Termini e condizioni

Azienda: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Paesi Bassi

Camera di Commercio (KvK): 92122167

Sito web: www.carsu.com

Società del gruppo: Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Italia; REA TO-1365449; P.IVA / C.F. 13468500015; PEC carsu.italia@pec.it (società interamente controllata da Carsu B.V.)

Ultimo aggiornamento: 8 settembre 2026

In vigore dal: 8 settembre 2026

1. Introduzione

I presenti Termini e Condizioni ("Termini") disciplinano il vostro accesso e l'utilizzo della piattaforma software-as-a-service ("SaaS") gestita da Carsu B.V. ("Carsu", "Azienda", "noi", "nostro", o "ci"), disponibile all'indirizzo https://www.carsu.com e attraverso le nostre applicazioni mobili ("Piattaforma").

Con la registrazione di un account o l'utilizzo della nostra Piattaforma, accettate di essere vincolati dai presenti Termini, dalla nostra Privacy Policy (disponibile all'indirizzo https://www.carsu.com/privacy), dalla nostra Cookie Policy (disponibile all'indirizzo https://www.carsu.com/cookie-policy) e da qualsiasi modulo d'ordine o contratto di abbonamento applicabile. Qualora non accettiate, non utilizzate i nostri servizi.

Entità contraente. La vostra controparte contrattuale ai sensi dei presenti Termini è Carsu B.V., salvo che il vostro modulo d'ordine, la conferma di abbonamento o la fattura indichino Carsu Italia S.r.l. (Via Fabro 8, 10122 Torino, Italia; REA TO-1365449; P.IVA 13468500015), società interamente controllata da Carsu B.V., quale entità contraente. In tal caso "Carsu", "noi", "nostro" e "ci" si intendono riferiti a Carsu Italia S.r.l. ai fini del vostro Abbonamento, della fatturazione, dell'Accordo sul Trattamento dei Dati di cui all'Allegato A e di qualsiasi pretesa fondata sui presenti Termini. Carsu B.V. e Carsu Italia S.r.l. possono ciascuna adempiere agli obblighi previsti dai presenti Termini per conto dell'altra (inclusi sviluppo, hosting, assistenza e gestione della clientela); la vostra controparte contrattuale resta responsabile nei vostri confronti dell'adempimento. I presenti Termini si applicano altresì a qualsiasi altra controllata, affiliata o società del gruppo Carsu B.V. che fornisca servizi sotto il marchio Carsu.

2. Definizioni

3. Servizi Forniti

Carsu fornisce una piattaforma SaaS completa progettata per l'aftermarket automobilistico, inclusi:

• Gestione Officina: Gestione dei rapporti con i clienti (CRM), pianificazione degli appuntamenti, fatturazione e tracciamento della cronologia dei servizi, comprese le fotografie dei veicoli e delle lavorazioni eseguite.
• App Mobile: Un'applicazione complementare per iOS e Android destinata al personale dell'officina, come descritta nella Sezione 5.5.
• Servizi di Comunicazione: Messaggistica integrata tramite WhatsApp Business, SMS e Viber, che consente agli Utenti di comunicare con i loro End-Consumer.
• Prenotazione Online: Un widget di prenotazione integrabile attraverso il quale gli End-Consumer possono richiedere appuntamenti dal sito web dell'Utente.
• Informazioni su Veicoli e Ricambi: Accesso ai dati dei veicoli, cataloghi ricambi e informazioni sulle procedure di riparazione.
• Magazzino e Registrazioni di Deposito: Giacenze di ricambi e registrazioni dei Beni in Custodia detenuti dall'Utente per i propri End-Consumer (deposito pneumatici), come descritto nella Sezione 5.6.
• Fatturazione e Adempimenti Fiscali: Generazione delle fatture e, ove abilitata per il Paese dell'Utente, trasmissione dei dati della fattura all'autorità fiscale competente, come descritto nella Sezione 7.6.
• Elaborazione dei Pagamenti: Elaborazione integrata dei pagamenti tramite Stripe.
• Integrazioni di Terze Parti: Sincronizzazione facoltativa dei dati degli appuntamenti con servizi di calendario esterni (come Google Calendar) su vostra elezione, come descritto nella Sezione 5.4.
• Supporto Clienti: Servizi di supporto incluse funzionalità assistite da intelligenza artificiale come la traduzione automatica dei messaggi.

4. Registrazione Account e Sicurezza

4.1 Registrazione

Per accedere alla Piattaforma, dovete registrare un Account. Accettate di fornire informazioni accurate, attuali e complete durante la registrazione e di mantenere tali informazioni aggiornate.

4.2 Sicurezza dell'Account

Siete responsabili del mantenimento della riservatezza delle vostre credenziali di accesso e di tutte le attività che avvengono con il vostro Account. Dovete notificarci immediatamente all'indirizzo hello@carsu.com se siete a conoscenza di qualsiasi utilizzo non autorizzato del vostro Account.

4.3 Idoneità dell'Account

La Piattaforma è destinata all'uso commerciale (B2B). Con la registrazione, dichiarate che siete autorizzati ad agire per conto dell'entità commerciale per la quale vi registrate, e che avete la capacità legale di concludere i presenti Termini.

4.4 Membri e Ruoli

Un Utente può aggiungere Membri al proprio Account e assegnare loro dei ruoli. L'Utente è responsabile degli atti e delle omissioni dei propri Membri, del mantenimento aggiornato degli accessi dei Membri (compresa la rimozione dei Membri che lasciano l'impresa) e di garantire che ciascun Membro sia a conoscenza dei presenti Termini e della Privacy Policy. L'accesso ai dati e alle funzioni è disciplinato dal ruolo assegnato; Carsu applica i ruoli lato server.

4.5 Cancellazione dell'Account di un Membro

Un Membro può cancellare la propria utenza dalla Piattaforma (web o App Mobile). Con la cancellazione l'utenza viene disattivata immediatamente, il Membro viene disconnesso da tutti i dispositivi e non compare più nell'Account; se il Membro effettua nuovamente l'accesso entro 12 mesi l'utenza viene ripristinata, decorso tale termine essa viene cancellata definitivamente, come descritto ai §8 e §11 della Privacy Policy. La cancellazione dell'utenza di un Membro non comporta la cancellazione dei dati aziendali dell'Utente, dei dati degli End-Consumer, delle fatture, delle registrazioni di pagamento o delle voci di audit, che restano associati all'Account. I Membri che rivestono il ruolo di titolare o amministratore devono preventivamente trasferire tale ruolo a un altro Membro, poiché un Account deve in ogni momento disporre di un soggetto in grado di gestire la fatturazione, i Membri e l'Abbonamento. La cancellazione di un'utenza non costituisce disdetta dell'Abbonamento (vedere Sezione 13.2).

5. Utilizzo della Piattaforma e dei Servizi di Comunicazione

5.1 Integrazione della Messaggistica

La nostra Piattaforma si integra con WhatsApp Business, gateway SMS e Viber. Gli Utenti devono rispettare i rispettivi termini e le politiche di terzi per ciascun canale di comunicazione utilizzato. Carsu non è responsabile dei cambiamenti alle politiche di piattaforme di terzi o alla loro disponibilità.

5.2 Tariffe di Messaggistica

Le tariffe per l'invio di messaggi sono variabili e dipendono dalla destinazione, dal tipo di messaggio e dal vostro livello di Abbonamento. Le tariffe attuali sono disponibili nella sezione Impostazioni della vostra dashboard di Account. Carsu si riserva il diritto di adeguare le tariffe di messaggistica con 14 giorni di preavviso tramite la vostra dashboard di Account o email.

