Informativa sul trattamento dei dati personali e condizioni d'uso

Regolamento (UE) 2016/679 — Utente mittente (Cliente)

1. Titolare del trattamento

Titolare del trattamento dei dati raccolti nella presente fase è Uniconsul S.a.s. di Ferro Andrea, con sede legale in Via Roma 16, 30037 Scorzè (VE), Partita IVA e Codice Fiscale IT05008400268, PEC consulenzaunica@legalmail.it (di seguito la "Società"), raggiungibile per l'esercizio dei diritti di cui alla presente informativa all'indirizzo PEC sopra indicato.

La Società tratta i dati in qualità di titolare autonomo del trattamento nella fase di raccolta, gestione e trasmissione dei documenti tramite la piattaforma www.constatazioneamichevole.com. Come meglio specificato ai punti 5 e 6, tale titolarità è temporalmente limitata e distinta da quella del professionista destinatario (agenzia assicurativa, carrozzeria, studio legale, studio peritale, studio di consulenza o altro soggetto destinatario) che riceve i documenti e vi accede tramite la piattaforma.

2. Tipologie di dati trattati

Attraverso la piattaforma vengono raccolte le seguenti categorie di dati:

| Tipologia di dato | Categoria | Base giuridica | |---|---|---| | Dati anagrafici e di contatto (incluso numero di telefono ed email) | Dati comuni (art. 6 GDPR) | Esecuzione del servizio richiesto / autenticazione | | Recapito email aggiuntivo, indicato facoltativamente al termine dell'invio per ricevere copia della ricevuta | Dati comuni (art. 6 GDPR) | Consenso dell'interessato (art. 6.1.a) | | Targhe, dati del veicolo, polizza assicurativa, fotografie dei veicoli | Dati comuni (art. 6 GDPR) | Esecuzione del servizio richiesto | | Documento d'identità (fotografia o scansione) | Dati comuni (art. 6 GDPR), trattamento a rischio elevato | Verifica dell'identità ai fini della pratica | | Constatazione Amichevole (modulo CAI) | Dati comuni (art. 6 GDPR) | Esecuzione del servizio richiesto | | Referto di Pronto Soccorso e documentazione medica | Dati particolari — sanitari (art. 9 GDPR) | Consenso esplicito dell'interessato (art. 9.2.a) | | Dati tecnici di invio e di accesso (indirizzo IP, tipo di dispositivo, data e ora) | Dati comuni (art. 6 GDPR) | Legittimo interesse alla prova dell'operazione e alla prevenzione delle frodi (art. 6.1.f) |

3. Finalità e base giuridica del trattamento

I dati sono trattati per le seguenti finalità:

gestione strutturata della pratica relativa a pratiche assicurative di diversa natura (RC Auto, infortuni, coperture dirette Kasko, atto vandalico, cristalli e altre), tramite raccolta e organizzazione della documentazione fornita dall'utente;
trasmissione della documentazione a un destinatario (agenzia assicurativa, carrozzeria, studio legale, studio peritale, studio di consulenza o altro soggetto terzo) individuato e designato dall'utente stesso;
verifica dell'identità del mittente e della coerenza dei dati forniti, anche ai fini della prevenzione di frodi assicurative;
autenticazione dell'utente, incluso l'invio di codici di verifica monouso via SMS e/o email;
invio all'utente della ricevuta dell'avvenuto invio, contenente il numero della pratica, la data e l'ora, il destinatario, il numero di documenti trasmessi, l'elenco dei consensi prestati con la versione del testo accettato e la data di cancellazione automatica;
invio all'utente della notifica di primo accesso alla pratica da parte del destinatario, con data e ora dell'accesso;
invio di ulteriori comunicazioni gestionali relative allo stato della pratica, inclusi i link per la ricezione dei documenti e le informazioni normative di riferimento;
adempimento di obblighi di legge, nonché accertamento, esercizio e difesa di un diritto in sede giudiziaria in caso di contestazioni relative all'utilizzo della piattaforma (art. 6.1.f e art. 9.2.f GDPR).

