Informativa sulla privacy di DiTurno

Questa pagina spiega quali dati personali trattiamo quando visiti la pagina di presentazione di DiTurno, quando crei un account per la tua attività e quando usi l'app, come titolare di un'attività, come responsabile o come dipendente invitato. La scriviamo in modo semplice: se qualcosa non è chiaro, scrivici.

In breve

• DiTurno è un servizio gratuito fornito da Fabio De Giovine, che lavora con il nome DG Designed.
• I dati dei turni sono dell'attività che ti ha invitato. Turni, ferie, scambi e timbrature di un dipendente li decide e li gestisce l'attività (il datore di lavoro): per questi dati l'attività è titolare del trattamento e noi siamo solo il fornitore dello strumento («responsabile del trattamento»). Per le domande su questi dati rivolgiti prima di tutto alla tua attività.
• Per l'account, la sicurezza e le statistiche d'uso il titolare siamo noi.
• Non vendiamo dati, non facciamo pubblicità dentro l'app, non usiamo servizi esterni di statistica nell'app.
• I dati stanno su server in Italia presso Aruba S.p.A., che è anche il nostro unico fornitore per l'invio delle email.
• Nell'app usiamo solo cookie tecnici. Il cookie statistico e i pixel di Meta e TikTok si attivano solo se li accetti, e i pixel solo sulla pagina di presentazione.
• Se non vuoi che registriamo come usi l'app, basta un interruttore in «Il mio account»: l'app funziona uguale e la tua attività non vede la tua scelta.

1. Chi tratta i tuoi dati

Titolare del trattamento per i dati descritti ai punti 3.1, 3.2, 3.4, 3.5, 3.6 e 3.7:

• Fabio De Giovine, persona fisica, che opera con il nome DG Designed
• domicilio nel comune di Tremestieri Etneo, 95030 (CT)
• PEC: fabiodegiovine@pec.it, che vale anche come indirizzo di contatto per tutte le richieste sulla privacy
• indirizzo del servizio: https://www.dgdesigned.it/diturno/

Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché per un servizio come questo non è obbligatorio.

Per i dati dei turni (punto 3.3) il titolare è l'attività che usa DiTurno (il tuo datore di lavoro, se sei un dipendente). Noi trattiamo quei dati solo per conto dell'attività e secondo le sue istruzioni, in base a un accordo scritto (art. 28 del Regolamento UE 2016/679, «GDPR») che l'attività accetta quando si registra.

2. A chi si rivolge questa informativa

• Visitatori della pagina di presentazione di DiTurno.
• Titolari di un'attività che creano un account.
• Responsabili e dipendenti invitati da un'attività.

3. Quali dati trattiamo, perché, su quale base e per quanto tempo

3.1 Creazione e gestione dell'account

• Dati: nome dell'attività, nome e cognome, indirizzo email, password (la salviamo solo in forma cifrata con un algoritmo a senso unico: nessuno, nemmeno noi, può leggerla), data di creazione e di conferma dell'email, ruolo nell'attività.
• Perché: creare l'account, confermare che l'email sia tua, farti entrare, recuperare la password, chiudere l'account quando lo chiedi.
• Base giuridica: esecuzione del servizio che hai chiesto (art. 6, par. 1, lett. b GDPR).
• Per quanto: finché l'account è attivo. Le registrazioni mai confermate si cancellano dopo 7 giorni. Se nessuno entra nell'account di un'attività per 23 mesi, il titolare riceve un avviso per email e, se nessuno entra nei 30 giorni dopo, l'account viene cancellato (circa 24 mesi in tutto). Gli inviti mai accettati si cancellano 30 giorni dopo la scadenza del link.
• Obbligatorio? Sì: senza questi dati l'account non si può creare.

3.2 Accettazione dei documenti

• Dati: quale documento hai accettato (termini d'uso, questa informativa, accordo sul trattamento dei dati per le attività, dichiarazione sulle timbrature), versione, data e ora, indirizzo IP e browser al momento dell'accettazione.
• Perché: poter dimostrare che il documento è stato accettato e in quale versione.
• Base giuridica: obbligo di dimostrare la conformità (art. 5, par. 2 e art. 6, par. 1, lett. c GDPR) e legittimo interesse a difenderci in caso di contestazione (art. 6, par. 1, lett. f).
• Per quanto: finché l'account è attivo; si cancellano insieme all'account.

3.3 Dati dei turni (per conto dell'attività)

Questi dati li inserisce l'attività o il dipendente stesso. Per questi dati il titolare è l'attività; noi li conserviamo e li elaboriamo solo per far funzionare l'app.