5.3 Consenso e Conformità

Carsu fornisce strumenti e guida per aiutare gli Utenti a ottenere e gestire il consenso per le comunicazioni con End-Consumer, in conformità con la Direttiva ePrivacy e alle leggi nazionali applicabili. Tuttavia, in qualità di Titolare del trattamento dei dati degli End-Consumer, l'Utente è in ultima istanza responsabile di garantire:

• Che il consenso valido sia ottenuto prima dell'invio di messaggi di marketing;
• Che i messaggi siano conformi alle leggi applicabili in materia di anti-spam e comunicazioni elettroniche;
• Che le richieste di opt-out da parte di End-Consumer siano onorate prontamente.

Registrazioni di Consenso e Attestazioni. La Piattaforma vi consente di registrare il consenso degli End-Consumer, individualmente oppure, per gli End-Consumer importati nella Piattaforma, in blocco. Ogni registrazione di consenso da voi inserita (inclusa qualsiasi attestazione in blocco) costituisce vostra dichiarazione e garanzia che il consenso in questione è stato validamente ottenuto per le finalità registrate e che siete in grado di dimostrarlo su richiesta. Carsu si affida a tali registrazioni nell'operare le funzionalità di messaggistica e campagne della Piattaforma e non le verifica autonomamente.

Precedenza dell'Opt-Out e Soppressione. Le richieste di opt-out degli End-Consumer sono applicate a livello di Piattaforma. Un End-Consumer che ha effettuato l'opt-out è inserito in una lista di soppressione che non può essere annullata da alcuna conferma di consenso, individuale o in blocco; il consenso al marketing per tale End-Consumer può essere ristabilito solo tramite un'azione dell'End-Consumer stesso. Gli End-Consumer privi di un consenso al marketing registrato sono esclusi per impostazione predefinita dalle campagne di marketing.

Sospensione delle Campagne. Carsu può sospendere o limitare le funzionalità di campagne e messaggistica di marketing di un Account in presenza di indicatori di abuso (inclusi tassi insolitamente elevati di opt-out, blocco o reclamo) o ove ragionevolmente necessario per proteggere l'integrità delle integrazioni dei canali di messaggistica di Carsu, in attesa di verifica.

5.4 Integrazioni di Terze Parti

La Piattaforma offre Integrazioni di Terze Parti facoltative, inclusa la sincronizzazione con Google Calendar.

• Autorizzazione. L'utilizzo di qualsiasi Integrazione di Terze Parti avviene esclusivamente su vostra elezione e richiede che autorizziate la connessione tramite il flusso di autenticazione del terzo (ad esempio, Google OAuth). Autorizzate Carsu ad accedere, trasmettere e trattare i dati provenienti dal servizio collegato esclusivamente per le finalità descritte nella nostra Privacy Policy.
• Ambito. L'integrazione con Google Calendar utilizza l'ambito calendar.events.readonly. Carsu importa gli eventi del calendario per la sola visualizzazione sulla pagina del calendario di Carsu; Carsu non scrive, modifica o cancella eventi nel vostro Google Calendar.
• Limited Use. L'utilizzo da parte di Carsu dei dati ricevuti dalle API di Google è conforme alla Google API Services User Data Policy, inclusi i requisiti di Limited Use. Non utilizziamo i dati delle API di Google per la pubblicità, non li vendiamo e non li utilizziamo per addestrare modelli di IA o di machine learning. Vedere §5a della Privacy Policy per la dichiarazione completa.
• Revoca. Potete revocare l'autorizzazione in qualsiasi momento dalle impostazioni del vostro Account Carsu o direttamente attraverso i controlli di account del fornitore terzo (per Google: myaccount.google.com/permissions). Carsu cesserà immediatamente l'accesso e cancellerà i dati in cache in conformità con il programma di conservazione della Privacy Policy.
• Termini di Terze Parti. L'utilizzo da parte vostra di qualsiasi Integrazione di Terze Parti è inoltre soggetto ai termini e alle politiche del fornitore terzo. Carsu non è responsabile di modifiche, sospensioni o cessazioni delle API di terze parti, né di costi o limitazioni imposte dal fornitore terzo.
• Nessuna Responsabilità per Disservizi di Terzi. Interruzioni, errori, latenza o indisponibilità dei dati causati dal fornitore terzo sono esclusi dagli obblighi di livello di servizio di Carsu ai sensi della Sezione 8.

5.5 App Mobile

• Licenza e distribuzione. L'App Mobile vi è concessa in licenza, non venduta, ai sensi della Sezione 10.1 ed è distribuita attraverso gli App Store. Il download e l'utilizzo dell'App Mobile sono inoltre soggetti ai termini dell'App Store. Ove i termini dell'operatore dell'App Store lo richiedano (inclusi i termini minimi del Licensed Application End User Licence Agreement di Apple), tali termini si applicano in aggiunta ai presenti Termini e l'operatore dell'App Store è terzo beneficiario della presente Sezione 5.5, con diritto di farla valere nei vostri confronti. L'operatore dell'App Store non ha alcun obbligo di fornire manutenzione o assistenza per l'App Mobile e non è responsabile di alcuna pretesa ad essa relativa.
• Autorizzazioni del dispositivo. L'App Mobile richiede l'accesso alla fotocamera, alla galleria fotografica e alle notifiche solo al primo utilizzo di una funzionalità che lo richiede. Potete rifiutare o successivamente revocare ciascuna autorizzazione nelle impostazioni del vostro dispositivo; la relativa funzionalità non sarà quindi disponibile. L'App Mobile non accede alla vostra posizione, ai contatti, al calendario o al microfono. I dati raccolti dall'App Mobile sono descritti al §5b della Privacy Policy.
• Fotografie e altri contenuti. Le fotografie e gli altri contenuti acquisiti o caricati attraverso la Piattaforma costituiscono vostri dati ai sensi della Sezione 10.2. Siete responsabili di ciò che fotografate, di disporre delle autorizzazioni eventualmente necessarie per fotografarlo (anche laddove sia visibile una persona) e di informare i vostri End-Consumer, nella vostra informativa privacy, del fatto che possono essere scattate e conservate fotografie del loro veicolo e delle lavorazioni eseguite.
• Dispositivi condivisi. Laddove un dispositivo sia condiviso tra più Membri, ciascun Membro deve disconnettersi al termine dell'utilizzo. La disconnessione cancella i dati in cache e interrompe le notifiche per quel Membro su quel dispositivo.
• Aggiornamenti e compatibilità. Carsu può rilasciare aggiornamenti e può richiedervi di installare un aggiornamento per continuare a utilizzare l'App Mobile. Carsu supporta la versione corrente e quella immediatamente precedente di iOS e Android; le versioni più datate possono cessare di funzionare senza preavviso.
• Dipendenze da App Store e servizi di notifica push. La disponibilità dell'App Mobile dipende dagli App Store e il recapito delle notifiche push dipende dai servizi di notifica di Apple e Google. La rimozione, il ritardo o il rifiuto dell'App Mobile da parte di un operatore di App Store, nonché le interruzioni dei servizi di notifica, sono esclusi dagli obblighi di livello di servizio di Carsu ai sensi della Sezione 8.
• Conformità in materia di esportazioni. Dichiarate di non trovarvi in un Paese soggetto a embargo da parte dell'UE o degli Stati Uniti e di non utilizzare l'App Mobile da tale Paese, nonché di non figurare in alcun elenco di soggetti sottoposti a restrizioni dell'UE o degli Stati Uniti.

