Informativa sulla privacy

1. Chi siamo

Baktam è un servizio software in cloud per officine di autoveicoli, gestito da Fatih Bilgiç («Baktam», «noi»). Per questioni di privacy puoi scriverci a [email protected].

2. Il nostro ruolo: titolare e responsabile del trattamento

Quando Baktam è titolare del trattamento

Decidiamo come e perché trattare i dati personali per le nostre finalità: account degli utenti, dati di abbonamento e fatturazione, richieste di assistenza, messaggi inviati con il modulo di contatto, visite al sito e sicurezza del servizio.

Quando Baktam è responsabile del trattamento

Ogni officina (nostro cliente, l'«attività») decide quali dati registrare sui propri clienti, veicoli e dipendenti. Per questi dati il titolare è l'attività, e Baktam li tratta per suo conto e solo per fornire il servizio (art. 28 GDPR). Se sei cliente di un'officina e vuoi esercitare i tuoi diritti, rivolgiti prima a quell'officina; noi la aiuteremo a risponderti. Accordo sul trattamento dei dati per i clienti aziendali: [da confermare].

3. Dati che trattiamo

• Dati dell'account: nome, numero di telefono, indirizzo email, lingua preferita e una password conservata solo come hash non reversibile.
• Dati dell'attività e di fatturazione: ragione sociale, indirizzo, paese, valuta, Partita IVA o numero IVA, piano e dati dei pagamenti.
• Dati che l'attività registra in Baktam: nomi, numeri di telefono, indirizzi email e dati fiscali dei clienti; veicoli (targa, numero di telaio/VIN, marca, modello, chilometraggio); ordini di lavoro, vendite, pagamenti, promemoria, note, foto e firme.
• Pagine pubbliche: quando un cliente usa una pagina di prenotazione riceviamo nome, telefono, targa e nota inseriti; quando risponde a un link di approvazione del preventivo registriamo la sua decisione, il nome e la firma.
• Dati tecnici: indirizzo IP, informazioni su browser o dispositivo e registri di accesso, usati per proteggere gli account, limitare gli abusi e risolvere gli errori. Le app salvano un token per le notifiche push se autorizzi le notifiche.

4. Finalità e basi giuridiche

Per i dati di cui siamo titolari ci basiamo, ai sensi del Regolamento (UE) 2016/679 (GDPR) e, per la Svizzera, della Legge federale sulla protezione dei dati (LPD), sulle seguenti basi giuridiche:

• Esecuzione di un contratto: creazione e gestione dell'account, fornitura del servizio e dell'assistenza, fatturazione.
• Obbligo di legge: conservazione di fatture e documenti contabili per i periodi previsti dalla legge.
• Legittimo interesse: sicurezza del servizio, prevenzione di frodi e abusi e correzione degli errori, nel rispetto dei tuoi diritti.
• Consenso: email promozionali ed eventuali strumenti di analisi facoltativi. Puoi revocare il consenso in qualsiasi momento.

Non usiamo i dati personali per decisioni automatizzate che producano effetti giuridici o effetti analogamente significativi.

5. Dove sono conservati i dati

Il servizio cloud di Baktam è ospitato nell'Unione europea, in data center in Germania. I backup giornalieri vengono conservati per un periodo limitato per consentire il ripristino. I clienti Enterprise possono invece installare Baktam sul proprio server; in quel caso i dati restano su quel server e l'attività è responsabile di hosting, backup e sicurezza.

Alcuni fornitori che l'attività sceglie di collegare (per esempio i provider di SMS o WhatsApp) possono trattare dati fuori dall'UE o dalla Svizzera. In caso di trasferimento verso paesi terzi ci basiamo su garanzie adeguate, come decisioni di adeguatezza o clausole contrattuali tipo [da confermare].

6. Fornitori di servizi (sub-responsabili)

Condividiamo i dati personali solo nella misura in cui ciascun fornitore ne ha bisogno per il suo compito:

• Hosting: fornitore di infrastruttura con data center in Germania.
• Invio email: un servizio di invio email per i messaggi dell'account, come il ripristino della password e i riepiloghi giornalieri.
• Messaggistica scelta dall'attività: SMS tramite Twilio, oppure WhatsApp Business (Cloud API) di Meta, con l'account e il contratto dell'attività stessa con quel fornitore. (Netgsm è disponibile solo per le attività in Turchia.)
• Notifiche push per le app: il servizio push di Expo, che consegna le notifiche tramite Apple e Google.
• Analisi del sito: Microsoft Clarity, solo sul sito pubblico e solo con il tuo consenso (vedi sezione 7).
• Monitoraggio degli errori: Sentry, solo se attivato. È configurato per non inviare dati personali predefiniti; numeri di telefono e indirizzi email sono mascherati, e cookie, intestazioni di autorizzazione e corpi delle richieste vengono rimossi.

L'elenco dei singoli fornitori è disponibile su richiesta. Possiamo comunicare dati quando lo impone la legge o un provvedimento valido di un'autorità o di un tribunale.

7. Cookie e tecnologie simili

Cookie tecnici necessari

Sono indispensabili per il funzionamento del servizio e non richiedono consenso: un cookie di sessione che ti mantiene connesso, un cookie che ricorda la lingua e baktam_consent, che conserva la tua scelta sui cookie per 6 mesi. Il pannello web salva inoltre alcune preferenze dell'interfaccia (come i preferiti) nella memoria locale del browser.

Cookie di analisi (solo con il tuo consenso)

Sul nostro sito pubblico (baktam.com, incluse le pagine in italiano sotto /it) usiamo Microsoft Clarity per capire come i visitatori usano il sito e migliorarlo. Clarity viene caricato solo dopo che hai scelto «Accetta i cookie di analisi» nel banner; finché non scegli, o se rifiuti, nessun dato viene inviato a Clarity. La base giuridica è il tuo consenso (art. 6, par. 1, lett. a GDPR e art. 122 del Codice in materia di protezione dei dati personali, D.Lgs. 196/2003, secondo le linee guida del Garante sui cookie; in Svizzera, la LPD).

• Cosa raccoglie: clic, scorrimento, movimenti del mouse, pagine visitate, durata della sessione, informazioni su dispositivo e browser e posizione approssimativa. Il testo che scrivi nei campi dei moduli è mascherato e non viene mai registrato.
• Cookie: _clck (1 anno) e _clsk (1 giorno), impostati da Clarity. Neghiamo l'archiviazione a fini pubblicitari; non usiamo questi dati per la pubblicità.
• Chi li tratta: Microsoft Corporation, come nostro fornitore; i dati possono essere conservati fuori dal tuo paese, anche negli Stati Uniti.
• Dove non viene mai usato: il pannello web di Baktam, le pagine di accesso, i link di approvazione, di ricevuta e di prenotazione che le officine inviano ai propri clienti e le pagine di stampa.

Puoi revocare il consenso in qualsiasi momento: apri «Impostazioni cookie» a piè di pagina e scegli «Rifiuta». Clarity viene fermato, i suoi cookie vengono cancellati e non viene più caricato nelle visite successive. La revoca non pregiudica la liceità del trattamento avvenuto prima.

Non usiamo cookie pubblicitari né di tracciamento tra siti diversi.

8. Per quanto tempo conserviamo i dati

• Dati dell'account e dell'attività: per tutta la durata dell'abbonamento.
• Dopo la disdetta: i dati restano disponibili per l'esportazione per 60 giorni e poi vengono cancellati, salvo richiesta di cancellazione anticipata da parte dell'attività [da confermare].
• Backup: sovrascritti a rotazione dopo un periodo limitato [periodo di conservazione da confermare].
• Fatture e documenti di fatturazione: per il periodo previsto dalla normativa fiscale e contabile.

I dati che un'attività registra sui propri clienti vengono conservati secondo le istruzioni dell'attività e cancellati quando l'attività li elimina o chiude l'account.

9. Come proteggiamo i dati

• Tutte le connessioni usano HTTPS cifrato (TLS).
• Password e chiavi API sono conservate solo come hash non reversibili.
• I link di approvazione dei preventivi e delle ricevute usano token casuali conservati solo come hash. Le pagine pubbliche (approvazioni, ricevute, prenotazioni e storico del veicolo condiviso) hanno limiti di richieste e mostrano i dati personali in forma mascherata.
• Le credenziali dei provider di SMS, WhatsApp e fattura elettronica sono cifrate nel database (AES-256-GCM) e non vengono mai più mostrate nell'interfaccia né restituite dall'API.
• I dati di ogni attività sono isolati da quelli delle altre, e i permessi basati sui ruoli limitano ciò che ogni utente vede: per esempio, i tecnici non vedono prezzi né costi.
• Le azioni importanti vengono registrate in un registro attività, e i dati vengono salvati con backup giornalieri.

Se una violazione dei dati personali riguarda i tuoi dati, informeremo senza ingiustificato ritardo l'attività interessata e, quando previsto, l'autorità competente.

10. I tuoi diritti

Ai sensi del GDPR hai diritto di accedere ai tuoi dati, rettificarli, chiederne la cancellazione, limitarne il trattamento o opporti, riceverli in un formato portabile e revocare il consenso. Diritti analoghi sono previsti in Svizzera dalla Legge federale sulla protezione dei dati (LPD).

Per esercitare i tuoi diritti scrivi a [email protected]. Ti risponderemo entro un mese, o entro il termine previsto dalla legge applicabile. Hai inoltre il diritto di proporre reclamo a un'autorità di controllo: in Italia il Garante per la protezione dei dati personali (garanteprivacy.it), in Svizzera l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), oppure l'autorità del paese UE in cui vivi o lavori.

11. Minori

Baktam è un servizio per aziende e non è rivolto ai minori.

12. Modifiche a questa informativa

Possiamo aggiornare questa informativa di tanto in tanto. Comunicheremo le modifiche importanti via email ai titolari degli account prima che entrino in vigore.

13. Contatti

Domande su questa informativa o sui tuoi dati: [email protected].