Vai al contenuto
030 55 81 050Entra nell'appAcquista

Accordo TRACKYUP

Nomina del responsabile esterno del trattamento

Quando installi un GPS sui mezzi guidati dai tuoi dipendenti, il titolare del trattamento sei tu e il fornitore della piattaforma è il responsabile: l'articolo 28 del GDPR chiede un contratto scritto tra voi. Questo è il nostro. Lo accetti in cassa, con la stessa spunta delle condizioni di servizio. Non va stampato e non va rimandato firmato.

Vai all'accordoFac-simile informativa dipendenti

Perché serve

Il contratto tra la tua azienda e chi gestisce la piattaforma

Nel momento in cui i dati di posizione passano dalla nostra piattaforma, la legge chiede che il rapporto tra noi sia regolato per iscritto. È il testo che stabilisce cosa possiamo fare con quei dati e cosa non possiamo fare. Lo accetti con l'ordine.

  • Il titolare sei tu. Decidi le finalità, la frequenza di rilevazione, quanto storico conservare e chi può guardarlo. La responsabilità di quelle scelte resta in azienda
  • Il responsabile siamo noi, per l'attività tecnica di raccolta e conservazione dei dati che il sistema produce. Agiamo su tue istruzioni e non usiamo quei dati per finalità nostre
  • Senza il contratto scritto siete inadempienti entrambi, indipendentemente da come è configurato il sistema: l'art. 28 del GDPR lo prevede espressamente
  • È anche il documento che ti serve per compilare la voce «responsabili del trattamento» dell'informativa da consegnare ai dipendenti, e per rispondere se un'ispezione ti chiede la catena dei soggetti coinvolti

Se il tuo consulente vuole un testo diverso, scrivicelo. Per l'acquisto online l'accettazione è la spunta in cassa.

Come si legge

Le quattro parti su cui vale la pena fermarsi

Il resto è il testo che l'articolo 28 impone e che troverai simile in qualunque accordo di questo tipo. Questi quattro punti invece cambiano da fornitore a fornitore, e sono quelli su cui confrontare le offerte.

  1. Le tue istruzioni

    Intervallo, tempo reale, giorni di storico e chi accede li imposti sulla piattaforma. Devono coincidere con l'informativa ai lavoratori, altrimenti i due documenti si contraddicono.

  2. I sub-responsabili

    Al punto 8 c'è l'elenco nominativo dei soggetti che trattano i dati a valle, con la sede. Un accordo che non li nomina non ti permette di sapere dove finiscono i dati.

  3. Il luogo del trattamento

    Al punto 9 dichiariamo che i dati di posizione risiedono su server nell'Unione europea, e cosa accade nel caso in cui questo dovesse cambiare.

  4. La cancellazione

    Al punto 13: alla fine del rapporto i dati vengono cancellati entro 90 giorni. Esporta prima quello che ti serve, perché dopo non è recuperabile.

Accordo

Nomina e accordo sul trattamento dei dati

È il testo che accetti in cassa, insieme alle condizioni di servizio. Non va compilato, stampato né rimandato firmato.

Come vale. Questo è l'accordo che TRACKYUP / YUP srls conclude con i clienti che usano il servizio su veicoli condotti da personale dipendente. Si accetta con la spunta in fase d'ordine. Versione del 23 settembre 2026.

Nomina del responsabile esterno del trattamento e accordo sul trattamento dei dati

ai sensi dell'art. 28 del Regolamento (UE) 2016/679 (GDPR)

1. Le parti

Il presente accordo è stipulato tra il cliente che acquista il servizio TRACKYUP, di seguito Titolare del trattamento, e il Responsabile del trattamento YUP srls (marchio TRACKYUP), con sede in Via Solferino 23, 25122 Brescia (BS), P. IVA 04188830980, email info@trackyup.com, PEC yup365d@pec.it.

2. Oggetto e durata

Il Titolare affida al Responsabile il trattamento dei dati personali che il servizio di localizzazione TRACKYUP genera e conserva, limitatamente a quanto necessario per erogare il servizio. L'accordo decorre dall'accettazione dell'ordine o dall'attivazione del primo veicolo, se anteriore, e resta efficace per tutta la durata del rapporto contrattuale, cessando con esso.

3. Natura dei dati e categorie di interessati

Il trattamento riguarda i dati che il dispositivo installato sul veicolo trasmette alla piattaforma e i dati degli utenti che vi accedono.

