Accordo sul trattamento dei dati (AVV) — Versione per l'Italia

1. Oggetto e durata

(1) Il responsabile del trattamento mette a disposizione del titolare del trattamento il software NymTime come Software-as-a-Service: piano dei turni, rilevazione dell'orario di lavoro con lo smartphone del dipendente su tag NFC (in alternativa, timbratura in sede con verifica geografica senza NFC), verifica della sede al momento della registrazione, rilevazione delle pause di riposo secondo la regola scelta dal titolare del trattamento, assenze, indicazioni di disponibilità, scambio di turno, comunicazioni dell'azienda (bacheca), conto ore, analisi delle ore, esportazione per l'elaborazione paghe nonché, in via facoltativa, archiviazione di documenti, compresa la consultazione da parte del dipendente interessato, documenti retributivi, dati sul fatturato per sede e costo interno del personale. In tale ambito tratta dati personali per conto del titolare del trattamento.

(2) La durata del presente accordo è determinata dal contratto di utilizzo (condizioni generali di contratto, nymtime.com/agb). L'accordo cessa con il contratto di utilizzo; la clausola 10 continua ad applicarsi oltre tale data, fino a quando tutti i dati non siano stati restituiti o cancellati.

(3) I dati del titolare del trattamento sono memorizzati esclusivamente in centri di calcolo situati nell'Unione europea. Durante la trasmissione transitano attraverso il reverse proxy di Cloudflare; le e-mail e le notifiche push sono inviate tramite i servizi indicati nell'allegato 2. I trasferimenti verso paesi terzi che ne derivano e la relativa base (articolo 45 e articolo 46, paragrafo 2, lettera c), RGPD) sono indicati nell'allegato 2.

(4) Se il cliente fa utilizzare NymTime da imprese a esso affiliate ai sensi del § 12, comma 5, delle condizioni generali di contratto, titolare del trattamento dei dati personali dei dipendenti di una sede è l'impresa registrata nel Back Office come datore di lavoro di tale sede (allegato 4). Il cliente conclude il presente accordo in nome proprio e, al tempo stesso, in nome e per conto, in forza di procura, di ciascuna impresa affiliata indicata nell'allegato 4; ciascuna di tali imprese è pertanto titolare del trattamento dei dati delle proprie sedi ai sensi del presente accordo e dell'articolo 28 RGPD. Il cliente garantisce che la procura gli è stata conferita prima della registrazione e ne fornisce prova al responsabile del trattamento su richiesta. Le istruzioni (clausola 3), le comunicazioni e le notifiche previste dal presente accordo sono impartite e ricevute dal cliente in modo cumulativo per tutte le imprese affiliate; il cliente esercita per loro conto i diritti di cui alla clausola 11, salvo che il diritto imperativo richieda un'azione diretta di un'impresa affiliata. Ciascuna impresa affiliata resta responsabile della liceità del trattamento dei dati dei propri dipendenti (articolo 5, paragrafo 2, e articolo 24 RGPD); ai dati di una sede si applica la Parte B dello Stato in cui essa è situata. Per le sedi senza impresa affiliata registrata, titolare del trattamento è il cliente.

2. Natura e finalità del trattamento, categorie di dati e interessati

(1) La natura e la finalità del trattamento, le categorie di dati personali e le categorie di interessati sono descritte nell'allegato 1. In sintesi: gestione dei dati anagrafici, piano dei turni, registrazioni dell'orario di lavoro secondo il diritto dello Stato della sede, assenze, esito della verifica della sede al momento della registrazione, dati del dispositivo, segnalazioni dei dipendenti nonché — se utilizzati dal titolare del trattamento — documenti e dati sul costo del personale, in ciascun caso allo scopo della pianificazione dell'impiego del personale, dell'adempimento degli obblighi di registrazione previsti dal diritto del lavoro e della preparazione dell'elaborazione paghe.

(2) Non vengono memorizzati coordinate GPS, percorsi o profili di movimento. L'esito della verifica della sede viene rilevato soltanto al momento di una registrazione durante un turno come «all'interno», «all'esterno» o «posizione non disponibile», con il momento e la precisione; non avviene alcuna rilevazione della posizione in background. La verifica ha luogo soltanto nelle sedi in cui il diritto del Paese della sede la consente e il titolare del trattamento non l'ha disattivata; il titolare del trattamento si assicura che i passaggi richiesti da tale diritto siano compiuti prima del suo utilizzo (Parte B).

(3) Il motivo di assenza «Malattia» viene rilevato senza diagnosi e senza indicazione della causa della malattia. Categorie particolari di dati personali ai sensi dell'articolo 9 RGPD sono inoltre oggetto del trattamento soltanto se il titolare del trattamento utilizza la funzione «Certificato di malattia (certificato medico)»: il certificato relativo all'inizio e alla durata presunta dell'incapacità lavorativa è un dato relativo alla salute. Il titolare del trattamento può archiviarlo soltanto se può richiederlo in base al diritto dello Stato in cui il dipendente è occupato (le disposizioni sono indicate nella Parte B); la base giuridica è l'articolo 9, paragrafo 2, lettera b), RGPD in combinato disposto con tali disposizioni e con l'articolo 88 RGPD. Il responsabile del trattamento limita l'accesso a tali documenti alle persone a ciò autorizzate dal titolare del trattamento e al dipendente interessato e non ne analizza il contenuto. Il titolare del trattamento garantisce che nei campi di testo libero e negli altri documenti non vengano archiviate diagnosi né altri dati relativi alla salute.

