Informativa sul trattamento dei dati personali

ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR)

Questa pagina descrive quali dati personali passano da NexusLogistica, con quale base giuridica, per quanto tempo restano e a chi vengono comunicati. È scritta per essere letta da chi quei dati li ha: gli autisti e gli impiegati delle aziende che usano il gestionale.

1. Titolare e responsabile del trattamento

Il titolare è l'azienda di autotrasporto che ha stipulato il contratto di licenza: è lei a decidere quali dati inserire e perché. D&J Corporate s.r.l.s agisce come responsabile del trattamento (art. 28 GDPR) per conto del titolare, fornendo il software e facendolo funzionare.

Per i dati trattati nell'ambito della propria attività commerciale — gestione dell'account del cliente, fatturazione, assistenza — D&J Corporate agisce invece come titolare autonomo.

2. Categorie di dati trattati

3. Finalità e basi giuridiche

4. Periodi di conservazione

Alla cessazione del rapporto, a scelta del titolare, i dati vengono restituiti in formato leggibile da una macchina oppure cancellati.

5. Destinatari e sub-responsabili

I dati possono essere comunicati ai soggetti seguenti, nominati sub-responsabili ai sensi dell'art. 28 §2 GDPR:

Ricevono dati anche, ma in qualità di titolari autonomi:

• Le compagnie di navigazione — targhe e nominativi degli autisti, per la prenotazione dell'imbarco. È il minimo che la compagnia richiede per far salire il mezzo a bordo, e da quel momento li tratta secondo le proprie regole.
• Le autorità, quando la legge lo impone.

5-bis. Intelligenza artificiale (Reg. UE 2024/1689 — AI Act)

NexusLogistica contiene un solo componente di intelligenza artificiale, chiamato copilota. Ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 informiamo che:

• Le risposte del copilota sono generate da un modello linguistico, non scritte da una persona. L'avviso è mostrato a schermo sopra ogni risposta e non si può chiudere.
• Le risposte possono contenere errori. I numeri che fanno fede sono quelli delle schermate e degli avvisi, che nascono da regole scritte da persone e riportano il «Perché» con i dati da cui derivano.
• Nessuna decisione è automatizzata. Il copilota non assegna lavoro, non sceglie e non riordina le priorità: riformula avvisi già calcolati. Il calcolo del carico, dell'ordine di scarico e del percorso più breve è deterministico — non è intelligenza artificiale — e la decisione finale resta di una persona. Non ricorre pertanto l'art. 22 GDPR.
• I nomi delle persone non escono. Prima dell'invio vengono sostituiti da segnaposto («PERSONA_1») e ripristinati al ritorno; il motivo di un'assenza esce come «non disponibile», mai come «malattia» o «infortunio».
• Non svolgiamo riconoscimento delle emozioni, categorizzazione biometrica, identificazione delle persone né attribuzione di punteggi comportamentali.
• Il modello non impara dalle domande poste nel gestionale.

Il sistema è classificato a rischio limitato: non rientra fra le pratiche vietate (art. 5) né fra i sistemi ad alto rischio (Allegato III), in particolare non nel punto 4, che riguarda l'IA che assegna compiti ai lavoratori. Il dettaglio è nella pagina sull'intelligenza artificiale.

6. Diritti degli interessati

Chi è interessato dal trattamento ha diritto di ottenere:

• Accesso (art. 15) — conferma del trattamento e copia dei dati
• Rettifica (art. 16) — correzione di dati inesatti o incompleti
• Cancellazione (art. 17) — entro i limiti degli obblighi di conservazione della tabella al § 4
• Limitazione (art. 18) — sospensione del trattamento
• Portabilità (art. 20) — i propri dati in formato strutturato: il gestionale esporta l'intero patrimonio dell'azienda in JSON
• Opposizione (art. 21) — al trattamento fondato su legittimo interesse, compresa la geolocalizzazione
• Reclamo — al Garante per la protezione dei dati personali (garanteprivacy.it)

Come esercitare i diritti

Le richieste vanno indirizzate al titolare, cioè alla propria azienda: è lei a decidere quali dati inserire, ed è lei a poterli correggere o cancellare direttamente dal gestionale, senza passare da noi. Per questioni che riguardano l'infrastruttura tecnica si può scrivere a D&J Corporate all'indirizzo info@djcorporate.it. Il riscontro è dovuto entro 30 giorni dalla ricezione.

