Informativa sulla privacy — Versione per l'Italia

1. Titolare del trattamento

Titolare del trattamento ai sensi dell'art. 4, punto 7, RGPD è LazyHead e.U., titolare Andrii Snikhovskyi, Morizgasse 2/2/14, 1060 Vienna, Austria, e-mail: office@nymtime.com.

Si applicano il regolamento generale sulla protezione dei dati (RGPD) e, in via integrativa, la legge austriaca sulla protezione dei dati (Datenschutzgesetz, DSG), in particolare il § 1 DSG (diritto fondamentale alla riservatezza dei dati personali, norma di rango costituzionale) e il § 24 DSG (reclamo all'autorità austriaca per la protezione dei dati). Per il trattamento nell'ambito dei rapporti di lavoro si applicano inoltre l'art. 88 RGPD e le norme dello Stato in cui i dipendenti sono occupati (Parte B).

Non è stato designato un responsabile della protezione dei dati. Non ricorrono i presupposti dell'art. 37, par. 1, RGPD: non siamo un'autorità pubblica, la nostra attività principale non consiste in un monitoraggio regolare e sistematico degli interessati su larga scala e non trattiamo su larga scala categorie particolari di dati personali ai sensi dell'art. 9 RGPD. Le richieste in materia di protezione dei dati vanno indirizzate a office@nymtime.com.

2. Panoramica: tre gruppi di interessati

Distinguiamo tre gruppi, ai quali si applicano regole diverse:

• Visitatori del sito web nymtime.com (sezioni da 3 a 5): dati tecnici di accesso e richieste di contatto.
• Clienti e potenziali clienti (sezioni 6 e 7): conclusione del contratto, pagamento tramite Stripe, account cliente nel Back Office.
• Dipendenti dei nostri clienti (sezione 8): piano dei turni, orario di lavoro e presenze — in questo caso il datore di lavoro è titolare del trattamento e LazyHead e.U. è responsabile del trattamento ai sensi dell'art. 28 RGPD.

3. Visita al sito web (log del server)

Quando viene richiamata una pagina, il server web tratta i dati tecnicamente necessari: indirizzo IP, data e ora dell'accesso, indirizzo richiamato, quantità di dati trasferiti, codice di stato HTTP, tipo di browser e sistema operativo, nonché la pagina di provenienza (referrer).

Finalità: fornitura della pagina, difesa da attacchi, analisi degli errori. Base giuridica: art. 6, par. 1, lett. f), RGPD — il nostro legittimo interesse a un funzionamento sicuro e stabile del sito web e del servizio. Periodo di conservazione: i log dei nostri server (interfaccia del servizio e server web) contengono indirizzi IP; vengono ruotati in base alle dimensioni (al massimo cinque file da 10 MB ciascuno per servizio), di norma sovrascritti dopo pochi giorni e cancellati al più tardi dopo 30 giorni. Non avviene alcuna combinazione con altri dati né alcuna analisi a fini di marketing.

Hosting: il servizio NymTime (applicazione, banca dati, archiviazione dei file, copie di backup) è gestito presso Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Germania, nel centro dati di Falkenstein (Germania, regione fsn1). La banca dati si trova su supporti cifrati con LUKS; le copie di backup della banca dati sono cifrate con pgBackRest (AES-256) e archiviate nell'Object Storage di Hetzner nella stessa regione. Il sito web nymtime.com è ospitato e distribuito da Cloudflare (Cloudflare Germany GmbH, Rosental 7, 80331 Monaco di Baviera / Cloudflare, Inc., San Francisco, USA) su Cloudflare Workers. Inoltre Cloudflare inoltra ai nostri server l'intero traffico di dati diretto agli indirizzi api.nymtime.com, app.nymtime.com e admin.nymtime.com (reverse proxy con protezione dagli attacchi di sovraccarico): la cifratura TLS termina presso Cloudflare, e la connessione da Cloudflare ai nostri server è nuovamente cifrata con TLS. Cloudflare tratta quindi tecnicamente tutti i dati trasmessi tra il browser o l'app e il servizio — anche i dati dei dipendenti dei nostri clienti —, ma non conserva alcun contenuto del servizio; vengono memorizzati temporaneamente solo i file statici del sito web e delle applicazioni (script, font, immagini), e Cloudflare tiene inoltre log delle connessioni per la difesa da attacchi. Cloudflare, Inc. è certificata ai sensi del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (decisione di adeguatezza della Commissione europea del 10 luglio 2023, art. 45 RGPD); in via integrativa si applicano le clausole contrattuali tipo della Commissione europea contenute nell'accordo sul trattamento dei dati di Cloudflare (art. 46, par. 2, lett. c), RGPD). Con entrambi i fornitori è stato concluso un accordo sul trattamento dei dati ai sensi dell'art. 28 RGPD.

I font sono forniti come parte del sito web stesso. Non viene stabilita alcuna connessione con Google Fonts o con altri fornitori di font; non vengono caricati script, immagini o contenuti di terzi.

4. Cookie e tecnologie analoghe (§ 165, comma 3, TKG 2021)

Sito web nymtime.com: il presente sito web non imposta cookie e non utilizza la memoria locale (Local Storage, Session Storage) per il riconoscimento. Non sono integrati servizi di analisi, statistica o pubblicità. L'impostazione della lingua deriva esclusivamente dal percorso linguistico del sito web richiamato (ad es. /, /en, /fr) e non viene memorizzata.

