PREAMBOLO
La presente Informativa sulla privacy ha per oggetto descrivere in modo trasparente e giuridicamente opponibile le condizioni in cui Nereva SA raccoglie, tratta, conserva e protegge i dati personali degli utenti dei suoi Servizi, conformemente al Regolamento (UE) 2016/679 del 27 aprile 2016 («GDPR»), alla Legge federale svizzera sulla protezione dei dati del 25 settembre 2020 («nLPD») entrata in vigore il 1° settembre 2023, e alle raccomandazioni delle autorità di controllo competenti, in particolare l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e la Commission nationale de l'informatique et des libertés (CNIL).
Scopo sociale statutario di Nereva SA. Conformemente all'articolo 3 dei suoi statuti iscritti al Registro di commercio del Canton Vaud, Nereva SA ha per scopo la concezione, lo sviluppo, l'edizione, la commercializzazione, l'integrazione e la gestione, in Svizzera e all'estero, di software e soluzioni digitali di orchestrazione e sincronizzazione dei flussi logistici operati da veicoli, in particolare dei flussi di materiali, rifiuti, macchine, attrezzature e cassoni legati alle attività di costruzione, opere pubbliche, riciclaggio, trasporto di cantiere e ai settori connessi.
La società può in particolare fornire, sotto forma di software a richiesta (Software as a Service) o di licenze, piattaforme di pianificazione, esecuzione, documentazione, tracciabilità e archiviazione delle operazioni logistiche, così come servizi associati di configurazione, integrazione, supporto, formazione e consulenza.
La società può acquisire, detenere, valorizzare, concedere in licenza e difendere qualsiasi diritto di proprietà intellettuale, in particolare brevetti, marchi, disegni, modelli, diritti d'autore e know-how, in relazione diretta o indiretta con il suo scopo principale.
La società può effettuare, sia in Svizzera che all'estero, per conto proprio o per conto di terzi, tutte le operazioni amministrative, tecniche, commerciali, finanziarie, mobiliari e immobiliari in relazione diretta o indiretta con il suo scopo principale. Può creare succursali e filiali in Svizzera e all'estero, assumere partecipazioni in imprese che perseguono uno scopo simile o complementare, e concedere prestiti o garanzie alle sue filiali e società del gruppo.
La società non svolge attività di trasporto e non agisce come intermediario commerciale tra committenti e imprese di trasporto. Non cattura la relazione contrattuale commerciale tra i suoi utenti.
Articolazione contrattuale. La presente Informativa sulla privacy si articola strettamente con, da un lato, le Condizioni generali di utilizzo e in particolare il loro articolo 14 bis relativo alla funzionalità di geolocalizzazione proveniente dall'applicazione mobile Autisti, il loro articolo 10 relativo alla proprietà e alla valorizzazione dei dati, il loro articolo 20 relativo alla sicurezza e il loro articolo 25 bis relativo all'indennizzo di Nereva SA da parte del Cliente; dall'altro, l'Accordo sul trattamento dei dati («DPA») che disciplina le modalità operative del trattamento dei dati personali da parte di Nereva SA in qualità di responsabile del trattamento; inoltre, la Politica IA e dati che descrive specificamente il funzionamento del data lake in due zone (Zona A pseudonimizzata per i Servizi correnti, Zona B anonimizzata e irreversibile per l'addestramento dei modelli di intelligenza artificiale), i processi di anonimizzazione e le condizioni di addestramento dei Modelli; e infine la Politica di uso accettabile che disciplina in particolare gli obblighi del Cliente in materia di protezione degli Autisti e il divieto di qualsiasi uso distorto dei dati.
Articolo 1 — Oggetto e status giuridico di Nereva
La presente Informativa sulla privacy ha per oggetto descrivere le condizioni di raccolta e trattamento da parte di Nereva SA dei dati personali degli utenti dei suoi Servizi. Lo status giuridico di Nereva SA e il perimetro opponibile del suo scopo sociale figurano nel preambolo della presente Politica.
