Accordo sul trattamento
dei dati (DPA)

1. Parti e accettazione

Il presente Accordo è stipulato tra:

• il Cliente che utilizza la piattaforma NoBadge, come identificato al momento della registrazione, in qualità di Titolare del trattamento («Titolare»);
• Innovazione su Misura di Catana Petronela, con sede in Via Val Della Torre, 81 – 10149 Torino (TO), P.IVA 12533670019, che fornisce NoBadge, in qualità di Responsabile del trattamento («Responsabile»).

L'Accordo fa parte dei Termini e Condizioni di Servizio («Termini») e si accetta insieme a loro al momento della registrazione, in forma elettronica come consente l'art. 28, par. 9, GDPR. Su richiesta del Titolare, il Responsabile ne invia una copia da firmare.

2. Oggetto e durata

Il Responsabile tratta dati personali per conto del Titolare al solo scopo di fornire il servizio NoBadge descritto nei Termini («Servizio»): rilevazione delle presenze e gestione del personale, assistenza tecnica, sicurezza e copie di backup.

L'Accordo vale per tutta la durata dei Termini e, dopo la loro cessazione, finché il Responsabile conserva dati del Titolare.

3. Il trattamento

Interessati. Dipendenti e collaboratori del Titolare, compresi i lavoratori somministrati che il Titolare gestisce nel Servizio; amministratori, responsabili e consulenti del lavoro che il Titolare abilita all'uso del Servizio.

Dati. A seconda delle funzioni che il Titolare attiva:

• dati anagrafici e di contatto (nome, cognome, email, telefono) e di organizzazione del lavoro (ruolo, luoghi di lavoro, orari, turni);
• credenziali di accesso, con la password conservata solo come impronta crittografica, e data dell'ultimo accesso;
• timbrature: data e ora di entrata, uscita e pause, luogo di lavoro, metodo usato per timbrare, note;
• posizione al momento della timbratura: coordinate, precisione stimata e alcuni parametri tecnici della lettura;
• foto a bassa risoluzione scattate dal tablet presente sul luogo di lavoro, dove il Titolare attiva questa funzione; non sono usate per il riconoscimento del volto;
• ferie, permessi e assenze; per malattia e permessi della Legge 104 solo il tipo di assenza, che è un dato relativo alla salute (art. 9 GDPR), mai la diagnosi;
• richieste di correzione delle timbrature, banca ore, trasferte, note spese con foto o PDF degli scontrini;
• documenti che il Titolare mette a disposizione dei lavoratori, per esempio buste paga e contratti, e data di lettura;
• dati tecnici: indirizzo del browser per le notifiche push, registri di funzionamento.

Operazioni. Raccolta, registrazione, conservazione, consultazione, elaborazione (per esempio il calcolo delle ore), esportazione, copia di backup e cancellazione, sempre attraverso il Servizio.

4. Istruzioni del Titolare

Il Responsabile tratta i dati soltanto su istruzione documentata del Titolare. Costituiscono istruzioni i Termini, il presente Accordo, la configurazione del Servizio scelta dagli amministratori del Titolare (per esempio le funzioni attivate, come la timbratura con la posizione) e le richieste scritte inviate a info@nobadge.it.

Se ritiene che un'istruzione violi il GDPR o altre norme sulla protezione dei dati, il Responsabile ne informa immediatamente il Titolare.

Il Responsabile non usa i dati del Titolare per scopi propri e non li vende né li cede a terzi. Se una norma di legge lo obbliga a trattarli diversamente, ne informa prima il Titolare, salvo che la legge lo vieti.

5. Riservatezza

Le persone autorizzate dal Responsabile a trattare i dati sono vincolate alla riservatezza e vi accedono solo per quanto serve a fornire il Servizio: assistenza tecnica richiesta dal Titolare, manutenzione e sicurezza.

6. Sicurezza

Il Responsabile adotta misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), descritte nell'Allegato 1, e le aggiorna con l'evoluzione del Servizio senza ridurre il livello di protezione.

7. Sub-responsabili

Il Titolare autorizza in via generale il Responsabile a servirsi dei fornitori elencati nell'Allegato 2 («sub-responsabili»).

Prima di aggiungere o sostituire un sub-responsabile, il Responsabile aggiorna l'elenco e ne informa gli amministratori del Titolare via email, prima che la modifica abbia effetto. Il Titolare può opporsi scrivendo a info@nobadge.it: le parti cercano una soluzione e, se non la trovano, il Titolare può recedere come previsto dall'art. 14 dei Termini.