(4) Il responsabile del trattamento tratta inoltre per conto del titolare: le indicazioni di disponibilità dei dipendenti (indicazione volontaria ai fini della pianificazione; non costituiscono disponibilità al lavoro né reperibilità ai sensi della normativa sull'orario di lavoro e non danno diritto a retribuzione), le offerte e le accettazioni nello scambio di turno (per i colleghi della stessa sede e dello stesso ruolo sono visibili il nome, il ruolo o il reparto e gli orari del turno interessato — nessun dato di presenza o di prestazione), i dati di contatto resi visibili ai colleghi dal dipendente stesso (consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), RGPD, impostazione predefinita «disattivato», revoca in qualsiasi momento ai sensi dell'articolo 7, paragrafo 3, RGPD con effetto immediato nell'applicazione), le conferme di lettura delle comunicazioni dell'azienda (bacheca) nonché le pause di riposo e le pause brevi rilevate, compresa la segnalazione «Pausa non registrata». La segnalazione serve esclusivamente alla correzione della registrazione dell'orario di lavoro e non costituisce né una sanzione né una valutazione della prestazione; la correzione è effettuata con motivazione da una persona del titolare del trattamento.

(5) I dati sul fatturato per sede che il titolare del trattamento inserisce o importa per gli indicatori si riferiscono alla sede e non a persone e non costituiscono di per sé dati personali; sono analizzati soltanto in combinazione con il costo del personale, accessibile esclusivamente alla Direzione del titolare del trattamento e ai manager da essa a ciò abilitati.

3. Istruzioni del titolare del trattamento (articolo 28, paragrafo 3, lettera a), RGPD)

(1) Il responsabile del trattamento tratta i dati personali soltanto su istruzione documentata del titolare del trattamento, salvo che lo richieda il diritto dell'Unione o austriaco; in tal caso informa il titolare del trattamento di tale obbligo giuridico prima del trattamento, a meno che il diritto vieti tale informazione.

(2) Le istruzioni sono impartite mediante la configurazione nel Back Office — in particolare sedi e zona della sede, ruoli e autorizzazioni, regola sulle pause per ciascuna sede, termine per le indicazioni di disponibilità, obbligo di approvazione per lo scambio di turno, visibilità dei documenti per i dipendenti, periodi di conservazione, attivazione e disattivazione dell'NFC e della verifica della sede al momento della registrazione per ciascuna sede, abilitazione dell'accesso del supporto (Impostazioni → Abbonamento → Accesso del supporto), esportazione e cancellazione — nonché per iscritto a office@nymtime.com, per cui è sufficiente un'e-mail (forma convenuta ai sensi del § 886 ABGB, codice civile generale austriaco, Allgemeines bürgerliches Gesetzbuch, che consente alle parti di concordare la forma scritta e le sue modalità). Il titolare del trattamento stabilisce quali dei propri utenti sono autorizzati a impartire istruzioni (ruolo Direzione).

(3) Se il responsabile del trattamento ritiene che un'istruzione sia illecita sotto il profilo della protezione dei dati, ne informa immediatamente il titolare del trattamento e può sospenderne l'esecuzione fino alla conferma o alla modifica dell'istruzione.

4. Riservatezza (articolo 28, paragrafo 3, lettera b), RGPD)

(1) Il responsabile del trattamento garantisce che tutte le persone autorizzate al trattamento si siano impegnate alla riservatezza o abbiano un adeguato obbligo legale di riservatezza e che tale impegno perduri anche dopo la cessazione dell'attività.

(2) Nel funzionamento ordinario il responsabile del trattamento non accede ai contenuti dell'account cliente. Un accesso del supporto è possibile soltanto se il titolare del trattamento lo abilita espressamente nel Back Office — con indicazione dell'ambito, della durata e con possibilità di revoca in qualsiasi momento. Ogni accesso viene registrato con il momento, la persona e l'azione nel registro attività del titolare del trattamento.

5. Sicurezza del trattamento (articolo 28, paragrafo 3, lettera c), e articolo 32 RGPD)

(1) Il responsabile del trattamento adotta le misure tecniche e organizzative descritte nell'allegato 3 e le mantiene per l'intera durata del contratto. Le verifica regolarmente e le adegua allo stato dell'arte.

(2) Il responsabile del trattamento può sviluppare ulteriormente le misure e sostituirle con misure equivalenti, purché il livello di protezione non venga ridotto. Le modifiche sostanziali sono documentate nell'allegato 3 e segnalate al titolare del trattamento nel Back Office.

6. Sub-responsabili del trattamento (articolo 28, paragrafi 2 e 4, e paragrafo 3, lettera d), RGPD)

(1) Il titolare del trattamento concede l'autorizzazione generale al ricorso agli altri responsabili del trattamento ai sensi dell'articolo 28, paragrafi 2 e 4, RGPD (di seguito «sub-responsabili del trattamento») indicati nell'allegato 2. Con ciascun sub-responsabile del trattamento è in essere un contratto che gli impone gli stessi obblighi in materia di protezione dei dati che il presente accordo impone al responsabile del trattamento.

(2) Se il responsabile del trattamento intende ricorrere a un sub-responsabile del trattamento o sostituirlo, ne informa il titolare del trattamento con almeno 30 giorni di anticipo tramite e-mail e nel Back Office. Entro tale termine il titolare del trattamento può opporsi per un motivo grave attinente alla protezione dei dati; se non si raggiunge un accordo, ciascuna parte può disdire il contratto di utilizzo con effetto alla fine del mese in corso.

(3) Un trasferimento di dati personali verso un paese terzo al di fuori dello Spazio economico europeo avviene soltanto se sono soddisfatte le condizioni di cui agli articoli da 44 a 49 RGPD (decisione di adeguatezza o clausole contrattuali tipo ai sensi dell'articolo 46, paragrafo 2, lettera c), RGPD). Il responsabile del trattamento risponde dei sub-responsabili del trattamento come del proprio operato.

