1Titolare del trattamento e contatti
Il titolare del trattamento è Computer Lab Ltd, società registrata in Inghilterra e Galles con Company No. 16708128, sede legale 20 Wenlock Road, London N1 7GU, Regno Unito, tel. +44 020 8191 3482, email [email protected].
Poiché il titolare ha sede nel Regno Unito e offre servizi a persone nell'Unione europea, ai sensi dell'art. 27 GDPR è designato come rappresentante nell'UE: Aegis Core S.r.l.s., Perugia (PG), Italia, email [email protected]. Il rappresentante può essere contattato per qualsiasi questione relativa al trattamento, in alternativa al titolare.
Responsabile della protezione dei dati (DPO): non designato, non ricorrendo le condizioni dell'art. 37 GDPR; la funzione privacy è svolta dal referente interno, contatto [email protected].
Autorità di controllo: per gli utenti in Italia il Garante per la protezione dei dati personali (garanteprivacy.it); per gli utenti nel Regno Unito l'Information Commissioner's Office (ico.org.uk). Per il trattamento dei dati di persone nell'UE si applicano il GDPR e il D.Lgs. 196/2003; per le persone nel Regno Unito lo UK GDPR e il Data Protection Act 2018.
2Ambito di applicazione
La presente informativa si applica a tutti i servizi Computer Lab: il sito clabglobal.com, la Customer App (per chi richiede una riparazione), la Technician App (per tecnici e centri assistenza aderenti alla rete), il Super Admin Panel e i servizi collegati Pick&Fix®, Computer Lab Care™, Jack AI e Tech for Life. Le app sono distribuite tramite Apple App Store e Google Play e sono soggette anche ai termini di tali piattaforme.
Sono interessate le seguenti categorie di persone: Clienti (utenti che aprono un ticket di riparazione, anche per conto di terzi); Tecnici (professionisti, titolari o dipendenti di centri assistenza che operano sulla piattaforma); Rider Pick&Fix®; visitatori del sito e candidati all'onboarding tecnico; referenti di partner, fornitori e investitori.
I tecnici e i centri assistenza trattano i dati dei clienti che ricevono tramite la piattaforma come autonomi titolari per le finalità proprie (esecuzione della riparazione, fatturazione, garanzia legale) e come responsabili di Computer Lab per le attività svolte all'interno del workflow della piattaforma; i rapporti sono regolati dal Contratto di rete tecnici e dall'accordo ex art. 28 GDPR. Il presente documento non copre i trattamenti che i tecnici svolgono con propri strumenti al di fuori della piattaforma.
Se l'utente carica dati di terzi (es. il dispositivo appartiene a un familiare o a un'azienda), garantisce di avere titolo per farlo e di aver informato l'interessato.
3Dati trattati e permessi delle app
Raccogliamo solo i dati necessari al servizio. Nessun dato viene raccolto prima della registrazione, salvo i dati tecnici minimi di funzionamento dell'app.
| Categoria | Dati | Chi | Origine |
|---|---|---|---|
| Identificativi e contatto | nome, cognome, email, numero di telefono (verificato via OTP), indirizzo di ritiro/consegna | Clienti, Tecnici, Rider | forniti dall'utente |
| Dati professionali (onboarding tecnici) | ragione sociale, partita IVA, codice fiscale, documento d'identità, visura o certificato camerale, attestati e certificazioni, IBAN per i pagamenti, foto profilo | Tecnici | forniti dall'utente |
| Dati del ticket | descrizione del guasto, categoria, marca/modello/seriale del dispositivo, foto e video caricati, preventivi, cronologia interventi, esiti, documentazione, garanzia Care™ | Clienti, Tecnici | forniti dall'utente / generati dal servizio |
| Contenuti delle chat | messaggi, allegati e note scambiati tra cliente, tecnico e assistenza | Clienti, Tecnici | forniti dall'utente |
| Conversazioni con Jack AI | testo delle richieste in linguaggio naturale, risposte, categoria suggerita | Clienti, Tecnici | forniti dall'utente / generati |
| Posizione | posizione approssimativa o precisa (solo con consenso) per il matching con i tecnici vicini e la logistica Pick&Fix®; per i rider, posizione in tempo reale durante la consegna | Clienti, Tecnici, Rider | dispositivo |
| Pagamenti | importo, esito, ultime 4 cifre della carta, token del provider; i dati completi della carta sono trattati solo dal provider di pagamento | Clienti, Tecnici | provider di pagamento |
| Recensioni e reputazione | valutazioni, testi delle recensioni, KPI (tempi di risposta, tasso di completamento, dispute, richiami) | Clienti, Tecnici | forniti dall'utente / generati |
| Dati tecnici | identificativo dispositivo, sistema operativo, versione app, indirizzo IP, log di accesso e di errore, token per le notifiche push | Tutti | dispositivo / server |
| Audit trail | registro delle azioni sul ticket (aperture, cambi stato, accessi, aperture Smart Secure Bag) | Clienti, Tecnici, Rider | generati dal servizio |
Permessi richiesti dalle app
Sempre opzionali, richiesti al momento dell'uso e revocabili dalle impostazioni del sistema operativo: fotocamera e galleria per allegare foto e video del dispositivo o dei documenti; posizione per proporre tecnici vicini, calcolare i costi Pick&Fix® e, per i rider, tracciare la consegna (solo mentre l'app è in uso, salvo scelta esplicita per i rider); notifiche push per aggiornamenti su ticket, preventivi e consegne; microfono solo se l'utente sceglie la dettatura vocale con Jack AI; NFC/Bluetooth solo per l'apertura della Smart Secure Bag, quando disponibile. Le app non accedono a contatti, SMS, registro chiamate o altri file oltre a quelli scelti dall'utente.