  • dati di posizione rilevati dal sistema satellitare, con data e ora, velocità e stato di accensione del quadro;
  • eventi derivati dalla posizione: partenze, arrivi, soste, ingressi e uscite dalle aree definite dal Titolare;
  • dove il dispositivo lo consente, parametri tecnici letti dal veicolo, come odometro e livello di carburante;
  • dati identificativi e credenziali degli utenti che il Titolare abilita sulla piattaforma, e log dei loro accessi.

Gli interessati sono le persone che il Titolare abilita o di cui tratta la posizione, per esempio dipendenti conducenti e collaboratori. Il servizio non è configurato per trattare le categorie particolari di dati dell'art. 9 del GDPR. Il Titolare si impegna a non utilizzarlo per finalità che comportino tale trattamento.

4. Istruzioni del Titolare

Il Responsabile tratta i dati esclusivamente per erogare il servizio e secondo le istruzioni del Titolare. Le istruzioni sono la configurazione che il Titolare imposta sulla piattaforma, in particolare intervallo di rilevazione, accesso in tempo reale, giorni di storico e utenti abilitati, e ogni comunicazione scritta successiva. Il Responsabile non utilizza i dati personali per finalità proprie, non li cede a terzi, non li impiega per finalità di marketing e non li usa per addestrare sistemi di intelligenza artificiale. Gurtam tratta i dati personali solo per erogare il servizio: è scritto nel suo accordo sul trattamento, che prevale sulla licenza generale delle sue condizioni d'uso.

La configurazione deve corrispondere a quanto scritto nell'informativa consegnata ai lavoratori. Il Responsabile informa il Titolare se un'istruzione ricevuta appare in contrasto con la normativa sulla protezione dei dati, come previsto dall'art. 28, par. 3, ultimo periodo.

5. Obblighi del Responsabile

Il Responsabile si impegna a:

  • trattare i dati solo su istruzione documentata del Titolare, anche in caso di trasferimento verso paesi terzi;
  • garantire che le persone autorizzate al trattamento siano vincolate alla riservatezza;
  • adottare le misure tecniche e organizzative adeguate previste dall'art. 32 del GDPR;
  • rispettare le condizioni previste per il ricorso a un sub-responsabile;
  • assistere il Titolare nel dare seguito alle richieste degli interessati;
  • assistere il Titolare nell'assolvere gli obblighi degli artt. 32 a 36, compresa la valutazione d'impatto;
  • cancellare o restituire i dati al termine del trattamento, secondo la scelta del Titolare;
  • mettere a disposizione le informazioni necessarie a dimostrare il rispetto degli obblighi e consentire le verifiche;
  • non modificare le finalità del trattamento e non assumere decisioni autonome sui dati.

6. Personale autorizzato

Accedono ai dati unicamente i membri del personale del Responsabile la cui attività lo richiede, con credenziali individuali e vincolo di riservatezza. L'accesso del supporto tecnico ai dati di un Titolare avviene per la diagnosi di problemi segnalati e per il tempo necessario, e ne resta traccia nei log del sistema.

7. Misure di sicurezza

Le misure adottate comprendono: cifratura delle comunicazioni tra dispositivo, piattaforma e browser; autenticazione individuale con profili di permesso differenziati per ruolo; registrazione degli accessi e delle operazioni; segregazione logica dei dati tra clienti diversi; backup periodici e procedure di ripristino; gestione degli incidenti di sicurezza. Il fornitore della piattaforma opera con un sistema di gestione della sicurezza delle informazioni certificato ISO/IEC 27001.

8. Sub-responsabili

Il Titolare autorizza il Responsabile a ricorrere ai sub-responsabili elencati, che sono vincolati per contratto agli stessi obblighi di protezione dei dati previsti dal presente accordo. Il Responsabile resta responsabile del loro operato nei confronti del Titolare.

  • Gurtam UAB — Ozo g. 12A, Penta Technopolis, 08200 Vilnius, Lituania: piattaforma di localizzazione su cui il servizio è erogato e sulla quale i dati sono ospitati;
  • l'operatore di connettività mobile delle SIM installate sui dispositivi, per la trasmissione dei dati dal veicolo alla piattaforma;
  • i fornitori di infrastruttura di hosting e di posta elettronica impiegati per le comunicazioni di servizio.

Il Responsabile comunica al Titolare ogni modifica dell'elenco con almeno 14 giorni di preavviso. Entro tale termine il Titolare può opporsi per motivi ragionevoli legati alla protezione dei dati; se l'opposizione rende impossibile erogare il servizio, ciascuna parte può recedere senza penali. L'elenco aggiornato con i riferimenti completi è disponibile su richiesta scrivendo a info@trackyup.com.