• Dati delle persone: nome, cognome, email, telefono (se inserito), ruolo, reparto, ore settimanali, tipo di contratto, data di assunzione, giorni di ferie.
• Turni: giorno, orario, tipo di turno, reparto, eventuali note scritte dall'attività.
• Assenze: richieste di ferie, permessi e altre assenze con le date e l'esito. L'app permette di indicare «malattia» come tipo di assenza, ma non chiede né deve contenere diagnosi o certificati.
• Scambi di turno fra colleghi e il loro esito.
• Notifiche dentro l'app e email di servizio (turno assegnato, esito delle ferie, scambi, promemoria).
• Timbrature, se l'attività le ha accese: vedi il punto 5.
• Chi vede cosa: il titolare e i responsabili dell'attività vedono i dati della squadra secondo il loro ruolo. Un dipendente vede i propri dati e, nel calendario, chi lavora e quando (nome, tipo di turno, giorno e orario), mai le note sui turni dei colleghi, le loro assenze, email o telefono. Quando sarà disponibile un'impostazione apposita, l'attività potrà scegliere di mostrare ai dipendenti solo il loro reparto o solo i loro turni.
• Per quanto: lo decide l'attività, finché il suo account è attivo. Quando l'attività toglie una persona dall'app, i dati di quella persona vengono cancellati. Quando l'attività chiude l'account, tutto viene cancellato dopo 30 giorni (vedi punto 8).
• I tuoi diritti su questi dati si esercitano verso l'attività. Se scrivi a noi, inoltriamo la richiesta all'attività.

3.4 Sicurezza del servizio

• Dati: registro delle azioni importanti (accesso riuscito o non riuscito, cambio password, creazione o cancellazione di dati, verifiche e correzioni delle timbrature) con data e ora, numero dell'attività e del profilo, indirizzo IP e browser in forma ridotta; conteggio dei tentativi per bloccare gli abusi (salviamo solo un'impronta cifrata dell'indirizzo, per un giorno).
• Perché: proteggere gli account da accessi non autorizzati, fermare abusi (registrazioni in massa, invio di spam con gli inviti), ricostruire cosa è successo in caso di problema.
• Base giuridica: legittimo interesse nostro e di tutti gli utenti alla sicurezza del servizio (art. 6, par. 1, lett. f GDPR; considerando 49).
• Per quanto: registro delle azioni 12 mesi; conteggio dei tentativi 1 giorno.
• Chi lo vede: solo noi. Quando un'attività scarica i propri dati, il registro le arriva senza indirizzi IP, senza browser e senza gli accessi delle persone.

3.5 Email di servizio

• Dati: indirizzo del destinatario, tipo di email (conferma, invito, recupero password, turno assegnato, esito di una richiesta, promemoria, avviso di inattività, chiusura dell'account), data, esito dell'invio. L'oggetto delle email sulle assenze non indica il tipo di assenza.
• Perché: mandare le email necessarie al servizio e controllare che arrivino.
• Base giuridica: esecuzione del servizio (art. 6, par. 1, lett. b GDPR) e, per i dipendenti, istruzioni dell'attività.
• Per quanto: registro degli invii 12 mesi.
• Come: le email partono dalla casella noreply@dgdesigned.it, tramite il servizio di posta di Aruba S.p.A., in Italia. Non usiamo altri servizi di invio. A quella casella non si risponde: per scriverci usa la PEC del punto 1.
• Le email di servizio non contengono pubblicità e non mandiamo email promozionali.

3.6 Statistiche d'uso e sicurezza del servizio

Quando usi DiTurno registriamo quali funzioni usi e con che esito (per esempio: turno creato, richiesta di ferie inviata, accesso riuscito o non riuscito), il numero della tua attività e del tuo profilo, il tuo ruolo, il tipo di dispositivo, la famiglia di sistema operativo e di browser, la pagina e, se arrivi da una campagna, la sua sigla (parametri utm) e il sito di provenienza solo se è un motore di ricerca o un social noto. Registriamo anche quando l'app viene installata sul telefono.

Non registriamo il tuo indirizzo IP, il contenuto di quello che scrivi nei campi (note, messaggi, motivi), le password, i nomi, gli indirizzi email, il motivo delle assenze (per esempio la malattia), la tua posizione. Gli eventi delle timbrature li registriamo senza collegarli alla persona, al dispositivo o all'ora precisa: ci servono solo per contare quante timbrature si fanno ogni giorno.

