Informativa sulla privacy

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR)

1. Chi tratta i dati e in quale ruolo

ServiceNet è un gestionale per aziende di noleggio con conducente (NCC) fornito da Devox, P.IVA 04801720279, Venezia, Italia — privacy@devox.it.

• Titolare del trattamento: Devox lo è per i dati di chi apre e gestisce un account (titolari, amministratori, venditori), per l'abbonamento, il supporto, la sicurezza e i contatti commerciali.
• Responsabile del trattamento: per i dati che un'azienda inserisce nella piattaforma (autisti, passeggeri, clienti, collaboratori, presenze, prenotazioni) il titolare è l'azienda di trasporto. Devox li tratta per suo conto, secondo l'Accordo sul trattamento dei dati (art. 28 GDPR).

Se sei un autista, un passeggero o un cliente di un'azienda che usa ServiceNet, per i tuoi dati rivolgiti prima a quell'azienda: noi la aiutiamo a risponderti.

2. Dati che trattiamo come titolare

• Account: nome, email, telefono, password (salvata solo come hash), lingua, ruolo.
• Azienda e fatturazione: ragione sociale, partita IVA, codice fiscale, sede, codice SDI, PEC, IBAN.
• Abbonamento: piano, scadenze, storico dei pagamenti. I dati della carta sono trattati solo da Stripe.
• Sicurezza: indirizzo IP, tipo di browser o dispositivo, registro degli accessi e delle operazioni sensibili, identificativi di sessione.
• Notifiche: identificativo del dispositivo o del browser su cui hai attivato le notifiche push.
• Errori dell'applicazione: dati tecnici sull'errore, senza contenuto delle richieste, cookie o indirizzo IP. Se un errore avviene nel browser può essere registrata la sessione in cui è avvenuto, con testi, campi e immagini mascherati.
• Supporto: nome, email e contenuto dei messaggi che ci invii.
• Contatti commerciali: ragione sociale, partita IVA, telefono, email e nome del referente di aziende NCC non ancora clienti, raccolti da fonti accessibili al pubblico (per esempio il sito dell'azienda) o da un contatto diretto. La fonte è annotata e viene comunicata su richiesta.
• Dopo l'eliminazione di un account: un'impronta crittografica (hash) di email, codice fiscale e partita IVA e l'identificativo cliente di Stripe, per impedire che la prova gratuita venga riattivata.

3. Dati che trattiamo per conto delle aziende clienti

Li inserisce l'azienda di trasporto, che ne è titolare e decide perché e per quanto tempo conservarli.

• Autisti: anagrafica, contatti, codice fiscale, data di nascita, indirizzo, patente e abilitazioni con le loro scadenze, paga oraria, note.
• Presenze: orari di inizio, pausa e fine turno, sede, distanza dalla sede al momento della timbratura, esito della verifica.
• Ferie, permessi e assenze, compresa l'indicazione «malattia» senza diagnosi, con periodo ed eventuale nota.
• Passeggeri e clienti: nome, contatti, indirizzi di partenza e arrivo, orari, numero di volo o treno, note sul servizio; per i clienti anche i dati fiscali.
• Collaboratori e fornitori: anagrafica, contatti, dati fiscali, IBAN.
• Richieste inviate dalla pagina di prenotazione dell'azienda.

4. Posizione

Con il modulo Presenze la posizione del dispositivo viene letta una sola volta, quando l'autista preme il pulsante di timbratura, per verificare che si trovi presso una sede o un luogo di servizio. Le coordinate non vengono salvate: resta solo l'esito della verifica e la distanza dalla sede. Non c'è tracciamento continuo né in background. L'azienda può scegliere una modalità in cui la posizione non viene letta affatto.

5. Finalità e basi giuridiche (dati di cui siamo titolari)

• Esecuzione del contratto (art. 6.1.b): fornire il servizio, gestire l'account e l'abbonamento, dare assistenza.
• Obbligo di legge (art. 6.1.c): adempimenti fiscali e contabili.
• Legittimo interesse (art. 6.1.f): sicurezza della piattaforma, prevenzione di frodi e abusi della prova gratuita, diagnosi degli errori, statistiche aggregate non riferibili a persone, gestione del rapporto con i clienti e contatti commerciali verso aziende del settore. Puoi opporti in qualsiasi momento.
• Consenso (art. 6.1.a): notifiche push, che attivi dal dispositivo e puoi disattivare quando vuoi dalle impostazioni.