5.6 Beni in Custodia (Deposito Pneumatici)

La Piattaforma vi consente di registrare i Beni in Custodia che detenete per i vostri End-Consumer, inclusi presa in carico, ubicazione, ritiro e smaltimento. In relazione ai Beni in Custodia:

• La custodia e il contratto sono vostri. Il rapporto di deposito intercorre esclusivamente tra voi e l'End-Consumer. Carsu non assume la custodia dei Beni in Custodia, non li assicura e non assume alcuna responsabilità in ordine agli stessi: Carsu non riveste in alcun caso la qualità di depositario. Siete responsabili delle condizioni di deposito che concordate con l'End-Consumer, comprese le tariffe, la durata e la sorte dei beni non ritirati.
• Smaltimento dei beni non ritirati. Laddove registriate che dei Beni in Custodia non sono stati ritirati, la Piattaforma vi aiuta a documentare i vostri tentativi di contatto e le vostre condizioni di deposito prima di qualsiasi smaltimento o trasferimento di proprietà. Carsu non decide se e quando possiate smaltire, vendere o altrimenti disporre dei Beni in Custodia; tale decisione, e la sua conformità alla legge applicabile (compresi gli obblighi in materia di tutela del consumatore, di rifiuti e, ove applicabili, gli obblighi RENTRI), è di vostra esclusiva competenza.
• Etichette e identificazione. Le etichette generate dalla Piattaforma identificano i Beni in Custodia unicamente mediante un riferimento di deposito e non costituiscono prova della proprietà.
• Richieste di cancellazione. Laddove un End-Consumer richieda la cancellazione dei propri dati mentre detenete ancora i suoi Beni in Custodia, potete conservare la registrazione minima che collega i beni a tale End-Consumer fino alla loro restituzione o al loro lecito smaltimento; Carsu presterà assistenza nell'anonimizzazione dei restanti dati (Allegato A, §A9).

6. Crediti Prepagati e Utilizzo

6.1 Modello di Credito Prepagato

Carsu opera su base di credito prepagato per i servizi di comunicazione. I crediti devono essere acquistati in anticipo per utilizzare le funzionalità di messaggistica.

6.2 Account Senza Abbonamento

Carsu non offre più un livello di Abbonamento gratuito. Un Account Senza Abbonamento (un Account privo di un Abbonamento a pagamento attivo, compreso un Account il cui Abbonamento sia cessato) può continuare a utilizzare la Piattaforma esclusivamente su base di credito prepagato, nei limiti di utilizzo pubblicati nelle Impostazioni del vostro Account e senza accesso alle funzionalità dei livelli a pagamento. I messaggi inviati da un Account Senza Abbonamento sono addebitati alla tariffa di messaggistica del livello Basic. I Crediti acquistati e detenuti da un Account Senza Abbonamento sono validi per dodici (12) mesi dalla data di acquisto oppure, qualora i Crediti siano stati acquistati nel corso di un Abbonamento a pagamento, dalla data di cessazione di tale Abbonamento. I Crediti inutilizzati scadono automaticamente dopo questo periodo senza rimborso.

6.3 Validità Crediti: Livelli a Pagamento

Per gli Utenti nel Livello Basic o in qualsiasi altro Abbonamento a pagamento, i Crediti acquistati non scadono finché l'Abbonamento rimane attivo e in buono stato. Se un Abbonamento a pagamento termina (per qualsiasi motivo), l'Account diviene un Account Senza Abbonamento e i Crediti rimanenti sono soggetti alla Sezione 6.2.

6.4 Crediti di Prova

Carsu può fornire ai nuovi Utenti Crediti di prova complementari a scopo di test. I Crediti di prova:

• Scadono automaticamente tre (3) mesi dopo l'emissione;
• Possono essere revocati in qualsiasi momento se sospettiamo un uso improprio o una violazione della nostra Acceptable Use Policy (Sezione 11);
• Non hanno valore in denaro e non sono trasferibili.

7. Tariffe, Pagamento e Fatturazione

7.1 Prezzi

I prezzi attuali per Crediti e livelli di Abbonamento sono disponibili sul nostro Sito web e nelle Impostazioni del vostro Account. Tutte le tariffe sono al netto delle imposte applicabili se non diversamente indicato.

7.2 Elaborazione dei Pagamenti

I pagamenti sono elaborati tramite Stripe. Effettuando un acquisto, accettate i termini di servizio di Stripe. Carsu non memorizza i dettagli della vostra carta di credito.

7.3 Fatturazione e IVA

Le fatture sono emesse al momento dell'acquisto di Crediti o del pagamento dell'Abbonamento.

• Clienti olandesi (B2B) fatturati da Carsu B.V.: Si applica l'IVA olandese del 21%.
• Clienti italiani (B2B) fatturati da Carsu Italia S.r.l.: Si applica l'IVA italiana del 22%. Le fatture sono emesse come fatture elettroniche (fattura elettronica) tramite il Sistema di Interscambio; dovete fornire la vostra partita IVA e, alternativamente, il vostro Codice Destinatario o il vostro indirizzo PEC.
• Altri clienti UE (B2B): Si applica il meccanismo del reverse charge IVA. Le fatture includono il riferimento "Inversione contabile". Dovete fornire un numero di partita IVA UE valido.
• Clienti UK (B2B): Aliquota zero IVA ove sia fornito un numero IVA UK valido.
• Clienti non UE/UK: Nessuna IVA addebitata; gli obblighi fiscali locali sono responsabilità del cliente.

7.4 Modifiche ai Prezzi

Carsu può adeguare i prezzi dell'Abbonamento o le tariffe dei Crediti con almeno 30 giorni di preavviso scritto via email. L'utilizzo continuato dopo la data di entrata in vigore costituisce accettazione. Se non accettate una modifica dei prezzi, potete terminare il vostro Abbonamento prima che i nuovi prezzi entrino in vigore.

7.5 Politica di Rimborso

Tutti gli acquisti di Crediti e le tariffe di Abbonamento non sono rimborsabili, se non nei casi in cui Carsu abbia materialmente violato i suoi obblighi di servizio secondo i presenti Termini o la legge applicabile lo richieda diversamente.

7.6 Fatture da Voi Emesse e Adempimenti Fiscali

La Piattaforma vi consente di emettere fatture, ricevute e documenti collegati verso i vostri End-Consumer e, laddove il vostro Paese richieda la fatturazione elettronica o comunicazioni fiscali e Carsu abbia abilitato tale funzione per quel Paese, trasmette i dati richiesti all'autorità fiscale competente (ad esempio Verifactu in Spagna, il Sistema di Interscambio in Italia, myDATA e la Digital Client List in Grecia, KSeF in Polonia) direttamente o tramite un intermediario accreditato.

• Voi siete l'emittente. Ogni fattura o documento fiscale generato sulla Piattaforma è emesso da voi, in vostro nome e sotto i vostri identificativi fiscali. Siete responsabili dell'accuratezza e della completezza dei dati che inserite (compresi i vostri dati di registrazione, le aliquote d'imposta e gli identificativi dei vostri clienti), della correttezza fiscale di quanto fatturate e dell'adempimento dei vostri obblighi di dichiarazione, conservazione e comunicazione. Carsu fornisce lo strumento e non presta consulenza fiscale.
• Trasmissione. Laddove Carsu trasmetta dati a un'autorità fiscale per vostro conto, lo fa in qualità di Responsabile del trattamento e su vostra istruzione, che voi impartite abilitando la funzione ed emettendo il documento. Carsu vi renderà visibili nella Piattaforma le ricevute di consegna, gli scarti e gli errori e non modificherà il contenuto di un documento da voi emesso. Qualora una trasmissione non vada a buon fine per una causa imputabile all'autorità, all'intermediario o ai dati da voi forniti, resta a vostro carico il completamento dell'invio entro il termine di legge; Carsu metterà a disposizione le informazioni in suo possesso per assistervi.
• Verifica della partita IVA. Per le fatture transfrontaliere verso imprese Carsu verifica la partita IVA del cliente tramite il servizio europeo VIES e conserva la risposta come evidenza di audit. L'esito VIES costituisce prova della registrazione alla data della verifica e non una garanzia della posizione fiscale del vostro cliente.
• Disponibilità. I sistemi delle autorità fiscali e degli intermediari costituiscono dipendenze di terzi ai sensi della Sezione 8.4.