Back Office (applicazione per i clienti all'indirizzo app.nymtime.com): il Back Office imposta i seguenti cookie: nt_session — identificativo di sessione casuale e firmato dopo l'accesso, leggibile solo dal server (HttpOnly), che scade dopo 14 giorni o con la disconnessione; nt_role — ruolo della persona che ha effettuato l'accesso, affinché venga visualizzata l'interfaccia adeguata; nt_locale — lingua scelta; nt_location — ultima sede selezionata. nt_role, nt_locale e nt_location non contengono nomi né dati di contatto e scadono dopo 12 mesi. Il Back Office memorizza inoltre nella memoria locale del browser (Local Storage) impostazioni d'uso: la vista del piano dei turni scelta per ciascuna sede e l'eventuale chiusura dell'avviso di configurazione. Nella console dell'operatore admin.nymtime.com, accessibile solo ai dipendenti di LazyHead e.U., il cookie di sessione si chiama nt_platform. Questi cookie e queste voci sono strettamente necessari per il servizio espressamente richiesto oppure memorizzano solo impostazioni scelte dall'utente stesso; ai sensi del § 165, comma 3, TKG 2021 (legge austriaca sulle telecomunicazioni, Telekommunikationsgesetz 2021) non è richiesto il consenso. La base giuridica del relativo trattamento dei dati è l'art. 6, par. 1, lett. b), RGPD (esecuzione del contratto). Il Back Office non imposta cookie a fini di analisi o pubblicità.

Pagamento: il pagamento avviene tramite Stripe Checkout sul dominio stripe.com. I cookie ivi impostati sono soggetti alla responsabilità e alla cookie policy di Stripe (https://stripe.com/de-at/legal/cookies-policy); sul nostro sito web non viene caricato alcuno script di Stripe.

Non è pertanto necessario un banner dei cookie. Qualora in futuro utilizzassimo cookie non necessari o servizi di terzi, raccoglieremo preventivamente il consenso ai sensi del § 165, comma 3, TKG 2021 e dell'art. 6, par. 1, lett. a), RGPD e aggiorneremo la presente informativa.

5. Modulo di contatto ed e-mail

Se utilizza il modulo di contatto o ci scrive un'e-mail, trattiamo nome, indirizzo e-mail, facoltativamente azienda e numero di sedi, l'argomento scelto e il contenuto del Suo messaggio. Finalità: risposta alla richiesta, invio dei modelli richiesti (AVV, accordo aziendale, dichiarazione di consenso, valutazione d'impatto sulla protezione dei dati), preparazione della conclusione di un contratto.

Base giuridica: art. 6, par. 1, lett. b), RGPD (esecuzione di misure precontrattuali adottate su Sua richiesta) nonché, per il contatto via e-mail, il consenso da Lei prestato nel modulo ai sensi dell'art. 6, par. 1, lett. a), RGPD, che può revocare in qualsiasi momento con effetto per il futuro.

Periodo di conservazione: fino alla conclusione della trattazione della richiesta, al massimo 6 mesi dopo l'ultimo messaggio; se si giunge alla conclusione di un contratto, si applicano i termini del rapporto contrattuale (sezione 10). Destinatari: i messaggi inviati tramite il modulo di contatto vengono recapitati dal nostro server alla nostra casella di posta tramite il servizio di invio e-mail Resend (responsabile del trattamento, sezione 7).

Richieste di assistenza dei clienti (support@nymtime.com, condizioni generali, AGB § 10 Abs 5): trattiamo nome, indirizzo e-mail, azienda, il contenuto della richiesta e la relativa corrispondenza, al fine di rispondere alla richiesta e risolvere i malfunzionamenti. Base giuridica: art. 6, par. 1, lett. b), RGPD (esecuzione del contratto di utilizzo) nonché art. 6, par. 1, lett. f), RGPD — il nostro legittimo interesse a ricostruire i malfunzionamenti ricorrenti e a poter dimostrare la qualità dell'assistenza. Periodo di conservazione: 12 mesi dopo la chiusura della richiesta. L'accesso all'account cliente avviene in tale contesto solo previa abilitazione espressa da parte del cliente (sezione 7).

6. Acquisto e gestione dell'acquisto (Stripe)

In caso di acquisto tramite nymtime.com/kaufen rileviamo i dati della Sua impresa (ragione sociale, via, codice postale e località, paese, facoltativamente numero di partita IVA (UID-Nummer)), il numero di sedi, il numero di tag NFC ordinati in aggiunta, nome, cognome e indirizzo e-mail della persona di riferimento, facoltativamente un numero di telefono per domande sull'ordine e sulla consegna, facoltativamente un indirizzo di consegna diverso e il momento del Suo consenso alle condizioni generali (AGB) e all'accordo sul trattamento dei dati, dell'accettazione separata delle clausole indicate all'AGB § 1 Abs 5 e dell'eventuale consenso alla menzione come referenza (AGB § 16 Abs 4). Finalità: conclusione del contratto, configurazione dell'account cliente, fatturazione, spedizione dei tag NFC. Base giuridica: art. 6, par. 1, lett. b), RGPD (esecuzione del contratto) nonché art. 6, par. 1, lett. c), RGPD in combinato disposto con il § 11 UStG (legge austriaca sull'IVA, Umsatzsteuergesetz) e il § 132 BAO (codice tributario federale austriaco, Bundesabgabenordnung) (obblighi di fatturazione e di conservazione). Per i dati della persona di riferimento di un cliente impresa la base giuridica è l'art. 6, par. 1, lett. f), RGPD — il nostro legittimo interesse all'esecuzione del contratto con l'impresa. Al momento della conferma delle condizioni generali e dell'accordo sul trattamento dei dati — in sede di acquisto oppure, se abbiamo configurato noi stessi l'account cliente su richiesta, al primo accesso della Direzione al Back Office — registriamo momento, versione e checksum dei documenti (SHA-256 del testo confermato), l'indirizzo IP e l'utente che effettua la conferma (responsabilizzazione ai sensi dell'art. 5, par. 2, RGPD; base giuridica art. 6, par. 1, lett. f)).

