Accordo sul Trattamento dei Dati (DPA)

Ultimo aggiornamento: 9 settembre 2026 — revisione 2026-09-09

Il presente Accordo sul trattamento dei dati ("DPA", Data Processing Agreement) disciplina, ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR), il trattamento dei dati personali effettuato da GoBus2 per conto del Cliente. Costituisce parte integrante dei Termini e Condizioni ed è accettato congiuntamente ad essi. In caso di contrasto sui profili di protezione dei dati, prevale il presente DPA.

1. Ruoli delle Parti

• Titolare del trattamento: il Cliente (azienda utente) che inserisce e gestisce sulla piattaforma dati relativi a propri clienti, autisti, dipendenti e veicoli.
• Responsabile del trattamento: PCS di Ambrosio Espedito, Via Luigi Maradei 15, 87026 Mormanno (CS), P.IVA 03272650783, email info@gobus.it (di seguito "GoBus2").

GoBus2 tratta i dati personali esclusivamente per conto e su istruzione del Titolare, fornendo gli strumenti tecnici della piattaforma. Per i dati relativi al proprio account, alla fatturazione e alla sicurezza del servizio, GoBus2 agisce invece come autonomo Titolare secondo la Privacy Policy.

2. Oggetto, Durata, Natura e Finalità

• Oggetto: il trattamento dei dati personali necessario all'erogazione della piattaforma GoBus2 e dei moduli attivati dal Cliente.
• Durata: per tutta la durata del rapporto contrattuale, oltre ai periodi di conservazione di cui all'art. 11.
• Natura e finalità: raccolta, registrazione, organizzazione, conservazione, consultazione, elaborazione e cancellazione dei dati, al solo fine di fornire le funzionalità richieste (gestione flotta, preventivi, promemoria, trascrizione facoltativa delle note vocali, documenti, e — se attivi — GPS, tachigrafo, identificazione autisti).

3. Tipi di Dati e Categorie di Interessati

• Categorie di interessati: clienti e contatti del Cliente, autisti e dipendenti del Cliente, referenti aziendali.
• Tipi di dati: dati anagrafici e di contatto; dati di viaggio e preventivo; promemoria e note; audio temporaneo e trascrizioni se il Cliente sceglie la dettatura vocale; dati dei veicoli; — per i moduli opzionali — dati di geolocalizzazione dei veicoli, eventi di guida, dati del tachigrafo e di identificazione degli autisti; — per il modulo Personale — documenti di lavoro dei dipendenti (buste paga, Certificazioni Uniche, contratti, comunicazioni), i relativi metadati e la registrazione della presa visione (data e ora, impronta del documento, indirizzo IP in forma cifrata, tipo di dispositivo).

Modulo Personale. I documenti di lavoro sono caricati dal Titolare in qualità di datore di lavoro, che ne determina contenuto, destinatari e tempi di conservazione. GoBus2 li conserva in un'area ad accesso esclusivamente server-mediato, li rende disponibili al solo dipendente interessato previa autenticazione con PIN personale, e non vi accede se non su istruzione documentata del Titolare o per necessità tecniche circoscritte (ripristino, indagine su un incidente di sicurezza). La funzione di presa visione è uno strumento di prova della consegna e non costituisce firma elettronica ai sensi del Regolamento eIDAS.

Il Cliente si astiene dall'inserire categorie particolari di dati (art. 9 GDPR) non strettamente necessarie. Eventuali dati relativi all'attività lavorativa degli autisti sono trattati sotto la responsabilità del Cliente quale datore di lavoro (v. art. 9).

Note vocali: istruzione facoltativa e minimizzazione

La dettatura è un'alternativa facoltativa alle note scritte. L'utente autorizzato avvia il microfono e sceglie separatamente se inviare la registrazione per la trascrizione. Questa azione istruisce GoBus2 a trasmettere l'audio a OpenRouter e al fornitore OpenAI (Whisper), limitatamente alla conversione in testo. La funzione non effettua identificazione del parlante, clonazione vocale o registrazione automatica delle chiamate. Il Cliente determina quali informazioni dettare e verifica il testo prima di salvarlo.

GoBus2 non crea un archivio audio: il browser conserva la registrazione solo temporaneamente per completare o ritentare la trascrizione e la scarta dopo il riconoscimento riuscito, l'annullamento o la chiusura del dialog; il server la elabora nella memoria della richiesta. Si salva solo il testo quando l'utente conferma il promemoria. L'annullamento dopo l'invio non ritira i dati già ricevuti dal fornitore esterno.

4. Istruzioni del Titolare

GoBus2 tratta i dati personali soltanto su istruzione documentata del Titolare, comprese le istruzioni impartite tramite l'uso delle funzioni della piattaforma e i presenti Termini, salvo che lo richieda il diritto dell'Unione o nazionale. In tal caso GoBus2 informa il Titolare prima del trattamento, salvo divieto di legge. GoBus2 informa il Titolare qualora ritenga che un'istruzione violi la normativa sulla protezione dei dati.

5. Riservatezza

GoBus2 garantisce che le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza, e che l'accesso ai dati sia limitato a quanto necessario.