• Perché: capire come si usa il servizio per migliorarlo e proteggerlo da abusi e accessi non autorizzati.
• Base giuridica: legittimo interesse di DG Designed (art. 6, par. 1, lett. f GDPR). Per questi dati il titolare è DG Designed, anche quando usi l'app come dipendente di un'attività.
• Per quanto: il dettaglio 13 mesi; dopo restano solo totali giornalieri senza riferimento alle persone. Se l'attività chiude l'account o una persona viene tolta dall'app, gli eventi perdono subito il collegamento alle persone.
• Dove: sul nostro server presso Aruba S.p.A., in Italia; nessun servizio esterno di statistica.
• Chi lo vede: solo Fabio, in un pannello riservato che mostra numeri e non nomi o email. Le attività non vedono queste statistiche.
• Puoi opporti in ogni momento, senza dare spiegazioni, in due modi: da «Il mio account», sezione «Privacy», con l'interruttore «Non registrare il mio utilizzo», oppure scrivendoci alla PEC del punto 1. L'interruttore vale per tutti i ruoli, anche per i dipendenti, e lo puoi spegnere quando vuoi.
• Cosa succede quando lo accendi:
  • da quel momento non registriamo più le funzioni che usi, né la provenienza delle tue visite;
  • gli eventi già registrati non sono più collegati al tuo profilo: restano solo come numeri dell'attività;
  • restano soltanto, senza il tuo nome, il tuo profilo, il tuo dispositivo o l'ora precisa, gli eventi che servono alla sicurezza: tentativi di accesso non riusciti e superamento dei limiti contro gli abusi;
  • mettiamo nel browser il cookie tecnico gto_nt, che ricorda la tua scelta anche quando su quel dispositivo non hai fatto l'accesso (vedi la tabella dei cookie); se usi un dispositivo condiviso, vale la scelta dell'ultima persona che ha fatto l'accesso;
  • la tua attività non vede se l'hai acceso e l'app funziona esattamente come prima. Salviamo solo la data in cui l'hai acceso l'ultima volta, per poter dimostrare da quando vale la tua opposizione.
• Rispettiamo anche le impostazioni Global Privacy Control e Do Not Track del browser: con queste impostazioni non mettiamo il cookie statistico e degli identificativi di clic salviamo solo se c'erano o no.

3.7 Pagina di presentazione, cookie e pixel

• Statistiche della pagina di presentazione: contiamo le visite e la provenienza delle campagne (parametri utm) con lo stesso sistema del punto 3.6, sul nostro server. Senza il tuo consenso non mettiamo nessun cookie statistico: la provenienza resta solo per la durata della visita, così sappiamo se una registrazione fatta nella stessa visita arriva da una campagna. Degli identificativi di clic delle piattaforme (fbclid, ttclid, gclid), senza consenso, salviamo solo se c'erano o no, mai il valore.
• Con il tuo consenso (banner dei cookie): il cookie gto_v ricorda per 30 giorni da quale campagna sei arrivato, anche se ti registri in una visita successiva, e conserviamo il valore degli identificativi di clic. Si attivano anche i pixel di Meta e di TikTok, solo sulla pagina di presentazione e mai dentro l'app, che dicono a quelle piattaforme che hai visitato la pagina, per misurare e migliorare le nostre campagne.
• Base giuridica: consenso (art. 6, par. 1, lett. a GDPR e art. 122 del Codice privacy). Puoi rifiutare o revocare il consenso in ogni momento dal link per le preferenze sui cookie in fondo alla pagina di presentazione, senza conseguenze sull'uso del servizio.
• Pixel di Meta e TikTok: per la raccolta e la trasmissione dei dati con il pixel, DG Designed e la piattaforma (Meta Platforms Ireland Ltd., TikTok Technology Limited, Irlanda) sono contitolari; per quello che la piattaforma fa dopo con i dati, il titolare è la piattaforma, secondo la sua informativa. Queste piattaforme possono trasferire dati fuori dall'Unione europea, anche negli Stati Uniti, con le garanzie previste dal GDPR (decisione di adeguatezza EU-US Data Privacy Framework o clausole contrattuali tipo).

Cookie e memorie del browser usati

Caratteri e icone sono ospitati sul nostro server: aprendo l'app non contatti Google o altri fornitori.

4. Chi riceve i dati

• Aruba S.p.A. (Italia), che ospita il server, il database e le copie di sicurezza e invia le email di servizio.
• La tua attività, per i dati dei turni (punto 3.3).
• Meta e TikTok, solo per la pagina di presentazione e solo con il tuo consenso (punto 3.7).
• Autorità pubbliche, solo se la legge lo impone.

Nessun altro. Non vendiamo né cediamo dati.