Nereva SA agisce in qualità di titolare del trattamento per i dati che raccoglie in occasione della navigazione sul suo sito internet e degli spazi non-cliente della piattaforma. Quando Nereva SA tratta dati personali per conto di un Cliente professionale che ha sottoscritto i suoi Servizi, Nereva SA agisce in qualità di responsabile del trattamento ai sensi dell'articolo 28 del GDPR e dell'articolo 9 della nLPD, essendo il Cliente in tal caso il titolare del trattamento. Le modalità specifiche di tale trattamento sono disciplinate dall'Accordo sul trattamento dei dati (DPA) concluso con il Cliente.
Articolo 2 — Titolare del trattamento
Il titolare del trattamento dei dati raccolti tramite il sito internet e gli spazi non-cliente della piattaforma Nereva è Nereva SA, Rue de Rive 22D, CH-1260 Nyon, Svizzera, iscritta al Registro di commercio del Canton Vaud con il numero di identificazione delle imprese CHE-294.630.698, raggiungibile a privacy@nereva.com.
Articolo 3 — Definizioni
I termini utilizzati nella presente Politica hanno il seguente significato.
Dati personali : qualsiasi informazione relativa a una persona fisica identificata o identificabile.
Trattamento : qualsiasi operazione effettuata su dati personali, in particolare raccolta, registrazione, conservazione, modifica, consultazione, trasmissione e cancellazione.
Persona interessata : qualsiasi persona fisica i cui dati personali sono trattati da Nereva SA.
Titolare del trattamento : entità che determina le finalità e i mezzi del trattamento.
Responsabile del trattamento : entità che tratta dati personali per conto del titolare del trattamento.
Servizi : insieme delle funzionalità software fornite da Nereva SA tramite la sua piattaforma.
Sito : sito internet ufficiale di Nereva SA, accessibile all'indirizzo www.nereva.com e su qualsiasi sottodominio associato.
Articolo 4 — Dati raccolti
Nereva SA raccoglie le categorie di dati personali descritte di seguito.
4.1 Dati forniti direttamente dalle persone interessate
I dati forniti direttamente dalle persone interessate comprendono i dati di identificazione (cognome, nome, funzione, ragione sociale del datore di lavoro), i recapiti professionali (indirizzo e-mail, numero di telefono, indirizzo postale professionale), i dati dell'account (credenziali, password in forma cifrata) e i contenuti comunicati tramite i moduli di contatto o le richieste di dimostrazione.
All'invio del modulo di contatto del sito internet, Nereva SA registra inoltre l'oggetto selezionato, l'indirizzo della pagina di provenienza trasmesso dal browser (troncato) e, se del caso, i parametri di campagna (utm_source, utm_medium, utm_campaign) presenti nell'indirizzo della pagina, al fine di identificare l'origine della richiesta. Queste informazioni sono trattate unicamente per rispondere alla richiesta e gestire l'eventuale relazione commerciale che ne deriva; sono trasmesse a Nereva SA tramite un'infrastruttura Amazon Web Services situata in Svizzera (regione «Switzerland (Zurich)», eu-central-2).
4.2 Dati raccolti nell'ambito dell'utilizzo dei Servizi
I dati raccolti nell'ambito dell'utilizzo dei Servizi comprendono i dati di attività (log di connessione, azioni effettuate sulla piattaforma, marca temporale), i dati tecnici (indirizzo IP anonimizzato per la misurazione dell'audience, quando questa è stata accettata, informazioni sul browser, il sistema operativo e il terminale), i dati operativi inseriti dal Cliente o dai suoi Utenti nell'ambito dei Servizi (che possono contenere dati personali relativi a terzi, in particolare autisti e contatti operativi), e i dati di geolocalizzazione provenienti dall'applicazione mobile Autisti quando questa è utilizzata da un Autista nell'ambito di una missione di trasporto.
I dati di geolocalizzazione comprendono le posizioni GPS raccolte in modo continuo a decorrere dall'accettazione di una missione e fino alla sua chiusura, così come le marche temporali associate. Sono trattati da Nereva SA in qualità di responsabile del trattamento per conto del Cliente datore di lavoro dell'Autista, alle condizioni precisate nel DPA. La navigazione di bordo per mezzi pesanti è fornita tramite l'API HERE.
4.3 Dati provenienti da terzi
Nereva SA può raccogliere dati provenienti da fonti pubbliche o da partner commerciali a fini di prospezione professionale (B2B), alle condizioni e nei limiti previsti dalla normativa applicabile.
