Accordo sul trattamento dei dati dei dipendenti

(art. 28 del Regolamento UE 2016/679, «GDPR»)

In breve

• Quando la tua attività usa DiTurno, i dati dei tuoi dipendenti sono tuoi: tu sei il titolare del trattamento e decidi perché e come usarli.
• Noi forniamo lo strumento e conserviamo i dati per tuo conto: siamo il responsabile del trattamento. Usiamo quei dati solo per far funzionare l'app per te.
• Teniamo i dati in Italia, li proteggiamo, ti aiutiamo con le richieste dei dipendenti, ti avvisiamo se succede qualcosa e, quando chiudi l'account, te li restituiamo (archivio ZIP) e li cancelliamo.
• Tu informi i dipendenti, inserisci solo i dati che servono e, se accendi le timbrature con la posizione, rispetti le regole del punto 12.

1. Le parti

Il Cliente (titolare del trattamento): l'attività registrata su DiTurno, rappresentata da chi ha creato l'account e ha accettato questo accordo. I dati del Cliente sono quelli inseriti alla registrazione e nelle impostazioni dell'account (nome dell'attività, nome e cognome del titolare dell'account, email).

Il Fornitore (responsabile del trattamento): Fabio De Giovine, persona fisica, che opera con il nome DG Designed

• domicilio: comune di Tremestieri Etneo, CAP 95030, provincia di Catania (CT)
• codice fiscale: comunicato su richiesta scrivendo alla PEC
• PEC: fabiodegiovine@pec.it, che vale per ogni comunicazione legata a questo accordo
• servizio: https://www.dgdesigned.it/diturno/

Il Fornitore non ha partita IVA: il servizio è gratuito.

2. Come si conclude e quanto dura

• L'accordo si conclude quando il Cliente spunta la casella dedicata durante la registrazione (casella separata, non spuntata in partenza, obbligatoria per creare l'account). Il Fornitore registra data, ora e versione dell'accettazione.
• Fa parte dei Termini d'uso di DiTurno. Se c'è un contrasto fra i due documenti sul trattamento dei dati personali, vale questo accordo.
• Dura finché il Cliente usa il servizio e, dopo la chiusura dell'account, fino alla cancellazione completa dei dati (punto 11).

3. Oggetto: cosa facciamo per conto del Cliente

Il Fornitore tratta per conto del Cliente i dati personali descritti nell'Allegato A, al solo scopo di fornire le funzioni di DiTurno: creazione e pubblicazione dei turni, calendario, richieste di ferie e assenze, scambi di turno, notifiche e email di servizio ai dipendenti, import ed export dei dati, report delle ore e, quando saranno attivabili e se il Cliente le accende, timbrature con verifica della posizione.

4. Istruzioni del Cliente

• Il Fornitore tratta i dati solo su istruzione documentata del Cliente. Valgono come istruzioni: questo accordo, i Termini d'uso e le scelte che il Cliente fa usando l'app (chi invitare, con quale ruolo, quali dati inserire, quali impostazioni attivare, quando cancellare persone o l'account).
• Il Fornitore non usa i dati dei dipendenti per scopi propri, salvo quanto previsto al punto 14 (dati d'uso pseudonimi, come titolare autonomo) e salvo che lo imponga la legge; in quest'ultimo caso informa il Cliente prima, se la legge non lo vieta.
• Se il Fornitore ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, lo dice subito al Cliente.

5. Riservatezza

• Oggi l'unica persona che può accedere ai dati per conto del Fornitore è Fabio De Giovine, tenuto alla riservatezza.
• Se in futuro altre persone lavorassero al servizio, saranno autorizzate per scritto, istruite e vincolate alla riservatezza, e accederanno solo ai dati che servono al loro compito.
• Il Fornitore accede ai dati di un Cliente solo quando serve: per risolvere un problema tecnico, per una richiesta del Cliente, per la sicurezza o per un obbligo di legge. Il pannello statistico del Fornitore mostra solo numeri, non nomi o email.