5. Timbrature con verifica della posizione

Questa funzione è spenta finché l'attività non la accende, e oggi non è ancora attivabile: quanto scritto qui vale da quando lo sarà. Se la tua attività la usa, ti deve consegnare la propria informativa sulle timbrature, che spiega tutto nel dettaglio. In breve:

• La posizione del telefono si legge una sola volta, quando tocchi «Timbra», dopo il permesso del browser. Mai in altri momenti, mai in continuo.
• Il server confronta la posizione con la sede scelta dall'attività e poi la scarta: le coordinate non si salvano mai.
• Salviamo: giorno e ora della timbratura (ora del server), entrata o uscita, se eri in sede, fuori sede, senza posizione o con posizione poco precisa, la precisione arrotondata e, solo se eri fuori o la posizione era poco precisa, la distanza arrotondata a 10 metri (al massimo «più di 1 km»), più l'esito della verifica di un responsabile.
• La posizione la dichiara il telefono e si può falsare con programmi appositi: per questo la verifica è un aiuto, non una prova, e ogni caso dubbio lo decide una persona.
• Puoi negare il permesso: si timbra lo stesso, «senza posizione», e la timbratura la controlla un responsabile.
• Per le timbrature il titolare è l'attività; noi siamo il fornitore dello strumento.

6. Dove stanno i dati

Su server di Aruba S.p.A. in Italia, compresa la posta delle email di servizio. Nessun dato dell'app esce dall'Unione europea; fa eccezione solo quanto detto per i pixel della pagina di presentazione (punto 3.7), e solo con il tuo consenso.

7. Fornitori che trattano i dati per nostro conto

È l'unico fornitore che tratta i dati per nostro conto. Se ne aggiungiamo o cambiamo uno, aggiorniamo questa tabella e avvisiamo prima i titolari delle attività, come previsto nell'accordo sul trattamento dei dati.

8. Chiusura dell'account e copie di sicurezza

• Il titolare dell'attività può scaricare tutti i dati dell'attività (archivio ZIP di file CSV) e chiudere l'account da «Il mio account».
• Dopo la richiesta di chiusura ci sono 30 giorni per ripensarci: in quel periodo i dipendenti non entrano più e il titolare può solo annullare o scaricare i dati. Alla scadenza tutti i dati dell'attività vengono cancellati e gli eventi d'uso perdono il collegamento alle persone.
• Aruba fa in automatico copie di sicurezza del server. I dati cancellati possono restare in quelle copie per un periodo limitato, finché non vengono sovrascritti secondo i tempi tecnici di Aruba. Non usiamo quelle copie se non per ripristinare il servizio dopo un guasto.
• Un responsabile o un dipendente che vuole lasciare l'app lo chiede alla propria attività, che può toglierlo; i suoi dati vengono cancellati.

9. I tuoi diritti

Puoi chiedere in ogni momento di:

• accedere ai tuoi dati e averne una copia;
• correggere i dati sbagliati;
• cancellare i dati, quando non servono più o non c'è più una base giuridica;
• limitare il trattamento in alcuni casi;
• ricevere i dati che ci hai dato in un formato leggibile da un computer (portabilità);
• opporti ai trattamenti basati sul legittimo interesse (statistiche d'uso, punto 3.6), anche da solo con l'interruttore «Non registrare il mio utilizzo»;
• revocare il consenso (cookie statistico e pixel), senza effetto su quanto fatto prima della revoca.

Non prendiamo decisioni basate solo su trattamenti automatici che abbiano effetti giuridici su di te.

Come: scrivi alla PEC fabiodegiovine@pec.it. Rispondiamo entro un mese (prorogabile di due mesi nei casi complessi, avvisandoti). Potremmo chiederti di confermare la tua identità.

Se sei un dipendente e la richiesta riguarda turni, ferie, timbrature o altri dati gestiti dalla tua attività, rivolgiti all'attività: è lei il titolare. Se scrivi a noi, inoltriamo la richiesta all'attività senza ritardo.

Reclamo: puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese europeo dove vivi o lavori.

10. Minori

DiTurno è pensato per attività e lavoratori. Per creare l'account di un'attività bisogna avere almeno 18 anni, e il servizio non è rivolto ai minori di 14 anni. Se un'attività invita un lavoratore minorenne, è l'attività a rispondere del rispetto delle norme sul lavoro dei minori.

11. Modifiche

Se cambiamo questa informativa aggiorniamo la data e la versione in cima alla pagina. Per le modifiche importanti avvisiamo i titolari delle attività per email o dentro l'app prima che entrino in vigore.