Informativa sulla privacy

Renviq è gestita come ditta individuale da una persona fisica stabilita nell’Unione Europea. Ai fini del GDPR siamo il titolare del trattamento dei dati personali descritti in questa informativa. Poiché il titolare è stabilito in UE, non è nominato un rappresentante separato ai sensi dell’art. 27 GDPR. Può contattare il nostro team privacy a support@renviq.io.

Se è cliente di un nostro noleggiatore (ha prenotato un’auto, una moto o una barca tramite lui), il noleggiatore è il titolare del trattamento dei dati della sua prenotazione e Renviq è responsabile del trattamento che agisce su sue istruzioni. Questa informativa descrive i dati che teniamo direttamente — l’informativa del noleggiatore descrive i dati che lui detiene su di lei.

Gli abbonamenti a pagamento Renviq sono venduti tramite Polar Software Inc. (USA), che agisce come Merchant of Record. Polar è il venditore sulle fatture e raccoglie tutta l’IVA UE applicabile e le altre imposte sulle vendite. I dettagli legali completi sull’operatore sono riportati sulle fatture emesse da Polar.

Dai visitatori di questo sito: pagine viste, lingua scelta, regione approssimativa dedotta dall’IP per l’immagine OG e la valuta mostrata e — solo se accetta il banner analytics — analytics di prodotto anonime, heatmap e registrazioni di sessione. Nell’app, dopo l’accesso, lo stesso consenso attiva analytics e registrazioni di sessione collegate al suo account (vedi «Come usiamo i suoi dati»).

Dagli utenti registrati dell’applicazione Renviq: nome, email, password con hash, workspace di appartenenza, azioni svolte nell’app e metadati di sessione. Non raccogliamo numeri di carte di pagamento — sono gestiti direttamente dal nostro fornitore di fatturazione e non passano mai dai nostri server.

Dai noleggiatori che attivano una comunicazione alle autorità: le credenziali rilasciate loro dall’ente competente — il certificato qualificato AEAT per Veri*Factu, la password del servizio web SES.HOSPEDAJES e i codici di struttura, e nome utente, password e chiave API di Ca.R.G.O.S. Le conserviamo sigillate con AES-256-GCM e legate al workspace e al regime di comunicazione a cui appartengono; l’API non le restituisce mai, ma solo la data dell’ultimo inserimento. Le comunicazioni stesse richiedono, sul locatario e sui conducenti, dati identificativi che un sistema di noleggio non avrebbe altrimenti motivo di trattare: tipo, numero e Paese di rilascio del documento d’identità, luogo e data di nascita, sesso, secondo cognome e codice del comune dell’indirizzo. Questi dati li inserisce il noleggiatore in qualità di titolare; noi li trattiamo per costruire la comunicazione e trasmetterla a suo nome.

Non compriamo, affittiamo né acquisiamo in altro modo dati personali su di lei da terzi.

Ci basiamo su quattro basi giuridiche GDPR a seconda dell’attività. Contratto: trattamenti necessari a fornire il servizio per cui si è registrato — il suo account, i suoi dati nell’app, le sue fatture. Legittimo interesse: mantenere il servizio sicuro, prevenire abusi e migliorare il prodotto (le analytics si basano sul suo opt-in preventivo, non sul legittimo interesse). Consenso: opt-in esplicito per i cookie analytics e per le email di marketing. Obbligo di legge (art. 6, par. 1, lett. c, GDPR): i trattamenti imposti dalla legge — i registri di fatturazione Veri*Factu che il Regio Decreto spagnolo 1007/2023 impone a un sistema di fatturazione, le comunicazioni SES.HOSPEDAJES al Ministero dell’Interno spagnolo ai sensi del Regio Decreto 933/2021 e le comunicazioni Ca.R.G.O.S. alla Polizia di Stato ai sensi dell’art. 17 del D.L. 113/2018 e del D.M. 29 ottobre 2021.

Questi tre adempimenti sono obblighi del noleggiatore, non nostri: è lui a detenere registrazioni, certificati e credenziali, e Renviq costruisce ogni registrazione e la trasmette a suo nome. Poiché il dovere di trasmettere e di conservare quanto trasmesso deriva dalla legge, una richiesta di cancellazione non può eliminare una registrazione che una legge impone di conservare: i dati del cliente stesso vengono rimossi, mentre la prova di ciò che è stato comunicato resta ai sensi degli artt. 6, par. 1, lett. c, e 17, par. 3, lett. b, GDPR.

Può ritirare il consenso alle analytics in qualsiasi momento cliccando ‘Gestisci cookie’ in fondo a qualsiasi pagina. Il ritiro non incide sui trattamenti già avvenuti.

Per gestire il suo account: autenticazione, invio di email transazionali (conferma di registrazione, reset password, ricevute fatture), mantenimento della sicurezza dei dati e supporto clienti quando ci contatta.

Per migliorare il prodotto: analytics su quali funzioni si usano, dove gli utenti si bloccano e quali pagine sono lente. Su questo sito restano anonime. Nell’app, eventi e registrazioni di sessione sono collegati al suo account — ID utente, email, nome e workspace — così possiamo vedere dove si è bloccato e risolvere il problema; vengono registrati anche gli errori JavaScript del suo browser. Il testo digitato nei campi dei moduli viene mascherato e le immagini dei documenti caricati sono escluse dalle registrazioni. Si basa sul consenso analytics che dà nel banner — se rifiuta, si interrompe per lei.