6. Per quanto tempo

• Account e dati dell'azienda: per la durata del rapporto. Con l'eliminazione dell'account dall'app la cancellazione è immediata; se la chiedi via email avviene entro 30 giorni.
• Documenti fiscali e contabili: 10 anni (art. 2220 c.c.).
• Registro delle operazioni sensibili: 24 mesi.
• Notifiche in app: 90 giorni.
• Sessioni di accesso: 7 giorni dall'ultimo utilizzo.
• Impronte per la prevenzione degli abusi della prova: 24 mesi dall'eliminazione dell'account.
• Richieste di prenotazione mai confermate: 24 mesi.
• Calcoli di ottimizzazione: 30 giorni; 400 giorni se applicati.
• Messaggi al supporto: per il tempo necessario a gestire la richiesta.
• Contatti commerciali: finché il contatto resta pertinente o fino alla tua opposizione; quelli chiusi come non interessati sono cancellati dopo 24 mesi.
• Dati inseriti dalle aziende clienti: per il tempo scelto dall'azienda (conservazione automatica nelle impostazioni) o finché elimina il proprio account.
• Log tecnici dell'infrastruttura: non contengono il contenuto delle richieste e sono conservati dal fornitore di hosting per 30 giorni.

7. A chi comunichiamo i dati

I dati non vengono venduti né ceduti per finalità di marketing. Per far funzionare il servizio usiamo questi fornitori:

Fornitore	A cosa serve	Dati	Dove	Garanzia per il trasferimento
Neon (Databricks, Inc.)	Database dell'applicazione	Tutti i dati inseriti nella piattaforma	Stati Uniti	Data Privacy Framework UE-USA (fornitore certificato) e clausole contrattuali standard
Replit, Inc.	Hosting dell'applicazione e log tecnici	Tutti i dati durante l'elaborazione; log senza contenuto delle richieste	Stati Uniti	Clausole contrattuali standard
SiteGround Spain S.L.	Invio delle email di servizio (dominio devox.it)	Indirizzo del destinatario e contenuto del messaggio	Unione Europea	Nessun trasferimento fuori dallo SEE
Sentry (Functional Software, Inc.)	Diagnosi degli errori	Dati tecnici dell'errore. Niente contenuto delle richieste, cookie o indirizzo IP; nelle registrazioni dell'errore testi, campi e immagini sono mascherati	Stati Uniti	Data Privacy Framework UE-USA (fornitore certificato) e clausole contrattuali standard
Cloudflare, Inc. (Turnstile)	Protezione dei moduli pubblici da invii automatici	Indirizzo IP e segnali tecnici del browser di chi compila il modulo	Rete globale, Stati Uniti	Data Privacy Framework UE-USA (fornitore certificato) e clausole contrattuali standard
Google (Firebase Cloud Messaging, Web Push)	Consegna delle notifiche push su Android e Chrome	Identificativo del dispositivo e testo della notifica	Irlanda, Stati Uniti	Data Privacy Framework UE-USA (fornitore certificato) e clausole contrattuali standard
Apple (Apple Push Notification service)	Consegna delle notifiche push su iPhone, iPad e Safari	Identificativo del dispositivo e testo della notifica	Stati Uniti	Condizioni del programma sviluppatori Apple; nelle notifiche non inseriamo dati sulla salute
Mozilla (Web Push)	Consegna delle notifiche push su Firefox	Identificativo del browser; il contenuto viaggia cifrato	Stati Uniti	Clausole contrattuali standard
OpenStreetMap (Nominatim, OSRM)	Ricerca degli indirizzi e calcolo di distanze e tempi di percorrenza	Solo indirizzi e coordinate dei servizi, inviati dal nostro server, senza nomi né contatti. È un servizio pubblico: non esiste un accordo art. 28	Regno Unito, Paesi Bassi, Germania	Decisione di adeguatezza per il Regno Unito
Aruba S.p.A.	Invio delle fatture elettroniche al Sistema di Interscambio, solo se l'azienda attiva la funzione	Dati fiscali della fattura	Italia	Nessun trasferimento fuori dallo SEE

Per l'abbonamento e per la mappa delle sedi usiamo anche Stripe e Google Maps: i dettagli sono nella pagina dei fornitori.

Il personale autorizzato di Devox può accedere ai dati di un'azienda cliente solo per assistenza, manutenzione o sicurezza; questi accessi vengono registrati.

8. Trasferimenti fuori dallo Spazio economico europeo

Il database e l'hosting dell'applicazione si trovano negli Stati Uniti, come alcuni degli altri fornitori elencati. I trasferimenti si basano sulla decisione di adeguatezza per il Data Privacy Framework UE-USA quando il fornitore è certificato, e sulle clausole contrattuali standard approvate dalla Commissione europea negli altri casi: la tabella qui sopra indica la garanzia di ciascuno. Puoi chiederci copia delle garanzie applicate.