Dati che non trattiamo intenzionalmente
Dati sanitari, biometrici, opinioni politiche o altre categorie particolari (art. 9 GDPR). Chiediamo agli utenti di non inserirli nelle descrizioni, nelle chat o nelle foto. I contenuti presenti sul dispositivo consegnato al tecnico (file, foto, account) non sono oggetto di trattamento da parte di Computer Lab; il tecnico vi accede solo nella misura strettamente necessaria alla riparazione secondo la policy di gestione sicura e di cancellazione dei dati (wipe policy) accettata in fase di onboarding.
4Finalità e basi giuridiche
| Finalità | Dati usati | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Creazione e gestione dell'account, verifica OTP, recupero password | identificativi, contatto, dati tecnici | contratto (lett. b) |
| Onboarding e verifica dei tecnici (identità, partita IVA, competenze), assegnazione del livello | dati professionali, documenti | contratto (lett. b); obbligo legale antifrode e fiscale (lett. c) |
| Apertura, gestione e chiusura dei ticket; preventivi; chat; tracking | dati del ticket, chat, posizione | contratto (lett. b) |
| Matching tra ticket e tecnici (geolocalizzazione, competenze, rating, disponibilità, carico di lavoro) | posizione, dati del ticket, KPI | contratto (lett. b); legittimo interesse a un servizio efficiente (lett. f) |
| Logistica Pick&Fix®: ritiro, trasporto, riconsegna, chain of custody, apertura Smart Secure Bag | contatto, indirizzo, posizione, audit trail | contratto (lett. b) |
| Pagamenti, fatturazione, commissioni, versamenti ai tecnici | pagamenti, IBAN, dati fiscali | contratto (lett. b); obbligo legale (lett. c) |
| Computer Lab Care™: gestione richiami, validazione, fondo di garanzia | dati del ticket, storico | contratto (lett. b) |
| Sistema reputazionale: recensioni, KPI, livelli tecnici, badge | recensioni, KPI | contratto (lett. b); legittimo interesse alla qualità e trasparenza della rete (lett. f) |
| Jack AI: interpretazione del problema, triage, suggerimento di categoria, troubleshooting, supporto | conversazioni con Jack AI, dati del ticket | contratto (lett. b); consenso (lett. a) per la dettatura vocale |
| Gestione dispute, moderazione dei contenuti, prevenzione frodi e abusi, sicurezza della piattaforma | tutti i dati pertinenti, log, audit trail | legittimo interesse (lett. f); obbligo legale (lett. c) |
| Notifiche di servizio (stato ticket, preventivi, consegne, sicurezza) | contatto, token push | contratto (lett. b) |
| Comunicazioni promozionali, newsletter, sondaggi | contatto | consenso (lett. a), revocabile in ogni momento |
| Analisi statistiche aggregate e miglioramento del servizio | dati tecnici, dati d'uso pseudonimizzati | legittimo interesse (lett. f) |
| Analytics e marketing tramite SDK di terzi nelle app e cookie sul sito | dati tecnici, identificativi pubblicitari | consenso (lett. a) |
| Tech for Life: calcolo della donazione associata al ticket | importo del ticket (nessun dato aggiuntivo) | contratto (lett. b) |
| Tutela dei diritti in sede giudiziaria, risposta ad autorità | dati pertinenti | legittimo interesse (lett. f); obbligo legale (lett. c) |
Il conferimento dei dati contrassegnati come obbligatori in fase di registrazione è necessario per usare il servizio; il mancato conferimento impedisce la creazione dell'account o l'apertura del ticket. Il conferimento dei dati per finalità basate sul consenso è facoltativo e il rifiuto non ha conseguenze sul servizio.