8. Livelli di Servizio

8.1 Disponibilità della Piattaforma

Carsu farà ragionevoli sforzi commerciali per mantenere la disponibilità della Piattaforma di almeno 99,5% per mese di calendario, misurata escludendo le finestre di manutenzione programmata.

8.2 Manutenzione Programmata

Forniremo almeno 48 ore di preavviso della manutenzione pianificata che potrebbe influire sulla disponibilità, tranne nei casi di patch di sicurezza urgenti in cui potrebbe essere necessario un preavviso più breve.

8.3 Rimedi

Se la disponibilità della Piattaforma scende al di sotto del 99,5% in qualsiasi mese di calendario (escludendo la manutenzione programmata e gli eventi di Forza Maggiore), gli Utenti interessati con Abbonamenti a pagamento possono richiedere un credito di servizio pro-rata per il periodo interessato. I crediti di servizio sono applicati alle fatture future e non costituiscono un rimborso in denaro. Le richieste devono essere presentate entro 30 giorni dal mese interessato.

8.4 Dipendenze di Terzi

I nostri servizi di comunicazione, le Integrazioni di Terze Parti, l'App Mobile e gli adempimenti fiscali dipendono da piattaforme di terzi (WhatsApp, Viber, gateway SMS, fornitori di recapito email, Google APIs, gli App Store, i servizi di notifica di Apple e Google, i sistemi delle autorità fiscali e gli intermediari accreditati per la fatturazione elettronica, ecc.). Carsu non è responsabile delle interruzioni o dei limiti imposti da questi fornitori di terzi. Il tempo di inattività di terzi è escluso dai calcoli SLA.

9. Protezione dei Dati

9.1 Privacy Policy e Cookie Policy

Carsu tratta i dati personali in conformità alla nostra Privacy Policy, disponibile all'indirizzo https://www.carsu.com/it/informativa-privacy. I cookie e le tecnologie analoghe presenti sul nostro sito web sono descritti nella nostra Cookie Policy, disponibile all'indirizzo https://www.carsu.com/it/politica-cookie. Utilizzando la Piattaforma, riconoscete di aver letto e compreso entrambe.

9.2 Accordo sul Trattamento dei Dati

Ove Carsu tratti dati personali per vostro conto (cioè dati di End-Consumer), Carsu agisce come Responsabile del trattamento e voi agite come Titolare del trattamento. L'Accordo sul Trattamento dei Dati ("DPA") indicato nell'Allegato A dei presenti Termini, o come separatamente sottoscritto, disciplina questa relazione di trattamento in conformità all'art. 28 GDPR.

9.3 Vostre Obbligazioni come Titolare del trattamento

In qualità di Titolare del trattamento dei dati di End-Consumer trattati attraverso la nostra Piattaforma, siete responsabili di:

• Assicurare di avere una base giuridica valida per il trattamento dei dati di End-Consumer;
• Ottenere i consensi richiesti per le comunicazioni elettroniche (conformità alla Direttiva ePrivacy);
• Rispondere alle richieste di esercizio dei diritti degli interessati provenienti dai vostri End-Consumer (Carsu assisterà su richiesta);
• Notificare a Carsu tempestivamente qualsiasi richiesta dell'interessato che richieda l'assistenza di Carsu;
• Mantenere una vostra informativa privacy che copra il vostro utilizzo della nostra Piattaforma per il trattamento dei dati di End-Consumer, compresi il widget di prenotazione sul vostro sito web, le fotografie dei veicoli e delle lavorazioni eseguite, le registrazioni dei Beni in Custodia e qualsiasi trasmissione dei dati delle fatture alle autorità fiscali.

9.4 Portabilità dei Dati e Diritti di Cambio

In conformità all'art. 20 GDPR e all'EU Data Act (Regolamento (UE) 2023/2854), avete il diritto alla portabilità dei dati e al cambio:

• Esportazione Self-Service: Potete esportare i vostri dati in qualsiasi momento dalle vostre Impostazioni di Account in formato CSV o JSON.
• Richiesta di Esportazione Manuale: Potete anche richiedere un'esportazione completa dei dati inviando un'email a legal@carsu.com. Le richieste di esportazione saranno evase entro 30 giorni.
• Esportazione Post-Terminazione: Potete richiedere l'esportazione dei dati entro 12 mesi dopo la terminazione del vostro Abbonamento.
• Eliminazione dei Dati: I dati saranno eliminati permanentemente entro 60 giorni dopo la finestra di esportazione post-terminazione di 12 mesi, a meno che una conservazione più lunga sia richiesta dalla legge.
• Assistenza al Cambio: Secondo l'EU Data Act, se desiderate passare a un fornitore di servizi alternativo, Carsu fornirà assistenza tecnica ragionevole per un periodo di 30 giorni dopo l'inizio del processo di cambio. Le spese di cambio, se presenti, non supereranno i costi direttamente sostenuti da Carsu nel fornire l'assistenza al cambio.

Carsu non imporrà barriere contrattuali, tecniche o commerciali che inibiscono il cambio o la portabilità dei dati oltre quanto strettamente necessario per motivi di sicurezza e integrità dei dati.

9.5 Dati da Integrazioni di Terze Parti

Laddove autorizziate Carsu ad accedere a dati provenienti da un servizio di terze parti (ad esempio, Google Calendar), Carsu agisce come Titolare del trattamento di tali dati sulla base giuridica del consenso (art. 6, par. 1, lett. a, GDPR) e del contratto (art. 6, par. 1, lett. b, GDPR), e li tratta rigorosamente in conformità alla Privacy Policy e ai termini API del fornitore terzo. Mantenete la titolarità di tutti tali dati. L'Accordo sul Trattamento dei Dati di cui all'Allegato A non si applica ai dati ottenuti da Integrazioni di Terze Parti che autorizzate per il vostro stesso uso, poiché tali dati non sono dati di End-Consumer trattati da Carsu per vostro conto.

10. Proprietà Intellettuale

10.1 IP di Carsu

Tutti i contenuti, il software, la tecnologia, i design, i marchi e i materiali sulla nostra Piattaforma sono proprietà di Carsu B.V. o dei suoi licenzianti e sono protetti dalle leggi sulla proprietà intellettuale. Vi è accordato un diritto d'uso limitato, non esclusivo, non trasferibile e revocabile della Piattaforma per il suo scopo previsto durante il vostro Abbonamento.

10.2 Vostri Dati e Analitiche Aggregate

Mantenete tutti i diritti sui dati che caricate sulla Piattaforma, comprese le fotografie e gli altri contenuti acquisiti tramite l'App Mobile o caricati sul web. Caricando i dati, accordate a Carsu una licenza limitata a ospitare, conservare, ridimensionare, ricodificare, trasmettere e visualizzare tali dati unicamente ai fini della fornitura dei Servizi, compresa la loro messa a disposizione dei Membri del vostro Account e, laddove scegliate di inviarli, dei vostri End-Consumer.

Carsu può utilizzare e condividere dati anonimizzati e aggregati (che non possono identificare voi, i vostri End-Consumer, o le singole transazioni) per scopi di miglioramento del servizio, analitiche di settore, insights di mercato, ricerca e innovazione. Tali dati sono aggregati a un livello che assicura che nessuna officina individuale, end-consumer, o transazione possa essere identificata.