7. Assistenza in relazione ai diritti degli interessati (articolo 28, paragrafo 3, lettera e), RGPD)

(1) Il responsabile del trattamento assiste il titolare del trattamento con misure tecniche e organizzative adeguate nel dare seguito, entro i termini di legge, alle richieste degli interessati di accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opposizione (articoli da 15 a 22 RGPD).

(2) A tal fine il prodotto mette a disposizione: consultazione ed esportazione mensile delle proprie registrazioni dell'orario nell'app per i dipendenti (articoli 15 e 20 RGPD); esportazione di tutti i dati di un dipendente dal Back Office; correzioni con registro; archiviazione, anonimizzazione e cancellazione secondo i periodi di conservazione; nell'app per i dipendenti, la richiesta del dipendente di cancellazione del proprio account, che viene inoltrata al titolare del trattamento per la decisione (le registrazioni dell'orario di lavoro restano conservate per la durata di legge secondo la Parte B).

(3) Se un interessato rivolge una richiesta direttamente al responsabile del trattamento, questi la inoltra senza indugio al titolare del trattamento e non vi risponde personalmente, salvo istruzione in tal senso del titolare del trattamento.

8. Notifica delle violazioni dei dati personali (articolo 28, paragrafo 3, lettera f), e articolo 33 RGPD)

(1) Il responsabile del trattamento notifica al titolare del trattamento ogni violazione dei dati personali senza ingiustificato ritardo, al più tardi entro 48 ore dal momento in cui ne è venuto a conoscenza, tramite e-mail all'indirizzo della persona di riferimento. La notifica contiene le informazioni di cui all'articolo 33, paragrafo 3, RGPD: natura della violazione, categorie e numero approssimativo di interessati e di registrazioni coinvolti, probabili conseguenze, misure adottate e proposte nonché un punto di contatto.

(2) Il responsabile del trattamento assiste il titolare del trattamento nella notifica all'autorità di controllo entro 72 ore (articolo 33 RGPD) e nella comunicazione agli interessati (articolo 34 RGPD) e documenta tutte le violazioni, comprese le conseguenze e i provvedimenti adottati per porvi rimedio.

9. Valutazione d'impatto sulla protezione dei dati e consultazione (articolo 28, paragrafo 3, lettera f), e articoli 35 e 36 RGPD)

(1) La rilevazione sistematica della presenza dei dipendenti può rendere necessaria una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35, paragrafo 3, lettera a), RGPD. A tal fine il responsabile del trattamento mette a disposizione del titolare del trattamento un modello di valutazione d'impatto sulla protezione dei dati per NymTime e le informazioni tecniche sul prodotto e lo assiste in un'eventuale consultazione preventiva dell'autorità di controllo (articolo 36 RGPD).

(2) Spettano al titolare del trattamento l'esecuzione della valutazione d'impatto sulla protezione dei dati per il proprio impiego, la valutazione se il diritto del rispettivo Paese richieda per la verifica della sede un contratto collettivo o un accordo aziendale, una consultazione, un'informazione o un consenso, nonché la loro conclusione o acquisizione. Il responsabile del trattamento mette a disposizione a tal fine liste di controllo per ciascun Paese e modelli; questi non bloccano alcuna funzione né sostituiscono una consulenza legale.

10. Cancellazione e restituzione dopo la cessazione del contratto (articolo 28, paragrafo 3, lettera g), RGPD)

(1) Dopo la cessazione del contratto di utilizzo il titolare del trattamento può esportare integralmente i propri dati dal Back Office per 30 giorni (Excel, CSV, documenti nel formato originale). Alla scadenza di tale termine il responsabile del trattamento cancella tutti i dati personali del titolare del trattamento, salvo che il diritto dell'Unione o austriaco imponga al responsabile del trattamento stesso la conservazione; in tal caso il trattamento è limitato alla conservazione. Gli obblighi di conservazione del titolare del trattamento (secondo il diritto dello Stato della sede, Parte B) restano un suo obbligo proprio (§ 14, comma 3, delle condizioni generali di contratto); egli li adempie mediante l'esportazione tempestiva.

(2) Su richiesta, la cancellazione viene confermata per iscritto al titolare del trattamento. Le copie di backup vengono sovrascritte al più tardi 35 giorni dopo la cancellazione dei dati primari.

(3) Durante la durata del contratto il titolare del trattamento può archiviare, anonimizzare o cancellare singoli dipendenti e stabilire autonomamente i periodi di conservazione per ciascun tipo di dati nel rispetto dei valori minimi di legge. Una procedura giornaliera applica i termini e registra il numero e il tipo di dati delle registrazioni cancellate.

11. Documentazione e verifiche (articolo 28, paragrafo 3, lettera h), RGPD)

(1) Il responsabile del trattamento mette a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare il rispetto degli obblighi di cui all'articolo 28 RGPD, in particolare il presente accordo, gli allegati, il registro di cui all'articolo 30, paragrafo 2, RGPD e le relazioni sulla verifica delle misure tecniche e organizzative.

(2) Il titolare del trattamento o un revisore da esso incaricato e vincolato al segreto può verificare il rispetto del presente accordo, previo congruo preavviso di almeno 14 giorni, durante il normale orario di lavoro, al massimo una volta per anno civile, salvo che una violazione dei dati personali o un provvedimento dell'autorità di controllo renda necessaria un'ulteriore verifica. Il responsabile del trattamento contribuisce alle verifiche.

(3) Il responsabile del trattamento informa immediatamente il titolare del trattamento qualora, a suo parere, un'istruzione violi il RGPD o altre disposizioni dell'Unione o austriache relative alla protezione dei dati.

12. Responsabilità e disposizioni finali

(1) La responsabilità delle parti è disciplinata dall'articolo 82 RGPD e, per il resto, dal § 15 delle condizioni generali di contratto. Nei rapporti tra le parti, ciascuna parte risponde della violazione degli obblighi che le incombono ai sensi del presente accordo e del RGPD.

