Informativa sulla privacy

1. Titolare del trattamento

Titolare del trattamento dei dati su carfalke.de, nell’app CarFalke e nell’utilizzo della ricerca di mercato CarFalke ai sensi del Regolamento generale sulla protezione dei dati (UE) 2016/679 («GDPR») è:

CarFalke GmbH, Mies-van-der-Rohe-Straße 8, 80807 München, Deutschland, e-mail: info@carfalke.de

Per qualsiasi domanda in materia di protezione dei dati e per l’esercizio dei Suoi diritti può contattarci all’indirizzo datenschutz@carfalke.de.

2. Responsabile della protezione dei dati

Ai sensi dell’art. 37 GDPR e del § 38 BDSG (legge federale tedesca sulla protezione dei dati) non siamo attualmente tenuti a designare un responsabile della protezione dei dati. Le Sue richieste in materia di protezione dei dati sono gestite dal nostro team privacy all’indirizzo datenschutz@carfalke.de.

3. Panoramica: di chi trattiamo i dati

CarFalke è una ricerca di mercato per concessionari professionali di autoveicoli: leggiamo gli annunci di veicoli pubblicamente accessibili su portali di terzi (mobile.de, AutoScout24, Kleinanzeigen), li elaboriamo e avvisiamo i nostri clienti dei nuovi risultati. In tale ambito trattiamo dati personali di tre gruppi di persone:

• visitatrici e visitatori del nostro sito web (sezioni 4, 13–15),
• referenti e collaboratori dei nostri clienti – dalla richiesta di accesso all’account utente fino alla fattura (sezioni 5–12),
• venditrici e venditori che pubblicano annunci di veicoli sui portali, i cui dati riprendiamo dall’annuncio pubblico (sezione 7).

Trattiamo dati personali solo nella misura necessaria per il funzionamento del servizio, l’esecuzione dei nostri contratti, la sicurezza della piattaforma o l’adempimento di obblighi di legge, oppure se Lei ha prestato il Suo consenso. Non vendiamo dati personali, non utilizziamo tracker pubblicitari di terzi e non creiamo profili pubblicitari.

4. Hosting, log del server e backup

Il sito web, il database, i documenti caricati e i servizi in background (crawler, notifiche) sono gestiti su server di Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, in data center situati in Germania. Le copie di backup cifrate sono conservate presso Hetzner in Germania e vengono sovrascritte al più tardi dopo sei mesi. Hetzner tratta i dati esclusivamente per nostro conto sulla base di un contratto di trattamento dei dati per conto del titolare (art. 28 GDPR).

Quando si accede al sito web o all’interfaccia dell’app, trattiamo automaticamente i dati tecnicamente necessari, in particolare:

• indirizzo IP
• data e ora della richiesta
• pagina o file richiesto e codice di stato HTTP
• tipo di browser, sistema operativo e URL di provenienza (referrer), se trasmessi

Trattiamo tali dati per fornire il servizio, garantirne la stabilità e la sicurezza, respingere attacchi e limitare gli abusi (ad es. richieste massive automatizzate). La base giuridica è l’art. 6, par. 1, lett. f) GDPR; il nostro legittimo interesse consiste nel funzionamento sicuro e privo di errori. I log del server vengono cancellati al più tardi dopo 30 giorni, salvo che, nel singolo caso, siano necessari più a lungo per chiarire un incidente di sicurezza.

5. Richiesta di accesso e verifica del concessionario

CarFalke è aperta solo ai concessionari professionali di autoveicoli. Con la richiesta di accesso trattiamo i dati relativi alla Sua azienda (ragione sociale, forma giuridica, indirizzo, partita IVA, indirizzo e-mail e numero di telefono aziendali, facoltativamente sito web e dati del registro delle imprese) e alla persona richiedente (nome e cognome, indirizzo e-mail, password sotto forma di hash crittografico, facoltativamente la funzione ricoperta in azienda), nonché la Sua dichiarazione di commerciare veicoli a titolo professionale.