9. Luogo del trattamento e trasferimenti

I dati di posizione sono ospitati su server situati nell'Unione europea. Il contratto con il fornitore della piattaforma prevede la possibilità di conservazione in altri paesi in cui il fornitore o i suoi sub-responsabili dispongono di infrastrutture: in tal caso il trasferimento è coperto dalle clausole contrattuali standard adottate dalla Commissione europea o da altro strumento previsto dagli artt. 45 e 46 del GDPR. Il Responsabile informa il Titolare se il luogo di trattamento dei dati muta in modo rilevante.

10. Diritti degli interessati

Le richieste di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità vanno indirizzate al Titolare, che ne è il destinatario. Se una richiesta relativa ai dati di posizione arriva al Responsabile, questi la trasmette al Titolare senza darle seguito autonomamente, e lo assiste nel rispondere mettendo a disposizione le funzioni della piattaforma e, ove necessario, l'estrazione dei dati.

11. Violazioni dei dati personali

Il Responsabile informa il Titolare senza ingiustificato ritardo dopo essere venuto a conoscenza di una violazione dei dati personali che riguardi i dati trattati per suo conto, fornendo le informazioni disponibili sulla natura dell'evento, le categorie e il numero approssimativo di interessati, le conseguenze probabili e le misure adottate, così da consentirgli di valutare la notifica al Garante prevista dall'art. 33 e l'eventuale comunicazione agli interessati.

La notifica all'autorità di controllo, quando dovuta, è un obbligo del Titolare: il termine di 72 ore decorre da quando ne viene a conoscenza.

12. Assistenza e valutazione d'impatto

Su richiesta, il Responsabile fornisce al Titolare la descrizione tecnica dei dati raccolti, delle modalità di trasmissione e conservazione e delle misure di sicurezza adottate, utile per la valutazione d'impatto prevista dall'art. 35 e per l'eventuale istanza all'Ispettorato territoriale del lavoro. La valutazione d'impatto resta un adempimento del Titolare, che nessun fornitore può svolgere in sua sostituzione.

13. Cessazione e cancellazione

Alla cessazione del rapporto contrattuale il Responsabile cancella i dati trattati per conto del Titolare, comprese le copie, entro 90 giorni, salvo che una norma di legge ne imponga la conservazione. Su richiesta scritta del Titolare, formulata prima della cessazione, i dati vengono restituiti in formato strutturato in luogo della cancellazione.

La piattaforma consente l'esportazione autonoma dello storico durante tutto il rapporto. Dopo la cancellazione i dati non sono recuperabili da nessuna delle due parti.

14. Verifiche

Il Responsabile mette a disposizione del Titolare, su richiesta motivata e con ragionevole preavviso, le informazioni necessarie a dimostrare il rispetto degli obblighi assunti, comprese le certificazioni di sicurezza del fornitore della piattaforma. Le verifiche si svolgono senza interferire con l'operatività del servizio e nel rispetto della riservatezza dei dati di altri clienti.

15. Responsabilità

Ciascuna parte risponde delle violazioni derivanti dai propri inadempimenti secondo l'art. 82 del GDPR. Restano in capo al Titolare la liceità del trattamento, l'assolvimento degli obblighi di trasparenza verso gli interessati e gli adempimenti previsti dall'art. 4 della legge 20 maggio 1970, n. 300, comprese le intese sindacali o l'autorizzazione dell'Ispettorato del lavoro, che costituiscono presupposto dell'utilizzo del sistema.

16. Accettazione

Il Titolare accetta il presente accordo con la spunta in fase d'ordine, insieme alle condizioni di servizio, oppure con altra accettazione scritta. Non è prevista una copia da firmare e rimandare. L'accettazione resta registrata sull'ordine, con la data e la versione del testo.

In caso di verifica conserva la conferma d'ordine, l'informativa consegnata ai lavoratori, l'accordo sindacale o l'autorizzazione dell'Ispettorato e la valutazione d'impatto.

Nomina del responsabile del trattamento ai sensi dell'art. 28 GDPR — TRACKYUP, marchio di YUP srls — https://trackyup.com/nomina-responsabile-trattamento-dati/

Se il tuo consulente vuole modificare una clausola, scrivicelo: le condizioni tecniche che dichiariamo qui sono verificabili, e su quelle non trattiamo.

