Questa informativa spiega quali dati personali tratta Torqua come titolare del trattamento, per quale scopo, su quale base e per quanto tempo. I dati che un’officina conserva sui SUOI clienti (schede, veicoli, appuntamenti, fatture…) li tratta Torqua per conto di quell’officina: il titolare è l’officina, e sono regolati dall’Accordo sul trattamento dei dati. Se sei cliente di un’officina e vuoi esercitare i tuoi diritti su quei dati, rivolgiti all’officina; se scrivi a noi, gli inoltreremo la richiesta.
1. Titolare del trattamento
- Titolare: Roberto Joao Tiron Tiron — NIF 43945647F
- Sede: Calle Luis Alberdi 11 8E, 09007, Burgos, Espana
- Email per la privacy: info@torqua.app
- Responsabile della protezione dei dati: non c’è. Per Torqua non è obbligatorio: non è nessuno degli enti elencati all’articolo 34 della legge organica spagnola 3/2018, né tratta su larga scala categorie particolari di dati (art. 37 GDPR). Qualsiasi domanda va all’email per la privacy.
2. Quali dati trattiamo, per cosa e su quale base
| Chi | Quali dati | Per cosa | Base giuridica (GDPR art. 6) |
|---|---|---|---|
| Chi lavora in un’officina (titolare, accettazione, meccanici) | Nome, email, password (cifrata, mai in chiaro), foto se la carica, lingua, ruolo, secondo fattore se lo attiva | Dargli accesso al pannello e alle funzioni del suo ruolo | Esecuzione del contratto con l’officina (6.1.b) e suo legittimo interesse a che la sua squadra possa lavorare (6.1.f) |
| L’officina come cliente di Torqua | Ragione sociale, NIF, indirizzo, email e dati del piano | Incassare l’abbonamento ed emettere le fatture | Contratto (6.1.b) e obbligo legale (6.1.c) |
| L’officina come cliente di Torqua | Carta o altro metodo di pagamento | Incassare | Contratto (6.1.b). I dati della carta li riceve direttamente Stripe; Torqua non li vede né li conserva, solo il circuito, le ultime quattro cifre e la scadenza |
| Chi ha un account nel portale (My Torqua) | Email, nome, password (cifrata) o account Google/Microsoft, foto del profilo se la carica, lingua | Permettergli di accedere e vedere il suo storico con ogni officina di cui è cliente | Contratto (6.1.b): le condizioni accettate alla creazione dell’account |
| Chiunque usi il servizio | Indirizzo IP, browser, data e ora degli accessi e delle azioni di cancellazione e di assistenza | Sicurezza: rilevare accessi indebiti, avvisare dei nuovi accessi, frenare gli abusi e ricostruire cosa è successo in caso di incidente | Legittimo interesse alla sicurezza del servizio (6.1.f; considerando 49) |
| Chi scrive a Torqua | Ciò che ci racconta e la sua email | Rispondere | Legittimo interesse (6.1.f) o, se è già cliente, il contratto |
| Chi usa l’Assistente IA nel pannello | Ciò che gli chiede e ciò che risponde | Permettere alla persona di riconsultarlo e all’amministratore dell’officina di vedere cosa è stato fatto con esso | Contratto con l’officina (6.1.b) e legittimo interesse a poter verificare ciò che ha fatto uno strumento automatico (6.1.f) |
| Chi risponde STOP a un WhatsApp di Torqua | Il suo numero di cellulare e quando l’ha chiesto | Non mandargli più avvisi di nessuna officina, perché il numero mittente è lo stesso per tutte | Obbligo di rispettare la sua opposizione (6.1.c, art. 21) |
| Chi accetta queste condizioni o quelle del portale | Quale versione ha accettato, quando e da quale indirizzo IP | Poter dimostrare cosa è stato accettato in caso di disaccordo | Obbligo di dimostrarlo (6.1.c, art. 7.1) e legittimo interesse a difendersi (6.1.f) |
Non facciamo profilazione commerciale, non vendiamo dati e non c’è pubblicità nel prodotto. Non ci sono strumenti di analisi di terze parti né nel sito né nel pannello.