Prima dell’attivazione verifichiamo che si tratti di un concessionario professionale, in particolare mediante il registro delle imprese, il sistema UE VIES per la verifica della partita IVA e il Suo sito web. Se necessario possiamo richiedere documenti giustificativi (ad es. iscrizione dell’attività commerciale o visura del registro delle imprese). I documenti caricati sono conservati in forma cifrata e non pubblica e sono consultati solo dal nostro team. La decisione sull’attivazione è presa da una persona.

Le basi giuridiche sono l’art. 6, par. 1, lett. b) GDPR (avvio ed esecuzione del contratto) e l’art. 6, par. 1, lett. f) GDPR (protezione del servizio dagli abusi, in particolare dei dati di contatto dei venditori). Conserviamo i dati di un’azienda attivata per la durata del contratto; cancelliamo i documenti giustificativi al più tardi tre anni dopo la fine del contratto e conserviamo la documentazione di fatturazione per dieci anni ai sensi del § 147 AO (codice tributario tedesco) e del § 257 HGB (codice commerciale tedesco). Cancelliamo i dati delle richieste respinte o non completate non appena non sono più necessari, al più tardi alla scadenza del termine di prescrizione ordinario di tre anni.

6. Account utente e team

Per l’utilizzo è necessario un account utente. A tal fine trattiamo il Suo nome, il Suo indirizzo e-mail, la Sua password (esclusivamente sotto forma di hash crittografico) o la Sua passkey, facoltativamente il numero di telefono, la Sua lingua, le Sue impostazioni di notifica e la data e l’ora dei Suoi accessi.

Se accede tramite Google o Apple, riceviamo dal rispettivo fornitore il Suo nome, il Suo indirizzo e-mail e un identificativo; non veniamo a conoscenza della password che utilizza presso tale fornitore. Al trattamento dei dati da parte del fornitore si applicano le sue disposizioni in materia di protezione dei dati.

Team: un concessionario può invitare collaboratori o creare per loro un account. A tal fine trattiamo nome, indirizzo e-mail e ruolo della persona invitata, come indicati dal concessionario, e le inviamo un’e-mail di invito o di accesso. All’interno di un team, nome e ruolo dei membri e le loro attività nella ricerca di mercato (sezione 8) sono visibili agli altri membri; il concessionario gestisce autonomamente il proprio team.

La base giuridica è l’art. 6, par. 1, lett. b) GDPR (contratto di utilizzo) e, per gli account invitati dal Suo datore di lavoro, l’art. 6, par. 1, lett. f) GDPR (esecuzione del contratto con la Sua azienda). Conserviamo i dati dell’account fino alla sua eliminazione – da parte Sua in Impostazioni, da parte del Suo concessionario nel team o con la fine del contratto. In Impostazioni può inoltre scaricare una copia dei Suoi dati.

7. La ricerca di mercato: annunci da portali di terzi

Il cuore del servizio sono gli annunci di veicoli che i venditori hanno pubblicato su mobile.de, AutoScout24 o Kleinanzeigen e che sono accessibili al pubblico. Il nostro crawler consulta regolarmente queste pagine pubblicamente accessibili – senza effettuare l’accesso ai portali – e memorizza dall’annuncio: i dati del veicolo (ad es. marca, modello, prima immatricolazione, chilometraggio, prezzo, equipaggiamento, condizioni), le foto, l’ubicazione (località e CAP), il link all’annuncio originale e l’andamento del prezzo. Riguardo al venditore memorizziamo le informazioni mostrate dall’annuncio stesso: se si tratta di un concessionario o di un privato, il nome visualizzato (per i privati di norma solo il nome di battesimo), la valutazione del venditore sul portale e – se pubblicato nell’annuncio – il numero di telefono.