Articolo 5 — Finalità del trattamento
Nereva SA tratta i dati personali per le seguenti finalità: (i) fornitura, gestione, manutenzione e miglioramento dei Servizi; (ii) navigazione di bordo per mezzi pesanti, tracciabilità dell'esecuzione delle missioni di trasporto e fornitura di visibilità operativa in tempo reale al Cliente e, se del caso, al committente designato dal Cliente, sulla base dei dati di geolocalizzazione provenienti dall'applicazione mobile Autisti; (iii) gestione della relazione contrattuale e commerciale con i Clienti; (iv) fatturazione, recupero crediti e gestione dei pagamenti; (v) comunicazione con i Clienti e i potenziali clienti; (vi) risposta alle richieste inviate tramite i moduli di contatto; (vii) analisi dell'uso dei Servizi a fini di statistiche aggregate e miglioramento continuo; (viii) sicurezza dei Servizi e prevenzione degli usi fraudolenti; (ix) rispetto degli obblighi legali e normativi applicabili; (x) difesa dei diritti e degli interessi legittimi di Nereva SA.
Articolo 6 — Basi giuridiche del trattamento
I trattamenti di dati personali messi in atto da Nereva SA si basano, a seconda dei casi, su una delle seguenti basi giuridiche ai sensi dell'articolo 6 del GDPR e degli articoli 31 e seguenti della nLPD.
Esecuzione contrattuale : trattamento necessario all'esecuzione di un contratto concluso con il Cliente o all'esecuzione di misure precontrattuali adottate su sua richiesta.
Obbligo legale : trattamento necessario al rispetto di un obbligo legale a cui Nereva SA è soggetta, in particolare in materia contabile, fiscale e di lotta contro il riciclaggio.
Interesse legittimo : trattamento necessario al perseguimento degli interessi legittimi di Nereva SA, in particolare in materia di sicurezza dei Servizi, miglioramento continuo, prospezione professionale B2B e difesa dei diritti.
Consenso : se del caso, trattamento fondato sul consenso libero, specifico, informato e univoco della persona interessata, che può essere revocato in qualsiasi momento; è in particolare il caso della misurazione dell'audience del sito internet, alle condizioni della Politica sui cookie.
Articolo 7 — Categorie di persone interessate
Le persone interessate dai trattamenti messi in atto da Nereva SA sono in particolare i visitatori del sito internet, i potenziali clienti che hanno manifestato interesse per i Servizi, i rappresentanti, dirigenti e punti di contatto dei Clienti, gli Utenti che dispongono di un accesso ai Servizi a titolo di una licenza sottoscritta da un Cliente, e le persone i cui dati sono inseriti dal Cliente o dai suoi Utenti nella piattaforma nell'ambito delle operazioni logistiche, in particolare autisti e contatti operativi.
Articolo 8 — Categorie di destinatari
I dati personali trattati da Nereva SA possono essere comunicati ai seguenti destinatari, nella stretta misura necessaria alle finalità perseguite: (i) i collaboratori abilitati di Nereva SA, nell'ambito delle loro funzioni; (ii) i subfornitori tecnici di Nereva SA alle condizioni dell'articolo 9; (iii) i committenti terzi designati dal Cliente come destinatari di una visibilità operativa sull'esecuzione delle missioni di trasporto, nell'ambito e alle condizioni configurate dal Cliente nel modulo d'ordine; (iv) le autorità pubbliche competenti, sulla base di un obbligo legale o di una decisione esecutiva; (v) i consulenti legali, fiscali e contabili di Nereva SA, soggetti a un obbligo di riservatezza; (vi) se del caso, gli acquirenti o successori di tutto o parte dell'attività di Nereva SA, nell'ambito di un'operazione di fusione-acquisizione o di cessione di attività, fatta salva la continuità degli impegni di riservatezza.
Quando l'utente del sito www.nereva.com ha accettato la categoria «Marketing e misurazione pubblicitaria» del banner di consenso, i dati pseudonimi di navigazione descritti all'articolo 6 bis della Politica sui cookie sono inoltre trattati dal fornitore o dai fornitori di misurazione pubblicitaria ivi elencati (alla data dell'ultimo aggiornamento: Google Ireland Limited), in qualità di titolari autonomi del trattamento, al solo fine della misurazione delle prestazioni pubblicitarie di Nereva SA.
