Contract

PRIVACY POLICY KMASTER TRA Il Cliente sottoscrittore dei servizi K-Master (il “Titolare”). E K-Master Srl, con sede legale in Xxx Xxxxxxx Xxxxxxxxx, 00, Xxxx, in persona del proprio rappresentante legale pro tempore, P.IVA. 14551011001 (il “Responsabile” o “KMaster”). (di seguito “Parte” e collettivamente “Parti”) Premesso che: a) il Titolare e KMaster hanno un contratto di fornitura di servizi (di seguito “Contratto”) con il quale KMaster si è impegnata a prestare in favore del Titolare dei servizi (di seguito “Servizi”); b) al fine di adempiere alle obbligazioni indicate nel Contratto, KMaster tratterà dati personali del Titolare; c) il Titolare, prima di affidare a KMaster lo svolgimento dei Servizi, ha valutato che KMaster abbia adottato presidi idonei a garantire la tutela e la protezione dei dati personali;

PRIVACY POLICY KMASTER BETWEEN The Client subscriber of Kmaster services (the “Data Controller”) AND K-Master Srl, in person of its legal representative for the time being, VAT no and Tax Code 14551011001, with registered office in Xxx X. Xxxxxxxxx, 00, Xxxx (XX) (the “Data Processor” or “KMaster”). (hereinafter “Party”, and together “Parties”) Whereas a) the Data Controller and KMaster entered into a service supply agreement (hereinafter the, “Contract”), whereby KMaster has undertaken to provide telematic services in favor of the Data Controller (hereinafter, “Services”); b) for the purpose of fulfilling the obligations as provided for by the Contract, Kmaster will process personal data of the Data Controller; c) the Data Controller, prior to appointment for the provision of the Services, has assessed that KMaster ensures sufficient technical measures and adequate protection for the personal data processed and for the rights of the Data Subjects;

1. Definizioni ▪ per “Dati personali” si intendono tutte le informazioni relative ad una persona fisica, identificata o identificabile (l’“Interessato”) che il Responsabile tratta per conto del Titolare allo scopo di fornire i Servizi; ▪ per “Legge applicabile” si intende il Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (il “Regolamento” o “GDPR”), nonché qualsiasi altra normativa o atto avente forza normativa in materia di protezione dei dati personali, ivi compresi i provvedimenti del Garante e la normativa in materia di protezione dei dati personali applicabile nello Stato membro; ▪ “Violazione dei dati personali” si intende la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai Dati personali trasmessi, conservati o comunque trattati

1. Definitions ▪ “Personal Data” means any information relating to an identified or identifiable natural person (“Data Subject”) which the Data Processor processes on behalf of the Data Controller for the purposes of providing the Services; ▪ “Applicable Law” means the Regulation (EU) 2016/679 of the European Parliament and of the Council, of 27 April 2016, on the protection of natural persons with regard to the processing of personal data and on the free movement of such data (“Regulation” or “GDPR”), and any other national legislation or act having force of law regarding data protection, including the decision of the Supervisory Authority; and the general Data Protection Regulations applicable in the Member State; ▪ “Personal Data Breach” means any occurrence leading to an accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, Personal Data transmitted, stored or otherwise processed; ▪ “Supervisory Authority” means the Authority provided for under Section 51, Regulation,