La finalità è consentire ai nostri clienti, concessionari verificati, di trovare i veicoli che intendono acquistare per la propria attività e facilitare loro il contatto con il venditore – esattamente la finalità per cui il venditore ha pubblicato l’annuncio e i propri dati di contatto. La base giuridica è l’art. 6, par. 1, lett. f) GDPR. Il nostro legittimo interesse e quello dei nostri clienti consiste nell’osservare il mercato dei veicoli in modo tempestivo e su più portali e nell’acquistare veicoli; l’interesse dei venditori a vendere il proprio veicolo va nella stessa direzione. A tutela dei venditori vale quanto segue: nomi e numeri di telefono sono visibili solo ai collaboratori di concessionari attivati che hanno effettuato l’accesso, mai ai visitatori del sito web o ai motori di ricerca; i dati non vengono comunicati a terzi né utilizzati a fini pubblicitari; i nostri clienti sono contrattualmente obbligati a utilizzare i dati di contatto esclusivamente per una richiesta relativa al veicolo offerto.

Dagli annunci calcoliamo indicatori statistici – valore di mercato, valutazione del prezzo, potenziale d’acquisto, trend di mercato di un modello. Tali indicatori si riferiscono al veicolo, non alla persona; non viene effettuata alcuna profilazione dei venditori.

Per consultare le pagine dei portali ci avvaliamo del servizio ScrapingBee di ScrapingBee SAS, Parigi (Francia), in qualità di responsabile del trattamento (art. 28 GDPR); il servizio consulta le pagine per nostro conto.

Durata della conservazione: conserviamo i dati dei veicoli, i prezzi e l’andamento dei prezzi per la statistica di mercato anche dopo la fine di un annuncio. Cancelliamo automaticamente il nome e il numero di telefono del venditore 90 giorni dopo che l’annuncio non è più raggiungibile sul portale (venduto o rimosso).

Informazioni ai sensi dell’art. 14 GDPR: poiché non conosciamo i venditori e una comunicazione individuale a ciascuno di essi comporterebbe uno sforzo sproporzionato (art. 14, par. 5, lett. b) GDPR), forniamo le informazioni pubblicamente in questa sede. La fonte dei dati è il rispettivo annuncio sul portale indicato tramite link. In qualità di venditore che ha pubblicato un annuncio, può opporsi al trattamento in qualsiasi momento (sezione 18): scriva a datenschutz@carfalke.de indicando il link all’annuncio e rimuoveremo i Suoi dati di contatto dal servizio.

8. Ricerche salvate, notifiche, Parcheggio e attività del team

Per l’utilizzo della ricerca di mercato memorizziamo i criteri delle Sue ricerche salvate, i relativi risultati, il Suo Parcheggio (l’elenco dei veicoli salvati) con stato, note, responsabile e calcoli, nonché le attività nel team (ad es. chi ha impostato un veicolo su «Chiamato» o ha modificato una ricerca). Questi dati sono visibili ai membri del Suo team, affinché possano lavorare insieme, e al nostro team nella misura necessaria per l’assistenza o la fatturazione. Se utilizza funzioni che consultano in modo mirato le pagine dei portali (ad es. «Carica dettagli» o il confronto con il portale), registriamo chi le ha attivate e quando, per gestire la quota giornaliera.

Notifiche: in base alle Sue impostazioni La informiamo di nuovi risultati, variazioni di prezzo e promemoria di richiamo via e-mail, tramite web push nel browser e tramite notifica push nell’app CarFalke, nonché con un report settimanale. Per il web push memorizziamo l’indirizzo push generato dal browser e le relative chiavi, per l’app un token del dispositivo nonché la piattaforma e la versione dell’app. Le notifiche push dell’app vengono trasmesse tramite il servizio push di Expo (650 Industries, Inc., USA) ad Apple (APNs) o a Google (Firebase Cloud Messaging); vengono trasmessi il titolo e il testo della notifica e il token, nessun altro dato del Suo account. Può disattivare le notifiche in qualsiasi momento in Notifiche e revocare le autorizzazioni push nel browser o sul dispositivo.