Nessuna decisione con effetti giuridici viene presa in modo automatizzato (art. 22 GDPR). L’Assistente IA del pannello si limita a proporre, e una persona dell’officina conferma. Se un’officina attiva la risposta automatica di WhatsApp, quelle risposte sono identificate come scritte da un’IA (art. 50 del Regolamento europeo sull’intelligenza artificiale) e non decidono nulla su di te: per qualsiasi cosa importante, l’officina ti risponde di persona.
3. L’account del portale e le officine
L’account del portale è uno solo per tutte le officine, ma ogni officina vede solo ciò che il suo cliente ha con lei. Creare l’account non dà a nessuna officina accesso ai tuoi dati: il collegamento con un’officina si crea solo quando c’è un rapporto reale (chiedi un appuntamento, oppure l’officina ti aveva già come cliente con la stessa email). Lo storico con un’officina non si mescola mai con quello di un’altra.
I tuoi avvisi, officina per officina. Dalla pagina di ogni officina nel tuo portale puoi dare o togliere il permesso di avvisarti via WhatsApp e smettere di ricevere i promemoria della revisione (ITV) e del tagliando. Ogni promemoria contiene inoltre un link per disiscriverti senza accedere. Gli avvisi sui tuoi appuntamenti, preventivi e fatture non si possono disattivare finché hai qualcosa in corso con quell’officina: fanno parte del servizio che le hai chiesto.
Se rispondi STOP a un WhatsApp di Torqua, smetterai di riceverli da tutte le officine, perché il numero è lo stesso. Per riceverli di nuovo, rispondi nella stessa chat.
4. Per quanto tempo
| Cosa | Per quanto |
|---|---|
| Account del pannello e del portale | Finché sono attivi. Quando vengono eliminati, si cancellano |
| Dati di un’officina che si disiscrive o viene eliminata | 30 giorni di tolleranza per ripensarci; poi si cancellano |
| Copie di sicurezza | 30 giorni; sono cifrate |
| Registri di accesso, accessi dell’assistenza e audit | 24 mesi |
| Registri tecnici | 12 mesi |
| Avvisi e notifiche già inviati | 90 giorni |
| Conversazioni con l’Assistente IA | 90 giorni |
| Numeri che hanno chiesto STOP su WhatsApp | Finché non chiedono di riceverli di nuovo |
| Link monouso scaduti (recupero password, inviti, approvazioni) | 30 giorni dopo la scadenza |
| Fatture che Torqua emette all’officina | 6 anni (Codice di commercio spagnolo, art. 30), bloccate: si usano solo se le chiede l’officina o un’autorità |
| Registro di quali condizioni sono state accettate | Per tutta la durata del rapporto e 6 anni in più, che è il tempo in cui si può presentare un reclamo |
5. Con chi vengono condivisi
Solo con i fornitori necessari per prestare il servizio. Quasi tutti trattano i dati per conto di Torqua, con il loro contratto di trattamento. Stripe, Google e Microsoft sono titolari autonomi per la loro parte: Stripe, dell’incasso e della prevenzione delle frodi; Google e Microsoft, dell’accesso con il loro account, se lo scegli.
