Privacy policy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è MultaZero S.r.l., con sede legale in Via Tortona 14, 20144 Milano (MI), P.IVA IT 12345678901, contattabile all'indirizzo hello@multazero.it.

Il Responsabile della Protezione dei Dati (DPO), Avv. Giulia Verdi, è raggiungibile all'indirizzo dpo@multazero.it per qualsiasi richiesta relativa al trattamento dei dati personali e all'esercizio dei diritti previsti dagli artt. 15-22 GDPR.

2. Tipi di dati raccolti

Trattiamo le seguenti categorie di dati personali, raccolti direttamente dall'interessato o forniti dal cliente nel contesto dell'erogazione del servizio:

• Dati identificativi di amministratori, dipendenti e conducenti dei veicoli aziendali del cliente: nome, cognome, codice fiscale, data di nascita, indirizzo di residenza, numero patente.
• Dati di contatto: indirizzo email, numero di telefono.
• Dati relativi alla flotta: targhe, modelli veicolo, assegnazioni veicolo-conducente, turni di lavoro, fogli di marcia, dati tachigrafici (ove disponibili).
• Dati sulle infrazioni: estremi del verbale, data/ora dell'infrazione, articolo del Codice della Strada, importo della sanzione, organo accertatore.
• Dati di navigazione: indirizzo IP, user agent, log di accesso, cookie tecnici. Vedi la nostra Cookie Policy.
• Dati di pagamento: trattati esclusivamente da Stripe Payments Europe Ltd in qualità di responsabile autonomo. MultaZero non memorizza dati di carte di credito.

3. Finalità del trattamento

I dati sono trattati per le seguenti finalità, ciascuna con la relativa base giuridica:

• Erogazione del servizio — identificazione del conducente, generazione e invio della dichiarazione del conducente agli organi accertatori. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).
• Adempimento di obblighi di legge — comunicazione dei dati del conducente in adempimento dell'art. 126-bis del Codice della Strada. Base giuridica: obbligo legale (art. 6.1.c GDPR).
• Fatturazione e adempimenti fiscali. Base giuridica: obbligo legale.
• Sicurezza informatica e prevenzione frodi. Base giuridica: legittimo interesse del Titolare (art. 6.1.f GDPR).
• Comunicazioni di servizio — notifiche sul funzionamento dell'applicazione, scadenze, aggiornamenti funzionali. Base giuridica: esecuzione del contratto.

MultaZero non utilizza i dati per finalità di marketing diretto, profilazione comportamentale, o cessione a terzi a scopi commerciali.

4. Modalità del trattamento

Il trattamento è effettuato con strumenti elettronici, con misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR:

• Crittografia at-rest (AES-256) e in-transit (TLS 1.3).
• Infrastruttura ospitata esclusivamente nell'Unione Europea (AWS Frankfurt + replica Milano). Nessun trasferimento extra-UE.
• Controllo degli accessi basato sul principio del least privilege, autenticazione a due fattori per il personale tecnico.
• Log di audit centralizzato su tutte le operazioni di lettura, scrittura e cancellazione di dati personali.
• Backup automatici cifrati ogni 6 ore, retention 24 mesi.
• Procedura di incident response formalizzata, con notifica al Garante entro 72 ore in caso di data breach (art. 33 GDPR).

5. Periodo di conservazione

I dati sono conservati per il tempo strettamente necessario alle finalità sopra indicate:

• Dati operativi (verbali, conducenti, turni): 24 mesi rolling. Configurabile a 12 / 36 / 60 mesi su piano Enterprise.
• Dati di fatturazione: 10 anni, ai sensi dell'art. 2220 c.c.
• Audit log: 36 mesi, esportabile in qualsiasi momento.
• Backup: 30 giorni rolling, snapshot trimestrali 12 mesi.
• Dopo cancellazione abbonamento: 30 giorni di accesso in lettura per esportazione, poi cancellazione totale e certificata entro 90 giorni.

6. Comunicazione e trasferimento dei dati

I dati possono essere comunicati ai seguenti soggetti, nominati formalmente come Responsabili del trattamento (art. 28 GDPR):

• Amazon Web Services EMEA SARL — hosting, database, storage. Regione: Frankfurt + Milano (UE).
• Cloudflare Inc. — edge, WAF, anti-DDoS. PoPs esclusivamente UE, zero data retention.
• Stripe Payments Europe Ltd — processamento pagamenti. Sede: Irlanda. Conforme PCI DSS Level 1.
• Sentry — monitoring errori applicativi. Sede: Vienna (UE). Dati pseudonimizzati.
• Resend — email transazionali. Sede: Frankfurt (UE).

La lista completa e aggiornata è riportata nel nostro Data Processing Agreement. Le modifiche alla lista sono notificate ai clienti con preavviso di 30 giorni.

I dati possono inoltre essere comunicati agli organi accertatori (Polizia Locale, Polizia Stradale, Carabinieri, Comuni, aziende municipalizzate) per l'adempimento dell'obbligo legale di identificazione del conducente. Tale comunicazione è espressamente prevista dall'art. 126-bis CdS e non costituisce trasferimento a terzi.

7. Diritti dell'interessato

In ogni momento è possibile esercitare i diritti previsti dagli artt. 15-22 GDPR scrivendo a dpo@multazero.it:

• Diritto di accesso ai dati personali (art. 15).
• Diritto di rettifica di dati inesatti o incompleti (art. 16).
• Diritto alla cancellazione (diritto all'oblio, art. 17), nei limiti degli obblighi di legge.
• Diritto alla limitazione del trattamento (art. 18).
• Diritto alla portabilità dei dati in formato strutturato e leggibile (art. 20).
• Diritto di opposizione al trattamento basato sul legittimo interesse (art. 21).

Risposta garantita entro 30 giorni dal ricevimento della richiesta, salvo proroga motivata di ulteriori 60 giorni nei casi di particolare complessità.

È inoltre sempre possibile proporre reclamo al Garante per la protezione dei dati personali(Piazza Venezia 11, 00187 Roma — www.gpdp.it) ai sensi dell'art. 77 GDPR.

8. Modifiche alla privacy policy

La presente policy può essere aggiornata per riflettere modifiche normative, organizzative o funzionali. La versione vigente è sempre pubblicata su questa pagina, con indicazione della data di ultima modifica.

Le modifiche sostanziali sono notificate ai clienti via email con un preavviso di almeno 30 giorni prima dell'entrata in vigore.