La base giuridica è l’art. 6, par. 1, lett. b) GDPR. Conserviamo i dati per la durata del contratto con il Suo concessionario; le ricerche eliminate e gli indirizzi push rimossi vengono cancellati immediatamente. Avvertenza sulle note: La preghiamo di inserire nelle note solo informazioni oggettive e necessarie per l’acquisto del veicolo.

9. App CarFalke

L’app CarFalke per iOS e Android utilizza gli stessi account e dati del sito web. Sul dispositivo memorizza il Suo accesso, la Sua lingua e le Sue impostazioni. Oltre a ciò non tratta dati del dispositivo; in particolare non accede a contatti, posizione o foto. Se dall’app apre un annuncio originale o chiama un numero di telefono, si apre l’app del portale o l’app Telefono del Suo dispositivo; del trattamento ivi effettuato è responsabile il rispettivo fornitore. Agli app store (Apple App Store, Google Play) si applicano le rispettive disposizioni in materia di protezione dei dati; Apple e Google non ci comunicano dati personali che La riguardano.

10. Contratto, fatture e pagamento

Per l’esecuzione del contratto con il Suo concessionario trattiamo i dati contrattuali (pacchetto, durata, numero di utenti, portali), l’indirizzo di fatturazione e le fatture. Inviamo le fatture via e-mail; non è previsto alcun pagamento tramite il sito web. La base giuridica è l’art. 6, par. 1, lett. b) e lett. c) GDPR (obblighi fiscali). Conserviamo la documentazione di fatturazione e contabile per dieci anni ai sensi del § 147 AO e del § 257 HGB.

11. E-mail e comunicazioni

Le inviamo le e-mail necessarie per il servizio: per confermare il Suo indirizzo e-mail, per reimpostare la password, per comunicarLe la decisione sulla Sua richiesta di accesso, come notifica di nuovi risultati (sezione 8), in caso di fatture e in caso di modifiche importanti del servizio o della presente informativa. Registriamo l’invio e il suo esito (destinatario, oggetto, data e ora, stato) per poter ricostruire eventuali problemi di recapito.

L’invio avviene tramite Google Workspace (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlanda) in qualità di responsabile del trattamento. Le basi giuridiche sono l’art. 6, par. 1, lett. b) GDPR e, per gli avvisi di sicurezza, l’art. 6, par. 1, lett. f) GDPR.

Inviamo e-mail promozionali – ad esempio novità sul prodotto – solo con il Suo consenso (art. 6, par. 1, lett. a) GDPR) oppure ai clienti esistenti per nostri servizi analoghi ai sensi del § 7 Abs. 3 UWG (legge tedesca contro la concorrenza sleale); ciascuna di queste e-mail contiene un link per annullare l’iscrizione. Per tali invii possiamo avvalerci del servizio Brevo (Sendinblue SAS, Parigi, Francia) in qualità di responsabile del trattamento.

12. Modulo di contatto e assistenza

Se ci scrive tramite il modulo di contatto o via e-mail, trattiamo il Suo nome, il Suo indirizzo e-mail, l’argomento scelto, le Sue indicazioni sull’azienda o sulla pratica e il contenuto del Suo messaggio per rispondere alla Sua richiesta. Se ha effettuato l’accesso, associamo la richiesta al Suo account. La base giuridica è l’art. 6, par. 1, lett. b) GDPR (richieste precontrattuali o contrattuali) oppure l’art. 6, par. 1, lett. f) GDPR (il nostro interesse a rispondere alle richieste). Cancelliamo la richiesta non appena è stata definitivamente evasa e non sussistono obblighi di conservazione; conserviamo la corrispondenza commerciale per sei anni ai sensi del § 257 HGB.

Per proteggere il modulo da richieste automatizzate utilizziamo Cloudflare Turnstile (sezione 14).

