Accordo sul trattamento dei dati

1. Parti

Il presente Accordo sul trattamento dei dati ("DPA") è stipulato tra il Cliente ("Titolare del trattamento") e YARDtwin Ltd, registrata in Irlanda ("Responsabile del trattamento"), collettivamente le "Parti". Il presente DPA costituisce parte integrante dei Termini di servizio di YARDtwin ed è soggetto agli stessi Termini di Servizio.

2. Ambito e finalità

Il Responsabile tratta i dati personali per conto del Titolare esclusivamente ai fini della fornitura della piattaforma di yard management YARDtwin: pianificazione delle banchine, operazioni di gate, visualizzazione del digital twin del piazzale, gestione di vettori e autisti, audit trail progettato per ambienti GMP, analisi e integrazioni. Il trattamento viene eseguito per la durata dell'abbonamento del Titolare e per qualsiasi periodo di conservazione richiesto dalla Sezione 11.

3. Categorie di interessati

• Dipendenti e amministratori del Titolare (utenti nominati della piattaforma)
• Autisti e personale logistico registrati ai gate del Titolare
• Rappresentanti di vettori e contatti di spedizione
• Personale di sicurezza ai gate e operatori di magazzino

4. Tipologie di dati personali

• Dati identificativi: nomi, indirizzi e-mail, numeri di telefono, qualifica/mansione, ragione sociale e indirizzo aziendale
• Dati di autenticazione: password con hash bcrypt (12 round), token di accesso e refresh JWT, timestamp di sessione, indirizzi IP, identificatori SSO (Google, Microsoft)
• Dati operativi: appuntamenti, assegnazioni banchine, movimenti rimorchi, verbali di ispezione, documenti, assegnazioni di attività, targhe dei veicoli
• Dati degli autisti: numeri di patente e immagini della patente. Il personale al varco può scattare una foto del volto del conducente come prova di accesso. Nei siti in cui è attivato il confronto AI del volto, il nostro provider AI (Anthropic) confronta tale foto in modalità uno-a-uno con la foto della patente o la foto archiviata del conducente, per aiutare il personale a verificarne l'identità. Il risultato ha valore consultivo: il personale al varco decide e può ammettere un conducente anche se il confronto non lo ha confermato, fornendo una motivazione. Ogni confronto viene registrato sui nostri server con il relativo esito. Quando il confronto del volto è disattivato (impostazione predefinita), nessuna foto del volto viene inviata al provider AI e il personale confronta visivamente il conducente con la foto della patente; le immagini della patente vengono comunque lette dall'AI quando la lettura AI è attiva. YARDtwin non archivia modelli biometrici del volto e non esegue identificazioni uno-a-molti.
• Dati di audit: azioni degli utenti, timestamp, indirizzi IP, stringhe user-agent, differenze di valore precedente/nuovo, record contrassegnati GMP

5. Obblighi del Responsabile del trattamento

• Trattare i dati personali solo sulla base di istruzioni documentate del Titolare (l'interfaccia utente e l'API della piattaforma costituiscono istruzioni documentate)
• Garantire che le persone autorizzate al trattamento dei dati siano vincolate da accordi di riservatezza
• Implementare misure di sicurezza tecniche e organizzative adeguate (art. 32) — cfr. Sezione 7
• Avvalersi esclusivamente dei sub-responsabili elencati nella Sezione 6, per i quali il Titolare concede autorizzazione scritta generale; fornire almeno 30 giorni di preavviso per qualsiasi nuovo sub-responsabile, al quale il Titolare può opporsi (Sezione 6)
• Assistere il Titolare nelle richieste degli interessati (artt. 15–22) tramite gli endpoint DSAR descritti nella Sezione 9
• Notificare al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza di una violazione dei dati personali; fornire una comunicazione iniziale entro 24 ore da qualsiasi incidente di sicurezza confermato che riguardi i dati del Titolare (Sezione 8)
• Cancellare o restituire tutti i dati personali alla cessazione dei servizi (Sezione 11)
• Mettere a disposizione tutte le informazioni necessarie a dimostrare la conformità e supportare gli audit (Sezione 12)