Spedizione dei tag NFC: per la consegna dei tag NFC inclusi nel prezzo e di quelli ordinati successivamente trasmettiamo ragione sociale, nome della persona di riferimento e indirizzo aziendale o di consegna — in caso di consegna tramite corriere anche il numero di telefono, se indicato — a Österreichische Post AG o a un servizio di corriere. Il servizio di consegna è titolare autonomo del trattamento per la consegna; non gli vengono trasmessi dati dei dipendenti. Base giuridica: art. 6, par. 1, lett. b), RGPD. Conserviamo i dati di spedizione fino alla scadenza del periodo di garanzia per i tag NFC (12 mesi, AGB § 3 Abs 3; resta impregiudicata la garanzia legale ai sensi dei §§ 922 e segg. ABGB, codice civile generale austriaco) e come parte della fattura ai sensi del § 132 BAO.

Verifica del numero di partita IVA (VIES): se indica un numero di partita IVA in sede di acquisto o successivamente nel Back Office, trasmettiamo tale numero, unitamente al codice del paese, alla procedura di conferma della Commissione europea (VIES, sistema di scambio di informazioni sull'IVA) e conserviamo il risultato, il momento e il numero di conferma. Ripetiamo la verifica ogni trimestre. Finalità: corretta fatturazione, in particolare la decisione sull'inversione contabile (reverse charge). Destinatario: Commissione europea, Rue de la Loi 200, 1049 Bruxelles, Belgio. Base giuridica: art. 6, par. 1, lett. c), RGPD in combinato disposto con il § 11, comma 1a, e l'art. 21, comma 3, UStG 1994 (obblighi di fatturazione e di dichiarazione). Un numero di partita IVA è un identificativo dell'impresa; costituisce un dato personale solo se è attribuito a un'impresa individuale.

Prestatore di servizi di pagamento: il pagamento (carta di credito o addebito diretto SEPA) viene gestito tramite Stripe Checkout. Titolare del trattamento per la gestione dei pagamenti è Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irlanda. I numeri di carta, le coordinate bancarie e le credenziali di sicurezza sono raccolti e conservati esclusivamente da Stripe; LazyHead e.U. non li riceve in nessun momento. Da Stripe riceviamo un identificativo del cliente e dell'abbonamento, lo stato del pagamento, le ultime quattro cifre del mezzo di pagamento e i dati di fatturazione.

Trasferimento di dati verso paesi terzi: Stripe Payments Europe, Ltd. può trasferire dati a Stripe, Inc. (USA) e ad altre società del gruppo. La base è costituita dalla decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), cui Stripe, Inc. aderisce, nonché dalle clausole contrattuali tipo della Commissione europea ai sensi dell'art. 46, par. 2, lett. c), RGPD. Dettagli: https://stripe.com/de-at/privacy.

Conserviamo fatture e documenti di pagamento ai sensi del § 132 BAO per sette anni dalla fine dell'anno civile in cui sono stati emessi.

7. Account cliente e Back Office

Ricerca dell'indirizzo: quando un utente digita l'indirizzo di una sede nel Back Office, inviamo il testo inserito al servizio di ricerca Photon di Komoot GmbH, Hauptstraße 35, 12159 Berlino, Germania (server nell'UE), per ottenere suggerimenti di indirizzo; se il servizio non è raggiungibile, interroghiamo in sostituzione Nominatim della OpenStreetMap Foundation. La richiesta è effettuata dal nostro server, non dal browser — l'indirizzo IP dell'utente non viene trasmesso; il testo della ricerca non viene registrato. Finalità: rilevazione dell'indirizzo della sede. Base giuridica: art. 6, par. 1, lett. f), RGPD (legittimo interesse a una rilevazione dell'indirizzo priva di errori). Dati cartografici: © contributori di OpenStreetMap (ODbL 1.0).

Per ciascun utente del Back Office (Direzione, Manager, consulenza fiscale) trattiamo nome, indirizzo e-mail, facoltativamente un numero di telefono, ruolo e assegnazione alle sedi, momento degli accessi, identificativo di sessione (cookie nt_session, sezione 4) nonché un registro delle azioni rilevanti per la sicurezza (registro attività). Finalità: fornitura del servizio, protezione degli accessi, tracciabilità delle modifiche. Base giuridica: art. 6, par. 1, lett. b), RGPD; per il registro attività inoltre art. 6, par. 1, lett. f), RGPD (sicurezza, responsabilizzazione ai sensi dell'art. 5, par. 2, RGPD). Per questi dati degli utenti siamo noi stessi titolari del trattamento; essi non sono oggetto dell'accordo sul trattamento dei dati, che riguarda solo i dati dei dipendenti del cliente (sezione 8).