Processi decisionali automatizzati
Il matching e il calcolo dei KPI e dei livelli tecnici sono automatizzati, ma la sospensione, la retrocessione o l'esclusione di un tecnico dalla rete sono sempre confermate da un operatore. Jack AI fornisce suggerimenti, non decisioni: non modifica lo stato di un ticket né assegna un tecnico senza un'azione umana. L'utente può in ogni caso chiedere l'intervento umano e contestare l'esito (art. 22 GDPR).
5Trattamenti specifici
Jack AI
Jack è l'assistente in linguaggio naturale della piattaforma. Le richieste inviate a Jack e il contesto del ticket (descrizione, categoria, modello del dispositivo) sono trasmessi al fornitore del motore AI, che agisce come responsabile del trattamento e non usa i dati per addestrare i propri modelli. Non inviare a Jack dati di terzi, password o dati sensibili. Le conversazioni sono conservate insieme al ticket per consentire la continuità dell'assistenza e possono essere riviste da operatori umani per migliorare la qualità del servizio.
Pick&Fix® e Smart Secure Bag
Per il ritiro e la riconsegna condividiamo con il rider assegnato solo nome, indirizzo, fascia oraria e numero di telefono (mascherato dove tecnicamente possibile). Il rider non ha accesso al contenuto del ticket né al dispositivo. Ogni apertura della Smart Secure Bag (OTP, NFC, QR o geofence) è registrata con data, ora, posizione e soggetto che ha effettuato l'apertura, per garantire la catena di custodia; questi log sono conservati con il ticket.
Pagamenti
I pagamenti sono gestiti da Stripe Payments Europe Ltd, certificato PCI-DSS, che tratta i dati della carta come autonomo titolare secondo la propria informativa. Computer Lab riceve solo l'esito, l'importo e un identificativo tokenizzato. I versamenti ai tecnici avvengono sull'IBAN comunicato in fase di onboarding.
Recensioni e sistema reputazionale
Le recensioni dei clienti sono pubblicate nel profilo del tecnico con nome puntato e data; il cliente può chiederne la rimozione. I KPI (tempi di risposta, completamento, dispute, richiami, qualità della documentazione) sono calcolati automaticamente e determinano il livello del tecnico (da New Associate a Elite). Il tecnico può vedere i propri KPI nella Technician App e contestarli tramite l'assistenza.
Computer Lab Care™
Per la gestione dei richiami in garanzia trattiamo lo storico del ticket e la documentazione dell'intervento. Le decisioni di validazione del richiamo sono prese da operatori.
Tech for Life
L'importo della donazione è calcolato in base alla fascia del ticket. Non trasmettiamo dati personali dei clienti alle associazioni beneficiarie; l'eventuale dashboard pubblica mostra solo totali aggregati.
Contenuti caricati
Foto e video del dispositivo devono riguardare solo il dispositivo. Inquadrature che mostrano persone, documenti o schermate con dati personali vanno evitate; possiamo rimuovere contenuti non pertinenti.