Poiché i dati sono irreversibilmente anonimizzati prima di qualsiasi utilizzo o condivisione esterna, rientrano al di fuori dell'ambito del GDPR (Considerando 26). I destinatari degli insights aggregati sono vincolati da termini scritti che proibiscono la re-identificazione. Per i dettagli completi, consultate la Sezione 7.4 della nostra Privacy Policy.

I dati ottenuti dalle API di Google sono esclusi da questo utilizzo di analitiche aggregate, in linea con gli impegni di Limited Use descritti nella Privacy Policy (§5a).

11. Acceptable Use Policy

Accettate di non utilizzare la Piattaforma per:

• Inviare messaggi di marketing non sollecitati (spam) o messaggi senza consenso valido del destinatario;
• Trasmettere contenuti che siano illegali, diffamatori, minacciosi, molesti o discriminatori;
• Distribuire malware, virus o altri codici dannosi;
• Tentare di ottenere accesso non autorizzato alla Piattaforma, ad altri account o sistemi collegati;
• Decompilare, disassemblare o sottoporre a ingegneria inversa alcuna parte della Piattaforma;
• Utilizzare la Piattaforma per qualsiasi scopo che violi la legge applicabile, incluse le normative sulla protezione dei dati e l'anti-spam;
• Impersonare qualsiasi persona o entità, o dichiarare falsamente la vostra affiliazione;
• Eludere i limiti di utilizzo, la limitazione della velocità, o altre restrizioni tecniche.

Carsu si riserva il diritto di sospendere o terminare l'accesso per gli Utenti che violano questa Acceptable Use Policy, in conformità alla Sezione 13.

12. Indennizzo

Accettate di indennizzare e mantenere Carsu, i suoi funzionari, direttori, dipendenti e agenti esenti da e contro qualsiasi reclami, danni, perdite, responsabilità e spese (incluse ragionevoli spese legali) derivanti da:

• Vostra violazione dei presenti Termini o dell'Acceptable Use Policy;
• Vostro utilizzo della Piattaforma in violazione della legge applicabile;
• Messaggi inviati attraverso la Piattaforma per vostro conto, inclusi reclami di End-Consumer o terzi riguardanti il consenso, il contenuto, o la conformità;
• Qualsiasi registrazione di consenso o attestazione da voi inserita nella Piattaforma (individualmente o in blocco) che risulti falsa, inesatta o non dimostrabile;
• Fatture e documenti fiscali da voi emessi attraverso la Piattaforma, inclusi reclami delle autorità fiscali o dei vostri clienti relativi al loro contenuto, alla loro tempistica o ai vostri dati di registrazione;
• Fotografie o contenuti da voi acquisiti o caricati, e qualsiasi controversia con un End-Consumer relativa ai Beni in Custodia;
• Qualsiasi reclamo che i dati da voi forniti violino i diritti di proprietà intellettuale o privacy di terzi.

13. Termine, Sospensione e Terminazione

13.1 Termine

Il vostro Abbonamento inizia nella Data di Inizio e continua per il termine concordato (mensile o annuale, come applicabile), rinnovandosi automaticamente a meno che non sia annullato prima della fine del periodo corrente.

13.2 Cancellazione da Voi

Potete annullare il vostro Abbonamento in qualsiasi momento attraverso le vostre impostazioni di Account. L'annullamento ha effetto alla fine del periodo di fatturazione corrente. Non vengono forniti rimborsi pro-rata per le porzioni inutilizzate di un periodo di fatturazione.

13.2a Cambio a Fornitore Alternativo (EU Data Act)

In conformità all'EU Data Act, potete terminare il vostro Abbonamento ai fini di passare a un fornitore di servizi alternativo fornendo almeno 2 mesi di preavviso scritto a legal@carsu.com. Durante il periodo di preavviso e per 30 giorni dopo la terminazione, Carsu fornirà assistenza tecnica ragionevole per facilitare la transizione, inclusa l'esportazione dei dati in formati standard (CSV, JSON) e documentazione delle strutture dei dati. Le spese di cambio, se presenti, saranno limitate ai costi direttamente sostenuti e divulgati in anticipo.

13.3 Sospensione da Carsu

Carsu può sospendere immediatamente il vostro accesso alla Piattaforma se:

• Riteniamo ragionevolmente che stiate violando l'Acceptable Use Policy;
• Il vostro Account è coinvolto in attività fraudolenta sospetta;
• Richiesto per conformarsi a un obbligo legale o ordine del tribunale;
• Il vostro pagamento è scaduto di più di 14 giorni.

Vi notificheremo di qualsiasi sospensione e il motivo il più presto possibile. La sospensione non termina i presenti Termini; ripristineremo l'accesso una volta che il problema sia risolto.

13.4 Terminazione per Causa da Carsu

Carsu può terminare il vostro Account e i presenti Termini se:

• Una violazione materiale rimane non corretta per 30 giorni dopo notifica scritta;
• Commettete violazioni ripetute dell'Acceptable Use Policy;
• Diventate insolventi o entrate in procedimenti concorsuali.

13.5 Post-Terminazione

Dopo la terminazione:

• Tutti i Crediti di prova inutilizzati sono confiscati immediatamente;
• I Crediti acquistati sono soggetti alle regole di scadenza nella Sezione 6;
• Le utenze dei Membri cancellate ai sensi della Sezione 4.5 seguono la finestra di riattivazione di 12 mesi ivi prevista, indipendentemente dall'Account;
• Potete richiedere l'esportazione dei dati entro 12 mesi dopo la terminazione (consultare Sezione 9.4);
• Dopo il periodo post-terminazione di 12 mesi, tutti i vostri dati saranno eliminati permanentemente, tranne laddove la conservazione sia richiesta dalla legge;
• I dati ottenuti da Integrazioni di Terze Parti (compreso Google Calendar) sono cancellati entro 30 giorni dalla terminazione o dalla disconnessione anticipata, in conformità con il programma di conservazione della Privacy Policy.

14. Limitazione della Responsabilità

14.1 Esclusione dei Danni Indiretti

Nella massima misura consentita dalla legge applicabile, nessuna delle parti sarà responsabile per danni indiretti, incidentali, speciali, conseguenti o punitivi, inclusi ma non limitati a perdita di profitti, dati, attività o avviamento, indipendentemente dalla causa dell'azione o dalla teoria della responsabilità.

14.2 Limite di Responsabilità

La responsabilità aggregata totale di Carsu secondo o in connessione con i presenti Termini non deve superare le tariffe totali pagate da voi a Carsu nei dodici (12) mesi immediatamente precedenti l'evento che ha generato il reclamo.

14.3 Eccezioni

Nulla in questi Termini esclude o limita la responsabilità per:

• Morte o lesioni personali causate da negligenza;
• Frode o falsa rappresentazione fraudolenta;
• Qualsiasi responsabilità che non può essere esclusa o limitata dalla legge applicabile, inclusi gli obblighi GDPR.

15. Forza Maggiore

Nessuna delle parti sarà responsabile per qualsiasi inadempimento o ritardo nell'adempimento dei suoi obblighi secondo i presenti Termini laddove tale inadempimento o ritardo derivi da eventi al di là del suo controllo ragionevole, inclusi ma non limitati a: disastri naturali, pandemie, atti governativi, guerra, terrorismo, guasti di alimentazione, interruzioni di internet, guasti di piattaforme di terzi (WhatsApp, Viber, gateway SMS, Stripe, Google APIs, gli App Store, i servizi di notifica di Apple e Google, i sistemi delle autorità fiscali e gli intermediari per la fatturazione elettronica) e attacchi informatici.

