Ultimo aggiornamento: 19 ottobre 2026
1. Ambito di applicazione
Il presente Accordo sul trattamento dei dati («DPA») costituisce parte dei Termini di servizio tra RentalSaga, Inc. («RentalSaga», «noi») e la società cliente («Cliente», «lei»). Si applica ogniqualvolta trattiamo dati personali per suo conto nella fornitura del Servizio («Dati personali del Cliente»). Entra in vigore quando lei accetta i Termini, senza necessità di una firma separata.
Per i Dati personali del Cliente, lei è il titolare del trattamento e noi siamo il suo responsabile del trattamento. Qualora lei sia a sua volta responsabile del trattamento per un'altra società, noi siamo il suo sub-responsabile del trattamento e lei trasferisce di conseguenza i presenti impegni.
Termini come «dati personali», «trattamento», «titolare del trattamento», «responsabile del trattamento», «interessato» e «violazione dei dati personali» hanno il significato loro attribuito dal regolamento generale sulla protezione dei dati dell'UE («GDPR»), e i termini equivalenti di altre leggi sulla protezione dei dati si applicano allo stesso modo.
2. Dettagli del trattamento
Oggetto e finalità: hosting e trattamento dei Dati personali del Cliente affinché lei possa gestire la sua attività di noleggio con il Servizio, e fornitura di assistenza.
Durata: per la durata dei Termini di servizio e fino alla cancellazione dei dati secondo quanto previsto dalla sezione 10.
Natura del trattamento: conservazione, organizzazione, visualizzazione, trasmissione (ad esempio via email), esportazione e cancellazione dei dati, secondo le istruzioni impartite mediante il suo utilizzo del Servizio.
Interessati: i suoi locatari, conducenti, potenziali clienti e i loro contatti; il suo personale e i suoi utenti; e i referenti presso i suoi partner, fornitori e clienti aziendali.
Categorie di dati: dati identificativi e di contatto; indirizzi; date di nascita; dati della patente di guida e dei documenti d'identità; registrazioni relative a prenotazioni, noleggi, veicoli e pagamenti; registrazioni relative a danni, contravvenzioni stradali e richieste di risarcimento; e il contenuto dei messaggi inviati tramite il Servizio. I numeri delle carte di pagamento non sono trattati nel Servizio.
Le categorie particolari di dati personali non sono necessarie per il Servizio. Lei non dovrebbe inserirle, salvo che la sua legge locale lo richieda e lei disponga di una base giuridica per farlo.
3. I nostri obblighi
Trattiamo i Dati personali del Cliente soltanto su sue istruzioni documentate. Le sue istruzioni sono costituite dai Termini, dal presente DPA e dal suo utilizzo e dalla sua configurazione del Servizio. Se la legge ci impone di trattarli diversamente, la informiamo prima, salvo che la legge lo vieti. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, la informiamo.
Garantiamo che le persone da noi autorizzate al trattamento dei Dati personali del Cliente siano vincolate alla riservatezza.
Non vendiamo i Dati personali del Cliente, non li utilizziamo per nostre finalità o a fini pubblicitari e non li combiniamo con altri dati, se non per fornire il Servizio.
4. Sicurezza
Manteniamo misure tecniche e organizzative adeguate al rischio, tra cui: cifratura dei dati in transito; un database separato per ciascuna società cliente; cifratura dei campi personali sensibili con una chiave specifica per ciascuna società; password sottoposte a hash e accesso in due passaggi facoltativo; diritti di accesso limitati in base al ruolo all'interno del Servizio; accesso limitato e autenticato ai sistemi di produzione; registrazione degli accessi e delle modifiche; backup regolari; e aggiornamento costante del nostro software e della nostra infrastruttura.
Possiamo aggiornare tali misure nel tempo, a condizione che il livello complessivo di protezione non venga ridotto.
5. Sub-responsabili del trattamento
Lei ci autorizza a ricorrere ad altre società per contribuire alla fornitura del Servizio, ad esempio per hosting, archiviazione, invio di email e protezione dai bot («sub-responsabili del trattamento»). L'elenco attuale è disponibile su richiesta all'indirizzo [email protected].
Imponiamo contrattualmente a ciascun sub-responsabile del trattamento obblighi in materia di protezione dei dati che tutelano i Dati personali del Cliente in misura almeno pari al presente DPA, e restiamo responsabili del loro adempimento.
La informiamo prima di aggiungere o sostituire un sub-responsabile del trattamento. Lei può opporsi per ragionevoli motivi attinenti alla protezione dei dati entro 30 giorni dalla comunicazione. Se non possiamo ragionevolmente dare seguito alla sua opposizione, lei può cessare il Servizio interessato e noi le rimborsiamo i corrispettivi eventualmente pagati in anticipo per il periodo successivo alla cessazione.
6. Trasferimenti internazionali
Il Servizio è ospitato principalmente nell'Unione europea. I Dati personali del Cliente possono essere trattati in altri paesi, compresi gli Stati Uniti, dove hanno sede RentalSaga, Inc. e alcuni sub-responsabili del trattamento.