Accesso al Back Office: l'identificativo dell'utente è il suo indirizzo e-mail, a cui si aggiunge una password scelta dall'utente stesso. La password viene impostata dall'utente tramite un link monouso che inviamo a tale indirizzo e che è valido 24 ore; una password dimenticata viene reimpostata tramite un link monouso valido un'ora. Una modifica dell'indirizzo e-mail registrato viene confermata con un codice inviato al nuovo indirizzo. Conserviamo le password esclusivamente come valore di hash (scrypt con salt casuale) — non ne conosciamo il testo in chiaro e non ci possono nemmeno essere comunicate. Dopo 10 tentativi falliti consecutivi l'accesso viene bloccato per 15 minuti; accessi, tentativi falliti, modifiche della password e blocchi vengono registrati. L'azienda può inoltre attivare l'accesso a due fattori: un codice monouso basato sul tempo generato da un'app di autenticazione (TOTP) con codici di recupero; in tal caso vengono conservati solo il segreto cifrato dell'app e i valori di hash dei codici di recupero. Base giuridica: art. 6, par. 1, lett. b), RGPD per l'accesso in sé, art. 6, par. 1, lett. f), RGPD per il blocco, l'accesso a due fattori e il registro di sicurezza (il nostro e il Suo legittimo interesse a impedire accessi non autorizzati). L'app per i dipendenti continua a utilizzare l'attivazione tramite codice inviato all'indirizzo e-mail registrato e il collegamento di un solo dispositivo (sezione 8).

Le e-mail di sistema (link di accesso e di invito, codici di attivazione dell'app per i dipendenti, notifiche, comunicazioni relative al contratto e ai pagamenti, fatture) sono inviate tramite Resend, Inc., San Francisco, USA, in qualità di responsabile del trattamento. Resend invia i messaggi tramite Amazon Simple Email Service nella regione eu-west-1 (Irlanda); vengono trattati indirizzo del destinatario, oggetto, contenuto del messaggio e stato di consegna. Per i trasferimenti a Resend, Inc. negli USA si applicano il quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (art. 45 RGPD) e le clausole contrattuali tipo della Commissione europea (art. 46, par. 2, lett. c), RGPD).

Se qualcuno richiede nell'app per i dipendenti un codice per un indirizzo e-mail che non è registrato presso alcuna azienda, inviamo a tale indirizzo una sola volta (al massimo una volta ogni 24 ore) l'avviso che non esiste alcun account associato e che l'indirizzo va chiesto al datore di lavoro. L'app stessa non mostra in tal caso alcuna differenza rispetto a un indirizzo noto. Vengono trattati solo l'indirizzo inserito e il momento della richiesta (per limitare l'invio a un messaggio al giorno, poi cancellati). Base giuridica: art. 6, par. 1, lett. f), RGPD — legittimo interesse ad aiutare le persone ad accedere senza rivelare quali indirizzi esistono nel sistema.

Accesso del gestore della piattaforma: i dipendenti di LazyHead e.U. non hanno accesso ai dati dei dipendenti conservati nell'account cliente. Un accesso di assistenza è possibile solo se il cliente lo abilita espressamente nel Back Office in Impostazioni → Abbonamento → Accesso di assistenza — con ambito, durata e possibilità di revoca in qualsiasi momento; ogni accesso viene registrato nel registro attività del cliente.

8. Dati dei dipendenti dei nostri clienti (trattamento per conto del titolare, art. 28 RGPD)

Titolare del trattamento dei dati dei dipendenti è il rispettivo datore di lavoro che utilizza NymTime. LazyHead e.U. tratta tali dati esclusivamente per conto e su istruzione del datore di lavoro sulla base dell'accordo sul trattamento dei dati (nymtime.com/avv). L'informazione dei dipendenti ai sensi dell'art. 13 RGPD spetta al datore di lavoro; a tal fine mettiamo a disposizione un modello che viene visualizzato nell'app per i dipendenti al primo avvio e che vi è consultabile integralmente in qualsiasi momento nelle impostazioni.

Categorie di dati trattati: dati anagrafici (nome, dati di contatto, mansione, sede, numero di matricola, tipo di rapporto di lavoro), piano dei turni (turni programmati, ruoli), registrazioni dell'orario di lavoro (inizio e fine effettivi, pause di riposo e pause brevi, correzioni con motivazione), conto ore (saldo tra ore previste ed effettive nel periodo di riferimento dell'azienda), assenze (ferie, malattia, riposo compensativo, permesso per assistenza familiare e altri tipi), esito della verifica della sede al momento della registrazione, dati del dispositivo (identificativo del dispositivo, chiave pubblica, modello, stato), indicazioni di disponibilità, offerte e accettazioni nello scambio di turno, conferme di lettura degli avvisi dell'azienda (bacheca) nonché — solo se il cliente utilizza tali funzioni — documenti del personale, compresi i giustificativi caricati dal dipendente, documenti retributivi e dati interni sul costo del personale.

Pause di riposo: le pause vengono rilevate secondo la regola scelta dall'azienda — detratte automaticamente, assegnate dal Manager nel turno o registrate dal dipendente con un tasto. Se per un turno di durata superiore a sei ore non è stata registrata alcuna pausa, NymTime detrae la pausa minima di riposo prevista dalla legge dello Stato della sede, affinché la registrazione dell'orario di lavoro non resti inesatta, e mostra al Manager la segnalazione «Pausa non registrata». Tale segnalazione serve esclusivamente a correggere la registrazione; non costituisce una sanzione, una valutazione della prestazione né la base per un richiamo. La correzione è effettuata da una persona dell'azienda con motivazione; il dipendente vede le correzioni nella propria app.