La parte interessata deve notificare prontamente l'altra parte e fare ragionevoli sforzi per mitigare l'impatto. Se un evento di Forza Maggiore continua per più di 60 giorni, ciascuna delle parti può terminare i Servizi interessati con notifica scritta.

16. Garanzie e Dichiarazioni di Non Responsabilità

16.1 Garanzie di Carsu

Carsu garantisce che:

• La Piattaforma funzionerà sostanzialmente in conformità alla sua documentazione;
• I Servizi saranno forniti con abilità e cura ragionevoli;
• Carsu rispetterà la legge applicabile sulla protezione dei dati nel suo ruolo di Titolare del trattamento o di Responsabile del trattamento.

16.2 Sicurezza e Divulgazione di Vulnerabilità

Carsu mantiene una politica responsabile di divulgazione di vulnerabilità in conformità al Cyber Resilience Act e alle migliori pratiche del settore. I ricercatori di sicurezza e gli Utenti possono segnalare vulnerabilità tramite il nostro file security.txt all'indirizzo https://www.carsu.com/.well-known/security.txt o inviando un'email a security@carsu.com. Carsu si impegna a riscontrare le segnalazioni entro 5 giorni lavorativi e a fornire una tempistica di risoluzione entro 30 giorni.

16.3 Dichiarazione di Non Responsabilità

Fatta eccezione per quanto espressamente indicato nei presenti Termini, la Piattaforma è fornita "così com'è" e "come disponibile". Carsu non fornisce garanzie aggiuntive, espresse o implicite, incluse garanzie di commerciabilità, idoneità per uno scopo particolare, o non violazione. Carsu non garantisce che la Piattaforma sarà ininterrotta, priva di errori, o che tutti i difetti saranno corretti.

17. Legge Applicabile e Risoluzione delle Controversie

17.1 Legge Applicabile

I presenti Termini sono disciplinati dalle leggi dei Paesi Bassi e interpretati in conformità ad esse, senza riguardo ai principi di conflitto di legge.

17.2 Risoluzione delle Controversie

Le parti tenteranno innanzitutto di risolvere qualsiasi controversia attraverso la negoziazione in buona fede per un periodo di 30 giorni. Se non risolta, le controversie devono essere sottoposte alla giurisdizione esclusiva dei tribunali competenti di Amsterdam, nei Paesi Bassi.

17.3 Reclami Normativi

Nulla in questi Termini impedisce l'esercizio dei vostri diritti secondo il GDPR o la presentazione di reclami all'autorità di controllo competente (consultare la nostra Privacy Policy per i dettagli).

18. Disposizioni Generali

18.1 Intero Accordo

I presenti Termini, insieme alla Privacy Policy, alla Cookie Policy e a qualsiasi modulo d'ordine o DPA applicabile, costituiscono l'intero accordo tra voi e Carsu riguardante l'utilizzo della Piattaforma. Essi sostituiscono tutti gli accordi, le dichiarazioni e le intese precedenti.

18.2 Salvaguardia

Se qualsiasi disposizione dei presenti Termini è ritenuta non valida o inapplicabile, le disposizioni rimanenti continueranno a piena forza e vigore. La disposizione non valida sarà modificata nella misura minima necessaria per renderla valida e applicabile.

18.3 Cessione

Non potete cedere o trasferire i presenti Termini senza il consenso scritto preventivo di Carsu. Carsu può cedere i presenti Termini in connessione con una fusione, acquisizione, riorganizzazione, o vendita di sostanzialmente tutti i suoi beni, purché il cessionario accetti di essere vincolato dai presenti Termini.

18.4 Rinuncia

Nessun inadempimento o ritardo di entrambe le parti nell'esercizio di qualsiasi diritto secondo i presenti Termini costituirà una rinuncia a quel diritto.

18.5 Notifiche

Le notifiche a Carsu devono essere inviate a legal@carsu.com o per posta al nostro indirizzo registrato. Le notifiche a voi saranno inviate all'indirizzo email associato al vostro Account. Le notifiche sono considerate ricevute al momento della consegna (email) o 5 giorni lavorativi dopo la spedizione (posta).

18.6 Emendamenti

Carsu può modificare i presenti Termini con almeno 30 giorni di preavviso scritto via email o notifica sulla Piattaforma. I cambiamenti materiali saranno evidenziati. L'utilizzo continuato dopo la data di entrata in vigore costituisce accettazione. Se non accettate un emendamento, potete terminare il vostro Abbonamento prima che l'emendamento entri in vigore.

19. Contatti

Richieste legali: legal@carsu.com

Richieste generali: hello@carsu.com

Responsabile della Protezione dei Dati: privacy@carsu.com

Questioni di sicurezza: security@carsu.com

Indirizzo postale: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Paesi Bassi

Utilizzando la nostra Piattaforma, riconoscete di aver letto, compreso e di accettare di essere vincolati da questi Termini e Condizioni.

ALLEGATO A

ACCORDO SUL TRATTAMENTO DEI DATI

Il presente Accordo sul Trattamento dei Dati ("DPA") costituisce parte integrante dei Termini e Condizioni di Carsu ("Accordo") tra l'entità Carsu che è controparte contrattuale dell'Utente ai sensi della Sezione 1 dell'Accordo, ossia Carsu B.V. o Carsu Italia S.r.l. ("Responsabile"), e l'Utente ("Titolare") e disciplina il trattamento dei dati personali da parte del Responsabile per conto del Titolare in connessione con i Servizi.

Il presente DPA è concluso ai sensi dell'art. 28 del Regolamento Generale sulla Protezione dei Dati (UE) 2016/679 ("GDPR") e, ove applicabile, del Regolamento Generale sulla Protezione dei Dati del Regno Unito ("UK GDPR").

A1. Definizioni

I termini non definiti nel presente DPA hanno i significati dati nell'Accordo e nel GDPR. Nel presente DPA:

• "Dati Personali del Titolare" significa i dati personali che il Responsabile tratta per conto del Titolare in connessione con i Servizi.
• "Normativa sulla Protezione dei Dati" significa il GDPR, l'UK GDPR, la Direttiva ePrivacy 2002/58/CE, il Codice Privacy italiano (D.Lgs. 196/2003 come modificato), il UAVG olandese, e qualsiasi altra legislazione sulla protezione dei dati applicabile.
• "Sub-responsabile" significa qualsiasi terzo incaricato dal Responsabile di trattare Dati Personali del Titolare per conto del Titolare.

A2. Ambito e Finalità del Trattamento

A2.1 Oggetto

Il Responsabile tratta i Dati Personali del Titolare unicamente allo scopo di fornire i Servizi secondo l'Accordo, inclusi gestione officina, comunicazioni con i clienti (WhatsApp, SMS, Viber, email), prenotazione online, archiviazione di fotografie e altri contenuti, registrazioni dei Beni in Custodia, fatturazione e trasmissione dei dati delle fatture alle autorità fiscali ove abilitata (Sezione 7.6), elaborazione dei pagamenti e supporto clienti.

Istruzione a trasmettere dati fiscali. Abilitando gli adempimenti fiscali per il proprio Paese ed emettendo un documento, il Titolare istruisce il Responsabile a trasmettere i dati richiesti dallo schema nazionale applicabile all'autorità fiscale competente, direttamente o tramite un intermediario accreditato per la fatturazione elettronica stabilito nell'UE (elenco disponibile su richiesta a privacy@carsu.com).