6. Misure di Sicurezza (art. 32 GDPR)

GoBus2 adotta misure tecniche e organizzative adeguate, tra cui:

• cifratura dei dati in transito (TLS) e a riposo presso l'infrastruttura cloud;
• autenticazione tramite Firebase Auth e controllo degli accessi basato sul proprietario tramite regole Firestore granulari (isolamento dei dati tra aziende);
• backup automatici e possibilità di ripristino (point-in-time recovery);
• segregazione logica dei dati per ciascun account aziendale;
• per le note vocali: invio riservato ai ruoli titolare e ufficio, controllo del formato e della durata dell'audio, limiti di utilizzo per azienda e assenza di audio o trascrizioni nei log applicativi della funzione;
• registrazione degli accessi e monitoraggio del servizio;
• per il modulo Personale: archiviazione dei documenti in un'area non accessibile ai client (consegna esclusivamente tramite server previa autorizzazione, senza URL firmati), secondo fattore di autenticazione del dipendente tramite PIN personale conservato con funzione di derivazione a chiave rinforzata e chiave segreta di servizio, blocco progressivo dei tentativi, sessioni a scadenza breve revocabili all'istante e registro non modificabile delle prese visione.

7. Sub-responsabili

Il Titolare autorizza in via generale GoBus2 a ricorrere ai sub-responsabili elencati di seguito. GoBus2 impone a ciascun sub-responsabile, mediante contratto, obblighi di protezione dei dati equivalenti a quelli del presente DPA e resta responsabile del loro operato. GoBus2 informa il Titolare di eventuali modifiche (aggiunta o sostituzione) con ragionevole preavviso, dando al Titolare la possibilità di opporsi per motivi legittimi.

8. Trasferimenti Extra-UE

I dati sono archiviati primariamente nell'Unione Europea. Ove un sub-responsabile comporti un trasferimento verso Paesi terzi, esso avviene sulla base di garanzie adeguate ai sensi del Capo V del GDPR, in particolare le Clausole Contrattuali Standard (SCC) della Commissione Europea. I dati inviati alle funzioni AI, compreso l'audio per la trascrizione, sono limitati ai contenuti che il Cliente sceglie di sottoporre. L'archiviazione dei dati GoBus2 in UE non implica che l'elaborazione dei fornitori AI avvenga esclusivamente in UE.

9. Assistenza al Titolare

Tenuto conto della natura del trattamento, GoBus2 assiste il Titolare:

• con misure tecniche e organizzative adeguate, per dare seguito alle richieste di esercizio dei diritti degli interessati (artt. 12–22 GDPR);
• nel garantire il rispetto degli obblighi di sicurezza, notifica delle violazioni e valutazione d'impatto (artt. 32–36 GDPR), nei limiti delle informazioni a sua disposizione.

10. Violazioni dei Dati (Data Breach)

GoBus2 informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali, fornendo le informazioni utili affinché il Titolare possa, ove necessario, notificare la violazione all'Autorità di controllo (entro 72 ore) e agli interessati.

11. Conservazione, Restituzione e Cancellazione

Al termine della prestazione dei servizi, su scelta del Titolare, GoBus2 cancella o restituisce i dati personali, salvo che la conservazione sia richiesta dal diritto dell'Unione o nazionale. In coerenza con i Termini e la Privacy Policy:

• i dati operativi, inclusi promemoria e note testuali anche trascritte, sono cancellati entro 30 giorni dalla cessazione dell'account;
• i dati fiscali e contabili sono conservati per i termini di legge (fino a 10 anni, art. 2220 c.c.);
• i backup seguono cicli propri e scadono automaticamente: ripristino a un istante preciso entro 7 giorni, copie giornaliere per 7 giorni, copie settimanali per 14 settimane, esportazioni su archivio per30 giorni. Una copia di backup può quindi contenere i dati per un periodo più lungo rispetto alla cancellazione dai sistemi attivi, fino a un massimo di14 settimane, dopo di che scade e viene eliminata senza intervento manuale. I backup non sono utilizzati per finalità diverse dal ripristino.

L'audio delle note vocali non è archiviato da GoBus2 e non entra nei suoi backup. Il testo salvato segue invece i periodi dei dati operativi e dei backup sopra indicati. Il trattamento e l'eventuale conservazione presso i fornitori esterni sono disciplinati dai relativi accordi e informative: OpenRouter e OpenAI, dati API. La mancata archiviazione in GoBus2 non equivale a una garanzia di assenza di conservazione presso terzi.

12. Audit e Dimostrazione di Conformità

GoBus2 mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto degli obblighi del presente DPA e consente e contribuisce ad attività di revisione (audit), comprese le ispezioni, realizzate dal Titolare o da un soggetto da questi incaricato, con ragionevole preavviso e nel rispetto della riservatezza e della sicurezza degli altri clienti.

13. Legge Applicabile

Il presente DPA è regolato dalla legge italiana e si interpreta in conformità al GDPR. Per le controversie è competente il Tribunale di Cosenza, come previsto dai Termini.

14. Contatti

PCS di Ambrosio Espedito
Via Luigi Maradei 15, 87026 Mormanno (CS)
P.IVA: 03272650783
Email: info@gobus.it