Per i dati sanitari (referti e documentazione medica) la base giuridica è costituita dal consenso esplicito dell'interessato ai sensi dell'art. 9, par. 2, lett. a) GDPR, richiesto separatamente al successivo punto 13.

La ricevuta di invio e la notifica di primo accesso sono recapitate al contatto verificato tramite codice monouso. Qualora l'utente abbia indicato, facoltativamente e al termine dell'invio, un ulteriore recapito email, a quest'ultimo viene inviata una versione ridotta della ricevuta, contenente il solo numero della pratica e priva di ogni riferimento al destinatario e al contenuto: tale recapito non è sottoposto a verifica e per questa ragione non riceve informazioni ulteriori.

4. Strumenti automatizzati di elaborazione

Il servizio organizza i documenti caricati in una struttura predefinita e li converte in un formato uniforme (PDF), tramite procedure automatiche che non effettuano alcuna valutazione del contenuto.

Allo stato attuale la Società non si avvale di strumenti di intelligenza artificiale per l'estrazione o il riconoscimento dei contenuti dei documenti caricati. Qualora tali strumenti venissero introdotti, la presente informativa sarà aggiornata in una nuova versione, che indicherà il fornitore, la natura dell'elaborazione e le eventuali garanzie per il trasferimento dei dati verso Paesi extra-UE ai sensi degli artt. 44-49 GDPR.

In nessun caso il trattamento comporta processi decisionali automatizzati che producano effetti giuridici sull'interessato ai sensi dell'art. 22 GDPR.

5. Conservazione dei dati e cancellazione automatica

Il trattamento prevede due distinti orizzonti di conservazione, con finalità e basi giuridiche diverse.

5.1 Contenuto della pratica — 30 giorni

Tutti i dati e i file caricati dall'utente sulla piattaforma (informazioni inserite nei campi, fotografie, documenti) sono conservati per un periodo massimo di 30 (trenta) giorni dal caricamento, decorsi i quali vengono cancellati in modo automatico, definitivo e irreversibile dai sistemi della Società, per tutti gli utenti che vi hanno avuto accesso tramite la piattaforma. La cancellazione non è derogabile né sospendibile e opera indipendentemente dallo stato del rapporto con il professionista destinatario.

Il termine di 30 giorni riguarda i dati presenti sulla piattaforma. Qualora il professionista destinatario abbia scaricato la documentazione prima della cancellazione, egli ne conserva una copia sotto la propria autonoma responsabilità, secondo quanto indicato al punto 6 e nell'informativa dedicata all'account professionista, con tempi di conservazione stabiliti dal medesimo in base ai propri obblighi di legge.

Copie di sicurezza. L'infrastruttura che ospita la piattaforma non esegue copie di sicurezza dei dati e dei documenti della pratica. La cancellazione allo scadere dei 30 giorni è pertanto immediatamente e integralmente definitiva, senza alcun periodo residuo di permanenza in archivi di ripristino e senza che sussista alcuna possibilità tecnica di recupero, né su richiesta dell'utente, né su richiesta del professionista destinatario, né a iniziativa della Società.

Durante i 30 giorni di permanenza sulla piattaforma, la Società ha accesso tecnico ai dati (vedi punto 8) e ne è responsabile esclusivamente ai fini della loro custodia e trasmissione, quale tramite tra l'utente e il destinatario da questi designato, e non per le finalità di trattamento proprie del destinatario.

5.2 Prova dei consensi e log tecnici — 10 anni

Non sono cancellati insieme al contenuto della pratica, e sono conservati per 10 (dieci) anni, i soli dati necessari a dimostrare che una determinata operazione è avvenuta:

prova dei consensi prestati: per ciascun consenso, il numero della pratica, il tipo di consenso, la versione del testo accettato, la data e l'ora, l'indirizzo IP. Finalità: adempiere all'obbligo di dimostrare il consenso (art. 7.1 GDPR) e al principio di responsabilizzazione (art. 5.2 GDPR);
log tecnico dell'invio: numero della pratica, data e ora, indirizzo IP, tipo di dispositivo, canale utilizzato per la verifica dell'identità, recapito verificato e indirizzo del destinatario a cui la documentazione è stata trasmessa. Base giuridica: legittimo interesse all'accertamento, esercizio e difesa di un diritto (art. 6.1.f GDPR), con espressa esclusione dal diritto alla cancellazione ai sensi dell'art. 17, par. 3, lett. e) GDPR;
registro degli accessi del destinatario: numero della pratica, identificativo dell'account del professionista, data e ora di accesso e di download. Finalità: documentare il momento del passaggio di responsabilità sui dati.