Il Responsabile impone a ogni sub-responsabile obblighi di protezione dei dati equivalenti a quelli del presente Accordo e risponde verso il Titolare del loro operato (art. 28, par. 4, GDPR).

8. Trasferimenti fuori dall'Unione europea

I dati, comprese le copie di backup, sono conservati su server nell'Unione europea. Alcuni servizi elencati nell'Allegato 2, come le mappe e le notifiche push, sono forniti da società che possono trattare dati anche fuori dall'Unione europea: in questi casi il trasferimento avviene con le garanzie previste dal Capo V del GDPR.

9. Diritti degli interessati

Il Servizio permette al Titolare di consultare, correggere ed esportare i dati dei propri lavoratori. Per le richieste degli interessati che il Titolare non può soddisfare da solo, il Responsabile lo assiste con misure tecniche e organizzative adeguate.

Se un interessato si rivolge direttamente al Responsabile, questi inoltra la richiesta al Titolare senza rispondere nel merito.

10. Violazioni dei dati

Il Responsabile notifica al Titolare, senza ingiustificato ritardo dopo esserne venuto a conoscenza, ogni violazione dei dati personali trattati per suo conto (art. 33, par. 2, GDPR). La notifica descrive, con le informazioni disponibili, cosa è accaduto, quali dati e quanti interessati sono coinvolti, le conseguenze probabili e le misure adottate o proposte; le informazioni mancanti seguono appena disponibili.

Il Responsabile collabora con il Titolare per le eventuali notifiche al Garante e comunicazioni agli interessati, che restano a carico del Titolare.

11. Valutazione d'impatto

Il Responsabile fornisce al Titolare le informazioni tecniche sul Servizio necessarie per la valutazione d'impatto sulla protezione dei dati (art. 35 GDPR) e per l'eventuale consultazione preventiva del Garante (art. 36 GDPR).

12. Conservazione e fine del contratto

Durante il contratto i dati restano nel Servizio finché il Titolare li mantiene, e il Responsabile li cancella prima se il Titolare lo chiede.

Fino alla cessazione del Servizio il Titolare può esportare i propri dati con le funzioni del Servizio (art. 14 dei Termini). Dopo la cessazione il Responsabile cancella tutti i dati personali trattati per conto del Titolare, salvo che la legge ne imponga la conservazione. I dati presenti nelle copie di backup cifrate vengono eliminati con la normale rotazione delle copie. Su richiesta, il Responsabile conferma per iscritto l'avvenuta cancellazione.

13. Informazioni e verifiche

Il Responsabile mette a disposizione del Titolare le informazioni necessarie a dimostrare il rispetto del presente Accordo e dell'art. 28 GDPR, e consente e contribuisce alle verifiche, comprese le ispezioni, svolte dal Titolare o da un revisore da lui incaricato. Le verifiche si concordano con un preavviso ragionevole e si svolgono senza compromettere la sicurezza e la riservatezza dei dati di altri clienti.

14. Disposizioni finali

In caso di contrasto tra il presente Accordo e i Termini in materia di protezione dei dati personali, prevale il presente Accordo. Per tutto il resto, compresi durata, responsabilità, legge applicabile e foro competente, valgono i Termini.

L'Accordo può essere aggiornato con le modalità previste dall'art. 12 dei Termini; la versione in vigore è sempre pubblicata su questa pagina.

Allegato 1 — Misure di sicurezza

• Connessioni cifrate (HTTPS) tra l'app e i server.
• Password conservate solo come impronta crittografica (hash): nessuno, nemmeno il Responsabile, può leggerle.
• Accessi per ruolo, con permessi decisi dagli amministratori del Titolare: ogni lavoratore vede solo i propri dati.
• Separazione tra clienti: le interrogazioni del database sono filtrate automaticamente per azienda, così i dati di un cliente non sono visibili agli altri.
• Disattivazione rapida: un utente disattivato perde l'accesso entro mezzo minuto, anche se ha l'app aperta.
• File protetti: documenti, buste paga e scontrini si scaricano solo dall'app, dopo il controllo dei permessi, e non sono raggiungibili con un link diretto.
• Copie di backup automatiche: il database tre volte al giorno, i file caricati ogni notte. Ogni copia viene verificata e cifrata con AES-256, nomi dei file compresi, e viene custodita anche presso un secondo fornitore (Allegato 2), che non ha la chiave per aprirla.
• Personale: accesso ai dati solo per assistenza tecnica, manutenzione e sicurezza, con obbligo di riservatezza.
• Registri tecnici di funzionamento, usati solo per sicurezza e assistenza.

Allegato 2 — Sub-responsabili