Nereva SA non vende e non affitta i dati personali a terzi.
Articolo 9 — Sub-responsabili del trattamento
Nereva SA si avvale di subfornitori tecnici (sub-responsabili del trattamento) per la fornitura dei suoi Servizi. Le principali categorie di subfornitori comprendono l'hosting di infrastruttura cloud (Amazon Web Services, regione Svizzera), i servizi di autenticazione e gestione delle identità, i servizi di monitoraggio e supervisione tecnica, i servizi di pagamento, i servizi di comunicazione e messaggistica transazionale, così come il fornitore di API di cartografia, calcolo di itinerario e navigazione di bordo per mezzi pesanti integrata nell'applicazione mobile Autisti (HERE Europe B.V., Paesi Bassi).
Nereva SA conclude con ciascuno dei suoi subfornitori un contratto conforme all'articolo 28 del GDPR e all'articolo 9 della nLPD, che impone obblighi di sicurezza, riservatezza e rispetto delle istruzioni di Nereva SA. L'elenco completo e aggiornato dei subfornitori significativi che trattano dati personali è tenuto a disposizione dei Clienti su richiesta indirizzata a privacy@nereva.com.
Articolo 10 — Trasferimenti internazionali di dati
Nereva SA ospita i dati personali trattati nell'ambito dei suoi Servizi esclusivamente su infrastrutture situate in Svizzera.
Quando, in casi limitati, dati personali sono trasmessi a un subfornitore situato fuori dalla Svizzera o fuori dallo Spazio economico europeo, Nereva SA mette in atto le garanzie appropriate previste dal GDPR e dalla nLPD, e in particolare (i) il ricorso alle Clausole contrattuali tipo adottate dalla Commissione europea o approvate dall'IFPDT; (ii) la verifica del carattere adeguato del livello di protezione offerto dal paese destinatario ai sensi dell'articolo 16 della nLPD o dell'articolo 45 del GDPR; (iii) l'attuazione di misure supplementari conformemente alle linee guida del CEPD successive alla sentenza Schrems II del 16 luglio 2020 (cifratura, pseudonimizzazione, valutazione dei rischi di accesso extraterritoriale).
La misurazione delle prestazioni pubblicitarie del sito www.nereva.com, attivata solo dopo il consenso dell'utente alla categoria «Marketing e misurazione pubblicitaria», può comportare un trasferimento di dati pseudonimi di navigazione fuori dalla Svizzera e dallo Spazio economico europeo, a oggi verso Google LLC negli Stati Uniti; le garanzie applicabili a tale trasferimento sono descritte all'articolo 6 bis.4 della Politica sui cookie. Nessun dato inserito nella piattaforma Nereva è interessato da tale misurazione.
Articolo 11 — Durate di conservazione
I dati personali sono conservati per una durata non eccedente quella necessaria al perseguimento delle finalità per le quali sono stati raccolti, secondo i seguenti principi.
Dati dei potenziali clienti : tre (3) anni a decorrere dall'ultimo contatto che ha manifestato interesse per i Servizi.
Dati dei Clienti e dati dell'account Utente : durata della relazione contrattuale, prolungata dei termini di prescrizione legale, salvo istruzione contraria del Cliente.
Dati di fatturazione e contabili : dieci (10) anni a decorrere dalla fine dell'esercizio contabile interessato, conformemente all'articolo 958f del Codice delle obbligazioni svizzero.
Log tecnici e di sicurezza : da sei (6) a dodici (12) mesi a decorrere dalla loro registrazione, salvo incidente di sicurezza che richieda una conservazione prolungata.
Dati di geolocalizzazione provenienti dall'applicazione mobile Autisti : dodici (12) mesi a decorrere dalla loro registrazione, a fini di tracciabilità dell'esecuzione e gestione di eventuali contestazioni di prestazione, salvo esigenza probatoria accertata nell'ambito di una controversia o di una contestazione, nel qual caso la conservazione può essere prolungata per il tempo strettamente necessario alla risoluzione della controversia. La visibilità della cronologia del percorso da parte dei committenti terzi designati dal Cliente è limitata a trenta (30) giorni a decorrere dalla chiusura della missione, salvo configurazione contraria nel modulo d'ordine. Oltre le durate sopra indicate, solo dati aggregati e irreversibilmente anonimizzati possono essere conservati, per le finalità previste all'articolo 10 delle CGU.