6Destinatari e trasferimenti extra-UE
I dati non sono venduti né ceduti a terzi per finalità proprie. Possono essere comunicati a:
| Destinatario | Ruolo | Dati | Sede |
|---|---|---|---|
| Tecnici e centri assistenza assegnati al ticket | autonomi titolari / responsabili (art. 28) | identificativi, contatto, dati del ticket, chat | UE |
| Rider Pick&Fix® | responsabili o autonomi titolari per il trasporto | nome, indirizzo, telefono, fascia oraria | UE |
| Aegis Core S.r.l.s. (hosting e infrastruttura cloud) | responsabile | tutti i dati | UE/SEE |
| Stripe Payments Europe Ltd | autonomo titolare | dati di pagamento | UE / con garanzie adeguate |
| Fornitore del motore AI (Jack AI) | responsabile | conversazioni, contesto del ticket | UE/USA, con EU-US Data Privacy Framework o clausole contrattuali standard |
| Twilio Ireland Ltd (SMS/OTP), Brevo SAS (email transazionali), Google Firebase Cloud Messaging e Apple Push Notification service (notifiche push) | responsabili | contatto, token push | UE / USA con garanzie |
| Onfido Ltd (verifica identità) e servizio VIES della Commissione europea (verifica partita IVA) | responsabile | documenti tecnici | UE |
| Aegis Core S.r.l.s. e società del gruppo (GrifoTech come laboratorio pilota) | responsabili o contitolari per le attività operative in Italia | dati operativi | Italia |
| Rossane Engineering Ltd (Dhaka), team di sviluppo e supporto tecnico | responsabile con accesso limitato a dati pseudonimizzati o per manutenzione | dati tecnici, accesso ai sistemi | Bangladesh, con clausole contrattuali standard e misure supplementari |
| Consulenti legali, contabili, revisori; assicurazioni Care™ | autonomi titolari | dati pertinenti | UE/UK |
| Autorità pubbliche, forze dell'ordine | autonomi titolari | dati richiesti per legge | — |
Trasferimenti
Il titolare ha sede nel Regno Unito, paese per il quale la Commissione europea ha adottato una decisione di adeguatezza; i dati delle persone nell'UE sono ospitati su server nello Spazio economico europeo. Per i fornitori situati in paesi senza decisione di adeguatezza (in particolare Stati Uniti e Bangladesh) adottiamo le clausole contrattuali standard approvate dalla Commissione europea (Decisione 2021/914), integrate da valutazioni d'impatto sul trasferimento e misure tecniche (cifratura, pseudonimizzazione, minimizzazione degli accessi). Per i fornitori statunitensi aderenti al EU-US Data Privacy Framework ci avvaliamo di tale decisione di adeguatezza. Copia delle garanzie e l'elenco aggiornato dei responsabili sono disponibili su richiesta a [email protected].
7Conservazione, sicurezza e minori
| Dati | Periodo di conservazione |
|---|---|
| Account e dati di profilo | per tutta la durata del rapporto; cancellati entro 30 giorni dalla chiusura dell'account |
| Ticket, chat, foto/video, audit trail, log Smart Secure Bag | 24 mesi dalla chiusura del ticket, per gestire garanzia legale (art. 130 Codice del Consumo), Care™ e dispute; poi anonimizzati |
| Documenti di onboarding tecnici (identità, visura, certificazioni) | durata del rapporto + 24 mesi; documento d'identità cancellato dopo la verifica, conservando solo l'esito |
| Dati di fatturazione e pagamento | 10 anni (obblighi civilistici e fiscali) |
| Conversazioni con Jack AI | come il ticket a cui appartengono; conversazioni senza ticket 90 giorni |
| Recensioni | per tutta la permanenza del tecnico nella rete; anonimizzate alla chiusura dell'account del cliente |
| Posizione | in tempo reale, non conservata oltre la chiusura del ticket o della consegna; per i rider, tracce di consegna 90 giorni |
| Log tecnici e di sicurezza | 12 mesi (salvo indagini in corso) |
| Consensi marketing e cookie | fino a revoca; prova del consenso 24 mesi |
Sicurezza
Applichiamo misure tecniche e organizzative conformi all'art. 32 GDPR: cifratura in transito (TLS) e a riposo, autenticazione con OTP e opzioni di autenticazione a più fattori, controllo degli accessi per ruolo, ambienti segregati, logging e audit trail delle operazioni, backup cifrati, test di vulnerabilità periodici, formazione del personale e clausole di riservatezza per tecnici e rider. Il sistema di gestione della sicurezza è allineato a ISO/IEC 27001 e alle indicazioni NIS2. In caso di violazione dei dati che presenti un rischio elevato, informeremo gli interessati e l'autorità competente nei termini degli artt. 33-34 GDPR.
Dispositivi consegnati per la riparazione
Consigliamo di eseguire un backup e, dove possibile, di rimuovere dati sensibili o account prima della consegna. I tecnici della rete accettano una policy di gestione sicura che vieta la copia, la consultazione non necessaria e la conservazione dei dati presenti sul dispositivo e impone la cancellazione sicura dei supporti sostituiti (wipe policy).
Minori
I servizi sono destinati a persone di almeno 18 anni; la Technician App è riservata a professionisti. Non raccogliamo consapevolmente dati di minori di 14 anni. Un minore tra 14 e 18 anni può usare la Customer App solo con il consenso e sotto la supervisione di chi esercita la responsabilità genitoriale. Se veniamo a conoscenza di dati raccolti da un minore senza le condizioni richieste, li cancelliamo.