6. Sicurezza

Il Fornitore adotta le misure tecniche e organizzative dell'Allegato B, adeguate al rischio (art. 32 GDPR), e le aggiorna nel tempo senza ridurne il livello complessivo.

Il Cliente, per la sua parte, sceglie chi invitare e con quale ruolo, toglie l'accesso a chi non lavora più con lui, protegge la propria password e scarica e conserva i dati che deve tenere per legge.

7. Sub-responsabili

• Il Cliente dà al Fornitore un'autorizzazione generale a usare altri fornitori (sub-responsabili) per l'hosting, il database e l'invio delle email. Oggi l'unico sub-responsabile è Aruba S.p.A., indicato nell'Allegato C e al punto 7 dell'informativa sulla privacy.
• Il Fornitore impone a ogni sub-responsabile, per contratto, obblighi di protezione dei dati non meno rigorosi di questo accordo, e risponde verso il Cliente del loro operato.
• Prima di aggiungere o cambiare un sub-responsabile, il Fornitore avvisa il Cliente per email o dentro l'app con almeno 30 giorni di anticipo. Il Cliente può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, il Cliente può chiudere l'account e scaricare i dati prima del cambio, senza costi.

8. Dove stanno i dati

I dati del Cliente stanno su server in Italia presso Aruba S.p.A., che invia anche le email di servizio dalla casella noreply@dgdesigned.it. Nessun dato del Cliente viene trasferito fuori dallo Spazio economico europeo. Se in futuro un sub-responsabile dovesse trattare dati fuori dallo Spazio economico europeo, il Fornitore lo indicherà nell'Allegato C, con il preavviso del punto 7, e garantirà una base valida per il trasferimento (decisione di adeguatezza o clausole contrattuali tipo della Commissione europea).

9. Assistenza per i diritti dei dipendenti

• L'app permette al Cliente di rispondere da solo alla maggior parte delle richieste: ogni dipendente vede i propri turni, ferie, scambi e timbrature in «I miei turni»; il Cliente può correggere i dati, togliere una persona (con la cancellazione dei suoi dati) e scaricare tutto in un archivio ZIP.
• Se un dipendente scrive al Fornitore per esercitare i suoi diritti su dati gestiti dal Cliente, il Fornitore inoltra la richiesta al Cliente senza ritardo (di norma entro 5 giorni lavorativi) e non risponde nel merito, salvo istruzione del Cliente.
• Per le richieste che il Cliente non riesce a soddisfare con l'app, il Fornitore lo aiuta nei limiti del ragionevole, gratuitamente.

10. Assistenza per sicurezza, violazioni e valutazioni d'impatto

• Violazioni dei dati. Se il Fornitore scopre una violazione che riguarda i dati del Cliente (per esempio un accesso non autorizzato), la comunica al Cliente senza ingiustificato ritardo e comunque entro 48 ore da quando ne ha avuto conoscenza, per email all'indirizzo del titolare dell'account, con quello che sa: cosa è successo, quali dati e quante persone circa sono coinvolte, le conseguenze probabili, le misure prese o proposte, a chi rivolgersi. Le informazioni mancanti arrivano appena disponibili. La notifica al Garante e la comunicazione ai dipendenti (art. 33 e 34) spettano al Cliente, che il Fornitore aiuta con le informazioni in suo possesso.
• Valutazione d'impatto (art. 35-36). Se il Cliente deve fare una valutazione d'impatto (per esempio prima di accendere le timbrature con la posizione), il Fornitore gli dà, su richiesta alla PEC, le informazioni tecniche sul funzionamento dell'app e sulle misure di sicurezza.
• Il Fornitore tiene il registro dei trattamenti svolti per conto dei clienti (art. 30, par. 2).