13. Cookie e memoria locale

Quali cookie e tecnologie di memorizzazione utilizziamo, per quanto tempo vengono conservati e come può modificare la Sua scelta è descritto nella nostra Cookie policy. Le memorizzazioni necessarie (accesso, lingua, la Sua scelta in materia di cookie, tema grafico, le impostazioni del cockpit live) avvengono senza consenso sulla base del § 25 Abs. 2 Nr. 2 TDDDG (legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali) e dell’art. 6, par. 1, lett. b) o f) GDPR. Utilizziamo Google Analytics solo con il Suo consenso.

14. Analisi web (Google Analytics), protezione dai bot, nessun servizio pubblicitario

Google Analytics 4: con il Suo consenso (§ 25 Abs. 1 TDDDG, art. 6, par. 1, lett. a) GDPR) utilizziamo Google Analytics 4 di Google Ireland Limited per analizzare statisticamente l’utilizzo delle nostre pagine pubbliche (pagine visitate, durata della permanenza, provenienza approssimativa, tipo di dispositivo). Le funzioni pubblicitarie, Google Signals e la personalizzazione della pubblicità sono disattivati; Google Analytics 4 non memorizza gli indirizzi IP. Senza consenso lo script non viene caricato e non viene impostato alcun cookie. I dati possono essere trasmessi a Google LLC negli Stati Uniti; Google è certificata ai sensi dell’EU-US Data Privacy Framework e si applicano inoltre le clausole contrattuali tipo. Può revocare il Suo consenso in qualsiasi momento tramite «Impostazioni cookie» a piè di pagina.

Cloudflare Turnstile: in fase di accesso, di richiesta di accesso, di reimpostazione della password e nel modulo di contatto, Cloudflare Turnstile (Cloudflare, Inc., USA) verifica in background se la richiesta proviene da una persona. A tal fine vengono trattati il Suo indirizzo IP e caratteristiche tecniche del browser; Turnstile non imposta cookie. La base giuridica è l’art. 6, par. 1, lett. f) GDPR (protezione da abusi automatizzati); il trasferimento negli Stati Uniti si basa sull’EU-US Data Privacy Framework e sulle clausole contrattuali tipo.

Non utilizziamo reti pubblicitarie, retargeting né social plugin.

15. Destinatari

All’interno di CarFalke GmbH hanno accesso ai dati personali solo i collaboratori che ne hanno bisogno per i propri compiti (assistenza, verifica dei concessionari, gestione tecnica, contabilità). Ci avvaliamo inoltre dei seguenti responsabili del trattamento, vincolati contrattualmente ai sensi dell’art. 28 GDPR:

• Hetzner Online GmbH, Gunzenhausen (Germania): hosting, database, archiviazione dei documenti, backup
• ScrapingBee SAS, Parigi (Francia): consultazione delle pagine pubbliche dei portali per il crawler
• Google Ireland Limited, Dublino (Irlanda): invio di e-mail (Google Workspace) e – solo con consenso – Google Analytics
• Cloudflare, Inc. (USA): protezione dai bot Turnstile
• 650 Industries, Inc. (Expo, USA) nonché Apple Inc. e Google LLC: recapito delle notifiche push all’app
• Sendinblue SAS (Brevo, Parigi, Francia): invii promozionali, nella misura in cui li effettuiamo

Oltre a ciò comunichiamo dati a terzi solo se siamo obbligati per legge (ad es. ad autorità), per far valere i nostri diritti o con il Suo consenso. All’interno di un concessionario, i dati del team sono visibili ai membri del team, come descritto nelle sezioni 6 e 8.