8Diritti, cancellazione dell'account, cookie e SDK, modifiche
Diritti dell'interessato
Ai sensi degli artt. 15-22 GDPR l'utente può in ogni momento: accedere ai propri dati e riceverne copia; rettificarli; ottenerne la cancellazione; limitarne il trattamento; opporsi ai trattamenti basati sul legittimo interesse e al marketing; ricevere i dati in formato strutturato (portabilità); revocare i consensi prestati senza pregiudicare la liceità dei trattamenti precedenti; non essere sottoposto a decisioni unicamente automatizzate. Le richieste vanno inviate a [email protected] o al rappresentante UE; rispondiamo entro 30 giorni, prorogabili di 60 nei casi complessi. È sempre possibile proporre reclamo al Garante per la protezione dei dati personali o all'autorità del proprio paese.
Cancellazione dell'account e dei dati dall'app
In entrambe le app è disponibile la funzione Impostazioni → Account → Elimina account, che avvia la cancellazione dell'account e di tutti i dati personali, senza necessità di contattare l'assistenza. La stessa richiesta può essere inviata dalla pagina clabglobal.com/delete-account o via email. Restano conservati, in forma limitata, solo i dati la cui conservazione è imposta dalla legge (fatture) o necessaria per dispute in corso, per i periodi indicati nella sezione 7. Un tecnico con ticket aperti deve prima completarli o riassegnarli.
Cookie e SDK di terze parti
Il sito clabglobal.com usa cookie tecnici (necessari) e, solo con consenso, cookie analitici, funzionali e di marketing, gestibili dal banner di consenso; il dettaglio è nella Cookie Policy. Le app integrano i seguenti SDK: Firebase Cloud Messaging e APNs (notifiche push); Firebase Crashlytics (crash reporting e diagnostica); Google Analytics for Firebase (analytics, solo con consenso); Google Maps Platform (mappe e geocoding); Stripe SDK (pagamenti). Gli identificativi pubblicitari (IDFA, GAID) non sono usati salvo consenso esplicito tramite il prompt di sistema (App Tracking Transparency su iOS). L'utente può gestire i consensi da Impostazioni → Privacy nell'app.
Comunicazioni
Le notifiche di servizio (stato ticket, sicurezza dell'account) sono necessarie e non disattivabili se non chiudendo l'account; le notifiche push possono essere disattivate dal sistema operativo. Le comunicazioni promozionali richiedono un consenso separato e possono essere disattivate con un click.
Modifiche
Possiamo aggiornare questa informativa in caso di novità normative o di servizio. Le modifiche sostanziali sono comunicate via app o email almeno 15 giorni prima dell'entrata in vigore; la versione corrente, con data e numero di versione, è sempre disponibile su clabglobal.com/privacy.html e nel menu dell'app.
Domande sulla privacy?
Scrivici: rispondiamo entro 30 giorni a ogni richiesta di esercizio dei diritti.
1Data controller and contacts
The data controller is Computer Lab Ltd, a company registered in England and Wales under Company No. 16708128, registered office 20 Wenlock Road, London N1 7GU, United Kingdom, tel. +44 020 8191 3482, email [email protected].
Because the controller is established in the United Kingdom and offers services to individuals in the European Union, it has appointed the following representative in the EU under Article 27 GDPR: Aegis Core S.r.l.s., Perugia (PG), Italy, email [email protected]. You may contact the representative on any matter relating to the processing, as an alternative to the controller.
Data Protection Officer (DPO): not appointed, as the conditions of Article 37 GDPR are not met; the privacy function is carried out by the internal privacy lead, contact [email protected].
Supervisory authority: for users in Italy, the Garante per la protezione dei dati personali (garanteprivacy.it); for users in the United Kingdom, the Information Commissioner's Office (ico.org.uk). Processing of data of individuals in the EU is governed by the GDPR and, for Italy, Legislative Decree 196/2003; processing of data of individuals in the UK by the UK GDPR and the Data Protection Act 2018.
2Scope
This policy applies to all Computer Lab services: the clabglobal.com website, the Customer App (for people requesting a repair), the Technician App (for technicians and repair centres in the network), the Super Admin Panel and the related services Pick&Fix®, Computer Lab Care™, Jack AI and Tech for Life. The apps are distributed through the Apple App Store and Google Play and are also subject to those platforms' terms.
It covers the following categories of individuals: Customers (users who open a repair ticket, including on behalf of others); Technicians (professionals, owners or employees of repair centres operating on the platform); Pick&Fix® Riders; website visitors and technician applicants; contacts at partners, suppliers and investors.