▪ per “Garante” si intende l’Autorità di cui all’art. 51 del Regolamento, che svolge le funzioni indicate nel successivo art. 57, GDPR; ▪ per “Misure di sicurezza” si intendono le misure di sicurezza indicate dall’art. 32, GDPR e dai provvedimenti del Garante.	which performs the tasks set forth in Section 57, Regulation; ▪ “Security Measures” means the minimal security measures provided for by Section 32, Regulation, and by the relevant Supervisory Authority’s measures/decisions.
2. Operazioni di trattamento, tipologia di Dati personali e categorie di interessati 2.1 L’Accordo si riferisce a tutte le operazioni di trattamento connesse alla fornitura dei Servizi (“Operazioni di trattamento”). 2.2 Le Operazioni di trattamento saranno funzionali allo svolgimento delle attività indicate nel Contratto nonché a tutte le attività necessarie per il Responsabile per adempiere al Contratto. 2.3 Il Responsabile tratterà i Dati personali riferibili a società di autotrasporto, consorzi e consorziati che usufruiscono dei servizi KMaster. 2.4 Le Operazioni di trattamento avranno ad oggetto le seguenti categorie di Dati personali: dati personali comuni, ossia l'anagrafica, la ragione sociale, l'indirizzo di residenza, il recapito telefonico, l'indirizzo e-mail, la targa del veicolo, l'ID apparato e la localizzazione del veicolo.	2. Processing activities, categories of Personal Data, and categories of Data Subjects 2.1 This Agreement shall apply to all the processing activities relevant to the Services (“Processing Activities”). 2.2 The Processing Activities shall be as pertaining to the performance of the activities set forth in the Contract, as well as the additional activities the Data Controller might require of the Data Processor within the scope of the Contract. 2.3 The Data Processor shall process the Personal Data relevant to truck companies; Consortium and Members of the Consortium which benefit from KMaster services. 2.4 The Processing Activities shall cover the following categories of Personal Data: common personal data; residence address; business name; telephone number; e-mail: license plate; OBU-ID and the vehicle location.
3. Obblighi del Responsabile Fermo restando ogni altro obbligo previsto dalla Normativa Applicabile, il Responsabile si impegna a: • trattare i Dati personali esclusivamente per le finalità indicate nel Contratto di Servizio, nonché per le finalità ulteriori che il Titolare dovesse eventualmente e successivamente indicare, e comunque esclusivamente per l’esecuzione del Contratto; • trattare i Dati personali in piena conformità alle istruzioni qui fornite da parte del Titolare ovvero, di quelle ulteriori che lo stesso dovesse fornire per iscritto ovvero a mezzo PEC a KMaster al fine di assicurare la corretta esecuzione dei Servizi; • garantire che tutte le persone agenti sotto la propria autorità alle quali sia consentito accedere o anche trattare i Dati personali abbiano sottoscritto idoneo impegno, o siano altrimenti comunque adeguatamente vincolate, a mantenere la riservatezza rispetto a tali dati e che, a tal fine, gli stessi agiscano sotto il costante controllo del	3. Duties of the Data Processor Without prejudice to any other duty provided for by Applicable Law, the Data Processor undertakes: • to process the Personal Data exclusively for the purposes set forth in this Agreement, as well as for the additional purposes which the Data Controller might potentially provide for afterwards, and in any case, for the performance of the Contract; • to process the Personal Data in compliance with the instructions hereby provided by the Data Controller, or with the instructions the Data Controller might, in future, consider as appropriate to provide for the duly performance of the Services; additional instructions, which might be provided for by the Data Controller, shall be in writing to the Data Processor or via certified e-mail; • to ensure that all the individuals acting under its control, and allowed to access and process the Personal Data, have executed an appropriate undertaking, or are otherwise adequately bound, to keep such data as confidential, and that, to this purpose, they act under the Data Processor’s

Responsabile ed in conformità alle istruzioni da quest’ultimo fornite; • non consentire a terzi l’accesso ai Dati personali, se non in presenza di adeguati presupposti di liceità per tali ulteriori trattamenti; • tenere i Dati personali separati dai dati detenuti per conto di altri soggetti; • adottare idonea procedura di gestione delle violazioni della sicurezza da cui derivino, accidentalmente o in modo illecito, la distruzione, la perdita, la divulgazione non autorizzata o l’accesso ai Dati personali o, in alternativa, conformarsi e dare adeguata attuazione alla corrispondente policy che dovesse essere trasmessa da parte del Titolare, prestando in ogni caso la massima collaborazione nei confronti dello stesso al fine di eliminare o quantomeno ridurre al minimo gli impatti derivanti da eventi di questo tipo; • al ricorrere dei presupposti, predisporre e mantenere costantemente aggiornato un registro di tutte le Operazioni di trattamento svolte ai fini dell’esecuzione del Contratto, contenente in particolare: i) i propri dati di contatto, oltre a quelli del Titolare e, ove applicabile, del proprio responsabile della protezione dei dati; ii) le categorie dei trattamenti effettuati per conto del Titolare; iii) una descrizione generale delle misure di sicurezza tecniche e organizzative adottate in conformità al presente atto di nomina; • supportare il Titolare nel dar seguito alle richieste ricevute dal Garante ovvero da altre autorità competenti ovvero relative a procedimenti o ispezioni che potrebbero essere avviati nei confronti del Titolare.