7. Trasferimenti internazionali

L'applicazione e la banca dati sono ospitate presso Railway Corp., Stati Uniti. Se l'azienda ha attivato il copilota, una parte dei dati raggiunge inoltre Anthropic PBC, Stati Uniti — con i nomi delle persone già sostituiti da segnaposto.

Lo strumento di trasferimento sono le clausole contrattuali standard adottate dalla Commissione europea (decisione 2021/914/UE), previste dagli accordi sul trattamento dei dati dei due fornitori. I due casi però non sono uguali, e la differenza conta:

• Anthropic incorpora il proprio accordo — e con esso i moduli 2 e 3 delle clausole — per riferimento nei termini commerciali: si applica automaticamente a chi usa il servizio.
• Railway no: il suo accordo contiene le stesse clausole ma diventa vincolante solo con la sottoscrizione di entrambe le parti, e non discende dalle sole condizioni d'uso.

Lo scriviamo perché è la differenza che decide se una garanzia esiste davvero o solo sulla carta di qualcun altro, e perché un'azienda cliente ha diritto di sapere quale delle due situazioni la riguarda.

Un'azienda cliente può richiedere la documentazione relativa a info@djcorporate.it. Il dettaglio dei ruoli è nella pagina sul trattamento dei dati.

8. Cookie e tracciamento

Il sito che stai leggendo non usa alcun cookie: non ha moduli, non ha contatori di visite, non carica nulla da servizi esterni.

Il gestionale usa due soli cookie, entrambi tecnici, che non richiedono consenso perché senza di essi il servizio non funziona — e per questo motivo non trovi alcun banner (Linee guida del Garante del 10 giugno 2021, § 6):

Nessun cookie di misurazione, di profilazione o di terze parti, e nessuna memoria locale del browser: il gestionale non usa localStorage né sessionStorage. Il dettaglio, comprese le mappe, sta nella pagina dedicata ai cookie.

9. Sicurezza dei dati

Le misure adottate sono elencate per esteso nell'accordo art. 28, e sono solo misure attive, verificabili nel codice — mai misure previste. In sintesi:

• comunicazioni cifrate HTTPS/TLS obbligatorie, con Strict-Transport-Security;
• password protette con Argon2id; la password in chiaro non è mai conservata;
• separazione fra aziende imposta dalla banca dati e non solo dal programma: sicurezza a livello di riga attivata e forzata, e chiavi esterne che includono l'identificativo della società, così che un collegamento incrociato fra due clienti sia impossibile e non soltanto scoraggiato;
• quattro ruoli distinti, con il controllo dei permessi su ogni singola rotta;
• tentativi di accesso rallentati progressivamente: dopo cinque falliti l'indirizzo resta bloccato un quarto d'ora;
• Content Security Policy che impedisce il caricamento di codice e caratteri da domini terzi;
• allegati e fotografie serviti solo a chi ha una sessione valida e il ruolo adeguato;
• copie di sicurezza con prova di ripristino: una copia non è considerata valida finché non è stata riletta;
• cancellazione automatica dei dati oltre i periodi dichiarati al § 4;
• ogni operazione dello staff D&J lascia una traccia, scritta nella stessa transazione dell'operazione.

10. Modifiche a questa informativa

Gli aggiornamenti sono pubblicati su questa pagina, con la versione e la data aggiornate nel riquadro in cima. In caso di modifiche sostanziali le aziende clienti vengono informate. Le versioni precedenti restano nella cronologia del software.