Dati di misurazione dell'audience anonimizzati : dodici (12) mesi, conformemente alla Politica sui cookie.
Alla scadenza delle durate di conservazione, i dati sono cancellati o irreversibilmente anonimizzati, fatti salvi gli obblighi legali di conservazione e le necessità di una procedura giudiziaria o amministrativa in corso.
Articolo 12 — Sicurezza dei dati
Nereva SA mette in atto misure tecniche e organizzative appropriate tenuto conto dello stato dell'arte, dei costi di attuazione e della natura, della portata, del contesto e delle finalità del trattamento, conformemente all'articolo 32 del GDPR e ai principi equivalenti della nLPD.
Queste misure comprendono in particolare la cifratura dei dati in transito (TLS) e a riposo, la limitazione e il controllo degli accessi secondo il principio del privilegio minimo, l'autenticazione rafforzata degli accessi amministrativi, la registrazione delle azioni sensibili, il backup regolare dei dati e la documentazione delle procedure di ripresa dell'attività, la sensibilizzazione e la formazione continua dei collaboratori, così come la realizzazione periodica di test di sicurezza.
Nessuna misura di sicurezza può essere considerata assoluta. Gli impegni di Nereva SA in materia di sicurezza costituiscono obblighi di mezzi.
Articolo 13 — Notifica delle violazioni di dati
In caso di violazione di dati personali suscettibile di comportare un rischio elevato per i diritti e le libertà delle persone interessate, Nereva SA mette in atto i seguenti obblighi di notifica: (i) notifica all'IFPDT nel più breve tempo possibile, conformemente all'articolo 24 della nLPD; (ii) notifica all'autorità di controllo competente entro settantadue (72) ore dalla presa di conoscenza, conformemente all'articolo 33 del GDPR; (iii) comunicazione alle persone interessate alle condizioni previste all'articolo 34 del GDPR; (iv) comunicazione al Cliente quando Nereva SA agisce in qualità di responsabile del trattamento, alle condizioni e nei termini previsti dal DPA.
Articolo 14 — Diritti delle persone interessate
Conformemente al GDPR e alla nLPD, le persone interessate dispongono dei seguenti diritti relativi ai dati personali che le riguardano.
Diritto di accesso : ottenere la conferma che dati che le riguardano siano o meno trattati e, se del caso, ottenerne la comunicazione.
Diritto di rettifica : ottenere la rettifica dei dati inesatti o incompleti.
Diritto alla cancellazione : ottenere la cancellazione dei dati nei casi previsti dalla normativa.
Diritto alla limitazione : ottenere la limitazione del trattamento nei casi previsti dalla normativa.
Diritto di opposizione : opporsi al trattamento per motivi legati alla situazione particolare della persona interessata, quando il trattamento è fondato sull'interesse legittimo di Nereva SA.
Diritto alla portabilità : ricevere, quando tecnicamente possibile, i dati personali in un formato strutturato, di uso comune e leggibile da macchina.
Diritto di revoca del consenso : revocare in qualsiasi momento il consenso dato, senza che tale revoca pregiudichi la liceità del trattamento anteriore.
Diritto di proporre reclamo : proporre reclamo presso l'autorità di controllo competente alle condizioni dell'articolo 19.
Diritto relativo alla sorte dei dati dopo il decesso : definire direttive relative alla sorte dei dati dopo il decesso, alle condizioni previste dalla normativa applicabile.
Articolo 15 — Modalità di esercizio dei diritti
Le persone interessate possono esercitare i loro diritti indirizzando una richiesta a privacy@nereva.com o per posta all'indirizzo indicato all'articolo 23.
Nereva SA potrà chiedere alla persona interessata qualsiasi elemento ragionevolmente necessario alla verifica della sua identità, al fine di prevenire qualsiasi comunicazione fraudolenta di dati. Quando i dati sono trattati da Nereva SA in qualità di responsabile del trattamento per conto di un Cliente, la richiesta è trasmessa al Cliente, che è responsabile della risposta alle persone interessate.