Questi archivi non contengono alcun documento, fotografia, dato sanitario, targa o contenuto della pratica, né i nomi dei file caricati: conservano unicamente l'informazione che una determinata persona ha compiuto una determinata operazione in un determinato momento. Non sono accessibili pubblicamente e non sono utilizzati per finalità diverse da quelle qui indicate.

I dati relativi al consenso per finalità commerciali (punto 13, Consenso 7) seguono un termine più breve, pari a 24 mesi dall'ultimo contatto utile, salvo revoca anticipata.

6. Destinatari dei dati e passaggio di responsabilità

I dati caricati sono resi disponibili, tramite link dedicato, esclusivamente al destinatario (agenzia assicurativa, carrozzeria, studio legale, studio peritale, studio di consulenza o altro soggetto terzo) espressamente individuato e confermato dall'utente in fase di caricamento.

Dal momento del primo accesso ai dati della pratica da parte del destinatario — sia esso una consultazione tramite la piattaforma o un download — quest'ultimo diviene titolare autonomo del trattamento ed è responsabile della gestione dei dati ricevuti, sia durante l'eventuale periodo di utilizzo gratuito della piattaforma sia successivamente alla sottoscrizione del contratto di abbonamento, per le finalità proprie della gestione della pratica (perizia, istruttoria, rapporti con la compagnia assicurativa, conservazione documentale ai fini contabili e fiscali).

Tali accessi sono registrati dalla piattaforma secondo quanto indicato al punto 5.2, e del primo di essi l'utente riceve notifica secondo quanto indicato al punto 3.

Fornitori di servizi tecnici. Oltre al destinatario designato, i dati possono essere trattati dai fornitori di cui la Società si avvale per l'erogazione del servizio, nominati responsabili del trattamento ai sensi dell'art. 28 GDPR e vincolati a operare secondo istruzioni documentate:

| Fornitore | Attività svolta | Dati trattati | |---|---|---| | Supabase | Banca dati, archiviazione dei file, autenticazione | Tutti i dati e i documenti della pratica | | Vercel | Elaborazione applicativa e conversione dei documenti | Tutti i dati e i documenti della pratica | | Resend | Invio delle comunicazioni via email | Indirizzo email, contenuto delle comunicazioni di servizio | | RDCom | Invio delle comunicazioni via SMS | Numero di telefono, contenuto dei messaggi di servizio |

I dati dell'utente mittente non sono trasmessi a fornitori di servizi di pagamento: il servizio è gratuito per l'utente e non comporta alcuna operazione di pagamento a suo carico.

7. Luogo del trattamento e trasferimenti verso Paesi terzi

I documenti e i dati della pratica sono conservati ed elaborati esclusivamente su server ubicati nell'Unione Europea: la banca dati, l'archiviazione dei file e il servizio di autenticazione sono forniti da Supabase su infrastruttura situata in Irlanda; l'elaborazione applicativa e la conversione dei documenti sono erogate da Vercel su infrastruttura situata in Germania. Supabase è certificato SOC 2 Type 2. L'invio dei messaggi SMS è affidato a RDCom (R&D Communication S.r.l.), società con sede in Italia.

Trasferimento relativo al solo servizio di posta elettronica. Il fornitore che recapita le comunicazioni via email (Resend — Plus Five Five, Inc., con sede negli Stati Uniti d'America) effettua le proprie operazioni di trattamento negli Stati Uniti d'America. Sono pertanto trasferiti verso tale Paese l'indirizzo email del destinatario del messaggio, il contenuto della comunicazione di servizio e i relativi registri tecnici di consegna. Non sono in alcun caso trasferiti i documenti della pratica, le fotografie, i dati sanitari né i contenuti caricati dall'utente, che restano sull'infrastruttura europea sopra indicata.