Le registrazioni dell'orario di lavoro sono generate per ciascuna sede in base al profilo nazionale dello Stato in cui si trova la sede e messe a disposizione del dipendente nell'app.

Disponibilità: i dipendenti possono indicare in quali giorni sono disponibili, disponibili malvolentieri o non disponibili. L'indicazione è facoltativa, serve esclusivamente alla pianificazione e non costituisce né disponibilità al lavoro né reperibilità ai sensi della normativa sull'orario di lavoro; da essa non deriva alcun obbligo di prestare lavoro né alcun diritto alla retribuzione. Il potere di pianificazione e la responsabilità per il piano dei turni restano in capo al datore di lavoro. Base giuridica: art. 6, par. 1, lett. b), RGPD (esecuzione del rapporto di lavoro).

Scambio di turno: se un dipendente offre un turno in scambio, i colleghi della stessa sede con lo stesso ruolo vedono il nome, il ruolo o il reparto e gli orari del turno interessato — nient'altro. Chi accetta lo scambio viene mostrato al dipendente che ha fatto l'offerta e al responsabile. Lo scambio diventa efficace quando il responsabile lo approva o quando l'azienda ha impostato l'approvazione automatica per turni equivalenti. Base giuridica: art. 6, par. 1, lett. b), RGPD; in tale contesto non vengono resi noti dati relativi alle presenze o alle prestazioni.

Dati di contatto per i colleghi (Contatti): il numero di telefono e l'indirizzo e-mail di un dipendente sono visibili agli altri dipendenti della sede solo se il dipendente stesso lo attiva nelle impostazioni dell'app. L'impostazione predefinita è «disattivato». Base giuridica: il consenso ai sensi dell'art. 6, par. 1, lett. a), RGPD, che può essere revocato in qualsiasi momento con effetto per il futuro (art. 7, par. 3, RGPD) — con la revoca i dati di contatto non sono più visibili immediatamente. La revoca non comporta svantaggi per il rapporto di lavoro; in assenza di condivisione, i colleghi vedono solo nome, ruolo o reparto e iniziali. I responsabili vedono comunque i dati di contatto di servizio sulla base dell'art. 6, par. 1, lett. b) e lett. f), RGPD.

Bacheca (avvisi dell'azienda): l'azienda può pubblicare avvisi destinati a singole sedi o reparti o a tutti i dipendenti, eventualmente con una locandina (immagine o PDF); le immagini sono conservate senza metadati incorporati, come il luogo dello scatto o i dati della fotocamera. NymTime conserva chi ha aperto un avviso e — se l'azienda lo chiede — ha confermato di averne preso visione, affinché l'azienda possa dimostrare la presa visione di informazioni aziendali importanti. Base giuridica: art. 6, par. 1, lett. b) e lett. f), RGPD. La conferma di lettura non è uno strumento di controllo della prestazione lavorativa; non avviene alcuna ulteriore analisi del comportamento.

Documenti del dipendente: l'azienda può archiviare documenti e renderli visibili nell'app al dipendente interessato (ad esempio l'informazione scritta sulle condizioni essenziali di lavoro, buste paga e attestazioni); il dipendente può caricare egli stesso documenti (ad esempio un certificato medico o giustificativi richiesti) e l'azienda può richiedere un documento. Per i documenti può essere indicata una data di scadenza (ad esempio permessi di soggiorno), in vista della quale NymTime invia un promemoria tempestivo. Un certificato medico è un dato relativo alla salute ai sensi dell'art. 9 RGPD; può essere archiviato solo nella misura in cui il datore di lavoro possa richiederlo secondo la legge dello Stato in cui il dipendente è occupato (le norme sono indicate nella Parte B) — la base giuridica è l'art. 9, par. 2, lett. b), RGPD in combinato disposto con tali norme. Se l'incapacità al lavoro è comunicata per via elettronica tramite un ente previdenziale, viene archiviata solo l'informazione spettante al datore di lavoro, senza diagnosi; se un certificato contiene un codice di diagnosi, questo viene reso illeggibile prima del caricamento. I documenti del personale possono contenere numeri di identificazione nazionali (ad esempio il numero di previdenza sociale); il datore di lavoro li archivia solo nei limiti della legge del proprio Stato. Non possono essere registrate diagnosi né cause di malattia. I certificati medici e i documenti retributivi sono visibili solo alla Direzione, alle persone espressamente autorizzate dal cliente e al dipendente interessato; ogni accesso viene registrato. I documenti sono cifrati dall'applicazione con AES-256-GCM prima dell'archiviazione; le chiavi si trovano solo sui server dell'applicazione. La conservazione è regolata dalle categorie di dati nelle impostazioni del cliente: per i documenti retributivi la categoria «Documenti retributivi» (termine e relativa decorrenza secondo la Parte B), per gli altri documenti la categoria «Documenti dei dipendenti».

Fotocamera e foto: la fotocamera dell'app per i dipendenti legge solo il codice QR sulla targhetta della sede per installare o aprire l'app; in tale occasione non viene salvata alcuna immagine. Una foto viene scattata o scelta dalla galleria solo quando il dipendente stesso carica un documento (ad esempio un certificato medico). Durante la timbratura non vengono scattate foto.