6. Sub-responsabili del trattamento

Il Responsabile si avvale attualmente dei seguenti sub-responsabili, ciascuno operante in base a un Accordo sul Trattamento dei Dati e (ove applicabile) alle Clausole Contrattuali Standard 2021:

Il Titolare concede autorizzazione scritta generale per i sub-responsabili elencati in precedenza. Il Responsabile fornirà almeno 30 giorni di preavviso per qualsiasi nuovo sub-responsabile; il Titolare può opporsi per motivi ragionevoli e, qualora l'opposizione non possa essere risolta, rescindere il servizio interessato senza penali.

Servizi solo per il sito web (nessun dato operativo del cliente)

Questi operano esclusivamente sul sito web pubblico. Non ricevono dati operativi dei clienti e non sono sub-responsabili del loro trattamento; quelli che impostano cookie vengono caricati solo previo consenso.

7. Misure di sicurezza (Art. 32)

• Cifratura in transito: TLS 1.2+ su ogni endpoint; certificati gestiti da Microsoft Azure (DigiCert)
• Cifratura a riposo: Transparent data encryption su Azure Postgres Flexible Server; cifratura Azure Blob Storage
• Immagini delle patenti di guida e firme: Le immagini delle patenti di guida e le firme sono cifrate a riposo con AES-256 da Azure Storage e Azure Database for PostgreSQL (chiavi gestite da Microsoft) e l'accesso è limitato in base al ruolo e all'organizzazione
• Hashing password: bcrypt, 12 round
• Autenticazione: Token di accesso JWT (scadenza 1 ora) e token di aggiornamento (scadenza 7 giorni, rinnovati a ogni utilizzo, mai validi oltre 30 giorni dalla data di accesso). Single sign-on (SAML 2.0, Google, Microsoft); MFA con password monouso temporizzata, obbligatoria per gli amministratori della piattaforma e disponibile per tutti gli utenti
• Isolamento tenant: applicato lato server tramite scoping per tenant e testato automaticamente prima di ogni rilascio: il gate di rilascio esegue una verifica cross-tenant chiamando l'API come un'organizzazione utilizzando gli ID record di un'altra organizzazione, e il rilascio viene bloccato se è possibile leggere o modificare i dati di quell'organizzazione
• Controllo degli accessi basato sui ruoli: permessi basati sui ruoli sulle rotte autenticate, con scoping per tenant applicato lato server
• Web Application Firewall: Azure Front Door WAF in modalità Prevenzione con regole personalizzate di limitazione del traffico sugli endpoint di autenticazione, registrazione, reimpostazione della password e richieste degli interessati, oltre alla protezione DDoS L7 a livello di piattaforma. Non è associato alcun set di regole OWASP gestito: ciò richiede il livello Front Door Premium.
• Rate limiting: limiti per route, più restrittivi sugli endpoint di autenticazione; tracciamento tentativi in memoria e persistito
• Audit trail: che rende rilevabile qualsiasi manomissione e solo in aggiunta (applicato nel database), voci rilevanti ai fini GMP contrassegnate separatamente e conservate per almeno 7 anni per tutta la durata del contratto di servizio (al termine del contratto vengono esportate al Titolare del trattamento, a meno che il Titolare del trattamento non rifiuti l'esportazione per iscritto o non sia raggiungibile dopo ragionevoli tentativi, e successivamente eliminate — Sezione 11), altre voci per 365 giorni, pseudonimizzate (non eliminate) su richiesta di cancellazione ai sensi dell'Art. 17 in virtù dell'Art. 17(3)(b)
• Monitoraggio continuo: Azure Application Insights; un test di disponibilità del sito ogni 10 minuti; un avviso di deriva dello schema (finestra di 15 minuti); un avviso quando si verificano più di 10 errori server (HTTP 5xx) in 5 minuti; e un worker di monitoraggio delle violazioni che controlla il registro di audit ogni 5 minuti per picchi di accessi falliti (10 o più per un account in un'ora), tentativi di accesso a un account da 5 o più indirizzi IP in 24 ore, e accessi riusciti da un indirizzo IP non rilevato per quell'utente negli ultimi 30 giorni
• Supply chain software: Ogni pull request deve superare npm audit (vulnerabilità delle dipendenze), Semgrep (analisi statica) e gitleaks (scansione dei segreti) prima di poter essere unita, con una scansione dell'immagine container Trivy come controllo consultivo; questi controlli vengono eseguiti anche a ogni push sul master e ogni notte, insieme a una scansione di base OWASP ZAP consultiva (test dinamici) del sito di produzione. Segreti: Azure Key Vault accessibile tramite identità gestita dell'App Service; nessun segreto nel codice, nei file di ambiente o nelle immagini container.