9. Ottimizzazione e decisioni automatizzate

ServiceNet include una funzione di ottimizzazione («AI») che propone a quale autista e a quale mezzo assegnare i servizi, in base a orari, disponibilità, turni, assenze approvate, costi e distanze. È un algoritmo che gira sui nostri server: nessun dato viene inviato a fornitori esterni di intelligenza artificiale e non vengono valutati comportamento o caratteristiche personali degli autisti. Le proposte hanno effetto solo se il titolare dell'azienda le applica. Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici sulle persone (art. 22 GDPR).

10. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento (artt. 15-22 GDPR), e revocare in qualsiasi momento il consenso prestato.

• Per i dati di cui Devox è titolare scrivi a privacy@devox.it: rispondiamo entro un mese.
• Per i dati inseriti da un'azienda di trasporto rivolgiti a quell'azienda.
• Per eliminare l'account: Impostazioni → Elimina account, oppure https://servicenet.tech/delete-account.
• Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del tuo Paese.

11. Sicurezza

Connessioni cifrate (HTTPS/TLS), password salvate come hash (bcrypt), dati di ogni azienda separati da quelli delle altre, accessi per ruolo, blocco dopo tentativi di accesso ripetuti, registro delle operazioni sensibili, backup del database gestiti dal fornitore.

12. Modifiche

Se questa informativa cambia in modo sostanziale lo comunichiamo per email o con un avviso nell'app.

Accordo sul trattamento dei dati (DPA) · Fornitori e sub-responsabili

Versione del 6 novembre 2026

Privacy policy

Notice under Articles 13 and 14 of Regulation (EU) 2016/679 (GDPR)

1. Who processes the data and in what role

ServiceNet is a management platform for chauffeur and private hire companies provided by Devox, VAT no. 04801720279, Venice, Italy — privacy@devox.it.

• Controller: Devox is the controller for the data of people who open and manage an account (owners, administrators, sales agents), for the subscription, support, security and business contacts.
• Processor: for the data a company enters in the platform (drivers, passengers, customers, collaborators, attendance, bookings) the controller is the transport company. Devox processes it on the company's behalf under the Data Processing Agreement (Art. 28 GDPR).

If you are a driver, passenger or customer of a company that uses ServiceNet, please contact that company first about your data: we help it answer you.

2. Data we process as controller

• Account: name, email, phone, password (stored only as a hash), language, role.
• Company and billing: company name, VAT number, tax code, address, e-invoicing code, certified email, IBAN.
• Subscription: plan, renewal dates, payment history. Card details are processed by Stripe only.
• Security: IP address, browser or device type, log of sign-ins and sensitive operations, session identifiers.
• Notifications: identifier of the device or browser on which you enabled push notifications.
• Application errors: technical data about the error, with no request content, cookies or IP address. If an error happens in the browser, the session in which it occurred may be recorded with text, inputs and images masked.
• Support: name, email and the content of the messages you send us.
• Business contacts: company name, VAT number, phone, email and contact person of private hire companies that are not yet customers, collected from publicly accessible sources (for example the company website) or from direct contact. The source is recorded and disclosed on request.
• After an account is deleted: a cryptographic fingerprint (hash) of email, tax code and VAT number and the Stripe customer identifier, to prevent the free trial from being restarted.

3. Data we process on behalf of customer companies

This data is entered by the transport company, which is its controller and decides why and for how long to keep it.

• Drivers: personal and contact details, tax code, date of birth, address, driving licence and qualifications with their expiry dates, hourly pay, notes.
• Attendance: start, break and end times of the shift, site, distance from the site at the time of clocking, result of the check.
• Holidays, leave and absences, including the indication “sick leave” with no diagnosis, with the period and an optional note.
• Passengers and customers: name, contact details, pick-up and drop-off addresses, times, flight or train number, notes on the service; for customers also tax details.
• Collaborators and suppliers: personal and contact details, tax details, IBAN.
• Requests sent from the company's booking page.

4. Location

With the Attendance module the device location is read once, when the driver presses the clock-in or clock-out button, to check that the driver is at a company site or a service location. Coordinates are not stored: only the result of the check and the distance from the site are kept. There is no continuous or background tracking. The company can choose a mode in which location is not read at all.

5. Purposes and legal bases (data for which we are controller)

• Performance of the contract (Art. 6.1.b): providing the service, managing the account and subscription, giving support.
• Legal obligation (Art. 6.1.c): tax and accounting duties.
• Legitimate interest (Art. 6.1.f): platform security, prevention of fraud and free-trial abuse, error diagnostics, aggregate statistics that do not relate to individuals, customer relationship management and business contacts with companies in the sector. You can object at any time.
• Consent (Art. 6.1.a): push notifications, which you enable on your device and can turn off at any time in the settings.