constant supervision and according to the instructions given by the latter; • not to allow third parties to access the Personal Data, unless there are adequate requirements of lawfulness regarding such further processing; • to keep the Personal Data segregated from those it might keep on behalf of other subjects; • to adopt an appropriate procedure to manage data breach of security which might lead to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure of, or access to, personal data, or as an alternative, to adapt and adequately implement the relevant policy, which might be provided for by the Data Controller. To be reasonably cooperative towards the Data Controller for the purposes to remove or, at least, minimize the impact arising from any event of this kind; • when the relevant requirements are met, to draw up and maintain up-to-date, records of the Processing Activities pursuant to Article 30 GDPR carried out in the performance of the Agreement, which shall contain, at least, the following information: i) the name and contact details of the Data Processor and of the Data Controller, and, where applicable, the data protection officer appointed by the Data Processor; ii) the categories of processing carried out on behalf of the Data Controller; iii) a general description of the technical and organizational security measures implemented according to this appointment; • to assist the Data Controller to follow up the requests received from the Supervisory Authority or other competent authorities or related to proceedings or inspections which might be opened towards the Data Controller.

4. Sicurezza dei dati Il Responsabile si impegna ad adottare misure tecniche e organizzative adeguate a garantire un idoneo livello di sicurezza in riferimento ai Dati personali e ad adottare ogni misura necessaria a prevenire, o quantomeno minimizzare, ogni rischio ragionevolmente prevedibile connesso alla distruzione, alla perdita, alla modifica, alla divulgazione non autorizzata o all’accesso, in modo accidentale o illegale, ai dati ricevuti. In particolare, il Responsabile si impegna ad adottare misure di sicurezza conformi a quanto disposto all’art. 32 del Regolamento oltre a quelle, eventualmente, ulteriori che il Titolare gli chiedesse di adottare in relazione a specifiche Operazioni del trattamento.

4. Data Security The Data Processor undertakes to implement appropriate technical and organizational measures to ensure an appropriate level of security to the risk with reference to the Personal Data, and to implement all adequate measures to prevent, or at least to minimize, any reasonably foreseeable risk relevant to the accidental or unlawful destruction, loss, alteration, unauthorized disclosure or access to the Personal Data received. Specifically, the Data Processor implements the security measures set forth in Section 32 of the Regulation, as well as additional measures, the latter deems as necessary relating to the Processing Activities.

5. Riservatezza Senza recare alcun pregiudizio a qualsivoglia rapporto contrattuale esistente tra le Parti il Responsabile tratta i Dati Personali in modo strettamente confidenziale e si impegna a informare i propri dipendenti, agenti e/o sub-fornitori coinvolti nelle attività di trattamento dei Dati personali circa la natura riservata di detti dati. Il Responsabile assicura altresì che i soggetti suindicati abbiamo appositamente firmato un accordo di riservatezza, siano tenuti all’osservanza di obblighi di riservatezza, ovvero siano assoggetti a un’apposita clausola statutaria di riservatezza. 5. Confidentiality Without prejudice to any existing contractual arrangements between the Parties, the Data Processor shall treat all Personal Data as confidential and it shall inform all its employees, agents and/or approved sub-processors engaged in processing the Personal Data of the confidential nature of the Personal Data. The Data Processor shall ensure that all such persons or parties have signed an appropriate confidentiality agreement, are otherwise bound to a duty of confidentiality, or are under an appropriate statutory obligation of confidentiality.