| Fornitore | Per cosa | Dove |
|---|---|---|
| Supabase | Database, accesso e archiviazione delle foto | UE (Germania) |
| Render | Server dell’applicazione | UE (Francoforte) |
| Cloudflare | Hosting dei siti, rete di distribuzione, verifica anti-robot (Turnstile) e copie di backup cifrate | Rete globale; i backup, nell’UE |
| Stripe | Incasso dell’abbonamento e delle ricariche del saldo | UE (Irlanda) / USA |
| Resend | Invio delle email | USA |
| GitHub | Copie di sicurezza cifrate | USA |
| Sentry (Functional Software) | Registro degli errori dell’applicazione, per correggerli. Riceve l’errore senza i dati della persona: e-mail, targhe, telefoni, documenti e indirizzi IP vengono oscurati prima dell’invio | UE (Germania) |
| Anthropic | Assistente IA del pannello, bozze di risposta ai WhatsApp dei clienti e traduzione del sito dell’officina, solo se l’officina li ha attivi. Non si addestra con questi dati e li cancella entro 30 giorni | USA |
| Meta Platforms (WhatsApp) | Avvisi via WhatsApp a chi ha dato il permesso, e i messaggi che quella persona scrive a quel numero. Agisce come responsabile del trattamento, conserva i messaggi al massimo 30 giorni e non li usa per la pubblicità | UE / USA |
| APIVehículo | Scheda tecnica del veicolo a partire dalla targa; riceve solo la targa, senza nome né altri dati della persona | Spagna |
| NHTSA (vPIC, amministrazione statunitense) | Decodificare un numero di telaio (VIN) di fuori Spagna e Portogallo; è un servizio pubblico e aperto che riceve solo il VIN, senza altri dati | USA |
| Google, Microsoft | Accesso con il loro account, solo se la persona lo sceglie | USA |
Quando un fornitore tratta dati fuori dallo Spazio economico europeo, il trasferimento ha la sua garanzia:
- Quadro UE-USA per la protezione dei dati (Decisione (UE) 2023/1795): Cloudflare, Resend, GitHub, Stripe, Google e Microsoft.
- Clausole contrattuali tipo della Commissione (Decisione (UE) 2021/914): Supabase, Render, Anthropic e Sentry.
- L’addendum di Meta sui trasferimenti dalla Regione europea, per WhatsApp.
Il database e il server dell’applicazione si trovano nell’Unione europea.
Inoltre, quando la legge lo richiede: all’Agenzia tributaria spagnola (le fatture dell’officina le vengono inviate con VERI*FACTU perché è un obbligo dell’officina, non di Torqua), ai giudici e alle autorità.
6. I tuoi diritti
Puoi chiedere accesso, rettifica, cancellazione, opposizione, limitazione del trattamento e portabilità scrivendo a info@torqua.app. Risponderemo entro il termine di un mese previsto dal GDPR, prorogabile di altri due se la richiesta è complessa, avvisandoti. Se non sei soddisfatto, puoi presentare reclamo all’autorità del tuo paese: in Spagna, l’Agencia Española de Protección de Datos (www.aepd.es); in Portogallo, la Comissão Nacional de Proteção de Dados (www.cnpd.pt).
Una parte si può fare dal prodotto stesso: modificare i tuoi dati e la tua foto, cancellare il tuo account del portale dal portale stesso, o scaricare i clienti e il magazzino dell’officina. Se lavori in un’officina e vuoi cancellare il tuo account del pannello, chiedilo al suo amministratore o scrivici.
Cosa si può cancellare e cosa no
Quasi tutto si cancella davvero. Cosa no, e perché:
- Le fatture e le loro registrazioni fiscali: la legge obbliga a conservarle (sei anni in Spagna, dieci in Portogallo). Restano bloccate e il diritto alla cancellazione non si applica a esse (art. 17.3.b GDPR).
- Ciò che è già uscito da Torqua: un’email o un WhatsApp che hai già ricevuto, o una registrazione che è già presso l’Agenzia tributaria spagnola.
- Ciò che Stripe conserva di un pagamento: è titolare autonomo e ha i suoi obblighi.
- Il tuo numero, se hai chiesto la disiscrizione (BAJA) da WhatsApp: è l’unica cosa che impedisce di scriverti di nuovo. Si cancella se chiedi la riattivazione (ALTA).
- Le copie di sicurezza: non si modificano una per una; ciò che è stato cancellato scompare da esse alla scadenza, entro 30 giorni.
7. Sicurezza
I dati viaggiano cifrati (TLS) e sono conservati cifrati a riposo. Ogni officina è isolata dalle altre nel database stesso, non solo nell’applicazione. Le password non sono conservate in chiaro, l’accesso di amministrazione ammette un secondo fattore e l’accesso del team di assistenza a un’officina viene registrato.
8. Modifiche
Se questa informativa cambia in qualcosa che ti riguarda, te lo diremo prima via email o nel prodotto.