Accordo sul trattamento dei dati

Nomina a responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)

1. Parti e oggetto

Questo Accordo regola il trattamento dei dati personali che Devox, P.IVA 04801720279, Venezia, Italia — privacy@devox.it («Responsabile») svolge per conto dell'azienda che usa ServiceNet («Titolare»). È parte integrante dei Termini di servizio e si intende accettato con essi. In materia di dati personali prevale sui Termini.

2. Durata, natura e finalità

Il Responsabile tratta i dati al solo scopo di fornire ServiceNet: conservazione, organizzazione, consultazione, comunicazione agli utenti autorizzati dal Titolare, invio di notifiche ed email di servizio, calcolo di percorsi e proposte di assegnazione. L'Accordo dura quanto il contratto e fino alla cancellazione dei dati.

3. Dati e interessati

• Interessati: autisti e altri lavoratori del Titolare, passeggeri, clienti, collaboratori e fornitori, persone che inviano una richiesta di prenotazione.
• Dati: anagrafici e di contatto; dati fiscali e bancari; documenti di guida e relative scadenze; orari di lavoro, presenze, ferie, permessi e assenze; indirizzi, orari e dettagli dei servizi di trasporto; note inserite dal Titolare.
• Categorie particolari: solo l'eventuale indicazione di un'assenza per malattia. Il Titolare si impegna a non inserire diagnosi né altri dati particolari non necessari.
• Posizione: letta una sola volta alla timbratura e non conservata.

4. Istruzioni del Titolare

Il Responsabile tratta i dati solo su istruzione documentata del Titolare. Sono istruzioni il contratto, questo Accordo e l'uso che il Titolare fa delle funzioni e delle impostazioni della piattaforma. Il Responsabile avvisa il Titolare se ritiene che un'istruzione violi la normativa. Non usa i dati per finalità proprie, salvo ricavarne statistiche aggregate e anonime sul funzionamento del servizio.

5. Obblighi del Titolare

• Avere una base giuridica per i dati che inserisce e informare gli interessati (lavoratori, passeggeri, clienti).
• Per il modulo Presenze: rispettare la normativa sul controllo a distanza dei lavoratori (in Italia l'art. 4 della L. 300/1970), informare i lavoratori e svolgere, se necessaria, la valutazione d'impatto.
• Per la funzione di ottimizzazione: informare i lavoratori dell'uso di sistemi automatizzati nell'assegnazione del lavoro, quando la legge lo richiede.
• Gestire gli accessi dei propri utenti e disattivarli quando non servono più.

6. Riservatezza e accessi del Responsabile

Accedono ai dati solo persone autorizzate e vincolate alla riservatezza. Il personale del Responsabile accede ai dati del Titolare solo per assistenza richiesta, manutenzione o sicurezza. Questi accessi sono registrati.

7. Sicurezza

Il Responsabile adotta le misure tecniche e organizzative dell'Allegato 2 e le aggiorna senza ridurre il livello di protezione (art. 32 GDPR).

8. Sub-responsabili

Il Titolare autorizza in via generale il ricorso ai sub-responsabili elencati su https://servicenet.tech/subprocessors. Il Responsabile comunica per email o con un avviso nell'app l'aggiunta o la sostituzione di un sub-responsabile con almeno 30 giorni di anticipo. Il Titolare può opporsi per motivi fondati entro quel termine; se l'obiezione non si risolve può recedere dal contratto senza penali. Il Responsabile impone ai sub-responsabili obblighi equivalenti a quelli di questo Accordo e risponde del loro operato.

9. Trasferimenti fuori dallo SEE

I dati sono trasferiti fuori dallo Spazio economico europeo solo verso i sub-responsabili in elenco e con le garanzie del Capo V GDPR: decisione di adeguatezza o clausole contrattuali standard. Il Titolare autorizza questi trasferimenti.

10. Diritti degli interessati

La piattaforma permette al Titolare di consultare, correggere, cancellare ed esportare in formato strutturato tutti i dati (Impostazioni → Privacy e dati) e di fissarne la durata di conservazione; ogni utente può scaricare i propri. Se un interessato si rivolge direttamente al Responsabile, questi inoltra la richiesta al Titolare entro 5 giorni lavorativi e non risponde nel merito senza sua istruzione.