(2) Si applica il diritto austriaco, con esclusione delle norme di conflitto del diritto internazionale privato. Le parti convengono, ai sensi del § 104 JN (norma austriaca sulla giurisdizione, Jurisdiktionsnorm) — per i titolari del trattamento con sede legale in un altro Stato membro, anche ai sensi dell'articolo 25 del regolamento (UE) n. 1215/2012 (Bruxelles I bis) —, la competenza esclusiva del giudice competente per materia per Vienna, Innere Stadt. Le modifiche e le integrazioni del presente accordo richiedono la forma scritta; a tal fine le parti convengono, ai sensi del § 886 ABGB, una forma semplificata: è sufficiente un'e-mail all'indirizzo registrato. Ciò vale anche per la rinuncia a tale requisito.

(3) L'accettazione elettronica del presente accordo al momento dell'acquisto oppure, se il responsabile del trattamento ha creato l'account cliente su richiesta, al primo accesso della Direzione al Back Office — con momento, versione, somma di controllo (SHA-256) del testo del documento accettato, indirizzo IP e utente — viene registrata nell'account cliente e vale come conclusione in formato elettronico ai sensi dell'articolo 28, paragrafo 9, RGPD. In caso di contrasto tra il presente accordo e le condizioni generali di contratto, nelle questioni relative alla protezione dei dati prevale il presente accordo.

Allegato 1 — Oggetto del trattamento: categorie di dati, interessati, finalità

Categorie di dati personali (per ciascuna categoria: dati — finalità — base giuridica del titolare del trattamento):