Non vendiamo i suoi dati. Non li condividiamo con inserzionisti. Non costruiamo un profilo su di lei per venderlo a chicchessia.

Dati dell’account: conservati mentre l’account è attivo e per 12 mesi dopo la chiusura, così possiamo ripristinarlo se cambia idea e gestire eventuali contestazioni o chargeback successivi alla chiusura.

Dati di fatturazione e contabilità: conservati per il periodo richiesto dalla legge del Paese di stabilimento — in Italia tipicamente 10 anni per i documenti fiscali.

Registrazioni delle comunicazioni alle autorità: una comunicazione SES.HOSPEDAJES e la sua prova sono conservate per tre anni dalla fine del servizio (Regio Decreto spagnolo 933/2021, art. 5.3). Il contenuto di una comunicazione Ca.R.G.O.S. viene cancellato sette giorni dopo la consegna del veicolo, mentre la ricevuta della comunicazione è conservata (D.M. 29 ottobre 2021, art. 7). Le registrazioni Veri*Factu e i messaggi costruiti a partire da esse sono conservati per il periodo richiesto dalla normativa fiscale. Ogni registrazione porta la propria data di scadenza, quindi viene eliminata secondo il termine della propria norma e non secondo un termine unico per l’intero servizio.

Analytics: gli eventi scadono dopo 12 mesi e le registrazioni di sessione in PostHog vengono cancellate dopo 30 giorni. I log di accesso al server sono conservati 30 giorni per sicurezza e indagini su abusi, poi cancellati.

Usiamo i seguenti responsabili terzi per fornire il servizio. Abbiamo un Data Processing Agreement (DPA) con ciascuno. Non aggiungiamo un nuovo sub-responsabile senza aggiornare questa lista.

Se la sua organizzazione ha bisogno di un DPA firmato a sé con noi, veda /legal/dpa per come richiederlo.

Quando un noleggiatore trasmette sotto uno dei regimi descritti sopra, l’autorità che riceve la registrazione è destinataria di dati personali in forza di un obbligo di legge, non un sub-responsabile. Non agisce su nostre istruzioni né su quelle del noleggiatore: riceve i dati perché una legge impone la trasmissione, e ciò che ne fa poi è regolato da quella legge e dall’informativa dell’autorità stessa, non dal nostro contratto.

Le destinatarie sono l’Agenzia Tributaria spagnola (AEAT), che riceve i registri di fatturazione Veri*Factu; il Ministero dell’Interno spagnolo, che riceve le comunicazioni SES.HOSPEDAJES sul locatario e sui conducenti; e la Polizia di Stato, che riceve le comunicazioni Ca.R.G.O.S. sui contratti di noleggio. Per la fattura elettronica italiana generiamo soltanto il file FatturaPA e lo consegniamo al noleggiatore — Renviq non trasmette nulla al Sistema di Interscambio.

Tutte e tre le autorità si trovano nell’Unione Europea, quindi da questo trattamento non deriva alcun trasferimento verso un Paese terzo.

Ha diritto di accedere ai dati che teniamo su di lei, farli correggere se sbagliati, chiederne la cancellazione (fatti salvi gli obblighi di conservazione di legge), limitare il trattamento, ricevere una copia in formato portabile e opporsi al trattamento basato sul legittimo interesse. Può anche presentare reclamo all’autorità di controllo nazionale (in Italia il Garante per la protezione dei dati personali).

Per esercitare uno di questi diritti scriva a support@renviq.io dall’indirizzo associato al suo account. Rispondiamo entro 30 giorni, gratuitamente.

I nostri server applicativi sono nell'UE (netcup, Germania) e il database su Neon (AWS, Francoforte). I dati dei clienti sono conservati nell'UE.

Diversi sub-responsabili hanno sede negli USA: Polar (fatturazione), Cloudflare (CDN/edge e archiviazione file), Resend (email), Sentry (monitoraggio errori) e Groq (OCR documenti). Per tutti i trasferimenti fuori dall'UE ci basiamo sulle Standard Contractual Clauses (SCC) incluse nei rispettivi DPA. Un altro sub-responsabile di analisi, Plerdy, si trova in Ucraina (fuori dall'UE); viene caricato solo dopo l'accettazione dei cookie di analisi e questo trasferimento si basa sul suo consenso.

Usiamo misure standard di settore per proteggere i suoi dati: TLS in transito, cifratura a riposo per il database, isolamento rigoroso dei tenant applicato a livello applicativo su ogni query, password con hash da algoritmo moderno e audit periodici delle dipendenze. Nessun sistema è perfettamente sicuro, ma trattiamo la sicurezza come priorità operativa continua, non come audit una tantum.

Se rileviamo una violazione di dati personali che possa comportare un rischio per i suoi diritti, lo notifichiamo all’autorità di controllo competente entro 72 ore e informiamo gli utenti coinvolti senza ingiustificato ritardo.

Renviq è un prodotto B2B. Non raccogliamo consapevolmente dati personali da persone sotto i 16 anni. Se ritiene che un minore ci abbia fornito dati personali, scriva a support@renviq.io e provvederemo alla cancellazione.

Aggiorneremo questa pagina quando l’informativa cambia — la data ‘Ultimo aggiornamento’ in cima riflette l’ultima revisione. Le modifiche sostanziali (nuovi sub-responsabili, nuove categorie di dati, nuove finalità) saranno notificate via email agli utenti attivi.

Domande sulla privacy, richieste dell’interessato e segnalazioni di violazione: support@renviq.io. Richieste generiche: support@renviq.io.