Il trasferimento avviene sulla base delle seguenti garanzie, cumulativamente applicate:

la decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa al quadro EU-U.S. Data Privacy Framework, cui il fornitore aderisce;
le clausole contrattuali tipo adottate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c) GDPR, incluse nell'accordo sul trattamento dei dati stipulato con il fornitore.

L'interessato può ottenere copia delle garanzie adottate, o informazioni sul luogo in cui sono state rese disponibili, scrivendo all'indirizzo indicato al punto 11.

8. Misure di sicurezza

La trasmissione dei dati tra il dispositivo dell'utente e la piattaforma è protetta mediante protocollo TLS (HTTPS). I dati sono inoltre conservati in forma cifrata a riposo (encryption at rest) mediante algoritmo AES-256; le informazioni particolarmente sensibili, quali chiavi e token di accesso, sono ulteriormente cifrate a livello applicativo prima di essere memorizzate.

I documenti caricati non sono mai raggiungibili tramite indirizzi pubblici: l'accesso è possibile unicamente dall'area riservata del professionista destinatario, previa autenticazione.

Con i fornitori di servizi tecnici indicati al punto 6 la Società ha in essere gli accordi sul trattamento dei dati (Data Processing Agreement) previsti dall'art. 28 GDPR.

L'accesso al backend da parte del personale della Società è limitato in base al ruolo assegnato e tracciato tramite log delle attività, inclusi gli accessi ai dati e i download effettuati dai destinatari. Il personale tecnico autorizzato può accedere ai dati esclusivamente nei limiti e per le finalità indicate al punto 6.

9. Cookie e strumenti di tracciamento

La piattaforma utilizza esclusivamente cookie tecnici, necessari all'autenticazione e al mantenimento della sessione di navigazione. Tali cookie non richiedono il consenso dell'interessato ai sensi dell'art. 122 del D.Lgs. 196/2003 e delle Linee guida del Garante per la protezione dei dati personali del 9 giugno 2021.

Non sono utilizzati cookie di profilazione, strumenti di analisi statistica, pixel di tracciamento o servizi di terze parti che raccolgano dati di navigazione. Per questa ragione la piattaforma non presenta alcun banner di raccolta del consenso ai cookie.

10. Natura del conferimento e conseguenze del rifiuto

Il conferimento dei dati indicati come necessari è facoltativo, ma il loro mancato conferimento rende impossibile l'erogazione del servizio: senza i documenti, i dati della pratica e un recapito verificabile, la piattaforma non può raccogliere né trasmettere alcunché al destinatario indicato.

Fa eccezione il consenso al trattamento dei dati sanitari (punto 13, Consenso 3): il suo mancato rilascio impedisce unicamente il caricamento di documentazione medica, restando il servizio pienamente utilizzabile per tutte le altre tipologie di documento.

Sono del tutto facoltativi, e il loro rifiuto non produce alcuna conseguenza, il consenso per finalità commerciali (Consenso 7) e l'indicazione del recapito email aggiuntivo per la copia della ricevuta.

11. Diritti dell'interessato e revoca dei consensi

L'utente può esercitare in qualsiasi momento, nei confronti della Società, i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, nonché il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it). Le richieste possono essere inviate a consulenzaunica@legalmail.it.

Ai sensi dell'art. 7, par. 3, GDPR i consensi prestati possono essere revocati in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca:

il consenso alle comunicazioni commerciali si revoca tramite il link di disiscrizione presente in ciascuna comunicazione, oppure scrivendo all'indirizzo sopra indicato;
gli altri consensi si revocano scrivendo all'indirizzo sopra indicato; la revoca comporta l'interruzione del servizio per la pratica in corso, non essendo il servizio erogabile senza di essi.

Resta fermo che la revoca non si estende ai dati indicati al punto 5.2, conservati per l'accertamento, l'esercizio o la difesa di un diritto ai sensi dell'art. 17, par. 3, lett. e) GDPR.

Data la cancellazione automatica dei dati entro 30 giorni, i diritti sopra indicati sono comunque esercitabili anche presso il professionista destinatario, per i dati da questi ricevuti e conservati autonomamente.