• Dati anagrafici: nome, indirizzo e-mail, numero di telefono, mansione, ruolo, assegnazione alla sede, numero di matricola, tipo di rapporto di lavoro, data di assunzione e di cessazione — gestione, piano dei turni, elaborazione — articolo 6, paragrafo 1, lettere b) e c), RGPD.
• Dati contrattuali (accordo): orario di lavoro contrattuale (ore per settimana, mese o anno), categoria di impiego (tempo pieno, tempo parziale, minori di 18 anni, apprendistato, stagionale, altro), periodo di riferimento per il calcolo della media, contratto collettivo applicabile (Kollektivvertrag), diritto alle ferie in giorni, ciascuno con data di inizio validità e cronologia delle versioni — piano dei turni, conto ore, saldo ferie, verifica dei limiti previsti dalla normativa sull'orario di lavoro — articolo 6, paragrafo 1, lettere b) e c), RGPD.
• Piano dei turni: turni programmati, ruoli, fabbisogno minimo di personale, turni aperti, momenti di pubblicazione e di conferma (chi ha pubblicato il piano e quando, quando il dipendente lo ha visto e confermato), modifiche successive alla pubblicazione con motivazione — pianificazione dell'impiego del personale, prova della comunicazione tempestiva — articolo 6, paragrafo 1, lettere b) e c), RGPD.
• Disponibilità: indicazione per giorno o mezza giornata («disponibile», «preferibilmente no», «non disponibile»), momento dell'inserimento — indicazione volontaria ai fini della pianificazione, non costituisce disponibilità al lavoro né reperibilità ai sensi della normativa sull'orario di lavoro — articolo 6, paragrafo 1, lettera b), RGPD.
• Scambio di turno: offerta, risposte dei colleghi della stessa sede e dello stesso ruolo (visibili per essi: nome, ruolo o reparto, orari del turno), decisione del superiore gerarchico, esito della verifica dei limiti previsti dalla normativa sull'orario di lavoro — pianificazione dell'impiego del personale — articolo 6, paragrafo 1, lettera b), RGPD.
• Condivisione dei contatti (Contatti): indicazione se il dipendente ha reso visibili il proprio numero di telefono e il proprio indirizzo e-mail ai colleghi della stessa sede, con il momento della prestazione del consenso e di un'eventuale revoca — reperibilità all'interno del team — consenso ai sensi dell'articolo 6, paragrafo 1, lettera a), RGPD, impostazione predefinita «disattivato», revoca in qualsiasi momento ai sensi dell'articolo 7, paragrafo 3, RGPD.
• Comunicazioni dell'azienda (bacheca): testo, locandina (immagine o PDF, senza metadati dell'immagine), destinatari (sedi, reparti), validità, conferma di lettura e di presa visione per ciascun dipendente con il momento — prova della presa visione delle informazioni aziendali — articolo 6, paragrafo 1, lettere b) e f), RGPD; nessun controllo della prestazione.
• Registrazioni dell'orario di lavoro: inizio e fine effettivi, pause di riposo (non retribuite; blocchi di pausa programmati per ciascun turno, retribuiti o non retribuiti, nonché una pausa confermata dal responsabile della sede con indicazione di chi l'ha trattata) e pause brevi, compresa l'indicazione «Pausa non registrata», metodo di timbratura (NFC o timbratura in sede senza NFC), registro degli scostamenti in caso di orario contrattuale (giorni confermati «come previsto», orari effettivi in caso di scostamento, segnalazione del dipendente e conferma del superiore gerarchico), conto ore per ciascun periodo di elaborazione (ore contrattuali, ore accreditate, saldo, riporto e chiusura del periodo), correzioni con motivazione e indicazione di chi le ha effettuate — obbligo di registrazione secondo il diritto dello Stato della sede (Parte B) — articolo 6, paragrafo 1, lettera c), RGPD.
• Assenze: tipo (ferie, malattia, riposo compensativo, permesso per assistenza familiare, festività, congedo straordinario, formazione, non retribuita), periodo, stato, chi l'ha trattata; per la malattia senza diagnosi — piano dei turni, continuazione della retribuzione — articolo 6, paragrafo 1, lettere b) e c), RGPD.
• Verifica della sede al momento della registrazione: esito «all'interno», «all'esterno» o «posizione non disponibile» con il momento e la precisione in metri; nessuna coordinata, nessun percorso — plausibilità della registrazione — secondo il diritto del Paese della sede (Parte B); articolo 88 RGPD.
• Attestazioni della configurazione (conformità): indicazioni del titolare del trattamento sul Paese, sulle dimensioni dell'impresa e sulla rappresentanza dei lavoratori, accordi e verbali caricati, data della valutazione d'impatto sulla protezione dei dati, prese d'atto e consensi per ciascun dipendente con il momento e la versione del documento, revoche — prova che i passaggi richiesti dal diritto nazionale sono stati compiuti prima dell'utilizzo della funzione — articolo 6, paragrafo 1, lettere c) e f), RGPD, per i consensi articolo 7 RGPD.
• Dati del dispositivo: identificativo del dispositivo, chiave pubblica, modello e versione del sistema operativo, token push per le notifiche, stato (attivo, sostituito, revocato), momento della registrazione del dispositivo — un dispositivo per persona, protezione contro le falsificazioni — articolo 6, paragrafo 1, lettera f), RGPD.
• Documenti (facoltativi): comunicazione di assunzione agli enti previdenziali, informazione scritta sulle condizioni essenziali di lavoro, contratto di lavoro, attestazioni con eventuale data di scadenza, documenti richiesti dall'azienda e caricati dal dipendente, buste paga e certificazioni retributive annuali con campi proposti automaticamente e annotazione di verifica, ciascuno con l'indicazione se il documento è visibile nell'app al dipendente interessato — fascicolo del personale, preparazione dell'elaborazione paghe — articolo 6, paragrafo 1, lettera c), RGPD in combinato disposto con il diritto dello Stato della sede (Parte B); tali documenti possono contenere numeri di identificazione nazionali (ad esempio il numero di previdenza sociale), che il titolare del trattamento archivia soltanto nei limiti del diritto del proprio Stato. I documenti retributivi sono visibili soltanto alla Direzione, alle persone espressamente autorizzate dal titolare del trattamento e al dipendente interessato; ogni accesso viene registrato. Conservazione: i documenti retributivi secondo il tipo di dati «Documenti retributivi» (termine e relativa decorrenza secondo la Parte B), gli altri documenti secondo il tipo di dati «Documenti dei dipendenti».
• Certificato di malattia (certificato medico, facoltativo): inizio e durata presunta dell'incapacità lavorativa senza diagnosi — prova della malattia e continuazione della retribuzione — dato relativo alla salute, articolo 9, paragrafo 2, lettera b), RGPD in combinato disposto con la disposizione dello Stato in cui il dipendente è occupato che consente al datore di lavoro di richiedere il certificato (Parte B). Se l'incapacità lavorativa è comunicata per via elettronica tramite un ente previdenziale, il titolare del trattamento archivia soltanto l'informazione che gli spetta, senza diagnosi; se un certificato contiene un codice di diagnosi, lo rende illeggibile prima del caricamento. Accesso soltanto per la Direzione, per le persone espressamente autorizzate a tal fine dal titolare del trattamento e per il dipendente interessato; ogni accesso viene registrato. Conservazione secondo il tipo di dati «Documenti dei dipendenti».
• Costo del personale (facoltativo, visibile alla Direzione e ai manager da essa abilitati («Costo del personale»)): retribuzione lorda con cronologia (importo, unità, numero di mensilità per anno, ore settimanali, tipo di rapporto di lavoro, aliquota del costo a carico del datore di lavoro), maggiorazioni, anticipi, adeguamenti con storico — calcolo interno — articolo 6, paragrafo 1, lettera f), RGPD.
• Dati sul fatturato per sede (facoltativi): fatturato giornaliero e valore obiettivo — indicatore dell'incidenza del costo del personale — non costituiscono dati personali; sono analizzati soltanto insieme al costo del personale.
• Registri: registro attività (chi, che cosa, quando, prima/dopo), notifiche — prova, sicurezza — articolo 5, paragrafo 2, e articolo 32 RGPD.
• Categorie di interessati: lavoratori dipendenti, collaboratori autonomi (freie Dienstnehmer), lavoratori somministrati, tirocinanti e apprendisti del titolare del trattamento. Gli utenti del Back Office (Direzione, manager, consulenza fiscale) e la persona di riferimento del titolare del trattamento non sono oggetto del presente accordo; per i loro dati il responsabile del trattamento è esso stesso titolare del trattamento (informativa sulla protezione dei dati, sezioni 6 e 7).
• Finalità: pianificazione dell'impiego del personale; adempimento dell'obbligo di registrazione dell'orario di lavoro, comprese le pause di riposo, secondo il diritto dello Stato della sede; plausibilità della registrazione; gestione delle assenze; organizzazione delle disponibilità, dello scambio di turno e delle comunicazioni aziendali; archiviazione e messa a disposizione dei documenti del personale; preparazione dell'elaborazione paghe; sicurezza e tracciabilità del sistema.
• Conservazione (modificabile dal titolare del trattamento nel rispetto dei valori minimi di legge): i valori predefiniti e i valori minimi per le registrazioni dell'orario di lavoro, il registro attività, i documenti dei dipendenti (tipo di dati «employee_documents», compresi le attestazioni caricate e i certificati medici), i documenti retributivi, il costo del personale e i profili dei dipendenti archiviati (successivamente anonimizzazione) sono indicati nella Parte B secondo il diritto dello Stato della sede; eventi di presenza grezzi 3 mesi, meno ove il diritto dello Stato lo richieda (Parte B); notifiche 6 mesi. Le disponibilità, gli scambi di turno e le conferme di lettura sono cancellati insieme al relativo piano dei turni o alla relativa comunicazione, al più tardi dopo 12 mesi.