11. Assistenza

Il Responsabile assiste il Titolare, con le informazioni di cui dispone, negli obblighi su sicurezza, valutazione d'impatto e consultazione dell'autorità di controllo (artt. 32-36 GDPR).

12. Violazioni dei dati

Il Responsabile informa il Titolare di una violazione dei dati personali senza ingiustificato ritardo e comunque entro 48 ore da quando ne è venuto a conoscenza, indicando natura della violazione, dati e interessati coinvolti, conseguenze probabili e misure adottate, e completa le informazioni man mano che sono disponibili.

13. Fine del contratto

Il Titolare può chiedere un'esportazione ed eliminare tutti i dati in qualsiasi momento da Impostazioni → Elimina account. Alla cessazione del contratto il Responsabile cancella i dati entro 30 giorni dalla richiesta del Titolare. Restano i dati che la legge impone di conservare e le copie di backup, che vengono sovrascritte secondo i cicli del fornitore del database.

14. Verifiche

Il Responsabile mette a disposizione le informazioni necessarie a dimostrare il rispetto di questo Accordo. Il Titolare può svolgere una verifica, anche tramite un incaricato vincolato alla riservatezza, non più di una volta l'anno, con preavviso di 30 giorni, in orario di lavoro e a proprie spese. La verifica si svolge di norma su documenti e questionari.

15. Responsabilità e legge applicabile

Ciascuna parte risponde dei danni causati dalla violazione dei propri obblighi secondo l'art. 82 GDPR e i limiti previsti dai Termini di servizio, dove la legge li consente. L'Accordo è regolato dalla legge italiana.

Allegato 1 — Descrizione del trattamento

Voce	Descrizione
Oggetto	Fornitura del gestionale ServiceNet
Durata	Durata del contratto, fino alla cancellazione dei dati
Operazioni	Raccolta, registrazione, conservazione, consultazione, comunicazione agli utenti autorizzati, cancellazione
Interessati	Lavoratori, passeggeri, clienti, collaboratori, richiedenti una prenotazione
Dati	Quelli dell'articolo 3
Luogo	Stati Uniti e Unione Europea, secondo l'elenco dei sub-responsabili

Allegato 2 — Misure di sicurezza

• Connessioni cifrate (TLS) tra dispositivi, applicazione e database.
• Password salvate come hash (bcrypt); codici di accesso e di recupero salvati come hash.
• Dati di ogni azienda separati da quelli delle altre a ogni lettura e scrittura.
• Accessi per ruolo: l'autista vede solo i propri servizi e non i dati economici.
• Blocco temporaneo dopo tentativi di accesso falliti; protezione dei moduli pubblici da invii automatici.
• Disattivazione di un accesso con chiusura immediata delle sessioni.
• Registro delle operazioni sensibili e degli accessi del personale del Responsabile, conservato 24 mesi.
• Posizione dei lavoratori mai salvata.
• Log tecnici e strumenti di diagnosi senza contenuto delle richieste.
• Backup del database gestiti dal fornitore.
• Eliminazione dell'account con cancellazione di tutti i dati dell'azienda.

Allegato 3 — Sub-responsabili

L'elenco aggiornato è su https://servicenet.tech/subprocessors.

Fornitori e sub-responsabili · Informativa privacy

Versione del 6 novembre 2026

Data Processing Agreement

Appointment of a processor under Article 28 of Regulation (EU) 2016/679 (GDPR)

1. Parties and subject matter

This Agreement governs the processing of personal data that Devox, VAT no. 04801720279, Venice, Italy — privacy@devox.it (“Processor”) carries out on behalf of the company using ServiceNet (“Controller”). It forms an integral part of the Terms of Service and is accepted together with them. On personal data matters it prevails over the Terms.

2. Duration, nature and purpose

The Processor processes the data for the sole purpose of providing ServiceNet: storage, organisation, retrieval, disclosure to users authorised by the Controller, delivery of service notifications and emails, route calculation and assignment suggestions. The Agreement lasts as long as the contract and until the data is deleted.

3. Data and data subjects

• Data subjects: drivers and other workers of the Controller, passengers, customers, collaborators and suppliers, people who send a booking request.
• Data: identification and contact details; tax and bank details; driving documents and their expiry dates; working hours, attendance, holidays, leave and absences; addresses, times and details of transport services; notes entered by the Controller.
• Special categories: only the possible indication of an absence due to sickness. The Controller undertakes not to enter diagnoses or other special-category data that is not necessary.
• Location: read once at clock-in or clock-out and not stored.