Esclusione: dati da Integrazioni di Terze Parti. I dati ai quali il Titolare autorizza Carsu ad accedere presso un servizio di terze parti per uso del Titolare stesso (ad esempio, eventi di Google Calendar del personale del Titolare) non costituiscono Dati Personali del Titolare ai sensi del presente DPA. Tali dati sono trattati da Carsu in qualità di Titolare del trattamento ai sensi dell'Accordo (Sezione 9.5) e della Privacy Policy.

A2.2 Durata

Il trattamento continua per la durata dell'Accordo e per il periodo aggiuntivo necessario per adempiere agli obblighi post-terminazione (esportazione dei dati, cancellazione) come indicato nell'Accordo.

A2.3 Categorie di Interessati

• End-Consumer (clienti del Titolare/officina);
• Dipendenti e personale del Titolare (ove rilevante per l'utilizzo della piattaforma).

A2.4 Tipi di Dati Personali

• Dettagli di contatto (nomi, numeri di telefono, indirizzi email);
• Dati del veicolo (targhe, marca, modello, tipo);
• Registrazioni di servizi e manutenzione;
• Dati di appuntamenti;
• Contenuto delle comunicazioni (messaggi inviati tramite la Piattaforma);
• Fotografie e altri contenuti relativi ai veicoli e alle lavorazioni eseguite, e qualsiasi persona in essi incidentalmente visibile;
• Registrazioni dei Beni in Custodia (beni detenuti, ubicazione di deposito, eventi di presa in carico e ritiro, tentativi di contatto);
• Dati di fatturazione e fiscali (nomi, indirizzi, identificativi fiscali, numeri di targa) come richiesti dallo schema nazionale applicabile;
• Identificatori di transazioni di pagamento (i dettagli delle carte sono trattati da Stripe, non conservati da Carsu).

A2.5 Natura del Trattamento

Raccolta, archiviazione, recupero, utilizzo, trasmissione (messaggistica), organizzazione, strutturazione e cancellazione dei Dati Personali del Titolare come necessario per fornire i Servizi.

A2.6 Dati Anonimizzati e Aggregati

Il Responsabile può trattare i Dati Personali del Titolare per generare insights anonimizzati e aggregati da condividere con terzi. Tale trattamento avviene solo dopo che i dati sono stati irreversibilmente anonimizzati e aggregati a un livello che assicura che nessuna officina individuale, end-consumer, o transazione possa essere identificata o desunta dal risultato mediante processi inversi.

Una volta irreversibilmente anonimizzati, i dati risultanti rientrano al di fuori dell'ambito del GDPR (Considerando 26) e del presente DPA. Questo trattamento è supportato dal legittimo interesse del Responsabile (art. 6, par. 1, lett. f, GDPR) e non estende né modifica le finalità di fornitura dei servizi elencate in A2.1, ma rappresenta un uso distinto dei dati sottostanti dopo l'anonimizzazione. I destinatari sono vincolati da termini scritti che proibiscono la re-identificazione.

A3. Obblighi del Responsabile

Il Responsabile deve:

• Trattare i Dati Personali del Titolare unicamente secondo istruzioni documentate del Titolare, incluso riguardo ai trasferimenti di dati personali al di fuori del SEE o del Regno Unito, a meno che non sia richiesto dalla legge dell'UE o dello Stato Membro (nel qual caso, il Responsabile deve informare il Titolare di tale requisito legale prima del trattamento, salvo che ciò sia vietato);
• Assicurare che le persone autorizzate a trattare i Dati Personali del Titolare si siano impegnate alla riservatezza o siano soggette a un appropriato obbligo legale di riservatezza;
• Implementare misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio, incluse ove appropriato: pseudonimizzazione e crittografia dei dati personali, la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi di trattamento, la capacità di ripristinare l'accesso ai dati personali in modo tempestivo in seguito a un incidente, e una procedura per testare e valutare regolarmente l'efficacia di tali misure;
• Rispettare le condizioni per il ricorso a Sub-responsabili come indicato nella Sezione A5;
• Tenendo conto della natura del trattamento, assistere il Titolare mediante misure tecniche e organizzative appropriate, nella misura possibile, per l'adempimento dell'obbligo del Titolare di rispondere alle richieste degli interessati;
• Assistere il Titolare nel garantire la conformità agli obblighi di notifica delle violazioni dei dati (artt. 33 e 34 GDPR), alle valutazioni d'impatto sulla protezione dei dati (art. 35 GDPR) e alla consultazione preventiva con le autorità di controllo (art. 36 GDPR), tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile;
• A scelta del Titolare, cancellare o restituire al Titolare tutti i Dati Personali del Titolare dopo la fine della fornitura dei Servizi, e cancellare le copie esistenti salvo che la legge dell'UE o dello Stato Membro richieda la conservazione dei dati personali;
• Mettere a disposizione del Titolare tutte le informazioni necessarie per dimostrare la conformità al presente DPA e consentire e contribuire ad audit, incluse ispezioni, condotti dal Titolare o da un auditor da esso incaricato.

A4. Obblighi del Titolare

Il Titolare deve:

• Assicurare di disporre di una base giuridica valida ai sensi della Normativa sulla Protezione dei Dati per il trattamento dei Dati Personali del Titolare, incluso l'ottenimento di tutti i consensi necessari dagli interessati ove richiesto;
• Fornire istruzioni documentate di trattamento al Responsabile;
• Essere responsabile dell'accuratezza, della qualità e della liceità dei Dati Personali del Titolare forniti al Responsabile;
• Conformarsi ai propri obblighi ai sensi della Normativa sulla Protezione dei Dati, incluso il mantenimento di una propria informativa privacy, la risposta alle richieste degli interessati (con l'assistenza del Responsabile), e la notifica alle autorità di controllo delle violazioni dei dati ove richiesto;
• Assicurare che i messaggi inviati agli End-Consumer tramite la Piattaforma siano conformi alla Direttiva ePrivacy e alle leggi nazionali applicabili sulle comunicazioni elettroniche, incluso l'ottenimento di consenso valido per i messaggi di marketing.
• Essere responsabile dell'accuratezza delle registrazioni di consenso e delle attestazioni inserite nella Piattaforma (individualmente o in blocco); tali registrazioni costituiscono istruzioni documentate al Responsabile di trattare i relativi interessati come aventi prestato il consenso per le finalità registrate.

A5. Sub-responsabili

A5.1 Autorizzazione Generale

Il Titolare concede al Responsabile un'autorizzazione scritta generale a ricorrere a Sub-responsabili per il trattamento dei Dati Personali del Titolare, alle condizioni previste nella presente Sezione A5.

A5.2 Sub-responsabili Attuali

L'elenco attuale dei Sub-responsabili è indicato nella Sezione 7.1 della Privacy Policy (disponibile all'indirizzo https://www.carsu.com/privacy). Alla data del presente DPA, i Sub-responsabili approvati sono:

A5.3 Modifiche ai Sub-responsabili

Il Responsabile notificherà al Titolare via email o notifica sulla Piattaforma almeno 30 giorni prima di ricorrere a un nuovo Sub-responsabile o di sostituirne uno esistente. I Titolari con Abbonamenti a pagamento possono attivare notifiche automatiche relative alle modifiche dei sub-responsabili attraverso le impostazioni del loro Account.

La notifica includerà l'identità e l'ubicazione del Sub-responsabile proposto, la natura del trattamento e le categorie di dati personali coinvolti. Il Titolare può opporsi alla modifica entro 14 giorni dalla ricezione della notifica, fornendo motivi scritti fondati su ragioni di protezione dei dati. Se il Titolare si oppone e le parti non riescono a risolvere l'opposizione entro 30 giorni attraverso discussione in buona fede, il Titolare può terminare i Servizi interessati senza penalità.