Technicians and repair centres process the customer data they receive through the platform as independent controllers for their own purposes (performing the repair, invoicing, statutory warranty) and as processors of Computer Lab for activities carried out within the platform workflow; these relationships are governed by the Technician Network Agreement and the Article 28 GDPR data processing agreement. This policy does not cover processing that technicians carry out with their own tools outside the platform.
If you upload data relating to third parties (for example, the device belongs to a family member or a company), you confirm that you are entitled to do so and have informed the person concerned.
3Data we process and app permissions
We collect only the data needed to provide the service. No data is collected before registration, apart from the minimum technical data required for the app to run.
| Category | Data | Who | Source |
|---|---|---|---|
| Identity and contact | first name, last name, email, phone number (verified via OTP), pickup/delivery address | Customers, Technicians, Riders | provided by you |
| Professional data (technician onboarding) | business name, VAT number, tax code, identity document, company registration extract, certificates and qualifications, IBAN for payouts, profile photo | Technicians | provided by you |
| Ticket data | fault description, category, device brand/model/serial number, uploaded photos and videos, quotes, repair history, outcomes, documentation, Care™ warranty | Customers, Technicians | provided by you / generated by the service |
| Chat content | messages, attachments and notes exchanged between customer, technician and support | Customers, Technicians | provided by you |
| Conversations with Jack AI | text of natural-language requests, responses, suggested category | Customers, Technicians | provided by you / generated |
| Location | approximate or precise location (with consent only) for matching with nearby technicians and Pick&Fix® logistics; for riders, real-time location during delivery | Customers, Technicians, Riders | device |
| Payments | amount, outcome, last 4 card digits, provider token; full card data is handled only by the payment provider | Customers, Technicians | payment provider |
| Reviews and reputation | ratings, review text, KPIs (response time, completion rate, disputes, recalls) | Customers, Technicians | provided by you / generated |
| Technical data | device identifier, operating system, app version, IP address, access and error logs, push notification token | Everyone | device / server |
| Audit trail | log of actions on the ticket (opening, status changes, access, Smart Secure Bag openings) | Customers, Technicians, Riders | generated by the service |
App permissions
Always optional, requested at the moment of use and revocable from the operating system settings: camera and photo library to attach photos and videos of the device or documents; location to suggest nearby technicians, calculate Pick&Fix® costs and, for riders, track the delivery (while in use only, unless a rider explicitly chooses otherwise); push notifications for updates on tickets, quotes and deliveries; microphone only if you choose voice dictation with Jack AI; NFC/Bluetooth only to open the Smart Secure Bag, where available. The apps do not access contacts, SMS, call logs or any files other than those you choose.
Data we do not intentionally process
Health, biometric, political or other special-category data (Article 9 GDPR). Please do not include them in descriptions, chats or photos. Content stored on the device handed to the technician (files, photos, accounts) is not processed by Computer Lab; the technician accesses it only to the extent strictly necessary for the repair, under the secure handling and data wipe policy accepted during onboarding.
4Purposes and legal bases
| Purpose | Data used | Legal basis (Art. 6 GDPR) |
|---|---|---|
| Account creation and management, OTP verification, password recovery | identity, contact, technical data | contract (b) |
| Technician onboarding and verification (identity, VAT, skills), level assignment | professional data, documents | contract (b); legal obligation for anti-fraud and tax purposes (c) |
| Opening, managing and closing tickets; quotes; chat; tracking | ticket data, chat, location | contract (b) |
| Matching tickets with technicians (location, skills, rating, availability, workload) | location, ticket data, KPIs | contract (b); legitimate interest in an efficient service (f) |
| Pick&Fix® logistics: pickup, transport, return, chain of custody, Smart Secure Bag opening | contact, address, location, audit trail | contract (b) |
| Payments, invoicing, commissions, technician payouts | payments, IBAN, tax data | contract (b); legal obligation (c) |
| Computer Lab Care™: recall management, validation, warranty fund | ticket data, history | contract (b) |
| Reputation system: reviews, KPIs, technician levels, badges | reviews, KPIs | contract (b); legitimate interest in network quality and transparency (f) |
| Jack AI: problem interpretation, triage, category suggestion, troubleshooting, support | Jack AI conversations, ticket data | contract (b); consent (a) for voice dictation |
| Dispute handling, content moderation, fraud and abuse prevention, platform security | all relevant data, logs, audit trail | legitimate interest (f); legal obligation (c) |
| Service notifications (ticket status, quotes, deliveries, security) | contact, push token | contract (b) |
| Marketing communications, newsletters, surveys | contact | consent (a), withdrawable at any time |
| Aggregate statistics and service improvement | technical data, pseudonymised usage data | legitimate interest (f) |
| Analytics and marketing via third-party SDKs in the apps and cookies on the website | technical data, advertising identifiers | consent (a) |
| Tech for Life: calculation of the donation linked to the ticket | ticket amount (no additional data) | contract (b) |
| Establishing, exercising or defending legal claims; responding to authorities | relevant data | legitimate interest (f); legal obligation (c) |
Providing the data marked as mandatory at registration is necessary to use the service; without it the account cannot be created or the ticket opened. Providing data for consent-based purposes is optional and refusal has no effect on the service.
