Accordo sul trattamento dei dati

1. Dettagli del trattamento

• Oggetto e durata: fornire Carreh for Business per la durata del contratto e fino alla cancellazione ai sensi della sezione 10.
• Natura e finalità: ospitare, organizzare, leggere (anche con l'AI), visualizzare, esportare ed eliminare i registri di viaggio e spese, come il Cliente configura e istruisce.
• Interessati: i dipendenti, i collaboratori e gli altri utenti del Cliente, e le persone nominate nei loro registri di viaggio e spesa.
• Dati personali: dati identificativi e di contatto, ruolo e reparto, richieste di viaggio, itinerari, prenotazioni e documenti di viaggio, ricevute, spese, rimborsi, approvazioni e commenti, registrazioni degli accessi.
• Special categories: none intended. Travel documents may incidentally contain identity document numbers; the Customer only uploads them where it has a lawful basis.

2. Istruzioni

Carreh tratta i dati personali solo su istruzioni documentate del Cliente, che sono i Termini, questo DPA e l'uso e la configurazione del Servizio da parte del Cliente, salvo che la legge UE o dello Stato membro disponga diversamente; in tal caso Carreh informa prima il Cliente, a meno che la legge lo vieti. Carreh avvisa il Cliente se ritiene un'istruzione illecita.

3. Riservatezza

Tutti coloro che presso Carreh sono autorizzati a trattare i dati personali sono vincolati alla riservatezza.

4. Sicurezza

Carreh attua le misure tecniche e organizzative di cui all'Allegato 1 e le mantiene adeguate al rischio. Carreh può aggiornarle purché il livello complessivo di protezione non diminuisca.

5. Sub-responsabili

Il Cliente autorizza Carreh a utilizzare i sub-responsabili elencati qui. Carreh avvisa i Proprietari dello spazio di lavoro con almeno 30 giorni di preavviso via email in caso di nuovo sub-responsabile. Il Cliente può opporsi per motivi ragionevoli di protezione dei dati; se non si trova una soluzione, il Cliente può terminare il Servizio interessato e ricevere un rimborso dei costi prepagati per il periodo rimanente. Carreh impone a ciascun sub-responsabile obblighi di protezione dei dati equivalenti a questo DPA e ne rimane responsabile.

6. Trasferimenti internazionali

Quando i dati personali vengono trasferiti al di fuori dello Spazio Economico Europeo verso un paese senza decisione di adeguatezza, Carreh si basa sulle Clausole Contrattuali Standard della Commissione Europea, con misure aggiuntive ove necessario.

7. Assistenza

Tenendo conto della natura del trattamento, Carreh aiuta il Cliente a rispondere alle richieste degli interessati (il Servizio consente a Owner e Admin di trovare, esportare, correggere ed eliminare i record) e fornisce supporto per sicurezza, notifiche di violazione, valutazioni d'impatto e consultazioni con le autorità di controllo.

8. Violazioni di dati personali

Carreh notifica al Cliente senza ingiustificato ritardo, e comunque entro 48 ore da quando viene a conoscenza di una violazione dei dati personali che riguarda i dati personali del Cliente, con le informazioni disponibili al momento, per poi aggiornarle man mano che l'indagine prosegue.

9. Restituzione e cancellazione

Il Cliente può esportare i propri dati in qualsiasi momento. Alla fine del contratto, il Cliente ha 30 giorni per esportarli; Carreh elimina poi i dati personali entro 90 giorni, salvo i casi in cui la legge dell'UE o di uno Stato membro ne imponga la conservazione. I backup vengono sovrascritti secondo il loro normale ciclo.

10. Audit

Carreh mette a disposizione le informazioni necessarie a dimostrare la conformità al presente DPA. Il Cliente può effettuare un audit una volta all'anno, con 30 giorni di preavviso scritto, durante l'orario lavorativo, nel rispetto della riservatezza e a proprie spese, oppure fare affidamento sulle certificazioni indipendenti in corso dei sub-responsabili di Carreh, laddove coprano il trattamento.

11. Responsabilità e precedenza

Le limitazioni di responsabilità nei Termini si applicano a questo DPA, nei limiti consentiti dalla legge. Per il trattamento dei dati personali, questo DPA prevale sui Termini.

12. Allegato 1: misure tecniche e organizzative

• Separazione: Carreh for Business ha account, database, storage e chiavi propri, separati dalle app consumer di Carreh. I dati di ogni azienda sono tenuti separati e ogni richiesta è verificata rispetto all'appartenenza aziendale e al ruolo dell'utente.
• Controllo degli accessi: codici di accesso monouso inviati via email; sessioni memorizzate solo come hash; il personale Carreh necessita di un codice email e di una passkey; il personale autorizzato apre i contenuti del workspace solo per fornire assistenza, mantenere sicuro il Servizio, prevenire frodi e rispettare obblighi legali, e ogni apertura viene registrata nel log delle azioni del workspace.
• Monitoraggio: accessi e azioni sono registrati con rete e dispositivo; controlli automatici segnalano accessi insoliti, ricevute duplicate o alterate e abusi, e bloccano le reti abusive.
• Crittografia: TLS in transito; crittografia a riposo da parte del provider di hosting; segreti dell'autenticatore crittografati con AES-256-GCM; codici e token sottoposti a hash con SHA-256 e una chiave segreta.
• Registrazione: un registro delle azioni in sola aggiunta e a prova di manomissione di accessi e azioni amministrative.
• Resilienza: database gestito con ripristino point-in-time e backup; procedure di ripristino testate prima del lancio.
• Sviluppo: revisione del codice, test automatizzati inclusi i test che verificano che un'azienda non possa accedere ai dati di un'altra; segreti tenuti fuori dal codice sorgente.
• Minimizzazione: nessun tracker pubblicitario; i provider di AI non addestrano sui dati del Cliente.