Notifiche sul telefono (push): l'app per i dipendenti può ricevere notifiche, ad esempio su un nuovo turno o su un'assenza decisa. A tal fine conserviamo il token push del dispositivo. Le notifiche sono inviate tramite il servizio push di Expo (650 Industries, Inc., USA) e da lì tramite l'Apple Push Notification service (Apple) o Firebase Cloud Messaging (Google). Vengono trasmessi solo il token push, un identificativo e il tipo di notifica, nonché un testo generico privo di contenuto personale; i dettagli sono mostrati dall'app solo dopo l'apertura. Base giuridica: art. 6, par. 1, lett. b), RGPD. Le notifiche possono essere disattivate in qualsiasi momento nelle impostazioni del telefono. I dati tecnici di utilizzo del servizio push (ad esempio l'indirizzo IP del telefono al momento del recupero del token push) sono inoltre trattati da Expo, sotto la propria responsabilità, per il funzionamento e la sicurezza del proprio servizio (expo.dev/privacy). Per il trasferimento a Expo negli USA si applica il quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (art. 45 RGPD), in base al quale Expo è certificata; la base è il Data Processing Addendum del 28.09.2026.

Eliminazione dell'account: nelle impostazioni dell'app il dipendente può richiedere l'eliminazione del proprio account. La richiesta viene inoltrata al datore di lavoro, che decide in merito in qualità di titolare del trattamento. Le registrazioni dell'orario di lavoro restano conservate anche dopo l'eliminazione per la durata prevista dalla legge dello Stato della sede (periodo di conservazione, vedi sotto).

Dati sul fatturato: per indicatori come l'incidenza del costo del personale, l'azienda può inserire i fatturati giornalieri per sede o importarli da un file. Questi dati si riferiscono alla sede e non a persone; di per sé non sono dati personali. Un collegamento con le persone sorge solo dal raffronto con il costo del personale, accessibile esclusivamente alla Direzione del cliente.

Nessuna coordinata di posizione: NymTime non conserva coordinate GPS, percorsi né profili di movimento. Nella timbratura in sede senza NFC, il dispositivo del dipendente trasmette una sola volta al nostro server, al momento della registrazione, la propria posizione attuale insieme alla precisione; il server verifica soltanto se il dispositivo si trova all'interno dell'area della sede stabilita dal datore di lavoro e scarta immediatamente le coordinate — viene conservato solo l'esito «all'interno», «all'esterno» o «posizione non disponibile» con momento e precisione in metri. Nella timbratura NFC al tag NFC la posizione viene trasmessa e verificata allo stesso modo solo se la verifica della sede è disponibile presso la sede e il datore di lavoro non l'ha disattivata; altrimenti non viene trasmessa affatto. La posizione viene rilevata una sola volta al momento della registrazione; non avviene alcuna localizzazione in background. Al di fuori di un turno non ha luogo alcuna verifica.

Verifica della sede secondo la legge del rispettivo paese: la verifica della sede al momento della registrazione è una misura di controllo. È disponibile nelle sedi in cui la legge del paese della sede la consente, e il datore di lavoro può disattivarla per ciascuna sede. Prima di utilizzarla, il datore di lavoro compie i passaggi richiesti dalla legge del proprio paese; quali siano tali passaggi è indicato nella Parte B. Il Back Office glieli mostra come lista di controllo, ma non blocca la funzione; finché i passaggi mancano, il datore di lavoro disattiva la verifica della sede per la sede interessata. In alcuni paesi la verifica della sede non è offerta per i posti di lavoro fissi. Non avviene alcuna localizzazione in background; la verifica avviene solo al momento della registrazione e NymTime non conserva coordinate, ma solo «all'interno», «all'esterno» o «posizione non disponibile».

Prese visione e consensi nell'app: se la legge del paese richiede che il dipendente sia informato su una funzione o vi acconsenta, egli lo conferma nell'app dopo aver preso visione del documento. Vengono conservati il momento, il documento e la sua versione, nonché la risposta. Il dipendente può revocare un consenso in qualsiasi momento nell'app con effetto per il futuro (art. 7, par. 3, RGPD); la liceità del trattamento effettuato fino a quel momento resta impregiudicata. Se la verifica della sede si basa sul consenso, dopo la revoca NymTime non verifica più la posizione di tale dipendente al momento della timbratura; il datore di lavoro vede la revoca nel Back Office — restano possibili la timbratura al tag NFC e le altre modalità previste dal datore di lavoro.

Basi giuridiche del datore di lavoro: art. 6, par. 1, lett. c), RGPD in combinato disposto con l'obbligo di registrazione dell'orario di lavoro previsto dalla legge dello Stato della sede, art. 6, par. 1, lett. b), RGPD (contratto di lavoro, pianificazione dei turni), art. 6, par. 1, lett. f), RGPD (sicurezza del sistema, un dispositivo per persona) nonché, per la verifica della sede al momento della registrazione, le basi richieste dalla legge del rispettivo paese; le norme dello Stato sono indicate nella Parte B.

Periodo di conservazione: il datore di lavoro stabilisce nel Back Office i periodi di conservazione per ciascuna categoria di dati; NymTime impone i valori minimi di legge. I valori predefiniti per le registrazioni dell'orario di lavoro, il registro attività e i documenti sono indicati nella Parte B secondo la legge dello Stato della sede; eventi di presenza grezzi 3 mesi, meno ove la legge dello Stato lo richieda (Parte B), notifiche 6 mesi. Un processo giornaliero cancella o rende anonimi i dati scaduti e ne tiene traccia nel registro.