16. Durata della conservazione

Salvo diversa indicazione nelle singole sezioni, vale quanto segue:

• Log del server: 30 giorni
• Dati dell’account e del team: fino all’eliminazione dell’account o fino alla fine del contratto
• Ricerche salvate, Parcheggio, attività, indirizzi push: per la durata del contratto
• Nome e numero di telefono di un venditore: 90 giorni dopo la fine del suo annuncio sul portale
• Documenti giustificativi per la verifica del concessionario: fino a tre anni dopo la fine del contratto
• Documentazione di fatturazione e contabile: dieci anni (§ 147 AO, § 257 HGB); corrispondenza commerciale: sei anni
• Copie di backup: al massimo sei mesi

Alla scadenza cancelliamo o anonimizziamo i dati, salvo che un procedimento in corso richieda una conservazione più lunga.

17. Trasferimento verso paesi terzi

I nostri dati sono memorizzati in Germania o comunque nell’Unione europea. Un trasferimento negli Stati Uniti avviene solo nei casi indicati (Google Analytics con il Suo consenso, Cloudflare Turnstile, notifiche push all’app). Esso si basa sulla decisione di adeguatezza della Commissione europea relativa all’EU-US Data Privacy Framework, nella misura in cui il destinatario sia certificato, e, in via integrativa, sulle clausole contrattuali tipo della Commissione europea (art. 46, par. 2, lett. c) GDPR).

18. I Suoi diritti

Nei nostri confronti Lei ha i seguenti diritti in relazione ai Suoi dati personali:

• accesso (art. 15 GDPR) – in qualità di utente può scaricare in qualsiasi momento una copia dei Suoi dati tramite Impostazioni
• rettifica (art. 16 GDPR)
• cancellazione (art. 17 GDPR) – può eliminare autonomamente il Suo account in Impostazioni
• limitazione del trattamento (art. 18 GDPR)
• portabilità dei dati (art. 20 GDPR)
• revoca di un consenso prestato, con effetto per il futuro (art. 7, par. 3 GDPR)

Diritto di opposizione (art. 21 GDPR): nella misura in cui trattiamo dati sulla base dell’art. 6, par. 1, lett. f) GDPR, Lei può opporsi in qualsiasi momento per motivi connessi alla Sua situazione particolare; in tal caso non tratteremo più i dati, salvo che dimostriamo l’esistenza di motivi legittimi cogenti che prevalgono sui Suoi interessi. Ciò vale in particolare per i venditori che pubblicano annunci (sezione 7). Può opporsi al marketing diretto in qualsiasi momento senza indicarne i motivi.

Per esercitare i Suoi diritti è sufficiente un’e-mail a datenschutz@carfalke.de. Lei ha inoltre il diritto di proporre reclamo a un’autorità di controllo per la protezione dei dati, in particolare nello Stato membro in cui risiede abitualmente, lavora o in cui si è verificata la presunta violazione. L’autorità di controllo competente per noi è: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), Promenade 18, 91522 Ansbach.

19. Obbligo di fornire i dati

Per una richiesta di accesso e un account utente sono necessari i dati contrassegnati come campi obbligatori; senza di essi non possiamo verificare la Sua azienda né configurare un accesso. Tutti gli altri dati sono facoltativi.

20. Processi decisionali automatizzati

Non vengono adottate decisioni con effetti giuridici basate unicamente su un trattamento automatizzato (art. 22 GDPR). L’attivazione di un concessionario è decisa da una persona; le valutazioni del prezzo e i valori di mercato sono stime relative ai veicoli, non decisioni sulle persone.

21. Sicurezza dei dati

La trasmissione tra il Suo dispositivo e i nostri server è cifrata con TLS. Conserviamo le password esclusivamente sotto forma di hash e i documenti caricati in forma cifrata. L’accesso ai dati personali è limitato ai collaboratori che ne hanno bisogno; gli accessi amministrativi vengono registrati. Adeguiamo costantemente le nostre misure tecniche e organizzative allo stato dell’arte.

22. Modifiche

Adeguiamo la presente informativa sulla privacy in caso di modifiche del servizio o del quadro normativo. La versione di volta in volta aggiornata è disponibile su carfalke.de; la data dell’ultima modifica è indicata in cima a questa pagina. Informiamo gli utenti delle modifiche sostanziali via e-mail.