Automated decision-making
Matching and the calculation of KPIs and technician levels are automated, but suspension, downgrade or removal of a technician from the network is always confirmed by a human operator. Jack AI provides suggestions, not decisions: it does not change a ticket's status or assign a technician without human action. You may in any case request human intervention and contest the outcome (Article 22 GDPR).
5Specific processing activities
Jack AI
Jack is the platform's natural-language assistant. Requests sent to Jack and the ticket context (description, category, device model) are transmitted to the AI engine provider, which acts as a processor and does not use the data to train its models. Do not send Jack third-party data, passwords or sensitive data. Conversations are stored with the ticket to ensure continuity of support and may be reviewed by human operators to improve service quality.
Pick&Fix® and Smart Secure Bag
For pickup and return we share with the assigned rider only your name, address, time slot and phone number (masked where technically possible). The rider has no access to the ticket content or to the device. Every opening of the Smart Secure Bag (OTP, NFC, QR or geofence) is logged with date, time, location and the person who opened it, to guarantee the chain of custody; these logs are retained with the ticket.
Payments
Payments are handled by Stripe Payments Europe Ltd, PCI-DSS certified, which processes card data as an independent controller under its own privacy policy. Computer Lab receives only the outcome, the amount and a tokenised identifier. Technician payouts are made to the IBAN provided during onboarding.
Reviews and reputation system
Customer reviews are published on the technician's profile with an abbreviated name and date; the customer may request their removal. KPIs (response time, completion, disputes, recalls, documentation quality) are calculated automatically and determine the technician's level (from New Associate to Elite). Technicians can see their KPIs in the Technician App and contest them through support.
Computer Lab Care™
To manage warranty recalls we process the ticket history and repair documentation. Recall validation decisions are made by human operators.
Tech for Life
The donation amount is calculated from the ticket price band. We do not transmit customers' personal data to beneficiary organisations; any public dashboard shows aggregate totals only.
Uploaded content
Photos and videos of the device must show only the device. Avoid framing people, documents or screens containing personal data; we may remove content that is not relevant.
6Recipients and international transfers
We do not sell or share your data with third parties for their own purposes. Data may be disclosed to:
| Recipient | Role | Data | Location |
|---|---|---|---|
| Technicians and repair centres assigned to the ticket | independent controllers / processors (Art. 28) | identity, contact, ticket data, chat | EU |
| Pick&Fix® riders | processors or independent controllers for transport | name, address, phone, time slot | EU |
| Aegis Core S.r.l.s. (hosting and cloud infrastructure) | processor | all data | EU/EEA |
| Stripe Payments Europe Ltd | independent controller | payment data | EU / with appropriate safeguards |
| AI engine provider (Jack AI) | processor | conversations, ticket context | EU/USA, under the EU-US Data Privacy Framework or Standard Contractual Clauses |
| Twilio Ireland Ltd (SMS/OTP), Brevo SAS (transactional email), Google Firebase Cloud Messaging and Apple Push Notification service (push notifications) | processors | contact, push token | EU / USA with safeguards |
| Onfido Ltd (identity verification) and the European Commission's VIES service (VAT verification) | processor | technician documents | EU |
| Aegis Core S.r.l.s. and group companies (GrifoTech as pilot lab) | processors or joint controllers for operations in Italy | operational data | Italy |
| Rossane Engineering Ltd (Dhaka), development and technical support team | processor with limited access to pseudonymised data or for maintenance | technical data, system access | Bangladesh, under Standard Contractual Clauses and supplementary measures |
| Legal, accounting and audit advisers; Care™ insurers | independent controllers | relevant data | EU/UK |
| Public authorities, law enforcement | independent controllers | data required by law | — |
Transfers
The controller is established in the United Kingdom, for which the European Commission has adopted an adequacy decision; data of individuals in the EU is hosted on servers in the European Economic Area. For providers located in countries without an adequacy decision (in particular the United States and Bangladesh) we rely on the Standard Contractual Clauses approved by the European Commission (Decision 2021/914), supplemented by transfer impact assessments and technical measures (encryption, pseudonymisation, access minimisation). For US providers certified under the EU-US Data Privacy Framework we rely on that adequacy decision. A copy of the safeguards and the current list of processors are available on request at [email protected].
