Accordo sul trattamento dei dati

Ambito del Trattamento

Kai tratta i dati personali esclusivamente allo scopo di fornire la piattaforma di gestione degli asset condivisi come descritto nei Termini di Servizio. Il trattamento include archiviazione, recupero, visualizzazione ed eliminazione dei dati come indicato dal Controller attraverso il normale utilizzo della piattaforma.

Liste d’attesa degli operatori

La lista d’attesa di un operatore appartiene a quell’operatore. Kai la usa solo per gestire la pagina di iscrizione, l’abbinamento e le email di quell’operatore. Kai non offre mai alle persone in lista i beni di altri operatori (barche, aeromobili, case o auto) né offerte proprie, e non le aggiunge mai alle proprie mailing list. L’operatore può esportare l’intera lista in qualsiasi momento.

Beni gestiti da un operatore

Quando un bene (una barca, un aeromobile, una casa o un’auto) fa parte della flotta di un operatore, l’ufficio dell’operatore vede, solo per quel bene: le prenotazioni e chi le ha fatte, la manutenzione in scadenza, i nomi e le date di scadenza dei documenti, e il totale dei pagamenti scaduti dei proprietari con il numero di proprietari in ritardo, mai chi sono. L’ufficio non vede i messaggi, le spese né i file dei documenti del bene. Tutto questo termina quando il bene lascia la flotta o quando finisce il piano dell’operatore.

Categorie di Dati Trattati

Vengono trattate le seguenti categorie di dati personali:

• Dati di identità: nome, indirizzo e-mail, foto del profilo
• Dati di contatto: numero di telefono, indirizzo di fatturazione
• Dati finanziari: IBAN, informazioni di fatturazione, registri delle fatture
• Dati di utilizzo: prenotazioni, registri di utilizzo, registri delle spese, registri di manutenzione
• Dati di comunicazione: messaggi, ticket di supporto
• Dati tecnici: indirizzo IP, tipo di browser, registri del consenso
• Dati delle liste d’attesa (abbinamento, per gli operatori): nome, email, telefono, lingue, mesi preferiti, quote desiderate, data di disponibilità, numero di persone, patente nautica, note, risposte alle domande di iscrizione dell’operatore e registrazioni del consenso

Misure di Sicurezza

Kai implementa le seguenti misure tecniche e organizzative per proteggere i dati personali:

• Crittografia in transito (TLS 1.3) e a riposo (AES-256)
• Sicurezza a livello di riga per l'isolamento dei dati tra gruppi
• Controllo degli accessi basato sui ruoli con principio del minimo privilegio
• Backup giornalieri automatizzati con recupero point-in-time
• Audit di sicurezza regolari e test di penetrazione
• Nessuna informazione di identificazione personale inviata al monitoraggio degli errori

Subincaricati del trattamento

Kai utilizza i seguenti subprocessors. Il Controller verrà informato di qualsiasi modifica a questa lista:

• Supabase (AWS Frankfurt, EU) — Database e autenticazione
• Stripe (EU/US, SCC) — Elaborazione dei pagamenti
• Resend (US, SCC) — Consegna e-mail
• Sentry (EU) — Monitoraggio degli errori (senza PII)
• Vercel (EU) — Hosting delle applicazioni
• Google Analytics & Ads (US, DPF) — Analisi e pubblicità (dipendente dal consenso)
• Firebase / Google Cloud (EU) — Archiviazione file
• Cloudinary (US, SCC) — Ottimizzazione delle immagini

Notifica di Violazione dei Dati

In caso di violazione dei dati personali, Kai informerà il Controller senza indebito ritardo e non oltre 72 ore dopo essere venuto a conoscenza della violazione. La notifica includerà la natura della violazione, le categorie e il numero approssimativo di interessati coinvolti, le probabili conseguenze e le misure adottate o proposte per affrontare la violazione.

Diritti degli Interessati

Kai assiste il Controller nell'adempimento delle richieste degli interessati, tra cui:

• Diritto di accesso — gli utenti possono visualizzare tutti i propri dati sulla piattaforma
• Diritto di rettifica — gli utenti possono aggiornare il proprio profilo e i propri dati
• Diritto alla cancellazione — l'eliminazione dell'account rimuove tutti i dati personali
• Diritto alla portabilità dei dati — gli utenti possono esportare tutti i propri dati in formato JSON
• Diritto di revocare il consenso — le preferenze sui cookie possono essere modificate in qualsiasi momento

Restituzione ed Eliminazione dei Dati

Alla cessazione dell'accordo, Kai eliminerà tutti i dati personali trattati per conto del Controller entro 30 giorni, salvo che la conservazione sia richiesta dalla legge applicabile. Il Controller può esportare i propri dati in qualsiasi momento prima della cessazione utilizzando le funzionalità di esportazione integrate della piattaforma.

Contatto

Per domande su questo DPA o per richiedere una copia firmata, contattaci a [email protected]