11. Fine del servizio: restituzione e cancellazione

• Restituzione. In ogni momento, e in particolare prima di chiudere l'account, il titolare dell'account può scaricare da «Il mio account» un archivio ZIP di file CSV con tutti i dati dell'attività (attività, persone, reparti, tipi di turno, turni, assenze, scambi, notifiche, email inviate, importazioni, timbrature, impostazioni, consensi, registro delle azioni). L'archivio si genera al momento e non resta sul server. Per tutela dei dipendenti l'archivio non contiene indirizzi IP, informazioni sul browser né la cronologia degli accessi delle persone, che il Fornitore raccoglie solo per la sicurezza del servizio.
• Cancellazione. Dopo la richiesta di chiusura ci sono 30 giorni di grazia (il Cliente può annullare o scaricare i dati; i dipendenti non entrano più). Alla scadenza il Fornitore cancella tutti i dati personali del Cliente dal database e scollega dalle persone i dati d'uso del punto 14. Aruba fa in automatico copie di sicurezza del server: i dati cancellati possono restarvi per un periodo limitato, finché non vengono sovrascritti secondo i tempi tecnici di Aruba, e nel frattempo quelle copie non vengono usate se non per ripristinare il servizio dopo un guasto.
• Prova dell'accettazione. Data, ora e versione dell'accettazione di questo accordo si cancellano insieme agli altri dati del Cliente.
• Singola persona. Quando il Cliente toglie una persona dall'app, i suoi dati (comprese le timbrature) vengono cancellati subito; l'app avvisa il Cliente prima, così può scaricarli se deve conservarli per legge.
• Restano salvi gli obblighi di conservazione imposti al Fornitore dalla legge.

12. Obblighi del Cliente

Il Cliente, come titolare del trattamento:

1. tratta i dati dei dipendenti con una base giuridica valida (di norma il contratto di lavoro e gli obblighi di legge) e dà ai dipendenti la propria informativa, indicando DiTurno (il Fornitore) come responsabile del trattamento;
2. rende disponibile ai dipendenti invitati anche l'informativa del Fornitore (il link è già nelle email di invito e in ogni pagina dell'app);
3. inserisce solo i dati necessari all'organizzazione del lavoro; non scrive nelle note o in altri campi liberi diagnosi, certificati o altri dati sulla salute né altre categorie particolari di dati (l'app consente di indicare «malattia» solo come tipo di assenza, senza dettagli);
4. invita solo persone che lavorano o collaborano con la sua attività e toglie l'accesso a chi non lavora più con lui;
5. conserva fuori dall'app i documenti che la legge gli impone di tenere (per esempio il libro unico del lavoro), scaricandoli quando serve;
6. per le timbrature con verifica della posizione (punto 13): prima di accenderle consegna ai dipendenti l'informativa dedicata (il Fornitore ne dà un modello da completare), verifica con il proprio consulente se servono l'accordo sindacale o l'autorizzazione dell'Ispettorato del lavoro (art. 4 della legge 300/1970) e se serve una valutazione d'impatto, e lo dichiara nell'app spuntando la casella prevista;
7. non usa l'app per controllare l'attività dei lavoratori a distanza oltre quanto la legge consente.

13. Regole particolari

13.1 Calendario: cosa vedono i dipendenti dei colleghi

• Un dipendente vede nel calendario e nella bacheca chi lavora e quando: nome, tipo di turno, giorno e orario dei colleghi. È la versione digitale del foglio dei turni appeso in bacheca e serve a organizzarsi (coperture, scambi).
• Un dipendente non vede: le note scritte sui turni dei colleghi (vede solo le note sui propri turni), le ferie e le assenze dei colleghi e il loro motivo, email e telefono dei colleghi, le timbrature dei colleghi.
• Il titolare e i responsabili vedono la squadra intera secondo il loro ruolo.
• Impostazione in arrivo: il Cliente potrà scegliere nelle Impostazioni che un dipendente veda tutta la squadra (predefinito), solo il suo reparto o solo i suoi turni. Quando l'impostazione sarà disponibile, la scelta del Cliente vale come istruzione ai sensi del punto 4 e si applica sia al calendario sia alla bacheca. Il Cliente indica la propria scelta nell'informativa ai dipendenti.