12. Condizioni d'uso della piattaforma

L'utilizzo della piattaforma comporta l'accettazione delle seguenti condizioni.

Natura del servizio. La piattaforma svolge una funzione di tramite tecnico: raccoglie la documentazione dall'utente e la rende disponibile al destinatario da questi indicato. La Società non svolge alcuna attività di consulenza assicurativa, legale o peritale, non valuta il merito della pratica, non verifica la fondatezza della richiesta e non interviene in alcun modo nel rapporto tra l'utente, il destinatario e la compagnia assicurativa.
Correttezza dei dati caricati. L'utente è l'unico responsabile della veridicità, completezza e liceità dei documenti e dei dati che carica, nonché del corretto inserimento dell'indirizzo del destinatario. La Società non è responsabile per l'invio effettuato a un destinatario errato per effetto di un recapito indicato erroneamente dall'utente.
Usi vietati. È vietato caricare documenti o dati di cui non si sia proprietari o legittimi detentori, contenuti illeciti, offensivi o lesivi di diritti di terzi, nonché utilizzare la piattaforma per finalità diverse dalla trasmissione di documentazione relativa a una pratica assicurativa reale. La Società si riserva di sospendere il servizio e di conservare i dati necessari alla tutela dei propri diritti in caso di uso illecito.
Cancellazione a 30 giorni. L'utente prende atto che i dati caricati sono cancellati in modo automatico e irreversibile decorsi 30 giorni, come indicato al punto 5.1, e che decorso tale termine non è possibile recuperarli né richiederne nuovamente la trasmissione: sarà necessario effettuare un nuovo caricamento.
Disponibilità del servizio. La Società eroga il servizio secondo il criterio della migliore diligenza, senza garantire la continuità, la disponibilità ininterrotta o l'assenza di errori, con particolare riferimento a interruzioni imputabili ai fornitori di infrastruttura, connettività, email o SMS.
Gratuità. Il servizio è gratuito per l'utente mittente. Nessun corrispettivo è dovuto per il caricamento e la trasmissione della documentazione.
Legge applicabile. Le presenti condizioni sono regolate dalla legge italiana. Per le controversie con l'utente consumatore è competente il foro del luogo di residenza o domicilio elettivo del medesimo, ai sensi dell'art. 66-bis del Codice del Consumo.

13. Consensi e dichiarazioni da sottoscrivere

Le seguenti dichiarazioni sono presentate come passaggi distinti e separati, ciascuno con relativa casella di spunta non preselezionata e conferma dedicata. Si prega di leggerle con attenzione.

Le sintesi riportate in corsivo hanno finalità esclusivamente esplicativa e di leggibilità: il testo che si accetta è quello integrale riportato sotto ciascuna di esse.

Consenso 1 — Presa visione dell'Informativa Privacy · obbligatorio

In sintesi: confermi di aver letto come trattiamo i tuoi dati, per quanto tempo li conserviamo e a chi li trasmettiamo. Non stai autorizzando nulla di nuovo: stai dichiarando di essere stato informato.

Dichiaro di aver letto e compreso l'Informativa sul trattamento dei dati personali, con particolare riferimento alle finalità del trattamento, ai tempi di conservazione ivi indicati (30 giorni per il contenuto della pratica, termini distinti per la prova dei consensi e per i log tecnici, secondo il punto 5) e al trasferimento verso Paesi terzi limitatamente al servizio di posta elettronica, secondo il punto 7.

☐ HO LETTO E CONFERMO

Consenso 2 — Titolarità dei dati e duplice autorizzazione · obbligatorio

In sintesi: dichiari che i documenti che stai caricando sono tuoi, o che sei autorizzato a inviarli per conto di chi ne è titolare. E autorizzi due soggetti distinti a trattarli: noi, solo per custodirli e trasmetterli per un massimo di 30 giorni; il professionista che hai scelto, per gestire la tua pratica.

Dichiaro, sotto la mia personale responsabilità, di essere proprietario dei documenti e dei dati che sto caricando, ovvero di essere persona legalmente autorizzata a caricarli e trasmetterli per conto del relativo proprietario. Sono consapevole che dichiarazioni non veritiere comportano responsabilità civile per i danni cagionati a terzi, nonché responsabilità penale nei casi previsti dalla legge.