Allegato 2 — Sub-responsabili del trattamento autorizzati

Aggiornato al 28 settembre 2026. Il responsabile del trattamento ricorre ai seguenti sub-responsabili del trattamento; l'elenco di volta in volta aggiornato è consultabile nel Back Office alla voce Impostazioni → Abbonamento.

• Hosting del servizio (server, banca dati, archiviazione dei file, copie di backup): Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Germania — centro di calcolo di Falkenstein (Germania, regione fsn1), Object Storage nella stessa regione. Garanzia: accordo sul trattamento dei dati ai sensi dell'articolo 28 RGPD; nessun trattamento al di fuori dell'UE.
• Hosting e distribuzione del sito web nymtime.com nonché inoltro dell'intero traffico di dati verso api.nymtime.com, app.nymtime.com e admin.nymtime.com (reverse proxy, cifratura del trasporto, protezione da attacchi di sovraccarico): Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Monaco di Baviera / Cloudflare, Inc., San Francisco, USA). La connessione TLS termina presso Cloudflare; Cloudflare tratta pertanto, sul piano tecnico, tutti i dati trasmessi, compresi i dati dei dipendenti durante la trasmissione, ma non memorizza contenuti del servizio — vengono memorizzati temporaneamente soltanto i file statici, oltre ai log di connessione per la difesa dagli attacchi. Garanzia: accordo sul trattamento dei dati ai sensi dell'articolo 28 RGPD; trasferimento verso gli USA sulla base della certificazione ai sensi del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (articolo 45 RGPD) e delle clausole contrattuali tipo (articolo 46, paragrafo 2, lettera c), RGPD).
• Invio di e-mail (link di accesso e di invito, codici di attivazione dell'app per i dipendenti, notifiche, comunicazioni contrattuali e di pagamento, fatture): Resend, Inc., San Francisco, USA — invio tramite Amazon Simple Email Service nella regione eu-west-1 (Irlanda). Dati trattati: indirizzo del destinatario, oggetto, contenuto e stato di consegna del messaggio. Garanzia: Data Processing Addendum del 28.09.2026 (articolo 28 RGPD); trasferimento verso gli USA sulla base del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (articolo 45 RGPD) e delle clausole contrattuali tipo (articolo 46, paragrafo 2, lettera c), RGPD).
• Notifiche push all'app per i dipendenti: Expo (650 Industries, Inc., USA), consegna ai dispositivi tramite Apple Push Notification service (Apple Inc.) o Firebase Cloud Messaging (Google). Dati trattati: token push del dispositivo, identificativo e tipo della notifica, un testo generico privo di contenuti personali. Garanzia: accordo sul trattamento dei dati ai sensi dell'articolo 28 RGPD; trasferimento verso gli USA sulla base del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (articolo 45 RGPD) e delle clausole contrattuali tipo (articolo 46, paragrafo 2, lettera c), RGPD).
• Riconoscimento automatico dei campi nei documenti (soltanto se il titolare del trattamento attiva tale funzione): fornitore con trattamento nell'UE, nessun utilizzo dei dati a fini di addestramento — sarà aggiunto qui prima dell'attivazione della funzione; fino ad allora la funzione è disattivata.
• Ricerca dell'indirizzo nel Back Office (suggerimenti durante l'inserimento dell'indirizzo di una sede): Komoot GmbH, Hauptstraße 35, 12159 Berlino, Germania (servizio Photon, server nell'UE; base dati OpenStreetMap, ODbL 1.0). Viene trasmesso esclusivamente il testo dell'indirizzo inserito; la richiesta è effettuata dal nostro server, non dal browser. I dati dei dipendenti non vengono trasmessi. In sostituzione in caso di indisponibilità: Nominatim della OpenStreetMap Foundation, St John’s Innovation Centre, Cowley Road, Cambridge CB4 0WS, Regno Unito — con la fondazione non è possibile concludere un accordo sul trattamento dei dati; il servizio riceve soltanto il testo dell'indirizzo e viene interrogato soltanto come soluzione di riserva. Per il servizio pubblico Photon Komoot non offre un accordo sul trattamento dei dati; viene trasmesso soltanto il testo digitato dell'indirizzo della sede, nessun dato dei dipendenti.

Per completezza — titolari del trattamento autonomi, non sub-responsabili del trattamento: Commissione europea, Rue de la Loi 200, 1049 Bruxelles, Belgio (conferma del numero di partita IVA (UID) del titolare del trattamento nel sistema di scambio di informazioni sull'IVA VIES; vengono trasmessi soltanto il codice del paese e il numero di partita IVA, base giuridica articolo 6, paragrafo 1, lettera c), RGPD in combinato disposto con il § 11, comma 1a, UStG 1994 (legge austriaca sull'IVA, Umsatzsteuergesetz); nessun dato dei dipendenti), Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublino 2, Irlanda (gestione dei pagamenti, fatturazione e gestione dell'abbonamento per il titolare del trattamento in qualità di cliente; trasferimenti a Stripe, Inc. (USA) nell'ambito del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) e delle clausole contrattuali tipo) nonché Österreichische Post AG, Rochusplatz 1, 1030 Vienna, o un servizio di corriere (consegna dei tag NFC all'indirizzo aziendale o di consegna; riceve esclusivamente i dati di spedizione: ragione sociale, persona di riferimento, indirizzo, eventualmente numero di telefono). Nessuno di questi destinatari tratta dati dei dipendenti del titolare del trattamento.