A5.4 Obblighi dei Sub-responsabili

Il Responsabile deve assicurare che ogni Sub-responsabile sia vincolato da obblighi di protezione dei dati non meno onerosi di quelli indicati nel presente DPA, incluso in particolare fornire garanzie sufficienti per implementare misure tecniche e organizzative appropriate. Il Responsabile rimane pienamente responsabile verso il Titolare per l'adempimento degli obblighi di ciascun Sub-responsabile.

A6. Trasferimenti Internazionali

Il Responsabile non deve trasferire i Dati Personali del Titolare al di fuori del SEE o del Regno Unito se non:

• Il trasferimento è verso un Paese riconosciuto dalla Commissione Europea o dal Segretario di Stato del Regno Unito (come applicabile) come fornente un livello adeguato di protezione dei dati; o
• Sono in atto garanzie appropriate, incluse le Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea (Decisione 2021/914) o, per i trasferimenti verso il Regno Unito, l'Accordo Internazionale di Trasferimento Dati del Regno Unito (IDTA) o l'Addendum UK alle SCC dell'UE, integrati da misure tecniche aggiuntive ove richiesto da una valutazione d'impatto del trasferimento.

Ove i trasferimenti verso gli Stati Uniti siano effettuati, il Responsabile si affida alle SCC (o all'UK IDTA ove applicabile) integrate da misure tecniche incluse la crittografia in transito (TLS 1.2+) e a riposo (AES-256), controlli di accesso, e restrizioni contrattuali sulle richieste di accesso governativo. Il Responsabile deve condurre e mantenere una valutazione d'impatto del trasferimento per ogni trasferimento verso un Paese non coperto da una decisione di adeguatezza, e deve metterla a disposizione del Titolare su richiesta.

A7. Sicurezza dei Dati

Senza pregiudizio della Sezione A3, il Responsabile implementa e mantiene le seguenti misure di sicurezza minime:

• Crittografia dei dati personali in transito (TLS 1.2 o superiore) e a riposo (AES-256);
• Controlli di accesso basati su ruolo con principio del minimo privilegio;
• Autenticazione a più fattori per tutti gli accessi amministrativi e della piattaforma;
• Valutazioni regolari di vulnerabilità e test di penetrazione;
• Registrazione e monitoraggio dell'accesso ai Dati Personali del Titolare;
• Procedure di risposta agli incidenti con percorsi di escalation definiti;
• Formazione del personale sulla protezione dei dati e la sicurezza delle informazioni, condotta almeno annualmente;
• Procedure di continuità operativa e di ripristino in caso di disastro.

A8. Notifica di Violazione dei Dati

Il Responsabile notificherà al Titolare senza ingiustificato ritardo (e in ogni caso entro 72 ore, in conformità all'art. 33 GDPR) non appena venuto a conoscenza di una violazione di dati personali che riguardi i Dati Personali del Titolare. Tale notifica includerà:

• Una descrizione della natura della violazione, incluse, ove possibile, le categorie e il numero approssimativo di interessati e di registrazioni interessate;
• Il nome e i dettagli di contatto del Responsabile della Protezione dei Dati del Responsabile o di altro punto di contatto;
• Una descrizione delle probabili conseguenze della violazione;
• Una descrizione delle misure adottate o di cui si propone l'adozione per affrontare la violazione, incluse le misure per mitigarne i possibili effetti negativi.

Il Responsabile collaborerà con il Titolare e intraprenderà ragionevoli iniziative commerciali per assistere nell'indagine, nella mitigazione e nella rimozione degli effetti di ciascuna violazione.

A9. Diritti degli Interessati

Il Responsabile notificherà prontamente al Titolare (e in ogni caso entro 5 giorni lavorativi) l'eventuale ricezione di una richiesta di un interessato volta a esercitare uno qualsiasi dei propri diritti ai sensi della Normativa sulla Protezione dei Dati in relazione ai Dati Personali del Titolare. Il Responsabile non deve rispondere direttamente all'interessato salvo che sia autorizzato dal Titolare o richiesto dalla legge.

Il Responsabile fornirà ragionevole assistenza al Titolare nell'adempimento dei propri obblighi di risposta alle richieste degli interessati, tenendo conto della natura del trattamento e delle informazioni a disposizione del Responsabile.

Cancellazione in pendenza di Beni in Custodia. Laddove un interessato richieda la cancellazione e il Titolare detenga ancora Beni in Custodia di tale interessato, il Responsabile, su istruzione del Titolare, anonimizzerà tutti i Dati Personali del Titolare relativi a tale interessato, fatta eccezione per la registrazione minima necessaria a collegare i Beni in Custodia al loro proprietario fino alla restituzione o al lecito smaltimento dei beni, dopo di che anche tale registrazione viene anonimizzata.

A10. Diritti di Audit

Il Responsabile deve mettere a disposizione del Titolare, su richiesta ragionevole (e non più di una volta per anno di calendario, salvo che sia richiesto da un'autorità di controllo o a seguito di una violazione dei dati), tutte le informazioni ragionevolmente necessarie per dimostrare la conformità al presente DPA.

Il Responsabile deve consentire e contribuire ad audit, incluse ispezioni, condotti dal Titolare o da un auditor indipendente da esso incaricato, subordinatamente a:

• Almeno 30 giorni di preavviso scritto (salvo che sia richiesto da un'autorità di controllo);
• Ambito e durata ragionevoli;
• Obblighi di riservatezza riguardanti le informazioni proprietarie del Responsabile;
• La conformità dell'auditor alle politiche di sicurezza applicabili.

Se un audit rivela una carenza rilevante, il Responsabile deve porvi rimedio entro un periodo di tempo ragionevole concordato con il Titolare, a spese del Responsabile.

A11. Cancellazione e Restituzione dei Dati

Al termine o alla scadenza dell'Accordo, il Responsabile deve, a scelta del Titolare:

• Restituire tutti i Dati Personali del Titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico (CSV o JSON) entro 30 giorni dalla richiesta; o
• Cancellare in modo sicuro tutti i Dati Personali del Titolare entro 60 giorni dalla fine della finestra di esportazione post-terminazione di 12 mesi indicata nell'Accordo.

Il Responsabile deve certificare la cancellazione per iscritto su richiesta del Titolare. Il Responsabile può conservare i Dati Personali del Titolare unicamente nella misura richiesta dalla legge applicabile, e deve informare il Titolare di qualsiasi tale obbligo di conservazione, inclusa la base giuridica e la durata della conservazione richiesta.

A12. Responsabilità

La responsabilità di ciascuna parte ai sensi del presente DPA è soggetta alle limitazioni di responsabilità indicate nell'Accordo (Sezione 14). Nulla nel presente DPA esclude o limita la responsabilità di ciascuna parte per obblighi previsti dalla Normativa sulla Protezione dei Dati che non possono essere limitati contrattualmente.

A13. Legge Applicabile

Il presente DPA è disciplinato dalle leggi dei Paesi Bassi, in conformità all'Accordo. Per le questioni relative alla Normativa sulla Protezione dei Dati, è competente l'autorità di controllo dello stabilimento del Titolare (oppure, ove il Titolare sia stabilito al di fuori del SEE, l'Autorità olandese Autoriteit Persoonsgegevens per Carsu B.V. e il Garante per la protezione dei dati personali per Carsu Italia S.r.l.).

A14. Prevalenza

Nel caso di qualsiasi conflitto tra il presente DPA e l'Accordo, i termini del presente DPA prevalgono riguardo al trattamento dei Dati Personali del Titolare. In tutti gli altri aspetti, prevale l'Accordo.

Il presente DPA entra in vigore nella data in cui il Titolare accetta l'Accordo e rimane in vigore finché il Responsabile tratta Dati Personali del Titolare.