Diritti dei dipendenti: i dipendenti esercitano i diritti di accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opposizione nei confronti del proprio datore di lavoro. Nell'app per i dipendenti possono consultare in qualsiasi momento le proprie registrazioni dell'orario ed esportarle mensilmente. Le richieste che pervengono a noi vengono inoltrate senza indugio al datore di lavoro, che assistiamo nella risposta.

9. Destinatari e trasferimento verso paesi terzi

Comunichiamo i dati personali solo ai seguenti destinatari: il fornitore di hosting del servizio (Hetzner Online GmbH, centro dati di Falkenstein nell'UE, responsabile del trattamento), Cloudflare (hosting del sito web e inoltro dell'intero traffico di dati verso il servizio, responsabile del trattamento — sezione 3), Resend, Inc. (invio delle e-mail tramite Amazon Simple Email Service in Irlanda, responsabile del trattamento — sezione 7), Expo (650 Industries, Inc.) con l'Apple Push Notification service e Firebase Cloud Messaging (notifiche all'app per i dipendenti prive di contenuto personale — sezione 8), Stripe Payments Europe, Ltd. (titolare autonomo del trattamento per la gestione dei pagamenti), Österreichische Post AG o un servizio di corriere (consegna dei tag NFC, solo dati di spedizione), la Commissione europea (conferma del numero di partita IVA nel VIES, solo codice del paese e numero di partita IVA — sezione 6), Komoot GmbH (ricerca dell'indirizzo Photon, solo il testo dell'indirizzo inserito — sezione 7) nonché autorità e organi giurisdizionali, nella misura in cui sussista un obbligo di legge. L'elenco aggiornato dei responsabili del trattamento costituisce l'allegato 2 dell'accordo sul trattamento dei dati (nymtime.com/avv).

I dati del servizio NymTime — account cliente, dati dei dipendenti, documenti, copie di backup — sono conservati esclusivamente nell'UE (Hetzner, Falkenstein). Un trasferimento verso paesi terzi al di fuori dello Spazio economico europeo avviene nei seguenti casi: nell'inoltro del traffico di dati da parte di Cloudflare (sezione 3), nell'invio di e-mail tramite Resend (sezione 7), nell'invio di notifiche push tramite Expo, Apple e Google (sezione 8) e nell'ambito della gestione dei pagamenti da parte di Stripe (sezione 6). La base è di volta in volta la decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati personali (Data Privacy Framework) (art. 45 RGPD) per le imprese certificate in base a esso e, in via integrativa, le clausole contrattuali tipo della Commissione europea (art. 46, par. 2, lett. c), RGPD).

10. Periodi di conservazione in sintesi

Salvo diversa indicazione sopra, si applicano i seguenti termini:

• Log del server con indirizzi IP: ruotati in base alle dimensioni, di norma pochi giorni, al massimo 30 giorni.
• Richieste di contatto: fino alla loro evasione, al massimo 6 mesi dopo l'ultimo messaggio.
• Link e codici monouso: impostazione della password 24 ore, reimpostazione della password 1 ora, conferma di un nuovo indirizzo e-mail e attivazione dell'app per i dipendenti 15 minuti ciascuna — conservati in ogni caso solo come valore di hash e poi cancellati.
• Richieste di assistenza dei clienti: 12 mesi dopo la chiusura della richiesta.
• Dati contrattuali e dell'account cliente: durata del contratto; successivamente 30 giorni per l'esportazione dei dati da parte del cliente, quindi cancellazione, salvo che sussista un obbligo di conservazione.
• Fatture, documenti di pagamento, prove del consenso (AGB, AVV): 7 anni ai sensi del § 132 BAO o per la durata della prescrizione dei diritti.
• Dati dei dipendenti dei nostri clienti: secondo i periodi di conservazione stabiliti dal cliente entro i valori minimi di legge (sezione 8).
• Copie di backup: vengono sovrascritte al più tardi 35 giorni dopo la cancellazione dei dati primari.

11. I Suoi diritti

Nei nostri confronti Lei ha il diritto di accesso (art. 15 RGPD), di rettifica (art. 16), di cancellazione (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20) e di opposizione ai trattamenti basati sull'art. 6, par. 1, lett. f), RGPD (art. 21), nonché il diritto di revocare in qualsiasi momento, con effetto per il futuro, un consenso prestato (art. 7, par. 3). A tal fine si rivolga a office@nymtime.com oppure — in qualità di cliente — a support@nymtime.com; rispondiamo senza ingiustificato ritardo e comunque al più tardi entro un mese (art. 12, par. 3, RGPD).

Lei ha inoltre il diritto di proporre reclamo all'autorità di controllo (art. 77 RGPD, § 24 DSG): Österreichische Datenschutzbehörde (DSB, autorità austriaca per la protezione dei dati), Barichgasse 40–42, 1030 Vienna, telefono +43 1 52 152-0, e-mail dsb@dsb.gv.at, www.dsb.gv.at. Contro le decisioni dell'autorità per la protezione dei dati è possibile ricorrere al Bundesverwaltungsgericht (Tribunale amministrativo federale austriaco) (§ 27 DSG). Per noi, in quanto titolare del trattamento stabilito in Austria, è competente l'autorità austriaca per la protezione dei dati. Gli interessati possono tuttavia proporre reclamo ai sensi dell'art. 77, par. 1, RGPD anche all'autorità di controllo del luogo in cui risiedono abitualmente, lavorano oppure del luogo ove si è verificata la presunta violazione; l'autorità di controllo dello Stato a cui si riferisce la presente versione è indicata nella Parte B. I recapiti di tutte le autorità di controllo per la protezione dei dati nell'Unione europea sono pubblicati dal comitato europeo per la protezione dei dati all'indirizzo edpb.europa.eu/about-edpb/about-edpb/members_de.