Autorizzo, ciascuno per le rispettive competenze, sia la piattaforma www.constatazioneamichevole.com (per la custodia e la trasmissione dei dati quale tramite, per il periodo massimo di 30 giorni) sia il destinatario da me designato (per la gestione della pratica successivamente all'accesso), al trattamento dei dati da me caricati.

☐ DICHIARO E AUTORIZZO

Consenso 3 — Trattamento di dati sanitari · necessario solo se carichi documentazione medica

In sintesi: referti e certificati medici sono dati sanitari e la legge richiede un consenso specifico e libero per trattarli. Se non lo dai, puoi comunque usare il servizio per tutto il resto: semplicemente non potrai caricare documenti medici.

Presto il mio consenso esplicito, ai sensi dell'art. 9, par. 2, lett. a) GDPR, al trattamento delle informazioni relative al mio stato di salute contenute nella documentazione medica o nel referto di Pronto Soccorso che sto caricando, per le finalità di gestione della pratica indicate nella presente Informativa.

Sono consapevole che il mancato rilascio di questo consenso non pregiudica l'utilizzo del servizio per le altre tipologie di documento.

☐ ACCONSENTO AL TRATTAMENTO DEI DATI SANITARI

Consenso 4 — Accettazione delle Condizioni d'uso · obbligatorio

In sintesi: accetti le regole d'uso della piattaforma indicate al punto 12 — in particolare che siamo solo un tramite tecnico, che rispondi tu della veridicità di quello che carichi, e che dopo 30 giorni i dati sono cancellati e non recuperabili.

Dichiaro di aver letto e di accettare integralmente le Condizioni d'uso della piattaforma www.constatazioneamichevole.com riportate al punto 12 della presente Informativa.

☐ ACCETTO LE CONDIZIONI D'USO

Consenso 5 — Trasmissione al destinatario indicato · obbligatorio

In sintesi: autorizzi l'invio dei tuoi documenti a quel destinatario preciso, il cui indirizzo è indicato qui sotto. È il consenso che rende possibile la trasmissione: verifica bene che l'indirizzo sia corretto.

Autorizzo la trasmissione dei documenti e dei dati da me caricati al seguente destinatario, da me individuato e confermato: {{EMAIL_DESTINATARIO}}, tramite link di accesso dedicato riservato al medesimo.

☐ AUTORIZZO LA TRASMISSIONE

Consenso 6 — Comunicazioni di servizio via SMS ed email · obbligatorio

In sintesi: autorizzi l'invio dei messaggi indispensabili al funzionamento del servizio — il codice di verifica per confermare la tua identità, la ricevuta dell'invio, l'avviso quando il professionista apre la pratica e le altre comunicazioni sulla tua pratica. Non sono messaggi pubblicitari.

Autorizzo l'invio, ai recapiti telefonici e all'indirizzo email da me indicati, delle comunicazioni necessarie al funzionamento del servizio: codici di verifica monouso, ricevuta dell'avvenuto invio, notifica del primo accesso alla pratica da parte del destinatario, comunicazioni gestionali relative alla pratica, link per la ricezione di documenti e dati, informazioni normative di riferimento e comunicazione di avvenuta cancellazione dei dati al termine dei 30 giorni.

☐ AUTORIZZO LE COMUNICAZIONI DI SERVIZIO

Consenso 7 — Comunicazioni commerciali · facoltativo

In sintesi: è l'unico consenso davvero opzionale. Riguarda le comunicazioni promozionali sui nostri servizi, che puoi revocare quando vuoi con il link di disiscrizione. Se non lo dai, non cambia nulla nel servizio.

Acconsento a ricevere comunicazioni informative e commerciali relative ai servizi della Società, anche a mezzo email o SMS. Il consenso è revocabile in qualsiasi momento tramite il link di disiscrizione presente in ciascuna comunicazione. I dati trattati per questa finalità sono conservati per un massimo di 24 mesi dall'ultimo contatto utile.

☐ ACCONSENTO (FACOLTATIVO)

Informativa Privacy — Cliente mittente