Qualora un trasferimento richieda garanzie ai sensi del GDPR, dell'UK GDPR, del diritto svizzero o di un'altra legge, le clausole contrattuali tipo della Commissione europea (Modulo 2, da titolare a responsabile del trattamento, o Modulo 3, da responsabile a responsabile del trattamento, a seconda dei casi) sono incorporate mediante rinvio nel presente DPA, unitamente all'International Data Transfer Addendum del Regno Unito e agli adeguamenti svizzeri, ove applicabili. Ai fini delle Clausole: si applica la clausola facoltativa di adesione successiva; ai sub-responsabili del trattamento si applica l'autorizzazione generale di cui alla sezione 5; la clausola 17 e la clausola 18 rinviano alla legge e agli organi giurisdizionali dell'Irlanda; e i dettagli di cui alla sezione 2 e le misure di cui alla sezione 4 completano gli Allegati.
7. Come la aiutiamo
Richieste degli interessati: il Servizio le consente di accedere ai dati personali dei suoi locatari e utenti, di rettificarli, esportarli e cancellarli. Se non può fare qualcosa tramite il Servizio, la aiutiamo per quanto ragionevolmente possibile. Se un interessato ci contatta direttamente in merito ai Dati personali del Cliente, le trasmettiamo la richiesta e non vi rispondiamo direttamente, salvo che lei ce lo chieda.
Valutazioni e autorità: le forniamo informazioni e assistenza ragionevoli per le valutazioni d'impatto sulla protezione dei dati e per le consultazioni con le autorità relative al Servizio.
8. Violazioni dei dati personali
La informiamo senza ingiustificato ritardo, e in ogni caso entro 48 ore, dopo essere venuti a conoscenza di una violazione dei dati personali che riguarda i Dati personali del Cliente. Le comunichiamo quanto sappiamo sulla sua natura, sui dati e sulle persone coinvolti, sulle sue probabili conseguenze e sulle misure adottate o proposte, e integriamo le informazioni man mano che diventano disponibili.
Adottiamo misure ragionevoli per contenere la violazione e limitarne gli effetti. La nostra notifica non costituisce un'ammissione di colpa.
9. Richieste delle autorità
Se un'autorità pubblica ci chiede Dati personali del Cliente, ove possibile indirizziamo l'autorità a lei, ne diamo notizia a lei salvo che la legge lo vieti, e divulghiamo soltanto quanto siamo legalmente tenuti a divulgare dopo aver valutato la liceità della richiesta.
10. Restituzione e cancellazione
Lei può esportare i suoi dati dal Servizio in qualsiasi momento finché il suo account è attivo e, quando chiude il suo account, per 30 giorni dopo la fine del periodo pagato.
Il 90° giorno successivo a tale data di fine, cancelliamo definitivamente i Dati personali del Cliente, salvo che una legge ci imponga di conservarne una parte. Le copie nei backup vengono cancellate man mano che i backup scadono e, fino ad allora, restano tutelate dal presente DPA.
11. Audit
Su richiesta, le forniamo le informazioni ragionevolmente necessarie per dimostrare che rispettiamo il presente DPA, come le risposte ai questionari di sicurezza e le descrizioni delle nostre misure.
Se tali informazioni non sono sufficienti, o se un'autorità lo richiede, lei può sottoporre a audit la nostra conformità una volta all'anno, con un preavviso scritto di almeno 30 giorni, durante l'orario lavorativo, a sue spese e tramite un revisore vincolato alla riservatezza che non sia un nostro concorrente. L'audit non deve compromettere la sicurezza del Servizio né i dati di altri clienti.
12. I suoi obblighi
Lei è responsabile della liceità dei Dati personali del Cliente che inserisce nel Servizio e delle sue istruzioni: disporre di una base giuridica, informare gli interessati mediante la sua informativa sulla privacy e conservare solo i dati di cui ha bisogno.
13. Altre leggi sulla privacy
Qualora si applichi il California Consumer Privacy Act, agiamo in qualità di suo fornitore di servizi: non vendiamo né condividiamo i Dati personali del Cliente, non li conserviamo, utilizziamo o divulghiamo al di fuori del nostro rapporto commerciale diretto con lei o per finalità diverse dalla fornitura del Servizio, e non li combiniamo con altri dati se non nei limiti consentiti dalla legge.
Qualora si applichi la LGPD brasiliana o un'altra legge nazionale, agiamo in qualità di suo operatore o responsabile del trattamento ai sensi di tale legge, e gli impegni del presente DPA si applicano con il medesimo effetto.
14. Responsabilità e ordine di prevalenza
La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta ai limiti dei Termini di servizio, salvo ove la legge non li consenta. In caso di conflitto tra il presente DPA e i Termini in materia di dati personali, prevale il presente DPA; se si applicano le clausole contrattuali tipo e sono in conflitto con il presente DPA, prevalgono le Clausole.
15. Contatti
Domande sul presente DPA o su come trattiamo i dati personali per suo conto? Ci scriva a [email protected].