesi (in linea con le indicazioni del Garante Privacy)

Al termine dei periodi di conservazione, i dati vengono cancellati in modo sicuro o anonimizzati in forma irreversibile per finalitàstatistiche.

8. Diritti dell'interessato

In conformita agli articoli da 15 a 22 del GDPR, l'interessato ha il diritto di:

• Accesso (Art. 15): ottenere conferma dell'esistenza di un trattamento e accedere ai propri dati personali
• Rettifica (Art. 16): ottenere la correzione di dati personali inesatti o l'integrazione di dati incompleti
• Cancellazione (Art. 17): ottenere la cancellazione dei propri dati personali ("diritto all'oblio"), nei casi previsti dal GDPR
• Limitazione (Art. 18): ottenere la limitazione del trattamento, nei casi previsti dal GDPR
• Portabilita (Art. 20): ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli ad altro titolare
• Opposizione (Art. 21): opporsi al trattamento dei propri dati personali basato sul legittimo interesse, inclusa la profilazione
• Revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza che cio pregiudichi la liceita del trattamento basato sul consenso prestato prima della revoca

Per esercitare i propri diritti, l'interessato puo inviare una richiesta scritta a privacy@sparesadvisor.com. Il Titolare si impegna a riscontrare la richiesta entro 30 giorni dal ricevimento, come previsto dall'Art. 12, par. 3 del GDPR.

9. Diritto di reclamo

L'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR ha il diritto di proporre reclamo all'Autorita di controllo competente. In Italia, l'Autorita di controllo e il Garante per la protezione dei dati personali, con sede in Piazza Venezia 11, 00187 Roma, email: protocollo@gpdp.it, sito web: www.garanteprivacy.it.

10. Cookie

La Piattaforma utilizza cookie tecnici e, previo consenso, cookie analitici e di profilazione. Per informazioni dettagliate sui cookie utilizzati, sulle finalitàe sulle modalita di gestione, si rimanda alla Cookie Policy.

11. Modifiche alla presente informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali, il Titolare provvedera a informare gli utenti registrati tramite email o mediante avviso sulla Piattaforma. Si invita l'utente a consultare periodicamente questa pagina per verificare eventuali aggiornamenti.

12. Contatti

Per qualsiasi domanda o richiesta relativa al trattamento dei dati personali, l'interessato puo contattare il Titolare ai seguenti recapiti: