Trattamento dei dati per conto del cliente
Art. 28 GDPR · aggiornata al 5 settembre 2026
Quando un'azienda di trasporto usa NexusLogistica, dentro il gestionale finiscono i dati dei suoi dipendenti e dei suoi clienti. Questa pagina dice chi decide su quei dati, chi li tocca soltanto, e dove si trovano fisicamente.
1. Chi fa cosa
| Chi | Ruolo | Cosa vuol dire |
|---|---|---|
| L'azienda di trasporto | Titolare | Decide quali dati inserire e perché. È l'interlocutore di chi vuole esercitare i propri diritti. |
| D&J Corporate | Responsabile (art. 28) | Fornisce il software e lo fa funzionare. Tratta i dati solo su istruzione del titolare e non li usa per conto proprio. |
| I fornitori qui sotto | Sub-responsabili | Toccano i dati per farci funzionare il servizio, con gli stessi obblighi. |
Se sei un dipendente e vuoi sapere quali tuoi dati ci sono, correggerli o cancellarli, il tuo interlocutore è la tua azienda, non noi. Se scrivi a noi non rispondiamo nel merito: giriamo la richiesta a chi ha il titolo per rispondere, senza ritardo.
2. I sub-responsabili
| Fornitore | Cosa fa | Dove | Quali dati riceve |
|---|---|---|---|
| Railway Corp. | Ospita l'applicazione e la banca dati | Stati Uniti | Tutti quelli presenti nel gestionale |
| Anthropic PBC | Il modello del copilota — solo se l'azienda l'ha attivato | Stati Uniti | Solo il testo della domanda e l'estratto necessario, con i nomi delle persone sostituiti da segnaposto e i motivi di assenza sostituiti da «non disponibile». Vedi la pagina sull'intelligenza artificiale. |
| Fornitore di posta elettronica | Invio di prenotazioni e comunicazioni | Da indicare | Nessuno. Alla data di questa pagina l'invio di posta non è configurato: il gestionale non spedisce alcuna e-mail e nessun fornitore di posta riceve niente. |
3. Chi NON è un sub-responsabile
- Il fornitore delle mappe. Le tessere passano dal nostro server: il browser di chi usa il gestionale non contatta mai OpenStreetMap, che quindi non riceve né indirizzi IP né posizioni.
- Le compagnie di navigazione. Ricevono targhe e nominativi per l'imbarco, ma li trattano per conto proprio e secondo le proprie regole: sono titolari autonomi, non nostri fornitori.
4. Trasferimenti fuori dall'Unione europea
I due fornitori della tabella hanno sede negli Stati Uniti: ospitare l'applicazione su Railway significa che i dati stanno lì, e accendere il copilota significa che una parte di essi ci arriva.
Lo strumento di trasferimento sono le clausole contrattuali standard della Commissione europea (decisione 2021/914/UE), previste dagli accordi sul trattamento dei dati dei due fornitori. I due casi però non funzionano allo stesso modo:
| Fornitore | Come si applicano le clausole |
|---|---|
| Anthropic PBC | Il suo accordo — e con esso i moduli 2 e 3 delle clausole — è incorporato per riferimento nei termini commerciali: si applica automaticamente a chi usa il servizio. Testo dell'accordo |
| Railway Corp. | Il suo accordo contiene le stesse clausole ma diventa vincolante solo con la sottoscrizione di entrambe le parti: non discende dalle sole condizioni d'uso. Testo dell'accordo |
Perché lo scriviamo invece di cavarcela con «SCC». La differenza fra le due righe decide se una garanzia esiste davvero o solo sulla carta di qualcun altro. Railway ospita tutta la banca dati, e scrivere che le clausole sono in vigore senza aver verificato la sottoscrizione sarebbe una dichiarazione che il contratto non sostiene.
Un'azienda cliente può chiedere lo stato aggiornato e la documentazione a info@djcorporate.it.
5. Cosa prevede l'accordo
- trattiamo i dati solo su istruzione documentata del titolare;
- chi vi accede da parte nostra è vincolato alla riservatezza, e sono i soli a cui serve per far funzionare il servizio;
- ti avvisiamo con 30 giorni di preavviso prima di aggiungere o cambiare un sub-responsabile, e puoi opporti;
- in caso di violazione dei dati avvisiamo il titolare entro 24 ore da quando ne veniamo a conoscenza;
- alla fine del rapporto restituiamo i dati in un formato leggibile da una macchina, oppure li cancelliamo: la scelta è del titolare;
- una verifica all'anno, con preavviso, è un tuo diritto.
6. Le misure di sicurezza
L'elenco completo è allegato all'accordo, e contiene solo misure attive, verificabili nel codice — mai misure previste. In sintesi: password protette con Argon2id; separazione fra aziende imposta dalla banca dati e non solo dal programma, così che un collegamento incrociato fra due clienti sia impossibile e non soltanto scoraggiato; HTTPS obbligatorio; copie di sicurezza con prova di ripristino — una copia non vale finché non è stata riletta; cancellazione automatica delle posizioni satellitari dopo 90 giorni.
Sei un'azienda cliente e non hai ancora firmato l'accordo? Scrivici a info@djcorporate.it: te lo mandiamo. Senza quel documento il trattamento è irregolare per entrambe le parti, anche quando il software è fatto bene — ed è un adempimento che conviene chiudere, non rimandare.
Il dettaglio di quali dati ci sono e per quanto restano è nell'informativa.