13.2 Timbrature con verifica della posizione (geolocalizzazione)

• Oggi la funzione non è ancora attivabile. Quando lo sarà, resterà spenta finché il Cliente non imposta la sede (punto e raggio) e non la accende con la dichiarazione del punto 12.6.
• La posizione del telefono si legge solo nel momento in cui la persona tocca «Timbra», dopo il permesso del browser: mai in continuo, mai all'apertura dell'app, mai in background.
• Il server confronta la posizione con la sede e la scarta subito: le coordinate (latitudine e longitudine) del dipendente non vengono mai salvate, né nel database né nei registri né negli eventi d'uso.
• Si salvano: data e ora del server, entrata o uscita, turno collegato, esito («in sede», «fuori sede», «senza posizione», «posizione poco precisa»), precisione arrotondata a 10 metri, distanza dalla sede arrotondata a 10 metri solo se la persona è fuori sede o la posizione è poco precisa (al massimo «più di 1 km»), stato della verifica e, per le correzioni, chi ha corretto, quando, perché e l'ora originale.
• Se il permesso è negato o la posizione è imprecisa, la persona timbra lo stesso e la timbratura va a un responsabile, che la approva o la respinge. Nessuna conseguenza scatta in automatico dall'esito.
• La posizione è dichiarata dal telefono e si può falsare con programmi appositi: la verifica è un aiuto, non una prova. Il Cliente lo dice nell'informativa e decide ogni caso dubbio sentendo il dipendente.
• Chi vede cosa: il dipendente vede tutte le proprie timbrature; il titolare vede tutto; i responsabili vedono e verificano quelle dei dipendenti, non quelle del titolare né degli altri responsabili; i colleghi non vedono le timbrature degli altri.
• Conservazione: timbrature fino a 5 anni dalla data finché l'account è attivo; distanza e precisione azzerate dopo 13 mesi; cancellazione immediata quando la persona viene tolta dall'app (con avviso al Cliente). Se il Cliente deve conservarle più a lungo per legge, le scarica prima.
• Le coordinate della sede le vede solo il titolare dell'account.

14. Dati d'uso del servizio (il Fornitore come titolare autonomo)

Oltre ai trattamenti svolti per conto del Cliente, il Fornitore raccoglie dati d'uso pseudonimi del servizio (funzione usata, esito, numero dell'attività e del profilo, ruolo, tipo di dispositivo, provenienza della campagna), senza contenuti inseriti dal Cliente, senza dati sulla salute e senza dati sulla posizione, per il miglioramento del servizio e per la sicurezza. Gli eventi delle timbrature sono registrati senza persona, dispositivo e ora precisa. Il Fornitore tratta inoltre, per la sicurezza, un registro delle azioni con indirizzo IP e browser ridotto (12 mesi).

Per questi dati il Fornitore agisce come titolare autonomo, come descritto nell'informativa del servizio, e li conserva in dettaglio per 13 mesi e poi solo in forma aggregata senza riferimento alle persone. Ogni persona può opporsi con l'interruttore «Non registrare il mio utilizzo» in «Il mio account». Il Cliente si impegna a rendere disponibile l'informativa del Fornitore ai propri dipendenti invitati (il link è già presente nelle email di invito e in ogni pagina dell'app).