7Retention, security and children
| Data | Retention period |
|---|---|
| Account and profile data | for the duration of the relationship; deleted within 30 days of account closure |
| Tickets, chats, photos/videos, audit trail, Smart Secure Bag logs | 24 months after ticket closure, to manage the statutory warranty (Art. 130 Italian Consumer Code), Care™ and disputes; then anonymised |
| Technician onboarding documents (identity, registration extract, certificates) | duration of the relationship + 24 months; identity document deleted after verification, keeping only the outcome |
| Invoicing and payment data | 10 years (civil and tax obligations) |
| Jack AI conversations | as the ticket they belong to; conversations without a ticket 90 days |
| Reviews | for as long as the technician remains in the network; anonymised when the customer's account is closed |
| Location | real time, not retained beyond ticket closure or delivery; for riders, delivery traces 90 days |
| Technical and security logs | 12 months (unless an investigation is ongoing) |
| Marketing and cookie consents | until withdrawn; proof of consent 24 months |
Security
We apply technical and organisational measures in line with Article 32 GDPR: encryption in transit (TLS) and at rest, OTP authentication and multi-factor options, role-based access control, segregated environments, logging and audit trails, encrypted backups, periodic vulnerability testing, staff training and confidentiality obligations for technicians and riders. Our information security management system is aligned with ISO/IEC 27001 and NIS2 guidance. In the event of a data breach likely to result in a high risk, we will notify affected individuals and the competent authority within the terms of Articles 33-34 GDPR.
Devices handed over for repair
We recommend making a backup and, where possible, removing sensitive data or accounts before handing over the device. Network technicians accept a secure handling policy that prohibits copying, unnecessary viewing and retention of data stored on the device and requires secure erasure of replaced storage media (wipe policy).
Children
The services are intended for people aged 18 or over; the Technician App is reserved for professionals. We do not knowingly collect data from children under 14. A minor aged 14 to 18 may use the Customer App only with the consent and under the supervision of a parent or guardian. If we become aware that data has been collected from a minor without the required conditions, we delete it.
8Your rights, account deletion, cookies and SDKs, changes
Your rights
Under Articles 15-22 GDPR you may at any time: access your data and obtain a copy; rectify it; have it erased; restrict its processing; object to processing based on legitimate interest and to marketing; receive your data in a structured format (portability); withdraw consent without affecting the lawfulness of prior processing; not be subject to solely automated decisions. Requests may be sent to [email protected] or to the EU representative; we reply within 30 days, extendable by 60 days in complex cases. You may always lodge a complaint with the Garante per la protezione dei dati personali, the ICO or the authority of your country.
Deleting your account and data from the app
Both apps include Settings → Account → Delete account, which starts the deletion of your account and all personal data without contacting support. The same request can be submitted from clabglobal.com/delete-account or by email. Only data whose retention is required by law (invoices) or needed for ongoing disputes is kept, in limited form, for the periods set out in section 7. A technician with open tickets must first complete or reassign them.
Cookies and third-party SDKs
The clabglobal.com website uses technical (necessary) cookies and, with consent only, analytics, functional and marketing cookies, manageable from the consent banner; details are in the Cookie Policy. The apps integrate the following SDKs: Firebase Cloud Messaging and APNs (push notifications); Firebase Crashlytics (crash reporting and diagnostics); Google Analytics for Firebase (analytics, with consent only); Google Maps Platform (maps and geocoding); Stripe SDK (payments). Advertising identifiers (IDFA, GAID) are not used unless you explicitly consent through the system prompt (App Tracking Transparency on iOS). You can manage consents from Settings → Privacy in the app.
Communications
Service notifications (ticket status, account security) are necessary and cannot be disabled other than by closing the account; push notifications can be turned off in the operating system. Marketing communications require separate consent and can be disabled with one click.
Changes
We may update this policy in case of regulatory or service changes. Material changes are communicated via the app or email at least 15 days before they take effect; the current version, with date and version number, is always available at clabglobal.com/privacy.html and in the app menu.
Questions about privacy?
Write to us: we answer every data-subject request within 30 days.