Sul sito

Gli altri documenti della stessa pratica

Questo accordo è il contratto con noi. Informativa ai lavoratori e accordo sindacale restano documenti dell'azienda, e non li sostituisce.

Domande frequenti

Quello che ci chiedono prima di acquistare

Devo rimandarvi l'accordo firmato?

No. Lo accetti in cassa, con la spunta insieme alle condizioni di servizio. La conferma d'ordine registra data e versione del testo. Non serve una copia firmata.

Chi è il titolare del trattamento quando installo un GPS sui mezzi aziendali?

Il datore di lavoro. È l'azienda a decidere perché installare il sistema, con quale frequenza rilevare la posizione, quanto storico conservare e chi può consultarlo: sono queste scelte a definire il titolare ai sensi dell'art. 4 del GDPR. Il fornitore della piattaforma è responsabile del trattamento, cioè esegue quelle istruzioni per la parte tecnica. La distinzione non è formale: le sanzioni per un trattamento illecito colpiscono in primo luogo il titolare. Cosa fa concretamente il sistema — posizione, percorsi, avvisi — è nella pagina sul monitoraggio GPS dei mezzi aziendali.

L'accordo con il fornitore del GPS è obbligatorio?

Sì. L'art. 28 del GDPR prevede che il rapporto tra titolare e responsabile sia regolato da un contratto o da un altro atto giuridico scritto, che elenchi oggetto, durata, natura e finalità del trattamento, tipo di dati, categorie di interessati e gli obblighi specifici del responsabile. In assenza, la violazione è autonoma e riguarda entrambe le parti, indipendentemente da come è configurato il sistema. Il Garante per la protezione dei dati personali lo verifica tra i primi documenti in caso di controllo.

Che differenza c'è tra informativa e nomina del responsabile?

Hanno destinatari diversi. L'informativa è rivolta alle persone i cui dati vengono trattati, cioè i lavoratori, e serve a dire loro cosa viene raccolto e con quali diritti. La nomina del responsabile è un contratto tra l'azienda e il fornitore, e serve a stabilire cosa il fornitore può fare con quei dati. Servono entrambi. Frequenza, conservazione e accessi si impostano sulla piattaforma e devono coincidere con l'informativa.

Posso usare questo modello con un altro fornitore?

La struttura sì, perché ricalca gli obblighi che l'art. 28 impone a chiunque. Le clausole su sicurezza, sub-responsabili, luogo dei dati e cancellazione contengono dichiarazioni specifiche nostre. Con un fornitore diverso vanno sostituite con le sue, e se non è in grado di fornirtele quella è già un'informazione utile.

Chi sono i sub-responsabili di TRACKYUP?

La piattaforma su cui gira il servizio è fornita da Gurtam UAB, con sede a Vilnius in Lituania, che è il soggetto presso cui i dati di posizione sono ospitati e che dichiara conformità alle norme ISO 9001 e ISO/IEC 27001. Si aggiungono l'operatore di connettività mobile delle SIM installate sui dispositivi e i fornitori di hosting e posta elettronica per le comunicazioni di servizio. L'elenco è nell'accordo e viene aggiornato con 14 giorni di preavviso.

Dove sono conservati i dati di posizione dei nostri veicoli?

Su server situati nell'Unione europea. Il contratto con il fornitore della piattaforma prevede la possibilità di conservazione anche in altri paesi in cui esso o i suoi sub-responsabili dispongano di infrastrutture: in quel caso il trasferimento va coperto dalle clausole contrattuali standard della Commissione europea o da un altro strumento degli artt. 45 e 46 del GDPR. È una circostanza che va conosciuta prima, perché il luogo del trattamento è una delle voci che l'informativa ai lavoratori deve indicare.

Cosa accade ai dati se disdico il servizio?

Vengono cancellati dai sistemi entro 90 giorni dalla cessazione, comprese le copie, e dopo la cancellazione non sono recuperabili. Se ti servono, esportali prima: la piattaforma consente di scaricare storico e report in autonomia. In alternativa puoi chiedere per iscritto, prima della cessazione, che i dati ti vengano restituiti in formato strutturato invece di essere cancellati.

Come si accetta

La spunta in cassa basta

Quando ordini, la casella accetta le condizioni di servizio e questo accordo. Non c'è un modulo da firmare e da rimandare.

  1. Leggi l'accordo su questa pagina
  2. In cassa spunta la casella, che non è precompilata
  3. All'attivazione imposta intervallo, storico e accessi come li hai scritti nell'informativa ai lavoratori

AcquistaFac-simile informativa