15. Verifiche (audit)

• Il Fornitore mette a disposizione del Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo: questo documento, l'informativa, l'elenco dei sub-responsabili, la descrizione delle misure di sicurezza (Allegato B) e, su richiesta scritta, risposte a un questionario ragionevole entro 30 giorni.
• Se queste informazioni non bastano, il Cliente (o un revisore da lui incaricato, tenuto alla riservatezza) può chiedere una verifica, con preavviso scritto di almeno 30 giorni, non più di una volta all'anno salvo dopo una violazione dei dati o su richiesta di un'autorità, a spese del Cliente, senza accesso ai dati di altre attività e senza mettere a rischio la sicurezza del servizio. Per i data center di Aruba valgono le certificazioni e i rapporti messi a disposizione da Aruba.

16. Responsabilità

Ciascuna parte risponde verso l'altra e verso gli interessati secondo l'art. 82 del GDPR. Il Fornitore risponde dei danni causati dal trattamento solo se non ha rispettato gli obblighi del GDPR propri dei responsabili o ha agito fuori dalle istruzioni lecite del Cliente. Per il resto valgono i Termini d'uso.

17. Modifiche

Il Fornitore può aggiornare questo accordo per adeguarlo alla legge, alle indicazioni delle autorità o alle nuove funzioni dell'app, avvisando il Cliente almeno 30 giorni prima per email o dentro l'app. Se il Cliente non è d'accordo può chiudere l'account e scaricare i dati prima dell'entrata in vigore, senza costi. Una modifica non può ridurre le garanzie per i dati dei dipendenti senza un nuovo consenso del Cliente.

18. Legge e foro

Vale la legge italiana. Per il foro si applica quanto previsto dai Termini d'uso.

Allegato A - Descrizione dei trattamenti per conto del Cliente

Allegato B - Misure di sicurezza

1. Separazione fra attività: ogni dato porta il numero dell'attività, impostato solo dal server in base alla sessione; il database rifiuta i collegamenti fra dati di attività diverse; controllo automatico che nessuna lettura avvenga senza il filtro dell'attività; prove ripetute in cui un'attività finta prova a leggere e cambiare i dati di un'altra.
2. Accessi: password salvate solo con algoritmo a senso unico; conferma dell'email; sessioni con cookie protetti (solo connessione cifrata, non leggibili dagli script), uscita dopo 2 ore di inattività e comunque dopo 12 ore, chiusura di tutte le altre sessioni al cambio o recupero della password; limiti ai tentativi di accesso, registrazione, recupero e invito; ruoli con permessi controllati sul server prima di ogni modifica; protezione da richieste falsificate (CSRF) su ogni modulo.
3. Link via email (conferma, invito, recupero): casuali, salvati solo in forma cifrata, con scadenza e uso singolo.
4. Connessione cifrata (HTTPS) su tutto il servizio; intestazioni di sicurezza del browser; invio delle email con connessione cifrata al server di posta di Aruba.
5. Hosting in Italia presso Aruba S.p.A., con copie di sicurezza automatiche del fornitore; configurazione e chiavi fuori dalla parte pubblica del sito; errori tecnici mai mostrati agli utenti.
6. Minimizzazione: nessuna coordinata del dipendente salvata; distanze arrotondate; nessun testo libero, email o nome negli eventi d'uso; nessun servizio esterno per caratteri, icone o statistiche nell'app; l'app installata sul telefono non conserva pagine con dati personali.
7. Import: solo file CSV, dimensione e righe limitate, file mai salvato sul server.
8. Export: archivio generato al momento, solo per il titolare dell'account, protetto dalle formule pericolose nei fogli di calcolo.
9. Conservazione: cancellazioni automatiche (registrazioni non confermate, inviti scaduti, registri dopo 12 mesi, dettaglio degli eventi dopo 13 mesi, account inattivi, account chiusi dopo 30 giorni).
10. Amministrazione: il pannello del Fornitore è separato dagli account delle attività, protetto da password e codice a tempo, in sola lettura, e mostra solo numeri.
11. Organizzazione: una sola persona autorizzata (punto 5); revisione di sicurezza a ogni nuova funzione prima della messa online.

Allegato C - Sub-responsabili autorizzati

Non ci sono altri sub-responsabili.