Informativa privacy

Titolare del trattamento

JANJOR CARS LTD, Flat 1, 61 Morpeth Street, Hull, HU3 1RF, Regno Unito — numero di registrazione 16568399 (Inghilterra e Galles) — telefono +44 7537 174486.

Contatto per la privacy

[email protected], per l’esercizio dei diritti e per qualsiasi domanda su questa informativa.

Responsabile della protezione dei dati

[email protected], per le richieste che riguardano la banca dati veicoli e per i reclami.

La nomina di un responsabile della protezione dei dati è raccomandata dalla ricerca di conformità e, con ogni probabilità, obbligatoria: l’attività principale di vincode consiste nel monitoraggio regolare e sistematico, su larga scala, di dati riferibili a identificatori di veicolo (art. 37, paragrafo 1, lettera b), del GDPR). Una volta nominato, i recapiti del DPO vanno comunicati al Garante attraverso il portale dedicato (art. 37, paragrafo 7).

È la domanda più discussa del settore, e la risposta onesta è: dipende da chi lo detiene.

La Corte di giustizia dell’Unione europea, nella causa C-319/22 (Gesamtverband Autoteile-Handel eV contro Scania CV AB, sentenza del 9 novembre 2023), ha adottato un approccio relativo: il numero di telaio non è di per sé un dato personale, ma lo diventa per chi disponga ragionevolmente di mezzi che consentano di associarlo a una persona determinata. Occorre tener conto di tutti i mezzi di cui il titolare o un terzo possa ragionevolmente avvalersi. La Corte precisa inoltre che non è necessario che tutte le informazioni che consentono di identificare la persona si trovino nelle mani di un unico soggetto: questo è il limite che pesa di più su di noi, perché «non deteniamo la corrispondenza con la targa» non è, da solo, una risposta.

In Italia il quadro è più stringente. La Corte di cassazione, con l’ordinanza n. 4648 del 21 febbraio 2024, ha affermato che la targa è un dato personale, perché consente di identificare l’intestatario e di profilarlo. Poiché il Pubblico Registro Automobilistico è interrogabile per targa, in Italia i mezzi di identificazione sono a disposizione di chiunque, in modo economico e lecito: il test dei «mezzi ragionevolmente utilizzabili» è soddisfatto quasi per costruzione.

L’EDPB, nelle Linee guida 01/2020 sui veicoli connessi (adottate il 9 marzo 2021), osserva a sua volta che dati tecnici come lo stile di guida, i chilometri percorsi e l’usura riguardano il conducente o il passeggero perché, incrociati con altri dati come il numero di telaio, possono essere ricondotti a una persona.

La conclusione operativa di vincode è: progettiamo assumendo che la risposta sia sì, e costruiamo il sistema in modo che nelle nostre mani diventi no. Queste sono le regole che ne discendono, e sono vincolanti per chi scrive il codice quanto per chi scrive i documenti.

Numero di telaio da solo

Chiave della banca dati eventi. Nessun nominativo, nessun indirizzo, nessun recapito è mai associato al record.

Targa

Trattata come dato personale in ogni caso: cifrata a riposo, conservazione breve, accessi registrati.

Corrispondenza targa → telaio

È il ponte che rende identificabile tutto il resto. Isolata dalla banca dati eventi, cifrata, cancellata dopo 90 giorni.

Telaio insieme a nome o indirizzo

Non acquisito, non conservato, non mostrato. Mai, da nessuna fonte, per nessuna finalità.

Fotografie da annunci storici

Targhe e volti oscurati in fase di acquisizione, prima che l’immagine entri nell’archivio.

Tenere separati i tre flussi è la scelta più utile di tutta questa informativa: hanno interessati diversi, finalità diverse e basi giuridiche diverse, e confonderli è il modo più rapido per sbagliare.

Non usiamo il consenso come base giuridica per il trattamento A. Sarebbe una scelta sbagliata: renderebbe revocabile in qualsiasi momento un trattamento necessario a eseguire il contratto che ci hai chiesto di eseguire, e ci obbligherebbe a interrompere la consegna di un Report già pagato.

Non usiamo il consenso nemmeno per il trattamento B, per una ragione diversa: non è possibile ottenere il consenso di un proprietario precedente che non possiamo contattare, e un consenso che non si può dimostrare è peggio di nessun consenso. Prima del lancio devono essere formalizzate per iscritto la valutazione del legittimo interesse (LIA) e la valutazione d’impatto sulla protezione dei dati (DPIA).

Dati di contatto e di account

Indirizzo email, password conservata in forma di hash, lingua e Paese, preferenze di comunicazione.

Dati d’ordine

Pacchetto acquistato, importo, valuta, aliquota IVA applicata e Paese di applicazione, identificativo della transazione, crediti acquistati e consumati.

Prova del consenso alla rinuncia al recesso

Il testo letterale che hai accettato, il numero di versione, la data e l’ora, la lingua, lo stato della casella prima dell’invio, l’etichetta del pulsante d’ordine, l’identificativo dell’email di conferma e il momento in cui il Report è stato sbloccato.

Prove della localizzazione ai fini IVA

Paese di fatturazione dichiarato, Paese dedotto lato server dall’indirizzo IP, Paese di emissione della carta, esito del confronto tra questi elementi.

Ricerche effettuate

I numeri di telaio e le targhe che hai cercato, con la data. Le targhe sono cifrate e cancellate secondo i tempi indicati al punto 7.

Dati di assistenza

Il contenuto dei messaggi che ci invii e la relativa corrispondenza.

Log tecnici

Indirizzo IP, data e ora, risorsa richiesta, esito della richiesta, user agent.

Non trattiamo categorie particolari di dati ai sensi dell’art. 9 del GDPR e non te ne chiediamo. Non riceviamo e non conserviamo i dati della tua carta di pagamento: li tratta Stripe, e noi vediamo soltanto l’esito, il Paese di emissione e le ultime quattro cifre.

Il conferimento dei dati di contatto e di ordine è necessario per concludere il contratto: senza di essi non possiamo consegnarti il Report né emettere i documenti fiscali. Tutto il resto è facoltativo.

I dati che ti riguardano come cliente li fornisci tu, con due eccezioni: i dati tecnici raccolti automaticamente dal server e le informazioni che riceviamo da Stripe in relazione al pagamento, cioè l’esito, il Paese di emissione della carta e le ultime quattro cifre.

I dati contenuti nella banca dati veicoli non provengono invece dagli interessati. Arrivano da registri di immatricolazione, archivi di revisione, amministratori di sinistri assicurativi, segnalazioni di furto, reti di officine e riparatori autorizzati, annunci di vendita storici e campagne di richiamo dei costruttori.

Per questo a quel trattamento si applica l’art. 14 del GDPR e non l’art. 13, e per questo l’informativa sui dati dei veicoli deve essere pubblica, indicizzabile dai motori di ricerca e raggiungibile senza account e senza che venga installato alcun cookie. Anche la fonte va dichiarata, compreso se si tratti di fonti accessibili al pubblico (art. 14, paragrafo 2, lettera f)).

Ogni categoria ha un termine dichiarato e una ragione. Un termine senza ragione non è una politica di conservazione, è una scadenza inventata.

Ci avvaliamo di fornitori che trattano dati per nostro conto. Sono nominati responsabili del trattamento ai sensi dell’art. 28 del GDPR e vincolati da un contratto scritto che ne definisce finalità, durata, misure di sicurezza e obblighi di cancellazione.

Non vendiamo, non cediamo e non affittiamo dati personali a terzi per finalità di marketing. Non facciamo arricchimento di profili e non acquistiamo elenchi.

Preferiamo fornitori stabiliti nell’Unione europea o nello Spazio economico europeo. Dove un fornitore statunitense sia inevitabile non ci appoggiamo alla sola decisione di adeguatezza: firmiamo comunque le clausole contrattuali tipo approvate dalla Commissione e svolgiamo una valutazione d’impatto sul trasferimento. Se quel fornitore è certificato nell’EU–US Data Privacy Framework, verifichiamo la certificazione attiva nel registro ufficiale prima di attivarlo e ne conserviamo la prova documentale, ma la trattiamo come una garanzia in più e non come la base del trasferimento.

Alle clausole contrattuali tipo affianchiamo, dove necessario, misure supplementari come la cifratura con chiavi trattenute nell’Unione. Il motivo di questa impostazione è pratico: una decisione di adeguatezza può essere annullata o sospesa con effetto immediato, e chi si era appoggiato soltanto a quella, quel giorno, resta senza una base giuridica per il trasferimento.

Il Report contiene un giudizio sintetico generato automaticamente a partire dagli eventi trovati. Quel punteggio riguarda un veicolo, non una persona: non produce effetti giuridici nei tuoi confronti e non incide in modo analogamente significativo sulla tua persona. Non decide se puoi acquistare, non ti assegna un merito creditizio, non condiziona l’accesso a un servizio.

La valutazione d’impatto sulla protezione dei dati resta comunque obbligatoria, ma non per via del punteggio. Il Garante, con il provvedimento n. 467 dell’11 ottobre 2018 (doc. web 9058979), elenca i trattamenti che la richiedono, e il nostro vi rientra anzitutto perché opera «mediante interconnessione, combinazione o raffronto di informazioni»: la banca dati eventi e la corrispondenza targa → telaio sono esattamente questo, e quella voce non pone alcuna soglia dimensionale. La DPIA deve essere completata prima dell’inizio del trattamento; se il rischio residuo restasse elevato, si rende necessaria la consultazione preventiva del Garante ai sensi dell’art. 36 del GDPR.

In ogni caso puoi chiederci di rivedere manualmente un giudizio che ritieni errato, e la revisione è gratuita. È lo stesso canale delle segnalazioni di errore sul Report.

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15–22 del GDPR.

Come esercitarli: scrivi a [email protected] indicando quale diritto vuoi esercitare. Rispondiamo senza ingiustificato ritardo e comunque entro un mese; il termine può essere prorogato di due mesi in casi complessi, e in tal caso te lo comunichiamo entro il primo mese (art. 12, paragrafo 3). L’esercizio dei diritti è gratuito (art. 12, paragrafo 5) e non abbiamo intenzione di applicare il contributo spese previsto per le richieste manifestamente infondate o eccessive.

Se sei un cliente ti identifichiamo tramite l’account e non ti chiediamo altro: ricevi i dati dell’account, degli ordini e degli accessi al Report. Se invece la richiesta riguarda un veicolo — «ditemi tutto quello che avete sul telaio X» — ti chiediamo un documento d’identità e una prova del tuo collegamento con quel veicolo: certificato di proprietà digitale, carta di circolazione o visura al PRA intestata a te.

Se ci chiedi di cancellare i tuoi dati cancelliamo l’account e tutto ciò che non siamo tenuti a conservare. Non possiamo però cancellare le registrazioni contabili, le fatture e le ricevute relative agli acquisti che hai fatto: l’art. 2220 del Codice civile impone di conservare le scritture contabili e la relativa corrispondenza per dieci anni, e l’art. 17, paragrafo 3, lettera b), del GDPR esclude il diritto alla cancellazione quando il trattamento è necessario per adempiere un obbligo legale.

Per la stessa ragione conserviamo per dieci anni le prove della localizzazione utilizzate per determinare l’IVA. Conserviamo altrettanto a lungo la prova del consenso all’esecuzione immediata e alla rinuncia al recesso, dove il fondamento è anche l’art. 17, paragrafo 3, lettera e): l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Preferiamo dirlo apertamente invece di prometterti una cancellazione integrale che poi non avviene. Quello che accade in concreto è questo: i dati che dobbiamo conservare vengono isolati, non sono più utilizzati per alcuna finalità operativa, non entrano in nessuna comunicazione commerciale, sono accessibili soltanto a chi ha un motivo amministrativo per consultarli, e vengono cancellati alla scadenza del termine.

Una logica analoga, con motivazioni diverse, vale per le richieste di cancellazione che riguardano la banca dati veicoli. La richiesta di cancellare la registrazione di una manomissione del contachilometri è esattamente il caso in cui va valutato se sussistano motivi legittimi cogenti prevalenti sugli interessi dell’interessato (artt. 17, paragrafo 1, lettera c), e 21, paragrafo 1, del GDPR): la prevenzione delle frodi e la sicurezza stradale di chi comprerà quel veicolo. Valutiamo caso per caso, mettiamo per iscritto la decisione e ne conserviamo il registro. Né un «cancelliamo sempre» né un «non cancelliamo mai» sarebbero risposte accettabili.

Quando eseguiamo una rettifica o una cancellazione ne informiamo i destinatari a cui i dati erano stati comunicati, come prevede l’art. 19 del GDPR, salvo che ciò si riveli impossibile o comporti uno sforzo sproporzionato.

Le misure tecniche e organizzative sono commisurate al rischio, come richiede l’art. 32 del GDPR. In sintesi:

• TLS 1.3 per tutto il traffico in transito;
• cifratura a riposo per i dati personali dei clienti e per la tabella di corrispondenza targa → telaio;
• separazione dei ruoli fra l’archivio degli eventi e la tabella ponte, che non risiedono nello stesso ambiente logico;
• registrazione di ogni lettura della tabella ponte, con revisione periodica degli accessi;
• password conservate esclusivamente in forma di hash, mai in chiaro;
• principio del privilegio minimo per gli accessi interni, con revisione periodica.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati notifichiamo al Garante entro 72 ore dal momento in cui ne veniamo a conoscenza (art. 33) e informiamo gli interessati senza ingiustificato ritardo quando il rischio è elevato (art. 34). La procedura di risposta va scritta prima dell’incidente, non durante.

L’autorità di controllo competente per l’Italia è il Garante per la protezione dei dati personali (garanteprivacy.it). Puoi proporre reclamo ai sensi dell’art. 77 del GDPR e delle disposizioni corrispondenti del Codice Privacy (D.Lgs. 30 giugno 2003, n. 196), oppure rivolgerti all’autorità di controllo dello Stato membro in cui risiedi abitualmente o lavori.

Puoi anche adire direttamente l’autorità giudiziaria (art. 79 del GDPR). Il ricorso al Garante e quello al giudice sono alternativi: proposto l’uno, non è più possibile proporre l’altro sulla stessa questione.

Ti chiediamo, se possibile, di scriverci prima: la maggior parte delle richieste si risolve in pochi giorni, e un reclamo ben motivato ci è comunque utile.

Ogni versione di questa informativa è numerata, datata e archiviata: dobbiamo poter dimostrare quale testo era pubblicato in una certa data, ed è un obbligo di responsabilizzazione oltre che una buona pratica.

Se apportiamo modifiche sostanziali te le comunichiamo, quando disponiamo di un recapito idoneo, prima che abbiano effetto. Le modifiche di natura redazionale vengono pubblicate con un nuovo numero di versione e una nuova data.