Allegato 3 — Misure tecniche e organizzative (articolo 32 RGPD)

Il responsabile del trattamento attua in particolare le seguenti misure:

• Controllo dell'accesso fisico e ai sistemi: funzionamento del servizio esclusivamente in centri di calcolo nell'UE; il controllo dell'accesso fisico e la certificazione ISO 27001 sono requisiti posti al fornitore di hosting del servizio (Hetzner Online GmbH, allegato 2); accesso amministrativo soltanto tramite account personali con chiavi SSH, autenticazione a due fattori per la console di amministrazione anch'essa quale requisito posto al fornitore di hosting; nessun account condiviso.
• Controllo degli accessi nel prodotto: sistema di autorizzazioni basato su ruoli e diritti (Direzione, manager, dipendenti, ulteriori ruoli con singole autorizzazioni), limitazione dei manager alle sedi assegnate; dati sul costo del personale soltanto per la Direzione; certificati medici e documenti retributivi soltanto per la Direzione, per le persone espressamente autorizzate dal titolare del trattamento e per il dipendente interessato, e ogni accesso a essi viene registrato; accesso al Back Office tramite account personali con l'indirizzo e-mail come identificativo utente e una password conservata esclusivamente come valore di hash con salt casuale (scrypt) — impostazione della password tramite un link monouso (valido 24 ore), reimpostazione tramite un link monouso (valido 1 ora), conferma di un nuovo indirizzo e-mail con un codice inviato al nuovo indirizzo, blocco per 15 minuti dopo 10 tentativi falliti, chiusura di tutte le sessioni esistenti a ogni modifica della password, cookie di sessione con scadenza dopo 14 giorni, autenticazione a due fattori facoltativa (app TOTP, attivabile dal titolare del trattamento per l'intera azienda, codici di recupero conservati soltanto come valore di hash, segreto TOTP conservato in forma cifrata); attivazione dell'app per i dipendenti tramite codice monouso inviato all'indirizzo e-mail registrato (validità limitata, al massimo 5 tentativi, richieste limitate per indirizzo e per indirizzo IP); gli accessi vengono registrati.
• Associazione del dispositivo: esattamente un dispositivo attivo per dipendente; coppia di chiavi crittografiche nella memoria sicura del dispositivo; ogni timbratura è firmata dal dispositivo; un nuovo dispositivo viene associato soltanto previa conferma di un codice inviato via e-mail e prova della presenza presso la sede (tag NFC o verifica della sede) — il dispositivo precedente viene contestualmente revocato in automatico, l'azienda viene informata e il cambio viene registrato; l'azienda può revocare un dispositivo in qualsiasi momento.
• Tag NFC: NXP NTAG 424 DNA, configurati per un messaggio dinamico firmato crittograficamente a ogni contatto (Secure Unique NFC) con verifica del contatore — progettati per impedirne la copia e la riproduzione; la chiave del chip non viene rivelata né al telefono né agli utenti; il codice QR sulla targhetta della sede rimanda soltanto alla pagina di download dell'app per i dipendenti e non costituisce un metodo di timbratura; timbratura in sede senza NFC soltanto all'interno della zona della sede.
• Minimizzazione dei dati: nessuna memorizzazione di coordinate o percorsi; nessuna foto al momento della timbratura — le immagini entrano nel sistema soltanto come documenti caricati dal dipendente stesso (ad esempio un certificato medico); della posizione soltanto l'esito della verifica al momento della registrazione («all'interno», «all'esterno», «posizione non disponibile», momento, precisione); nessuna rilevazione della posizione in background; verifica soltanto durante il turno e solo nelle sedi in cui il diritto del Paese la consente e il titolare del trattamento non l'ha disattivata; gli eventi grezzi sono cancellati dopo 3 mesi, prima ove il diritto del Paese lo richieda; notifiche push prive di contenuti personali.
• Cifratura: trasmissione esclusivamente tramite TLS 1.2 o superiore (fino al reverse proxy di Cloudflare e da lì nuovamente cifrata fino ai server del servizio); la banca dati si trova su volumi cifrati con LUKS (dm-crypt, AES-XTS) presso il fornitore di hosting; l'applicazione cifra i documenti con AES-256-GCM prima dell'archiviazione nell'Object Storage, e le chiavi si trovano soltanto sui server applicativi; pgBackRest cifra le copie di backup della banca dati con AES-256 prima dell'archiviazione nell'Object Storage; chiavi e credenziali di accesso al di fuori del codice sorgente; password e codici di accesso soltanto come valore di hash con salt casuale.
• Integrità e tracciabilità: registro attività non modificabile (aggiunta consentita, modifica e cancellazione impedite da una regola della banca dati) per tutte le azioni rilevanti per la sicurezza; soltanto cancellazione logica (soft delete) con marca temporale; correzioni degli orari di lavoro con motivazione, indicazione di chi le ha effettuate e valore precedente.
• Log dei server: i log dei server applicativi (interfaccia, server web) contengono indirizzi IP, ma nessun contenuto di documenti o dati retributivi; sono ruotati in base alle dimensioni (al massimo cinque file da 10 MB ciascuno per servizio) e cancellati al più tardi dopo 30 giorni.
• Disponibilità: due server di banca dati con replica continua; copie di backup giornaliere (settimanalmente complete, giornalmente differenziali, oltre all'archiviazione continua dei log delle transazioni) con conservazione fino a 35 giorni, cifrate nell'Object Storage del fornitore di hosting nell'UE; test di ripristino automatico mensile; monitoraggio con allarmi; memorizzazione temporanea delle timbrature sul dispositivo in caso di perdita della connessione.
• Separazione: separazione logica dei dati dei clienti mediante chiave dell'organizzazione in ogni interrogazione; ambienti separati per sviluppo, test e produzione; nessun dato di produzione negli ambienti di test o di sviluppo.
• Conservazione e cancellazione: termini configurabili per ciascun tipo di dati con valori minimi di legge imposti; procedura giornaliera automatizzata di cancellazione e anonimizzazione con registro; restituzione e cancellazione ai sensi della clausola 10.
• Accesso del supporto: nessun accesso del responsabile del trattamento ai dati dei clienti nel funzionamento ordinario; accesso soltanto previa abilitazione da parte del titolare del trattamento, con indicazione dell'ambito, della durata e con possibilità di revoca in qualsiasi momento; ogni accesso viene registrato.
• Organizzazione: impegno alla riservatezza di tutti i soggetti coinvolti; procedura documentata per le violazioni dei dati personali con notifica entro 48 ore; registro delle attività di trattamento ai sensi dell'articolo 30, paragrafo 2, RGPD; verifica annuale delle presenti misure; aggiornamenti di sicurezza entro un termine adeguato; principi della protezione dei dati fin dalla progettazione e per impostazione predefinita (articolo 25 RGPD) nel processo di sviluppo.

Allegato 4 — Imprese affiliate quali titolari del trattamento (clausola 1, comma 4)

L'allegato 4 è l'elenco delle imprese affiliate per le quali il cliente conclude il presente accordo ai sensi della clausola 1, comma 4: ragione sociale, Stato, indirizzo, partita IVA (UID) (se indicata) e le sedi di cui l'impresa è datore di lavoro. Il cliente tiene l'elenco nel Back Office; la versione di volta in volta vigente vi è consultabile in qualsiasi momento, e ogni modifica dell'elenco vale come istruzione documentata ai sensi della clausola 3. Finché non è registrata alcuna impresa affiliata, il cliente è titolare del trattamento per tutte le sedi.

B1. Basi giuridiche nel contesto lavorativo

(1) Al trattamento nel contesto lavorativo si applicano l'articolo 88 RGPD, gli artt. 113 e 114 del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196) e l'art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori).

(2) La timbratura al tag NFC è uno strumento di registrazione delle presenze ai sensi dell'art. 4, comma 2, dello Statuto dei lavoratori; i dati sono utilizzabili ai fini del rapporto di lavoro solo se il titolare del trattamento ha informato i dipendenti ai sensi dell'art. 4, comma 3, dello Statuto dei lavoratori e dell'articolo 13 RGPD. La verifica della sede al momento della timbratura (clausola 2, comma 2, e allegato 1 Parte A) presuppone un accordo con la RSU o la RSA oppure un'autorizzazione dell'Ispettorato nazionale del lavoro ai sensi dell'art. 4, comma 1, dello Statuto dei lavoratori, che il titolare del trattamento registra nel Back Office; il consenso del dipendente non costituisce una base sufficiente.

B2. Registrazioni dell'orario di lavoro

Le registrazioni dell'orario di lavoro (clausola 2, comma 1, e allegato 1 Parte A) servono al rispetto del decreto legislativo 8 aprile 2003, n. 66, e alle registrazioni nel Libro Unico del Lavoro (art. 39 del decreto-legge 25 giugno 2008, n. 112); la base giuridica è l'articolo 6, paragrafo 1, lettera c), RGPD in combinato disposto con tali norme. La registrazione nel Libro Unico del Lavoro è effettuata dal titolare del trattamento direttamente o tramite il suo consulente del lavoro; il responsabile del trattamento non trasmette dati ad autorità né al Libro Unico del Lavoro.

B3. Certificato di malattia e documenti

(1) In Italia il medico trasmette il certificato di malattia in via telematica all'Istituto nazionale della previdenza sociale (INPS); il datore di lavoro può consultare tramite l'INPS l'attestato privo di diagnosi. Nella funzione «Certificato di malattia» (allegato 1 Parte A) il titolare del trattamento registra quindi soltanto il numero di protocollo o tale attestato privo di diagnosi; la base giuridica è l'articolo 9, paragrafo 2, lettera b), RGPD in combinato disposto con la normativa italiana sul certificato di malattia telematico e con l'articolo 88 RGPD.

(2) Tra i documenti di cui all'allegato 1 Parte A rientrano in Italia in particolare la comunicazione obbligatoria di instaurazione del rapporto di lavoro (UNILAV), l'informazione scritta sulle condizioni di lavoro (decreto legislativo 26 maggio 1997, n. 152), i cedolini (stampe del Libro Unico del Lavoro) e la Certificazione Unica; la base giuridica è l'articolo 6, paragrafo 1, lettera c), RGPD in combinato disposto con tali norme. Il titolare del trattamento registra il codice fiscale solo nell'ambito di tali norme.

B4. Conservazione

Valori predefiniti per le sedi in Italia, modificabili dal titolare del trattamento entro i valori minimi: registrazioni dell'orario di lavoro 60 mesi (minimo 60 mesi; cinque anni dall'ultima registrazione per il Libro Unico del Lavoro, art. 6 del decreto del Ministro del lavoro 9 luglio 2008); eventi di presenza grezzi 3 mesi; il risultato della verifica della sede («all'interno», «all'esterno», precisione) è rimosso dalla registrazione dell'orario 30 giorni dopo la timbratura, mentre la registrazione resta; registro attività 84 mesi (minimo 24 mesi); documenti dei dipendenti (tipo di dati «employee_documents») 84 mesi; documenti retributivi 120 mesi (minimo 60 mesi); costo del personale 84 mesi; notifiche 6 mesi; profili dei dipendenti archiviati 84 mesi, poi anonimizzazione. Gli obblighi legali di conservazione restano obblighi propri del titolare del trattamento (clausola 10, comma 1, Parte A).

B5. Autorità di controllo

L'autorità di controllo competente per il titolare del trattamento è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, protocollo@gpdp.it, www.garanteprivacy.it. Per il responsabile del trattamento è competente l'autorità austriaca per la protezione dei dati (Österreichische Datenschutzbehörde), Barichgasse 40–42, 1030 Vienna, www.dsb.gv.at.