8. Notifica di Violazione dei Dati Personali

Il Responsabile notificherà al Titolare senza ingiustificato ritardo, e comunque entro 48 ore dalla conoscenza di una violazione dei dati personali che riguardi i dati del Titolare, e fornirà una comunicazione iniziale entro 24 ore da qualsiasi incidente di sicurezza confermato che riguardi i dati del Titolare. La notifica indicherà la natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, le probabili conseguenze, le misure adottate o proposte e il riferimento nel registro delle violazioni. Le anomalie rilevate vengono instradate verso il gruppo di azioni di Azure Monitor yardtwin-breach-actions; gli incidenti confermati sono tracciati nella tabella del registro delle violazioni con un conto alla rovescia DPC di 72 ore.

9. Diritti degli Interessati

Il Responsabile del Trattamento mette a disposizione del Titolare i seguenti endpoint per soddisfare i diritti degli interessati entro il termine di 30 giorni previsto dall'Art. 12(3):

• POST /api/v1/dsar/export/by-email — esportazione in formato leggibile da macchina che copre l'Art. 15 (accesso) e l'Art. 20 (portabilità)
• POST /api/v1/dsar/erase/by-email — cancellazione su richiesta verificata: gli account utente propri della persona negli account cliente selezionati vengono anonimizzati e le sue sessioni, token, notifiche, inviti in sospeso, registrazioni alla newsletter e di iscrizione e il suo avatar vengono eliminati; i record operativi detenuti dal Titolare (prenotazioni, registrazioni di varco e visite, elenco autisti, contatti) vengono elencati affinché il Titolare possa intervenire; l'audit trail conserva un riferimento anonimizzato all'autore per l'integrità GMP (art. 17, par. 3, lett. b)
• Portale self-service per le richieste disponibile su /data-request

10. Trasferimenti Internazionali

I dati operativi sono archiviati all'interno dello Spazio Economico Europeo (Microsoft Azure, Svezia centrale e Norvegia orientale). Le Clausole Contrattuali Standard (2021) si applicano a ogni trasferimento verso un sub-responsabile al di fuori del SEE; qualora il destinatario sia certificato ai sensi del EU-US Data Privacy Framework, anche tale certificazione viene utilizzata come base di trasferimento. Le valutazioni d'impatto sui trasferimenti sono in corso di completamento (obiettivo: novembre 2026).

11. Durata, Risoluzione e Restituzione dei Dati

Il presente DPA rimane in vigore per tutta la durata del contratto di servizio. Alla risoluzione:

• Il Titolare può esportare tutti i propri dati entro 30 giorni tramite le funzioni di esportazione integrate nel prodotto o su richiesta
• Trascorsi 30 giorni, il Responsabile del Trattamento eliminerà tutti i dati personali operativi del Titolare
• Per tutta la durata del contratto di servizio, i log di audit sono conservati in stato pseudonimizzato: le voci rilevanti ai fini GMP per almeno 7 anni dall'evento, al fine di soddisfare i requisiti normativi GMP in materia di conservazione dei documenti (21 CFR Part 11 / EU GMP Annex 11; deroga all'obbligo legale ai sensi dell'Art. 17(3)(b)), le altre voci di audit per 365 giorni. Al termine del contratto, prima che i dati del Titolare del trattamento vengano eliminati, al Titolare del trattamento viene fornito un export completo del proprio registro audit, corredato di ricevuta di verifica, da conservare per il proprio periodo di conservazione dei documenti, salvo che rifiuti l'export per iscritto o non sia raggiungibile dopo ragionevoli tentativi; il Responsabile del trattamento provvede quindi all'eliminazione del registro audit unitamente agli altri dati del Titolare del trattamento. Fatti salvi i backup descritti di seguito, che scadono secondo la propria pianificazione, e il record del trasferimento del Responsabile del trattamento (la ricevuta, gli hash e i conteggi dell'export e le informazioni su chi lo ha effettuato e ricevuto), il registro audit è conservato per un periodo più lungo solo se il Titolare del trattamento istruisce il Responsabile del trattamento per iscritto, nell'ambito di un accordo separato.
• I dati operativi vengono eliminati entro 30 giorni dalla cessazione del contratto. I backup point-in-time del database scadono entro 7 giorni. I backup mensili archiviati e crittografati vengono conservati per un massimo di 7 anni esclusivamente per il ripristino di emergenza; non vengono ripristinati se non per recuperare il servizio, i dati in essi contenuti sono fuori uso e scadono insieme al backup.
• Ogni notte viene eseguito un backup completo del database, conservato per 35 giorni in uno spazio di archiviazione crittografato separato nel SEE (Svezia Centrale, con replica geografica in Svezia Meridionale); i dati eliminati dal servizio attivo rimangono in tali backup, fuori uso, fino alla loro scadenza.

12. Diritti di Audit

Il Responsabile metterà a disposizione del Titolare tutte le informazioni necessarie a dimostrare la conformità all'art. 28 GDPR. I clienti possono richiedere: il registro aggiornato dei sub-responsabili, l'ultimo report sui test di regressione dell'isolamento del tenant, il riepilogo del penetration test esterno una volta effettuato (cfr. GDPR Policy 11.1) e le risposte a un questionario di sicurezza del fornitore. Audit ragionevoli in loco o da remoto possono essere concordati con almeno 30 giorni di preavviso, condotti dal Titolare o da una terza parte indipendente vincolata dalla riservatezza. Il Responsabile non dispone attualmente di certificazione ISO 27001 o SOC 2; una volta ottenuta la certificazione ISO 27001 (prevista per il T1 2027), il Responsabile offrirà il certificato come evidenza sostitutiva.

13. Responsabilità e Legge Applicabile

La responsabilità ai sensi del presente DPA è soggetta alle limitazioni stabilite nel YARDtwin Termini di Servizio. Il presente DPA è disciplinato dalle leggi irlandesi e dal Regolamento Generale sulla Protezione dei Dati dell'UE (GDPR). Qualsiasi controversia è soggetta alla giurisdizione esclusiva dei tribunali irlandesi.

14. Contatti

Per domande relative al presente DPA, per richiedere una copia di revisione (un'edizione controfirmata viene emessa una volta completata la registrazione aziendale) o per esercitare uno qualsiasi dei diritti sopra indicati, contattare admin@yardtwin.com o il contatto per la protezione dei dati all'indirizzo dpo@yardtwin.com. Si tratta di una casella di posta di funzione monitorata dalla persona responsabile della protezione dei dati presso YARDtwin Ltd. YARDtwin non ha designato un Responsabile della Protezione dei Dati ai sensi dell'articolo 37 GDPR, non essendo tale designazione obbligatoria per le sue attività di trattamento (GDPR Policy 11.2); l'indirizzo di contatto è pubblicato al posto del nome di un singolo individuo.