4. Controller's instructions

The Processor processes the data only on documented instructions from the Controller. The contract, this Agreement and the Controller's use of the platform's features and settings are instructions. The Processor informs the Controller if it believes an instruction infringes the law. It does not use the data for its own purposes, except to derive aggregate, anonymous statistics on how the service works.

5. Controller's obligations

• Having a legal basis for the data it enters and informing data subjects (workers, passengers, customers).
• For the Attendance module: complying with the rules on remote monitoring of workers (in Italy, Art. 4 of Law 300/1970), informing workers and carrying out an impact assessment where required.
• For the optimisation feature: informing workers about the use of automated systems in assigning work, where the law requires it.
• Managing its users' access and disabling it when no longer needed.

6. Confidentiality and Processor access

Only authorised persons bound by confidentiality access the data. The Processor's staff access the Controller's data only for requested support, maintenance or security. Such access is logged.

7. Security

The Processor implements the technical and organisational measures in Annex 2 and updates them without lowering the level of protection (Art. 32 GDPR).

8. Sub-processors

The Controller gives general authorisation to use the sub-processors listed at https://servicenet.tech/subprocessors. The Processor gives at least 30 days' notice, by email or in-app notice, of the addition or replacement of a sub-processor. The Controller may object on reasonable grounds within that period; if the objection is not resolved it may terminate the contract without penalty. The Processor imposes on sub-processors obligations equivalent to those in this Agreement and remains liable for their performance.

9. Transfers outside the EEA

Data is transferred outside the European Economic Area only to the listed sub-processors and with the safeguards of Chapter V GDPR: an adequacy decision or standard contractual clauses. The Controller authorises these transfers.

10. Data subject rights

The platform lets the Controller view, correct, delete and export all data in a structured format (Settings → Privacy and data) and set how long it is kept; each user can download their own. If a data subject contacts the Processor directly, the Processor forwards the request to the Controller within 5 working days and does not respond on the merits without the Controller's instruction.

11. Assistance

The Processor assists the Controller, with the information available to it, with its obligations on security, impact assessments and consultation of the supervisory authority (Arts. 32-36 GDPR).

12. Personal data breaches

The Processor notifies the Controller of a personal data breach without undue delay and in any case within 48 hours of becoming aware of it, describing the nature of the breach, the data and data subjects concerned, the likely consequences and the measures taken, and completes the information as it becomes available.

13. End of the contract

The Controller can request an export and delete all data at any time from Settings → Delete account. When the contract ends the Processor deletes the data within 30 days of the Controller's request. Data that the law requires to be kept is retained, as are backup copies, which are overwritten according to the database provider's cycles.

14. Audits

The Processor makes available the information needed to demonstrate compliance with this Agreement. The Controller may carry out an audit, also through an auditor bound by confidentiality, no more than once a year, with 30 days' notice, during working hours and at its own expense. Audits are normally carried out on documents and questionnaires.

15. Liability and governing law

Each party is liable for damage caused by a breach of its obligations under Art. 82 GDPR and within the limits set out in the Terms of Service, where the law allows them. The Agreement is governed by Italian law.

Annex 1 — Description of the processing

Item	Description
Subject matter	Provision of the ServiceNet management platform
Duration	Duration of the contract, until the data is deleted
Operations	Collection, recording, storage, retrieval, disclosure to authorised users, erasure
Data subjects	Workers, passengers, customers, collaborators, people requesting a booking
Data	As listed in Article 3
Location	United States and European Union, according to the list of sub-processors

Annex 2 — Security measures

• Encrypted connections (TLS) between devices, application and database.
• Passwords stored as hashes (bcrypt); access and recovery codes stored as hashes.
• Each company's data separated from the others on every read and write.
• Role-based access: a driver sees only their own services and no financial data.
• Temporary lockout after failed sign-in attempts; protection of public forms against automated submissions.
• Disabling an access immediately closes its sessions.
• Log of sensitive operations and of access by the Processor's staff, kept for 24 months.
• Workers' location never stored.
• Technical logs and diagnostic tools without request content.
• Database backups managed by the provider.
• Account deletion erases all of the company's data.

Annex 3 — Sub-processors

The current list is at https://servicenet.tech/subprocessors.

Providers and sub-processors · Privacy policy

Version of 6 November 2026