I dipendenti dei nostri clienti indirizzano le proprie richieste al loro datore di lavoro (sezione 8); le richieste che pervengono a noi vengono inoltrate.

12. Nessun processo decisionale automatizzato

Non adottiamo decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione, ai sensi dell'art. 22 RGPD. I campi proposti automaticamente a partire da documenti sono contrassegnati come tali in NymTime e sono sempre verificati da una persona; le approvazioni delle assenze e le correzioni degli orari di lavoro sono sempre decise da una persona nell'azienda del cliente.

13. Sicurezza dei dati (art. 32 RGPD)

Tutte le connessioni sono cifrate con TLS. Le password del Back Office sono conservate esclusivamente come valore di hash con salt casuale (scrypt), così come i link e i codici monouso; dopo 10 tentativi falliti l'accesso viene bloccato per 15 minuti, a ogni modifica della password vengono chiuse tutte le sessioni esistenti e l'azienda può richiedere l'accesso a due fattori (app TOTP con codici di recupero) per tutti gli account. L'accesso nel Back Office è basato sui ruoli e sulle sedi; ogni dispositivo dei dipendenti è collegato crittograficamente (un dispositivo attivo per persona); i tag NFC sono progettati contro la copia con messaggi firmati dinamicamente; il registro attività è immodificabile; la banca dati si trova su un volume cifrato con LUKS presso il fornitore di hosting; i documenti sono cifrati dall'applicazione con AES-256-GCM prima dell'archiviazione nell'Object Storage (chiavi solo sui server dell'applicazione), le copie di backup della banca dati sono cifrate da pgBackRest con AES-256; la trasmissione avviene esclusivamente tramite TLS; copie di backup giornaliere nel centro dati nell'UE. Le misure tecniche e organizzative complete costituiscono l'allegato 3 dell'accordo sul trattamento dei dati.

14. Modifiche della presente informativa

Adeguiamo la presente informativa quando cambiano il servizio, i fornitori di servizi impiegati o il quadro giuridico. Si applica la versione di volta in volta pubblicata all'indirizzo nymtime.com/datenschutz; la data della versione attuale è indicata all'inizio della pagina. Informiamo inoltre i clienti via e-mail delle modifiche sostanziali.

B1. Contesto lavorativo

Al trattamento nel contesto lavorativo si applicano, oltre all'articolo 88 RGPD, gli artt. 113 e 114 del Codice in materia di protezione dei dati personali (decreto legislativo 30 giugno 2003, n. 196) e l'art. 4 della legge 20 maggio 1970, n. 300 (Statuto dei lavoratori). La timbratura al tag NFC è uno strumento di registrazione delle presenze (art. 4, comma 2, dello Statuto dei lavoratori); il datore di lavoro informa preventivamente i dipendenti ai sensi dell'art. 4, comma 3, dello Statuto dei lavoratori e dell'articolo 13 RGPD.

Verifica della sede: in Italia la verifica della sede al momento della timbratura presuppone un accordo del datore di lavoro con la rappresentanza sindacale aziendale (RSU o RSA) oppure un'autorizzazione dell'Ispettorato nazionale del lavoro (art. 4, comma 1, dello Statuto dei lavoratori); il consenso del dipendente non la sostituisce. Non è utilizzata per il lavoro da casa. Queste sono le basi necessarie per la verifica della sede di cui alla sezione 8 della Parte A. L'uso dell'app per i dipendenti sullo smartphone personale è volontario; il datore di lavoro offre un'altra modalità di rilevazione delle presenze.

B2. Registrazioni dell'orario di lavoro e documenti

Le registrazioni dell'orario di lavoro servono al rispetto del decreto legislativo 8 aprile 2003, n. 66, e costituiscono la base delle registrazioni del datore di lavoro nel Libro Unico del Lavoro (art. 39 del decreto-legge 25 giugno 2008, n. 112); la base giuridica è l'articolo 6, paragrafo 1, lettera c), RGPD in combinato disposto con tali norme. NymTime non trasmette dati ad autorità né al Libro Unico del Lavoro.

In Italia il medico trasmette il certificato di malattia in via telematica all'INPS; in NymTime il datore di lavoro registra soltanto il numero di protocollo o l'attestato privo di diagnosi (articolo 9, paragrafo 2, lettera b), RGPD). Tra i documenti rientrano in Italia, ad esempio, l'informazione scritta sulle condizioni di lavoro (decreto legislativo 26 maggio 1997, n. 152), i cedolini e la Certificazione Unica.

B3. Periodo di conservazione

Valori predefiniti per l'Italia: registrazioni dell'orario di lavoro 5 anni (termine previsto per il Libro Unico del Lavoro dall'ultima registrazione, art. 6 del decreto del Ministro del lavoro 9 luglio 2008), eventi di presenza grezzi 3 mesi, risultato della verifica della sede 30 giorni, registro attività 7 anni, documenti 7 anni, documenti retributivi 10 anni, notifiche 6 mesi.

B4. Autorità di controllo

Per i clienti con sede legale in Italia e per i dipendenti delle sedi situate in Italia è competente il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, telefono +39 06 696771, e-mail protocollo@gpdp.it (PEC: protocollo@pec.gpdp.it), www.garanteprivacy.it (sezione 11 della Parte A).