Nereva SA risponde alle richieste entro un termine di un (1) mese a decorrere dalla loro ricezione, prorogabile di due (2) mesi supplementari in caso di particolare complessità o di numero elevato di richieste, conformemente all'articolo 12 del GDPR.
Articolo 16 — Decisioni automatizzate e profilazione
Nereva SA non mette in atto, nell'ambito dei suoi Servizi destinati ai visitatori del sito e agli spazi non-cliente, decisioni automatizzate ai sensi dell'articolo 22 del GDPR che producano effetti giuridici o incidano significativamente sulle persone interessate.
Le funzionalità di analisi e intelligenza operativa proposte all'interno dei Servizi producono indicazioni, raccomandazioni o suggerimenti di natura esclusivamente indicativa, che non dispensano il Cliente dall'esercizio del proprio giudizio e non costituiscono decisioni automatizzate ai sensi sopra indicati.
Articolo 17 — Cookie e tecnologie simili
Le modalità di raccolta dei dati tramite cookie e tecnologie simili sono disciplinate dalla Politica sui cookie di Nereva SA, accessibile dal sito internet. La misurazione dell'audience del sito (categoria «Statistiche») e la misurazione delle prestazioni pubblicitarie (categoria «Marketing e misurazione pubblicitaria», descritta all'articolo 6 bis della Politica sui cookie, a oggi tramite Google Ads) sono attivate solo con il consenso dell'utente, che può modificarlo o revocarlo in qualsiasi momento tramite il link «Gestisci i cookie» a piè di pagina. L'assistente di domande e risposte del sito funziona localmente nel browser: le domande poste non sono né trasmesse a Nereva SA né conservate.
Articolo 18 — Responsabile della protezione dei dati
Nereva SA ha designato un punto di contatto per qualsiasi questione relativa alla protezione dei dati personali, raggiungibile all'indirizzo privacy@nereva.com.
Conformemente alla nLPD, Nereva SA valuta l'opportunità di designare un consulente per la protezione dei dati ai sensi dell'articolo 10 di tale legge. Se del caso, la designazione e i recapiti del consulente saranno comunicati tramite aggiornamento della presente Politica e pubblicati sul sito internet.
Articolo 19 — Autorità di controllo
Le basi giuridiche invocate a titolo del GDPR e della nLPD sono equivalenti nella loro portata ai fini della presente Politica. Le persone interessate dispongono, indipendentemente dal regime applicabile, degli stessi diritti sostanziali.
In caso di reclamo, le persone interessate possono rivolgersi, per la Svizzera, all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), Feldeggweg 1, CH-3003 Berna, www.edoeb.admin.ch ; per la Francia, alla Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr ; per gli altri Stati membri dell'Unione europea, all'autorità di controllo nazionale competente, conformemente all'articolo 77 del GDPR.
Articolo 20 — Modifica della Politica
Nereva SA si riserva il diritto di modificare la presente Politica in qualsiasi momento per tener conto delle evoluzioni tecniche, normative o giurisprudenziali. Qualsiasi modifica sostanziale sarà portata a conoscenza delle persone interessate con mezzi appropriati, in particolare mediante pubblicazione sul sito internet.
Articolo 21 — Diritto applicabile e foro competente
Il presente documento, così come la relazione contrattuale che regola, sono disciplinati esclusivamente dal diritto svizzero, con esclusione di qualsiasi norma di conflitto di leggi e con esclusione della Convenzione delle Nazioni Unite sui contratti di compravendita internazionale di merci (CVIM, Vienna, 1980).
Qualsiasi controversia relativa alla formazione, alla validità, all'interpretazione, all'esecuzione o alla risoluzione del presente documento rientra nella competenza esclusiva dei tribunali ordinari del Canton Vaud, sede di Nereva SA, fatto salvo il ricorso imperativo al Tribunale federale svizzero.
Articolo 22 — Lingua di riferimento
Solo la versione francese della presente Politica fa fede giuridicamente. Qualsiasi traduzione è fornita a titolo informativo e non può vincolare Nereva SA.
Articolo 23 — Contatto
Nereva SA, Rue de Rive 22D, CH-1260 Nyon, Svizzera.
Protezione dei dati : privacy@nereva.com.
Questioni legali : legal@nereva.com.