6. How long we keep data

• Account and company data: for the duration of the relationship. Deleting the account from the app erases it immediately; a request by email is processed within 30 days.
• Tax and accounting documents: 10 years (Italian Civil Code, Art. 2220).
• Log of sensitive operations: 24 months.
• In-app notifications: 90 days.
• Sign-in sessions: 7 days from last use.
• Fingerprints for trial-abuse prevention: 24 months from account deletion.
• Booking requests that were never confirmed: 24 months.
• Optimisation runs: 30 days; 400 days if applied.
• Support messages: for as long as needed to handle the request.
• Business contacts: for as long as the contact remains relevant or until you object; those closed as not interested are deleted after 24 months.
• Data entered by customer companies: for the period chosen by the company (automatic retention in the settings) or until it deletes its account.
• Infrastructure logs: they do not contain request content and are kept by the hosting provider for 30 days.

7. Who receives the data

Data is never sold or shared for marketing purposes. To run the service we use these providers:

Provider	Purpose	Data	Where	Transfer safeguard
Neon (Databricks, Inc.)	Application database	All data entered in the platform	United States	EU-US Data Privacy Framework (certified provider) and standard contractual clauses
Replit, Inc.	Application hosting and technical logs	All data while being processed; logs without request content	United States	Standard contractual clauses
SiteGround Spain S.L.	Delivery of service emails (devox.it domain)	Recipient address and message content	European Union	No transfer outside the EEA
Sentry (Functional Software, Inc.)	Error diagnostics	Technical error data. No request content, cookies or IP address; in error recordings text, inputs and images are masked	United States	EU-US Data Privacy Framework (certified provider) and standard contractual clauses
Cloudflare, Inc. (Turnstile)	Protection of public forms against automated submissions	IP address and technical browser signals of the person submitting the form	Global network, United States	EU-US Data Privacy Framework (certified provider) and standard contractual clauses
Google (Firebase Cloud Messaging, Web Push)	Delivery of push notifications on Android and Chrome	Device identifier and notification text	Ireland, United States	EU-US Data Privacy Framework (certified provider) and standard contractual clauses
Apple (Apple Push Notification service)	Delivery of push notifications on iPhone, iPad and Safari	Device identifier and notification text	United States	Apple Developer Program terms; we put no health data in notifications
Mozilla (Web Push)	Delivery of push notifications on Firefox	Browser identifier; the content travels encrypted	United States	Standard contractual clauses
OpenStreetMap (Nominatim, OSRM)	Address search and calculation of distances and travel times	Only service addresses and coordinates, sent by our server, with no names or contact details. It is a public service: there is no Art. 28 agreement	United Kingdom, Netherlands, Germany	Adequacy decision for the United Kingdom
Aruba S.p.A.	Transmission of electronic invoices to the Italian Exchange System, only if the company enables the feature	Invoice tax data	Italy	No transfer outside the EEA

For the subscription and for the map of sites we also use Stripe and Google Maps: details are on the providers page.

Authorised Devox staff may access a customer company's data only for support, maintenance or security; such access is logged.

8. Transfers outside the European Economic Area

The application database and hosting are located in the United States, as are some of the other providers listed. Transfers rely on the adequacy decision for the EU-US Data Privacy Framework where the provider is certified, and on the standard contractual clauses approved by the European Commission in the other cases: the table above shows the safeguard for each. You can ask us for a copy of the safeguards applied.

9. Optimisation and automated decisions

ServiceNet includes an optimisation feature (“AI”) that suggests which driver and vehicle to assign to services, based on times, availability, shifts, approved absences, costs and distances. It is an algorithm that runs on our servers: no data is sent to external artificial-intelligence providers and drivers' behaviour or personal characteristics are not evaluated. Suggestions take effect only if the company owner applies them. We do not take decisions based solely on automated processing that produce legal effects on individuals (Art. 22 GDPR).

10. Your rights

You can request access, rectification, erasure, restriction, data portability and object to processing (Arts. 15-22 GDPR), and withdraw consent at any time.

• For data of which Devox is controller, write to privacy@devox.it: we reply within one month.
• For data entered by a transport company, contact that company.
• To delete the account: Settings → Delete account, or https://servicenet.tech/delete-account.
• You may lodge a complaint with the Italian Data Protection Authority (www.garanteprivacy.it) or the authority of your country.

11. Security

Encrypted connections (HTTPS/TLS), passwords stored as hashes (bcrypt), each company's data separated from the others, role-based access, lockout after repeated sign-in attempts, log of sensitive operations, database backups managed by the provider.

12. Changes

If this policy changes materially we will tell you by email or with a notice in the app.

Data Processing Agreement (DPA) · Providers and sub-processors

Version of 6 November 2026